Kurgan-Telecom Ru | Информационные технологии

Инженер предлагает улучшения и хочет решать более сложные технические задачи? Значит, пора готовить его в начальники! Почему профессиональный рост так часто предполагает переход к управлению людьми?

При таком повышении компания рискует потерять сильного инженера и получить слабого руководителя. Человеку нравилось разбираться, почему греется подшипник или не сходится расчет, а теперь его день уходит на совещания и разбор конфликтов в команде. До инженерных задач руки доходят в лучшем случае вечером.

Прошлая статья, «Инженерный штраф: как зарабатывать, оставаясь инженером», была о деньгах. Эта – о карьере. Посмотрим, чем инженерно-технические работники (ИТР) отличаются от других профессиональных групп, что компании предлагают им для роста и как может выглядеть карьера, в которой для следующего шага не нужно обзаводиться подчиненными. А еще – как заранее заметить будущего эксперта и не потерять его.

Долгая сессия с coding-агентом даёт больше, чем код. Вы заметили баг, но сейчас нет времени им заниматься. Вам пришла идея для новой фичи. «Надо бы ещё…», с которым агент согласился. Потом сессия уезжает вверх, контекст сжимается или терминал закрывается, и идея пропадает. «Потом» не наступает, потому что его никто не помнит.

Это касается не только тех, кто пишет код. Любая долгая работа с агентом, будь то текст, аналитика или разбор чужого проекта, оставляет такой хвост из «потом», с теми же проблемами.

Я устала листать чатики назад и решила поискать более оптимальные способы сохранения идей на будущее. Идеального я не нашла, и мне интересно, чем пользуетесь вы. Так что это приглашение поделиться опытом, а не инструкция.

Перед переездом автотестов с Java на .NET мы решили разобраться, что действительно стоит переносить. Я ручной QA и для этой задачи подключил ИИ-агента: дал ему доступ к репозиториям и TestIT, задал критерии и проверял его рекомендации. За две недели мы провели аудит примерно 2600 тестов и собрали статистику по базе из 6500. Расскажу, как устроили процесс, находили дубли и выбирали приоритеты с помощью P85.

Вечером вы оставили агентам задачу, а утром перед вами готовая реализация: код, тесты, все проверки зелёные. Вы будете это релизить? Наверняка у вас сразу появилось своё «смотря что». Написание кода мы уже умеем автоматизировать, а решение о том, что считать пригодным результатом, осталось за нами.

Эта статья о предлагаемой мной новой методологии — о средовом подходе: как проектировать условия, в которых агенты создают системы, и на каком основании потом принимать их результат.

Значительную роль в развитии современных подходов к машинному обучению сыграл французский исследователь Ян Лекун. В 1989 году он и его коллеги из AT&T Bell Labs представили свёрточную нейросеть, которая распознавала рукописные цифры. Систему обучали на тысячах изображений цифр из настоящих почтовых отправлений в США. В том же году разработчики описали результаты в научной статье (doi:10.1162/neco.1989.1.4.541).

Более того, эти разработки внедрили для реального использования. В девяностых на основе этих лабораторных экспериментов создали коммерческие системы распознавания банковских чеков. В статье 1998 года исследователи отчитывались об обработке нескольких миллионов чеков ежедневно (doi:10.1109/5.726791). Как рассказывал Лекун, к концу девяностых такие системы считывали от 10 до 20 % всех чеков в США.

Достижения отмечали как наградами в отрасли, так и славой вне неё: Лекун получил премию Тьюринга за 2018 год, а в «Книге рекордов Гиннесса» за Bell Labs зафиксирован рекорд по созданию первой нейросети, способной распознавать рукописные символы. В декабре 2024 года учёный не без удовольствия выложил на личном канале YouTube восстановленную видеодемонстрацию нейросети LeNet 1 от 1989 года.

В Project Zero сравнили два конвейера, которые постоянно ищут уязвимости в V8, JavaScript-движке Chrome: фаззер Fuzzilli работает непрерывно, LLM-агент BigSleep раз в сутки просматривает новые коммиты. За апрель–сентябрь 2026 года после очистки от дубликатов и «нерабочих» репортов у BigSleep 45 исправленных уязвимостей, у Fuzzilli 37. Пересечение считали отдельно, с дополнительным поиском дубликатов через коммиты-исправления и базу Clusterfuzz: общими оказались 20 из 81 репорта, около четверти. В отдельном эксперименте агент на модели Gemini 3.6 flash получил коммиты, которые, вероятно, внесли 112 старых багов Fuzzilli, и за 25 попыток на каждый коммит заново нашёл около 62% из них. Баги, на которые фаззер тратил больше времени, агенту тоже давались хуже, а в JIT-компиляторах пересечение меньше. В переводе статьи Самуэля Гросса — методика подсчёта, проверка на запоминание обучающих данных и три разобранных бага: какие нашёл только агент и какой — только фаззер.

Разобрались в подходах к шумоподавлению и собрали несколько стендов для БОЛТУНа. Попробовали выделять свой голос через VoxLock, ускорили обработку с WASM до нативного ONNX Runtime и проверили нагрузку от нескольких пользователей. Рассказываем про замеры, неудачную калибровку и почему пока занялись более лёгкой обработкой пауз.

17 октября Mozilla заблокировала восемь промежуточных CA eMudhra: их приватные ключи были меньше 256 и восстанавливались из сертификата за микросекунды. Команда Go выпустила 1.27.3 и 1.26.10 меньше чем за семь с половиной часов, и это первый релиз по новому треку URGENT.

Разбираем хронологию из поста Go Security и дополняем её: восстанавливаем слабый ECDSA-ключ на Go, объясняем, почему из-за кросс-подписей не помогает удалить корень, собираем deny-list по SPKI через VerifyConnection и разбираемся, что не так с отзывом сертификатов в Linux.

Конфликты при слиянии веток в Git часто обнаруживаются в самый неподходящий момент — когда изменения уже готовы к интеграции. Но что, если результат merge можно проверить заранее, не затрагивая рабочую директорию и текущую ветку? Разбираемся, как с помощью git merge-tree увидеть потенциальные конфликты ещё до слияния и что для этого умеет сам Git.

Как построить конвейер обезличенных синтетических данных и убедиться, что они не врут? Собрал полезную статью для руководителей разработки и QA, продакт-менеджеров и всех, кто работает с тестовым контуром.

Я уже более 10 лет работаю с тестовыми средами, и раньше делал ошибку: выгружал из прода 200 000 строк, менял фамилии на обезличенные шаблоны, и считал, что все окей. А затем как-то заметил, что в выгрузке остались номера договоров. Мне повезло, что именно я нашел их первым, особенно учитывая всё более суровую регуляторку. С тех пор я отношусь к тестовым данным также серьезно, как к проду.

Как известно, язык — одна из главных основ национального самоопределения.

Языковая карта мира медленно, но меняется. Наречия дробятся на диалекты, а диалекты со временем становятся самостоятельными. Вступая в контакт, языки сближаются — или, наоборот, вытесняют друг друга. А иные исчезают полностью, когда говорить на них становится некому.

Сейчас сложные операции с данными доступны даже ребёнку. Возникает вопрос: можно ли, используя знания о языках, в разное время наполнявших Землю, об их родстве между собой, дать волю фантазии и наглядно визуализировать заглавный тезис статьи? Суть упражнения заключается в том, чтобы представить, какими могли бы быть границы современных государств в вымышленном сценарии, в котором время замерло, все определяется языком, а прочие факторы государственности отошли на второй план.

В этой статье я попробую решить поставленную задачу с помощью умной карты.

Отдельная линия этой истории: я делал всё это в паре с Claude Code. И где-то к середине проекта поймал себя на забавной мысли — Claude Code, по сути, собирал своего же младшего брата: маленького Claude, который теперь живёт внутри колонки и откликается на «Клод». Старший пишет код, отлаживает, диагностирует — чтобы младший поселился в железке и заговорил. Дальше эта мысль меня уже не отпускала.

Три часа ночи, API отвечает 500, и рука сама набирает systemctl restart. Иногда это помогает, но есть инциденты, где рестарт добивает то, что ещё работало, и стирает улики. Пять таких: битый конфиг, OOM killer, retry storm, CrashLoopBackOff и диск, забитый логом, — с командами, которые находят настоящую причину, и шпаргалкой на одну таблицу.

Пароль от тестовой базы лежит в .env, токен внешнего API — в переменных CI, доступ к production передают через корпоративный менеджер паролей. Новый разработчик собирает конфигурацию по нескольким источникам, а после смены пароля кто-нибудь обязательно запускает приложение со старым значением.

Пока сервисов и сотрудников немного, с этим можно жить. С ростом команды появляются вопросы: кто имеет доступ к секретам, где находятся их копии, как обновить credentials у всех потребителей и что произойдёт после отзыва доступа?

В этой статье разберём, как устроено централизованное хранение секретов, сравним восемь инструментов и посмотрим, что стоит проверить до внедрения. Основной практический сценарий — Java/Spring Boot, Gradle.

Агент на пентесте сам решил перезапустить базу данных, потому что она ему мешала. Он рассчитывал, что сервис поднимется, результат не проверил и пошёл дальше. База не поднялась. Это был мой стенд и моя база, поэтому история закончилась смешно. Александр Кельчин, CTO и CISO Medici Lab, ронял агентами демостенды заказчиков, причём по договорённости.

В предыдущей серии: Краткое содержание части 1 и 2.

• Часть 1. «Прайс из Китая»

История о том, как в ИТ-отделе крупной компании "ИнвестБолт", которая знает цену специфики ВЭД с Китаем, наступило начало прекрасного дня: сеньор Михалыч флегматично чистил воблу, тимлид Антон Павлович пил кофе, а амбициозный 22-летний джуниор Данила (самопровозглашенный «Промпт-Архитектор») радовался жизни. Это был его первый официальный рабочий день после долгих месяцев штурма Хедхантера, и Данила чувствовал себя баловнем судьбы. Он искренне верил, что ИИ уже заменил сеньоров, ведь нейросеть по его первому запросу сгенерировала синтаксически идеальный код для управляемых форм, решил загрузить «быстренько и красивенько» китайский прайс на 300 000 строк из Гуанчжоу. Доверившись ИИ, он скормил файл платформе через ТабличныйДокумент.Прочитать(). Итог: Данила уронил рабочий сервер в разгар закрытия квартала у бухгалтерии.

• Часть 2. «Визит Анастасии Марковны»

Решив, что один поток — это прошлый век, Данила выбил из нейросети новый «универсальный рецепт» и бахнул многопоточность через ФоновыеЗадания.Выполнить(). Одно нажатие кнопки — и сервер 1С породил неуправляемую лавину фоновых процессов. Михалычу пришлось вручную вычислять сеанс «Пациента Зеро» в консоли администрирования и спасти базу, чтобы сменить гнев на милость главбуха Анастасии Марковны.

Часть 3. Скидка трейдеров Гуанчжоу.

Действующие лица:

• Сеньор (Михалыч) — излучает абсолютное спокойствие.

• Джуниор (Данила) — смотрит на Михалыча как на средневекового инквизитора.

Как WAF отличает ваш скрипт на Python от реального Chrome, если заголовки полностью идентичны? Ответ зашит в сетевом стеке. Поддерживаемые шифры и порядок расширений TLS формируют уникальный отпечаток, который невозможно скрыть обычной подменой прокси.

Пошагово разбираем анатомию TLS-handshake, алгоритмы деанонимизации JA3/JA4 и учимся собирать правильный цифровой почерк с помощью uTLS.

Каждую неделю на GitHub появляется очередной «AI-powered pentesting agent», обещающий автоматизировать всё — от разведки до эксплуатации. Заявления впечатляют: «3600x ускорение по сравнению с человеком», «90% на бенчмарках», «охотник за zero-day уязвимостями».

Я собрал 12 инструментов — популярные AI-агенты для пентеста, проверенные классические DAST-сканеры и гибридную связку AI + DAST — и натравил их на одно и то же уязвимое приложение чтобы выяснить так ли они эффективны на самом деле. Одинаковые условия, режим «чёрного ящика», никаких подсказок.

Результат? Одна цифра скажет больше любого маркетинга. Но обо всём по порядку.

Мои хобби-проекты - небольшие расширения для Хрома и сайты-микросервисы. Одно из расширений, PDF to PNG, внезапно забралось на первое место в поиске Chrome Web Store по запросу “pdf to png” (ну, почти всегда), и им пользуются аж под 500 человек - это потрясающе!

Раз PDF в картинки получилось, немедленно загорелось сделать и наоборот - картинки -> PDF, только ещё круче: чтоб работало через правый клик по картинке на любой странице, чтоб была лёгкая(!) возможность настроек - и чтоб всё прям локально в браузере и картинки при этом никуда не загружались!

Вы когда-нибудь читали такое сообщение от кодинг-агента? Мне не приходилось, а жаль.

Каждый раз, когда я довожу код, сгенерированный AI по моему ТЗ, я прогоняю его через ревью несколькими агентами с разными ролями и точками зрения — что-то вроде взгляда нескольких людей с разным опытом. И почти всегда получаю пачку разнокалиберных замечаний, от мелких до критических. Казалось бы, что сложного: открой новую сессию, скорми ей замечания, дай исправить, прогони ревью снова.

У этой замечательной стратегии, однако, есть одно слабое место: а мы уверены, что такой процесс сходится?