Четыре двери четверга
Четверг, 14 мая 2026 года, стал точкой процессуального схождения корпоративного разворота ИИ, шаблона компенсаций за ИИ, программируемой денежной инфраструктуры и надзора за слежкой. Четыре структурные двери стека подотчётности в области ИИ и финансов закрылись (или сдвинулись к закрытию) в одном и том же восьмичасовом окне — от утра по тихоокеанскому времени до вечера по центральноевропейскому. История не в том, какие двери закрылись, а какие нет; история в том, что совпали календари.
Дверь 1 — слушание о справедливости по делу Bartz. Председательствует судья Арасели Мартинес-Ольгин, Северный округ Калифорнии, зал 12 Федерального суда Сан-Франциско, 14:00 по тихоокеанскому времени. Мировое соглашение на 1,5 миллиарда долларов покрывает 482 460 зарегистрированных охраняемых авторским правом произведений по примерно 3000 долларов за произведение. Доля поданных требований на день слушания достигла 92,77 процента, заявлено 447 576 произведений. Судья сосредоточила вопросы на структуре расходов по соглашению и гонорарах адвокатов, а не на содержании сделки и не на рассекреченных возражениях — исключение иностранных произведений, недоучёт групповых регистраций, справедливость суммы в 3000 долларов за произведение и довод о принуждающем уведомлении. Слушание, по наблюдениям Words and Money, «похоже, идёт по накатанной» к окончательному утверждению, а Authors Alliance сообщает, что судья почти не задавала вопросов о структуре сделки. С судейского кресла судья решения не вынесла. Постановление об окончательном утверждении ожидается в течение двух — шести недель. Шаблон Bartz становится структурной точкой отсчёта для мировых соглашений по обучающим данным ИИ у OpenAI, Google, Meta, Cohere, Mistral и в открытом коде — а их на рассмотрении десятки.
Дверь 2 — плоскость агентных операций приходит в малый бизнес. 14 мая Anthropic опубликовала The Founder's Playbook с тезисом, что ИИ «перезагрузил» жизненный цикл стартапа, и запустила Claude for Small Business — пакет готовых рабочих процессов, вшитых прямо в операционный стек любой небольшой команды и основателя-одиночки: QuickBooks для учёта и финансов, PayPal для платежей и дебиторки, HubSpot для CRM и маркетинга, Canva для креатива и бренда, DocuSign для юридических документов и договоров. Запуск — расширение агентного разворота Anthropic на малый бизнес: Claude Cowork (общая доступность 12 мая, с выходом в SCIM, OpenTelemetry и Intune для корпоративного управления идентичностью и устройствами) и совместное предприятие Anthropic с Blackstone, Hellman & Friedman и Goldman Sachs от 4 мая (оценка 1,5 миллиарда долларов, обязательства по 300 миллионов долларов от каждого якорного инвестора). Параллельный ход OpenAI — Workspace Agents, представленные 22 апреля для планов ChatGPT Business, Enterprise, Edu и Teachers, работающие на Codex и связывающие Slack, Google Drive, приложения Microsoft, Salesforce, Notion и Atlassian Rovo, — плюс совместное предприятие OpenAI Development Company (привлечено 4 миллиарда долларов при оценке в 10 миллиардов), также объявленное 4 мая. Агентная плоскость теперь в продакшене в корпоративном сегменте, малом бизнесе и у потребителей — на той же неделе, когда утверждается шаблон компенсаций за ИИ.
Дверь 3 — закрываются заявки PSP по цифровому евро. В 17:00 по центральноевропейскому летнему времени в четверг, 14 мая, Европейский центральный банк закрыл приём выражений заинтересованности в участии поставщиков платёжных услуг в пилоте цифрового евро. Приглашение было опубликовано 5 марта 2026 года. ЕЦБ отберёт от 10 до 30 PSP для двенадцатимесячного пилота, начинающегося во втором полугодии 2027 года, при этом фаза разработки начинается в третьем квартале 2026 года. Архитектура — программируемая розничная валюта, выпускаемая центральным банком; «программируемость» означает, что PSP могут программно, на уровне протокола, налагать лимиты, условия и требования прослеживаемости на отдельные транзакции. Принципиальная поднадзорность этой архитектуры — архитектурный факт. Сопутствующая регуляторная рамка: MiCA вступает в полное правоприменение 1 июля 2026 года со штрафами до 12,5 процента глобального годового оборота и личной ответственностью руководителей; «правило путешествия» из Регламента о переводах средств действует с нулевым порогом для переводов между поставщиками услуг в сфере криптоактивов с декабря 2024 года. Контрапункт со стороны США: совместное толкование SEC и CFTC от 17 марта 2026 года прямо называет Bitcoin, Ethereum, Solana, XRP и Chainlink цифровыми товарами — структурно иная регуляторная философия, приходящая в тот же месяц, когда оформляется европейская инфраструктура программируемого евро.
Дверь 4 — окно, которое не закрылось. 30 апреля 2026 года Палата представителей приняла 45-дневное продление раздела 702 голосами 261 против 111, после единогласного согласия Сената. Сенатор Уайден добился от руководства сенатского комитета по разведке гарантии ускоренного рассекречивания мнения FISC от 17 марта 2026 года в течение пятнадцати дней после принятия продления. Считается, что мнение касается практики запросов ФБР по разделу 702 — в частности ретроспективных запросов, дотягивающихся до лиц США в базе данных внешней разведки. Минюст сейчас обжалует мнение, потому что оно заблокировало отдельные аналитические инструменты, которыми ФБР пользовалось для запросов к базе. Сенатор Коттон возразил, когда Сенат попытался принять продление единогласным согласием с приложенным положением Уайдена о рассекречивании, — а значит, директор национальной разведки и Министерство юстиции формально могли отклонить просьбу комитета. Пятнадцатидневное окно: с 30 апреля по 15 мая 2026 года. На сегодня, 18 мая 2026 года, мнение FISC не рассекречено. Окно операционно истекло три дня назад. Дебаты о реформе стороны запросов продолжаются без структурной позиции суда — а до прекращения действия раздела 702 теперь двадцать пять дней, 12 июня 2026 года.
Три двери закрылись. Четвёртая — нет. Процессуальное схождение не случайно. Предварительное утверждение по делу Bartz состоялось в конце 2025 года; стандартное шестимесячное окно до слушания о справедливости пришлось на май 2026-го. Общая доступность корпоративного Claude Cowork была 12 мая; расширение на малый бизнес стало естественным шагом следующей недели. Семидесятидневное окно приглашения ЕЦБ открылось 5 марта и закрылось 14 мая. Пятнадцатидневное окно сделки Уайдена открылось 30 апреля и закрылось 15 мая. Календари совпали потому, что корпоративные, судебные, регуляторные и законодательные циклы идут на перекрывающихся месячных тактах, — а май 2026-го и есть тот такт, к которому сходится стек подотчётности в области ИИ и финансов.
Дверь 1 — шаблон на 1,5 миллиарда долларов
Мировое соглашение по делу Bartz против Anthropic покрывает, по структурной мерке, тот корпус, который Anthropic поглотила при обучении Claude примерно с 2021 по 2023 год из книг, зарегистрированных Бюро авторских прав США. Сумма соглашения — 1,5 миллиарда долларов. Число охваченных произведений — 482 460. Выплата за произведение — примерно 3000 долларов.
На слушании о справедливости в четверг были затронуты четыре рассекреченных возражения.
Первое возражение — исключение иностранных произведений — состоит в том, что соглашение ограничено регистрацией в Бюро авторских прав США. Многие авторы, чьи произведения попали в обучающий корпус Anthropic, не являются гражданами США и зарегистрировали свои права по режиму своей юрисдикции. Возражение сводится к тому, что исключение иностранных произведений создаёт недоучтённую совокупность требований и что структуру соглашения следует расширить на произведения, зарегистрированные за рубежом. С судейского кресла судья это возражение не разбирала.
Второе возражение — недоучёт групповых регистраций — состоит в том, что многие зарегистрированные в США произведения зарегистрированы группой в рамках коллективных структур авторства: антологии, периодика, учебные материалы, академические сборники. Структура соглашения относит выплату за произведение зарегистрированному правообладателю, которым в случае групповой регистрации может оказаться издатель или институциональный правообладатель, а не авторы. Возражение сводится к тому, что это создаёт перекос в пользу издателей при распределении. С судейского кресла судья это возражение не разбирала.
Третье возражение — справедливость суммы в 3000 долларов за произведение — состоит в том, что выплата за произведение слишком мала относительно ценности, которую Anthropic извлекла из поглощённого корпуса при обучении Claude. Именно на этом возражении судья и сосредоточилась, расспрашивая адвокатов о структуре расходов и гонорарах. Содержательного ответа слушание не дало.
Доля поданных требований стала сюрпризом администрирования соглашения. Authors Alliance сообщила утром 14 мая, что доля составляет 91,3 процента. К тому моменту, когда во второй половине дня к трибуне вышел адвокат Джастин Нельсон, доля поднялась до 92,77 процента при 447 576 индивидуальных требований по отдельным произведениям. Необычно высокая доля согласуется с двумя толкованиями: либо авторы уверенно опознали свои произведения в обучающем корпусе Anthropic, либо реестр изначально был избыточно широким. Оба толкования работают в пользу утверждения; ни одно не работает в пользу пересмотра структуры.
С судейского кресла судья решения не вынесла. Постановление об окончательном утверждении ожидается в течение двух — шести недель. В случае утверждения шаблон Bartz становится структурной точкой отсчёта для десятков рассматриваемых коллективных исков об обучающих данных ИИ — OpenAI, Google (несколько исков об обучении Bard / Gemini), Meta (тяжба Llama / LibGen), Cohere, Mistral и поставщики открытого кода, в чьи обучающие корпуса аналогичным образом входят зарегистрированные охраняемые произведения.
В случае отказа — а процессуальных признаков того, что судья откажет, нет — шаблон возвращается к переговорам.
Шаблон Bartz — это компенсационный прецедент корпоративной ИИ-индустрии за ретроспективное использование зарегистрированных охраняемых произведений в обучении. Ставка — 3000 долларов за произведение. Совокупная ставка — 1,5 миллиарда долларов за один крупный запуск обучения фронтирной модели. Доля поданных требований — 92,77 процента.
Дверь 2 — плоскость агентных операций
В тот же день, когда шаблон Bartz утверждали ретроспективно за прошлое обучение, Anthropic разворачивала свою агентную платформу проспективно — в операционный стек каждого малого бизнеса.
Claude for Small Business, запущенный 14 мая, упаковывает пять готовых рабочих процессов, вшитых прямо в операционный стек небольших команд и основателей-одиночек:
- QuickBooks — учёт, бухгалтерия, выставление счетов
- PayPal — платежи, дебиторская задолженность
- HubSpot — управление отношениями с клиентами, автоматизация маркетинга
- Canva — бренд, креатив, производство контента для соцсетей
- DocuSign — юридические соглашения, договоры
Пять интеграций вместе составляют финансовый, клиентский, креативный и юридический ежедневный рабочий процесс примерно 50 миллионов малых предприятий США. Агентная платформа теперь внутри операционного стека.
Запуск для малого бизнеса — третий ярус агентного разворота Anthropic:
- Корпоративный сегмент (общая доступность 12 мая) — Claude Cowork в плоскости управления идентичностью SCIM, телеметрии OpenTelemetry и управления устройствами Microsoft Intune, что делает Claude равноправной с человеком сущностью в корпоративной инфраструктуре идентичности.
- Малый бизнес (запуск 14 мая) — Claude for Small Business в рабочих процессах QuickBooks / PayPal / HubSpot / Canva / DocuSign.
- Потребитель — продолжающийся разворот класса ChatGPT в потребительских планах.
Параллельный разворот OpenAI структурно похож. Workspace Agents, объявленные 22 апреля, нацелены на планы ChatGPT Business, Enterprise, Edu и Teachers: постоянные агенты на базе Codex, связывающие Slack, Google Drive, приложения Microsoft, Salesforce, Notion и Atlassian Rovo. Workspace Agents были бесплатны до 6 мая, с этой даты действует тарификация по кредитам. Совместное предприятие OpenAI Development Company от 4 мая привлекло 4 миллиарда долларов при оценке в 10 миллиардов от девятнадцати инвесторов.
Оба крупных корпоративных поставщика ИИ вшивают свои агентные платформы в финансовый, коммуникационный, клиентский, креативный и юридический ежедневный рабочий процесс экономики США — в том же окне, когда утверждается компенсационный шаблон Bartz на 1,5 миллиарда долларов за обучающий корпус, из которого эти платформы выросли.
Поверхность архитектурного риска — то, что структурно обозначило раскрытие Microsoft от 7 мая: три критические уязвимости раскрытия информации в Microsoft 365 Copilot — CVE-2026-26129, CVE-2026-26164 и CVE-2026-33111, — каждая из которых позволяла чувствительной информации утекать через границы доверия за счёт агрегирования Copilot писем, документов и переписок в Teams. Microsoft раскрыла и полностью устранила эти три CVE 7 мая. Ошибка от 21 января в M365 Copilot Chat ранее позволяла Copilot реферировать конфиденциальные письма в обход политик DLP и меток чувствительности. Паттерн: когда агентный ИИ агрегирует контент через границы доверия, агрегатор и есть поверхность уязвимости.
Anthropic Claude Cowork и Claude for Small Business поднимают те же архитектурные вопросы. Там, где агентный ИИ агрегирует финансовые записи QuickBooks с платёжными данными PayPal, контактами CRM в HubSpot и юридическими соглашениями DocuSign, агрегатор и есть поверхность уязвимости. У разворота Anthropic пока нет опубликованного каталога CVE о раскрытии информации — но архитектура структурно эквивалентна.
Дверь 3 — программируемое евро
В 17:00 по центральноевропейскому летнему времени в четверг, 14 мая, закрылось приглашение Европейского центрального банка к выражению заинтересованности в пилоте PSP по цифровому евро. Приглашение было открыто с 5 марта — семидесятидневное окно подачи заявок. ЕЦБ отберёт от 10 до 30 PSP для двенадцатимесячного пилота во втором полугодии 2027 года.
Фаза разработки начинается в третьем квартале 2026 года — примерно через четыре месяца от сегодняшнего дня.
Архитектура — программируемая розничная валюта, выпускаемая центральным банком. «Программируемость» — структурный факт. PSP могут программно, на уровне протокола, налагать лимиты, условия и требования прослеживаемости на отдельные транзакции. Транзакции не анонимны: каждый перевод идентифицируем для PSP и (при наличии законной процедуры) для властей. Механизмы выборочного раскрытия существуют в технической спецификации, но не являются полностью обязательными и не совместимы между реализациями государств — членов ЕС.
Сопутствующая регуляторная рамка — более широкий стек прослеживаемости денег в Европейском союзе:
- MiCA — полное правоприменение с 1 июля 2026 года, со штрафами до 12,5 процента глобального годового оборота и личной ответственностью руководителей. Любой нелицензированный поставщик услуг в сфере криптоактивов, обслуживающий клиентов из ЕС, обязан прекратить деятельность к 1 июля.
- Регламент о переводах средств («правило путешествия») — нулевой порог для переводов между поставщиками услуг в сфере криптоактивов, действует с декабря 2024 года. Данные отправителя и получателя по каждому переводу.
- Кошелёк цифровой идентичности ЕС — государства-члены обязаны предоставить как минимум один кошелёк EUDI до конца 2026 года согласно Регламенту 2024/1183.
- Правоприменение GPAI в AI Act ЕС — полномочия по правоприменению активируются 2 августа 2026 года, со штрафами до 15 миллионов евро или 3 процентов глобального годового оборота.
Трансатлантическое структурное различие: совместное толкование SEC и CFTC от 17 марта 2026 года со стороны США прямо назвало Bitcoin, Ethereum, Solana, XRP и Chainlink цифровыми товарами — регуляторная ясность, приходящая в тот же месяц, когда оформляется европейская инфраструктура программируемого евро. Разные архитектурные философии. Один и тот же месячный такт.
Дверь 4 — окно, которое не закрылось
Мнение Суда по надзору за внешней разведкой от 17 марта 2026 года о практике запросов ФБР по разделу 702 должно было стать публичным к 15 мая 2026 года — через пятнадцать дней после принятия 30 апреля 45-дневного продления раздела 702. Сенатор Рон Уайден добился от руководства сенатского комитета по разведке обязательства как условия своей поддержки продления: мнение будет рассекречено и обнародовано в течение пятнадцатидневного окна ускоренного рассмотрения.
На сегодня, понедельник 18 мая, мнение не рассекречено. Окно операционно истекло три дня назад.
Считается, что мнение касается практики запросов ФБР в отношении лиц США в базе данных сбора по разделу 702. Стандартная практика, известная как "lookback queries" — ретроспективные запросы, — остаётся центральным источником споров с момента принятия раздела 702. Считается, что суд частично высказался против широкого толкования запросов, которого придерживается ФБР; Минюст обжалует это решение, потому что оно блокирует отдельные аналитические инструменты, которые ФБР считает операционно критичными.
Сенатор Коттон возразил, когда Сенат попытался принять 45-дневное продление единогласным согласием с приложенным положением Уайдена о рассекречивании. Возражение означает, что директор национальной разведки и Министерство юстиции формально могли отклонить просьбу комитета, — что и произошло, посредством молчания.
До прекращения действия раздела 702 теперь двадцать пять дней. 12 июня 2026 года.
Раздел 702 FISA разрешает слежку без ордера за иностранными целями, находящимися за пределами Соединённых Штатов. Сбор регулярно захватывает лиц США через побочный сбор — переписку между иностранными целями и лицами США. Практика "query" (запроса) — это то, что ФБР делает, чтобы получить доступ к собранному: поиск по базе данных внешней разведки по идентификаторам лиц США. Мнение FISC — это структурная позиция суда о том, какие запросы допустимы. Без публикации мнения Конгресс обсуждает перевыдачу полномочий, не зная позиции суда о практике запросов ФБР.
Прекращение действия 12 июня — следующее форсирующее событие. Конгресс может снова продлить раздел 702, может принять полную перевыдачу полномочий (вероятно, с какой-то реформой) либо позволить ему прекратиться. Предыдущие четыре окна перевыдачи заканчивались продлениями или частичной реформой; структурная реформа, которую питало бы мнение FISC, не состоялась.
Двадцать пять дней. Позиции FISC на столе нет.
Что при этом уже работало
Четыре двери четверга закрывались на фоне политических часов и часов стран-получателей, которые шли без пауз.
Иран — 80-й день. На 18 мая 2026 года Иран находится на восьмидесятом дне самого долгого отключения интернета в истории наблюдений. NetBlocks подтвердила 73-й день 11 мая; счёт прибавлялся ежедневно. Экономические потери — примерно 35,7 миллиона долларов в день по прямому учёту Iran HRM и примерно 250 миллионов долларов в день по анализу CBC, учитывающему косвенные последствия. Ярус Internet Pro — каста белых SIM-карт, выдаваемых связанной с КСИР компанией Mobile Communications of Iran, — в промышленной эксплуатации. Очереди по три-четыре часа в пунктах обмена SIM-карт в Тегеране сохраняются. Возник серый рынок перепродажи конвертированных белых SIM-карт первого яруса по премиальным ценам. По данным Unit 42 / Palo Alto Networks Threat Intelligence, иранские государственные субъекты перешли на Starlink и VSAT для связи примерно на 66-й день (4 мая). Блэкаут, начавшийся 8 января 2026 года, дал первый производственный случай постоянного двухъярусного интернета на слое оператора связи.
Россия — надбавка за мобильный VPN действует. 1 мая 2026 года в России вступила в силу надбавка за мобильный VPN: 150 рублей (примерно 1,60 доллара) за гигабайт международного трафика сверх 15 гигабайт в месяц. Закон об обнаружении VPN провайдерами от 15 апреля работает у «Яндекса», VK, Сбербанка, «Госуслуг», Ozon, Wildberries, Aviasales и «Российских железных дорог» — скоординированная передача крупным частным платформам функции по обнаружению VPN на уровне приложения. Отключения мобильной связи перед Днём Победы прокатились более чем по 21 области с 4 по 9 мая, достигнув пика с полным отключением мобильной связи и SMS в Москве 9 мая. Банкоматы в затронутых регионах не работали, потому что зависят от сотовой связи. Заявленная цель Роскомнадзора — 92 процента эффективности блокировки VPN к 2030 году, примерно с 20 миллиардами рублей в год на строительство постоянной инфраструктуры цензуры VPN. Заблокировано более 1000 VPN-сервисов; на 22 января Роскомнадзор публично назвал 439 сервисов. В марте 2026 года мировые суды Москвы и Санкт-Петербурга начали выносить обвинительные приговоры интернет-провайдерам за пропуск трафика в обход ТСПУ.
Китай — «Великое отключение». В апреле 2026 года китайские власти физически отключили тысячи прокси-серверов от стоек в дата-центрах, перерезав кабели питания и сетевые линии машин, использовавшихся для ретрансляции VPN-трафика. Кампания, известная в китайских соцсетях как 拔线潮 («волна обрыва проводов»), архитектурно отличается от прежних кампаний: если раньше правоприменение целилось в отдельных пользователей, то «Великое отключение» целилось в инфраструктуру. Уведомление Shaanxi Telecom от 8 апреля предписало ликвидировать «любые формы бизнеса по обходу блокировок» — широкая категория, включающая VPN-сервисы и проксирование. После кампании надёжно работала только обфускация на базе TLS (V2Ray VLESS + Reality, Shadowsocks-2022, Trojan, WireGuard с obfsproxy). Тысячи пользователей потеряли доступ за одну ночь.
Нигер — приостановлена работа девяти международных СМИ. 8 мая 2026 года подконтрольный военным нигерский Observatoire Nationale de la Communication распорядился приостановить работу девяти международных СМИ: France 24, Radio France International, Agence France Presse, TV5 Monde, Jeune Afrique, Mediapart, LSI Africa, TF1 Info и France Afrique Média. Заявленное обоснование — "jeopardise public order, national unity, social cohesion and the stability of state institutions" («ставят под угрозу общественный порядок, национальное единство, социальную сплочённость и стабильность государственных институтов»). Нигер — вторая по числу заключённых журналистов страна Африки южнее Сахары по переписи CPJ от 1 декабря 2025 года.
Буркина-Фасо — TV5Monde запрещён, журналиста били ветками деревьев. 5 мая 2026 года Высший совет по коммуникациям Буркина-Фасо запретил TV5Monde. 6 мая расследование «Репортёров без границ» подтвердило, что известный журналист-расследователь Атиана Серж Улон, похищенный 24 июня 2024 года, неделями содержался под стражей и подвергался избиениям ветками деревьев на вилле в Уагадугу, превращённой в самодельную тюрьму. Мали, Буркина-Фасо и Нигер вместе образуют сахельскую «информационную пустыню»: более двенадцати СМИ вынуждены приостановить или прекратить работу; журналистов принудительно призывают в военные операции хунты.
Пакистан — тринадцать арестов по PECA. 6 мая 2026 года Национальное агентство по расследованию киберпреступлений Пакистана (провинция Пенджаб) арестовало тринадцать человек в Лахоре, Гуджранвале, Фейсалабаде и Мултане по обвинению в антигосударственных кампаниях в соцсетях. Аресты проведены по Закону о предотвращении электронных преступлений (PECA). Поправки 2025 года превратили этот закон в основной механизм государственной слежки и контроля. Тридцать четыре из шестидесяти семи зафиксированных уголовных заявлений против пакистанских журналистов используют PECA.
Танзания — 518 погибших. 23 апреля 2026 года комиссия по расследованию насилия после выборов 29 октября 2025 года представила доклад президенту Самии Сулуху Хассан. Комиссия подтвердила 518 смертей — 502 гражданских лица и 16 сотрудников силовых структур, среди погибших 21 ребёнок. Наибольшее число погибших зафиксировано в регионе Дар-эс-Салам — 182. Западные дипломаты и оппозиционные партии оценивают реальное число в одну — две тысячи. Насилие происходило во время пятидневного полного интернет-блэкаута. Полный доклад комиссии публично не опубликован. CHADEMA и ACT-Wazalendo отвергли доклад 24 апреля. Доклад Human Rights Watch "Missed Opportunity" от 5 мая раскритиковал продолжающееся сокрытие. X (бывший Twitter) в Танзании по-прежнему заблокирован.
Дуга Иран—Россия—Китай—Нигер—Буркина-Фасо—Пакистан—Танзания — один и тот же архитектурный паттерн разной интенсивности. Каждый случай — производственный пример государственного действия против слоя оператора связи, слоя приложений или слоя журналистики в открытом интернете. У пользователя нет архитектурной альтернативы на слое оператора связи.
Что впереди
После трёх дверей четверга каскад дедлайнов на июнь и июль — операционная реальность.
22 мая — заканчивается аудит Monero FCMP++ силами Trail of Bits. Одиннадцатидневное окно аудита открылось 11 мая. На 18 мая аудит идёт 7-й день из 11. FCMP++ заменяет кольцевые подписи полноцепочечными доказательствами членства, у которых анонимное множество равно всему набору UTXO — примерно 150 миллионов транзакционных выходов против используемых сегодня кольцевых подписей с 16 ложными участниками. Чистый аудит снимает последнее существенное техническое возражение к заявлениям Monero о приватности на уровне протокола; серьёзные находки задержат консенсусное обновление и ударят по настроениям.
28 мая — закрывается окно полного патчинга PAN-OS CVE-2026-0300. Palo Alto выпустила исправление 13 мая для переполнения буфера в портале аутентификации User-ID, дающего удалённое выполнение кода с правами root. Федеральные ИТ-службы четыре дня работали на конфигурационных смягчениях, потому что вендорский патч пришёл через четыре дня после срока CISA для гражданских федеральных органов от 9 мая. Окно полного патчинга — до 28 мая — закрывается через десять дней от сегодняшнего дня.
12 июня — прекращение действия раздела 702. Двадцать пять дней от сегодняшнего дня. 45-дневное продление истекает 12 июня. Мнение FISC не рассекречено. Дебаты о реформе стороны запросов идут без позиции суда. Конгресс примет продление, перевыдачу полномочий либо позволит закону прекратиться. Паттерн «перевыдача без реформы» держался четыре окна подряд. Пятое окно может паттерн сломать; скорее — нет.
26 июня — обрыв сертификата Microsoft Secure Boot. Тридцать девять дней от сегодняшнего дня. Истекают исходные сертификаты Secure Boot 2011 года, используемые большинством устройств с Windows, выпущенных с 2012 по 2025 год. В зоне охвата примерно 1,5 миллиарда устройств с Windows. Устройства, не получившие сертификаты замены 2023 года, теряют защиту Secure Boot; часть вовсе не загрузится. Microsoft примерно два года выкатывает подготовительные обновления; майский «вторник патчей» (12 мая, 137 CVE, ни одного zero-day) поставил KB5089593, KB5087544 и KB5087594 специально для подготовки к обрыву. Длинный хвост — офлайн-устройства, АСУ ТП, киоски, встраиваемые системы — остаётся неохваченной поверхностью риска.
30 июня — срок мексиканской CURP Biométrica. Сорок три дня от сегодняшнего дня. Примерно 127 миллионов мобильных телефонных линий в Мексике должны быть зарегистрированы на биометрический CURP — лицо, отпечаток пальца, радужная оболочка — до 30 июня. Незарегистрированные линии подлежат отключению. Новые линии, оформленные с 9 января, должны пройти регистрацию в течение 30 дней. Мексика становится первой крупной страной, требующей привязать каждую мобильную линию к государственному биометрическому идентификатору. Заявленная цель — борьба с вымогательством и поиск пропавших. Структурный эффект — непрерывная идентификация местоположения и активности каждого пользователя на слое оператора связи.
1 июля — полное правоприменение MiCA. Сорок четыре дня от сегодняшнего дня. Любой нелицензированный поставщик услуг в сфере криптоактивов, обслуживающий клиентов из ЕС, обязан прекратить деятельность. Штрафы до 12,5 процента глобального годового оборота с личной ответственностью руководителей.
1 июля — правоприменение Apple Declared Age Range API (Луизиана, Юта). В тот же день. Для пользователей с новыми учётными записями Apple в Луизиане и Юте по состоянию на 1 июля 2026 года возрастные категории будут передаваться приложению разработчика по запросу через Declared Age Range API. Действие Significant Update Action — в бете — позволяет разработчикам уведомлять взрослых в этих юрисдикциях о значимых обновлениях приложения.
2 августа — правоприменение GPAI в AI Act ЕС. Семьдесят шесть дней от сегодняшнего дня. Активируются полномочия по правоприменению в отношении поставщиков моделей общего назначения, включая Anthropic, OpenAI, Google, Meta, Mistral, Cohere и поставщиков открытого кода выше порога GPAI. Окно добровольного подписания Кодекса практик сужается. Штрафы до 15 миллионов евро или 3 процентов глобального годового оборота.
21 сентября — прекращение действия FIPS 140-2. Сто двадцать шесть дней от сегодняшнего дня. Постквантово стойкие примитивы ML-KEM (FIPS 203), ML-DSA (FIPS 204) и SLH-DSA (FIPS 205) действуют как стандарты с августа 2024 года. Средний цикл валидации FIPS 140-3 — примерно 542 дня по базовой оценке начала 2024 года. Упреждающее развёртывание постквантово стойких примитивов — единственный путь через прекращение действия FIPS.
Конец 2026 года — срок развёртывания Кошелька цифровой идентичности ЕС. Государства-члены обязаны предоставить как минимум один кошелёк EUDI до конца 2026 года. Выборочное раскрытие BBS+ в eIDAS 2.0 проходит финализацию в IETF. W3C Verifiable Credentials 2.0 имеет статус Recommendation с мая 2025 года.
Лето 2026 года — выходит Going Dark / ProtectEU. Разворот Еврокомиссии после поражения Chat Control 2.0 26 ноября 2025 года. Предложение Going Dark нацелено на VPN-сервисы с «максимально широкой сферой применения». Mullvad заявила, что уйдёт с рынка ЕС, если Going Dark будет принято; президент Signal Мередит Уиттакер заявила, что Signal покинет европейский рынок, если будет предписано ослабить шифрование.
Плотное июньско-июльское окно — 12 июня, 26 июня, 30 июня, 1 июля, 1 июля, 2 августа — операционный каскад того процессуального совпадения, которое сделал видимым четверг.
Что не закрылось
Пока три двери четверга закрывались, положение со взломами остаётся структурно открытым.
Sysco / Qilin — через шесть дней после того, как Qilin выложила три внутренних документа как доказательство доступа (12 мая), раскрытия по пункту 1.05 формы SEC не подано; подтверждения выплаты нет; полной утечки нет. Sysco — крупнейший в мире поставщик продовольствия для общепита: рестораны, больницы, школы, отели.
Foxconn / Nitrogen — подтверждённая кибератака на предприятия в Маунт-Плезант (Висконсин) и Хьюстоне (Техас), с заявленной кражей 8 терабайт / 11 миллионов файлов, включая проектные данные Intel, Apple, Nvidia, Google и Dell. Подтверждено 12 мая. Паттерн агрегатора в контрактном производстве: одна компрометация Foxconn дотягивается до продуктовых планов каждого клиента-производителя одновременно.
Salt Typhoon — по заявлениям ФБР в мае 2026 года, кампания «всё ещё очень, очень активна». Более двухсот целей более чем в восьмидесяти странах. Verizon, AT&T, T-Mobile, Spectrum, Lumen, Consolidated Communications, Windstream плюс крупнейшие канадские операторы. Слушание в сенатском комитете по торговле, запрошенное сенатором Кэнтуэлл в феврале 2026 года, не назначено.
DragonForce — M&S / Co-op / Harrods — сбои у M&S ожидаются до июля, упущенная прибыль примерно 300 миллионов фунтов стерлингов; в Великобритании арестованы четверо. Партнёрская структура Scattered Spider / The Com / DragonForce продолжает работать.
Cushman & Wakefield — ShinyHunters через Salesforce; более 500 000 записей, персональные данные плюс внутренние корпоративные данные.
Паттерн КНДР — Drift Protocol, 295 миллионов долларов, 1 апреля; Kelp DAO, 292 миллиона долларов, 18 апреля. 587 миллионов долларов суммарно за две атаки. Вердикт TRM Labs от 30 апреля: на группу Lazarus из КНДР приходится 76 процентов всей стоимости криптовалютных взломов 2026 года с начала года. Drift объявила 5 мая план возмещения — токены возмещения, привязанные к подтверждённым потерям, начальный пул финансирования 3,8 миллиона долларов с целевым объёмом до 151 миллиона долларов из выручки, поддержки Tether и партнёров. Ripple 5 мая открыла обмен разведданными об угрозах со стороны КНДР для криптокомпаний.
У положения со взломами свои часы. Они не останавливаются из-за того, что плоскость развёртывания выходит на рынок.
Риск агентного разворота
На той же неделе, когда Anthropic Claude for Small Business вышел в QuickBooks, PayPal, HubSpot, Canva и DocuSign, а параллельные OpenAI Workspace Agents продолжали наращивать присутствие в Slack, Google Drive, приложениях Microsoft, Salesforce, Notion и Atlassian Rovo, Microsoft раскрыла и устранила три критические уязвимости раскрытия информации в Microsoft 365 Copilot.
CVE-2026-26129. CVE-2026-26164. CVE-2026-33111.
Все три критической степени. Все три категории «раскрытие информации». Все три полностью устранены 7 мая. Паттерн: когда агентный ИИ агрегирует контент через границы доверия, агрегатор и есть поверхность уязвимости. M365 Copilot агрегирует письма, документы и переписки в Teams; слабости в обработке спецсимволов или внедрённых команд позволяют чувствительной информации утекать через границы доверия. Ошибка от 21 января в M365 Copilot Chat ранее позволяла Copilot реферировать конфиденциальные письма в обход политик DLP и меток чувствительности.
Корпоративный разворот Anthropic Claude Cowork (SCIM, OpenTelemetry, Intune) и разворот Claude for Small Business (QuickBooks, PayPal, HubSpot, Canva, DocuSign) агрегируют через структурно эквивалентные границы доверия. Архитектурные вопросы те же. Anthropic пока не опубликовала каталог CVE о раскрытии информации для Claude Cowork или Claude for Small Business. Архитектура заслуживает пристального внимания.
Агентная плоскость в продакшене. Поверхность раскрытия информации в продакшене. Оба хронометра идут.
Пользовательский стек примитивов
Пользовательский стек примитивов — это независимый от разворота ответ на все четыре двери, плюс на государственное действие на слое оператора связи, плюс на положение со взломами.
Открытые клиенты с ключами у пользователя. Signal, Tuta, Proton, Threema, Briar 1.5.17 (релиз от 12 марта работает через Bluetooth, Wi-Fi и Tor; он функционирует во время отключений на слое оператора связи, потому что не зависит от этого слоя для доставки сообщений), Cwtch, Session, домашний сервер Matrix. Архитектурное свойство: у ключей, которые держит пользователь, нет поверхности для регуляторного принуждения. Прекращение сквозного шифрования в Instagram у Meta 8 мая 2026 года показало, что даже существующее сквозное шифрование может быть регуляторно вытеснено с крупной платформы; у открытых клиентов с ключами у пользователя нет архитектурной поверхности для такого принуждения.
Открытая прошивка на пользовательски инспектируемых чипах. GrapheneOS (Pixel 6+ с Android 16 в превью 2026030501), CalyxOS, тестовая сборка Android 16 7.2.1.0 от 4 мая, /e/OS, LineageOS, OpenWRT. Доклад Citizen Lab "Bad Connection" от 23 апреля 2026 года задокументировал две кампании слежки на стороне оператора связи — STA1, понижение Diameter до SS7 в девяти странах, выступающих как "ghost operators" («операторы-призраки»), и STA2, zero-click через SIMjacker посредством устаревшего SIM-апплета браузера S@T, — невидимые для Mobile Verification Toolkit, iVerify и Lookout, работающих на закрытой прошивке iOS или стоковом Android. Открытая прошивка делает поведение кеша и базы уведомлений доступным для пользовательской проверки.
Аппаратная аутентификация FIDO2. 7 мая 2026 года — во Всемирный день паролей-ключей FIDO Alliance — было развёрнуто пять миллиардов passkey по всей глобальной экосистеме. YubiKey. Nitrokey. SoloKey. Yubico за всё время отгрузила более 30 миллионов аппаратных ключей. OpenAI добавила passkey и аппаратные ключи в ChatGPT 4 мая, вместе с двойным комплектом ко-брендированных YubiKey C NFC / C Nano примерно за 68 долларов. Привязанные к железу учётные данные переживают компрометацию SIM-карты; STA1 и STA2 не дотягиваются до аккаунтов, защищённых аппаратным ключом, потому что второй фактор не живёт на SIM-карте.
Устойчивые к цензуре транспорты. Tor Browser 15.0.13 + 16.0a6 (релизы от 7 мая — экстренные, закрывшие критические уязвимости ядра Linux, Tor Browser и клиента Tor). V2Ray VLESS + Reality. Shadowsocks-2022. Trojan. WireGuard с obfsproxy. Одноранговый оверлей URnetwork. Релиз MCP-сервера URnetwork от 19 февраля позволяет агентным клиентам устанавливать VPN-сессии поверх однорангового оверлея, полностью абстрагируя транспорт от слоя оператора связи. Иранский ярус Internet Pro, российский закон об обнаружении VPN от 15 апреля, работающий у «Яндекса» / VK / Сбербанка / «Госуслуг», надбавка за мобильный VPN от 1 мая, китайское апрельское «Великое отключение» (拔线潮), предложение ЕС Going Dark, выходящее летом 2026-го, — пользовательский оверлей не фигурирует ни в одном из этих актов, потому что не выступает как публичный сервис или зарегистрированный оператор.
Сохраняющие приватность валюты на примитивах пользовательского хранения. Bitcoin BIP324 v2 (включён по умолчанию с Core 27.0; большинство глобального однорангового трафика Bitcoin теперь шифруется). «Тихие платежи» Bitcoin BIP352 (приём и отправка в Core 28.0+, с полями данных для твиков PSBTv2 из BIP376 и форматом дескрипторов BIP392, добавленными в 2026 году; Cake Wallet — первая мобильная реализация; BlueWallet выпустил поддержку). Monero FCMP++ в активной интеграции; аудит Trail of Bits начался 11 мая и идёт до 22 мая — сейчас 7-й день из 11, — заменяя кольцевые подписи полноцепочечными доказательствами членства, у которых анонимное множество равно всему набору UTXO (больше 150 миллионов транзакционных выходов). Zcash Crosslink, веха 4 (разрабатываются стейкинг и токеномика, PoW + BFT-финальность уже интегрированы); Виталик Бутерин сделал второе пожертвование в Shielded Labs 6 февраля 2026 года именно в поддержку обновления Crosslink.
Локальный ИИ-вывод на пользовательских вычислениях. DeepSeek V4 Pro (выпущен под лицензией MIT 22 апреля, 1,6 триллиона общих / 49 миллиардов активных параметров, контекст в миллион токенов, 80,6 процента SWE-Bench Verified, 90,1 процента GPQA Diamond). DeepSeek V4 Flash (284 миллиарда общих / 13 миллиардов активных). Mistral Medium 3.5 (29 апреля, 128 миллиардов параметров, 77,6 процента SWE-Bench Verified). Qwen 3.6 Max Preview (27 апреля, мультиязычность на 201 язык). Qwen 3.6 27B (77,2 процента SWE-Bench Verified). GLM-5.1 (744 миллиарда параметров в архитектуре «смесь экспертов», лучший результат среди открытых моделей в LMArena). Kimi K2.6. OpenAI Privacy Filter (22 апреля, Apache 2.0, 1,5 миллиарда общих / 50 миллионов активных параметров, запускается в браузере через transformers.js плюс WebGPU). Где нет журнала у третьей стороны, там нечего истребовать по повестке. Приказ о выдаче 20 миллионов журналов по делу OpenAI против New York Times, вынесенный 5 января судьёй Сидни Стайном, остаётся в силе. Общая доступность Anthropic Claude Cowork с 12 мая и запуск Claude for Small Business 14 мая — это корпоративный разворот агентной плоскости, который и мотивирует ответ в виде локального вывода.
Федеративная идентичность с выборочным раскрытием. W3C Verifiable Credentials 2.0 (статус Recommendation с мая 2025 года; семь спецификаций в семействе). Выборочное раскрытие BBS+ в eIDAS 2.0 (финализация в IETF в процессе). Privacy Pass. Новый устав рабочей группы W3C по верифицируемым удостоверениям от апреля 2026 года нацелен на статус Recommendation для Render Method и Confidence Method к сентябрю 2026 года. Мексиканский срок CURP Biométrica 30 июня (43 дня от сегодняшнего дня, привязка ~127 миллионов мобильных линий к лицу, отпечатку пальца и радужной оболочке) — модель угроз. Развёртывание мобильных водительских удостоверений в Apple Wallet (тринадцать штатов плюс Пуэрто-Рико на 1 мая 2026 года; приём TSA более чем в 250 аэропортах) — модель угроз поближе к дому. Не загружайте идентичность вендору.
Самостоятельно размещаемые сервисы. Домашний сервер Matrix. Forgejo. Mailcow. Jitsi. Nextcloud. Mautic. SuiteCRM. Moodle community. Open edX. Федерация ограничивает радиус поражения при компрометации любого отдельного вендора. Выкуп по единому периметру Canvas / Instructure на 8809 учреждений, который Instructure выплатила 11 мая, — модель угроз.
Mesh и спутник на слое оператора связи. Briar. Bridgefy. Meshtastic. Reticulum. GoTenna PRO. Starlink. Иранский ярус Internet Pro, обесточивание вышек в суданском Хартуме, отключения в 21 российской области к Дню Победы, пятидневный полный интернет-блэкаут в Танзании, который сделал возможными 518 с лишним смертей, — независимый от оператора связи слой является структурным ответом.
Криптографическая гибкость до прекращения действия FIPS 21 сентября. Стандарты ML-KEM (FIPS 203), ML-DSA (FIPS 204), SLH-DSA (FIPS 205) действуют с августа 2024 года. Средний цикл валидации FIPS 140-3 — примерно 542 дня по базовой оценке начала 2024 года. Упреждающее развёртывание постквантово стойких примитивов — единственный путь через прекращение действия FIPS.
Моральный якорь
7 мая 2026 года — в тот же день, когда Microsoft устранила три критические CVE в M365 Copilot, в тот же день, когда Tor Browser 15.0.13 и 16.0a6 вышли экстренными обновлениями безопасности, в тот же день, когда развёртывание passkey достигло отметки в пять миллиардов, — Кеонн Родригес опубликовал письмо из федерального тюремного лагеря FPC Morgantown. Родригес — сооснователь Samourai Wallet, ныне закрытого биткоин-кошелька с функциями приватности. Он отбыл пять месяцев из шестидесятимесячного срока. Его сооснователь Уильям Лонерган Хилл отбывает сорок восемь месяцев. Двое конфисковали в пользу государства примерно 6,37 миллиона долларов комиссий от сервисов приватности Samourai — Whirlpool и Ricochet. Письмо Родригеса, обращённое к биткоин-сообществу, содержало просьбу о помощи с 2 миллионами долларов накопившихся юридических долгов. Он признал, что надежды на президентское помилование фактически угасли.
Преследование Samourai Wallet — производственный случай криминализации примитивов приватности с пользовательским хранением. Дело Tornado Cash — параллельный случай: Роман Шторм был осуждён в августе 2025 года за сговор с целью ведения нелицензированной деятельности по переводу денег; по обвинениям в сговоре с целью отмывания и нарушении санкций присяжные не пришли к согласию; повторный процесс в октябре 2026 года предстоит; судья Файлла рассматривает ходатайство Шторма об оправдании с устных прений 9 апреля.
Криминализация оператора примитива с пользовательским хранением не устраняет сам примитив. «Тихие платежи» Bitcoin BIP352, шифрованный P2P BIP324 v2 и обновление Monero FCMP++ существуют на уровне протокола, а не оператора. Протокол нельзя привлечь к ответственности. А разработчиков, которые его сопровождают, — можно.
На вилле в Уагадугу Атиану Сержа Улона неделями били ветками деревьев.
В Танзании 518 человек погибли во время пятидневного полного интернет-блэкаута.
В Иране прошло восемьдесят дней с тех пор, как ярус Internet Pro на слое оператора связи разделил население на касту белых SIM-карт и всех остальных.
Пользовательский стек примитивов не абстрактен. Это архитектурный ответ на плоскость развёртывания, слой оператора связи, поверхность взломов, юрисдикцию экспорта, страну-получателя, преследуемого оператора и неписаные политические часы.
Заключение
Три двери в четверг закрылись. Четвёртая — нет.
Шаблон Bartz был как бы утверждён — движущийся к утверждению шаблон компенсации за обучающие данные ИИ на 1,5 миллиарда долларов при 3000 долларов за зарегистрированное охраняемое произведение и доле поданных требований 92,77 процента. Claude for Small Business был вшит в операционный стек QuickBooks / PayPal / HubSpot / Canva / DocuSign каждого малого бизнеса. Заявки PSP по цифровому евро закрылись в 17:00 по центральноевропейскому летнему времени; будут отобраны от десяти до тридцати PSP для двенадцатимесячного пилота во втором полугодии 2027 года по программируемой розничной валюте, выпускаемой центральным банком.
Пятнадцатидневное окно ускоренного рассекречивания мнения FISC по § 702 от 17 марта прошло без публикации. До прекращения действия раздела 702 — двадцать пять дней.
22 мая, 12 июня, 26 июня, 30 июня, 1 июля, 1 июля, 2 августа, 21 сентября — часы идут.
Назвать процессуальное схождение — журналистский ответ подотчётности. Пользовательский стек примитивов — технологический ответ подотчётности. Они работают параллельно.
Открытые клиенты. Открытая прошивка. Аппаратные ключи. Устойчивые к цензуре транспорты. Сохраняющая приватность валюта. Локальный ИИ-вывод. Федеративная идентичность с выборочным раскрытием. Самостоятельно размещаемые сервисы. Mesh и спутник. Криптографическая гибкость.
Что закрыл четверг — так это процессуальное совпадение календарей корпоративного разворота ИИ, шаблона компенсаций за ИИ, программируемой денежной инфраструктуры и надзора за слежкой.
Пользовательский стек примитивов не зависит от того, в какую сторону они идут.
URnetwork — одноранговый оверлей для устойчивого к цензуре транспорта, который не фигурирует в реестре операторов публичных услуг ни по одному из перечисленных выше законов. Релиз MCP-сервера URnetwork от 19 февраля 2026 года позволяет агентным клиентам устанавливать VPN-сессии поверх оверлея, абстрагируя транспорт от слоя оператора связи.
https://ur.io