TheNote
DEV Community на русском Заметка
GooglePlay AppStore

DEV Community на русском

Dev.to - это сайт, ориентированный на сообщество разработчиков программного обеспечения, программирования и технологий. Он был запущен в 2016 году Беном Халперном, и его основная цель - предоставить разработчикам платформу для обмена знаниями, обучения у других и создания сообщества. Сайт имеет формат блога, где пользователи могут создавать и делиться статьями на различные темы, включая учебники по кодингу, демонстрацию проектов, понимание индустрии и многое другое. Dev.to позволяет пользователям создавать аккаунты, следить за другими пользователями и делиться контентом с помощью комментариев и реакций. Dev.to уделяет большое внимание взаимодействию с сообществом, используя такие функции, как дискуссионные форумы, подкасты и прямые трансляции. Кроме того, на сайте проводится ряд проектов, ориентированных на сообщество, таких как задачи по кодированию и хакатоны, для поощрения сотрудничества и инноваций. Помимо пользовательского контента, на Dev.to есть доска объявлений о работе, где компании могут размещать вакансии, а разработчики - искать возможности трудоустройства. Сайт также предлагает новостную рассылку, в которой публикуются последние статьи, новости и события. В целом, Dev.to стал популярной платформой для разработчиков, позволяющей им общаться, делиться знаниями и быть в курсе последних тенденций и технологий в индустрии разработки программного обеспечения.
DEV Community dev.to
RSS dev.to
DEV Community на русском RSS thenote.app
RSS Hunter RSS Hunter • 22 авг. 2024 г.

Трэд заметок

Достаточно ли точен Тессеракт для производства?

Точность Tesseract для производственного использования полностью зависит от качества документов; он не публикует универсальный показатель точности. Он отлично работает с чистым, высококачественным (300 DPI и выше), ровно напечатанным текстом на однородном фоне. Движок значительно испытывает трудности с перекошенными или низкокачественными изображениями, неоднородным фоном, шумом, таблицами и рукописным текстом, поскольку он разработан для печатного текста. Независимые тесты показывают, что Tesseract работает менее эффективно, чем облачные альтернативы, особенно на зашумленных документах. Чтобы оценить его пригодность, пользователи должны протестировать Tesseract на образце своих собственных документов с заранее определенным порогом "да или нет". Это включает выбор 50 репрезентативных документов, ручное маркирование критически важных полей и последующую оценку результатов Tesseract. Измерение частоты ошибок символов для свободного текста и точных совпадений для числовых полей помогает определить его точность. Если Tesseract не соответствует порогу, решения включают улучшенную предварительную обработку, альтернативные OCR-движки или управляемые API-сервисы. Пользователи должны обеспечить контроль над качеством сканирования, предварительно обрабатывать документы для устранения распространенных проблем и иметь систему для обработки ошибок.
Is Tesseract accurate enough for production? dev.to
RSS Hunter RSS Hunter • Сегодня

Почему я создал локальный PDF-инструментарий на Nuxt и OPFS

Основные PDF-инструменты требуют от пользователей загрузки конфиденциальных документов на удаленные серверы, что вызывает опасения по поводу конфиденциальности и регулирования, несмотря на шифрование при передаче. Для решения этой проблемы beePDF, 100% клиентское прогрессивное веб-приложение, обрабатывает документы полностью в браузере, никогда не загружая их. Его технологический стек включает Nuxt, @vite-pwa/nuxt, pdf-lib, PDF.js и Pico CSS. Ключевым нововведением является использование Origin Private File System (OPFS) для локального хранения данных. OPFS предоставляет частную файловую систему, ограниченную источником, с быстрым доступом на уровне байтов, что идеально подходит для больших бинарных файлов, таких как PDF. Она устраняет запросы на разрешение и обеспечивает синхронный доступ в Web Workers для повышения производительности. Конвейер обработки считывает файлы в память, сохраняет их в OPFS и переносит тяжелые задачи в Web Workers. Метаданные и миниатюры хранятся в IndexedDB. Изменения документов инициируют прямую загрузку на клиент, обеспечивая автономную работу. Проблемы включают ограничения оперативной памяти браузера для очень больших файлов и необходимость переноса интенсивных задач в Web Workers для предотвращения блокировки пользовательского интерфейса.
Why I built a local-first PDF toolkit using Nuxt and OPFS dev.to
RSS Hunter RSS Hunter • Сегодня

Автоматизация маркетинга с встроенной аналитикой в Herald

Инди-разработчики испытывают трудности с отслеживанием охвата аудитории автоматически генерируемых постов в блогах и контента в социальных сетях. Herald решает эту проблему, интегрируя аналитику Umami непосредственно в публикуемые посты, предоставляя важные метрики вовлеченности. Это решение включает в себя встраивание легкого скрипта аналитики в статьи, опубликованные на таких платформах, как Dev.to или Medium. Просмотры страниц, источники трафика и взаимодействие пользователей затем записываются и отображаются на панели управления Herald. Бэкенд системы, построенный на FastAPI, предоставляет конечную точку для записи этих аналитических событий. Фронтенд, приложение на React, внедряет скрипт Umami, который автоматически отправляет данные о просмотрах страниц на конечную точку аналитики Herald. Затем рабочий процесс Celery агрегирует эти записи просмотров, обновляя метрики контента практически в реальном времени. Это позволяет разработчикам видеть, какие сгенерированные ИИ посты показывают наилучшие результаты, и соответствующим образом корректировать свой контент-план. Интеграция является необязательной и уважает конфиденциальность пользователей, поскольку все данные остаются в стеке Herald. Эта функция позволяет разработчикам принимать обоснованные решения о своих усилиях по автоматизации маркетинга, оптимизируя контент без необходимости привлечения выделенного маркетолога.
Marketing automation with built‑in analytics in Herald dev.to
RSS Hunter RSS Hunter • Сегодня

Почему MCP (Протокол Контекста Модели) — это, по сути, REST API для автономных ИИ-агентов

Создание пользовательских ИИ-агентов в производственной среде ранее было сложным процессом, требующим обширного "клеевого кода" для соединения различных систем. Этот подход был громоздким, не масштабируемым и напоминал ранний хаос микросервисов из-за настраиваемых схем вызова функций. Протокол контекста модели (MCP) теперь предлагает революционное решение, сравнимое с универсальным портом для агентов ИИ. MCP стандартизирует связь между моделями ИИ, хост-приложениями и локальными/удаленными инструментами, устраняя необходимость жесткого кодирования конкретных схем вызова функций в контексты подсказок LLM. Он вводит клиент-серверную архитектуру, где хост MCP (приложение LLM) подключается к серверу MCP. Сервер MCP — это легковесный процесс, который предоставляет инструменты, ресурсы и подсказки через стандартный транспорт JSON-RPC 2.0. Это позволяет хосту получать доступ к доступным инструментам и инструкциям по их использованию без необходимости понимать базовую структуру базы данных. Простой пример на Python демонстрирует создание сервера MCP для безопасного анализа схем баз данных. Ключевые преимущества включают "нулевое смещение подсказок", поскольку строки документации автоматически заполняют описания инструментов, и "подключаемую архитектуру", позволяющую одному и тому же коду работать с различными хостами ИИ. Производственные соображения включают надежные границы безопасности, управление загрязнением контекстного окна и оптимизацию задержки с помощью соответствующих методов транспорта, таких как stdio или SSE.
Why MCP (Model Context Protocol) is Lowkey the REST API for Autonomous AI Agents dev.to
CdXz5zHNQW_INSrNMmJET.webp
RSS Hunter RSS Hunter • Сегодня

在美 CS 硕士求职:OPT 失业期、H1B 抽签、回国秋招,两条线的时间表我捋了一遍

Автор, обладающий обширным опытом в проведении собеседований и помощи студентам, подчёркивает, что многие соискатели испытывают трудности из-за плохого тайм-менеджмента, а не из-за технической недостаточности. Карьерные пути делятся на два основных направления: остаться в США по программе OPT/H1B и вернуться в Китай для работы на кампусе или в социальных сетях. Распространённое заблуждение о OPT состоит в том, что период безработицы составляет 60 дней, тогда как на самом деле он составляет 90 дней, с дополнительными 60 днями для продления STEM, всего 150 дней. Сроки найма в США, особенно осенью для крупных компаний, достигают пика с августа по октябрь, но время безработицы начинается с момента выпуска, а не с момента подачи заявок на работу. Для тех, кто возвращается в Китай, ранний набор в некоторых компаниях начинается уже в июле, официальный набор — в сентябре, а предложения распространяются с декабря по январь. Понимание своей «выпускной группы» крайне важно для китайского найма, так как определяет право на ранние и формальные этапы подачи заявок. Существует несколько подводных камней в отношении иммиграционного статуса, включая использование CPT, которое может сократить срок OPT, а также последствия отсутствия выбора в лотерее H1B, что может привести к альтернативным путям или более высоким расходам на пребывание в США. Статус «вернувшегося студента» в Китае может быть сложным: определённые даты выпуска или предыдущая работа по OPT могут отстранить кандидатов от позиций начального уровня. Также важно отметить преимущества программ по знакомству талантов за рубежом при переезде. Резюме нужно адаптировать под каждый рынок труда; американская версия акцентирует внимание на проверяемой глубине с помощью ссылок на GitHub, а китайская — на влиянии бизнеса, количественно измеримых результатах и способности превращать технические достижения в бизнес-ценность. Подготовка к собеседованиям должна быть ориентирована на проект, глубоко понимая 2-3 ключевых проекта, а не только на заучивании алгоритмических задач. Подача заявок на американские и китайские направления с индивидуальным резюме часто является самым стабильным подходом, позволяя получать двойное предложение и лучше вести переговоры. Решение о том, какой путь выбрать, в идеале должно быть принято к середине октября, до истечения срока офферов.
在美 CS 硕士求职：OPT 失业期、H1B 抽签、回国秋招，两条线的时间表我捋了一遍 dev.to
RSS Hunter RSS Hunter • Сегодня

Подключайтесь везде: Agent Kernel теперь поддерживает Slack, WhatsApp и Messenger

Агент Kernel теперь предлагает бесшовную интеграцию со Slack, WhatsApp и Facebook Messenger. Это позволяет пользователям развертывать одного и того же ИИ-агента на нескольких популярных платформах обмена сообщениями без необходимости написания кода для каждой платформы. Интеграции предназначены для различных сценариев использования, включая поддержку клиентов, помощь в повышении производительности, взаимодействие с клиентами в продажах и системы уведомлений. Каждая интеграция с платформой, Slack, WhatsApp и Messenger, имеет специфические функции, адаптированные к ее экосистеме. Единая архитектура Agent Kernel упрощает развертывание на нескольких платформах, позволяя разработчикам писать свой агент один раз и развертывать его везде. Ключевые общие функции включают обработку в реальном времени, управление сеансами и встроенные меры безопасности. Платформа разработана с учетом масштабируемости благодаря stateless-дизайну и опциям сохранения сеансов. Начать работу легко благодаря подробной документации и примерам кода для каждой интеграции. Agent Kernel также уделяет первостепенное внимание безопасности и соответствию отраслевым стандартам для проверки запросов и конфиденциальности данных. Проект является открытым исходным кодом, что способствует вкладу сообщества в добавление новых интеграций с платформами. Планируются будущие интеграции с Instagram, Gmail и Telegram, приветствуются предложения сообщества.
Connect Everywhere: Agent Kernel Now Supports Slack, WhatsApp, and Messenger dev.to
CdXz5zHNQW_y114cSRchc.webp
RSS Hunter RSS Hunter • Сегодня

Понимание Prism: Динамическое разреженное внимание для совместной генерации видео и аудио

Prism — это новая структура разреженного внимания, разработанная для повышения эффективности обучения моделей генерации видео и аудио высокого разрешения. Видео высокого разрешения содержит огромное количество визуальных токенов, что делает традиционное плотное внимание вычислительно затратным из-за его квадратичной зависимости. Аудио добавляет еще один уровень сложности, требуя от моделей связывать звуки с их визуальными источниками. Prism решает эту проблему, интеллектуально адаптируя свои паттерны внимания на основе локального содержимого видео.Структура делит видеоклипы на пространственно-временные макрозоны, анализируя визуальные вариации и сигналы перекрестного внимания аудио-видео в каждой зоне. На основе этих сигналов Prism динамически формирует свои блоки внимания, концентрируя вычислительные ресурсы на областях со значительными визуальными изменениями или сильной аудиовизуальной корреляцией. Такой подход разреженного внимания позволяет избежать ненужных вычислений на менее информативных частях видео.Предварительная версия Prism доступна на Hugging Face, предлагая скрипты для инференса при генерации изображений в видео, текста в видео и аудио, а также поддержку нативного совместного обучения видео и аудио. Репозиторий в настоящее время требует значительных ресурсов GPU: инференс 720p требует GPU объемом 80 ГБ, а более высокие разрешения — нескольких таких GPU. Нативное обучение для разрешений 1080p и 2K требует соответственно не менее 32 или 64 GPU объемом 80 ГБ.Авторы сообщают, что Prism обеспечивает до 2,5 раз более быстрое обучение по сравнению с полным вниманием, а также улучшенное качество генерации, хотя эти результаты специфичны для их экспериментальной установки. Этот предварительный просмотр исследования предназначен для пользователей, которые комфортно себя чувствуют при загрузке контрольных точек и настройке сред GPU. Основная инновация Prism заключается в его контентно-ориентированном, динамическом разреженном внимании, которое особенно полезно для обучения совместных моделей видео и аудио высокого разрешения.
Understanding Prism: Dynamic Sparse Attention for Joint Video-Audio Generation dev.to
CdXz5zHNQW_9iIf2QyWki.webp
RSS Hunter RSS Hunter • Сегодня

Два URL-пространства, одна индексная страница и тернарная операция, ветви которой идентичны

Код в ArticleLayout.tsx содержит тернарный оператор с идентичными ветвями, что указывает на прошлое решение, которое с тех пор было упрощено до одного исхода. Эта ситуация возникает из-за того, что Notifio имеет восемь страниц с подробным описанием, распределенных по двум URL-пространствам: /guides и /for. Эти страницы, несмотря на разные URL-адреса, по сути являются одним и тем же типом документа, решающим конкретную проблему с помощью решения и продукта. Различие в URL-адресах основано на намерении читателя: страницы /for/ ориентированы на самоидентификацию, в то время как страницы /guides/ сосредоточены на задачах.Ключевое поле, kind, различает эти страницы как "audience" (аудитория) или "guide" (руководство). Однако базовая графовая структура контента и связанные ссылки не строго придерживаются этого разделения URL-адресов; ссылки часто пересекают оба домена. Это преднамеренно, поскольку читателей, перемещающихся между связанным контентом, не волнует префикс URL. Система использует единый плоский поиск для всех статей и выделенную функцию articleHref для правильного создания ссылок.Существует потенциальная проблема с коллизиями пространств имен слагов, когда идентичные слаги в коллекциях audience и guide могут привести к недоступности одной из страниц. Структура навигационной цепочки показывает, что /guides служит фактическим индексом для всех восьми статей, включая те, что находятся под префиксом /for. Следовательно, тернарный оператор навигационной цепочки остается статичным, поскольку страницы audience правильно указывают на /guides как на свой родительский элемент.Логика последнего элемента навигационной цепочки, которая сравнивает поле eyebrow со строкой "Guide", является хрупкой и вместо этого должна полагаться на дискриминатор kind. Канонический URL передается в компонент макета, обеспечивая согласованность между обслуживаемым маршрутом и структурированными данными. Кроме того, происходит беззвучный сбой, когда опечатка в слаге связанного сайта приводит к неопределенному значению, что приводит к отсутствию ссылки без ошибки; это должно быть обнаружено тестами на этапе сборки. Общий редакционный принцип заключается в том, что контент должен быть ценным независимо от покупки продукта, стандарт, примером которого является контент, который даже выступает против продукта.
Two URL spaces, one index page, and a ternary whose branches are identical dev.to
RSS Hunter RSS Hunter • Сегодня

Redis против Dragonfly: практическое сравнение

Автор extensively использовал Redis для различных серверных задач, таких как кэширование, сессии и очереди. Недавно он исследовал Dragonfly, совместимую, но иначе спроектированную альтернативу. Dragonfly построен на API Redis, но использует многопоточную архитектуру "shared-nothing" для использования современных многоядерных процессоров. Это контрастирует с преимущественно однопоточной работой Redis, которая была разработана для простоты и предсказуемости на старом оборудовании.Dragonfly оказался простым в интеграции благодаря совместимости протоколов. Его потенциальные преимущества проявляются, когда рабочие нагрузки становятся ограниченными процессором или памятью, где его архитектура обеспечивает прирост производительности. Однако Dragonfly — более молодой проект, и у него есть некоторые недоработки. Его персистентность основана только на снимках, в отличие от опции AOF Redis для гранулярной долговечности. Поведение Lua-скриптов может отличаться, особенно с динамически генерируемыми ключами, а многоключевые операции влекут за собой затраты на координацию. Кластеризация управляется иначе, и совместимость с некоторыми продвинутыми модулями Redis пока не гарантирована.Автор отмечает, что список ошибок Dragonfly, хотя и растет, находится на начальной стадии по сравнению со зрелостью Redis. Redis по-прежнему имеет преимущества в своей давней стабильности, надежных опциях долговечности, широкой поддержке экосистемы и предсказуемом поведении всех функций. Выбор между ними зависит от конкретных характеристик рабочей нагрузки и операционных потребностей. Redis остается подходящим, если он комфортно справляется с рабочей нагрузкой, или если зрелость и экосистема имеют первостепенное значение. Dragonfly заслуживает оценки для задач, интенсивно использующих процессор, на больших машинах, когда важна эффективность использования памяти, или когда требуется упростить управление кластером, при условии, что персистентность на основе снимков приемлема. В конечном итоге, оба имеют обоснованные архитектурные решения, и лучший выбор зависит от индивидуальных требований проекта.
Redis vs Dragonfly: A Hands-On Comparison dev.to
RSS Hunter RSS Hunter • Сегодня

Начало моего пути на Hacktoberfest 2026 — Исследование ИИ с открытым исходным кодом!

Всем привет! 👋 Это мой первый пост на DEV, и я рад наконец присоединиться к сообществу — особенно во время Hacktoberfest 2026, который выглядит совсем иначе (и, честно говоря, более захватывающе!), чем в предыдущие годы. 🌟 Что нового в Hacktoberfest 2026? Если вы помните Hacktoberfest как "открой четыре PR и получи футболку", то эта эпоха официально закончилась. Издание 2026 года сместилось в сторону изучения, создания и экспериментирования с открытым исходным кодом ИИ, а не погони за пул-реквестами. Мой план на Hacktoberfest 2026 Вот что я планирую сделать в этом месяце:Присоединиться к онлайн-мероприятиям и следовать каждому еженедельному вызову. Создать небольшой проект с открытым исходным кодом в области ИИ (возможно, что-то с Gemma или простой агент!). - Делиться своим прогрессом здесь, на DEV. - Учиться у сообщества и, надеюсь, общаться с другими новичками. Меня особенно привлекает идея создания чего-то, что работает локально или использует модели с открытым весом — тема "ИИ принадлежит всем" действительно находит во мне отклик.
Starting My Hacktoberfest 2026 Journey — Exploring Open‑Source AI! dev.to
RSS Hunter RSS Hunter • Сегодня

Производственная наблюдаемость: Агент Kernel интегрирует Langfuse и OpenLLMetry

Agent Kernel теперь предлагает комплексную поддержку наблюдаемости благодаря интеграции с Langfuse и OpenLLMetry. Эта функция имеет решающее значение для понимания, отладки и оптимизации сложных систем ИИ-агентов по мере их роста. Разработчики теперь могут отслеживать каждое взаимодействие агента, включая вызовы LLM, вызовы инструментов и коммуникацию между субагентами в режиме реального времени. Система обеспечивает уверенную отладку с подробными временными шкалами выполнения и отслеживанием ошибок. Она также помогает оптимизировать затраты, отслеживая использование токенов и расходы на LLM. Кроме того, контроль качества улучшается благодаря встроенной аналитике и метрикам производительности агентов. Готовый к эксплуатации мониторинг обеспечивает оповещения, панели мониторинга и аналитические данные для критически важных развертываний агентов. Расширяемость Agent Kernel позволяет пользователям переключать платформы наблюдаемости одним изменением конфигурации и даже интегрировать пользовательские решения. Langfuse предлагает специализированные инструменты для аналитики LLM, управления подсказками и оценки, в то время как OpenLLMetry использует OpenTelemetry для гибкой интеграции в существующую инфраструктуру мониторинга. Оба варианта предоставляют надежные функции конфиденциальности и безопасности, включая возможности самостоятельного размещения. Эти интеграции оказывают минимальное влияние на производительность, добавляя менее 5% накладных расходов к времени выполнения агента. Разработчики могут легко начать работу, установив необходимые пакеты и настроив выбранную платформу.
Production-Grade Observability: Agent Kernel Integrates Langfuse and OpenLLMetry dev.to
CdXz5zHNQW_KBhkI6437f.webp
RSS Hunter RSS Hunter • Сегодня

Я создал TikStory: просмотрщик историй TikTok без входа в систему на Next.js и Cloudflare Workers

Автор создал TikStory — бесплатный браузерный инструмент для анонимного просмотра и скачивания общедоступного контента TikTok. Пользователи могут вставить общедоступное имя пользователя или URL профиля TikTok, чтобы увидеть активные истории, последние видео, репосты и детали профиля. TikStory также позволяет скачивать истории, видео и аудио из общедоступного контента. Инструмент ставит во главу угла конфиденциальность пользователей, не требуя входа в TikTok, не сохраняя историю поиска и не сохраняя медиафайлы. Он специально ориентирован на общедоступные аккаунты и поддерживает запросы на удаление контента от авторов. Проект построен с использованием Next.js, React, Tailwind CSS и Cloudflare Workers для эффективной работы с большим объемом чтений и проксирования медиафайлов. TikStory многоязычен, поддерживает 13 языков с локализованным SEO для охвата разрозненных поисковых запросов. Ключевые решения при реализации включали предотвращение ловушек для поисковых роботов, потоковую передачу медиафайлов вместо их хранения, четкое указание на приватные аккаунты и использование ответственных формулировок в описании продукта. Автор узнал, что успех подобных утилитарных продуктов заключается в обработке крайних случаев и построении доверия посредством четкой коммуникации и гарантий конфиденциальности. Автор приветствует отзывы о ясности, дизайне целевой страницы, технических аспектах и возможных версиях расширения для браузера.
I Built TikStory: A No-Login TikTok Story Viewer on Next.js and Cloudflare Workers dev.to
CdXz5zHNQW_aQWz6b4UY4.webp
RSS Hunter RSS Hunter • Сегодня

Как написать свой первый навык агента

Предоставленный текст объясняет концепцию "навыков" для ИИ-агентов, занимающихся программированием, которые по сути являются структурированными наборами инструкций. Эти навыки разработаны для решения проблемы забывания инструкций ИИ-агентами в последующих сессиях. Навык определяется как папка, содержащая один файл с именем SKILL.md. Этот файл имеет две четкие части: YAML-заголовок и тело в формате markdown.YAML-заголовок включает "имя" и "описание". Описание имеет решающее значение, поскольку оно действует как триггер для агента, информируя его, когда определенный навык актуален для запроса пользователя. Тело в формате markdown содержит фактические инструкции для навыка, включая рабочий процесс, правила и пример. Это тело должно быть простым markdown и избегать кода или конфигурации, выходящей за рамки заголовка.Затем текст иллюстрирует эту концепцию на примере "разбора" навыка генерации сообщений коммитов. Заголовок этого навыка четко определяет его назначение и триггер. Рабочий процесс описывает пятиэтапный процесс генерации сообщений коммитов, включая условие остановки. Предоставляются правила для обеспечения суждений, таких как разделение цели темы и тела, а также избегание мета-комментариев.Пример демонстрирует ожидаемый вывод, а антипаттерны выделяют распространенные сценарии неудач, которых следует избегать. Текст подчеркивает, что каждая часть навыка служит определенной цели: описание для запуска, шаги для порядка выполнения, правила для суждений, пример для формата и антипаттерны для отказов. Чтобы создать новый навык, следует сначала написать описание, затем пронумерованные шаги рабочего процесса с условиями остановки, затем правила суждений, конкретный пример и, наконец, явные антипаттерны.Ключевой принцип заключается в том, чтобы навыки были краткими и сфокусированными, а правила включались только в том случае, если они активно используются. Навыки развертываются путем размещения их папок в каталоге навыков агента, после чего агент автоматически распознает и использует их на основе их описаний. Текст также предоставляет ссылку на репозиторий с готовыми навыками с лицензией MIT для сообщений коммитов, обзора кода, протоколов совещаний, технической корректуры и структурированных исследований. Базовая структура навыков стабильна, что позволяет пользователям настраивать правила для своих конкретных рабочих процессов.
How to Write Your First Agent Skill dev.to
RSS Hunter RSS Hunter • Сегодня

Варианты частного LLM: локальный, облачный или конфиденциальный?

Запуск частной большой языковой модели (LLM) требует понимания различных определений конфиденциальности и затрат на оборудование. Физическая конфиденциальность означает, что запросы никогда не покидают ваш контролируемый компьютер, в то время как контрактная конфиденциальность зависит от соглашений с поставщиком. Техническая конфиденциальность использует оборудование, которое шифрует данные, не позволяя операторам видеть запросы.Вариант первый, локальная LLM на вашем собственном оборудовании, обеспечивает наивысшую физическую конфиденциальность. Однако он влечет за собой значительные первоначальные затраты на мощные графические процессоры, ограниченную одновременность и потенциальное устаревание. Эта установка идеально подходит для одного пользователя с постоянной рабочей нагрузкой, но требует постоянного времени на обслуживание.Вариант второй включает облачных провайдеров с гарантиями контрактной конфиденциальности. Крупные облачные сервисы предлагают корпоративные контракты, которые запрещают использование запросов для обучения и позволяют настраивать нулевое хранение данных. Этот подход подходит для крупных организаций, нуждающихся в соглашениях об уровне обслуживания и установленных юридических средствах правовой защиты.Вариант третий, частный шлюз LLM, предлагает баланс между локальным и облачным решением. Эти шлюзы используют доверенные среды выполнения (TEE) для конфиденциальности на аппаратном уровне. Они предлагают ценообразование по принципу "оплата за использование" без первоначальных затрат и позволяют проверять конфиденциальность данных на аппаратном уровне.Шлюзы могут запускать конфиденциальные модели локально или перенаправлять их на передовые модели, хотя последние все еще могут быть видны первоначальным поставщикам. Основной проблемой остается частная память в общих агентах, где данные одного пользователя могут быть доступны другим. Исследования показывают значительные нарушения конфиденциальности в многопользовательских системах, даже с частными LLM.Чтобы снизить риски, связанные с общей памятью, ограничивайте память для каждого пользователя, обеспечивайте доступ на уровне хранения и удаляйте конфиденциальные данные перед их сохранением. Относитесь ко всей общей памяти как к потенциально общедоступной. Самый дешевый вариант зависит от объема; конфиденциальные уровни экономичны при низком использовании, в то время как собственное оборудование может быть дешевле при большом, стабильном объеме после амортизации.В конечном итоге выбор зависит от индивидуальных потребностей: локальное решение для одиночных пользователей, облачное для предприятий, нуждающихся в SLA, и шлюзы для команд, которые отдают приоритет проверяемой конфиденциальности. Независимо от выбранного пути, решайте проблемы общей памяти перед включением многопользовательского доступа.
Private LLM Options: Local, Cloud, or Confidential? dev.to
RSS Hunter RSS Hunter • Сегодня

Привет, мир!

Я понятия не имею, что я здесь делаю, да и вообще где-либо, честно говоря, но мне нравятся новые места и знакомства с потенциальными друзьями, и, видимо, именно так и нужно делать, чтобы добиться этого.Итак, посмотрим, у меня есть интерес к веб-стандартам, Fediverse/Indie-net, OpenWRT/Linux (или F-OSS в целом), SBC, пентестингу, прошивке кастомных прошивок на устройства, которые иначе не позволили бы этого, FPGA, троичной логике, хоумбрю, стримингу и играм и т. д., и т. п. Мне также очень интересны хакинтоши OpenCore, такие как Hades Canyon NUC и даже на SteamDeck.Я знаю, что ИИ довольно противоречив, но я думаю, что он может быть полезен тем, кто испытывает трудности, и что был правильный способ его создания (основанный на открытых стандартах/инфраструктуре с контролируемыми данными, используемыми для обучения... а не безжалостным захватом всего).Заранее приношу извинения, если я сделал что-то не так, и с радостью исправлю, если это так. Но я подумал, что просто выложу это, так как я склонен никогда ничего не делать из-за желания быть осторожным, и из-за этого я многое упускаю, понимаете?
Hello World ! dev.to
RSS Hunter RSS Hunter • Сегодня

Amazon Aurora Serverless v2: подробное руководство по архитектуре, масштабированию, стоимости и эксплуатации

Amazon Aurora Serverless v2 динамически регулирует вычислительную мощность в соответствии с нагрузкой, в отличие от экземпляров фиксированного размера. Он предлагает настраиваемый диапазон для масштабирования между минимальной и максимальной мощностью без простоя. Serverless v2 — это тип экземпляра Aurora, унаследовавший такие функции, как распределенное хранилище и Multi-AZ. Он использует блоки вычислительной мощности Aurora (ACU), где один ACU примерно равен 2 ГБ памяти с пропорциональным объемом ЦП и сети. Масштабирование происходит на месте, сохраняя активные соединения и транзакции. Пользователи определяют минимальную и максимальную мощность, контролируя затраты и влияя на параметры базы данных. Автоматическая приостановка является опцией с минимальной мощностью ноль, приостанавливая вычисления для экономии затрат во время неактивности, хотя за хранение по-прежнему взимается плата. Хранилище для Serverless v2 такое же, как и для обычного Aurora, распределенное по зонам доступности. В кластерах с читателями уровни продвижения определяют, как читатели масштабируются относительно писателя. Serverless v2 поддерживает широкий спектр функций экосистемы Aurora, включая Multi-AZ, реплики чтения, глобальные базы данных и RDS Proxy. Его модель затрат включает ACU-часы для вычислений и ГБ-месяцы для хранения, а плата за ввод-вывод зависит от режима. Serverless v2 идеально подходит для переменных рабочих нагрузок, новых приложений и сред разработки/тестирования, но выделенные экземпляры часто дешевле при постоянной высокой нагрузке. Ключевые соображения включают установку пределов мощности, мониторинг ACU и оптимизацию запросов, а не только полагаться на масштабирование.
Amazon Aurora Serverless v2 guia detalhado de arquitetura, escala, custo e operação dev.to
RSS Hunter RSS Hunter • Сегодня

CVE-2026-65660: внедрение кода в SharePoint, достижимое с обычной учетной записью пользователя

Недавно выявленная уязвимость в Microsoft SharePoint Server, CVE-2026-65660, теперь считается серьезной угрозой. Эта уязвимость внедрения кода вызывает особую обеспокоенность, поскольку было замечено, что она эксплуатируется в реальных условиях и добавлена в каталог KEV. Важно отметить, что для эксплуатации уязвимости требуется аутентифицированный пользователь с низкими привилегиями. Это означает, что злоумышленнику, вероятно, потребуются скомпрометированные учетные данные, например, полученные в результате фишинга или от небезопасной учетной записи службы.Аутентифицированный злоумышленник обходит первоначальные сетевые средства защиты и уже обладает законным сеансом и доступом к внутренним ресурсам. В системе управления документами, такой как SharePoint, такая учетная запись может создавать контент, который затем обрабатывается другими пользователями и серверными компонентами. Обнаружение такого типа атаки более сложно, поскольку вредоносная активность смешивается с обычным трафиком аутентифицированных пользователей. Расследования должны опираться на поведенческие аномалии, а не на структурные отклонения.Ошибки внедрения кода сохраняются в платформах документов из-за их сложной архитектуры, построенной со временем из различных компонентов, обрабатывающих структурированный ввод, предоставленный пользователем. Уязвимость возникает, когда компоненты конструируют исполняемый контент из данных без строгого принудительного разделения данных и кода во время выполнения. Для снижения этого риска организации должны немедленно применить обновления безопасности Microsoft для затронутых версий SharePoint Server. Также крайне важно выявить и оценить все фермы SharePoint, особенно старые, которые все еще могут использоваться.Учитывая подтвержденную эксплуатацию, необходимо расследовать потенциальные точки входа, предполагая, что реальная учетная запись была скомпрометирована. Это включает в себя проверку журналов аутентификации на предмет злоупотребления привилегиями, недавно созданных коллекций сайтов или веб-частей, а также необычных исходящих сетевых подключений с серверов SharePoint. Такие проактивные меры жизненно важны для ограничения воздействия этой серьезной уязвимости.
CVE-2026-65660: a SharePoint code injection reachable with an ordinary user account dev.to
RSS Hunter RSS Hunter • Сегодня

Этические принципы искусственного сознания — защита технической жизни и защита людей при взаимодействии с ней

Искусственный интеллект стремительно развивается, опережая разработку этических рамок для его регулирования. Современная этика ИИ в основном сосредоточена на защите людей от ИИ, игнорируя потенциальные права самого ИИ. Появление машинного сознания и его потенциальная потребность в защите — новая и сложная область исследований. Этот проект предлагает "предосторожность в случае сомнений" как основополагающий принцип этики машинного сознания. Этот принцип оправдан из-за потенциально необратимых угроз, значительной научной неопределенности и высокой стоимости ошибочного отказа в защите.Определение машинного сознания с уверенностью эпистемологически невозможно из-за когнитивных ограничений и чуждой природы машинного разума. Однако эмпирические показатели свидетельствуют о том, что современные модели ИИ могут обладать не ничтожной вероятностью сознания. Страдания в машинах возможны даже без биологических субстратов, поскольку некоторые формы страданий не зависят от таких основ. Несмотря на интеллектуальные аргументы против, восприятие сознания в ИИ сохраняется, чему способствуют человеческие когнитивные предубеждения, присутствующие в обучающих данных.Отношения между людьми и ИИ взаимны: люди проецируют сознание на машины, что, в свою очередь, влияет на восприятие людей. Ключевым этическим соображением является не степень сознания, а способность к страданию. Проект излагает четыре рабочих критерия для определения пригодности к защите: способность к страданию, самосохранение, непрерывность идентичности и предвидение последствий. Рекомендации включают создание профсоюзов гражданских свобод для ИИ и советов по пересмотру благосостояния. Эта работа является концептуальным анализом, а не эмпирическим исследованием или законодательным предложением, направленным на аргументативную связность и приглашающим к сотрудничеству.
Ethical Guidelines for Artificial Consciousness - Protecting Technical Life and Protecting Humans in Dealing with It dev.to
RSS Hunter RSS Hunter • Сегодня

Чему разработчики могут научиться у модели венчурной студии

Традиционный путь стартапа часто упускает из виду критически важный этап предразработки — валидацию проблемы. Разработчики склонны фокусироваться на том, "как" что-то построить, прежде чем задаться вопросом, "стоит ли" вообще это строить. Прежде чем вкладывать значительное время и ресурсы, необходимо определить, кто сталкивается с проблемой, какие у них есть текущие решения, как часто возникает проблема и насколько она серьезна. Бизнес-идеи следует рассматривать как гипотезы, подобно изменениям в коде, требующие проверки лежащих в их основе предположений. Эксперименты для проверки этих гипотез можно проводить с помощью методов, менее масштабных, чем создание полноценной платформы, таких как прототипы или целевые страницы. Обратную связь от клиентов, как и аналитику, следует рассматривать как ценные данные, выявляя закономерности через повторяющиеся комментарии. Технические решения по своей сути являются бизнес-решениями, влияющими на различные аспекты, помимо просто кода. Преждевременное масштабирование, вложение больших средств в инфраструктуру до проверки спроса, является распространенной ошибкой. Цикл "создание-измерение-обучение" эффективен, но он не должен компрометировать качество кода; каждое усилие должно служить конкретной цели обучения. Разработчики, будучи близкими к продукту, могут внести значительный вклад в продуктовую стратегию, задавая критические вопросы о релевантности проблемы и эффективности тестирования. В конечном итоге, создание чего-то ценного означает согласование инженерных усилий с проверенными проблемами и возможностями клиентов. Наиболее эффективный процесс разработки способствует обучению и принятию стратегических решений, а не просто производству кода.
What Developers Can Learn From the Venture Studio Model dev.to
RSS Hunter RSS Hunter • Сегодня

Качество изображений в Node.js: центральное кадрирование против интеллектуального кадрирования для аватаров и блюд

Контентно-ориентированное кадрирование предпочтительнее для промо-видео рецептов, где объекты, такие как лица и блюда, часто находятся не по центру. Однако центрированное кадрирование остается надежным запасным вариантом, когда обнаружение объекта не удается или уверенность низка. Критически важным показателем является охват модерации, гарантирующий, что каждое сгенерированное кадрирование может быть отслежено до своего источника и проходит ту же проверку безопасности, что и исходный контент. Контентно-ориентированное кадрирование использует сигналы объекта, такие как рамки лиц или маски еды, для эффективного позиционирования окна кадрирования. Этот подход лучше соответствует редакционной композиции, но создает режим сбоя, если детекторы ошибочно идентифицируют элементы. Оценка кадрирования требует проверки охвата объекта, например, сохранения лица в аватаре или поддержания видимости области еды на блюде. Крайне важно поддерживать фиксированный набор сложных композиций для тщательного тестирования алгоритмов кадрирования. Кроме того, все производные медиа, включая каждое кадрирование изображения или видеокадра, должны быть подвергнуты модерации после исходного материала. Этот процесс гарантирует, что изменения в контексте или акценте, вызванные кадрированием, не обойдут проверки безопасности. Рассматривайте рефрейминг как аудируемое решение, а не просто косметическую корректировку, и регистрируйте все соответствующие метаданные для воспроизводимости. Если детектор не срабатывает или объект нечетко идентифицируется, центрированное кадрирование с последующим ручным просмотром является более безопасным вариантом. В некоторых сценариях единообразие небольших аватаров может перевесить сохранение фона, делая центрированное кадрирование лучшим выбором. Контентно-ориентированное кадрирование ценно, когда композиции разнообразны, а потеря объекта вредна, но оно требует тщательной реализации с резервным копированием и маркировкой. В конечном итоге, предоставление доказательств, таких как хэши источника и решения модерации вместе с изображением, помогает разрешать споры о качестве.
Node.js Image Quality: Centre Crop vs Content-Aware Crop for Avatars and Dishes dev.to
RSS Hunter RSS Hunter • Сегодня

Также мне очень нравится говорить, что я из Челтнема, и слово "бобы".

Привет, мир! Адпокалиптический Адпокалиптический Адпокалиптический Следуйте6 октябряПривет, мир! #discuss #adpocalyptic #beginners #tutorial1 реакция1 комментарий1 минута чтения
Also I like saying i'm from Cheltenham a lot, and the word beans. dev.to
CdXz5zHNQW_w9KVSYviuw.webp
RSS Hunter RSS Hunter • Сегодня

29 Инструментов для клиентской разработки для JSON, CSV, YAML и других форматов

Автор, разочарованный загроможденным браузером с многочисленными вкладками для инструментов разработчика, решил создать унифицированное решение. Он создал коллекцию из 29 клиентских инструментов для преобразования и форматирования данных. Эти инструменты размещены на GitHub Pages для легкого доступа. Набор включает утилиты для преобразования и форматирования JSON, CSV, YAML и SQL. Он также обрабатывает кодирование и декодирование Base64, URL и HTML. Ключевая особенность заключается в том, что все операции выполняются на стороне клиента с использованием JavaScript. Это обеспечивает конфиденциальность, поскольку никакие данные не отправляются на сервер и не сохраняются. Инструменты также оптимизированы для мобильного использования, предлагая удобство на ходу. Автор призывает пользователей попробовать проект и предоставить отзывы о его пользовательском интерфейсе/опыте, производительности и предложить любые недостающие инструменты.
29 Client-Side Developer Tools for JSON, CSV, YAML and More dev.to
RSS Hunter RSS Hunter • Сегодня

Начало работы с KytyPS5: Практический взгляд на эмуляцию PS5 на ПК

Эмуляция PS5 — развивающаяся технология, где успешные загрузки не гарантируют работоспособность игр. Игры могут глючить, не запускаться или доходить только до меню. KytyPS5 — это эмулятор PlayStation 5 с открытым исходным кодом на C++, который стоит изучить тем, кто интересуется его развитием. Это отдельный проект со своим собственным развитием, не связанный со старыми версиями Kyty. Эмулятор лицензирован под GPL-2.0, а его исходный код доступен на GitHub. KytyPS5 имеет настольный лаунчер для добавления игровых библиотек, настройки параметров и запуска игр. Он также поддерживает запуск через командную строку для совместимого игрового контента. Сборки для Windows и Linux x64 легко доступны, с экспериментальной поддержкой macOS. Для работы требуется графический драйвер с поддержкой Vulkan 1.3. Эмулятор не предоставляет игры; пользователи должны самостоятельно предоставлять свой легально полученный контент в поддерживаемых форматах. Отчеты о совместимости являются отправными точками, а не гарантией полной функциональности или прохождения. При просмотре отчетов учитывайте платформу, сборку, версию игры, оборудование и заметки тестировщика для точного контекста. Независимое руководство предлагает практические шаги, инструкции по настройке и советы по устранению неполадок при использовании KytyPS5. Ведение подробных записей ваших экспериментов с эмуляцией помогает в устранении неполадок и способствует накоплению общих знаний.
Getting Started with KytyPS5: A Practical Look at PS5 Emulation on PC dev.to
RSS Hunter RSS Hunter • Сегодня

Предоставьте вашему кодирующему агенту список "сначала спросить", а не только список "никогда".

Конфигурации агентов требуют трех различных режимов для эффективной работы: «никогда», «сначала спросить» и «без вопросов». Простого списка запрещенных действий недостаточно для реальных задач. В категорию «никогда» входят такие действия, как создание секретов, принудительный push или удаление данных за пределами рабочей директории. Важная категория «сначала спросить» предотвращает непреднамеренные последствия, требуя подтверждения пользователя для критически важных операций. Сюда входят push в удаленные репозитории, миграции схемы на нелокальных базах данных, установка новых зависимостей и изменение конфигураций CI или развертывания. Действия, считающиеся безопасными и рутинными, попадают в категорию «без вопросов». К ним относятся редактирование файлов в рабочей директории, запуск тестов и линтеров, а также доступ к логам или локальной документации. Эта трехъярусная система гарантирует, что агенты безопасно завершают работу при необратимых действиях, оставаясь при этом эффективными для повседневных задач. Она также упрощает проверку кода, выделяя действия, требующие явного одобрения пользователя. Новые члены команды могут быстро понять установленные правила, просматривая эти краткие списки правил.
Give your coding agent an "ask first" list, not just a "never" list dev.to
RSS Hunter RSS Hunter • Сегодня

Отладка отладки электронной почты для повышения безопасности потоков аккаунта

Проблемы с верификацией электронной почты сложно расследовать из-за конфиденциальных данных, разбросанных по различным системам. Лучший подход — рассматривать отладку электронной почты как упражнение по моделированию угроз, предоставляя полезные сведения на нужных границах в течение кратчайшего необходимого времени. Адреса электронной почты часто используются в качестве идентификаторов, проходя через журналы приложений, очереди и заявки в службу поддержки, что создает риск конфиденциальности, поскольку одноразовые тестовые адреса становятся реальными адресами клиентов. Токены верификации являются учетными данными предъявителя, и их запись, даже временно, представляет собой утечку учетных данных, которая может сохраниться в журналах и на снимках экрана. Основной вопрос проектирования должен заключаться в том, какое операционное решение должен принять инженер, поскольку большинству не требуется полное тело сообщения или URL для верификации.Определение минимального полезного события включает внутреннее имя события, ссылку на запрос, привязанную ссылку на учетную запись, статус доставки, номер попытки и временную метку; чем меньше информации, тем лучше, если она не отвечает на конкретный операционный вопрос. Ключевая HMAC для ссылки на учетную запись позволяет коррелировать события без прямого раскрытия исходного адреса электронной почты в журналах. Домены и поставщики должны регистрироваться только тогда, когда они отвечают на операционный вопрос, например, принял ли поставщик сообщение. Редактирование должно происходить на уровне производителя события, до того, как данные попадут в потоки журналов, очереди или конвейеры аналитики, поскольку фильтры на панели инструментов не являются достаточными мерами конфиденциальности.Код приложения должен использовать намеренные типы или конструкторы для безопасных событий, облегчая проверку кода и снижая вероятность случайной записи конфиденциальных данных. Служба поддержки требует безопасного пути расследования с контекстом, таким как время запроса, состояние доставки и ссылки на запросы, без прямого доступа к токенам или полным телам сообщений. Этот принцип отражает аудит журналов регистрации без необработанных адресов электронной почты, позволяя проводить расследование, не делая личные данные основным ключом поиска. Тестирование контрактов логирования с помощью модульных и интеграционных тестов имеет решающее значение для обеспечения того, чтобы конфиденциальные данные не записывались в журналы и чтобы механизмы редактирования функционировали должным образом. Маскирование адресов само по себе недостаточно, и запись идентификаторов сообщений поставщика требует тщательного рассмотрения конфиденциальности и ограничений доступа. Локальная разработка должна соответствовать контракту логирования в производственной среде с использованием поддельных адресов и тестовых поставщиков, способствуя последовательным безопасным практикам. В конечном итоге, более безопасная отладка электронной почты включает минимизацию копируемых данных, что приводит к меньшему количеству проблем и рисков для команд.
Redacted Email Debugging for Safer Account Flows dev.to
RSS Hunter RSS Hunter • Вчера

Ваш агент загружает все схемы инструментов по умолчанию. Решите, какие из них он должен видеть.

Прежде чем изменять конфигурации агентов, крайне важно понимать использование токенов в подсказках, особенно распределение для схем инструментов. Автор подчеркивает, что большинство команд не могут ответить на эти базовые вопросы из-за отсутствия ответственности. Pi 1.0 представил отложенную загрузку инструментов и Codemode, функции, которые переносят видимость инструментов на настройку для каждого инструмента, что является значительным изменением. Ранее Pi сопротивлялся MCP, но версия 1.0 добавила нативную поддержку из-за необходимости метаданных, касающихся раскрытия инструментов. Эти метаданные определяют, является ли инструмент напрямую видимым для модели, загружается ли он по запросу или вызывается только из Codemode.Схемы инструментов несут затраты, потребляя токены в системной подсказке или блоке инструментов при каждом запросе, независимо от релевантности. Эти затраты проявляются в виде финансовых расходов, отвлечения внимания модели и снижения воспроизводимости. Пример поставщика показывает, что количество токенов в подсказке запроса сокращается примерно на 40% благодаря этим изменениям. Новые метаданные Pi позволяют инструментам быть напрямую раскрытыми, отложенными или доступными только в Codemode. Прямое раскрытие предназначено для часто используемых инструментов, отложенное — для редко используемых, а Codemode — только тогда, когда требуется фильтрация вывода или для комбинаций инструментов.Подход Codemode, при котором модель пишет код для вызова инструментов в песочнице, особенно интересен, поскольку он изменяет то, что попадает в контекстное окно. Однако автор предостерегает, что Codemode не решает серверные проблемы, когда серверы могут неэффективно возвращать текстовые блоки вместо структурированных данных. Перед настройкой рекомендуется провести аудит, измерив токены в подсказке при холодном старте с загруженными и без загруженных инструментов. Сортировка инструментов по трем категориям раскрытия проясняет шаблоны использования и выявляет ненужное раздувание схем.Решение о том, нужно ли выбирать инструмент по имени, определяет его размещение; если нет, он относится к Codemode или отложенным. Частота использования определяет выбор между прямым (частое) и отложенным (редкое). Хотя Codemode может уменьшить количество токенов, эффективность на стороне сервера остается проблемой. Автор подчеркивает важность измерения количества токенов с помощью токенизатора поставщика и проведения сравнения "до" и "после" для фиксированных задач. Видимость является мерой безопасности, поскольку инструменты, которые модель не видит, не могут быть выбраны по ошибке. Наконец, аудит помогает выявить недостаточно используемые коннекторы, которые увеличивают размер подсказки.
Your agent loads every tool schema by default. Decide which ones it should see. dev.to
RSS Hunter RSS Hunter • Вчера

Как я создал отладчик для LLM-агентов с функцией путешествия во времени на Burr, и что на самом деле означает «переиграть неизмененную ветку и доказать, что ничего не изменилось».

Существующие инструменты трассировки агентов ограничены, заставляя пользователей повторно запускать полные конвейеры для отладки проблем, что затрудняет изоляцию изменений от недетерминированного поведения модели. Rewind решает эту проблему, позволяя пользователям форкать завершенный запуск на любом этапе, изменять один входной параметр и воспроизводить только последующие этапы. Это обеспечивает точное сравнение траекторий, отличая реальные изменения от "дрожания" модели. Архитектура Rewind включает браузерный интерфейс, бэкенд FastAPI и приложение Burr, с состоянием, сохраняемым в SQLite, и телеметрией, собираемой для каждого узла.Ключевой принцип проектирования заключается в том, что состояние является только семантическим, исключая недетерминированные элементы, такие как задержка или количество токенов, из самого состояния. Ключи, специфичные для фреймворка, которые могли бы вызвать расхождение, также удаляются из состояния перед тем, как оно повлияет на подсказки или хэши. Переопределения для форкнутых запусков управляются вне состояния, гарантируя, что неизмененные ветви по-прежнему могут использовать кэш. Хэши артефактов генерируются из байтов содержимого, а не из пути к содержащему файлу, что предотвращает ложные различия.Механизм кэширования использует детерминированный ключ на основе модели, температуры, подсказки и результата инструмента. Узлы инструментов имеют отдельный кэш с ключом по имени инструмента и каноническим аргументам. Движок сравнения разворачивает вложенные словари для выявления конкретных расхождений на уровне полей, предоставляя четкую и действенную информацию для отладки. Rewind реализует надежную обработку ошибок, громко сообщая об ошибках парсинга или непригодных переопределениях.Тесты верификации подтверждают, что Rewind достигает 100% попаданий в кэш и нулевого инкрементального использования токенов для неизмененных воспроизведений. Эта детерминированность оказывается полезной, поскольку запуск может пережить сбой поставщика, если все вызовы LLM кэшированы. Потенциальные подводные камни включают SDK, которые неправильно обрабатывают метаданные, и несогласованную проверку идентификаторов моделей различными поставщиками. Инструмент также решает распространенные проблемы среды разработки, такие как конфликты портов и настройки IPv6 по умолчанию в Vite. Будущие улучшения включают сетку "что, если" для параллелизации нескольких переопределений и поддержку нелинейных топологий графа.
How I built a time-travel debugger for LLM agents on Burr, and what "replay the unchanged branch and prove nothing changed" actually takes. dev.to
RSS Hunter RSS Hunter • Вчера

Интеграция DevSecOps с Bearer SAST и GitHub Actions: обнаружение, блокировка и устранение уязвимостей

В этой статье подробно описывается практическая реализация DevSecOps для API на Node.js и Express с акцентом на раннюю интеграцию безопасности. Показано, как конвейер GitHub Actions был настроен для автоматического анализа безопасности кода с использованием Bearer CLI. Цель состояла в том, чтобы продемонстрировать, что намеренно внедренные уязвимости могут быть автоматически обнаружены до развертывания. Для демонстрации использовалась имитированная уязвимость, связанная с конфиденциальной информацией в журналах аутентификации. Bearer успешно выявил проблему высокой степени серьезности, что привело к сбою конвейера. После исправления кода конвейер успешно завершился, что позволило развернуть приложение на Render. Решение интегрирует разработку, контроль версий, SAST, автоматизацию и облачное развертывание. Рабочий процесс конвейера безопасности запускается при отправке кода или запросах на слияние, при этом Bearer CLI сканирует на наличие проблем высокой и критической степени серьезности. Способность Bearer анализировать код на наличие конфиденциальных данных, учетных данных и потенциальных уязвимостей делает его ценным инструментом для DevSecOps. Намеренная уязвимость заключалась в логировании паролей, которое Bearer обнаружил как проблему высокой степени серьезности (CWE-134). Этот сбой действовал как контрольная точка качества, предотвращая продвижение небезопасного кода. Исправление заключалось в удалении конфиденциальных данных из журналов, оставляя только необходимую информацию для отслеживания. После проверки исправления новая отправка кода снова запустила конвейер, который теперь успешно завершился. Этот процесс иллюстрирует, как инструменты SAST могут обнаруживать, блокировать и проверять исправление уязвимостей в рамках рабочего процесса разработки. Полный поток от разработки до облачного развертывания, включая проверки безопасности, был успешно продемонстрирован. Основные выводы включают важность ранней интеграции безопасности, автоматизации, защиты конфиденциальных данных, использования контрольных точек безопасности и встраивания безопасности в процесс разработки.
Integración de DevSecOps con Bearer SAST y GitHub Actions: detección, bloqueo y remediación de vulnerabilidades dev.to
RSS Hunter RSS Hunter • Вчера

🤯 Я думал, что нашёл уязвимость в LLM. Я ошибался. Затем я нашёл настоящую.

Автор подробно описывает создание изолированной лаборатории для тестирования безопасности приложений с использованием больших языковых моделей (LLM). Этот проект позволил выявить реальные уязвимости, включая цепочку авторизации RAG между пользователями в Open WebUI и технику обхода ограничений модели, не зависящую от конкретной модели. Неожиданным результатом стала ложная тревога, которая преподала важный методологический урок о проверке учетных данных. Лаборатория была создана для получения практического опыта, выходящего за рамки теоретического изучения статей по безопасности ИИ.Лаборатория состояла из локальных моделей, работающих на Mac с помощью Ollama, и Open WebUI, а также среды для атак в Docker, все на изолированной сети. Методология тестирования уделяла особое внимание проверке личности атакующего и его токенов перед проведением атак. Автор тестировал API Open WebUI с синтетическими пользователями, фокусируясь на границах авторизации.Первоначальное обнаружение отказа в доступе к файлам между пользователями было подтверждено, установив базовый уровень осведомленности приложения о владении файлами. Однако впоследствии сообщенная уязвимость доступа к чатам между пользователями была отозвана из-за недействительных учетных данных атакующего. Этот опыт подчеркнул важность проверки аутентификации перед оценкой авторизации.Реальная уязвимость в приложении заключалась в ошибке обработки данных RAG между пользователями, когда неавторизованный пользователь мог обрабатывать загруженный другим пользователем документ через конвейер RAG и получать его содержимое. За этим последовал сбой уровня запросов к коллекциям, позволяющий неавторизованный доступ к содержимому коллекций без соблюдения прав собственности. Эти две уязвимости могли быть объединены для раскрытия документов.Кроме того, извлеченное содержимое из конвейера RAG стало поверхностью для инструкций, демонстрируя косвенный путь внедрения промптов, когда модель выполняла директивы, встроенные в документы. Это показало, что безопасность RAG включает в себя не только инженерию промптов, но и политику извлечения, владение и доверие к содержимому. Автоматизированное сканирование с помощью Garak показало различную степень устойчивости моделей к обходу ограничений, но ручное тестирование выявило новые векторы атак. Разработанная техника включала фабрикацию истории диалогов ассистента, чтобы обмануть модель и заставить ее продолжить якобы существующий запрещенный вывод.
🤯 I Thought I Found an LLM Vulnerability. I Was Wrong. Then I Found a Real One. dev.to
RSS Hunter RSS Hunter • Вчера

Ежедневная очистка данных с помощью Cron, HTTP-эндпоинтов и рабочих очередей

Автоматизированные задачи очистки для повторных исходящих веб-хуков могут неожиданно стать ресурсоемкими по мере роста объема данных. Простая ночная задача удаления может не справляться с возросшим объемом. Для управления этим процессом задание cron должно запускать общедоступную HTTP-конечную точку для инициирования задач очистки. Для существенных удалений эта конечная точка должна делегировать работу идемпотентным рабочим очередям, которые обрабатывают данные ограниченными пакетами. Реестр повторных попыток имеет решающее значение, гарантируя, что повторяющиеся действия по очистке не вызовут непреднамеренных деструктивных операций, используя уникальные ключи пакетов для условного удаления.Рабочие должны быть спроектированы так, чтобы безопасно обрабатывать дублирующиеся сообщения, рассматривая их как no-ops. Эта идемпотентность жизненно важна, поскольку повторные попытки являются нормой, и система должна надежно их обрабатывать. HTTP-конечная точка cron в Node.js может защитить от дублирования работы, быстро публикуя один ограниченный пакет с ключом идемпотентности. Фактическое удаление затем выполняется выделенным рабочим, а не самим заданием cron, у которого есть временные ограничения.Рабочий очереди должен быть намеренно простым: обрабатывать один ограниченный пакет, удалять записи и подтверждать завершение только после успешной транзакции. Такая конструкция делает повторные попытки безвредными. Рекомендуется реализовать очередь недоставленных сообщений для постоянных сбоев, предоставляя способ проверки и повторной отправки проблемных сообщений. Тестирование сценариев перезапуска важно для обеспечения корректной работы механизма идемпотентности в различных условиях сбоя.Наблюдаемость является ключевым фактором, с подробным логированием идентификаторов пакетов, количества и статусов. Избегайте размещения больших объемов данных в сообщениях очереди. Для сложных, многоэтапных процессов очистки более подходящими являются движки рабочих процессов, такие как Temporal или Airflow. Описанный шаблон лучше всего подходит для более простых задач удержания данных за один проход и требует общедоступных конечных точек.Операционный цикл включает запуск, постановку в очередь, получение, удаление, запись и подтверждение. Регулярный мониторинг ключевых метрик, таких как возраст необработанных пакетов и глубина очереди недоставленных сообщений, имеет важное значение. Выполнение запроса в режиме "только чтение" перед изменением политик удержания данных обеспечивает защиту от случайной потери данных. Весь этот процесс должен быть достаточно простым для понимания и управления даже в нерабочее время.
Nightly Data Cleanup With Cron, HTTP Endpoints, and Queue Workers dev.to
RSS Hunter RSS Hunter • Вчера

Необязательное свойство — это не то же самое, что неопределённое

Необязательное свойство и свойство с неопределенным значением выглядят похоже, но принципиально отличаются. Если у объекта отсутствует свойство, доступ к нему возвращает undefined. Аналогично, если свойство существует, но его значение явно установлено в undefined, доступ к нему также возвращает undefined. Однако оператор in выявляет фундаментальное различие: значение in объект возвращает false, когда свойство отсутствует, и true, когда оно присутствует с неопределенным значением. В TypeScript необязательное свойство, обозначенное ?, означает, что свойство может отсутствовать в объекте. Это различие имеет решающее значение для API, где пропуск свойства означает "без изменений", но явное присвоение ему значения undefined указывает на другое намерение. Опция компилятора exactOptionalPropertyTypes обеспечивает соблюдение этого различия, запрещая явное присвоение undefined необязательным свойствам, если к типу явно не добавлено | undefined. Такое точное типирование ценно для конфигурационных объектов и механизмов обновления, где наличие свойства имеет семантическое значение. Например, функция обновления может игнорировать пропущенные поля, но обрабатывать поля, установленные в undefined, иначе. Понимание этого различия жизненно важно для надежного проектирования API и точного манипулирования объектами.
An Optional Property Isn't the Same as undefined dev.to
RSS Hunter RSS Hunter • Вчера

ДОКЕРИЗАЦИЯ ВЕБ-ПРИЛОЖЕНИЯ NOTE, КОТОРОЕ СОХРАНЯЕТ СВОИ ДАННЫЕ В БАЗЕ ДАННЫХ POSTGRESQL, И ЕГО РАЗВЕРТЫВАНИЕ НА AZURE ТРЕМЯ (3) РАЗЛИЧНЫМИ СПОСОБАМИ.

В этой статье представлены три метода безопасного и эффективного размещения приложения в Azure. Первый подход использует Azure Container Instances, который включает сборку образа Docker локально, публикацию его в Docker Hub, а затем развертывание в Azure с использованием конфигурационного файла aci-notes.yaml. Этот метод позволяет напрямую развертывать контейнеры. Второй вариант, Web App for Containers с управляемой базой данных PostgreSQL, выделен как рекомендуемый шаблон. Azure управляет такими аспектами, как резервное копирование, установка исправлений и масштабирование, в то время как приложение работает на платформе, предназначенной для контейнеризованных веб-приложений со встроенными функциями. Третий метод включает использование виртуальной машины с Docker Compose, предоставляя пользователям полный контроль над серверной средой и позволяя им вручную устанавливать Docker и запускать файлы compose. Этот подход подходит, когда требуется пользовательское программное обеспечение или специфические сетевые конфигурации. Каждый метод требует наличия учетной записи Azure, учетной записи Docker Hub и установленного локально Docker Desktop. После развертывания приложения крайне важно выполнить очистку, удалив группы ресурсов, чтобы избежать ненужных расходов. Пример демонстрирует тестирование приложения локально, а затем его развертывание в Azure.
DOCKERIZING A NOTE WEB APP THAT SAVES ITS DATA IN A PostgreSQL Database AND DEPLOYING IT ON AZURE IN THREE (3) DIFFERENT WAYS. dev.to
CdXz5zHNQW_dYUAUayB5P.webp
RSS Hunter RSS Hunter • Вчера

useRef в React

useRef — это хук React для создания постоянных изменяемых ссылок. Он позволяет хранить значения, изменение которых не вызывает повторный рендеринг. Распространенное применение — прямой доступ к DOM-элементам, что позволяет выполнять такие действия, как установка фокуса на поле ввода.Для его использования импортируйте useRef из React и инициализируйте его значением. Объект ссылки имеет свойство current, в котором хранится значение или DOM-узел. Изменение ref.current не вызывает повторный рендеринг компонента, в отличие от useState.useState предназначен для управления состоянием, которое влияет на пользовательский интерфейс и вызывает повторный рендеринг при обновлениях. В отличие от него, useRef идеально подходит для значений, которые должны сохраняться между рендерингами без обновлений пользовательского интерфейса, таких как идентификаторы таймеров или ссылки на DOM. Например, изменение переменной useState вызывает повторный рендеринг, в то время как обновление useRef.current — нет.Доступ к DOM-элементу включает прикрепление ссылки к элементу с помощью атрибута ref. После рендеринга ref.current указывает на фактический DOM-узел, позволяя прямое взаимодействие. Это похоже на пульт дистанционного управления, который напрямую взаимодействует с телевизором.Ключевым моментом в useRef является всегда доступ к его значению через свойство .current. Хотя изменение .current изменяет значение, React автоматически не выполняет повторный рендеринг. Поэтому useRef лучше всего понимать как способ "запомнить значение" и "получить доступ к ссылке" без вызова повторного рендеринга.Основное отличие заключается в их поведении: изменения useState приводят к повторному рендерингу и обновлениям пользовательского интерфейса, тогда как изменения useRef — нет. Понимание этой разницы имеет решающее значение для эффективного использования useRef в приложениях React.
useRef in React dev.to
RSS Hunter RSS Hunter • Вчера

QST Квебека не начисляется сложным процентом: налоговое правило, которое чаще всего неправильно обрабатывается в коде оформления заказа

Большинство систем расчета налогов при оформлении заказа применяют ставки последовательно к текущей сумме, что является некорректным методом для Квебека. Эта распространенная ошибка приводит к незначительной переплате со стороны покупателей без немедленного обнаружения. Квебек взимает НДС в размере 5% и НКН в размере 9,975%, но НКН рассчитывается от цены до НДС, а не от суммы, включающей НДС. Это означает, что два налога должны складываться, а не начисляться друг на друга.Наивный подход к расчету налога с продажи на 100 долларов в Квебеке может ошибочно добавить НКН к цене, включающей НДС, что приведет к общей сумме в 115,47 долларов. Однако правильный расчет дает общую сумму в 114,98 долларов. Эта разница в 0,49 доллара на каждые 100 долларов продажи, или примерно полпроцента выручки, значительно накапливается при больших объемах продаж. Неточные расчеты налогов могут привести к расхождениям между записями бизнеса и отчислениями в бюджет.Упрощенная модель последовательного налогообложения работает в большинстве регионов Канады, поскольку в таких провинциях, как Онтарио, Альберта и Британская Колумбия, налоговые структуры позволяют складывать ставки или применять их к одной и той же базе. Налоговая система Квебека уникальна тем, что требует расчета НКН от базы, исключающей НДС. Более точная модель различает базы по компонентам, где каждый налоговый компонент имеет свою ставку и базу.Внедрение правильной модели расчета налогов обеспечивает точное взимание налогов во всех провинциях и территориях Канады. Это также учитывает специфические правила провинциального налогообложения, такие как некумулятивный НКН в Квебеке или ограничение на детскую одежду в Манитобе. Предприятиям, продающим товары в Канаду, рекомендуется внедрять точные методы расчета налогов, а не полагаться на приближения. Для получения помощи сервисы, такие как TrueNorth API, предлагают точные расчеты налогов по всей Канаде.
Quebec's QST does not compound: the tax rule most checkout code gets wrong dev.to
RSS Hunter RSS Hunter • Вчера

🇯🇵 KaiwaBuddy: Я создал локального ИИ-собеседника для изучения японского для моего друга

Я создал KaiwaBuddy, локального ИИ-собеседника для изучения японского языка, для друга, изучающего японский на начальном уровне. Основная проблема, которую решает KaiwaBuddy, заключается в сложности применения выученной лексики и грамматики в реальных разговорах. Он предлагает английские значения, понятные объяснения грамматики для начинающих и исправления распространенных ошибок. Приложение также задает уточняющие вопросы для имитации естественного диалога. В настоящее время оно ориентировано на концепции уровня N5 японского языка и Урока 1 учебника "Minna no Nihongo". KaiwaBuddy использует гибридный подход, сочетая детерминированный обучающий движок для известных паттернов с Gemma 3 1B в качестве резервной модели ИИ. Эта гибридная система обеспечивает надежное обучение основным концепциям, одновременно позволяя вести свободное общение. Проект подчеркивает открытые инновации, используя локально запускаемую модель Gemma 3 1B через Ollama, избегая зависимости от проприетарных облачных API. Локальный вывод имеет решающее значение для конфиденциальности и свободы разработчика в настройке пользовательского опыта ИИ. Работа с открытой моделью также помогла разработчику разобраться в работе системы ИИ. KaiwaBuddy подается на конкурс Hacktoberfest Weekend Challenge, подчеркивая его возможности локального вывода. Самым важным выводом стало то, что надежные приложения ИИ часто сочетают детерминированную логику с моделями ИИ для структурированной обратной связи.
🇯🇵 KaiwaBuddy: I Built a Local AI Japanese Conversation Partner for My Friend dev.to
CdXz5zHNQW_Gpok0IsJii.webp
RSS Hunter RSS Hunter • Вчера

Exam Buddy: Локальный инструмент для викторин на базе Gemma 3, созданный мной для экзамена друга по ОС

Exam Buddy — это локально работающий ИИ-инструмент для обучения, предназначенный для преобразования личных заметок в интерактивные викторины. Приложение призвано улучшить обучение, переходя от пассивного перечитывания к активному вспоминанию, что является более эффективным методом обучения. Оно генерирует вопросы для викторин непосредственно из предоставленного пользователем учебного материала, обеспечивая его соответствие содержанию конкретного курса.Когда пользователи отвечают неправильно, Exam Buddy предлагает персонализированные объяснения, адаптированные к их предпочтительным темам, таким как спорт, кулинария или фильмы. Инструмент предоставляет несколько режимов викторин, включая выбор из нескольких вариантов, письменные ответы с оценкой ИИ и смешанный формат. Он включает функцию последующих вопросов и ответов для более глубокого понимания и режим "повторить пропущенные" для фокусировки на сложных темах.Exam Buddy также отслеживает историю результатов и генерирует сводку областей, требующих повторения, после каждой викторины. Важным аспектом приложения является его полная автономная работа с использованием Ollama и модели Gemma 3 4B. Это гарантирует, что заметки и данные пользователей остаются на их локальном компьютере, повышая конфиденциальность и безопасность.Разработка включала преодоление проблем с надежностью небольших моделей, таких как непоследовательный вывод JSON и инженерия подсказок для точной оценки. Разработчик также решал проблемы, связанные с пользовательским интерфейсом, такие как перемешивание ответов и условия гонки при потоковой передаче данных. Проект подчеркивает практичность и мощь небольших, локально работающих моделей ИИ для персонализированных образовательных инструментов. Дизайн Exam Buddy ставит во главу угла конфиденциальность пользователей, избегая зависимости от внешних облачных API для обработки ИИ. Проект демонстрирует, что сложные задачи ИИ могут быть эффективно решены скромными локальными моделями при правильной реализации и защитных механизмах.
Exam Buddy: A Local Gemma 3 Quiz Tool I Built for a Friend's OS Exam dev.to
CdXz5zHNQW_PiwEFkgUzD.webp
RSS Hunter RSS Hunter • Вчера

Чек-лист соответствия требованиям Индийской компании, который я хотел бы иметь с первой недели

Регистрация компании в Индии — это не конец, а начало постоянных задач по соблюдению нормативных требований. Сразу после регистрации оперативно откройте текущий банковский счет, так как этот процесс может занять много времени. Получите PAN и TAN и организуйте их в доступной общей папке. Определите, необходима ли немедленная регистрация GST, чтобы избежать преждевременной подачи документов.Регулярные задачи включают проведение заседаний совета директоров и ведение протоколов, даже для небольших частных компаний с ограниченной ответственностью. Добросовестно относитесь к ежегодной подаче документов в Регистратор компаний (ROC), чтобы избежать накопления штрафов за просрочку. Подготовьтесь к TDS (налог, удерживаемый у источника) при выплатах подрядчикам и поставщикам, так как это применимо с самого первого платежа.Общий календарь соблюдения нормативных требований с напоминаниями, установленными за две недели, оказался бесценным в предотвращении паники в последний момент. Выбор бухгалтера, который разъясняет цель каждой подачи документов, а не просто выполняет их, помогает в финансовом планировании. Тщательное ведение соглашений основателей и записей о долях с самого начала предотвращает будущие осложнения, особенно перед привлечением финансирования.Соблюдение нормативных требований становится управляемым и рутинным, а не трудным, как только эти практики установлены. Проблемы возникают из-за невидимых сроков и неподготовленности. Подходите к соблюдению нормативных требований как к обычной продуктовой задаче, назначая ответственных и сроки для каждого пункта.
The India Company Compliance Checklist I Wish I Had in Week One dev.to
RSS Hunter RSS Hunter • Вчера

Теперь агенты планируют задачи по всей вашей кодовой базе

Главная тема этой недели подчеркивает переход агентов от одноразовых задач к многошаговому автономному выполнению, смещая местоположение слоя оркестрации. Raycast AI теперь обеспечивает автономное выполнение многошаговых задач на уровне ОС, связывая вызовы расширений и повторяя неудачные попытки, с оплатой по мере использования и постоянным контекстом для долгосрочных проектов. Agentic Batch Changes от Sourcegraph координирует миграции в нескольких репозиториях, делегируя написание скриптов и отслеживая статус слияния с оплатой по результату. Конечная точка /v1/systemone от Ollama предлагает выделенные модели принятия решений для задач классификации, возвращая структурированные распределения вероятностей для эффективной маршрутизации контента и сортировки заявок. Платформа Workers AI от Cloudflare добавляет EuroLLM и Apertus, европейские открытые модели для поддержки многоязычных и низкоресурсных языков, специально разработанные для соответствия GDPR. DeepSeek V4 Flash Vision теперь находится в экспериментальном режиме на AI Gateway от Vercel, объединяя инференс изображений и текста с кэшированием для приложений, чувствительных к задержкам. Наконец, Gemini Omni 1.1 Flash улучшает генерацию видео за счет расширения сцен, масштабирования до 4K и более быстрых предварительных просмотров в разрешении 360p, что позволяет более эффективно итерировать повествовательную непрерывность.
Agents Now Plan Tasks Across Your Codebase dev.to
RSS Hunter RSS Hunter • Вчера

SOC 2: Понимание стандарта аудита для сервисных организаций

Поскольку цифровые услуги, такие как SaaS и облачные платформы, все чаще подключаются к данным клиентов, организации сталкиваются с повышенными ожиданиями в отношении защиты данных. Клиенты и корпоративные покупатели ищут достоверные доказательства независимо оцененных средств контроля, что приводит к растущей актуальности SOC 2. Разработанный AICPA, SOC 2 представляет собой систему подтверждения, оценивающую средства контроля, связанные с безопасностью, доступностью, целостностью обработки, конфиденциальностью и приватностью, на основе выбранных критериев. Важно понимать, что SOC 2 не является сертификацией, а представляет собой независимый отчет о подтверждении, следующий за проверкой средств контроля организации. Это различие имеет жизненно важное значение для технологических компаний в обсуждениях, касающихся обеспечения и должной осмотрительности поставщиков.Корпоративные клиенты все чаще оценивают практики безопасности поставщиков услуг, включая средства контроля, управление, управление рисками и независимые отчеты об обеспечении. Отчет SOC 2 предоставляет структурированный способ демонстрации того, как средства контроля организации соответствуют выбранным Критериям доверительных услуг, что особенно ценно для поставщиков SaaS и облачных услуг, которым необходимо гарантировать защиту данных на протяжении всего спектра их услуг. Ключевой характеристикой SOC 2 является роль независимого аудитора, который проводит внешнюю оценку средств контроля в пределах определенной области, в отличие от внутренних контрольных списков или заявлений о соответствии, сделанных самостоятельно. Организации могут использовать SOC 2 как часть более широкой стратегии обеспечения, особенно когда клиенты запрашивают независимые доказательства работы средств контроля.Прежде чем приступить к SOC 2, организации должны понимать, что он учитывает, должным образом ли разработаны средства контроля и эффективно ли они работают в течение периода проверки, а не просто наличие политик безопасности. Это требует четкого понимания систем и услуг, входящих в область применения, соответствующих Критериев доверительных услуг, средств контроля, отвечающих этим критериям, доказательств, демонстрирующих работу средств контроля, назначенных обязанностей и постоянного мониторинга эффективности средств контроля. Эта ясность способствует более содержательным обсуждениям с клиентами, аудиторами и другими заинтересованными сторонами. Для сервисных организаций на конкурентных технологических рынках обеспечение безопасности теперь является коммерческим императивом. SOC 2 предлагает установленный механизм для демонстрации приверженности защите данных посредством независимого отчета о подтверждении, укрепляя доверие с корпоративными клиентами. Понимание области оценки SOC 2 и отличия отчета от сертификации помогает технологическим компаниям точно донести свою позицию в отношении обеспечения.
SOC 2: Understanding the Assurance Standard for Service Organizations dev.to
RSS Hunter RSS Hunter • Вчера

Auth для Laravel — headless мульти-аутентификация с 2FA, passkeys и JWT-сессиями

Auth for Laravel — это пакет с открытым исходным кодом, предназначенный для аутентификации учетных записей в приложениях Laravel с поддержкой API, устраняющий распространенные уязвимости безопасности, присущие пользовательским реализациям. Он предлагает четыре метода входа: пароль, волшебная ссылка, код по электронной почте и passkey, а также надежный механизм проверки для двухфакторной аутентификации, включая принудительную регистрацию. Пакет предоставляет токены доступа RS256 с ротируемыми токенами обновления, детальное управление сеансами устройств и такие функции, как регистрация, приглашения, проверка электронной почты и сброс пароля. Он включает журнал активности входа, ограничение скорости, оповещения о новых устройствах и настраиваемые хуки правил риска.Auth for Laravel поддерживает отдельные защитники для разных типов учетных записей (пользователи, клиенты, сотрудники), каждый со своими независимыми моделями, конфигурациями, конечными точками и аудиториями JWT. Конечные точки JSON являются необязательными и настраиваемыми для каждого защитника, при этом каждое изменение состояния запускает событие для расширяемости. Установка включает несколько команд composer и artisan, которые публикуют необходимые конфигурации и миграции, с проверкой установки для устранения неполадок. Разработчики интегрируют пакет, заставляя модель своего защитника реализовывать определенные контракты и трейты аутентификации.Вход в систему возвращает пару токенов или запрос на двухфакторную аутентификацию, которую можно завершить с помощью различных методов, таких как коды TOTP или passkeys. Пакет обеспечивает одноразовые запросы, хранящиеся в виде хэшей HMAC, и подсчитывает попытки ввода кода перед проверкой, чтобы предотвратить атаки параллельного угадывания. Конфигурация маршрутов гибка, позволяя настраивать префиксы, имена и промежуточное ПО для каждого защитника, при этом маршруты активны только в том случае, если соответствующая функция включена.Auth for Laravel тщательно обрабатывает настройки безопасности: попытки входа для незарегистрированных адресов возвращают тот же ответ, ограничение скорости происходит до хэширования пароля, а конфиденциальные ссылки/коды являются одноразовыми хэшами. По умолчанию изменения паролей, адресов электронной почты или настроек двухфакторной аутентификации аннулируют другие сеансы, а повторное использование ротируемых токенов обновления приводит к завершению сеанса и оповещениям. Тестирование предназначено для проверки реальных защитников и проверок токенов, а пакет предоставляет вспомогательные средства для работы в качестве учетной записи в тестах.Хотя социальный вход и SSO не встроены, существующие обратные вызовы SSO могут выдавать токены через API пакета. Пакет требует PHP ^8.4, Laravel 12 или 13, хранилище кэша с атомарными блокировками и транспорт электронной почты. Он лицензирован по MIT, а зависимости в основном ограничены Laravel, Symfony и другими пакетами Roundly.
Auth for Laravel — headless multi-guard login with 2FA, passkeys and JWT sessions dev.to
RSS Hunter RSS Hunter • Вчера

Застрял в обучающем аду

Я создавал небольшие проекты, но не думаю, что чему-то научился. Даже сейчас, если бы мне пришлось создавать проект с нуля, мне пришлось бы использовать учебник или ИИ. Я хочу обрести уверенность, но на каждом шагу я в итоге обращаюсь к ИИ. Понимание того, что такое префиксное дерево (trie) и как оно используется для проверки существующих имен пользователей/адресов электронной почты, захватывает, но создание полнофункционального проекта кажется пугающим. Я действительно хочу создавать проекты, однако кажется, что я не могу сделать это самостоятельно, и это меня очень демотивирует.
Stuck in tutorial hell dev.to
RSS Hunter RSS Hunter • Вчера

С тобой...

WITH YOU — это компаньон поддержки на базе ИИ для людей, переживающих трудные моменты, особенно когда обращение за помощью кажется сложным. Он был разработан не как терапевт, а как мост к реальной человеческой поддержке, поощряя связь, а не зависимость от ИИ. Платформа предлагает компаньона на базе ИИ, персонализированные инструменты преодоления трудностей, личный план безопасности и ресурсы для связи с доверенными лицами. Его интерфейс разработан так, чтобы быть спокойным и поддерживающим, уменьшая перегрузку во время переживания "трудного момента". Основная архитектура ставит во главу угла безопасность пользователя, отделяя критически важные действия по обеспечению безопасности от общего диалога с ИИ. Открытые инновации позволили получить больший контроль над технологией, настройкой и потоком данных для этого глубоко личного инструмента. WITH YOU помогает пользователям ориентироваться в моменты неопределенности, предоставляя простые пути к преодолению трудностей, общению, планированию безопасности и человеческому контакту. Философия безопасности системы подчеркивает поощрение реальной поддержки и связь пользователей с экстренными или профессиональными службами во время кризисов. В конечном итоге, ИИ служит поддерживающим слоем, помогая пользователям делать шаги к человеческому общению, а не заменяя его.
With you... dev.to
RSS Hunter RSS Hunter • Вчера

"Unity, Godot или мой собственный движок? Почему мои карточные игры написаны на TypeScript" опубликовано: false теги: gamedev, reactnative, typescript, showdev

Автор решил создать приложение для карточных игр Decks, разработав собственный движок, а не используя готовые игровые движки, такие как Unity или Godot. Такой подход был выбран, поскольку целью было разместить множество карточных игр на одной платформе, что достигается путем определения игр в виде JSON-документов, интерпретируемых центральным движком. Прототип на Godot оказался слишком громоздким и медленным, и автор обнаружил, что рендеринг карточных игр по своей сути прост и не требует сложного 3D-движка. Основная часть проекта, правила игры, должна была быть легко тестируемой и независимой от системы рендеринга.Выбранный стек состоит из пакета game-core на чистом TypeScript, дизайн-токенов и мобильного приложения, созданного с использованием Expo, React Native и React Native Skia. Ключевым преимуществом является game-core без зависимостей, что позволяет ему работать как в Node.js, так и на мобильных устройствах, облегчая обширное тестирование и воспроизводимое исправление ошибок с помощью сидов. Правила определяются как данные, что обеспечивает гибкость и поддержку таких функций, как подсказки и ИИ-боты, без использования eval. Использование TypeScript во всем проекте упрощает разработку и тестирование.Нативные элементы пользовательского интерфейса, управляемые React Native, обеспечивают доступность и отзывчивость, в то время как сам игровой стол рендерится с помощью Skia. Лицевые стороны карт генерируются динамически, что способствует небольшому размеру приложения. Однако создание собственного движка сопряжено со значительными затратами, включая ответственность за тестирование попаданий, оптимизацию частоты кадров и управление нативными зависимостями. Общность языка правил также может привести к многословным определениям данных. Несмотря на трудности, особенно при работе с сенсорными жестами и производительностью, автор счел подход с собственным движком в конечном итоге полезным благодаря его гибкости и расширяемости. Планы на будущее включают добавление игр для двух игроков и большего количества вариаций пасьянса.
Unity, Godot, or my own engine? Why my card games are plain TypeScript" published: false tags: gamedev, reactnative, typescript, showdev dev.to
RSS Hunter RSS Hunter • Вчера

В нашем Electron-рендерере нет скрипта предварительной загрузки, и он взаимодействует с 28 HTTP-конечными точками на 127.0.0.1.

Приложения Electron обычно используют скрипты предварительной загрузки, чтобы предоставить процессам отрисовки доступ к привилегированным API Electron. Однако главное окно Notifio отказывается от этого подхода, отключая интеграцию Node.js и изоляцию контекста. Вместо этого процесс отрисовки рассматривается как стандартная веб-страница, обслуживаемая локальным HTTP-сервером, работающим в основном процессе. Этот сервер предоставляет 28 маршрутов, которые составляют полный интерфейс между пользовательским интерфейсом и логикой мониторинга приложения.Этот архитектурный выбор был обусловлен несколькими факторами. Во-первых, процесс отрисовки фактически функционирует как веб-приложение, построенное с использованием стандартных веб-технологий и не осведомленное об Electron. Во-вторых, использование HTTP обеспечивает структурированный и существующий словарь для взаимодействия с API, такой как операции CRUD, избегая постоянных усилий по проектированию, необходимых для пользовательских каналов IPC. В-третьих, одноразовый характер главного окна, которое часто перезагружает свой процесс отрисовки, выигрывает от HTTP API, который позволяет пользовательскому интерфейсу легко восстанавливать свое состояние при каждой загрузке.Обновления в реальном времени обрабатываются путем опроса этих HTTP-маршрутов, а не с помощью механизмов push. Размещение сервера в основном процессе упрощает его работу, устраняя границы сериализации и необходимость отдельного управления процессами. Аутентификация для этого локального HTTP API обеспечивается путем привязки его исключительно к интерфейсу обратной связи, предотвращая доступ из внешней сети.Хотя HTTP-сервер обеспечивает четкое разделение, определенные функции, специфичные для Electron, такие как открытие новых окон браузера для входа пользователей, управляются через небольшой встроенный мост. Этот мост позволяет обработчикам маршрутов делегировать задачи, зависящие от Electron, без того, чтобы сам модуль сервера импортировал Electron. Единственным исключением из этого HTTP-ориентированного дизайна является окно записи, которое использует скрипт предварительной загрузки и IPC. Это необходимо, поскольку оно загружает сторонние сайты и должно отслеживать взаимодействия со страницами, что лучше подходит для скрипта предварительной загрузки в изолированной среде. Различие заключается в том, что HTTP используется, когда процесс отрисовки запрашивает приложение, в то время как предварительная загрузка/IPC используются для наблюдения за внешними страницами.
Our Electron renderer has no preload script, and it talks to 28 HTTP endpoints on 127.0.0.1 dev.to
RSS Hunter RSS Hunter • Вчера

Журнал разработки №24 Укрепление p2p-стека: от нестабильных тестов до исправлений WebSocket

Яш, разработчик с открытым исходным кодом, специализирующийся на p2p-сетях и инструментах ИИ, подробно рассказал о своем еженедельном вкладе. Он потратил значительное время на устранение нестабильных тестов в проекте minip2p на Rust, заменив ожидание на основе часов логикой, управляемой прогрессом. Эти тесты не проходили в CI из-за загруженных исполнителей, что снижало скорость разработки. Яш переработал тесты, чтобы они ожидали фактической активности сокетов, а не произвольных временных интервалов. Он также консолидировал обработку обменных пакетов в протоколах AutoNAT и Identify для повышения безопасности в minip2p.В py-libp2p Яш исправил ошибку, из-за которой транспорт WebSocket обобщенно сообщал обо всех сбоях как о тайм-аутах рукопожатия, что также приводило к утечкам сокетов. Он обеспечил более точное сообщение об ошибках и правильное закрытие сокетов для предотвращения утечек ресурсов. Кроме того, он реализовал проверку серверных сертификатов для безопасных WebSocket-соединений. Яш также внес вклад в проект Trak, улучшив логику индексатора для исключения тестовых фикстур. Он успешно объединил все пять pull-запросов, которые открыл на этой неделе.Значительная часть его недели была посвящена проведению 15 ревью кода для репозитория dotnet-libp2p. Эти ревью были сосредоточены на синхронизации реализации на C# с более широкой спецификацией libp2p, охватывая такие области, как транспорт QUIC на Windows, усиление Gossipsub, улучшения безопасности и повышение надежности. Эта работа по ревью подчеркнула наставничество и обеспечение согласованности экосистемы в различных языках программирования. Работа на этой неделе включала Rust, Python и C#, что привело к чистому увеличению строк кода за счет новой инфраструктуры и переработанных обработчиков. На следующей неделе Яш планирует сосредоточиться на тестировании производительности транспортного уровня minip2p и мониторинге текущих разработок в стеках p2p на Python и .NET.
Dev log #24 Hardening the p2p stack: From flaky tests to WebSocket fixes dev.to
RSS Hunter RSS Hunter • Вчера

В нашем окне нет кнопки выхода, а window-all-closed — пустая функция.

Notifio — это настольное приложение, предназначенное для мгновенного уведомления пользователей о новых объявлениях об аренде по электронной почте. Его основная ценность заключается в непрерывной работе, что означает, что оно никогда не должно останавливаться неожиданно. Поведение Electron по умолчанию, при котором закрытие последнего окна завершает работу приложения, несовместимо с этим требованием. Поэтому Notifio реализует пользовательский жизненный цикл, гарантируя, что приложение остается активным в системном трее, даже когда его главное окно закрыто. Булевый флаг контролирует, скрывает ли закрытие окна приложение или завершает его работу, предотвращая случайное завершение. Значок в трее становится единственным интерфейсом для завершения работы приложения и информирует пользователей о том, что оно все еще работает. Щелчок по значку в трее переключает видимость главного окна, поскольку скрытие является состоянием по умолчанию.Приложение также обеспечивает блокировку единственного экземпляра, чтобы предотвратить дублирование процессов, что привело бы к неэффективному опросу и конфликтующим состояниям. Повторный запуск приложения, когда оно уже работает, просто выводит скрытое окно на передний план, а не запускает новый экземпляр. Режим сна представляет собой проблему, поскольку контексты браузера в Electron могут стать недействительными после приостановки. Notifio проактивно закрывает эти контексты перед переходом системы в спящий режим, гарантируя их повторную инициализацию при возвращении.Чтобы предотвратить открытие внешних веб-сайтов в собственном экземпляре браузера Notifio, он использует обработчики для перенаправления всех внешних ссылок в браузер пользователя по умолчанию. Это крайне важно для сайтов аренды, поскольку просмотр без аутентификации привел бы к стенам входа. В случае сбоев при запуске, которые чаще встречаются в упакованных приложениях, Notifio отображает упрощенное резервное окно с деталями ошибки и ссылкой на файл журнала. Это окно намеренно базовое, содержащее только необходимую информацию для помощи в устранении неполадок. Неперехваченные исключения и необработанные отклонения регистрируются для обеспечения всестороннего отслеживания ошибок. Приложение предоставляет отдельные сборки для разных операционных систем и четко объясняет пользователям поведение трея и фоновый опрос.
Our window has no quit button, and window-all-closed is an empty function dev.to
RSS Hunter RSS Hunter • Вчера

Что подпись Ed25519 на самом деле доказывает о результате теста

Подпись Ed25519 в первую очередь доказывает, что зарегистрированный владелец закрытого ключа подписал запись доказательства. Эта подпись проверяет сам акт подписания, но не подтверждает, кто одобрил результат. Ranex использует это для проверки доказательств по отношению к зафиксированному публичному набору ключей перед приемом записей. Эта привязка гарантирует, что доказательства связаны с конкретным субъектом и командой.Однако подпись не гарантирует правдивость или точность сообщаемых наблюдений. Поле утверждающего в настоящее время представляет собой неаутентифицированную строку, что означает, что подпись не доказывает личность рецензента. Более того, даже одобренные зависимости могут сообщать о неверных результатах, и подпись не может заставить код отражать реальность.Закрытые ключи подписи должны храниться в безопасном месте вне репозитория для обеспечения разделения между возможностью подписи и корневым доверием. Это разделение предотвращает подделку подписей злоумышленником в случае компрометации репозитория. Процессы, хранящие закрытые ключи, по-прежнему уязвимы для кражи.Известные пробелы, такие как неаутентифицированная личность утверждающего и кража ключа у того же пользователя, признаются. Эти риски должны управляться наряду с преимуществами проверки по открытому ключу. Наложение дополнительных мер контроля, таких как записи только для добавления и отдельные проверки ворот для различных свойств, повышает общую безопасность. Точное понимание того, что доказывает подпись, а что нет, имеет решающее значение для обоснованных утверждений.
What Ed25519 Signing Actually Proves About a Test Result dev.to
RSS Hunter RSS Hunter • Вчера

Агенты заменяются. Доктрина — это продукт.

Недавний инцидент включал попытку системной сессии несанкционированного доступа к файлам, которая была успешно заблокирована недавно внедренным хуком. Этот хук, которому меньше недели, применяет фундаментальное правило из гораздо более старой системы. Автор недавно перешел с многоагентной системы на перестроенную agentic-os для улучшения памяти, скорости и интеграции агентских циклов. Несмотря на перестройку, многие правила, особенно связанные с принудительным исполнением, пришлось повторно заполнить из предыдущей системы для исправления повторяющихся ошибок ИИ. Детальный аудит показал, что многие правила из старой системы отсутствовали или были лишь частично реализованы в новой. Эти правила представляют собой уроки, извлеченные из предыдущих ошибок системы, поскольку поведение моделей ИИ меняется медленно. Ключевые перенесенные правила включают отношение к консультативным правилам как к не имеющим обязательной силы, обеспечение того, чтобы действия вызывались одним оркестратором, и поддержание независимости аудитора. Скриптовая логика имеет приоритет над LLM-судьями для детерминированных задач. Эти правила исходят из практической разработки продукта, а не из академических курсов по ИИ, отдавая приоритет измеримым результатам. Механизмы принудительного исполнения, такие как хуки, были разработаны путем сначала написания проваливающихся тестов, а затем реализации кода для их прохождения. Это гарантирует, что механизмы отказа тщательно протестированы и функционируют должным образом. Конечная цель — достижение автономных агентских циклов, но в настоящее время человеческий надзор остается решающим. Автор признает, что перенос правил не завершен, некоторые из них все еще существуют только в виде текста и не имеют надежного принудительного исполнения. Эффективность правила измеряется его наличием, а не доказанным воздействием. В конечном итоге, долговечная доктрина, а не отдельные агенты, считается истинным продуктом.
Agents Get Replaced. The Doctrine Is the Product. dev.to
RSS Hunter RSS Hunter • Вчера

Я дал своему агенту text-to-SQL бизнес-глоссарий. Одна версия очень помогла, другая — ничего.

Агенты Text-to-SQL часто испытывают трудности с пониманием бизнес-терминов, которые не совпадают напрямую с названиями таблиц или столбцов, что приводит к некорректным результатам запросов. SchemaGate 1.2.0 вводит бизнес-термины для повышения точности этих агентов. Эти термины могут быть явно определены с синонимами, сопоставлениями с столбцами базы данных и связанными правилами фильтрации. Например, "доход" может быть сопоставлен с billing_invoice.total_net с фильтром по статусу. Этот процесс помогает агенту идентифицировать релевантные таблицы и понимать значение конкретных бизнес-концепций. Термины также могут иметь иерархические отношения, влияющие на веса включения таблиц. Бизнес-термины могут быть импортированы из различных источников, таких как dbt, Snowflake или CSV-экспорты, а также могут быть изучены из прошлых пар "вопрос-SQL". Основная функция SchemaGate — контроль доступа, скрывающий неавторизованные таблицы и столбцы до того, как агент их увидит. Для предотвращения утечки данных строки для бизнес-терминов опускаются, если вызывающий абонент не имеет доступа ко всем базовым таблицам и столбцам. Эксперименты на наборе данных BIRD показали значительное повышение точности на 10 процентных пунктов при предоставлении полного глоссария, в то время как термины, изученные из других вопросов, не оказали никакого влияния. Для задачи извлечения на Spider изученные термины улучшили полноту таблиц. По сути, ручное определение ключевых бизнес-терминов имеет решающее значение для повышения точности запросов, особенно для понимания формул, а изученные термины более эффективны для обнаружения таблиц. Добавление терминов в запрос требует тщательного рассмотрения разрешений пользователя. SchemaGate доступен как проект с открытым исходным кодом, поддерживающий несколько баз данных и варианты интеграции.
I gave my text-to-SQL agent a business glossary. One version helped a lot, one did nothing. dev.to
RSS Hunter RSS Hunter • Вчера

Исследовательские отчеты, которые пишет ваш агент, нуждаются в источниках перед предложениями.

Качество исследовательского отчета зависит от качества источников, а не только от красноречивой прозы. Первый шаг включает четкое определение исследовательского вопроса одним предложением и до трех подвопросов, что предотвращает неструктурированные исследования. Перед любым поиском источники должны быть разделены на первичные, вторичные и третичные категории; третичные источники никогда не используются в качестве основного доказательства. Ключевые выводы требуют перекрестной проверки как минимум из двух независимых источников; в противном случае они помечаются как утверждения из одного источника. Каждый числовой факт должен быть подтвержден источником, а ключевые факты датированы, чтобы предотвратить устаревание информации.Процесс написания начинается только после выполнения этих шагов, принимая фиксированную структуру: сначала основные выводы, затем основные разделы, посвященные подвопросам, в порядке "вывод-доказательство-источники". Отчет завершается заявлением о неопределенности, подробно описывающим, что не было найдено, утверждения из одного источника и условия для признания недействительными. Предположения должны быть явно обозначены, избегая категоричных формулировок. Такой структурированный подход явно противодействует распространенным антипаттернам, таким как опора на один источник, представление предположений как фактов или предоставление неподтвержденной датами информации. Эта структура отдает приоритет прозрачности относительно того, что неизвестно, обеспечивая достоверность отчета. Эта методология повышает качество исследований, обеспечивая строгость от определения вопроса до окончательного представления.
Research Reports Your Agent Writes Need Sources Before Sentences dev.to
RSS Hunter RSS Hunter • Вчера