Как обычно на хэлуин я делаю какой-то костюм, кто узнает что за персонаж на этот раз?

За атмосферное фото спасибо Дане)

Тот самый случай, когда стоило бы дать ИИ-агенту доступ ко всем рабочим коммуникациям, пусть сам уточнит в фоне требования и убедит бизнес, почему что-то можно реализовать, а что-то нельзя. И да, пусть еще родственникам и друзьям обстоятельно отвечает на все сообщения, тогда я смогу нормально покодить...

Небольшой подытог последних новостей по АИ (все плохо):

На стриме я говорил (https://www.youtube.com/watch?v=JGMEctf7wHU), еще до ИИ (2020 года) куча исследований говорило о том что программист кодит меньше 4-ех часов в среднем, у кого-то и два часа не набирается.

Так на сколько умные агенты смогут ускорить выкатку фич, учитывая что половина, иногда большая, команды вообще код не пишет (аналитики, тестировщики и т.д.)?

Лучшии ИИ модели справляются только с 10% задач на фрилансе: https://news.1rj.ru/str/xor_journal/7992

При этом, Cursor почти забил на гонку за апстримом vscode, фичи для трудяг отваливаются: https://news.1rj.ru/str/devfounder/155

То что курсор добавил в 2.0 табик на пол экрана, который, фактически, украл у меня file-tree, говорит мне только о том что надувается пузырь даже для тех кто в теме.

И автор (ментейнер) Roo туда же, они не хотят делать умный таб, они хотят что бы всю работу делал агент: https://discord.com/channels/1332146336664915968/1332148077263458385/1407719743619727585

Я хочу инструменты ДЛЯ разработки, я не хочу убирать разработку. Не потому что я ретроград, а потому что я попробовал и явно вижу потолок агентов.

Я не хочу что бы автокомплит писал код за меня, я хочу что бы он помогал мне это делать быстрее (см скрин). Хочу удобнее UI для plan mode. Хочу интерактивные ответы в чате, а не писать текст каждый раз. Хочу помощь в тестировании!!! Хочу не маркетинговый булщит, а более умную IDE, которую мне обещали еще 13 лет назад: https://youtu.be/PUv66718DII

Черная дыра

Наткнулся на визуализацию черной дыры в вебе. Красиво сделаны эффекты как гравитация пожирает буквально все что рядом, включая свет.

https://singularity.misterprada.com/

Я теперь знаю все о строении кабеля

И о материалах, и как их самостоятельно делать (Adobe Substance 3D Sampler) и все это реализовано на Three.js.

Если вдруг через месяц будете заказывать силовой кабель, то можете наткнуться на мою работу, которая флексит полигонами и нормалями насколько это пока возможно для среднего компа или мобилки в вебе.

Павел имел ввиду эту анимацию, где предыдущие кадры размывались при помощи постоянного увеличения) Круто получилось)

Разводы

https://codepen.io/prisoner849/full/RNrOOzL

спасибо @lekzd - напомнил, что канву можно скейлить )

PS там (слева вверху через ховер) еще прикручен Strudel - случайная генерация 5 нот в до-минор ))

Кто все эти люди, я максимум 10 видел, а вы?)

Отсюда: https://x.com/sebastienlorber/status/1985636799381938655

Случайные нейронные связи

продолжение идей из прошлого поста

https://codepen.io/lekzd/pen/YPwmmvm

Моя жена готовит свое первое публичное выступление =)

Так как ей с двумя детьми еще труднее чем мне, она освоила нейросети для помощи в своей професии — дизайне интерьера, и хочет об этом рассказать.

Из вебинара вы узнаете как заставить ChatGPT делать не только красивые, но еще и технически верные картинки, что, на моей опыте, получалось редко. Ровные стены, ковры на полу и даже грамотные отражения в зеркале. Это все не так просто как кажется, но она разобралась как это сделать.

Среда, 12:00 GMT+3, ссылка ниже

Друзья, рада вам сообщить о том, что у нас уже есть ссылка на вебинар про нейросети в дизайне интерьера, который я проведу
12 ноября в 12:00.
Записывайте в свои планеры и календари 🗓️ и приходите , всех буду ждать🙌

🔗 https://us05web.zoom.us/j/83796447390?pwd=BYukjq5xoKZQl6vJJPJPGUWOI4i7p6.1

❄️ Снежинка

Продолжаю развивать код отсюда, почти вышло реализовать гексагональные тайлы Труше. Которые можно соединять как угодно и получится узор

https://codepen.io/lekzd/pen/xbVKKKe

Operation ForumTroll: Как фишинговая ссылка превращала WebGPU в оружие для взлома ОС

Кажется, что песочница браузера — это надёжная крепость. Но недавно обнародованная атака от марта этого года показала, что достаточно одной уязвимости в коде, чтобы эта крепость пала. Как фронтенд-разработчикам нам особенно интересно, что ключевую роль здесь сыграли WebGPU и безобидный на первый взгляд .woff2 файл.

Нас постоянно учат: нигде ничего не вводи ценного если не уверен в сохранности данных, но здесь бы это не помогло...

Разбираем цепочку взлома по косточкам:

1. Валидация (наш фронтенд-стек):

Жертва переходит по ссылке. Запускается JavaScript-валидатор.
WebGPU используется не по назначению — для вычисления SHA-256. Это не просто "быстрее", это сигнал для злоумышленников, что они в настоящем браузере с нужной конфигурацией.

Что в .woff2? В этом файле, который браузер по доверию загружает как шрифт, лежал не CSS-глиф, а зашифрованный бинарный код следующей стадии атаки — бутстраппер и сам эксплойт.

2. Взлом песочницы (CVE-2025-2783 — магия и ужас):

Здесь в игру вступает уязвимость, связанная с механизмом памяти Mojo/ipcz (межпроцессное взаимодействие в Chrome).
Корень проблемы: Эксплойт абузил pseudo-handle (-2) в системном вызове DuplicateHandle. Если очень упростить, это как получить права на запись в память ядра ОС, имея доступ только к памяти пользовательского процесса.

Use-After-Free и Race Condition. Эксплойт, манипулируя хендлами, создавал ситуацию, когда система пыталась использовать уже освобождённый участок памяти как валидный дескриптор, но с правами выше песочницы.

Результат: Через хук в v8_inspector::V8Console::Debug и SetThreadContext злоумышленник получал возможность выполнить свой shellcode уже в процессе браузера (а не в песочнице рендерера), получая тем самым доступ к ОС.

3. Что происходит после взлома (это уже не наш фронтенд, но важно понимать масштаб):

Loader через COM Hijacking (подмена легальной DLL twinapi.dll в реестре HKCU) обеспечивает загрузку библиотеки при старте ОС.

Вывод для нас, как разработчиков:

WebGPU — это мощный, но низкоуровневый API. Его использование для криптографии (не по прямому назначению) может быть маркером для атак.

Динамический импорт любых ресурсов (шрифты, WASM, Web Workers) — это потенциальный вектор. Браузер доверяет этим ресурсам, и если в них вшит вредоносный код, последствия могут быть катастрофическими.

Песочница — не панацея. Одна ошибка в движке (V8) или в системных бинарниках Chrome (Mojo) — и цепочка доверия рушится.

Это одна из тех уязвимостей, которая не была найдена никем кроме злоумышленников, которые успешно продали ее для адресного взлома работников СМИ, которым поставили на компы кейлогеры.

Тайлы труше

Наконец-то доделал)

https://codepen.io/lekzd/pen/myPyoGM