How do I verify VS Code extensions are safe?

Check that the extension is signed and hosted on the official VS Code Marketplace. Use the `code --list-extensions --show-versions` command to audit installed extensions and compare them against the marketplace list. For a hands‑on practice, see the [related lesson](/courses/foundations).

What steps can I take to avoid deskilling as AI automates SRE tasks?

Keep manual copies of any automated scripts, review logs regularly, and add type hints to AI‑generated code. Treat AI as a co‑pilot and spend time understanding the underlying systems.

Which Python libraries should I explore to experiment with AI agent swarms?

Start with `gymnasium` for reinforcement‑learning environments and `minerl` for Minecraft integration. Both are pure Python and have extensive documentation.

How can I make my code resilient to an Anthropic pricing change?

Abstract the LLM client behind an interface and monitor provider pricing with a simple script. This lets you switch providers without a major rewrite.

What is the best way to protect static assets after a CDN breach?

Use Subresource Integrity hashes generated with `hashlib.sha384` and verify ETags after deployment. Consider serving critical assets from your own origin as a fallback.

Новини за програмиране днес: какво означава това за разработчиците, изучаващи Python

Търсихте най-новите новини за програмиране, защото трябва да знаете дали някое от днешните заглавия ще ви принуди да промените инструментите, които използвате, уменията, върху които се фокусирате, или начина, по който изпращате кода. Един-единствен изненадващ инцидент със сигурността може да обезсили едномесечна настройка, докато пазарна промяна в услугите на AI може да направи библиотека, на която разчитате, внезапно скъпа или недостъпна. По-долу пресичаме шума и ви даваме конкретни действия, които можете да предприемете точно сега.

Всички заглавия, които отразяваме, са от днешната емисия Hacker News. Те варират от задна вратичка, открита в популярно разширение на VS Code, до многоагентен AI експеримент в пясъчна игра. Всяка история има пряко значение за учащ Python или младши разработчик, който все още изгражда надежден работен процес.

Backdoor в Claude Code VS Code extension

Заглавието „Backdoor in Claude Code for VS Code extension on the Cursor Marketplace“ ни казва, че е открит злонамерен компонент в разширението Claude Code, което осигурява AI-асистирано генериране на код във VS Code. Разширението се разпространява чрез Cursor Marketplace, а не официалния VS Code Marketplace, което означава, че обичайната проверка на подпис може да не се прилага. Точните възможности на задната врата не се разкриват, но самото съществуване означава, че всеки въведен от вас код може да бъде прихванат или променен, преди да достигне до вашето хранилище.

Какво да правя:

1. Премахнете незабавно разширението, ако сте го инсталирали.

2. Предпочитайте разширения, които са подписани и хоствани на официалния VS Code Marketplace.

3. Проверете целостта на инсталираните разширения с VS Code CLI:

``` питон

импортиране на подпроцес, json, sys

Избройте инсталираните разширения с версия и издател

резултат = subprocess.run(["code", "--list-extensions", "--show-versions"], capture_output=True, text=True)

if result.returncode != 0:

sys.exit("VS Code CLI не е наличен")

разширения = result.stdout.strip().split('\n')

за разширения ext in:

име, версия = ext.rsplit('@', 1)

print(f"{name}=={version}")

Можете да направите кръстосана препратка към изхода с официалния списък на пазара

▶ PYTHONeditable · runs in your browser

4. Добавете стъпка във вашия контролен списък за включване, за да проверявате разширенията на тримесечие.

## AI не замества SRE, той ги деквалификацира

Заглавието на бюлетина „AI не замества SRE, а ги деквалификацира“ сочи към тенденция, при която AI инструментите автоматизират рутинно наблюдение, триаж за предупреждения и дори скриптове за коригиране. За младши разработчик на Python това означава, че оперативните задачи на ниско ниво, които може да са ви възложени да научите, все повече се обработват от ботове. Плюсът е повече време за работа по функции; недостатъкът е по-бавното придобиване на дълбоки системни познания.

**Какво да правя:**
- Съхранявайте ръчно копие на всяка автоматизирана книга с игри, на която разчитате. Разбирането на основния Bash или Python скрипт е от съществено значение.
- Отделете няколко часа всяка седмица, за да четете регистрационните файлове и показателите, които AI инструментите обобщават. Използвайте модула `logging` и `prometheus_client`, за да изложите персонализирани показатели, които можете да проверявате.
- Отнасяйте се към AI като към втори пилот, а не като заместител. Напишете малка обвивка около фрагмент, генериран от AI, и добавете подсказки за тип (PEP 484), за да се принудите да разсъждавате относно кода.

## AI агент се рои в Minecraft и Mindustry

„Ние управлявахме рояци от AI агенти в Minecraft и Mindustry“ показва, че изследователите използват големи езикови модели, за да координират десетки агенти в пясъчни среди. Експериментът демонстрира възникващо поведение, но заглавието не дава подробности за основната рамка. За разработчиците на Python уместността е двойна: многоагентната координация се превръща в изследователска граница, а инструментите (напр. `gymnasium`, `mlagents`) са все повече ориентирани към Python.

**Какво да правя:**
- Инсталирайте `gymnasium` и разгледайте примерите `gymnasium.envs.toy_text`, за да усетите дискретни пространства за действие.
- Опитайте библиотеката `minerl` с отворен код, за да скриптирате Minecraft агенти в Python.
- Създайте малък рояк от агенти, които споделят обща цел, използвайки `asyncio` и `queue.Queue` за предаване на съобщения.

Ако искате да практикувате това интерактивно в браузъра (без инсталиране), опитайте [свързания урок](/курсове/основи).

## Anthropic може да не осигури инвестиционен рейтинг след IPO, казва Blackstone

Заглавието на Financial Times сигнализира, че Anthropic, основен доставчик на AI услуги, може да се затрудни да получи кредитен рейтинг, който инвеститорите смятат за безопасен. За разработчици, които разчитат на Claude API на Anthropic за помощ при кодиране, понижаването може да доведе до по-високи цени или по-строги ограничения за използване. Заглавието не разкрива точната оценка или времевата линия, но рискът е реален.

**Какво да правя:**
- Проверете кодовата си база за всички твърдо кодирани крайни точки на API, които сочат изключително към Anthropic.
- Абстрахирайте LLM клиента зад интерфейс (напр. абстрактен базов клас на Python), така че да можете да превключите в OpenAI, Cohere или самостоятелно хостван модел с минимални промени.
- Следете ежеседмично страницата с цените на всеки доставчик; прост скрипт, използващ `requests`, може да ви предупреди за пикове на цените.

## Инцидент със сигурността на Bunny CDN

Bunny CDN съобщи за инцидент със сигурността, който потенциално е разкрил кеширани активи. Ако обслужвате статични файлове (CSS, JavaScript, изображения) за уеб приложение на Python чрез Bunny, нападател може да е променил тези активи, което е довело до атаки по веригата на доставки на вашите потребители.

**Какво да правя:**
- Активиране на хешове за интегритет на подресурси (SRI) на всички външни активи. В Python можете да генерирате SHA‑384 хеш с модула `hashlib`:

``` питон
импортиране на hashlib, base64, pathlib
път = pathlib.Path('static/css/main.css')
hash_bytes = hashlib.sha384(path.read_bytes()).digest()
цялост = f"sha384-{base64.b64encode(hash_bytes).decode()}"
печат (цялост)

Добавете стъпка след внедряване, която проверява, че ETag на CDN съответства на очакваната стойност.
Поддържайте резервен CDN или обслужвайте критични активи от собствения си произход.

Инцидент на GitHub с действия, страници и уеб кукички

Страницата за състояние на GitHub обяви прекъсване, засягащо действия, страници и уебкукички. За младши програмист това се превежда като счупени CI тръбопроводи, остарели сайтове за предварителен преглед и пропуснати задействания на webhook. Описанието на инцидента не посочва първопричината, но въздействието е незабавно.

Какво да правя:

Дублирайте вашата CI конфигурация в локален docker-compose.yml, за да можете да изпълнявате тестове офлайн.
Добавете стъпка за проверка на състоянието във вашия работен процес, която пингва GitHub API, преди да продължите; ако API не работи, пропуснете несъществените задачи.
Съхранявайте компилирани артефакти в алтернативно хранилище (напр. AWS S3) като резервно копие за внедряване на Pages.

ЧЗВ

Как да проверя дали разширенията на VS Code са безопасни?

Проверете дали разширението е подписано и хоствано на официалния VS Code Marketplace. Използвайте командата code --list-extensions --show-versions, за да проверите инсталираните разширения и да ги сравните със списъка на пазара. За практическа практика вижте свързания урок.

Какви стъпки мога да предприема, за да избегна деквалификацията, тъй като AI автоматизира SRE задачи?

Съхранявайте ръчни копия на всички автоматизирани скриптове, преглеждайте редовно регистрационните файлове и добавяйте подсказки за тип към генерирания от AI код. Отнасяйте се към AI като към втори пилот и отделете време за разбиране на основните системи.

Кои библиотеки на Python трябва да проуча, за да експериментирам с рояци от AI агенти?

Започнете с gymnasium за среди за засилване на обучението и minerl за интегриране на Minecraft. И двата са чист Python и имат обширна документация.

Как мога да направя кода си устойчив на промяна на цените на Anthropic?

Абстрахирайте LLM клиента зад интерфейс и наблюдавайте цените на доставчика с прост скрипт. Това ви позволява да сменяте доставчици без основно пренаписване.

Какъв е най-добрият начин за защита на статичните активи след пробив в CDN?

Използвайте хешове за интегритет на подресурси, генерирани с hashlib.sha384, и проверете ETags след внедряването. Помислете за обслужване на критични активи от вашия собствен произход като резервен вариант.

Готови ли сте да практикувате? Започнете тук