💉 Что такое NoSQL Injection? Когда говорят об инъекциях, большинство сразу вспоминает SQL Injection. Но сегодня многие современные приложения используют не SQL-базы данных, а NoSQL, например MongoDB. И вместе с этим появилась ещё одна опасная уязвимость — NoSQL Injection.

📌 NoSQL Injection — это уязвимость, при которой злоумышленник может повлиять на запрос к NoSQL-базе данных из-за некорректной обработки пользовательского ввода.

Другими словами, приложение начинает выполнять запрос не так, как задумал разработчик. 🧠 Где встречается NoSQL? Самые популярные NoSQL-базы: — MongoDB; — CouchDB; — Redis; — Cassandra. Их часто используют в современных веб-приложениях, REST API и облачных сервисах благодаря высокой производительности и гибкости. 💀 Чем это опасно? Если приложение недостаточно защищено, последствия могут быть серьёзными: — обход аутентификации; — получение доступа к чужим данным; — просмотр содержимого базы; — изменение или удаление информации. Конкретные последствия зависят от логики приложения и уровня защиты. 🛡 Как защититься? Основные рекомендации: — проверять и валидировать все входные данные; — использовать безопасные методы формирования запросов; — избегать передачи пользовательского ввода напрямую в запросы к базе данных; — ограничивать права пользователя базы данных по принципу минимальных привилегий. 📌 Хотя NoSQL Injection встречается реже, чем классическая SQL Injection, популярность NoSQL-баз продолжает расти, а вместе с ней возрастает и актуальность этой уязвимости. Поэтому специалисту по веб-безопасности важно понимать не только традиционные SQL-базы данных, но и особенности современных NoSQL-решений. #web #nosql #mongodb #owasp #injection

Позиционирование компании на рынке Мы сейчас фоном перепиливаем сайт нашей компании. Собираем отзывы с клиентов и решили поискать что про нас можно найти в яндексе. Если начать искать отзывы, то на первой странице громко звучит наш слоган "Делаем все долго, дорого и плохо". У меня это вызвало восторг. Я помню как я придумал этот слоган на препати одной из конференций Highload. Мы обсуждали кто чем занимается. Каждый рассказывал про светлые стороны своей компании или команды. Потом очередь дошла до меня. Я придумал на ходу и сказал этот слоган, который теперь двигается вместе с нами несколько лет. Если вы пойдете к нам, вдохновившись нашим позиционированием, то будете обмануты, как все клиенты за 8 лет — нет у нас ничего ни долгого, ни дорогого, ни плохого. Этот слоган лишь маркетинг и замануха.

Я сейчас разрабатываю несколько стратегий дополнительного заработка вне тестирования, но в том же домене эдтеха. Во-первых, конверсия показала, что вы, а может и аудитория Stepik любит сюжетные простые курсы, которые потом ведут в том числе к покупке моих серьезных продуктов. Так что думаю, как сделать линейку курсов, которые были бы интересны широкой аудитории. Курс про компьютерную грамотность – первый большой эксперимент вне темы тестирования. Арти нравится и взрослым, и детям ❤️ Во-вторых, я уже пару недель пилю свою SaaS платформу для управления всем, что есть на Stepik на максималках. С функциями, которых там вообще нет, но могут быть очень полезны авторам. В частности то, что упрощает работу с продвижением и маркетингом. Пока для себя, но есть варианты того, как это сделать реальным продаваемым продуктом. Есть еще несколько идей, но пока только на уровне гипотез. И само собой в параллельной разработке есть курсы по API, которые должны закрыть арку Арти, который путешествует по древним цивилизациям. Все это часть моего плана диверсифицировать риски.

Сегодня SETTERS 11 лет! Порой мне трудно представить, что 11 лет назад случился какой-то невероятный импульс и выбрано то самое направление, которое в итоге сильно повлияло на мою жизнь и жизни сотен людей. Это и те, кто сейчас работает в нашей команде, и те, кто уже не в команде, но до сих пор с радостью оставляет приписку «еx-SETTERS» в социальных сетях; те сотни тысяч людей, которые сталкивались с нами на мероприятиях и проектах, и те десятки миллионов людей, которые видели результат нашей деятельности в медиаполе: в виде рекламных кампаний, больших видеороликов, классных коммуникационных стратегий и брендов, которые мы создавали с нашими клиентами. Благодаря всему этому у меня сформировалось ощущение сопричастности к эпохе. Это когда ты и твоя команда отражаетесь в большом количестве маленьких вещей. Начиная с того, как выглядит иконка в каком-нибудь приложении, заканчивая большими рекламными кампаниями, коммуникацией для действительно крутых и полезных фондов и мероприятиями, на которых люди познакомились и позже запустили новые партнёрства (или даже поженились). Это огромное количество маленьких событий, случайностей, импульсов и шагов, в сторону которых ты регулярно и настойчиво двигаешься 11 лет, показывает мне силу намерения, силу настойчивости и силу неравнодушия. Я хочу, чтобы мы всегда оставались такими же динамичными и неравнодушными. И там, где надо, были супер задротами, а там, где не надо, включали принципы изионизма, упрощали и выдыхали. Безумно горжусь той дорогой, по которой мы идем, и теми людьми, которые меня окружают и окружали каждый день на протяжении всего этого пути. Я хочу сказать всем огромное спасибо! Мы чувствуем всю обратную связь и поддержку, и я очень люблю, когда на мероприятии кто-то подходит и рассказывает, как сильно ты и твоя команда повлияла на него. Каждое тёплое слово, воспоминание и событие наполняет меня и наших ребят созидательной энергией, в которой хочется творить, создавать, не останавливаться и не искать финальную точку Б, а просто наслаждаться процессом развития, сопричастностью к эпохе и классными проектами, которые делают жизнь людей лучше. Я желаю, чтобы это всегда оставалось в нас, любимая команда!❤️ Ура!

✔️ Линус Торвальдс поддержал использование ИИ в разработке ядра Отец Linux отклонил инициативу запретить ИИ-инструменты в разработке ядра, предложив недовольным сделать форк или покинуть проект. По его словам, сообществу нужно адаптировать LLM для помощи мейнтейнерам, минимизировав генерацию некорректных патчей и баг-репортов. Текущие правила допускают добавление сгенерированного кода при наличии тега Assisted-by. Поскольку модель не может подписать сертификат происхождения, ответственность за качество, код-ревью и юридические риски полностью несет человек, отправивший коммит. Торвальдс отметил, что философия Open Source нацелена на создание технологий, а не на соблюдение идеологий. Команда продолжит принимать патчи исключительно на основе их технической ценности, не ограничивая участников в выборе инструментов разработки. kernel.org ✔️ Google провела ребрендинг NotebookLM Компания переименовала NotebookLM в Gemini Notebook и добавила возможность выполнение кода. Каждый блокнот получил изолированную облачную среду для написания и запуска скриптов. Это позволяет анализировать данные напрямую из загруженных источников без экспорта во внешние инструменты. Сервис остается самостоятельным, но стал глубже интегрирован в экосистему компании. Блокноты создаются и синхронизируются внутри приложения Gemini, а позже появятся в ИИ-выдаче Google Search. Сейчас запуск кода открыт для подписчиков Google AI Ultra и корпоративных клиентов Workspace. В течение нескольких недель доступ развернут для пользователей тарифа Pro. blog.google ✔️ Sakana Fugu получила поддержку моделей семейства Nemotron Токийский стартап добавил открытые модели NVIDIA в свою модульную платформу оркестрации агентов Fugu, которая динамически выбирает, координирует и объединяет легковесные специализированные модели для многоэтапных задач. Модели Nemotron добавили в пул агентов платформы функции генерации кода, вызова внешних инструментов и следования инструкциям. Инженерные команды Sakana AI и NVIDIA займутся совместной оптимизацией производительности модульных ИИ-архитектур. Для NVIDIA партнерство дает среду тестирования открытых решений в мультиагентных сценариях. sakana.ai ✔️ Claude теперь может авторизовываться на сайтах через 1Password Менеджер паролей интегрировал Claude для выполнения браузерных задач с авторизацией. Учетные данные и одноразовые коды не передаются на серверы Anthropic и не попадают в контекст модели. 1Password подставляет их напрямую на целевую страницу через Agentic Mode. Claude запрашивает логин под конкретную задачу, после чего пользователь подтверждает действие и разрешение выдается на одну сессию. Поддерживается выдача доступов к нескольким сайтам для сложных задач. При перехвате управления расширение 1Password блокирует основное хранилище, оставляя доступ только к одобренным записям. Если после автозаполнения отправка формы не удалась, введенные значения стираются. Интеграция доступна на Mac при наличии десктопных приложений и расширений. В будущих апдейтах планируется добавить поддержку платежных карт. 1password.com ✔️ Бигтех увеличивает расходы на личную безопасность топ-менеджмента Волна общественного недовольства развитием ИИ переросла в реальные риски для IT-сектора. По данным аналитиков Liferaft, количество угроз в адрес дата-центров и руководителей ИИ-компаний выросло в 7 раз. Это напрямую отразилось на корпоративных бюджетах - в 2025 году уже 38% компаний из индекса S&P 500 отчитались о расходах на охрану руководства (против 27% в 2021 году). За год траты Palantir по этой статье взлетели на 150%, у Oracle - на 86%, а бюджет Salesforce на защиту топов увеличился до 4 миллионов долларов. Охранные агентства Кремниевой долины фиксируют резкий спрос на вооруженных, но максимально неприметных телохранителей. Менеджмент ИИ-корпораций также настоятельно не рекомендует рядовым сотрудникам носить одежду с логотипами компаний за пределами кампусов. wsj.com @ai_machinelearning_big_data #news #ai #ml

Социальная механика, усиливающая одиночный опыт Наткнулся тут на шортс про механику вторжения в Doom: Eternal. Для тех кто не в курсе: если вас убил какой-то демон, он станет сильнее и сможет попасть в игру к другому игроку. Такой демон светится жёлтым. Когда игрок видит его он сразу понимает, что этот демон уже недавно убил другого игрока в этом месте. Ваша ошибка становится чьим-то испытанием, но вместе с тем подсказкой о том, у какого демона наиболее выгодная позиция на арене. Прелесть такого решения в том, что это асинхронное мультиплеерное взаимодействие, которое усиливает одиночное прохождение. Если абстрагироваться от деталей, то это очень похоже на механику оставленных вещей в Death Stranding, где поставленная вами лесенка или спущенная верёвка может пригодится потом кому-то ещё. Разница только в том, что другой игрок получает последствие вашей маленькой победы, а не проигрыша. А сходство в том, что само наличие таких предметов говорит о сложности локации: если рядом нет чужой экипировки, перед вами малоисследованные территории, по которым не так уж часто ходят другие игроки. #анализигр #геймдизайн #Doom #DeathStranding

Есть вещи, которые о нефтедобыче знают в основном специалисты. Например, что при разработке месторождения на поверхность вместе с нефтью поднимается попутный газ — смесь углеводородов, которая состоит в основном из метана, этана, пропана и бутана. Долгие годы этот газ просто сжигали на месте, поскольку избавиться от горючей смеси было выгоднее, чем переработать ее во что-то полезное. Сегодня попутный газ, выделяющийся из нефти не только при добыче, но и на всех этапах переработки и транспортировки, научились использовать эффективнее. На месторождении он становится топливом для выработки электричества, его транспортируют по трубам на заводы, перерабатывающие его в пластик и чистые газы. Но его могут и закачать обратно в скважину, чтобы увеличить нефтеотдачу. Попутный газ заполняет пустые пространства и поддерживает давление, нужное для эффективного извлечения нефти. Это изменяет состав оставшейся в скважине нефти и газовой смеси, поэтому работа с попутным газом требует от технологов сложного и подробного предварительного моделирования. А еще нефтепродукты светятся в ультрафиолете. Обычно, чем легче фракция, тем сильнее свечение, но и интенсивность, и цвет зависят от состава. На фото — тяжелая и легкая нефть в сосудах под УФ-освещением. Они стоят на керне — породе, извлеченной с глубины примерно трех километров, из потенциальных нефтяных скважин. Керн тоже светится, значит, в том, что выглядит плотным камнем, тоже залегает нефть. На втором и третьем фото — керн с Верхнесалымского месторождения ХМАО-Югра.

Размер имеет значение. Бутылку водки Grey Goose специально спроектировали такой высокой, что она физически не помещалась на средних полках баров. Поэтому барменам приходилось ставить её на самом верху – там, где обычно располагаются коллекционные напитки по цене подержанной иномарки. Соседство сделало своё дело: на уровне психологии у клиента сразу щелкало: “О, это что-то элитарное!” Но это был не единственный трюк создателя бренда – американского алкогольного магната Сидни Франка. На момент старта Grey Goose, в 1996-м, в премиум-сегменте царствовал шведский Absolut по $15-17 за бутылку. Что сделал Франк? Вместо лобовой конкуренции он включил логику индустрии роскоши и выкатил ценник в $30. В итоге рентабельность улетела за 80% (при средней по рынку в 30%) и появился новый рыночный сегмент: ультра-премиум. Естественно, под такой прайс нужна была легенда. И её сообразили на коленке. Франк решил разливать водку не в России, Польше или Скандинавии, где её исторически производили, а… во Франции. И плевать, что французы ничего не смыслят в этом напитке. Зато у потребителей их страна прочно ассоциируется с элитными винами, Louis Vuitton, Chanel и прочим тяжёлым люксом. Дальше – работа с деталями. Почти все конкуренты продавали водку в прозрачном стекле. Grey Goose упаковали в дорогое матовое. Ещё и бутылки развозили в деревянных ящиках, как дорогое вино – чтобы ещё больше усилить ауру качества и впечатлить барменов (не стоит недооценивать их влияние на посетителей). Спустя восемь лет Франк продал весь этот спектакль компании Bacardi за $2 миллиарда кэшем. Для понимания: подразделение IBM по производству ПК примерно тогда же ушло дешевле – за $1,75 миллиарда. А теперь вишенка: на слепых дегустациях премиальных водок Grey Goose обычно занимала места ближе к концу. Но когда тех же людей спрашивали, какую водку они считают самой качественной – все как один называли Grey Goose 🤡

Каждую неделю мне пишут: «Хочу сменить работу, там всё не то» Прошу назвать три конкретные вещи, которые не то. В половине случаев ответ звучит примерно так: люди, нагрузка, ощущение бессмысленности того, что делаю. То есть не про компанию, а про то, как устроена сама роль. И что тогда получается? Новая компания решит проблему, собственно, компании: другой офис, другой продукт, другие лица на созвонах. Она не решит проблему роли, которая перестала подходить именно вам, по темпу, по масштабу задач, по тому, что вас на самом деле держит на месте. Я вижу это на сессиях постоянно. Человек уходит из компании А в компанию Б с тем же набором внутренних правил, просто в новой упаковке. Через полгода пишет мне снова, только с другим названием работодателя в Headline. Сейчас это происходит быстрее, чем пару лет назад. Рынок штормит, сокращения то в одной индустрии, то в другой, и страх остаться без дела подталкивает хвататься за первый попавшийся оффер. Спешка кажется спасением, но диагностику она не отменяет, а просто откладывает до следующего такого же разговора со мной, только с более уставшим человеком по ту сторону экрана. Сначала диагноз и только потом уже компания или её смена, но уже осознанно, а не от усталости и не от страха моргнуть первым на рынке труда. Как вы выбирали свою прошлую или нынешнюю работу: роль, компания или темп, который вы сами себе выбрали?

Wishful thinking как экспертное мнение Есть отдельный жанр трендовых советов: звучат умно и экспертно. По факту просто слова, которые не работают и не сработают Я работаю с бизнесами уже 14 лет и такое слышу постоянно. Например, «Нужно идти в блогеров, там наша аудитория» - кричат сммщики. А теперь считаем. Сторис даже у микроблогера с 10 тыс подписчиков от 20 тыс руб. Охват сторис у таких аккаунтов ~ 9%. Накинем для простоты подсчетов до 10% - это 1 000 просмотров. Кликнут по ссылке пусть 5% (это оптимистично) 50 кликов. Купят - пара человек. Стоимость продажи внезапно 10 к. Юнит экономика среднего б2с бизнеса вряд ли такое выдержит.

На мой взгляд, адекватные не накрученные инфлюенсеры сегодня — это новый телек. Канал для больших бюджетов и длинной дистанции

Почему такие идеи вообще продавливают? Команде интереснее работать с блогерами, чем циферки считать Это вообще частая история: ребрендинг, новый продукт, выход на маркетплейсы. Красивая немасшиабируемая идея, в которой нет никакого бизнеса Такие дела. А вам какие трендовые идеи продавливали в последнее время?