Виртуальные сотрудники: мой опыт с Boxerbook Я уже писал про свой хобби-проект Boxerbook. Это открытый каталог профессионального бокса: все бои с источниками, рейтинги, прогнозы, сайт на четырёх языках. Много вводных дал мой тренер Тимур, Сергей Булаев рассказал, как строить медиа, а дальше мы вместе с Claude накидываем задачи в Telegram, и всю работу команды делают агенты. Я прикинул, кого бы пришлось нанять, если бы всё это делала обычная команда. Инженер данных. Разобрал протоколы боксёрских комиссий четырёх стран. Собрал таблицу судей на 175 тысяч записей, данные о 50 тысячах нокдаунов и каталог из 4 600 полных видео боёв с официальных каналов, привёл всё к одному формату и разложил по реляционной базе. Аналитик. Построил модель прогноза и Fight X-ray, наш разбор боя по видео: AI распознаёт позы боксёров, а алгоритм считает темп, давление, защиту и движение по раундам. По видео стабильно измеряется стиль, а победителя пока не угадать, зато получается подробный профиль боксёра. Около тысячи боёв он прогнал на локальных GPU. Исследователь. Прочитал 47 научных работ и книги лучших тренеров, вывел 40 гипотез и проверил их на наших данных. Дизайнер и редактор. В Telegram-чате написали, что на карточке боя слишком много информации, и за вечер он переделал страницу боя на всех четырёх языках. Теперь сверху то, что интересно человеку: кто победил, как именно и в чём у соперников самый большой разрыв. Ниже лежат все данные боя для поисковиков и AI-ассистентов. Контролёр качества. Когда агенты готовили пример для этого поста, они заметили, что одному боксёру из-за совпадения имени приписали девять чужих боёв. Ошибку доказали по датам и протоколам, исправили и закрыли дыру, через которую она попала в базу. Маркетолог. Нашёл контакты боксёрских ассоциаций и тематических журналов, списался с ними, подобрал выгодные размещения и написал статьи, одна уже вышла. Получается 6–10 вакансий, которые в обычной компании я бы открыл, а здесь не пришлось. Агенты уже умеют долго и самостоятельно работать над задачей. Решения, деньги, доверие, отношения и креатив пока остаются на людях. Ещё мы с Сергеем обсуждали, чем нам могут помочь потребительские агенты вроде Muse, Duet, Dots и бота Grok. Пока не придумали, но записали в список того, что надо изучить. Claude Code вместе с Codex Claude ведёт проект: разбивает задачу на части, раздаёт их субагентам и проверяет каждый шаг. Codex получает те же данные и отдельное задание: найти то, что мы пропустили. Сегодня Codex на проверке нашёл, что прогноз, посчитанный уже после боя, мог попасть на страницу как прогноз «до боя». Исправили это в самом источнике ещё до выкладки. Код узким местом быть перестал, теперь всё упирается в решения по длинному списку вопросов: что считать, что публиковать, а что нет, где размещать статьи, какие критерии и гипотезы развивать. Уже можно посмотреть: • Бой с разбором по видео, Хейни против Рамиреса • Новая страница боя, Наваррете против Фостера Данные открыты, для агентов есть API и MCP: https://github.com/mvtk1978/boxerbook-mcp @maxvotek | linkedin | substack

Временные режимы Как вы, возможно, знаете, режимы в интерфейсе — это плохо. Но ещё хуже временные режимы. Такое часто встречается в бытовой технике и разных приборах. Режим — это состояние интерфейса, в котором одинаковые действия пользователя приводят к одинаковым результатам. В разных режимах одни и те же действия дают разные результаты. В Фотошопе — множество режимов: клик по изображению может сделать что угодно в зависимости от выбранного инструмента и его параметров. Проблема в том, что пользователь не всегда помнит, в каком режиме находится интерфейс, и из-за этого ошибается: хотел нарисовать линию, но случайно сделал градиент. Представим телевизионный пульт. Кнопки «влево» и «вправо» регулируют громкость, а «вверх» и «вниз» переключают каналы. Эти же четыре кнопки используются для навигации по меню. Если пользователь, находясь в меню, захочет сделать погромче и по привычке нажмёт «вправо», у него ничего не выйдет: сейчас эта кнопка означает «увеличить ширину изображения». Но меню в телевизоре — не просто режим, а временный режим: если десять секунд ничего не нажимать, оно закроется. Когда пытаешься настроить телевизор по инструкции, это ужасно раздражает: пока ты находишь по инструкции, куда жать дальше, меню уже исчезает и приходится начинать с начала. Временные режимы в автомобильных интерфейсах не только раздражают, но и опасны. Например, чтобы добавить бас, нужно открыть меню, найти эквалайзер, выбрать низкие частоты и отрегулировать их ручкой. Пока добираешься до очередного нужного пункта, на твоём светофоре загорается зелёный, и настройку приходится откладывать до следующего светофора. Скорее всего, там придётся снова пробираться через всё меню. Зная, что интерфейс не дождётся следующего светофора, ты будешь вынужден настраивать звук прямо во время движения. Если избежать режимов в интерфейсе невозможно, хотя бы не используйте временные режимы. Если уж пользователь передумал настраивать телевизор или эквалайзер, пусть сам нажмёт «Закрыть». Изначально опубликовано на английском языке в 2013 году: https://ilyabirman.net/meanwhile/all/timed-modes/

Krea добралась до Adobe Premiere Похоже, кто-то послушал нейродеда и стал выпускать плагины и интеграции с профессиональными софтами, имеющими огромную юзербазу.  Krea бахнула интеграцию с Premiere Pro. Теперь генерировать нейрослоп можно прямо в монтажке, без этих постоянных переключений между браузером и софтом. Что как бы умеет Krea for Premiere Pro: • Генерировать новые видеопланы (shots) с помощью моделей (каких неясно) с Krea. • Создавать недостающие перебивки и дополнительные кадры. • Генерировать фоны и видеоподложки (plates) для композа. • Экспериментировать с визуальными стилями и атмосферой сцен прямо в софте. • Вонзать сгенерированные материалы непосредственно на таймлайн Premiere Pro. Плагин доступен для Windows и macOS. Но Premiere Pro - далеко не первая интеграция Krea. Она уже предлагает целый набор плагинов: Photoshop - генерация и редактирование изображений, замена фона, изменение освещения, создание рекламных мокапов, работа с Realtime Canvas. Результаты добавляются обычными слоями. After Effects - генерация фонов, текстур, исходных изображений и визуальных концепций для моушн-дизайна. Поддерживается Realtime для быстрого поиска композиции и стиля. Illustrator - генерация иллюстраций и логотипов, преобразование изображений в редактируемые векторные контуры через Image Trace. Krea Agent может создавать фигуры, работать с текстом и организовывать слои. DaVinci Resolve - создание кинематографических кадров, фоновых материалов, перебивок и референсов для цветокоррекции. Есть Realtime-превью визуальных стилей. Пока только macOS и платная версия Resolve Studio. Blender - генерация текстур, работа с освещением и рендеринг 3D-сцен с использованием моделей Krea прямо из 3D Viewport. Важный момент: генерация выполняется в облаке Krea, а не локально. Для работы нужны (о боги) интернет и аккаунт Krea. Доступные модели и лимиты зависят от тарифа. Наконец-то, Krea делает ставку не только на собственный зумерский веб-интерфейс, но и на интеграцию генеративного ИИ в привычные профессиональные инструменты. Но тут я добавлю пессимизьма и сошлюсь на сегодняшний утренний репорт.  Все такие интеграции должны делаться производителями софта. И DaVinci в этом смысле делает очень правильные шаги. И я не очень понимаю, почему молчит Адобченко. Наверное, у них до сих пор не хватает духу признать, что их собственные модели полное говно.  Тем не менее производители профессиональных софтов просто должны пачками выпускать такие плагины и использовать собственный биллинг для оплаты генераций. И все эти многочисленные посредники типа Creo и Runway в этой цепочке должны просто вымереть.  Ссылки: Premiere Pro: https://www.krea.ai/plugins/premiere-pro Полный каталог плагинов: https://www.krea.ai/plugins Подробности о Photoshop: https://www.krea.ai/blog/krea-photoshop-plugin DaVinci Resolve: https://www.krea.ai/blog/krea-davinci-resolve-plugin Illustrator: https://www.krea.ai/blog/krea-illustrator-plugin @cgevent

Эффективная работа с git worktree Если вы уже дошли до точки, когда параллельные агентские сессии как не в себя делают фичи, то вы точно должны были столкнуться с новыми проблемами, среди которых одновременный запуск нескольких копий приложений, быстро забивающийся диск и оперативная память, плюс работа которая встает колом из-за одновременных запусков тестов и линтеров. В этом посте я расскажу про то, как поправить свой сетап, чтобы все стало снова летать. Сначала быстрый рекап. Worktree это фича гита, которая создает под ветки отдельные физические директории в которых можно вести работу. Раньше этой фичей почти не пользовались, так как просто переключались на ветку, сейчас же переключение на ветку будет сбивать параллельные сессии, поэтому все перешли на worktree. Даже если вы этого явно не просите, агенты нередко сами пользуются ими (но не всегда). И так поехали, проблемы и их решения. Отказ от веток Если вы пошли по этому пути, то лучше явно описать агенту, что ветки использовать нельзя, а вместо них нужно создавать worktree. Иначе регулярно будет возникать ситуация, когда один из агентов прыгнет на ветку и помешает другим. Начало и завершение работы По умолчанию создание worktee просто копирует данные, но в таком виде проект врядли заработает и на нем можно будет прогонять тесты. Скорее всего есть какие-то подготовительные шаги от установки зависимостей до создания .env. Вот эту часть нужно сначала автоматизировать, например, с помощью make-команд, а потом уже зафиксировать в доках с агентом, чтобы он вызывал их как при создании рабочего дерева, так и при завершении работы. У себя я считаю завершением это отправку pr, в это время происходит чистка. Независимые базы данных Помните проблему миграций в ветках? Вот здесь будет тоже самое, если не создавать отдельные базы данных под каждое дерево. Сделать это просто, достаточно объяснить агенту задачу и он сам предложит способ формирования динамического имени, связанного с названием worktree. Дальше снова автоматизируем и добавляем в команду создания worktree из предыдущего шага. При этом важно сделать так чтобы это были именно базы данных, а не субд, иначе если на каждое дерево будет подниматься свой postgresql, вы быстрее начнете упираться в производительность Одновременные запуск приложения Кроме баз, такой же трюк надо провернуть с портами (и если используется dns то доменами). Каждое дерево при старте тестов или приложения должно работать со своим набором портов. Опять же, эту задачу сделает сам агент, он без проблем напишет небольшие скрипты, которые находят свободные порты и подсовывают их при старте приложения Параллельный запуск проверок Но даже если сделать все шаги выше, все равно запуск тестов или линтеров из двух worktree, уже может поставить колом всю машину. Здесь есть красивый выход через блокировку. Нужно запускать проверки не напрямую, а через утилиту, которая ставит такие блокировки и упорядочивает запуск (с нужным уровнем параллельности). Пока я этим занимался написал такую утилитку https://github.com/mokevnin/heavy Шаринг данных Ну и последнее, установка зависимостей и кеши. Если вы не хотите чтобы место на диске улетало со скоростью ветра, то нужно использовать инструменты или настраивать существующие так, чтобы они шарили (безопасно) все свои артефакты во внешних директориях. Например лучше работать с pnpm, а не npm, потому что первый хранит зависимости во внешнем сторадже, что очень сокращает потребляемое место. Если все это сделать, то работать с worktree станет реально удобно и быстро. Пользуйтесь 🙂 Telegram | YouTube | ИИ для разработчиков

🤖Про небезопасность Как вы знаете, в последнее время пол интернета шатает из-за бесконечного количества уязвимостей, которые находят ИИ агенты. Так как взломов было настолько много, что тяжело подробно описать все, то предлагаю ограничиться довольно длинным обзорным списком: Citrix NetScaler ADC/Gateway — CVE-2026-88771 / 88772 («PitScaler») 88771 — RCE без аутентификации на всех инсталляциях NetScaler ADC и Gateway. 88772 — переполнение памяти, которое при включённом DTLS ведёт к RCE или DoS. CVSS 9.5. До выхода патчей 88771 эксплуатировали как zero-day минимум три недели. На GitHub уже лежат публичные PoC. Злоумышленники ставят PHP-вебшеллы вроде WHIPSHOT и Python-туннелер SLAPSHOT. Фикс: 14.1-73.37 и 13.1-64.23. Ivanti Connect Secure — CVE-2026-104935 Цепочка из обхода аутентификации и RCE на корпоративном VPN. Формально это только high (8.6), но эксперты требуют ставить её в приоритет. Эксплуатация началась не позже 1 октября. Integrity Checker от Ivanti может её не увидеть, потому что команды выполняются в памяти. Третья уязвимость цепочки (повышение привилегий) пока без патча, его обещают «в ближайшие недели». BeyondTrust Remote Support — CVE-2026-102764 Связанная с Китаем группировка эксплуатировала баг 47 дней до раскрытия: атаки начались 29 августа, раскрытие было 15 октября. CVSS 9.3. Fortinet FortiMail — CVE-2026-104286 Запись произвольных файлов без аутентификации, CVSS 9.8. Использовалась в zero-day атаках. Windows Shell — CVE-2026-96951 Обход Mark of the Web, CVSS 8.8. Единственный эксплуатируемый zero-day октябрьского Patch Tuesday. Nextcloud (встроенный Collabora CODE Server) — CVE-2026-110447 Админы находили вебшеллы с 10 сентября. CERT Polska пишет, что уязвимость используют для ransomware-атак и захвата серверов. PHP2Shell — CVE-2026-109618 / 109619 Две уязвимости в самом PHP: RCE через специально сформированный HTTP-запрос без логина. Оценка 9.2. Исправлено в 8.5.12, 8.4.27, 8.3.36 и 8.2.35 (21 октября). Детали утекли 20 октября, до выхода фикса. Цифра CVSS 10, которая гуляла в соцсетях, тоже из утечки. Корень проблемы — use-after-free в механизме session upload progress, рабочий PoC уже на GitHub. GitLab — CVE-2026-110264, CVSS 10.0 RCE без логина на self-managed, затронуты все версии начиная с 7.0 (2014 год). Важно: если вы обновились 12 октября, вы снова в зоне риска. Причина — целочисленное переполнение в компиляторе регулярок Ruby. Фикс: 19.5.1 плюс шесть бэкпортов. Cisco Expressway — CVE-2026-76466, CVSS 9.8 Неаутентифицированный атакующий с сетевым доступом выполняет команды ОС от root. Microsoft Patch Tuesday Рекорд: 1 413 уязвимостей. Среди них QUIC RCE CVE-2026-100219 и CVE-2026-105016 с CVSS 9.8. Ещё пять RCE в Outlook с оценкой 9.8. Для Windows 11 24H2 Home и Pro это последнее обновление. Oracle CPU (20 октября) CVSS 9.9 в Siebel CRM, SOA Suite и Essbase. Apache Traffic Server — CVE-2026-111813, CVSS 10 Актуально только если сервер собран с экспериментальными плагинами и включён magick без ключа подписи 🔐 Компрометация CA eMudhra (мое любимое) Приватные ключи восьми промежуточных сертификатов оказались настолько слабыми, что восстанавливаются почти мгновенно. У одного из них ключ буквально равен 4. Браузеры уже заблокировали эти сертификаты. Свои сборки нужно обновить: Go 1.27.3/1.26.10 (CVE-2026-111943), certifi 2026.10.19. CA-бандлы в контейнерах тоже. Claude Agent SDK (Python) — CVE-2026-96620, 9.2 Параметр resume передаётся в CLI без валидации. Через него можно подсунуть флаг --mcp-config с stdio MCP-сервером и выполнить произвольные команды в обход permission-контролей SDK. Фикс в 0.2.121. Опасно, если session ID приходит от пользователя. OpenCode — RCE через вредоносный MCP-сервер Заражённый MCP-сервер выполнял код на машине разработчика с Windows/WSL во время входа. Затронуты версии 1.0.137–1.18.32. CVE не запрашивали, поэтому сканеры уязвимость не покажут. Pillar оценивает её в 9.8. Так что обновляемся. А вообще предлагаю поставить черный заслон (кто знает — тот знает) #security @techn0danya

Яд, сваренный внутри опухоли Японские исследователи из института RIKEN научились синтезировать противораковое вещество прямо внутри раковых клеток, а сырьём служит угарный газ, которого в некоторых опухолях необычно много. Задумка такая: в отличие от химиотерапии, в организм вводят не готовое лекарство, а сравнительно безвредные компоненты, которые становятся ядовитыми только в больной клетке. Реакцию запускает CO. Его знают как ядовитый выхлоп, но организм и сам понемногу вырабатывает этот газ, а многие раковые клетки — заметно больше нормы. Эту химическую «примету» команда Кацунори Танаки и обратила против опухоли. Систему проверили на клеточных линиях рака печени, шейки матки, молочной железы и лёгкого, а для сравнения — на нераковых клетках. Через 48 часов нужный продукт нашёлся во всех четырёх раковых линиях и не появился в нераковых. После доработки синтезированная молекула смогла свободно перемещаться по клетке, а реакция стала давать высокотоксичное соединение из тех, что используют в лекарствах от рака. В клетках рака печени такой вариант синтезировал яд изнутри и повредил их. Проверили и обратный риск: не запустит ли реакцию угарный газ, который и так есть в крови. Анализы крови токсичного соединения не обнаружили. По версии авторов, CO там связан с гемоглобином и в реакцию не вступает. Дальше — опыты на животных: предстоит понять, дойдёт ли катализатор до опухоли, хватит ли лекарства и не пострадают ли здоровые ткани. Если подход оправдается, у химиотерапии может появиться альтернатива. Танака называет это терапевтическим синтезом прямо в организме: собственные молекулы тела, включая продукты болезни, служат сырьём для лекарства там, где оно нужно. @vselennayaplus

➡️Мы строили жизнь с расчётом, что никто не будет её слишком тщательно её ковырять. Теперь будет Меня в последних событиях (очень много участившихся либо взломах, либо нахождениях дырок в безопасности) немного напрягает, насколько быстро дешевеет работа, которая раньше требовала редких специалистов. Действительно талантливых и деятельных хацкеров было в этих ваших интернетах достаточно мало. Т.к. тема сложная, ну и опасная само собой. В раскрытых за последние две недели исследованиях публичная и никакая не нафайнтюненная GPT‑5.6 Sol нашал критические проблемы в самом основании сайтов и серваков на которых работает больше половины снова-таки этих ваших интернетов (если вы не в контексте — погуглите "sol 5.6 php")... И давайте держать в головое, что эта модель уже считается моделью прошлого поколения.. Это уже вполне подъёмный бюджет для человека, который решил посидеть и поискать что-нибудь эдакое и интересное. Походу, мы заходим в период, когда огромный объём старого софта придётся проверять заново. Вот пример из мира игр. Систему PlayStation 5 взламывали от силы раза 3-4 и на это уходили годы. Недвано её взломали за 8 часов сразу после выхода нового патча... Есть ещё портативная Nintdendo Switch. Её ломали чаще, но там нужно было паять и что-то колдовать физически и на взломы уходили годы. Надвано тоже всзломали с ИИ быстренько( причем с обычным Codex и без пайки). И такого сейчас много... Сейчас такое время, что двадцать лет работы программы сами по себе больше не выглядят убедительным аргументом её надёжности. Видели в сети навайбкоженный пакет adobe? А любые приложения которые можно создавать (и с каждым апдейтом моделей — всё проще)? И сколько людей за эти годы действительно разбирали каждый сложный участок? Сколько потенциальных проблем отложили, потому что непонятно, как ими воспользоваться, а исправление может поломать всё остальное? Теперь появляется возможность возвращаться к таким местам с гораздо большим количеством времени и вычислений. И когда несколько месяцев назад главари ИИ мира били тревогу по поводу того, что в следующие полгода будет много проблем с кибербезопасностью — это уже не выглядит, как только лишь маркетинг и манипуляции рынком. У преступников, кстати, уже свои рабочие кабинеты с агентами, задачами и результатами. В каком-то там расследовании недвано (NorForge) у одного выявленного кластера обнаружили больше тыщи атакующих проектов. Обычная такая себе организация работы, а чего... Можно было перепутать с панелью агентства, которое делает клиентам сайты, если бы задачи были немного другие. И здесь галлюцинации моделей меня совершенно не успокаивают. Нападающему необязательно получать хороший результат каждый раз. Он может позволить себе множество бесполезных попыток. У владельца сервиса такая роскошь заканчивается на первой удачной. При этом найденную проблему ещё надо правильно исправить, проверить совместимость и раскатить обновления. AWS на прошлой неделе показали, как попытки эксплуатации начались ещё до публичного раскрытия, а после выхода исправления новые инструменты атаки пошли в дело в течение часов. Поэтому я не очень уж жду, что нынешняя волна просто уляжется и мы вернёмся к привычной жизни. Даже с учётом того, что на условную стражу ставят более умные модели и умные люди тоже это всё понимают. Но слишком многое в ней зависит от систем, которые теперь можно исследовать с другой скоростью и за другие деньги. Мы продолжим подключать к ним агентов, хранить там документы, проводить платежи. И придётся гораздо серьёзнее относиться к тому, кто всё это обслуживает и способен ли вообще быстро реагировать. Компании это всё понимают и направляют туда (в кибербез) ресурсы, даже делают миграции кадров дополнительные, чтобы усилить безопасность... Короче, можно сколько угодно смеяться над ИИшкой, которая снова наваяла кривой текст, или сгенерила нейрослоп, но... В другом окне она же помогает разбирать код сервиса, которому мы доверили условный паспорт. Вот этот уровень возможностей ии я бы сейчас держал в голове. Интересный сайт, показывает подобные события - ссылка

AI-агенты заменили бабушек Австралийцы нашли агентам, наверное, лучшую работу на свете, скамить скамеров под прикрытием бабушек, то есть тех, на кого мошенники охотятся чаще всего. Агент с растерянным голосом берет трубку, охотно верит в безопасный счет, переспрашивает, куда тут нажимать, и тянет время, пока скамер не дойдет до дела и не продиктует, куда переводить деньги. Тут он как раз-таки попадается, так как без номера счета или криптокошелька деньги не получить, а с ним Apate (это компания, которая создала бабушек) идет к банку, и тот может заморозить счет и закрыть переводы на него для всех своих клиентов, которых этот же скамер параллельно уговаривает. Заодно сносят фишинговые сайты и блокируют номера. Началось все с того, что основатель продержал мошенника на линии 44 минуты прямо на семейном пикнике, а теперь его виртуальные бабушки уже съели у скамеров 17 лет жизни в 2,5 миллионах разговоров.

Как у меня устроен UGC без креаторов 😆 Я делаю ставку на инфлюенсеров и органику, и в органике начала экспериментировать с форматом, который называю FGC: как UGC, но контент записывает фаундер (то есть я и возможно скоро будет @mnk_stories если я смогу его убедить 😅). У кучи b2c продуктов это работает, из наших конкурентов так делают Fitted и Essemle, из других ниш самый известный пример это Cal AI. У меня лично такие мысли возникли после того, что креатор запросил $250 за одно видео, я сняла его сама бесплатно в 5 вариациях, и это стал наш лучший формат по конверсиям 🚬 Вопрос в том, что у фаундера и так много дел, и этот процесс хочется сильно оптимизировать. Рассказываю, как это делаю я сейчас - скорее всего впереди еще много итераций, так что это пока рабочие заметки, а не плейбук 🗒 - Клод ищет вирусные промо приложений за последние полгода и анализирует хуки. За неделю мы нашли 249 разных апок с успешными промо и выделили 15 форматов - Переписывает хуки под aesty и собирает страницу съемки: сцены, текст на экран, референсы - Я час снимаю, 20-30 шотов (плюс обычно 10 демок-скринкастов, но это тоже быстро и часто можно переиспользовать) - Клод выбирает лучшие 2-3 секунды из каждого, режет с демо под бит-дроп оригинала - Я ставлю топ или не топ, топовые уходят в шедул на Postiz (по ссылке моя рефка) Подробнее расписала в твиттере, в частности, влияют ли по-моему опыту тулы автопостинга на шедоубаны, а также там в конце есть скилы и скрипты, как развернуть такую контент-машину у себя @neural_prosecco