Social Media Ideas for Pvs-Studio

Проверка исходников VSCode

Теперь можно говорить без всяких прикрас: мы выпустили анализатор для языков JavaScript и TypeScript. А значит, это повод испытать его в полевых условиях и посмотреть, что он найдё...

Как внедрить статический анализ кода по ГОСТ Р 71207—2024

Как шаг за шагом организовать процесс внедрения статического анализа по ГОСТ Р 71207—2024: рассказываем простыми словами с отсылками на соответствующие пункты стандарта. Статья буд...

Кoгдa яблoкo yпaлo cлишкoм близкo не к той яблoнe: copy-paste oшибки в cтpyктypнo изoмopфнoм Go кoдe

Bы нaвepнякa дeлaли этo мнoгo paз: нaшли в пpoeктe пoдxoдящий для peшeния зaдaчи кoд, cкoпиpoвaли, зaмeнили в кoпии пepeмeнныe или вызoвы фyнкций нa дpyгиe, нo пpи выпoлнeнии пoлyч...

Claude нашёл почти 500 дыр в популярном ПО

Инженеры Anthropic изучили 25 крупных проектов с открытым исходным кодом с помощью модели искусственного интеллекта Claude. Целью исследования было выявление проблем безопасности в...

Как мы научили JavaScript анализатор понимать поток управления

Недавно в статический анализатор PVS-Studio была добавлена поддержка JavaScript/TypeScript, и он на старте умеет искать ошибки, связанные с потоком управления. Причём тут граф пото...

Claude нашёл почти 500 дыр в популярном ПО — одной из них оказался 21 год

Инженеры Anthropic изучили с помощью модели искусственного интеллекта Claude 25 крупных проектов с открытым исходным кодом, написанных на языках C, C++, Java, PHP и Python, на пред...

Как написать безопасный сборщик промта для LLM: руководство-шпаргалка

Вся безопасность вашей LLM-системы проходит через один кусок кода: сборщик промта. Если он пропускает чужую роль, невидимые символы или поддельную историю, никакой «строгий системн...

Код прошёл ревью, потому что читался правильно. Выполняется он иначе

Патч был на две строки: правка в проверке прав доступа. На ревью читается ровно то, что задумано, — апрув, мёрж. Через день выясняется, что проверка не срабатывает, хотя код перед...

История одного бага

В последние 5 лет, мы разрабатываем устройства с уровнем функциональной безпосности SIL3 (в части встроенного ПО). Это накаладывает кучу ограничений, например, абсолютно запрет на...

Эти пчелы делают неправильный с++

В 2016 году EA закрывает свой последний оплот разработки в Питере, и народ начал разбредаться по разным студиям и командам. Тогда мировой игрострой ещё благосклонно смотрел на обла...

Senpy или зачем визуальной новелле семантический линтер, если в Ren’Py уже есть встроенная проверка?

Как попытка пофиксить русификатор для мода к DDLC вылилась в разработку собственного семантического анализатора для Ren'Py со скоростью 77 000 строк за 3.8 секунды, собственным Sco...

Ваш test — это prod

Просто вы его так не назвали. Открытый стандарт EnvSpec Naming 1.0 — о том, что имя ресурса это модель доверия, а не удобство админа.Стенд UAT с боевой выгрузкой — это prod по опре...

Можно ли найти IDOR статическим анализом? Пишем ядро для Python

Написал ядро статического анализа для детекта IDOR-уязвимостей в Python-коде. Вместо поиска подозрительных конструкций и ключевых слов оно отслеживает путь от подконтрольного польз...

Static Analysis

AI‑агент не увидел мой код: worktree, состояние задач и границы доступа в VECTA

Файлы проекта лежали на диске, но AI-агент получил пустую рабочую копию. Причина нашлась в Git: исходники ещё не были закоммичены, а worktree создавался из HEAD.На примере VECTA ра...

Локальный ассистент для зумов, часть 11: девять моделей проверяли мой код — кто остался и почему

Код Чароита я пишу в Claude Code. Каждое изменение до мержа читает другая модель и пишет вердикт. Такую модель я зову головой, а один прогон — кругом. За два месяца в головах побыв...