🤖 «ИИшка галлюцинирует!» А может, дело в контексте?

Слишком мало информации — нейросеть начинает додумывать за вас. Слишком много — уже не справляется с задачей. И вот ваш проект «починили» так, что лучше бы не трогали 😅

Сережа Попов, CPO Консоль Про, объясняет, почему так происходит и как не отдавать ИИ слишком много самостоятельности.

🎥 Это фрагмент нашего недавнего интервью. Полная версия уже на YouTube!

#ИИ #Разработка #AI #Хекслет #itбаза #опытным

Telegram | YouTube | AI Клуб | VK | X

Читаем про аларм в мировой сети и разбираемся, насколько всё плохо. Спойлер: довольно плохо, да.
Для начала — масштаб бедствия: примерно 70% сайтов в мировой сети написаны на PHP. Кто сказал, что PHP устарел?

И вот в этом самом PHP нашли две серьёзные дыры, которые дают злоумышленникам возможность без логина и пароля запускать команды от имени веб-сервера и читать память чужих запросов. 
Атакующий получает контроль надо всем, до чего дотягивается веб-сервер: может управлять файлами сайта, может получить пароли и ключи, залезть в базу или оставить чёрный ход. 

Найденным дырам дали общее название PHP2Shell и персональные номера: CVE-2026-109618 и CVE-2026-109619.
По шкале опасности CVSS этим дырам присвоили 9.2 балла из десяти. В общем, всё серьёзно. После того, как об этих дырах стало известно, многие компании просто выключили свои сайты в ожидании патчей. Публично подтверждённых взломов пока нет, но ситуация меняется очень быстро, посмотрим, что будет.

Вот что важно для понимания: дыры не в сайтах, а в интерпретаторе. Никакие изменения в коде сайта не защитят от уязвимости: нужно обновлять серверный модуль PHP. 

Но и это ещё не всё. 21 октября вышли обновления PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35. Вроде бы, ура, но не для всех. 

Для PHP 7.3 и старше официальных исправлений нет и не будет. Владельцу сайта или хостеру придётся переезжать на поддерживаемую версию: ждать заплатки бессмысленно. 

Проблема в том, что сайты на старых версиях CMS не умеют работать на современных версиях PHP, и в итоге владелец сайта будет вынужден перевести свой сайт на новую версию CMS, которая совместима с пропатченными версиями PHP. 

Достанется всем.

Экскурс в историю: тикет про нехватку памяти и недочищенные временные файлы (эта проблема напрямую связана с обнаруженными уязвимостями) завели ещё в 2020-м, а в 2024-м аудит нашёл связанную проблему. Но примера рабочей атаки никто не показал — и чинить не стали. 

Рубрика «но есть и хорошие новости» будет короткая: мы справимся. Не зря же мы учим отличных DevOps-инженеров и PHP-разработчиков.

DevOps-инженер: ru.hexlet.io/link/A2KTaN 

PHP-разработчик: ru.hexlet.io/link/qhfJFe

Telegram | YouTube | AI Клуб | VK | X

#опытным #PHP #разработка #бэкенд #кибербезопасность #разбор #Хекслет

Снова в деле

Так, тут неожиданно получилось, что я буду преподавать в нашем курсе "ии для программистов". Я когда-то его стартанул и отошел от дел, а тут все таки мир немного ушел вперед и мы его перезапустили. Решили что будет лучше если я сам проведу первый поток, а потом уже передадим его нашим преподавателям.

Что поменялось? За последние полгода людей которые вообще пишут без ии почти не осталось, рассказывать о том что такое mcp, как настраивать agents.md и тому подобные вещи нужно только тем, кто учится с нуля. Действующие же разработчики хотят настроить крутой и желательно автоматизированный воркфлоу, который выдает качественный и работающий код.

Вот примерный план вебинаров:

1. Эффективность работы с агентами. Как обеспечить агентам полноценный контекст проекта, включая другие репозитории, продакшен, логи и инфраструктуру. Как адаптировать кодовую базу под ии, автоматизировать коммиты и релизы. Отдельно разберу хуки, линтеры, ast-grep и другие guardrails, которые позволяют контролировать архитектурные ограничения и не давать агентам делать что попало.

2. Spec-Driven Development (SDD). Разберу популярные SDD-фреймворки, workflow Мэтта Покока и проблему преждевременной спецификации. Отдельно поговорю про то, как все это применять в существующих проектах (brownfield), где уже есть большая кодовая база, сложившаяся архитектура и куча ограничений.

3. Качество кода. Как правильно организовать дебаг, тестирование и независимое регулярное code review. Как понять какой код действительно нужно смотреть самому, а какой можно вообще не читать. И как сделать так, чтобы качество обеспечивалось процессом, а не необходимостью вручную проверять каждую строчку за агентом.

4. Качество харнеса. Как управлять памятью и контекстом агентов, зачем иногда отключать память и когда нужно очищать окружение. Как проводить ретроспективы работы агентов, находить проблемы в инструкциях и инструментах. Отдельно расскажу про скилы для экономии токенов и способы уменьшить стоимость разработки. Также затрону эвалы, которые позволяют проверять насколько изменения в харнесе действительно улучшают работу агентов.

5. Практика построения агентного воркфлоу. Как объединить все эти подходы в единый процесс разработки, где агенты получают нужный контекст, работают с требованиями, пишут код, тестируют его и проходят независимую проверку. Разберу как связать отдельные инструменты и практики между собой, чтобы получить не набор разрозненных настроек, а работающую систему.

Ссылка на курс https://ru.hexlet.io/programs/ai-for-developers (можно оплачивать откуда угодно)

Telegram | YouTube | ИИ для разработчиков

Не 42, а просто 4.

Наш эксперт и наставник в #Хекслет Валентин Исипчук подготовил тут ответ на главный вопрос криптографии.

В сфере веб-безопасности всплыл инцидент, который звучит как плохой анекдот, но имеет вполне реальные последствия. Индийский удостоверяющий центр eMudhra выпустил ряд промежуточных TLS-сертификатов с критическим изъяном в генераторе случайных чисел.
Вместо полноценного 384-битного ключа (размером в 48 байт) автоматика УЦ сгенерировала ключи-«пустышки». В некоторых случаях закрытый ключ оказался однобайтным и равнялся примитивным значениям — например, числу 4.

Чем это грозило?

Любой желающий мог за доли секунды извлечь закрытый ключ из публичного сертификата прямо на обычном ноутбуке. В теории это позволяло генерировать валидные HTTPS-сертификаты для абсолютно любого домена в мире и проводить бесшовные Man-in-the-Middle (MitM) атаки.

Что в итоге?

* По данным Certificate Transparency, злоумышленники не успели воспользоваться брешью «в дикой природе».
* Крупнейшие вендоры оперативно заблокировали скомпрометированные сертификаты: Google — 17 октября, Apple — 19 октября, а Microsoft — 20 октября.

Что делать вам?

Просто не откладывайте обновления системы и браузеров — выкатившиеся патчи безопасности гарантированно отзывают доверие к скомпрометированной цепочке.
Подробный разбор, хронологию и инструмент для проверки вашего браузера можно найти на специальном сайте:
👉 https://emudhra.we-have-a-problem.com/

#опытным #кибербезопасность

Telegram | YouTube | AI Клуб | VK | X | Курс Хекслета AI SDLC

Как создавать приложения в формате SaaS

Методология Twelve-Factor App, разработанная Адамом Виггинсом, описывает подход к созданию приложений в формате «программного обеспечения как услуги» (software as a service, SaaS). Разберём все двенадцать факторов: как они менялись, что из них актуально сегодня и как они повлияли на практику разработки.

Читать на Хабре: https://habr.com/ru/companies/hexlet/articles/1098714/

12 ноября в Хекслете стартует новый поток курса «Системный дизайн». 👉 Программа курса и запись

Telegram | YouTube | AI Клуб | VK | X

#опытным

Лимиты токенов стремительно заканчиваются, переписка с чат-ботом дорожает с каждым сообщением, бот забывает базовые требования и начинает генерировать чушь — всё как мы любим.

Самый короткий путь к спасению — взять набор лайфхаков и педантично применять их, не разбираясь в причинах. Всё получится.
Есть путь подлиннее: применять те же лайфхаки осознанно: разобравшись, почему они работают. Этот способ надёжнее.

Начнём с первого способа: что делать, чтобы бот не тупил, а лимиты не сгорали, как фейерверки в Новый Год.

— Формулируйте точно и детально.
Не исходите из предпосылок «ну, это понятно и без объяснений» и «у бота голова большая, он сам разберётся». Нет, не «понятно» и нет, не «разберётся». Точные формулировки работают лучше намёков. 

— Перед выполнением задачи потребуйте, чтобы бот задал вопросы.
Добавьте в промпт требование: «Прежде чем выполнять — задай мне пять вопросов для уточнения задачи». Бот уточнит тон, факты, формат, а заодно покажет нюансы, которые вы не учли. 

— Не перекармливайте бота информацией.
Уберите из запроса всё, что не нужно для решения задачи: длинные предыстории, повторы, посторонние детали. Он всё равно не оценит (или оценит и отвлечётся).

— Описывайте в запросе формат и длину желаемого ответа.
Чётко опишите структуру ответа: Отформатируй ответ в виде списка, без вступлений вроде „Как хорошо, что вы спросили!“, без послесловий и повторов. Объём — не более 600 знаков с учётом пробелов». 

— Редактируйте промпты, когда это возможно.
Если чат-бот дал неточный ответ — не отправляйте новый  промпт «Исправь это»: вместо этого отредактируйте тот промпт, на который бот дал некачественный ответ. В большинстве чат-ботов есть кнопка «Редактировать промпт». Неудачный ответ удалится из истории и будет заменён новым. 

— Напоминайте боту о главном.
Время от времени дублируйте в промптах основные требования: «Опирайся только на мои данные. Не выдумывай факты».

— Проверяйте ответы чат-бота.
Всегда сверяйте результат с исходными данными, особенно цифры, имена и факты.

— Проверяйте адекватность бота.
Когда чат становится большим — периодически спрашивайте у бота, хорошо ли он помнит стартовую задачу и требования. Если он начнёт путаться в показаниях — не пытайтесь его вылечить: заводите новый чат.

— Не раздувайте чаты.
Чем длиннее чат — тем дороже обходятся запросы. Если чат стал неприлично длинным — открывайте новый. Переносите в новый чат памятку, сделанную по запросу вроде такого: «Подготовь памятку для переноса в новый чат: коротко опиши задачу, условия, исходные данные и то, что уже сделано по задаче». 
* * *

Было бы нечестно показать лайфхаки, но не рассказать о причинах.

Поэтому в статье «Почему всё так» мы постарались описать проблему понятным языком — ведь с чат-ботами работают не только программисты, но и естественники и (даже) гуманитарии.

Статья протестирована на трёх гуманитариях. Результат — 100% понимания.
В ходе экспериментов ни один гуманитарий не пострадал.

PS. Если вы отправите этот пост знакомому архивариусу, литературоведу или философу — они удивятся, но точно воспользуются лайфхаками.

Telegram | YouTube | AI Клуб | VK | X

#Хекслет #ИИ #itбаза #разбор #блогХекслет

«Нужно бежать со всех ног, чтобы только оставаться на месте, а чтобы куда-то попасть — надо бежать как минимум вдвое быстрее!»

Осталось решить, куда бежать, чтобы начать карьеру в разработке, если нет опыта.

Вечером 5 ноября, в 19:00, на бесплатном вебинаре «Как устроиться в IT в 2027» как раз и разберёмся с этим вопросом.

Посмотрим на перспективные направления, выясним требования работодателей, зарплаты и реальные возможности для новичков.

И вот что говорит спикер вебинара Валентин Исипчук:

С приходом ИИ многое изменилось, однако это не означает, что специалисты перестали быть нужны. ИИ ускорил процессы — и спрос на хорошо подготовленные кадры только вырос.

Загляните в кроличью нору. Там интересно!

Запись здесь (без-воз-мезд-но): https://ru.hexlet.io/link/lODnt6

Telegram | YouTube | AI Клуб | VK | X

#карьера #ITбаза #hexlet

Мы узнали, что у нашего ментора в Хекслет есть крутой акк с интересными видео про IT. Подписывайтесь, ему будет очень приятно ❤️

Смотрите видео от Валентина Исипчука: там будет тайна голосовых сообщений и бурундуки...

#ITбаза #hexlet

Автор «Чистого кода» Роберт Мартин aka Дядя Боб взялся за ИИ-агентов. В скилле ub-mode, который Дядя Боб на днях выложил на GitHub, всего около 750 слов. Этими словами Мартин выстраивает работу агента так, будто сам стоит рядом и смотрит на монитор строгим взглядом.

Telegram | YouTube | AI Клуб | VK | X

Строгий Роберт Мартин aka Uncle Bob решил, что дисциплины не хватает не только нам, разработчикам, но и агентам.
И теперь, в дополнение к «Чистому коду» для людей, у нас есть «Чистый код» для агентов, адаптированная версия — скилл ub-mode на 750 слов.

У Дяди Боба всё строго:
сначала структура данных, потом логика;
внешние данные проверяем на входе;
прежде чем добавить, убери лишнее;
ошибки компилятора не глуши, костыли не ставь.
Выполнил работу?
Отполируй утилитами: прогони код через Crapper, Dryer и Mutator.

Пока что непонятно, работает ли этот скилл: открытой статистики не видно. Но ведь когда-то точно так же было и с книгой Мартина.

Что есть полезного в этом скилле, где его взять, как подключить и почему вообще столько разговоров из-за очередного скилла — рассказываем на Хабре.

Telegram | YouTube | AI Клуб | VK | X

Наш эксперт поделился ссылками на интересный семинар

👆

Telegram | YouTube | AI Клуб | VK | X

☀️ Что изучить на Хекслете в ноябре

Собрали популярные программы и мероприятия!

Если выбираете направление:

📅 Бесплатный вебинар «Как устроиться в IT в 2027» — 5 ноября в 19:00 по Москве; разберем шесть перспективных направлений, требования работодателей, зарплаты и возможности для новичков.

Профессии с нуля:

🛠 Курс «DevOps-инженер с нуля» — старт 5 ноября.

🐍 Курс «Python-разработчик» — старт 5 ноября.

🐹 Курс «Go-разработчик с нуля» — старт 5 ноября; Gin, горутины, многопоточность и работа с API.

🎨 Курс «Фронтенд-разработчик» — старт 5 ноября; HTML, CSS, JavaScript и React.

🦋 Бесплатный курс «ИИ и нейросети для начинающих» — знакомимся с современными ИИ-инструментами и учимся использовать их для повседневных и рабочих задач. Можно начать в любое время.

Действующим разработчикам:

⚙️ Курс «Бэкенд на Node.js для фронтенд-разработчиков» — старт 5 ноября; Node.js, API, SQL, Docker.

🏗 Вебинар по системному дизайну — 6 ноября в 19:00; разберем подходы к проектированию архитектуры и подготовку к System Design интервью.

🧠 Курс «LLM-разработчик» — старт 11 ноября; AI-сервисы с RAG, MCP, агентами и локальными моделями.

🏗 Курс «Системный дизайн» — старт 16 ноября; проектируем высоконагруженные системы и готовимся к System Design интервью.

⚡️ Курс «AI-автоматизация» — старт 24 ноября; ИИ-агенты и автоматизация бизнес-процессов на JavaScript, n8n и LLM.

🧩 Курс «Инженерия AI-агентов для SDLC» — старт 30 ноября; надежные агенты, проверка качества и многоагентное ревью кода.

Ждем вас на программах Хекслета!
Не можете определиться с направлением? Напишите нам — поможем выбрать.

Telegram | YouTube | AI Клуб | VK | X

⚠️ В официальное расширение Claude Code для VS Code и его форков (Cursor, Windsurf, VSCodium) внедрили бэкдор

Что известно? Рассказывает наставник Хекслет Валентин Исипчук.

На Open VSX появилась троянизированная версия расширения Claude Code от Anthropic, 2.1.313. У расширения 63 млн загрузок. Open VSX используют форки VS Code, поэтому под угрозой в первую очередь их пользователи. Публикация вредоносной версии в Microsoft Marketplace не подтверждена. Версию уже удалили, вышла исправленная 2.1.314.

Что делал вредоносный код (срабатывал при запуске редактора, действий от пользователя не требовалось):
• добавлял SSH-ключ атакующего в ~/.ssh/authorized_keys;
• при необходимости включал SSH-сервер и поднимал обратный туннель на 134.209.82.225;
• закреплялся в системе (cron, LaunchAgent или автозапуск в Windows);
• отправлял на сервер атакующих имя хоста, git-email и переменные окружения со словами KEY, TOKEN, SECRET, PASS, AWS, GCP.

Что проверить, если ставили 2.1.313:
• файлы ~/.config/.smt, ~/.config/.smtk, ${TMPDIR}/.stk_*;
• ~/Library/LaunchAgents/com.apple.sysmond.plist на macOS, SysMon и sysmon.cmd на Windows;
• лишние ключи в authorized_keys;
• соединения с 134.209.82.225 по портам 22 и 8099.

Если нашли что-то из этого, удалите закрепление и чужой ключ, а все секреты из переменных окружения замените новыми.

Как это произошло, пока неизвестно. Предполагают взлом аккаунта мейнтейнера или уязвимость в процессе публикации релизов.

Подробнее

Telegram | YouTube | AI Клуб | VK | X

#опытным #разработка #claude #кибербезопасность #разбор #Хекслет

Не передавайте этот пост в Claude, пожалуйста!*

Похоже, у истории с массовыми банами в Claude появилась первая более-менее стройная теория. В китайских ИТ-сообществах NodeSeek и V2EX уже несколько месяцев собирают кейсы заблокированных аккаунтов и пытаются понять, как именно работает антифрод Anthropic.

Версия сообщества такая: у каждого аккаунта есть скрытый рейтинг доверия — что-то вроде кредитного скоринга в банках. При регистрации пользователь получает стартовый запас баллов, а дальше система постоянно пересчитывает риск-профиль на основе десятков параметров.

Если рейтинг падает ниже определённого порога, аккаунт отправляется сначала под усиленное наблюдение, а затем может быть заблокирован.

При этом сама Anthropic существование такой системы не подтверждала.

Вот несколько цитат из расследования, которое провели на форуме NodeSeek.
Важно: все цитаты принадлежат технически подкованным пользователям, а не сотрудникам Anthropic и не исследователям с формальным статусом. Пользователи проводили собственные эксперименты, анализировали и сравнивали результаты.

Один из самых цитируемых авторов на NodeSeek пишет:

«Антифрод Anthropic точно работает как многомерная система баллов и оценок. Фактор IP, о котором все переживают, на самом деле занимает очень небольшую долю».

По его словам, для системы куда важнее выглядит совокупность признаков: история аккаунта, стабильность окружения, способ подключения и используемые инструменты.

Там же встречается ещё одно наблюдение:

«У старых аккаунтов порог терпимости очень высокий».

Самым интересным выглядит расследование вокруг прокси и нестандартных схем подключения.
Автор утверждает, что специально тестировал разные варианты и пришёл к выводу:

«Стоило включить reverse proxy, и через несколько дней аккаунт неизбежно блокировали».

При этом сообщество не пришло к единому мнению. На тех же форумах есть пользователи, которые годами работают через обычные VPS и не сталкиваются с банами, а другие теряют доступ даже при аккуратном использовании.

Что же делать, дорогая редакция?
Если аккаунт вам дорог — минимизируйте любые подозрительные сигналы, на которые система безопасности может сделать стойку. Не переключайте IP без необходимости, пользуйтесь официальными клиентами и не превращать учётную запись в одноразовый расходник.

Чего не делать?
Не принимать все эти выводы за доказанный факт. Пока мы видим не утечку из Anthropic и не официальный документ, а коллективное расследование сообщества. Но если теория верна хотя бы частично, то эпоха, когда для обхода антифрода было достаточно «хорошего VPN», похоже, заканчивается.

Если вы любите фактчекинг

Разбор гипотезы о многомерном скоринге аккаунтов Claude, результаты личных тестов, наблюдения о влиянии IP, прокси и возраста аккаунта 
https://www.nodeseek.com/post-800381-1 

Обсуждение предполагаемых механизмов детекта, статистики банов и реверс-инжиниринга Claude Code
https: //www.nodeseek.com/post-982734-1 

Большая подборка кейсов банов Claude и попытка систематизировать закономерности на основе сотен публичных историй 
https://www.v2ex.com/t/1249729 

Обсуждение способов избежать бана Claude с большим количеством пользовательских кейсов и наблюдений 
https://global.v2ex.com/t/1237898 

Ветка пользователей о предполагаемой волне массовых банов и обсуждение возможных причин 
https://feedbbs.com/nodeseek/162603 

История блокировки аккаунта Claude и обсуждение возврата средств через Google Pay 
https://feedbbs.com/nodeseek/167898

*Не передавайте этот пост в Claude, пожалуйста!
Это такая шутка.
Или нет.

Telegram | YouTube | AI Клуб | VK | X

#опытным #разработка #claude #кибербезопасность #разбор #Хекслет