Моя лента

Недавно Алексей Ахмеев, руководитель Управления информационной безопасности Своего Банка, выступил на Практическом интенсиве по информационной безопасности для CIO, где затронул тему, с которой рано или поздно может столкнуться любая компания: как действовать, когда ИБ-инцидент уже произошел, а руководство ждет ответов.

Алексей с удовольствием поделился материалом с Хабром. Мы собрали основные тезисы его выступления и разобрали десять вопросов, к которым CIO стоит быть готовым в первые часы после инцидента.

Привет, Хаброжители! Менее чем за десятилетие глубокое обучение пережило два ключевых этапа. Сначала Python-библиотеки вроде Keras, TensorFlow и PyTorch вывели нейронные сети из лабораторных экспериментов в реальный продакшен. Затем LLM и другие инструменты генеративного ИИ преобразовали жизнь бизнеса и общества. Франсуа Шолле, создатель библиотеки Keras, и Мэттью Уотсон, занимающийся разработкой Gemini в Google, полностью переработали и обновили книгу, чтобы вы разобрались в устройстве трансформеров, собрали собственную мини-модель GPT и диффузионную модель генерации изображений и дообучили языковую модель методом LoRA.

Некоторое время назад мой мир был прост. Каждый день учеба, работа, дом. Никаких переживаний и нововведений. Жизнь как по ровненькой дорожке.

Так было ровно до того момента, как я не попал в реальную IT команду, на свой первый коммерческий проект. На первом же созвоне коллег я понимал буквально через слово. Обсуждали какие-то новые фреймворки, интеграции, легаси, синки и деплои. Меня просто обложили новыми терминами. Было немного стыдно.

К следующему созвону решил подготовиться и добросовестно погрузиться в процесс, чтобы просто не выглядеть глупо, ну или хотя бы поверхностно понимать о чем идет речь. Открыл tg-каналы и профессиональные сообщества. Везде видел примерно одинаковые заголовки, что-то по типу «React всё? Учим новый стек за 5 минут», «Топ-10 инструментов, без которых джуна уволят завтра». А в браузере теперь было куча вкладок. Мозг постепенно превращался в кашу от огромного количества информации и глаз уже начинал дергаться.

Я расскажу вам как пытался объять необъятное, к чему это привело, и как я в итоге разработал личную систему, которая помогла мне сохранить рассудок и начать работать эффективно.

Revolut, британский финтех с десятками миллионов клиентов, за неполный год сократил расходы на ИИ ассистентов для кода примерно на 90%. Банк отказался от Claude Code и Codex и перешел на открытую модель GLM от китайской Z.ai, развернутую на собственных GPU. 

Цифры озвучил Дэвид Абитбол, руководитель эксплуатации и инфраструктуры Revolut, на конференции AI Engineer в Нью-Йорке. Это лишь оценка самой компании, независимо ее никто не проверял. Но любой команде, которая считает бюджет на ИИ-кодинг, кейс полезен своей конкретикой.

В большинстве языков программирования понятия «истина/ложь», «значение есть/значения нет» и «успех/ошибка» живут в разных мирах. Для первого существует примитив bool и конструкции if/else, для второго — Option<T> (Maybe a), для третьего — Result<T, E> (Either a b). У каждого из них свои конструкторы (true/false, Some/None, Ok/Err) и свой набор комбинаторов.

Системный язык программирования Edva, спроектированный без единого ключевого слова, сводит все бинарные исходы к единому примитиву на уровне системы типов — алгебраическим разветвлениям (Algebraic Ramifications, или коротко — Rams).

Ссылки

Всем привет!

Меня зовут Михаил Поливаха, я технический лидер проекта Axelix. Недавно мы перешагнули отметку 10 000 загрузок в месяц. Мы сами разрабатываем инструмент для работы со Spring-приложениями, поэтому вопросы релизных циклов, поддержки версий и обновления зависимостей для меня не абстрактная теория. С ними приходится сталкиваться и в роли пользователя Spring, и в роли разработчика Open Source-проекта.

А начать я хочу с ситуации, которая, я думаю, знакома многим. Релиз уже в плане, фича написана, тесты зелёные, сборка собрана. Осталось прогнать последний пайплайн и выкатить изменения. И вот на шаге SCA всё становится красным: в одной из зависимостей нашли уязвимость.

Ну ладно, бывает. Сейчас поднимем patch-версию, заберём исправление и поедем дальше. Для того patch-релизы и существуют, верно?

Открываете Maven Central, смотрите на свою линию Spring Boot, а следующего номера там нет. И, что гораздо хуже, уже не будет.

Допустим, у Вас Spring Boot 3.5.16. Это последний открытый релиз линии 3.5, он вышел 25 июня 2026 года. Следующий номер, 3.5.17, в календаре Spring есть, но помечен как enterprise. То есть патч существует. Проблема в том, что Ваш пайплайн смотрит на Maven Central, а туда этот патч не попадёт.

В этот момент почти обязательно находится коллега, который говорит: «Так 3.5 же LTS! Как это патча не будет?»

Ядро 0.1.7

Новые протоколы. Ядро само работает с серверами, которые раньше были серыми:

VMess (TCP, TLS, WebSocket, HTTPUpgrade), ссылки vmess:// в обоих видах и JSON-подписки (#5);

Trojan поверх TLS или REALITY, по TCP, WebSocket или HTTPUpgrade, TCP и UDP, ссылки trojan:// и JSON-подписки Xray и sing-box (#6);

TrustTunnel (HTTP/2), ссылки tt:// и JSON-подписка эндпоинта;

VLESS поверх WebSocket и HTTPUpgrade (type=ws / type=httpupgrade).

Совместимость проверена на настоящих Xray 26.10.31 и sing-box 1.14.4.

Презентация отчета — не финал. В T2.Digital мы посчитали, что происходит с результатами исследований дальше: сколько артефактов доезжает до прода, сколько оседает в бэклоге, а сколько уходит в стол. Рассказываем, как устроена наша метрика Оценка Влияния Исследований, а также разбираем несколько альтернативных подходов к измерению вклада исследований

Агентная модель Axion 1.0-35B набирает 52,2% на Humanity’s Last Exam в режиме с инструментами. Это ровно столько же, сколько у GPT-5.5 в той же таблице, и больше, чем у Gemini 3.1 Pro. Обучена она на 18 000 примеров SFT плюс обучение с подкреплением (RL), без промежуточного дообучения, DPO и дистилляции. Авторы из ByteDance, Университета Дьюка, Мэрилендского университета и Университета в Буффало выложили не только веса, но и сам способ, от генерации данных до кода обучения. Давайте разбираться.

OpenAI рассказала об эксперименте с автономной системой поиска уязвимостей. В её основе — ещё не выпущенная кибермодель.

Исследователи собрали вокруг неё многоступенчатый пайплайн: одни агенты выбирают перспективные участки кода, другие ищут потенциальные ошибки, затем система пытается воспроизвести их в изолированной среде, проверить возможность эксплуатации и подготовить патчи.

В середине октября 2026 года этот процесс запустили на ядре Linux (проверяли не всё ядро). Для анализа выбрали 5034 участка кода — около 2,8 млн строк, или примерно 7% кодовой базы Linux. Результат — 2308 потенциальных проблем, 1724 воспроизведённые уязвимости и 948 уникальных уязвимостей повышения привилегий (LPE), для которых удалось создать рабочие эксплойты.

Когда мы говорим о развитии команды, часто всё сводится к довольно понятному набору действий: есть карта компетенций, сотрудник оценивает себя, руководитель выставляет оценки, затем появляются цели развития, курсы и планы на квартал. Все заполнили, со всем согласились — и разошлись работать.

Но часто появляется вопрос: а что дальше? Как сделать так, чтобы всё это не осталось циферками в Excel, а действительно поменяло команду и повлияло на бизнес?

Знаете это чувство, когда читаешь статью про локальные LLM и думаешь: «А, ну это же просто. Поставлю Ollama, тяну модель, и у меня уже свой ИИ-агент, который знает весь код»?

Я думал именно так.

Меня зовут Егор Лаптев, я QA Fullstack Java в SENSE на проекте крупного российского банка. У меня MacBook Pro M2 Pro с 32 ГБ RAM: не topical машина, но для разработки рабочая лошадка. Даже не подозревал, что через 20 минут после запуска модели ноутбук будет звучать как истребитель на взлёте, а температура процессора будет такой, что можно было бы варить яичницу на крышке.

Это история о том, как «просто запустить локально» превратилось в инженерный проект с бюджетом, расчётами и одним почти сгоревшим ноутбуком.

Возможно, кто-то скажет, что Habr — не Pikabu, что этой статье здесь не место.
Однако поскольку Timeweb регулярно публикуется здесь с рекламой, возьму на себя риск и отступлю немного от канона, чтобы выступить этаким балансиром.

Раз уж Timeweb активно использует хабр, как площадку для саморекламы, тогда и статья, что покажет читателю этот бизнес со стороны реального пользователя также может оказаться полезна.

Многие из нас писали асинхронный код, который помогает не блокировать потоки при ожидании ответа от процессов, сетевого соединения или устройств. Вызов с callback-функцией задействует много сущностей: и планировщик задач, и межпроцессное взаимодействие, и системные вызовы, и механизмы ядра Linux. Без асинхронных вызовов не обходятся настольные операционные системы, и их разработка требует баланса между производительностью и безопасностью. Также важно сохранить код читаемым и удобным. 

Меня зовут Илья Клементьев. Я разрабатываю настольную операционную систему kvadraOS Desktop на основе ChromiumOS. В этой статье я постараюсь найти ответ на вопрос: что же все-таки лучше для асинхронного кода — poll() или epoll()? И нужно ли это оборачивать в корутины C++20? 

Мне тут подкинули задачку: оценить возможности карточек Mellanox ConnectX-6. Эти карточки относятся к классу умных (SmartNIC), поэтому могут не просто считать контрольные суммы и сегментировать пакеты, а выполнять более сложные операции. А конкретно они умеют делать:

·      Трансляцию IP-адресов (NAT);

·      L4-балансировку;

·      L3-маршрутизацию.

В обычных системах эти функции выполняются в ядре Linux на центральном процессоре. С помощью умной карты эти операции можно перенести в железо, высвободив вычислительные ресурсы CPU, а возможно, даже ускорить их работу. В этой статье я расскажу, как сравнивал производительность двух сред (процессор общего назначения и специализированный ASIC), как настраивал окружение и собирал стенд, а в конце поделюсь результатами измерений.

Начну с короткого обзора умных карт Mellanox ConnectX.

В октябре 2026 года в ядре Linux закрыли дыру, в которую мог войти любой, кто умеет отправить TCP-пакет. Это происходит ещё до того, как хоть один байт доходит до вашего приложения, без пароля и без аккаунта — уязвимый код срабатывает в момент, когда ядро ещё только пожимает руку входящему соединению. Баг родился в январе 2016-го. Десять лет через него проходило практически каждое TCP-соединение в интернете. А 27 октября Anthropic сообщила, что её неопубликованная модель написала к нему эксплойт: 48 минут — и у неё адрес ядра, ещё пять — и у неё root.

Дыра тут, в сущности, ни при чём. Просто взлом подешевел, а мы продолжаем считать по-старому.

И нет, это не история о том, что ИИ всех взломает. Пока мы спорили, заменит ли нас Copilot, изменились две вещи, и произошло это одновременно.

Первая. Десять лет мы жили с багом, который снаружи неотличим от аккуратно спрятанной закладки. Как Heartbleed. Прав оказался параноик в шапочке из фольги: несокрушимых систем нет, есть только сложность, которая делает взлом невыгодным. И эта сложность только что обвалилась в цене.

Вторая. ИБ с приходом ИИ изменилась сильнее, чем разработка. Только разработка менялась у всех на виду — с мемами, холиварами, стартапом на каждый чих и новым жанром статей «Я уволил разработчиков и сделал это за вечер». ИБ же менялась за закрытой дверью. А июньская ситуация с Fable навесила на эту дверь мощный замок. Модели, которые превращают гонку в ядре в шелл от root, работают прямо сейчас. Просто не у нас. Отсюда неудобный вопрос: мы этого не заметили — или нам не показывают?

Я CTO облачного провайдера, то есть человек, у которого под ядром Linux крутятся чужие деньги. И, сложив новостной поток и уведомления от ЦМУ ССОП в общую картинку, я хочу сказать, что пора бить тревогу!

Знать C для чтения вообще не надо: достаточно понимать, что такое указатель, и быть знакомым с Go, PHP или Node.js. Если есть что добавить или поправить — приглашаю в комментарии.