Как не дать ИИ заливать мусор в GitHub.

В репозитории git push no-mistakes предложили подход, где изменения прогоняются через локальную проверку до попадания в PR.

Идея простая. Перед пушем ветка проходит валидацию: ИИ проверяет код, дальше запускаются тесты, линтер, генерация документации и CI. Всё это работает локально через worktree, без блокировок и без остановки процесса разработки.
Если всё зелёное — открывается чистый pull request. 🐸

❤❤❤
Yandex B2B Tech запустил Vibecraft – сервис для вайбкодинга создания сайтов и веб-приложений

Yandex B2B Tech на фестивале про карьеру и технологии Young Con открыл публичный доступ к Vibecraft — сервису для создания сайтов и веб-приложений по текстовому описанию. С его помощью моджно создавать прототипы цифровых продуктов, трекеров, CRM-систем, мини-игр и не только.

Что умеет:

🔴 добавлять личный кабинет, каталог и форму загрузки файлов
🔴 подтягивать фирменный дизайн
🔴 публиковать проекты в интернете, в том числе на своих доменах

...и многое другое

🔥На старте каждый пользователь получает 4000 нейрокредитов для тестирования. А до 1-ого июля среди всех, кто создаст первый проект разыграют iPhone 17.

Завайбкодить проект можно по ссылке

Как создать агента, который со временем становится лучше

Есть три направления, в которых агент может обучаться:

1. Модель. Работает только для задач, где можно однозначно определить правильный и неправильный ответ, например в программировании и математике. Это лучше оставить крупным лабораториям.
2. Harness (обвязка). Это последовательность шагов, инструменты и проверки безопасности, которые вы выстраиваете вокруг модели. Этим легко управлять, и именно здесь можно быстро получить заметный результат.
3. Контекст. Это текстовое представление всего, чему агент уже научился. Вероятно, самое простое место, с которого стоит начать.

Но есть ещё одна вещь, которую многие упускают. Агент должен учиться у своих пользователей. Нужно извлекать опыт каждый раз, когда пользователь исправляет решение агента. Ничто не заменит обратную связь, полученную в реальном использовании.

p.s. Вот статья от Atai Barkai на эту тему 🐸

Нашёл бесплатный опенсорс инструмент, который за секунды превращает любые PDF, Word, Excel или отсканированные изображения в чистый Markdown:

• текст в правильном порядке
• таблицы в HTML
• формулы в LaTeX
• OCR
• 109 языков

Работает через CLI, Python или веб (mineru.net). Запускается локально на твоём компьютере. 100% приватно.
Больше 70000 звёзд на GitHub. 😋

С появлением вайбкодинга всё больше приложений выходит сразу к реальным пользователям и часто без базовой защиты и ограничений. За это прилетают счета Supabase на $200, боты, которые забивают формы в первый же день, письма с требованиями прекратить деятельность и т.п. Поэтому вот чеклист для вайбкодеров от разработчика с 20+ лет опыта. Он поможет закрыть базу перед релизом:

1. Защищайте не только приложение, но и себя. Как только вы начинаете собирать данные пользователей, вступают в силу юридические требования (GDPR, CCPA). Подготовьте политику конфиденциальности и точно знайте, где хранятся пользовательские данные.

2. Row Level Security. Без RLS любой может открыть DevTools и прочитать всю вашу БД. В Supabase это настраивается через Auth → Policies. Если политик нет, то база фактически открыта. Исправляется за несколько минут.

3. Тестируйте не только успешные сценарии. Попробуйте ввести неправильный пароль пять раз, сбросить пароль для несуществующей почты, дважды открыть ссылку подтверждения, зарегистрироваться с уже существующим email. Именно так находится большая часть ошибок аутентификации.

4. Проверьте базовую безопасность. Попросите ИИ: «Проверь моё приложение как специалист по безопасности и убедись, что у меня сильные заголовки безопасности и надёжный базовый уровень безопасности».

5. Прогоните приложение по рекомендациям OWASP. Запрос для ИИ: «Проверь моё приложение на соответствие стандартам OWASP и подсвети уязвимости». Так часто обнаруживаются SQL-инъекции, XSS и ошибки в системе аутентификации.

6. Валидация на клиенте. Злоумышленник может отключить JavaScript и обращаться к API напрямую. Все проверки нужно повторять на сервере.

7. Код, написанный ИИ, часто допускает утечки данных в трёх местах:

- значения из .env попадают во фронтенд;
- API возвращает больше данных, чем нужно;
- секреты оказываются в логах.

Запрос для проверки: «Проверь моё приложение на утечки credentials или чувствительных данных во фронтенде или API-роутах».

8. API-ключи не должны попадать во фронтенд. Если ключ оказался в браузере, считайте, что он уже скомпрометирован. Перенесите работу с ним на сервер или используйте прокси.

9. Настройте rate limiting до релиза. Ограничьте все эндпоинты, которые обращаются к платным API. Один неконтролируемый поток запросов способен увеличить счёт, например, с $20 до $200 всего за день.

10. Добавьте CAPTCHA на публичные формы. (например, бесплатный Cloudflare Turnstile) и ограничьте CORS своим доменом. Это занимает около 10 минут и эффективно защищает от массовых атак ботов.

11. Не раскрывайте внутренние ошибки пользователям. Вместо сообщений вроде: «SELECT * FROM users failed», показывайте нейтральные: «User not found». Подробности сохраняйте только в серверных логах.

Прогоняйте это чеклист перед каждым запуском. Вот полный разбор. 🐸

Исследовательская группа THUDM открыла исходный код фреймворка slime для RL. Именно на нём за два дня был выполнен полный пост-тренинг модели GLM-5.2., и он же используется во всей серии GLM — от версии 4.5 до 5.1.

Ключевая идея slime - фиксированное ядро обучения. Любой RL-ран состоит из двух частей. Первая генерирует опыт: модель отвечает, система оценивает ответы. Вторая обучается на этом и обновляет веса.

Часть обучения почти не меняется. Она читает сэмплы, считает loss и делает шаг оптимизатора. Так же работает и на математике, и на агентных задачах с инструментами. Различия начинаются в генерации. В одном случае это один ответ и простая проверка результата. В другом - цикл с вызовом тулов, чтением ответов и отложенной наградой. slime фиксирует границу именно здесь. Обучающий цикл остаётся одним ядром, а всё различие уходит в то, как формируются данные.

Внутри он связывает Megatron для обучения и SGLang для rollout, а между ними стоит Data Buffer, который управляет промптами, кастомными данными и генерацией.

Обычно RL-стек разрастается в набор разрозненных тренеров, rollout-сервисов и агентных фреймворков. slime этого избегает.

Многошаговое использование инструментов, изолированные среды выполнения, обратная связь от среды и награды за проверку результата - всё это становится частью генерации данных, а не разветвлением цикла. В итоге агентные задачи и математические задачи проходят через один и тот же цикл.

Система уже обкатана на продакшене. Этот цикл используется в GLM-моделях и поддерживает Qwen3, DeepSeek V3 и Llama 3. На нём построены экосистемные проекты Dressage, Miles, vime, OpenClaw-RL и другие — без изменения ядра.

«Урок не в том, что RL нужен более крупный фреймворк. Разнообразие должно быть в генерации данных, а тренировочный цикл должен оставаться достаточно маленьким, чтобы ему можно было доверять».

☕️☕️☕️