Моя лента

Неспокойный во всех отношениях 2026 год. Мы, как самые большие молодцы, стараемся вывезти на себе всё возрастающую сложность перемен. Как лидеры наших команд, мы должны показывать пример, воодушевлять других, и конечно, быть в основных трендах профессии.

Все пишут, как ИИ поменял жизнь разработчика. Наш коллега IC стал эффективнее, он стал быстрее доносить пользу до продакшена, он настраивает себе все эти скиллы и MCP. В тысячах статей и сотне тысяч комментариев под ними программисты ведут бесконечный холивар: надо использовать ИИ всегда или только по особому случаю, тупеет ли человек от частого употребления ИИ или нет, больше стало багов или меньше.

Но что с управлением процессом производства ИТ-содержащего продукта на уровне команд? Понимаем ли мы реально, на каком вулкане сидим?

Я долгое время кодил, а теперь управляю командами в ИТ уже 5-й год. Мне, как и многим другим, сначала казалось, что процесс перехода на AI-driven development будет медленный, и мы всем сообществом что-нибудь придумаем. Но сейчас, в конце 2026, я стою и смотрю на эту картину, как тот зевака на балконе бейрутского отеля, который уже увидел взрыв в порту, но ещё не ощутил приход воздушной волны.

Давайте поговорим об этом?

Коалиция компаний в сфере информационной безопасности совместно с Национальным полицейским агентством Японии пресекла деятельность бэкдора XCPE, используемого для создания масштабной ботнет‑сети, которая охватывала свыше 1,3 млн ТВ‑приставок и других устройств на Android в более чем 200 странах, пишет Register. В операции участвовали Google, Lumen, Human Security, Plume, Synthient и TrendAI.

Раньше предложения изменений для основной дизайн-системы могли месяцами оставаться в ветках Figma — иногда вплоть до года. В макетах эти изменения уже были, но до кода и публикации в Storybook так и не доходили..

Когда нам понадобились общие компоненты для ИИ-интерфейсов, мы решили организовать для них свой процесс и сами отвечать за результат: от исследования и проектирования до реализации, проверки и исправлений. Рутинную работу делегируем агентам, а фронтендерам передаем на ревью уже подготовленные изменения в коде.

Расскажу, как мы устроили свою библиотеку ИИ-компонентов и что пришлось освоить по пути. Этот опыт может пригодиться дизайнерам и командам, которые хотят участвовать в полном цикле создания общих компонентов и готовы взять на себя их проверку и дальнейшее развитие.

В задаче обучения модели машинного перевода есть приятный момент: вы находите несколько миллионов пар предложений и на секунду чувствуете, что самая трудная часть уже позади. Потом открываете случайную строку. Слева — предложение, справа — фрагмент таблицы. У следующей пары совпадает тема, но не смысл. Ещё чуть дальше кто-то заботливо положил в текст остатки HTML. Датасет приехал с мебелью предыдущих жильцов.

Для малоресурсных языков к этому добавляется ограниченность параллельных данных. Поэтому здесь особенно полезно понимать, что именно модель получает на вход и какую архитектуру мы пытаемся на этом обучить.

На связи Аня Лебедева, разработчик в отделе экспериментальных технологий AI VK, и сегодня я расскажу про kazRush — систему перевода с русского на казахский и обратно. Мы собрали и очистили корпус из открытых источников, обучили модели с нуля и подобрали конфигурацию модели примерно на 197 миллионов параметров. По дороге выяснилось, что более строгая очистка иногда ухудшает результат, бо́льший словарь не обязательно полезнее, а увеличение модели до 738 миллионов параметров само по себе не решает задачу. В общем, несколько вполне разумных идей пришлось проводить обратно до двери, но итоговый результат оправдал усилия. Русско-казахская модель заняла первое место в своём треке на LoResMT 2026 — воркшопе при конференции EACL.

Исследователи JFrog обнаружили 42 сторонних GitHub-репозитория, подготовленных к запуску вредоносного кода в кампании testmetest. В них внедрили загрузчики скрытого издателя npm-пакетов и команды автозапуска для Claude Code, Cursor, Gemini CLI и VS Code.

Несколькими днями ранее компания SafeDep сообщала об обнаружении червя, но на тот момент исследователи наблюдали его активность только на тестовых аккаунтах злоумышленника. Червь крадёт секреты и распространяется через пакеты и репозитории. Один из способов запуска использует файл сборки нативного модуля binding.gyp, поэтому отсутствие install-скрипта в package.json не гарантирует безопасную установку. Позднее появились варианты с нативной библиотекой Node.js, которую вызывает команда postinstall.

Находка JFrog меняет оценку масштаба кампании. В репозиториях разработчиков и организаций команды в конфигурациях инструментов запускают файл .github/init.js. Например, для Claude Code использовано событие начала сессии, а для VS Code — задача при открытии папки. Вредоносный код может запуститься ещё до установки зависимостей.

Загрузчики занимают около 13 МБ и не попадают в обычную поисковую выдачу GitHub. JFrog получила файлы через API деревьев и объектов Git. За десятью разными оболочками оказался одинаковый издатель пакетов. Он ищет токены, умеет использовать доверенную публикацию npm через GitHub Actions и добавлять вредоносный postinstall в выпускаемый пакет. Доверенная публикация npm привязывает выпуск к определённому репозиторию и workflow. Если злоумышленник получил возможность менять этот workflow, то проверка происхождения пакета сама по себе не остановит выпуск подменённого содержимого. Поэтому проверку зависимостей стоит дополнять контролем изменений конфигурации среды разработки и процесса выпуска.

Прогнали фронт киберспортивной платформы на Nuxt через vue-why-render. Пять правок по несколько строк убрали до 98% лишних перерисовок: таймер, который перерисовывал карточку 600 раз в минуту, реф в слоте, будивший не тот компонент, и тест, который проходил, ничего не проверяя.

Теперь можно попросить переписать веса другой нейросети просто сказав, что ты хочешь видеть. На днях исследователи из MIT CSAIL опубликовали технический отчет «Sparks of Weight-Space Programming». Языковая модель GPT-6 Astra от OpenAI читает веса другой нейросети, то есть числа, из которых складывается ее поведение, находит в них проблему и исправляет нужные значения напрямую, без обучения на данных. 

Так, у открытой модели Qwen3.5-0.8B от Alibaba исправили зацикливание в рассуждениях: изменив примерно 0,016% весов, модель подняла результат на MATH-500 с 7,9% до 48,1%.

Анализ телеметрии, сетевого взаимодействия и механизма установки плагинов

Автор статьи: - Гришаев Юрий, специалист по анализу защищённости веб-приложений и ПО под Windows. Тимлид в АБП2Б. Сертифицированный специалист OSCP+, багхантер.

Remmina — популярный клиент удалённого доступа для Linux, поддерживающий RDP, VNC, SSH и другие протоколы. Он входит в стандартные репозитории многих дистрибутивов и используется для подключения к удалённым серверам и рабочим станциям.

Поводом для исследования стало предупреждение о том, что Remmina передаёт на серверы разработчика отпечаток рабочей станции. Возникли вопросы: какие именно данные собирает приложение, при каких условиях они отправляются и можно ли увидеть их содержимое?

Для проверки были изучены бинарный файл клиента, сетевые запросы и процесс формирования телеметрии в изолированной среде. Все проверки проводились на Remmina 1.4.43 из официального репозитория Arch Linux. Учётные данные в примерах синтетические.

Привет, Хабр!

Сегодня хочу рассказать про боль, которая, думаю, знакома многим, кто хоть раз сталкивался с поддержкой устаревших Windows-систем. А также про то, как небольшая консольная утилита на C# решила проблему, которая годами заставляла меня и моих пользователей хвататься за голову.

С чего всё началось

Всё началось с проекта BELPORTAL — набора решений для работы с государственными порталами Беларуси. Среди прочего там есть клиент для доступа к порталам, и вот с ним-то и возникла проблема.

Пользователи ставили BELPORTAL на Windows 7, Windows XP, на терминальные серверы — словом, туда, где всё ещё жил старый добрый софт. И примерно через одного получали вот такую картину:

Не удается установить защищенное соединение с сервером

или на более свежих системах:

Ошибка 0x800B0101

или классическое:

Сертификат сервера не является доверенным

При этом HTTP-сайты открывались, интернет работал, антивирус молчал. Но HTTPS — ни в какую.

Диагностика: в чём оказалась проблема

Копнув глубже, я выяснил банальную вещь: устаревшее хранилище корневых сертификатов. Windows хранит список доверенных корневых сертификатов в реестре по пути:

HKLM\SOFTWARE\Microsoft\SystemCertificates\ROOT\Certificates

Microsoft регулярно обновляет этот список через Windows Update. Проблема в том, что:

На Windows XP Windows Update для сертификатов уже давно не работает.
На Windows 7 обновления сертификатов прекратились с окончанием поддержки.
На корпоративных машинах политиками часто отключён Windows Update целиком.
На терминальных серверах обновление сертификатов — это отдельный квест.
На изолированных системах (POS-терминалы, банкоматы, медицинское оборудование) интернета нет вообще.

Абоненты теперь смогут при желании поменять оператора мобильной связи с сохранением номера через заявку на «Госуслугах», сообщает пресс‑служба Минцифры РФ. «Заявка автоматически попадёт к независимому оператору базы данных перенесённых номеров, который проведёт проверку на соответствие условиям переноса», — говорится в сообщении.

Вы вводите запрос и сразу получаете готовый ответ над ссылками. Откуда он берётся, почему иногда выглядит странно и когда на него можно опереться? Собрали независимые измерения точности, разобрали, в чём спорит с исследователями сам Google, и составили понятную схему проверки: от простого факта до налогов и здоровья.

Сотрудник с адресами, контактами и словарями: в EF Core это 54 таблицы и 31 Include, в redb Pro один класс. Замеры на 100 тыс. объектов: где кто быстрее.

Один сотрудник из наших примеров в EF Core читается 62 SQL-запросами и почти две секунды. В redb Pro тот же сотрудник, на тех же данных и в том же виде, читается за 131 мс и девять запросов, а в повторном прогоне за 36 мс и пять. Разница не в том, что один движок «быстрый», а другой «медленный». Разница в том, сколько таблиц приходится собрать, чтобы получить из базы один бизнес-объект.

Ниже разбор: что именно сравнивали, почему граф дорог в нормальной форме, как redb Pro научился читать его без полной свёртки, и где EF Core честно быстрее. Таких мест немало, и они тоже в таблицах.

Привет, Хабр!

Я помню время, когда фронтендеры активно делились своими велосипедами. Буквально каждый день я встречал статьи, где автор рассказывает, какую классную штуку он придумал.

Я, конечно, не такой умный. Ничего нового я не придумал, но мне хочется показать вам мой набор базовых стилей, которые я использую для всех проектов. В нём есть старые фишки, есть малоизвестные, а есть и новые.

Давайте посмотрим, что я вам подготовил.

Для Норвегии, Швеции и Финляндии традиционно характерны менее интенсивные волны жары, чем для континентальной Европы. Однако во время недавних событий, например волны жары 2026 года, на обширных территориях Европы наблюдались исключительно высокие температуры, причём отметка в 40 °C была достигнута севернее, чем когда‑либо прежде. Такая жара создала бы серьёзные риски для северных стран, поскольку их население и инфраструктура, как правило, хуже приспособлены к экстремально высоким температурам, чем в более тёплом климате.

Многие регионы мира ещё не сталкивались с волнами жары, уже возможными в современном климате. Поскольку такие экстремальные явления по определению редки, история наблюдений могла не охватить весь диапазон их потенциальной интенсивности. Приняв всё это в расчёт, исследователи из Финского метеорологического института в Хельсинки проанализировали все доступные долгосрочные прогнозы системы SEAS5.

SEAS5 (Seasonal Forecasting System 5) — пятое поколение системы сезонного прогнозирования погоды, разработанной Европейским центром среднесрочных прогнозов погоды (ECMWF). Она начала работать в ноябре 2017 года. Исследователи собрали 7308 прогнозов, охватывающих летние сезоны в странах Северной Европы, и обнаружили, что в выборке содержится множество волн жары, при которых национальные температурные рекорды Финляндии, Швеции и Норвегии превышаются на несколько градусов.

Исследователи установили, что температуры в 40 °C больше нельзя считать невероятными ни в одной из стран Северной Европы. Годовая вероятность такого события выросла с 0,082% (0,027–0,15%) в 1981 году до 0,53% (0,38–0,70%) в 2025 году, увеличившись примерно в шесть раз. Если в 1981 году температура в 40 °C соответствовала событию, происходящему примерно раз в 1200 лет, то в современном климате она соответствует событию, происходящему раз в 190 лет. И всё же оценочная годовая вероятность превышения этого порога остаётся сравнительно небольшой: 0,082% для Норвегии, 0,41% для Швеции и 0,041% для Финляндии.

Стандартный технический скрининг и классический live coding стремительно теряют смысл: на онлайн-собеседованиях кандидаты массово используют невидимые ИИ-суфлёры (вроде Ghost GPT), а типовые алгоритмические задачки любая современная LLM решает за пару секунд. Пытаться победить это одними запретами и прокторингом — тупиковый путь. В какой-то момент мы в SymbioWay решили пойти от обратного: официально разрешили кандидатам использовать ИИ-агентов прямо на интервью, но изменили сами задачи так, чтобы без глубокого понимания архитектуры и кода нейросеть человеку не помогла. Под катом расскажу, какие навыки мы теперь проверяем у разработчиков и как устроены такие задачи.

Японская Sony выпустила обновление прошивки для PlayStation 5 перед релизом Grand Theft Auto VI. Патч вносит ряд исправлений в систему безопасности консоли.

Google выводит Dreambeans за пределы США: первым международным рынком экспериментального приложения стала Индия. Сервис создаёт иллюстрированные истории на основе информации из подключённых приложений Google. Пользователю достаточно разрешить доступ к выбранным источникам — темы для ежедневной подборки ИИ предложит сам.

В Индии Dreambeans доступно на Android и iOS пользователям от 18 лет. Приложение поддерживает английский и 13 местных языков. Вместе с новой аудиторией Google получает проверку своей идеи: насколько людям нужна лента, которая сама выбирает темы из их личной информации.

Каждая новая реплика запускает то же приложение, но JIT снова с нуля ищет горячие методы, собирает профиль и компилирует код.

Казалось бы, пусть первая JVM сохранит результат, а остальные его заберут. Но машинный код JIT зависит от состояния конкретного процесса. От иерархии классов, загруженных реализаций и реального трафика.

Чтобы перенести один метод, нужно быстро проверить тысячи предположений. Причём даже полностью корректный код может оказаться медленным для другой реплики.

В статье разбираемся, почему поделиться результатами JIT гораздо сложнее, чем просто положить их в кеш.

В первой статье я запустил Директ Коммандер на Linux и сделал вывод: официальный установщик под Wine сломан везде, чинить его бессмысленно, программу надо доставать из него архиватором. Во второй выкинул из схемы Bottles и разобрал, почему не работает автообновление.