10144
Новости технологий: важные, смешные, родные Разместить рекламу: @tproger_sales_bot Правила общения: https://tprg.ru/rules Другие каналы: @tproger_channels Регистрация в перечне РКН: https://tprg.ru/5GyZ
в Ruby исправили ошибки регулярок, которые могли привести к выполнению кода в GitLab
Вышли Ruby 4.0.9, 3.4.12 и 3.3.13 с набором исправлений ошибок движка Onigmo. Специально составленные шаблоны могли повредить память при компиляции регулярки. По сообщению команды Ruby, GitLab нашёл способ использовать это для удалённого выполнения кода на своих серверах.
Риск возникает, только если атакующий задаёт сам шаблон, который приложение компилирует, например через Regexp.new. Если приложение лишь проверяет пользовательский текст по регуляркам, написанным разработчиками, эти ошибки его не затрагивают.Regexp.timeout не защищает от этих ошибок, а ограничение длины шаблона ненадёжно: некоторые ошибки вызываются короткими шаблонами. Команда Ruby рекомендует обновить свою ветку до указанных версий или новее. Если обновиться нельзя, не компилировать регулярки из недоверенных шаблонов.
у MAX стали доступны исходники компилятора и среды выполнения
Modular выложила оставшиеся закрытые части MAX — платформы для запуска AI-моделей на CPU и GPU. Теперь доступны компилятор вычислительных графов, среда выполнения и аппаратные бэкенды. Раньше компания уже открыла вычислительные ядра, модели и API для их обслуживания.
Разработчики компиляторов, драйверов и инфраструктуры инференса могут изучать и менять код, который превращает граф модели в исполняемые операции и связывает их с конкретным железом.
Новые исходники доступны по MAX License с ограничениями. Публиковать изменённый исходный код можно только в форке для внесения изменений в основной проект. Приложения и бинарные производные распространять разрешено при соблюдении условий лицензии. Уже открытые Apache-компоненты сохранили свои лицензии.
Использовать код MAX как вход для AI, чтобы создать замену MAX, запрещено. Читать, анализировать и улучшать MAX с помощью AI, а также разрабатывать совместимый с ним софт разрешено.
стабильная SteamOS 3.9 перешла на Linux 7.2
Valve выпустила SteamOS 3.9 в стабильную ветку. Сборка 3.9.5 доступна всем текущим пользователям системы. До этого ветка проходила бета-тестирование.
По сравнению с предыдущей стабильной SteamOS 3.8 обновилась основа Arch Linux, ядро перешло на Linux 7.2, а рабочий стол в Desktop Mode — с Plasma 6.4.3 на 6.7.3.
Также Valve улучшила запуск SteamOS в качестве гостевой ОС в виртуальных машинах с ускоренной графикой через virtio-gpu и venus.
у GitHub Actions новые адреса для логов и сводок заданий
GitHub добавляет хосты blob storage, а Meta API уже содержит новые адреса. Это касается организаций, которые разрешают сетевой доступ к отдельным хостам по списку. В него нужно добавить все адреса от productionresultssa30.blob.core.windows.net до productionresultssa49.blob.core.windows.net и от productionresultssa100.blob.core.windows.net до productionresultssa199.blob.core.windows.net, включая границы обоих диапазонов.
Если в правилах уже есть productionresultssa*.blob.core.windows.net, ничего менять не нужно: этот шаблон покрывает новые хосты. При поимённом списке без обновления возможны перебои с логами и сводками заданий CI.
в NTT проверили новый способ сверять документацию с кодом
Исследователи предложили готовить старые системы к правкам с помощью ИИ, связывая требования, проектные документы, код и тесты по функциям. Метод ищет расхождения между ними, а затем — пробелы в тестовых сценариях: граничные значения, ошибки ввода, взаимодействие функций. Так перед изменением кода можно выяснить, где описание уже разошлось с реализацией и какие проверки нужно добавить.
По данным NTT, в предварительном опыте на учебном приложении ATRS метод нашёл 33 из 41 ошибки, намеренно внесённой в проектную документацию. Обычный RAG, который подбирает для ИИ подходящие фрагменты документов, обнаружил 11. Проверяли противоречия со спецификациями или кодом и пропуски информации.
Проверки на системах разных размеров и применение в реальных проектах разработки и сопровождения ещё планируются.
в Claude Code исправили ошибки в песочнице и проверке прав
В версии 2.1.309 исправили работу Bash на macOS и Linux: перед каждой командой, выполняемой в песочнице, файлы инициализации оболочки запускались за её пределами. Также закрыли возможность менять MCP-конфиг, переданный через --mcp-config, из команд в песочнице и при автоматически принимаемых правках.
На macOS исправили применение шаблонов denyWrite к реальному пути, когда к папке из шаблона обращаются через символическую ссылку. На Linux устранили ошибку, из-за которой запреты записи в песочнице могли перестать действовать, если фоновая команда продолжала работать после завершения сессии. Полный список изменений опубликован в официальном релизе.
стандарт Agent Skills передают под управление независимого фонда
Anthropic объявила о передаче стандарта в Agentic AI Foundation (AAIF) при Linux Foundation. Фонду достанутся название и логотип Agent Skills, организация на GitHub и домен agentskills.io.
Скилл — это папка с файлом SKILL.md, который объясняет агенту, как выполнить конкретную задачу. Рядом могут лежать скрипты и справочные материалы. Такой формат уже поддерживают разные ИИ-агенты.
Поддерживать стандарт будут инженеры Anthropic, Google, OpenAI и других компаний как отдельные участники. Чтобы использовать формат или предлагать изменения, вступать в AAIF не нужно. Выпуски с номерами версий и руководство по безопасности пока лишь предложены для дорожной карты.
в Google Cloud начали закрытое тестирование моделей OpenAI
Google добавляет в Model Garden GPT-6 Astra, GPT-6.1 Sol и GPT-6 Luna. Пока доступ дают отдельным корпоративным клиентам по приглашению, только для согласованных задач разработки и внутреннего тестирования.
Модели можно вызывать через API. Локальные Codex CLI и Desktop тоже можно подключить к платформе Gemini, чтобы запросы к моделям обрабатывались в Google Cloud. Сам клиент Codex при этом остаётся на компьютере.
Покупки будут проходить через Google Cloud Marketplace и попадать в общий счёт за облако. На них можно будет тратить уже согласованный с Google Cloud бюджет по контракту. OpenAI планирует общую доступность в ближайшие недели, точной даты пока нет.
в GitHub CLI появились OAuth-токены со сроком действия и автообновлением
В GitHub CLI 2.103.0 можно войти с короткоживущим токеном доступа. Утилита хранит его вместе со сменяемым refresh-токеном и сама получает новый токен доступа по мере необходимости. Когда срок действия токена истекает, повторно входить в аккаунт не нужно.
Функция доступна в публичной предварительной версии и включается по желанию: для одного входа нужна команда gh auth login --expiring. Посмотреть срок действия текущего токена и возможность его обновления можно через gh auth status.
В скриптах нельзя кешировать результат gh auth token. Вызывайте команду каждый раз, когда нужен токен. Токены, переданные через GH_TOKEN или GITHUB_TOKEN, утилита не обновляет. Эти ограничения описаны в примечаниях к релизу.
Railway советует всем пользователям заменить секреты после возможного доступа к ним
Платформа для запуска приложений обнаружила аномальную активность в системе хранения переменных окружения. Это настройки приложения, где могут храниться API-ключи, пароли баз данных и другие секреты.
По предварительным данным Railway, посторонний мог получить доступ к зашифрованным значениям, а часть из них — в расшифрованном виде. Компания предполагает, что затронута лишь часть пользователей. Точный масштаб и ущерб пока неизвестны.
Пока идёт расследование, Railway рекомендует всем пользователям заменить секреты в переменных окружения и данные доступа к приватным реестрам, а также проверить журналы сервисов на необычную активность. Подробности — в сообщении Railway.
у TypeScript появился экспериментальный порт на Rust
Cloudflare и VoidZero 20 октября представили tsrs, порт компилятора TypeScript на Rust. Над ним работают вместе с Максом Швенком из Owner.com и в сотрудничестве с командой TypeScript. Проект развивается в составе Oxc и должен сохранять поведение исходного языка.
В ранних бенчмарках Cloudflare tsrs оказался до 8 раз быстрее TypeScript 7.0 и использовал примерно на 70% меньше памяти при одинаковой конфигурации и числе параллельных обработчиков проверки типов. Это результат конкретного сравнения, а не обещание для любого проекта. Rust также интересен авторам для запуска инструментов разработки в WebAssembly.
Экспериментальная версия уже есть в npm. Стабильной заменой tsc её пока не называют: остаются отличия, например в порядке вывода диагностик. Условия тестов и способ попробовать tsrs есть в анонсе проекта.
у Cloudflare можно увидеть, где Worker расходует CPU и память
Cloudflare добавила профилирование работающих Workers и Durable Objects. Разработчик запускает запись из панели или CLI, получает интерактивный flamegraph и может скачать профиль для дальнейшего анализа.
Диаграмма показывает вызовы функций: чем шире блок, тем больше его вклад в CPU-время или выделения памяти в профиле. Это помогает искать тяжёлые участки прямо под реальной нагрузкой, а не судить только по общей метрике потребления.
Для снимка нужен Worker с достаточным трафиком. Профиль памяти видит лишь выделения за время записи, поэтому прежние стартовые аллокации в него не попадут. Непрерывный сбор Cloudflare пока готовит. Условия и примеры компания разобрала в анонсе профилирования.
Давно хотели снова начать читать или найти компанию читающих людей? В Москве работает Бук Клаб — книжный клуб, где раз в месяц выбирают книгу, читают и обсуждают её за бранчем 📚
В Бук Клабе читают разное: русскую классику, нон-фикшн и современных авторов. Это отличный способ отключить мозг от работы, отдохнуть и найти людей с похожими интересами.
Есть несколько тарифов участия:
📌 самостоятельный: электронная книга + очная встреча
📌 с боксом: электронная книга + очная встреча + спешл-бокс по мотивам книги
📌 полный: очная встреча + спешл-бокс с печатной версией книги
Почему разработчик планирует отдавать больше задач Claude
Винсент Шмальбах описал план перераспределить расходы на ИИ: больше работы отдавать Claude, а Codex сохранить для части задач.
К решению его подтолкнули затяжные сессии. По наблюдениям автора, агент иногда часами продолжал проверки и добавлял соседние задачи. Квота расходовалась, а момент, когда можно принять результат и двигаться дальше, было трудно предсказать.
В личном разборе Шмальбах связывает эти эпизоды с условиями подписки и затратами на собственные проекты.
#ии #инструменты
🐸 Библиотека ИИ для айтишников
Вышел Bevy 0.20 с обновлёнными шейдерами и рендерингом
Bevy, открытый движок на Rust для разработчиков игр, обновился до версии 0.20. Релиз расширяет возможности графики и интерфейсов, но для существующих проектов есть изменения, нарушающие совместимость.
Движок перешёл на WESL: новый синтаксис шейдеров поддерживает модули, импорты и условную компиляцию. Шейдеры на старом диалекте Bevy придётся переписать, а файлы переименовать из .wgsl в .wesl. Обычные WGSL-файлы без директив препроцессора продолжат работать.
Рендерер Solari получил более точное освещение и поддержку macOS, пока без встроенного шумоподавления. Подробности изменений в графике и интерфейсах — в новости.
#релизы #новости
для Tails вышло экстренное обновление из-за скомпрометированных сертификатов
23 октября вышла Tails 7.15.1 — экстренная версия Linux-дистрибутива для приватной работы. Она обновляет Tor Browser до 15.0.26 и блокирует все сертификаты eMudhra в браузере и системном хранилище доверенных сертификатов, которым пользуются другие приложения.
Ранее у eMudhra были скомпрометированы промежуточные сертификаты. С таким сертификатом злоумышленник мог бы выдавать свой сайт за настоящий даже при HTTPS, если контролировал выходной узел Tor или сеть его провайдера.
Onion-сайты к этой атаке неуязвимы. Команда Tails пока не знает о случаях применения этой атаки выходными узлами Tor.
вышла Kimi K3.1 Pro — новая модель для кода и агентов
Moonshot AI представила первую модель серии K3.1. В основе — Kimi K3, но компания выделила значительно больше вычислений на дообучение. Разработчики заявляют улучшения в многошаговых задачах с кодом и инструментами.
В API уже доступны kimi-k3.1-pro и kimi-k3.1-pro-highspeed. По заявлению Moonshot, версия Highspeed работает в 2–3 раза быстрее K3.1 Pro. Модель также появилась в Kimi Code.
Полные веса Moonshot обещает выпустить к 4 ноября. Сейчас релиз доступен через сервисы компании, скачать модель для самостоятельного запуска пока нельзя.
вышел стабильный OpenSSL 4.1.0 с поддержкой DTLS 1.3
OpenSSL — библиотека для шифрования сетевых соединений. Сегодня вышла версия 4.1.0: поддержка DTLS 1.3, которую показывали в сентябре, добралась до стабильного релиза. Этот протокол основан на TLS 1.3 и защищает обмен отдельными пакетами, например по UDP.
Серверный код с DTLSv1_listen придётся адаптировать для DTLS 1.3: эта функция поддерживает только DTLS 1.0 и 1.2. В руководстве для DTLS 1.3 описан другой путь — listener API с SSL_new_listener.
В релизе есть четыре известные ошибки DTLS. Например, сервер DTLS 1.3 может оборвать установление соединения, если клиент подтвердит первую порцию серверных сообщений до отправки своего ответа. Это возможно при потере пакетов или подготовке ответа аутентификации. При получении KeyUpdate из буфера повторной передачи удаляются другие сообщения, отправленные после установки соединения и ещё ожидающие ACK, например NewSessionTicket. При потере их уже не отправят повторно.
с 24 ноября 2026 года Quad9 перестанет обслуживать пользователей во Франции
Фонд прекратит предоставлять там бесплатный рекурсивный DNS-сервис с защитой от вредоносных доменов. В анонсе Quad9 связывает решение с судебным спором с beIN и требованием блокировать DNS-разрешение ряда доменов для пользователей во Франции.
По объяснению фонда, у защищённого резолвера 9.9.9.9 единый глобальный список блокировок. Добавление спорных доменов затронуло бы пользователей по всему миру. При этом Quad9 не ведёт базу, которая связывала бы пользователей с юрисдикциями, и считает точное географическое разграничение запросов невозможным.
Ограничение касается пользователей, находящихся во Франции, независимо от гражданства. Если устройства или локальный резолвер во Франции отправляют DNS-запросы в Quad9, до 24 ноября стоит проверить эту зависимость в настройках сети.
в 1Password запустили платформу входа для ИИ-агентов
В 1Password for Agents поддерживаемый агент запрашивает вход в нужный аккаунт, пользователь подтверждает запрос на своём устройстве, а менеджер подставляет пароль или одноразовый код прямо в форму. По описанию компании, модель не видит этот секрет.
После входа агент всё равно может читать данные и выполнять действия в аккаунте в пределах своих возможностей. Скрытый пароль сам по себе не гарантирует безопасность этих действий.
Функция доступна без доплаты для Individual и Family на 1Password.com. Аккаунты 1Password.eu и 1Password.ca пока не поддерживаются. Интеграции с Muse и Grok Bot подключают поэтапно в ближайшие дни, поэтому доступ появится не у всех сразу.
браузер Arc для macOS и Windows перестанет работать 22 декабря
До отключения браузер продолжит работать в обычном режиме и получать базовые обновления. Новые аккаунты нельзя создавать с 22 октября.
22 декабря все аккаунты Arc деактивируют, а связанные с ними персональные данные удалят в течение 30 дней. Перенести нужное в другой браузер надо до отключения. Экспорт в настройках Arc сохраняет вкладки списком ссылок.
Для перехода в Dia предусмотрен отдельный импорт паролей, истории, вкладок, профилей, закладок и расширений. Он доступен на macOS и Windows. Сроки и инструкции по переносу команда собрала на сайте Arc.
новые мажорные SDK для Claude требуют убрать три параметра из запросов
Anthropic выпустила 2026-10-21 — первую официальную версию Claude API с 2023 года. Новые мажорные версии SDK и утилиты ant используют её по умолчанию. При переходе на эти версии нужно проверить код запросов.
В новой версии API параметры temperature, top_p и top_k вызывают ошибку 400, даже если передать их значения по умолчанию. Их нужно полностью убрать из запроса, а не просто поменять числа. В новых SDK этих параметров тоже больше нет.
Старая версия 2023-06-01 не объявлена устаревшей. Прежние SDK продолжают использовать её, а при прямых HTTP-запросах переход включают заголовком anthropic-version. Что проверить перед обновлением, Anthropic описала в руководстве по миграции.
у Claude вышла ранняя версия агента, который работает и с выключенным ноутбуком
Anthropic представила Claude Duet — отдельное приложение для фоновых задач. Агент сам готовит утреннюю сводку по подключённым сервисам, может собрать материалы к встрече или сделать дашборд. Работает в собственной виртуальной машине с браузером, так что держать телефон или компьютер включённым не нужно.
Подключённые аккаунты Duet проверяет раз в несколько часов. По заявлению Anthropic, перед отправкой сообщения, оплатой, подписью документа или удалением он показывает действие и ждёт согласия. Агент может неверно понять переписку или ошибиться в оценке срочности события.
Пока доступ дают по листу ожидания, начиная с подписчиков Pro и Max в США. Предварительная версия входит в подписку, но делит лимиты с остальным Claude. Фоновые проверки тоже их расходуют.
у Recursive вышла Flint — модель для работы с кодом на своём компьютере
Веса доступны под Apache 2.0. Модель рассчитана на агентов, которые изучают проекты, исправляют ошибки и пишут тесты. В ней около 40 млрд параметров, но при генерации каждого токена задействованы примерно 2,5 млрд.
По словам Recursive, небольшая команда людей и агентов создала Flint с нуля менее чем за четыре месяца. Ей помогала Eureka Machine: система предлагала идеи, реализовывала их и проверяла результаты — от рецептов обучения до ускорения локального запуска.
Для собственного движка rec на Mac нужны M4 Pro, M5 Pro или M5 Max и минимум 48 ГБ объединённой памяти. Сложные задачи компания советует дробить: модели может требоваться больше подсказок, чем крупным закрытым аналогам. Подробности — в анонсе Recursive.
PHP2Shell пытались использовать ещё до публичного раскрытия
AWS сообщила, что её система ловушек MadPot зафиксировала попытку атаки 17 октября, за четыре дня до раскрытия уязвимостей. Удалось ли таким атакам взломать реальные системы, пока неизвестно. Об этом прямо сказано в расследовании AWS.
PHP2Shell — две ошибки в работе PHP с памятью, которые могут позволить удалённо выполнить код без авторизации. Они затрагивают PHP, обслуживающий веб-запросы, включая PHP-FPM. Самый высокий риск — у Apache с mod_php, где показана атака ещё до запуска кода приложения.
Исправления уже вышли в PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35. Полностью устраняет проблему только обновление PHP. WAF и изменения настроек снижают риск лишь частично, а обновления плагинов WordPress не исправляют сам интерпретатор. Подробности — в бюллетене PHP.
логи Cloudflare можно отфильтровать до отправки наружу
Logpush экспортирует журналы в хранилища и системы аналитики. Теперь Transformers применяют к пакетам SQL ещё до выгрузки: команда выбирает нужные события, маскирует чувствительные поля и меняет структуру записей без отдельного сервиса обработки.
Например, можно убрать health-check запросы и скрыть часть IP-адреса до передачи в SIEM. Внутри работает DataFusion, но формат сериализации остаётся NDJSON: преобразование меняет записи, а не превращает их в другой формат файлов.
Если SQL-преобразование не удалось, Logpush не отправляет сырой пакет вместо результата: выполняет повторные попытки и сообщает об ошибке. Это сохраняет условия фильтрации и маскирования. Тарифы экспорта стоит учитывать отдельно, а детали механизма есть в разборе Cloudflare.
Общая папка для работы Claude Code и Codex
Луи-Франсуа Бушар собрал заметки, инструкции-скиллы, скрипты и итоги встреч в Obsidian. Его связка устроена так:
Папка хранит исходные материалы и решения
↓
Индекс указывает, где искать данные для задачи
↓
Claude Code планирует работу
↓
Codex выполняет задачи по его вызову
В описании этого рабочего процесса Бушар объясняет, зачем даёт агенту сведения для конкретной задачи. Начать предлагает с общей папки, короткого индекса и одного повторно используемого скилла.
#ии #инструменты
🧑💻 Какие навыки помогают вам в разработке в 2026 году?
Что вы чаще используете в работе? В каких задачах помогает ИИ, а где проще справиться самостоятельно?
Мы решили собрать портрет современного разработчика — и приглашаем вас поделиться своим опытом. Расскажите, какие навыки вам пригодились и как вы используете ИИ. Если обходите его стороной, нам тоже интересно узнать почему.
Опрос анонимный и займёт около 5 минут. Результаты опубликуем в общем большом исследовании.
👉 Пройти опрос
10 октября ВКонтакте исполняется 20 лет. За это время соцсеть выросла в контентную платформу, а её видеосервис стал самостоятельным продуктом — VK Видео.
Вместе с продуктом меняются и его технологии. Команды постепенно переносили пользовательские сценарии в отдельные сервисы и параллельно продолжали выпускать обновления. Основные разделы веб-версии перевели на SPA: страницы стали открываться на 25% быстрее, а переходы между ними ускорились в 3,5 раза. Рекомендательные технологии Discovery за первое полугодие 2026 года увеличили время в ленте на 11%. У оригинальных авторов просмотры постов выросли в пять раз, а новых подписчиков стало на 22% больше.
О том, как проходила эта перестройка, рассказал технический директор ВКонтакте Юрий Кочарян. В материале — как разделили разработку соцплатформы и VK Видео, что изменилось в работе команд и как новые модели помогают рекомендовать контент, в том числе от авторов с небольшой аудиторией.
Anthropic запустила OSS Scanner для поиска уязвимостей в открытых проектах
OSS Scanner бесплатно и регулярно ищет уязвимости с помощью моделей Anthropic. Подключиться могут разработчики, сопровождающие открытые проекты, но заявки отбирают индивидуально с учётом влияния проекта на инфраструктуру и безопасность пользователей.
В отчётах есть пример воспроизведения ошибки, а когда возможно, и патч. Проверку находок человеком Anthropic пропускает ради скорости. Так что сканер ищет, а подтверждать проблему и оценивать её опасность придётся разработчикам: компания предупреждает о ложных срабатываниях и завышенных оценках.
В новости — как подать заявку и что известно об ограничениях доступа.
#безопасность #ии #новости