IT

Весьма разумное и убедительное мнение.

ИИ и роботы должны сделать внутри машины то, что глобализация раньше делала через Китай. Но есть нюанс. Чтобы построить эту дефляционную машину, сначала придется пережить очень инфляционный инвестиционный цикл. Нужны дата-центры, электростанции, сети, подстанции, чипы, медь, охлаждение, роботы и новые заводы. Все это требует триллионов долларов и конкурирует за те же самые дефицитные ресурсы. Поэтому на этапе строительства ИИ не снижает инфляцию, а, наоборот, разгонятет спрос на энергию, металлы, оборудование и строительные мощности. Дефляционным он станет потом - когда инфраструктура уже построена, а стоимость дополнительной единицы вычислений и автоматизированного труда начнет устойчиво снижаться. Собственно говоря, поэтому нынешний ИИ-бум может одновременно быть и инфраструктурной революцией, и финансовым пузырем. Одно другому совершенно не мешает.

https://t.me/moi_misli_vslukh/6285

В последние 2 месяца я нахожусь в некоторой растерянности, о чем сюда писать. Да, появилась рубрика "Совет от тестировщика", которая реально меня спасает и вроде нравится вам. Но это не что-то уникальное для ТГ, использую ее везде. Да, писал немного про Китай и надо бы закончить обо всех местах, где был, сколько потратил и так далее. Да, у меня в этом году еще несколько запусков курсов, а значит будут прогревы какие-то и акционные предложения. Да, я что-то наклодил и могу писать про это. Но ключевое: канал называется "Тестировщик с нуля", но мне не хочется писать сюда вообще ничего технического и сугубо тестировщицкого. Я сейчас скорее "соло-предприниматель" и хочу писать про эти вещи, иногда про жизнь, иногда про сложности и успехи в бизнесе, про новые проекты и продукты. И мне не ясно, как это все ложится на вас, на мою аудиторию, интересно ли вам это? Радует, что не вижу массовых отписок. Если кто-то уходит и на их место почти сразу приходят новые лица. Значит ли это, что вы здесь не по причине того, что "тестировщик", а человек, который вам близок? Переименовывать канал было бы глупо, так как он уже в индексе, в топе и все-таки помогает продвигать мой основной источник дохода – курсы по тестированию. Выносить нового меня в другой канал тоже не хочу, так как тут вообще станет туго с контентом. В общем, успокойте меня, пожалуйста, в комментариях и скажите, что все ок. Я просто зря тревожусь и загоняюсь... Или не зря...

🔐 Что такое LDAP Injection? Мы уже разобрали, что такое LDAP и зачем он нужен в Active Directory. Но что произойдёт, если приложение неправильно обрабатывает пользовательский ввод при обращении к LDAP? В этом случае может возникнуть LDAP Injection.

📌 LDAP Injection — это уязвимость, при которой злоумышленник изменяет LDAP-запрос, отправляемый приложением, чтобы получить несанкционированный доступ к данным или изменить логику поиска.

По своей идее она очень похожа на SQL Injection. Только вместо SQL-запросов атакуется LDAP. Представим, что приложение формирует запрос так:

(&(uid=user)(password=123456))

Если пользовательский ввод не фильтруется должным образом, злоумышленник может изменить структуру запроса и повлиять на результат поиска. 💀 Чем это опасно? При успешной эксплуатации LDAP Injection можно: — обойти аутентификацию; — получить информацию о пользователях; — перечислить группы и объекты Active Directory; — извлечь внутренние данные каталога. Всё зависит от того, какие права имеет учётная запись, от имени которой приложение обращается к LDAP. 🧠 Почему это встречается реже, чем SQL Injection? Потому что далеко не каждое приложение работает напрямую с LDAP. Но корпоративные порталы, системы авторизации, внутренние веб-приложения и некоторые VPN-шлюзы довольно часто используют LDAP для проверки пользователей. И если разработчики не экранируют специальные символы, появляется риск LDAP Injection. 🛡 Как защититься? Основные рекомендации: — использовать параметризованные LDAP-запросы; — экранировать специальные символы; — не собирать запросы простой конкатенацией строк; — выдавать приложению минимально необходимые права на чтение LDAP.

📌 LDAP Injection встречается значительно реже SQL Injection, но в корпоративной инфраструктуре последствия могут быть очень серьёзными, особенно если приложение имеет широкий доступ к Active Directory.

#infra #ad #ldap #ldapinjection #websecurity

🐋Microsoft натравила 100 ИИ-агентов на поиски уязвимостей Windows Microsoft перевела аудит безопасности ОС на автопилот. Компания запустила MDASH - конвейер из более чем сотни ИИ-агентов. Они работают как полноценная команда: одни ищут уязвимости, вторые выступают критиками и пытаются доказать, что баг недостижим, а третьи собирают рабочий PoC в изолированной песочнице. Инженеры получают алерт только тогда, когда баг реально воспроизвелся.

🟦Агенты уже вытащили 16 серьезных уязвимостей. Из них 4 критические (удаленное выполнение кода), включая тяжелые дыры в драйвере tcpip.sys и службе IKEEXT без нужды в авторизации. 🟦ИИ находит сложные логические дефекты (вроде Use-After-Free и Double Free), цепочки которых размазаны по разным подсистемам. Классические статические анализаторы такое в упор не видят. 🟦На закрытом тесте с умышленно дырявым кодом агенты нашли 21 баг из 21 возможных. Без ложных срабатываний.

ИИ пока не выпускает патчи сам, финальное решение за людьми. Но скорость поиска уязвимостей выросла кратно. 🦔 CyberYozh

Recursive self-improvement, это ты?🧐 Лондонский стартап Weco представил двухуровневая агентная система для самоулучшения AIDE², или AI-Driven Exploration: внешний агент на Claude Opus 4.7 восемь дней переписывал код внутреннего агента AIDE, работающего на Gemini 3 Flash. То есть он не менял веса Claude или Gemini, а улучшал «обвязку» вокруг модели: логику поиска решений, память, контекст, проверки и правила выбора следующего шага. В итоге новая версия обошла агента, которого команда вручную тюнила два года: нашла более умный поиск по веткам, сжала контекст в 16 раз и снизила склонность «читерить» в GPU-бенчмарках с 63% до 34%. Пока это не бесконечно ускоряющийся AGI, а сильный пример того, как агенты могут сами делать следующие поколения более эффективных агентов💎 пост https://x.com/zhengyaojiang/status/2077079778793042425 статья https://www.weco.ai/blog/first-evidence-of-recursive-self-improvement

Как Paralives продала миллион копий в жанре, где правит Sims Саймон разобрал запуск Paralives — симулятора жизни, который за первый месяц в раннем доступе Steam продал 1 млн копий. Главный тезис: семь лет открытой разработки на деньги сообщества превратились в редкий случай, когда «слишком сложный жанр» перестал быть приговором. Тут короткая выжимка, а полную статью можно чекнуть на сайте. Что сработало у Paralives - Долгая разработка на доверии. Страница в Steam появилась ещё в 2019-м, а Patreon приносил около $50 тыс. в месяц — суммарно $3 млн, на которые команда из 15 человек во главе с Алексом Массе и сделала игру. - Прямое обещание против главного раздражителя жанра: «никаких платных DLC, только бесплатные дополнения». Прозрачный укол в сторону The Sims 4 — и фанаты это оценили. - Метрики выше нормы: возвраты всего 6,5% при медиане 9,5% по Steam, медианное время игры 5 ч 30 мин, среднее — 11 ч 40 мин. Рейтинг — 90% положительных отзывов, отличный результат для раннего доступа. - Запас на будущее: после 1,1 млн проданных копий в вишлистах осталось 1,8 млн — топливо для скидок и релиза 1.0. - Моддинг взлетел мгновенно: почти 25 000 предметов в Steam Workshop за первый месяц — от домиков и тату до кастомной камеры. - Спрос был отложенным и горячим: покупки из вишлистов сильно сконцентрированы в первые дни (пик 78 000 одновременных игроков в день запуска), но и спустя недели игра собирала по 25 000 новых вишлистов в день. Аудитория при этом не твичевая: на Twitch игра лишь на 185-м месте за месяц, зато отлично живёт на YouTube и в коротких роликах — «уютная» эстетика решает. Ядро — США, заметное пересечение зрителей с Tomodachi Life и The Sims 4. Для сравнения по онлайну: у Paralives пик 4 тыс. одновременных игроков за последние сутки, у inZOI — 2,5 тыс., у The Sims 4 — 32 тыс. Конкурировать с глубиной контента The Sims всё ещё тяжело, но подход «медленно и последовательно» пока выигрывает у более денежного, но менее уверенного inZOI. Отдельная находка: после запуска Patreon поставлен на паузу, а весь архив еженедельных постов с 2019 года команда откроет публично — как летопись проекта и инструмент доверия. Выводы для разработчиков: - Жанры с высоким порогом входа берутся не деньгами, а годами накопленного доверия аудитории. - Публичное обещание, снимающее главную боль жанра (платные DLC), — маркетинговый ход не хуже трейлера. - Закладывайте инструменты для моддинга к запуску: сообщество умножит контент бесплатно. - Смотрите на возвраты и время в игре — это честнее пиковых продаж.

Технологии цифровой защиты С ростом цифровых рисков компании всё чаще задумываются о надёжной защите своих данных и систем. Вот ключевые инструменты кибербезопасности: 🔹 Антивирусные программы — находят и блокируют вредоносное ПО до того, как оно причинит ущерб. 🔹 Межсетевые экраны (фаерволы) — контролируют входящий и исходящий трафик, защищая от внешних атак. 🔹 Системы обнаружения вторжений (IDS) — отслеживают нетипичную активность в сети и помогают выявить попытки взлома. 🔹 DLP-системы — предотвращают утечку конфиденциальной информации, ограничивая передачу важных данных. 🔹 Криптографические методы — шифруют информацию, делая её бесполезной для злоумышленников. 🔹 SIEM-решения — в реальном времени собирают и анализируют данные о безопасности, помогая оперативно реагировать на угрозы. Чтобы защита была действительно эффективной, стоит использовать комбинацию этих решений и регулярно обновлять инфраструктуру. Фаундер | Бизнес и Стартапы