IT

HNSW: как устроен графовый индекс для векторного поиска One million years later, я наконец добралась до прикручивания в проект семантического поиска. Тащить ради этого отдельную векторную бд максимально не хотелось, поэтому решила пойти классическим путем - попробовать встроить индекс HNSW прямо в движок наравне с остальными индексами. Если кратко, HNSW - это графовый индекс для approximate nearest neighbor поиска по векторам. Вместо того чтобы сравнивать запрос со всеми векторами в индексе, он заранее связывает близкие векторы в многоуровневый граф, а во время поиска двигается по этим связям в сторону все более похожих кандидатов. Как обычно, решила разобраться, как HNSW вообще работает: 1. зачем графу несколько уровней; 2. как выбирается entry point; 3. почему сверху greedy поиск, который расширяется на ниженем уровне; 4. что делают параметры M, efSearch и efConstruction; 5. почему при построении нельзя просто соединить ноду с M ближайшими; 6. и как работают reverse links и pruning. В итоге текста получилось на статью :") Пока без реализации и бенчмарков, а просто разбор внутрянки индекса. Читать тут: https://gist.github.com/dariasmyr/d492c3388feaf0f779571a635a3b493e

Обнаружено более 700 поддельных VPN-расширений для Chrome, нацеленных на русскоязычных пользователей По данным исследования компании Socket, почти треть из этих расширений копировали известные VPN-бренды, такие как Proton VPN, NordVPN, Surfshark, AdGuard VPN, Browsec, ExpressVPN, CyberGhost, Windscribe, TunnelBear, 1.1.1.1, Outline и другие. Два случая примечательны тем, что это инструменты, которым российские пользователи доверяют для обхода блокировок: AmneziaVPN и AntiZapret. На деле большинство этих расширений-имитаторов пропускало трафик через один прокси, и в результате владелец приложений видел IP-адреса пользователей, посещённые ими сайты и незашифрованные HTTP-запросы. Обман также кроется в платных тарифах. Пользователям обещали серверы в Японии, Сингапуре, Австралии и Турции, однако ни один из 200 проверенных адресов на деле не существует. По данным Socket, за кампанией, продвигающей эти расширения, стоит российский бизнес-проект "Муха VPN" (в написании латиницей — Myxa VPN). Все поддельные расширения оказались частью его воронки продаж, через которую пользователей подталкивают к покупке платной подписки того же сервиса. Судя по всему, Google отреагировал лишь частично — из 737 расширений кампании удалены только 221, то есть больше двух третей по-прежнему доступны в Chrome Web Store.

KDD’26, день четвертый. Сегодня в основном вел закулисные разговоры, про которые не могу ничего рассказать. А вот про что могу: 1. Доклад от команды YouTube и GDM. Классический формат выступления, когда они рассказывают про свои новые статьи. Судя по всему, у них прям очень жестко цензурируются любые рассказы наружу, ничего лишнего упоминать нельзя, поэтому они придерживаются формата пересказа уже опубликованных статей. Держите еще одно название для кандгена — nomination. А для преранжирования — prescoring. А группировку айтемов в выдачу в докладе нарекли packing. В рамках доклада выступало поочередно четыре человека. Сначала был рассказ про knowledge distillation в ранжировании: * упоминали две свои более старые работы — Bridging the Gap: Unpacking the Hidden Challenges in Knowledge Distillation for Online Ranking Systems и Zero-shot Cross-domain Knowledge Distillation: A Case study on YouTube Music * и как раз на KDD’26 у них вышла новая статья — Addressing Intent Dissonance in Cross-Domain Distillation on YouTube. Кто первый прочитает, напишите в комментариях что там :) Затем был раздел про анализ последовательностей: * упоминали нашу любимую Top-K Off-Policy Correction for a REINFORCE Recommender System, а также оригинальный YoutubeDNN, в котором впервые предложили next watch prediction * затем показали свою новую работу ClockRoPE: Random Fourier Rotations for Temporal Routine Modeling, в которой, как я понял, сделали time-aware RoPE, то есть учли время при анализе последовательности * и еще одну новую работу Tokens are All You Need: Dual-purpose Semantic IDs for Achieving LLM-Level I/O Efficiency in recommendation systems. Заменили в рекомендательной нейросети эмбеддинги на семантические айдишники Потом говорили про LLM x RecSys: * упомянули TIGER, а также статью про semantic IDs для ранжирования в YouTube, PLUM, STATIC * Token Factory: Efficiently Integrating Diverse Signals into Large Recommendation Models. Заменили в LLM семантические айдишники на эмбеддинги :) * LLM-Based User Personas for Recommendations at Scale. Используют LLM для exploration с помощью генерации новых для пользователя интересов * TokenMinds: Pretrained User Tokens and Embeddings for User Understanding in Large Recommender Systems. Делают семантический айдишник пользователя. У меня в этом году студент такую дипломную работу в бакалавриате вышки защитил)) Последняя, четвертая секция называлась Gemini Commercial Intelligence: * это как раз работы команды Derek Cheng, подарившей миру DCN-v2 * как и писал в прошлом посте, делают ИИ-ресерчера, который их заменит (ну и нас тоже, за компанию). Прикладываю статьи ниже * AgenticTagger: Structured Item Representation for Recommendation with LLM Agents * PACEvolve: Enabling Long-Horizon Progress-Aware Consistent Evolution * PACEvolve++: Improving Test-time Learning for Evolutionary Search Agents * также активно занимаются бенчмарками для этого ИИ-ресерчера. Статья Evo-Memory: Benchmarking LLM Agent Test-time Learning with Self-Evolving Memory * еще делают модель, которая по набору товаров будет генерировать рекламу, в которой эти товары присутствуют. Звучит немного рандомно, но в тему коммерциализации укладывается 3. Был доклад от Федора Борисюка про эволюцию ранжирования в Линкедине. Подсвечу лишь статью Semantic Search At LinkedIn; вроде как это их главная работа про ранжирование на текущий момент. Федор, как всегда, первый автор :)

В процессорах AMD Ryzen исследователи из Intel нашли две уязвимости в модуле fTPM Компания AMD опубликовала отчет AMD-SB-7064, раскрывающий две уязвимости в программных модулях fTPM 2.0. Бреши с индексами CVE-2026-6726 (8,5 балла по шкале CVSS) и CVE-2026-6727 (8,3 балла) позволяют подделать ключи аттестации и получить доступ к зашифрованным данным через сторонние каналы. Проблеме подвержены чипы семейств Ryzen 3000–9000, серии Ryzen AI, Threadripper и Z1/Z2. Уязвимости обнаружили исследователи из Intel. Производитель уже передал вендорам материнских плат исправления в составе майских микрокодов AGESA. Производители плат ASUS, MSI, GIGABYTE и ASRock внедряли патчи в свежие версии BIOS в течение июня и июля, поэтому пользователям достаточно обновить прошивку.

Чему нас, вайб-кодеров, может научить гитарист Арии? В 1992 году Сергей Терентьев (тот самый, который потом в Арии играл) поехал с туркменской группой «Гунеш» на гастроли в Китай. Гитару отправили поездом наперёд, а сам он с музыкантами трясся в вагоне трое суток без инструмента и без нот. На руках только кассета с программой и наушники. Три дня в поезде он крутил эту кассету и в голове разбирал каждую партию (гитары-то с собой нет!). Пальцами по колену, глазами в потолок, мысленно перебирая струны, которых нет. Приехал, достал гитару из багажа, вышел на сцену и отыграл. Вот это, ребята, true skill. Гитары нет, а музыка в голове уже готова. Инструмент нужен только чтобы её вытащить наружу. К чему я это. Смотрю сейчас на вайб-кодинг и вижу, как многие путают одно с другим. Наличие клода в подписке принимают за наличие скилла. Открыл Cursor, накидал в промпт "сделай мне SaaS для барбершопов" и ждёшь чуда. На выходе AI слоп, гора кода, которая вроде работает (а главное можно похвастаться что 60К строк код в день делаешь!), но при первом же нестандартном юзкейсе рассыпается, и ты не понимаешь почему. А теперь представь другого чувака. У него в голове уже играет архитектура. Он понимает, как ляжет база, где будет узкое место при росте, какой паттерн в этом месте уместен, а какой развалится. Ему клод нужен не чтобы придумать за него, а чтобы быстро набрать то, что он уже мысленно услышал. Клод для него - это гитара из багажа. Достал и отыграл. Разница между этими двумя ребятами не в скорости печати и не в подписке. Разница в том, что первый пытается научиться играть, впервые взяв инструмент в руки на сцене. А у второго кассета крутилась в голове последние 10-15 лет, и клод для него — просто способ вывести уже готовую композицию. Я сам год назад вернулся к коду после многолетнего перерыва и вижу это на своей шкуре. Моя кассета это память как все должно быть в основе в проекте - ORM, ActionMailer, SolidQueue, SolidCable, SolidCache, простой сетап ит д. Так что если ты только начинаешь, не покупай миф, что ЛЛМ заменит скилл. Она его усиливает, если он есть, и обнажает, если его нет. Учись слышать музыку без гитары. Гитара приедет.

🔥 Новое интервью уже на канале АйТиБорода - говорим про highload на Рубях и AI на огромной кодовой базе 20 000 сообщений в секунду, сотни баз данных и огромный Ruby-монолит, который нельзя просто выключить и переписать. Со Стасом, Principal Engineering Manager в SOFTSWISS, разбираем высоконагруженную архитектуру iGaming-платформы: Kafka, PostgreSQL, Kubernetes, масштабирование и распил монолита. А ещё честно выясняем, работают ли Claude Code, Codex, Cursor и идея Dark Factory в настоящем энтерпрайзе с большой кодовой базой. 👉 YouTube: https://youtu.be/5mTGIze33RU 👉 Apple Podcasts: https://apple.co/41hwOIQ 👉 Spotify: https://spoti.fi/3Ktbf1Y 👉 Скачать mp3: https://podcast.itbeard.com/e/223 Приятного времяпрепровождения, и буду благодарен за лайк, комментарий и расшаривание выпуска! ❤️

Генерация или кожаность? По мотивам предыдущего поста в мой перегретый синайским зноем мозг пришел вот такой вопрос. Вот есть много "музыки", которая наруливается без помощи музыкальных инструментов и (часто, но не всегда) без музыкального образования. С помощью рулек, крутилок, медалек, слайдером и мышки. На компе или коробочке. Все эти: обобщенные Glitch, Minimal Techno, Dub Techno, Synthwave, Chillwave, Vaporwave, Breakbeat, Industrial, Noise, Electronica, EDM, Hardcore, Gabber, Acid Techno, Acid House, Psytrance, Goa Trance, Downtempo, Trip-Hop, Future Garage, UK Garage, Dubstep, Jungle, Breakcore, Electroclash, Dark Ambient, Drone, EBM... И мне кажется, что все это генеративная музыка. Вместо промпта тут положение рулек и слайдеров. А вместо генератора ... ээ, генератор . За сим вопрос: относить ли перечисленное выше к категории в Нейрослоп (ну ок, Генеративный слоп) или в категорию кожаная музыка? 👍 - Кожаная 👎 - Нейрослоп @cgevent

Как перевести команду разработки на AI-агентов Провёл сегодня тренинг для продуктовой команды (мобильное приложение, несколько миллионов установок), и после него прилетел вопрос про разработчиков, как им-то переключится и какие инструменты использовать. Ну, мое мнение, что всякие блогерские и ютюбовские советы, а также специализированные скиллы и MCP становятся неактуальными при первом же большом обновлении моделей или оболочек, поэтому единственное, к кому стоит прислушиваться - ведущие лаборатории. Они знают, над чем работают и что будет неактуально уже в ближайший месяц и при это могут выстраивать state-of-the-art процесс с текущими моделями, чтобы быть быстрее и круче конкурентов. Короче, что стоит изучить: Самый содержательный текст про agent-first команду – Harness engineering от OpenAI. Люди задают архитектуру, ограничения и критерии качества, агенты исполняют. Короткий AGENTS.md (~100 строк) служит картой, а не простыней инструкций. Документация, планы и техдолг живут рядом с кодом, а их актуальность проверяют CI и отдельные «doc-gardening» агенты. Для руководителей есть более широкий Building an AI-native engineering team – про изменения по всему SDLC и то, что ownership кода всё равно остаётся за инженерами. У Anthropic главный практический документ – Best practices for Claude Code: CLAUDE.md, workflow «исследовать - спланировать - реализовать - проверить», subagents, hooks, worktrees. Ключевая мысль: агенту нужен исполняемый способ проверить свою работу – тест, сборка, линтер, скриншот. Для обмена командными практиками лучший механизм – skills: повторяемые workflows типа fix-issue или review-api-change лежат в репозитории и работают у всех одинаково. У OpenAI это описано в Customization, а почему нельзя просто свалить все знания команды в один гигантский промпт – объясняет Effective context engineering. По параллельной разработке рекомендации совпадают у обоих: – начинать с независимых read-heavy задач: ресёрч кодовой базы, анализ логов, поиск пробелов в тестах, code review, это можно делать с любой системой и любой ИИ-кой – изолировать агентов через git worktrees – отдельный checkout на каждого – выбор архитектуры (routing, orchestrator-workers, evaluator-optimizer) разобран в Building effective agents – для длинных задач – журнал прогресса и проверяемое состояние для следующего агента, см. Effective harnesses for long-running agents В общем, советы вроде банальные, но их никто не делает, все оптимизируют локальную свою работу, а в итоге даже при переходе на другую ИИ-ку, а тем более другому сотруднику уже будет плохо: короткий CLAUDE.md/AGENTS.md как карта, docs/ рядом с кодом, skills для повторяемых workflows, CI проверяет правила механически, тесты – критерий завершения работы.

Экосистемность и удобство продолжает оставаться главным трендом для виртуальных офисов — следует из свежего финансового отчета Yandex B2B Tech. Выручка виртуального офиса Яндекс 360 за первые полгода 2026 года выросла на 42% и достигла 11,6 млрд рублей. В Yandex B2B Tech отмечают, что бизнес-группа растет в 1,6 раза быстрее российского рынка корпоративных IT-решений. Согласно отчету, сервисами Яндекс 360 пользуются 185 тыс. организаций, а число платных аккаунтов достигло 8,9 млн. Ежемесячная аудитория выросла на 26%, до 117 млн пользователей. Рост связывают с развитием экосистемы сервисов и точечной интеграцией ИИ. При этом Яндекс 360 расширяет и on-premises: в собственном контуре уже можно развернуть Диск, Документы, Трекер, Вики и Формы. Корпоративный софт теперь про полноценную инфраструктуру для работы 👍

🔐 Что такое SMB Signing? Мы уже разобрали, что такое SMB и зачем он используется в Windows-сетях. Теперь логичный следующий шаг — понять, что такое SMB Signing и почему пентестеры всегда обращают на него внимание.

📌 SMB Signing — это механизм, который добавляет цифровую подпись к SMB-сообщениям.

Проще говоря, он помогает убедиться, что: — сообщение действительно пришло от ожидаемой стороны; — данные не были изменены по пути; — трафик не был незаметно подменён посредником. 🧠 Зачем это вообще нужно? Представим, что компьютер обращается к файловому серверу по SMB. Без дополнительной защиты злоумышленник внутри сети потенциально может попытаться вмешаться в обмен данными. SMB Signing усложняет такую атаку, потому что каждая сторона проверяет подпись сообщений. Упрощённо:

Клиент
   ↓
SMB-запрос + подпись
   ↓
Сервер
   ↓
Проверка подписи

Если сообщение было изменено, проверка не пройдёт. ⚠️ Почему SMB Signing интересен пентестеру? Во время внутреннего аудита часто проверяют, является ли SMB Signing обязательным. Можно встретить ситуацию:

SMB Signing: enabled but not required

То есть механизм поддерживается, но его использование не обязательно. Или:

SMB Signing: required

Это уже более защищённый вариант. 📌 Если SMB Signing не обязателен, это может создать условия для некоторых relay-атак. Именно поэтому тема SMB Signing напрямую связана с NTLM Relay, который мы разберём дальше. 🔎 Как проверить SMB Signing Например, через Nmap:

nmap -p 445 --script smb2-security-mode 192.168.1.10

Результат может быть таким:

Message signing enabled but not required

или:

Message signing enabled and required

🛡 Что считается более безопасным Лучший вариант:

SMB Signing = Required

Потому что сервер будет принимать только подписанный SMB-трафик. Но важно понимать:

SMB Signing сам по себе не решает все проблемы безопасности SMB.

Он защищает именно целостность и подлинность сообщений, но не заменяет: — правильные права доступа; — сегментацию сети; — защиту учётных данных; — обновление систем; — контроль NTLM. 📌 Главная мысль SMB Signing — это механизм защиты SMB-трафика от подмены. Для пентестера особенно важно понять:

SMB
   ↓
SMB Signing
   ↓
NTLM
   ↓
Responder
   ↓
NTLM Relay

Потому что дальше эти темы начинают складываться уже в одну цепочку атаки. #smb #smbsigning #ntlm #windows #ad #pentest #infra

Давненько я этим не занимался... тестированием 😁 Кстати, прикольную штуку можно делать для удобства, если вы тестируете свои продукты локально. Для каждого тестового пользователя можно создавать отдельное окружение с алиасом и нормально тестировать в каждой отдельной вкладке отдельного пользователя с правами, внутри вашего браузера. Бесплатно. Главное, чтобы компьютер не взорвался,конечно :) А еще в таком чек-листе по нажатию на пользователя сразу переводит на нужное окружение и креды. В конце тестирования просто копирую отчет, скармливаю обратно клод, он фикситт и дает комментарии по фиксам в чек-лист. И так по новой... В целом, у меня уже все покрыто автотестами, но так как ролей много надо и самому убедиться.

Это очень смешно — смотрите: задача же стоит буквально "повысить доверие сертификата". Вот буквально. Что для этого делается? Расширяют список оснований для отзыва сертификата. Ну так если сертификат могут в любой момент отозвать, в том числе "если решит наш суд", то я вот вообще не понимаю, зачем кому-то нахер нужно с этим самым НУЦ возиться - делаешь-делаешь, там приходит "наш суд" и твоя работа превратилась в тыкву. Очень ободряет, да. Но вот это что значит?

если у владельца сертификата нет верного ключа идентификации

Это что значит, что сертификат может работать, если у владельца реально нет"верного ключа идентификации"? Я правильно понимаю, что можно запустить сертификат, подписанный НУЦ не имея "верного ключа идентификации"? Или как это работает, я нихера не понял? А если хацкер спиздит "верный ключ" и предъявит его, то что, все переходит хацкеру? Непонятное...