Android Broadcast

🐘 Обновили Gradle скиллы до версии 1.1.0: исправили баги и сделали улучшения для работы на более слабых моделях #Gradle #AI

🛒 Google Play: Ask Play сравнивает приложения, Engage SDK на 9 категорий Google обновила инструменты discovery и engagement для разработчиков. Часть уже в Play Console, часть раскатывается. 👉 Ask Play. Динамические сравнения приложений бок о бок прямо в поиске — по подпискам, офлайн и другим пунктам листинга 👉 Play в Gemini. Уже >6 млн установок за 2 месяца с запуска; рекомендации приложений теперь и через Gemini Live голосом 👉 Deep links. Встроенный эмулятор deep links в Play Console — проверять ссылки без физического устройства 👉 Engage SDK. Персональный контент в Apps Home / You tab — теперь 9 категорий, включая Education и Health & Fitness 👉 Игры. Play Games Rewards в GA; Sprints — 48-часовые матчи 2–5 игроков. Apps Experience / Level Up доступны в EEA, UK, US, AU, JP 🔗 Android Developers Blog #Android #AndroidDev #GooglePlay

🚀 Baseline Profile закоммичен, CI его генерирует, а холодный старт всё равно медленный Знакомая картина: baseline-prof.txt лежит в репозитории, задача генерации проходит в каждом релизе, профиль честно попадает в APK, а первый запуск быстрее не стал. Yadnyesh Rana на dev.to разбирает, как профиль может присутствовать и при этом ничего не делать, причём сборка об этом промолчит. Первая причина: профиль сняли не с той сборки. BaselineProfileRule из Macrobenchmark должен работать с вариантом, устроенным как релиз: с R8-минификацией (сжатием и переименованием кода) или с отдельным benchmarkRelease, который повторяет релиз. Если генератор гоняли на обычном debug, профиль, по словам автора, ссылается на исходные имена классов, которые R8 в релизе уже переименовал. ART загружает такой профиль, не находит совпадений и молча считает его пустым. Касается это всех, кто включил R8, так что первым делом проверьте, что testBuildType в модуле бенчмарков указывает на релизный вариант. Вторая причина: профиль устарел. Он вшивается в APK при сборке из src/main/baselineProfiles/ и сам не обновляется, когда появляется новый Compose-экран или пункт навигации. Код такого экрана остаётся без AOT-компиляции (заранее, при установке): сначала он интерпретируется, потом постепенно разогревается JIT, и пользователь видит те же подтормаживания, что и без профиля. Сборка при этом не падает, ведь старый профиль формально валиден. Сильнее всего это бьёт по командам, которые часто выпускают новые экраны, поэтому автор советует перегенерировать профиль перед релизом, если менялся критический путь пользователя, и вписать это в релизный чек-лист. Третья причина: установку никто не проверял. По словам автора, именно она съедает больше всего времени. Изнутри приложения проблему не видно, а файл в APK ещё не значит, что ART скомпилировал по нему код. В документации Android состояние компиляции предлагают смотреть так:

adb shell dumpsys package dexopt | grep -A 1 com.example.app

В выводе должен быть status=speed-profile. Момент записи профиля при первом запуске видно в adb logcat -s ProfileInstaller:*, а самый наглядный сигнал даёт Macrobenchmark: сравните StartupTimingMetric с профилем и без него на одном устройстве и в одном сценарии. Если разница в пределах погрешности, профиль где-то молча отвалился.

⚠️ В статье для проверки предлагают dumpsys package compiler-stats с поиском reason=speed-profile, а в документации Android статус компиляции смотрят через dumpsys package dexopt.

🔗 dev.to · Документация Android #Android #AndroidDev #BaselineProfiles #Performance

🔐 GitHub Security Lab нашла ИИ-агентом 24 уязвимости в Android-приложениях Kevin Stubbings из GitHub Security Lab рассказал, как настроил открытый Taskflow Agent на поиск уязвимостей именно в Android. Агент сначала выделяет мобильные точки входа (экспортированные активити, интенты, диплинки), а потом проверяет каждую по списку типичных для Android классов уязвимостей. Итог — 24 уязвимости, о которых сообщили разработчикам, среди них несколько критических. Самая показательная нашлась в приложении Wikipedia. Диплинк wikipedia:// проверял хост так:

if (it.authority.orEmpty().endsWith(WikiSite.BASE_DOMAIN)) {
    // открыть страницу во встроенном WebView
}

Под условие подходит и evil-wikipedia.org. Приложение открывает такую страницу в своём WebView и выполняет её JavaScript, а такая же проверка в менеджере cookie отдаёт ей долгоживущие токены сессии — это захват аккаунта. В навигаторе OsmAnd (10M+ скачиваний) любое приложение без разрешений могло через экспортированную MapActivity тихо подменить настройки и получать маршруты пользователя на свой сервер. Проверить свой проект можно в Codespace из репозитория seclab-taskflows: ./scripts/audit/run_mobile.sh myorg/myrepo, на среднем репозитории это час-два.

⚠️ Нужна лицензия GitHub Copilot, и запуск тратит много премиум-запросов. Модель часто завышает серьёзность и находит малозначимое, так что каждую находку должен проверить человек.

🔗 GitHub Blog · seclab-taskflows · Taskflow Agent #Android #AndroidDev #Security #AI

🔐 Взлом OpenCode Console: у части пользователей утекли ключи OpenAI, Anthropic и Google В ночь на 17 октября злоумышленники проникли в старую систему OpenCode, которую компания как раз выводила из эксплуатации. Пострадали 1,4% пользователей OpenCode Console — те, кто подключил в рабочем пространстве собственные ключи внешних провайдеров: Console хранит их на своих серверах. Сама компания связывает взлом с «масштабной атакой дистилляции». Многие узнали о взломе по счетам: в X пострадавшие пишут о списаниях от сотен долларов до $1700 за ночь. OpenCode разослала письма с темой «Action Required: Potential provider key breach»; кто письма не получил, тех, по словам компании, не задело. Если вы подключали свои ключи в Console, отзовите их и проверьте расходы у провайдеров за выходные. Сегодня утром Тибо из команды Codex написал, что OpenAI вместе с OpenCode вернула своим API-клиентам деньги, списанные в ходе атаки.

⚠️ Расследование ещё идёт: OpenCode не раскрыла подробностей и не сообщила, как с компенсациями у Anthropic и Google. Суммы списаний — со слов пользователей, The Latent проверить их не смогла.

🔗 OpenCode · The Latent · Тибо (OpenAI) #AI #OpenCode #Security

🛒 Второй фейк в Google Play за неделю: «WhatsApp» с 500 000+ установок В среду из Play убрали поддельный Chrome от Hizbartech со 100 000+ скачиваний, а сегодня Android Authority нашла копию WhatsApp. Карточка от разработчика Agment Assets sallu висит в сторе с сентября, скриншоты и описание скопированы с оригинала один в один, а у части пользователей она всплывает в рекламном блоке поиска над настоящим мессенджером. По версии Android Authority, фейк, похоже, пользуется программой Early Access: по данным Bitdefender, там нет публичных отзывов, и предупредить остальных негде. Правда, в шапке карточки пометки Early Access сейчас не видно. Проверка простая: в карточке WhatsApp разработчиком должен быть WhatsApp LLC. Если там кто-то другой, удаляйте и проверьте выданные разрешения.

⚠️ Что фейк делает внутри, пока неизвестно. Вечером 16.10 карточка всё ещё была в сторе.

🔗 Android Authority · Bitdefender про Early Access · Фейковый Chrome · Карточка в Play #Android #GooglePlay #Security

🛠️ У Android появился навык для ИИ-агентов: поиск и разбор ANR На developer.android.com выложили навык «Android ANR audit and fix». С ним агент может пройтись по коду и найти места, где главный поток рискует зависнуть: для каждого кандидата он доказывает, на каком потоке тот выполняется и что вызов действительно блокирует. Второй режим — разбор трассы ANR по готовому шаблону отчёта. Исправления агент предлагает, только если виновато само приложение, а не внешняя система. Пригодится, если вы уже даёте ИИ-агентам работать с Android-проектом или разбираете пачки ANR из Play Console и Crashlytics. Пока навык есть только в документации: в репозитории android/skills на GitHub его нет, установить через Android CLI тоже пока нельзя. 🔗 ANR audit and fix #Android #ANR #AndroidDev #AI

🤖 В Android Studio Rabbit 2 можно выкладывать билд на тестовый трек Play прямо из IDE В конце Generate Signed App Bundle появился шаг Publish for Testing: подписанный релиз уходит в Google Play Console на тестовые треки. Для нового приложения — сразу на internal test, для уже существующего — на другие типы тестовых треков. Нужна регистрация в Play Console. Там же в Rabbit 2 LeakCanary подружили с AI-агентом в Profiler: утечки памяти разбираются с объяснением причин и предложением правок в коде, без прыжков между инструментами. Полезно тем, кто уже сидит на canary и гоняет внутренние/закрытые тесты или ловит утечки на превью-сборках. ⚠️ Это preview Android Studio Rabbit 2 (Canary), не stable. 🔗 Release notes preview #Android #AndroidStudio #AndroidDev

🤖 DexSQL: SQL-запросы к APK и DEX, а для агентов есть MCP Команда LSPosed выпустила DexSQL. Классы, методы, строки и вызовы из DEX он раскладывает по таблицам. Не нужно декомпилировать APK целиком и грепать код: найти все методы, где встречается api.example.com, можно одним SELECT по таблице method_strings. Так же ищутся вызывающие методы, обращения к полям, аннотации вроде @Keep и последовательности опкодов, а Smali нужного метода открывается сразу. Встроенный MCP-сервер подключается к Claude Code, Codex и другим агентам, дальше хватит просьбы «найди методы с этой строкой лога и покажи, кто их вызывает». Инструмент пригодится для аудита своего релизного APK: какие хосты и ключи туда попали, что тянут сторонние SDK, что пережило R8. Всё работает локально на Windows, Linux и macOS (Apple silicon). ⚠️ DexSQL бесплатен, в том числе для коммерческих задач, но это закрытый бинарник, а не open source. 🔗 GitHub · Документация · Примеры SQL #Android #AndroidDev #MCP #Security

🤖 Android прячет логины в WebView при показе экрана и запрещает приложениям тихо включать переадресацию Google выкатывает новую порцию защиты от мошенников. Часть изменений касается поведения системы, которое стоит учитывать в своих приложениях. 👉 Screen-share privacy в Chrome и WebView. Во время трансляции экрана поля логина и платёжные экраны скрываются автоматически, как уже работает в нативных приложениях. Android 15+, раскатка в октябре 👉 Переадресация звонков. Приложения больше не могут незаметно включить её в фоне, а на ручной ввод MMI-кода переадресации Android покажет предупреждение. С начала декабря на Pixel и части других устройств 👉 Enhanced protection в Google Messages. Opt-in режим: анализ переписки облачными Gemini в Private AI Compute и проверка новых ссылок через Gemini Nano на Pixel 10+ и Galaxy S26 👉 Verified financial calls с июня заблокировали 3+ млн поддельных звонков от имени Banco do Brasil и Itaú 🔗 Google #Android #AndroidDev #Security

#видеозаписи #МобильныйВторник Осенний Mobius — уже на следующей неделе! А сегодня мы открываем полный плейлист весенней конференции. Приятного просмотра: 😉 YouTube | 📺 VK Видео

🔐 Волна утечек в Японии: эндпоинты и ключи API достают из публичных приложений 8 октября JPCERT/CC предупредил о серии крупных утечек персональных данных с сентября. Один из сценариев: атакующие разбирают мобильное приложение, находят эндпоинты и ключи API и бьют по внутренним API, недоступным через экраны приложения. 👉 Что делают. Меняют права пользователей, создают аккаунты, шлют запросы без заголовков и с битыми токенами, ищут аккаунты через blind NoSQL injection, используют украденные ключи 👉 Масштаб. 10,8 млн записей Yakiniku King, ~6,6 млн аккаунтов каршеринга Times Car. Как их взломали, пока не раскрыто 👉 Советы JPCERT. Проверять доступ на каждом эндпоинте, включая «непубличные». Лимиты на логин, сброс пароля, SMS и поиск. Минимальные права, короткоживущие токены, быстрый отзыв 👉 Для клиента. Секретным ключам и доступам к БД не место в APK: обфускация их не спрячет 🔗 Алерт JPCERT/CC (яп.) 🔗 Разбор The Hacker News #Android #AndroidDev #Security #API

🛒 Google Play: свои вайб-код приложения можно ставить на устройство без аккаунта разработчика Google анонсировала обновления Play Store. Главное для разработчиков: приложения, собранные в Google AI Studio, теперь можно запускать на своём устройстве через Google Play в приватном режиме. 👉 Personal Library. Приложение отправляется из AI Studio в Play, без APK, ADB и Play Console. Нужен только обычный Google-аккаунт. Приложение видно только вам и не попадает в публичный каталог, но должно соответствовать политикам Google Play. 👉 Доступность. Раскатка с 13 октября в США и ряде других стран, для пользователей 18+. Шаринг с друзьями и семьёй, а также путь к публичной публикации обещают в ближайшие месяцы. 👉 Ask Play теперь умеет сравнивать приложения: ключевые отличия и отзывы пользователей. 👉 Game Finder и Gamer DNA. Рекомендации игр по профилю того, как вы играете, и указанным предпочтениям. Пока на английском и только в США. 🔗 Google Blog #Android #AndroidDev #GooglePlay #AI

🤖 Gemini 4 Argon пришёл в Android-разработку Google открыл Android-разработчикам свою новую frontier-модель. Я выделил то, что касается Android: 👉 Сама чинит сборку. Antigravity забирает ошибки из Gradle-демона и логов компилятора Kotlin, а модель ищет корневую причину, держит одну гипотезу между итерациями и опирается на AST 👉 Пишет AGSL-шейдеры для Compose: frosted glass, освещение, ripple в graphicsLayer и shader brush 👉 Android CLI plugin связывает агента с локальными Android-инструментами Где доступна: 👉 Antigravity (desktop, CLI и Android Studio Canary) по подписке Google AI Ultra 👉 Android Studio, AI Studio и Firebase AI Logic через платный тариф Gemini API, по специальной цене до 30 ноября 🔗 Анонс #Android #AI #Gemini #Antigravity

🤖 Keep-аннотации R8 вместо ручных -keep правил: вышел AndroidX Annotation Keep Недавно писал, что Google взялся за R8 и пора чистить широкие keep-правила. Теперь есть чем их заменить: androidx.annotation.keep. Код сам говорит R8, что трогает через рефлексию. Это те же аннотации, что R8 давно держит у себя, только теперь в Jetpack. 👉 @UsesReflectionToConstruct, @UsesReflectionToAccessMethod, @UsesReflectionToAccessField сохраняют цель, только если аннотированный код остался в сборке. Умер код — ушёл и keep 👉 @UnconditionallyKeep для вызовов извне: JNI, фреймворк 👉 ОБЯЗАТЕЛЬНО подключить Gradle-плагин androidx.annotation.keep, который генерирует правила: в приложении отдаёт их R8, в Android/KMP-библиотеке встраивает в AAR 👉 Lint: ReflectionWithoutKeepAnnotations и MissingKeepAnnotationPlugin Артефакт мультиплатформенный: Android, JVM, iOS и другие Kotlin/Native-таргеты.

⚠️ Это первая альфа, а release notes пока пустые.

🐱 Исходники на GitHub 🔗 Release notes #Android #AndroidDev #R8 #KMP

🤖 Googlebook получил Linux-терминал: Debian в VM для кода и AI-агентов Google выкатил превью Terminal на Googlebook. Внутри полноценный Debian в отдельной виртуалке: apt, git, ssh, Node.js, Python, Ruby, Go, Rust. Поднял сервер на localhost, и порт сам пробросился в браузер хоста. Терминал продают как точку входа для агентной разработки: 👉 агентам вроде Antigravity можно спокойно дать sudo: всё крутится внутри VM 👉 папки хоста монтируются только с вашего разрешения 👉 сломали окружение? Сброс VM в один клик, файлы на хосте остаются Wireless ADB работает уже сейчас. В планах: 👉 USB passthrough и ADB по USB для отладки на устройстве из VM 👉 ускорение на GPU/NPU 👉 динамическая память и диск для VM Как включить: откройте приложение Terminal и нажмите Install, образ VM ставится несколько минут. На Android уже есть фича установки терминала и скорее всего, всё это можно будет проделать и там

⚠️ Это превью, возможности будут меняться.

🔗 Анонс 🔗 Terminal на Googlebook #Android #Googlebook #Linux #AI

🤖 Google взялся за R8 всерьёз: пора почистить proguard-rules.pro Android vitals в Play Console уже следит, насколько хорошо оптимизирован ваш DEX, а в Architecture recommendations появился раздел Performance, где R8 в full mode помечен как Strongly recommended. Под это Google обновил гайды, и вот что стоит проверить у себя: 👉 Legacy-опции ProGuard. R8 их принимает, но игнорирует, а на -skipnonpubliclibraryclasses падает с ошибкой. Да, -optimizationpasses 5 из каждого второго шаблона ничего не делает 🙃 👉 -dontoptimize, -dontshrink, -dontobfuscate в релизе. Им место только в отладке 👉 Широкие keep-правила вроде -keep com.foo.**. Их найдёт R8 Configuration Analyzer (AGP 9.3+): ./gradlew :app:analyzeReleaseR8Config 👉 Оценку как в vitals считают по r8.json из AAB, цифры анализатора с ней не совпадут 🔗 R8 global options 🔗 R8 Configuration Analyzer 🔗 DEX code optimization в Android vitals 🔗 Architecture recommendations: Performance #Android #AndroidDev #R8 #Оптимизация

‼️ Опыт использования Grok Build и Grok 4.7 в разных задачах Два месяца каждый день работал в Grok Build, ИИ-агенте для программирования от xAI, на рабочих задачах и в своих Kotlin-проектах. Без бенчмарков, только личный опыт: что классно, что бесит, как Grok 4.7 пишет код против Opus 5.5 и стоит ли за это платить. Видео доступно платным подписчикам на 🪙 Boosty 📹 YouTube 📹 VK Video #AI #Grok #AndroidBroadcast

🤖 Google Play снизит комиссию за хороший UX: Apps Experience Program Google запустил добровольную программу: приложение соответствует его гайдлайнам по UX и качеству — комиссия Play ниже. На доход сверх $1M в год: 15% вместо 20% на новых установках, 20% вместо 25% на старых, external links 15% вместо 20%. Подписки как были 10%. Что требуют: passkeys или SSO, Restore Credentials, Engage SDK, adaptive UI, Compose, Predictive Back, edge-to-edge, crash/ANR/jank ниже порогов. Заявка в Play Console → Policy and programs → Programs, пока для аккаунтов от $1M за 12 месяцев. Ставка с 30.09.2026 в США, UK, Японии, ЕЭЗ и Австралии, в остальном мире с 30.09.2027. Офигенная программа. Качество и раньше помогало в Play, а теперь за него ещё и прямо платят меньшей комиссией. Не ожидал, что Google пойдёт на снижение комиссии ради качества, но Play очень радует, как он развивается в сторону пользователей. 🔗 Документация #Android #GooglePlay

🤖 Переезд с SharedPreferences на DataStore не замедлил приложение: замеры на реальных устройствах Команда большого приложения перенесла ключевые данные на Jetpack DataStore. Чтобы отделить эффект DataStore от остальных изменений релиза, собрали три APK: прошлый релиз, новый без DataStore и новый с DataStore. 👉 Redmi Note 9 Pro, по 10 cold start на сборку: first frame 1888 → 1898 мс, полная загрузка экрана 4442 → 4110 мс. Всё в пределах разброса между запусками. 👉 CPU и память без изменений, а на одном экране CPU в idle даже снизился на 2.6 п.п. 👉 Миграция данных идёт в фоне: 47 мс при первом обновлении и 6 мс при следующих. 👉 На слабом Galaxy A15 при обновлении со старыми данными все 10 cold и 10 warm start новой сборки быстрее старой, включая запуск с миграцией. ⚠️ Это одно приложение и внутренние замеры автора. Ускорение на Galaxy A15 и A55 (first frame на 0.7 с быстрее) дали все изменения релиза, а не только DataStore. 🔗 Статья на ProAndroidDev #Android #AndroidDev #DataStore #Performance