Open Source Signal #049 / Сигнал відкритих джерел

Editorial frame

What this is: A bilingual editorial filter for public-interest OSINT. Each item explains what happened, why it matters, how a reader can use the insight, and where the method or evidence has limits.

What this is not: Doxxing, live targeting, stolen-data workflows, private-person deanonymization, credential hunting, revenge calls, unsafe operational guidance or unverified accusations against private people.

Rubric map

📡 Signal One

🇺🇦 Ukraine Lens

⚖️ War Crimes Verification

🛰️ Infrastructure Signals

🤖 AI Verification

🛡️ Investigator OPSEC

⚠️ Risk Watch

🇺🇦Ukraine LensУкраїнська оптика

#01

Kyiv’s repeated strikes need one ledger for air defence and another for civilian harm

Source: Reuters · 7 July 2026

What happened

Reuters reported another Russian missile attack on Kyiv, describing it as the third air attack on the capital in under a week. The report connected the new strike to wider concerns over ballistic-missile interception and the availability of U.S.-made air-defence interceptors.

Why it matters

For accountability work, attack reporting and air-defence reporting must not collapse into one number. Civilian harm, munition type, interception claims, warning time, rescue status and later corrections all need separate timestamps.

How to use it

Keep two linked tables: one for strike effects and one for air-defence claims. Record source class, timestamp, location granularity, casualty-status time, interception claim, later correction and withheld safety-sensitive detail.

Limits

Do not publish exact impact points, live air-defence positions, shelter patterns, rescue-sensitive addresses, identifiable victim images or speculation about interceptor stocks.

Повторні удари по Києву потребують окремого журналу оборони й окремого журналу шкоди цивільним

Джерело: Reuters · 7 липня 2026

Що сталося

Reuters повідомило про новий російський ракетний удар по Києву, назвавши його третім повітряним нападом на столицю менш ніж за тиждень. Матеріал пов’язує цей удар із ширшими питаннями перехоплення балістичних ракет і наявності американських засобів протиповітряної оборони.

Чому це важливо

Для роботи з притягнення до відповідальності повідомлення про удар і повідомлення про оборону не можна зводити до одного числа. Шкода цивільним, тип боєприпасу, заяви про перехоплення, час попередження, стан рятувальних робіт і пізніші уточнення потребують окремих часових позначок.

Як це застосувати

Ведіть дві пов’язані таблиці: одну для наслідків удару, іншу для заяв про протиповітряну оборону. Фіксуйте тип джерела, час, приблизність локації, час уточнення щодо постраждалих, заяву про перехоплення, пізніше виправлення та вилучені чутливі деталі.

Обмеження

Не публікуйте точні місця влучань, поточні позиції протиповітряної оборони, схеми укриттів, адреси, чутливі для рятувальників, упізнавані зображення постраждалих або припущення щодо запасів засобів перехоплення.

ukrainekyivair-defencecivilian-harmsource-discipline

🇺🇦Ukraine LensУкраїнська оптика

#02

Shadow-fleet tanker strikes are a maritime logistics record, not just combat footage

Source: Reuters · 7 July 2026

What happened

Reuters reported that Ukrainian forces said they struck Russian shadow-fleet tankers used to deliver fuel to occupied Crimea. The report described Sea of Azov activity, sanctions context and Kyiv’s stated goal of disrupting fuel and ammunition logistics.

Why it matters

For public-interest OSINT, the durable record is vessel identity, ownership trail, sanctions status, route pattern, cargo claim, port linkage, damage status and confidence level.

How to use it

Create one row per vessel: name variant, IMO/MMSI where public, ownership source, sanctions source, last public position, claimed cargo, incident date, visual-evidence status and unresolved identity issues.

Limits

Do not publish current vessel-tracking details that enable live targeting, crew identities, private communications, unsafe boarding guidance or weak name matches as fact.

Удари по тіньових танкерах — це морський логістичний запис, а не просто бойове відео

Джерело: Reuters · 7 липня 2026

Що сталося

Reuters повідомило, що українські сили заявили про удари по російських тіньових танкерах, які доставляли пальне до окупованого Криму. У матеріалі описано активність в Азовському морі, санкційний контекст і заявлену Києвом мету порушити паливну та боєприпасну логістику.

Чому це важливо

Для суспільно важливої роботи з відкритими джерелами довготривалий запис — це ідентичність судна, ланцюг власності, санкційний стан, схема маршруту, твердження про вантаж, зв’язок із портами, стан пошкоджень і рівень упевненості.

Як це застосувати

Створіть окремий рядок для кожного судна: варіант назви, публічний IMO або MMSI, джерело щодо власності, джерело щодо санкцій, остання публічна позиція, заявлений вантаж, дата інциденту, стан візуальних доказів і невирішені питання ідентичності.

Обмеження

Не публікуйте поточні дані відстеження суден, які допомагають ураженню в реальному часі, імена екіпажу, приватні комунікації, небезпечні поради щодо доступу на судно або слабкі збіги назв як факт.

ukrainemaritime-osintshadow-fleetcrimeasanctions

🤖AI VerificationШІ та верифікація

#03

FLARE-AI turns scattered AI harms into triage-ready reports

Source: WIRED · 1 July 2026

What happened

WIRED covered FLARE-AI, a crowdsourced reporting system for AI flaws and harms developed with input from researchers and safety experts. The system is meant to standardise reports and route them to developers, coordinators and incident registries.

Why it matters

OSINT teams already collect scattered user reports, screenshots and demonstrations of model failures. A reporting form is useful only if it preserves context, scope, reproducibility, harm category and disclosure status.

How to use it

For AI incidents, capture model or product name, version if visible, user-visible behaviour, reproduction steps at a safe level, harm category, affected group, disclosure recipient, timestamp and redactions.

Limits

Do not publish private chats, personal data, harmful prompts, bypass recipes or unreviewed allegations against private people. Treat public reports as leads, not conclusions.

FLARE-AI перетворює розпорошені шкоди від ШІ на придатні для розбору повідомлення

Джерело: WIRED · 1 липня 2026

Що сталося

WIRED описав FLARE-AI — краудсорсингову систему повідомлень про вади й шкоду від ШІ, створену за участі дослідників і фахівців з безпеки. Система має стандартизувати повідомлення й передавати їх розробникам, координаторам і реєстрам інцидентів.

Чому це важливо

Команди, що працюють з відкритими джерелами, вже збирають розрізнені повідомлення користувачів, скріншоти й демонстрації збоїв моделей. Форма повідомлення корисна лише тоді, коли зберігає контекст, межі, відтворюваність, тип шкоди та стан розкриття.

Як це застосувати

Для інцидентів ШІ фіксуйте назву моделі або продукту, видиму версію, поведінку, яку бачив користувач, безпечний рівень відтворення, тип шкоди, зачеплену групу, отримувача повідомлення, час і приховані деталі.

Обмеження

Не публікуйте приватні чати, персональні дані, шкідливі запити, рецепти обходу захисту або неперевірені звинувачення проти приватних людей. Публічні повідомлення слід вважати зачіпками, а не висновками.

ai-verificationflaw-reportingincident-triagepublic-reportssafety

⚠️Risk WatchМежі й ризики

#04

AI-assisted bug finding needs a disclosure record before it becomes a stunt

Source: WIRED · 1 July 2026

What happened

WIRED reported that a security researcher used Claude during research into Front Gate Tickets and reported a serious vulnerability that the company said it fixed within 24 hours. The article also described disagreement over what exposure was possible and what was proven.

Why it matters

The public-interest record is not the exploit technique. It is who found the flaw, what authority they had, when disclosure happened, what the vendor confirmed, what remained disputed and whether affected users were notified.

How to use it

Log researcher role, tool involvement, authorisation status, disclosure date, vendor acknowledgement, fix date, data-exposure claim, user-notification status, independent confirmation and details withheld.

Limits

Do not reproduce bypass steps, payloads, account-takeover paths, customer data, admin details or instructions that turn a disclosure story into an attack guide.

Пошук вразливостей за допомогою ШІ потребує запису розкриття, перш ніж ставати видовищем

Джерело: WIRED · 1 липня 2026

Що сталося

WIRED повідомив, що дослідник безпеки використовував Claude під час перевірки Front Gate Tickets і повідомив про серйозну вразливість, яку компанія, за її словами, виправила протягом 24 годин. У матеріалі також описано розбіжності щодо можливого й доведеного рівня доступу.

Чому це важливо

Суспільно важливий запис — це не техніка атаки. Важливо, хто знайшов ваду, які повноваження мав дослідник, коли відбулося повідомлення, що підтвердив постачальник, що залишилося спірним і чи повідомили зачеплених користувачів.

Як це застосувати

Фіксуйте роль дослідника, участь інструмента, наявність дозволу, дату повідомлення, підтвердження постачальника, дату виправлення, твердження щодо доступу до даних, повідомлення користувачів, незалежне підтвердження та вилучені деталі.

Обмеження

Не відтворюйте кроки обходу захисту, корисні навантаження, шляхи захоплення облікових записів, дані клієнтів, адміністративні деталі або вказівки, які перетворюють історію розкриття на посібник для атаки.

ai-cyberresponsible-disclosurevulnerabilityvendor-responserisk-watch

🛰️Infrastructure SignalsІнфраструктурні сигнали

#05

A passive audit can expose whether critical infrastructure has a way to receive vulnerability reports

Source: arXiv · 4 June 2026

What happened

An arXiv paper measured Chile’s cyber-disclosure coverage for 915 officially designated vital operators using passive, public-source methods. It found very low publication of verifiable vulnerability-disclosure channels and widespread email-authentication weaknesses.

Why it matters

This is a useful model for non-invasive infrastructure OSINT: measuring whether public operators have visible reporting channels can be done without probing, scanning or touching systems.

How to use it

For each operator, record legal category, official name, domain source, reporting-channel evidence, security.txt status, email-authentication status, contact confidence and review date.

Limits

Keep the method passive. Do not scan, authenticate, exploit, enumerate staff accounts, contact operators under false pretexts or publish weak findings as proof of compromise.

Пасивна перевірка показує, чи має критична інфраструктура спосіб отримувати повідомлення про вразливості

Джерело: arXiv · 4 червня 2026

Що сталося

Стаття на arXiv виміряла охоплення кіберрозкриття для 915 офіційно визначених життєво важливих операторів Чилі за допомогою пасивних публічних методів. Автор виявив дуже низьку частку перевірних каналів для повідомлення про вразливості та поширені слабкі місця автентифікації електронної пошти.

Чому це важливо

Це корисна модель невтручального дослідження інфраструктури з відкритих джерел: виміряти, чи мають публічні оператори видимі канали повідомлення, можна без зондування, сканування або взаємодії з системами.

Як це застосувати

Для кожного оператора фіксуйте правову категорію, офіційну назву, джерело домену, доказ наявності каналу повідомлення, стан security.txt, стан автентифікації пошти, рівень упевненості щодо контакту та дату перевірки.

Обмеження

Метод має лишатися пасивним. Не скануйте, не входьте в системи, не використовуйте вразливості, не перебирайте облікові записи працівників, не звертайтеся до операторів під вигаданим приводом і не подавайте слабкі знахідки як доказ злому.

critical-infrastructurepassive-osintvulnerability-disclosuresecurity-txtemail-authentication

🤖AI VerificationШІ та верифікація

#06

AI transparency statements are source documents, not proof of transparency

Source: arXiv · 16 June 2026

What happened

An arXiv paper analysed Australian government AI transparency statements and argued that formal compliance can create a transparency illusion when documents serve high-control stakeholders better than people exposed to higher risk and lower control.

Why it matters

For public-interest OSINT, a transparency statement is evidence that an organisation said something, not evidence that the system is understandable, fair, contestable or safe for affected people.

How to use it

Extract fields: agency, AI use, decision area, affected group, human review, appeal path, data source, risk description, update date and missing stakeholder-facing detail.

Limits

Do not treat a disclosure page as independent verification. Compare it with procurement records, user guidance, legal mandates, complaints and observed system behaviour.

Заяви про прозорість ШІ — це джерельні документи, а не доказ прозорості

Джерело: arXiv · 16 червня 2026

Що сталося

Стаття на arXiv проаналізувала австралійські заяви державних органів про прозорість ШІ й стверджує, що формальна відповідність може створювати ілюзію прозорості, коли документи краще обслуговують впливових учасників, ніж людей із вищим ризиком і нижчим контролем.

Чому це важливо

Для суспільно важливої роботи з відкритими джерелами заява про прозорість є доказом того, що організація щось заявила, але не доказом зрозумілості, справедливості, оскаржуваності або безпечності системи для зачеплених людей.

Як це застосувати

Вилучайте поля: орган, використання ШІ, сфера рішення, зачеплена група, людський перегляд, шлях оскарження, джерело даних, опис ризику, дата оновлення та відсутні деталі для людей, яких це стосується.

Обмеження

Не сприймайте сторінку розкриття як незалежну перевірку. Порівнюйте її із записами про закупівлі, інструкціями для користувачів, правовими вимогами, скаргами та спостережуваною поведінкою системи.

ai-governancetransparencypublic-sectorsource-documentsverification

⚖️War Crimes VerificationВерифікація воєнних злочинів

#07

Image-forensics notes must record refinement, not just detector scores

Source: arXiv · 11 March 2026

What happened

An arXiv paper argued that generative AI systems can help refine manipulated images in ways that preserve identity and visual plausibility while undermining some deepfake detectors.

Why it matters

For war-crimes verification and public investigations, detector output is only one signal. The evidence record also needs acquisition path, platform transformations, editing history, provenance clues and human visual review.

How to use it

Keep the original file, reposted copies, hashes, metadata status, compression history, visible artefacts, detector name, detector version, score, reviewer note and unresolved authenticity questions.

Limits

Do not publish target faces, private images, evasion recipes, model prompts or detector-bypass details. A low or high detector score is not a legal conclusion.

Нотатки з експертизи зображень мають фіксувати доопрацювання, а не лише оцінки виявляча

Джерело: arXiv · 11 березня 2026

Що сталося

Стаття на arXiv стверджує, що генеративні системи ШІ можуть допомагати доопрацьовувати змінені зображення так, що зберігаються ідентичність і візуальна правдоподібність, але послаблюється робота частини виявлячів дипфейків.

Чому це важливо

Для верифікації воєнних злочинів і публічних розслідувань результат виявляча є лише одним сигналом. Доказовий запис також потребує шляху отримання, платформних перетворень, історії редагування, ознак походження та людського візуального перегляду.

Як це застосувати

Зберігайте первинний файл, перепубліковані копії, контрольні суми, стан метаданих, історію стиснення, видимі артефакти, назву виявляча, його версію, оцінку, нотатку перевіряча та невирішені питання автентичності.

Обмеження

Не публікуйте обличчя цілей, приватні зображення, рецепти ухилення, запити до моделей або деталі обходу виявлячів. Низька чи висока оцінка виявляча не є юридичним висновком.

image-forensicsdeepfakeverificationevidence-recordhuman-review