1.

5,8 млн сайтов сдали вас Meta, 3 млн — Яндексу. Прямо в приложение

11:58 / 6 июня, 2025MetaYandexlocalhostAndroidслежка

Даже в режиме инкогнито.

Meta* и Yandex использовали скрытую технологию отслеживания, связывающую действия пользователей в браузере с их аккаунтами в Android-приложениях. Исследователи утверждают, что нативные приложения Facebook*, Instagram* и несколько приложений Яндекса (включая Карты и Браузер) прослушивали фиксированные порты localhost на устройствах Android для получения данных из веб-скриптов, встроенных на миллионы сайтов.

Эти JavaScript-скрипты — Meta* Pixel и Яндекс.Метрика — запускаются в мобильном браузере и устанавливают соединение с приложениями через сокеты localhost. Через них передаются метаданные, cookie и команды, включая идентификаторы устройств, такие как Android Advertising ID (AAID) . Это позволяет деанонимизировать пользователей, связывая их поведение в браузере с учётными записями.

Такая методика обходит стандартные механизмы конфиденциальности — от удаления cookie до инкогнито-режима и настроек разрешений Android. Более того, эти данные могут быть перехвачены сторонними приложениями, если те также прослушивают те же порты.

Meta Pixel передавал cookie _fbp из браузера в приложения Meta через WebRTC с SDP Munging, используя порты 12580–12585. Полученные данные приложения Facebook* и Instagram* направляли на сервер через GraphQL-запрос . Позже Meta изменила механизм на WebRTC TURN. Обновление от 3 июня подтвердило, что Meta прекратила отправку данных на localhost, а соответствующий код почти полностью удалён. Аналогичное прекращение подтверждено и со стороны Яндекса.

Cookie _fbp применяется для идентификации браузеров и встроен примерно на 25% из миллиона популярных сайтов . Несмотря на его статус как first-party cookie, через localhost-коммуникацию Meta получала возможность объединять сессии с разных сайтов.

Яндекс использовал другую схему: его приложения слушали порты 29009, 29010, 30102 и 30103. Скрипт Метрики направлял зашифрованные данные на эти порты, используя адреса 127.0.0.1 и домен yandexmetrica[.]com. Полученные через Java API идентификаторы возвращались браузеру и затем передавались на сервер Метрики (mc[.]yango[.]com). Такая схема действует минимум с 2017 года и усложняет обнаружение из-за обхода традиционных механизмов контроля.

Обе схемы оказались уязвимыми к утечке истории просмотров: стороннее приложение может прослушивать порты и извлекать заголовки Origin, тем самым определяя посещённые сайты. Доказательство концепции, представленное исследователями, подтвердило, что Chrome, Edge и Firefox уязвимы даже в приватном режиме. Brave и DuckDuckGo оказались защищены за счёт блокировки localhost.

По данным BuiltWith , Meta* Pixel встроен на 5,8 млн сайтов, Яндекс.Метрика — почти на 3 млн . При сканировании топ-100 000 сайтов Meta Pixel пытался соединиться с localhost на 13 468 сайтах в США и 11 890 в Европе без предварительного согласия. У Яндекса — на 1 095 и 1 064 сайтах соответственно.

Meta начала использовать метод WebRTC STUN в ноябре 2024 года, а с мая 2025 перешла на WebRTC TURN. Яндекс применяет HTTP-коммуникацию с февраля 2017 года и HTTPS — с мая 2018. Данные зафиксированы в HAR-файлах архивов HTTP Archive.

Тесты показали, что браузеры Chrome, Firefox и Edge подвержены уязвимостям. Chrome в версии 137 добавил защиту от SDP Munging. Firefox готовит патчи к версии 139. Brave и DuckDuckGo используют блок-листы и требуют подтверждения при работе с localhost с 2022 года.

Ни Meta, ни Яндекс не документировали этот механизм. Пользователи и разработчики сообщали о странном сетевом поведении в форуме разработчиков Meta *, не получив ответов. Исследование предполагает, что отслеживание работало даже без входа в аккаунты, в режиме инкогнито и при очистке cookies, что делает его особенно проблемным с точки зрения конфиденциальности.

2.

На связи Владимир Макеев, СЕО Surf.

Я активно слежу за развитием ИИ и сам тестирую разные решения для ускорения разработки. И вот, что заметил: вокруг сотни государственных инициатив и прорывных кейсов внедрения ИИ. Есть даже национальная стратегия, которая подразумевает, что уже через 5 лет компании в 95% отраслей должны внедрить ИИ.

Компании думают, что затеряются в веках, если срочно не прикрутят нейросети. А после внедрения ИИ-решений презентуют невероятные бизнес-результаты. Рассказываю, почему всё работает не так, как нам хотелось бы.

В новостной повестке миллион ярких кейсов, но само внедрение ИИ не влияет ни на капитализацию, ни на прибыль компании (если это не OpenAI).

Кажется, что если вы не внедрили ИИ, то к вам не придут новые клиенты и вы останетесь на задворках цивилизации. А если внедрите — выручка пойдёт вверх, а затраты на сотрудников вниз. Но так не бывает.

А есть ли выгода?

Я большой фанат ИИ — верю, что со временем он нас всех заменит, но что поделать. Мы в команде активно используем и Copilot, и Cursor, и Windsurf. Но от того, что я использую ChatGPT вместо Google, я не стал зарабатывать больше. Да, стал работать быстрее и устранил часть рутины, но глобально моя компания от этого богаче не становится.

Внутри компании ничего не меняется, просто линейные сотрудники начинают быстрее генерировать письма. Воздействие на бизнес-экономику — минимальное, на рынок — тоже.

Хоть прибыль от внедрения ИИ не растёт, компании всё равно тратят деньги на эти решения. В 2025 году бизнес вложит в интеграцию ИИ 644 миллиардов долларов. Причина — всеобщий шум. На этот год на федеральный ИИ-проект выделили 7,7 млрд. В мае 2025 запустили ЦРИИ. А Минэкономразвития прямым текстом говорит, что к 2030 году почти все российские компании должны внедрить ИИ в операционную деятельность.

У топ-менеджеров в качестве KPI тоже стоит внедрение ИИ, и они бегают к консалтерам, подрядчикам и внутренним командам, чтобы те внедрили хоть какой-нибудь ИИ. Иначе они не получат бонусы. А создаёт решение пользу или нет — их не очень интересует.

Потому трансформации бизнеса не происходит. В основном ИИ применяют для ускорения примерно четверти базовых процессов по типу генерации текстов и поддержки. Никаких радикальных изменений бизнес-моделей. Исследование влияния ИИ на рынок труда в Дании (опрос 25 000 работников разных сфер в 2023–2024 гг.) показало, что значимых изменений в доходах или затрачиваемом времени нет.

Опять же, Cursor и Windsurf ускоряют разработчиков. Об этом говорят Microsoft, Google, OpenAI. Но, например, +30% к продуктивности на больших проектах — это не ускорение, а фоновый шум. Не поймёшь, это агент помог или кофе.

Не все готовы работать с ИИ

Ещё одна беда: компании создают собственные ИИ-решения для ускорения внутренних процессов, но сотрудники от них открещиваются.

И тогда руководство думает: «Нужно срочно обучить весь штат пользоваться нейросетями. Устроить воркшопы, купить корпоративные подписки и ввести KPI по количеству промптов».

Не работает. Мало людей готовы адаптироваться к новым условиям и принимать технологии: высокая ригидность на лицо. Даже у нас в ИТ-компании:

• 20% сотрудников платят за ChatGPT сами
• 30% — на бесплатной версии
• 50% — вообще не используют.

Кто хочет — находит продвинутую версию ChatGPT, Gemini или другой модели и покупает личный премиум-доступ. Была бы мотивация это делать. Чтобы регулярно использовать ИИ, надо начать. Инструменты освоить просто. Я сделал об этом пост в своем ТГ-канале.

А проводить корпоративные тренинги по использованию ИИ бессмысленно. Там нечему учить. Проблема не в знаниях. И не в том, что на обучение нужен слот в графике и финансирование. Просто специалисты ленятся и не хотят тратить время на освоение новых инструментов. Не вникают в нейросети ни в рабочее время, ни тем более вне его. Корпоративное обучение ригидность не вылечить.

Понимаю, кто-то думает, что техно-буря с нейросетями, MCP и автоматизацией пронесется мимо, надо только подождать. Но это уже нереально.

Посмотрите фильм «Скрытые фигуры» (2016). Там показан интересный момент — В NASA появился новомодный IBM 7090. Тогда мало кто знал, как им пользоваться. И штат разделился на тех, кто продолжал делать многочасовые расчёты вручную с линейкой в зубах, и на тех, кто решил: «Окей, давайте разбираться, как эта машина работает». Вторые оказались в меньшинстве.

Мы смотрим на это из будущего и знаем, чем всё закончилось. Но, возможно, прямо сейчас — как раз такой же момент. И вопрос только в том, в какой команде мы окажемся.

Создать свой ИИ vs. Использовать готовый?

На создание простой модели нужно от 1,5 до 10 миллионов рублей в России и до 25–40 тысяч долларов за границей. На сложные нейросети от Microsoft, Alphabet и OpenAI уходят сотни миллиардов долларов. Разрабатывать свой ИИ очень дорого.

Системообразующих игроков вроде Яндекса и Сбера это не останавливает. И их можно понять. Они занимаются разработкой своих LLM, потому что ИИ может быть полезен крупнейшим компаниям. У них есть большие объёмы данных и специфические бизнес-сценарии. Но даже они плохо справляются с обучением нейросетей, если сравнить их YandexGPT и Gigachat с разработками OpenAI и DeepSeek.

Мелкие компании не могут себе позволить ИИ и в 80% случаев терпят неудачу. Компании покрупнее из ритейла, фудтеха и банкинга обжигаются на том, что внедрили ИИ несоразмерно целям. При этом затраты на разработку растут на 30–50% в год из-за дефицита кадров.

Пример Авито

Авито собирается тратить 12 млрд рублей на ИИ. Я не до конца понимаю, почему компания считает это стратегически верным ходом. Пользовательский опыт не изменится, продажи не вырастут, а затраты улетят в космос.

При этом часть денег пойдёт, скорее всего, просто на полумеры вроде Low-Rank Adaptation. Потому что у бизнеса даже такого масштаба, по оценкам, не хватает денег и данных для создания стоящих нейросетей. Сейчас они только дообучают иностранные модели под свои нужды и русский язык.

Область применения ИИ в бизнесе очень узкая: RAG, саппорт, агенты — или всё это одновременно. Звучит просто и прозаично, но в России это умеют делать единицы.

Если компании действительно поможет ИИ (ниже описал подходящие сценарии), имеет смысл прикручивать чужие, более производительные нейросети. Но обычно для решения задач компании хватает других, рабочих и бюджетных инструментов.

Что взять вместо ИИ

ИИ-хайп затмил инструменты, которые реально работают. Пример: простые алгоритмы на базе machine learning, о которых в бизнес-среде говорят реже. Их можно натренировать на данных, включить и смотреть, как они решают задачи.

Умный поиск, рекомендации, распознавание изображений и речи, автоматический перевод, фильтры, обнаружение случаев мошенничества — всё это машинное обучение. Здесь не нужны логика, анализ, выводы, создание новых знаний и вообще никакие мыслительные процессы.

Алгоритмы действуют строго в рамках того, чему их научили. А главное — не требуют абсурдных затрат. Разработать и внедрить алгоритм ML дешевле, чем ИИ, за счёт готовых инструментов TensorFlow, PyTorch и Scikit-Learn. Проект под ключ — от сбора данных до внедрения алгоритма — стоит 50–250 тысяч рублей.

Замена технической поддержки — берём ML

Лучше сделать простой чат-бот с фиксированными сценариями, загрузить в него сет стандартных вопросов и ответов. ML умеет автоматически подставлять шаблонные ответы, анализировать ключевые слова, направлять сложные вопросы оператору.

Создание персональных рекомендаций — берём ML

Алгоритм запоминает, какие товары и услуги люди смотрят и покупают, какие вещи часто берут вместе и что популярно среди похожих пользователей. На основе этих данных он предлагает релевантные вещи. Если рекомендации работают хорошо, продажи растут.

Настройка аналитики — берём ML

Для сбора и анализа больших объёмов данных оно подойдёт. Например, на нашем проекте с KFC было нужно классифицировать обращения пользователей, чтобы знать, к какому продукту они относятся. Они использовали форму с ML, который определяет тему текста и сортирует обращения по продуктам. Это сократило число ошибок первичной классификации в два раза.

Улучшение системы модерации — тоже берём ML

Он способен распознавать сцены насилия, порнографию и нецензурную лексику, автоматически скрывать их и сообщать о нарушениях. К нам обратился клиент с запросом на дейтинг-сервис. Ему была важно, чтобы в приложении не появлялись обнажёнки. Мы разработали ML-алгоритм для модерации контента, снизили количество ручной работы, увеличили скорость обработки обращений и сократили расходы.

Где ИИ реально помогает

1. Поддержка в разных формах. Чаще всего ИИ внедряют в чат-боты для клиентов или сотрудников. Но отдельная модель, доработанная через Retrieval-Augmented Generation, оправдана только там, где простые способы уже не работают. Например, на Госуслугах: цифровой ассистент снижает когнитивную нагрузку на пользователя, помогает найти ссылку на нужную страницу. А вот если условный банк заменит половину колл-центра на ИИ-ассистента, это всё равно капля в море его расходов, и он от этого не выиграет.

2. Разработка. ИИ ускоряет кодинг, особенно для тех, кто пишет много boilerplate-кода. Copilot-сервисы автоматически дополняют код и повышают скорость разработчиков на 30–40%. Но в масштабах индустрии — не больше 10%. Это просто погрешность.

3. Продвинутая аналитика. Некоторые виды ИИ пригодятся, если на огромной территории сельскохозяйственного предприятия нужно регулировать полив полей в зависимости от погоды или на заводе нужно прогнозировать износ оборудования. Но когда у компании нет развитой культуры работы с данными и не хватает масштаба бизнеса, внедрять нейросети бесполезно.

И что делать

Если бы я был крупным бизнесом, сделал бы всего две вещи:

1. Внедрил RAG, где это имеет смысл. Если пользы нет — не тратил бы ни рубля. Нейросети работают в задачах поддержки и аналитики после дообучения. На большее они пока не способны, а полноценные и достойные ИИ-агенты ещё не появились.

2. Ждал бы ещё 3–5 лет, пока агенты не догонят по уровню развития удалённых сотрудников. Если верить нашумевшему визионерскому эссе Situational Awareness, LLM умнеют в десять раз за год. Появится AGI — и можно будет просто посадить его за рабочий стол. Он будет работать как средний линейный сотрудник, только 24/7 без обеда.

3.

Автор оригинала: Benedict Evans

Всем привет!
Меня зовут Александр, я COO в SaaS-платформе аналитики данных. Последний год активно изучаю внедрение AI-решений в кросс-функциональные процессы. Делюсь полезными материалами, которые считаю стоят внимания. В основном про AI, изменение процессов, тренды и продуктовое видение.

У себя в телеграм-канале делюсь сжатыми и структурированными саммери статей.

Сегодняшний перевод статьи Benedict Evans — одного из самых влиятельных аналитиков в мире технологий, бывший партнер Andreessen Horowitz, автор популярной рассылки и докладов о трендах в IT.

Интересный взгляд, особенно понравился вывод 😅
Если вы каждый день используете пять LLM, а ваши друзья такие же, вы находитесь в пузыре, это не мейнстрим

Загадка распространения GenAI.

Чат-боты с генеративным ИИ могут кардинально изменить природу вычислений и заменить всё программное обеспечение, но пока большинство пользователей обращаются к ним лишь раз в неделю или две, и гораздо меньше людей интегрировали их в свою жизнь. Это проблема времени или продукта?

Этот график вызывает вопрос: «стакан наполовину пуст или наполовину полон?», и это действительно загадка.

Можно сказать, что это поразительно быстрое распространение, гораздо быстрее, чем у ПК, интернета или смартфонов. 30% за два года! В каком-то смысле это не совсем корректное сравнение — ChatGPT — это просто веб-сайт, он получает повсеместное освещение в СМИ (это часть работы Сэма Альтмана), и вам не нужно покупать устройство за тысячу долларов или ждать, пока операторы развернут широкополосный доступ. Любой может просто зайти и использовать его сегодня, так что, конечно, распространение идёт быстрее. Но в любом случае, 30%!

Однако другая реакция заключается в том, чтобы сказать, что даже с учётом этих преимуществ, если это кардинальное изменение в возможностях вычислений, почему соотношение DAU(Daily Active Users)/WAU(Weekly Active Users) так плохо? От 5% до 15% людей находят применение этому ежедневно, но по крайней мере вдвое больше людей знакомы с ним, знают, как он работает и как им пользоваться… и всё же находят его полезным только раз в неделю. Опять же, вам не нужно было покупать устройство за тысячу долларов, так что вы не привязаны — но если это ТА САМАЯ ВЕЩЬ — почему большинство людей пожимают плечами?

Стоит также отметить, что когда социальные сети были чем-то новым, мы быстро осознали, что числа «еженедельно активные пользователи» и «ежемесячно активные пользователи» были ерундой. Если кто-то использовал WhatsApp или Instagram только раз в месяц, это действительно не приносило ему пользы. DAU — это всё. Сэм Альтман это прекрасно понимает — ведь сам раньше пытался запустить приложение для соцсетей. Но показатель, о котором он всегда говорит — это «еженедельные активные пользователи». Это действительно впечатляющее число (сейчас уже 1 миллиард по всему миру)… Но почему он приводит именно этот показатель, а не число ежедневных пользователей (DAU)? Если вы заходите в ChatGPT всего раз в неделю, насколько этот сервис действительно полезен для вас?

Возможно, этот разрыв — просто вопрос времени: модели будут совершенствоваться, люди будут отказываться от старых привычек и формировать новые, и когорты WAU и тех, кто «заглядывал полгода назад», превратятся в DAU. S-кривая пойдёт вверх. Но возможно также, что мы находимся в той части S-кривой, которая предшествовала iPhone: скрытая возможность есть, всё, кажется, работает, и мы все видим, что это будет нечто огромное, но нам нужно что-то, что это кристаллизует. Итак, это может быть проблема времени, или это может быть проблема продукта. Приглашаем Джони Айва? (главный дизайнер Apple)

Возможно также, что чат-бот как чат-бот является правильным пользовательским интерфейсом только для некоторых людей и некоторых случаев использования, и большинство людей будут воспринимать эту технологию как функции и возможности, встроенные в другие вещи. Я не думаю, что мы можем это знать. Когда я только начинал работать аналитиком в телекоммуникациях в 2000 году, все постоянно спрашивали меня: «А какое же уникальное, по-настоящему нужное применение будет у 3G?» На самом деле, это был неправильный вопрос: главное, ради чего стоило иметь интернет в кармане, — это сам факт иметь интернет в кармане, но реализовать это нужно было по-другому.

Но как бы ни разрешились эти вопросы, важно помнить, что если вы используете пять различных LLM каждый день и не делали поиск в Google в этом году, и все ваши друзья такие же… тогда вы пока находитесь в пузыре.