Вот у меня иногда спрашивают, чего я дипсик не юзаю. Да хз даже, не знаю смысл экономить пару баксов ( и вообще, есть ли там экономия? разве по API). И вот такие новости бывают:

Китайские ИИ-компании DeepSeek и Moonshot перенаправляли запросы своих пользователей в нейросеть Claude вместо их обработки с помощью собственных моделей

В отчете компании Anthropic (разработчика Claude) говорится, что для перенаправления запросов Moonshot задействовала сеть из 5380 фиктивных аккаунтов, зарегистрированных преимущественно в Сингапуре и Японии.

Пользователи полагали, что взаимодействуют с семейством моделей Kimi, но на самом деле получали ответы от Claude. По данным Anthropic, в одном из эпизодов Moonshot в течение 10 дней перенаправила в Claude почти 300 тысяч пользовательских запросов.

Кроме этого, Moonshot сохраняла как минимум часть диалогов. Компания извлекала цепочки рассуждений из сохраненных перенаправленных сессий, чтобы в дальнейшем обучать собственные модели. Anthropic пишет, что «аналогичные тактики» применяла и DeepSeek.

Ребят, у кого воркеры и боты на cloudflare обратите внимение что у них два дня уже инциденты:

КРОНЫ падают, причём делают это ТИХО

т.е все ваши рассылки, и все что по расписанию должно срабатывать - скорее всего просто тухлит.

У меня рабочие проекты попали под это, слава Богу стоят внешние тикеры, которые оповещения шлют.

Причём, если сутки назад они признали проблему, и выкатили ответ, мол, "решено" то сегодня два часа назад история повторилась, и никакого официального ответа нет

В моменте передеплой ботов спасает, но может в любой момент опять повторится.

Просто имейте ввиду

Beget

Вроде, и не страшно, но опыт подсказывает - не спроста, ждём подводных камней?

Короче. Проверяем свой код

Всем кто вайбкодит - все чаще поднимается тема "дырявых" проектов. Когда мы деплоим проект, а потом всплывает - забытые ключи в коде, выключенная защита в базе, доступ к чужим данным через обычный публичный ключ приложения и почее.

Самое печальное, это не сам факт обнаружения такой утечки, ну со всеми бывает. Обычно это узнают когда уже слили и тебе хоть как придётся делать ротацию ключей.

Для меня - это самый беспонтовый момент

Поэтому, для себя сделал скрипт, который это всё проверяет за минуту. погонял на своих и чужих проектах, работает нормально, решил выложить

Лежит на npm, открытый репозиторий на гитхабе, код можно почитать сам

Запуск:

Просто в папке проекта в терминале вводите

npx easyvibegate

Спросит пару раз да/нет: проверить зависимости на уязвимости (нужен интернет) и, если есть адрес задеплоенного сайта, можно ли постучаться в него и убедиться что ваши данные никто не читает.

Если сидите в курсоре/клод коде/кодексе, просто киньте агенту:

проверь безопасность этого проекта через easyvibegate
запусти: npx easyvibegate . --no-wizard --deps

В конце отчёт и план починки + агент сразу скажет, что - ложная тревога, а что действительно стоит чинить.

Все. Буквально одна команда, чтобы проверить себя.

P.S. Очень прошу протестить, и дать обратку. Ну, типа, "да нашёл ошибки, клод согласился и чиним". Или "нашел ошибки, но мой GPT сказал что это ложная история, и чинить нечего"

Ребят. кто с видоса по проверке кода, тыкаем сюда + следующий за ним.

Там kinescope.io прилёг. У кого проекты с ним имейте ввиду.

Все сервисы 502 , уже больше 15 минут

UPDT: вроде очухался родненький

Спишь?

я вот - нет... пообещал же вчера схему, вот сижу уже третий раз переделываю, тк обнаруживаю каждый раз приколюхи которые можно улучшить.

хотел ещё видос записать, в итоге только время потратил

пост будет. ночь ещё в переди

updt. можно пока в инсте ролик новый прокомментить: какой я лох 🤡