„Сан Себастиан 2026“. „Трябва да се живее!“

Post Syndicated from Нева Мичева original https://www.toest.bg/san-sebastian-2026-tryabva-da-se-zhivee/

Любимецът на зрителите

„Сан Себастиан 2026“. „Трябва да се живее!“

стана ясен още на четвъртия ден. В ежедневно публикуваната във фестивалния вестник класация

„Черната топка“ литна напред с оценка 9,4 от 10 и вече нямаше не само кой да го изпревари, но и да го доближи.

„На първия ни спектакъл в залата имаше 15 души“, казаха авторите му, познати с общия прякор Лос Хавис (Хавиер Амброси и Хавиер Калво, театрални и телевизионни режисьори), докато на закриването на сансебастианския фестивал приемаха наградата на публиката. Същия уикенд филмът им – който спечели приза за режисура в Кан през май, а през септември взе най-голямото отличие в Торонто и беше избран да представлява Испания на Оскарите – тръгна по испанските кина и с над 600 000 зрители отвя блокбастъра „Одисея“.

„Черната топка“ e „любовна история“, разхвърляна в три исторически момента (1932, 1937 и 2017 г.) и куп стилове и настроения. В нея има и впечатляващи визуални попадения, и страхотна игра на епизодици, и средняшко присъствие на водещи персонажи, и любопитни хрумвания, и досадни пренавивания. В двата часа и половина зрелище ще се намери по нещо, което да зарадва и да подразни мнозина: я сърцераздирателната сцена с детето, което поздравява по фашистки, или шеметното камео на Пенелопе Крус, я палуващите войници, разголени като в кадър от „Зулендър“, или неубедителната главна роля на самоукия музикант Алваро Лафуенте.

„Черната топка“ е заглавието на последната, недописана пиеса на Федерико Гарсия Лорка, чиито четири начални страници са онагледени в най-ранната сюжетна линия на филма – членовете на малко затворено общество в Гранада гласуват с топки дали младият Карлос да се присъедини към тях. Белите са „за“, а черните – „против“ и наброяват много повече, понеже Карлос е гей в хомофобски времена. Втората сюжетна линия „инсценира“ по-скоро волно пиесата „Черен камък“ на Алберто Конехеро¹, в която драматургът си представя срещата между юношата франкист Себастиан и обречения на разстрел републиканец Рафаел Родригес Рапун (реалния последен любим на Лорка). Третата линия е съвременна, но заедно с плодотворния контраст вкарва и допълнителна порция шум… („Страхливец“ на Люкас Донт, за който вече говорихме, е далеч по-изпипан етюд на тема любов/война от реколтата „Кан 2026“ – заслужава си „Черната топка“ да се гледа успоредно с него за сравнение.)

„Трябва да се живее!“,

изкрещява един от „Комедиантите“ на Марио Камус (1963) и избухва в неистов танц, цитиран в Jaleos, първа част от документален диптих за корените, контекста, представителите и същината на фламенкото, включена във фестивалния раздел за експерименти „Отворено пространство“.

Битува представата, че фламенкото е нещо много старо и много нашенско, но истината е, че то е доста ново и се е формирало от стичането на милион обстоятелства с най-разнообразен произход,

каза авторът. Филмът е прелюбопитен обзор на не особено познати факти: какво танцува Карменсита от Алмерия (първата жена, снимана за киноекрана през 1894 г. в студиото на изобретателя Томас Едисън); защо на испански flamenco е „фламенко“, „фламинго“ и „фламандец“; как така „Саета“ на Майлс Дейвис се причислява към най-доброто в жанра…

Началото на Jaleos (дума, ползвана за типичните за фламенкото окуражителни възклицания към изпълнителите) е архивен откъс с хубава жена, която ритмично тропа с токове, докато съвременни коментатори обсъждат зад кадър: фламенко – друг път… нищо общо с Испания… виж я как си тътри краката… ух, какъв скован кръст. Жената, оказва се, е Лени Рифенщал, прочутата режисьорка на нацистката пропаганда по Хитлерово време, тук – в ролята на фатална южнячка. Филмът ѝ „Низината“ е по едноименната пиеса на каталонеца Анджел Гимера̀ от ХIХ век, а 120-те фигуранти в същия този филм – роми, изведени за целта от два концентрационни лагера. Докато Лени монтира произведението си години по-късно, над 100 от тях вече са убити в Аушвиц… Ето, значи, само един от многото детайли в Jaleos, които разкриват цели бездни: статистите на Рифенщал са лагерници, а днес, за да се използват кадри с техните лица и движения, се плащат авторски права на нейните наследници.

„Фламенко“, режисьор Карла Симон

Институтът за външна търговия ICEX е орган на испанското Министерство на икономиката и се грижи да популяризира местните производители, изобретатели и предприемачи така, че светът да ги опознае и хареса. Една от най-новите му инициативи поощрява аудио-визуалния сектор, за да покаже красивото многообразие на made in Spain чрез авторски късометражки по характерни теми. Тази година резултатът са три творби, чийто дебют се състоя в Кан. А една от тях – „Фламенко“ на Карла Симон, получи номинация за предстоящите „Грами“ (латино) в категорията „Най-добро дългоформатно видео“. Отварям дума не само защото „Фламенко“ дели с Jaleos предмет и участници и го гледах в Сан Себастиан, а и защото неовладяно заблазявам на всички държави, способни да ангажират за общата кауза истински таланти и да им позволят да постигнат подобно качество.

Три по две от Латинска Америка

От дузината селектирани през 2026 г. в „Латинохоризонти“ специално внимание заслужават три чудни филма с непрофесионални изпълнителки: две сестри, две приятелки, две братовчедки.

Дебютът на Валентина Маурел (Коста Рика) „Сънувам електрически сънища“ разказваше в необичаен ключ за едно артистично семейство в разпад и особено за отношенията баща–дъщеря – с поезия, лутане и вулканични чувства. Вторият, чието заглавие е заето от стихотворение на майката на режисьорката и буквално означава „Винаги съм твоето майчино животно“, следва сходен модел и привлича същите магнетични изпълнители на две от главните роли, но не успява да „лумне“ като предишния, при все че нито доскучава, нито фалшиви. Персонажите са в криза и пред отпътуване, градът и музиката са с присъствието на действащи лица, а вниманието този път е обърнато към най-младите. Но Маурел трудно може да бъде обобщена, което, струва ми се, е един от най-хубавите комплименти.

„Тъжни момичета“ на Фернанда Товар (Мексико) е за фантастичната сила на тийнейджърските приятелства и за „специфично женската тъга“ от определени житейски дадености, която никоя от нас не успява да избегне дори в най-безгрижните си години, както отбеляза авторката. Две млади състезателки по плуване се носят из басейна и из града и неспирно бърборят – чувстват се безсмъртни и докато не става ясно, че не са, всъщност наистина изглеждат такива: неземни, окрилени, легендарни, щастливи. Един от визуално най-красивите филми в програмата, в който има десетки възможности за любуване.

„Мълнията търси белите животни и блестящите неща“, обяснява възрастна жена в „Илюзията за безкрайно лято“ – прощъпулник в киното на фотографката от „Магнум“ Алесандра Сангуинети, която в Сан Себастиан спечели наградата в раздела „Латинохоризонти“ и приза на младежкото жури (150 души между 18 и 25 години, които имаха да избират измежду 21 заглавия). Някъде през 1998-ма в дълбоката аржентинска провинция Алесандра започва да снима своите десетинагодишни съседки Гийермина и Белинда: те играят, пеят, скитат, изразяват схващания за света, започват работа, стават млади майки, за първи път отиват в чужбина. Четвърт век в 80 часа суров материал, сведени до 90 минути есенция – семпли, но същевременно богати и изненадващи като живота. „Искам да съм пеперуда – казва едното дете, – защото те живеят само ден. Така ще се раждам отново и отново.“

Чий е човек?

Този объркващ въпрос ни принуждава да си зададем пълнометражният дебют на Христо Симеонов. „Обувките на баща ми“ беше избран заедно с още 13 заглавия за конкурсния раздел с първи и втори филми „Нови режисьори“, с победа в който преди 12 години започнаха фестивалния си път Кристина Грозева и Петър Вълчанов. В ядрото му е реално събитие: три жени, отдавна изоставени от един мъж, получават мъртвото му тяло и докато уреждат погребението му, започват да се чудят дали това е същият човек. Доколко познаваме ключовите фигури в живота си? Има ли близостта давност?

Валерия Върбанова (дъщерята), Таня Шахова (майката) и Вяра Коларова (сестрата) са триото, което трябва да преодолее ситуацията, и изборът на Симеонов на типажи с различна гъвкавост и ритъм е много подходящ: топлота, инат и твърдост влизат в интересни сблъсъци. „Дано да е момиче“ е освежаващо неочаквана фраза от екрана, нищо че като цяло диалозите са най-бледата част от цялото… „Обувките на баща ми“ понякога оставя едно усещане за тук могат, но невинаги смеят, но то като цяло не препъва удоволствието от нетипичната за новото българско кино нежност в повествованието, от умението на оператора Веселин Христов, съобразителността на композитора Милен Апостолов и много още.

В Сан Себастиан авторът Христо Симеонов беше така любезен да ни отговори на няколко бързи въпроса.

Как решихте да се занимавате с кино и как избирате какво да разказвате?

Покрай филмите на Кен Лоуч, и то след гимназията. Реших, че трябва да правя силно социално кино. Семейството ми е от работническата класа и идеята за изкуство и за професията на режисьора за мен беше твърде абстрактна. Та в киното се впуснах наивно. Сестра ми, бог да я прости, ме окуражи – на нея го дължа. Защото за майка ми и баща ми мисълта, че киното може да се учи и от него да се изкарва прехрана, беше чужда… Първото, което тръгнах да разказвам и от което се вълнувах, беше свързано с неща от детството. Това се промени с времето и в един момент, като изгубих желание да говоря за него, сякаш изчезна и желанието ми за социалната форма. Сега ми се разказва за семейството ми, за формиращи и травмиращи неща, с които човек трябва да се справя. Замислям един проект, свързан с баба ми Васила, много добра жена, ужасно търпелива. Тя и дядо ми са в основата. В него ще се разказва за влашките роми, които бяха много по нашия край. И тъй като не мога да си представя, че ще го снимам на български, реших, че трябва да е на езика, който говорят копанарите в България, за да бъде автентично за мен поне – да взема роми, които много често живеят в катуни извън селата.

Какво според вас е нужно на един филм, за да бъде разбран?

Аз лично, ако усетя, че не съм докрай честен със себе си, знам, че това ще бъде пречка за зрителя. Но кой зрител? Не можем да слагаме под общ знаменател всичките. Така че аз си избирам по-критичния. И се питам: окей, той ще разбере ли тук компромиса? Ще усети ли, че съм фейкнал?

Как дойде идеята за „Обувките на баща ми“?

По истински случай, който ми разказа една дознателка от Видин. Куриозна ситуация, която в реалността, за разлика от филма, завършва неоптимистично. Първата ми идея беше за късометражка, но вече не ми се правят късометражки. Трябваше ми доста време да разбера, да усетя какво всъщност искам от тази история. Отначало имахме вариант, който се развива през погледа на дознателя и завършва без надежда за героите. И той като текст беше супер. Но чак в последния вариант на сценария, примерно месец или два преди да започнем да снимаме, си дадох сметка, че за мен е много важно да се погрижа за тях и да не ги третирам просто като част от сюжета. В моето семейство се случи нещо, което много ме разтърси, и то ми даде емоционалното разбиране за героите – какъв ключ да търся извън анекдота. И тогава всичко се обърна и героите станаха главни. Извън абсурда дойде и този слой, но за целта вероятно е трябвало първо да получа някакво лично знание.

Кога сте най-щастлив, докато правите кино?

Снимачният период е най-пълнокръвен за мен. Работата на терен. Да пробваме неща с актьорите, с оператора, да експериментираме, да импровизираме. Да виждам как се случват нещата, да хвърля сценария в кофата.

От кое сте най-удовлетворен след прожекцията на „Обувките на баща ми“ в Сан Себастиан?

Колкото и критично да го гледам, аз все още се вълнувам от него. Има моменти, които ме оставят безразличен и си казвам: лошо. Те са просто регистрирани и то се усеща. Но има и такива, в които усещам искреност и че нещата са станали, че са живи. Конкретни сцени, където всичко е пълнокръвно и меко, носи настроение. Меко. Това винаги ми е било целта. Да намеря баланса, при който да не се натрапвам на зрителя, но и да не го оставям безразличен. В някои сцени се е получило много добре, в други – не.

1 Превод на „Черен камък“ на български е на разположение на читателите на „Тоест“ в сайта на Нева Мичева.

Патриоти за мъртвите – страхливци за живите

Post Syndicated from Емилия Милчева original https://www.toest.bg/patrioti-za-murtvite-strahlivtsi-za-zhivite/

Патриоти за мъртвите – страхливци за живите

Лесно е да показваш патриотизъм, който не изисква особена политическа смелост, тъй като е свързан с миналото. Трудно е да отстояваш българското национално достойнство в настоящето, когато това означава да назовеш агресор и да заемеш позиция, която струва повече от всички патриотични речи.

Само за четири дни българските управляващи се придвижиха от единия полюс до другия. Демонстрираха смелост пред историята с пренасянето на тленните останки на цар Самуил в днешна България и се свиха смълчани и предпазливи пред заплахата, ударила два кораба в изключителната икономическа зона в Черно море. Бившият президент Румен Радев, овладял изпълнителната власт със своята „Прогресивна България“, наложи комбинацията от патриотична реторика и снишаване пред Русия още в първите месеци на управлението си.

Самуил е мъртъв повече от хилядолетие, но властта е готова да защитава неговите царски достойнства и да се перчи пред Скопие. Съпротивата му срещу една империя е повод за национална гордост днес, но днешната заплаха от друга имперска сила не среща Самуиловата решителност. 

Управляващите, подкрепени от лидера на ГЕРБ Борисов, не назоваха Русия като заплаха за сигурността ни, макар че ЕС и НАТО – съюзите, към които принадлежим, отдавна я определиха по този начин. На Консултативния съвет за национална сигурност (КСНС), свикан неохотно от президентката Илияна Йотова, Радев и назначените от него министри и шефове на служби не събраха смелост да посочат извършителя на атаките. Избегнаха го и при взривовете, избухнали преди около месец в склад – собственост на оръжейната фирма ЕМКО и Емилиян Гебрев.

Руският интерес към българската оръжейна индустрия не е новина. Още през 2021 г. българската прокуратура посочи шестима руски граждани, свързани с военното разузнаване ГРУ, като заподозрени за четири взрива в оръжейни складове. 

Но през 2026-та КСНС настоя да бъдат събрани доказателства, за да бъде установен извършителят на атаките с дронове срещу двата кораба в Черно море, а премиерът увери, че няма непосредствена заплаха за националната сигурност. Допусна, че логиката сочи Русия, но без доказателства не може да я обвини. Така България остана без отговор кой е атакувал корабите, но с уверението, че няма от какво непосредствено да се страхува. 

Когато говорим за национална сигурност, ние не можем да работим с хипотези, 

заяви Радев. И е прав, че за установяването на извършителя на конкретно нападение са необходими доказателства. 

Украинският президент Володимир Зеленски обаче заяви още на 6 октомври, че украинските военноморски сили са се свързали с българските си колеги и след уточняване на информацията е установено, че става въпрос за комбинирана руска атака с морски и въздушни дронове. 

Радев отрече такава комуникация, позовавайки се на докладите на министъра на отбраната и службите пред КСНС. Ден по-късно обаче външната ни министърка Велислава Петрова-Чамова заяви, че българските служби поддържат постоянен контакт с украинските си колеги, но няма потвърждение от българска страна за руска атака.

Така остава неизяснено не само кой е изпратил дроновете, но и каква информация е обменена между София и Киев. И защо при толкова категорично твърдение на Зеленски българските власти не са изяснили публично противоречието.

Но едно е да не си сигурен кой е изпратил дроновете, друго е да избягваш оценката за държавата, която води война в Черно море и чиито действия застрашават сигурността на региона. За първото е нужно разследване, но за второто България разполага с достатъчно факти, както и с оценките на съюзниците си. 

Вместо да постави пред Москва въпроса за рисковете, които руската война създава за гражданското корабоплаване, и да използва наличните дипломатически инструменти, КСНС поиска от ЕС и НАТО засилване на мерките за сигурност в Черно море. 

По предложение на Радев Европейската агенция по морска безопасност (EMSA) е изразила готовност безвъзмездно да изследва останките на потъналия кораб за следи от дронове.

Но същността на онова, което Йотова огласи след заседанието на КСНС, беше призивът за дипломатически усилия за прекратяване на войната в Украйна и за постигане на мир. Призивът за мир обаче не казва кой e започнал агресията и кой трябва да я прекрати. Така Русия и Украйна се оказват поставени на една плоскост, което се прави не за първи път, а въпросът за отговорността се заменя с пожелание за прекратяване на военните действия.

Избирателният суверенитет

Националното достойнство има различна цена според това срещу кого трябва да бъде отстоявано. Пред Скопие България говори от позицията на историческата правота, пред Москва предпочита дипломацията на васал и оставя на съюзниците да назовават заплахите. 

Атаките край България и Румъния ще бъдат обсъдени на Европейския съвет на 15 и 16 октомври като част от ескалацията на руските хибридни действия. Това потвърждава говорител на Европейския съвет пред Клуб Z.

Властта мобилизира армията, Православната църква и институциите, за да посрещне с невиждани държавни почести останките на средновековен цар – символ на българската държавност. Самуил, воювал почти непрекъснато с Византия, беше представен като образец на държавническа доблест и съпротива срещу чуждото господство. Двойки изтребители МиГ-29 и F-16 ескортираха военнотранспортния „Спартан“ с останките му, прозвучаха 21 артилерийски салюта, а премиерът Радев говори за национално единство.

Днес ние посрещаме неговия дух, неговата непримиримост, неговата безпределна вяра в Отечеството и завета му да пазим България.

На площад „Княз Александър I“ на 3 октомври обаче посрещачите бяха значително по-малко от 25-те хиляди, дошли заради DARA. Въпреки осигуреното от БДЖ безплатно пътуване до София церемонията не предизвика очакваното масово въодушевление. Държавата беше вложила повече усилия в организирането на патриотичния спектакъл, но сякаш гражданите не показаха реципрочно желание да участват в него.

Няколко дни след тържественото посрещане на останките на Самуил България се оказа изправена пред съвсем различен тест за държавност. Сирия поиска обяснение защо е прекратено издирването на моряците, девет от които са сирийски граждани, от потъналия за три минути ALFA WATAN. България вече обяви, че то няма да бъде подновено, нито ще бъде извършен подводен оглед на останките. Последното означава, че ще се разчита на ΕΜSA да търси следи от дронове. Но Дамаск настоява за независимо разследване и изясняване на обстоятелствата около прекратената спасителна операция.

Турският президент Реджеп Тайип Ердоган постави въпроса за сигурността на гражданското корабоплаване в Черно море директно пред Владимир Путин. Анкара поддържа отношения и с Москва, и с Киев, но това не ѝ пречи да разговаря с руския президент за рисковете от войната.

Атаките срещу търговски кораби застрашават износа на Украйна, оскъпяват транспорта и застраховките и създават рискове за пристанищата и търговията на черноморските държави, особено на Турция, която контролира достъпа до Черно море през Босфора и Дарданелите. 

Суверенитетът обаче не е само правото да вземаш самостоятелни решения, а и способността да ги отстояваш пред по-силните от теб. Той не се измерва с непрекъснатите уверения на Радев и подчинените му, че България води „независима външна политика“, когато в действителност следва линията на Москва, прикривайки я зад апели за мир и дипломатическо уреждане на конфликта. 

Всъщност дори не я прикрива особено.

През 2022 г. България изгони 70 руски дипломатически служители, след като службите ги идентифицираха като работили срещу националните ѝ интереси. Решението предизвика остра реакция от Москва, но показа, че София разполага с дипломатически инструменти, когато реши да ги ползва. 

В представите на Радев независимата външна политика се проявява най-вече като право да не се съгласяваш с Брюксел. Спрямо Русия обаче тази независимост омеква. 

Получава се особен вид суверенитет. България държи да не ѝ диктуват от Брюксел, но си налага ограничения, когато трябва да възрази на Москва. И колкото по-често властта говори за независимост, толкова по-видима става границата, отвъд която не смее да я упражни.

[$] An update on Rust’s project goals

Post Syndicated from daroc original https://lwn.net/Articles/1098617/

Tomáš Šedovič is a program manager at the Rust Foundation. He co-leads the

goals team
, which helps
organize the Rust project’s

overall goals
, including making sure that the people
who have agreed to work on one have the support they need.
At Kangrejos 2026, he provided an overview of the Rust project’s goal processes
aimed at ensuring that the Rust for Linux developers were aware of how the
project organizes, tracks, and amends goals.
The

Rust for Linux project

has inspired several current project goals, so he thought that getting an inside
view of the process might be helpful.

[$] The [vx]swap showdown

Post Syndicated from corbet original https://lwn.net/Articles/1098399/

The kernel’s swap layer has undergone some
significant changes
over the course of the last year and a number of
longstanding problems have been addressed. One problem that has not
yet been solved in the mainline is the direct tie between slots in the swap
cache and space in persistent swap files, which can cause highly
inefficient resource use. There are two competing solutions for this
problem, neither of which has, as yet, reached readiness for merging; a
lengthy discussion on possible paths forward shows ongoing disagreement
over the best path forward.

Security updates for Thursday

Post Syndicated from jzb original https://lwn.net/Articles/1099388/

Security updates have been issued by AlmaLinux (bind, firefox, freerdp, ghostscript, glibc, kernel, kernel-rt, perl-DBI, python3.12, rust-rpm-sequoia, rust-sequoia-sq, rust-sequoia-sqv, and vim), Debian (gst-plugins-base1.0, python3.11, and xz-utils), Fedora (7zip, chromium, curl, docker-buildx, kernel, Lmod, and sos), Mageia (tesseract), Oracle (dovecot, firefox, freerdp, gd, ghostscript, kernel, librabbitmq, perl-DBI, python3.12, rust-rpm-sequoia, rust-sequoia-sqv, sg3_utils, vim, and virtuoso-opensource), Slackware (xorg-server), SUSE (aliyun-cli, busybox, cadvisor, chromedriver, chromium, crane, distribution-registry, fetchmail, fio, ghostscript, golang-github-prometheus-alertmanager, google-osconfig-agent, govulncheck-vulndb, libsoup, libXtst, openexr, prometheus-blackbox_exporter, python-fsspec, rpcbind, rsyslog, rustup, wireshark, wpa_supplicant, and zcode), and Ubuntu (erlang, golang-golang-x-net, gst-plugins-ugly1.0, lxml, poppler, and sudo).

Bridging technical depth and usability: The story behind Radar’s redesign

Post Syndicated from Sophia Alfred original https://blog.cloudflare.com/draft-blog-0091/

Radar provides a real-time view into global Internet trends, powered by Cloudflare’s global network. We support Cloudflare’s mission to help build a better Internet by making web data visible, clear, and actionable for everyone. Since launching in 2020, Radar has found a natural audience amongst expert users with technical backgrounds, such as network operators and academic researchers who rely on Radar data to observe industry trends and global events.

But Radar also has the potential to be a more regular, self-serve resource for journalists, human rights advocates and policymakers, and everyday users. Making Radar accessible to a wider audience is a core part of our vision, so we knew it was time to reevaluate the user experience: How could we make Radar more approachable to broader audiences, while preserving the depth and rigor that we currently have?

In this blog post, we’ll introduce the redesigned Radar, share our design process, and outline our broader vision for the platform’s future.

Challenges with the previous design

While the previous landing page was successful at showing the breadth of Radar’s data, the way that information was presented made it difficult to parse. The bento box layout gave everything similar visual weight, the vertical cards disrupted natural reading patterns, and the styling felt disconnected from Cloudflare’s broader brand.

We heard this from users. One external user mentioned that one of his biggest frustrations with Radar was that it was difficult to show to his students. That feedback reinforced the problem that Radar could feel intimidating to people encountering it for the first time. With this in mind, we wanted to create a landing page experience that shaped a clearer path through the content, instead of asking users to interpret everything at once.

But making Radar more accessible wasn’t only about reorganizing the content. It was also about making the experience feel more connected to Cloudflare. For external users, consistency directly affects trust and usability. A more cohesive Cloudflare experience helps signal that Radar is an authoritative source, while familiar layout patterns reduce the effort required to move through complex information.

Introducing Radar’s new landing page

The new and improved Radar uses a visual reference that users of all backgrounds will have a familiarity with — a map. Even though in many ways the Internet operates outside the concept of national borders, its relevance to everyday life is often best understood through geography.

The top section focuses on traffic and outages. We lead with outages as they are one of the most concrete, timely, and salient data points about the state of the Internet. Traffic, meanwhile, communicates the scale and breadth of Radar’s data. The map also acts as a navigation point into the insights below, guiding users from the global view into specific countries, trends, and data stories.

Below the map, we turned the old bento box chart widgets into a tabbed flow that helps users move through the data more deliberately. The tabs provide summary statistics to give the user a sense of Radar’s capabilities, while also giving them a call to action to explore the data in depth. The tabbed structure creates a clearer hierarchy, keeps the page from feeling overwhelming, and previews the range of information Radar provides.

From concept to reality

Developing Radar’s design language

To develop Radar’s design language, we looked across Cloudflare’s content ecosystem, which exist in these three pillars:

  • Marketing pages (like cloudflare.com)
  • Content experiences, like the Cloudflare Blog and Developer Docs
  • Product experiences

Where does Radar fit?

Ultimately, we decided that Radar sits at the intersection of all three. At its core, Radar is a data product, but it’s also public-facing and inherently content-rich. The strategy blends design aspects of all three: approachable like marketing, structured and navigable like content, and maintainable by migrating to Kumo components used by Cloudflare’s product system.

What we tried along the way

From the outset, we knew the landing needed to communicate Radar’s global perspective. Because Radar helps people understand Internet activity across countries and regions, a map felt like the clearest way to make that scope immediately visible.

The map went through many rounds of iteration as we tried to strike the right balance between data richness and approachability. Early versions were too dense — we were trying to convey credibility through data-heavy visuals. Later versions moved too far toward marketing-style visuals; they felt more approachable, but risked making Radar’s fresh data feel static or overly summarized. The current direction sits between those two poles: it has the feel of live data, but it’s easier to read.

The Radar vision and evolution

Because Cloudflare sits in front of roughly 20% of all web traffic, Radar has the opportunity to tell unique and compelling stories about the Internet. To unlock that value, we want to empower every user with real-time insights across security, performance, and traffic.

This redesign is a foundational step in that direction. Moving forward, Radar will continue to focus on tools, visualizations, and storytelling frameworks that remove friction for new audiences while doubling down on our deep data infrastructure. By pairing our technical rigor with a cleaner, human-centered experience, we are ensuring that more people can explore, understand, and share the state of the Internet.

Help us make Radar better

This redesign is our first step toward a more intuitive, scannable Radar. But we're just getting started, and we need your input. What’s working? What isn’t? What insights are still hard to uncover?

You can share feedback with us on social media at @CloudflareRadar on X, radar.cloudflare.com on Bluesky, or email us at [email protected].

How Technology Empowers—and Imperils—Dictators

Post Syndicated from Bruce Schneier original https://www.schneier.com/blog/archives/2026/10/how-technology-empowers-and-imperils-dictators.html

This essay was written with Seva Gunitsky, and originally appeared in Foreign Affairs.

Two weeks after Moscow’s full-scale invasion of Ukraine in March 2022, the Russian TV Channel One editor Marina Ovsyannikova burst onto the set of the evening newscast. She held up a hand-drawn sign behind the anchor’s head that read: “Stop the war. Don’t believe propaganda. They’re lying to you!” She shouted, “No to war!” until she was dragged away.

No one has protested the war on Russian television since then, partly as a result of tighter security and a general climate of fear. But in October 2024, Margarita Simonyan, one of Russia’s chief propagandists, gave another explanation. A growing number of the RT network’s anchors, she explained to an interviewer, are not real. “That face doesn’t exist. We generated the voice and everything else.” They were, she meant, produced by artificial intelligence. In a follow-up interview with the newspaper Vedomosti, she spelled out the logic: “These anchors don’t need a salary or insurance,” she said. “They won’t get arrested, and the police won’t search their homes. It’s all wonderful and terrifying at the same time.”

This is AI’s promise to every autocratic ruler: the ability to maintain control without delegating tasks to unreliable humans. It is an extremely attractive prospect. No matter how powerful, dictators have always needed subordinates—censors, propagandists, security guards, police officers, intelligence analysts, and local bureaucrats—to carry out their orders. But subordinates always pose a potential threat. They could shirk, steal, lie, leak, or conspire against their boss. As a result, one of the oldest dilemmas facing autocrats is how to empower agents to carry out orders without also enabling them to turn against their leader. Autocrats have usually managed the tradeoff by filling key positions with mediocrities whose incapacity is, as the political theorist Hannah Arendt put it, “the best guarantee of their loyalty.” But this inevitably makes it harder for dictatorships to govern and survive crises.

AI appears to offer autocrats two ways to resolve this long-standing dilemma. First, it means they can now easily monitor and discipline their followers in real time. A change in a local official’s spending habits or meeting schedules can be flagged automatically by an AI system, without any need for self-interested informants. Second, AI can eliminate underlings altogether. By automating tasks that once required human discretion, rulers can replace unreliable intermediaries with faithful algorithms that cannot be bribed or manipulated. Officials in autocratic regimes have said as much. AI “can definitely replace half of officials,” Russia’s Digital Development Minister, Maksut Shadaev, told a Moscow data forum in April 2025, adding, “maybe slightly more.”

Yet these promises of a self-running state are illusory, because AI is never truly autonomous. Systems have to be built and maintained by a cadre of engineers and data scientists whose expertise political leaders cannot evaluate. The ruler who turns to AI to reduce a dependence on unreliable humans may end up relying, more blindly than before, on the few AI specialists who keep the system running. And this new digital Praetorian Guard may have the same weaknesses as the old, which makes it a threat to the ruler.

Eyes and Ears

China is in the lead when it comes to developing AI systems that can monitor or replace subordinates. Smart city programs in Beijing, Shanghai, and other urban centers use AI to track performance and centralize oversight of local officials who once operated in comfortable obscurity, subjecting them to an algorithmic performance review. China also developed a “Zero Trust AI system,” which it deployed across roughly 30 counties and cities over the past decade. This system cross-referenced more than 150 government databases to catch embezzlement and nepotism by local officials. It worked a little too well, flagging 8,700 officials before local governments, under pressure from the bureaucrats it was monitoring, began rolling it back. But Beijing has not gotten rid of its new e-government portals, which use automated systems for issuing documents and permits, reducing face-to-face interactions that bred petty corruption or favoritism. The Chinese Communist Party, meanwhile, has plowed ahead with researching what it calls “thought management,” or how to use AI to create microtargeted propaganda. China’s army of Internet commentators, once composed of paid humans, is already being replaced by bots.

Russia has been pursuing the same goals with a similar fervor. Moscow’s citywide facial recognition system, deployed across 200,000 cameras, was used to identify and apprehend protesters during the 2021 antigovernment demonstrations. The central government has started using automated data collection and aggregation to bypass regional officials who could taint the data or use it to promote their own interests. In 2023, Russia’s Internet regulator launched Oculus, an AI system that scans hundreds of thousands of images per day for prohibited content, including political content—orders of magnitude beyond what human censors could process. The Russian security service’s Meliorator tool has been used to create over a thousand profiles of fictitious Americans, primarily on X (formerly Twitter), to spread Kremlin narratives at a fraction of the cost of human troll farms.

Other autocracies are following in Beijing’s and Moscow’s footsteps. In April 2025, the United Arab Emirates created a Regulatory Intelligence Office that uses AI to draft and amend federal laws, work once done by legislative staff. A year later, UAE Prime Minister Sheikh Mohammed bin Rashid al-Maktoum announced that autonomous AI agents would take over half of the federal government’s operations within two years and that “the performance of ministers, directors general, and entities will be assessed based on their ability to adopt this transformation.”

These innovations may reduce the number of bureaucrats autocrats need. But they cannot actually create what dictators want most: a self-running state. Even AI-generated television anchors need people to build and maintain them, and censorship systems need people to retrain them as the vocabulary of dissent shifts. Behind every AI model, there is a small group of engineers and data scientists doing essential maintenance, and their work is so technical that rulers cannot understand it.

This dependence thus becomes another form of power. The engineers who maintain an autocrat’s surveillance apparatus, for example, can shape what the ruler sees. They decide what information is important enough to pass along and in what form to present it. They determine which threats get flagged, and they can adjust the algorithms that select what content gets suppressed and who gets arrested. And they can do this without anyone in the palace noticing. Autocrats who turn to AI to escape a dependence on unreliable subordinates have only transferred their vulnerabilities onto a new group of officials.

In fact, this new Praetorian Guard could be more dangerous than previous elites. That is in part thanks to the opacity of AI technology but also because this clique is much smaller. Roman emperors typically had tens of thousands of people serving in the Praetorian Guard; modern autocrats rely on standing armies. But with AI, autocrats will need only a small clique of engineers to build and maintain large-scale AI systems. This might benefit rulers since they will have fewer people to watch, yet it also concentrates points of failure, since a devastating disruption requires only a handful of engineers and makes it easier for members to scheme against the leader. The new guard’s members may also be indispensable. A dictator can replace generals without destroying the army. But running complex machine-learning systems requires such a specialized set of skills that engineers can be difficult to replace without disruptions, giving these actors great leverage.

The Indispensables

The importance of tech workers to autocracies has already become apparent. When IT specialists began to flee Russia after the full-scale invasion of Ukraine in February 2022, for example, the Kremlin responded not with threats but with inducements, offering tech workers deferments from conscription. It exempted their firms from taxes and subsidized their mortgages. When Russian President Vladimir Putin ordered the mobilization of 300,000 men seven months later, IT workers were granted full-on waivers. This might seem like overkill, given that an AI system needs only a few engineers to run it. But a regime cannot know in advance which engineers it will need, and it cannot train replacements quickly, so it has to hold on to the entire talent pool from which these few are selected.

These measures did not stem the outflow of roughly 100,000 specialists—about a tenth of Russia’s tech workforce—over the course of 2022. But Moscow stuck to bribery, because expertise is extremely difficult to conscript at gunpoint and because conscripted experts might be less likely to do as instructed. Even so, money and privilege cannot guarantee that these elites will stay loyal. Autocrats should recall the lesson of the original Praetorian Guard: for a time, it provided Roman emperors with protection and security. But then the praetorians discovered their own indispensability, and by the second century, they were auctioning off the empire to the highest bidder. This new set of elites can do the same. In June 2023, when the column of Yevgeny Prigozhin‘s Wagner paramilitary company moved up the highway toward Moscow, Putin depended on his security services to tell him what was happening. Future rulers in Putin’s position will receive such warnings through machines: intercepted communications sorted by software, camera feeds filtered through recognition systems, regional reports compiled into dashboards. The engineers who run those systems could strike a deal with an upstart challenger and then drag their feet. They could delay the data, let alerts arrive a few hours late, degrade feeds at inconvenient moments, or make a recognition system stop functioning. In that scenario, the ruler would be operating blind. The Praetorian Guard did not need to kill Emperor Nero to replace him. It simply had to abandon him for a rival.

These programmers are unlikely to seize power for themselves, because they are unlikely to carry what coup leaders ultimately require: guns. But there is already precedent for engineers using their power to shape leadership challenges. In 1991, when the Soviet army attempted to seize control from Mikhail Gorbachev, a handful of programmers at the Relcom network kept information flowing abroad and relayed Russian President Boris Yeltsin’s decrees to audiences inside the country and abroad. The plotters could not stop the news of Yeltsin’s defiance from spreading, and the coup collapsed within three days.

Slimming Down

AI will not let autocrats dismiss all their enforcers. Someone still has to make arrests and run the prisons, and autocrats can buy loyalty by offering supporters state jobs. But it will let authoritarians downsize, and the number of officials ultimately matters less than how the ruler oversees them. Keeping track of scheming or incompetent subordinates has always been the autocrat’s chief burden. AI could lighten it, letting rulers watch their officials more closely without paying as much active attention.

In the near term, then, AI may greatly benefit autocracies. Despite the many obstacles to deployment, the technology is already bringing autocratic regimes the upsides of cheaper surveillance, smarter censorship, and fewer human subordinates to fear and distrust. But for autocratic rulers, the temptations of artificial intelligence may re-create the same trap they are seeking to escape. The more a regime depends on AI, the more it depends on the people who keep AI running. And those people, like every other praetorian class in history, will quickly discover what their indispensability is worth.

Защо външната политика е и вътрешна

Post Syndicated from Светла Енчева original https://www.toest.bg/zashto-vunshnata-politika-e-i-vutreshna/

Защо външната политика е и вътрешна

Всички срещу корупцията. Така изглеждаше политическият пейзаж, преди „Прогресивна България“ да спечели изборите на 19 април 2026 г., а и в първите месеци след това. На тях не можеше да гласувате например за демокрация, защото нямаше кой да ви я предложи. За да привлекат възможно по-голяма част от населението, организаторите на демонстрациите от края на 2025 г. не включваха теми, различни от антикорупцията. И действително постигнаха безпрецедентна за последните три десетилетия масовост. От обществената енергия на протестите обаче се възползва Румен Радев, който нямаше участие в тях, и постигна друга безпрецедентност за последните 30 години – пълно мнозинство в парламента.

Как външната политика стана водеща тема

По време на предизборната кампания темата за външната политика беше относително слабо засегната, макар да беше ясно, че ПП и ДБ са по-скоро проевропейски, ГЕРБ – също, поне на декларативно равнище. Румен Радев избягваше темата за външнополитическата ориентация на партийния си проект. Едва в заключителното събитие на кампанията в зала 1 на НДК се показа за секунда кадър на ръкостискане между него и Путин.

Това започна да се променя доста скоро след изборите. Докато извън България поведението на управляващите е по-скоро конформистко, но с лек проруски уклон, реториката им за пред българската публика става все по-евроскептична и откровено путинистка. ЕС бива представян едва ли не като външна принуда за страната ни, която се опитва да ни налага определени решения, а Русия – като правилния избор, но и като онова, което ни е действително близко като култура (православна, славянска) и история.

В този дух са посланията и на кандидат-президентката Илияна Йотова. Тя побърза да се разграничи от осъждащата руската агресия декларация на ООН, към която България иначе си се присъедини. Според нея българската позиция не е била отразена в декларацията, страната ни изобщо не е имала възможност да изрази резерви, а предложенията за редакция не са били приети. От тези твърдения не става ясно нито какви са били българските предложения, нито дали са отправени – хем страната ни не е могла да изрази резерви, хем предложенията ни (които същевременно не са били изразени) не са приети.

В същото време войната е все по-близо до Европа, включително и до България.

Макар управляващите да твърдят, че ако се снишаваме, бурята ще ни отмине (с мантрата „да не се въвличаме във война“, все едно войната е природно явление, а не е предизвикана от Русия), и макар Русия да ги хвали за тази им позиция. Случаите с руски дронове, паднали на територията на страни от ЕС, вече е трудно да се изброят. Прогресивно се увеличават и хибридните атаки като например опити за саботажи: заговорите за изпращане на колети с експлозиви в Полша и Румъния и за взривяване на железопътни трасета в Полша; опитът да бъде взривен дрон на летището в Лайпциг/Хале; бяха задържани латвийски граждани за палеж на фабрика за дронове в Естония.

Вече трима българи са задържани за палеж с коктейл „Молотов“ на оръжейна фирма в Мюнхен. И тук се подозира връзка с руските служби. Ала българската държава не излиза с позиция по този случай. Тя не потърси руска връзка и когато на 10 август и 12 септември бяха взривени складове на оръжейното предприятие на Емилиян Гебрев ЕМКО, макар това да бяха поредните инциденти с обекти на ЕМКО (след 2011, 2022 и 2023 г.), а Гебрев да оцеля след отравяне с новичок през 2015 г. Междувременно прокуратурата, която през 2020 г. заподозря трима руски граждани за опита за убийството на оръжейния производител, е прекратила разследването на 20 август.

Аналогично е отношението на държавата и към дроновете на българска територия.

Когато за един дрон, паднал край Кардам през август, имаше предположение, че е украински, Министерството на външните работи веднага привика посланичката на Украйна да дава обяснения. Никой обаче не попита руската ѝ колежка Елеонора Митрофанова за петте намерени предполагаемо руски дрона край бреговете на Черно море през същия месец – три край Варна, един край Поморие и един край Царево. Някои от дроновете бяха разузнавателни, но други бяха заредени с експлозиви.

Обяснения от руската държава до този момент не са поискани и по отношение на последните случаи, които представляват качествено нов етап на ескалация – нападението с дронове над два търговски кораба край Варна, единият от които потъна заедно с екипажа си – предполага се, че той се е състоял от 12 сирийски граждани, като никой от тях не е оцелял. Радев осъди атаката и призова за спиране на войната, но пропусна да каже кой е виновен. А като се има предвид, че поне за непотъналия кораб се знае, че е превозвал украински товар, не е трудно да се формулира хипотеза.

Според премиера обаче не е ясно дали дроновете са руски, или украински. Той подчерта, че макар нападението да е станало в българската икономическа зона, то е извън териториалните води на страната. Освен това се обяви против свикването на Консултативния съвет за национална сигурност (КСНС) по случая, омаловажавайки всяка потенциална критична позиция, която може да се изрече там:

Когато некомпетентни хора използват такъв случай, чуваме всякакви малоумни теории.

След настоявания от страна на опозицията президентката Илияна Йотова все пак свика КСНС. Малко по-късно украинският президент Володимир Зеленски заяви, че представители на военноморските сили на страната му и техни български колеги са уточнили, че дроновете са руски и Украйна не провежда операции в тази част на Черно море. От страна на България обаче нямаше аналогична позиция.

Денонощие и половина след атаката Посолството на Русия в България заяви, че поразените кораби не „фигурират сред целите“ на въоръжените ѝ сили в съответната нощ. Така конкретно формулирано, твърдението поражда въпроси – например дали други кораби са били целите, или атаката е извършена от структура, различна от въоръжените сили на страната. Русия няма практика да поема отговорност за хибридните атаки, извършвани с нейно участие.

Геополитиката като вътрешна политика

Външнополитическата ориентация обаче не се свежда до това на чия страна сме, а засяга и всекидневния ни живот. Не само защото войната е все по-близо до нас (авторката на настоящата статия например може да потвърди, че взривът при обезвреждането на дрона до поморийския бряг отекна доста силно), колкото и Русия да одобрява българската политика на снишаване и „миролюбство“. Не по-маловажно е отношението към демокрацията. Ако до този момент демокрацията в България е била в редица отношения фасадна, но в много други все пак съществуваща, едно геополитическо обръщане към Русия би означавало завой към откровена антидемократичност.

Индикатор за антидемократичност е например арогантното отношение към опозицията. Репликата на Радев за „некомпетентни хора“, изказващи „малоумни теории“, не е изолиран случай. ПБ промени Правилника на Народното събрание така, че да се ограничат възможностите на опозицията да предизвиква парламентарен контрол и да се съкрати времето за дебати.

Преориентация към Русия означава и повече антидемократично законодателство –

както беше например в Унгария по времето на Орбан. Почти сигурно е, че задължителното изучаване на религия в училище ще бъде въведено, както и оценки по дисциплина. Управляващите трудно могат да бъдат спрени да приемат и закон, че по български език и литература, история и география трябва да има само по един учебник, както предложи Радев при откриването на учебната година. Така учебните предмети, които са в най-силна степен свързани с формирането на идеология, ще бъдат представени само според виждането на властта, чието Министерство на образованието в крайна сметка ще избере едничкия учебник, по който да бъдат изучавани.

Ако управлението на ПБ е стабилно и особено ако е дълготрайно, можем да очакваме и приемането на закони, ограничаващи гражданските свободи. Например някакъв вариант на закон срещу „чуждестранните агенти“, забрана на всякакво публично изразяване, свързано с ЛГБТИ+ хора – уж „заради децата“, опити за ограничаване на правото на аборт, налагане на цензура върху медиите, слагане на пречки пред правото на протест и т.н.

Изглежда парадоксално, но подчинението на волята на друга държава се маскира като защита на националния интерес и патриотизъм.

Ето защо наблюдаваме все повече изблици на патриотарство и вторачване в канонизираната още от времето на късния социализъм версия на историята. История, според която българите са добри и велики, а всички, които са воювали с нас, са лоши, като се изключи Русия – тя винаги е добра, дори когато не одобрява Съединението или пък когато ни обявява война през 1944 г.

Част от тази тенденция е мащабната бутафория, свързана с предоставянето на костите на цар Самуил (за които дори не е напълно сигурно, че са негови) на България от Гърция. Предоставяне, а не „завръщане“, както беше представено събитието, защото владетелят нито е починал, нито е погребан на територията на днешна България. Но това не попречи на Йотова да заяви:

Сигурна съм, че вече е спокоен, защото е в България. Сякаш ослепените му войници прогледнаха, за да му покажат пътя към България и към народа му.

Само изгасналите очи на паметника на Самуил не светнаха сами от радост. Но за церемонията с тленните останки на владетеля БДЖ пусна безплатни влакове, а самолетът с костите заедно с още няколко летателни машини, които го ескортираха, направи няколко обиколки над София, така че да чуят и онези, които не са отишли на събитието.

Друг патриотарски изблик на Йотова е патосът ѝ в защита на кирилицата, която никой няма намерение да отменя. Но според президентката нейни неназовани опоненти твърдят, че тази азбука ни отдалечава от цивилизования свят.

Патриотарство с възможна двойна употреба

Крещиш, че искаш да си върнеш страната.
Но тя принадлежала ли ти е?
Тази страна, за която постоянно говориш,
е само блян, който те обърква,

се казва в песен на германската пънк група Die Toten Hosen. Вторачването в идеализираното минало обаче е един от основните инструменти за отдалечаване от общността на демократичните страни и преход към антидемократично управление. Виждаме го в Русия, в управлението на Тръмп, при Брекзит (с основен лозунг „Да си върнем контрола!“), при националпопулистките партии в Европа, какъвто облик придобива и „Прогресивна България“.

В настоящия период патриотарството изпълнява и друга функция – предизборна мобилизация. Родолюбивият патос, макар често да се използва за политически цели, обикновено се представя за надполитическа, общонационална кауза. Посрещаме тленните останки на Самуил, браним кирилицата и българската история, тропаме хора – всичко това привлича широки кръгове от населението.

От друга страна, инструментът с възможна двойна употреба може да се окаже и нож с две остриета.

„Прогресивният“ патриотизъм не крие своята проруска ориентация. По този начин спомага тя да бъде нормализирана. Ставайки все по-видим обаче, завоят към Путин светва като червена лампичка за онази част от населението, която е подкрепила политическия проект на Радев в името на борбата с корупцията, но не иска България да се отдалечава от европейския си път.

Ако до неотдавна Илияна Йотова минаваше за по-мек вариант на Радев, вече не е така – тя заявява все по-категорични геополитически и ценностни позиции. И може би при нея тези позиции са дори по-автентични, отколкото при доскорошния президент. Защото той все пак е бил натовски генерал, завършил е две висши военновъздушни училища в САЩ, а тя винаги е била от БСП.

Независимо от патриотарските напъни на Йотова, в последна сметка резултатът ѝ на първия тур на изборите ще зависи най-вече от подкрепата за ПБ. А тази подкрепа намалява, макар партията на Радев все още убедително да води пред останалите политически сили. Според социологическите агенции, измерили спадащия рейтинг, промяната се дължи най-вече на икономически причини. Ако геополитическата преориентация на България не се възприема на масово равнище като проблем и не ѝ се противостои, тя ще се задълбочава. А когато забележим, че покрай борбата с измислени врагове сме изгубили свободата си, вече може да е късно да си я връщаме.

Заглавно изображение: Тленните останки на цар Самуил бяха посрещнати с държавни почести в България след постигнато споразумение с Гърция за връщането им у нас. Снимка: Facebook / Румен Радев

За нуждата от структурни промени в прокуратурата

Post Syndicated from Bozho original https://blog.bozho.net/blog/4633

Предстои избор на ВСС и смятам, че можем да изберем прилични 11 члена, на база на постъпилите номинации. Разбира се, предстои изслушване, а вчера по наша инициатива беше прието решение да се провери дали кандидатите не присъсъват из материалитв за Нотариуса и Осемте джуджета – все важни неща за окончателното решение.

Но новият ВСС няма как трайно да реши проблемите с правосъдието – нито една кадрова промяна не може да реши структурните проблеми. А те в прокуратурата са съществени.

Управляващите обявиха, че в началото на следващата година ще предложат промени в Конституцията, свързани и със съдебната власт. И ако има 160 гласа за приличен състав на ВСС, може да има 160 гласа и за конституционни промени в глава „Съдебна власт“.

Прогресивна България говорят за промени в статута на ВСС, но тъй като на този етап не споменават прокуратурата и главния прокурор, ние започваме консултации с професионалната и академичната общности, за да изговорим решения на отдавна констатираните проблеми: безконтролността на главния прокурор, капсулацията на прокуратурата, както и на други проблеми, свързани с независмостта и качеството на правосъдието.

Ние имаме своите идеи, но искаме да чуем първо съдии, прокурори, следователи, адвокати, преподаватели, граждански сектор. Дали предложенията ни ще включват отнемане на формални и символни правомощия на главния прокурор, въвеждането и засилването на външен контрол и отчетност на главния прокурор, повишаване на обществения контрол над прокуратурата или друго – ще обявим по-нататък, след задълбочени дискусии.

Не сме в позиция да налагаме решения, но сме в позиция да търсим съгласие.

И ще подходим отговорно към това, защото не сме се отказали, въпреки че Конституциинният съд се самоовласти с редица спорни решения и ограничи Народното събрание, и влизайки „в ролята на оракул, [който] раздава политически индулгенции и запазва статукво“ (както казва председателят на Конститиционния съд Румен Янков през 2003 г. в особеното си мнение) – проблем, на който също трябва да търсим решение.

Ако няма дълбоки структурни промеми, дори един читав Висш съдебен съвет да избере един добър главен прокурор, той едва ли би останал такъв до края на мандата си при сегашните правила. „Властта има склонността да развращава, а абсолютната власт развращава абсолютно“ (лорд Актън) важи с пълна сила за свръховластени позиции, като тази на главния прокурор, особено при отрицателния кадрови подбор в последните години и структурните предпоставки за задкулисни политически влияния.

А без промени там, ще продължава да има чадъри за едни и бухалки за други, дела на трупчета, престъпници на свобода и липса на справедливост.

Материалът За нуждата от структурни промени в прокуратурата е публикуван за пръв път на БЛОГодаря.

Microsoft Launches Surface Laptop Ultra, Surface RTX Spark Dev Box

Post Syndicated from Ryan Smith original https://www.servethehome.com/microsoft-launches-surface-laptop-ultra-surface-rtx-spark-dev-box/

Microsoft today launched its first two NVIDIA RTX Spark-powered systems, the Surface Laptop Ultra and Surface RTX Spark Dev box. Aimed at developers and other professionals, the high-end systems offer a fresh face to NVIDIA and Microsoft’s Arm ecosystem efforts

The post Microsoft Launches Surface Laptop Ultra, Surface RTX Spark Dev Box appeared first on ServeTheHome.

Configuring your AI vulnerability harness, Part 2: The steering file

Post Syndicated from Justin Kontny original https://aws.amazon.com/blogs/security/configuring-your-ai-vulnerability-harness-part-2-the-steering-file/

This post shows you how to configure an AI model to perform structured, evidence-based vulnerability triage with the consistency of a seasoned security analyst. You’ll learn the design decisions behind five configuration sections that enforce structural verification, evidence-based scoring, and infrastructure-aware prioritization across every analysis session. Our companion post—Building your AI vulnerability harness—covered the architecture; this post covers the configuration.

The distinction matters because the same frontier model that produces a rigorous, evidence-grounded security assessment with one set of instructions will produce hallucinated attack chains and inflated severity ratings with another. The model’s capability is fixed. What you configure is its judgment.

We learned this the hard way while building the harness. Our early iterations produced findings that sounded authoritative but crumbled under scrutiny. The model would report a SQL injection in a function that didn’t exist, claim HIGH confidence based on nothing structural, or ignore an AWS WAF in blocking mode directly in the request path. The output wouldn’t have earned engineering trust in that state.

The fix wasn’t a better model. It was better steering.

What a steering file is

A steering file is a set of instructions that an AI coding assistant loads at the start of every session. Different tools use different conventions—Kiro reads markdown files from a .kiro/steering/ directory, Claude Code uses CLAUDE.md, Cursor uses .cursorrules, and GitHub Copilot uses .github/copilot-instructions.md—but the function is the same: persistent instructions that shape how the model approaches work in your repository.

Applied to security analysis, a steering file encodes your team’s triage methodology as machine-executable instructions. Instead of relying on individual engineers to apply that methodology consistently, you encode it once and the model applies it uniformly across analyses.

The steering file we’re releasing encodes the architectural principles from the harness post as operational instructions. Where the harness post says apply infrastructure-aware assessment, the steering file specifies exactly how: which controls map to which multipliers, how multipliers stack, and what floor prevents over-confidence in any single control.

Why configuration outperforms prompting

A single-turn prompt (find vulnerabilities in this code) produces whatever the model’s default behavior generates. That default is optimized for helpfulness, not rigor. The model will find things to report because you asked it to find things.

A steering file changes the default. It establishes:

  • What counts as evidence: Without explicit instructions, a model treats its own reasoning as sufficient evidence. The steering file requires structural verification—confirmed dataflow, confirmed function existence, and confirmed call path—before a finding is reported.
  • What confidence means: On its own, a model assigns confidence based on how plausible its narrative sounds to itself. The steering file replaces self-reported confidence with a formula computed from binary structural signals. Either taint analysis confirms the flow or it doesn’t. Either a call graph connects entry point to sink or it doesn’t.
  • How infrastructure affects priority: Left to its defaults, a model assesses vulnerabilities in isolation from their deployment context. The steering file requires parsing infrastructure as code (IaC) and applying control-specific multipliers before assigning priority.

The goal is reproducibility: the same codebase should produce the same assessed findings regardless of who runs the analysis or when. Consistency is the point.

The five sections that matter

The full steering file is available in the companion repository. In this section, we explain the design decisions behind its five critical sections.

Structural verification over LLM trust

Never trust an LLM's self-reported confidence about a vulnerability.
Verify claims against the code structure:
1. Do referenced files exist?
2. Do referenced functions exist?
3. Does dataflow confirm the claim?
4. Is there a call path?

If a finding fails all structural checks, reject it regardless of how
convincing the narrative sounds.

This is the single most important instruction in the file. Without it, the model generates plausible-sounding attack chains that reference functions that were renamed three commits ago, files that exist in a different package, or dataflows that pass through sanitization that the model failed to notice.

We found that approximately 30% of unsteered model findings referenced code structures that didn’t exist in the target repository. Not wrong interpretations—entirely fabricated paths. The instruction to verify before reporting produced zero fabricated paths in our testing.

The key insight: hallucination in security analysis isn’t a minor annoyance. One hallucinated finding that reaches a developer destroys the can quickly erode the credibility of your entire pipeline. Engineers who encounter a fabricated vulnerability are less likely to keep reading the reports.

Evidence-based confidence scoring

The following formula replaces the model’s intuitive confidence with a score computed from observable signals. Each factor is binary: confirmed or not confirmed.

confidence = 0.30 * taint_confirms_flow
           + 0.25 * no_sanitization_found
           + 0.20 * entry_point_is_public
           + 0.15 * call_graph_confirms_path
           + 0.10 * sink_type_matches_category

We weighted taint confirmation highest (0.30) because a confirmed dataflow path—evidence that user-controlled data reaches a security-sensitive operation—is the single strongest predictor that a finding is real. In our validation against known-vulnerable applications, findings with confirmed taint and no sanitization were exploitable 89% of the time. Findings where the model reported HIGH confidence without structural confirmation were exploitable 34% of the time.

The formula is a starting point, not a fixed standard. Your weights should reflect your own validation data. Run the formula against a labeled dataset of known true and false positives, then adjust until precision matches your team’s tolerance for noise.

Infrastructure-aware assessment

This section addresses a common category of over-prioritization: reporting a vulnerability at full severity when compensating controls are already in place.

score_after_controls = max(0.15, score * block_1 * block_2 * ... * block_n)

Controls are mapped to specific vulnerability classes. An AWS WAF with SQL injection rules in blocking mode is a STRONG control (0.25x multiplier) against SQL injection. It is irrelevant to deserialization attacks. The steering file specifies this mapping explicitly rather than leaving the model to guess.

The multiplicative stacking of attack-blocking controls with a floor of 0.15 encodes defense-in-depth thinking. Multiple controls reduce risk more than any single control, but no combination of controls reduces risk to zero. The floor prevents the model from concluding that a vulnerability is completely mitigated and can be ignored.

A subtlety we learned through validation: access controls (authentication and authorization) and attack-blocking controls (AWS WAF rules and input validation) serve different functions. Authentication limits who can attempt an exploit. It doesn’t limit what happens when an authenticated user attempts one. A command injection behind AWS Identity and Access Management (IAM) authentication is still a command injection; the attacker pool is smaller, but the impact when exploited is unchanged. The steering file accounts for this by mapping control types to specific score components rather than applying a blanket multiplier.

Threat intelligence integration

The steering file incorporates signals from the CISA Known Exploited Vulnerabilities (KEV) catalog and the Exploit Prediction Scoring System (EPSS) to boost priority when threat intelligence indicates active risk.

The following table lists the primary signals the steering file recognizes and the boost that each signal adds to a finding’s score. Each signal answers a different question about real-world exploitation risk:

  • CISA KEV – Indicates that attackers have exploited the vulnerability in the wild and notes whether it is tied to ransomware campaigns.
  • EPSS – Estimates the probability that attackers will exploit a vulnerability in the next 30 days.
  • Public proof of concept (PoC) – Indicates that working exploit code is already published, so an attacker has little work left to do.
Signal Boost
Actively exploited (CISA KEV) +0.30
Ransomware-associated (CISA KEV) +0.15
EPSS >= 0.5 +0.20
Public PoC exists +0.10

There’s a cap at +0.50 total boost to prevent threat intelligence from dominating the score. A vulnerability isn’t more technically exploitable because attackers are targeting it, but it is more urgent because the window between theoretically exploitable and actively exploited can be very short.

We separate urgency from severity deliberately. A medium-severity dependency vulnerability under active exploitation by ransomware groups demands a faster response than a critical-severity code-level finding that requires complex preconditions and has no known tooling.

Priority classification

Scoring produces a number and priority classification turns that number into a decision, which is what a developer on the receiving end of a finding needs.

The following table shows the four action tiers that the steering file defines. The score and evidence thresholds determine which tier a finding falls into, and each tier prescribes a specific response. The steering file compares these thresholds against the final score: the base score after it applies attack-blocking multipliers and any threat-intelligence boost. That final score is not the confidence value from the formula earlier in this post, and it is not the severity that the scanner reported.

Priority Criteria Action
P0 Score >= 0.8, no effective attack-blocking mitigation Fix immediately
P1 Score >= 0.6 OR active threat intel Fix this sprint
P2 Score >= 0.4, partial evidence Investigate when capacity
P3 Score < 0.4 or effectively mitigated Accept risk or backlog

The most controversial instruction in the file: Do not file P3 findings as security issues. We include it because filing low-confidence or fully mitigated findings as tickets trains teams to ignore security tooling. Each false positive or irrelevant finding filed as a bug reduces engagement with the system’s output. A pipeline that produces ten confirmed findings gets more engineering attention than one that produces two hundred maybes.

Validation results

We tested the steering file against a purpose-built vulnerable application containing ten known vulnerabilities: eight exploitable and two mitigated by infrastructure controls. The application includes an AWS WAF with SQL injection rules in blocking mode, Amazon Virtual Private Cloud (Amazon VPC)-isolated AWS Lambda functions, and IAM authentication on each endpoint.

  • Without the steering file, the model found all ten vulnerabilities and correctly identified both mitigated findings as lower priority. However, it assigned severity based on intuition (this is a command injection, so it’s CRITICAL) rather than evidence, and it produced no structural verification of its claims.
  • With the steering file, the model found nine of ten vulnerabilities (not flagging a hardcoded credential that had been intentionally embedded in unit-testing code and was defined but never called), correctly downgraded the two mitigated findings to P3 with documented rationale, showed its confidence calculation for each finding, and verified each claimed dataflow against the actual code.

The scoring calibration required one iteration. Our initial version applied authentication as a blanket multiplier that suppressed all findings behind IAM to P2 regardless of impact. We corrected this by separating access-limiting controls (which reduce the reachability score component) from attack-blocking controls (which reduce the full confidence score). The current version correctly classifies a command injection behind IAM authentication as P0: the auth limits who can reach it, but the impact when exploited is remote code execution regardless.

How to use the steering file

The three options that follow cover an always-on Kiro steering file, the same content as an on-demand Kiro skill, and how to carry the same content to Claude Code or another assistant.

Option 1: As a Kiro steering file

Drop the steering file into your repository at .kiro/steering/vuln-triage.md. Any session using Kiro’s built-in default agent loads the instructions automatically. When you or your engineers ask the model to analyze code for security issues, it applies the methodology without additional prompting.

If your team uses a custom agent rather than the default, steering files aren’t loaded automatically; you have to add the file to the agent’s resources explicitly:

{
    "resources": ["file://.kiro/steering/**/*.md"]
}

your-repo/
├── .kiro/
│   └── steering/
│       └── vuln-triage.md   ← steering file
├── src/
├── cdk/
└── ...

You can also place it in ~/.kiro/steering/ to apply the methodology across every workspace on your machine, rather than scoping it to a single repository.

Option 2: As a Kiro skill

If you want the methodology available on demand rather than consuming context window space in every turn, place it as a skill. Kiro loads only the skill’s name and description at startup and pulls in the full instructions when the skill activates. This keeps the instructions out of unrelated conversations.

A skill is a folder containing a SKILL.md file. The folder name must match the name in the YAML front matter:

name: vuln-triage
description: Structured vulnerability triage methodology with evidence-based scoring and infrastructure-aware prioritization. Use when analyzing code for security vulnerabilities.

your-repo/
├── .kiro/
│   └── skills/
│       └── vuln-triage/
│           └── SKILL.md   ← skill file
├── src/
└── ...

Kiro’s default agent discovers skills in .kiro/skills/ automatically; no configuration required. The skill then activates either automatically, when Kiro matches a request against the description, or explicitly as a slash command. A skill named vuln-triage becomes /vuln-triage, so an engineer can run an assessment on demand:

> /vuln-triage focus on the authentication changes

Place skills in ~/.kiro/skills/ to make them available across every project on your machine. If your team uses a custom agent rather than the default, skills aren’t loaded automatically, you must add them to the agent’s resources:

{

	"resources": ["skill://.kiro/skills/*/SKILL.md"]

}

Option 3: Adapted for other tools

The methodology isn’t specific to Kiro. The repository also ships the same content as a CLAUDE.md file for Claude Code, and the principles apply to any assistant that loads persistent instructions from your repository—consult your tool’s documentation for the filename and location it expects.

What this doesn’t replace

A steering file is methodology, not machinery. It tells the model how to think about findings but doesn’t provide:

  • Programmatic taint tracking: The model approximates dataflow by reading code. A purpose-built taint tracker confirms dataflow against the abstract syntax tree (AST) deterministically. For Python codebases, static analysis tools built on parsers like Tree-Sitter provide this. For other languages, the model’s approximation is reasonable but not authoritative.
  • Live infrastructure verification: The steering file instructs the model to parse IaC files. It can’t make API calls to verify that an AWS WAF rule is attached to the Amazon API Gateway in your deployed environment, or that a security group hasn’t been modified since deployment.
  • Threat intelligence feeds: The file instructs the model to consider CISA Known Exploited Vulnerabilities (KEV) and Exploit Prediction Scoring System (EPSS) data. The model’s training data includes historical KEV entries, but it can’t query live feeds. For current exploitation status, you need an API integration.
  • Execution-based verification: The steering file produces assessed findings. Confirming exploitability by executing a proof of concept against a live environment requires additional tooling: a sandbox, request signing, and differential testing infrastructure.

Each of these capabilities adds confidence to the pipeline. The steering file without them still produces measurably better results than an unsteered model: structured findings, cited evidence, and infrastructure-aware prioritization. But it represents the first layer of a mature harness, not the complete system.

What comes next

The steering file gives your team a structured methodology for AI-powered vulnerability triage today. It works with the tools you already have. It works without infrastructure changes, new services, or a procurement process.

The steering file is available in our GitHub repository. We encourage you to use it, adapt it to your environment, and let us know what you find.

The authors work on security automation at AWS. The patterns described here emerged from building and validating AI-powered vulnerability detection systems across multiple teams and deployment environments.

If you have feedback about this post, leave a comment in the Comments section below.


justin kontny

Justin Kontny

Justin is a Senior Software Engineer, Security, at AWS who blends a passion for software development with deep expertise in cloud security. He focuses on building agentic security solutions using AI-Driven Development Lifecycle (AIDLC) practices, transforming security from a barrier into a business enabler. Outside of work, Justin enjoys spending time with his children and staying active outdoors.

Ievgeniia Ieromenko

Ievgeniia Ieromenko

Ievgeniia is a Software Development Engineer at AWS, where she builds tooling and agentic AI systems designed to strengthen security posture without slowing delivery. Outside of work, she enjoys traveling, volunteering, and outdoor adventures with her very good dog, Pickle.

nidhi ramakant

Nidhi Ramakant

Nidhi is a Software Development Manager at AWS with two decades of experience in security and enterprise architecture. She’s obsessed with helping customers secure their environments and building creative solutions that make security decisions easier. She’s equally invested in developing the talent around her. Outside work, she’s either binging shows or vibe coding apps for secure local LLMs so her kids can explore and learn safely.

Building your AI vulnerability harness, Part 1

Post Syndicated from Nidhi Ramakant original https://aws.amazon.com/blogs/security/building-your-ai-vulnerability-harness-part-1/

Vulnerability scanners produce findings faster than manual triage can process them. Your developers ship more code with more dependencies, and the volume of candidate findings grows with it.

Many findings a scanner produces are unlikely to be exploited. The ones that matter need to reach an engineer fast, with enough evidence that they can act immediately rather than repeat the analysis. The challenge is separating signal from noise at the speed your pipeline demands.

This post shows you how to close the gap between detection and action. We built a three-layer pipeline that takes raw scanner findings and narrows them to a small, prioritized set with documented evidence of exploitability. The companion post, Configuring your AI vulnerability harness, will cover the steering file that drives the model’s behavior inside this pipeline. This post covers the layers around it.

Because the pipeline’s value comes from its filtering logic and evidence standards—not from any specific tool—you can substitute your own scanners and models without changing the architecture. Your AI provider, your infrastructure stack, and your scanner ensemble will differ from ours. The architectural decisions—what to filter at each layer, what counts as evidence, where to stop trusting the model—transfer regardless.

What a test harness is

A test harness is an automated framework that subjects a system to controlled inputs and observes whether outputs match expected behavior. Applied to vulnerability detection, the harness takes each candidate finding, constructs a test to evaluate exploitability, executes that test in a controlled environment, and records the evidence. The harness is the testing infrastructure, not the results it produces.

Traditional static application security testing (SAST) tools rely on pattern matching, with data-flow analysis varying by tool and language. They flag known-shape sinks well but struggle with multi-hop chains, business-logic flaws, context-dependent sanitization, and whether a sink is reachable from attacker-controlled input. AI-augmented analysis addresses that reasoning gap: tracing across files, inferring intent, and weighing deployment context.

The key conceptual distinction is that we don’t run a model against the codebase. The codebase is context passed to a model with a specific prompt. The model receives code and applies reasoning about how data flows, where trust boundaries exist, and whether security-relevant patterns are present.

Context scoping is one of the harder parts of this architecture because too much context can overwhelm the model’s reasoning window, while too little can produce analysis gaps that generate false negatives. For a basic AWS Lambda function, the relevant context might be a single file plus its AWS Identity and Access Management (IAM) role. For a complex microservice with shared libraries and layered infrastructure, deciding what to include requires understanding the application’s dependency graph. The model can reason about your deployment topology if you provide it; for example, by passing AWS Cloud Development Kit (AWS CDK) constructs or AWS CloudFormation templates as additional context. Starting narrow and expanding only when the model’s initial assessment is inconclusive generally produces better results than passing everything at once.

Building the pipeline

Security scanners can produce high volumes of findings each time they run. Many of these are false positives that look like vulnerabilities but aren’t real issues. To separate real problems from noise, the pipeline filters findings through three layers. Each layer applies a different type of evidence. By the end, a smaller number of prioritized issues backed by documented evidence remains.

Layer 1: Multi-scanner agreement

Plausibility comes first. Run multiple scanners independently against the same codebase: when two or more converge on the same finding, confidence increases. When only one scanner reports an issue and no other tool agrees, the pipeline flags that finding for extra scrutiny.

This approach—called multi-scanner agreement—is a low-cost way to increase confidence. It works with your existing tools and requires no new infrastructure.

Layer 2: Structural verification

The second layer verifies structure. AI-powered scanners describe how they think a vulnerability works: data enters through one function, passes through another, and reaches a point where it could cause harm. However, these descriptions can be wrong.

Before a finding moves forward, the pipeline verifies it against the actual code. It checks to see if the function that the scanner mentioned exists, that the file exists, and if data can flow along the path described by the scanner. If not, the pipeline rejects the finding.

This verification step uses the code’s abstract syntax tree (AST): a structured map of how functions, files, and data flows connect in your codebase. This step helps protect the credibility of your pipeline’s output. If unverified findings reach human reviewers, teams quickly learn to distrust the results, which reduces the security value of the tool.

Layer 3: Deployment context

The final layer adds deployment context. Vulnerabilities exist within the context of an architecture, which might include protective controls. These controls can include AWS WAF rules, network isolation, authentication requirements, and input validation.

This layer reads your infrastructure-as-code (IaC) templates—such as CloudFormation or Terraform files that define your cloud architecture—alongside your application source code. It then checks to see if an attacker can exploit a vulnerability by avoiding the controls that are in place.

Not all controls provide the same level of protection. A web application firewall rule that directly blocks the relevant attack technique provides stronger mitigation than one that addresses a different type of vulnerability. The pipeline treats control effectiveness as a spectrum, not a yes-or-no checkbox.

The result

The result is a short list of findings. Each one has cleared all three layers: it passed the plausibility check, its structure checks out against the code, and its deployment context indicates it can be taken advantage of. The number of findings decreases at each layer, and confidence in the remaining findings increases.

Principles

Four principles emerged from building this pipeline:

  • Progressive filtering with escalating evidence – Each layer demands a different kind of proof. The first layer checks that the finding is plausible. The second determines if it’s structurally real. The third analyzes if it’s exploitable in context. Using three focused layers works better than using one comprehensive layer, because each layer catches a different type of error.
  • Infrastructure context transforms prioritization – Without deployment context, you might assume that a critical-severity finding is more urgent than a medium-severity finding. However, a critical finding behind strong protective controls might be less urgent than a medium finding that’s directly exposed to the internet. To make this assessment, the pipeline needs access to your IaC templates, not only your application source code.
  • Independent agreement outperforms single-tool confidence – No single scanner reliably detects the full range of vulnerabilities. No single model produces correct results across all situations. When multiple independent tools agree on a finding, that agreement provides a stronger signal than one tool’s self-reported confidence score. This principle generally holds across tool choices.
  • AI-generated claims require verification before human review – Language models can produce outputs that sound plausible but might not be correct. Verifying AI-generated findings against the actual code structure—before a human reviews them—is what separates a useful system from one that erodes trust through confident-sounding errors.

How to apply this to your stack

You don’t need to build everything at once. Adopt them in order of immediate return:

  • Start with indexing – Build (or use) an AST-based index of your codebase that surfaces entry points, sinks, and authentication configuration. This costs nothing to run and gives you a map of your attack surface before any AI is involved.
  • Add multi-scanner triage – Take the output you already get from Semgrep, CodeQL, or equivalent tooling, and run it through the AST gate plus a large language model (LLM) exploitability classification. This delivers substantial noise reduction for a modest investment: you’re filtering output from tools you already run.
  • Add hypothesis generation – After triage is stable, add AI-driven discovery of vulnerabilities scanners miss: multi-hop chains, business-logic flaws, and cross-package data flows. This is the step where steering quality matters a great deal; see Configuring your AI vulnerability harness.
  • Add infrastructure context – Parse your CDK or CloudFormation, map controls to vulnerability classes, and apply the multipliers. This is where your prioritization becomes more targeted.
  • Add live verification – Run proofs of concept (PoCs) against a deployed pre-production target with structured success criteria. This step requires the most operational overhead, so run it last and only for findings that have already passed your confidence threshold.

Treat the pipeline as something you tune over time. Validate it against known true and false positives, adjust the weights, and rerun. Your results will change.

What this doesn’t solve

The harness is detection infrastructure. It helps you see which findings are likely real and which deserve attention first. It doesn’t:

  • Fix the code – Remediation is a separate problem. The harness produces findings with enough evidence that a human or agent can act on them; the act of remediation requires its own tooling and process.
  • Replace human review for final action – Even after three layers of filtering, the output is a prioritized list of likely-exploitable findings, not proven exploits. Priority 0 (P0) findings still warrant review by an engineer before they drive code changes.
  • Catch vulnerability classes outside the scanner ensemble’s detection profile – If none of your scanners look for a particular vulnerability category, the harness won’t surface it. AI-augmented hypothesis generation closes some of this gap, but novel or business-logic flaws still depend on what the model can reason about from code alone.
  • Verify live infrastructure state by default – Parsing IaC tells you what was defined. It doesn’t tell you whether a WAF rule got disabled last week, or whether a security group was modified after deployment. Live verification is an additional integration, not a property of the layers themselves.

Each of these limits points to where the architecture extends, not where it breaks. The harness is the first floor of a multi-story system, not the whole building.

What comes next

In this post, we showed how a three-layer pipeline—multi-scanner agreement, structural verification, and deployment context—narrows scanner output to a small, higher-confidence set of findings that your team can act on. The architecture is tool-agnostic; what transfers is where to filter, what counts as evidence, and when to stop trusting the model.

The architecture produces consistent results when the model receives consistent instructions. Our companion post, Configuring your AI vulnerability harness, covers the steering file that encodes this methodology as machine-executable instructions, including the confidence formula, the infrastructure control multipliers, and the verification gates that help prevent hallucinated findings from reaching your engineers. The same model that produces rigorous, evidence-grounded assessments with well-crafted instructions can produce inflated severity ratings and fabricated attack chains without those instructions. Configuration is what turns capability into judgment.

The window between disclosure and exploitation is narrowing. Embedding automated detection into your development workflows helps your team keep pace. We built this pipeline through trial and error and are sharing it so you can skip some of the mistakes we made.

For more information about the services mentioned in this post, see the AWS Lambda, AWS WAF, and AWS CloudFormation documentation.

If you have feedback about this post, leave a comment in the Comments section below.


nidhi ramakant

Nidhi Ramakant

Nidhi is a Software Development Manager at AWS with two decades of experience in security and enterprise architecture. She’s obsessed with helping customers secure their environments and building creative solutions that make security decisions easier. She’s equally invested in developing the talent around her. Outside work, she’s either binging shows or vibe coding apps for secure local LLMs so her kids can explore and learn safely.

Ievgeniia Ieromenko

Ievgeniia Ieromenko

Ievgeniia is a Software Development Engineer at AWS, where she builds tooling and agentic AI systems designed to strengthen security posture without slowing delivery. Outside of work, she enjoys traveling, volunteering, and outdoor adventures with her very good dog, Pickle.

justin kontny

Justin Kontny

Justin is a Senior Software Engineer, Security, at AWS who blends a passion for software development with deep expertise in cloud security. He focuses on building agentic security solutions using AI-Driven Development Lifecycle (AIDLC) practices, transforming security from a barrier into a business enabler. Outside of work, Justin enjoys spending time with his children and staying active outdoors.

Four Compliance Frameworks, One Security Team. How Universities Can Stop Drowning in Regulatory Risk

Post Syndicated from Rapid7 original https://www.rapid7.com/blog/post/it-compliance-frameworks-for-universities-drowning-in-regulatory-risk

Most industries manage one major compliance framework. Universities might manage four simultaneously, each bringing with it unique requirements, enforcement mechanisms, and consequences for failure. Here’s what that actually looks like in practice.


In Part 1 of this series, we laid out the scale of the threat facing higher education: 4,388 cyberattacks per organization per week, a 24% year-over-year increase, and the fundamental architectural flaw of defending each campus independently. If the threat picture alone wasn’t enough to demand action, there’s a second crisis unfolding in parallel that is, if anything, more immediately consequential.

The regulatory environment for higher education has quietly become one of the most complex in any sector. Universities don’t just face the legal and reputational fallout of a data breach. They face simultaneous obligations under four distinct federal frameworks, each with its own definition of adequate security, its own reporting timelines, and its own set of penalties for non-compliance.

Managing those four frameworks across a single campus is hard. Managing them across a multi-campus system where each school operates its own IT environment, with its own tools, its own staff, and its own data governance practices, is a compounding nightmare that most institutions haven’t fully reckoned with yet.

Let’s walk through each framework from the ground-level.


FERPA: The 24-hour clock nobody talks about

The Family Educational Rights and Privacy Act (FERPA) has governed the privacy of student education records since 1974. Most university administrators are broadly familiar with it, whereby students have the right to access their own records, institutions have an obligation to protect those records from unauthorized disclosure, and violations can result in loss of federal funding.

Now, what has become far more operationally consequential in the age of sophisticated cyberattacks is the breach notification requirement for financial aid data.

When a breach compromises student financial aid information, institutions must notify the Department of Education’s Federal Student Aid office within 24 hours of discovering the incident. Not 72 hours, which is the standard under many commercial data breach frameworks. Not “as soon as practicable,” but twenty-four hours.

Think about what that timeline actually demands. A ransomware attack is discovered at 9 PM on a Friday. By 9 PM Saturday, your institution needs to have identified that student financial aid data was involved, determined the scope of the breach, and filed formal notification with federal regulators, while simultaneously managing the technical response, communicating with affected students and faculty, engaging legal counsel, and trying to figure out what else the attackers may have accessed.

That 24-hour window is not achievable through manual investigation. It requires automated detection capabilities that can identify the scope of a breach in real time, data classification that knows where financial aid information lives across your environment, and incident response processes that are tested, documented, and ready to execute under pressure at any hour of any day.

For most universities, especially those operating with fragmented, campus-by-campus security tooling, this capability simply doesn’t exist at the required level. The 24-hour clock starts ticking the moment you discover the breach. But in a complex, multi-campus environment, “discovery” often comes well after the actual compromise, and characterizing the scope of what was accessed can take days or weeks without unified visibility.

Repeated FERPA violations can result in loss of eligibility for federal student aid programs, a consequence that would be existential for most institutions.


GLBA: When a university becomes a financial institution

The Gramm-Leach-Bliley Act’s Safeguards Rule is probably the least intuitive compliance obligation for higher education administrators who don’t think of their institutions as financial entities. But universities have been clearly defined as financial institutions under GLBA since 2002, because they originate and service student loans and manage financial aid disbursements.

The Federal Trade Commission’s updated Safeguards Rule, which took full effect in 2023, significantly expanded the security requirements for covered institutions. Universities must now maintain a comprehensive written information security program that includes risk assessments, access controls, encryption, multi-factor authentication, incident response planning, and vendor oversight, all aligned to NIST 800-171.

More specifically, universities that handle Federal Tax Information (i.e. virtually every institution that processes FAFSA data) must treat that information as Controlled Unclassified Information. The CUI designation comes with its own set of handling requirements, access controls, and audit obligations that most institutions’ current security programs weren’t designed to address.

The incident reporting requirement under GLBA is particularly demanding. If a security event affects 500 or more consumers, institutions must provide notification to federal law enforcement immediately upon discovering the breach. In practice, regulators have interpreted “immediately” to mean within hours, not days. The operational requirement is essentially identical to FERPA’s 24-hour clock: you need to know what happened, who was affected, and what data was compromised before most human-driven investigation processes could possibly complete.

For multi-campus university systems, GLBA creates an additional structural challenge: financial aid data doesn’t necessarily stay within campus boundaries. Students who transfer between campuses within the same system carry their financial aid history with them. System-level financial aid administration often centralizes data from all campuses into shared databases. A breach that starts at one campus may quickly implicate financial aid data across the entire system. Moreover, the reporting obligation doesn’t scale by campus. If your system’s data is compromised, the institution as a whole is responsible for the response.


HIPAA: The healthcare dimension universities underestimate

The Health Insurance Portability and Accountability Act applies wherever protected health information is created, received, transmitted, or maintained. For universities, that means student health centers, counseling services, university hospitals, and any research program that involves human subjects data.

The size of this compliance surface is frequently underestimated. A mid-size university with a student health clinic, a counseling center, a physical therapy program, and a research lab conducting clinical trials is handling significant volumes of protected health information, often spanning across IT systems that were procured and managed by clinical departments independently of the central IT organization.

Under HIPAA, breaches affecting 500 or more individuals must be reported to the Department of Health and Human Services within 60 days of discovery, and affected individuals must be notified within the same timeframe. Breaches affecting 500 or more individuals in a single state also trigger media notification requirements. For institutions operating across multiple states, the geographic complexity multiplies quickly.

The HIPAA enforcement environment has become significantly more aggressive in recent years. The HHS Office for Civil Rights has levied multi-million dollar penalties against healthcare organizations with security programs that would be considered industry-standard in other sectors. Universities that have historically operated their health services with a degree of IT independence from the main campus security program are increasingly exposed.

The intersection of HIPAA with the multi-campus challenge is particularly acute. When a student health system shares infrastructure with academic IT, a breach that starts in the academic environment can propagate to health records, and the reporting obligations that apply to health data are more demanding than those for most other types of student information. Without unified visibility across all the environments where PHI might reside, institutions can’t even reliably determine whether a given incident triggers HIPAA notification requirements.


CMMC: The research funding stakes are getting higher

The Cybersecurity Maturity Model Certification framework was developed by the Department of Defense to ensure that contractors and subcontractors handling Controlled Unclassified Information meet a consistent baseline of cybersecurity practices. For most of its history, CMMC’s relevance to higher education was limited to a relatively small number of research universities with significant DoD contracts.

That’s changing. As the federal government has increased the scope and value of research contracts that involve sensitive national security applications — advanced materials, artificial intelligence, quantum computing, biotechnology — the number of universities with CMMC obligations has grown substantially. And the consequences of non-compliance are not administrative fines. They’re loss of contract eligibility. For research universities where federal funding constitutes a significant portion of total revenue, that exposure is existential.

CMMC Level 2 compliance requires demonstrating implementation of 110 security practices drawn from NIST 800-171, covering everything from access control and incident response to system and communications protection and risk assessment. At higher levels, institutions must undergo third-party assessment by a certified organization; there’s no self-certification option.

The practical challenge for universities is that research computing environments are often structurally separate from the main campus IT organization. Research labs build their own systems. Principal investigators make their own technology decisions. The research network may have evolved organically over decades without the kind of deliberate security architecture that CMMC requires. Bringing those environments into compliance while preserving the operational flexibility that researchers require is a genuinely difficult operational challenge.


The compounding reality: Four frameworks at once

The challenge isn’t just that each of these frameworks is demanding in its own right. It’s that they apply simultaneously, to the same institution, with overlapping (and sometimes conflicting) requirements and timelines.

A data breach at a large research university with a hospital and a student health center can simultaneously trigger FERPA notification obligations (24-hour window for financial aid data), GLBA notification requirements (immediate notification if 500+ consumers affected), HIPAA breach reporting (60 days, plus potential media notification), and CMMC incident reporting (if the affected systems touched CUI). Each notification goes to a different federal agency. Each has its own documentation requirements. Each creates its own legal exposure if the response is delayed, incomplete, or inaccurate.

Managing this in the aftermath of an active breach — while simultaneously running the technical response, communicating with campus leadership, engaging legal counsel, and trying to prevent further damage — is genuinely overwhelming. And it’s made dramatically more difficult when the security team doesn’t have unified visibility across the environments where all four categories of regulated data might reside.

This is the core operational argument for consolidated security in higher education. Not just the threat landscape. Not just the operational efficiency of managing fewer tools. The compliance exposure created by fragmented, campus-by-campus security program is a material risk that university boards and general counsels are only beginning to fully understand.


What compliance-ready security actually requires

Meeting these four frameworks simultaneously, across a multi-campus environment, with the speed that their reporting requirements demand, requires security capabilities that most university systems don’t currently have at the required level:

Automated detection that operates at machine speed. You cannot investigate your way to a 24-hour notification window. You need detection capabilities that identify the nature and scope of a breach in real time; not in the hours or days that manual investigation requires.

Unified data classification across all campuses. You cannot know whether a breach triggers FERPA, GLBA, HIPAA, or CMMC notification requirements unless you know where each category of regulated data lives, across every campus, every department, every research lab, and every shared service in the system.

Centralized compliance reporting that spans campus boundaries. Each campus maintaining its own compliance evidence, in its own format, with its own audit trails, makes system-level compliance reporting a manual, error-prone, and enormously time-consuming exercise. A breach that crosses campus boundaries requires a consolidated view of what happened, when, and to whose data.

Incident response processes that can execute at the required speed. The 24-hour clock doesn’t care that your legal team doesn’t work weekends. Pre-defined, pre-approved response playbooks that can be activated immediately are the only way to reliably meet notification deadlines that leave no room for deliberation.

The good news is that a security platform built for multi-campus university environments can address all of these requirements. And not as separate point solutions, but as integrated capabilities that support each other. In Part 3 of this series, we’ll look at exactly how that works and what it means for university security programs that are ready to move beyond the fragmented, campus-by-campus model.


Coming up in Part 3: The architecture, the open source intelligence advantage, the real-world outcomes, and why consolidated security isn’t just a better defense, but a smarter investment.


Rapid7 helps more than 11,000 organizations worldwide take command of their security. Learn more at rapid7.com/sled.

The collective thoughts of the interwebz