Ребята, поздравляю с наступающим 2026! Спасибо за этот год, за ваши лайки, 🔥 и ❤️ — без вас блог про код и продукт был бы мёртвым.

Что бы ни говорили про следующий год (AI захватит мир? Дедлайны сожрут?), желаю нам не бояться действовать вопреки.

До встречи в 2026 году 🚀

А ты доверяешь проекту?

Для Cursor или любого другого VSCode‑форка есть ненулевая вероятность, что при открытии чужой репы IDE тихо запустит какие‑нибудь скрипты в фоне.
​
Недавно наткнулся на историю: человек скачал репозиторий с автономным ИИ‑агентом «просто посмотреть код», открыл папку в Cursor и IDE сразу же сама запустила какие‑то node‑скрипты в терминале. Без единого клика.

Как это вообще возможно:
В обычном VSCode и Jetbrains IDE есть Workspace Trust — та самая модалка «доверяете ли вы этому проекту?», которая решает, можно ли запускать расширения и скрипты.

Есть Tasks с режимом runOn: folderOpen, который позволяет запускать скрипты при открытии папки.

В чистом VSCode это завязано на trust. А вот в Cursor, по их же документации, workspace trust по умолчанию отключён, и никакого лишнего вопроса не появляется.
​
В итоге злоумышленнику достаточно положить в репозиторий tasks, которые стартуют при открытии папки, и дождаться, пока кто‑то откроет эту репу в форке с выключенным trust. Node‑скрипт в таске имеет доступ к ОС — далее пространство для фантазии.
​
Что можно сделать прямо сейчас:

1️⃣включить workspace trust;
2️⃣ отключить автоматический запуск tasks.
​
В settings JSON это две строки:

"security.workspace.trust.enabled": true,
"task.allowAutomaticTasks": "off"

После прочтения этой истории первым делом пошёл и проверил свои настройки.

#толки

Никогда такого не было — и вот опять

В прошлый раз писал про борьбу за запуск рекламы Photo Math в Google Ads. После этого рассказывал, что думаю над вариантами, как запустить Photo Math на рынок РФ и СНГ: даже была идея пересобрать браузерное расширение в формат Telegram‑бота, но до реальных действий так и не дошло. Вместо этого в голове заело один вопрос: как всё‑таки протолкнуть рекламу в гугл. Как мания какая‑то.

В начале января я полез искать сервисы, где продают Google Ads‑кабинеты для арбитража трафика. Логика была простая: инструменты арбитражника не так уж отличаются от инструментов продвижения расширения, значит, можно попробовать "арендовать" живой кабинет и не мучить свой.

В итоге мне через один из таких сервисов просто создали Google Ads‑кабинет прямо на мой личный Google‑аккаунт (добавили в чей‑то воркспейс) и выдали доступ. И я не успел даже толком открыть интерфейс, как этот кабинет ловит бан с той же формулировкой:

Your account is suspended
Your account violated the circumventing systems: multiple account abuse policy.

​
То есть, по сути, несмотря на то что механизм получения кабинета Google Ads сильно отличался от прошлых попыток, я всё равно оказался ровно в той же точке: аккаунт в бане по тем же причинам, а реклама так и не запущена.

Пока мой агентский аккаунт живёт своей жизнью в очереди на разбан/замену, решил не зависать в этом болоте и достать из ящика бота, о котором давно забыл.

У меня уже есть готовый Telegram‑бот, который помогает расшифровывать причины плача малышей. Когда‑то запустил его, но забил и дальше не развивал. Сейчас план такой:

1️⃣ привести код в порядок,

2️⃣переехать с Python + YDB на Supabase,

3️⃣собрать простой лендинг,

4️⃣ закинуть небольшой бюджет в Яндекс.Директ/РСЯ и посмотреть, есть ли вообще спрос.


И тут у меня к вам вопрос:

❤️ - я сейчас занимаюсь всей этой сагой с Google Ads ради результата или уже просто ради процесса

👍 - может, пора забить на борьбу с гуглом и сосредоточиться на том, что реально можно протестировать доступными инструментами - тем же Яндексом и ботом

#bip #photo_math #google_ads

Записал видео на YouTube про свою личную концепцию: как именно смотрю на работу, проекты и жизнь вокруг разработки

📱 YouTube
📱 VkVideo
📱 Дзен
📱Rutube