Искусство. Код... ИИ?

Последние публикации канала «Искусство. Код... ИИ?»

1. 209 просмотров, 22 реакций, 10 июл. 2026 г.

   ✨ sp4rk: SDK для разработки ИИ-агентов на Go Выделил из c0wrk в отдельный проект sp4rk SDK , на котором он основан. Умеет практически* всё, что нужно для построения мультиагентных систем на Go, и предоставляет два API (можно смешивать): • классический — для полного контроля над всеми компонентами и их конфигурацией; • «текучий» (fluent) — для быстрого построения агентов из заготовленных блоков. Например, игрушечный триажер тикетов для Github-репозитория, с MCP, сессионной памятью, DAG-планированием и рефлексией в случае проблем, во fluent-варианте выглядит так: system := "You are a triage…

   Открыть пост в MAX
2. 734 просмотров, 10 реакций, 09 июл. 2026 г.

   🧩 Принципы и паттерны безопасной разработки: DIP Часть 4. Принцип инверсии зависимостей (Dependency Inversion Principle, DIP) утверждает: модули верхнего уровня не должны зависеть от модулей нижнего уровня, оба должны зависеть от абстракций. При этом не абстракции должны зависеть от деталей, а детали — от абстракций. С точки зрения безопасности, нарушение DIP означает, что высокоуровневая логика (принятие решений, обработка входных данных) жёстко привязана к конкретной низкоуровневой реализации. Когда эта реализация меняется или расширяет поверхность атаки — высокоуровневый модуль наследует…

   Открыть пост в MAX
3. 305 просмотров, 13 реакций, 05 июл. 2026 г.

   🖼 Изображения с текстом ради экономии токенов: не всё так просто На прошлой неделе буквально в каждом релевантном паблике проскочил проект pxpipe — тула, позволяющая экономить расход токенов за счет преобразования контекстного текста в изображения, при работе с VLM. Ещё дальше зашел Can Bölük (боюсь пытаться написать это по-русски) — автор кодинг-агента oh-my-pi . Это вообще мой кумир, кроме шуток и без сарказма. Подписки на обновы в его проекте в принципе достаточно, чтобы быть в курсе вообще всех инноваций, которым можно найти хоть какое-то применение в кодинг-агентах. Так вот он, примерно…

   Открыть пост в MAX
4. 278 просмотров, 04 июл. 2026 г.

   Крайне рекомендую к просмотру 🙂

   Открыть пост в MAX
5. 277 просмотров, 11 реакций, 04 июл. 2026 г.

   🎬 Как ИИ ускоряет разработку и где ломаются архитектуры Мы провели открытый вебинар, где разобрали реальные боли проектирования автономных систем. Ольга Лукьянова на практическом кейсе показала, как использовать ИИ-ассистентов для реальных задач. Вы просили запись встречи — она уже в открытом доступе! Что внутри: — Как с помощью ИИ быстрее разбираться в незнакомом коде и готовить пулл-реквесты; — Критерии выбора между одним агентом и мультиагентной системой; — Разбор популярных архитектурных ошибок и ограничений современных ИИ; — Практические рекомендации по проектированию и внедрению…

   Открыть пост в MAX
6. 1.3K просмотров, 26 реакций, 30 июн. 2026 г.

   🖥 Скилл `code-review ` Казалось бы, зачем ещё один скилл для ревью изменений в коде? Но вот нет, существующие — то не покрывают логические ошибки, то полностью забивают на безопасность, то не дают рекомендаций по исправлению, и т.п. В конце-концов, кто я такой, чтобы не следовать принципу NIH (Not Invented Here)? 🤓 Если серьёзно, то сделал его для встраивания в c0wrk, но скилл получился достаточно сбалансированным, во-первых, и с нормальным покрытием вопросов безопасности, во-вторых. Поэтому решил выделить его и в свою коллекцию, вдруг кому-то окажется полезен и с другими агентами. Лежит…

   Открыть пост в MAX
7. 445 просмотров, 24 реакций, 28 июн. 2026 г.

   Разработчики 🆚 ресерчеры Уже много лет, как стало модно делить людей на «разработчиков» и «ресерчеров» (теперь ещё и на «экспертов», но сегодня не об этом). Должностные инструкции и оргструктура закрепляют это разграничение как данность, а в некоторых компаниях эти функции физически разнесены, не просто между должностями, но и между целыми направлениями. Однако же, если отвлечься от позиций в штатке, то на самом деле, это — два фундаментально различных режима мышления. Майндсета, способных и должных сосуществовать в голове одного инженера. Различие между ними изучено достаточно хорошо. Ещё в…

   Открыть пост в MAX
8. 1.2K просмотров, 14 реакций, 25 июн. 2026 г.

   ❓ Являются ли CVE'хами ложно-отрицательные срабатывания SAST? Хочу немного дополнить пересланный выше 👆 пост , и немного порассуждать вокруг вопроса, волновавшего, лично меня, с самого начала упомянутой истории с байпассами PickleScan. Дело в том, что назначение CVE на каждый вид байпасса в SAST-инструменте — несправедливо и категорически неадекватно, как в рамках текущей экосистемы CVE, так и с позиции здравого смысла. CVE (Common Vulnerabilities and Exposures) — это идентификатор для конкретной, известной уязвимости в программном продукте, которая существует в коде и может быть…

   Открыть пост в MAX
9. 315 просмотров, 11 реакций, 25 июн. 2026 г.

   Сразу пять способов обойти PickleScan Исследователи обнаружили сразу 5 уязвимостей , позволяющих создавать вредоносные pickle-файлы, которые успешно проходят проверку PickleScan как безопасные (тут по ссылке инструмент указан HF как официальный для скана pickle), а затем при десериализации выполняют произвольный код . Обычно мы про формат pickle 🥒 говорим скрипя зубами, а тут вообще его сканер попался! PickleScan используется при проверке моделей в ML-регистрах, CI/CD-пайплайнах и проектах, работающих с Python-моделями. Если он был единственным рубежом защиты, ранее проверенные модели стоит…

   Открыть пост в MAX
10. 293 просмотров, 3 реакций, 24 июн. 2026 г.

    Про Docker sbx впервые на русском Автор параноик. Искренне было боязно ставить агента на голую систему без изоляции. Крутил виртуалки, но блин, неудобно каждый раз стартовать полноценную VM под отдельный проект. Контейнеры отпали почти сразу, потому что не сохраняется состояние между запусками. А мудрить с внешним хранилищем сессий, ну, если есть желающие это сделать, го обсудим в комментариях:) Агент, имеющий доступ к внешнему миру, будь то веб-серфинг или запуск консольных команд - это как русская рулетка с большим количеством пустых мест в барабане. Шанс отстрелить себе что-нибудь…

    Открыть пост в MAX
11. 390 просмотров, 14 реакций, 22 июн. 2026 г.

    🙃 Эй, чем сегодня займемся, Брэйн? Чёт стало скучно. Этот бесконечный цикл: обсудить и поставить задачу агенту → провести ревью → объяснить агенту, почему он на этот раз тупой → проверить фиксы → обновить спеки → прогнать на CI → повторить с новой задачей 🫠 В общем, чтобы было веселее, сделал скилл , который... ну, тут наверное проще показать, чем объяснять 🙈 #ИИ_инструменты

    Открыть пост в MAX
12. 1.2K просмотров, 7 реакций, 21 июн. 2026 г.

    🧩 Принципы и паттерны безопасной разработки: ISP Часть 3 . А у нас на очереди, принцип разделения интерфейсов ( Interface Segregation Principle, ISP — пожалуй, один из наиболее простых в SOLID), гласящий: Клиенты не должны зависеть от интерфейсов, которые они не используют. Проще говоря, лучше несколько узкоспециализированных интерфейсов, чем один «толстый», навязывающий потребителю кучу лишнего. С точки зрения безопасности, ISP напрямую перекликается с принципом наименьших привилегий ( Least Privilege ). «Толстый» интерфейс — это расширенная поверхность атаки: клиент получает доступ к…

    Открыть пост в MAX
13. 1.6K просмотров, 28 реакций, 15 июн. 2026 г.

    💻 Гайд по безопасной разработке на Go Подготовил гайд для go-разработчиков с чек-листом и примерами, покрывающий оба OWASP Top 10 for Web Applications (2021+2025), плюс аспекты агентской разработки безопасных приложений на Go. Побочным артефактом стал скилл , доносящий суть гайда до кодинг-агентов. Скилл универсален, в том смысле, что его можно использовать, как для написания кода, так и для проведения его ревью. Буду невероятно рад фидбэку 🤓 #безопасность_кода #гайд

    Открыть пост в MAX
14. 429 просмотров, 8 реакций, 13 июн. 2026 г.

    Взломать агента, не трогая его данные Или защитить) Снова про MCP и безопасность. В отличие от классической эксплуатации уязвимостей, side-channel атака не требует прямого доступа к данным. Даже если агент не раскрывает свои данные напрямую, он может непреднамеренно выдавать информацию через поведение: 🧙‍♀️ различное время выполнения tool calls; 🧙‍♀️ изменение размера ответов; 🧙‍♀️ вариации потребления ресурсов; 🧙‍♀️ характерные последовательности вызовов инструментов; 🧙‍♀️ особенности создания и завершения контекстов. Такая информация может раскрывать внутреннее состояние агента.…

    Открыть пост в MAX
15. 422 просмотров, 8 реакций, 11 июн. 2026 г.

    🤩 ipi-check: теперь и аудитор скиллов ipi-check получил важное обновление — фичу проверки безопасности скиллов: • Автоматическое обнаружение каталогов на основе SKILL.md и сканирование их на предмет сбора учетных данных, удаленного выполнения кода, повышения привилегий, директив секретности и другого вредоносного поведения. • Шаблоны обнаружения, специфичные для скиллов (IPI401–411) — для обфусцированного кода, злоупотребления динамическим контекстом, скрытых инструкций HTML и чрезмерных разрешений. • LLM-based триажер и классификатор скиллов, ориентированный на обнаружение теневых функций…

    Открыть пост в MAX