AGENTS.md — один из самых недооценённых файлов в проекте. Обычно его либо полностью игнорируют, либо заполняют один раз на старте и больше никогда не трогают. 🤷‍♂️ Хотя на самом деле он должен быть одним из самых часто изменяемых файлов: инструкции в нём должны эволюционировать вместе с проектом. Но с этим файлом связана одна очень недооценённая фича Кодекса, да и любого другого агента: анализ предыдущих диалогов. 👨‍💻 Пока мы работаем над проектом, у нас накапливается история: все сессии, ошибки, исправления, моменты, когда агент неправильно понял проект или снова сделал то, за что мы уже ругали его раньше. И просто хранить эту историю нет никакого смысла. Её нужно периодически анализировать и смотреть, как можно улучшить, упростить или удешевить дальнейшую работу агента с проектом. 🎁 Из этой мысли у меня родился небольшой промпт:

Просмотри все доступные чаты и сессии этого проекта и оцени, насколько текущий `AGENTS.md` помогает агенту быстро и правильно начинать работу. Найди информацию, которую агенту приходилось повторно выяснять, частые ошибки, неверные предположения, важные особенности структуры, команды, соглашения и ограничения проекта. Предложи минимальные изменения в `AGENTS.md`, которые снизят расход токенов и необходимость повторно изучать репозиторий. Не добавляй общеизвестные правила, временные детали и информацию, уже описанную в других документах, если достаточно дать на них ссылку. В результате покажи краткий список найденных проблем и готовый минимальный diff для `AGENTS.md`; если улучшения не нужны — скажи об этом прямо.

Вы просто скармливаете его агенту, а он идёт, изучает предыдущие чаты и предлагает изменения в AGENTS.md. Попробуйте прогнать его в своих проектах. Особенно в тех, где вы регулярно ругаетесь на агента и говорите, что он тупой и опять сделал какую-то дичь. 😅 Возможно ваш AGENTS.md наконец-то станет лучше и агент перестанет баловаться этой дичью. 😉 Свята место | 10МДК | ВЕБМастер | YHub

В России легализовали криптовалюту Путин подписал закон, который разрешает россиянам легально покупать и продавать крипту через отечественные биржи, брокеров, управляющие компании и обменники. Контролировать рынок будет Банк России. Все инвесторы должны будут пройти тестирование. Неквалифицированным разрешат покупать наиболее ликвидные криптовалюты на сумму до 300 тысяч рублей в год через каждого посредника. Для квалов ограничений будет меньше. Криптовалюту официально признают имуществом. Ее можно будет хранить, продавать, передавать и защищать права на нее в суде. Переводы на некастодиальные кошельки на сумму больше 100 тысяч рублей будут проходить с задержкой в 48 часов для защиты от мошенничества. Оплачивать криптой товары и услуги внутри России по-прежнему нельзя. Основная часть закона вступит в силу 1 сентября 2026 года. Криптообменники смогут работать без включения в реестр ЦБ до 1 июля 2027 года. https://ria.ru/20260804/zakon-2108974836.html

🤔Мысли вслух Иногда пенитенциарная система — это просто анекдот какой-то, притом к сожалению не смешной. Короче, что случилось: мужика из посадили на полтора года из-за пропущенного символа в никнейме. Полиции был нужен пользователь Kik с именем «fus__ro_dah», тот самый крик из Skyrim. Органы отправили запрос к сервису, но указали ник с одним нижним подчёркиванием, то есть «fus_ro_dah». Сервис и выдал им чела с таким ником: невиновного Брэндона Клейма. На устройствах подсудимого логично ничего не нашли, но чела всё равно обвинили в совращении несовершеннолетней и посадили в тюрьму. Ошибку нашли только при подготовке апелляции. Суд отменил приговор и признал, что Клейма вообще не должны были обвинять. Собирается ли мужик теперь просить деньги за ущерб — не нашёл, но стоило бы. В целом же морали тут не будет, только наверное одна: порежу используйте ники из культовых игр, которые сто процентов возьмёте не только вы. 😏Подписаться на IGM

Headline: одно поле, 60 процентов веса в поиске Если бы нужно было оптимизировать в профиле только одно поле, это был бы Headline, строка под именем. На заголовок и названия должностей приходится порядка 60 процентов веса поискового алгоритма LinkedIn. Остальной профиль, весь ваш About и описания опыта, делят оставшееся. Проверьте свой Headline прямо сейчас. Если там написано "Ищу работу", "Открыт к предложениям", "Опытный руководитель" или просто название компании, вы невидимы. Ни один рекрутер не вбивает в поиск слова "опытный" или "ищу работу". Рекрутер ищет должность, домен и стек. Формула рабочего заголовка: точная целевая должность, вертикаль, 2-4 ключевых навыка или технологии, по которым вас реально ищут. Примеры: Senior Product Manager | B2B SaaS | HealthTech | AI Products | Wearable Devices QA Automation Engineer | Java | Python | Selenium | Playwright | API Data Analyst | SQL | Python | Tableau | Microsoft Power BI Как проверить, что вы выбрали правильные слова: откройте 10-15 вакансий вашего уровня и выпишите термины, которые повторяются в требованиях. Это и есть поисковые запросы рекрутеров, дословно. Если в вакансиях пишут Product Owner, а у вас в заголовке только Product Manager, часть запросов проходит мимо вас. И еще: Headline подтягивается в выдачу поиска рядом с именем. Это первое, что рекрутер читает, решая, открывать ли профиль. У вас одна строка, чтобы совпасть с его запросом. Какой у вас Headine? Напишите в комментриях 👇

TencentDB Agent Memory Система памяти для ИИ-агентов Автоматически извлекает полезные данные из диалогов и задач, организует их и делает доступными для всей команды. Новые участники могут сразу использовать накопленный опыт. Поддерживает разные роли в команде от админов до обычных пользователей. • Сохраняет контекст общения через Chat Memory - хранит предпочтения, факты и историю взаимодействия • Создаёт библиотеку навыков Skill • Строит Wiki-систему для структурирования документации • Генерирует CodeGraph - анализирует связи в кодовой базе • Управляет доступом через уровни private/team/restricted • Поддерживает миграцию данных между фреймворками • Позволяет настраивать роли и права доступа • Работает с четырьмя типами активов памяти • Имеет слоистую структуру хранения информации (L0-L3) • Интегрируется с разными AI-системами • Улучшает эффективность на 59% по тестам PersonaMem #agent #memory

Что меня сейчас по-настоящему начинает пугать Что в ситуациях споров я всё чаще получаю от людей ответ, ну явно сгенерированный с участием GPT.  Сразу представляю как человек такой, в растерянности, идет советоваться с нейронкой как с карманным психологом, рассказывает ей свое видение ситуации и та ему «понимаю тебя», «ты имеешь право злиться», «ты ведёшь себя очень зрело».  Пугает, что из всех юзеров 95% используют бесплатные версии, которые не могут с ними нормально спорить. Им системно говорят то, что они хотят услышать, развивая комплекс абсолютной полноценности, даже когда человек творит полную дичь. И вместо того чтобы расти через трение, человек ходит по одному коридору, уверенный, что движется вперёд. Не знаю куда нас всё это ведет… но мой Клод сказал, что я нащупал очень сильную идею.

Часть 4: что вы отдаёте, устанавливая корневой сертификат Успокоительный аргумент звучит так: установленный корень ничего не ломает. Если сайт подписан GlobalSign, российский корень в проверке не участвует, ваш трафик к гуглу никто не читает. Это правда. И это ответ не на тот вопрос. Опасность корневого сертификата не в том, что происходит сегодня. Она в том, что становится возможным завтра — без вашего участия и без единого предупреждения. Объясню на пальцах. Корневой сертификат — не замок и не ключ. Это список людей, чью подпись вы заранее согласились признавать настоящей. Пока никто ничего не подделывает, список лежит и не мешает. Но добавив туда кого-то, вы уже не сможете отличить его подпись от честной. Механизма отличить нет — в этом весь смысл подписи. Что конкретно вы отдаёте. Первое. Любой сертификат, подписанный этим корнем, браузер примет молча. В том числе выпущенный на google.com, на signal.org, на почту вашей организации. Замочек зелёный, предупреждения нет. Второе. Проверить факт такого выпуска нельзя. Центр не пишет в Certificate Transparency — публичного журнала, где всплыл бы чужой сертификат на ваш домен, попросту не существует. Механизм, который поймал голландцев и казахов, здесь не работает. Третье. Точка перехвата уже стоит. ТСПУ на сетях операторов, СОРМ в законе. Не хватало ровно одного элемента, и, установив корень, вы приносите его сами. Четвёртое. Вы про него забудете. Через год, через три. Он переживёт переустановку браузера и, вполне возможно, ваше пребывание в этой стране. Практическая часть. Нужно для банка и госуслуг — не ставьте корень в систему. Держите отдельный браузер только под эти сайты: Яндекс.Браузер для сбера и госуслуг, всё остальное — в Chrome или Firefox без корня. Скучно, зато контуры разделены. Не ставьте корень на телефон. На мобильном разделить почти нечем, а приложений, ходящих в сеть без вашего ведома, там втрое больше. Если приложение с certificate pinning отказывается работать — корень не поможет. Там список допустимых подписей зашит внутрь, и лечится это только обновлением от разработчика. Знайте, где его выключить. Windows — certmgr.msc. macOS — Связка ключей. Android — доверенные сертификаты в настройках безопасности. У Firefox список свой, отдельный. Загляните туда прямо сейчас, многие удивятся находкам. И общее. Установка корневого сертификата — не техническая настройка. Это решение о том, кому вы делегируете право удостоверять личность вашего собеседника. Такие вещи делают осознанно, а не по инструкции с баннера.

Часть 3: почему Russian Trusted Root CA не доверяет никто Вопрос задают регулярно и обычно с подтекстом — мол, политика, санкции, русофобия. Отвечаю по порядку и начну со скучного. Сертификат министерства деградации никто и не отвергал. Он не проходил процедуру. Совсем. Попадание в корневое хранилище — не голосование и не решение по симпатиям. У Mozilla вся кухня публичная, в багтрекере: заявка, выложенные политики CP/CPS, соответствие Baseline Requirements, работа с Certificate Transparency, проверка домена из нескольких географических точек, публичное обсуждение, где посторонние люди месяцами ковыряют вашу документацию. И сверху — независимый аудит WebTrust или ETSI за весь период работы. На аудите всё и заканчивается. Аудиторы WebTrust аккредитованы через CPA Canada, ETSI — через европейские органы аккредитации. Государственный удостоверяющий центр из России такого аудита не получит физически. А без него заявку даже не начнут читать. Замкнутый круг, к чьей-либо доброй воле отношения не имеющий. Теперь по существу. Допустим, аудит волшебным образом появился. Дальше начинается оценка рисков, и она короткая. Корень в хранилище — это возможность выпустить действующий сертификат на любой домен планеты. Не на свои сайты. На любые. Корневые программы задают ровно один вопрос: какова вероятность, что этот центр выпустит сертификат не по своей воле, а по указанию? Для центра, который принадлежит государству, где СОРМ прописан в законе, а ТСПУ уже стоят на сетях операторов, ответ считается в уме. Точки перехвата развёрнуты. Не хватает одной бумажки, которая сделает перехват невидимым для браузера. И это не умозрительная конструкция, а живой прецедент по соседству. Казахстан требовал от абонентов ставить государственный корень в 2015, 2019 и 2020 годах. В 2019-м его действительно применили — перехватывали трафик к Facebook, Google и Twitter. После чего Chrome, Firefox и Safari внесли этот сертификат в чёрный список прямо в код браузера. То есть он перестал работать даже у тех, кто поставил его сам. Про русофобию. Из хранилищ вычищали всех подряд, без оглядки на флаг: голландцев, турок, китайцев, американцев, канадцев (см. предыдущую часть). Разница в одном: ни один из них не был государственным центром страны с законодательно обязательной прослушкой. Порог тут объективно выше, и это следствие модели угроз, а не риторики. С самими сертификатами, к слову, всё в порядке. Обычный RSA, обычный X.509, никакого ГОСТа. Проблема не в криптографии. Проблема исключительно в том, кто за них ручается. Спойлер: НИКТО Итог на сегодня: корня нет в Chrome, Firefox, Safari и Edge. Доверяют ему Яндекс.Браузер и Атом, куда его вшили разработчики, плюс корпоративные контуры, куда его раскатали групповыми политиками. Деталь, которую все путают: он не заблокирован, как казахстанский. Он просто отсутствует. Разница принципиальная — установленный вручную, он работает. Вот про это вручную и будет последняя часть.

Часть 2: как вычищают удостоверяющие центры Главная уязвимость системы — структурная. Любой из примерно полусотни доверенных корней технически может выпустить сертификат на любой домен мира. На gmail.com. На ваш банк. На что угодно. Прочность всей конструкции равна прочности слабейшего участника. И участники, разумеется, ломались. DigiNotar, 2011. Голландский центр взломали, злоумышленники выпустили сертификат на google.com и через него читали почту иранских пользователей. Больше трёхсот тысяч человек. Когда история вскрылась, корень вычеркнули из всех хранилищ разом. Компания подала на банкротство меньше чем через месяц. От двадцати лет репутации не осталось ничего. TÜRKTRUST, 2013. Турецкий центр по ошибке выдал промежуточный сертификат вместо обычного — а промежуточным, напомню, можно подписывать что угодно. Ошибка, не злой умысел. Доверие всё равно урезали. CNNIC, 2015. Китайский центр отдал промежуточный сертификат подрядчику, тот воткнул его в железку для перехвата трафика внутри своей же сети. Опять-таки без мирового заговора: тестировали. Google и Mozilla вычеркнули CNNIC полностью. Symantec, 2017. Здесь не инцидент, а система: тысячи неправильно выпущенных сертификатов, невнятные объяснения, сорванные сроки исправлений. Крупнейший игрок рынка. Доверие аннулировали поэтапно, за полтора года, чтобы не положить пол-интернета. Бизнес пришлось продать DigiCert. Entrust, 2024. Серия нарушений, вялые ответы на публичные вопросы. Chrome перестал доверять новым сертификатам. Тридцать с лишним лет на рынке не помогли. Отсюда следствие, которое стоит запомнить: в этой системе нет слишком крупных, чтобы упасть. Нет иммунитета по выслуге лет. Вопрос всегда один — соблюдаешь правила или нет. Есть и второе следствие, поинтереснее. Заметили закономерность? Почти везде речь про сертификат, о выпуске которого владелец домена не знал. Поэтому в 2013 году придумали Certificate Transparency: каждый выпущенный сертификат обязан попасть в публичный журнал, устроенный так, что задним числом запись не выкинешь и не подменишь. Chrome и Safari просто не принимают сертификат без доказательства публикации. Смысл простой: тихо выпустить сертификат на чужой домен больше нельзя. Всплывёт. Владельцы доменов мониторят журналы (загляните на crt.sh, там ваш домен как на ладони) и видят чужую самодеятельность за часы. Механизм не идеальный. Но это единственное, что превращает молчаливый подлог в публичный скандал.

В чем проблема вот этих самых сертификатов от министерства деградации, я попробую максимально простыми словами. Коротко не получилось — получилось серия постов Кто выдаёт замочек в браузере. Часть 1: цепочка доверия Начнём с того, что шифрование — простая часть задачи. Договориться о ключах два узла умеют давно и без посторонней помощи. Сложная часть другая: как убедиться, что на том конце провода действительно ваш банк, а не бодрый юноша, вклинившийся посередине. Для этого и придуман сертификат. По сути — заверенная кем-то справка: публичный ключ такой-то принадлежит домену такому-то. Всё. Вся мировая система TLS растёт из одного вопроса — чью подпись на этой справке мы согласны принимать. Устроено матрёшкой. Есть удостоверяющий центр (CA), у него корневой ключ — лежит в железном модуле, достаётся по регламенту, под видеозапись, в присутствии нескольких человек с разными ключами от сейфа. Корнем подписывают промежуточные сертификаты, промежуточными — миллионы сертификатов для сайтов. Браузер получает сертификат сайта, идёт вверх по цепочке и упирается в корень. Корень в списке доверенных — замочек. Нет — жёлтый экран. А теперь интересное: власть тут не у центров сертификации. Власть у тех, кто ведёт список корней. Список корней — это Mozilla (её хранилищем де-факто пользуется весь Linux, curl и полмира сборок), Microsoft, Apple и Google (у Chrome с 2022 года своя программа). Четыре организации решают, чьей подписи доверяет планета. Правила пишет CA/Browser Forum — добровольный клуб центров и браузеров. Ни ООН, ни ITU, ни одного государственного регулятора. Документ называется Baseline Requirements, соблюдение проверяется ежегодным аудитом WebTrust или ETSI. Частная лавочка с драконовскими внутренними порядками — и, что забавно, работает она лучше многих межправительственных конструкций. Проверок бывает три вида. DV — подтверждается только контроль над доменом (положи файл по нужному адресу или заведи TXT-запись в DNS). OV — плюс проверка юрлица. EV — расширенная проверка компании, та самая, что когда-то рисовала зелёную плашку с названием фирмы. Плашку убрали в 2019-м: выяснилось, что на поведение людей она не влияет никак. Осталась дорогая формальность. Сегодня почти всё — это DV. Let's Encrypt с протоколом ACME сделал выдачу бесплатной и полностью автоматической, и рынок платных DV-сертификатов тихо скукожился. В следующей части — что бывает, когда удостоверяющий центр оступается. Спойлер: бывает быстро и больно.

Страшные цифры • В 2025 году только легальные букмекеры приняли ставок почти на 2 трлн рублей. • По прогнозам к 2030 году эта цифра вырастет до 3 трлн. • Если добавить нелегальных букмекеров и онлайн-казино, то масштаб увеличится почти вдвое. Это больше чем продается всех товаров во всех Пятерочках за год. • Совокупный доход белых и серых контор оценивается примерно в 1 трлн рублей в год. То есть это буквальная статистика, что люди здесь теряют деньги. Кстати: • Рынок розничной продажи алкоголя по объемам тоже сопоставим, примерно 3 трлн рублей. Но я не планирую ругать букмекеров или алкомаркеты, если бизнес работает в рамках закона. Он же обслуживает запрос общества, а не формирует его и экономика честно показывает, что общество ценит и за что платит. Мой вопрос в другом, что это все говорит об обществе, в котором именно такие рынки досуга так растут и так востребованы, что измеряются триллионами. P.S. Для сравнения, весь рынок фитнес-услуг в России всего пару сотен миллиардов рублей. Послезавтра на «Основателях» выйдет выпуск с лидером этого рынка.