How do I verify VS Code extensions are safe?

Check that the extension is signed and hosted on the official VS Code Marketplace. Use the `code --list-extensions --show-versions` command to audit installed extensions and compare them against the marketplace list. For a hands‑on practice, see the [related lesson](/courses/foundations).

What steps can I take to avoid deskilling as AI automates SRE tasks?

Keep manual copies of any automated scripts, review logs regularly, and add type hints to AI‑generated code. Treat AI as a co‑pilot and spend time understanding the underlying systems.

Which Python libraries should I explore to experiment with AI agent swarms?

Start with `gymnasium` for reinforcement‑learning environments and `minerl` for Minecraft integration. Both are pure Python and have extensive documentation.

How can I make my code resilient to an Anthropic pricing change?

Abstract the LLM client behind an interface and monitor provider pricing with a simple script. This lets you switch providers without a major rewrite.

What is the best way to protect static assets after a CDN breach?

Use Subresource Integrity hashes generated with `hashlib.sha384` and verify ETags after deployment. Consider serving critical assets from your own origin as a fallback.

Новости программирования сегодня: что это значит для разработчиков, изучающих Python

Вы искали последние новости программирования, потому что вам нужно знать, заставят ли какие-либо из сегодняшних заголовков вас изменить используемые вами инструменты, навыки, на которых вы сосредоточены, или способ написания кода. Один-единственный неожиданный инцидент безопасности может сделать недействительной месячную настройку, в то время как общерыночный сдвиг в услугах искусственного интеллекта может сделать библиотеку, на которую вы полагаетесь, внезапно дорогой или недоступной. Ниже мы отсекаем шум и даем вам конкретные действия, которые вы можете предпринять прямо сейчас.

Все заголовки, которые мы освещаем, взяты из сегодняшней ленты Hacker News. Они варьируются от бэкдора, обнаруженного в популярном расширении VS Code, до многоагентного эксперимента с искусственным интеллектом в игре-песочнице. Каждая история имеет прямое значение для изучающего Python или младшего разработчика, который все еще строит надежный рабочий процесс.

Бэкдор в расширении Claude Code VS Code

Заголовок «Бэкдор в расширении Claude Code для VS Code на Cursor Marketplace» сообщает нам, что вредоносный компонент был обнаружен в расширении Claude Code, которое обеспечивает генерацию кода с помощью искусственного интеллекта внутри VS Code. Расширение распространяется через Cursor Marketplace, а не через официальный VS Code Marketplace, что означает, что обычная проверка подписи может не применяться. Точные возможности бэкдора не разглашаются, но само его существование означает, что любой вводимый вами код может быть перехвачен или изменен до того, как он попадет в ваш репозиторий.

Что делать:

1. Немедленно удалите расширение, если оно у вас установлено.

2. Отдавайте предпочтение расширениям, подписанным и размещенным на официальном рынке VS Code.

3. Проверьте целостность установленных расширений с помощью VS Code CLI:

``` питон

подпроцесс импорта, json, sys

Список установленных расширений с указанием версии и издателя

result = subprocess.run(["code", "--list-extensions", "--show-versions"], capture_output=True, text=True)

если результат.код возврата != 0:

sys.exit("CLI VS Code недоступен")

расширения = result.stdout.strip().split('\n')

для ext в расширениях:

имя, версия = ext.rsplit('@', 1)

print(f"{имя}=={версия}")

Вы можете сопоставить результаты с официальным списком торговой площадки.

▶ PYTHONeditable · runs in your browser

4. Добавьте шаг в свой контрольный список для ежеквартального аудита расширений.

## ИИ не заменяет SRE, он лишает их квалификации

Заголовок информационного бюллетеня «ИИ не заменяет SRE, он лишает их квалификации» указывает на тенденцию, когда инструменты ИИ автоматизируют рутинный мониторинг, сортировку предупреждений и даже сценарии исправления. Для младшего разработчика Python это означает, что оперативные задачи низкого уровня, которые вам, возможно, поручили изучить, все чаще решаются ботами. Потенциал — больше времени для работы над функциями; Обратной стороной является более медленное приобретение глубоких системных знаний.

**Что делать:**
- Сохраняйте ручную копию любой автоматизированной книги, на которую вы полагаетесь. Очень важно понимать базовый сценарий Bash или Python.
- Каждую неделю выделяйте несколько часов на чтение журналов и показателей, которые суммируются инструментами искусственного интеллекта. Используйте модуль logging и prometheus_client, чтобы предоставить пользовательские метрики, которые вы можете проверить.
- Относитесь к ИИ как к второму пилоту, а не как к замене. Напишите небольшую оболочку вокруг фрагмента, сгенерированного искусственным интеллектом, и добавьте подсказки по типу (PEP 484), чтобы заставить себя задуматься о коде.

## Агенты искусственного интеллекта кишат в Minecraft и Mindustry

«Мы запускали рои агентов ИИ в Minecraft и Mindustry» показывает, что исследователи используют большие языковые модели для координации десятков агентов в средах-песочницах. Эксперимент демонстрирует эмерджентное поведение, но заголовок не дает подробностей о базовой структуре. Для разработчиков Python это имеет двойную значимость: координация нескольких агентов становится областью исследований, а инструменты (например, «gymnasium», «mlagents») все больше ориентированы на Python.

**Что делать:**
- Установите «gymnasium» и изучите примеры «gymnasium.envs.toy_text», чтобы почувствовать дискретные пространства действий.
- Попробуйте использовать библиотеку minerl с открытым исходным кодом для написания сценариев агентов Minecraft на Python.
- Создайте небольшую группу агентов, объединенных общей целью, используя asyncio иqueue.Queue для передачи сообщений.

Если вы хотите попрактиковаться в этом в интерактивном режиме в браузере (без установки), попробуйте [соответствующий урок](/courses/foundations).

## Anthropic может не получить рейтинг инвестиционного уровня после IPO, заявляет Blackstone

Заголовок Financial Times сигнализирует о том, что Anthropic, крупный поставщик услуг искусственного интеллекта, может столкнуться с трудностями за получение кредитного рейтинга, который инвесторы считают безопасным. Для разработчиков, которые полагаются на API Anthropic Claude для помощи в написании кода, переход на более раннюю версию может привести к повышению цен или ужесточению ограничений на использование. В заголовке не раскрываются ни точный рейтинг, ни сроки, но риск реален.

**Что делать:**
- Проверьте свою кодовую базу на наличие жестко запрограммированных конечных точек API, которые указывают исключительно на Anthropic.
- Абстрагируйте клиент LLM за интерфейсом (например, абстрактным базовым классом Python), чтобы можно было заменять OpenAI, Cohere или автономную модель с минимальными изменениями.
- Еженедельно отслеживать страницу цен каждого провайдера; простой скрипт, использующий «запросы», может предупредить вас о скачках цен.

## Инцидент безопасности Bunny CDN

Bunny CDN сообщил об инциденте безопасности, который потенциально привел к раскрытию кэшированных ресурсов. Если вы предоставляете статические файлы (CSS, JavaScript, изображения) для веб-приложения Python через Bunny, злоумышленник может изменить эти ресурсы, что приведет к атакам на ваших пользователей через цепочку поставок.

**Что делать:**
— Включите хэши целостности субресурсов (SRI) на всех внешних ресурсах. В Python вы можете сгенерировать хэш SHA‑384 с помощью модуля hashlib:

``` питон
импортировать hashlib, base64, pathlib
путь = pathlib.Path('static/css/main.css')
hash_bytes = hashlib.sha384(path.read_bytes()).digest()
целостность = f"sha384-{base64.b64encode(hash_bytes).decode()}"
печать (целостность)

— Добавьте этап после развертывания, который проверяет соответствие ETag CDN ожидаемому значению.

Сохраняйте запасной CDN или обслуживайте критически важные ресурсы из вашего собственного источника.

Инцидент GitHub с действиями, страницами и веб-перехватчиками

На странице статуса GitHub было объявлено о сбое, затронувшем действия, страницы и веб-перехватчики. Для младшего разработчика это означает неработающие конвейеры CI, устаревшие сайты предварительного просмотра и пропущенные триггеры веб-перехватчиков. В описании инцидента не указана основная причина, но последствия немедленные.

Что делать:

Отразите конфигурацию CI в локальном файле docker-compose.yml, чтобы можно было запускать тесты в автономном режиме.
Добавьте в свой рабочий процесс этап проверки работоспособности, который проверяет API GitHub перед продолжением; если API не работает, пропустите второстепенные задания.

— Храните артефакты сборки в альтернативном хранилище (например, AWS S3) в качестве резервной копии для развертываний Pages.

ЧАСТО ЗАДАВАЕМЫЕ ВОПРОСЫ

Как проверить безопасность расширений VS Code?

Убедитесь, что расширение подписано и размещено на официальной торговой площадке VS Code. Используйте команду code --list-extensions --show-versions для проверки установленных расширений и сравнения их со списком торговой площадки. Для практической практики см. соответствующий урок.

Какие шаги я могу предпринять, чтобы избежать деквалификации, поскольку ИИ автоматизирует задачи SRE?

Сохраняйте вручную копии любых автоматизированных сценариев, регулярно просматривайте журналы и добавляйте подсказки по типам в код, созданный ИИ. Относитесь к ИИ как к второму пилоту и потратьте время на изучение основных систем.

Какие библиотеки Python мне следует изучить, чтобы экспериментировать с роями агентов ИИ?

Начните с «gymnasium» для сред обучения с подкреплением и «minerl» для интеграции с Minecraft. Оба написаны на чистом Python и имеют обширную документацию.

Как сделать мой код устойчивым к изменению цен Anthropic?

Выделите клиент LLM за интерфейсом и отслеживайте цены поставщиков с помощью простого скрипта. Это позволяет переключаться между поставщиками без серьезной перезаписи.

Как лучше всего защитить статические ресурсы после взлома CDN?

Используйте хеши целостности подресурсов, сгенерированные с помощью hashlib.sha384, и проверяйте ETags после развертывания. Рассмотрите возможность использования критически важных ресурсов вашего собственного происхождения в качестве запасного варианта.

Готовы попрактиковаться? Начните здесь