Типичный программист

«Я был скептиком» — так начинается история тимлида, которого вместе с командой отправили проводить эксперимент с вайб-кодингом. Три человека, из которых только один умел программировать, две недели, реальный сервис для десятков тысяч сотрудников и дедлайн, который трижды сдвигали. Что пошло не так: git, перегрузка модели в пиковые часы, соблазн бесконечно дорабатывать вместо релиза. Ребятам помогли чёткие личные границы и понимание, где ИИ реально ускоряет работу, а где без опытного разработчика просто никак не обойтись. Читайте на Tproger.

Если вы не очень поняли предыдущий пост — заходите в наш канал по нейронкам, там много чего полезного для тех, кто кодит с ИИ. Конкретно про эту модель GLM-5.3-Flash очень кратко: это новый топ по цена\качество сейчас, особенно для веб-разработки. Быстрая китайская модель с кучей лимитов, просто подарок какой-то, рекомендую. Пишу от своего лица как это принято в Нейроканале, его веду лично как основатель всего медиа Tproger и делюсь опытом работы с разными модельками. Сегодня там знатно про новый GLM наспамил :) Делитесь и вы своим опытом в комментах, интересно реальный опыт послушать. На чём кодите сейчас и почему?

Тайна Ox Alpha раскрыта: Z․ai объявила, что модель, которую сообщество неделю гоняло бесплатно через OpenRouter и OpenCode, это GLM-5.3-Flash. Мы угадали. Весь этот трафик, к слову, обслуживали китайские ИИ-чипы. По цифрам: 320 млрд параметров, 18 млрд активных, контекст миллион токенов, впервые в линейке GLM-5 нативно мультимодальная. Веса под MIT лежат на HuggingFace. В Artificial Analysis Intelligence Index 57 баллов при 0,045 $ за задачу, примерно в десять раз дешевле моделей того же уровня. В блоге сравнивают с Opus 4.8: на Terminal Bench 84,3 против 85,0, на AutomationBench 48,8 против 41,0, на DeepSWE 63,4 против 58,0. У подписчиков Coding Plan модель уже включена, лимиты втрое больше, чем у GLM-5.3. Напомню, подписку со скидкой можно купить по моей реферальной ссылке. @neuro_channel

Microsoft Paint внедряет в ИИ-картинки невидимый GUID, привязанный к запросу Исследователь разобрал, как Paint и Photos в Windows маркируют локально сгенерированные ИИ-изображения. Программа шлёт промпт на серверы Microsoft, получает обратно 16-байтовый GUID и прячет его в пикселях как невидимый водяной знак. GUID связан с запросом, а запрос, по сути, с пользователем — значит, по картинке можно теоретически выйти на автора. Как этого избежать, читайте в статье.

Как поисковик успевает подобрать подсказки, пока вы не дописали слово Вы набрали «face», и под строкой появились пять вариантов. На всё про всё около 50 мс, а выбрать пятёрку надо из сотни миллионов уже заданных кем-то запросов. И так на каждую букву: пока вы печатаете «*facebook», сервис отвечает восемь раз. Хеш-таблица не подойдёт. «*facebook» в ней находится мгновенно, а «всё, что начинается на face» она искать не умеет в принципе: придётся прочитать все сто миллионов ключей. Поэтому берут префиксное дерево. Запросы разложены по буквам, и все, кто начинается одинаково, идут общим путём от корня: дойти до «face» это ровно четыре шага. Но под этим узлом всё равно висят тысячи вариантов, поэтому пятёрку самых частых считают заранее и кладут прямо в узел. Пересчитывают пачками: отставание на пару часов никто не замечает. Как дерево разносят по серверам и что кешируют в CDN, в разборе. #алгоритмы *Компания Meta и её продукты признаны экстремистскими, их деятельность запрещена на территории РФ.

Пулреквестов стало вдвое больше, а релизы быстрее не поехали Faros AI летом 2025 года разобрала работу больше 10 000 разработчиков. Там, где прижились ИИ-инструменты, смерженных пулреквестов стало на 98% больше. При этом время ревью выросло на 91%, багов на 9%, а метрики поставки на уровне организации не сдвинулись вовсе. Один лагерь читает это так: набор кода никогда не был узким местом, очередь просто переехала на ревью. Второй отвечает, что мерить надо аккуратнее. Так, METR сажает опытных разработчиков за их же задачи и засекает время с ассистентом и без. В июле 2025 вышло, что с ИИ задачи занимали на 19% больше времени, хотя сами участники считали, что ускорились на 20%. В феврале 2026 METR признал, что в выборку не шли те, кто не готов работать без ИИ, перезапустил замер и получил отставание уже в 4%, в пределах погрешности. Обе позиции можно подробнее прочитать здесь. А вы поделитесь своими ощущениями — как повлияло использование ИИ на вас и вашу команду — ускорились, замедлились или остались на том же месте? #обсуждение

Разраб нашёл остров по фотографии, перебрав 80 миллионов кандидатов на видеокарте Можно было бы закинуть снимок в Google Lens. Но автор решил, что это скучно, и пошёл считать. EXIF пустой, высота съёмки неизвестна, зато в кадре три клочка суши. Угол между ними и отношение расстояний дают отпечаток из трёх координат, который можно искать по всей планете. С помощью OpenStreetMap он отобрал возможных кандидатов. Каждому достался один поток CUDA. На RTX 3050 ядро отработало за 204,1 мс и сузило до 158 784 совпадений. А вот как из 158 784 вариантов он смог выбрать то самое место в Микронезии, можно узнать в блоге автора. #osint

Куда расти разработчику, который не хочет в менеджеры? Вариантов минимум три, и один из них разработчики традиционно недооценивают. QA многие держат в голове как стартовую площадку для входа в отрасль, поэтому переход туда после нескольких лет разработки выглядит понижением. На практике автоматизатор разрабатывает отдельный продукт со своей архитектурой, паттернами и собственным легаси. Опыт разработки конвертируется напрямую, а грейды проходятся быстрее: до мидла год-полтора. Минус тоже есть: поначалу заработок просядет. Ещё два трека — тимлидство и архитектура. Рассматриваем все опции в новом материале. https://tproger.ru/articles/timlid-arhitektor-ili-qa-kuda-rasti-razrabotchiku-kotoryj-ne-h

void в C меняет смысл в зависимости от места Вы видите void в объявлении функции, в скобках после её имени и рядом со звёздочкой у указателя. Выглядит одинаково, а ведёт себя каждый раз по-своему, и в чужом коде легко прочитать одно вместо другого. У нас вышла статья о том, как одно короткое слово набрало столько ролей. Заодно там история появления слова: его предложил Стивен Борн, тот самый автор Bourne Shell, и придумали его совсем не ради читаемости кода. Если пишете на C, дочитайте хотя бы до места про функции без параметров: многие узнают там, что объявляли их не так, как думали. Разобрали в статье. #основы

ИИ оставляет в коде уязвимости, потому что решает поставленную задачу самым коротким путём. Если в промпте явно не заданы требования к безопасности, проверок прав доступа и валидации ввода в коде просто не будет, при этом результат выглядит рабочим и проходит тесты. В итоге на прод попадают IDOR и ошибки бизнес-логики, которые никто не заметил на ревью. С агентами в продакшене механика похожая, но последствия иные: утекают данные. Модель не разграничивает данные и инструкции, поэтому страница вики, входящее письмо или чужой документ из общего индекса могут быть восприняты как команда и выполнены. Достаточно одного такого сценария, чтобы агент отдал пользователю данные, которые не должен раскрывать. Собрали пять уязвимостей, которые системно воспроизводятся в сгенерированном коде: https://tproger.ru/articles/vajb-koding-kak-mechta-hakera-kakie-uyazvimosti-plodit-kod-sgene И пять атак, которые превращают ИИ-помощника в канал утечки данных: https://tproger.ru/articles/manual-yunogo-hakera-kak-vzlomat-svoego-rag-bota-do-togo-kak-e

Заражённый arrayref запускал чужой код на cargo build Build-скрипт в Rust выполняется, когда вы собираете проект. Этим и воспользовались: 20 августа команде безопасности сообщили про пакет proc-macro1, чей build-скрипт тянул вредоносную нагрузку с чужого сервера. Запускать ничего не надо, хватает сборки. В то же утро кто-то перевыпустил популярный arrayref и добавил ему зависимость на этот пакет. Обновили зависимости, сказали cargo build — и чужой код уже отработал у вас на машине. Следом досталось internment и append-only-vec того же автора. Владельца аккаунта никто не винит: похоже, увели машину или ключи. Заражённые версии сняли за 86–107 минут. Кажется, что мало, но ночная сборка в CI попадает в такое окно легко. Загляните в ~/.cargo/registry/cache: если одна из версий там лежит, чистите кэш и пересобирайтесь, в реестре уже безопасные. Список удалённых пакетов и готовая команда для поиска — в блоге Rust.

Заражённый arrayref запускал чужой код на cargo build Build-скрипт в Rust выполняется, когда вы собираете проект. Этим и воспользовались: 20 августа команде безопасности сообщили про пакет proc-macro1, чей build-скрипт тянул вредоносную нагрузку с чужого сервера. Запускать ничего не надо, хватает сборки. В то же утро кто-то перевыпустил популярный arrayref и добавил ему зависимость на этот пакет. Обновили зависимости, сказали cargo build — и чужой код уже отработал у вас на машине. Следом досталось internment и append-only-vec того же автора. Владельца аккаунта никто не винит: похоже, увели машину или ключи. Заражённые версии сняли за 86–107 минут. Кажется, что мало, но ночная сборка в CI попадает в такое окно легко. Загляните в ~/.cargo/registry/cache: если одна из версий там лежит, чистите кэш и пересобирайтесь, в реестре уже безопасные. Список удалённых пакетов и готовая команда для поиска — в блоге Rust.

Водяной знак Claude: как статистика выдаёт машинный текст Если вы гоняете через Claude черновики, переводы или правки, знайте: в сгенерированных текстах новых моделей появится скрытый след. Не невидимые символы, а смещение выбора между близкими по смыслу словами по секретному ключу. Anthropic объяснила: на «равноправных» шагах модель получает лёгкий толчок к одним кандидатам и от других. Отдельный выбор незаметен, но на дистанции складывается в узнаваемую подпись, которую проверит только сама компания. Спорная деталь — асимметрия: вы не убедитесь, что текст чист, а вот Anthropic может. Переводы и переписывания проходят через Claude целиком, поэтому маркируются сильнее. Если пишете важный текст, берите черновик у Claude и переписывайте своими словами.

⚡️ Каким должен быть идеальный ИТ-работодатель Каждый год Хабр и ЭКОПСИ проводят исследование, чтобы узнать, что действительно важно ИТ-специалистам при выборе работодателя. По результатам прошлого года, в топ-3 факторов выбора места работы вошли:

1️⃣ Качество продуктов компании 2️⃣ Соответствие ценностям соискателя 3️⃣ Профессиональная среда

Коллеги из Cloud․ru поделились, что взяли результаты прошлого исследования за основу для изменений внутри компании. Итог: вырос eNPS. Примите участие в исследовании этого года, чтобы сделать ИТ-индустрию еще более комфортной для работы. Проголосовать можно до 31 августа. ➡️ Принять участие в опросе

Он не был в отпуске с того самого релиза, который «вот-вот стабилизируется». Пришло время отправить Типичного Программиста в отпуск! В новой мини-игре нужно откопать разработчика, найти билет, сложить чемодан и подобрать гардероб, в котором не три одинаковые чёрные футболки. Спойлер: он всё равно попытается запихнуть ноутбук в чемодан. Ваша задача — чтобы шорты тоже влезли. Найдите все пасхалки от партнёров и помогите разрабу уйти в отпуск со спокойной душой! Играть → https://tprg.ru/fbmY

Делаем из плоского фото 3D-сцену со светом и тенями В новом туториале Codrops Dominik Fojcik показывает, как обычное 2D-изображение начинает отбрасывать настоящие тени: без 3D-модели, одной текстурой. Берёте картинку, генерируете карту глубины и пропускаете свет через WebGPU-шейдер в Three.js. Фишка в том, что готовые карты глубины обычно 8-битные, всего 256 градаций, и на гладких поверхностях свет ловит ступеньки. Автор же разбирает, как конвертировать карту в float, слегка размыть и сохранить в half-float, чтобы шум исчез. Работает пока только где есть WebGPU. Пошаговый туториал на Codrops.

Вы уже заметили, что сайты банков и контрагентов стали открываться с предупреждением «Подключение не защищено»? Дело в том, что GlobalSign отзывает SSL-сертификаты у российских компаний, и те переходят на сертификаты Национального удостоверяющего центра Минцифры (НУЦ). Chrome, Safari, Firefox и Edge таким сертификатам не доверяют — и сайты перестают открываться. Под ударом платежи, ЭДО и закупки на госплощадках. Решение есть — Яндекс Браузер для организаций. Он поддерживает все нужные сертификаты безопасности, поэтому сайты открываются в нём без ошибок.

Разработчик заставил печатать HP Laser 1008a на macOS с помощью Claude Code У HP Laser 1008a нет родного драйвера и AirPrint. Кубера Мехта из PolyThink это не остановило. Он взял Claude Code и за 30–40 промптов, потратив 4% месячного лимита, собрал патч к открытому драйверу SpliX. Мехт говорит, что не разбирался в macOS-драйверах, но учился по ходу. Claude Code делал уверенные заявления, которые приходилось проверять и поправлять, и снял рутину, позволив одному человеку закрыть задачу, которая раньше требовала узкой специализации. Разбор на The Register.

Ваши варианты?

Почему str.lower() иногда ломает проверку имён доменов Регистр символа в Python зависит от версии Unicode интерпретатора. Сейчас unicodedata.unidata_version — 17.0.0, а протокол подготовки строк stringprep, который лежит в основе международных доменных имён, зафиксирован на Unicode 3.2. Поэтому str.lower() и str.encode('idna') в разных версиях Python могут считать разные строки одинаковыми. В обычном коде это проходит незамеченным, а в проверке доменов или авторизации получается обход валидации. В контексте безопасности не зовите str.lower() напрямую. Берите пакет idna: он реализует стандарт IDNA 2008 и не использует встроенные таблицы Unicode. Seth Larson разбирает уязвимость и показывает, как это выглядит на практике.