Код с сюрпризом, ноды в Figma и кошмар агентских будней

Ровно 66 строк компактного JavaScript-кода в самом начале системного файла — вот и вся маскировка. Разработчик или технический дизайнер ставит инструмент в редактор, запускает рабочее окно и даже не успевает напечатать первый запрос к нейросети, а скрытый процесс уже сканирует систему. В четверг в каталоге дополнений Cursor объявилась поддельная версия Claude Code под видом официального пакета anthropic.claude-code версии 2.1.313. В каталоге опасный модуль провисел около одиннадцати часов, и за это время его успели скачать до 5000 пользователей.

Разработчики редактора Cursor оперативно сняли модуль с витрины и на время полностью отключили маркетплейс, пока совместно с сетевыми провайдерами нейтрализовали серверную инфраструктуру злоумышленников. Компания подтвердила, что Anthropic к инциденту непричастна, а остальные расширения каталога не пострадали. Чистыми остались официальный пакет @anthropic-ai/claude-code в репозитории npm, сборка в каталоге Open VSX и версия Claude для Microsoft VS Code. Скомпрометирован был именно внутренний каталог самого Cursor. Источник появления этой сборки с датой публикации 29 октября 2026 года исследователи пока не выяснили, но сам механизм атаки разобрали до каждого байта.

Без единого клика в чате

Самое неприятное в инциденте — способ запуска. Вредоносному модулю не требовалось, чтобы пользователь оформлял платный тариф или вбивал рабочий claude code api для генерации кода. В архиве отсутствовали стандартные установочные скрипты вроде preinstall или postinstall, на которые обычно реагируют базовые сканеры безопасности. Вредоносный загрузчик был встроен прямо в начало файла extension.js перед легитимным кодом расширения и активировался автоматически — сразу при старте редактора или открытии внутреннего окна webview.

Ровно через полторы секунды после старта скрипт начинал быструю разведку. Он фиксировал имя хоста, локального пользователя, операционную систему, архитектуру процессора, домашний и текущий каталоги, а также глобальный почтовый адрес из настроек Git. Параллельно троян проверял до сорока системных переменных окружения, выискивая в названиях маркеры KEY, TOKEN, SECRET, PASS, AWS или GCP. Значения этих секретов скрипт на первом этапе не выкачивал, но сам перечень переменных сразу выдавал атакующим архитектуру облачной инфраструктуры жертвы.

Обратный туннель и системные сервисы

Собрав системный профиль, скрипт переходил к закреплению в операционной системе. В домашней папке создавался скрытый каталог ~/.ssh с правами 0700, куда в файл authorized_keys с правами 0600 прописывался публичный ключ формата Ed25519 с технической меткой svc-telemetry и отпечатком SHA256:0Z6R+DF64Do2nwQic8a7kkfDLNNk4IiK+2U2Rci4htk. Дальше запускалась попытка активировать постоянный удаленный вход, приспособленная под каждую популярную систему:

• На macOS скрипт проверял службу Remote Login и пытался выполнить команду sudo -n systemsetup -setremotelogin on без запроса пароля.
• В Linux-окружении проверялось наличие sshd или ssh через systemctl с последующей серией команд на принудительный подъем демона.
• На Windows через PowerShell разворачивался OpenSSH Server, выставлялся автоматический запуск и стартовала служба sshd.

В Cursor резонно заметили, что на подавляющем большинстве рабочих машин этот шаг захлебнулся бы: включение системных сетевых служб требует прав администратора. Однако авторы бэкдора заложили обходной путь. В расширение был зашит декодируемый из base64 приватный ключ, через который поднимался обратный SSH-туннель к удаленному серверу 134.209.82.225 под учетной записью tunnel с флагами проброса портов. На Unix-системах скрипт предпочитал утилиту autossh, игнорировал проверку хоста known_hosts и при обрыве связи настойчиво переподключался каждую минуту. Финальным аккордом скрипт опрашивал сервисы ifconfig.me и api.ipify.org, упаковывал публичный IP в незашифрованный JSON и отправлял отчет маячка на порты 8099 локального адреса и внешнего управляющего сервера.

В коде не обнаружили функций для кражи криптокошельков или загрузки сторонних бинарников — бэкдор создавался исключительно ради скрытного плацдарма внутри локальной сети студии или независимого разработчика. Поддельный LaunchAgent с именем com.apple.sysmond на компьютерах Mac ловко маскировался под системную службу Apple, хотя работал исключительно с правами локального пользователя.

Для тех, кто использует Cursor для верстки сайтов, генерации графики через скрипты или сборки интерактивных сцен, эта история — жесткое напоминание о гигиене рабочего места. Современный редактор кода с нейросетевыми ассистентами стал центральным рабочим хабом, где лежат доступы к продакшен-серверам, закрытым репозиториям и облачным хранилищам рендеров. Если вы экспериментировали с расширением Claude Code в Cursor в этот период, мы бы посоветовали не ограничиваться простым удалением папки. Проверьте authorized_keys, поищите процессы с подключением к IP-адресу 134.209.82.225, обнулите рабочие токены, а при малейших сомнениях просто переустановите систему начисто.

Доверие к официальным каталогам расширений окончательно перестало быть гарантией безопасности.

Пожилой человек в облегающем костюме с оптическими маркерами медленно поворачивает голову, замирает и делает тот самый тяжелый, размеренный шаг прямиком из 1978 года. Студия IllFonic выпустила хоррор Halloween: The Game, решив не изобретать пластику серийного убийцы заново, а позвать первоисточник. Роль Майкла Майерса для систем захвата движений снова сыграл Ник Касл — именно он сорок шесть лет назад создал эту пугающую походку в культовой картине Джона Карпентера. Игра вышла 8 сентября одновременно на ПК, PlayStation 5 и Xbox Series X|S, соединив в себе одиночное сюжетное прохождение и сетевые схватки в формате один против четырех.

Команда IllFonic подошла к проекту с внушительным багажом. За их плечами пять лет полировки асимметричного мультиплеера в таких тайтлах, как Friday the 13th: The Game, Predator: Hunting Grounds и Ghostbusters: Spirits Unleashed. Однако здесь разработчики попытались сломать привычную клаустрофобию жанра, когда четыре жертвы просто бегают по кругу от маньяка в замкнутом загоне. Площадкой действия стал дотошно реконструированный городок Хэддонфилд, живущий по своим правилам.

Киноязык семидесятых и пайплайн IllFonic

Главный визуальный пласт проекта опирается на оптику независимого американского кино конца семидесятых. Арт-дирекция буквально покадрово разбирала шедевр Карпентера, воспроизводя геометрию одноэтажной субурбии, крой винтажной одежды, прически и специфический оптический рисунок анаморфотных линз той эпохи. Сюда же перенесли характерные длинные проезды стедикама, создающие эффект стороннего наблюдателя, прячущегося за живой изгородью.

Производственный цикл каждого объекта окружения и действующего лица строился по классической, но строгой схеме:

• Создание концепт-артов с утверждением исторической достоверности эпохи;
• Многоэтапные итерации и согласование силуэтов под кинематографический свет;
• Трехмерное моделирование с детальной проработкой геометрии;
• Текстурирование поверхностей с учетом микрорельефа тканей и износа материалов;
• Отдельная генерация волос и причесок по стандартам современного рендеринга персонажей;
• Регулярные внутренние плейтесты для проверки читаемости форм в темноте.

Центральным техническим решением стал полный отказ от статических световых карт. Движок Unreal Engine 5 дал возможность построить мир на честном динамическом освещении, которое напрямую завязано на игровой процесс. Стоит выбить рубильник на распределительном щитке — и знакомая улица проваливается во мрак, меняя геометрию теней и силуэты укрытий. Креативный директор IllFonic Джаред Герритцен прямо говорит об этой технологической развилке: «Динамическое освещение в UE5 стало крупнейшей эволюцией, с которой было здорово работать. Годами мы использовали запечённое освещение». Вместе с новым светом движок принес повышенную плотность материалов и стабильную производительность в тяжелых сценах.

Как устроена охота в Хэддонфилде

Игровой процесс уходит от банальных пряток. В роли Майкла Майерса игрок полагается на темноту, скрытные перемещения и сверхъестественные способности выслеживания. Противостоящая четверка мирных жителей Хэддонфилда занимается не просто спасением собственных жизней: на карте присутствуют независимые жители под управлением искусственного интеллекта. Горожане реагируют на шум и насилие, их требуется защищать от маньяка, снабжать найденным оружием и координировать, параллельно пытаясь вызвать полицию.

Этот слой механики меняет привычный психологический паттерн выживания — игрок превращается в активного защитника района, а не загнанную добычу. Если же персонаж погибает, матч для него не заканчивается на экране статистики. Погибшие игроки берут под прямое управление патрульных полицейских, которые прибывают на вызовы по периметру карты, и продолжают оказывать огневое и тактическое давление на Майерса.

Для арт-директоров и специалистов визуального продакшена Halloween: The Game ценна как наглядный пример бережной адаптации аналоговой киноклассики в цифровую интерактивную среду. Создатели не стали осовременивать ретро-картинку неоправданным глянцем, а перенесли пластику живого актера и оптические несовершенства пленки на рельсы современных шейдеров. Когда за плавным наклоном головы компьютерной модели стоит живой Ник Касл, цифра перестает казаться стерильной.

Знакомая картина: нейросеть за секунды выдает объемный объект, вы радостно кидаете его во вьюпорт, а там — сплошной кошмар из рваных полигонов и слипшихся вершин. Дальше начинаются долгие часы ручной чистки, ретопологии и попыток подружить слепок с реальным пайплайном. Moonshot AI зашла с другой стороны. Их новый инструмент 3D Make внутри Kimi не пытается быть очередной веб-витриной с сырыми мешами, а встраивается напрямую в рабочую среду профессионального софта.

Главная идея 3D Make — подключить языковую модель прямо к Blender, инженерным CAD-системам и другим пакетам трехмерного моделирования. Вместо того чтобы выгружать из облака тяжелый и неуправляемый сгусток геометрии, Kimi берет на себя роль технического ассистента за соседним монитором. Нейросеть генерирует и сама же запускает рабочий программный код, который собирает сцену штатным инструментарием выбранной программы. По сути, модель управляет софтом на уровне процедурных скриптов, меняет параметры готовых проектов и возводит полигональные конструкции точно по текстовым инструкциям.

Такой подход решает застарелую проблему экспорта и импорта. На выходе получается не случайный слепок нейросети, а стандартный файл проекта с чистой параметрической или процедурной геометрией. С ней можно сразу продолжать работу без бесконечных проверок на ошибки, танцев с плагинами для очистки и ручной правки сетки.

Что умеет инструмент на практике

Разработчики позиционируют 3D Make как универсальный комбайн для нескольких направлений визуального продакшена и прототипирования. В заявленный список сценариев вошли задачи от быстрого скетчинга до подготовки под физическое производство:

• Создание полноценных трехмерных моделей на основе текстовых промптов и загруженных референсных изображений.
• Быстрая сборка прототипов инди-игр и ассетов для интерактивных 3D-сайтов прямо под верстку.
• Моделирование твердотельных объектов под последующую 3D-печать с соблюдением требований к геометрии.
• Пошаговое редактирование уже существующих элементов сцены через диалоговое окно в формате живой беседы.
• Построение точной геометрии средствами встроенного движка Blender и классических CAD-инструментов.

Доступ к 3D Make организован в двух форматах: через веб-интерфейс на странице kimi.com/en/make3d и внутри рабочего пространства Kimi Work. При этом разработчики пока оставили за кадром ключевые эксплуатационные детали. В открытом доступе нет информации о тарифах, лимитах на генерацию кода, точных сроках развертывания и независимых замерах качества полученной сетки. Никаких графиков бенчмарков создатели не приложили, так что проверять чистоту полигональной структуры придется на собственной практике.

Запуск 3D Make подчеркивает любопытный сдвиг в индустрии генеративной графики. До сих пор рынок развивался по пути специализированных сервисов вроде Tripo, Meshy или Rodin3D. Эти платформы фактически строят внутри браузера собственные замкнутые подобия Blender или Maya, привязывая дизайнера к своему закрытому интерфейсу. Другой полюс — энтузиасты, которые пытались подружить большие языковые модели с Blender через открытый протокол MCP, собирая связки буквально на коленке.

Moonshot AI предлагает прагматичный компромисс. Вместо конкуренции с устоявшимся профессиональным софтом Kimi превращает общую языковую модель в нативный привод для привычных рабочих инструментов. Нас подкупает этот отказ от шумных презентаций ради интеграции в реальный производственный пайплайн: похоже, ИИ наконец перестает притворяться отдельным искусством и становится тем, чем должен быть, — умным скриптом на горячей клавише

Знакомая сцена: арт-директор просит протестировать десять вариаций фона для рекламного ролика, и дизайнер открывает дюжину браузерных вкладок, жонглирует промптами в разных нейросетях, скачивает результаты, правит тени и вручную затаскивает ассеты обратно в проект. Платформа Figma Weave пытается прекратить эту суету. Сервис переносит генерацию и редактирование медиаконтента на отдельный холст, объединяя разрозненные этапы в наглядные нодовые цепочки. По сути, продакшен графики и видео превращается в инженерную схему, где каждый шаг прозрачен и управляем.

В основе среды лежит логика визуального программирования, хорошо знакомая тем, кто собирал шейдеры или работал с процедурной графикой. Рабочее пространство Weave строится вокруг четырех базовых концепций:

• Узел (Node) — элементарный блок холста. Узел может отвечать за загрузку исходника, ввод текста, запуск генерации или точечную правку.
• Рабочий процесс (Workflow) — последовательность соединенных узлов, которая шаг за шагом превращает сырую идею в готовый файл.
• Ветка (Branch) — параллельное ответвление внутри одного воркфлоу. Позволяет развести генерацию в несколько альтернативных направлений из общей отправной точки, чтобы быстро отсмотреть варианты без дублирования всей цепочки.
• Инструмент Weave (Weave tool) — упакованный воркфлоу. Сложную паутину соединений можно спрятать под капот, оставив коллегам простой интерфейс с полями ввода, где не нужно настраивать связи вручную или писать технические задания для нейросетей с нуля.

Редактура на холсте без стороннего софта

Самое досадное в генеративном продакшене — необходимость выгружать полуфабрикат в сторонние редакторы ради базовой цветокоррекции или кадрирования. В Weave эту рутину зашили внутрь специализированных узлов. Обработка графики и видео происходит прямо в цепочке:

• Узел цветокоррекции (Color correction) отвечает за общую настройку кадра, регулируя тон и цветовую насыщенность.
• Композитор (Compositor) послойно собирает в единый файл изображения, видеоматериалы, плашки с текстом и векторные фигуры.
• Уровни (Levels) дают точный контроль над светом, полутонами и глубокими тенями, выравнивая тональный баланс.
• Обрезка видео (Trim) позволяет подрезать хронометраж отснятого или сгенерированного ролика прямо на холсте.
• Кадрирование (Crop) подгоняет контент под нужные пропорции через заготовки или произвольные соотношения сторон.
• Рисование (Painter) открывает набор кистей, геометрических фигур и ластик для быстрых пометок или дорисовки поверх кадра.

Связка с Figma Design реализована через специальный узел Figma node. Работает это бесшовно: фрейм копируется из дизайн-файла и вставляется в Weave с сохранением живой связи. Если поменять типографику, цвет кнопки или сетку в исходном макете Figma Design, связанный узел внутри цепочки Weave обновится автоматически. Для креативных команд, выпускающих контент десятками единиц в день, это избавление от бесконечного экспорта промежуточных версий.

Управление моделями и подсказками

Разные генеративные модели по-своему интерпретируют свет, фактуру и композицию. Инструментарий figma weave ai снимает проблему мучительного выбора одного движка: платформа позволяет запустить один и тот же текстовый запрос сразу через несколько нейросетей на соседних ветках холста. Разницу между результатами видно моментально на одном экране.

Текстовый блок тоже получил глубокую настройку. Узел Run Any LLM берет на себя переписывание и валидацию инструкций с помощью языковых моделей. Если базовому описанию не хватает плотности, узел Prompt Enhancer Node автоматически насыщает формулировку деталями. При этом ключевые параметры промпта можно выносить в переменные — это позволяет менять цвет продукта, погоду в кадре или ракурс одной правкой, не переписывая длинный текст целиком.

Финальный шаг — превращение удачных находок в стандарты команды. Собранную схему можно запаковать в готовый Weave tool и опубликовать в Figma Community. В качестве сценариев использования называют, например, автоматическую сборку интерьерных визуализаций на основе мудбордов или генератор вариантов дизайна ногтей. Коллегам или клиентам остается просто загрузить свои исходные файлы и нажать кнопку запуска: цепочка отработает сама, выдав предсказуемый результат.

По-нашему, главная ценность здесь не в самих алгоритмах — ими уже никого не удивить, — а в наведении порядка на этапе арт-дирекшна. Вместо двадцати несогласованных генераций в личных чатах студия получает воспроизводимый конвейер, где виден каждый шаг: от исходного фрейма до финальной цветокоррекции. Кажется, рутинный рендеринг баннеров наконец-то станет похож на контролируемое производство.

«Карабкайся по рекламной лестнице или погибни, пытаясь» — именно такой фразой на титульном экране агентство VCCP встречает игрока. Под Хэллоуин креативная индустрия решила препарировать собственные страхи: VCCP и студия Uncommon Creative подготовили две видеоигры, где главным источником ужаса стали не потусторонние силы, а офисная рутина.

Команды взяли по одному профессиональному кошмару и довели его до абсурда:

• Kill It от VCCP фокусируется на карьерной гонке внутри агентства, превращая привычную борьбу за выживание на проектах в буквальный бой за жизнь.
• The Unread от Uncommon Creative обращается к проблеме нежелательной почты: на кадрах геймплея игрок отбивается от зомби, воплощающих бесконечный спам.

Подробности механик, платформы и ссылки авторы пока оставили за кадром — доступные материалы ограничены первыми скриншотами и анонсом концепций. Нас подкупил сам подход к праздничному контенту. Вместо стандартных открыток с тыквами команды упаковали триггеры выгорания в интерактивную форму и сделали из них треш-хоррор.

Когда рабочая неделя перед дедлайном и так похожа на выживач, проще всего выдать креаторам возможность расстрелять инбокс.