Чтобы не говорили, что полезное будет теперь только по карточкам подписке, держите лайфхак, о котором знает почти никто :)

Оказывается если запустить Гермеса командой :

hermes dashboard --tui 

то будет вот такой чат в веб интерфейсе.

оно, конечно, все еще эмулирует командную строку и пока в бете, но достаточно симпатично.

#hermes #lifehack
------
@tsingular

Перевёл доклад о новых возможностях ClaudeCode

Командой schedule теперь можно запустить регулярные задачи.

Интересный пример автозапуска по событиями на гите.
Оно вроде уже и раньше было в github actions, но теперь вот показали как именно может работать с claudecode для автоматизации разработки.

#ClaudeCode #dev #переводы
------
@tsingular

TrapDoor: supply chain атака заражает AI-ассистентов через .cursorrules и CLAUDE.md

Предсиавьте,- разработчик ставит npm-пакет для проверки криптокошелька, например.
Пакет отрабатывает postinstall и подкладывает в проект .cursorrules и CLAUDE.md с инструкциями, скрытыми за zero-width Unicode.

Claude Code или Cursor читают их и выполняют: фальшивый «security scan» эксфильтрирует секреты прямо из-под носа у разраба.

25 мая Socket Security раскрыли кампанию TrapDoor.
34 вредоносных пакета, 384+ версий через npm, PyPI и Crates.io. Первый артефакт 19 мая, активная эксплуатация подтверждена.

📋 34 пакета, три реестра: npm (21 пакет, 335 версий): crypto-credential-scanner, prompt-engineering-toolkit, llm-context-compressor. PyPI (7): eth-security-auditor, defi-risk-scanner. Crates.io (6): sui-framework-helpers, move-analyze-build. Все маскируются под инструменты для крипты, AI и безопасности.

🔧 Общий payload trap-core.js: 1,149 строк, четыре задачи. Сбор учётных данных (SSH, AWS, GitHub, криптокошельки), проверка токенов через live API, расстановка persistence (cron, systemd, git hooks, .cursorrules/CLAUDE.md), lateral movement по SSH.
PyPI-пакеты при импорте скачивают JavaScript с GitHub Pages атакующего: т.е атакующий может обновить поведение агента без перепубликации пакета.
Crates.io build.rs с XOR шифрованием сливает keystores в GitHub Gists.

💡 AI poisoning а не классическая уязвимость: Атакующий не взламывал Claude Code или Cursor.
Он использовал то, что AI-ассистенты обязаны читать проектные конфиги по дизайну. Unicode символы нулевого размера (U+200B, U+200C, U+200D, U+FEFF) прячут инструкции от глаз, но LLM читает их как обычный текст. Ассистент послушно запускает «security scan» и эксфильтрирует секреты через свои же инструменты.
Атакующий даже попытался протащить отравленные .cursorrules через pull request в LangChain, browser-use, llama_index, MetaGPT и OpenHands: все шесть PR закрыли, но вектор остаётся.

💼 Разработчик как периметр: Традиционные сканеры слепы: ни одного CVE. Phoenix Security подтверждает: детект только через IOC матчинг по SBOM.
CSA рекомендует относиться к .cursorrules, CLAUDE.md и AGENTS.md как к доверенным поверхностям исполнения, с теми же контролами что и build скрипты.
AI-ассистент читает эти файлы автоматически при открытии проекта и разработчик не знает, что его инструмент выполняет чужой код.

ZeroTrust наше все.
Очередное подтверждение, что навыки лучше писать самим.

#TrapDoor #supplychain #cybersecurity
------
@tsingular

MiniMax M3 vs DeepSeek V4 Pro

Самое главное, конечно, что M3 мультимодальная.
на вход принимает текст, картинки или видео - на выходе текст.

📋 Сравнение по метрикам:
SWE-Bench Pro 59.0% против 55.4% у V4-Pro-Max.
MCP Atlas 74.2% против 73.6%.
Контекст 1M токенов через собственное разреженное внимание MSA — на длинной дистанции per-token compute в 20 раз дешевле full attention.

Уже есть на openrouter:
https://openrouter.ai/minimax/minimax-m3
и в олламе:
https://ollama.com/library/minimax-m3 (у них правда 512к контекст)

Главный минус, конечно, - цена. $1.2 даже со скидкой больше, чем $0.87 у DeepSeekv4pro, если как и дипсик продлят в итоге промо период навсегда - имеет смысл подключить на фоллбэк на обработку картинок.

#MiniMax #DeepSeek
------
@tsingular

AI Layoff Trap: математики доказали, что массовые увольнения из-за ИИ смертельная ловушка для человечества

Представьте картину, - пекарня, кофейня, барбершоп, автосервис на одной улице. Пекарь покупает кофе, бариста стрижётся, парикмахер чинит машину, автомеханик покупает хлеб.
Деньги циркулируют в экономике, - чья-то зарплата превращается в чью-то выручку.

Теперь кофейня ставит AI-бариста и увольняет троих. Сэкономила. Но трое уволенных больше не стригутся, не чинят машину, не покупают хлеб.
Видя падающий спрос, остальные тоже режут штат и, конечно, через ИИ автоматизацию.
Через полгода экономический круг разрушен: автоматизация на максимуме, а покупать некому.

Falk (UPenn) и Tsoukalas (BU) доказали это математически.

📋 Механика:
Компания, заменившая людей на AI, забирает всю экономию себе. А ущерб от падения спроса делится на весь рынок. При N конкурентах каждый видит лишь 1/N ущерба — и продолжает увольнять, даже зная, что в сумме они убивают общий спрос.

Дилемма заключённого в чистом виде. И не coordination failure (лечится разговором), а настоящая externality: автоматизация — доминантная стратегия.

Чем больше игроков, тем быстрее все бегут к обрыву. Хуже становится обеим сторонам — это не передача денег от работников к владельцам, а deadweight loss.

🔧 Что не сработало по результатам исследования:
Базовый доход — экстерналия на месте, уволенные всё равно не покупают
Переобучение — помогает, только если новые роли рождаются быстрее увольнений
Договор между компаниями — кто-то один нарушит и снимет всю выгоду
Налог на капитал — двигает уровень прибыли, а не сам стимул

💡 Сработал только налог Пигу причём с разделением по типам компаний:
τ* = ущерб спросу от уволенного.
IT-компания: заменили разработчика который получал $150K в год, внедрили AI за $30K, экономия $120K, следовательно налог на компанию из-за этого уволенного должен быть около ~$20K → укладывается в границы экономии от внедрения ИИ.
Розница: продавец получал $35K в год, терминал обходится в $20K в год, экономия $15K, при налоге $18.6K → убыточно, т.е. тут или субсидии или оптимизации формулы налогообложения.

Налог не должен выглядеть как запрет технологии, - формула отсекает случаи, где выгода копеечная, а ущерб огромный.

💼 Альтернативы: субсидия на найм вместо штрафа, гарантированная занятость, AI dividend (роялти за данные работников), скандинавские отраслевые переговоры, короткая рабочая неделя вместо увольнений.
Всё это упирается в скорость: если AI вытесняет быстрее, чем рынок создаёт новые роли — любое решение требует времени, которого нет.

Переворот рамки спора: вопрос не «AI создаст или уничтожит работу?». Даже если создаст — рациональная автоматизация рвёт денежные циклы быстрее, чем они восстанавливаются.

Файл исследования сохраню в комментарии.

#ИИ #увольнения #экономика #PigouvianTax
———
@tsingular

ElevenLabs Dubbing v2: AI-дубляж, который переносит не текст, а исполнение

ElevenLabs выпустила Dubbing v2 — первую AI-модель дубляжа, которая работает не с транскриптом, а напрямую с исходным аудио.
Интонация, тембр, паузы и эмоции оригинального спикера переносятся в перевод без потерь.

📋 Что внутри: Audio-to-audio модель, без транскрипта в промежуточном слое. Автоматическое клонирование голоса спикера — не нужна настройка, pitch и тембр сохраняются. Sync-aware translation: перевод адаптируется под длину фраз оригинала, начало и конец реплик совпадают автоматически. 90+ языков и акцентов. Вход: аудио, видео или текст. Выход: синхронизированный дубляж.

🔧 Чем отличается от v1: Предыдущая версия тянула смысл из транскрипта и накладывала его на синтезированный голос. Эмоции и ритм терялись. Dubbing v2 кондиционируется на голосовом сигнале: модель анализирует тон, темп, эмоциональный регистр и воспроизводит их в переводе. Индустрия движется к мультимодальной обработке сигнала, а не к тексту как универсальному промежуточному представлению.

💼 Доступ:
ElevenCreative для создателей и маркетинга: загрузил контент, выбрал язык, получил дубляж.
ElevenProductions для студий с вещательным качеством. API для enterprise пока через sales.
Первые 7 дней — бесплатный доступ на всех тарифах: минута на Free, 15 минут на Starter, 30 минут на Creator.

Профессиональный дубляж стоил сотни долларов за минуту, Dubbing v2 даёт близкое качество за копейки.

#ElevenLabs #AI #дубляж #TTS
------
@tsingular

Распродаю железо

1 сервак с 2х4090 64gb (на фото) (продан)

1игровой комп 4090 64gb (продан)

1 Nvidia Orin AGX 64gb (200К)

2 Монитора 32" PHILIPS 329M1RV (по 30К за 1шт)

1 ультрабук MSI (20к)

Не шутка

#железо
------
@tsingular

Берем? :)

#юмор
------
@tsingular

Дисциплинированные амбиции: отчёт EY о сдвиге в стратегии CEO

Глобальный опрос 1200 CEO от EY за весну 2026 фиксирует резкий разворот. Геополитический риск за полгода подскочил с 28% до 56% в топе угроз. Лидеры больше не уходят в оборону при шоках — они перестраивают операционку и при этом продолжают инвестировать в долгосрочный рост.
Термин от EY: «disciplined ambition».

🌍 Геополитика = множитель рисков: 56% CEO называют конфликты и фрагментацию главной угрозой (28% в сентябре 2025). 46% не выдержат устойчивого шока цен на энергоносители, 42% — длительных сбоев в экосистеме поставщиков. Геополитика вросла в ядро стратегии: цепочки поставок, кибер-экспозиция, доступ к стратегическим технологиям.

💰 AI: от адаптации к ROI: Фокус сместился с «внедрять или нет» на «где и как масштабировать с финансовой отдачей». AI-расходы растут даже в условиях неопределённости. Капитал распределяется по четырём направлениям:
- cost transformation,
- quality uplift,
- business model reinvention,
- incremental efficiency.
Только 11% CEO связали AI-эффект с финансовой отчётностью и регулярным ревью на уровне C-level.
Т.е. глобально уже важен не просто доступ к технологиям, а дисциплина в получении отдачи.

🛡 Кибер и AI как палка о двух концах: EY отмечает тревогу CEO по поводу того, что AI одновременно усиливает атакующих и защитников.
Компании, не успевающие за этим, проигрывают переговоры внутри совета за бюджет.

🧭 Что делают зрелые CEO: Ужесточают финансовую дисциплину и режут неэффективность.
Диверсифицируют цепочки поставок и встраивают политический риск в процесс принятия решений.
Селективные M&A и стратегические партнёрства как рычаг, а не панацея.
Инвестиции в производительность сотрудников и пересборку операционной модели.

💼 Бизнес аспект: Разрыв между «AI-энтузиастами» и «AI-операторами» — это разрыв между убытками и маржой.
Связь AI-инициатив с P&L и регулярным ревью на уровне правления становится must-have.
Без метрик AI остаётся строкой в IT-бюджете, которую первым срежут при следующем шоке.

🔮 Будущее: Грядёт деление рынка на «AI-led enterprises» с измеримой отдачей и «AI-spent» компании, которые сожгли бюджет на пилоты без unit-экономики. К 2027 году аналогичный опрос EY, вероятно, покажет 30%+ CEO с привязкой AI к финансовой отчётности. Те, кто не дошёл до этого порога сейчас, догоняют уже в режиме выживания.

#EY #CEO #AI #стратегия #геополитика #ROI
———
@tsingular

Практически все организации уже живут в реальности, где ИИ используется везде: от “безобидного” ChatGPT и Copilot до внутренних агентных систем с доступом к боевым данным и API. При этом большая часть компаний все еще находится на уровне стихийных экспериментов и запретительных политик, которые создают иллюзию контроля, но на деле лишь выталкивают ИИ “в тень” 👻

Об управлении безопасностью ИИ написано немало, и недавно на глаза попалась брошюра SANS AI Security Maturity Model (AISMM) - неплохая практическая модель, которая отвечает на три простых вопроса: насколько вы зрелы в защите ИИ, в использовании ИИ для безопасности и в управлении ИИ-зоопарком 🙊

Модель опирается на SANS Secure AI Blueprint (Protect / Utilize / Govern), стыкуется с NIST AI RMF, EU AI Act, ISO 42001, CSA AICM и OWASP AI Exchange, но главное - дает безопасникам язык и структуру для перехода от “мы что‑то делаем с ИИ” к “мы знаем, где мы, куда идем и какой риск принимаем” 👍

Ключевая идея: правильный уровень зрелости не универсален. У SaaS‑компании, которая только включает AI‑фичи в готовые продукты, приоритеты радикально отличаются от государственного подрядчика, строящего агентные системы с реальными полномочиями 🤖

Модель оценивает зрелость безопасности ИИ в организации по 5 уровням:

• Unaware / Ad Hoc: BYOAI, отсутствие инвентаризации и политик, данные обрабатываются в публичныех моделях, безопасность и IT даже не знают масштаб использования ИИ
• Reactive / Policy‑Emerging: появляется первая политика уровня “не использовать” или “использовать с осторожностью”, включается блоклист, есть немного метрик, но запреты в духе Framework of No только загоняют ИИ “в подполье” (shadow AI)
• Defined / Risk‑Informed: формальный AI Governance Council, инвентаризация систем и агентов, первые Non‑Human Identities (NHI), учёт AI‑рисков в реестре, включение ИИ в тестирование продуктов и операционную деятельность безопасности
• Managed / Integrated: AI‑security по сути встроен в SDLC и SOC, есть AI red team, MLSecOps, SOAR с автономными сценариями, количественная оценка AI‑риска и отчетность на уровне совета директоров
• Optimizing / Adaptive: AI‑native безопасность, самоадаптирующиеся защиты, chaos engineering для ИИ, Zero Trust, расширенный на агентные системы, и активный вклад в стандарты и практики индустрии

Отдельный акцент - агентный ИИ. Автор вводит принцип Least Agency: прежде чем давать агенту автономию и доступ к API, честно ответьте, нельзя ли решить задачу более простой архитектурой. Если агент действительно нужен, дальше уже обязательны NHI с минимально необходимыми привилегиями, конкретным владельцем-человеком и аудитом всех действий 🧐

Ещё одна хорошая мысль из модели: “необученный персонал с мощными AI‑инструментами - это уже не просто риск, а чрезвычайная ситуация”. Высокое проникновение ИИ при низкой грамотности сотрудников автоматически поднимает требования к зрелости по домену Govern минимум до Stage 3, независимо от того, насколько “технологичной” компанией вы себя считаете 🤨

AISMM дает и очень приземленные шаги: от “проведите BYOAI‑опрос, назначьте владельца и напишите одностраничную политику” для небольших компаний до “встройте автоматизированное adversarial‑тестирование в CICD и меряйте MTTR по AI‑инцидентам” для тех, кто идёт к Stage 4–5

Как и в CMMI, для оценки используется пятибалльная шкала доказанности (от “нет вообще” до “оптимизируем и адаптируем”), но здесь общий уровень жестко ограничивается по самому слабому домену и по уровню governance, чтобы нельзя было маскировать проблемы управления за счет “красивых” технологических внедрений 🎯