Моя лента

Знаете это чувство, когда читаешь статью про локальные LLM и думаешь: «А, ну это же просто. Поставлю Ollama, тяну модель, и у меня уже свой ИИ-агент, который знает весь код»?

Я думал именно так.

Меня зовут Егор Лаптев, я QA Fullstack Java в SENSE на проекте крупного российского банка. У меня MacBook Pro M2 Pro с 32 ГБ RAM: не topical машина, но для разработки рабочая лошадка. Даже не подозревал, что через 20 минут после запуска модели ноутбук будет звучать как истребитель на взлёте, а температура процессора будет такой, что можно было бы варить яичницу на крышке.

Это история о том, как «просто запустить локально» превратилось в инженерный проект с бюджетом, расчётами и одним почти сгоревшим ноутбуком.

Возможно, кто-то скажет, что Habr — не Pikabu, что этой статье здесь не место.
Однако поскольку Timeweb регулярно публикуется здесь с рекламой, возьму на себя риск и отступлю немного от канона, чтобы выступить этаким балансиром.

Раз уж Timeweb активно использует хабр, как площадку для саморекламы, тогда и статья, что покажет читателю этот бизнес со стороны реального пользователя также может оказаться полезна.

Многие из нас писали асинхронный код, который помогает не блокировать потоки при ожидании ответа от процессов, сетевого соединения или устройств. Вызов с callback-функцией задействует много сущностей: и планировщик задач, и межпроцессное взаимодействие, и системные вызовы, и механизмы ядра Linux. Без асинхронных вызовов не обходятся настольные операционные системы, и их разработка требует баланса между производительностью и безопасностью. Также важно сохранить код читаемым и удобным. 

Меня зовут Илья Клементьев. Я разрабатываю настольную операционную систему kvadraOS Desktop на основе ChromiumOS. В этой статье я постараюсь найти ответ на вопрос: что же все-таки лучше для асинхронного кода — poll() или epoll()? И нужно ли это оборачивать в корутины C++20? 

Мне тут подкинули задачку: оценить возможности карточек Mellanox ConnectX-6. Эти карты относятся к классу умных (SmartNIC), поэтому могут не просто считать контрольные суммы и сегментировать пакеты, им по силам трансляция IP-адресов (NAT), L4-балансировка и L3-маршрутизация. Обычно эти функции выполняются в ядре Linux на центральном процессоре, но в теории с помощью умной карты их можно перенести в железо, высвободив вычислительные ресурсы CPU.

Я решил сравнить производительность двух сред (процессор общего назначения и специализированный ASIC) и узнать, насколько можно ускорить работу CPU. В этой статье сразу расскажу, чего намерил, подробно опишу свои злоключения по сборке стенда, ну а начну с короткого обзора умных карт Mellanox ConnectX. Надеюсь, материал поможет коллегам-архитекторам трезво оценить возможности карты в своих проектах, а инженерам-сетевикам подобрать рабочие конфигурации, обойдя набитые мной шишки.

Ну и кто знает, может кто-то из вас подскажет мне, почему кое-что не взлетело.

В октябре 2026 года в ядре Linux закрыли дыру, в которую мог войти любой, кто умеет отправить TCP-пакет. Это происходит ещё до того, как хоть один байт доходит до вашего приложения, без пароля и без аккаунта — уязвимый код срабатывает в момент, когда ядро ещё только пожимает руку входящему соединению. Баг родился в январе 2016-го. Десять лет через него проходило практически каждое TCP-соединение в интернете. А 27 октября Anthropic сообщила, что её неопубликованная модель написала к нему эксплойт: 48 минут — и у неё адрес ядра, ещё пять — и у неё root.

Дыра тут, в сущности, ни при чём. Просто взлом подешевел, а мы продолжаем считать по-старому.

И нет, это не история о том, что ИИ всех взломает. Пока мы спорили, заменит ли нас Copilot, изменились две вещи, и произошло это одновременно.

Первая. Десять лет мы жили с багом, который снаружи неотличим от аккуратно спрятанной закладки. Как Heartbleed. Прав оказался параноик в шапочке из фольги: несокрушимых систем нет, есть только сложность, которая делает взлом невыгодным. И эта сложность только что обвалилась в цене.

Вторая. ИБ с приходом ИИ изменилась сильнее, чем разработка. Только разработка менялась у всех на виду — с мемами, холиварами, стартапом на каждый чих и новым жанром статей «Я уволил разработчиков и сделал это за вечер». ИБ же менялась за закрытой дверью. А июньская ситуация с Fable навесила на эту дверь мощный замок. Модели, которые превращают гонку в ядре в шелл от root, работают прямо сейчас. Просто не у нас. Отсюда неудобный вопрос: мы этого не заметили — или нам не показывают?

Я CTO облачного провайдера, то есть человек, у которого под ядром Linux крутятся чужие деньги. И, сложив новостной поток и уведомления от ЦМУ ССОП в общую картинку, я хочу сказать, что пора бить тревогу!

Знать C для чтения вообще не надо: достаточно понимать, что такое указатель, и быть знакомым с Go, PHP или Node.js. Если есть что добавить или поправить — приглашаю в комментарии.

Раскрыта критическая уязвимость под названием sshhole в OpenSSH на системах с библиотекой musl Linux (musl-based Linux, используемой в Alpine, OpenWrt, Buildroot, Yocto, а также во множестве образов Docker, которые вы, возможно, скачивали), которая с 2016 года позволяла получить доступ к учётным записям, не защищённым паролем.

Хабр, привет! На связи Александр Бек, аналитик-исследователь угроз кибербезопасности R‑Vision. 

В 2026 году исследователь Nightmare Eclipse, известный также под псевдонимами Chaotic Eclipse, MSNightmare и Dead Eclipse, опубликовал серию PoC-эксплойтов для уязвимостей нулевого дня. Сначала его работы были посвящены продуктам Microsoft, затем он обратился к стороннему ПО, в том числе к средствам защиты.

В сентябре исследователь назвал себя Абдельхамидом Насери (Abdelhamid Naceri) и связал свои публикации с конфликтом с бывшим работодателем, Microsoft. Это объяснение отражает позицию самого автора. Однако для технического разбора PoC важнее то, как именно они используют механизмы работы средств защиты.

Несмотря на личный характер мотивации автора, его технические работы представляют значительный интерес для специалистов по безопасности. Они демонстрируют не только эксплуатацию уязвимостей, но и изощрённые техники обхода доверенных процессов средств защиты. В фокусе моей статьи два эксплойта из этой серии: HardBreacher, нацеленный на Kaspersky Endpoint Security, и PrettyPrague, эксплуатирующий песочницу Avast Antivirus.

Мы детально разберём механику работы обоих PoC, выделим характерные низкоуровневые артефакты, которые они оставляют в системе, и на их основе сформулируем подходы к построению корреляционных правил обнаружения.

Главная задача — показать, что детектирование подобных атак должно опираться на железные аномалии в поведении процессов и объектов ОС, а не на сигнатуры конкретных имён файлов или эксплойтов. Такой подход позволяет создавать правила обнаружения, устойчивые к модификациям вредоносного кода.

Британский словарь английского языка Collins English Dictionary выбрал слово 2026 года. Им стал сленговый глагол mogging, который означает затмить, превзойти или выглядеть гораздо лучше кого‑то другого.

Как отмечают составители словаря, глагол часто используется представителями поколений Z и «альфа» и стал неотъемлемой частью повседневного общения. Кроме него, в шорт‑лист словаря вошли carspreading, friendslop, ghost job, fricy и hydration break.

Сегодня невозможно представить процесс создания музыкальных произведений без использования компьютера. Он один заменил собой целую студию, открыв невероятные возможности для «домашних» музыкантов. Уже четверть века любой желающий с помощью домашнего ПК может создать музыкальный трек вполне профессионального качества, особенно если речь идёт об электронной музыке, без записи живых инструментов.

Окончательную резолюцию на радикальные перемены в этом вопросе поставили такие столпы, как Pro Tools и Cubase. Но где-то в середине переходного процесса 1990-х годов нашлось место для малозаметного революционера: программы ReBirth RB-338 — первой ласточки, превращающей обычный ПК в виртуальную студию для создания электронной музыки. В октябре этого года RB-338 отметил своё 30-летие. Повод вспомнить или впервые узнать его историю, а также историю компьютеров, электронной музыки и некоторых культовых синтезаторов.

Искал на днях мессенджер под Android, имеющий end-to-end-шифрование и маскировку под калькулятор. GPT посоветовал идеального кандидата — некий disguise.chat. Приложение выглядит как обычный калькулятор, но при вводе секретного кода открывается мессенджер. Слепо доверять подобным приложениям я не привык, поэтому решил подробнее изучить его код в дизассемблере.

В 2026 году число кибератак продолжает набирать обороты, а ущерб от них растёт. По прогнозу Cybersecurity Ventures, мировые потери от киберпреступлений вырастут с $10,5 трлн в 2025 году до $12,2 трлн к 2031 году. Главными целями киберпреступников остаются компании и организации в сфере здравоохранения, финансов, энергетики, промышленности, технологий, а также государственные учреждения. Каждая успешная атака приводит к утечке данных компаний и её клиентов, а иногда и денег напрямую.

В теории LLM-бесед как лумановских смысловых систем нового типа (Krupkin, 2026) взаимодействие с пользователем опосредовано сопряжённой социальной системой, что вменяет чатам с LLM / ноосвиками возможность наличия в них социально-ролевой схемы коммуникационного взаимодействия Ego-Alter, где Ego – это ролевая маска ноосвика, то, как он предстает пользователю, а Alter - это модель пользователя в LLM, то, как LLM-беседа видит пользователя.

Поиск научных источников дает довольно много экспериментальных исследований LLM, которые можно связать со схемой Ego-Alter. В частности, моделей Ego LLM-бесед касается свежий обзор на Habr по влиянию на Ego ноосвика даже одного или нескольких нейронов LLM. В данном своем обзоре найденных в литературе экспериментов я ограничусь описанием LLM-беседой своего собеседника – пользователя чата, – её моделированием взаимодействующего с собой Alter. 

Обычный видеокреатив просит пользователя поверить обещанию. Playable позволяет пощупать продукт руками. Для мобильного маркетинга это принципиальная разница. Человек еще не установил приложение, но уже совершает действие, понимает механику, получает результат и только после этого решает, стоит ли идти дальше. В играх такой формат давно используется как короткая демоверсия. Unity описывает playable ads как интерактивный фрагмент игры, который позволяет попробовать продукт до установки и тем самым помогает приводить платящих пользователей.

Однако сам принцип геймификации работает шире: пользователь не смотрит рекламу пассивно, а участвует в ней. Поэтому со слов Unity playable ads — формат, который помогает приводить платящих пользователей, благодаря тому, что они опытным путем убедились, что к чему. 

Насколько тяжёлым должен быть Kubernetes-кластер, чтобы на нём можно было тестировать решения из промышленной инфраструктуры? Автор собрал такой стенд на одном мини-ПК с потреблением около 10 Вт: с реплицируемым хранилищем, полноценным LoadBalancer и Gateway API. В статье — подробный разбор конфигурации, неожиданных проблем и компромиссов, благодаря которым удалось уместить почти продовый Kubernetes в столь скромные ресурсы.

До 2027 года осталось меньше двух месяцев, а у маркетологов еще немало дел. Нужно разобраться, какие рекламные инструменты будут актуальны в новом году, научиться использовать ИИ-агентов, найти способы сократить расходы на продвижение и привлечь больше клиентов. И все это — параллельно с текущими задачами.

Чтобы не тратить время на бесконечные эксперименты, полезно узнать, что уже проверили другие специалисты. В ноябре click.ru проведет пять мероприятий, на которых эксперты поделятся рабочими подходами, разберут реальные кейсы и расскажут, к чему готовиться в 2027 году. В программе — перформанс, таргетинг, ИИ, медийная реклама и продажи.

Перформанс, ИИ, медийная реклама и продажи — что будет работать в 2027 году

6 ноября, 10:00–16:00 МСК. Москва, офис VK

Какие рекламные стратегии сохранят эффективность в следующем году? Куда направлять бюджеты и какие технологии стоит освоить уже сейчас? Обсудим эти вопросы на очной встрече с экспертами рынка.

В программе — использование ИИ-агентов, продвижение брендов в ответах нейросетей, распределение рекламных расходов и оценка окупаемости кампаний. Спикеры поделятся практическими кейсами, а участники смогут лично задать вопросы и обменяться опытом.

Обратите внимание: онлайн-трансляции и записи не предусмотрено. Количество мест ограничено.

Как настроить эффективную рекламу и таргетинг на Авито

10 ноября, 13:00–14:30 МСК

Большой охват не гарантирует продаж. Если объявления видят люди, которым неинтересен товар, рекламодатель получает переходы и расходы, но не покупателей. Поэтому важно не просто привлекать трафик, а находить подходящую аудиторию.

Китайская Moonshot AI, разработчик Kimi и одна из самых заметных открытых лабораторий Китая, опубликовала полные веса Kimi K3.1 Pro на Hugging Face 4 ноября. До этого модель с 23 октября работала только через API и приложения Kimi, а сама компания обещала выложить веса «до 4 ноября» и уложилась ровно в срок. Это MoE-модель на 2,8 трлн параметров, из которых на каждый токен активны 104 млрд, с контекстом в 1 млн токенов и вводом текста и изображений.

Я проверял двенадцать моделей на трёх одинаковых кадрах: закулисье fashion-съёмки, стройка дома по двум кадрам и рекламная банка. В основном рейтинге девять моделей: у Runway Gen-4.5, Grok и HappyHorse режима двух кадров нет, поэтому в стройке они не участвовали, а их место я считаю отдельно.

Оживить фото нейросетью в моём тесте лучше всех смогли Seedance 2.5 и Kling 4.0: 90,9 и 90,4 балла из 100 по трём сценам. Wan 3.0 третья с 81,8.

Но единоличного победителя на все тесты нет. Kling 4.0 почти не уступает Seedance 2.5, а ролик у неё в 2,7 раза дешевле. На стройке по двум кадрам впереди Seedance 2.5: она почти по-настоящему строит дом, а Luma Ray 3.14 выращивает его из земли. На банке с надписью лучшими вышли Kling 4.0 и Wan 3.0. А Veo 3.1 стоит почти вшестеро дороже Veo Omni Flash 1.1 (дальше Omni) и проиграла ей в рейтинге.

Разместил два веб-приложения на VPS Hetzner в Финляндии и столкнулся со странной проблемой. Через домашний интернет сайты работали, а через российских мобильных операторов нет.

При этом HTTPS-соединение успешно устанавливалось, сервер возвращал HTTP 200, но загрузка зависала после первых нескольких килобайт.

Расскажу, как с помощью curl и tcpdump удалось локализовать проблему и почему под подозрение попали DPI/ТСПУ. И какое решение в итоге помогло.