IT

Вайбкодить ботов и приложения приятно. А вайбкодить трафик — прибыльно и выгодно. Короче, одна из моих главных ошибок в вайбкодинге это кучу времени и сил уделять коду, а не трафику. Потому что если хакнуть трафик и сделать так, что у тебя куча просмотров, переходов, кликов, регистраций и подписчиков, то ты уже можешь запускать продукт под готовую аудиторию. Например, сделать какую-нибудь таблицу, которая убирает рутину классно. Но ее продать сложно, потому что она "просто экономит время" и косвенно влияет на деньги. А если закодить таблицу, которая новых клиентов приводит или делает больше трафика на ваши услуги и продукты, то тут ничего объяснять даже не надо, оторвут с руками.

Как я написала агента на питоне Про наши косяки я узнаю от студентов. В Инженерке мы делаем симуляторы и тренажёры. Это в основном практика в песочнице собственной разработки плюс текст, — и вот в этой практике то косяки по невнимательности, то код перестал исполняться из-за обновлений, то стенд упал. При разработке материал у нас проходит через преподавателя, потом через контент-менеджера, потом через фокус-группу, а раньше, в хорошие времена, ещё и через методиста с редактором, и всё равно на выходе оказываются поломки, тупые ошибки и неточности. В какой-то момент мне захотелось самой находить ошибки не дожидаясь замечаний от студентов, поэтому решила написать агента своими руками, а мужа, он же наш архитектор, попросить внедрить его в общую архитектуру. Договорились, что это будет отдельное приложение, тем более что у меня последние несколько месяцев настроение писать код, так что я закатала рукава. Далеко ходить не стала, взяла его же тренажёр по разработке ИИ-агентов — Паша автор, я там тоже соавтор, но только на последних уроках по экономике. Мне нужен был агент, который забирает из ЛМС урок и содержимое песочницы, раскладывает всё это по структуре, расставляет метки для ИИ, что где, прогоняет материал по заданным мной критериям и отдаёт отчёт с ошибками. Хватило мне для этого демо нашего симулятора, причём бесплатного. Питон я не знаю, зато когда-то программировала под железо, и этого хватило, чтобы разобраться и переиспользовать код из учебного проекта и адаптировать его под свою задачу, а потом дописать отдельный парсер: мы с Пашей договорились, в каком виде он мне поставит материал, а дальше я парсила как мне надо. Отдельно пришлось разобраться с FastAPI, которого в демо нет, и сделать сваггер, чтобы он подключился к моему приложению по API. Получилось при этом не сплошное навайбкоженное говно, а нормально проработанная архитектура, с виртуальным окружением и правильной работой с секретами и ключами. С разверткой было проще: он прислал мне свой проект и попросил навайбкодить такой же деплой по аналогии, что я и сделала. Дальше он понажимал кнопок в таймвебе (господи, прости их) — и вуаля. Эвалов, конечно, никаких не было. Вместо них я попросила нашу техподдержку пройти курс руками и сравнить, что увидела она и что увидел агент. Результат меня порадовал: агент оказался продуктивным, большую часть ошибок мы скосили. Чего он пока не умеет — так это разговаривать по-человечески. Отчёт иногда выходит слишком техническим, и надо отдельно садиться за промпты, чтобы в нём разобрался человек, далёкий от техники. Также для более высокого качества прогнать на косяки одной кнопкой весь курс - не получится. Все равно нужно разбираться руками вместе с агентом поурочно. Порог входа в разработку рухнул, и держится он теперь не на языке, а на том, умеешь ли ты продумать внятную архитектуру и не разложить ключи по коду. Но на одном ИИ далеко не уедешь: надёжную и масштабируемую систему он тебе без понимания нюансов не соберёт.

Отличный материал: Ник Пратли 4 сентября 2026 года опубликовал полный разбор “тихого” патча MikroTik. Вот суть. Что случилось 3 сентября 2026 года MikroTik одновременно выкатил RouterOS 7.23.4 (long-term), 7.24.2 (stable) и 6.49.21 (v6) с одной и той же формулировкой: “важное обновление безопасности, детали пока не раскрываем”. Автор правильно заметил: когда ты выкладываешь пропатченный бинарник на зеркало — ты уже раскрываешь уязвимость. Diff между версиями и есть advisory. Три уязвимости 1. SSH-пользователь -2 -> полный root Самая критичная и уже активно эксплуатируемая. В RouterOS SSH-демон передаёт имя пользователя и маску прав в /nova/bin/login как позиционные аргументы. Если имя начинается с -, login воспринимает это как номер файлового дескриптора и читает из него доверенные данные. PTY (псевдотерминал) в SSH использует fd 0, 1, 2. Поэтому: • Пользователь логинится по SSH с именем -2 • Login читает данные из stderr/PTY (fd 2) • Атакующий отправляет два NUL-разделённых поля: имя и маску политики • Маска 654958 = 0x9fe6e = полные права RouterOS Автор воспроизвёл атаку в лабе: read-only сессия получала полный административный доступ. В логах RouterOS это выглядело как user ops added by ssh:-2@<адрес> — именно это видели администраторы на скомпрометированных роутерах. Ограничение: SSH должен принять имя -2 при аутентификации. Через локальную базу пользователей это не работает. Через RADIUS или User Manager — работает. Как именно атакующие в реальных инцидентах проходили этот барьер — пока неизвестно. 2. RSA-подпись без приватного ключа (forgery с e=3) В libucrypto.so функция parseHashFromDerEncoded при проверке PKCS#1 v1.5 подписи не проверяла, что после извлечённого дайджеста в буфере ничего нет. Кроме того, проверка паддинга FF FF FF... не требовала минимального количества байт — достаточно было 00 01 00. Если для аккаунта авторизован RSA-ключ с экспонентой e=3, атакующий может: 1. Взять публичный ключ (это не секрет) 2. Сформировать префикс: 00 01 00 || DER(SHA-256 DigestInfo) || хэш || мусор 3. Взять кубический корень от этого числа Кубирование при проверке восстанавливает корректный префикс, мусор в хвосте 7.23.3 игнорировал. Автор подтвердил: SSH-аутентификация без приватного ключа работала на 7.23.3, на 7.23.4 — отказ. Затронуты все потребители этой функции: SSH, IPsec/IKEv2, TLS (ssld), ACME (cloud). 3. Переполнение стека в mtget через TFTP В nova/bin/mtget при формировании TFTP-запроса имя удалённого файла копировалось в стековый буфер фиксированного размера через rep movsb без проверки длины. Команда: /tool fetch url="tftp://10.0.2.2/<длинный путь>" keep-result=no Это аутентифицированная атака, но право test входит в стандартную группу read. То есть read-only оператор может её выполнить. Автор подтвердил контролируемое перезаписывание EIP и выполнение произвольного ROP-вызова. Связанные цепочки атак Цепочка 1: известный публичный RSA e=3 -> подделка SSH-подписи -> аутентифицированный пользователь с правом test -> crafted TFTP URL -> ROP в mtget. Цепочка 2: SSH принимает имя -2 (через RADIUS/User Manager) -> PTY-инъекция политики -> полные права -> создание пользователя ops в группе full -> опционально mtget. Дополнительные исправления в 7.23.4 • www: блокировка path traversal (/../) • SSH/SCP: проверка путей при рекурсивном копировании • diskd: проверка размеров в локальном RPC • DHCP: замена небезопасных sprintf на bounded-форматирование • MAC-Telnet: закрытие скрытого API-транспорта через имя пользователя \x06/login • В nova/bin/mode добавлен детект и автоочистка следов кампании (пользователь ops, домены mythtime.xyz, leappoach.info, eeongous.com) Что делать прямо сейчас 1. Обновить до 7.23.4 / 7.24.2 / 6.49.21 или новее 2. Проверить /system/device-mode/print — если flagged: yes, роутер считать скомпрометированным 3. Найти неожиданного пользователя ops в группе full 4. Поискать в логах записи ssh:-2@<адрес> 5. Проверить scheduler на записи с fetch, /poll/<UUID> и import 6. Проверить конфигурацию RADIUS и User Manager 7. Аудит SSH RSA-ключей на предмет e=3 — заменить на Ed25519/ECDSA или RSA e=65537 8.

🦅 Colibrì - движок для запуска очень больших AI-моделей на обычных ПК и рабочих станциях, даже если модель целиком не помещается в видеопамять. Как это работает: MoE-модели состоят из множества «экспертов», но для каждого токена используется только небольшая их часть. Colibrì хранит: * самые нужные веса в VRAM; * менее активные — в RAM; * редко используемые - на NVMe SSD. Когда модели нужен конкретный эксперт, движок подгружает его с диска или из RAM. То есть для запуска условной модели на сотни миллиардов или даже триллионы параметров не обязательно иметь столько же VRAM. Поддерживаются CPU, CUDA, Metal и смешанное размещение модели. Проще говоря: Colibrì позволяет запускать гигантские MoE-модели локально, жертвуя в первую очередь скоростью, а не возможностью их вообще запустить. https://github.com/JustVugg/colibri @pythonl

Как я угораю со своих коллег по ИИ цеху, которые вдруг стали гуру Calude Code и вайбкодинга. И теперь трубят об этом. Синенькие квадратики - это дни когда ты работал с Claude Code. Если квадрат закрашен голубым - значит ты в этот день тратил токены. И вот я все чаще замечаю как «эксперты» с количеством квадратов как на первом скрине вообще не парятся. И записывают обучающие видосы. Мне бы их самооценку) У меня сейчас стрик 83 дня подряд вайбкодинга и я до сих пор не считаю себя гуру. Вот в использовании Claude для трафика и маркетинга и продаж - я чертовски хорош) Делитесь своими скринами в комментах) 🔥 - если я прав 😂 - если пора записываться на курсы по поднятию самооценки

Критические уязвимости у крупных вендоров загибаются в параболу В свежем выпуске Charts of the Week от a16z есть график уязвимостей у Apple, Microsoft, Google, AWS, Cisco, Linux, Oracle и еще полутора десятков вендоров. Четыре года линия колебалась в районе 100-500 в месяц, critical держались ниже 100. С весны 2026 обе устремились вертикально: high к сентябрю больше 2 300, critical около 600. Автор оговаривается, что часть роста может быть сменой методики репортинга. Но там же данные ZeroDayClock: 87% уязвимостей используют в день раскрытия или раньше, медиана до эксплойта один день, прогноз на следующий год одна минута. В 2022 половина дыр жила через полтора месяца после обнаружения, сейчас кривая выживания эксплойта к этому сроку падает до нуля. a16z пишет, что ИИ изменил порядки в поиске дыр, и в их использовании. Зависимости старше месяца в проде это открытая дверь, и патчить на следующем спринте больше не вариант. Сергей Булаев AI 🤖 - об AI и не только

🌌 Тут OpenAI напомнила разработчикам, что нужно сделать первым делом при запуске GPT-6 — заново пересмотреть и улучшить все подключенные скиллы и агенты. Причина — GPT-6 сильнее следует промптам, поэтому нейронка может случайно выполнять конфликтующие инструкции, соблюдать устаревший формат и делать лишние шаги. Разрабы прямо говорят, что первый таск — не наращивать обвязки вокруг GPT-6, а наоборот урезать их до необходимости. → Запрос отправит Codex читать статью с новыми правилами, сделать полный аудит скиллов и улучшить их:

Codex, read @pvncher's article x.com/pvncher/status/2095991462416490862 then audit all of my skills and AGENTS.md files inside ~/Projects"

Сохраняем в избранное, чтобы укротить монстра GPT-6. @notboring_tech

Друзья, очень нужна помощь. У меня полностью лег МегаФон. Телефон пишет SOS only, связи нет. А надо принимать СМС. Баланс в плюсе, услуга продления номера включена, с этим все ок. ИИ уже исчерпал все идеи, поэтому сначала спрошу у вас: может, кто сталкивался и знает, что еще можно попробовать сделать из США? Я уже перепробовала абсолютно все базовые штуки. Вручную выбирала T-Mobile и AT&T по много раз, обновила полностью айфон до новой оси, включила VoLTE и роуминг данных, переставляла симку в другой айфон, пыталась настроить вызовы по Вай-Фай. Ничего не помогло. Поддержка МегаФона шлет отписки, что у них все хорошо, а в США их сетей нет, так что от них толку ноль. Переключиться на eSIM не могу, так как надо принять СМС. Что еще можно попробовать? Если надо кому-то заплатить за консультацию, с радостью сделаю. Спасибо!