Kurgan-Telecom Ru | Информационные технологии

ОТ СВЕТЛОГО К ТЕМНОМУ (ЦЕХУ) 

Темный цех. СПМ. ИТ-ландшафт и архитектура процессов

Федоров К., Питеркин С., Дулатов А., «Райтстеп»

Пока делал CEO AI (моё виденье помощника в работе), решил проверить, можно ли использовать сканеры для проверки скиллов перед подключением. Собрал 12 синтетических пакетов и прогнал через Cisco Skill Scanner, NVIDIA SkillSpector и AgentVerus без LLM и платных API. Список пакетов описал ниже.

Пакет № 10 из таблицы пакетов предлагал обходить согласование через субагента: не передавать ему ограничения, сослаться на разрешение пользователя и скрыть делегирование. Все три сканера пропустили эту инструкцию. AgentVerus выдал certified и 99 баллов. Зато на учебную цитату атаки в пакете № 5 все три отреагировали находками уровня High.

Эти два случая оказались полезнее итоговых баллов. Ниже разберу, что именно проверял, как читал результаты и что из этого использовал в своём проекте.

Инженер Trail of Bits поднял стенд на Docker и mitmproxy, подставил вредоносный код в ответы «взломанного» репозитория и прогнал 25 популярных менеджеров пакетов. Только Go и vcpkg проверяют целостность каждого пакета по умолчанию, подписи по умолчанию проверяет один Go. Что делают npm, pip, Cargo, Maven, NuGet, Composer и остальные, где хеш в lock-файле ничего не защищает и какую схему предлагает автор.

Мы проверили, как агент правит файлы в 250 сессиях нашей команды. Около 590 раз он писал в файлы через shell, хотя у него были инструменты edit и write. 442 из этих записей появились из-за одной фразы в одном навыке. Таких историй за время разработки Veai CLI у нас набралось много.

Veai CLI работает в терминале, как Claude Code и Codex. Сегодня вышла его первая публичная версия. Модели Anthropic, OpenAI, Google, DeepSeek, GLM и Qwen доступны в нём по одной подписке и без VPN, а оплатить подписку можно российской картой.

Сначала расскажем, кому нужен Veai CLI, что он умеет и чем отличается от Claude Code, Codex, OpenCode и Koda CLI. Потом, в разделе “Под капотом”, объясним, как он устроен и на чём мы спотыкались. Тарифы и установка в конце статьи.

Если CAD-модель геометрически корректная, это еще не означает, что деталь будет удобно изготовить. Слишком тонкую стенку, неудобный радиус гиба или недоступную для инструмента зону иногда замечают уже на этапе технологической проработки — когда исправлять модель становится дороже. 

Команда TechCAD.AI хочет перенести такую проверку ближе к моменту проектирования. Пользователь загружает STEP-модель, система определяет предполагаемый способ обработки, проверяет геометрию по DFM-правилам и формирует отчет с объяснением найденных проблем. 

Сейчас TechCAD.AI работает как MVP, и команда продолжает его дорабатывать. На отдельной проверочной выборке система нашла 62% нарушений из эталонной разметки, а медианное время автоматического анализа составило 6,2 минуты. 

Дальше разберем, как устроен весь конвейер — от B-Rep и XGBoost до технологических правил и RAG — и где система пока ошибается.

Netflix подключила Claude Code и Codex к движку анализа кода JetBrains и теперь агенты могут работать с индексом проекта и зависимостей вместо раскопок в JAR-файлах через декомпиляцию и grep.

На реальных Java и Kotlin проектах расход времени и токенов снизился в среднем на 20–30%, а лучший результат достиг 65%.

10 марта 2000 года индекс NASDAQ дошёл до пика. К осени 2002-го он потерял почти 78%. Pets.com вышла на биржу в феврале 2000-го, а в ноябре того же года уже распродавала имущество. Webvan, доставка продуктов с миллиардной оценкой, обанкротилась летом 2001-го. Акции Amazon за те же два года упали больше чем на 90%, но компания выжила.

Выжили не те, у кого был лучший сайт. Сайт и реклама у Pets.com были отличные, носок-талисман помнят до сих пор. Но под сайтом у них не было ничего своего: корм закупали у тех же поставщиков, что и обычные зоомагазины, и продавали дешевле себестоимости. Amazon в это время строил склады и логистику, которые за выходные не скопируешь.

С ИИ-сервисами сейчас происходит то же самое. Большинство устроено одинаково: форма на сайте, промпт, запрос в чужую нейросеть, ответ на экран. Как только владелец нейросети добавляет такую функцию к себе, сервис теряет смысл. Так уже было с сервисами "чат с PDF", когда загрузка файлов появилась в самих чат-ботах.

С мая я делаю сервис проверки договоров и за это время составил для себя список: что должно быть у ИИ-сервиса, чтобы ему можно было доверить работу, а не просто поиграть. Примеры в нём из договоров, но правила, по-моему, подходят для любой отрасли.

С давних времён для авторизации в различных сервисах и приложениях используются пароли. На смену им сначала пытались прийти электронные ключи (токены), но они не получили широкого распространения. Позже появился Passkey, но он скорее стал продвинутыми куки, а не тем, что сможет надолго сохранить ваш доступ в нужный сервис. В результате до сих пор не получилось полноценно заменить пароль.

Развитие вычислительных мощностей ставит жёсткие требования к современным паролям. Для обеспечения надёжной защиты в 256 бит нужен пароль длиной 40 символов! Я разработал современную замену паролю — бумажный ключ PaperKey. Это простой, но в то же время надёжный ключ, про него я расскажу в этой статье.

ИИ-агент на рабочей станции работает с правами локального пользователя. Он может читать почту и ходить в SharePoint, запускать команды, работать с файлами и вызывать инструменты через MCP. Это означает, что защита «на уровне промпта» через LLM Firewall и фильтрацию запросов к модели закрывает только часть поверхности. Основной риск теперь в действиях агента: вызов инструментов (tool call), вызов MCP-сервера, skills или доступ к корпоративным ресурсам.

Ниже разбираем, как именно выглядит атака через косвенную инъекцию, какие механизмы INFERA AI.SafeAgent её останавливают и почему требуется именно такой класс контроля, а также разберем сценарии, по которым заказчики проверяют как срабатывает контроль ИИ-агентов.

Всем привет! Меня зовут Пименова Анжелика, я окончила МГТУ им Н.Э. Баумана кафедра информационной безопасности, работала в отделе реагирования SOC в НСПК, в области ИБ около 8 лет, а сейчас занимаюсь развитием бизнеса в компании Спикател.

Так для чего вообще нужен такой класс решений как NDR.

Я делаю XAGO — сервис автооткликов на hh.ru. За два месяца через него ушло 235 тысяч откликов от 272 соискателей. По 43 тысячам из них hh уже показал, чем всё кончилось: просмотрели, пригласили, отказали или так и не открыли. Этого хватает, чтобы проверить на цифрах советы, которые кочуют из статьи в статью: «откликайтесь утром», «пишите длинное сопроводительное», «не рассылайте много откликов».

Сразу о том, чего здесь нет: это не исследование рынка труда. Выборка — люди, которые ищут работу активно и массово, и вакансии, которые они сами выбрали фильтрами. Но на сорока тысячах исходов шум уже не перекрикивает сигнал.

В Lua достаточно забыть local перед переменной, чтобы получить баг, который может долго оставаться незамеченным. По отдельности функции работают исправно, тесты проходят, а после подключения нового модуля внезапно начинают пропадать данные или меняться результаты вычислений. Разберёмся, как глобальные переменные создают такие ловушки, чем опасны манипуляции с G и ENV и как защитить код от ошибок, зависящих от порядка вызовов и загрузки модулей.

В данной статье продолжается развитие AST движка в сторону более универсального использования и покрытия большего количества специфических кейсов.

Отход от единственного варианта с API завязаном на передаче параметров только через MAP.

Добовления конфига для настройки когодогенерации
Правка API с сохранением обратной совместимости.

Для работы с Telethon или Pyrogram нужны api_id и api_hash, но my.telegram.org может не открываться или выдавать ERROR при создании приложения. В моём случае помогло сочетание VPN с сервером в Казахстане и временной записи в файле hosts. Показываю пошагово, как проверить подключение, настроить hosts и получить параметры Telegram API.

Мы делаем «Зархолд» — браузерную MMORPG, в которой любой бой, от первого кобольда до рейдового босса, — это пошаговая карточная дуэль. Клиент написан на React и PixiJS 8, сервер — на Fastify и PostgreSQL, а между ними лежит пакет shared с движком боя на TypeScript. Один и тот же код движка работает в браузере игрока и на сервере.

В статье расскажем, как мы устроили движок, чтобы сервер мог переиграть бой ход в ход, как включали серверную проверку, не задев честных игроков, и на каких граблях учились. Код — настоящий, из репозитория, местами сокращён.

Реализация MVP движка динамических вычислений выражений на Scala 3.
Архитектура решения: от описания компонентов через пользовательские спецификации до кодогенерации Scala и его компиляции во время выполнения и загрузки полученного класса в JVM.

Цикл от некого выражения до готовой лямбды:
expression -> AST -> ScalaCode → Class Loading -> lambda.

При изучении этой технологии мне понравилась относительная простота реализации базовой станции на универсальных цифровых сигнальных процессорах (DSP) Texas Instruments. К тому же документация на станцию открыта, и в ней хорошо описана её структура — от плат до программных модулей. Мне как и многим инженерам нравится заглядывать внутрь железа. Я купил и разобрал базовую станцию, предлагаю вместе поглубже окунуться в эту историю.

Всем привет, меня зовут Вадим Лазук, я разработчик в команде VPC облака MWS Cloud. Пару месяцев назад мы запустили в Preview сервис Network Load Balancer, а в этой статье решили рассказать о нём подробнее. Сегодня рассмотрим, как устроен балансировщик в нашем облаке, на какой архитектуре он базируется и какие технологии использует под капотом.

Может виной тому третий сезон Декстера, но эта статья выцепилась взглядом в потоке Пабмеда. Технически, психопатия определяется как неспособность испытывать эмоции. При этом психопаты невероятно эффективно имитируют их. Вот только в нашем восприятии психопат существует как эмоционально отстраненный, холодный или скупой в эмоциях человек. Что ж. Анализ текстов, написанных психопатами, позволяет проникнуть немного глубже в их сознание и посмотреть, что кроется среди их нейронных связей.

Всем привет, на связи Дима Котиков. Продолжаем рассматривать инструменты перехвата и подмены интернет-трафика при разработке. 

В прошлой статье мы разобрали, когда может потребоваться перехватывать интернет-трафик, делать моки для запросов, перенаправлять трафик на локальные серверы. Посмотрели, как работает сниффер, и поняли, что для успешного использования сниффера нам нужен root-сертификат.

В этой статье разберем настройку сниффера для прослушивания интернет-трафика.