Punk Programmer | Рассуждаю об IT

Мой пайплайн по анализу андроид приложений:

Stage 0 — APK Metadata (apk-info):

Мгновенный парсинг (~2мс) манифеста без декомпиляции: пакет, SDK-версии, все permissions, exported-компоненты, подписи (v1/v2/v3), security profile. Уже на этом этапе детектит: debuggable-флаг, v1-only подпись (уязвимость Janus, CVE-2017-13156), привилегированные системные permissions, exported ContentProvider'ы без защиты.

Stage 1 — Декомпиляция + сканирование APK (параллельно):

Всё запускается одновременно:
• JADX — декомпиляция DEX → Java (8 потоков, 60-180с)
• apktool — распаковка ресурсов, AndroidManifest.xml, нативных .so библиотек (5-15с)
• dexfinder — поиск использования скрытых Android API + трассировка цепочек вызовов
• Mariana Trench — taint-анализ потоков данных от Meta (source→sink)
• Trueseeing — Dalvik bytecode scanner
• Автодетект Flutter → Blutter (реверс Dart-кода), React Native → декомпиляция Hermes

Stage 2 — Статический анализ (параллельно):

• 184 regex-правила — быстрый pattern matching по декомпилированным исходникам
• 331 semgrep-правило — AST-анализ (taint tracking, data flow)
• Анализ Blutter pp.txt (Dart-символы для Flutter-приложений)
• dexfinder call chain tracing — трассировка цепочек вызовов от exported-компонентов к уязвимым методам

Stage 3 — Merge + фильтрация + обогащение:

• Дедупликация по (rule_id, file, line)
• SDK-фильтр (732 паттерна) — убирает 98% шума от Google, Firebase, OkHttp, Retrofit и ещё 150+ SDK
• Классификация severity через RoBERTa модель
• Аннотация exported-статуса: кросс-проверка finding → AndroidManifest → dexfinder reachability
• RAG-обогащение каждого finding контекстом из базы знаний

Stage 4 — LLM-анализ (6 агентов параллельно):

Каждый агент — специалист в своей области, получает только релевантные findings + RAG-контекст:
• Agent 1: Manifest + Attack Surface
• Agent 2: Network + TLS
• Agent 3: Auth + Cryptography
• Agent 4: WebView + JS Bridge
• Agent 5: Business Logic
• Agent 6: Native Libraries
• Agent 7 (Judge): валидирует CRITICAL/HIGH от всех агентов, отсекает false positives

RAG Knowledge Base:

• 9675 chunks в ChromaDB (гибридный поиск: BM25 + vector + RRF)
• 1547+ отчётов из 18 источников:
— OWASP MASTG: 120 (тестовые процедуры с примерами кода)
— HackerOne: 170 (реальные bug bounty отчёты с PoC)
— MITRE ATT&CK Mobile: 124 (техники атак, детекция, митигации)
— Security blogs: 207 (Google, Zimperium, Lookout, Check Point)
— Samsung Bulletins: 111 (Samsung-specific CVE)
— NVD: 250 (CVE с CVSS)
— Exploit-DB: 50
— Android Bulletins: 34
— CISA KEV: 23
— Собственные аудиты: 144
— Прочие: arXiv, VulCorpus (94 OWASP Top-10 сэмплов)
• Граф знаний: 5597 узлов, 9213 связей (CVE↔️CWE↔️MITRE↔️MASTG)
• 970+ code snippets в отдельном индексе

Авито ввёл плату за повторную публикацию товаров, которые сервис посчитал «непопулярными». Теперь, если объявление не привело к сделке за стандартный цикл размещения, площадка просит от 39 рублей за его продление. Официально это преподносится как борьба с залежавшимся контентом, однако пользователи уже столкнулись с тем, что под фильтр попадают товары рандомно — даже те, что объективно требуют времени на поиск покупателя.

Логика сервиса проста: если вещь не купили за месяц, она «засоряет» выдачу. Платное продление должно мотивировать продавцов либо снижать цену, либо улучшать описание.

Для обхода новых ограничений пользователи советуют не продлевать старое объявление, а удалять его и создавать новое с другими фотографиями. Однако алгоритмы площадки умеют распознавать дубли, так что самым надежным способом бесплатно продать «висяк» остается использование альтернативных досок объявлений. Судя по всему, эпоха полностью бесплатной торговли на Авито окончательно уходит в прошлое.

Будущее ИИ делают не корпорации, а математика: как русский разработчик ломает шаблоны индустрии

Мы не так давно писали про нашего русского изобретателя, который ведёт канал «Техножнец». Сейчас он развивает по-настоящему национальную языковую модель Rukallama, которую обучает с нуля, опираясь на элегантные математические решения, а не на грубую силу железа.

Но помимо больших языковых моделей, у него в разработке есть и другие, совершенно прорывные идеи. Одна из них — его собственная архитектура, так называемый «нейрон Поповича». В отличие от привычных нам нейросетей, он не «угадывает» наиболее вероятные ответы, а считает сложные математические задачи со 100% точностью и без ошибок.

По сути, это живое доказательство того, что IT-гиганты свернули не туда, решив заливать любые задачи тысячами видеокарт и бесконечными терабайтами данных.

Настоящий интеллект — это не способность вызубрить весь интернет. Это способность извлечь универсальное правило из минимума информации. «Нейроны Поповича» показывают: чтобы создать рабочий, безошибочный и сложный ИИ, не нужны миллиарды долларов и монополия на вычислительные центры. Нужна правильная геометрия пространства весов и... обычный ноутбук.

И это открывает совершенно фантастические перспективы для робототехники и Edge AI (ИИ на периферийных устройствах).

Как это изменит мир машин?
Современным автопилотам или дронам нужны мощные, прожорливые графические ускорители, чтобы анализировать пространство в реальном времени. Но если мы заменим тяжеловесные свёрточные сети массивами таких крошечных, точных нейронов, мы получим мгновенную реакцию. Беспилотник сможет вычислять траектории препятствий и корректировать полет с нулевой задержкой, потребляя при этом жалкие милливатты энергии.

Природа не строит гигантские дата-центры для мозга осы, чтобы та могла на лету маневрировать между ветками. Она использует изящную эффективность. И именно на это — на возвращение к чистой, эффективной математике — делает ставку эта технология.

И да, это не реклама, это наш, русский разработчик! 🇷🇺

Прочитал тут интересную статейку про атрибут data-i18n. Опять же, спасибо умному чату, что подсказал направление, куда можно копать в локализации на JS, ибо сначала была идея делать JSON с переводом, а потом его парсить.

Если интересно - почитайте, возможно, вам поможет

Президент Лукашенко разрешил работу криптобанков в стране! Теперь банки смогут:

* держать вклады в криптовалюте;
* давать криптозаймы;
* брать криптовалюту в залог;
* переводить токены между юридическими и физическими лицами;
* продавать, покупать и выпускать собственные монеты.

📃 В список разрешённых криптовалют на старте вошли:

* биткоин;
* эфир;
* TON;
* Solana;
* ещё 22 монеты.

#криптовалюта #Беларусь #новости

Как раз сейчас прохожу именно эту часть и знаете - я надеюсь, хотя бы механики боевики переделают. Ибо они выглядят ну очень устаревшими.
Закрывать активности - классно, весело и задорно, но вот боевую систему надо менять

⚡️Молния

Выкатили дебютный трейлер Assassin's Creed: Black Flag Resynced — обещают полный ремейк пиратского экшена с нуля. Выход: 9 июля на ПК, PS5 и Xbox Series.

😏Подписаться на IGM

Буду честен - вообще не удивлён. Только под чем то можно разбираться в криптографии

Короче, если вам нужно изменить стандартную локализацию приложения на laravel с английского на русский, вот вам удобный пакет, который делает все в 2 клика.

https://github.com/Kerigard/laravel-lang-ru?ysclid=moa65ftm6u832782677

Любовь зла — полюбишь и дырявый код

Генератор сайтов Lovable столкнулся с новой утечкой: в интернет могли попасть личные данные пользователей, чаты и исходный код всех проектов, созданных до ноября 2025 года. Компания, чьими услугами пользуются Uber, Zendesk и Deutsche Telekom, больше месяца игнорировала сообщения об уязвимости.

По словам "белого хакера", нашедшего ошибку, ему хватило пяти API-запросов, чтобы получить доступ к профилю другого пользователя, а уже через него извлечь доступы к базе данных. Тушить пожар прибежала пиар-команда Lovable, но что-то пошло не так.

В компании сначала заявили, что проблема коснулась только пользователей с «публичными настройками видимости». Затем схватились за голову: степень открытости в документации не была описана достаточно прозрачно, да и доступность отдельных элементов менялась со временем.

«Публичный проект означал, что весь проект, включая чат и код, был общедоступным. Со временем мы поняли, что это сбивает с толку. Многие пользователи думали, что слово "публичный" означает, что другие могут видеть их опубликованное приложение, а не чат в неопубликованном проекте. Это вполне логично», — поделились откровением в в компании.

Одумавшись, в Lovable сначала закрыли публичный доступ для корпоратов (в мае), а к декабрю дошли и до free tier. А то, что нашли сейчас — это ошибка в бэкенде, куда затесался старый API-доступ. Сообщение о уязвимости вообще затерялось у партнёров из HackerOne. И разбираться в этом начали только с понедельника.

Самое смешное, что год назад тот же Lovable несколько месяцев подряд генерировал сайты с критической уязвимостью. Стартаперы забыли настроить СУБД, из-за чего хакеры могли получить доступ к данным сразу 170 веб-приложений. Впрочем, инвесторов скандал не смутил: к концу года оценка компании достигла $6,6 млрд.

@anti_agi

Разработчикам MMO-шутера PIONER заблокировали банковские счета в России.

Решение приняла Федеральная налоговая служба России, а поводом послужили просрочки по налоговым платежам — GFA Games задолжала свыше 13 миллионов рублей.

Блокировка счетов произошла на фоне сообщений о серьезном внутреннем кризисе в студии. С начала апреля 2026 года сотрудники массово жаловались на задержки выплат, из-за чего часть команды приостановила работу или уволилась.

Ранее представители GFA Games признавали временные сложности с переводом средств из-за рубежа, так как головной офис находится в Сербии, но называли ситуацию «рабочей».

Грустная история...

Поздравляю ребят с выходом их проекта

🔥 PromeTorch — свой PyTorch с нуля за 5 недель

Один разработчик. Россия. C++17/CUDA. 137 000 строк. Нативно собирается и работает на Эльбрус E8C2 (VLIW), НТЦ Модуль NM Card Mini и NVIDIA A100.

━━━━━━━━━━━━━━━━━━━━

TL;DR для простых людей:
Если коротко — это альтернатива PyTorch. На ней можно обучать нейросети и запускать LLM. Главное: работает на российских чипах. Не эмуляция, не обёртка — нативная сборка, верифицированная на железе.

TL;DR для спецов:
~35–45% практической площади PyTorch, runtime-verified на реальном железе. Real BFS autograd (не trace-based), 119 backward functions, forward-mode AD, vmap, double backward, gradient checkpointing, hooks. 16 оптимизаторов, 16 LR schedulers, 64+ NN модулей. 720+ gtest.

━━━━━━━━━━━━━━━━━━━━

📊 Inference на A100-SXM4-40GB (Ollama-compatible)

qwen3:4b 82.6 tok/s (50% от Ollama)
gemma3:4b 81.4 tok/s (56%)
deepseek-r1:8b 51.1 tok/s (40%)

10-мин stress: 46.5 tok/s ±0.19. Peak 25.4 GB VRAM / 135 W.

📊 Training на CPU vs PyTorch 2.6 (10 задач)

Все MNIST — match within 0.5pp. LSTM seq cls +1.56pp. VAE MNIST 50 эпох — на 0.35 nats tighter чем PyTorch на identical arch.

📊 Российское железо

- Эльбрус E8C2 — production, MNIST 6.1× быстрее PyTorch 2.7.1 на этой задаче, EML_MT BLAS 1840 GFLOPS (92% пика), NUMA-aware, 4 процесса × 8 ядер Local SGD. 38/38 тестов.
- NM Card Mini K1879VM8YA — emulator production + 1-core real, MNIST MLP 88.94% на Q16.16 fixed-point. 32/32 тестов.
- NM Quad (4×NM6408, 64 NMC4) — 16 cores stable, 100× SIMD.
- Байкал-М/С — cross-compile готов.

🧩 Стек

Ядро: c10 (Allocator/Device/Storage/TensorImpl) + ATen ~150 tensor ops. Dtype dispatch: FP32/64, Half, BFloat16, FP8 e4m3fn/e5m2, Complex, Bool, int8-64.

Autograd: real BFS engine, 119 backward functions, register_hook, anomaly detection, create_graph=True, forward-mode AD (dual numbers + JVP), single-axis bit-exact vmap.

NN (64+): Linear/Bilinear/LazyLinear, Conv1d/2d/3d + ConvTranspose2d, 20+ активаций, BatchNorm/LayerNorm/RMSNorm/GroupNorm/InstanceNorm, RNN/LSTM/GRU, TransformerEncoder/Decoder/MultiheadAttention, 12 loss functions (включая полный CTC Graves DP), PIR architecture (Mamba-родственник).

Optim: SGD, Adam, AdamW, RMSprop, Adagrad, Adadelta, Adamax, AdamKiller, ASGD, Lion, SophiaG, LAMB, Adafactor, NAdam, RAdam, LBFGS + ParamGroups + EMA + clip_grad.

Distributed: real TCP DDP, FSDP/ZeRO-3 bit-exact, TensorParallel, Pipeline (GPipe + 1F1B), DDP.no_sync, ZeRO-Offload.

Export/interop: ONNX (zero-dep manual protobuf, проходит onnx.checker), MLIR (tosa + linalg), torch.jit.compile (trace + fusion + C++ codegen), bi-directional .pt I/O.

Shims: HuggingFace (AutoModel.from_pretrained для Bert/GPT2/Llama + safetensors), torchvision, torchaudio (STFT max |err| 1.79e-7), torchtext, Lightning Trainer.

Serving — PromeServe: Ollama-compatible API, GGUF loader (Q4_K_M, Q5_K_M, Q6_K, Q8_0, F16, F32), flash-decode + CUDA Graph + paged KV, production guardrails.

🗂 Что не закрыто честно:
autocast wiring, sampling-path overhead (82→46 tok/s при T>0), FlashAttention (headers есть, callsites 0), torch.compile уровня TorchInductor нет и не будет, sparse tensors/FX/distributions — отсутствуют, MPS/ROCm — compile-only.

━━━━━━━━━━━━━━━━━━━━

Кому надо:
- training framework на российском железе — единственный известный выбор с нативной сборкой под Эльбрус VLIW + NM Card;
- self-hosted Ollama-compatible LLM сервер с открытой лицензией;
- тем, кто хочет читать, как PyTorch работает изнутри — 137K читаемых строк, без автогена.

ОС: Astra Linux SE, ALT Linux SP, RED OS, Elbrus OS (PDK LE). Docker'ы готовы.

Лицензия: PromeTorch License (BSD-3 + атрибуция «Powered by PromeTorch» + запрет на перепродажу самого фреймворка). Обучать и продавать модели — можно. SaaS, сервисы — можно. Форкать — можно. Ребрендить фреймворк — нельзя.

🔗 GitHub: github.com/barometech/PromeTorch


Техножнец всё делает на свои средства. 🥶
Если есть желание поддержать его, то вот ссылки: 🫡

Поддержать канал: ТБАНК
Поддержать канал: ЮМАНИ