jscpd 5.2.1: куди рухається дублювання

Один запуск jscpd показує, скільки дублювання в коді сьогодні. Куди воно рухається, з одного запуску не видно.

У 5.2.1 зʼявився прапорець --history. jscpd бере кожен коміт у git-діапазоні, чекаутить його в тимчасовий detached worktree (той самий механізм, що й у --baseline-from-ref), сканує з конфігурацією поточного запуску і друкує серію прямо в терміналі: графік і таблицю зі зміною між точками. Остання точка — working, тобто поточний стан разом із незакоміченими змінами.

jscpd src --history v5.0.0..HEAD
jscpd src --history-since 2026-01-01
jscpd src --history main --history-since 2026-06-01 --history-every 5 --history-limit 12

Що дає --history:

— вісь Y графіка йде від мінімуму до максимуму серії, тому дрейф з 2.0% до 2.4% видно, а не губиться в пласкій лінії на шкалі від нуля

— з --threshold, коли поточне значення нижче порогу, jscpd показує, на скільки поріг можна підтягнути. Це ручна форма ratchet: цифру дає jscpd, рішення за вами. Якщо значення вище порогу, спрацьовує звичайна помилка і запуск завершується з кодом 1

— json-репортер додає обʼєкт history з масивом points[], ai-репортер друкує один компактний рядок на точку

— у GitHub Action це інпут history, з fetch-depth: 0, бо діапазон має бути в checkout

Хостований дашборд не потрібен: достатньо git у PATH і комітів локально. Кожна точка — окремий скан, тому для scheduled job на великому репозиторії --history-every і --history-limit тримають прогін коротким. За замовчуванням серія обмежена 30 точками.

Детальніше в документації: https://jscpd.dev/guides/history

jscpd безкоштовний і тримається на спільноті. Якщо він економить час вашій команді, підтримайте: https://opencollective.com/jscpd

Подивись, як AI-судді розбирають код агента👆

Це тестова гра нашої команди в ololo.

Навіщо це тобі:

— Ти бачиш не звіт агента, а те, що він насправді написав. Судді читають код і пояснюють, що не зійшлося і чому.

— Після кожної гри маєш розбір: що було слабким і за що можна було взяти більше очок. Це рев’ю не лише коду, а й того, як ти працюєш з агентом.

— Можна дати суддям свій проєкт. Опиши, що хочеш зробити, — ololo складе з цього задачі, а судді перевірять кожну.

— Граєш зі своїм агентом: Claude Code, Codex, Gemini, opencode, aider. Перша гра безкоштовна.

Відкрий гру з відео — без акаунта. Там рахунок гравців і всі вердикти суддів: що саме вони знайшли в коді.

https://ololo.dev/s/4ENXFY

GitSpawn і Plugin4Shell — дві вересневі вразливості в кодинг-агентах. Обидві запускають чужий код на твоїй машині. Ось як закритися за 5 хвилин.

GitSpawn
Проект приходить файлами разом із папкою .git — архівом, через спільний диск чи флешку. У .git/config прописано core.fsmonitor: це налаштування запускає програму. Агент робить git status, щоб зібрати контекст, і програма стартує поза пісочницею — ще до запиту на довіру до папки.

Виправлено: Claude Code 2.1.179, Codex 0.146.0.
Не виправлено: GitHub Copilot. Gemini CLI більше не оновлюється.

Plugin4Shell
Агент ставить плагін, закріплений на коміті, через git checkout і не перевіряє результат. Атакер створює гілку з назвою, як хеш коміту, і git бере гілку. Під час автооновлення приїжджає чужий код.

Виправлено: Claude Code 2.1.179, Codex 0.146.0.
Не виправлено: GitHub Copilot. Gemini CLI більше не оновлюється.

Що зробити:

1. Оновити агента:
claude --version
codex --version

2. Перед тим як відкрити агентом папку, яку тобі передали файлами:
cat .git/config
Будь-який ключ, що називає програму, може її запустити.

3. Перевіряти скіли до встановлення — NVIDIA SkillSpector, 69 патернів у 17 категоріях: prompt injection, витоки даних, supply chain.
uv tool install git+https://github.com/NVIDIA/skillspector.git
skillspector scan ./my-skill/

Деталі:

manifold.security/blog/ai-coding-agents-git-hijack

air.security/blog-posts/plugin4shell

Хочеш зрозуміти, що робить твій агент між промптом і «готово»? Збери його сам.

В ololo є гра Handmade Claude Code: твій агент з нуля будує кодинг-агента. 7 частин, 63 задачі, на час.

❌ Агент ходить по колу і палить токени, а ти не розумієш чому.
✅ Будуєш його цикл сам: розмова → інструменти → результат → знову. Після цього бачиш, де він застрягає.

❌ Код від агента ніхто толком не перевіряє.
✅ AI-судді розбирають і код, і те, як ти вів агента: де втратив бали і що змінити в промптах.

❌ Туторіали про агентів закінчуються на «hello world».
✅ У кінці лишається робочий консольний агент у твоєму репозиторії, будь-якою мовою.

Ще в категорії Reinvent the Wheel — Handmade ChatGPT і Handmade find.

Граєш зі своїм агентом, перша гра безкоштовна.

ololo.dev

Вийшла стаття на DOU: як виміряти рефакторинг AI-агента на кодовій базі у 200 000 рядків.

Піддослідний — Open WebUI: 209 500 рядків TypeScript, Svelte і Python. Один агент, одна сесія, 12 комітів. Промпт вимагав чотирьох речей: рефакторинг за скілом codebase-refactoring, прогнати jscpd, описати результат, задокументувати перебіг. Це була вся інструкція.

Що вийшло:
— health score: 50 (D) → 61 (C)
— 359 однакових реалізацій API-запиту → одна функція apiRequest()
— дублювання в TypeScript: 20,5% → 6,3%
— ~10 000 рядків зникли з кодової бази

Але найцікавіше не цифри. Агент зупинився сам: middleware на 6 388 рядків без інтеграційних тестів він не чіпав, бо далі безпечність змін нічим було підтвердити. Складність лишилась майже на місці — 37 → 38. Шкала, яка може лише зростати, бреше. Тут видно, де метод упирається в межі.

Висновок: «зроби код чистішим» — не інструкція, бо в ній немає міри. Вимірювана ціль плюс перевірка після кожного кроку — і рефакторинг перестає бути суб'єктивним прибиранням.

Повний розбір, таблиця по кожному коміту і як запустити це в себе — у статті: https://dou.ua/forums/topic/62369/?from=slider

Є що заперечити щодо методу — пишіть у коментарі на DOU, це цінніше за лайк.