💻 Хакер похитил с помощью агента API-ключ и сжег кредитов на $600 000!

Исследователь METR навайбкодил приложение для управления ИИ-агентами. Из-за бага интерфейс на несколько дней оказался открыт всему интернету, хакер нашел его и попросил агента раскрыть API-ключ. Последующие три недели гений просто тратил кредиты на ИИ-модели.

Самое прекрасное: большой расход кредитов заметили не сразу, так как METR регулярно проводит масштабные тесты, которые потребляют огромное количество токенов

✖️ xCode Journal

🤣 Должно быть вот так:
«Я создал этот баг, Гендальф
3000 лет назад»

💥 xCode Journal

Как проверить компанию до собеседования: чек-лист из 7 шагов

«Сначала проверь компанию, а потом уже трать на неё время». Многие откликаются и ходят на интервью без разведки, а уже на месте понимают, куда попали — иногда это заканчивается испорченной трудовой и незапланированной сменой работы.

Небольшая проверка до похода на интервью — способ сэкономить время и нервы. Чек-лист состоит из двух блоков: базовая проверка через открытые интернет-ресурсы и дополнительная — через реестры и базы.

Читать далее

👉 About Python

Привет, Хабр! Предыдущим летом семеро студентов прошли трехмесячную стажировку в Учебном центре НТЦ «Вулкан» с задачей, которая на первый взгляд кажется простой: создать устройство дистанционного управления для рулонных штор в офисном опенспейсе.

Команда наставников рассказывает, как был устроен процесс стажировки и каким образом было организовано взаимодействие со стажерами. В конце — много выводов, которые сэкономят время тем, кто захочет использовать этот опыт воспитания молодых специалистов (или просто сам впервые возьмется за аппаратный проект).

Читать далее

👉 About Python

Картинка загрузилась, но API вернул images: [] — ловушка relationship в SQLAlchemy

Это вторая статья автора. После первой он понял: начинать издалека и пытаться рассказать сразу обо всём — плохая идея. Поэтому сейчас будет одна задача, один странный баг и одна строка, которая его исправила.

В админке сайта-портфолио у проекта есть заголовок, описание и несколько изображений. После загрузки файла API должен вернуть обновлённый проект, чтобы интерфейс сразу показал новую картинку. Файл сохранялся, строка появлялась в базе, повторный GET тоже находил изображение. Но ответ самого запроса загрузки выглядел как images: [].

Читать далее: Habr

👉 About Python

Как я держу документы и инструкции для агентов в актуальном состоянии

После завершения сессии транскрипт остаётся на диске. Хук SessionEnd только ставит session_id в очередь, текст уроков не пишет. Systemd-таймер agent-learn-distill раз в ~30 минут будит distill.py, который берёт сессию из очереди или простаивающую. Если с последнего обновления ещё нет ~25 минут простоя и сессия не в очереди — скрипт ждёт. Нужно минимум два хода пользователя, иначе пропуск и повтор позже.

Скрипт строит выдержку из chat_history: до 12 ходов пользователя и до 4 коротких хвостов ассистента (лимит около 24k символов). Затем вызывает Grok без интерактива с готовым промптом и JSON-схемой. В промпт уже вложены текущий LEARNED.md, заголовок сессии и выдержка; модели нельзя звать инструменты и перечитывать файлы.

На выходе — либо skip, либо новый полный LEARNED.md (замена целиком, до ~80 строк и ~8k символов) плюс список уроков с метками learned / gotcha / decision. Тот же текст зеркалится в секцию Auto-learned файла MEMORY.md. Уроки gotcha и decision уходят в inbox на воскресный подъём в общие инструкции. В живой сессии тот же прогон можно форсировать командой /learn.

Читать далее

👉 About Python

Разработчик из Казахстана в статусе ИП обходится на 22% дороже

Допустим, компания присматривает мидла на бэкенд в Казахстане. Вилку согласовали, все счастливы. Но бухгалтер вклинивается с вопросом: он ИП или физлицо? И ответ на этот вопрос решает, станет ли проект дороже на те самые 22%.

Дальше разбор: откуда ноги растут у этих 22%, почему НДФЛ с казахстанца платить не надо, но налоговым агентом остаться всё равно придётся, и какая конкретно формулировка в договоре способна превратить экономию в доначисление.

Только не воспринимай это как универсальную инструкцию. Тут описан типовой кейс: разраб живёт в Казахстане, работает там же, в Россию не приезжает. Так что алгоритм лучше согласовать с юристом.

Читать далее

👉 About Python

🌐 Твоё ИИ-решение — в одной из крупнейших энергетических компаний России

Получи подготовленные данные и разработай ИИ-ассистента для энергетики на соревновании от ПАО «Интер РАО» при поддержке «Яндекса». Лучшие проекты смогут стать частью экосистемы компании. Призовой фонд — 750 000 рублей.

Регистрация открыта до 27 сентября.

Можно участвовать одному или командой до 5 человек. Идеальный состав: разработчик, специалист по машинному обучению, аналитик и дизайнер.

Стартуем 28 сентября. Придумай концепт проекта: самые сильные идеи участники доработают под руководством экспертов с 9 по 23 октября. Финал в Москве — 3 ноября.

Задачи соревнования — за какую возьмешься?

1️⃣ ИИ-помощник для подготовки презентаций.
Создай инструмент генерации презентации в корпоративном стиле из текстового брифа.

2️⃣ Помощник для анализа документов из судов.
Разработай систему, которая сможет распознавать, классифицировать и заносить судебные и исполнительные документы в базу данных.

3️⃣ Ассистент для создания ИТ/ИБ-дайджестов.
Напиши ассистента, который будет регулярно анализировать релевантные новости из различных источников и формировать краткую сводку.

4️⃣ Архитектор BPMN-диаграмм.
Создай генератор BPMN-диаграмм, который позволит из текстового описания процесса собрать валидную схему в формате BPMN 2.0.

Получи сильную строчку в портфолио и уникальный опыт работы под руководством экспертов Группы «Интер РАО».

Регистрируйся: https://cnrlink.com/interraohack26aboutpy

Месяц вайбкодинга с незнакомцами и инструменты, которые стал использовать бизнес КОРУСа

В августе в КОРУСе прошла ИИ-лаборатория: четыре незнакомых человека в команде разрабатывали реальный продукт, а заказчик из бизнес-единицы ждал результат. Студенты учились работать с искусственным интеллектом, брать ответственность за проект с первого дня и справляться со страхами первого опыта.

О том, как это было, рассказывают коллеги из HR, Корпоративного университета, бизнес-единиц и сами стажеры.

Читать далее

👉 About Python

На платформе Standoff 365 разобран взлом уязвимой машины городского мессенджера Messenger. Автор подробно объясняет каждый шаг: почему было принято то или иное решение, на какие признаки он опирался и где искать дополнительную информацию. Статья рассчитана как на близких к IT и ИБ, так и на далеких от этих областей.

В ней проводится эксплуатация цепочки из двух базовых уязвимостей и реализация двух бизнес-рисков: получение доступа к корпоративной переписке разработчиков и получение ключа шифрования мессенджера. Читать далее

👉 About Python

Zero Downtime Deploy: как обновлять production, не роняя пользователей

Представьте: у вас простое веб-приложение — онлайн-редактор — и оно уже выдерживает нагрузку под 100 RPS. Вы, как тимлид, наконец завершили обновление, провели бессонные ночи и готовы к релизу. Пользователи доверяют сервису свои задачи, а вы хотите сделать их жизнь лучше.

Момент настал: 3, 2, 1… Релиз прошёл успешно. Все рады, но спустя время начальство заходит с крайне неприятным выражением лица. Чем же оно недовольно?

Источник: Habr

👉 About Python

Stealth Browser MCP — опенсорсный инструмент автоматизации браузера с помощью нейросети. Работает через настоящий Chrome/Chromium/Edge и подключается к Claude Code и другим MCP-совместимым агентам, отдавая им практически полноценное управление браузером. Внутри 97 инструментов в 11 категориях.

Агент умеет открывать сайты; взаимодействовать со страницами; вытаскивать элементы вместе с DOM, CSS, событиями, анимациями и ресурсами; смотреть сетевые запросы, ответы, headers и payload; выполнять JavaScript и команды Chrome DevTools Protocol; печатать текст обычным способом или мгновенно вставлять большие объёмы через CDP; перехватывать и изменять потоки запросов/ответов с помощью сетевых hooks. Также доступно клонирование интерфейсов и анализ сети — можно превратить ИИ в помощника по исследованию веб-приложения.

Для установки понадобятся Python 3.10+ и Chrome, Chromium или Microsoft Edge. Задачи ставятся обычным языком. Подробности — в GitHub/Инструкция.

👉 About Python

Сервис, который пишет мне парсеры по ТЗ. Начиналось как тест на выходные

Нужно было подключать поставщиков к своим сервисам: сходить на сайт или в API, забрать каталог, разложить по колонкам. Работа одинаковая, но каждый раз чуть другая — и каждый раз это вечер с devtools. В конце июня я сел проверить, можно ли отдать это модели. Не «пусть подсказывает код в редакторе», а чтобы она сама запускала написанное, видела ответ сервера и правила по факту.

Первая версия — один вызов LLM без запуска — на реальных поставщиках не заработала ни разу. Дальше был агентный цикл с песочницей, два дня возни с дешёвой моделью, которая проговаривала вызовы инструментов прозой вместо structured output, и запрет в промпте, который тихо ломал главный сценарий. Рассказываю, что из этого вышло.

Читать далее

👉 About Python

🤣 Наконец-то батя покажет, как он в детстве ходил в школу за 100 верст

💥 xCode Journal

Как оптимизировать выгрузку данных, когда не хватает вычислительных ресурсов

Привет, Хабр! Меня зовут Александр, я занимаюсь развитием системы расчёта налога на дополнительный доход в ИТ-кластере. В статье расскажу, как без боли выгрузить большие таблицы из базы данных и отдать пользователю в xls-формате. Разберу вариант выгрузки всех данных в одном файле без кэширования и объясню, почему такой подход не сработает.

Читать далее

👉 About Python

🤩 Нашли репу с десятками практических проектов для прокачки навыков и резюме

Внутри 54 проекта разной сложности по Terraform, Kubernetes, Docker, CI/CD, DevSecOps, AWS, Azure, безопасности и мониторингу.

Есть полноценные лабораторные с кодом и конфигами и также пошаговые гайды — так что можно разобраться, повторить всё своими руками и положить результат в портфолио.

✖️ xCode Journal

Почему видос из анимешного плеера не залетает в <...>, и как я всё же собрал синхронный просмотр на двоих

Задумка простая: рубиться в аниме с корешами так, чтобы у одного пауза — и у остальных тоже. Не Discord Go Live, где картинка плывёт и артефачит, не «на счёт три тыкаем пробел», а нормальный общий плеер: любой нажал — у всех отмоталось. Автор думал, что управится за вечер, а влез в четыре неочевидные проблемы. Три из них он вообще нигде не нашёл описанными. Плюс ночь отладки на тему «почему hls.js втихаря не делает ничего».

Что внутри: почему прямая ссылка на видос в браузере — пустышка, как выглядит прокси, который подписывает токены и переписывает HLS-плейлисты на лету, как подружить плееры без бесконечного эха событий и почему preload="none" ломает Media Source Extensions.

Читать далее

👉 About Python

Прогнал мониторинг упоминаний бренда в ChatGPT: три схемы съёма данных — три разные картинки

Автор вытащил ответы ChatGPT для клиента по 20 вопросам, причём тремя разными способами. Без всяких подсказок бренд всплыл в одном вопросе из 19 в первом съёме — и ни разу в двух остальных.

Общих источников у окна чата и у API — 17 из 49 и 68 доменов. Так что рядом с каждой цифрой помечено, каким способом её добыли.

Читать далее

👉 About Python