📟 Егор Смышников

HuggingFace взломали автономным AI-агентом. Разбирали атаку тоже нейросетью, только локальной За выходные кто-то пролез в прод-инфраструктуру HuggingFace. Это первый задокументированный случай, когда всю атаку вёл не человек, а автономный агент — рой короткоживущих песочниц, 17 000+ действий в логе, C2 сам мигрировал по публичным сервисам, чтобы его не срубили. Как зашли: — залили вредоносный датасет — он сработал через две дыры в конвейере обработки данных: remote-code загрузчик датасета + template-injection в конфиге — это дало выполнение кода на воркере, который тупо перемалывает загруженные датасеты — дальше эскалация до уровня ноды, сбор облачных и кластерных ключей, боковое движение по внутренним кластерам LLM-агент буквально работал на фоне их серверов и подтягивал/крутил всякое сам — пока разрабы спали. Самое интересное — как разбирали атаку. HF не сажал аналитиков вручную копать 17к событий. Весь лог разбирал LLM: восстановить таймлайн, вытащить индикаторы компрометации, разметить какие ключи трогали. Коммерческие API-модели ОТКАЗАЛИСЬ это разбирать — их защита не отличает специалиста по инцидентам от атакующего и режет запросы. Решение — GLM 5.2, open-weight модель на своём железе. Что по урону: — часть внутренних датасетов засветилась — ключи скомпрометированы, отозвали и перевыпустили — публичные модели, датасеты и Spaces не тронуты, следов подмены нет Вывод для нас двойной: (1) автономными агентами уже ломают инфру; (2) для чувствительных задач локальная open-weight модель бьёт API не мощностью, а тем, что не отказывает и ничего не сливает наружу. По второму пункту критично, потому что любое ваше взаимодействие с инцидентом, а тем более передачу третьим лицам может наказываться по закону. Забавно, агенты злоумышленников работают без ограничений. Open Source?

Видно, что переход на собственный бренд-сайт реален, но только после серьёзной и долгой работы. Пока SaaS "поможем с WB/Ozon" оценивается негативно, есть все шансы браться за управление и выращивание бренда, зарабатывая на комиссиях за услуги. Есть управление каналами Ютуб, но я не слышал об управлении в E-Commerce. Наверное, порог кто выбирается слишком высок, отсюда и небольшое количество клиентов. Зато, высокий чек. Нужно посмотреть Запад. Но это уже другая (и не моя) история. Единственное, что знаю, там не маркетплейс занимает первую трубу, а сервисы по дропшипингу.

Чек-лист — копатель vs лопата (E-Commerce)

Тест на лопату E-commerce. Площадка — лопата Селлер — копатель на арендованной жиле. Какие лопаты продаются в этой сфере. Лопата №1 (кто стоит в дверях): WB/Ozon — владеют трубой спроса, берут процент всегда, правила меняют в одностороннем порядке. Лопата №2 (выход копателя): Свой бренд + собственный канал (сайт, email, соц., розница) — пытаешься владеть клиентом, а не карточкой. Лопата №3 (экосистема): Сервисы селлерам (аналитика, агентства, фулфилмент, страхование остатков) — лопаты второго порядка. Пять ключевых выводов надёжности 1. Спрос и клиент принадлежат площадке, не продавцу WB+Ozon ≈80% онлайн-заказов. 71% людей ищут товар на маркетплейсах vs 26% с помощью поисковых систем. Отделение продавца от клиента, это не "несправедливая комиссия", а структура рынка. Это выдача доступа к чужому спросу. 2. "Комиссии 80–90%" преувеличена Обычно в этой фразе кроется сразу всё: комиссию площадки, логистику, рекламу, возвраты, налог и себестоимость из Китая. — Если вы пользуетесь только площадкой (комиссия + логистика), в 2026 году это ближе к ~36–38%. — Площадка + реклама + хранение + возвраты. Часто половина или больше самой выручки. Эксперты называют коридор с ~50–70%. — После себестоимости товара. У многих остаётся тонкая маржа или минус. Итог. Если труба плохая, то спроса бы не было. WB/Ozon = работает отлично: поэтому и жрёт так много. Труба не плохая, она просто чужая. Плохо думать, что ты её хозяин. 3. Площадка зарабатывает дважды с одной продажи. Первый тейк: комиссия + логистика. Ты продал футболку за 2000 ₽ — WB/Ozon сразу откусывает свой кусок (треть и дальше). Второй тейк: retail media — это внутренняя реклама. Чтобы тебя вообще нашли в поиске/ленте, ты платишь площадке ещё раз: ставки, продвижение карточки. В 2025 на WB+Ozon+Я.Маркет это оценили в ~500–600 млрд ₽ — отдельный бизнес поверх комиссий. Опцион поставлен на поток. Труба сыта: и с продажи, и с того, что селлеры бьются друг с другом за внимание внутри неё. Итог: ты платишь за доступ к покупателю дважды — за право продать и за право быть увиденным. 4. Товар на складе WB — твой Площадка — владеет трубой, меняет правила, поток заказов у неё. Селлер — положил товар на чужой склад и теперь несёт риск, от которого площадка себя договором сняла Клиентов приводят они. Сгоревшие кроссовки — твои. Всё честно 5. "Сделай свой сайт — и свободен от WB/Ozon" Звучит красиво. Для большинства селлеров ширпотреба — нет. Почему так: — Люди ищут не бренд, а дешёвую футболку — и ищут это на WB/Ozon. — Сайт без узнаваемого имени и повторных покупок = ты просто платишь рекламу дважды: площадке и Яндексу/VK за пустую витрину. — История та же: ушёл с одной трубы — попал на другую. Это не выход из аренды, а смена кому платить. Когда свой канал реально работает: покупатель ищет именно тебя вне маркетплейса — помнит бренд, возвращается. Это и есть owned / single-home на бренд. Когда это не работает: ты продаёшь взаимозаменяемый товар — площадка и есть твой спрос. Уйти с неё ≠ обрести свободу. Слабые места копателя — У копателя нет собственного клиента; капитал в товаре на чужом складе; правила и компенсации односторонние; товар-гонка. — Свой сайт для 90% селлеров ширпотреба — дорогой мираж. Работает там, где уже есть бренд/повторные покупки/контент-канал. — SaaS селлерам: перегретый рынок "поможем на WB" — много ведер, мало реальных денег. Площадка уже продаёт лопаты (и сегодня показала, кто хозяин риска). Копатель принял роль арендатора трубы за предпринимательскую — и сегодня увидел риски на складе. Здесь не хватает линзы страхователя / риск-менеджера остатков: кто реально страхует товар после оферты, по какой цене, и меняет ли это юнит-экономику. Пост составлен ИИ

Разобрал электронную коммерцию с помощью AI. Я просто наблюдатель, никогда этим не занимался, но всегда хотел. Знаю, многие работают в этой сфере. Очень много людей приходило генерить именно карточки товаров. — Разбираем тест на золотую жилу — Развинчиваем основные мифы — Стоит ли покидать маркетплейс и уходить в собственный бренд Последний пункт всегда был интересен с точки зрения поиска новых клиентов для разработки им сайта. С приходом вайбкодинга делать собственный e-commerce сайт стало проще и выгоднее (или нет).

Всем совам на заметку 🤩 А жаворонки, разберитесь сами, это тоже можно так же сделать, если хотите максимальный буст на весь день. 🐥 В целом, работает для всех.

Мифы из аудита: — Считать стаканы воды до нормы «8» — трекать нечего. — Утренние HRV/готовность с кровати — у совы будут красными просто из-за инерции, ложная тревога. — Холодный душ/плунж ради энергии: на настроение и иммунитет значимого эффекта нет. — Форс-ранний подъём "чтобы стать жаворонком" — против твоей биологии и цели (защищаем вечер).

Вот такие итоги и приколы. Практические рекомендации: 1. Сузить окно ОТБОЯ до ±45 мин вокруг реалистичного часа (напр. 00:30–01:15) + вставать по будильнику без досыпа урывками. 2. Последняя доза кофеина — до 14:00; вечерний зелёный чай → травяной без кофеина. 3. Разрешающий замер: один честный OFF-день без работы и решений — записать, появляется ли вечерний пик и в какое время. Плюс ежедневно: число "открытых петель" на конец дня + маркер "день украли" (да/нет) перед поздним залипанием.

Итак. Детальный отчет по утечке энергии. Как находить энергию на весь день. Если вы так же этим страдаете, думаю это будет интересно. Сначала факты 1. Плавающее время отбоя — разброс в 3 часа сам по себе бьёт по утру. Обзор 41 исследования (92 340 человек, 14 стран) показал: с худшим здоровьем связаны и позднее время сна, и его вариабельность — нерегулярность бьёт независимо от длительности. Это единственная точка, где сошлись все пять экспертов, включая скептика: — не мало спишь, а спишь в разное время. Рычаг — не ложиться раньше, а сузить окно отбоя. 2. Фрагментированный досып Если тебя будят, ты проваливаешься в новый цикл и обрываешь его на глубокой фазе. Пробуждение из медленноволнового сна даёт до 41% провал производительности против пробуждения из лёгкой фазы. Как обнаружил: проснулся сам в 08:00 — и оба дня отметил глубокий дневной фокус. Скептик прав, что первичный драйвер — всё-таки разброс отбоя (утечка №1), а досып её усиливает, а не создаёт. 3. Сидячий день / низкий NEAT — гасит дневную энергию (но послеобеденный провал частично неизбежен) 6 недель лёгкой аэробики 3×/нед → −65% усталости, +20% энергии, причём эффект НЕ зависел от роста фитнеса (упахиваться на тренировке не нужно). Сам послеобеденный спад — это эндогенный ~12-часовой (циркасемидианный) ритм. Движение смягчает провал, но не убирает его в ноль — часть краша встроена в биологию, не в поведение. 4. Кофеиновая петля Кофеин за 6 часов до сна сокращает объективное время сна более чем на час. Чай и кофе — прямые кандидаты в двигатели позднего отбоя. Например, сегодня, 16.07, ты пропустил утренний кофе = к 12:40 головная боль — это учебниковая кофеиновая отмена. Проблема в тайминге последней дозы, а не в утренней чашке 5. Когнитивная нагрузка соло-основателя Часть твоей усталости — не тело, а голова. Переключение между незакрытыми задачами оставляет attention residue: незавершённая задача A измеримо ухудшает работу над задачей B, и эффект держится, а не гаснет. Это перманентный налог. Это ведёт прямо к скрытой связке ниже: возможно, твой вечерний пик — это момент, когда поток решений наконец иссяк. Спорные сигналы: — Поздний / пропущенный первый приём еды + кофе натощак Для веса — да, а для энергии и когниции утренняя еда даёт краткосрочный плюс к вниманию и памяти в то же утро. — Обезвоживание первой половины дня Даже мягкий дефицит ~1,5% массы тела достоверно ухудшает бодрость, настроение и рабочую память у молодых мужчин. Скептик парирует: правило 8 стаканов научной базы не имеет, жажда сама регулирует. Практический вывод — стакан воды в первую половину дня по жажде, а не подсчёт стаканов Скрытая связка: Кажущееся противоречие: все линзы называют корневым рычагом нестабильное позднее время отбоя — но никто не спросил, почему оно нестабильное.  Психолог даёт разгадку, видимую только поверх всех линз: позднее залипание — это bedtime procrastination, попытка отвоевать день, в котором автономию забрали рутина. Тогда корневая утечка №1 (плавающий отбой) и утечка №5 (когнитивный груз) — это одна петля: украденный днём контроль = ночной реванш и позднее засыпание. Починка твоего утра лежит не в утре, а в дне: верни автономию дню — и ночи не за что будет мстить.

ComfyUI будут преподавать в английском вузе UAL. [Blog] Профессия называется: "Applied Machine Learning for Creatives". — Вуз получает классрум-лицензии с централизованным биллингом, образовательные скидки, ранний доступ к фичам и прямую линию с командой Comfy Хотели бы там учиться? 🥹