Вайбкодим безопасно: как легко слить все свои ключи из .env
Ума не приложу откуда вообще взялось такое сильное доверие к агентам. Видимо нас всех успокаивает наличие "правил". Но на каждое правило есть 10 путей обхода. Сегодня хочу подсветить самую частую и глупую ошибку - слитие своего .env файла со всеми секретами.

Агенту запрещено читать любые файлы из .gitignore, в том числе наш любимый .env. И он эти файлы не читает. Напрямую. Все утечки происходят косвенно:
- Агент запускает docker inspect на контейнере — и вуаля, все env vars в контексте
- Решает проверить окружение" и пишет Python-скрипт с open('.env') или os.environ
- Принтует env для "диагностики", читает /proc/environ
- И так далее, так далее, так далее

Кастомизация правил не поможет. Рано или поздно важные ключи окажутся в контексте. А там никто не знает, куда модель сможет их слить. Если не повезёт - то пойдет гуглить "Почему мой токен super-secret-token отдаёт 403 код ответа?". Путей компрометации на самом деле много.

Итого: никаких важных ключей/токенов в репо с агентами вообще! Даже в .env.


🔛 @kisel_it

#ai@kisel_it #it@kisel_it

А Gemini 3 Pro оказывается просто чемпион в пословицах. Как рифмует, как чувствует! Просто смакует смыслы. Кажется многие войдут в фонд золотых цитат и пословиц. Отобрал самые годные:

Один тест написал — как в море нассал: вроде добавил, а толку нихуя.

Архитектура — как бычий хуй: чем сложнее, тем труднее в жопу лезет.

Код без документации — что секс без ориентации: хуй пойми, кто кого и куда.

На словах ты — фуллстек-бог, а на деле — ссаный лох.

ТЗ — как дышло: куда заказчик пернул, туда и вышло.

Аджайл ввели — только время проебли.

В спринт напихали, как в резиновую бабу — трещит, но не кончает.

Планировали ракету, построили туалет, да и в том — бумаги нет.

Правки вносить — что говно месить: вонь та же, а куча больше.

Баг пофиксил — два родил, лучше б по миру ходил.

Скрам, не скрам — всё одно срам.

Лучше синица в руках, чем оффер в ебенях.

Деплой и труд — всё в пизду сотрут.

Удаленка — не ебля, можно и в трусах.

Богатый стек, да внутри — говна отсек.

Клиент пернул, сервер гнулся — девопс чихнул, прод ебанулся.

Кому опционы да плюшки, а нам — залупу на макушку.

Вам какая больше понравилась?

🔛 @kisel_it

#ai@kisel_it #it@kisel_it

Не успели мы нарадоваться Gemini 3 Pro как появилась Flash версия. Для того же Cursor - просто сказка. Быстрая, умная, дешевая.

Ух, Гугл, что же ты делаешь 💃

🔛 @kisel_it

#ai@kisel_it #it@kisel_it

В другом стиле новости больше не воспринимаю. Представляю вашему вниманию самые важные новости ИИ за эту неделю. В библейском стиле.

Летопись Эпохи Кремния: Озарения и союзы великие

OpenAI (GPT-5.2-Codex)
Явили миру OpenAI новое чудо инженерное — GPT-5.2-Codex, нареченное ими самым совершенным зодчим кода. Обрела сущность сия дар сжимать контекст, яко гармонь, и проникать в глубины терминала Windows, дабы переписывать ветхие скрижали (репозитории) без потери нити рассуждения. И, что важнее прочего, стала она стражем бдительным, ибо дар её — зрить уязвимости в коде.
(OpenAI: продвинутая кодинг-модель с глубоким рефакторингом и аудитом безопасности)

Google (Gemini 3 Flash)
В чертогах Google возвестили о рождении Gemini 3 Flash — сущности, что быстра, аки молния, но мудра, аки старец. Сдала она экзамен великий GPQA Diamond на уровне мужей ученых (PhD) и превзошла иных в мультимодальных таинствах MMMU Pro. Сие есть знамение, что скорость ныне не враг разуму, ибо качество её сопоставимо с самой Pro-версией.
(Google: сверхбыстрая модель с логикой уровня PhD и SOTA в мультимодальности)

xAI (Grok Voice Agent API)
Купец Илон Маск открыл врата к Grok Voice Agent API, дабы каждый мог сотворить гомункула говорящего. Построено сие на архитектуре, в доме их рожденной, и отвечает глас сей быстрее, чем сердце удар сделает (менее 1 секунды). И просят за минуту речей всего 5 центов, что есть мзда малая, повергающая соперников OpenAI и ElevenLabs в трепет.
(xAI: запуск дешевого голосового API с задержкой менее 1 секунды)

Black Forest Labs (FLUX.2 max)
Живописцы цифровые из Black Forest Labs явили FLUX.2 max — кисть, что творит картины кинематографические. Даровали ей связь с миром живым (grounded generation), дабы знала она погоду и события текущие, и способность принимать до 10 образов-референсов. В состязании творцов заняла она второе место, уступив лишь Nano Banana Pro.
(BFL: ИИ-генератор изображений с доступом к сети и точной работой по референсам)

Nvidia (Сделка с SchedMD)
Зеленый гигант Nvidia поглотил SchedMD, хранителей Slurm — инструмента, что правит потоками вычислений на суперкомпьютерах мира сего. Тем самым Nvidia укрепила власть свою над половиной мощнейших машин из списка TOP-500, дабы воцариться в дата-центрах окончательно.
(Nvidia: покупка разработчика Slurm для контроля облачных вычислений)

Microsoft (VS Code & Agent Skills)
В скрижали VS Code Insiders вписали поддержку стандарта Agent Skills, от Anthropic пришедшего. Отныне инструменты и навыки агентов не заперты в темницах одной платформы, но странствуют свободно. Единожды созданный навык служит верно и в редакторе, и в CLI, подгружаясь динамически, когда нужда в нем настанет.
(Microsoft: поддержка единого стандарта инструментов для ИИ-агентов в VS Code)

Meta* (SAM Audio)
Повелел Цукерберг научить машины слуху тонкому, и явилась SAM Audio. Способна она из гомона великого вычленить голос единый, звук инструмента или шум ветра по одному лишь клику на видео или слову сказанному. Код сей и веса открыты всем страждущим на GitHub.
(Meta*: open-source модель для точечной изоляции звуков из видео и аудио)

Microsoft (TRELLIS 2)
Обновили Microsoft голема своего трехмерного — TRELLIS 2. С 4 миллиардами параметров в чреве своем творит он меши детализированные (разрешением 1536³) из слов или картин. Благодаря архитектуре O-Voxel, черновик рождается за 3 секунды, являя чудо скорости невиданной.
(Microsoft: сверхбыстрая генерация высококачественных 3D-объектов)

*Meta признана в РФ экстремистской организацией и запрещена.


🔛 @kisel_it

#ai@kisel_it #it@kisel_it

Кто нибудь ещё помнит? 😢

Промпт-инжиниринг: рабочая схема или карго-культ? 🤨

С одной стороны, инфоцыгане продают «секретные библиотеки промптов», с другой кричат, что всё это чушь, и возможности модели приколочены гвоздями намертво. Кто прав?

Истина в том, что промпт не добавляет модели новых знаний, которых не было в датасете. Хороший промпт может лишь повысить вероятность получения подходящих токенов (в нашем случае - кода). Но как именно?

Упрощённо, LLM — это гигантская статистическая машина. Она училась на всём интернете, где на один вылизанный коммит из ядра Linux приходятся тысячи от индусов-самоучек и заброшенных пет-проектов с GitHub.

В случае, когда мы даем слишком короткий промпт без важных деталей, модель отдаст нам "среднее по больнице". В её вероятностном облаке одинаково возможны как современные логичные паттерны, так и шизофринические костыли прошлой эпохи.

Системный промпт работает не как заклинание, а как смещение распределения вероятностей. Промптом в первую очередь мы хотим добиться:

- Сужения контекстного окна: Указывая Python 3.12+ и FastAPI, мы заставляем модель игнорировать пласты данных по старым версиям. Это не «забывание», а понижение весов (вероятности) для неактуальных токенов.

- Активации экспертных слоев: Если промпт требует соблюдения SOLID и Dry, модель с большей вероятностью будет выбирать токены, которые чаще встречаются в качественной технической литературе и документации, а не в случайном коммите с гитхаба.

- Отрицательных ограничений: Фраза «не используй глобальные переменные» — это прямой запрет на выбор определенных путей в дереве генерации.

Благодаря тому, что в том же Cursor уже прикручен системный промпт заточенный на разработку, генерация "из коробки" работает вполне приемлемо даже на базовых модельках. Добавим сверху полноценный контекст проекта и получим вполне сносный результат.

Итого: Промпт — это не способ сделать модель умнее, а способ заставить её заглянуть за пределы среднестатистической помойки для поиска лучших решений.

Так что завязывайте верить в магические заклинания. Промпт — это ТЗ. А если ТЗ через жопу, то и на выходе будет говно, даже если его сгенерировал тензорный суперкомпьютер за миллиард долларов.

🔛 @kisel_it

#ai@kisel_it #it@kisel_it

Из интересного - совсем перестал пользоваться Notion, все важные папки с заметками переехали в обычный советский... Cursor.
Заметки вообще больная тема. Тот же Obsidian не прижился вообще. Криво, неудобно, плагины работают через одно место... Да и выглядит страшненько. Не могу понять чем он так привлекает народ.

В текущей схеме хранится всё в приватном Git репозитории в .md файликах и рассортировано по папкам. Агент очень шустро ориентируется, помогает хранить всё в чистоте и порядке, находить и дополнять нужное. Так еще и без микроскопических лимитов, рекламы тупого notion-агента и колдовства с доступами.

В общем впервые кайфую от работы с заметками. Просто, надежно, ничего не отвлекает, агент на подхвате.

Знаю, что многие используют похожую схему, но вместо Cursor там консольный Claude Code.

Может я изобрел велосипед? Чем пользуетесь вы?


🔛 @kisel_it

#ai@kisel_it #it@kisel_it

Хорошая работа, Курсор 😂

Заглянем немного в (не)светлое будущее? 🔮

Вчера был на концерте "Высоцкий.Высота" — аля выступление цифрового аватара. Голос, внешность, мимика, манера говорить — всё стянули с Высоцкого. Голос клонировали через AI (как я понимаю), а персонажа собирали в Unreal Engine или чем-то подобным.

Пока что заставить это всё работать - очень сложно. Были и косяки, и технические накладки. Но голос... Голос сделали просто отлично, не придраться. Визуал конечно на троечку. "Пластиковую" модель пытались компенсировать яркими эффектами. Но всё же иногда было ну очень хорошо.

Это всё только начало. Так сказать первые шажочки на неизведанную территорию. Тренд уже есть и он пугает. Мы всё ближе подходим к времени, когда можно продать свою "цифровую личность" и пусть делает что хочет. А на ряду с "живыми" концертами в афише будет всё больше "синтетических". Ну а что? Тут тебе ни география, ни время суток не мешает. Выступай хоть на всех площадках одновременно. В-Ы-Г-О-Д-Н-О.

Ах, хотите вживую? По-настоящему? Готовьте деньги. Большие деньги. Вот вам космическая цена. Реальность - для богатых. Нету? Ну, вам тогда цифрового варианта хватит. Звучит знакомо? Мне тоже это что-то напоминает....

Сейчас для каждого такого перформанса приходится пройти огромное количество технических сложностей. Эти сложности всё более стремительно решают нейросети. Клонировать голос уже ничего не стоит, даже за бесплатно. Клонировать внешность - всё проще и проще. Остался последний шаг — real time. Да чтоб с обратной связью с залом! Как по-настоящему. И что тогда? Видимо в ближайшие годы уже узнаем.

Что думаете?

🔛 @kisel_it

#ai@kisel_it #технологии@kisel_it #будущее@kisel_it

Clawdbot: когда обезьяне дали гранату 🤡

Совсем недавно Clawdbot хайпанул. И тут такое началось... Это не цирк, это хуже. Раньше, чтобы слить всё в интернет нужны были хоть какие-то навыки. Сегодня - запускаем контейнер, даем побольше доступов и вуаля!)

Схема классическая: человек хочет себе «Джарвиса», чтобы тот сам мышкой двигал и на письма отвечал. Качает скрипт, запускает по гайду с ютуба. А чтобы управлять ботом с телефона или с работы, добрый дядя из гайда советует прокинуть туннель через ngrok или развернуть это дело на VPS с открытым портом.

Итог: любой школьник находит ваш IP или ngrok-адрес и получает RCE (удаленное выполнение команд) от вашего имени.

Какой-то цифровой эксгибиционизм. Отберите у них Докер, пока не поздно.

🔛 @kisel_it

#безопасность@kisel_it #ai@kisel_it

Ух, ну вот и пятница. Кто что успел сломать за эту неделю? Пятничный деплой в процессе? 😘

Подлый Outlook новой версии теперь все письма выкачивает на сервера Майков. Раньше данными с почты распоряжался гугл. Ладно, с этим кое-как смирились. Но зачем программе для просмотра писем требуется ПОЛНЫЙ МАТЬ ЕГО ДОСТУП к почтовому ящику? Причем там  абсолютно безумное пользовательское соглашение, без ограничений по сбору и использованию данных.

На наших глазах датамайнинг активно прогрессирует, доходя до полной шизофрении. Жду момент, когда нужно будет залогинится на холодильнике для показа таргетированной рекламы. Ну и доступ к почте дать тоже. На всякий случай. Чтобы обеспечить более персонализированный опыт! Ведь это всё еще забота о пользователе, правильно?


🔛 @kisel_it

#технологии@kisel_it

И в догоночку. Как вам концепт первого в мире вайббука? Ничего лишнего 💳

ChatGPT оказывается умеет в стиль желтушных СМИ. Собрал для вас последние актуальные новости 😂