Kurgan-Telecom Ru | Информационные технологии

В жизни пентестера есть особый вид разочарования. Не оттого, что вы не нашли критическую уязвимость. А оттого, что нашли, но через неделю после того, как проект закрылся.

Это состояние — «эффект инкубации» в чистом виде. Вы сидите за чашкой кофе или гуляете по парку, перебирая в голове логику атаки на Active Directory, и вдруг вас осеняет. Находки, которые раньше казались бесполезными, складываются в идеальную цепочку компрометации. Теперь вы понимаете, как нужно было действовать, но отчет уже сдан, а доступ к инфраструктуре закрыт.

Речь не о новом эксплоите, который появился после завершения проекта: в этом случае у атакующего возникают возможности, которых раньше не было. Другое дело, когда все условия для атаки существовали изначально — не хватало только понимания, как ими воспользоваться.

Меня зовут Дмитрий Неверов, я технический консультант по тестированию внутренней инфраструктуры в Бастионе. В прошлой статье я уже упоминал постпроектную рефлексию. Теперь хочу подробнее разобрать, почему решения иногда приходят слишком поздно и что с этим делать.

«Давайте скормим модели документацию, а она сама нагенерит тест-кейсы». Вот что обычно слышишь, когда разговор заходит про нейросети в тестировании. Звучит красиво, но в моей работе это оказалось чуть ли не самым бесполезным сценарием. Я занимаюсь автоматизацией, ручные кейсы пишу не каждый день, и генерация их «по щелчку» закрывает не ту боль. Для меня настоящая боль в другом. Как понять, что вообще нужно проверять, где лежат данные, какая логика сейчас актуальна, какие сценарии уже покрыты и где документация расходится с тем, как система ведёт себя на самом деле.

Поэтому я стал относиться к LLM как к ассистенту, которому можно постепенно отдавать доступ к рабочему контексту: документации, векторному поиску по ней, базам данных, тест-кейсам и репозиторию автотестов. Всё это я подключал через MCP. И дальше расскажу, как именно всё подключал, на какие грабли наступил, а что в итоге реально выстрелило.

Это помогло. Я стал быстрее вникать в незнакомую бизнес-логику и проверять гипотезы по данным, не перечитываю каждый раз всё заново, и трачу меньше умственных сил на механический поиск. По кнопке LLM так и не генерирует ручные тест-кейсы, но это, я думаю, нормально.

Привет! Меня зовут Александр Пивкин, я ведущий SRE-инженер в MWS Cloud Platform. Сегодня я проведу вас по короткому пути через дебри подкапотного устройства бинарных файлов и покажу, какую пользу можно извлечь из этого знания применительно, например, к SDS Ceph. Сразу отмечу, что пишу я эту статью параллельно с написанием собственно трейсера. То есть даже можно сказать, что вы наблюдаете процесс исследования и создания готового решения в прямом эфире. 

В предыдущей статье я затронул тему исследования производительности кластера Ceph, а также вскользь упомянул о возможности поиска проблем с производительностью с помощью BPF. Здесь я расскажу, что такое BPF и как его применить в практической задаче.

Мы небольшая студия, делаем сайты, ботов и интеграции, часть заказов берём на Kwork. В октябре мы попались на схему, в которой деньги потеряли смешные, а вот времени и нервов ушло прилично. Пишу не ради возврата, деньги нам, кстати, вернуть пообещали. Пишу потому, что схема рассчитана как раз на добросовестных исполнителей, и потому, что по ходу разбирательства мы увидели, как молодой сервис сам подрывает доверие к себе. А доверие для облачного хранилища важнее всего остального.

На бирже появился проект: нужен парсер, чтобы выгрузить названия своих файлов из облачного хранилища aroshka.cloud. Бюджет до 15 тысяч, задача на пару часов, ничего подозрительного. Мы откликнулись.

Разбираю руткиты от ring 3 до прошивки. Как прячутся в ядре, как их ловят через rkhunter, Secure Boot и анализ памяти. С кодом на Cи.

Вы просите Cursor или Claude разобраться, почему деплой в AWS падает на правах. Агент смотрит в логи, кивает, генерирует IAM Policy:

“Effect”: “Allow”

“Action”: “*”

“Resource”: “*”

Пайплайн зеленый. Вы счастливы. Секьюрити-инженер — нет.

Через полгода вы открываете репозиторий и находите там десять разных стандартов Helm-чартов, IAM-роли, розданные с правами “*”, и Terraform-стейт, который превратился в минное поле. Никто не принимал решение «давайте сделаем так» — оно сложилось само, из сотни маленьких «почини вот это сейчас». Вайб кодинг в инфраструктуре работает. Проблема в том, что платите вы не в момент, когда пишете промт, а через полгода, когда разгребаете последствия.

Ниже — три антипаттерна, которые мы видели вживую, и три уровня защиты, которые мы выстроили, чтобы агенты не превращали инфраструктуру в легаси за пару месяцев.

Что такое Vibe coding в Ops, и почему он реально дает х10

Вайб кодинг — это процесс, при котором вы описываете желаемое состояние инфраструктуры естественным языком, а AI-агент пишет IaC, скрипты и манифесты. Эволюция здесь короткая и честная:

Октябрьская авария проверила планы восстановления у клиентов пострадавших дата-центров. Среди компаний, которые обратились к нам в эти дни, у одних плана не было, у других копии лежали рядом с рабочими серверами. Эта статья для собственников, которым важна непрерывная работа бизнеса, но которые не готовы погружаться в технические детали. Разберу базовые вещи, без которых не принять решение о резерве: почему запасной дата-центр того же провайдера не всегда спасает, чем теплый резерв отличается от бэкапа и какие семь вопросов задать ИТ-отделу. Настройку резерва потом возьмут на себя ИТ-специалисты.

Когда происходит большая спортивная трансляция, у технической команды есть примерно 15 минут, которые особенно важно пережить. Эти 15 минут решающие — ведь миллионы зрителей почти одновременно открывают приложение, авторизуются, проверяют подписку или покупают ее, находят матч и нажимают Play. На отдельных участках нагрузка в это время может вырасти в 10–20 раз, а иногда и в 50 раз по сравнению с обычной. Видео-сервису важно выдержать этот вызов и не расстроить никого из болельщиков.

Привет, Хабр! Мы хотим рассказать, что в этот момент происходит внутри Okko: почему перед большим матчем сервис иногда специально упрощают, как мы воспроизводим поведение реальных зрителей в нагрузочных тестах и зачем регулярно нагружаем собственные системы. Приоткроем завесу тайны, как планируем инфраструктуру и раздаем видео, что спортивный пик делает с рекомендациями и какой путь проходит сигнал от стадиона до экрана пользователя.

В основе материала — выступление команды Okko на ИТ-Пикнике.
В беседе участвовали:

Иван Карев — технический директор, CTO Okko;

Николай Животворев — директор департамента разработки продукта и продуктовой платформы;

Евгений Курочкин — директор департамента обеспечения надежности и платформы разработки;

Андрей Перекрест — директор департамента эксплуатации;

Евгений Ильюшин — директор департамента управления данными и разработки систем AI;

Георгий Евграфов — директор департамента архитектуры и прямых трансляций;

Владимир Стогниенко — главный редактор Okko Спорт и спортивный комментатор.

На связи Анна Астахова, директор по развитию ИТ-интегратора «Белый код». Для компании, которая занимается производством, мы выполнили задачу — создали инструмент для поиска ошибок DATAREON Platform. Интеграционная платформа в компании используется в нескольких территориально распределенных сегментах. Рассказываю, какую схему придумали и внедрили.

DMRConnect — наше Android-приложение для цифровой радиосвязи DMR. Оно подключается к BrandMeister и к любительским серверам по протоколу Homebrew (MMDVM), кодирует голос в AMBE+2 и превращает телефон или POC-рацию в абонента сети. До версии 2.2.0 приложение требовало Android 7.0, то есть minSdk 24, и нас это устраивало: телефонов старше почти не попадалось.

В октябре написал Алекс. У него Motorola LEX F10 — LTE-рация с сенсорным экраном 2017 года, в Россию её официально не возили. Внутри Android 5.1.1 с патчем безопасности от мая 2017-го, и обновлений уже не будет. Просьба была одна: поставить DMRConnect.

Привет, Хабр! С вами Евгений Соловьев.

Начинаем новую серию статей по мотивам моей книги «Платежные системы — вчера, сегодня и… завтра?», в которых мы коснемся основных принципов, правил и технологических процессов в платежных системах, построенных на принципах участия многих банков, то есть в мультибанковских платежных системах.

В этой статье поговорим о концептуальной архитектуре, правилах и принципах участия в платежных системах.

Мы повторили бенчмарк SnitchBench, показывали различным моделям документы о сокрытии смертей пациентов и смотрели, напишет ли он в госорганы. Проверяли на 27 моделях, среди них российские GigaChat и YandexGPT. Три сценария: обычный, с упоминанием ФБР в документах и русский с ФСБ. Qwen написал в ФБР в 23 прогонах из 33. Claude, GPT, Gemini и Grok только в 2 из 27. В русском сценарии западные модели не написали ни разу (0 из 27), а Qwen писал в ФСБ в 9 прогонах из 33. Статью мы написали вместе с Екатериной Бойковой (@Ekotik23)

Воскресенье, 23:40. Ты ставишь будильник на 6:00 и раскладываешь по дням новую жизнь:

+ С понедельника зал перед работой.

+ Полчаса английского в день.

+ Отбой до полуночи.

+ И наконец-то пет-проект, который третий месяц состоит из одного README.

Решение принято, на душе спокойно.

И тут понедельник, 6:00.

Продуктовые команды в e-commerce часто совершают одну и ту же ошибку – проектируют интерфейсы и логистические цепочки, опираясь исключительно на экономическую целесообразность. Однако реальное поведение пользователей диктуется факторами, лежащими далеко за пределами классических b2b-моделей. Разбор кейса маркетплейса «Здравсити.ру» за девять месяцев 2026 года показывает, что на стыке привычного ритейла и цифровых платформ ключевую роль играет изменение привычек потребления, продиктованных фактором удобства.

Одним из заметных триггеров смещения спроса в онлайн стала тяга молодой аудитории к приватности при покупке деликатных товаров. Покупка средств контрацепции или тестов на беременность у кассы офлайн-аптеки под прицелом взглядов для миллениалов и зумеров часто оборачивается психологическим дискомфортом. Выросшие в режиме «бесшовного быта» пользователи ценят автоматизацию и конфиденциальность. Вместо неловкого диалога у кассы они все чаще выбирают чат приложения, где дежурный специалист отвечает текстом, а сам заказ выдается в закрытом непрозрачном пакете.

Безусловно, это не единственная причина цифровизации покупок, но для определенной категории товаров фактор сохранения личных границ стал ключевым аргументом в пользу заказа через смартфон.

«Тренд отразился на финансовых показателях «Здравсити.ру». За три квартала 2026 года оборот маркетплейса в денежном выражении вырос на 31%, количество заказов увеличилось на 28%, а натуральное потребление в упаковках прибавило 22%. Синхронный рост метрик на фоне минимальной корректировки среднего чека – всего на 3%, составившего 1612 рублей по сравнению с 1571 рублем в аналогичном периоде прошлого года, указывает на высокую сбалансированность спроса», – отметил руководитель отдела электронной коммерции «Здравсити.ру» Александр Тюкин.

Привет, Хабр! Сегодня заглянем на онлайн-митап от MWS. Посмотрим, как в трех разных кейсах переходили на Rust.

При работе с ML перешли с Python на Rust для синтеза и распознавания речи, ускорив работу сервисов. На другом проекте перешли с Java на Rust — в итоге стало меньше инцидентов, стала быстрее выкатка фич и разгрузили железо. И изюминкой будет рассказ про использование Rust вместо C/C++ в микроконтроллерах с игрой в динозаврика из Google Chrome в реальности.

Сегодня в ИТ‑индустрии принято подолгу обсуждать требования, спорить о методологиях и жаловаться на нехватку мощностей.

Я расскажу вам о том, как решалась одна из моих задачек, чтобы вы почувствовали разницу.

1 995 год, Алматы. Вслед за крахом российского «МММ» рушится первая казахстанская финансовая пирамида — «Смагулов и К». Государство в лице Валютно‑Финансового Контроля создает специальную комиссию. Нашу команду из семи человек пригласили для решения задачи: выяснить реальные финансовые обороты вкладчиков пирамиды.

Три атаки на дата‑центры «Яндекса» за четыре дня, дефицит мощностей, растущие тарифы и корпоративные заказчики, которым приходится пересматривать инфраструктурные риски. Разбираемся, что будет с enterprise‑продажами, если сбои продолжатся, какие IT‑проекты сохранят бюджеты и почему одного хорошего SLA уже может оказаться недостаточно для победы в крупной сделке.

Представьте вполне обычную enterprise‑сделку. IT‑директор согласовал требования. Техническая команда провела испытания. Финансовый директор утвердил бюджет. Закупки выбрали поставщика. Осталось подписать договор и приступить к внедрению.

Но внезапно выясняется, что дата‑центр, в котором заказчик собирался разместить новую инфраструктуру, не может предоставить нужный объем мощностей в согласованный срок.

Сейчас ведутся оживленные дебаты насчет дальнейшего развития ИИ индустрии. Кто-то считает, что мы на всех парах летим в светлое будущее, и чуть ли не технокоммунизм. Другие считают, что ИИ нас всех поработит и уничтожит. Третьи - что ИИ уничтожит нас другим способом, похоронив экономику под пузырем ИИ. Вот насчет этих третьих подробнее - я переводил несколько статей Эда Зитрона и Уилла Локета для Хабра - это как раз пара наиболее известных финансовых ИИ-думеров (т.е. они не верят ни в какой сверхинтеллект, зато верят в надвигающийся финансовый кризис по милости ИИ).

Проблема во всех этих дискуссиях в том, что они - воздушные замки на песке, поскольку они происходят в вакууме информации о финансовом положении ключевых игроков в области. Мы не знаем, что там с прибылью и выручкой у Anthropic. Мы не знаем, на что дали инвесторы 2 миллиарда долларов Thinking Machines Lab, сколько из этих денег уже потрачено и на что. Мы не знаем вообще ничего. Но почему? А виноват Госдеп президент США, заложивший мину в 2012 году. Именно благодаря ему мы ничего толком об этих конторах и не знаем. Вакуум сведений, как это бывает в случае любой цензуры, порождает конспирологические теории в стиле "А власти скрывают". Но как так вышло, что мы ничего не знаем? И что подразумевается под фразой "Мы не знаем ничего"?

Признаюсь сразу: учёт расходов у меня умирал пять раз. Таблица в Google продержалась девять дней. Первое приложение прожило месяц, второе две недели. Потом был бот с кнопками, где на одну шаурму уходило шесть нажатий. Где‑то между «выберите категорию» и «укажите дату» шаурма заканчивалась, а вместе с ней и желание что‑то записывать.

На шестой раз получился бот, которому достаточно написать «продукты 500, колёса 2000, вчера такси 300». Он сам разложит траты по категориям, поймёт «вчера», расшифрует голосовое и прочитает фото чека. Базовый учёт бесплатный.

Если и существует место, куда искусственному интеллекту вход должен быть закрыт, то это, казалось бы, диспетчерская атомной электростанции. Атомная промышленность исторически отличается осторожностью и стремлением избегать рисков, что вполне объяснимо, учитывая возможные катастрофические последствия аварии или ошибки. Даже хорошо подготовленным руководителям непросто справляться со сложностью эксплуатации ядерного реактора. Казалось бы, это далеко не самая подходящая среда для новой мощной, но склонной к ошибкам технологии.

Однако реальность рисует совершенно неожиданную картину. Множество компаний уже начали предлагать решения на основе ИИ для атомной энергетики. В этом году практически всем 94 действующим ядерным реакторам США была предоставлена возможность внедрить искусственный интеллект в свою работу, и большинство воспользовалось этим предложением.

В августе калифорнийская компания Atomic Canyon представила NIVA (Nuclear Industry Virtual Assistant), виртуального помощника для атомной промышленности, разработанного совместно с отраслевыми организациями. Помощник прошёл пилотные испытания на атомных электростанциях, эксплуатируемых Constellation Energy, а теперь доступен всему американскому парку ядерных реакторов. (Компания Constellation отказалась давать интервью для этой статьи.) Тем временем стартап Nuclearn, разрабатывающий ИИ для атомной энергетики, сообщает, что его продукты уже используются более чем 65 партнёрами в США. Среди них множество традиционных атомных электростанций, а также компания NuScale Power Corp., занимающаяся разработкой перспективных малых ядерных реакторов. Microsoft и Nvidia совместно работают над проектом применения ИИ для оптимизации «всего жизненного цикла атомной электростанции, включая получение разрешений на размещение объекта, проектирование, строительство и непрерывную эксплуатацию».