🤖 «ИИшка галлюцинирует!» А может, дело в контексте?

Слишком мало информации — нейросеть начинает додумывать за вас. Слишком много — уже не справляется с задачей. И вот ваш проект «починили» так, что лучше бы не трогали 😅

Сережа Попов, CPO Консоль Про, объясняет, почему так происходит и как не отдавать ИИ слишком много самостоятельности.

🎥 Это фрагмент нашего недавнего интервью. Полная версия уже на YouTube!

#ИИ #Разработка #AI #Хекслет #itбаза #опытным

Telegram | YouTube | AI Клуб | VK | X

Читаем про аларм в мировой сети и разбираемся, насколько всё плохо. Спойлер: довольно плохо, да.
Для начала — масштаб бедствия: примерно 70% сайтов в мировой сети написаны на PHP. Кто сказал, что PHP устарел?

И вот в этом самом PHP нашли две серьёзные дыры, которые дают злоумышленникам возможность без логина и пароля запускать команды от имени веб-сервера и читать память чужих запросов. 
Атакующий получает контроль надо всем, до чего дотягивается веб-сервер: может управлять файлами сайта, может получить пароли и ключи, залезть в базу или оставить чёрный ход. 

Найденным дырам дали общее название PHP2Shell и персональные номера: CVE-2026-109618 и CVE-2026-109619.
По шкале опасности CVSS этим дырам присвоили 9.2 балла из десяти. В общем, всё серьёзно. После того, как об этих дырах стало известно, многие компании просто выключили свои сайты в ожидании патчей. Публично подтверждённых взломов пока нет, но ситуация меняется очень быстро, посмотрим, что будет.

Вот что важно для понимания: дыры не в сайтах, а в интерпретаторе. Никакие изменения в коде сайта не защитят от уязвимости: нужно обновлять серверный модуль PHP. 

Но и это ещё не всё. 21 октября вышли обновления PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35. Вроде бы, ура, но не для всех. 

Для PHP 7.3 и старше официальных исправлений нет и не будет. Владельцу сайта или хостеру придётся переезжать на поддерживаемую версию: ждать заплатки бессмысленно. 

Проблема в том, что сайты на старых версиях CMS не умеют работать на современных версиях PHP, и в итоге владелец сайта будет вынужден перевести свой сайт на новую версию CMS, которая совместима с пропатченными версиями PHP. 

Достанется всем.

Экскурс в историю: тикет про нехватку памяти и недочищенные временные файлы (эта проблема напрямую связана с обнаруженными уязвимостями) завели ещё в 2020-м, а в 2024-м аудит нашёл связанную проблему. Но примера рабочей атаки никто не показал — и чинить не стали. 

Рубрика «но есть и хорошие новости» будет короткая: мы справимся. Не зря же мы учим отличных DevOps-инженеров и PHP-разработчиков.

DevOps-инженер: ru.hexlet.io/link/A2KTaN 

PHP-разработчик: ru.hexlet.io/link/qhfJFe

Telegram | YouTube | AI Клуб | VK | X

#опытным #PHP #разработка #бэкенд #кибербезопасность #разбор #Хекслет

Снова в деле

Так, тут неожиданно получилось, что я буду преподавать в нашем курсе "ии для программистов". Я когда-то его стартанул и отошел от дел, а тут все таки мир немного ушел вперед и мы его перезапустили. Решили что будет лучше если я сам проведу первый поток, а потом уже передадим его нашим преподавателям.

Что поменялось? За последние полгода людей которые вообще пишут без ии почти не осталось, рассказывать о том что такое mcp, как настраивать agents.md и тому подобные вещи нужно только тем, кто учится с нуля. Действующие же разработчики хотят настроить крутой и желательно автоматизированный воркфлоу, который выдает качественный и работающий код.

Вот примерный план вебинаров:

1. Эффективность работы с агентами. Как обеспечить агентам полноценный контекст проекта, включая другие репозитории, продакшен, логи и инфраструктуру. Как адаптировать кодовую базу под ии, автоматизировать коммиты и релизы. Отдельно разберу хуки, линтеры, ast-grep и другие guardrails, которые позволяют контролировать архитектурные ограничения и не давать агентам делать что попало.

2. Spec-Driven Development (SDD). Разберу популярные SDD-фреймворки, workflow Мэтта Покока и проблему преждевременной спецификации. Отдельно поговорю про то, как все это применять в существующих проектах (brownfield), где уже есть большая кодовая база, сложившаяся архитектура и куча ограничений.

3. Качество кода. Как правильно организовать дебаг, тестирование и независимое регулярное code review. Как понять какой код действительно нужно смотреть самому, а какой можно вообще не читать. И как сделать так, чтобы качество обеспечивалось процессом, а не необходимостью вручную проверять каждую строчку за агентом.

4. Качество харнеса. Как управлять памятью и контекстом агентов, зачем иногда отключать память и когда нужно очищать окружение. Как проводить ретроспективы работы агентов, находить проблемы в инструкциях и инструментах. Отдельно расскажу про скилы для экономии токенов и способы уменьшить стоимость разработки. Также затрону эвалы, которые позволяют проверять насколько изменения в харнесе действительно улучшают работу агентов.

5. Практика построения агентного воркфлоу. Как объединить все эти подходы в единый процесс разработки, где агенты получают нужный контекст, работают с требованиями, пишут код, тестируют его и проходят независимую проверку. Разберу как связать отдельные инструменты и практики между собой, чтобы получить не набор разрозненных настроек, а работающую систему.

Ссылка на курс https://ru.hexlet.io/programs/ai-for-developers (можно оплачивать откуда угодно)

Telegram | YouTube | ИИ для разработчиков

Не 42, а просто 4.

Наш эксперт и наставник в #Хекслет Валентин Исипчук подготовил тут ответ на главный вопрос криптографии.

В сфере веб-безопасности всплыл инцидент, который звучит как плохой анекдот, но имеет вполне реальные последствия. Индийский удостоверяющий центр eMudhra выпустил ряд промежуточных TLS-сертификатов с критическим изъяном в генераторе случайных чисел.
Вместо полноценного 384-битного ключа (размером в 48 байт) автоматика УЦ сгенерировала ключи-«пустышки». В некоторых случаях закрытый ключ оказался однобайтным и равнялся примитивным значениям — например, числу 4.

Чем это грозило?

Любой желающий мог за доли секунды извлечь закрытый ключ из публичного сертификата прямо на обычном ноутбуке. В теории это позволяло генерировать валидные HTTPS-сертификаты для абсолютно любого домена в мире и проводить бесшовные Man-in-the-Middle (MitM) атаки.

Что в итоге?

* По данным Certificate Transparency, злоумышленники не успели воспользоваться брешью «в дикой природе».
* Крупнейшие вендоры оперативно заблокировали скомпрометированные сертификаты: Google — 17 октября, Apple — 19 октября, а Microsoft — 20 октября.

Что делать вам?

Просто не откладывайте обновления системы и браузеров — выкатившиеся патчи безопасности гарантированно отзывают доверие к скомпрометированной цепочке.
Подробный разбор, хронологию и инструмент для проверки вашего браузера можно найти на специальном сайте:
👉 https://emudhra.we-have-a-problem.com/

#опытным #кибербезопасность

Telegram | YouTube | AI Клуб | VK | X | Курс Хекслета AI SDLC

Как создавать приложения в формате SaaS

Методология Twelve-Factor App, разработанная Адамом Виггинсом, описывает подход к созданию приложений в формате «программного обеспечения как услуги» (software as a service, SaaS). Разберём все двенадцать факторов: как они менялись, что из них актуально сегодня и как они повлияли на практику разработки.

Читать на Хабре: https://habr.com/ru/companies/hexlet/articles/1098714/

12 ноября в Хекслете стартует новый поток курса «Системный дизайн». 👉 Программа курса и запись

Telegram | YouTube | AI Клуб | VK | X

#опытным

Лимиты токенов стремительно заканчиваются, переписка с чат-ботом дорожает с каждым сообщением, бот забывает базовые требования и начинает генерировать чушь — всё как мы любим.

Самый короткий путь к спасению — взять набор лайфхаков и педантично применять их, не разбираясь в причинах. Всё получится.
Есть путь подлиннее: применять те же лайфхаки осознанно: разобравшись, почему они работают. Этот способ надёжнее.

Начнём с первого способа: что делать, чтобы бот не тупил, а лимиты не сгорали, как фейерверки в Новый Год.

— Формулируйте точно и детально.
Не исходите из предпосылок «ну, это понятно и без объяснений» и «у бота голова большая, он сам разберётся». Нет, не «понятно» и нет, не «разберётся». Точные формулировки работают лучше намёков. 

— Перед выполнением задачи потребуйте, чтобы бот задал вопросы.
Добавьте в промпт требование: «Прежде чем выполнять — задай мне пять вопросов для уточнения задачи». Бот уточнит тон, факты, формат, а заодно покажет нюансы, которые вы не учли. 

— Не перекармливайте бота информацией.
Уберите из запроса всё, что не нужно для решения задачи: длинные предыстории, повторы, посторонние детали. Он всё равно не оценит (или оценит и отвлечётся).

— Описывайте в запросе формат и длину желаемого ответа.
Чётко опишите структуру ответа: Отформатируй ответ в виде списка, без вступлений вроде „Как хорошо, что вы спросили!“, без послесловий и повторов. Объём — не более 600 знаков с учётом пробелов». 

— Редактируйте промпты, когда это возможно.
Если чат-бот дал неточный ответ — не отправляйте новый  промпт «Исправь это»: вместо этого отредактируйте тот промпт, на который бот дал некачественный ответ. В большинстве чат-ботов есть кнопка «Редактировать промпт». Неудачный ответ удалится из истории и будет заменён новым. 

— Напоминайте боту о главном.
Время от времени дублируйте в промптах основные требования: «Опирайся только на мои данные. Не выдумывай факты».

— Проверяйте ответы чат-бота.
Всегда сверяйте результат с исходными данными, особенно цифры, имена и факты.

— Проверяйте адекватность бота.
Когда чат становится большим — периодически спрашивайте у бота, хорошо ли он помнит стартовую задачу и требования. Если он начнёт путаться в показаниях — не пытайтесь его вылечить: заводите новый чат.

— Не раздувайте чаты.
Чем длиннее чат — тем дороже обходятся запросы. Если чат стал неприлично длинным — открывайте новый. Переносите в новый чат памятку, сделанную по запросу вроде такого: «Подготовь памятку для переноса в новый чат: коротко опиши задачу, условия, исходные данные и то, что уже сделано по задаче». 
* * *

Было бы нечестно показать лайфхаки, но не рассказать о причинах.

Поэтому в статье «Почему всё так» мы постарались описать проблему понятным языком — ведь с чат-ботами работают не только программисты, но и естественники и (даже) гуманитарии.

Статья протестирована на трёх гуманитариях. Результат — 100% понимания.
В ходе экспериментов ни один гуманитарий не пострадал.

PS. Если вы отправите этот пост знакомому архивариусу, литературоведу или философу — они удивятся, но точно воспользуются лайфхаками.

Telegram | YouTube | AI Клуб | VK | X

#Хекслет #ИИ #itбаза #разбор #блогХекслет

«Нужно бежать со всех ног, чтобы только оставаться на месте, а чтобы куда-то попасть — надо бежать как минимум вдвое быстрее!»

Осталось решить, куда бежать, чтобы начать карьеру в разработке, если нет опыта.

Вечером 5 ноября, в 19:00, на бесплатном вебинаре «Как устроиться в IT в 2027» как раз и разберёмся с этим вопросом.

Посмотрим на перспективные направления, выясним требования работодателей, зарплаты и реальные возможности для новичков.

И вот что говорит спикер вебинара Валентин Исипчук:

С приходом ИИ многое изменилось, однако это не означает, что специалисты перестали быть нужны. ИИ ускорил процессы — и спрос на хорошо подготовленные кадры только вырос.

Загляните в кроличью нору. Там интересно!

Запись здесь (без-воз-мезд-но): https://ru.hexlet.io/link/lODnt6

Telegram | YouTube | AI Клуб | VK | X

#карьера #ITбаза #hexlet

Мы узнали, что у нашего ментора в Хекслет есть крутой акк с интересными видео про IT. Подписывайтесь, ему будет очень приятно ❤️

Смотрите видео от Валентина Исипчука: там будет тайна голосовых сообщений и бурундуки...

#ITбаза #hexlet