6536
Канал о DevOps во всех проявлениях: K8s, CI/CD, AppSec, AI/ML, Cloud, Linux Поможем с DevOps: https://core247.kz/ По рекламе @UlKonovalova
«Кто быстрее решит вопрос связности, тот и получит хаб»💻
В марте один из дата-центров Amazon Web Services в ОАЭ временно отключился после попадания неизвестных объектов, вызвавших искрение и пожар на объекте. Инцидент вновь поднял вопрос устойчивости облачной инфраструктуры в регионах с геополитическими рисками 🤔В частности, в канале «Связано» прозвучало мнение, что строящаяся «Долина ЦОДов» могла бы стать альтернативной площадкой для международных компаний.
Bailanys спросил CEO CORE 24/7 Рустема Успанова о том, что нужно для привлечения крупных игроков в страну и какую роль в этом играет телеком.
– Насколько реалистично для Казахстана привлечь крупные компании?
Реалистично, но не так быстро, как все думают. Когда AWS теряет регион, крупные компании начинают реально думать о диверсификации. Казахстан попадает в их список. Но попасть в список и подписать контракт – разные вещи. Мы в CORE 24/7 работаем с 100+ энтерпрайз-клиентами по всему СНГ. Вопрос "а давайте в Казахстан" поднимается. Но сразу следует: "а что там с электричеством? а с кадрами? а с выходом на рынок?".
– Какие возможности уже есть?
У нас дешевая электроэнергия, и то, что мы географически между Европой и Азией – реально плюс. Уже есть несколько приличных ЦОДов Tier III, а также строится первый в регионе Tier IV. Есть налоговые льготы и специальные экономические зоны, что в совокупности может дать нужный результат.
– Есть ли барьеры, которые могут помешать?
Коротко: кадры, регуляторика и скорость принятия решений. Инженеров DevOps/Cloud уровня senior пока мало. Я знаю рынок изнутри: когда мы нанимаем кого-то в Алматы, конкуренция за людей жёсткая. Другой немаловажный фактор – data sovereignty законы. Некоторые компании просто не могут хранить данные за пределами своей страны.
– Какая роль у телеком-операторов в этой истории?
Критическая. Дата-центр без хорошей связности – это дорогой склад. Большой объем трафика из Казахстана идет через Россию. Это риск, который после 2022 года стал очень заметным. Нужны прямые каналы в Азию и Европу.
Телекомы могут стать катализатором, а могут остаться узким местом. У Узбекистана и Азербайджана те же амбиции. Кто быстрее решит вопрос связности, тот и получит хаб.
Как считаете, станет ли Казахстан новым оазисом облачной инфраструктуры в регионе?
👍 – да, это вопрос времени
❤️– шанс есть, но нужно постараться
💅– сомневаюсь
#связьпросвет
Подписывайтесь на bailanys — независимый канал о связи и телекоме в Казахстане
🔥 Тонна обучающего материала по ML, LLM и AI в целом
⚪️Лабораторки по MlOps
MLOps for DevOps Engineers — открытый обучающий проект, который использует DevOps-аналогии и фокусируется на инфраструктуре, автоматизации и деплое, а не на теории машинного обучения.
- Traditional ML — обучение, деплой и мониторинг классических моделей на Kubernetes.
- Foundational Models — сервировка больших языковых моделей (LLM) через vLLM, TGI, Ollama.
- LLM-Powered DevOps — использование LLM для мониторинга K8s, построения RAG-пайплайнов и AI-агентов.
Проект развивается, но уже можно начинать.
⚪️ Бесплатные курсы по нейронкам от Nvidia
Программа даёт доступ к инструментам, обучению и сообществу для работы с GPU, ускоренными вычислениями, ИИ и смежными технологиями.
- Accelerated Computing и CUDA
- Deep Learning и Generative AI
- Computer Vision и Multimodal AI
- Conversational AI и Speech
- Edge AI и Embedded Systems и др.
Регистрация бесплатная и открытая для всех. Никаких обязательств — только email и базовые данные.
@DevOpsKaz 😛
🔥 Записи выступлений с очередного Cloud Native Community Day в Алматы
В конце января провели третий митап в рамках инициативы Cloud Native — готовы поделиться докладами с вами.
⚪️ Михаил Охрименко, Senior DevOps Engineer из АО «НИТ»
Тема доклада: как довести доставку ML-моделей в production до понятного, воспроизводимого GitOps-процесса на FluxCD.
⚪️ Арман Нургалиев, CTO Freedom Cloud
Тема доклада — про вечную троицу: Terraform vs Crossplane vs Pulumi. Что хорошо умеет каждый инструмент, а где начинаются компромиссы.
⚪️Тимур Тукаев, кофаундер в Ænix
Тема доклада — как и зачем передавать свой проект в CNCF.
И не забудьте подписаться на YouTube-канал Cloud Native Kazakhstan — впереди много интересных событий.
Организаторы: QOSI (Qazaq Open Source Initiative), CORE 24/7 и cloudagnostic.dev в партнёрстве с Cloud Native Kazakhstan.
🔥 Новости мира DevOps, которые вы могли пропустить
На этой неделе 2 больших апдейта.
⚪️ Grafana 12.4
Серьезный релиз с упором на улучшение работы с большими данными, AI-интеграцию и удобство администрирования. Основные изменения касаются производительности, визуализации и новых возможностей для команд.
Например, Grafana AI Assistant теперь встраивается в редактор дашбордов: генерирует запросы PromQL/LogQL по текстовому описанию, предлагает оптимальные панели. А также новые режимы отображения на Stat panel и поддержка RBAC на уровне дашбордов.
Кому важно обновиться:
- Командам с большими дашбордами (>100 панелей) — заметное ускорение.
- Тем, кто хочет AI-помощника в дашбордах.
- Организациям с жёсткими требованиями к аудиту и RBAC.
⚪️ Flux v2.8.0
Самый популярный GitOps-инструмент для Kubernetes получил апдейт безопасности, производительности и удобства работы с большими кластерами.
Ключевые изменения:
- Image Automation Controller теперь умеет автоматически обновлять образы по семантическому версионированию (semver) с учётом allow/deny-листов. Это решает проблему drift в production.
- Source Controller получил поддержку artifact provenance (SLSA Level 3) и встроенную проверку подписей
Самое важное для продакшена:
- Если используете Image Update Automation
- Если важна supply chain security
- Если много Helm-чартов
@DevOpsKaz 😛
🔥 GitHub Runner Scale Set Client: кастомное масштабирование self-hosted раннеров без Kubernetes
В начале месяца GitHub представил автономный модуль — Runner Scale Set Client. Если вдруг пропустили, объясняем, чем он полезен.
Он позволяет строить кастомные решения для автомасштабирования self-hosted раннеров на любой инфраструктуре (VM, Bare Metal) без Kubernetes и более тяжелого Actions Runner Controller.
Runner Scale Set Client берет на себя все взаимодействия с API GitHub по протоколу Scale Set, оставляя инженерам только подготовку среды исполнения. Также добавлена поддержка агентных воркфлоу для GitHub Copilot.
Многие локальные проекты в Казахстане используют выделенные серверы или облачные виртуалки, где K8s избыточен. Этот клиент — хороший способ сделать масштабирование CI-фермы с минимальными расходами.
👀 LLM генерит «красивый код», но потом все разваливается
...появляются дубли, стиль разъезжается, растёт число заглушек, а отладка становится очень дорогой. Как снизить хаос в кодовой базе и сделать результат более предсказуемым и контролируемым?
LLM бывают полезны, но им нужны четкие процессы и контекст-менеджмент, иначе они становятся головной болью.
Выход — разложить контекст по чатам внутри проекта и запрашивать проверяемые артефакты:
⚪️ архитектуру обсуждать отдельно и не смешивать с реализацией
⚪️ план работ фиксировать в одном месте и не корректировать в каждом диалоге заново
⚪️ реализовывать код по этапам в отдельных чатах
⚪️ для документации / DevOps / security выделять отдельные контуры
👉 Подробнее о том, как организовать проект (промпты прилагаются)
@DevOpsKaz 😛
🔥 Новости мира DevOps, которые вы могли пропустить
⚪️GitLab, v18.9
Крупный релиз с улучшением безопасности, производительности CI/CD и удобства работы с большими проектами. Из интересного: Job artifacts теперь могут быть до 10 ГБ (было 5 ГБ), новый тип job: manual с автоматическим завершением по таймауту, новый дашборд для мониторинга storage usage по группам/проектам.
⚪️ Longhorn, v1.11.0
Распределённое хранилище для Kubernetes перевёло V2 Data Engine в Technical Preview. Из других улучшений запомнилось: алгоритм выбора дисков для реплик с учётом баланса, активный мониторинг здоровья дисков нод, поддержка RWOP (ReadWriteOncePod) в Kubernetes и allowedTopologies в StorageClass.
⚪️ Argo CD, v3.3.0
Ввели PreDelete hooks, автоматическое обновление OIDC-токенов, поддержку имён ресурсов в clusterResourceWhitelist, shallow cloning для репозиториев, поддержку KEDA. Также добавили поддержку HTTPRoute в Gateway API, настройку иконок/цветов для кластеров и многое другое.
⚪️ Cilium, v1.19.0
Релиз со множеством новых фич: многоуровневые совпадения поддоменов в DNS-политиках, поддержка протоколов VRRP и IGMP в правилах host firewall, строгие режимы шифрования для IPsec и WireGuard, регистрация namespace в Ztunnel, поддержка GRPCRoute в GAMMA, TLS/mTLS для метрик Prometheus, автоматическая установка CRD для Multi-Cluster Services.
⚪️ KEDA, v2.19.0
Релиз добавил новый Kubernetes Resource Scaler, поддержку аутентификации на основе файлов для ClusterTriggerAuthentication и другие улучшения.
⚪️ Karpenter, v1.9.0
Автоскейлер нод для Kubernetes представил операторы Gte и Lte для requirements, метрику стоимости NodePool и логирование пайплайна consolidation.
@DevOpsKaz 😛
🔥 Gateway API Benchmarks
Ingress NGINX доживает последний месяц, многие переезжают на Gateway API. Как и Ingress, он поставляется с несколькими реализациями API. Эти реализации устроены совершенно по-разному. И для тех, кто хочет основывать выбор на реальных результатах, создали репозиторий gateway-api-bench.
Этот набор тестов для оценки реализации Kubernetes Gateway API поможет сравнить реальное поведение разных реализаций (Cilium, Istio, Envoy, Traefik, Kong и т.п.) в сценариях, которые не покрыты официальными тестами.
Тесты проверят:
⚪️ Прикрепление и распространение маршрутов
⚪️ Масштабирование
⚪️ Обработку изменений
⚪️ Производительность трафика
gateway-api-bench даст объективные данные о сильных и слабых сторонах контроллеров.
@DevOpsKaz 😛
🔥 Разбираемся в eBPF
eBPF (extended Berkeley Packet Filter) — экосистема, с помощью которой мы можем модифицировать поведение ядра Linux без переписывания самого ядра. Например, изменить логику работы сетевого стека, добавить фильтрацию на уровне пакетов, перехватывать системные вызовы и т.п. Все это делается через eBPF-программы, которые загружаются в ядро динамически. Любая eBPF-программа — это всегда две программы.
⚪️ Часть Kernel space (код на C)
- Исполняется прямо в ядре Linux с большой скоростью
- Есть жесткие ограничения на внешние библиотеки, на длину функции и циклы. Верификатор строго проверяет код перед загрузкой
- Позволяет прикрепить хуки к системным вызовам ядра
⚪️ User space (Go, Python, Rust)
- Обычная программа без ограничений
- Может вызывать Kubernetes API, открывать сокеты, писать в файлы
- Общается с kernel-частью через специальные примитивы для коммуникации
⚪️ Примитивы для коммуникации:
- Глобальные переменные — например, счетчик пакетов, который kernel обновляет, а userspace читает
- Хэшмапы (BPF maps) — словари для передачи данных
- Ring buffers — очереди для уведомлений: получили пакет → отправили событие в userspace
eBPF дает нам возможность менять низкоуровневое поведение системы и реагировать на события с помощью верхнеуровневого языка.
@DevOpsKaz 😛
🔥 Рынок AI-инфраструктуры в Казахстане: инсайты с IT-беша Servercore
Побывали на бизнес-ужине провайдера IT-инфраструктуры Servercore — традиционном IT-беше с фокусом на AI/ML-задачи, GPU в облаке и барьерах рынка. Прозвучало, как нам кажется, главное: в сфере AI мы прошли пик хайпа и переросли «просто давайте попробуем» — настало время реальных проектов и проблемных вопросов. Например, что делать с GPU-серверами, которые простаивают без дела после экспериментов?
👉 Читайте полную версию, чтобы понять тренды 2026 года
Основные инсайты:
⚪️ После пилотов и экспериментов стабильной нагрузки пока мало, железо простаивает
⚪️ Из-за простоев on-prem инфраструктура становится менее эффективной, а аренда в облаке более рациональным выбором
⚪️ Задачи для GPU — не только обучение моделей (в статье много примеров)
⚪️ Не всегда самая дорогая GPU = лучшая. Реальные кейсы и сравнения в статье очень даже показательны
⚪️ Для AI лучший вариант — аренда мощностей
Интересно, что все участники сошлись в одном: да, рынок остынет, но AI станет инфраструктурой (как интернет) через 3–5 лет.
Делимся статьей, чтобы вы понимали, куда мы движемся и как лучше действовать сейчас. Поделитесь с коллегами 🫡
@DevOpsKaz 😛
🔥 DevOps проект для Chocofamily
Делимся приятным итогом большой и сложной работы.
Мы в Core 24/7 помогли внедрить SIEM-систему Wazuh в масштабах крупного холдинга: богатая инфраструктура, жёсткие сроки, высокие требования к безопасности и непрерывности...
Спасибо за доверие и высокую оценку! Продолжаем работать на результат и гордимся, что можем быть полезны таким сильным компаниям.
👉 Если и вашей компании нужны инженеры высокого класса — обращайтесь к нам за поддержкой и развитием
@DevOpsKaz 😛
🔥 Один канал — все важные IT-события региона
The Tech как раз из таких: стартапы, эксперты, вакансии и живые разговоры про технологии в Центральной Евразии.
Здесь публикуют то, что часто не попадает в другие медиа: новости региональных стартапов, возможности для женщин в IT, интервью с лидерами индустрии и подборки актуальных вакансий. Отдельное внимание — живым эфирам с экспертами, где обсуждают практические вопросы и реальные кейсы.
Канал будет полезен тем, кто хочет оставаться в контексте и понимать, что происходит в IT-среде региона.
👉 Подписывайтесь
👀 Новые уязвимости Ingress NGINX
Важное для тех, кто еще не переехал с Ingress-nginx на Gateway API.
Ingress на последнем дыхании решил порадовать новыми уязвимостями уровня HIGH: CVE-2026-1580, CVE-2026-24512, CVE-2026-24513, CVE-2026-24514.
⚪️ Configuration injection с RCE: две уязвимости (CVE-2026-1580 и CVE-2026-24512) позволяют инъекцию конфигурации, приводящую к remote code execution (RCE) внутри контейнера ingress-nginx. Это классическая проблема для NGINX-based решений, где злоумышленник с низкими привилегиями может выполнить код.
⚪️ Configuration injection с обходом auth-url: CVE-2026-24513 позволяет обойти механизмы аутентификации (auth-url protection) через инъекцию конфигурации.
⚪️ DoS в Admission Controller: CVE-2026-24514 вызывает denial-of-service (DoS) в admission controller, потенциально блокируя новые деплои или запросы.
Все оцениваются на 8.8 по CVSS. Решаются обновлением на версию v1.13.7 или v1.14.3, но лучше — запланировать переезд.
@DevOpsKaz 😛
🔥 Подборка open-source инструментов
⚪️ Universal Security Visualization Library (USVL)
Инструмент для создания визуальных схем на основе заданной конфигурации. С его помощью можно формировать: Attack Trees, Attack Graph, Threat Modelling. Библиотека позволяет разрабатывать пользовательские диаграммы. USVL принимает данные в форматах TOML, YAML или JSON, а готовые схемы экспортирует в Mermaid.
⚪️ Gixy-Next
Утилита для анализа nginx.conf на более чем 20 некорректных настроек информационной безопасности. Например, Duplicate Content Type, External DNS Resolvers, Host Header Spoofing, Allow Without Deny и другие. Инструмент также объясняет, чем та или иная настройка может повредить, и самое главное — как исправить.
⚪️ Zedis
GUI-клиент для Redis нового поколения, разработанный для специалистов, которым важна скорость работы. В отличие от клиентов на Electron, которые могут тормозить при больших объёмах данных, Zedis построен на GPUI (60 FPS и минимальное потреблением памяти).
@DevOpsKaz 😛
🔥 Где тренировать знания по Kubernetes на практике
Знания без практики — деньги на ветер. Отточить навыки работы с кластерами можно не только на курсах, но и на специализированных платформах.
⚪️ Kubernetes Basics (Official Tutorials)
— Официальные интерактивные материалы
— Базовые концепции и терминология, разбор устройства кластеров и назначения ключевых объектов
— Для старта и отработки базы перед практикой
⚪️ Play with Kubernetes
— Браузерная среда для экспериментов без локальной установки
— Временный доступ к кластеру и возможность выполнять команды в терминале, тестируя манифесты и базовые сценарии
— Для быстрых проверок знаний и самостоятельной практики
⚪️ Killercoda Kubernetes Scenarios
— Практические сценарии и встроенный терминал
— Задания на основе типовых задач: поды, деплойменты, сервисы, сеть, диагностика и устранение проблем
— Для закрепления навыков на прикладных кейсах
⚪️KodeKloud Kubernetes Labs
— Лабораторные работы и тренажёры
— Структурированная практика с постепенным усложнением и акцентом на реальные навыки администрирования и эксплуатации
— Для системного обучения и подготовки к рабочим задачам
@DevOpsKaz 😛
🔥 State of DevSecOps Report 2026 от Datadog
Отчёт на основе анализа тысяч облачных сред с фокусом на реальный баланс между скоростью разработки и безопасностью в эпоху GenAI и supply chain рисков.
Главные выводы:
⚪️ 87% организаций имеют хотя бы одну известную эксплуатируемую уязвимость в развёрнутых сервисах (что затрагивает 40% всех сервисов)
⚪️ 42% сервисов используют библиотеки, которые больше не поддерживаются (end-of-life, EOL)
⚪️ Медианная задержка зависимостей — 278 дней отставания от последней major-версии (в 2025 было 215 дней). Самые отстающие: Java (492 дня), Ruby (357 дней)
⚪️ 50% организаций принимают новую версию библиотеки в течение 24 часов после релиза, что создает высокий риск установки вредоносной версии (пока она не обнаружена)
⚪️ 32% организаций используют публичные Docker-образы в течение суток после создания, 12% — публичные AMI
⚪️ 71% организаций никогда не фиксируют GitHub Actions по хешу коммита, а 2% используют ранее скомпрометированные действия без фиксации
⚪️ Только 18% критических уязвимостей остаются критическими после корректировки (по контексту, EPSS, exploit-статусу и среде) — это снижает количество «критических» на >80%
⚪️ 1,6% организаций, использующих npm, столкнулись хотя бы с одной вредоносной зависимостью за год
Рекомендации:
⚪️ Обновляйте языки / рантаймы и избегайте EOL-версий
⚪️ Фиксируйте зависимости по полному SHA-коммиту (особенно GitHub Actions)
⚪️ Вводите cooldown-периоды для новых библиотек (например, 7 дней) или используйте Dependabot cooldowns
⚪️ Увеличивайте частоту деплоев для лучшей безопасности (DORA)
⚪️ Проводите регрессионное тестирование при крупных обновлениях
⚪️ Для AMIs/Docker: используйте trusted sources (AWS Allowed AMIs, Docker Verified Creators)
⚪️ Корректируйте severity уязвимостей по контексту (EPSS, production status, exploit availability)
⚪️ Относитесь к CI/CD как к высокоприоритетному активу: мониторинг runtime, ограничение blast radius
@DevOpsKaz 😛
🔥 Kubernetes и AI-инференс в 2026: итоги 10-летия CNCF и новая реальность
CNCF (Kubernetes, Prometheus и еще 240+ проектов) исполнилось 10 лет. Именно они задают стандарты работы облачной инфраструктуры. И именно поэтому их прогнозам стоит доверять, ведь CNCF формирует тренд.
Ключевое — AI-инференс выходит из лаборатории на фабрику. Kubernetes станут использовать для запуска обученных моделей в продакшене, там где они отвечают на запросы. А дашборды и прочий GUI отойдет на второй план, потому что сервисы будут вызывать не люди, а агенты через API. Мы постарались разобраться, что нас ждет и что с этим делать.
👉 Читайте в новой статье
@DevOpsKaz 😛
🔥 IT PRO
Профессиональная информация в IT быстро устаревает, поэтому так важно держать руку на пульсе: новые инструменты, подходы к разработке, инфраструктурные решения. Но поиск качественных источников отнимает время, которое лучше потратить на задачи.
Папка IT PRO создана, чтобы закрыть этот вопрос. Внутри: каналы от практиков из IT, DevOps, QA, системного администрирования и не только. Только нужный контент от людей, которые реально работают в индустрии.
Добавьте папку, и у вас будет постоянный доступ к актуальной технической информации без необходимости вручную искать и фильтровать каналы.
👉🏻 Добавить папку
И не забывайте ставить реакции, чтобы мы понимали, какой контент вам заходит, а какой — нет.
@DevOpsKaz 😛
🔥 Принципы дзен DevOps
Многие знают о The Zen of Python — неформальной философии языка Python в виде 19 коротких принципов, которые описывают, каким должен быть хороший код и как вообще проектировался сам язык. Можно ли что-то позаимствовать для DevOps? Оказывается, что да.
Большая часть этих принципов применима к современному DevOps почти без изменений. Другие требуют пересмотра. «Дзен DevOps» — это результат личного опыта, разговоров и наблюдений за многие годы:
⚪️ инфраструктуры, которые легко поддерживать
⚪️ инфраструктуры, которые даже с современными инструментами оставались сложными и хрупкими
⚪️ десятки докладов на конференциях и прочитанных статей
⚪️ множество неформальных обсуждений практик с коллегами
Предлагаем расшифровку идей и размышлений одного энтузиаста.
👉 Читайте в новой статье
@DevOpsKaz 😛
🔥 Промокоды и скидки от Linux Foundation
В репозитории вы найдете промокоды для сертификации, курсов, программ повышения квалификации, программ для ИТ-специалистов.
Полезно DevOps-специалистам, разработчикам и всем, кто готовится к сертификациям Linux Foundation (в первую очередь CKA, CKAD, CKS, KCNA, KCSA и другие Kubernetes-сертификаты) — сможете экономить на обучении и экзаменах.
Репозиторий агрегирует скидки на:
⚪️ Индивидуальные сертификации
⚪️ Бандлы (например, Kubestronaut: CKA + CKAD + CKS)
⚪️ Курсы, SkillCreds, IT Professional Programs
⚪️ Периодические акции (Lunar New Year, Cyber Monday, KubeCon и т.д.)
Забирайте себе в закладки и делитесь с коллегами 🫡
@DevOpsKaz 😛
🎉 УЖЕ ЗАВТРА DATA COMMUNITY ПРАЗДНУЕТ 7 ЛЕТ
Мы собираемся вместе, чтобы вместе отметить этот важный день на большом празднике 🥳
У вас еще есть возможность купить билеты и стать частью события по ссылке.
В программе:
- выступления топовых спикеров
- ярмарка вакансий
- церемония награждения Data Awards 2026
🕓 Начало в 12:00, завершение в 18:20 — 6 часов пользы, нетворкинга и живой энергии комьюнити.
Соберемся под одной крышей, чтобы вместе творить историю дата-сообщества и провести этот день ярко и с пользой! ✨
#партнеры
@DevOpsKaz 😛
🔥 State of the Software Supply Chain 2026
Предлагаем вашему вниманию ежегодный отчёт Sonatype, который анализирует тенденции в цепочках поставок ПО. Отчёт основан на данных о 9,8 трлн загрузок из репозиториев, анализе вредоносного ПО, уязвимостей, роли ИИ и регуляторных требований.
⚪️ Рост и нагрузка на open source инфраструктуру
В 2025 году четыре крупнейших реестра (Maven Central, PyPI, npm, NuGet) обслужили 9,8 трлн запросов. Основной объем трафика — «синтетический»: транзитивные зависимости, повторные загрузки в CI/CD из-за холодных кэшей и эфемерных раннеров, спам-публикации. Появление ИИ-артефактов (моделей весом в гигабайты) многократно усиливает нагрузку на инфраструктуру, которая изначально не была рассчитана на такие объемы.
⚪️ Эволюция атак на цепочки поставок
2025 год закрепил переход к индустриализации вредоносного ПО. Sonatype зафиксировала более 1,2 млн вредоносных пакетов с 2019 года, а в 2025 — 454 648 . Атаки стали стратегическими: кампания Shai-Hulud (500+ пакетов) продемонстрировала первую попытку саморепликации, а кампания IndonesianFoods создала колоссальный шум, выпуская пакеты каждые 7 секунд для обхода систем обнаружения. ИИ-агенты увеличивают риск, так как могут автоматически устанавливать зависимости с плохой репутацией, пытаясь исправить ошибки сборки.
⚪️ Неудачи в управлении уязвимостями
Управление ломается на трёх уровнях: Data Layer, Consumption Layer (даже после фиксов уязвимые версии продолжают массово загружаться), Ecosystem Layer. ИИ все это дело усугубляет: генерирует уязвимый код и ускоряет потребление рискованных зависимостей.
Рекомендация: переход к Lifecycle Management. Вместо того, чтобы просто «тушить пожары» по CVE, стоит внедрять блокировку на уровне репозитория (Firewall) и автоматическое обновление компонентов, пока они не стали EOL (End of Life).
⚪️ ИИ-агенты: галлюцинации и стратегии обновления
Использование ИИ ускоряет разработку, но без «приземления» (grounding) на реальные данные создает критические риски для цепочки поставок. Массовые галлюцинации версий: 27,76% рекомендаций по обновлению зависимостей от ведущих LLM содержат несуществующие версии. Это более 10 000 фантомных релизов, которые никогда не будут в реальном репозитории.
В 345 случаях следование советам ИИ приводило к ухудшению защищенности (рекомендации вредоносных пакетов или версий с известными уязвимостями).
Удивительно, что стратегия Sonatype Non-Breaking Changes (NBC) показала даже лучший прирост безопасности (+298%), чем просто переход на последнюю версию.
Что важного можно взять на заметку:
⚪️ AI Grounding: запретить ИИ-агентам прямую установку пакетов без сверки с «живыми» реестрами и политиками безопасности
⚪️ Гигиена инфраструктуры: внедрить локальное проксирование для снижения нагрузки на общественные реестры
⚪️ SBOM as Code: генерировать CycloneDX или SPDX не после, а во время сборки для автоматической аттестации
@DevOpsKaz 😛
🔥 Масштабирование Terraform для множества команд
Когда Terraform становится занозой: хаос в коде, конфликты, дублирование, медленные ревью, риски безопасности и низкая скорость доставки... Чтобы платформенная команда могла управлять стандартами, а разработчики работали быстро и безопасно, команда построила нативный фреймворк для масштабирования Terraform без внешних инструментов.
Проблемы, которые они решали:
⚪️ Разные команды используют разные версии Terraform, providers и модулей
⚪️ Нет единого стандарта именования, тегов, backend иremote state
⚪️ Дублирование модулей и boilerplate-кода
⚪️ Ручные ревью и долгие проверки безопасности
⚪️ Отсутствие контроля за тем, кто и что деплоит в прод
Решение, которое помогло — Native Terraform Framework:
⚪️ Единый корневой root-модуль
Один общий Terraform-модуль, который все команды используют как базовый. Внутри — жестко прописанные правила.
⚪️ Модули как пакеты
Все модули лежат в одном моно-репозитории (или в отдельных, но с единым реестром). Каждая команда просто вызывает нужные модули. Обновление версии обновляет всех.
⚪️ OPA / Rego для политики
Вместо ручных ревью используют Open Policy Agent (OPA) + Conftest / Terraform Plan Policy.
⚪️ Self-service для разработчиков
Платформенная команда предоставляет готовые модули и политики. Разработчики не пишут сырой Terraform, а используют только утвержденные модули и следуют политикам. Это снижает ошибки и ускоряет доставку.
⚪️ GitOps-подход через GitHub Actions / GitLab CI
Главное — заставить всех использовать один и тот же источник истины (модули и политики), а не писать Terraform с нуля.
🔥 70 бесплатных IT-курсов от VK Education
VK Education открыл набор на 70 бесплатных образовательных курсов по IT и digital‑направлениям. В 2026 году запускают 9 новых интенсивных программ по углублённому Python, NLP, программированию на Java, DevOps и другим IT‑специальностям.
Этапы отбора:
⚪️ Заявка
⚪️ Тестирование
⚪️ Анкета
Обучение ведут эксперты VK и преподаватели вузов.
Информация о сроках регистрации, длительности обучения и необходимом уровне подготовки доступна на странице программ VK Education. По всей видимости учиться можно из любой страны — единственное, понадобится VK ID.
@DevOpsKaz 😛
🔥 Новости мира DevOps, которые вы могли пропустить
⚪️ Для Clickhouse вышел официальный Kubernetes Operator — релиз v0.0.1
Основные фичи:
- Создание и управление кластерами ClickHouse через CRD (ClickHouseInstallation)
- Интеграция с ClickHouse Keeper (встроенный ZooKeeper-заменитель)
- Автоматическое provision storage (PersistentVolumeClaim)
- Поддержка TLS/SSL (включая сертификаты через secrets)
- Экспорт метрик для Prometheus
⚪️ vCluster представил vind — «Kubernetes в Docker» с апгрейдом
Этот инструмент позволяет запускать полноценные виртуальные кластеры внутри одного Docker-контейнера — аналогично kind, но с существенными улучшениями.
Ключевые отличия от kind:
- Кластер можно ставить на паузу для экономии
- Автоматический LoadBalancer
- Подключение внешних нод (можно добавить реальные облачные VM к локальному vind-кластеру)
- Выбор CNI (Calico, Cilium, Flannel) и CSI-драйверов
- Встроенный UI vCluster Platform (веб-интерфейс для управления)
⚪️ 16 февраля стартует курс по Kubernetes: «База»
Знание Kubernetes стало обязательным пунктом для любого инфраструктурщика или девопса. Если вы до сих пор его не освоили, расти в профессии сложно. Курс поможет заполнить пробелы в знаниях и научиться профессионально работать с k8s.
⚪️ На Хабре рассказали, что спрашивают на собесах в 2025–2026 годах в IT-сфере. Данные по IT-сфере с реальных технических интервью.
@DevOpsKaz 😛
🔥 Docker Engine v29.1 + Compose v2.40 теперь доступны для Windows и Ubuntu
⚪️ Проверьте рабочие процессы на наличие изменений, нарушающих совместимость с версией v29.
⚪️ Если используете pinned версии Docker в actions (например, docker/setup-buildx-action@v3), обновите их.
⚪️ Тестируйте билды на новых runners заранее (можно использовать runs-on: ubuntu-latest и мониторить).
⚪️ Для Windows runners — проверьте совместимость с PowerShell/CMD скриптами.
⚪️ Рекомендуем регулярно проверять, не будут ли ваши runner images затронуты запланированными обновлениями.
👉 Docs Docker
👉 Репозитории
@DevOpsKaz 😛
🔥 Устраняем пропасть между LLM и инфраструктурой
Предлагаем прочитать реальный кейс внедрения в прод системы ICNLI (Infrastructure Contextual Natural Language Interface), которая позволяет управлять серверами, сайтами, БД и инфраструктурой через естественный язык — без панелей, SSH, документации и терминалов.
Система знает, какой именно у вас сервер, что на нём запущено, кто будет затронут простоем, и предлагает конкретный план действий.
Отличия от ИИ ботов:
⚪️ Знает вашу инфраструктуру
⚪️ Выполняет операции
⚪️ Помнит весь контекст
⚪️ Встроенные safeguards
⚪️ Любой канал (web, telegram, voice)
Почему стоит присмотреться к ICNLI:
⚪️ ChatGPT может объяснить, как настроить Nginx, но не знает вашу конкретную конфигурацию
⚪️ cPanel имеет 847 функций, но найти нужную — квест
⚪️ Ansible автоматизирует всё, но требует написания playbook'ов
⚪️ Каждый инструмент живёт в своём мире, не зная о других
⚪️ Проблема не в отсутствии ИИ. Проблема в отсутствии контекста
@DevOpsKaz 😛
🔥 Profit Cloud Day 2026: от хранения к сверхскоростной аналитике
Эпоха «складирования» данных прошла. Сегодня бизнес побеждает за счет умения моментально структурировать потоки информации. Но вместе с возможностями растут и риски:
⚪️ Архитектура: Private, Public или Hybrid — что вывезет вашу нагрузку
⚪️ Комплаенс: что можно доверить облаку, а что оставить под личным контролем
⚪️ Локальный контекст: как трансформировался рынок Казахстана за последние годы
Ждем вас на конференции Profit Cloud Day 2026. Это площадка для прямого диалога между бизнесом, аналитиками и вендорами решений для хранения и обработки данных.
👉 Регистрируйтесь на мероприятие
🔥 Они говорят о будущем Казахстана, а вы читаете это на Digital Business
На этой площадке делятся опытом те, кто реально делает результат и деньги: предприниматели, инвесторы, айтишники, финансисты. На Digital Business показывают, как появляются первые стартап-единороги страны, каких рекордов добиваются казахстанские школьники на мировой арене и как в реальности работают деньги — от личных финансов до большого бизнеса.
Здесь объясняют, как зарабатывать, копить и приумножать. Разбирают с экспертами, как все это делать по закону: в рамках Трудового и нового Налогового кодексов. Все это — абсолютно бесплатно для читателей.
Звучит так, будто подписаться на них нужно было еще вчера.
Если еще нет — самое время исправить.
👉 Назад в будущее
🎉Data Community Birthday — большое событие для специалистов в data и IT
21 февраля пройдет Data Community Birthday — масштабное мероприятие в оффлайн и онлайн формате для аналитиков, data-специалистов, разработчиков, IT-профессионалов и тех, кто только начинает карьеру в индустрии.
В программе:
— Конференция с участием экспертов из Kolesa Group, inDrive, Freedom Broker и других ведущих tech-компаний
— Ярмарка вакансий от Beeline, Kcell, Kolesa Group, Bereke Bank и других IT-работодателей
— Церемония награждения Data Awards — объявление победителей 9 номинаций в data-сфере
— Нетворкинг с представителями индустрии и участниками сообщества
— Розыгрыш iPad и других крутых подарков, интерактивы и праздничная атмосфера
📅Когда: 21 февраля
📍Где (оффлайн): г. Алматы, Университет Нархоз
💻Онлайн: прямая трансляция для участников из других городов
🎟Билеты уже в продаже
💥Стоимость — от 1 999 тг
Количество оффлайн-мест ограничено. Регистрация и подробности — по ссылке