Моя лента

Revolut, британский финтех с десятками миллионов клиентов, за неполный год сократил расходы на ИИ ассистентов для кода примерно на 90%. Банк отказался от Claude Code и Codex и перешел на открытую модель GLM от китайской Z.ai, развернутую на собственных GPU. 

Цифры озвучил Дэвид Абитбол, руководитель эксплуатации и инфраструктуры Revolut, на конференции AI Engineer в Нью-Йорке. Это лишь оценка самой компании, независимо ее никто не проверял. Но любой команде, которая считает бюджет на ИИ-кодинг, кейс полезен своей конкретикой.

В большинстве языков программирования понятия «истина/ложь», «значение есть/значения нет» и «успех/ошибка» живут в разных мирах. Для первого существует примитив bool и конструкции if/else, для второго — Option<T> (Maybe a), для третьего — Result<T, E> (Either a b). У каждого из них свои конструкторы (true/false, Some/None, Ok/Err) и свой набор комбинаторов.

Системный язык программирования Edva, спроектированный без единого ключевого слова, сводит все бинарные исходы к единому примитиву на уровне системы типов — алгебраическим разветвлениям (Algebraic Ramifications, или коротко — Rams).

Ссылки

Всем привет!

Меня зовут Михаил Поливаха, я технический лидер проекта Axelix. Недавно мы перешагнули отметку 10 000 загрузок в месяц. Мы сами разрабатываем инструмент для работы со Spring-приложениями, поэтому вопросы релизных циклов, поддержки версий и обновления зависимостей для меня не абстрактная теория. С ними приходится сталкиваться и в роли пользователя Spring, и в роли разработчика Open Source-проекта.

А начать я хочу с ситуации, которая, я думаю, знакома многим. Релиз уже в плане, фича написана, тесты зелёные, сборка собрана. Осталось прогнать последний пайплайн и выкатить изменения. И вот на шаге SCA всё становится красным: в одной из зависимостей нашли уязвимость.

Ну ладно, бывает. Сейчас поднимем patch-версию, заберём исправление и поедем дальше. Для того patch-релизы и существуют, верно?

Открываете Maven Central, смотрите на свою линию Spring Boot, а следующего номера там нет. И, что гораздо хуже, уже не будет.

Допустим, у Вас Spring Boot 3.5.16. Это последний открытый релиз линии 3.5, он вышел 25 июня 2026 года. Следующий номер, 3.5.17, в календаре Spring есть, но помечен как enterprise. То есть патч существует. Проблема в том, что Ваш пайплайн смотрит на Maven Central, а туда этот патч не попадёт.

В этот момент почти обязательно находится коллега, который говорит: «Так 3.5 же LTS! Как это патча не будет?»

Ядро 0.1.7

Новые протоколы. Ядро само работает с серверами, которые раньше были серыми:

VMess (TCP, TLS, WebSocket, HTTPUpgrade), ссылки vmess:// в обоих видах и JSON-подписки (#5);

Trojan поверх TLS или REALITY, по TCP, WebSocket или HTTPUpgrade, TCP и UDP, ссылки trojan:// и JSON-подписки Xray и sing-box (#6);

TrustTunnel (HTTP/2), ссылки tt:// и JSON-подписка эндпоинта;

VLESS поверх WebSocket и HTTPUpgrade (type=ws / type=httpupgrade).

Совместимость проверена на настоящих Xray 26.10.31 и sing-box 1.14.4.

Презентация отчета — не финал. В T2.Digital мы посчитали, что происходит с результатами исследований дальше: сколько артефактов доезжает до прода, сколько оседает в бэклоге, а сколько уходит в стол. Рассказываем, как устроена наша метрика Оценка Влияния Исследований, а также разбираем несколько альтернативных подходов к измерению вклада исследований

Агентная модель Axion 1.0-35B набирает 52,2% на Humanity’s Last Exam в режиме с инструментами. Это ровно столько же, сколько у GPT-5.5 в той же таблице, и больше, чем у Gemini 3.1 Pro. Обучена она на 18 000 примеров SFT плюс обучение с подкреплением (RL), без промежуточного дообучения, DPO и дистилляции. Авторы из ByteDance, Университета Дьюка, Мэрилендского университета и Университета в Буффало выложили не только веса, но и сам способ, от генерации данных до кода обучения. Давайте разбираться.

OpenAI рассказала об эксперименте с автономной системой поиска уязвимостей. В её основе — ещё не выпущенная кибермодель.

Исследователи собрали вокруг неё многоступенчатый пайплайн: одни агенты выбирают перспективные участки кода, другие ищут потенциальные ошибки, затем система пытается воспроизвести их в изолированной среде, проверить возможность эксплуатации и подготовить патчи.

В середине октября 2026 года этот процесс запустили на ядре Linux (проверяли не всё ядро). Для анализа выбрали 5034 участка кода — около 2,8 млн строк, или примерно 7% кодовой базы Linux. Результат — 2308 потенциальных проблем, 1724 воспроизведённые уязвимости и 948 уникальных уязвимостей повышения привилегий (LPE), для которых удалось создать рабочие эксплойты.

Когда мы говорим о развитии команды, часто всё сводится к довольно понятному набору действий: есть карта компетенций, сотрудник оценивает себя, руководитель выставляет оценки, затем появляются цели развития, курсы и планы на квартал. Все заполнили, со всем согласились — и разошлись работать.

Но часто появляется вопрос: а что дальше? Как сделать так, чтобы всё это не осталось циферками в Excel, а действительно поменяло команду и повлияло на бизнес?

Знаете это чувство, когда читаешь статью про локальные LLM и думаешь: «А, ну это же просто. Поставлю Ollama, тяну модель, и у меня уже свой ИИ-агент, который знает весь код»?

Я думал именно так.

Меня зовут Егор Лаптев, я QA Fullstack Java в SENSE на проекте крупного российского банка. У меня MacBook Pro M2 Pro с 32 ГБ RAM: не topical машина, но для разработки рабочая лошадка. Даже не подозревал, что через 20 минут после запуска модели ноутбук будет звучать как истребитель на взлёте, а температура процессора будет такой, что можно было бы варить яичницу на крышке.

Это история о том, как «просто запустить локально» превратилось в инженерный проект с бюджетом, расчётами и одним почти сгоревшим ноутбуком.

Возможно, кто-то скажет, что Habr — не Pikabu, что этой статье здесь не место.
Однако поскольку Timeweb регулярно публикуется здесь с рекламой, возьму на себя риск и отступлю немного от канона, чтобы выступить этаким балансиром.

Раз уж Timeweb активно использует хабр, как площадку для саморекламы, тогда и статья, что покажет читателю этот бизнес со стороны реального пользователя также может оказаться полезна.

Многие из нас писали асинхронный код, который помогает не блокировать потоки при ожидании ответа от процессов, сетевого соединения или устройств. Вызов с callback-функцией задействует много сущностей: и планировщик задач, и межпроцессное взаимодействие, и системные вызовы, и механизмы ядра Linux. Без асинхронных вызовов не обходятся настольные операционные системы, и их разработка требует баланса между производительностью и безопасностью. Также важно сохранить код читаемым и удобным. 

Меня зовут Илья Клементьев. Я разрабатываю настольную операционную систему kvadraOS Desktop на основе ChromiumOS. В этой статье я постараюсь найти ответ на вопрос: что же все-таки лучше для асинхронного кода — poll() или epoll()? И нужно ли это оборачивать в корутины C++20? 

Мне тут подкинули задачку: оценить возможности карточек Mellanox ConnectX-6. Эти карточки относятся к классу умных (SmartNIC), поэтому могут не просто считать контрольные суммы и сегментировать пакеты, а выполнять более сложные операции. А конкретно они умеют делать:

·      Трансляцию IP-адресов (NAT);

·      L4-балансировку;

·      L3-маршрутизацию.

В обычных системах эти функции выполняются в ядре Linux на центральном процессоре. С помощью умной карты эти операции можно перенести в железо, высвободив вычислительные ресурсы CPU, а возможно, даже ускорить их работу. В этой статье я расскажу, как сравнивал производительность двух сред (процессор общего назначения и специализированный ASIC), как настраивал окружение и собирал стенд, а в конце поделюсь результатами измерений.

Начну с короткого обзора умных карт Mellanox ConnectX.

В октябре 2026 года в ядре Linux закрыли дыру, в которую мог войти любой, кто умеет отправить TCP-пакет. Это происходит ещё до того, как хоть один байт доходит до вашего приложения, без пароля и без аккаунта — уязвимый код срабатывает в момент, когда ядро ещё только пожимает руку входящему соединению. Баг родился в январе 2016-го. Десять лет через него проходило практически каждое TCP-соединение в интернете. А 27 октября Anthropic сообщила, что её неопубликованная модель написала к нему эксплойт: 48 минут — и у неё адрес ядра, ещё пять — и у неё root.

Дыра тут, в сущности, ни при чём. Просто взлом подешевел, а мы продолжаем считать по-старому.

И нет, это не история о том, что ИИ всех взломает. Пока мы спорили, заменит ли нас Copilot, изменились две вещи, и произошло это одновременно.

Первая. Десять лет мы жили с багом, который снаружи неотличим от аккуратно спрятанной закладки. Как Heartbleed. Прав оказался параноик в шапочке из фольги: несокрушимых систем нет, есть только сложность, которая делает взлом невыгодным. И эта сложность только что обвалилась в цене.

Вторая. ИБ с приходом ИИ изменилась сильнее, чем разработка. Только разработка менялась у всех на виду — с мемами, холиварами, стартапом на каждый чих и новым жанром статей «Я уволил разработчиков и сделал это за вечер». ИБ же менялась за закрытой дверью. А июньская ситуация с Fable навесила на эту дверь мощный замок. Модели, которые превращают гонку в ядре в шелл от root, работают прямо сейчас. Просто не у нас. Отсюда неудобный вопрос: мы этого не заметили — или нам не показывают?

Я CTO облачного провайдера, то есть человек, у которого под ядром Linux крутятся чужие деньги. И, сложив новостной поток и уведомления от ЦМУ ССОП в общую картинку, я хочу сказать, что пора бить тревогу!

Знать C для чтения вообще не надо: достаточно понимать, что такое указатель, и быть знакомым с Go, PHP или Node.js. Если есть что добавить или поправить — приглашаю в комментарии.

Раскрыта критическая уязвимость под названием sshhole в OpenSSH на системах с библиотекой musl Linux (musl-based Linux, используемой в Alpine, OpenWrt, Buildroot, Yocto, а также во множестве образов Docker, которые вы, возможно, скачивали), которая с 2016 года позволяла получить доступ к учётным записям, не защищённым паролем.

Хабр, привет! На связи Александр Бек, аналитик-исследователь угроз кибербезопасности R‑Vision. 

В 2026 году исследователь Nightmare Eclipse, известный также под псевдонимами Chaotic Eclipse, MSNightmare и Dead Eclipse, опубликовал серию PoC-эксплойтов для уязвимостей нулевого дня. Сначала его работы были посвящены продуктам Microsoft, затем он обратился к стороннему ПО, в том числе к средствам защиты.

В сентябре исследователь назвал себя Абдельхамидом Насери (Abdelhamid Naceri) и связал свои публикации с конфликтом с бывшим работодателем, Microsoft. Это объяснение отражает позицию самого автора. Однако для технического разбора PoC важнее то, как именно они используют механизмы работы средств защиты.

Несмотря на личный характер мотивации автора, его технические работы представляют значительный интерес для специалистов по безопасности. Они демонстрируют не только эксплуатацию уязвимостей, но и изощрённые техники обхода доверенных процессов средств защиты. В фокусе моей статьи два эксплойта из этой серии: HardBreacher, нацеленный на Kaspersky Endpoint Security, и PrettyPrague, эксплуатирующий песочницу Avast Antivirus.

Мы детально разберём механику работы обоих PoC, выделим характерные низкоуровневые артефакты, которые они оставляют в системе, и на их основе сформулируем подходы к построению корреляционных правил обнаружения.

Главная задача — показать, что детектирование подобных атак должно опираться на железные аномалии в поведении процессов и объектов ОС, а не на сигнатуры конкретных имён файлов или эксплойтов. Такой подход позволяет создавать правила обнаружения, устойчивые к модификациям вредоносного кода.

Британский словарь английского языка Collins English Dictionary выбрал слово 2026 года. Им стал сленговый глагол mogging, который означает затмить, превзойти или выглядеть гораздо лучше кого‑то другого.

Как отмечают составители словаря, глагол часто используется представителями поколений Z и «альфа» и стал неотъемлемой частью повседневного общения. Кроме него, в шорт‑лист словаря вошли carspreading, friendslop, ghost job, fricy и hydration break.