Моя лента

ИИ в багхантинге перестал быть экзотикой. Сегодня агент помогает искать уязвимости почти у всех, и вопрос давно не в том, пользоваться им или нет, а в том, как пользоваться так, чтобы это приносило валидные находки, а не поток мусора.

Последние полгода мы вдвоём плотно гоняем агентные связки на российских багбаунти-площадках. За это время набралась коллекция типовых граблей, на которые наступает почти каждый, кто сажает ИИ искать баги. Ниже семь таких стоп-факторов, от самого простого к самому болезненному, и то, как мы с каждым из них боремся.

Эта игра получила две номинации IGF, выиграла призы Excellence in Design и Excellence in Audio, вышла на PS3 и PC и собрала хорошие отзывы критиков, а студия, которая её сделала, после успешного релиза фактически развалилась, а один из двух сооснователей выгорел и ушёл в найм. Ни провала, ни скандала, ни закрытого издателя, просто четыре года разработки человеческих жизней были потрачены. Что за игра, если не узнаете, напишу в конце.

Историю постмортема я знаю из первых рук. В начале десятых мой знакомый, сваливший в Штаты за длинным баксом, вдруг вернулся в родной Питер без этого самого длинного бакса, зато с Шеви Тахо и долгами, проработав аутсорсером в той студии от первого коммита почти до закрытия. Тахо ему потом пришлось продать, потому что расход небольшого заводика накладывает некоторые ограничения на бюджет, но история не об этом...

Идея игры возникла случайно, когда команда делала техническое демо для совсем другой игры и добавила туда отладочный режим, чтобы отматывать время назад и повторять участки геймплея, обычная сейчас вещь, без которой ловить баги в динамичной игре довольно больно. В итоге они решили превратить саму перемотку времени в кор механику игры.

У меня есть ИИ-агент Андреич. Он берёт трубку на моей телефонной линии, отвечает в чате на сайте и сидит в Telegram. На днях он переехал ещё и в вырез экрана макбука, который в народе зовут чёлкой. Там он стал пушистым 3D-енотом. Слушает меня весь день, ведёт протокол, вытаскивает из болтовни задачи и по моему «ок» отправляет их в нужную сессию Claude Code. Заодно показывает, сколько недельного лимита подписки можно потратить сегодня.

Приложение открытое, лицензия MIT. Внутри Swift без Xcode и three.js, около 4900 строк. От первой просьбы до публикации на GitHub прошли сутки, и весь код написан в диалоге с Claude Code. Руками я не правил ни строчки. Ниже о том, как оно устроено, и о трёх местах, где я наступил на грабли. Самые дорогие из них стоили мне часа записи: распознавание речи отвалилось молча, а микрофон продолжал гореть.

Раньше ChatGPT мог объяснить незнакомое слово, но через пару дней я его уже забывал. Теперь достаточно написать "Добавь эти слова в мой словарь", и они автоматически появятся в мобильном приложении, где их можно учить через интервальные повторения.

Покажу, как это работает и как настроить все за несколько минут.

На проектах миграции данных есть промежуточный этап, когда новая платформа данных уже достаточно большая, чтобы начать создавать проблемы, но ещё недостаточно зрелая, чтобы вокруг неё успела появиться полноценная observability-инфраструктура.

Появляются десятки и сотни DAG, Spark-приложений, таблиц Iceberg и цепочек зависимостей. Часть процессов уже переведена на новую платформу, часть всё ещё живёт в legacy, постоянно что-то догружается, пересчитывается и меняется.

И довольно быстро простой вопрос: «Что сейчас вообще происходит на платформе?» перестаёт иметь очевидный ответ.

Чтобы понять причину задержки витрины, инженер идёт в Airflow. Потом открывает upstream DAG. Потом ещё один. Затем Spark History Server. Потом логи. Потом Grafana. Потом смотрит метаданные таблицы. А через двадцать минут обнаруживает, что проблема вообще началась тремя уровнями выше по линеджу.

При этом построение полноценного внутреннего инструмента наблюдаемости платформы почти никогда не является первым приоритетом проекта. Бизнес ждёт миграцию, аналитики ждут данные, команда исправляет пайплайны, инфраструктуру и производительность.

И здесь я хотела бы поделиться тем, какие инструменты мониторинга и операционного контроля для платформы данных можно быстро навайбкодить собрать за относительно короткий срок.

OpenAI опубликовала пост о том, как ее модели справляются с “малоресурсными” языками программирования – COBOL, Fortran, Visual Basic, OCaml. Компания выложила новый бенчмарк MultiLangBench и привела результаты второго, закрытого теста на перенос старого кода. Цифры выглядят как опечатка: прошлое поколение моделей переписывало программы с COBOL на современные языки в 5,4% случаев, новая GPT-6.1 Sol при тех же настройках – в 86,6%, а если дать ей подумать подольше – в 97,9%.

Представим агента, которому поручили оформить подрядчика. Он создал карточку исполнителя, подготовил договор и отправил его на подпись. Сервисы приняли запросы, ошибок в журнале нет. Но по внутреннему регламенту договор можно отправлять только после проверки статуса подрядчика. Агент этот этап пропустил, а сервер позволил продолжить работу.

6 октября OpenAI выложила 722 математические статьи, и одна из них заявила доказательство квазигипотезы Римана: все нетривиальные нули дзета-функции лежат в полосе более узкой, чем известная с XIX века. Специалисты по теории чисел за две недели разобрали доказательство и в основном согласны, что оно верно. Новых понятий в нём нет — модель нашла упущенное семейство функций и свела воедино давно известные методы, включая формулу, которую Радзивилл и Данн доказали в 2021 году. При этом статьи «написаны ужасно», и это единственная из 722, которую правил человек: кто он и почему правили только её, OpenAI не ответила. Рассказываем, что именно доказано, почему последствия называют ошеломляющими и почему до самой гипотезы Римана, возможно, так же далеко, как раньше. Хотя ещё несколько недель назад так сказали бы и о квазигипотезе.

Сейчас сайт есть почти у каждого второго предпринимателя и крупного бизнеса – ведь это отличный и быстрый инструмент, чтобы рассказать о себе, своих услугах/товарах, стоимости и получить сразу деньги за заказ без контакта с самим клиентом. Только вот помимо красивого оформления и продающего текста не следует забывать, что ваш сайт должен быть упакован и защищен и с юридической стороны от проверок и штрафов надзорных органов. 

Как же должен быть оформлен ваш сайт и что должно на нем быть? Вот вам небольшой чек-лист.

В статье я расскажу, как мы запускаем ИИ‑агентов для простых повторяющихся задач в Gitlab‑CI с помощью opencode‑cli.

Я всё таки родом из QA, так что в качестве примера буду использовать типичную для тестеров задачу — анализ прогона авто‑тестов. Но в целом подход сгодится и для других задач, не связанных с написанием кода напрямую.

Упор постараюсь сделать на том, как исполнить это достаточно безопасно на обычной и всем привычной инфраструктуре: gitlab‑ci + раннеры в докере.

Apple MLX создавался для эффективной работы с моделями на Apple Silicon, но при дообучении он может оказаться в несколько раз медленнее PyTorch MPS. Зато там, где MPS упирается в ограничения памяти, MLX позволяет запустить модель вдвое крупнее. Откуда берётся такой разрыв, насколько виновато квантование и какой стек выбрать для локального SFT? Ответы дают 10 запусков Qwen 2.5 с разными размерами моделей и длиной контекста.

Всем привет! Скажу честно: я как программист очень устал читать горы текста, которые выдают ИИ-кодинг-агенты. Это прямо больно. В частности, когда ты просишь создать файл plan.md, в котором необходимо описать, что нужно сделать, чтобы написать код с нуля или добавить новую фичу в уже существующий проект, я получаю простыню текста в формате Markdown. Ни прототипов интерфейсов, ни диаграмм, которые визуально объясняют, как все работает и выглядит. Читать - тоска зеленая. Вот куда интереснее смотреть на прототипы UI-интерфейса и диаграммы со стрелочками, которые показывают, как всё работает. Как говорят, лучше один раз увидеть, чем сто раз услышать - пардон, прочитать.

Теперь, когда мы выпустили бета-версию Vapor 5, пришло время посмотреть, что на самом деле изменилось! В этом посте мы расскажем о том, как работает Vapor 5, какие изменения мы внесли и как будет выглядеть ваш новый код. Этот пост — часть серии публикаций, посвящённых Vapor Week. Подробнее читайте в основном посте блога.

В 2026 году интеграция LLM-моделей (OpenAI, DeepSeek) и тяжелой гео-инфраструктуры (Google Maps, Яндекс.Карты, DaData) есть практически в каждом Enterprise-продукте. И всё бы хорошо, но счета за токены и лимиты API растут нелинейно. Когда наш проект столкнулся с тем, что корпоративный чат-бот и аналитические модули начали «проедать» шестизначные суммы в месяц, мы сели анализировать логи.

Выяснилась классическая вещь: до 40% запросов от пользователей или внутренних сервисов — это чистой воды дубли. Люди по десять раз переспрашивают у модели схожие аналитические промты, а фронтенд-модули тоннами гоняют идентичные запросы к гео-кодерам. Первая мысль — давайте закроемся кэшем. Но тут мы упёрлись в архитектурный тупик.

Почему Nginx и классические прокси здесь не помощники

Обычно для кэширования трафика берут Nginx, Varnish или HAProxy. Но все они создавались для классического веба, где правит бал GET-запрос, а уникальным ключом кэширования выступает URL.

Современные ИИ-модели и гео-сервисы работают строго через POST. Внутри тела (payload) лежит тяжелый JSON. И этот JSON постоянно мутирует:

Спустя шесть с половиной лет после выхода Vapor 4 и ровно через десять лет после релиза Vapor 1.0. Первый бета-релиз увидел свет ровно через 10 лет после того, как был помечен тегом Vapor 1.0, и после почти 6,5 лет и 306 релизов Vapor 4 я невероятно рад объявить о первом бета-релизе Vapor 5! Работа над Vapor 5 началась более двух лет назад, и с момента выхода первой альфа-версии в июне мы потихоньку работали над альфа-версиями. Теперь, после изменения 49 000 строк кода и завершения всех архитектурных изменений, мы готовы к тому, чтобы больше людей увидели и попробовали новую версию.

Программирование на телефоне: бесполезная затея или нормальный инструмент? Я сделал PyLab, чтобы писать и запускать Python прямо на смартфоне, а потом добавил туда курсы для новичков. В статье показываю, что из этого вышло.

Разработчики OrcaSlicer выпустили альфа‑версию 2.5.0 с пользовательскими плагинами, функцией смешивания цветов через чередование слоёв и набором встроенных инструментов для параметрического моделирования. Релиз объединил в себе более 950 пул‑реквестов от более 140 разработчиков.

Письмо пришло от имени знакомого сервиса. Логотип на месте, адрес отправителя выглядит убедительно, а текст не вызывает подозрений. Можно ли доверять такому сообщению?

Необязательно. Имя отправителя и оформление письма достаточно легко подделать. Поэтому почтовые серверы используют несколько механизмов проверки, которые помогают определить, действительно ли сообщение отправлено с разрешённого сервера и не было ли его содержимое изменено.

— В этой статье разберём SPF, DKIM и DMARC без лишней теории: посмотрим на примеры DNS-записей, научимся читать результаты почтовой аутентификации и выясним, почему даже три успешные проверки не гарантируют, что письмо безопасно.