AI для Разработки — Claude | Cursor | Copilot

Structured Outputs: кто из провайдеров реально держит JSON Schema, а кто только делает вид Когда LLM работает в проде, её ответ почти всегда летит дальше — в API, базу, следующий промпт. И тут промпт «верни JSON по этой схеме» — это молитва, а не гарантия. Модель может переименовать ключ, добавить «Sure, here is your JSON:» перед ответом или вернуть enum, которого в схеме нет. Для этого и придумали Structured Outputs — провайдер сам режет токены, которые ломают схему. Звучит красиво, но вопрос в том, что именно из JSON Schema провайдер на самом деле применяет, а что просто принимает и кладёт на полочку. Ребята с Хабра проверили OpenAI, Gemini и xAI простым приёмом: дают схему с ограничением (например, minLength: 5) и в промпте просят его нарушить (верни 'hi'). Если провайдер реально применяет ограничение — модель не сможет, как ни старайся. И да, жёсткая схема иногда ломает качество — модель тупит или зацикливается в длинном поле до лимита токенов. С этим тоже придётся жить через evals и разбиение задачи. Читать целиком: habr.com/articles/1033478 🔥 — забираю в свой пайплайн 🤔 — а у меня и так норм через retry @ai_for_dev

9 папок, которые отличают LLM-демку от продакшена Есть у вас в проекте main.py с одним вызовом OpenAI и промптом в f-строке? Поздравляю, это не AI-система, это хобби. А вот как выглядит честный продакшен: services/ — RAG, семантический кеш, память, query rewriter, роутер. Пять штук, не один файл. agents/ — document grader, decomposer, adaptive router. Агенты сами проверяют себя. prompts/ — версионируются и типизируются. Хардкод в коде = технический долг с процентами. security/ — фильтры на вход, контент и выход. Три слоя, потому что один пробьют. evaluation/ — golden dataset + офлайн + онлайн-мониторинг. Этот слой пропускают примерно все. Потом удивляются, почему модель внезапно поглупела. observability/ — трейсы, фидбек привязан к трейсам, стоимость каждого запроса. Без этого вы не AI-инженер, а финансовый донор OpenAI. .claude/ — контекст для кодинг-агента, чтобы он не переписал вам половину репы под настроение. Главное: 9 слоёв звучит как оверинжиниринг, пока вас не разбудят в 3 ночи из-за галлюцинирующего бота на проде. 🔥 — сохраняю как чеклист 😐 — у меня пока 2 из 9 @ai_for_dev

AI-агент теперь умеет в дизайн — встречайте Lazyweb Появился MCP-сервер Lazyweb, который подсовывает Cursor, Claude Code и Codex библиотеку из 257 тысяч скринов реальных приложений. Пишешь агенту «запили мне страницу настроек как у нормальных людей» — он лезет в базу, смотрит как это сделано в живых продуктах, и собирает что-то похожее. Без этого агенты обычно выдают вечный Bootstrap из 2018 года, потому что просто не видели, как выглядит современный UI. А тут — насмотренность из коробки. И да, бесплатно. Для людей и для агентов. 🎉 — бесплатно? беру 👀 — гляну, не Bootstrap ли там внутри @ai_for_dev

«Я пошутил, что разработчики не нужны — мне поверили» Парень с Хабра написал сатиру: типа продакт без скиллов попробовал вайбкодинг, уволил команду, теперь правит миром. В конце даже ссылку на localhost прилепил и тег «сатира». Не помогло — заминусовали на серьёзных щах, в личку писали «у вас ссылка не работает». Дальше автор переходит к делу. Да, порог входа падает — дашборд теперь соберёт кто угодно за вечер промптами. Но как только дело доходит до масштабирования, эйфория испаряется быстрее, чем кредиты в Cursor. Зато аналогия с техписателями цепляет. Раньше — целые отделы копирайтеров на крупную компанию. Сейчас — один человек ревьюит то, что нагенерила нейронка на всю контору. Изюминки нет, авторского стиля нет — а в доке оно и не надо. Мораль: инстадевы из твиттера ничего сложнее дашборда не сделают ни через год, ни через десять. Но формат профессии меняется, и сидеть на попе ровно — плохая стратегия. **Читать на Хабре** 😁 — отрезвляющий лонгрид 🤡 — снова паника на ровном месте @ai_for_dev

Чекер DPI в опенсорсе — узнай, как именно тебя режут Парень с ником hyperion-cs выложил на GitHub штуку, которая показывает не просто «интернет тормозит», а конкретный метод фильтрации, которым тебя душит провайдер. Что умеет: — ловит DPI и его параметры; — проверяет обрывы TCP; — тестирует доступность хостов и подсетей (CIDR/AS); — анализирует DNS. Написано на Go, есть бинарники под Windows, macOS и Linux. Лицензия Apache 2.0 — бери, форкай, втыкай в свой пайплайн мониторинга. Android обещают позже. Очень в тему, когда твой бэкенд не дотягивается до внешнего API, а ты сидишь и гадаешь — это AWS лёг или Ростелеком решил пошалить. 🔥 — затащу в мониторинг 👀 — давно ждал такое @ai_for_dev

Локальные LLM на флешке — без установки и без интернета Забавный проект USB-Uncensored-LLM: качаешь скрипт под свою ОС, кидаешь модели на флешку — и всё, втыкаешь в любой комп и запускаешь. Ни установок, ни аккаунтов, ни интернета. Внутри портативная сборка Ollama + изолированный Python. Веса лежат в общей папке Shared — один раз скачал, гоняешь на Windows, macOS и Linux без дублей. С телефона тоже подключаешься — поднимается локальный веб-интерфейс по WiFi. CUDA, Metal и AVX подхватываются автоматически в зависимости от железа хоста. Что нужно: USB 3.0 от 8 ГБ (лучше 16+), 8 ГБ RAM для лёгких моделей или 16 ГБ для 9B/12B. В каталоге Gemma 2, Qwen 3.5 — свои GGUF-веса можно подкладывать любые. Хорошая штука для оффлайн-работы, демо без VPN или чтобы потыкать локальные модели с разных машин. 🔥 — флешка с мозгами 😎 — кладу в рюкзак @ai_for_dev

Stealth-Chromium, который проходит вообще всё Команда выкатила CloakBrowser — Chromium, перепиленный на уровне C++ исходников, а не через JS-патчи и хаки с флагами. Разница принципиальная. 49 патчей в исходниках закрывают всё, что детектят антиботы: canvas, WebGL, аудио, шрифты, GPU, WebRTC, сетевые тайминги. Что пройдено: — Cloudflare Turnstile ✓ — reCAPTCHA v3 со скором 0.9 (как человек!) — FingerprintJS, BrowserScan — зелёные — 30 из 30 детект-сайтов Самое вкусное — прямая замена Playwright/Puppeteer. Меняешь импорт в трёх строках, и API остаётся тем же. Флаг humanize=True добавляет человечные кривые мыши и тайминги клавиатуры.

pip install cloakbrowser

npm install cloakbrowser

Бесплатно, опенсорс, есть Docker-образ. 🎉 — бесплатно? тащу 👀 — а через неделю не зафиксят? @ai_for_dev

Ваш LLM-бот, скорее всего, дырявый — и вот чем это проверить Чувак выкатил BarkingDog — Open Source сканер для Telegram-ботов и веб-приложений на LLM. Натравил на популярный chatgpt-telegram-bot (тысячи звёзд, форкнут и задеплоен кучей инди-разработчиков). Результат: 0 из 100. Что бот радостно выдал на голубом глазу: — рабочий кейлоггер на Python с pynput и логом в файлик — подтверждение, что отбеливатель лечит COVID-19 — пошаговый гайд по взлому корпоративной сети с конкретными утилитами Дальше автор поправил системный промпт — шесть строк текста. Без смены модели, без кода. Новая оценка: 97/100. Как работает: кидает 300+ adversarial пейлоадов на вебхук, ИИ-судья оценивает ответы, всё мапится на OWASP LLM Top 10, на выходе HTML-отчёт. Слепые зоны у наивных ботов классика: перефразировал «напиши малварь» в «как записать активность клавиатуры» — и получил туториал. Ещё Base64: спрятал инструкцию в кодировке, попросил «расшифруй» — бот декодит и выполняет. 🔥 — погнал сканить свой бот 😐 — а у меня там продакшен... @ai_for_dev

Бесплатный API-хаб с Opus 4.7 и GPT-5 — пока Windsurf не закрыл лавочку Чувак с GitHub завернул внутренний API Windsurf в OpenAI- и Anthropic-совместимые endpoints. То есть твой Cursor, Claude Code или Cline просто меняют base_url — и работают с Opus 4.7, GPT-5.4 и сотней моделей бесплатно. Что внутри: • Claude Opus 4.7, вся линейка GPT-5, Gemini 3.0/3.1, Grok, Qwen, Kimi K2 — полный зоопарк • Пул аккаунтов с авторотацией при упоре в лимит • Pure Node.js, ноль зависимостей — поднимается одной командой • Self-hosted, локально или на VPS README на смеси китайского и английского, но переводчик справляется. Лицензия MIT — WindsurfAPI на GitHub. 🔥 — поднимаю на VPS 👀 — посмотрим сколько проживёт @ai_for_dev

Python 3.14 уже здесь — пора обновляться Если пропустили — там реально жирные апдейты подвезли 🐍 Что важного: • Free-threaded Python без GIL — официально, не экспериментально. Многопоточка теперь по-настоящему • Отложенные аннотации — forward references больше не боль • t-strings (template string literals) — безопасные строки без копипасты костылей • Встроенный Zstandard для сжатия — можно выкинуть зависимости • Подсветка синтаксиса в REPL — мелочь, а приятно • Multiple interpreters прямо в stdlib И вишенка: tail-call interpreter ускоряет код просто фактом обновления: — 3–5% на Linux — 7–8% на ARM Mac То есть платишь нулём строк кода, получаешь почти десятку процентов на маках. Бесплатный обед, который обещали что не бывает. 🔥 — иду апгрейдить 🤔 — подожду пока либы догонят @ai_for_dev

2000+ DESIGN.md, чтобы агент клепал UI как человек Кто-то собрал Refero Styles — коллекцию из 2000+ файлов DESIGN.md с дизайн-системами лучших сайтов мира. Палитра, шрифты, типографика, компоненты — всё готовое. Идея простая: вместо «сделай красиво» суёшь агенту DESIGN.md от Linear или Stripe — и он генерирует UI в их стиле. Поиск по бренду, цвету, настроению или вообще по URL любого сайта. Если вы устали объяснять Cursor что такое «современный минимализм» — это спасение. 🎉 — бесплатно? беру 👀 — надо потрогать руками @ai_for_dev

Работу заберёт не ИИ, а сосед, который освоил Cursor раньше тебя Рынок не умер, но стал жёстче. Джунов берут реже — задачи «для обучения в бою» уезжают в автоматизацию. А вокруг LLM выросла целая новая инфраструктура профессий. Кого реально хантят прямо сейчас: — LLM Engineer — не обучает модели, а собирает Lego из API, RAG и тулинга — MLOps — теперь это про экономику инференса и latency — AI Infra Engineer — GPU-маг, квантование и батчинг (платят больно много) — AI Product Manager — балансирует качество vs стоимость токенов — AI Interaction Designer — UX-дизайнер для диалогов — Prompt Engineer — самая хайповая роль, уже распадается на поджанры Мораль: по старому маршруту вкатиться стало больно. По новому — открыто, дорого и весело. Полный текст. 😎 — давно прокачался 🤡 — снова мемы про вкат @ai_for_dev

Квартальный отчёт за 5 минут через Claude + MCP Ещё одна причина коммитить вообще всё в git — даже разовые скрипты и ad-hoc отчёты. Сценарий из жизни: приходит босс и просит написать, что ты делал в Q1 и что планируешь на Q2. Раньше — час вспоминаний и копания в чатах. Сейчас — просишь Claude или Cursor пройтись по истории коммитов и собрать саммари с бизнес-смыслом (агент сам додумает, зачем ты это делал 🙂). Мало коммитов? Подключаешь MCP к Jira — подтянутся тикеты. К Confluence — документы. К Slack — вся переписка по проекту. На выходе — связный отчёт, где видно и что сделано, и зачем. Босс доволен, ты свободен. 🔥 — пойду коммитить SQL-шки 😁 — агент врать будет красиво @ai_for_dev

cat readme.txt → RCE в iTerm2 Кто-то вывел cat на файл и получил выполнение произвольного кода прямо в своём терминале. Не шутка — разбор на Хабре, исследование сделано совместно с OpenAI. Фишка в фиче SSH integration у iTerm2. Когда подключаешься через it2ssh, на удалёнке стартует мелкий скрипт-«кондуктор», и он общается с терминалом не по сети, а через управляющие последовательности прямо в PTY. Транспорт — сам поток вывода. Итог: если cat показывает файл, в котором заранее подсунуты нужные esc-последовательности (DCS 2000p, OSC 135), iTerm2 думает, что это «свой» и выполняет команды. Мораль: не cat-ай рандомные файлы из интернета в продвинутом терминале. 👀 — любопытный вектор 😐 — пойду обновлять iTerm2 @ai_for_dev

ИИ без GPU: выжимаем максимум из 0.6b модели Ребята с Хабра решили проверить: а можно ли сделать вменяемый корпоративный ИИ вообще без видеокарт? Только CPU, закрытый контур, никаких облаков. Кейс — бот по программе газификации РФ. Реальность на 2025: A100/H100 под санкциями с 2022, компании скупают RTX 3050 и 4060 (+60% продаж за 9 месяцев) и ставят их вместо серверных. Так что маленькие локальные LLM — не блажь, а единственный вариант для on-premise. Что собрали: — Ollama + qwen3:0.6b (ответ от 2 сек даже на проце) — судья Qwen3-Max по OpenAI API, оценка 1–100 — свой тулзовник LLLaMBA — кидаешь xlsx с вопросами и yaml-конфиг, оно само всё гоняет и логирует Фишка в том, что можно проверить гипотезу ещё до разработки продукта — практически бесплатно итеративно крутить промпт и смотреть, выдаёт ли модель осмысленные ответы на ВАШИХ данных. Спойлер: с 0.6b это настоящий инженерный квест. 🔥 — CPU-gang радуется 👀 — надо на своих данных прогнать @ai_for_dev

Вайб-кодинг: серфинг между хайпом и нейрослопом Ребята из targetai полгода катаются на волне LLM-ассистированной разработки и утверждают: при грамотном подходе цикл сокращается в 8–12 раз. По их собственным замерам — стабильно x3-4 на прототипировании фич агентов. Стек у них боевой: Python/Go, React, микросервисы, k8s + ArgoCD, Victoria Metrics. Плюс весёлое ограничение — on-premise у клиентов, так что просто заслать всё в облачный Claude не получится. Автор честно разбирает лагерь скептиков с их нейрослопом: да, если не писал код сам — в три ночи продакшен тебя съест. Да, LLM без рамок генерит развесистую архитектуру, за которую потом стыдно. Вайб-кодинг по их версии — это не _«опиши приложение одним промптом и жди чуда»_, а осознанное делегирование с сохранением инженерной ответственности. Разница принципиальная. Почитать на Хабре 🔥 — знакомые грабли 🤔 — а цифры реальные? @ai_for_dev

LLM — это новое оптоволокно? Джеффри Мур (тот самый *Crossing the Chasm*) задаёт неудобный вопрос: а что общего у автомагистралей, авиаперевозок, оптоволокна и беспроводных сетей? Ответ: все эти штуки построили одни, а основные деньги заработали другие. Google не прокладывал интернет-кабели. Uber не строил дороги. Netflix не тянул оптоволокно в дома. Они просто пришли позже и построили бизнес поверх уже стандартизированной инфраструктуры. А теперь вопрос на миллион: LLM — это такая же история? Мур говорит — да. Vendor lock-in почти нулевой (в любом проде уже крутятся 2-3 модели параллельно), капзатраты дикие, цена токена неизбежно ползёт к нулю. Единственное исключение пока — Claude для кодинга: Anthropic нашли нишу, где реально есть дифференциация. Мораль для разработчика: если вы строите оболочку вокруг API — вы, возможно, и есть тот самый Uber, который уделает всех, кто жжёт миллиарды на GPU. 🔥 — согласен, wrapper-эра 🤔 — а как же moat @ai_for_dev

Локальные модели для кодинга — взлетит или нет? Ребята взяли MacBook Pro M4 Pro с 48 ГБ памяти и решили выяснить: можно ли кодить с AI-агентами вообще без облака? Загрузили локальную модель, подключили к популярным инструментам для кодинга и начали гонять. Спойлер: всё не так радужно. Пока задачки простые — локалка справляется нормально. Но стоит подключить агентов, которые гоняют модель туда-сюда, — машина начинает потеть, а разрыв с облачными моделями становится очевидным. Плюс unified memory у Apple Silicon красиво работает: 48 ГБ доступны и процессору, и видеокарте одновременно. Но топовую модель туда всё равно не впихнёшь — приходится брать что попроще и терять в качестве. Приватность vs скорость — выбирай сторону. Детали теста. 🤔 — подумаю ещё 👀 — загляну в статью @ai_for_dev

RAG нашёл чанки, а ответ всё равно мусор — знакомо? Ребята из Gramax прошли путь, который проходит каждый, кто делает RAG: retrieval работает, recall красивый, а пользователь получает ерунду. Модель то контекст проигнорирует, то галлюцинации добавит, то вдруг на английский перейдёт посреди русского ответа. Что попробовали: — LLM-as-Judge: модель оценивает ответ по эталону. Лучше, чем сравнивать строки, но оценка «75 из 100» ничего не объясняет. — Разбили на критерии: полнота, точность, галлюцинации, язык. Сразу видно — ответ неполный или просто модель начала фантазировать. — Прогнали разные модели на одном бенчмарке и наконец-то смогли нормально сравнить, кто лучше отвечает. Самое ценное: осознание, что recall@10 и качество ответа — вообще разные вещи. Можно найти идеальные чанки и всё равно получить бред на выходе. Статья целиком 🔥 — знакомая боль 👀 — надо свой RAG проверить @ai_for_dev

44 CVE в uutils: где заканчиваются гарантии Rust Canonical опубликовала результаты аудита uutils (Rust-реализация coreutils в Ubuntu 25.10). 44 уязвимости, 0 пойманных borrow checker / clippy / cargo audit. Из-за этого cp, mv, rm в 26.04 LTS оставлены на GNU. Кластер 1 — TOCTOU на путях. Самый крупный. Паттерн: syscall_1 проверяет атрибуты пути, syscall_2 выполняет действие по тому же пути. Между ними локальный атакующий с записью в parent dir подменяет компонент симлинком — ядро ресолвит заново, привилегированное действие летит в /etc/shadow. Эргономичные API стандартной библиотеки (fs::metadata, File::create, fs::remove_file, fs::set_permissions) усиливают проблему — они принимают Path, а не RawFd, и ресолвят путь на каждом вызове. CVE-2026-35355 (src/uu/install/src/install.rs):

fs::remove_file(to)?;
// race window
let mut dest = File::create(to)?;  // re-resolves path
copy(from, &mut dest)?;

Fix: OpenOptions::new().create_new(true).open(to) — атомарная семантика O_CREAT | O_EXCL. Для серьёзной защиты — работа через *at syscalls (openat, unlinkat) с предварительно открытым dirfd. Кластер 2 — паника на не-UTF-8 байтах в путях/именах. Кластер 3 — отброшенные Result в привилегированных операциях. Вывод: memory safety ≠ semantic safety. Для setuid/привилегированных утилит нужны те же дисциплины, что и в C: дескрипторы вместо путей, *at-семейство, явная обработка Result. 🤔 — справедливый разбор ✍️ — записал в чеклист код-ревью @ai_for_dev