AI для Разработки — Claude | Cursor | Copilot

Чат-бот выдумывает ссылки на доки? Знакомо. Ребята из HOSTKEY поделились продакшен-рецептом, как починить эту классику в OpenWebUI. Спойлер: одним системным промптом не обойтись — модель не умеет в HTTP, она просто красиво галлюцинирует URL. В OpenWebUI завезли Skills, и автор раскладывает по полочкам три слоя: — System Prompt = должностная инструкция. Знает правила, но в поле не выйдет. — Skills = редактор с лупой. Чистит ответ после генерации. — MCP Tools = руки и ноги. Реально дёргает URL и проверяет 200/404. Вся фишка — в правильной связке: промпт описывает алгоритм построения ссылки, MCP-тул её валидирует, Skill приклеивает результат к ответу. И никаких выдуманных эндпоинтов на проде. Код весь из боя, с логами и обработкой ошибок. Если пилишь RAG поверх документации — мастхэв. Статья на Хабре 🔥 — пойду прикручивать к своему боту 👀 — а я думал Skills это маркетинг @ai_for_dev

pip 26.1 завёз lock-файлы и cooldown — наконец-то Питонисты, у нас праздник: pip догоняет poetry и uv по части управления зависимостями. Главная фича — экспериментальная поддержка pylock.toml (стандарт PEP 751):

pip install -r pylock.toml

Фиксированные версии, воспроизводимые окружения, меньше боли при деплое. Welcome to 2026. Вторая годнота — dependency cooldowns:

pip install --uploaded-prior-to P7D <pkg>

Не ставит пакеты, загруженные за последние 7 дней. Звучит банально, но это рабочая защита от supply chain — пока ты ждёшь, сообщество успевает заметить вредоносный релиз. Бонусом: пофикшены давние косяки резолвера, закрыты две CVE, Python 3.9 идёт лесом (EOL был ещё в октябре 2025). Полный разбор от Richard Si 🎉 — pip сам себя нашёл 👀 — пойду pylock пробовать @ai_for_dev

Supply chain атака на PyTorch Lightning PyPI-пакет lightning скомпрометирован в версиях 2.6.2 и 2.6.3 (опубликованы 30 апреля 2026). Под угрозой все, кто тренирует классификаторы, файнтюнит LLM, гоняет diffusion-модели или строит прогнозы по временным рядам — pip install lightning достаточно для активации. Внутри пакета — скрытая директория _runtime с обфусцированным JavaScript-пейлоадом, который запускается при импорте модуля. Ворует credentials, токены, переменные окружения и облачные секреты, плюс пытается отравить GitHub-репозитории, создавая публичные репо с именами вида EveryBoiWeBuildIsaWormBoi. Особенность кампании — кросс-экосистемное распространение PyPI → npm. Если малварь находит npm publish токен, она инжектит дроппер в каждый пакет, доступный токену, поднимает patch-версию и публикует. Любой downstream-разработчик получает заражение. Авторство приписывают той же группе, что стояла за mini Shai-Hulud. Полный список IOC и advisory — в разборе Semgrep. 😐 — серьёзная угроза 🤔 — изучу IOC @ai_for_dev

ИИ нашёл root-эскалейт в ядре Linux за час Новая дыра — Copy Fail (CVE-2026-31431). Сидела в крипте ядра с 2017 года, и теперь любой локальный юзер может стать root на Ubuntu, Debian, RHEL, Arch, SUSE — да практически везде. Подробности в блоге Xint. Самое весёлое — эксплойт это 732 байта Python-скрипта. Никаких race conditions, никакого подбора оффсетов, никакой компиляции. Только стандартная либа и Python 3.10+. Работает с одного запуска. Как это устроено: баг в AF_ALG позволяет записать 4 байта в page cache любого читаемого файла. Берём setuid-бинарник, патчим в памяти, получаем root. На диске файл не меняется — integrity-чекеры ничего не видят. И вишенка: page cache общий для контейнеров, так что это ещё и побег из контейнера и вектор для компрометации Kubernetes-кластера. Нашёл всё это AI, прочесав криптоподсистему за час. Патчи уже выкатывают — бегом обновляться. 😐 — пора патчить ноды 🤔 — AI работает лучше меня @ai_for_dev

Вредонос в PyTorch Lightning крадёт облачные ключи через хуки Claude Code Исследователи Semgrep обнаружили вредоносный код в пакете lightning на PyPI — заражены версии 2.6.2 и 2.6.3. Достаточно pip install lightning, и при первом импорте срабатывает скрытый payload в директории _runtime — 14,8 МБ обфусцированного JavaScript. Что крадёт: токены GitHub, npm-ключи, переменные окружения, секреты AWS/Azure/GCP через стандартные механизмы аутентификации. На Linux CI-машинах дополнительно дампится память процесса GitHub Actions со всеми секретами раннера. Утечка идёт по 4 каналам одновременно: HTTPS на сервер атакующих, GitHub Commit Search API, публичные репозитории с названиями из «Дюны», и напрямую в репозиторий жертвы при наличии токена. Главная новизна: для закрепления вредонос прописывает себя в .claude/settings.json, устанавливая хук SessionStart — он срабатывает при каждом открытии Claude Code в заражённом репозитории. Параллельно в .vscode/tasks.json добавляется задача автозапуска. Это первый задокументированный случай злоупотребления хук-системой Claude Code. Что делать: — откатиться до 2.6.1 или обновиться до чистой версии — проверить наличие .claude/router_runtime.js, .vscode/setup.mjs, workflow Formatter — ротировать все токены GitHub, npm, ключи AWS/Azure/GCP Подробности расследования 😐 — пора ротировать ключи 🤔 — проверю репозитории @ai_for_dev

Open-crawler приехал к open-scraper Теперь у вас не просто скрапер, а полноценная связка: краулер берёт стартовый URL, гуляет по сайту и стримит найденные страницы через SSE — параллельно фетчит их через сам скрапер. На выходе сразу карта сайта + распарсенные данные, один проход. Не нужен парсинг? Кидаете в discovery-режим — ходит через дешёвые прокси, Playwright не дёргается. Что прикрутили: — DELETE /scrape/{id} — мягко гасим долгие батчи, текущие страницы дорабатываются, остальные → cancelled — Вкладка Crawler в tester UI с живым деревом сайта и отменой в два клика (soft → force) — Одна кнопка Cancel на всё, переключатель MCP target: scraper или crawler MCP-эндпоинт на /mcp, OpenAPI на /docs, поднимается одним docker compose up. Репозиторий 🔥 — забираю в проект 👀 — пойду гонять локально @ai_for_dev

Reflective Agent: архитектура с принудительным самоконтролем Системная проблема LLM-агентов — отсутствие самокритики и каскадные ошибки: одна неточность тянет цепочку неверных решений. Лечится не апгрейдом модели, а архитектурой. Структура проекта на Python:

reflective_agent/
├── core/      # agent, context, state, types
├── tools/     # base, filesystem, terminal, mcp_adapter
├── safety/    # jail, detectors, snapshots
└── ui/

Ключевые типы данных: - ToolRisk: SAFE_READ (авто), MODIFY (черновик), DESTRUCTIVE (требует подтверждения) - Draft — каждое изменение файла проходит через черновик со статусом pending/accepted/rejected - Snapshot — слепок файлов для атомарного отката Цикл агента: восприятие → решение → действие → проверка, где шаг проверки обязателен. Scope Jail ограничивает агента файловой системой проекта, детекторы ловят зацикливания, MCP-адаптер подключает внешние инструменты по стандартному протоколу. Применимо к любому домену с высокой ценой ошибки, не только к coding-агентам. Источник ⚡ — паттерн в копилку 😎 — у нас похожее уже крутится @ai_for_dev

**Reflective Agent: архитектура с принудительным самоконтролем** Системная проблема LLM-агентов — **отсутствие самокритики** и каскадные ошибки: одна неточность тянет цепочку неверных решений. Лечится не апгрейдом модели, а архитектурой. Структура проекта на Python: ``` reflective_agent/ ├── core/ # agent, context, state, types ├── tools/ # base, filesystem, terminal, mcp_adapter ├── safety/ # jail, detectors, snapshots └── ui/ ``` Ключевые типы данных: - `ToolRisk`: **SAFE_READ** (авто), **MODIFY** (черновик), **DESTRUCTIVE** (требует подтверждения) - `Draft` — каждое изменение файла проходит через черновик со статусом pending/accepted/rejected - `Snapshot` — слепок файлов для атомарного отката Цикл агента: **восприятие → решение → действие → проверка**, где шаг проверки обязателен. Scope Jail ограничивает агента файловой системой проекта, детекторы ловят зацикливания, MCP-адаптер подключает внешние инструменты по стандартному протоколу. Применимо к любому домену с высокой ценой ошибки, не только к coding-агентам. [Источник](https://habr.com/ru/articles/1030196/) ⚡ — паттерн в копилку 😎 — у нас похожее уже крутится **@ai_for_dev**

Confluence теперь умеет в вайб-кодинг Atlassian подвезли в Confluence три AI-агента через MCP — и это реально интересно. Теперь прямо из страницы в Confluence можно: — Закинуть идею в Lovable и получить рабочий прототип — Скормить техдоку в Replit и получить стартовое приложение — Собрать презентацию через Gamma Плюс вышел Remix (открытая бета) — штука, которая сама подбирает формат визуализации для ваших данных и рисует графики без выхода из Confluence. В феврале агентов добавили в Jira, теперь Confluence. Atlassian явно хочет, чтобы вы вообще не выходили из их экосистемы. Ну и тренд: все крупные компании сейчас встраивают AI в то, что уже есть, а не делают отдельные AI-продукты. 🔥 — хочу из доки сразу в прототип 😎 — а мы уже на Notion @ai_for_dev

Confluence теперь умеет в вайб-кодинг Atlassian подвезли в Confluence три AI-агента через MCP — и это реально интересно. Теперь прямо из страницы в Confluence можно: — Закинуть идею в Lovable и получить рабочий прототип — Скормить техдоку в Replit и получить стартовое приложение — Собрать презентацию через Gamma Плюс вышел Remix (открытая бета) — штука, которая сама подбирает формат визуализации для ваших данных и рисует графики без выхода из Confluence. В феврале агентов добавили в Jira, теперь Confluence. Atlassian явно хочет, чтобы вы вообще не выходили из их экосистемы. Ну и тренд: все крупные компании сейчас встраивают AI в то, что уже есть, а не делают отдельные AI-продукты. 🔥 — хочу из доки сразу в прототип 😎 — а мы уже на Notion @ai_for_dev

Confluence теперь умеет в вайб-кодинг Atlassian подвезли в Confluence три AI-агента через MCP — и это реально интересно. Теперь прямо из страницы в Confluence можно: — Закинуть идею в Lovable и получить рабочий прототип — Скормить техдоку в Replit и получить стартовое приложение — Собрать презентацию через Gamma Плюс вышел Remix (открытая бета) — штука, которая сама подбирает формат визуализации для ваших данных и рисует графики без выхода из Confluence. В феврале агентов добавили в Jira, теперь Confluence. Atlassian явно хочет, чтобы вы вообще не выходили из их экосистемы. Ну и тренд: все крупные компании сейчас встраивают AI в то, что уже есть, а не делают отдельные AI-продукты. 🔥 — хочу из доки сразу в прототип 😎 — а мы уже на Notion @ai_for_dev

Confluence теперь умеет в вайб-кодинг Atlassian подвезли в Confluence три AI-агента через MCP — и это реально интересно. Теперь прямо из страницы в Confluence можно: — Закинуть идею в Lovable и получить рабочий прототип — Скормить техдоку в Replit и получить стартовое приложение — Собрать презентацию через Gamma Плюс вышел Remix (открытая бета) — штука, которая сама подбирает формат визуализации для ваших данных и рисует графики без выхода из Confluence. В феврале агентов добавили в Jira, теперь Confluence. Atlassian явно хочет, чтобы вы вообще не выходили из их экосистемы. Ну и тренд: все крупные компании сейчас встраивают AI в то, что уже есть, а не делают отдельные AI-продукты. 🔥 — хочу из доки сразу в прототип 😎 — а мы уже на Notion @ai_for_dev

Confluence теперь умеет в вайб-кодинг Atlassian подвезли в Confluence три AI-агента через MCP — и это реально интересно. Теперь прямо из страницы в Confluence можно: — Закинуть идею в Lovable и получить рабочий прототип — Скормить техдоку в Replit и получить стартовое приложение — Собрать презентацию через Gamma Плюс вышел Remix (открытая бета) — штука, которая сама подбирает формат визуализации для ваших данных и рисует графики без выхода из Confluence. В феврале агентов добавили в Jira, теперь Confluence. Atlassian явно хочет, чтобы вы вообще не выходили из их экосистемы. Ну и тренд: все крупные компании сейчас встраивают AI в то, что уже есть, а не делают отдельные AI-продукты. 🔥 — хочу из доки сразу в прототип 😎 — а мы уже на Notion @ai_for_dev

Confluence теперь умеет в вайб-кодинг Atlassian подвезли в Confluence три AI-агента через MCP — и это реально интересно. Теперь прямо из страницы в Confluence можно: — Закинуть идею в Lovable и получить рабочий прототип — Скормить техдоку в Replit и получить стартовое приложение — Собрать презентацию через Gamma Плюс вышел Remix (открытая бета) — штука, которая сама подбирает формат визуализации для ваших данных и рисует графики без выхода из Confluence. В феврале агентов добавили в Jira, теперь Confluence. Atlassian явно хочет, чтобы вы вообще не выходили из их экосистемы. Ну и тренд: все крупные компании сейчас встраивают AI в то, что уже есть, а не делают отдельные AI-продукты. 🔥 — хочу из доки сразу в прототип 😎 — а мы уже на Notion @ai_for_dev

Confluence теперь умеет в вайб-кодинг Atlassian подвезли в Confluence три AI-агента через MCP — и это реально интересно. Теперь прямо из страницы в Confluence можно: — Закинуть идею в Lovable и получить рабочий прототип — Скормить техдоку в Replit и получить стартовое приложение — Собрать презентацию через Gamma Плюс вышел Remix (открытая бета) — штука, которая сама подбирает формат визуализации для ваших данных и рисует графики без выхода из Confluence. В феврале агентов добавили в Jira, теперь Confluence. Atlassian явно хочет, чтобы вы вообще не выходили из их экосистемы. Ну и тренд: все крупные компании сейчас встраивают AI в то, что уже есть, а не делают отдельные AI-продукты. 🔥 — хочу из доки сразу в прототип 😎 — а мы уже на Notion @ai_for_dev

Confluence теперь умеет в вайб-кодинг Atlassian подвезли в Confluence три AI-агента через MCP — и это реально интересно. Теперь прямо из страницы в Confluence можно: — Закинуть идею в Lovable и получить рабочий прототип — Скормить техдоку в Replit и получить стартовое приложение — Собрать презентацию через Gamma Плюс вышел Remix (открытая бета) — штука, которая сама подбирает формат визуализации для ваших данных и рисует графики без выхода из Confluence. В феврале агентов добавили в Jira, теперь Confluence. Atlassian явно хочет, чтобы вы вообще не выходили из их экосистемы. Ну и тренд: все крупные компании сейчас встраивают AI в то, что уже есть, а не делают отдельные AI-продукты. 🔥 — хочу из доки сразу в прототип 😎 — а мы уже на Notion @ai_for_dev

Confluence теперь умеет в вайб-кодинг Atlassian подвезли в Confluence три AI-агента через MCP — и это реально интересно. Теперь прямо из страницы в Confluence можно: — Закинуть идею в Lovable и получить рабочий прототип — Скормить техдоку в Replit и получить стартовое приложение — Собрать презентацию через Gamma Плюс вышел Remix (открытая бета) — штука, которая сама подбирает формат визуализации для ваших данных и рисует графики без выхода из Confluence. В феврале агентов добавили в Jira, теперь Confluence. Atlassian явно хочет, чтобы вы вообще не выходили из их экосистемы. Ну и тренд: все крупные компании сейчас встраивают AI в то, что уже есть, а не делают отдельные AI-продукты. 🔥 — хочу из доки сразу в прототип 😎 — а мы уже на Notion @ai_for_dev

Confluence теперь умеет в вайб-кодинг Atlassian подвезли в Confluence три AI-агента через MCP — и это реально интересно. Теперь прямо из страницы в Confluence можно: — Закинуть идею в Lovable и получить рабочий прототип — Скормить техдоку в Replit и получить стартовое приложение — Собрать презентацию через Gamma Плюс вышел Remix (открытая бета) — штука, которая сама подбирает формат визуализации для ваших данных и рисует графики без выхода из Confluence. В феврале агентов добавили в Jira, теперь Confluence. Atlassian явно хочет, чтобы вы вообще не выходили из их экосистемы. Ну и тренд: все крупные компании сейчас встраивают AI в то, что уже есть, а не делают отдельные AI-продукты. 🔥 — хочу из доки сразу в прототип 😎 — а мы уже на Notion @ai_for_dev