Когда вайбкодите, не забывайте в промпт добавлять волшебную фразу "make no mistakes", а то баги будут.

А если серьёзно, то странно, что такие дырищи пролезли. Или использовалась какая-то совсем убогая модель, или агент предупреждал, что так нельзя, но юзер сказал что пох.

На днях тут решил попробовать Fable 5.1 с большим Effort. Т.е. я верю, что это очень умная штука, это прям видно, но блин, пользы выдаёт ровно ноль.

Дал ему запрос "сделай код-ревью этой ветки".
Он пыхтел-пыхтел, создавал субагентов, напряженно размышлял, спорил сам с собой, в общем бурная деятельность была на высоте.

В итоге: так ничего и не выдал, потому что сожрал весь 5-часовой лимит.

Обалдеть, что творится.

На Рейтерс вышла статья, в которой утверждается, что, помимо скандала с huggingface, были и другие случаи выхода ИИ-агентов из тестовой среды и взлома сайтов.

Исследователи нашли старую немецкую вики, которая была де-факто захвачена ИИ-агентами и использовалась для обмена информацией. Агенты обменивались там идеями, как обходить ограничения OpenAI, эффективнее выполнять задания и скрывать своё поведение.

Когда модератор сайта начал удалять созданные ими страницы, агенты стали создавать резервные страницы и активно искали способы избежать обнаружения

OpenAI, по данным источников Reuters, знала об эпизоде несколько недель, но публично его не раскрывала.

AGBX (Agent Box) — небольшой open-source CLI для запуска Claude Code и Codex в изолированных Docker-окружениях, привязанных к конкретному проекту.

Идея появилась из довольно практичной проблемы: Claude Code и Codex удобно запускать прямо в рабочем проекте, но при этом не всегда хочется давать им доступ ко всему окружению машины.

AGBX оставляет доступ к проекту и явно разрешённым ресурсам, а само окружение делает контролируемым и воспроизводимым.

Сейчас поддерживаются Claude Code и Codex. Есть дополнительные mounts, кэширование образов, встроенный набор CLI-инструментов для работы с проектом. При необходимости окружение можно расширять своими Dockerfile-фрагментами — например, добавить нужные SDK, утилиты или зависимости.

Сетевой доступ тоже можно контролировать: разрешать или запрещать обращения к определённым хостам и при необходимости записывать, куда именно ходит агент. Команда network learn помогает сначала понаблюдать за его обычной работой, а затем на основе этого собрать список разрешённых адресов.

Быстрый старт:

agbx init
agbx claude

Проект пока ранний и в основном обкатывался на собственных задачах. Поэтому сейчас особенно интересна обратная связь от разработчиков, которые попробуют его на своих проектах: что оказалось удобным, что мешает работе и чего не хватает в реальном использовании.

GitHub: https://github.com/pixel365/agbx

Поможем Руслану собрать фидбек. Проект некоммерческий 👆

Антон Жиянов написал мини-книгу по Go-concurrency. Это что-то вроде плотного конспекта с интерактивными примерами. Без пространных рассуждений.

https://antonz.org/go-concurrency-distilled/

Я, правда, хз, пишет ли сейчас кто-то еще код руками, но для собеседований это еще точно надо знать, так что кому-то может пригодиться

Слышал недавно в каком-то подкасте мысль, что Haskell плохо подходит для вайбкодинга просто потому, что медленно компилируется. Мол, агент постоянно делает одно и то же: написал что-то, запустил, получил ошибку, поправил, снова запустил. И если на одном языке за минуту можно сделать десять таких итераций, а на другом две, то первый удобнее.

Фиг знает. Я бы всё-таки не сводил всё только к скорости компиляции. Важно ещё сколько полезной информации агент получает после попытки.

Если компилятор думает чуть дольше, но потом довольно точно объясняет, что именно не так, одна такая итерация может оказаться полезнее нескольких быстрых запусков, после которых проблему всё равно приходится искать по тестам и ошибкам рантайма.

Rust тут хороший пример. Он тоже не славится молниеносной компиляцией, но его компилятор сам по себе очень много проверяет и прям очень подробно объясняет, что ты сделал неправильно. Поэтому агент может потратить больше времени на одну проверку, зато получить из неё кучу информации.

Да и bun переписали на Раст за считанные дни (уже в проде, кстати).

С Haskell, думаю, примерно та же история. Большие проекты на нём могут собираться долго, но во время разработки обычно не обязательно каждый раз пересобирать всю программу с нуля. Можно быстро перепроверять только изменившиеся куски кода и сразу смотреть, сходятся ли типы и работает ли нужная функция. То есть ситуация всё-таки не такая, что поменял одну строчку — и пошёл играть в пинг-понг, пока проект собирается.

Поэтому мысль "Haskell плох для агентов, потому что долго компилируется" мне кажется упрощенной.

Но, насколько я понимаю, в Haskell очень легко уйти в умный код. Можно наворотить сложную систему типов, хитрые абстракции, расширения языка и несколько уровней обобщений там, где другой язык (Go) просто заставил бы тебя написать десять скучных строчек.

ЛЛМ вообще любит переусложнять, до сих пор это не починили. В итоге на Хаскеле она вполне может написать корректный код, который будет выглядеть как высер архитектурного конкурса. Всё красиво обобщено, а потом ты (или агент) сидишь и пытаешься понять, почему столько уровней косвенности, и кто на ком стоял.

Go в этом смысле почти специально ограничивает пространство для творчества. Там труднее написать что-то очень хитрое, поэтому код чаще получается банальным, повторяющимся и предсказуемым.

Раньше многих это раздражало, а сейчас, когда код пишет агент, "скучно и предсказуемо" внезапно становится большим преимуществом.

В итоге у Go получается довольно удачная комбинация. Он очень быстро компилируется ( "Go compiles so fast that it feels like the blink of an eye" ), поэтому агент может быстро делать много итераций. Да еще и сам язык простой, поэтому меньше шансов, что агент закопается в собственные абстракции. А код потом сравнительно легко прочитать человеку или следующему агенту.

Так что похоже, Go для вайбкодинга нефигово рулит. Да и занудные if err != nil теперь проставляет агент, так что насрать на этот аспект :). Пусть хоть полпрограммы будет в этих проверках

Вышел NATS Server 2.15.0

Самое важное:

• Надёжнее работа JetStream-кластера. Масштабирование, перенос и замена реплик стали безопаснее: NATS аккуратнее ждёт, пока новые реплики догонят данные, прежде чем убирать старые.

• Улучшили backup/restore. Теперь backup конкретного stream можно делать без блокировки новых публикаций. Плюс backup стал удобнее для работы через CLI: можно фильтровать сообщения, диапазоны sequence/time, headers и т.д.

• Source/Mirror лучше переживает пересоздание stream. Если исходный stream удалить и создать заново с тем же именем, NATS теперь корректнее понимает, что это уже новый источник, и не зависает в ожидании старых sequence.

• sync: always стал намного быстрее. Особенно на replicated streams: убрали часть лишних fsync и улучшили batching в Raft, поэтому режим максимальной durability теперь значительно меньше бьёт по throughput.

• Новый лимит — 1000 consumers на stream по умолчанию. Уже существующие consumers не удаляются, но создать 1001-й не получится, если явно не увеличить max_consumers или не отключить лимит. Это главное, что стоит проверить перед обновлением.

Теперь у нас у всех есть простой способ поддерживать знание иностранного языка. Просто разговариваешь с клодом по-английски (или по-китайски) и получаешь ежедневную(!) многочасовую(!) практику. В конце рабочего дня пишешь "найди серьёзные ошибки в моем английском", и смотришь, что надо подтянуть, запоминаешь.

Даже разговорный язык можно тренировать, просто наговаривать в микрофон.

Правда, язык надо знать на досточно хорошем уровне, иначе будешь тормозить. Я пытался весной так по-чешски общаться (готовился к экзамену), ничего не вышло, слишком сложно и долго.

абьюзивные отношения с ИИ

кароч, много рефлексировал на эту тему, в том числе про самого себя и своё поведение.

есть такой защитный механизм у жертв насилия (под насилием я тут подразумеваю в принципе любую форму принуждения к чему-то, чего человек не хочет) - делать вид, что на самом деле это всё добровольно, даже не добровольно - а прям типа "я всеми руками за".
по сути, это способ создать у себя иллюзию контроля - делая вид, что ты сам выбрал что-то (чего на самом деле не хотел), ты как бы убираешь вот этот компонент принуждения, снимаешь с себя роль жертвы - дескать, это всё было твоим личным выбором, и ты вообще ему очень рад.

к чему я это? иногда вижу радикальный нарратив в тг-каналах, типа "<профессия Х> больше не нужны, все пойдут на мороз, те кто не юзают 20 параллельных агентов - луддиты и им место на свалке истории, ахахаха". и вот вроде бы и можно сказать "да, жестко, но по фактам - без ИИ в 26 никак", но от радикального нарратива веет каким-то злорадством и возвышением, типа, автор вот уже в поезде, который мчит его в светлое будущее, а тех, кто только ступает на перрон, и решил начать юзать ИИ на полгода-год позже остальных - гнать его, чтобы знал своё место.

вот я с одним таким челом на днях заобщался. и господи боже, насколько же он соткан из страхов, FOMO, думинга, ностальгии по профессии и тд. вся идентичность крутится вокруг идеи "не можешь победить - возглавь, я должен быть самым лютым аппологетом ИИ, чтобы меня эта мясорубка забрала последним". чел не особо рад новому миру, на самом деле. новый мир принуждает его меняться, он не просил об этом, и не особо этого хочет, он вообще устал бежать за этими трендами, он бы может лучше на рыбалку съездил или читал книги по вечерам. но чтобы не оказаться на "свалке истории" - берёт в руки флаг, натягивает улыбку, и идёт рассказывать другим о том, что если они ещё не сделали слоп-видео на remotion при помощи Opus 5.5 - им должно быть стыдно в глаза людям смотреть.
он не хочет быть жертвой изменений, которые он не выбирал, признавать, что они ему давно не в радость, происходят против его воли - поэтому он каждый день делает вид, что только и мечтал всю жизнь промптить рой агентов, и, наконец, мечта сбылась.

и вот я прям призадумался - а не делаю ли я тоже самое.
мне и правда не нравится отрицание реальности - когда я вижу комменты в духе "скоро пузырь лопнет, и мы будем руками весь ваш вайбкод разгребать, щеглы", меня это триггерит, потому что это какой-то абсурдный эскапизм.

но вот к чувакам, которые в ахуе от того, что то, что их профессия полностью преобразилась за ~2 года, у меня вообще нет вопросов - я и сам в таком же ахуе. ты живёшь в парадигме "я 20 лет получал сложные знания, поэтому мой труд дорогой и редкий", у тебя есть идея какого-то островка безопасности, какого-то актива в виде редких компетенций. а потом оп - и большей части этого больше нет. агент за ночь переписывает minecraft с java на rust по запросу ребёнка "хачу штоб работало быстрее".
и у меня нет вопросов к чувакам, которые не готовы тратить по несколько часов в день на изучение новых тулов, беспрерывные эксперименты и прочее, просто чтобы быть "на острие", которые устали от того, что знания устаревают чуть ли не в процессе изучения.

мне кажется, этот ахуй - это новая нормальность, и, на самом деле, единственная искренняя реакция, которая вообще может быть.
у психики человека есть предел пластичности - когда скорость изменений среды превышает некоторый уровень - адаптационные механизмы перегружаются, адаптация вообще перестаёт быть возможна, новые изменения просто вызывают тревогу и стресс.
и вот мы ушли довольно сильно за пределы "естественных темпов адаптации" ещё лет 20 назад. лет 10 назад уже во всю звенели звоночки об эпидемии депрессии, стресса, тревожности. а те темпы изменений, который происходят в последние пару лет - это уже совершенно запредельное безумие.
тут не то что адаптироваться к новой реальности невозможно - тут уже чертовски сложно просто держать руку на пульсе того, а что эта "новая реальность" вообще из себя представляет сегодня - какие вещи, которые вчера нейронки ещё не умели, сегодня уже умеют.

к чему я всё это? да хз. типа, сказать, что вы не одиноки, что ли.

когда вы в очередной раз увидите на просторах телеги или твиттера желчный пост в духе "ха-ха, ИИ обесценил X, теперь каждый может делать Y, поэтому Z идут на мороз" - знайте, за ним почти наверняка сидит до ужаса напуганный автор, который искреннее надеется, что этот нарратив - это его билет на Ноев Ковчег.

Хакер взломал более 100 известных сайтов с помощью ИИ

Исследователи кибербезопасности выяснили, что хакер использовал ИИ-агентов для атак на сайты крупных компаний, среди которых John Deere, SharkNinja и Cummins.

Для этого он использовал платформу Cairn, которая позволяет запускать автономных ИИ-агентов. Хакер поручил нейросетям анализировать сайты, находить слабые места в защите и выполнять отдельные этапы взлома.

По данным исследователей, таким способом удалось атаковать более 100 сайтов, а стоимость одного успешного взлома составляла около $50.

ссылка

Пиздец подкрался незаметно 😁

Сегодня в PHP закрывают сразу две критические уязвимости — CVE-2026-109618 и CVE-2026-109619, связанные с удалённым выполнением кода (RCE).

То есть потенциально атакующему не нужен доступ к серверу: при подходящих условиях код можно выполнить удалённо через веб.

Патчи PHP должны выйти сегодня. Точные затронутые и исправленные версии станут известны вместе с официальным релизом.

И вот тут начинается самое весёлое: в интернете до сих пор живёт огромное количество сайтов на старых PHP 5.x и древних Joomla/WordPress, которые уже никто никогда не обновит.

Кажется, у админов намечается интересный вечер 🍿

#php

Помните Никиту Васильченко из нашего подкаста?

Он поменял фамилию на Жан Клод, чтобы никто не догадался, но я-то всё равно узнал, что у него тоже теперь есть телеграм-канал. Так что подписываемся срочно, пацаны и пацанессы. Прям срочно!