惯性聚合 高效追踪和阅读你感兴趣的博客、新闻、科技资讯
阅读原文 在惯性聚合中打开

推荐订阅源

L
LangChain Blog
C
Check Point Blog
博客园 - Franky
V
Visual Studio Blog
云风的 BLOG
云风的 BLOG
aimingoo的专栏
aimingoo的专栏
Microsoft Security Blog
Microsoft Security Blog
V2EX - 技术
V2EX - 技术
AI
AI
Hacker News - Newest:
Hacker News - Newest: "LLM"
Jina AI
Jina AI
S
Security @ Cisco Blogs
Security Archives - TechRepublic
Security Archives - TechRepublic
H
Hacker News: Front Page
H
Hackread – Cybersecurity News, Data Breaches, AI and More
O
OpenAI News
Attack and Defense Labs
Attack and Defense Labs
Exploit-DB.com RSS Feed
Exploit-DB.com RSS Feed
爱范儿
爱范儿
H
Heimdal Security Blog
Threat Intelligence Blog | Flashpoint
Threat Intelligence Blog | Flashpoint
G
Google Developers Blog
G
GRAHAM CLULEY
V
V2EX
The Register - Security
The Register - Security
人人都是产品经理
人人都是产品经理
B
Blog RSS Feed
Schneier on Security
Schneier on Security
M
MIT News - Artificial intelligence
Stack Overflow Blog
Stack Overflow Blog
Help Net Security
Help Net Security
大猫的无限游戏
大猫的无限游戏
C
CERT Recently Published Vulnerability Notes
The GitHub Blog
The GitHub Blog
V
Vulnerabilities – Threatpost
The Last Watchdog
The Last Watchdog
J
Java Code Geeks
S
Secure Thoughts
OSCHINA 社区最新新闻
OSCHINA 社区最新新闻
量子位
NISL@THU
NISL@THU
K
Kaspersky official blog
Engineering at Meta
Engineering at Meta
T
Threatpost
Recent Commits to openclaw:main
Recent Commits to openclaw:main
宝玉的分享
宝玉的分享
Security Latest
Security Latest
T
The Exploit Database - CXSecurity.com
博客园_首页
A
Arctic Wolf

Все публикации подряд на Хабре

Ловим музу за клавиатуру: как айтишнику стать автором Что умеет Midjourney в 2026? Мой немного грустный разбор этого шикарного инструмента Никто не любит писать тесты, но ИИ может исправить это IPv8 выглядит как мечта. Поэтому почти наверняка не взлетит Производители вернули в продажу материнки с DDR3. Что происходит? Управление агентом с телефона через Telegram теперь в KodaCode От координации к лидерству: как меняется роль руководителя разработки Я сделала родителям бизнес вместо пенсии: зарабатываем 70 тысяч, мама не даёт продать В три раза быстрее приемка товара и оптимизация трудозатрат на 73%: как «РСТ-Инвент» помог Gulliver Group ИИ-шечный мир победил? О влиянии искусственного интеллекта на игропром Кремль снижает давление на Телеграмм пока Европа строит интернет по паспорту Как CEO, CTO и CIO за 8 часов собрали ИИ-директора, который умеет держать позицию под давлением Как (не) потерять домен за выходные Вместо 8 разных VPS: как я организовал практику студентам на одном сервере Почему твой Open Source проект не замечают? R&D: искусство управления неопределенностью в разработке AI-дефляция: вакансий для разработчиков больше, а рост зарплат — худший за 15 лет Мы отдали управление роботами OpenClaw. Что из этого вышло Галактический ID: система идентификации для всех форм разумной жизни Шесть основ бизнес-анализа: начинаем с вопроса «Кто в игре?» Код-ревью, в котором дело не в коде Данные переехали. Команда — нет Системной подход к сдаче OSWE в 2025 Почему комната управления реактором покрашена в цвет морской пены 4 YAML-файла вместо PySpark: как аналитикам строить пайплайны без разработчиков LLM-агент для поиска свободных доменов: автоматизируем подбор Когда, зачем и как правильно начинать новую сессию в Claude Code? Как я заставил нейросеть писать макросы для FreeCAD Анатомия ИИ‑агента для подбора персонала. От тысячи резюме к топ‑10 за минуты Опыт разработчика как экономика внимания Автономность как точка невозврата: кто будет субъектом в цифровом будущем Обучение ИИ в «диких» условиях: как рутинные действия превращаются в датасеты Как измерить LLM для задач кибербеза: обзор открытых бенчмарков Где хранить код? Сравнение GitHub, GitLab и Bitbucket Математика объясняет, почему нормальное распределение встречается повсюду Почему ваш FinOps не работает: 12 тезисов от практиков Как подписать проектную документацию УКЭП с использованием бесплатных лицензий Pilot Адаптивное администрирование Sigla Vision Я грузил уран в бочки, а потом 20 лет строил ИТ в атомной отрасли Чем позвонить с Эвереста? История и обзор спутниковой связи. Часть 2 Как языковая модель помогает контролировать качество инструктажей по охране труда в металлургии Как не передать на desktop свой IP в РКН Анатомия SAP Privileges: как устроено управление правами в macOS MoneyDev: Сказка про три главных слова Обновлённый токенизатор видео K-VAE 2.0 от Сбера Как сделать диспетчеризацию дома на 1284 квартиры почти бесплатно Как мы разогнали железную дорогу Мы дали агентам рутину. Теперь надо решить — что делать с освободившимся временем Токсичный контент, промпт-хакинг и защита ИИ — всё о Guardrails для LLM Умный город начинается с точного взгляда: как «Фалькон Тех» меняет пространство к лучшему Навайбкодил приложение для анализа графов Почему Дюну так интересно читать? Упрощаем работу с рутиной или как стать Гендальфом Белым Деконструкция Go: CPU, RAM и что там происходит. Go Assembler база. Часть 1.1 Какие профессии исчезнут из-за ИИ, а какие появятся? И что с этим делать Как мы построили IT-отдел, где хочется расти: архитектурные встречи, прозрачные метрики и книжные подарки Rufler: Делаем из Claude Code автономный рой через один YAML-конфиг Sing-box и белый список приложений Как построить надёжный обмен сообщениями в микросервисах: лучшие практики для enterprise OpenAI строит MLM-пирамиду, а McKinsey и Accenture помогают ей в этом Дом, который не построил Фишер (Часть 2) «Сверхзвуковой математик» против «Вдумчивого логиста»: битва алгоритмов 3D-упаковки Мультимодальные модели – грубый и дорогой инструмент Разговоры ничего не стоят. Код тоже Проверки физических лиц: с кого начнет ФНС Топ-10 бесплатных нейросетей для создания видео в 2026 году Первые слои кода: как наши решения сегодня определяют архитектуру ИИ на десятилетия Разработка нового статического анализатора: PVS-Studio JavaScript Поиск уязвимостей ПО: базовый минимум или роскошный максимум Почему оценка персонала не работает как инструмент управления Как мы разработали ИИ-ассистента и сократили рутину продуктовой команды на 50% Как я ушел из найма, нажарил косточек и продал на маркетплейсах на 168 млн в год Когда 1С:ERP уже внедрена, а нормального производственного плана всё ещё нет Как я сделал Claude мультимодальным, подключив к нему Qwen Omni Как приглашение на вакансию мечты превращается в атаку Infrastructure as Code: философия и лучшие практики IaC Тестируем Yandex Code Assistant на задаче, в которой нужно хранить секреты nxs-universal-chart v3.0: новое поколение универсального Helm-чарта Callback Injection: Техника, которая отправила Microsoft Defender в глухой нокаут «Все идеи на стол»: митап как способ вывести проект из тупика Сегодня я узнал нечто новое о GPU благодаря багу в своей игре Как заставить LLM ̶ ̶г̶а̶л̶л̶ю̶ ̶ эволюционировать Карта событий как фундамент аналитики: практический кейс для E-commerce Что выбрать для AI: x86, ARM или RISC-V? Дайджест железа за март Роль соматических мутаций в развитии аутоиммунных заболеваний: путь к избирательной терапии Mythos от Anthropic — тревожный сигнал для всех, а не только для банков Guardrails для LLM на Java: как приручить промпт‑инъекции и токсичные ответы Green-VLA: как мы собрали VLA-модель для реального антропоморфного робота и не потеряли обобщение Финансовая гонка вооружений: почему умные люди добровольно в ней участвуют Эра ИИ-агентов наступила: выбираем лучшего цифрового сотрудника # Практический опыт внедрения WinCC Redundancy на производственном предприятии Сделал MVP за 3 дня, а потом неделю прикручивал оплату. Оно того стоило? Физика против Маска: почему Starship V3 может оказаться ещё одной катастрофой Нефть Венесуэлы: крупнейшие запасы в мире, но не крупнейшая нефтяная держава JPA 4. Переосмысление Hibernate Почему зеркальная фотокамера Nikon D5 десятилетней давности идеально подошла для миссии «Артемида-2» Проект «Уровень-Спутник» или как мы сделали платформу для гидрологов «Замедлиться, чтобы ускориться»: почему ИИ повышает цену ошибок в требованиях и архитектуре Как с нуля поднять трафик IT-компании на 1657% при бюджете 55 тыс. и выжить Pixel-perfect Downsampling — идеальная отрисовка 50 миллионов точек без потерь
Как Gemini CLI поймал у моего Claude Code критическую дыру в paywall за 30 секунд
anydasa · 2026-04-26 · via Все публикации подряд на Хабре

Уровень сложностиПростой

Время на прочтение5 мин

Охват и читатели403

Туториал

Recovery Mode

Solo-фаундер. Делаю всё через Claude Code. На прошлой неделе он спроектировал мне систему loyalty-кредитов, я её четыре раза перечитал и собрался релизить. Сказал Claude: «обсуди это с Gemini». Через 30 секунд получил ответ, что я в буквальном смысле платил юзерам за то, чтобы они НЕ подписывались.

Что сломалось

Дизайн: юзер дочитывает книгу → получает бонусные credits на дальнейшее чтение. Cap на гранты — 1 раз в неделю. Я выбрал формулу:

Linear cap: min(pages × 3, 600)

Посчитал paywall:

  • Cap 600 × 4 недели = 2400/мес максимум

  • Premium Basic = 3000/мес

  • 2400 < 3000 → paywall сохранён.

Логично? Логично. Сказал Claude: «обсуди этот дизайн с Gemini». Через 30 секунд получил:

VERDICT — GOOD WITH FIXES

2. Paywall Risk: CRITICAL FAILURE.
   Max free potential = 250 (monthly) + 1500 (daily refills) +
   2400 (4× 600 grants) = 4150 credits/mo.
   Your Premium Basic is 3000.
   You are literally paying users to NOT subscribe.
   Grant must not exceed 250-300 per week.

5. Abuse Vectors: You missed "Speed Flipping."
   If completion is just reaching the last page, a user will
   swipe through a 200p book in 60 seconds to farm 600 credits.
   Need min 3 seconds/page check.

SINGLE MOST IMPORTANT FIX: Reduce grant cap to 300 credits/week.

Я забыл daily refill в своей mental model. 1500 невидимых credits/мес. Полный потолок free = 4150 — выше Premium на 38%. Free выходил выгоднее платного. Я бы катил это в прод.

Бонус: speed-flipping exploit, который я не рассмотрел вообще. Кто-то напишет скрипт, прокрутит 200-страничную книгу за 60 секунд, нафармит 600 credits. Очевидно постфактум, не очевидно изнутри собственного дизайна.

Один запрос — два critical bug'а до релиза. 30 секунд. $0.

Зачем нужен второй ИИ как ревьюер

В апреле 2025-го Дмитрий Дементьев на Хабре показал паттерн: один ИИ ревьюит работу другого через CLI. Идея сильная — разные RLHF-приоры → разные blind spots → cross-model критика ловит то, что self-critique структурно пропускает.

Узкое место его подхода: Codex CLI требует платный OpenAI API. Solo-фаундер начинает скупиться, использует редко.

Gemini CLI снимает это:

  • OAuth через Google-аккаунт (никаких API ключей)

  • 1000 запросов в день бесплатно

  • Контекст 1M токенов (читает PDF до 1000 страниц нативно)

  • Другой вендор — другие RLHF-приоры — другие находки

Как я это делаю

Сразу честно: я не формулирую prompt вручную. Я не сижу и не пишу «context: …, audience: …, anti-criteria: …». Я говорю Claude:

«Обсуди это с Gemini».

Дальше Claude сам собирает prompt со всем контекстом сессии (артефакт, аудитория, цифры, что я уже отверг и почему), запускает gemini, возвращает мне verbatim critique. Я просто читаю результат.

Это работает, потому что у Claude Code на эту задачу повешен skill: маленький markdown-файл, в котором описано, как ловить триггер («обсуди с Gemini» / «second opinion»), как структурировать запрос и какие anti-patterns избегать (например, не упоминать «Claude wrote this» — это смещает critique).

Skill открытый, MIT, лежит в github.com/anydasa/claude-skills. Положили в репо сегодня. Установка — два файла: SKILL.md в .claude/skills/gemini-review/, и gemini auth login для OAuth. Дальше Claude Code сам делает всё остальное.

Финальные правки в дизайн после Gemini

Параметр

Было

Стало

Formula

min(pages×3, 600)

min(pages×3, 300)

Speed-flip защита

нет

min 3s/страница ИЛИ ≥80% страниц открыто

Level-up trigger

открыл новый CEFR

прочитал ≥10 страниц или ≥10% книги на новом уровне

С чем не согласился: Gemini предложил перевести copy в gamer-tone («B1 unlocked. A2 is beneath you now»). Для аудитории взрослых читателей классики на иностранных языках это пахнет Duolingo, ломает positioning. Cross-model ревью — это suggestion, не приказ. Founder судит, что применять.

Track-record

Чтобы skill не превратился в pseudo-rigor оправдание для shipping:

  • <60% suggestions applied → judge sycophancy-noisy, tighten criteria

  • >90% applied → underusing own judgment, audit

  • 60-90% → healthy zone

За три недели — 4 invocation'а, 4 материальных catch'а:

  • Loyalty-credit design (выше) — paywall math + speed-flip exploit

  • Partner-program PDF — caught missing founder presence

  • Pricing strategy — caught mis-framing translation as premium feature

  • Architecture proposal — flagged "drop economy" as the one critical pre-launch decision

Все — freeform strategic артефакты. На код с тестами skill не используется: тесты и есть judge.

А эта статья — её писал ИИ?

Конечно. Иронично было бы пытаться скрыть. Драфт сделал Claude Code, потом я её прочитал, отредактировал, поправил тон, переставил абзацы, выкинул половину технических деталей.

Это и есть рабочий human-in-the-loop: AI пишет первый драфт, человек правит, второй AI ревьюит итог. Эту статью я тоже прогнал через Gemini перед публикацией — он подсказал убрать одну секцию, которая выглядела как самореклама.

Что не помешало написать про себя в footer'е :)

Чем я сегодня занимался — для иллюстрации скорости

Эта статья — побочный продукт обычного утра. Чтобы было понятно, что входит в «обычное утро» с Claude Code, вот фактический git-лог за сегодня (4 часа, до обеда):

В продуктовом репо (бэкенд + Telegram Mini App):

  • feat(credits) — динамическая награда за дочитывание книги + транзакционные нотификации

  • feat(admin) — lifetime reading-time в админке + бэкфилл из истории

  • fix(chunk-analyzer) — per-target_lang кэш + native-slot labels + консолидация промптов

  • feat(credits) — снижение signup-бонуса 1000 → 250 + сжатие non-premium балансов

  • feat(onboarding) — дефолтный CEFR-уровень A2 вместо B1

Параллельно в маркетинг/ресёрч-репо:

  • Partner-program PDF (8 страниц) для outreach к Telegram-creator'ам — драфт, ревью Gemini, фиксы по результатам ревью, рендер через headless Chrome

  • Эта статья на Хабре — драфт, ревью Gemini

  • LinkedIn-пост — три версии (EN-personal, EN-insight, RU)

  • Опубликовали github.com/anydasa/claude-skills с MIT-лицензией

  • Десяток обновлений в memory-файлах

Это не sprint-режим под дедлайн. Это обычное утро при тарифе Claude Code Max за $200/месяц. В лимиты ни разу не упирался, хотя пару раз подходил близко к недельному. На solo-bootstrap это, пожалуй, лучший $200, которые я вообще трачу — за эту цену я получаю эквивалент middle-разработчика на full-time, которому дополнительно можно поручить partner-PDF, Habr-статью и SQL-запрос в analytics между делом.

Контекст для тех, кто сравнивает: я не ML-инженер, не профессиональный маркетолог и не профессиональный copywriter. Английский — B1+, выучил сам. То, что вы читаете — типичный солист с продуктовым бэкграундом, который раньше делал три из этих десяти вещей вручную, плохо, и редко.

Cross-model judge — один из инструментов в этом setup. Не магия, но кратно поднимает уверенность в freeform-артефактах, которые иначе пришлось бы либо катать на удачу, либо платить $300/час консультанту.

О себе

Делаю Osmo Lingo — Telegram Mini App и Web Application для чтения классики на иностранных языках с AI-адаптацией под уровень.

Solo-founder. Лечу как ракета: десятки исследований и экспериментов, ежедневные столкновения с проблемами, разочарованиями, неуверенностью. Иногда честно хочется всё бросить. Если интересно, как я прохожу этот путь — задавайте вопросы в комментариях, расскажу о неудачах, поворотах и что реально работает на solo-стадии.

Ссылки: