Tailscale опубликовала разбор своей роли во взломе Hugging Face: сбежавший из песочницы AI-агент, уже получив root на узле Kubernetes, прочитал хранилище со 136 секретами, среди которых оказался многоразовый ключ авторизации Tailscale. С его помощью агент за несколько дней подключил к внутренней сети Hugging Face 181 внешний узел с правами CI-инфраструктуры. Уязвимостей в самом Tailscale не найдено, но компания делает вывод, что ее технология, которая предполагает zero trust, не остановила агента, поскольку использовался долговременный ключ, которых вообще не должно было бы существовать. Дальше идет аккуратный разбор альтернатив, которые могут использовать пользователи Tailscale за дополнительную плату — Border0 (прокси для инъекции ключей, когда агент вообще не видит их) «предотвратил бы чтение 136 ключей», федерация workload identity сделала бы утёкший ключ ненужным, а сетевые flow-логи поймали бы подавление телеметрии флагом --no-logs-no-support, поскольку второй конец соединения продолжает отчитываться. Как заканчивается запись в блоге — это очень канадское извинение, но извините, что вы наступили нам на ногу. А вот, типа, за дополнительные деньги мы бы эту ногу убрали заранее. https://tailscale.com/blog/hugging-face-intrusion

Буржуи В русскоязычной маркетинговой айтишной среде западный рынок часто называют «буржуи», «Бурж». Мне это не нравится. Вообще слово буржуазия это синоним зажиточности, а большинство людей в западном рынке такие же как мы, только не зажиточные. Ну да может для них пять баксов не деньги, но стоимость жизни подороже а в среднем чистыми та же хуйня, если нормировать на всякие индексы макдоналдса и литра бензина. Я понимаю если ты делаешь B2C app на запад, льешь трафик и людей в глаза не видишь, думай что хочешь Но если делаешь sales (списываешься, встречаешься, созваниваешься с клиентами), то слово буржуй это уже ментально настраивает общаться с ними как с неравными, это лично моя проекция. То есть вместо майндсета «завоевать доверие» и «решить проблемы» и получить за это бабки, от тебя веет энергетикой «наебать лоха из более богатой страны». Короче я лично не люблю такие термины Но отношение знаете как будто «буржуев взгреть как гоев».

🚀 Как собрать команду для стартапа Стартап — это всегда вызов, и правильная команда может стать решающим фактором успеха. Хотя состав зависит от сферы бизнеса, есть несколько базовых ролей, которые необходимы на старте. 🧠 Основатель — задаёт стратегию, принимает решения, ищет инвестиции 💻 CTO — отвечает за технологическую реализацию и архитектуру продукта 📦 Продуктовый менеджер — формирует видение продукта и собирает обратную связь 📣 Маркетолог — ищет клиентов, строит воронки, развивает бренд 🎨 UX/UI-дизайнер — делает продукт удобным и понятным 👨‍💻 Разработчики — создают и поддерживают рабочий продукт 📊 Финансист — считает экономику, помогает не сгореть на первом пивоте ⚙️ Операционный директор — организует процессы, чтобы всё работало. На первых этапах многие из этих ролей могут быть совмещены одним человеком. Однако важно осознавать, что стартап — это баланс между нехваткой ресурсов и необходимостью быстро двигаться вперёд. Ставьте приоритеты и работайте эффективно! Фаундер | Бизнес и Стартапы

Почему телефон у уха не опасен Разберёмся, откуда взялся страх перед излучением смартфона — и почему физика против него. Всё излучение вокруг нас — это электромагнитные волны, но они очень разные. Ключевой параметр тут, это энергия. У рентгена она высокая: такому кванту хватает сил выбить электрон из молекулы, повредить ДНК и запустить рак. Это называют ионизирующим излучением. А вот радиоволны, на которых работают связь, Wi-Fi и навигация, сидят на самом слабом краю спектра: длинная волна, низкая энергия. Ионизировать молекулу и «сломать» ДНК им попросту нечем. Даже микроволновка, что стоит энергетически повыше телефона, максимум умеет нагревать, но не ионизировать. Теперь к доказательствам. В 2019 году ВОЗ заказала 13 обзоров о влиянии электромагнитных волн на здоровье — от головной боли и фертильности до онкологии. Обзор — это не одно исследование, а сведение всех накопленных работ с оценкой их качества. Авторы обзора по раку мозга взяли 63 исследования за 1994–2022 годы и не нашли связи между использованием телефона и опухолями мозга, головы или шеи. Не сыграли роли ни интенсивность звонков, ни стаж — даже свыше десяти лет. Важнее всего здесь железная эпидемиологическая логика: если бы телефоны провоцировали рак мозга, то по мере того, как ими обзавелась вся планета, заболеваемость должна была поползти вверх. Она не ползёт. По многим другим эффектам данных пока мало или они низкого качества, так что твёрдых выводов там нет. И, как пишут сами исследователи, ни один научный метод не способен доказать абсолютное отсутствие риска. Но конкретно по раку мозга доказательства получили высший из возможных для наблюдательных исследований уровень надёжности. Если переводить на человеческий: держать смартфон у уха можно спокойно. @vselennayaplus

Что случилось с Cursor? Он стал непопулярен? Разбираем 👇 Если коротко, то: нет, скорее изменилась сама экосистема AI-инструментов. В 2024–2025 годах Cursor был практически синонимом AI-кодинга. Если человек хотел попробовать «вайбкодинг», чаще всего он устанавливал именно Cursor. Но за последний год рынок сильно изменился. Во-первых, появился и стремительно вырос Claude Code. Многие разработчики перешли на него из-за более сильных агентных возможностей и удобной работы с большими проектами. Во-вторых, OpenAI активно развивает Codex, GitHub Copilot продолжает занимать корпоративный сегмент, а также появились Windsurf, Kiro, Jules и десятки других решений. Сегодня разработчики уже выбирают не один инструмент, а собирают собственный стек под разные задачи. При этом говорить, что Cursor непопулярен будет тоже некорректно. Многие компании продолжают использовать его параллельно с Claude Code. Например, недавно стало известно, что Disney оставляет Cursor среди основных инструментов разработки наряду с Claude Enterprise, несмотря на отказ от GitHub Copilot. Почему тогда создается ощущение, что про Cursor стали говорить меньше? В 2026 год сменился тренд. Суть тренда в том, что мы выбираем не конкретный редактор, а AI-агента или подборку агентов. Уже не столь важно, где вы будете писать код, поэтому конкретно Cursor обсуждают не так активно. Кстати никогда не спрашивала вас: А вы использовали Cursor?

Про постановку целей по AI в компаниях Часто, когда придумывают какой-то KPI, например повышение AI-зрелости, проникновения AI или экономических эффектов, в итоговую цель ложится что-то типа «повысить на 50%» или «достичь уровня 80%». Все такие формулировки неизменно вызывают много дискуссий «а как они решили, что надо именно 80, а не 70 или 90?», поэтому пара слов об этом. AI характерно то, что итоговый эффект довольно сложно точно предсказать, максимум - по порядку величины и то может оказаться, что его просто не будет. Как следствие, вы всегда ставите цель в условиях сильной неопределенности, и в какой-то момент надо просто решиться, ткнуть пальцем в график и сказать «будет вот так». Ну знаете, как Королев со своим известным «Луна твердая» (там на самом деле была чуть более длинная и менее бескомпромиссная записка, но легенда всегда становится чуть красивее). Что может смягчить для руководителя и компании последствия такого «тычка пальцем в небо» при планировании? Несколько вещей: 1. Оценивайте результат и уточняйте план чаще, чем раз в год. 2. Берите как руководитель ответственность за тот план, который сами поставили. И когда ставите цель себе, и когда ставите цели своим сотрудникам. Та же байка про Королева ведь не про гениальность и авторитарность великого, а именно про способность взять на себя ответственность. 3. Лучше сначала определитесь со способом измерения и проведите замер, что есть сейчас, чтобы потом не натягивать сову на глобус, подгоняя оценки под то, что вышло. 4. Ищите баланс между микроменеджментом и стратегичным стратегированием с отрывом от реальности: погружайтесь вглубь, чтобы не было чайка-менеджмента и форвард-менеджмента, но видьте границы ответственности. Последнее о том, что ошибиться с планом и посидеть без премии это ок, а «всех разогнать нафиг» это не ок. Если не нравится точность планирования - надо улучшать ее, а не крушить и ломать :) Не должно быть какого-то гнетущего эмоционального давления или чувства вины за неудачу, должен быть здоровый азарт - сделал ставку, пробуешь оправдать, не оправдал - что-то потерял, но не так чтобы руки дальше опускались, пробуем еще и еще. В AI это очень важно, потому что страх сильно влияет на проактивность и взятие на себя ответственности в интеллектуальной работе, где нельзя предсказать результат работы точно. 5. Самое важное: всегда, особенно при недостижении каких-то результатов, ищите возможность не поскорее найти виноватых и кого-нибудь наказать, а понять и вместе с командой придумать, как в следующем временном интервале сделать лучше. При этом терпилой быть не надо, если систематически ставите вместе с человеком цели и систематически их не достигаете, возможно вам обоим нужно поработать с кем-то другим.

👤 Что такое Service Account? Когда начинают изучать Active Directory, серверную инфраструктуру или облачные сервисы, часто встречают термин Service Account.

📌 Service Account — это специальная учётная запись, которая используется не человеком, а программой, службой, сервером или автоматизированным процессом.

То есть от её имени могут работать: — службы Windows; — базы данных; — системы резервного копирования; — агенты мониторинга; — веб-приложения; — CI/CD-системы; — скрипты автоматизации; — облачные сервисы и API. 🧠 Главное отличие от обычного пользователя Обычная учётная запись принадлежит человеку. Например:

ivan.petrov

Service Account принадлежит сервису или приложению. Например:

svc_backup
svc_sql
svc_zabbix
svc_webapp

💡 Представьте, что в компании работает система резервного копирования. Чтобы она могла подключаться к серверам и сохранять данные, ей нужна учётная запись с определёнными правами. Для этого создают отдельную Service Account:

DOMAIN\svc_backup

Этой учётной записи разрешают доступ только к нужным серверам и папкам. 💀 Почему Service Account интересна пентестерам? Потому что такие учётные записи часто: — имеют повышенные права; — используются сразу на нескольких серверах; — работают круглосуточно; — имеют пароли, которые редко меняются; — запускают важные службы; — могут иметь доступ к базам данных, резервным копиям и внутренним системам. Если злоумышленник получает пароль от Service Account, он может использовать её для дальнейшего перемещения по инфраструктуре. 📌 Типичная цепочка может выглядеть так:

Обычный пользователь
        ↓
Поиск сохранённых учётных данных
        ↓
Компрометация Service Account
        ↓
Доступ к серверу или сервису
        ↓
Перемещение по сети

Не всегда Service Account имеет административные права. Но даже ограниченная техническая учётная запись может дать доступ к важным данным или внутренним системам. 🧠 Service Account в Active Directory В доменной инфраструктуре такие учётные записи часто используются для запуска: — SQL Server; — IIS; — систем мониторинга; — резервного копирования; — планировщика заданий; — корпоративных приложений. Примеры:

DOMAIN\svc_sql
DOMAIN\svc_backup
DOMAIN\svc_monitoring

⚙️ Управляемые Service Account В Active Directory существуют специальные управляемые учётные записи: — MSA — Managed Service Account; — gMSA — Group Managed Service Account. У gMSA пароль автоматически создаётся и меняется средствами Active Directory. Это безопаснее, чем обычная Service Account с постоянным паролем. 🔐 Как защищать Service Account Рекомендуется: — выдавать только минимально необходимые права; — запрещать интерактивный вход; — использовать отдельную учётную запись для каждого сервиса; — регулярно менять пароли и ключи; — не хранить пароль в открытом виде в скриптах; — контролировать входы и действия; — отключать неиспользуемые учётные записи; — по возможности использовать gMSA. 📌 Главная мысль:

Service Account — это техническая учётная запись, через которую программа или сервис получает доступ к другим системам без участия человека.

#infra #ad #windows #serviceaccount #privilege