Не один PHP пострадал, киберпанк разогнался уже прямо вот сейчас. Чините Node.

Промпт для ИИ-агента:

Уязвимости Node.js, выпуск безопасности 21.10.2026:
- CVE-2026-111497 — декодер Brotli, удалённое выполнение кода (High), ветки 22, 24, 26
- CVE-2026-105482 — dns.resolve обрезает имя на нулевом символе (High), ветки 22, 24, 26
- CVE-2026-105483 — обход проверки имени в TLS-сертификате (High), ветки 24, 26
- CVE-2026-106069 — обход проверки имени в TLS-сертификате (High), ветки 22, 24, 26
Исправлено в 22.23.4, 24.22.1, 26.12.1.

Проверь, затрагивают ли мои проекты уязвимости Node.js из списка выше, и закрой их. Сначала сверь детали по первоисточникам. Потом найди все места, где у меня работает Node: локально, в контейнерах, в CI, на серверах. Для каждого покажи текущую версию и как ты её узнал, пометь уязвимые. Предложи план обновления с проверкой и откатом и остановись: ничего не меняй, пока я не одобрю. После одобрения обновляй по одному, проверяй результат на живом окружении, а не в конфиге, и в конце дай сводку «было → стало». Секреты в вывод не печатай, проверки и хуки не обходи.

А помните был такой первый популярный агентский браузер Strawberry?

Оказывается, он не умер, а просто готовится к релизу версии 1.0.

Шлёт необычные письма :)

Cloudflare традиционно молодцы.

Starting on October 21 3:02 am UTC, Cloudflare customers using our free or paid WAF were protected by default against php2shell.

У кого трафик мировой, а не российский, это бесплатное решение подходит целиком.

«Для программистов наступают трудные времена. Объем и сложность программ возрастают непропорционально по отношению к зарплате. Романтический ореол непостижимости этой профессии, если он когда-либо и существовал, начинает меркнуть. На Западе софтверхаусы тают как вчерашний снег, а программисты начинают пополнять армию безработных. Оспаривается даже само стремление рассматривать программистов как профессионалов особого рода. Главное же — это то, что вольная армия программистов постепенно попадает в плен к администраторам и руководителям, которые стремятся сделать труд программиста планируемым, измеряемым, однородным и обезличенным. У читателя не должно создаться впечатления, что автор считает эту тенденцию неправильной.» — А.П. Ершов, «О человеческом и эстетическом факторах в программировании», 1972

@chuprik_live

No more complaints about bugs. Just fix it yourself and open pr


https://github.com/TelegramMessenger/telegram-macos

Случайно поймал маленькую, но постоянную утечку: сделал как-то несложный образовательный проект на тайском TypeScript 7, для примера взял стабильное и быстрое получение курса Gram (TON) с тайской биржи Bitkub. И всё это через Cloudflare Worker на $5 тарифе (на все проекты, не на один).

Долго ли коротко, но я прибирался вчера в платежах, и выяснилось, что с биржи забираются все пары, а не одна. А ещё — забираются они часто, хранятся, к ним всем делаются запросы, и, самое интересное, каждый запрос на удаление платный. Немножко, совсем, но их может быть много :)

По тарифу D1 каждый DELETE оплачивается как запись, а в этом месяце аккаунт уже вышел за лимит записей. Поэтому удалять строки по одной — это ≈ 6,4 млн записей, около $6.

Стоимость мелкая, но -$30 из ежемесячных платежей за сервис, которым давно не пользуешься, и вообще про него забыл — это тоже приятно.

В общем, добавляйте в свои там пайплайны симуляцию на 3-5 лет работы сервиса, что будет с нагрузкой, хранилищем и стоимостью. Благо ИИ-агенты нормально справляются с такими несложными прогнозами и оценками.

Бедный pen.dev всё пытается монетизироваться.

Мне же вообще никак не получается представить хотя бы одну причину им заплатить: все сидят с агентами, их внутренние промпты и лимиты ну никак не нужны — CLI и MCP отрабатывают отлично.

Продукт в части интерфейсов и так слишком хороший, чтобы пользоваться им как-то иначе.

Совершенно незаменимый инструмент для визуальной отрисовки интерфейсов, где заведомо будет куча правок.

Интересный апдейт среди маленьких ИИ-моделей для смартфонов. Компания Liquid AI, которую основали исследователи из кембриджского MIT, только что выпустила модель LFM3, которая составляет конкуренцию Gemma 4 (она плюс-минус Gemini Nano 4).

Я задался вопросом: почему сравнение в табличке делается не с Gemini Embedded 2, которая тоже мелкая модель вроде как, и вполне рабочая. Но получилась сессия по ликвидации безграмотности. Было интересно. Ниже делюсь.

Сравнение LFM3 с Gemini Embedding 2? Вопрос некорректен, это как сравнивать поисковый индекс с чат-ботом. Если нужен поиск/RAG, GE2 лучше (LFM3 эмбеддинги не делает). Если нужна генерация и агенты, GE2 вообще не вариант. Это другое.

Запланировал новую подписку — Grok Bot. На созвоне с Сергеем Пименовым он за несколько минут показал мне его так, что это будто бы тот самый инструмент, каким я представлял себе все эти Claw, Hermes и другие комбайны, но уже в полном соответствии с адекватными ожиданиями. Очень хочется. Сергей хороший продажник и распространитель крайне дофаминовых инструментов :)

Предполагаю, что он позволит мне разгрузить подписки Claude, снять с них всю бытовуху, а также всё, что касается переиспользования готовых конвееров. Плюс получить (вернуть) контроль над расходами и обслуживанием постоянно работающих продуктов.

Подкупило, что приложение выглядит чуть ли ни как телеграм, где ты общаешься со своими сотрудниками и ассистентами. Если в итоге там возникнут группы, куда можно будет добавлять обычных людей без платных подписок, то телеграму придётся несладко. Возникнет мощная конкуренция за аудиторию айтишников и разработчиков (а также производителей контента и лидеров мнений), что в перспективе ведёт к перетеканию и широкой аудитории тоже. Ну, поглядим. А пока продолжаем развивать гибкость мышления.

Gemini 4 Carbon: our next frontier model

https://blog.google/innovation-and-ai/models-and-research/gemini-models/introducing-gemini-4-carbon/

Там ultrathink вернулся в Claude Code CLI!

(Правда я не знал, что он пропадал.)

Binance hacked for $2.7 billions
@EthSecurity1

Android MCP появился:
https://developer.android.com/ai/appfunctions (Beta)

AppFunctions позволяет Android-приложениям предоставлять свои данные и функции в качестве локальных инструментов (по аналогии с MCP-серверами), которые ИИ-ассистенты, такие как Gemini, и другие авторизованные приложения могут находить и вызывать для выполнения задач пользователя на уровне системы.