IT

Где-то два с половиной года назад на конференции по рексистемам в Вышке, куда я пришел слушателем (так появилась секция кулуары, которой, кстати, давно не было), мне задали вопрос — почему у нас нет научных публикаций. Я ответил, что у ребят в Яндексе, занимающихся рексистемами, нет KPI на статьи — только KPI на внедрения. При этом я, конечно, не воспринимал вопрос лично, но сам уже долгое время горел идеей писать статьи, публиковаться на конференциях, участвовать в жизни научного сообщества. Через год я съездил на свою первую большую конференцию ACM RecSys’24. Про эту поездку есть целая серия постов; нетрудно понять, что мне очень понравилось)) Был даже маленький забавный моментик, когда я во время выступления Эда Чи что-то спросил, а он ответил “А может, вы про это статью и напишете” :) После всего этого я еще больше укрепился в решимости начать писать статьи. KPI не то чтобы после этого поменялся, но как будто подвернулся хороший момент, чтобы попробовать. Мы разработали и внедрили в Яндекс Музыку большую рекомендательную трансформерную модель (тот самый Аргус); и казалось логичным превратить это внедрение в статью. Затем, при подготовке лекции для ШАДа про LogQ коррекцию для двухбашенных моделей, я обнаружил ошибку в широко используемой по всему миру формуле. Когда я принес своим ребятам выкладки, далеко не все сразу поверили, что такое вообще возможно)) Было крайне нетривиально одновременно работать фуллтайм, преподавать новый курс в ШАДе и при этом еще и писать сразу две статьи. Но каким-то образом все получилось, и примерно год назад у нас сначала приняли на ACM RecSys’25 статью про LogQ коррекцию, а затем спустя еще полгода приняли на ACM KDD'26 статью про Аргуса. И вот я радостный стою уже 7 часов возле постера на рексисе и рассказываю всем окружающим про LogQ коррекцию)) А потом ночью в караоке пою Radiohead Creep в толпе рексисоидов И самое крутое, что мы на этом не остановились: * на тот же ACM RecSys’25 была принята работа про датасет Yambda, в которой я лично не участвовал, но поучаствовали ребята из нашей команды — Влад Тыцкий и Владимир Байкалов * на ACM SIGIR приняли статью Владимира Байкалова и его студентов из ИТМО про дообучение семантических айдишников * туда же на ACM SIGIR приняли статью от ребят из нашей (бывшей) команды — Артёма Матвеева, Влада Тыцкого, Сережи Макеева и Сережи Лямаева, про улучшение архитектуры энкодер-декодера для generative retrieval Ну и вот сейчас у нас приняли статью на воркшоп ACM KDD’26, продолжающую линию ресерча из статьи Top-K REINFORCE (я периодически шучу, что надо было её назвать "Correcting the Off-Policy Correction" в духе нашей LogQ статьи) и скрещивающую ее с generative retrieval. Про нее я написал в прошлом посте. Кроме того, на архиве появились препринты, про которые смею надеяться, что они дойдут до публикации: * мой Variable-Length Semantic IDs * Gryphon от ребят из Яндекса, в котором поучаствовали Олег Сорокин и Влад Додонов из нашей бывшей команды (читайте подробности про статью на канале Даши @redrecsys) И все это произошло только за последний год! Хочется верить, что мы только в начале нашего пути и нас всех ждет еще миллиард параметров приключений и публикаций :)

В общем, вот как запустить интернет-проект в Китае — записывайте: 1. Регистрация домена .cn Купить домен можно у международных регистраторов. Иностранной компании понадобятся сканы свидетельства о регистрации бизнеса и паспорта директора. Но просто купить имя мало — чтобы сайт открывался быстро и легально, нужен хостинг внутри Китая. А для этого необходим следующий шаг. 2. Получение ICP-лицензии (Главный барьер) Размещение сайта на серверах в материковом Китае строго запрещено без государственной ICP-лицензии от Минсвязи КНР. Иностранная компания или физлицо без китайского ID не могут получить ее самостоятельно. Выход: либо открывать официальное юрлицо в Китае (WFOE), либо оформлять лицензию через местного партнера/агента (на его имя). 3. Регистрация в полиции (PSB) В течение 30 дней после запуска сайта и получения ICP нужно пройти онлайн-верификацию в местном Управлении общественной безопасности Китая для проверки на соответствие законам о кибербезопасности. 4. Чистка кода от запрещенки Китайский файрвол заблокирует или намертво подвесит сайт, если на нем останутся внешние скрипты от Google (шрифты Fonts, аналитика, капча), виджеты YouTube, Facebook или Instagram. Все интеграции должны быть локальными или китайскими (Baidu, WeChat).

Сегодня на обед я ел стейк рибай из вагю за 400 долларов. Платил не я. Платил продавец из компании по кибербезопасности первого эшелона. Он уже восемь месяцев пытается продать мне cloud-native платформу для endpoint detection. Нам не нужна cloud-native платформа для endpoint detection. У нас даже endpoint’ов нет. Половина сотрудников работает на восстановленных ноутбуках 2014 года, которые физически не способны запустить его софт. Но я сказал ему, что мы «оцениваем варианты». Эта фраза не значит вообще ничего. Но в B2B-продажах это как ударить в обеденный колокол. В этом году он уже оплатил мне восемь обедов. Он спрашивает про сроки миграции. Я смотрю в окно, тяжело вздыхаю и тихо говорю что-то про узкие места децентрализованной интеграции. Он яростно конспектирует и заказывает ещё бутылку газированной воды. В год я зарабатываю 200 тысяч долларов. Но моя калорийная ROI не поддаётся расчёту. На следующей неделе у меня питч-встреча со стартапом в области AI-аналитики. Перед тем как согласиться, я проверил их раунд B. У них 40 миллионов венчурных долларов, которые прожигают им карман. Я позволю им купить мне омакасе. А потом скажу, что наша legacy-инфраструктура страдает от packet loss и мы не сможем деплоить ничего до 2029 года. Оригинал: https://x.com/it_unprofession/status/2072062685576101990 А вот инвесторов стартаперы кормят только завтраками 😞

Пятница. И тут как-то вспомнился старинный сетевой юмор, который поймут не только лишь все. Разбираем классику сетевых протоколов: TCP — Привет, я собираюсь рассказать тебе шутку про TCP. — Привет, ты собираешься рассказать мне шутку про TCP? — Да, я собираюсь рассказать тебе шутку про TCP. — Хорошо, я готов услышать шутку про TCP. — Готов? — Да, готов. — Сейчас расскажу. UDP Я просто рассказал её, и мне абсолютно всё равно, услышали вы её, поняли или нет. TCP (версия с обрывом) — ОК, я готов отправить тебе TCP-шутку. Она продлится 10 секунд, состоит из двух предложений и закончится панчлайном. — ОК, я готов получить TCP-шутку, которая продлится 10 секунд... Извините, таймаут соединения. Здравствуйте, вы хотите услышать шутку про TCP? Шифрование Я бы рассказал её, но у вас нет приватного ключа. MTU (максимальный размер пакета) Про MTU тоже есть классная шут... [сообщение обрезано, так как превысило лимит размера пакета]. BGP (протокол маршрутизации) Мы долго блуждали вокруг да около, но в итоге всё равно выбрали самый длинный и нелогичный путь. ARP А кто-нибудь знает, где здесь находится классная шутка? Срочно скажите её MAC-адрес! Token Ring (сеть с маркерным доступом, очень старое — это буквально была первая в моей жизни сеть в 199х году) Я бы рассказал отличную шутку, но сейчас не моя очередь держать маркер. DNS Чтобы понять шутку, вам сначала придётся перевести её на понятный язык, но этот процесс может зависнуть на пару минут. IPv4 Все хорошие шутки уже давно закончились. IPv6 Эту шутку никто толком не понимает, но все делают вид, что скоро начнут активно использовать. DHCP Бармен наливает вам пиво и говорит: "Вот, но через час я заберу бокал обратно, если вы не продлите аренду".

Про посадки за звезды Телеграм. Админ канала не может скрыть, кто отправил звезды. Я пытаюсь связаться с Дуровым, чтоб эту тему пофиксили, но он не отвечает уже года два как. Единственное, что вы можете сделать, то убирать галку "показывать меня среди лидеров". Еще один косяк в безопасности ТГ — нельзя чистить историю, кому вы эти самые звезды отправляли. Все сохраняется в настройках и любой мент, который отберет у вас телефон и заставит вас его разблокировать (это абсолютно незаконно, но в РФ законов нет) увидит кому вы чего отправляли. В общем — да. Проблема есть. Надеюсь, команда ТГ увидит это и пофиксит. Это ж напрямую влияет на доходы ТГ.

Задачи, которые годами лежали в столе, теперь решаются за вечер В агентствах давно копились задачи, которые не окупали полноценную разработку — слишком мелкие, слишком разовые, чтобы звать программиста. Сейчас их делать вайб-кодингом стало экономически разумно. Когда есть смысл браться: задача локальная, результат виден сразу, данные можно восстановить, а поломка не остановит работу ни агентства, ни клиента. Проще говоря, то, что можно безболезненно выбросить, пересобрать заново или в крайнем случае сделать руками. Что реально можно сделать: 🔵 Прототип сайта или личного кабинета для проверки гипотезы. Можно быстро собрать черновик, поиграть со шрифтами и провести первый раунд согласований без лишних затрат. 🔵 Сборщик отчётов. Экспорт данных из рекламных кабинетов и любых других источников, который раньше менеджер собирал руками, теперь можно завайбкодить как автоматический скрипт. 🔵 Дашборд для проекта в цветах брендбука. 🔵 Заполнение проекта "рыбой". Если сайт перед сдачей выглядит пустым, ИИ отлично добавит тестовые материалы и картинки — гораздо приятнее глазу, чем lorem ipsum. 🔵 Очистка и импорт данных. Конвертировать форматы, переделать таблицы под вставку, поменять формат чисел. С этим справится любая современная модель. 🔵 Проверочные программы. Сравнить данные в нескольких местах и прислать сообщение в мессенджер при несовпадении. А вот если задача критична для бизнеса клиента и ошибка приведёт к потере денег и остановке работы, или если код придётся дальше поддерживать и развивать, то тут лучше уже подключать программиста. Пост помог подготовить резидент Галеры Михаил Сенсеев 🔵

🆚Багбаунти против даркнета: почему белые хакеры уходят на теневой рынок Разрыв между легальными выплатами за уязвимости и предложениями в даркнете остается критическим. Аналитика показывает неприятную для бизнеса математику: медианная выплата за критическую дыру в программах багбаунти за прошлый год составила скромные 200 тысяч рублей. В это же время на теневом рынке готовый доступ к корпоративной инфраструктуре стабильно торгуется в диапазоне от $10 000 до $100 000. 🔍Разница не только в деньгах, но и в товаре. На легальных платформах компании платят за отчет о воспроизводимой ошибке в конкретном сервисе. Теневым покупателям отчеты не нужны - им нужен рабочий рычаг для атаки. Именно поэтому в даркнете 43% объявлений приходятся на RCE (удаленное выполнение кода) и 25% - на LPE (повышение привилегий в системе). В связке эти два класса уязвимостей позволяют зайти в сеть и мгновенно закрепиться на уровне администратора.

🟦По данным исследователей, около половины предложений на черном рынке - это чистые уязвимости нулевого дня (0-day), о которых разработчик софта еще даже не догадывается. Покупают их под конкретные цели. 🟦Первичный доступ к инфраструктуре крупного промышленного объекта или ритейлера продается как самостоятельный продукт - через VPN-аккаунты, RDP-доступы или слитые токены. 🟦Доступ к госучреждениям или банкам на теневых площадках может доходить до $1–1,5 млн.

Ситуацию усугубляет правовой вакуум. В России до сих пор нет вменяемого юридического статуса для независимых исследователей. Прошлый законопроект о легализации белых хакеров благополучно отклонили. Пока легальный рынок предлагает исследователям копейки и риск уголовного преследования за инициативный аудит, даркнет гарантирует анонимность и миллионные бюджеты в крипте. 🦔 CyberYozh

std::expected в C++23: гайд по миграции с исключений на функциональный error handling Берём функцию, которая грузит пользователя, проверяет права и собирает DTO. На исключениях она пишется в три строки и выглядит компактнее, чем цепочка на std::expected. Вот только какие типы исключений способна бросить эта цепочка вызовов, видно не в сигнатуре, а в документации, и компилятор промолчит, когда в глубине добавится ещё один. С std::expected из C++23 набор возможных ошибок стоит прямо в возвращаемом типе, и его проверяют статически на компиляции. Гайд ведёт от базового API к monadic-цепочкам через and_then и transform_error, показывает конвертацию ошибок между слоями и честно перечисляет места, где переходить как раз не стоит.

Все помнят легендарный текст «Триатлон с позиции жены»? Представляем ремейк: слово жене вайбкодера. <пятничныймем> Вайбкодинг с позиции жены Сначала объясню, что это такое. Вайбкодинг — это когда человек решает, что для счастья ему нужно написать приложение или там B2B SaaS, толком не умея программировать. Он говорит нейросети «сделай красиво», она делает некрасиво, или красиво, но не так. И так четыре тысячи раз до трёх часов ночи. Офигеть, ты сам написал приложение! — скажет среднестатистический человек, и этим словом раскроет весь смысл мероприятия. Они, конечно, говорят про демократизацию разработки и «идея важнее кода», но это неправда. Они просто хотят запуститься на Product Hunt и чтобы кто-нибудь из близких в 8, драть, утра апвоутил и писал «Congrats! Game changer!» — выискивая своего долбанутого мужа среди тысячи других чуваков, запустивших в этот же день такой же ту-ду лист с AI. Второй момент: вайбкодинг — как пёс на кровати — случается не в один миг. Счёт за токены на 300 долларов вам выкатят не сразу. Начнётся всё достаточно безобидно: бесплатный чатик, вопросик про регулярки, скриншот «смотри, оно само». Вот тут тонкий момент — как только бесплатный чатик меняется на подписку «для проекта», берите сковородку в правую, скалку в левую, и лупите вайбкодера что есть мочи. Упустите — через год будете апвоутить. Потому что дальше оно вылупится, наденет шумоподавляющие наушники и уедет жить в терминал. За подпиской следуют «более лучшие агенты», за агентами — облачный хостинг топового уровня, а там и до «тестового» домашнего сервера за 150 тысяч рукой подать. Спросите «а не охренел ли ты тестировать за 150k?!» — и проиграете: охренел он ещё на подписке уровня Max. Довольно скоро подопытный сможет запилить SaaS за выходные. Я по неопытности попробовала извлечь из этого увлечения хоть какую-то пользу и попросила сделать приложение для семейного бюджета или автоматизировать оплату коммуналки — раз уж «ты всё равно там сидишь». Не делайте так, девочки. Там, где визионер пилит единорога, нет места мелким бытовым проблемам и решению реальных задач вашей семьи. Потом появятся курсы. Вы знали, что промптить клода можно неправильно? Для меня это до сих пор из области «ты как-то неправильно ковыряешь в носу», но я скромно молчу. Не так промптишь, не так контекст держишь… Спросите — а когда же жить? Жить можно в отпуске, девочки. Но макбук поедет с вами. И аппрувить действия агентов нужно будет даже на пляже. </пятничныймем>

🌐 Что такое ARP? Допустим, ваш компьютер знает IP-адрес другого устройства:

192.168.1.15

Но возникает вопрос: 👉 Как ему найти именно этот компьютер в локальной сети? Ответ — ARP.

📌 ARP (Address Resolution Protocol) — это протокол, который определяет, какой MAC-адрес соответствует определённому IP-адресу.

Проще говоря, он помогает устройствам "найти друг друга" внутри локальной сети. 🧠 Представьте, что IP-адрес — это адрес дома. А MAC-адрес — имя конкретного человека, который в нём живёт. Чтобы доставить посылку, нужно знать не только адрес дома, но и кому именно её передать. Именно этим и занимается ARP. ⚡️ Как это работает? Компьютер хочет отправить данные на:

192.168.1.15

Он отправляет широковещательный запрос:

«Кто использует IP-адрес 192.168.1.15?»

Устройство с этим IP отвечает:

«Это я. Вот мой MAC-адрес.»

После этого компьютеры могут обмениваться данными напрямую. 💀 Почему ARP интересен пентестеру? Потому что именно на нём основаны многие этапы разведки и атаки в локальной сети. Например: — поиск живых устройств (Netdiscover) — ARP Spoofing — Man-in-the-Middle (MITM) — анализ сети через Wireshark 📌 Именно поэтому после попадания в локальную сеть одним из первых шагов становится изучение ARP. Он помогает быстро понять: — какие устройства находятся в сети; — какие IP-адреса используются; — какие хосты активны. 🧠 Без понимания ARP сложно разобраться, как работают многие атаки на локальную сеть. Именно поэтому с него обычно начинается изучение инфраструктурного пентеста. #infra #ad #arp

Насколько упало число IT-вакансий в России, OpenAI закрывает свой браузер Atlas, Маск заплатит 1% от сэкономленного при покупке Twitter, Blue Origin Джеффа Безоса впервые привлечет внешние инвестиции 🦄 Доброе утро, наши маленькие любители единорогов! 📉 Количество вакансий в IT-секторе по итогам первого полугодия 2026 года сократилось на 21% по сравнению с прошлым годом, пишет «Коммерсант» со ссылкой на данные Superjob. В «Хабр Карьере» говорят, что у них число вакансий за тот же период сократилось на 56%. А еще рост зарплат замедлился — выросли на 3,9%, по данным Superjob. Ниже официальной инфляции. При этом зарплаты поднимают только специалистам уровней middle и senior. ❌ OpenAI решила закрыть свой AI-браузер Atlas, который запустили в октябре, пишет Techcrunch. Совсем от браузерных амбиций не отказываются. Компания сейчас продвигает десктопное приложение ChatGPT, и в нем есть встроенный браузер. Techcrunch отмечает, что Atlas закрыли через два месяца после того, как OpenAI решила сократить число побочных проектов. Жертвой этого сокращения уже стал генератор видео Sora. 🫴 Илон Маск договорился заплатить SEC штраф $1,5 млн по делу о покупке Twitter, пишет Techcrunch. Суть претензии в том, что Маск умолчал о росте своей доли в Twitter, когда вел переговоры о его покупке. Маск подал отчет на 11 дней позже, после него акции выросли на 27%. SEC считает, что предприниматель так сэкономил $150 млн. Ну вот $150 млн сэкономил — 1% заплатил. 💲 Основатель Amazon Джефф Безос решил привлечь сторонние деньги в свою космическую компанию Blue Origin. Как пишет New York Times, Blue Origin хочет поднять $10 млрд по оценке $130 млрд. Сам Безос даст только $2 млрд. До этого Безос финансировал компанию сам, продавая акции Amazon. @TheEdinorogBlog — тот самый канал про стартапы🦄