Код в мешке
250 subscribers
8.99K photos
1.59K videos
2.11K files
42.3K links
Код в мешке - про кодинг, и не только...
Это личная записная книжка

https://t.me/joinchat/AAAAAEIy6oGlr8oxqTMS5w
Download Telegram
Forwarded from IT Portal
История о том, как чувак зашёл на clickup, открыл исходники страницы и нашёл захардкоженный API-ключ прямо в JavaScript. Он просто скопировал ключ и отправил один GET-запрос.

В ответ прилетело 959 email-адресов и 3 165 внутренних feature-флагов.

Среди них – сотрудники Home Depot, Fortinet, Autodesk, Tenable, Rakuten, Mayo Clinic, Permira, Akin Gump, госслужащие из Вайоминга, Арканзаса, Северной Каролины, Монтаны, Квинсленда (Австралия) и Новой Зеландии, подрядчик Microsoft и 71 сотрудник ClickUp.

Fortinet продаёт enterprise-фаерволы. Tenable разрабатывает Nessus – сканер уязвимостей, которым пользуется половина индустрии. И email их сотрудников оказались раскрыты из-за того, что ClickUp захардкодил API-ключ стороннего сервиса в JavaScript-файле, который подгружается ещё до авторизации.

Об этом сообщили ClickUp через HackerOne ещё 17 января 2025 года. Сейчас апрель 2026-го – ключ так и не ротирован. Эндпоинт всё так же возвращает те же данные, все email по-прежнему доступны

ClickUp привлёк $535 млн при оценке в $4 млрд и заявляет, что их платформой пользуются 85% компаний из Fortune 500. Судя по всему, часть подтверждений этому до сих пор лежит прямо в исходниках страницы. 🤩

@IT_Portal
Please open Telegram to view this post
VIEW IN TELEGRAM
Please open Telegram to view this post
VIEW IN TELEGRAM
Forwarded from IT Portal
NVIDIA предоставляет бесплатный API-доступ к моделям ИИ.
DeepSeek V4, MiniMax M2.7, GLM 5.1, Gemma 4...

Отлично подходит для тестирования в процессе разработки.
Можно использовать с OpenCode и OpenClaw.

Доступ можно получить здесь:
http://build.nvidia.com/models

@IT_Portal
Forwarded from IT Portal
Ghostty уходит с GitHub

Митчелл Хашимото прокомментировал это так:
Я пользователь GitHub с ID 1299, зарегистрировался в феврале 2008 года. Я заходил на GitHub практически каждый день на протяжении более чем 18 лет. У меня никогда не было вопроса, куда выкладывать свои проекты – всегда GitHub. Очень грустно это говорить, но пора двигаться дальше.


@IT_Portal
Forwarded from IT Portal
Терминал Warp стал опенсорс. Написан на Rust, доступен на Windows, macOS и Linux.

Комьюнити встретило новость очень тепло – за считанные часы репозиторий набрал уже 41+ тыс. звезд! 😮

https://github.com/warpdotdev/warp

@IT_Portal
Please open Telegram to view this post
VIEW IN TELEGRAM
Forwarded from Киллер-фича
This media is not supported in your browser
VIEW IN TELEGRAM
Влетаем в IT без каши в голове — нашли сайт с готовыми дорожными картами по разработке, языкам и главным навыкам. Тут достаточно нажать на нужную тему и сразу получить готовые статьи, видео и материалы.

— Есть направления вроде Frontend, Backend, Android, Python, DevOps, Git или Docker.
— Каждая карта кликабельна: сразу поймёте, что учить сначала, что потом, где база, а где уже продвинутый уровень.
— Есть квизы для проверки знаний и готовые карты от комьюнити.
— Работает БЕСПЛАТНО.

Юзаем — тут.

@killerfeat
This media is not supported in your browser
VIEW IN TELEGRAM
Cursor выпустил Debug Mode в конце прошлого года: агент собирает логи из рантайма и на их основе ищет причину бага. Мы пошли дальше и дали агенту доступ к настоящему дебаггеру — брейкпоинты, step over/into, evaluate expression.

Чтобы не быть голословными, взяли свежее issue в jsoup (декабрь 2025, в обучение не попало), запустили три варианта с одной моделью — Claude Sonnet 4.6: Claude Code без спецтулинга, Cursor Debug Mode и Veai Debug Agent.

Справделивости ради, все три нашли причину и предложили правильный фикс.


Но есть разница в деталях!

Veai справился примерно за 4 минуты
• Cursor — за 6 минут
• Claude Code без тулов — за 8 минут

Cursor показал более структурированный подход к логированию, но Veai выиграл за счёт прямого доступа к дебаггеру — evaluate expression позволяет срезать путь прямо во время сессии, а не ждать следующего цикла.

Подробный разбор стратегий, расхода токенов и кроссплатформенности — в новой статье на Хабре.

@veaicode
Вчера у нас прошел первый вебинар авторского курса «AI-инструменты для разработчиков 2026. Как Middle–Senior увеличить продуктивность в 2–3 раза» — спасибо всем, кто был в эфире и активно участвовал.

Если вы не успели подключиться или хотите пересмотреть отдельные моменты, доступна запись вебинара
по прямой ссылке 🔥RuTube ☝️
за лайк и комментарий отдельное ❤️

По плану — Модуль 2
про использование AI-инструментов на уровне проекта: контекст, память, процессы.
Следите за анонсами🔥
Please open Telegram to view this post
VIEW IN TELEGRAM
This media is not supported in your browser
VIEW IN TELEGRAM
⚡️ Debug Mode: агент, который умеет работать с дебаггером IDE

Когда баг не ловится по логам и не объясняется простым чтением кода, приходится открывать дебаггер и разбираться шаг за шагом самому.

Наверняка, многие из вас часто сталкивались с ситуацией, когда агент, не обладая таким необходимым навыком как “дебаггинг”, бесконечно пытался пофиксить ошибку, запуская компиляцию и пытаясь угадать причину по логам.

Мы находимся в точке, когда с одной стороны команды агентов собирают компилятор с нуля и в то же время не умеют делать то, чему учат джунов в онлайн школах буквально на первом-втором занятии.

Начиная со следующего релиза ваш агент будет уметь дебажить, как вы! 🚀


Он сможет ставить брейкпоинты, запускать код под отладкой, анализировать состояние переменных и пошагово проверять гипотезы о причине проблемы. В общем, делать всё то, что мы с вами делаем каждый день!

Установить Veai | Все возможности Veai

@veai_devs
Делимся серией подкастов и статей про выбор моделей и self‑hosted LLM.

Часть 1: как выбирать модели? Публичные бенчмарки превратились в маркетинг — лаборатории доучивают модели прямо на тестах, и цифры растут, а поведение на реальных задачах нет. Рабочий путь для компании — закрытый бенчмарк на своих репозиториях с метриками вроде доли задач, доведённых до PR без вмешательства разработчика. Смотреть на RUTUBE / Читать в РБК

Часть 2: практика self-hosted LLM. Разбираем железо от игровых GPU до серверных решений и альтернатив NVIDIA. Сравниваем фреймворки инференса: TensorRT-LLM, vLLM и llama.cpp решают разные задачи и плохо взаимозаменяемы. Отдельно про квантизацию — 4 бита стали практической точкой баланса качества и скорости. Смотреть на RUTUBE

Часть 3: в работе.

Veai в других соц.сетях: РБК / Хабр / Дзен / ВК / Макс

#Veai #УправляемыйAI #AIразработка #SDLC #ИИкод #КачествоКода #AIгенерациякода #AIagents #ИИагент #LLM
☝️Где нас можно смотреть и читать! Выбирайте удобную площадку и подписывайтесь🤝
На наших каналах мы собираем всю важную информация про AI в разработке.
Нас более 50 специалистов — исследователей и инженеров, обладающих экспертизой в статическом и динамическом анализе кода, автоматизированной генерации тестов и символьном исполнении программ. Команда профессионалов, экс-команда из JetBrains и Huawei с опытом создания корпоративных решений на основе формальных методов.


📹RuTube — Подкасты, вебинары, обзоры AI‑ассистентов, практические демо, практические разборы.

📱Телеграм В2В — быстрые инсайты, анонсы релизов и вебинаров, выдержки из клиентских кейсов, промпты и рабочие шаблоны.

РБК / Хабр / Дзен / ВК / Макс 🤝

#Veai #УправляемыйAI #AIразработка #SDLC #ИИкод #КачествоКода #AIгенерациякода #AIagents #ИИагент #LLM
Please open Telegram to view this post
VIEW IN TELEGRAM
This media is not supported in your browser
VIEW IN TELEGRAM
🚀 Агентное программирование — один из главных трендов последнего года. В Veai есть набор готовых агентов из коробки, но узкие сценарии конкретного проекта или стека ими не закрыть.

Начиная с последнего обновления можно создать своего агента: задать системный промпт, набор инструментов и предустановленные SKILLs.

Агент описывается в привычном.md файле — его можно шарить на всю команду и переиспользовать.

Формат совместим с Claude-агентами: любой готовый агент подключается без изменений.

@veai_devs
Всем привет!

Спешим поделиться с вами отличной новостью: теперь наш плагин можно скачать с маркетплейса OpenIDE 🚀

Площадка дает пользователям безопасный и бесплатный доступ к плагинам, без санкционных рисков.

И да, вы по-прежнему можете установить Veai с нашего сайта.
Совсем скоро там появится новая версия 😉
Выкатили исправление уязвимости — через 9 часов 41 минуту уже началась атака

Есть такой инструмент Marimo — это Python-блокнот для аналитики, как Jupyter, только современнее. На днях авторы опубликовали предупреждение: в старых версиях один из веб-адресов не проверял авторизацию. Любой, кто до него достучится, получает полноценный shell на сервере. А если Marimo крутится в Docker-контейнере — обычно с правами root.

Публичного эксплойта ещё не было — только описание проблемы. Sysdig поставил ловушку и засёк первую реальную атаку ровно через 9 часов 41 минуту после публикации. От захода до кражи ключей к облаку и API LLM-провайдеров прошло меньше трёх минут.

И это уже не разовая история — в прошлом году так же угнали Langflow и Flowise. Видимо, хакеры читают рассылки с уязвимостями внимательнее, чем их жертвы.

Если у вас Marimo — обновляйтесь до 0.23.0 (всё ниже 0.20.4 уязвимо), запускайте только на --host 127.0.0.1 и ротируйте ключи облаков. Подробности.

@your_tech (теперь ещё в VK и Max)
Хакер купил 30 WordPress-плагинов и 8 месяцев ждал

Представьте: покупаете легальный бизнес, выпускаете скучный апдейт «проверка совместимости» — и терпеливо ждёте почти год. Именно так поступил новый владелец Essential Plugin: в конце 2024 взял на Flippa компанию с 30+ плагинами и десятилетней историей, а в августе 2025 вшил в обновление 191 строку бэкдора.

6 апреля 2026 закладка проснулась: через PHP-десериализацию прописалась в wp-config.php и начала лить SEO-спам — но только для Googlebot, живые пользователи ничего не видели.

Главный трюк — C2-сервер резолвится через смарт-контракт Ethereum. Domain takedown бесполезен: адрес меняется одной транзакцией. WordPress.org закрыл все плагины 7 апреля, но уже обновившиеся сайты придётся чистить руками.

@your_tech (теперь ещё в VK и Max)
Google объявил войну back button hijacking

Если у вас на сайте кнопка «Назад» возвращает не туда, куда пользователь пришёл, — у вас 60 дней. С 15 июня 2026 Google понижает такие страницы в выдаче и раздаёт ручные санкции в Search Console.

Под удар попадает всё, что мусорит в history: цепочки редиректов, лишние pushState, перехват popstate ради «вы уверены, что хотите уйти?». SPA-роутеры с тремя записями на клик — туда же.

Самое неприятное: отвечает сайт, даже если хайджек прилетел из рекламной сети или стороннего виджета. «Это не мы, это AdSense второго эшелона» — не аргумент, пенальти получит ваш домен.

Разобрали в посте, как за 5 минут проверить свой сайт через DevTools и где у себя искать.

@your_tech (теперь ещё в VK и Max)
Три ИТ-события, которые вы могли пропустить (а зря)

Пока все гонятся за хайповыми новостями, мы вместе с коллегой Андреем Дмитриевым из JUG.ru собрали события, которые уже повлияли на мир разработки.

В пилотном выпуске нового подкаста:
— Хакеры стерли десятки тысяч ПК через Microsoft Intune
— Дефицит оперативной памяти до 2030 года
— Оптимизация glibc под x86_64

О других событиях вы можете узнать, послушав подкаст.

Особое внимание предлагаем уделить рефлексии. В выпуске мы подсветили, почему те или иные истории важны для ИТ-сообщества. А теперь призываем вас в комменты под видео: что уже вошло в вашу жизнь из этих кейсов? И как думаете, что из этого не производит резонанса?

Смотрите подкаст и присоединяйтесь к дискуссии: https://tprg.ru/S7jD

@your_tech (теперь ещё в VK и Max)
Forwarded from Хакер — Xakep.RU
Указатель в никуда. Разбираем недавний баг use after free в Chrome

👑 Статья для подписчиков

Ты просто открываешь сайт, а вредоносный код уже выполняется в браузере. Дальше он пытается выбраться из песочницы и захватить комп. К таким последствиям может привести уязвимость use after free в движке CSS Chrome (CVE-2026-2441). Пока ты читаешь статью, тысячи пользователей продолжают сидеть на уязвимой версии браузера.

https://xakep.ru/2026/04/15/chrome-use-after-free/
Forwarded from Хакер — Xakep.RU
Как лгать машине. Разбираем принципы работы полиграфа и способы обойти проверку

👑 Статья для подписчиков

Ты наверняка слышал о детекторах лжи и даже, возможно, видел их в фильмах. Можно ли противодействовать проверке на полиграфе, как обмануть это устройство и его оператора? В этой статье подробно обсудим, какие методы реально работают, а какие лучше никогда не использовать на практике.

https://xakep.ru/2026/04/15/polygraph-tricks/
🎮 Включить DLSS x6 на любой видеокарте? Теперь можно

Появилось обновление DLSS Enabler — утилиты, которая позволяет запускать генератор кадров NVIDIA вплоть до x6 на видеокартах, которые официально не поддерживают эту функцию.

🔧 Что умеет:
• Работает на любых GPU с DirectX 12 Ultimate (Nvidia / AMD / Intel)
• Эмулирует генератор кадров до множителя x6
• Совместим с играми, где есть поддержка DLSS: Crimson Desert, Resident Evil Requiem и другие

⚠️ Важные нюансы (честно):
• Это эмуляция, а не аппаратная функция как в RTX 50-й серии
• Качество картинки может просесть, особенно при низком исходном FPS
• В разрешении FHD артефакты заметнее, чем в 2K/4K
• Возможна задержка ввода (input lag)

🎯 Для кого это реально полезно:
• Владельцы топовых RTX 3080/3090 / RTX 4070+
• Флагманы AMD RX 7900 XT/XTX
• Те, кто уже имеет 50-60 FPS в 2K/4K и хочет больше плавности

📈 Ожидаемый эффект:
• Был стабильный кадр → стал «маслянисто» плавный
• Но: если было 30 FPS — чуда не жди, будет только хуже

🔗 Инструкция + ссылки на загрузку:
https://www.nexusmods.com/site/mods/757?tab=description

Пробовали уже?
👍 — Да, работает и радует!
👎 — Нет, жду стабильной версии / не рискну
🤡 — Не актуально / слабая видеокарта

#nvidia #dlss #видеокарты #игры #лайфхак #апдейт
🏆 Рейтинг игровых CPU. Апрель 2026 (Tom’s Hardware)

Тестировали 29 процессоров в 17 играх (1080p) в связке с топовой RTX 5090. Результаты однозначные.

🔴 AMD доминирует:
Весь Топ-6 заняли процессоры с технологией 3D V-Cache.

🚀 Абсолютный лидер:
Ryzen 7 9850X3D. Он на 22,5% быстрее, чем лучший Intel (Core i9-14900K).

🔵 Ситуация у Intel:
Новый Core Ultra 7 270K Plus уступает прошлогоднему i9-14900K на 1,2%. По производительности он равен Ryzen 9 7900X3D (9-е место).

💡Итог:
Для чистого гейминга AMD пока вне конкуренции. Intel берет свое в рабочих задачах, но в играх «красные» снова впереди.

На каком процессоре играешь сейчас?
💯 — AMD Ryzen (Топ за свои деньги)
👍 — Intel Core (Стабильность)
🤡 — Жду апгрейда, коплю

#pc #железо #процессоры #игры #amd #intel #рейтинг
Forwarded from NN
Ищем крутую удаленку в IT: появилась база из более 200 международных компаний с вакансиями в русскоязычные команды.

Можно выбирать компании по странам и отраслям. У каждой указан целевой рынок, возможность релокации или наличие удаленки.

Выбираем работу мечты тут.