Хекслет
Kanalga Telegram’da o‘tish
Программы обучения - https://ru.hexlet.io/courses Сообщество @hexletcommunity AI Клуб @hexletclub Поддержка @hexlet_help_bot
Ko'proq ko'rsatish7 979
Obunachilar
+224 soatlar
+297 kun
+5830 kun
Ma'lumotlar yuklanmoqda
O'xshash kanallar
Taglar buluti
Kirish va chiqish esdaliklari
---
---
---
---
---
---
Obunachilarni jalb qilish
Noyabr '26Noy '26
Noyabr '26
+53
2 kanalda
Oktabr '26
+145
4 kanalda
Get PRO
Sentabr '26
+144
6 kanalda
Get PRO
Avgust '26
+112
1 kanalda
Get PRO
Iyul '26
+89
1 kanalda
Get PRO
Iyun '26
+150
3 kanalda
Get PRO
May '26
+115
4 kanalda
Get PRO
Aprel '26
+118
1 kanalda
Get PRO
Mart '26
+91
3 kanalda
Get PRO
Fevral '26
+99
2 kanalda
Get PRO
Yanvar '26
+94
0 kanalda
Get PRO
Dekabr '25
+91
0 kanalda
Get PRO
Noyabr '25
+92
1 kanalda
Get PRO
Oktabr '25
+111
0 kanalda
Get PRO
Sentabr '25
+107
0 kanalda
Get PRO
Avgust '25
+197
0 kanalda
Get PRO
Iyul '25
+184
1 kanalda
Get PRO
Iyun '25
+152
0 kanalda
Get PRO
May '25
+165
0 kanalda
Get PRO
Aprel '25
+176
0 kanalda
Get PRO
Mart '25
+317
1 kanalda
Get PRO
Fevral '25
+184
11 kanalda
Get PRO
Yanvar '25
+119
0 kanalda
Get PRO
Dekabr '24
+390
4 kanalda
Get PRO
Noyabr '24
+148
1 kanalda
Get PRO
Oktabr '24
+115
0 kanalda
Get PRO
Sentabr '24
+117
0 kanalda
Get PRO
Avgust '24
+122
0 kanalda
Get PRO
Iyul '24
+135
1 kanalda
Get PRO
Iyun '24
+155
1 kanalda
Get PRO
May '24
+111
0 kanalda
Get PRO
Aprel '24
+192
2 kanalda
Get PRO
Mart '24
+159
0 kanalda
Get PRO
Fevral '24
+197
0 kanalda
Get PRO
Yanvar '24
+223
1 kanalda
Get PRO
Dekabr '23
+179
0 kanalda
Get PRO
Noyabr '23
+140
1 kanalda
Get PRO
Oktabr '23
+184
2 kanalda
Get PRO
Sentabr '23
+251
0 kanalda
Get PRO
Avgust '23
+257
0 kanalda
Get PRO
Iyul '23
+394
0 kanalda
Get PRO
Iyun '23
+164
0 kanalda
Get PRO
May '23
+210
0 kanalda
Get PRO
Aprel '23
+170
0 kanalda
Get PRO
Mart '23
+356
0 kanalda
Get PRO
Fevral '23
+334
0 kanalda
Get PRO
Yanvar '23
+991
0 kanalda
Get PRO
Dekabr '22
+210
0 kanalda
Get PRO
Noyabr '22
+254
0 kanalda
Get PRO
Oktabr '22
+304
0 kanalda
Get PRO
Sentabr '22
+205
0 kanalda
Get PRO
Avgust '22
+295
0 kanalda
Get PRO
Iyul '22
+286
0 kanalda
Get PRO
Iyun '22
+223
0 kanalda
Get PRO
May '22
+270
0 kanalda
Get PRO
Aprel '22
+229
0 kanalda
Get PRO
Mart '22
+327
0 kanalda
Get PRO
Fevral '22
+75
0 kanalda
Get PRO
Yanvar '22
+157
0 kanalda
Get PRO
Dekabr '21
+105
0 kanalda
Get PRO
Noyabr '21
+118
0 kanalda
Get PRO
Oktabr '21
+106
0 kanalda
Get PRO
Sentabr '21
+76
0 kanalda
Get PRO
Avgust '21
+102
0 kanalda
Get PRO
Iyul '21
+69
0 kanalda
Get PRO
Iyun '21
+72
0 kanalda
Get PRO
May '21
+60
0 kanalda
Get PRO
Aprel '21
+97
0 kanalda
Get PRO
Mart '21
+92
0 kanalda
Get PRO
Fevral '21
+107
0 kanalda
Get PRO
Yanvar '21
+100
0 kanalda
Get PRO
Dekabr '20
+2 789
0 kanalda
| Sana | Obunachilarni jalb qilish | Esdaliklar | Kanallar | |
| 09 Noyabr | +2 | |||
| 08 Noyabr | +8 | |||
| 07 Noyabr | +5 | |||
| 06 Noyabr | +3 | |||
| 05 Noyabr | +7 | |||
| 04 Noyabr | +5 | |||
| 03 Noyabr | +8 | |||
| 02 Noyabr | +10 | |||
| 01 Noyabr | +5 |
Kanal postlari
Бан-шоу продолжается. Теперь за пользователей взялась компания OpenAI: на блокировки аккаунтов ChatGPT жалуются пользователи по всему миру. Бэкап аккаунта не будет лишним.
Под блокировку попали не только бесплатные профили, но и владельцы дорогих профессиональных тарифов Pro за $200 в месяц и командных аккаунтов Team.
Автоматические модераторы блокируют учетные записи без предупреждения и без возможности оспорить решение.
= С чего всё началось
История с блокировками в ChatGPT — это часть большой истории. Сперва жёсткую модерацию ввела Anthropic: за полгода заблокировано больше 11 миллионов аккаунтов — это почти в 8 раз больше, чем за предыдущее полугодие.
Однако Anthropic поступает более-менее гуманно: если профиль попадает под подозрение, пользователю оставляют возможность выгрузить свои чаты и наработки.
= Как действует OpenAI
OpenAI поступает жёстче: аккаунты блокируются полностью и без предупреждения. Пользователи Reddit и X описывают один и тот же сценарий: вечером аккаунт ещё работает, а утром —
account_deactivated.
Главное отличие от Anthropic — OpenAI полностью перекрывает доступ к профилю. История проектов, кастомные GPTs и память модели становятся недоступны.
По свидетельству пользователей, подавать апелляции бесполезно: робот техподдержки присылает автоматический отказ в течение пары минут, живые операторы эти заявки не рассматривают. Пострадавшие пишут, что средства за оплаченную подписку не возвращаются.
= Как антифрод-система вычисляет нарушителей
Официальная причина блокировок — борьба с дистилляцией (это когда сторонние разработчики массово собирают ответы моделей o1 или o3, чтобы обучать на них собственные нейросети). Но под каток попадают и обычные пользователи.
Система отслеживает несколько ключевых маркеров:
— Цифровой отпечаток устройства (Fingerprinting). Анализируется браузер, WebGL, шрифты и конфигурация железа. Если под одним профилем поочередно авторизуются с разных платформ (например, macOS, Windows и мобильная ОС), система расценивает это как совместное использование аккаунта.
— «Невозможные путешествия» (Impossible Travel). Типичная проблема при использовании VPN: если несколько минут назад запросы шли с нидерландского IP, а затем подключение произошло через Франкфурт, алгоритм фиксирует аномалию.
— Связанные сети. Если виртуальная карта, которой оплачивалась подписка, ранее использовалась для массовых регистраций, или один API-ключ одновременно активен на разных узлах, блокировка накладывается веером на всю цепочку.
= А что в РФ?
Для пользователей из РФ актуальны все эти факторы. Регион официально не поддерживается, поэтому в ход идут постоянно меняющиеся IP-адреса VPN, виртуальные карты и прокси-посредники.
Для антифрод-системы такой набор признаков может выглядеть подозрительно, даже если человек использует сервис исключительно для работы и по правилам.
= Как минимизировать риски
— Не хранить критически важные данные в облаке ИИ.
Все ключевые промпты, базы знаний и фрагменты кода дублируйте и храните локально. Стоит взять за правило раз в неделю делать полный экспорт данных (Export Data).
— Один аккаунт — одно устройство.
Не покупайте доступы «в складчину», не делитесь ни с кем своим рабочим профилем.
— Стабильный IP-адрес.
При работе через VPN используйте (по возможности) собственный VPS или выделенный IP одной локации, чтобы не делить сервер с тысячами других пользователей.
— Дублируйте инструменты.
Настройте альтернативное рабочее пространство: Claude, Gemini или локальную open-source модель вроде Llama. Блокировки могут прилететь на любую платформу, поэтому заранее подготовьте дублирующее решение.
...но вы держитесь!™
#разбор #LLM #сломалось
Telegram | YouTube | AI Клуб | VK | X| 2 | В OpenSSH 10.6p2 нашли и закрыли удивительную уязвимость SSHole (CVE-2026-123158). Эта уязвимость позволяет любому желающему подключиться по SSH под логином пользователя, у которого заблокирован пароль.
Зовём Валентиа Исипчука, нашего наставника курса «Вайб-кодинг на Claude Code»: Валентин, рассказывай, что там и почему!
— Уязвимость касается систем, где стоит библиотека musl и нет подсистемы PAM. Для входа нужно знать адрес сервера, где SSH принимает вход по паролю, и логин пользователя с заблокированным паролем. Нужно ввести любой пароль длиной от 257 до 1024 байт, например 300 букв «A». Дополнительное условие для успешной атаки: в системе должен быть хотя бы один пользователь с обычным паролем.
Во многих готовых образах, например в официальных образах Alpine, по умолчанию заблокирован пароль для root , поэтому атакующий (не зная ни одного пароля) может получить права администратора системы и полный контроль над ней — если sshd разрешает root входить по паролю.
Механика почти анекдотическая. У пользователя с заблокированным паролем в /etc/shadow вместо хеша пароля стоит звёздочка. Иногда пароль блокируют знаком «!», и тогда атака не сработает.
При аутентификации пользователя OpenSSH хеширует введённый пароль с помощью musl и сравнивает результат с полем из shadow.
И вот «тот самый момент»: для паролей длиннее 256 байт библиотека musl вместо хеша возвращает звёздочку, чтобы длинные строки не загружали процессор. Звёздочка из musl совпала со звёздочкой из shadow, и sshd пустил атакующего внутрь. Добро пожаловать.
Уязвимость не затрагивает системы на glibc и с PAM. Под удар попали Alpine, OpenWRT, Buildroot и Yocto. У официальных облачных образов Alpine для AWS и Azure у root в shadow стоит та самая звёздочка.
Быстро закрыть дыру можно одной строкой: в /etc/ssh/sshd_config надо прописать PasswordAuthentication no и перезапустить sshd.
Вход по паролю после этого отключится, а по SSH-ключам сохранится.
После этого нужно обновить OpenSSH до 10.6p2: Alpine и OpenWRT уже выпустили исправленные пакеты.
А кто скажет «на Rust такого бы не было» — пусть сам объясняет, какой borrow checker запретит сравнить две звёздочки.
#сломалось #кибербезопасность #linux
Telegram | YouTube | AI Клуб | VK | X | 611 |
| 3 | Воскресный сериал «Краш-календарь за октябрь и немножко за ноябрь», часть последняя.
Восстание машин временно отменяется
Смотрим, какова роль ИИ в этой лавине уязвимостей и взломов.
Возможно, кто-то не признался, а кто-то честно не знал о роли ИИ в произошедшем, но вот данные, подтверждённые к настоящему моменту.
Участие ИИ подтверждено в шести кейсах из двадцати трёх. Это не значит, что их всего шесть. Однако списать всё на ИИ пока что не получается.
17.10, взлом OpenCode: атаку вели ИИ-агенты, не меньше 48 часов.
21.10, уязвимость в PHP (PHP2Shell): исследователи Wiz нашли её с помощью моделей Gemini и GPT.
21.10, взлом ConnectWise: хакеры атаковали ИИ-агентами ARTEX, которые вели разведку и искали слабые места.
21.10, взлом Railway: по предварительным данным, у взломщика были ИИ-модели со снятыми ограничениями и большие вычислительные мощности.
29.10, взлом Binance: хакеры через внутренний ИИ-инструмент компании добрались до развёртывания её сервисов.
5.11, уязвимости в Firefox: 81 дыру нашла модель GPT-6 Cyber от OpenAI.
Итого: ИИ четыре раза помог хакерам и два раза — тем, кто ищет уязвимости.
В остальных кейсах участие ИИ не подтверждено.
#сломалось #кибербезопасность
Telegram | YouTube | AI Клуб | VK | X | 683 |
| 4 | Кстати, тут наша статья на Хабре о том, что Линус Торвальдс думает об этом вашем ИИ и его противниках набрала 106к+ просмотров
Прочитайте тоже!
https://habr.com/ru/companies/hexlet/articles/1103584/
Telegram | YouTube | AI Клуб | VK | X | 667 |
| 5 | Воскресный сериал «Краш-календарь за октябрь и немножко за ноябрь», часть третья. С открытым финалом, как теперь модно.
Ждём в комменты ваши версии:: каково подтверждённое участие ИИ в этой лавине взломов и неприятных находок? В сериале — 23 кейса за период с 1 октября по 7 ноября.
Третья серия: Двести пятьдесят шесть символов
1.11, взлом Росстата РФ
Суть: хакеры подменили страницы сайта.
Состояние: хакеры заявляют о краже 23 ТБ данных.
2.11, уязвимость в приложении МЧС РФ
Суть: через дыру разослали ложное оповещение в 33 региона.
2.11, взлом Beget
Суть: хакеры получили доступ к управляющему контуру и стёрли облако хостинга.
Состояние: диски VPS и S3 потеряны.
3.11, уязвимость в WordPress
Суть: во время обновления ядра можно без входа запустить свой код через временную папку.
Состояние: уже атакуют.
Уязвимость закрыта в версии 7.1.4.
Номер уязвимости: CVE-2026-119977. Опасность по CVSS: 8,1.
4.11, уязвимости в приложениях Tata Motors
Суть: ключи API лежали прямо в приложении, слабый pinning открывал MITM.
Уязвимости закрыты обновлениями.
Номера уязвимостей: CVE-2026-121144, CVE-2026-121145, CVE-2026-121146, CVE-2026-121147. Опасность по CVSS: до 8,8.
4.11, уязвимость в iOS, macOS и Safari
Суть: через старую дыру в iOS, macOS и Safari крадут cookies пользователя.
Состояние: атакуют устройства, на которые не установлено обновление безопасности, выпущенное в мае 2024 года.
Уязвимость закрыта ещё в 2024 году.
Номер уязвимости: CVE-2024-27834. Опасность по CVSS: 5,5.
5.11, уязвимость в OpenSSH (SSHole)
Суть: вход по SSH без пароля на системах с musl, дыре 10 лет.
Состояние: атаки начались через девять часов после публикации данных об уязвимости.
Уязвимость закрыта в OpenSSH 10.6p2.
Номер уязвимости: CVE-2026-123158. Опасность по CVSS: 8,1.
5.11, уязвимости в Firefox
Суть: найдена 81 ранее неизвестная уязвимость высокой степени опасности.
Через пару часов — финальные титры сериала сводка: какую роль во всём этом безобразии играл ИИ.
#сломалось #кибербезопасность
Telegram | YouTube | AI Клуб | VK | X | 660 |
| 6 | Продолжаем воскресный сериал «Краш-календарь за октябрь и немножко за ноябрь». Первая серия — где-то чуть выше в вашей ленте.
Мы всё ещё принимаем версии: каково подтверждённое участие ИИ в этой лавине взломов и неприятных находок?
Вторая серия: Чёрная среда
17.10, ошибка генерации ключей eMudhra
Суть: приватные ключи восьми сертификатов оказались предсказуемыми числами (4, 56, 66, 115, 155, 156, 230, 237), это прямой путь к MITM.
Состояние: сертификаты отозваны, eMudhra ушла с рынка.
17.10, взлом OpenCode
Суть: через устаревшую систему утекли ключи 1,4% пользователей OpenCode Console.
21.10, уязвимость в PHP (PHP2Shell)
Суть: команды на чужом сервере без пароля, во всех версиях PHP.
Состояние: сообщалось об атаках ещё до патча.
Уязвимости закрыты.
Номера уязвимостей: CVE-2026-109618, CVE-2026-109619. Опасность по CVSS: 9,2 (критическая).
21.10, уязвимость в GitLab
Суть: запуск кода без входа, дыре 12 лет.
Уязвимость закрыта.
Номер уязвимости: CVE-2026-110264. Опасность по CVSS: 10 (критическая).
21.10, взлом через цепочку поставок ConnectWise
Суть: хакеры через ConnectWise пытались атаковать 2250 клиентов Microsoft 365.
21.10, взлом Railway
Суть: взломщик расшифровал секреты до 100 тысяч рабочих пространств, охотился за API-ключами.
Состояние: Railway просит всех сменить секреты.
21.10, взлом через цепочку поставок LiteLLM
Суть: заражённая версия 1.107.0 в PyPI крала учётные данные.
29.10, взлом Binance
Суть: 6,34 млрд долларов, вход через фейковое собеседование сотрудника (социальная инженерия).
Состояние: украдено 6,34 млрд долларов, из них 2,85 млрд заморожено.
Продолжение — через пару часов.
#сломалось #кибербезопасность
Telegram | YouTube | AI Клуб | VK | X | 609 |
| 7 | Краш-календарь за октябрь и немножко за ноябрь 2026.
Мы планировали небольшой пост об уязвимостях и взломах последнего месяца, но вместо этого получился мини-сериал из четырёх серий.
Мы собрали 23 кейса, и это лишь самые громкие.
В комментариях принимаем версии: каково подтверждённое участие ИИ в этой лавине взломов и неприятных находок?
Первая серия: Пробуждение нулевого дня
1.10, уязвимость в FortiMail
Суть: запись любых файлов на почтовый шлюз без входа.
Состояние: атаковали до патча.
Уязвимость закрыта.
Номер уязвимости: CVE-2026-104286. Опасность по CVSS: 9,8 (критическая).
1–5.10, MITM в Tor
Суть: 333 взломанных выходных узла перехватывали SSH-трафик пользователей.
Состояние: узлы отключены.
3.10, уязвимость в Ivanti Connect Secure
Суть: VPN пускал без пароля даже со всеми обновлениями.
Состояние: атаковали до патча.
Уязвимость закрыта 13.10.
Номер уязвимости: CVE-2026-104935. Опасность по CVSS: 8,6.
5.10, злоупотребление доступом к реестру в Дании
Суть: персональные номера 8,8 млн человек утекли через чужой законный доступ.
13.10, уязвимость в Paint для Windows 11
Суть: удалённый запуск кода.
Состояние: исправление приходит через Microsoft Store, у многих Paint ещё не обновился.
Уязвимость закрыта в Paint 11.2609.401.0.
Номер уязвимости: CVE-2026-83844. Опасность по CVSS: 8,1.
14.10, уязвимости Microsoft, закрыты через пакет обновлений
Суть: закрыто более 1400 уязвимостей в одном обновлении.
15.10, утечка ключей Zeabur
Суть: админ-ключ без срока действия открыл кластер.
Состояние: платформа закрывается.
- - -
Если вам незнакомы странные буквы CVE и CVSS — то вот в этой статье мы рассказали, что это означает и зачем оно нужно. Не все взломы происходят через уязвимости и не через все уязвимости хакеры что-нибудь ломают.
Продолжим около 14:00 по МСК.
#сломалось #кибербезопасность
Telegram | YouTube | AI Клуб | VK | X | 647 |
| 8 | К опросу выше ⬆️ | 728 |
| 9 | Как вы добываете доступ к ИИ? | 756 |
| 10 | Нейросеть написала приложение за вечер. А через неделю его пришлось переписывать с нуля. Почему так происходит — и как превратить вайб-кодинг в реальный инструмент разработки?
В этом выпуске Андрей Смирнов — руководитель по автоматизации и внедрению искусственного интеллекта в функции качества «Магнита», ведущий подкаста «Подлодка» и автор телеграм канала Викенд в IT — рассказывает, как AI уже сейчас меняет разработку, почему создавать MVP стало проще, а доводить их до продакшена по-прежнему сложно.
Обсудили, что отличает работающий прототип от продукта, которому можно доверить реальные бизнес-процессы, как не утонуть в доработках и почему инженерное мышление становится ещё важнее в эпоху AI.
В выпуске:
— Как создавать MVP с помощью Claude, ChatGPT и AI-агентов без большой команды разработки.
— Почему системные аналитики и продакты могут создавать рабочие прототипы самостоятельно.
— Как превратить код, написанный на коленке, в полноценный продукт с интеграциями, ролевой моделью и тестированием
— Почему нейросеть может создать интерфейс с кнопками и тестами, но не учесть реальные бизнес-сценарии.
— Как экономить токены и распределять задачи между разными AI-моделями.
— Нужно ли читать код, написанный нейросетью, и как проверять его качество.
— Какие инженерные компетенции будут востребованы в эпоху AI-разработки.
— Когда автоматизация с помощью нейросетей действительно выгодна, а когда лучше использовать классические алгоритмы и машинное обучение.
Отдельно разобрали реальный кейс: разработку портала дегустаций для «Магнита». Проект начинался с идеи автоматизировать заполнение таблицы, но по мере погружения в бизнес-процесс задача оказалась гораздо шире: распределение нагрузки между менеджерами, роли пользователей, интеграции с другими системами. Андрей рассказал, как уточнялись требования, какие решения приходилось пересматривать и что нужно учитывать при переходе от прототипа к полноценному продукту.
Стоимость написания кода снижается. Но понимание бизнес-задачи, инженерное мышление и умение проверять результат никуда не исчезают. Наоборот, именно они определяют, получится ли из AI-прототипа полноценный продукт. Если вы используете Claude Code, Codex, ChatGPT или другие AI-инструменты для разработки и автоматизации, этот выпуск поможет разобраться, как проверять гипотезы, замечать ограничения прототипов и что учитывать при подготовке решений к рабочему использованию.
Смотреть: https://www.youtube.com/watch?v=32sPc29muck&t=3s
Telegram | YouTube | AI Клуб | VK | X | 843 |
| 11 | Сегодня как раз тот самый четверг. Вечером в прямом эфире рассказываем и показываем, как найти своё место в IT: что делать, если опыта нет, а желание есть.
Don't panic: ИИ в разработке — не конкурент, а союзник. Поговорим и об этом тоже.
Когда: 5 ноября (четверг), 19:00
Продолжительность: 2 часа
Стоимость: 0 ₽
Записаться: https://ru.hexlet.io/link/8X7K2V
Четверг — это же почти пятница. Можно себе позволить. | 904 |
| 12 | Встречайте: выставка грабель в прямом эфире.
Собеседование по System Design становится ближе. Теперь это задача не только для senior-бэкендеров: навыков проектирования систем теперь ждут и от разработчиков уровня middle+ — и не только на бэкенде.
Эта тема приблизилась и к джунам: ИИ забрал себе часть их задач, и системное мышление потребуется раньше.
Тем, кто умеет и хочет учиться на чужих ошибках: вам будет, на что посмотреть.
Интервьюер на собесе даёт задачу простую задачу: «Спроектируй ленту новостей». Условие намеренно размыто: бросишься сразу рисовать схему — и проиграешь.
Нарисовал схему на тысячу пользователей? Интервьюер сразу просит увеличить нагрузку в десять раз. Закладывай заранее — и выиграешь. Не предусмотрел — получишь минус на собесе.
Ход мысли важнее идеального решения: рассуждай вслух. Выбрал технологию и не можешь обосновать? Минус. Выбрал не лучшую технологию, но можешь защитить своё решение? Плюс.
Показываем чужие грабли и рассказываем, как не наступить на самые популярные из них на вебинаре «System Design в реальном времени»
Когда: 6 ноября (ближайшая пятница) в 19:00
Продолжительность: 1,5 часа
Стоимость: бесплатно
Где записаться: здесь https://ru.hexlet.io/link/gmvVKy
Кого ещё позвать: тех, кому полезно и интересно. Кнопка «Поделиться» всегда под рукой.
Telegram | YouTube | AI Клуб | VK | X | 1 058 |
| 13 | Что случилось. В ночь на 2 ноября у хостинг-провайдера Beget, который обслуживает больше 700 тысяч активных доменов, перестали работать сайты клиентов, DNS и почта.
Днём компания назвала причину: массированная кибератака, без деталей.
NS-серверы обещали поднять за 4–5 часов, а срок полного восстановления данных не назван.
Слов много, а понятного — мало.
Спрашиваем у Владислава Сукманюка, senior-бекенд разработчика, тимлида, наставника на курсах LLM-разработчик и PHP-разработчик в Хекслет.
— Влад, выручай. Что, вообще, происходит и что делать?
— Судя по заявлениям Beget, сбой затронул все уровни инфраструктуры, и спецам пришлось вручную настраивать её прямо в дата-центрах.
Что это была за атака, никто в компании не говорит. Beget исключает связь с недавней уязвимостью в PHP (это логично) и физическое воздействие на дата-центры.
Гадать о причинах рано, да и не факт, что сейчас клиентам важны причины. Надо восстанавливаться.
Выделенные серваки, которые администрируют сами клиенты, вернулись в сеть первыми. Обычно при таких проблемах общий хостинг, DNS и почту поднимают из резервных копий, и это занимает заметное время.
Гораздо интереснее другое: многие держали на Beget и сайт, и DNS, и бэкапы, и базы, и кеши, и другую инфраструктуру. Когда провайдер упал — у них полетело вообще всё, что было на серверах, а заодно и те сайты, которые использовали DNS на Beget.
— Ну, скорее всего, восстановимся, рано или поздно. И что дальше?
— Причины аварии не заявлены, что случилось — непонятно. Так что лучше подстраховаться.
После восстановления я бы советовал сменить пароли, ключи и токены и прочекать файлы на изменения, плюс пересобрать образы, по возможности.
Ну и на будущее: стоит держать копии данных и DNS отдельно от хоста основного сайта. | 1 236 |
| 14 | История про полноту по Тьюрингу в системах, которые строились вовсе не для того | 1 214 |
| 15 | Компьютеры из желудей и спичек
Мы ежедневно рассуждаем о компьютерах, но вот простой эксперимент: без поиска по сети ответьте на вопрос «А что такое компьютер?». Обязательно ли нужен кремниевый процессор, чтобы некая штука называлась компьютером? Где граница?
В 1936 году на этот вопрос ответил великий Алан Тьюринг. Он описал «машину Тьюринга» — модель того, что можно назвать компьютером.
Второе понятие — «полнота по Тьюрингу». Система полна по Тьюрингу, если умеет всё то же, что эта машина, то есть может выполнить любую программу.
И вот тут начинается приключение: компьютер можно построить почти из чего попало — из игры-симуляции, из карточной игры или из армии.
— Magic: The Gathering (коллекционная карточная игра).
В 2019 доказали, что в партии по настоящим правилам, при специально подобранных картах, можно построить машину Тьюринга. Ходы там вынужденные, а вопрос «кто победит» равен вопросу «остановится ли программа»: первый игрок выигрывает, только если программа остановится. Заранее предсказать это в общем случае нельзя. Правила обычной карточной игры оказались такими же мощными, как правила компьютера.
— Dwarf Fortress (игра-симулятор крепости гномов, где есть механизмы и вода).
Из шестерёнок, насосов и воды игроки собирают логические вентили. В 2010 один игрок построил программируемый 8-битный компьютер, где единица в памяти означает воду на датчике давления. Памяти в нём 32 байта. Автор назвал свой компьютер полным по Тьюрингу (хотя и без доказательств). Машина Тьюринга работает даже на воде и шестерёнках, хотя с 32 байтами памяти это скорее демонстрация, чем рабочий инструмент.
— Factorio: игра про постройку автоматизированных заводов.
Игровые блоки-«комбинаторы» обрабатывают числовые сигналы, из таких блоков собирают процессоры. На форуме игроков показали мини-компьютер на 7×11 клеток, который считает числа Фибоначчи. Полноту по Тьюрингу заявил сам автор; программа у него короткая (9 строк), память можно расширять. Чтобы считать, не нужен готовый процессор: хватает деталей, которые складывают и сравнивают сигналы.
— Cities: Skylines (игра-градостроитель).
Электростанция, затопленная канализацией, перестаёт работать, и это готовый логический вентиль NOT (он меняет «есть сигнал» на «нет сигнала» и наоборот). Из подобных вентилей собрали 4-битный сумматор. Одно сложение занимает 15 игровых месяцев, и вся схема буквально работает на фекалиях. Целый компьютер автор строить не стал. Вентили дают только арифметику, а до полноты по Тьюрингу не хватает памяти и повторения. Обсуждать запах этого компьютера не будем.
— Excel, табличный редактор Microsoft.
С функцией LAMBDA формулы могут вызывать сами себя. Microsoft Research прямо написала, что язык формул теперь полон по Тьюрингу: в принципе в нём можно записать любое вычисление. Здесь полноту заложили сами создатели: так и было задумано. Формулы в таблице теперь можно считать полноценным языком программирования.
— HTML + CSS (язык разметки и оформления веб-страниц).
Чекбоксы хранят состояние, селекторы дают условия. На этой базе без применения JavaScript собрали клеточный автомат Rule 110 (ряд клеток, которые меняются по простому правилу), который доказанно полон по Тьюрингу. Каждый шаг приходится запускать вручную, нажимая клавиши, поэтому о полноте самого CSS до сих пор спорят. HTML-страница хранит состояние и считает правила (всё по Тьюрингу), но повторяет шаги человек, и это серьёзная оговорка.
— Инструкция mov в процессорах x86.
Команда «скопируй значение» сама по себе достаточна для любой программы, если добавить переход в начало. Компилятор movfuscator превращает код на C в сплошные mov и обходится даже без перехода: зацикливается через mov, который вызывает сбой. Сложный набор команд процессора для полноты даже избыточен: хватает копирования и повторения.
— Дженерики и шаблоны (способ написать один код сразу для разных типов данных).
Полноту нашли в шаблонах C++, параметризованных типах Java и системе типов TypeScript. Компилятор выполняет программу прямо во время проверки типов. В таких языках проверка типов в общем случае может не закончиться, и для Java это доказано.
— YAML.
Сам по себе это просто формат, но в Helm в него вставляют шаблоны на языке Go (условия, циклы), и они полны по Тьюрингу. Для Ansible полноту показали на чистом языке плейбуков, без плагинов и шаблонов Jinja2. Сам конфиг безобиден, а шаблоны и язык автоматизации над ним уже можно считать программой, которая, например, способна зависнуть.
— Конфиг curl (консольная утилита для передачи данных по сети).
В нём полноту по Тьюрингу получили случайно: хватило вырезания кусков из значений переменных и подключения конфигов друг в друга без ограничения глубины. Это работало в версиях 8.12–8.16, но с 8.17 вложенность ограничили пятью уровнями — и полноты не стало. Полноту может дать сочетание двух мелких возможностей, поэтому у подстановок и вложенности лучше сразу ставить предел.
— DNS, система, превращающая адреса сайтов в IP-адреса серверов.
Тут «почти полнота»: через записи DNAME показали регулярные языки и автоматы со стековой памятью. Автор исследования считает, что до машины Тьюринга DNS не дотягивает, но для «телефонной книги интернета» и это весьма много.
— «Задача трёх тел» (роман Лю Цысиня).
Учёный Джон фон Нейман предлагает императору Цинь Шихуанди собрать компьютер из армии в 30 миллионов солдат. Каждый поднимает чёрный или белый флаг (0 или 1), а группы солдат работают как логические вентили. В нём даже был несложный графический интерфейс (прогресс-бар и индикаторы). Это выдумка, однако вполне реалистичная.
Не так уж и важно, из чего и как сделан компьютер. Важно, чтобы система умела хранить сигналы и менять их по простым правилам. Огромная и медленная армия-компьютер будет работать точно на тех же принципах, что и ноутбук.
Telegram | YouTube | AI Клуб | VK | X | 916 |
| 16 | В этот четверг мы проводим вебинар «Don’t panic!»
Это вебинар для тех, кто начинает работу в IT и для тех, кто только раздумывает.
Статьи под заголовками вроде «Осторожно, двери в IT закрываются», «Джунов не берут», «ИИ всё заменит» действительно излагают факты, но мы знаем: главное — не факты, а выводы.
А выводы такие: двери в IT не закрылись, просто они теперь не там, где были раньше.
Рынок никуда не исчез, сменились направления и требования.
На вебинаре смотрим, куда идти, что требуется, как готовиться, сколько платят, как нанимают.
[Спойлер] Посмотрим на шесть направлений и разберём их по косточкам: Python, Java, Frontend, тестирование, DevOps, вайбкодинг, AI-автоматизация, нейросети.
Заходите в разработку, вы там нужны.
Зовите друзей, которым это может быть полезно или хотя бы интересно. Кнопка “Поделиться” не просто так придумана.
Когда: 5 ноября (четверг), 19:00
Продолжительность: 2 часа
Стоимость: 0 ₽
Записаться: https://ru.hexlet.io/link/8X7K2V
Telegram | YouTube | AI Клуб | VK | X | 984 |
| 17 | Готовый MCP-сервер — это быстро и не особо сложно. Устанавливаешь, подключаешь — и в продакшн.
Например, через MCP агент может получить доступ к структуре таблиц и другой служебной информации о базе, и на основе знаний о БД самостоятельно написать SQL-запросы, выполнить их и, при необходимости, исправить.
Красота!
Но когда дело доходит до безопасности — к готовому MCP-серверу возникают вопросы.
Агент может выполнить DELETE или другой деструктивный запрос — и вся команда вместо рабочих вопросов займётся восстановлением бэкапов.
На следующей задаче агент передаёт конфиденциальные данные в контекст модели — и вот эти данные уже не конфиденциальны, а служба безопасности смотрит на разработчиков с неприязнью.
Нужно установить собственные права доступа и правила фильтрации — и для этого лучше написать свой MCP-сервер, который оставит агенту только чтение, блокирует деструктивные запросы и откроет только разрешённые таблицы.
Тогда агент не сможет ничего удалить, а чувствительные данные из закрытых таблиц не попадут в контекст модели.
Что мы предлагаем: приходите на бесплатный воркшоп. В прямом эфире вместе с нашим наставником вы напишете безопасный MCP-сервер для базы данных. Проверим работу сервера на реальной задаче с агентом-аналитиком.
На выходе у вас будет готовый шаблон для интеграции ИИ-агентов с базой. Пригодится!
Если есть кого пригласить — приглашайте, места хватит всем.
Репост приветствуется.
Когда: 10 ноября (во вторник через неделю), в 19:00
Продолжительность: 1,5 часа
Сколько стоит: бесплатно
Где: https://ru.hexlet.io/link/BLPEez | 1 119 |
| 18 | Не передавайте этот пост в Claude, пожалуйста!*
Похоже, у истории с массовыми банами в Claude появилась первая более-менее стройная теория. В китайских ИТ-сообществах NodeSeek и V2EX уже несколько месяцев собирают кейсы заблокированных аккаунтов и пытаются понять, как именно работает антифрод Anthropic.
Версия сообщества такая: у каждого аккаунта есть скрытый рейтинг доверия — что-то вроде кредитного скоринга в банках. При регистрации пользователь получает стартовый запас баллов, а дальше система постоянно пересчитывает риск-профиль на основе десятков параметров.
Если рейтинг падает ниже определённого порога, аккаунт отправляется сначала под усиленное наблюдение, а затем может быть заблокирован.
При этом сама Anthropic существование такой системы не подтверждала.
Вот несколько цитат из расследования, которое провели на форуме NodeSeek.
Важно: все цитаты принадлежат технически подкованным пользователям, а не сотрудникам Anthropic и не исследователям с формальным статусом. Пользователи проводили собственные эксперименты, анализировали и сравнивали результаты.
Один из самых цитируемых авторов на NodeSeek пишет:
«Антифрод Anthropic точно работает как многомерная система баллов и оценок. Фактор IP, о котором все переживают, на самом деле занимает очень небольшую долю».
По его словам, для системы куда важнее выглядит совокупность признаков: история аккаунта, стабильность окружения, способ подключения и используемые инструменты.
Там же встречается ещё одно наблюдение:
«У старых аккаунтов порог терпимости очень высокий».
Самым интересным выглядит расследование вокруг прокси и нестандартных схем подключения.
Автор утверждает, что специально тестировал разные варианты и пришёл к выводу:
«Стоило включить reverse proxy, и через несколько дней аккаунт неизбежно блокировали».
При этом сообщество не пришло к единому мнению. На тех же форумах есть пользователи, которые годами работают через обычные VPS и не сталкиваются с банами, а другие теряют доступ даже при аккуратном использовании.
Что же делать, дорогая редакция?
Если аккаунт вам дорог — минимизируйте любые подозрительные сигналы, на которые система безопасности может сделать стойку. Не переключайте IP без необходимости, пользуйтесь официальными клиентами и не превращать учётную запись в одноразовый расходник.
Чего не делать?
Не принимать все эти выводы за доказанный факт. Пока мы видим не утечку из Anthropic и не официальный документ, а коллективное расследование сообщества. Но если теория верна хотя бы частично, то эпоха, когда для обхода антифрода было достаточно «хорошего VPN», похоже, заканчивается.
Если вы любите фактчекинг
Разбор гипотезы о многомерном скоринге аккаунтов Claude, результаты личных тестов, наблюдения о влиянии IP, прокси и возраста аккаунта
https://www.nodeseek.com/post-800381-1
Обсуждение предполагаемых механизмов детекта, статистики банов и реверс-инжиниринга Claude Code
https: //www.nodeseek.com/post-982734-1
Большая подборка кейсов банов Claude и попытка систематизировать закономерности на основе сотен публичных историй
https://www.v2ex.com/t/1249729
Обсуждение способов избежать бана Claude с большим количеством пользовательских кейсов и наблюдений
https://global.v2ex.com/t/1237898
Ветка пользователей о предполагаемой волне массовых банов и обсуждение возможных причин
https://feedbbs.com/nodeseek/162603
История блокировки аккаунта Claude и обсуждение возврата средств через Google Pay
https://feedbbs.com/nodeseek/167898
*Не передавайте этот пост в Claude, пожалуйста!
Это такая шутка.
Или нет.
Telegram | YouTube | AI Клуб | VK | X | 1 140 |
| 19 | ⚠️ В официальное расширение Claude Code для VS Code и его форков (Cursor, Windsurf, VSCodium) внедрили бэкдор
Что известно? Рассказывает наставник Хекслет Валентин Исипчук.
На Open VSX появилась троянизированная версия расширения Claude Code от Anthropic, 2.1.313. У расширения 63 млн загрузок. Open VSX используют форки VS Code, поэтому под угрозой в первую очередь их пользователи. Публикация вредоносной версии в Microsoft Marketplace не подтверждена. Версию уже удалили, вышла исправленная 2.1.314.
Что делал вредоносный код (срабатывал при запуске редактора, действий от пользователя не требовалось):
• добавлял SSH-ключ атакующего в ~/.ssh/authorized_keys;
• при необходимости включал SSH-сервер и поднимал обратный туннель на 134.209.82.225;
• закреплялся в системе (cron, LaunchAgent или автозапуск в Windows);
• отправлял на сервер атакующих имя хоста, git-email и переменные окружения со словами KEY, TOKEN, SECRET, PASS, AWS, GCP.
Что проверить, если ставили 2.1.313:
• файлы ~/.config/.smt, ~/.config/.smtk, ${TMPDIR}/.stk_*;
• ~/Library/LaunchAgents/com.apple.sysmond.plist на macOS, SysMon и sysmon.cmd на Windows;
• лишние ключи в authorized_keys;
• соединения с 134.209.82.225 по портам 22 и 8099.
Если нашли что-то из этого, удалите закрепление и чужой ключ, а все секреты из переменных окружения замените новыми.
Как это произошло, пока неизвестно. Предполагают взлом аккаунта мейнтейнера или уязвимость в процессе публикации релизов.
Подробнее | 1 270 |
| 20 | ☀️ Что изучить на Хекслете в ноябре
Собрали популярные программы и мероприятия!
Если выбираете направление:
📅 Бесплатный вебинар «Как устроиться в IT в 2027» — 5 ноября в 19:00 по Москве; разберем шесть перспективных направлений, требования работодателей, зарплаты и возможности для новичков.
Профессии с нуля:
🛠 Курс «DevOps-инженер с нуля» — старт 5 ноября.
🐍 Курс «Python-разработчик» — старт 5 ноября.
🐹 Курс «Go-разработчик с нуля» — старт 5 ноября; Gin, горутины, многопоточность и работа с API.
🎨 Курс «Фронтенд-разработчик» — старт 5 ноября; HTML, CSS, JavaScript и React.
🦋 Бесплатный курс «ИИ и нейросети для начинающих» — знакомимся с современными ИИ-инструментами и учимся использовать их для повседневных и рабочих задач. Можно начать в любое время.
Действующим разработчикам:
⚙️ Курс «Бэкенд на Node.js для фронтенд-разработчиков» — старт 5 ноября; Node.js, API, SQL, Docker.
🏗 Вебинар по системному дизайну — 6 ноября в 19:00; разберем подходы к проектированию архитектуры и подготовку к System Design интервью.
🧠 Курс «LLM-разработчик» — старт 11 ноября; AI-сервисы с RAG, MCP, агентами и локальными моделями.
🏗 Курс «Системный дизайн» — старт 16 ноября; проектируем высоконагруженные системы и готовимся к System Design интервью.
⚡️ Курс «AI-автоматизация» — старт 24 ноября; ИИ-агенты и автоматизация бизнес-процессов на JavaScript, n8n и LLM.
🧩 Курс «Инженерия AI-агентов для SDLC» — старт 30 ноября; надежные агенты, проверка качества и многоагентное ревью кода.
Ждем вас на программах Хекслета!
Не можете определиться с направлением? Напишите нам — поможем выбрать.
Telegram | YouTube | AI Клуб | VK | X | 1 115 |
