Разработчик под никнеймом JiaFeiMiao‑K-Cat выпустил утилиту DiscImageStudio, которая конвертирует изображение в данные для записи на оптический диск и наносит их с помощью записи. В итоге картинка становится видна на той же стороне, с которой привод считывает данные.
В OpenSSH Server на Alpine Linux нашли критическую уязвимость CVE-2026-123158. При определенных настройках она позволяет злоумышленнику подключиться к серверу без пароля или SSH-ключа, а в некоторых случаях — получить права root.
Проблема затрагивает Alpine Linux версий 3.16–3.24 и ветку edge. Разработчики уже выпустили исправления, поэтому рекомендуем проверить установленные пакеты и обновить OpenSSH.
Когда уязвимость опасна
Для атаки должны совпасть несколько условий:
OpenSSH работает без PAM.
На сервере разрешен вход по паролю.
Есть учетная запись без пароля или другой пользователь, для которого пароль не установлен.
SSH доступен атакующему по сети.
В такой ситуации вместо пароля можно отправить специально подготовленную строку длиной от 257 до 1024 байт и получить доступ к учетной записи. Если у пользователя есть соответствующие права через sudo или doas, под угрозой может оказаться весь сервер.
Если вход по паролю отключен, этот способ атаки не работает.
Что нужно сделать
1. Обновите OpenSSH
Установите доступные обновления:
apk upgrade -U -a
apk upgrade -U -a
2. Перезапустите SSH
rc-service sshd restart
rc-service sshd restart
Это важно: обновленный пакет сам по себе не заменяет уже запущенный процесс OpenSSH.
3. Проверьте версию пакета
apk info -v openssh
apk info -v openssh
Убедитесь, что для вашей ветки Alpine установлена версия с исправлением.
4. Проверьте сервер на подозрительную активность
Посмотрите журнал /var/log/messages. Особое внимание — записям Accepted password for для пользователей без установленного пароля.
Также проверьте, не появились ли неожиданные изменения в учетных записях, файлах сервера и authorized_keys.
Исправления доступны в Alpine Linux 3.21.10, 3.22.8, 3.23.8 и 3.24.4. Для веток 3.16–3.20 разработчики выпустили отдельные исправленные пакеты OpenSSH.
Если обновиться пока не получается
Отключите вход по паролю в настройках SSH:
PasswordAuthentication no
PasswordAuthentication no
После изменения настроек перезапустите SSH. Но сначала убедитесь, что вход по ключу работает. Текущую сессию лучше не закрывать, пока не проверите новое подключение, иначе можно потерять доступ к серверу.
Знаете этот опасный момент в конце расчётного периода, когда задачи по основным проектам закрыты, а на балансе остались неистраченные токены? Нормальный человек ложится спать. Разработчик с остатком лимитов начинает творить всякую дичь.
Проект Kinrox (GitHub) родился ровно из этого состояния, когда в одной точке сошлись две бытовые боли и одно вечное эстетическое требование: сделать удобный видеоплеер с пультом на iPhone, лёгкий проигрыватель Spotify и, самое главное, встроить туда скринсейвер «Матрицы».
Первая боль - диван и проектор. MacBook подключён по HDMI к HD-проектору, ты лежишь под пледом, смотришь кино, и тут нужно поставить на паузу, убавить звук, переключить звуковую дорожку из вложенной папки или включить следующую серию. Вставать с дивана и идти к ноутбуку каждый раз - преступление против лени.
Вторая боль - цены на память у Apple. На моём MacBook Pro (MacBookPro18,2, Apple Silicon) всего 32 ГБ оперативки, и официальный клиент Spotify.app с удовольствием отъедает от них около 2 ГБ просто за право крутить музыку в фоне.
Когда-то я писал о создании собственной RPG, и уже тогда в комментариях мне предложили внедрить в проект LLM для генерации квестов. В то время я довольно скептически отнёсся к этой идее. Однако технологии не стоят на месте: сейчас появился бесплатный API-доступ к языковым моделям (например, Gemini от Google), так почему бы не попробовать собрать что-нибудь на основе LLM? К тому же, помимо браузерного клиента игры, у меня когда-то был написан и текстовый клиент на Python, который можно переделать под генерацию промптов.
Сразу подчеркну, чем мой проект отличается от тех работ, которые стали появляться на хабре, или модов вроде Herika (Skyrim GPT). В большинстве из них языковая модель используется исключительно для общения с NPC. В моём же случае LLM в первую очередь совершает действия, а диалог — лишь приятный бонус. На первый взгляд разница кажется незначительной: какая разница, о чём спросить нейросеть — «что бы ты сказал?» или «что бы ты сделал?». На самом деле, разница принципиальная: сказать в можно всё что угодно, а вот сделать — нет.
Здесь я описываю наивную реализацию управления персонажа с помощью LLM: формирование на лету промпта и схемы ответа из поступающих с сервера игры данных, их отправка в LLM, получение и парсинг ответа, отправка команды на сервер, согласно ответу.
Встроенный поиск Obsidian на два из трёх моих вопросов ответил «0 файлов». Veynrel нашёл нужные заметки, хотя вопросы были заданы своими словами, а одна из моделей сначала поставила нужную лишь четвёртой. Показываю результаты и бесплатную локальную настройку.
Эмодзи козла в UTF-8 занимает байты F0 9F 90 90, и для процессора Intel 8088 это рабочие инструкции: LOCK LAHF и два NOP. Автор эмулятора MartyPC заметил это случайно и проверил, можно ли написать исполняемый COM-файл из одних отображаемых эмодзи. Получилось: программа из 141 байта выводит HELLO прямо в видеопамять, а загрузчик на эмодзи разворачивает в памяти демо для VGA. В статье разобраны листинги, таблица полезных эмодзи и гаджеты, которые склеивают соседние символы в одну инструкцию.
ИИ-перемены новые, а ошибки менеджмента старые. Я останавливала фабрику на первой неделе работы, от моих инициатив сбегало начальство и коллеги. О том, почему люди — не код, почему не всякое изменение к лучшему и чем здесь опасен ИИ.
Попалась на глаза статья «2,1 миллиард белых цапель» о разоблачении итогов исследования. Сразу спойлер: ИИ в деле не замешан, и все ошибки исследования принадлежат человеку. Если коротко, то в августе 2026 года журнал Science опубликовал статью о том, что политика Китая по расширению солнечной энергетики снижает разнообразие птиц. Внимательные читатели заметили, что цифра 2,1 миллиард цапель превышает мировую популяцию этих птиц раз так в тысячу. Начали перепроверять данные — выяснилось, что в 2015 году кто-то в провинции Гуандун внёс запись: «белая цапля — 2 147 483 647 особей». А это число само по себе в точности равно максимальному значению 32-битного целого числа со знаком в информатике (2³¹ − 1). То есть, скорее всего, это результат сбоя при вводе данных или ошибки в системе, а не реальный подсчёт птиц. Ошибки заметили уже после публикации: внимательные читатели перепроверили цифры и методику исследования и разнесли результаты в пух и прах.
Вот тут возникла шальная мысль: смог бы ИИ заметить все эти несоответствия до публикации статьи и спасти горе-исследователей и научный журнал от скандала? Кажется, что нет. Возможно, ИИ-проверяльщик зацепился бы за цифру в 2,1 млрд белых цапель и указал на то, что это во много раз больше всей мировой популяции. Но и тут многое зависело бы от постановки задачи.
Этот пример с цаплей прямо задел, создал целое облако идей и вопросов. Захотелось порассуждать вслух.
Фактически столь грубые ошибки говорят о том, что в процессе исследования не сработали контрольные точки. Данные собрали, проанализировали, написали статью, отправили в журнал. На каком этапе должна была случиться проверка, что исходные числа вообще имеют смысл? И вот тут возникла шальная мысль, что ИИ может вполне легитимно помогать не только с поиском литературы, переводом и составлением плана работы. Его можно использовать как инструмент контроля на определённых этапах исследования. Он может проверить, сходятся ли цифры, существуют ли ссылки, воспроизводится ли код. Но он не может решить, пригодны ли данные для метода, правильно ли выбраны переменные и что вообще считать «нормальным» в данной предметной области.
В октябре текущего года в журнале Life вышла статья, авторы которой опять предложили для обсуждения известный еще с середины прошлого века вопрос о возможности сохранения жизнеспособности бактерий и архей, замурованных сотни миллионов лет назад в залежах каменной соли, так называемых галитах.
6 ноября 2026 года в хостинг‑провайдере Beget сообщили текущую информацию по возвращению к штатной работе своей IT-инфраструктуры и сервисов для клиентов. Что можно было восстановить быстрее всего, в компании уже восстановили. Обычной очисткой, проверкой и перезапуском серверов дальше не обойтись. Следующий этап — восстановление данных из резервных копий. Файловые бэкапы VPS будут доступны только для половины пользователей. В Beget работают по инциденту с полицией, ИБ-компаниями, ТЦИ/КЦ, НКЦКИ и другими госорганами.
В мае я написал на Хабр статью «4 MVP за 4 месяца, 30 холодных DM, 1 регистрация». Итог там был такой: делать продукт за 30 дней я научился, а приводить в него людей нет. В конце пообещал себе, что следующие месяцы будут не про новые продукты, а про пользователей для уже сделанных.
Прошло полгода. Это отчёт с цифрами из баз и App Store Connect: что я пробовал, сколько людей пришло с каждого канала и что из майских планов я так и не сделал.
TL;DR. TeachTrack вырос с 17 регистраций до 612. Почти весь рост дали холодные сообщения репетиторам в Telegram: 5 439 человек за три месяца. Это работает, но это серо и упирается в лимиты. Неожиданно заметным источником загрузок TripTrack оказался ChatGPT: 89 загрузок из 516. Product Hunt дал ноль. Письма 312 блогерам с бесплатным годом PRO дали 19 переписок и ноль погашенных кодов. Дальше пробую короткие видео.
По оценке независимой исследовательской организации METR, с октября 2025 года возможности моделей Anthropic на выбранных бенчмарках росли в 1,9 раза быстрее, чем раньше. Исследователи считают, что около 80% ускорения связано с использованием ИИ внутри компании.
Для исследования METR получила доступ к внутренним данным Anthropic, включая результаты трёх ещё не выпущенных моделей — Model 2, 3 и 4. Также исследователи поговорили примерно с 15 сотрудниками компании.
Подключаем датчик, записываем два крайних значения и растягиваем диапазон на сто делений. На экране появляются убедительные «47% влажности» и вот уже рядом с растением появляется красивый график.
Но в какой момент этому числу можно доверить включение насоса?
К этому вопросу я постепенно и добрался в Smart Plant OS. В прошлой статье интерфейс впервые открылся с настоящей ESP32. С тех пор были написаны и переписаны тысячи строк кода: за внешне похожей страницей постепенно появлялась работающая система. Впереди оставался самый интересный переход — от интерфейса с растениями к устройству, которое получает данные и на их основании что-то делает.
В COMETAL мы строим платформу для промышленной кооперации. Через неё помогаем заказчикам находить исполнителей для изготовления металлоизделий. А производствам – получать заказы. В этом материале расскажу, как мы строили платформу. Почему отказались от готовых решений. И дошли до того, что нейросети у нас тестируют платформу по ночам. Строят графики по запросу на человеческом языке. И сами выкатывают код в прод (да, было и такое).
Это продолжение истории про «Универсальный скачиватель», программу для Windows, которая качает видео и музыку через yt-dlp. В прошлый раз я рассказывал, как упаковывал консольную утилиту так, чтобы ей мог пользоваться любой человек. Сегодня про версию 1.4, а в ней почти нет нового функционала: я переделал внешний вид. Если кратко, то движок остался тем же (Flask на 127.0.0.1, страница в браузере, один файл index.html), а в Python поменялась одна строка с номером версии. Всё остальное — разметка, стили и немного скрипта.
Как я сделал бота, который сам приходит на встречи в Teams / Яндекс Телемост / МТС Линк, записывает разговор и через несколько минут отдаёт расшифровку и саммари с договорённостями. Почему не Copilot и не штатная расшифровка, почему два разных потока вместо одного, какие грабли собрал и что показали четыре месяца в проде.
Привет, это команда Практикума! До 11 ноября вы можете приобрести наши курсы с выгодой до 35%. Это максимальная скидка года среди всех публичных предложений сервиса Яндекс Практикум на 2026 год.
Скидка действует при единовременной оплате и применится автоматически. Её точный размер зависит от выбранной программы — посмотреть условия можно на странице интересующего курса.
Сколько раз за день вы открываете контекстное меню, чтобы скопировать текст, ищете нужную вкладку мышкой или выделяете слово по буквам? В этой статье Я собрал сочетания клавиш для Windows и macOS, которые упрощают работу с текстом, браузером, окнами и файлами
Команда Geeks3D представила обновление FurMark 2.11.0.4. Из основного — расширение встроенной базы устройств: программа научилась распознавать NVIDIA RTX™ Spark на базе Blackwell, а также получила профили для свежих и готовящихся к выходу решений от AMD, Intel и Moore Threads. Разберем технические подробности и изменения рендерера.
Привет, Хабр! На фоне повальной моды среди IT-компаний внедрять ИИ везде, где только можно (и не всегда нужно), выяснилось, что в одной из важных составляющих работы заменить человека нейросети не могут. И нет, это не написание кода, а поиск новых сотрудников. Почему люди в очередной раз разочаровались в ИИ и доколе вам придется рассказывать про зарплатные ожидания живому человеку – под катом.
Как бы ни были устроены процессы в компании, изменения в системе должны решать понятную задачу бизнеса. Для этого важно разобраться в контексте, собрать и согласовать требования, обосновать решения и проверить итоговую реализацию.
Эти навыки помогают самостоятельнее работать с задачами и переходить к более сложным проектам. Для бизнеса они создают основу понятных процессов, обоснованных изменений и контролируемого результата.
23 ноября в Инфостарт Обучение стартуют четыре курса, посвященные разным сторонам этой работы. Ниже - навигатор, который поможет выбрать программу под текущие задачи.