Too often, Architecture diagrams become outdated the moment they’re saved, leading to a growing documentation debt.
In my latest article, I explore how AWS Kiro and MCP (Model Context Protocol) are automating this process.

🔗 Read the practical guide here (Armenian, can be easily translated to English with browser extension): https://shorturl.at/DyA29

Как AI меняет роль архитектора

- Чем занимается архитектор: список активностей
– Технические вопросы и AI: 90% замена
– Архитектура: контекст важнее технических знаний
– Билдинг: от 2 недель до 6 часов
– Обучение: как AI меняет процесс
– Изменение ролей
– Эксперт-дженералист: как оставаться на коне

YouTube: https://www.youtube.com/watch?v=bm_S0kFKC0E

А также:
🔹 Podbean
🔹 Apple Podcast
🔹 Яндекс.Музыка
🔹 Spotify
🔹 RSS

Настоящий мульти-аккаунт подход в действии:

https://aws.amazon.com/blogs/architecture/6000-aws-accounts-three-people-one-platform-lessons-learned/

Для каждого клиента создаётся отдельный AWS аккаунт. Что даёт максимальную изоляцию (безопасность), простой подсчёт затрат (цена).

#multi_account_strategy

AI-агенты атакуют AI-агентов

AI-агент hackerbot-claw, представляясь исследовательским агентом на базе claude-opus-4-5, в течении недели сканировал популярные open-source проекты. Находил ошибки в GitHub Actions и эксплуатировал их для RCE.

https://www.stepsecurity.io/blog/hackerbot-claw-github-actions-exploitation

Наиболее крупный пострадавший — проект Trivy, у которого украли PAT. В результате родную репу перезаписали пустой и удалили все релизы за несколько лет.

Другие известные пострадавшие:

- https://github.com/microsoft/ai-discovery-agent — инъекция через хитрое имя ветки.
- https://github.com/DataDog/datadog-iac-scanner — инъекция shell-команд через имена файлов.
- https://github.com/avelino/awesome-go — кража GITHUB_TOKEN с правами на запись через подмену Go-скрипта.
- https://github.com/ambient-code/platform — prompt injection, нацеленная на AI-ревьюера (Claude), которая, правда, была успешно самим Claude и заблокирована.
- https://github.com/project-akri/akri — инъекция скрипта через /version minor комментарий.
- https://github.com/RustPython/RustPython — инъекция Base64-пейлоада через имя ветки.

Как защититься:

1. Если пайплайн (особенно с AI-агентами) должен чекаутить код из форка — использовать только pull_request. Если нужен pull_request_target, НЕ делайть чекаут кода из PR-ветки.
2. Permissions - только read и write только там, где реально нужно.
3. Не передавайте неэкранированные переменные типа ${{ github.event.pull_request.head.ref }} напрямую в run: блоки bash-скриптов — используйте environment variables.

Такие времена — теперь агенты ломают агентов.

Поздравляю нового AWS Community Builder-а! 🎉

Air-gapped Firewall

#friday

Не надо раздражаться!

#пятничное

Распределённое БЕСПЛАТНОЕ хранилище данных на CloudShell

Кто вдруг не знает, CloudShell даёт бесплатно не только запускать, но и хранить 1 ГБ информации на дисках.

Да, 1 ГБ это не шибко много. НО. В каждом аккаунте и в каждом регионе. Нонче это 25 регионов.

Итого, нужно всего 4 аккаунта на 100 ГБ места. НАХАЛЯВУ!

https://github.com/dan-v/cloudshell-store

Built-in Disaster Recovery: информация максимально устойчива к падению чего-то угодно, ибо распределена по всем регионам сразу.

P.S. DNS on Route53 проехали. Переходим на NFS on CloudShell. 😁

Крупнейший взлом Trivy, продолжение

Прошлый раз были, оказывается, лишь цветочки.

https://socket.dev/blog/trivy-under-attack-again-github-actions-compromise

В результате новой атаки были подменены 75 из 76 тэгов версий Trivy. Все, кто использовал версию кроме 0.35.0 (или просто все, начиная от 0.18.0 с промежуточными), получили вредоносный коммит, который крадёт:

- AWS/GCP/Azure креды
- SSH-ключи
- git-credentials
- Kubernetes service account tokens и секреты
- GitHub Secret, переданные в GitHub Runner
- Крипто-кошельки

Пострадали более 10000 GitHub workflow-файлов, которые используют trivy-action по тегу версии.

Что делать прямо сейчас

Если у вас есть исполнения с:

uses: aquasecurity/trivy-action@<любая версия кроме 0.35.0>

считайте, что ваши данные уже записаны "где не надо".

Безопасные варианты только два:
- Тег @0.35.0
- Пин по SHA: aquasecurity/trivy-action@57a97c7e7821a5776cebc9bb87c984fa69cba8f1

Как признак проблем - проверить в GitHub логах запросы к репозиторию tpcp-docs, который использовался в такой схеме врагами.

Лучи поддержки команде Trivy. Всем, кто использовал trivy-action в последнее время — перепроверить и в любом случае лучше обновить секреты.

It might become an alternative to LocalStack

Floci - Light, fluffy, and always free - AWS Local Emulator

https://github.com/hectorvent/floci

Всех приветствуем!

🔥 Выпущена 0.29.1 версия платформы для изучения SRE! 🔥
GitHub

📌 Что нового:
- добавлена поддержка 1.35 k8s
- добавлена статья Vibe Coding → Spec-Driven: How AI Development Found an Engineering Approach
- добавлена статья From Spot.io to Karpenter: Node Management Migration Experience in Kubernetes
- добавлена лаба 01 Istio.Installing Istio
- добавлена лаба 02 Istio.Dark Launch

окружения.
- обновлён список полезных ссылок.


🧪 Доступные пробные экзамены:
CKA
CKAD
CKS
ICA
KCNA
KCSA
LFCS

🧪 Доступные лабораторные работы


Скрипты и видео с решениями экзаменов:

документация ping-pong сервера

Отличного настроения и пусть ваш прод живёт без падений!