48-часовой день

48-часовой день

Сегодня, во вторник 19 мая 2026 года, Федеральная торговая комиссия США начинает правоприменение раздела 3 закона Tools to Address Known Exploitation by Immobilizing Technological Deepfakes on Websites and Networks Act — закона TAKE IT DOWN Act.

Закон был подписан президентом Трампом 19 мая 2025 года. Уголовный раздел — раздел 2 — подлежал применению с даты подписания. Федеральный раздел об обязательном удалении — раздел 3, регулирующий обязанности платформ, — имел двенадцатимесячный переходный период, чтобы платформы успели построить системы соответствия. Переходный период истекает сегодня.

Архитектура обязательного удаления для Соединённых Штатов нова. Правоприменением занимается FTC. Штраф за нарушение — 53 088 долларов: максимальный гражданский штраф FTC с поправкой на инфляцию. Штраф масштабируется: за каждый неудалённый экземпляр, за каждую известную идентичную копию. Платформа, у которой размещено десять копий одного помеченного изображения, получает десять нарушений.

48-часовое окно необычно жёсткое. Подпадающая под закон платформа — а это любой общедоступный сайт, онлайн-сервис, приложение или мобильное приложение, который прежде всего служит площадкой для пользовательского контента либо прежде всего предназначен для публикации интимных визуальных изображений без согласия, — обязана удалить контент в течение 48 часов с момента получения действительного уведомления от пострадавшего. Платформа обязана удалить также "known identical copies" — известные идентичные копии.

Охват распространяется на две структурно разные категории контента:

• Реальные интимные визуальные изображения идентифицируемого лица, участвующего в сексуальном поведении
• Синтетические интимные изображения идентифицируемого лица, созданные ИИ («дипфейки»)

Обе категории влекут одну и ту же обязанность по удалению.

11 мая 2026 года председатель FTC Эндрю Фергюсон разослал письма-напоминания о соблюдении требований пятнадцати крупным технологическим платформам: Amazon, Alphabet (Google), Apple, Automattic (WordPress / Tumblr), Bumble, Discord, Match Group (Tinder / Hinge), Meta (Facebook / Instagram / WhatsApp / Threads), Microsoft (LinkedIn / Xbox), Pinterest, Reddit, SmugMug (Flickr), Snapchat, TikTok и X. В письмах были расписаны требования и структура штрафов, а получателям напомнили, что правоприменение начинается сегодня.

Список из пятнадцати — это карта приоритетов FTC. Платформы охватывают крупные хостинги пользовательского контента (Meta, X, TikTok, Reddit), сервисы знакомств (Bumble, Match Group), издательские платформы (Automattic, Pinterest, SmugMug) и платформы платформ (Apple, Microsoft, Alphabet, Amazon, Discord, Snapchat). Примечательно, что в списке нет — хотя формально они подпадают под закон — Mastodon, Pixelfed, Internet Archive, «Википедии», GitHub и федеративной сети домашних серверов Matrix.

Сегодня — день, когда запускаются федеральные часы обязательного удаления.

Пятьдесят три тысячи долларов

Гражданский штраф — 53 088 долларов за нарушение.

Это максимум с поправкой на инфляцию по Federal Civil Penalties Inflation Adjustment Act Improvements Act. Он применяется в большинстве регуляторных контекстов FTC. Для закона TAKE IT DOWN Act он масштабируется: за каждую неудалённую копию, за каждую известную идентичную копию.

Арифметика здесь структурная. Платформа, у которой одно изображение осталось висеть после 48-часового срока, получает одно нарушение: 53 088 долларов. То же изображение, размещённое в десяти местах на той же платформе, — десять нарушений: 530 880 долларов. Платформа со слабой дедупликацией контента: каждая копия потенциально является отдельным нарушением.

Штраф спроектирован так, чтобы крупные платформы не могли его игнорировать. Проиндексированный по инфляции потолок означает, что FTC может складывать нарушения: Meta, у которой после уведомления остались висеть 1000 помеченных изображений, сталкивается с потенциальной гражданской ответственностью в 53 088 000 долларов — ещё до подсчёта «известных идентичных копий».

Структурный риск лежит в другом месте: в асимметрии между крупными и мелкими платформами. У Meta и Alphabet есть бюджеты на комплаенс. У Automattic, SmugMug, Bumble и федеративной сети домашних серверов Matrix их нет. Для маленькой или федеративной платформы даже небольшая горстка сложенных нарушений может оказаться смертельной. 48-часовой срок вынуждает выбирать исполнение вместо расследования. Прогноз Electronic Frontier Foundation от февраля 2025 года состоял в том, что мелкие платформы будут либо удалять с запасом, либо сворачивать работу в США. Сегодня — день, когда прогноз становится операционным.

Пятнадцать платформ

Пятнадцать получателей предупредительных писем FTC — это платформы, которые агентство считает наиболее вероятными адресатами первой волны уведомлений от пострадавших. Отбор отражает три категории:

Крупные хостинги пользовательского контента. Meta (Facebook, Instagram, WhatsApp, Threads), X (бывший Twitter), TikTok, Reddit. Именно на этих платформах интимные изображения и синтетический контент, созданный ИИ, расходятся в масштабе. Бюджет на комплаенс существует. Обязанность уложиться в 48 часов операционно выполнима.

Сервисы знакомств. Bumble, Match Group (Tinder, Hinge, Match.com, OkCupid, PlentyOfFish). Специфический риск площадки — обмен изображениями внутри романтического канала, где динамика согласия является центральной. Включение сервисов знакомств в список отражает структурный риск того, что интимные изображения, отправленные в контексте знакомства, могут быть распространены за его пределами.

Издательские и авторские платформы. Automattic (WordPress, Tumblr), Pinterest, SmugMug (Flickr). Это платформы, где массовое распространение изображений встречается с редакционным усмотрением. Обязанность по TIDA работает параллельно с теми стандартами сообщества, которые платформы поддерживают сами.

Платформы платформ. Apple, Microsoft, Alphabet, Amazon, Discord, Snapchat. Apple управляет App Store и iCloud. Microsoft управляет LinkedIn и Xbox. Alphabet управляет Google Photos, YouTube и Drive. Amazon управляет хостинговой инфраструктурой AWS. Discord управляет серверами. Snapchat управляет личными сообщениями плюс публичными Stories. Каждый из этих слоёв даёт свою поверхность для обязанности по TIDA.

Примечательно отсутствие на карте приоритетов FTC:

• Mastodon и более широкий Fediverse. Федеративная природа Mastodon означает, что каждый узел формально является подпадающей под закон платформой. FTC пока не взаимодействовала с федерацией в масштабе.
• Internet Archive, «Википедия», GitHub. Каждый формально подпадает под закон. FTC их не назвала.
• Слой шифрованных мессенджеров. Signal, Matrix, Threema, Briar, Session, Wire. О структурной несовместимости с TIDA — ниже.

Отсутствие — это неявный сигнал: FTC начинает с централизованных платформ, где правоприменение операционно выполнимо. Федерация, децентрализация и сквозное шифрование — та архитектурная поверхность, к которой FTC ещё не подступилась.

Аргумент правозащитников

Electronic Frontier Foundation, Center for Democracy & Technology, Американский союз защиты гражданских свобод, R Street Institute, Free Speech Center и ещё несколько правозащитных организаций и организаций в защиту свободы слова весь год между подписанием закона и сегодняшним правоприменением выступали против него со ссылкой на Первую поправку и надлежащую правовую процедуру.

Ключевой аргумент структурен. Раздел 2 закона TAKE IT DOWN Act — уголовное положение — определяет интимные изображения без согласия (NCII) узко и явно. Раздел 3 — положение об удалении платформами — определяет триггер шире: "intimate visual depictions" — интимные визуальные изображения — без тех более узких признаков, которые управляют уголовной ответственностью. В результате уведомление пострадавшего может запустить 48-часовую обязанность удаления для контента, который на самом деле не является уголовно наказуемым NCII, — контента, который может быть законной речью, лично неприятной заявителю.

Конкретные возражения EFF:

Положение об удалении избыточно широко. Мандат на удаление применяется к гораздо более широкой категории контента, чем определение NCII в уголовном разделе. Недобросовестные субъекты могут использовать расширительное определение закона для удаления законной речи, которая не является NCII и может вообще не содержать сексуального контента.

Нет защиты от необоснованных запросов. Закон не содержит гарантий против необоснованных или недобросовестных запросов на удаление. За ложные уведомления не предусмотрено наказания. Нет требования, чтобы заявитель доказал какое-либо особое отношение к контенту. Нет механизма обжалования для поставщика контента.

Законная речь под угрозой. Сатира, журналистика, политическая речь, новостная фотография публичных фигур, пародия, комментарий — всё это потенциально захватывается расширительным определением закона. 48-часовой срок не оставляет платформе времени на проверку.

Жёсткий срок вынуждает исполнять с запасом. Сорок восемь часов — необычно мало. Платформа не может разумно проверить запрос, установить личность заявителя или оценить, действительно ли контент таков, как утверждает заявитель. Структурное давление направлено в сторону избыточного удаления.

Платформы со сквозным шифрованием не могут исполнить требование. Signal, Matrix, Briar, Threema, Session и другие мессенджеры со сквозным шифрованием не могут сканировать контент. У них нет серверного знания о том, что пользователь отправляет или получает. Закон не предусматривает исключения для платформ со сквозным шифрованием. Итог: либо слой шифрованных мессенджеров сталкивается со структурной ответственностью за неисполнение, либо охват закона фактически их исключает — и что именно из двух, зависит от интерпретационного усмотрения FTC.

Заявленное намерение Трампа. Подписывая закон 19 мая 2025 года, президент Трамп сказал в своей речи: «Я и сам буду пользоваться этим законом. Никого в интернете не поливают так, как меня». Free Speech Center, EFF и CDT ссылались на это заявление как на свидетельство того, что закон может быть превращён в оружие против законной критической речи со стороны влиятельных субъектов. Сегодняшний председатель FTC — Эндрю Фергюсон — назначенец Трампа. Интерпретационное усмотрение принадлежит единой исполнительной власти.

Критика правозащитников состоит не в том, что виктимизация через NCII не является реальным и тяжёлым вредом. Исследования устойчиво показывают, что NCII затрагивает примерно одну из восьми женщин и примерно каждого четвёртого взрослого ЛГБТК+. Целевой подход уголовного раздела правозащитные организации поддерживают. Возражение адресовано структурному дизайну раздела 3 — положения об удалении платформами, которое, по их доводам, откалибровано шире, чем то, что охватывает NCII, без гарантий против превращения в оружие, на сверхжёстком сроке и без исключения для сквозного шифрования.

Первый обвинительный приговор по закону TAKE IT DOWN Act был вынесен в апреле 2026 года — по делу о созданных ИИ дипфейках. Уголовный раздел подлежал применению с даты подписания. Раздел об удалении платформами — это то, что вступает в силу сегодня.

Исключение для шифрования, которого нет

Signal, Matrix, Briar, Threema, Session, Wire, Cwtch, Tuta, Proton — слой сквозного шифрования в переписке и почте — формально подпадает под определение «подпадающей под закон платформы» в законе TAKE IT DOWN Act. Обязанность удалить за 48 часов применяется. Штраф в 53 088 долларов за нарушение применяется.

Эти платформы не могут исполнить требование структурно.

Сквозное шифрование означает, что оператор платформы не знает, какой контент пользователь отправляет или получает. Контент шифруется до того, как покидает устройство отправителя, и расшифровывается только на устройстве получателя. Платформа — Signal Foundation, Matrix Foundation, проект Briar, Threema GmbH — управляет только инфраструктурой маршрутизации сообщений. У неё нет ключа. У неё нет доступа к открытому тексту. Она не может сканировать. Она не может определить, что является интимным, что синтетическим, что идентифицируемым как конкретное лицо.

Обязанность по разделу 3 TIDA требует серверного знания о контенте: платформа должна удалить контент, выявить "known identical copies" — известные идентичные копии — и ответить в течение 48 часов. Каждый шаг требует, чтобы платформа знала, что представляет собой контент. Для платформы со сквозным шифрованием это структурно невозможно.

Electronic Frontier Foundation указывала на эту несовместимость в феврале 2025 года, когда законопроект принял Сенат, снова в апреле 2025-го, когда его приняла Палата представителей, и снова в мае 2025-го, когда его подписал президент. Структурный ответ, который предвидела EFF, не изменился: либо слой шифрованных мессенджеров сталкивается со структурной ответственностью за неисполнение, которая фактически вынуждает его либо ослабить шифрование, либо уйти из США; либо FTC отказывается применять 48-часовую обязанность к платформам со сквозным шифрованием; либо Конгресс правит закон.

Первый интерпретационный выбор, который придётся сделать FTC, — подпадают ли платформы со сквозным шифрованием под правоприменение. Свою позицию агентство публично не раскрыло. Президент Signal Мередит Уиттакер ранее заявляла — в контексте параллельного регламента Европейского союза Chat Control, — что Signal уйдёт с любого рынка, где предписано сканирование контента, а не станет ослаблять своё шифрование.

Слой сквозного шифрования — фундаментальный слой пользовательского стека примитивов. Архитектурное свойство состоит в том, что ключи держит пользователь. У платформы нет поверхности для правоприменения. Сегодня — день, когда это свойство встречается с федеральным режимом обязательного удаления, который его не признаёт.

Асимметрия: генерация против удаления

Закон TAKE IT DOWN Act регулирует удаление. Федеральные часы правоприменения запускаются сегодня. Сторона генерации — ИИ-инструменты, которые производят те самые синтетические интимные изображения, на которые нацелен закон, — регулируется только добровольными стандартами происхождения контента.

Coalition for Content Provenance and Authenticity — C2PA — основной технический стандарт. C2PA встраивает в цифровой контент проверяемые метаданные о происхождении: кто создал, когда, какими инструментами, участвовал ли ИИ, каждое значимое изменение. Стандарт поддерживают Adobe, Microsoft, Google, Meta и OpenAI. DALL-E 3 его поддерживает. AI Image Creator в Microsoft Paint добавляет опциональные манифесты. Seedance 2.0 от ByteDance выходит со встроенной маркировкой C2PA.

C2PA не обнаруживает дипфейки. Он фиксирует происхождение. Дипфейк, сделанный ИИ-инструментом с поддержкой C2PA, несёт корректный манифест с записью "created by [AI tool]" — «создано [ИИ-инструментом]», — но манифест информативен, а не запретителен. Контент может быть подписан по C2PA и всё равно нарушать уголовное положение раздела 2 TIDA.

Durable Content Credentials расширяют C2PA невидимой водяной маркировкой и снятием отпечатков контента, чтобы противостоять срезанию метаданных. След происхождения переживает часть манипуляций. Но нижележащий инструмент генерации — ИИ-модель — не обязан реализовывать механизмы происхождения. Модели с открытым исходным кодом часто их не реализуют. А коммерческие модели, которые их реализуют, не обязаны отказывать в генерации, когда промпт явно нацелен на результат класса «дипфейк».

Законопроект SB 1786 в Аризоне, ожидающий голосования в Палате представителей штата, обязал бы разработчиков ИИ-инструментов, работающих в штате, добавлять невидимые водяные знаки. Федеральный закон не принят.

Асимметрия структурна: сгенерировать дипфейк существенно легче, чем добиться его удаления. Правоприменение TIDA начинается сегодня на стороне удаления. Сторона генерации продолжает жить по добровольным стандартам. Сегодня же — день ключевого доклада Google I/O 2026.

Spark поутру

В трёх часовых поясах западнее Вашингтона, пока FTC публикует своё уведомление о правоприменении, Сундар Пичаи выходит на сцену Google I/O 2026.

Сегодняшний анонс: Gemini Spark.

Круглосуточный облачный персональный ИИ-агент. Работает на моделях Google Gemini 3.5 и Gemini 3.5 Flash. Облачные виртуальные машины в Google Cloud работают в фоне непрерывно. Интегрируется с:

• Gmail — почта
• Docs — документы
• Sheets — таблицы
• Slides — презентации
• Canva — креатив
• OpenTable — бронирование в ресторанах
• Instacart — доставка продуктов

Переключатель приватности «Personal Intelligence» подаётся как средство контроля приватности. Он позволяет пользователю отключить контекстное отслеживание из интерфейса приложения. Доступ к данным — через Gmail, Docs, Photos, Drive посредством Deep Research — предоставляется по согласию пользователя.

На утёкшем экране онбординга, раскрытом во время бета-теста, было написано: "Spark may do things like share your info or make purchases without asking." — «Spark может делать такие вещи, как поделиться вашей информацией или совершить покупку, не спрашивая». Пользователям предписано присматривать за агентом.

Доступ подписчикам Google AI Ultra — «на следующей неделе». Цена AI Ultra снижена сегодня до 100 долларов.

Сопутствующие анонсы на I/O 2026:

• предпросмотр очков Android XR
• автоматический просмотр и умное заполнение форм в Chrome
• виджеты, генерируемые ИИ, в Gboard
• очистка диктовки Gboard Rambler
• контекстно-зависимые ответы в Android Auto
• Gemini Intelligence по всей Android

Архитектурный факт: круглосуточный, всегда включённый агентный ассистент с постоянным доступом к Gmail, Docs, Sheets, Slides, Photos, Drive, Canva, OpenTable и Instacart структурно является постоянно открытым каналом вывода данных из личного облака пользователя в виртуальные машины Google Cloud. Рамка «персональный ИИ-агент» — это слой пользовательского опыта поверх существенного расширения облачного доступа к данным.

Gemini Spark присоединяется к ChatGPT Atlas (OpenAI; продакшен под macOS), OpenAI Workspace Agents (Slack, Drive, приложения Microsoft, Salesforce, Notion, Atlassian Rovo), Anthropic Claude Cowork (общая доступность 12 мая, с выходом в SCIM, OpenTelemetry, Intune для корпоративного управления идентичностью и устройствами), Anthropic Claude for Small Business (14 мая, с выходом в QuickBooks, PayPal, HubSpot, Canva, DocuSign), Microsoft Copilot Studio (обновления по управляемости от 14 мая) и Perplexity Comet (браузер).

Агентная поверхность удвоилась за шесть недель. Корпоративный сегмент, малый бизнес и потребитель — все три яруса — теперь имеют всегда включённых облачных ИИ-агентов с доступом к основному рабочему и коммуникационному облаку пользователя.

В тот же день, когда федеральные часы обязательного удаления запускаются на стороне удаления контента, федеральный по масштабу агентный разворот с доступом к пользовательским облакам расширяется на стороне генерации и доступа к контенту. Поверхность генерации и поверхность удаления асимметричны. Сегодня — операционная отметка.

Вчерашние взломы

Два параллельных раскрытия 18 мая закрепляют категории, которых закон TAKE IT DOWN Act не касается.

NYC Health + Hospitals — биометрический взлом на 1,8 миллиона человек. NYC Health + Hospitals — крупнейшая государственная система здравоохранения США — сообщила вчера, что неавторизованный субъект имел доступ к системам стороннего подрядчика с 25 ноября 2025 года по 11 февраля 2026-го и скопировал записи 1,8 миллиона пациентов и сотрудников. В числе полученных данных:

• Отпечатки пальцев и отпечатки ладоней — биометрические идентификаторы, которые нельзя перевыпустить
• Медицинские карты: диагнозы, лекарства, анализы, снимки
• Сведения о плане и полисе медицинского страхования
• Данные о счетах, страховых требованиях и платежах
• Точные данные геолокации
• Номера социального страхования
• Номера паспортов
• Водительские удостоверения
• Имена, адреса, контактные данные

Хронология взлома:

• Окно доступа: 25 ноября 2025 года — 11 февраля 2026 года (~10 недель)
• Обнаружение: 2 февраля 2026 года (силами NYC H+H)
• Уведомление HHS: 24 марта 2026 года
• Публичное раскрытие: 18 мая 2026 года — вчера

Первопричина: был скомпрометирован сторонний подрядчик, имевший доступ к системам NYC H+H. Подрядчика NYC H+H публично не назвала.

Архитектурная проблема в том, что биометрические данные нельзя перевыпустить. Скомпрометированный номер социального страхования, кредитную карту или пароль можно заменить. Скомпрометированный отпечаток пальца или ладони — нельзя. Биометрия 1,8 миллиона человек, чьи физические идентификаторы не изменятся, теперь навсегда во владении противника. Везде, где отпечатки пальцев или ладоней принимаются как аутентификация — системы физического доступа, разблокировка смартфона, пограничные пункты, допуск в медицинских учреждениях, — у затронутых людей до конца жизни есть фактор аутентификации, которым владеет противник.

Grafana / Coinbase Cartel — pull_request_target. 15 мая киберпреступная группа Coinbase Cartel — синдикат, связанный с ShinyHunters, Scattered Spider и Lapsus$, — разместила Grafana Labs на своём сайте утечек. Вчера, 18 мая, Grafana подтвердила взлом.

Вектором атаки стал давно известный опасный паттерн GitHub Actions. Атакующий сделал форк публичного репозитория Grafana, затем внедрил вредоносную команду curl в форкнутый код. Уязвимый workflow pull_request_target в CI компании Grafana выполнил команду над форкнутым кодом, но с повышенными правами и доступом к секретам репозитория, которые есть у доверенной среды CI. Команда выгрузила переменные окружения. В переменных окружения оказался привилегированный токен GitHub. Токен позволил скачать исходный код.

Итог:

• Исходный код Grafana был скачан
• Клиентские и персональные данные не затронуты
• Grafana отказалась платить выкуп
• Ожидается, что исходный код будет опубликован

Группа Coinbase Cartel активна с сентября 2025 года и не использует шифрующие файлы программы-вымогатели. Она практикует чистую кражу данных и вымогательство. Grafana — очередная в череде крупных технологических целей и целей в инфраструктуре разработки.

Паттерн pull_request_target — одна из самых известных опасных конфигураций GitHub Actions. Она задокументирована как рискованная как минимум с 2021 года. Паттерн живуч, потому что удобен для сборочно-тестовых сценариев, которым нужен доступ к секретам репозитория, — но он выполняется над форкнутым кодом, который сопровождающие репозитория не проверяли. Архитектурный ответ — аутентификация раннеров на основе OpenID Connect (OIDC), не требующая долгоживущих секретов в среде CI.

Два взлома закрепляют разные категории, которых закон TAKE IT DOWN Act не касается: идентичность (проблема биометрии) и инфраструктуру (проблема цепочки поставок в CI). TIDA регулирует удаление контента. Сегодняшнее правоприменение TIDA до вчерашних инцидентов не дотягивается.

Двадцать четыре дня

До прекращения действия раздела 702 FISA — двадцать четыре дня. 12 июня 2026 года.

Мнение Суда по надзору за внешней разведкой (FISC) от 17 марта 2026 года о практике запросов ФБР по разделу 702 остаётся засекреченным. Пятнадцатидневное окно ускоренного рассекречивания, выторгованное сенатором от Орегона Роном Уайденом 30 апреля как условие 45-дневного продления раздела 702, истекло без публикации. Окно закрылось примерно 15 мая. Министерство юстиции не рассекретило. Директор национальной разведки не рассекретил. По сообщениям, Минюст обжалует ту часть мнения FISC, которая касается запросов.

Механика сделки Уайдена: когда Сенат 30 апреля принял 45-дневное продление раздела 702 единогласным согласием (Палата представителей в тот же день проголосовала 261 против 111), Уайден получил от руководства сенатского комитета по разведке обязательство, что мнение FISC будет обнародовано в течение 15 дней. Сенатор от Арканзаса Том Коттон возразил против принятия единогласным согласием с приложенным положением Уайдена о рассекречивании. Возражение означало, что ДНР и Минюст формально могут отклонить просьбу комитета — что и произошло, посредством молчания.

Прекращение действия раздела 702 12 июня — следующее форсирующее событие. Конгресс может продлить снова, может принять полную перевыдачу полномочий (вероятно, с какой-то реформой) либо позволить программе прекратиться. Предыдущие четыре окна перевыдачи заканчивались продлениями или частичной реформой. Структурная реформа, которую питало бы мнение FISC, — более узкое определение "query" (запроса) применительно к лицам США, обязательное одобрение суда для отдельных типов запросов — не состоялась ни в одном из предыдущих окон.

Дебаты о реформе стороны запросов идут без позиции суда:

• Сенатор Коттон: определение "query" не сужать
• Сенатор Уайден: защита лиц США на слое запросов
• Сенатор от Виргинии Марк Уорнер: срединная позиция

The American Prospect 11 мая написал, что "AI is supercharging the surveillance state" — «ИИ накачивает государство слежки»: автоматизированные аналитические цепочки нижнего уровня работают по корпусу раздела 702. Дебаты о перевыдаче полномочий идут на фоне растущей аналитической ценности, извлекаемой из базы данных; мнения FISC, которое питало бы эти дебаты, на столе нет.

Что при этом уже работало

Федеральные часы обязательного удаления и федеральный по масштабу разворот агентного ИИ не ставят на паузу глобальный слой стран-получателей.

Иран — 81-й день. NetBlocks подтвердила сегодня, 19 мая, 81-й день блэкаута в Иране после прохождения отметки в 1920 часов. Самое долгое отключение интернета в истории наблюдений. Экономическая цена — примерно 250 миллионов долларов в день по оценке CBC News. Совокупные потери с начала блэкаута 8 января 2026 года — примерно 5,5 миллиарда долларов или больше. Онлайн-продажи за время отключения упали на 80 процентов. Общий индекс Тегеранской фондовой биржи потерял 450 000 пунктов за четыре дня. Ярус Internet Pro — каста белых SIM-карт от связанной с КСИР компании Mobile Communications of Iran — остаётся в промышленной эксплуатации. Очереди по три-четыре часа в пунктах обмена SIM-карт в Тегеране сохраняются.

Россия — надбавка за мобильный VPN отложена. Российская надбавка за мобильный VPN — 150 рублей за гигабайт международного трафика сверх 15 гигабайт в месяц — должна была вступить в силу 1 мая 2026 года. В срок она не заработала. Операторы попросили отсрочку на настройку биллинговых систем. Закон об обнаружении VPN провайдерами от 15 апреля продолжает работать у «Яндекса», VK, Сбербанка, «Госуслуг», Ozon, Wildberries, Aviasales и «Российских железных дорог». По исследованию «Медузы» от 10 апреля, 22 из 30 самых популярных Android-приложений в России теперь отслеживают, включён ли VPN, на уровне приложения — обнаружение VPN переехало в код приложений. Заявленная цель Роскомнадзора остаётся прежней: 92 процента эффективности блокировки VPN к 2030 году, с 20 миллиардами рублей в год на постоянную инфраструктуру цензуры VPN.

Китай — «Великое отключение» продолжается. Проведённое китайскими властями в апреле 2026 года физическое отключение тысяч прокси-серверов («拔线潮», «волна обрыва проводов») продолжает ограничивать возможности обхода блокировок для китайских пользователей. Надёжно выживает только обфускация на базе TLS — V2Ray VLESS + Reality, Shadowsocks-2022, Trojan, WireGuard с obfsproxy.

Нигер — 11-й день запрета международных СМИ. Одиннадцать дней назад, 8 мая, подконтрольный военным нигерский Observatoire Nationale de la Communication распорядился приостановить работу девяти международных СМИ: France 24, Radio France International, Agence France Presse, TV5 Monde, Jeune Afrique, Mediapart, LSI Africa, TF1 Info, France Afrique Média. Запреты остаются в силе. Нигер — вторая по числу заключённых журналистов страна Африки южнее Сахары по переписи Комитета защиты журналистов от 1 декабря 2025 года.

Буркина-Фасо — TV5Monde запрещён 5 мая. Высший совет по коммуникациям Буркина-Фасо запретил TV5Monde четырнадцать дней назад. В докладе «Репортёров без границ» от 6 мая задокументировано тайное содержание буркинийского журналиста Атианы Сержа Улона на вилле в Уагадугу, где его неделями били ветками деревьев.

Пакистан — правоприменение PECA продолжается. Доклад Freedom Network от 29 апреля 2026 года задокументировал расширяющееся сжатие свободы прессы, вызванное PECA. Окружной суд Исламабада подтвердил освобождение под залог журналистов Ризвана Гальзая и Акиля Хуссейна Багри, привлечённых по PECA. Pakistan Press Foundation зафиксировал 233 инцидента, связанных со свободой прессы, с января 2025 года по апрель 2026-го: 67 нападений, 11 арестов, 11 задержаний, 67 уголовных заявлений.

Танзания — доклад комиссии по расследованию не публикуется. Доклад комиссии по расследованию от 23 апреля 2026 года о насилии после выборов 29 октября 2025 года — 518 подтверждённых погибших, включая 21 ребёнка, — остаётся официально закрытым для публикации. X (Twitter) в Танзании по-прежнему заблокирован.

Мексика — 42 дня до CURP Biométrica. Срок по мексиканской CURP Biométrica — 30 июня 2026 года, через 42 дня от сегодняшнего дня. Примерно 127 миллионов мобильных линий должны быть зарегистрированы на биометрический CURP (лицо, отпечаток пальца, радужная оболочка) до этого срока — иначе отключение. Мексика становится первой крупной страной, требующей привязать каждую мобильную линию к государственному биометрическому идентификатору.

Глобальный слой стран-получателей не изменился от сегодняшних событий в Вашингтоне и Маунтин-Вью. Архитектурный паттерн один и тот же: государство контролирует слой оператора связи или платформы; слой оператора или платформы позволяет отключить, следить или принудительно удалять; у пользователя нет архитектурной альтернативы, если только она структурно не отделена от слоя оператора или платформы.

Каскад дедлайнов

Сегодня начинается плотный каскад июньских, июльских и августовских часов.

• 22 мая: заканчивается аудит Monero FCMP++ силами Trail of Bits (через 3 дня)
• 12 июня: прекращение действия раздела 702 (24 дня)
• 26 июня: обрыв сертификата Microsoft Secure Boot UEFI (38 дней; в зоне охвата ~1,5 миллиарда устройств с Windows)
• 30 июня: срок мексиканской CURP Biométrica (42 дня)
• 1 июля: полное правоприменение MiCA в ЕС (43 дня; штрафы до 12,5 % глобального оборота)
• 1 июля: правоприменение Apple Declared Age Range API в Луизиане и Юте
• 2 августа: активируются полномочия по правоприменению GPAI в AI Act ЕС (75 дней; 15 миллионов евро или 3 % глобального оборота)
• 21 сентября: прекращение действия FIPS 140-2 (126 дней; требуются постквантовые примитивы)
• 5–12 октября: повторный процесс над Романом Штормом по делу Tornado Cash
• Конец 2026 года: срок развёртывания Кошелька цифровой идентичности ЕС

Каскад — это политические, прошивочные и регуляторные часы, приходящиеся на перекрывающиеся месячные окна. Сегодняшнее правоприменение TIDA — первое событие. Завершение аудита Monero FCMP++ через три дня — второе. Прекращение действия § 702 через двадцать четыре дня — третье. К 2 августа шесть структурных событий состоятся за семьдесят шесть дней.

Пользовательский стек примитивов

Архитектурный ответ на сегодняшнее федеральное правоприменение обязательного удаления, сегодняшний федеральный по масштабу разворот агентного ИИ, вчерашний биометрический взлом, вчерашнюю компрометацию цепочки поставок в CI и предстоящий каскад дедлайнов — это пользовательский стек примитивов. Он не зависит от того, в какую сторону идут сегодняшние часы.

Открытые клиенты с ключами у пользователя. Signal. Tuta. Proton. Threema. Briar 1.5.17 — релиз от 12 марта 2026 года работает через Bluetooth, Wi-Fi и Tor и функционирует во время отключений на слое оператора связи. Cwtch. Session. Домашний сервер Matrix. Сквозное шифрование — вот архитектурное свойство: оператор платформы не знает содержимого. Обязанность по разделу 3 TIDA требует серверного знания. Архитектурная несовместимость и есть ответ. Ключу, который держит пользователь, нельзя в осмысленном виде вручить уведомление об удалении.

Открытая прошивка на пользовательски инспектируемых чипах. GrapheneOS — Pixel 6+ с Android 16 в превью 2026030501, с включёнными бюллетенями безопасности Android с апреля по август 2026 года. CalyxOS, тестовая сборка Android 16 7.2.1.0, выпущена 4 мая 2026 года. /e/OS. LineageOS. OpenWRT. Доклад Citizen Lab "Bad Connection" от 23 апреля 2026 года задокументировал две кампании слежки на стороне оператора связи — STA1, понижение Diameter до SS7 в девяти странах с «операторами-призраками», и STA2, zero-click через SIMjacker посредством устаревшего SIM-апплета браузера S@T, — невидимые для операционных систем с закрытой прошивкой. Открытая прошивка делает поведение кеша и базы уведомлений доступным для пользовательской проверки.

Аппаратная аутентификация FIDO2. 7 мая 2026 года — во Всемирный день паролей-ключей FIDO Alliance — было развёрнуто пять миллиардов passkey по всей глобальной экосистеме. YubiKey. Nitrokey. SoloKey. Yubico за всё время отгрузила более 30 миллионов аппаратных ключей. Вчерашний взлом NYC H+H раскрыл отпечатки пальцев и ладоней 1,8 миллиона человек — биометрические идентификаторы, которые нельзя перевыпустить. Привязанные к железу учётные данные заменяют биометрию в качестве второго фактора везде, где их принимают. Второй фактор лежит в кармане пользователя, а не в базе данных стороннего подрядчика.

Устойчивые к цензуре транспорты. Tor Browser 15.0.13 и 16.0a6 — экстренные релизы от 7 мая, закрывшие критические уязвимости ядра Linux, Tor Browser и клиента Tor. V2Ray VLESS + Reality. Shadowsocks-2022. Trojan. WireGuard с obfsproxy. Одноранговый оверлей URnetwork. Релиз MCP-сервера URnetwork от 19 февраля 2026 года позволяет агентным клиентам устанавливать VPN-сессии поверх однорангового оверлея, абстрагируя транспорт от слоя оператора связи. Иранский ярус Internet Pro, российский закон об обнаружении VPN провайдерами от 15 апреля, китайское апрельское «Великое отключение» 拔线潮 — ни один из этих актов не называет оверлей, потому что тот не фигурирует как публичный сервис или зарегистрированный оператор. Пользовательский оверлей невидим для законодательства.

Сохраняющие приватность валюты на примитивах пользовательского хранения. Bitcoin BIP324 v2, включён по умолчанию с Core 27.0; большинство глобального однорангового трафика Bitcoin теперь шифруется. Bitcoin BIP352, «тихие платежи», — приём и отправка в Core 28.0+, с полями данных для твиков PSBTv2 из BIP376 и форматом дескрипторов BIP392, добавленными в 2026 году. Monero FCMP++ в активной интеграции; аудит Trail of Bits начался 11 мая и идёт до 22 мая — сейчас 8-й день из 11, — заменяя кольцевые подписи полноцепочечными доказательствами членства, у которых анонимное множество равно всему набору UTXO, больше 150 миллионов транзакционных выходов. Zcash Crosslink, веха 4, — второе пожертвование Виталика Бутерина в Shielded Labs от 6 февраля 2026 года поддержало это обновление.

Локальный ИИ-вывод на пользовательских вычислениях. DeepSeek V4 Pro — выпущен под лицензией MIT 22 апреля, 1,6 триллиона общих / 49 миллиардов активных параметров, контекст в миллион токенов, 80,6 процента SWE-Bench Verified, 90,1 процента GPQA Diamond. DeepSeek V4 Flash — 284 миллиарда общих / 13 миллиардов активных. Mistral Medium 3.5 — 29 апреля, 128 миллиардов параметров, 77,6 процента SWE-Bench Verified. Qwen 3.6 Max Preview — 27 апреля, мультиязычность на 201 язык. GLM-5.1 — 744 миллиарда параметров в архитектуре «смесь экспертов», лучший результат среди открытых моделей в LMArena. OpenAI Privacy Filter — 22 апреля, Apache 2.0, 1,5 миллиарда общих / 50 миллионов активных параметров, запускается в браузере через transformers.js плюс WebGPU. Где нет журнала у третьей стороны, там нечего истребовать по повестке И нечего переиспользовать облачному ИИ-провайдеру. Сегодняшний запуск Gemini Spark — с постоянным доступом к Gmail, Docs, Sheets, Slides, Canva, OpenTable, Instacart плюс доступ Deep Research к Gmail, Docs, Photos, Drive — и есть модель угроз для облачного ИИ-доступа. Локальный вывод — архитектурный ответ.

Федеративная идентичность с выборочным раскрытием. W3C Verifiable Credentials 2.0 — статус Recommendation с мая 2025 года, семь спецификаций в семействе. Выборочное раскрытие BBS+ в eIDAS 2.0 — финализация в IETF в процессе. Privacy Pass. Новый устав рабочей группы W3C по верифицируемым удостоверениям от апреля 2026 года нацелен на статус Recommendation для Render Method и Confidence Method к сентябрю 2026 года. Мексиканский срок CURP Biométrica 30 июня — через 42 дня от сегодняшнего дня, привязка примерно 127 миллионов мобильных линий к лицу, отпечатку пальца и радужной оболочке — и есть модель угроз. Не загружайте идентичность в централизованный государственный биометрический реестр.

Самостоятельно размещаемые сервисы. Домашний сервер Matrix. Forgejo. Mailcow. Jitsi. Nextcloud. Mautic. SuiteCRM. Moodle community. Open edX. Федерация ограничивает радиус поражения при компрометации любого отдельного вендора. Каждый домашний сервер отвечает за свой контент, но ему нельзя вручить федеративную обязанность удаления в отношении всей федерации. Вчерашняя эксплуатация pull_request_target в связке Grafana / Coinbase Cartel показала, что даже инфраструктура, близкая к открытому исходному коду, несёт риск цепочки поставок в CI. Архитектурный ответ — аутентификация раннеров на основе OpenID Connect и самостоятельно размещённые среды CI на Forgejo/Gitea.

Mesh и спутник на слое оператора связи. Briar — Bluetooth, Wi-Fi, Tor. Bridgefy. Meshtastic. Reticulum. GoTenna PRO. Starlink. Иранский ярус Internet Pro, обесточивание вышек в суданском Хартуме, отключения в 21 российской области перед Днём Победы, отключение мобильной связи и SMS в Москве 9 мая, пятидневный полный интернет-блэкаут в Танзании, который сделал возможными 518 с лишним смертей во время насилия после выборов 29 октября 2025 года, — независимый от оператора связи слой является структурным ответом.

Криптографическая гибкость до прекращения действия FIPS 21 сентября. ML-KEM (FIPS 203). ML-DSA (FIPS 204). SLH-DSA (FIPS 205). Стандарты действуют с августа 2024 года. Средний цикл валидации FIPS 140-3 — примерно 542 дня по базовой оценке начала 2024 года. Упреждающее развёртывание постквантово стойких примитивов — единственный путь через прекращение действия FIPS. Разрежённый постквантовый храповик Signal (SPQR) вместе с существующим двойным храповиком и согласованием ключей PQXDH образует «тройной храповик» — постквантовое усиление протокола Signal.

Заключение

Сегодня, во вторник 19 мая 2026 года, Федеральная торговая комиссия начинает правоприменение раздела 3 закона TAKE IT DOWN Act. Федеральные часы обязательного удаления запускаются. Сорок восемь часов. Пятьдесят три тысячи восемьдесят восемь долларов за нарушение. Названы пятнадцать платформ.

Сегодня Google запускает Gemini Spark. Агентная поверхность в корпоративном сегменте, малом бизнесе и у потребителей удваивается.

Вчера NYC Health + Hospitals сообщила, что отпечатки пальцев и ладоней 1,8 миллиона человек теперь навсегда во владении противника.

Вчера Coinbase Cartel показала, что одна неверная конфигурация pull_request_target способна скомпрометировать исходный код крупной компании, близкой к миру открытого кода.

Через двадцать четыре дня прекращает действие раздел 702. Мнение FISC остаётся засекреченным.

Иран — на 81-м дне. Российская надбавка за мобильный VPN отложена. Нигер — на 11-м дне запрета международных СМИ. Мексике до CURP Biométrica 42 дня.

Плотный июньско-июльский каскад часов — 22 мая, 12 июня, 26 июня, 30 июня, 1 июля, 1 июля, 2 августа, 21 сентября — идёт.

Открытые клиенты. Открытая прошивка. Аппаратные ключи. Устойчивые к цензуре транспорты. Сохраняющая приватность валюта. Локальный ИИ-вывод. Федеративная идентичность с выборочным раскрытием. Самостоятельно размещаемые сервисы. Mesh и спутник. Криптографическая гибкость.

Сегодня часы запускаются. Пользовательский стек примитивов не зависит от того, в какую сторону они идут.

---

URnetwork — одноранговый оверлей для устойчивого к цензуре транспорта, который не фигурирует в реестре операторов публичных услуг ни по одному из перечисленных выше законов. Релиз MCP-сервера URnetwork от 19 февраля 2026 года позволяет агентным клиентам устанавливать VPN-сессии поверх однорангового оверлея, абстрагируя транспорт от слоя оператора связи.

https://ur.io