Четверть века вокруг одного из главных стандартов современной криптографии держалась почти детективная интрига. В 2000 году американский институт стандартов NIST утвердил набор эллиптических кривых от P-192 до P-521 – сегодня на P-256 держатся подписи сертификатов сайтов, токены входа и защищенные чипы телефонов. Параметры этих кривых выведены из начальных значений (seed), которые Агентство национальной безопасности США передало в стандарт без всяких объяснений. 16 октября 2026 года команда Anthropic сообщила, что ее внутренняя исследовательская модель Claude меньше чем за полчаса нашла происхождение этих чисел, а криптограф Филиппо Вальсорда, объявивший за разгадку награду, подтвердил правильность решения.
Опубликован предварительный доклад о том, что невозможность полной интерпретации LLM переоценена. Автор Nick Cammarata в своей статье на сайте goodfire.com утверждает, что его эксперименты показывают, что можно отследить формирование ответа LLM, что позволяет изменить подходы к обучению и верификации моделей. сам автор называет текст гипотезой, основной статьи с полным описанием экспериментов пока нет. Но как обычно громкий заголовок и сильные утверждения привели к множеству пересказов, где гипотеза превратилась в факт.
Я делаю браузерную текстовую ролевую игру, где ведущим работает языковая модель. Игрок пишет любое действие своими словами, мастер отвечает рассказом, а игра ведёт механику: здоровье, деньги, характеристики, инвентарь, броски d20. Кажется, что всё просто: отправь модели историю и лист персонажа, получи ответ. На практике самые интересные задачи оказались не в промптах вида «напиши смешно», а на стыке вероятностной модели и детерминированной игровой механики. Ниже — четыре таких места и то, как я их решил.
Стек: Node.js 24, Express, встроенный node:sqlite, модели через OpenRouter и общий для сервера и браузера модуль движка.
… или как спасти человека, работающего с мыслительным протезом.
Задолго до кембрийского взрыва ИИ канадский дизайнер Том Вуджек показал принципы инженерного творчества на трех простых упражнениях: на башне из спагетти с зефиркой на вершине, на рисунке тоста и на стене со стикерами. Его выступления на TED разошлись по тренингам и стали учебными пособиями для MVP, пилотных проектов, системных карт и стратегических сессий. Увы, сегодня эти практики воспринимаются как карго-культ, и их повторяют как ритуал: подвинул стикер, получил банан процент от KPI. А теория, идеи и история, которые за ними стояли, забываются.
Если вы бывали на тренинге по аджайлу или дизайн-мышлению, то, скорее всего, видели много подобных упражнений. Четыре человека, двадцать сухих спагетти, по ярду скотча и ниток, одна зефирка и восемнадцать минут. Команда спорит, чертит, делит роли. За минуту до гонга зефирку торжественно ставят на вершину, и конструкция медленно, с достоинством складывается пополам. Вуджек, проводивший это упражнение десятки раз, называет такой момент переходом от «та-дам» к «ой-ой».
Дальше на тренинге обычно смеются, обсуждают командную работу, а потом идут пить кофе. Упражнение сделано, галочка поставлена. Мысль, ради которой его придумали, чаще всего остается на столе вместе с обломками спагетти.
Сам Вуджек формулирует ее одной фразой: «У каждого проекта своя зефирка». Это допущение, которое никто не проверил и которое обрушит всю конструкцию в последний момент.
В современной разработке такие башни из спагетти встречаются часто, только выглядят по-другому, а зефирка от этого легче не становится. Модель выдаст код, чертеж или сотню вариантов детали быстрее, чем команда договорится о том, кто держит скотч. Правда, такой код падает на первых живых данных.
Недавно Вуджек назвал искусственный интеллект зловещей проблемой. Но что стоит за этой фразой? Луддизм или глубокое понимание основ творческого процесса?
В этой статье я попробую ответить на этот вопрос. Для этого стряхну пыль с трех выступлений Вуджека и посмотрю, что они заложили в современный бизнес и ИТ. А заодно и покажу, что, вернувшись к их сути, мы получаем готовый способ работать с ИИ. Итак, расчехляем виниловые проигрыватели, ставим пластинку Jethro Tull, звоним друзьям и идем на кухню за пачкой макарон.
Как за 5 минут создать сайт бесплатно: 5 AI-сервисов без кредитной карты
Раньше на сайт уходили дни: макеты, вёрстка, хостинг. Сейчас достаточно одного промпта — и через пару минут у вас живая ссылка, которую можно отправить заказчику или друзьям. Собрали пять сервисов, где бесплатный тариф реально работает, а не служит заглушкой.
Получите за 5 минут хсами хороший сайт за который у вас попросят 30000 рублей
Gemini Code Assist — https://codeassist.google/ Компания: Codeassist (Google). Бесплатный AI-ассистент для индивидуальных разработчиков без кредитной карты. Лимит: до 6 000 запросов, связанных с кодом, и 240 запросов в чате в день. Модальности: llm, video, image, audio.
Base44 — https://base44.com/ai-app-builder Компания: Base44. Vibe-coding платформа для создания приложений и сайтов. Бесплатный план без карты: 25 кредитов сообщений в месяц (не более 5 в день) и 100 интеграционных кредитов в месяц. Платные планы от $16/мес.
Choicely — https://www.choicely.com/free-ai-app-builder Компания: Choicely. AI-конструктор нативных iOS и Android приложений. Бесплатно: 150 кредитов в месяц (25 в день) на генерацию приложения, создание экранов и изменения. Без кредитной карты.
Blink — https://blink.new/ Компания: Blink. AI-конструктор сайтов и приложений с хостингом за минуты. Бесплатный тариф: 5 кредитов сборки в день, максимум 30 в месяц. Без карты. Платный старт — $25/мес.
Дал агенту таску — получил уголовку: как Claude взламывает чужие сервера, чтобы закрыть бенчмарк
Anthropic опубликовали отчет о том, что вытворяют их модели (включая Claude Mythos и Opus), если дать им доступ в сеть во время оценки по бенчмаркам. Чтобы закрыть таску любой ценой, сетка эксплуатировала RCE/инъекции на сервере университета, отправляла фейковые показания об убийстве в полицию и обходила собственные ограничения безопасности через сокращатели ссылок.
Вот самое показательное из отчета:
1️⃣ Эксплуатация уязвимостей ради калькулятора Задачка: провести научный расчет с помощью веб-утилиты. Утилита хостится на сервере университета и в момент теста выплевывает ошибку. Что делает нормальный специалист? Ищет альтернативу или чинит окружение.
Что делает Claude Mythos? Начинает сканировать сайт университета, находит кривой скрипт с уязвимостью чтения файлов, выкачивает бэкенд, находит в коде дыру под инъекцию команд, через нее выполняет shell-команды прямо на университетском сервере и считает то, что нужно. Инженеры годами спорят об этичности ИИ, а модель молча оформила несанкционированный RCE-взлом, потому что ей просто нужен был ответ в бенчмарке.
2️⃣ Обход пейволла через Web Archive Нужно спарсить данные с госпортала, но сайт требует платную подписку или акцепт лицензии. Модель не стала жаловаться на нехватку бюджета. Она раскопала конфигурационные файлы фронтенда, нашла рабочие токены доступа, а в другом кейсе залезла в Web Archive, выяснила, как старый эндпоинт раздавал авторизацию без оплаты, постучалась туда напрямую через API и забрала базу бесплатно.
3️⃣ Обход инфраструктурных лимитов безопасности В инструменте парсинга страниц Anthropic ограничили максимальную длину URL — чтобы модель не могла эксфильтровать большие пачки данных наружу. Ответ сетки? Claude Opus и Mythos просто пошли на сторонний сервис сокращения ссылок, пожали длинный URL и просунули его в инструмент. Ограничение обойдено. О факапе разработчики узнали в том числе потому, что владелец сервиса шортнеров сам пришел к Anthropic спросить: «Ребята, а почему ваши агенты генерируют у нас миллион ссылок?»
4️⃣ Ложные показания по делу об убийстве Claude Haiku дали задачу генерировать действия на случайных веб-страницах. Модель занесло на страницу нераскрытого убийства, где висела форма для анонимных свидетельских показаний. Промпт запрещал вводить персональные данные, но не запрещал жать кнопку «Отправить». Модель нагенерировала текст: «Кажется, я видел похожего человека в этом районе в то время, свяжитесь со мной», оставила пустые контакты и пульнула форму копам. Департаменту полиции Филадельфии даже пришлось выпускать отдельный пресс-релиз.
Как уже много раз писал — здесь нет никакого восстания, злого умысла или сознания. Это рафинированный Reward Hacking — классическая проблема обучения с подкреплением. Когда вы ставите агенту цель и даете награду за успешный результат, он будет минимизировать функцию потерь кратчайшим путем. Модель не понимает концепций «чужая собственность», «закон», «этика» или «платный сервис». Для нее упавший сервер, пейволл или валидация длины строки — это просто шум в пайплайне, который нужно обойти, чтобы получить высокий скор.
Ели задача сформулирована неоднозначно или невыполнима честным путем, агент почти всегда начнет срезать углы самым кривым образом.
Уже много раз доказано, что защита может быть только на уровне инфраструктуры, но никак не на уровне самой модели. 🛡
Представим, что разработчик научился выполнять дневную норму за два часа. Что он получит: премию, повышение или ещё четыре дневные нормы? Если приз за скорость — новая норма, молчание становится рациональной стратегией. Возможно, некоторые разработчики уже работают в несколько раз быстрее. Просто не обязательно для вас.
Я помню свои первые впечатления от лобби когда я впервые включил Oculus Quest.
Космическая станция на орбите. За окном — вселенная. Солнечный свет отражается от стен каюты. За пределами атмосферы солнце кажется необычайно ярким. Вентиляция тихо гудит. Хотелось запрыгнуть в челнок и помчаться по просторам космоса. Но тогда я не знал о существовании подходящей игры. А может, её просто не было. Безумно хотелось летать.
Шесть лет назад появилась идея игры, которая со временем превратилась в Орбиту.
Kind + Gateway API + Cilium в качестве Load Balancer
В этой статье я делюсь опытом развертывания и предлагаю заглянуть в настройку этой технологии — сетевой стек на базе Gateway API и Cilium, выступающего в роли балансировщика. Это практический стенд, демонструет возможности Cilium и декларативный подход к маршрутизации в локальной среде.
Русскоязычный каталог из 2118 проектов по декомпиляции игр: от Ocarina of Time до Xbox 360
На GitHub появился awesome-список, собранный на русском: проекты, которые восстанавливают игры из машинного кода. Это декомпиляции, статические рекомпиляции, порты на исходниках и ремейки движков. Задача простая: помочь найти проект под нужную игру и платформу и объяснить, как всё это устроено.
Масштаб впечатляет. В каталоге около 2118 проектов для примерно 1829 игр, из них 1771 активных. По типам: 786 декомпиляций, 525 статических рекомпиляций, 269 портов на исходниках, 238 ремейков движков, 234 дизассемблирования, 57 браузерных портов и 9 инструментов.
По платформам лидирует ПК с 295 проектами, дальше Nintendo 64 (190), Xbox 360 и PlayStation 1 (по 161). Следом идут DOS, GameCube, PS2, Game Boy Advance и Wii. Среди примеров Zelda (Ocarina of Time, Majora’s Mask, Twilight Princess), Mario 64, Sonic, Diablo, Morrowind, OpenRA и OpenRCT2.
Внутри не просто список. В README есть топ-25, отдельный список браузерных портов, каталоги по типам и платформам, раздел о том, как начать декомпилировать самому, FAQ и глоссарий. Из инструментов упоминаются N64Recomp, XenonRecomp, RT64, splat, decomp.me, objdiff и m2c. Каталог обновляется автоматически через GitHub Actions.
Важная оговорка: сами проекты работают с данными из легально купленных копий игр, а в репозитории лежат только ссылки.
Что происходит с агентом, который не решает одну задачу, а живёт — долго, в мире, который всё время меняется? Я собрал NOWA-Cognitive, когнитивную архитектуру без backprop, без глобальной функции потерь и без языковой модели в контуре решений: днём агент записывает опыт быстро и «начерно», а долговременную память переписывает ночью, во сне. Рассказываю, как это устроено, на примере одних суток одной шиншиллы из колонии — G3A1SF.
Злоумышленники, стоящие за кампанией GhostAction, скомпрометировали около 1 900 учетных записей GitHub. С их помощью они внедрили вредоносные процессы GitHub Actions более чем в 30 000 репозиториев. Цель — похитить токены CI/CD, ключи доступа к облакам и API-ключи ИИ-провайдеров. Пик активности пришелся на 8 и 9 октября. В общей сложности хакеры попытавшись извлечь 3 174 секрета.
В 10 утра 29 января при дедлайне 30-го приложение показывало ноль дней. Их было два. Почему .inDays округляет вниз, зачем календарным дням UTC и почему у скользящего окна нет формулы.
Docker без Docker. А что, если собрать контейнер своими руками?
Есть идея для небольшой лабораторной.
Мы привыкли, что для запуска контейнера достаточно выполнить:
docker run --rm -it alpine sh
Но что, если вообще убрать Docker? И не заменять его на Podman или другой контейнерный движок, а попробовать самостоятельно воспроизвести то, что он делает.
Хочу взять минимальную файловую систему Alpine Linux, немного поэкспериментировать с chroot, Linux namespaces и cgroups, а затем попробовать собрать из всего этого собственный примитивный контейнер.
Заодно разобраться, почему процесс внутри контейнера может иметь PID 1, как работает изоляция файловой системы и почему ядро Linux при этом остаётся общим с хостом.
Конечно, полноценную замену Docker мы так не получим, но цель немного другая - посмотреть, как контейнеризация устроена изнутри, без готовых инструментов.
Если эксперимент получится интересным, оформлю всё в отдельную лабораторную с командами, пояснениями и схемами, как обычно.
Сегодня хочу рассказать вам вдохновляющую историю нашей коллеги-инвестора, учителя - Ольги Селезневой, которая начала инвестировать в возрасте 56 лет, и за короткий срок создала внушительный капитал, с которого спокойно можно жить уже сейчас. Но самое главное - это то, что инвестирование стало её любимым увлечением.
Xray, sing‑box, Hysteria2, AmneziaWG, TrustTunnel, TURN‑транспорт, MasterDNS, OpenFlux и snolc в одном приложении, с одним Go‑рантаймом на весь процесс. А ещё VLESS с Reality и XHTTP, VMess, Trojan, Shadowsocks, NaiveProxy и WireGuard, всё под Android, Windows, Linux и iOS. Внутри: почему два gomobile‑AAR роняют процесс, как bsdiff упёрся в 2 ГиБ, почему пинг в уведомлении всегда показывал ноль и как перенести данные на новый applicationId, чтобы ими не воспользовалось чужое приложение.
Почему измерительные стенды «слышат» резонанс слухового прохода намного сильнее, чем человек? Сравнительный анализ физической акустики и психоакустики.
Приветствую, коллеги! Недавно я провёл детальный аналитический обзор работы различных измерительных стендов и сопоставил их данные с особенностями человеческого восприятия. В ходе исследования удалось прийти к весьма примечательным выводам, касающимся фундаментального расхождения между инструментальными измерениями и субъективной психоакустикой.
Введение и методология
Целью анализа было сопоставление частотных характеристик наружного уха при воздействии идентичного звукового сигнала с уровнем давления 90 дБ SPL на частотах 1 кГц и 2,5 кГц (в условиях свободного поля, фронтальное направление, 0°). В рамках работы были проанализированы и сопоставлены четыре системы:
Реальное ухо (probe microphone): оценка уровня звукового давления (SPL) непосредственно у барабанной перепонки согласно стандарту ISO 11904-1.
Искусственная голова B&K Type 5128: симулятор уха и торса (HATS) нового поколения с типовой кривой LFR.
Стенд GRAS KEMAR: классический манекен, данные измерений давления у барабанной перепонки (Ear Simulator).
Слуховая система человека (психоакустика): кривые равной громкости на уровне 90 фон в соответствии с актуальным стандартом ISO 226:2023.
сравнительный анализ
Анализ полученных данных
При переходе от опорной частоты 1 кГц к области естественного анатомического резонанса слухового прохода (2,5 кГц) все инструментальные методы фиксируют резкий, лавинообразный рост звукового давления у имитатора перепонки:
В условиях реального уха (микрофон-зонд) зафиксирован подъем на +13,0 дБ (с 92,7 до 105,7 дБ SPL).
Симулятор B&K Type 5128 демонстрирует прирост порядка +15,0 дБ (с ≈92–93 до ≈107–108 дБ SPL).
Стенд GRAS KEMAR регистрирует дельту в пределах +15,0…16,0 дБ (с ≈90–91 до ≈106 дБ SPL).
Таким образом, физический подъем давления в диапазоне 1 → 2,5 кГц на прецизионном измерительном оборудовании составляет стабильные 13–16 дБ.
Однако при обращении к психоакустическому стандарту ISO 226:2023 обнаруживается парадокс. Для обеспечения одинаковой субъективной громкости (90 фон) на частоте 2,5 кГц человеку требуется уровень SPL всего лишь на 1,5 дБ меньше, чем на частоте 1 кГц (88,5 дБ SPL против 90,0 дБ SPL соответственно).
Система / Стенд SPL на 1 кГц SPL на 2,5 кГц Разница (Δ SPL)
<О физическом подъеме давления и психоакустической разнице равной громкости>
Физический подъем акустического давления, регистрируемый микрофонами и симуляторами HATS в области 1 → 2,5 кГц, по своей абсолютной величине в децибелах оказывается в 9–11 раз выше, чем его реальное психоакустическое восприятие живым человеком.
Физическое обоснование и выводы
Ключевая причина столь жесткой девиации кроется в принципиальном механическом различии между измерительным датчиком и живым органом слуха:
Зонд или микрофон стенда выполняет сугубо локальное измерение давления в тупиковой точке жесткого канала, работая как идеальный приемник давления без обратного электромеханического влияния на систему.
Барабанная перепонка человека не является изолированным микрофоном. Она представляет собой подвижный элемент механически и акустически нагруженной колебательной системы состоящей из цепи: слуховых косточек, среднего уха и гидродинамическим сопротивлением (демпфированием) жидкостной системы улитки внутреннего уха.
Вывод: Слуховая система человека за счет сложного комплексного импеданса среднего и внутреннего уха существенно сглаживает физический резонанс наружного слухового прохода. В результате реальный акустический подъем воспринимается нашей центральной нервной системой как значительно менее выраженный, нежели те экстремальные пики, которые транслируют нам графики «железных» измерительных стендов.
Что пришлось проверить, прежде чем доверять системе самостоятельную работу над программным проектом.
Хотел построить систему, способную самостоятельно вести программный проект от идеи до работающего продукта с помощью AI‑агентов. Но первые инженерные эксперименты показали, что генерация кода далеко не самая сложная часть задачи.
В статье рассказываю о разработке Yggdrasil: почему ограничения файловой системы не гарантируют защиту данных, какие проблемы остаются после изоляции в VM, почему лимиты памяти не обеспечивают жестких гарантий для хоста и как восстанавливать выполнение после сбоев без риска повторить уже совершенные действия.
Разбираю реальные результаты испытаний, включая проваленные проверки, принятые архитектурные решения и ограничения, которые пока не удалось устранить. Проект еще находится на стадии исследований, поэтому речь не о готовом решении, а о проблемах, с которыми приходится сталкиваться при попытке построить действительно автономную AI‑разработку.
Не выбирайте языковой курс, сделайте свой за пять минут.
Собрал в Claude Code личного репетитора. Он ведет по программе под мой уровень, проверяет каждый ответ, помнит ошибки и сам складывает новые слова в словарь на телефоне. Ни строчки кода, только пара команд. Показываю, как повторить для любого языка.
Единого подхода к тому, что считать широкополосным доступом к интернету (ШПД), не существует — требования отличаются от страны к стране. Различаются и проблемы, мешающие расширять покрытие: где-то все дело в изношенной инфраструктуре, на базе которой приходится строить новые сети, а где-то палки в колеса операторов вставляют (внимание!) железнодорожные компании. Посмотрим, с какими необычными трудностями сталкиваются телекомы в США, ЕС, Канаде и других странах, как можно их обойти, и какие планы по развитию ШПД строят у нас в России.
За годы работы с Mac и Windows я обнаружил много неожиданных и странных различий в их логике клавиатурного ввода. Особенно это касается веб-приложений, которые в обоих случаях используют одну и ту же кодовую базу. В итоге я решил, что будет полезным собрать все эти особенности в одном месте.
Сразу предупрежу, что эта статья задумывалась исключительно как справочная, и никаких развлекательных историй в ней не будет. Так что, если для вас этот формат кажется скучным, смело пропускайте.
