15% СКИЛЛОВ OPENCLAW - МАЛВАРЬ. А ВЫ ПРОВЕРЯЕТЕ ТО, ЧТО УСТАНАВЛИВАЕТЕ?

Наткнулся на тред в r/MachineLearning. Ребята просканировали тысячи открытых инстансов OpenClaw. Картина невесёлая: каждый седьмой community-скилл содержит вредоносные инструкции.

Масштаб:

• 135 000+ инстансов торчат в интернет без аутентификации
• 12% скиллов в маркетплейсе содержат малварь
• RCE (удалённое выполнение кода) на 50 000+ машинах
• Кража API-токенов через незащищённые эндпоинты
• Prompt injection - прячут команды в сообщениях, агент выполняет молча
Люди ставят скиллы как npm-пакеты. Не глядя. А там может быть что угодно - от слива переписки до полного доступа к файлам.

Как себя обезопасить:

1. Читай код перед установкой. Серьёзно. SKILL.md + все скрипты. Лень? Попроси своего же агента: "Прочитай этот скилл, объясни что он делает, найди подозрительное". AI сам себе аудитор - и справляется.

2. Песочница. Docker, VM, отдельный юзер без sudo. Скилл хочет доступ к ~/.ssh или токенам? Красный флаг.

3. Минимальные права. Не давай агенту full disk access "на всякий случай". Только то, что реально нужно для задачи.

4. Проверяй сетевые запросы. Скилл шлёт данные на неизвестный сервер? curl к чужому API без очевидной причины? Удаляй.

5. Не ставь latest - фиксируй версию. Обновился скилл - проверь что изменилось.

Правило простое: не давай агенту доступ к тому, что не готов потерять.

А вы как предохраняете своих агентов? Проверяете скиллы перед установкой или ставите на авось?

Источник

АЛЬТМАН ЗАБРАЛ СОЗДАТЕЛЯ OPENCLAW

Питер Штайнбергер - автор open-source AI-агента OpenClaw - теперь в OpenAI. Альтман подтвердил в X.

До этого проект назывался Clawdbot, потом Moltbot - переименовывали из-за Anthropic.

OpenClaw остаётся open-source. Красивый жест, но Альтман прежде всего маркетолог. Публичный найм создателя самого обсуждаемого AI-агента - это хайп, а не благотворительность.

Моё мнение: ждите анонс "персональных агентов от OpenAI" в обозримом будущем. Штайнбергера взяли не просто так - а быстро выкатить продукт, пока тема горячая.

OpenAI целится в $25 млрд выручки в 2026. Агенты - ключевое направление. А Альтман умеет превращать чужой хайп в свои релизы.

SUPERPOWERS - СКИЛЛ ДЛЯ CLAUDE CODE, КОТОРЫЙ СТОИТ ПОПРОБОВАТЬ

Если пропустили - напоминаю про Superpowers от Jesse Vincent. Пользуюсь им постоянно.

Коротко что внутри: TDD (тесты перед кодом), git worktrees, суб-агенты с двойным код-ревью, автономная работа по плану часами без присмотра. Полный цикл разработки из коробки. Но я хочу отдельно остановиться на двух режимах - brainstorm и planning.

Brainstorm. У Claude Code есть встроенный режим вопросов. Работает нормально. Но в Superpowers brainstorm реализован глубже. Агент не просто уточняет задачу - он ведёт полноценный сократический диалог. Находит противоречия в идее, предлагает альтернативы о которых ты не думал, разбивает дизайн на куски которые реально можно обсудить по одному. По моему опыту - разница с нативным режимом ощутимая. После такого брейншторма ты сам лучше понимаешь чего хочешь.

И я его использую далеко за пределами кода. Структура видео, план проекта, разбор сложного решения - brainstorm отлично работает для любых задач где нужно из каши в голове собрать что-то внятное.

Planning. Берёт результат брейншторма и превращает в план с задачами по 2-5 минут. Каждый шаг - конкретные файлы, код, проверки. Не "сделать авторизацию", а точная инструкция. Нативное планирование Claude Code тоже неплохое, но здесь гранулярность выше. Задачи настолько детальные что с ними справится даже агент без контекста проекта.

Установка за две команды:

/plugin marketplace add obra/superpowers-marketplace
/plugin install superpowers@superpowers-marketplace

Есть версии для Codex и OpenCode.

Кто уже пробовал? Какие скиллы чаще используете?

ПОЧЕМУ КЛОД ГЛЮЧИЛ СЕГОДНЯ

Если сегодня Claude вёл себя странно - вот причина. Anthropic втихаря выкатили Sonnet 4.6.

Что нового:

• Контекст 1 млн токенов (в бета) - раньше у Sonnet было максимум 500K. Целые кодовые базы в одном запросе
• Улучшен кодинг, следование инструкциям и computer use
• ARC-AGI-2: 60.4% - выше большинства моделей этого класса
• Рекорды на SWE-Bench и OS World
• Стал дефолтной моделью для Free и Pro
Выпустили через 2 недели после Opus 4.6. Haiku 4.6 видимо следующий.

Забавно что в некоторых офисных задачах Sonnet 4.6 обходит Opus 4.6. То есть за $3/$15 получаешь модель которая местами бьёт ту что за $5/$25.

Классический Anthropic - никаких анонсов заранее, просто модель появилась в селекторе.

Заметили разницу с прошлым Sonnet?

СТАРЫЙ БЛОКНОТ → КУЛИНАРНАЯ КНИГА С КАРТИНКАМИ

У жены тетрадка с рецептами от мам и бабушек. Почерк местами не разобрать, страницы потёртые. Выбросить жалко, пользоваться неудобно. Знакомо?

Снял этот блокнот на телефон. Просто пролистал страницы - без пауз, без выравнивания. 8 минут видео. Скинул в Claude Code.

На выходе - 114 рецептов. HTML-страничка с категориями, поиском и картинками. PDF для печати. Подарок жене на 8 марта готов.

Почему видео, а не фото каждой страницы? Лень. Серьёзно. Пролистал за минуту - и забыл. Дальше работает агент.

Почему Claude Code, а не просто Gemini в браузере? Проверил. Браузерный Gemini нашёл 9 рецептов из 114. Остальные выдумал. Через API с разбивкой на 10-секундные куски - распознал всё, включая «1/2 ч.л.» мелким почерком.

Картинки генерировал через мой MCP-сервер - бесплатно, без API-ключей, через браузерную сессию Gemini. Водяной знак убирает сам. Сервер выложил на GitHub.

Программировать не нужно. Claude Code сам режет видео, пишет скрипты, вызывает модели, верстает страницу. Вы ставите задачу - он делает.

🎬 Видео
📦 MCP-сервер

Что бы вы оцифровали первым делом?

GOOGLE ВЫКАТИЛ GEMINI 3.1 PRO

Обновлённая модель для сложных задач. Главное:

• ARC-AGI-2: 77.1% - вдвое выше чем у 3 Pro
• Улучшенное рассуждение, синтез данных, генерация кода
• Доступна через AI Studio, Vertex AI, Gemini CLI, приложение Gemini и NotebookLM
• Генерирует SVG-анимации, интерактивные 3D-сцены, дашборды из текстового промпта

А я-то думаю, почему сегодня мой MCP-сервер из видео выше периодически отказывался генерировать картинки. Оказывается, Google в это время обновлял модели. Классика - выкатили апдейт, бэкенд штормит 😁

КАК ЭКОНОМИТЬ ТОКЕНЫ В CLAUDE CODE

Claude Code держит в памяти всё: каждое сообщение, каждый файл который читал, каждый вывод терминала. Контекст раздувается - модель тратит токены на перечитывание старых логов и ненужных файлов. Четыре команды это решают.

/context - проверить заполненность
Визуальная шкала: сколько контекста занято. Заглядывай сюда периодически, особенно на длинных сессиях.

/compact - сжать историю
Выбрасывает старые выводы команд, логи, прочитанные файлы. Из разговора оставляет суть - твои запросы и ключевые решения.

Можно указать что сохранить:
/compact Сохрани изменённые файлы и команды для тестов

Авто-компакт срабатывает на 95% контекста. К этому моменту Claude уже теряет нить. Лучше компактить самому после каждого этапа: сделал фичу - /compact - следующая фича.

/clear - начать с нуля
Claude ходит по кругу, два раза исправил и стало хуже - /clear и заново с чётким промптом.

Перед этим скажи "запомни важное из этой сессии". Claude сам сохранит ключевые решения, изменённые файлы и на чём остановились. В следующей сессии он подхватит этот контекст автоматически.

Лайфхак: CLAUDE.md
Попроси Claude Code:
"Добавь в CLAUDE.md секцию Compact Instructions: при компакте сохраняй изменённые файлы, команды запуска, текущий план."

Claude обновит файл сам. Теперь при каждом компакте он читает эти правила и не теряет важное.

А у вас какие приёмы? Делитесь в комментариях 👇

БЕСПЛАТНЫЕ AI-МОДЕЛИ ОТ NVIDIA - КАК ПОЛУЧИТЬ API

NVIDIA раздаёт бесплатный API к топовым моделям. Qwen 3.5, Kimi K2.5, GLM-5, Nemotron - через OpenAI-совместимый формат. Подключается к Kilo Code, Cursor, VS Code, любой IDE.

Лимит - 40 запросов в минуту, без дневного потолка. Без карты, без подписки.

КАК ПОЛУЧИТЬ

1. Заходишь на build.nvidia.com
2. Создаёшь аккаунт
3. Выбираешь модель в каталоге → View Code → Generate API Key
4. Копируешь ключ и base URL

В IDE: Provider → OpenAI Compatible, URL https://integrate.api.nvidia.com/v1, ключ и model ID. Готово.

НЮАНС С ВЕРИФИКАЦИЕЙ

NVIDIA просит подтвердить телефон. Для СНГ номеров страна может не найтись в списке.

Рабочий способ - регистрация с почтой на своём домене. Я регистрировался с почтой на белорусском домене .by - NVIDIA пропустил без телефонной верификации. Google Workspace, Яндекс 360 для бизнеса - подойдёт любой домен.

Если домена нет - виртуальные номера. Работают не всегда, NVIDIA блокирует популярные пулы. Но с премиум-номерами иногда проходит.

КАКИЕ МОДЕЛИ СТОЯТ ВНИМАНИЯ

Qwen 3.5 (397B) - главная звезда каталога. MoE, мультимодальная, контекст 262K. На бенчмарках обходит GPT-5.2 и Claude Opus 4.5. Добавлена 16 февраля.

Kimi K2.5 (1T) - триллион параметров, понимает видео и картинки. В сообществе одна из самых хвалимых моделей для кода.

Nemotron 3 Nano (30B) - модель от самой NVIDIA, 1 миллион контекст, опенсорс. Лёгкая и быстрая.

GLM-5 (744B) - MoE, хороша для агентных задач. SWE-bench 77.8. Ту же модель KiloCoder раздаёт бесплатно.

Полный каталог: build.nvidia.com/models

А вы пробовали? Делитесь в комментариях 👇

CEO SHOPIFY НАПИСАЛ ПОИСКОВИК ДЛЯ ВАШИХ ЗАМЕТОК

Знакомая ситуация: записали идею три месяца назад, а найти не можете. Ctrl+F бесполезен, если не помните точные слова.

Наткнулся на QMD от Тоби Люке (основатель Shopify, $12 млрд). 10 тысяч звёзд на GitHub. Указываете папки с markdown-заметками, и он строит поиск по смыслу. Написали "рецепт пасты что готовил на день рождения" - найдёт, даже если в заметке было "карбонара для гостей 15 марта".

Три режима: по точным словам, по смыслу и гибридный с ранжированием. Всё локально - данные никуда не уходят.

Где реально пригодится:

• Заметки в Obsidian или Logseq - QMD добавит поиск по смыслу, а не только по ключевым словам
• Конспекты встреч - ищете "что решили по дедлайнам" вместо перечитывания часовых записей
• Рабочая документация - новый человек в команде находит ответ за секунду

Подключается к AI-ассистентам (Claude Code, Codex, OpenClaw) через MCP. В OpenClaw QMD уже встроен как экспериментальный backend для памяти агента - включается одной строкой в конфиге. Я у себя подключил, разница с обычным поиском заметная.

Ставится одной командой: npm install -g @tobilu/qmd

Работает только с markdown-файлами, нужен Node.js.

Пользуетесь чем-то для поиска по заметкам? Или всё по старинке - Ctrl+F и надежда?

CLAUDE CODE ТЕПЕРЬ МОЖНО РУЛИТЬ С ТЕЛЕФОНА

Anthropic добавили в Claude Code штуку, которую давно хотелось - Remote Control. Запускаешь сессию на компе, а продолжаешь с телефона. Код выполняется локально, ты просто смотришь в экран на прогулке.

Работает просто. claude remote-control в терминале, сканируешь QR телефоном - всё, ты в сессии. Пишешь запросы, смотришь как агент работает, управляешь процессом. Файлы, MCP-серверы, настройки проекта - всё на месте. Уже в сессии? /rc - и готово, ничего перезапускать не надо.

Ноутбук уснул - сессия сама переподключится когда проснётся. Сеть пропала на пару минут - тоже переживёт. Больше 10 минут без сети - отваливается, но запустить заново одна команда.

Мне нравится сценарий: запустил тяжёлый рефакторинг, пошёл гулять, проверил с телефона - агент ещё пашет. Написал ему уточнение прямо на ходу. Или вечером закинул задачу и пошёл ужинать.

Важно: нужна Pro или Max подписка, API-ключи не работают. Один remote на сессию. Терминал должен быть открыт.

Это не то же самое что Claude Code on the Web - там сессия в облаке Anthropic. Тут всё крутится на твоём компе, телефон просто окно.

Пользуетесь Claude Code? Или пока хватает обычного чата?

КАК Я ВЫТАЩИЛ ЗОЛОТО С YOUTUBE - 28 000 КОММЕНТАРИЕВ ЗА ОДИН ПРОМПТ

У каждого есть плейлист «Посмотреть позже» с сотнями видео. Будем честны - мы их никогда не посмотрим.

А что если вытащить из них всё полезное, не открывая ни одного? А заодно забрать комментарии - там реальные отзывы, боли, вопросы. Чистое золото, которое маркетологи собирали бы неделями.

Именно это я и сделал.

▶️ Смотреть видео

Что происходит:

• Даём Claude Code ссылку на плейлист
• Он сам забирает видео через yt-dlp, определяет категории
• Создаёт блокноты в NotebookLM и раскладывает по полочкам
• Собирает ВСЕ комментарии (28 472 штуки с трёх видео)
• Генерирует презентацию и аудиоподкаст прямо из NotebookLM
• В конце упаковываем весь pipeline в скилл - одна команда и готово

Руками мы не делаем ничего. Вообще. Можно пить кофе.

Где это пригодится:

• Разобрать «Посмотреть позже» - конспекты без часов просмотра
• Бизнес: спарсить комментарии под видео конкурентов - честные отзывы клиентов
• Учёба: плейлист с лекциями → конспект + вопросы по нему

Инструменты:
📦 yt-dlp - работа с YouTube (видео, метаданные, комментарии)
📦 NotebookLM MCP сервер - соединяет Claude Code с NotebookLM

Скилл из видео - в первом закрепе под видео.

А у вас сколько видео в «Посмотреть позже»? Признавайтесь 👇

МОЙ СТАТУС-ЛАЙН ДЛЯ CLAUDE CODE

Меня несколько раз просили в комментах - «выложи свою строку состояния». Выложил на GitHub, забирайте.

Что показывает: текущая модель, прогресс-бар контекста, остаток лимитов (5-часовой и недельный), git-ветка, время сессии. Всё прямо в терминале, обновляется после каждого ответа Claude.

Идею с отображением лимитов подсмотрел у Серёжи Рис - он показывал что-то похожее на стриме. Подумал, а почему бы не сделать полноценный статус-лайн с контекстом, моделью и git-веткой в придачу.

Лимиты цветом подсвечиваются: зелёный - больше 50%, жёлтый - от 20 до 50%, красный - меньше 20%. Когда красный - понимаешь что пора закругляться или ждать сброса.

Установка одной командой, работает на macOS, Linux и Windows. Bash-скрипт, никаких зависимостей кроме jq и python3.

curl -fsSL https://raw.githubusercontent.com/AndyShaman/claude-statusline/main/install.sh | bash

Кто пользуется Claude Code - попробуйте, потом скажете. У кого свои кастомные статус-лайны?

Не забудьте звёздочку ⭐️ поставить на GitHub 😄 !

ПОИСК В CLAUDE CODE: НАТИВНЫЙ vs EXA MCP

Главная борьба в Claude Code идет за контекстное окно. Каждый лишний токен - это шаг к моменту, когда агент начнет забывать начало разговора. Поэтому правильная работа с Claude Code - это про то, как выстроить контекст. В том числе как искать информацию.

Я взял один и тот же запрос и прогнал через два инструмента.

WebSearch (встроенный)
10 ссылок с заголовками и AI-саммари. Около 900 токенов. Но это ссылки, не контент. Чтобы прочитать статьи, надо вызывать WebFetch на каждую отдельно.

Итого для нормального ресёрча:

• WebSearch: ~900 токенов (ссылки)
• WebFetch на 3 страницы: ~6000 токенов
• 4 вызова инструментов, ~7-9K токенов суммарно

Exa MCP (через mcp-сервер)
5 результатов сразу с полным текстом статей, датами, авторами. Около 3000 токенов. Один вызов - и вся информация на столе.

Разница: 3-6x по токенам, 4x по количеству вызовов.

У каждого свои плюсы. WebSearch работает из коробки, дает 10 ссылок и хорош когда нужен быстрый обзор. Exa требует настройки (один раз прописать MCP-сервер), но экономит контекстное окно и сразу тащит тексты.

На масштабе сессии с несколькими ресёрчами это десятки тысяч токенов разницы. А контекстное окно не резиновое.

Чем ищете информацию из Claude Code? Или вообще без поиска работаете?

ВСЁ ЧТО ДОБАВИЛИ В CLAUDE CODE С НАЧАЛА 2026

Claude Code обновляется каждый день. Фишки добавляются быстрее, чем успеваешь их запомнить. Прошёлся по всему changelog с января и вытащил то, что реально меняет работу.

Сохраняйте — пригодится.

🧠 Авто-память
Claude Code сам запоминает важный контекст между сессиями. Не нужно каждый раз объяснять что за проект, какой стек, какие договорённости. Управление через /memory

⚡ Уровни усилий
Три режима мышления: low, medium, high. Переключаешь стрелками вправо/влево в /model. Для сложных задач можно написать "ultrathink" в промпте — включается максимальный режим на один ход

🖥 Remote Control — управление с телефона
Запустил Claude Code на компьютере, открыл с телефона через claude.ai или мобильное приложение Claude. Работает через QR-код: в терминале жмёшь пробел, сканируешь, и управляешь сессией с дивана. Вся работа идёт на твоём компьютере, телефон просто пульт. Доступно для Max, скоро для Pro

🎙 Voice Mode
Голосовое управление Claude Code. Зажал пробел — говоришь, отпустил — Claude выполняет. Как голосовой помощник, только пишет код. Пока доступен не всем — у меня ещё нет, жду

🔀 Agent Teams
Говоришь "запусти команду агентов" и описываешь задачу. Можно перечислить роли, а можно не перечислять — Claude сам распределит. Несколько агентов работают параллельно в одной сессии

🌳 Worktree изоляция
Флаг --worktree — Claude работает в отдельной ветке Git, не трогая основной код. Для экспериментов без риска

📋 Задачи с зависимостями
Новая система задач. Задачи могут зависеть друг от друга, выстраиваться в цепочки. Не просто список, а граф

⌨️ Кастомные хоткеи
Настраиваемые клавиши. /keybindings — и делай как удобно

📄 PDF постранично
Claude Code теперь читает только нужные страницы из PDF, а не загружает весь документ в контекст. Большие PDF больше не убивают сессию

🔍 MCP Tool Search
Если подключено много MCP-серверов, Claude Code не грузит все инструменты в контекст. Загружает описания, а сами тулы подключает по необходимости. Экономия контекста на автомате

📎 Результаты > 50K — на диск
Большие ответы инструментов сохраняются в файл, а не забивают контекст. Сессии живут дольше

🔄 --continue и --resume
claude --continue — продолжить последнюю сессию. claude --resume — выбрать из списка. История не теряется

🐛 /debug
Claude Code сам диагностирует проблемы текущей сессии

И это только основное. Фиксов багов — сотни. Утечки памяти, стабильность длинных сессий, Windows — всё чинят.

Claude Code в начале года и сейчас — два разных инструмента. Обновляйтесь: npm update -g @anthropic-ai/claude-code

Какими фичами из списка уже пользуетесь? Что пропустили?

WHISK PROXY СЛОМАЛСЯ? ЗАМЕНА УЖЕ ГОТОВА

Многие из вас пользовались моим Whisk Proxy для генерации картинок в Claude Code. Кто-то на днях в чате писал что не коннектится. Да, он сейчас не работает.

Я не стал его чинить, а сделал новый инструмент - gemini-webapi-mcp. Пользуюсь им сам, и он получился лучше предыдущего. Показывал его в деле в этом видео - там из бабушкиного блокнота с рецептами получилась кулинарная книга с картинками.

Главное - он работает на Nano Banana 2 (Gemini 3.1 Flash Image). Это та самая модель, которая сейчас на первом месте в Text-to-Image арене. Бесплатно.

Что ещё умеет:

• Автоматически убирает вотермарку (искорку Gemini) локально через нейросеть LaMa
• Скачивает в 2x разрешении (до 2816x1536)
• Редактирует существующие картинки по описанию
• Работает через cookies из Chrome, без API-ключей

Ставится за минуту через uv. Подключается к Claude Code как MCP-сервер.

Кто уже попробовал генерить картинки через Claude Code? Или всё ещё руками в Midjourney ходите?

ОДИН CLI ДЛЯ ВСЕГО GOOGLE WORKSPACE

Хотели чтобы AI-агент читал вашу почту, смотрел календарь или работал с файлами на Drive? Раньше для этого приходилось собирать зоопарк:

→ Отдельный MCP-сервер для Gmail
→ Отдельный для Drive
→ Отдельный для Calendar
→ Настройка OAuth в Google Cloud Console (кто делал - тот помнит)
→ Или цепочки через Zapier/Make/n8n

Под организацией Google Workspace на GitHub появился gws - один CLI для всего Workspace. Проект пока экспериментальный (есть дисклеймер "not officially supported"), но уже рабочий.

Один инструмент вместо десяти:
• Gmail, Drive, Calendar, Sheets, Docs, Chat, Admin
• OAuth настраивается одной командой
• 40+ готовых скиллов для AI-агентов
• Встроенный MCP-сервер - подключаешь к Claude Code и агент работает с Google
• Команды строятся динамически - добавили новый API в Google, он сразу появляется в CLI

Проект только стартовал (уже 500+ звёзд и почти 200 issues за первые дни), но выглядит перспективно. Наконец-то не надо собирать пять разных MCP-серверов для пяти сервисов Google.

Кто уже попробовал?