Duże litery, małe litery, cyfry i znaki specjalne, czyli standard w hasłach  🤔

Rekomendacje mówią, aby tego nie robić, ale programiści i tak wiedzą swoje
"Te wymagania mają sens i pomagają początkującym użytkownikom. Nie każdy korzysta z Keepassa!".

Co robić? Jak żyć?  🧵 ↓

Zacznijmy od absolutnych podstaw.

Zagrożenie, przed którym się bronimy, to NIE jest naparzanie przez hackera losowymi hasłami w ekran logowania, bo a nuż zgadnie.

Problemem jest wyciek bazy danych, która prawdopodobnie i tak jest hashowana.

Pomimo stosowania mocnych algorytmów hashujących, po wycieku bazy danych, agresor i tak podejmie próbę złamania słabych hashy i zdobycia znajdujących się tam haseł.

Jeśli hasło było słabe, to je przejmie i przeprowadzi atak credential stuffing w popularnych serwisach.

Ale jak literki, cyferki i znaki specjalne mają to niby utrudnić?

Tutaj wchodzi matematyka. Istnieje coś takiego jak współczynnik entropii, który wyraża, jak bardzo nieprzewidywalne jest hasło.

Jest na to nawet wzór:

Entropia = N x log2(R)

Nie martw się, już wyjaśniam wzór!

We wzorze mamy dwa elementy:

• N = liczba znaków hasła
• R = pula znaków, z których wybierane są znaki hasła

Jeśli użytkownik ma hasło "basia", to pulą jest 26 znaków (litery a-z).

Dla hasła "basia" entropia wynosi:

E = 5 x log2(26) = około 23,5

Czyli słabiutko 😕

Za dobre hasło w zależności od źródeł uznaje się coś z entropią od 56 / 70 w górę.

Jak zwiększyć ten wynik?

Mamy dwa parametry, więc możemy pani Basi powiedzieć:

↳ Proszę wpisać dłuuuuugie hasło
↳ musi Pani zwiększyć pulę potencjalnych znaków zdatnych do użycia w haśle.

Druga instrukcja może być trochę niezrozumiała 😉

W praktyce, drugie polecenie oznacza, że musimy wyjść poza zakres liter "a-z".

Już samo napisanie słowa "Basia" dużą literą rozszerza bazowy zestaw znaków [a-z] z 26 do 52 znaków [a-zA-Z], co doprowadza nas do zwiększenia bitów entropii z 23 do 28, czyli hasło nadal jest 💩

Aleee! Jeśli poprosimy Basię o dopisanie cyfry (dodatkowy przedział 10 znaków) oraz znaku specjalnego (+43 znaki) oraz dużej litery, a przy okazji wymusimy 10 liter w haśle, to mamy entropię na poziomie:

E = 10 x log2(26+26+10+33) = około 65

Całkiem znośne hasło! 🙂

Tylko to tak ładnie wygląda jedynie we wzorze, bo w praktyce Pani Basia ustawi hasło w stylu:

↳ Basiaaaa1!

A jak ją poprosimy o regularną, comiesięczną zmianę, to wyjdzie nam:
↳ Basiaaaa2!
↳ Basiaaaa3!
↳ Basiaaaa4!


Wymogi dodatkowych znaków w haśle i minimalna długość podnoszą bezpieczeństwo - matematyki nie oszukam.

Takie hasła będą jednak zazwyczaj skrajnie proste, z małą różnorodnością, a do tego jest ryzyko, że Basia je zapisze np. na kartce, bo przecież nie zapamięta 🤷‍♂️

To jak wymusić na użytkowniku mocne hasło?

Gdybyśmy tylko znali jakiś wzór na to...  🤔

O! Wiem ⬇️

Mamy wzór, to co robimy jako programista?

1. Pobierasz od użytkownika proponowane hasło
2. Liczysz, ile ma znaków i zapisujesz to w zmiennej N
3. Sprawdzasz, jakiego zakresu znaków używa user
4. Wrzucasz wszystko do wzoru
5. Wynik poniżej np. 70? "Twoje hasło jest za słabe"

No dobra, ale jak wykonać punkt 3 z tym liczeniem znaków?

wynik = 0

if (mala_litera) wynik += 26;
if (duza_litera) wynik += 26;
if (cyfra) wynik += 10;
if (znak_specjalny) wynik += 33;

return wynik;

OK i co nam to daje?

Basia chce mieć hasło "kot"

Poziom entropii = 14

"Twoje hasło jest zbyt łatwe do złamania.
Dopisz proszę coś do niego, aby było dłuższe. Możesz np. ułożyć jakieś zdanie."

Basia przechodzi więc przez kolejne kroki:

↳ kotkot = 28
↳ za słabe!

↳ lubiekoty = 42
↳ za słabe!

↳ mamczteryrudekoty = 79
↳ Barbara! Jestem z Ciebie dumny! Mraaau 😻

Przy klasycznym podejściu i haśle spełniającym wymogi poziomu skomplikowania (duże litery, małe, cyfry itd), Basia osiągnęła moc hasła równą 65 bitów. Do tego ma trudne do zapamiętania hasło:

Basiaaaa1!

- Ile było tych liter 'a'?
- jaka to była cyfra i znak?

Stosując proste polecenie "Twoje hasło jest za słabe" połączone z jakąś podpowiedzią np. "zbuduj zdanie, które na pewno zapamiętasz", Basia uzyskała 79 bitów entropii i hasło, którego jako kociara nigdy nie zapomni 😉

mamczteryrudekoty

P.S zapis ze spacjami to 94 bity!

Stosowanie klasycznego podejścia z zestawem znaków i długością hasła doprowadza nas do patologii tego typu 👇  

Hasło: Superm3n$
Basia! Super hasło! tak trzymaj! 👏 [E=55]

Hasło: NaWakacjęPojadęDoWłoch
Barbara  🤦‍♂️ No, z czym do ludzi! Weź to zmień... [E=125]

Implementacja liczenia entropii w kodzie jest łatwa, zarówno po stronie frontendu, jak i backendu. UX dla usera jest przyjaźniejszy, a wygenerowane hasło prostsze do zapamiętania, aleee!

Nie musisz tego wszystkiego implementować samodzielnie.
Gotowiec: https://github.com/dropbox/zxcvbn

Oczywiście, ideałem byłoby, aby każdy użytkownik korzystał z menadżera haseł i kolejnej warstwy zabezpieczeń (jakieś 2FA), ale nie mamy bezpośredniego wpływu na edukację użytkownika w branży cybersec i nie kupimy Basi pary kluczy U2F.

Bezpieczeństwo haseł — duża litera, cyferka i chiński znaczek

Chrome będzie pomagał programistom lepiej zrozumieć komunikaty o błędach. Oczywiście z użyciem AI 🤖

Możesz z tego korzystać już teraz.
Oto krótka instrukcja  🧵 ↓

Po pierwsze, musisz wejść w ustawienia narzędzi developerskich Chrome.
Nie w ustawienia przeglądarki!

Należy zmienić:
↳ Język DevTools na angielski
↳ W sekcji "Console" zaznaczyć: ✅ Understand console messages with AI.

Co więcej, aby korzystać z tej funkcji, musisz być zalogowany na swoje konto Google oraz opcja synchronizacji danych użytkownika w ustawieniach przeglądarki musi być aktywna.

Jeśli te warunki nie są spełnione, zobaczysz tylko komunikat o braku możliwości korzystania z AI.

Gdy to wszystko zostanie ustawione, a Ty masz możliwie nową wersję przeglądarki (minimum 125), to przy komunikatach z błędami i ostrzeżeniami na konsoli JavaScript zacznie pojawiać się ikona żarówki "💡".

Za pierwszym razem musisz zaakceptować regulamin nowej usługi.
Musisz zrozumieć tylko tyle, że prosząc Gemini o pomoc, wysyłasz do AI komunikat z błędem i dane do zbudowania kontekstu.

🚨 UWAGA 🚨
Może to niekiedy oznaczać wysłanie wrażliwych informacji.

Po zaakceptowaniu regulaminu usługi i tak każdorazowo będą prezentowane Ci informacje, które przeglądarka chce wysłać do chmury. Musisz podjąć decyzję, czy to jest OK.

W 90% przypadków będzie to tylko komunikat o błędzie z konsoli, ale czasami jest to np. pełen request HTTP!

Przetestowałem interpretowanie błędów na kilku losowych stronach i wygląda to bardzo obiecująco. Gemini nie tylko omawia, na czym polega błąd, ale przy kilku moich celowo zepsutych skryptach dostałem jeszcze porady, jak ten błąd naprawić.

Po wykonaniu kilkunastu testów nie natrafiłem na halucynacje, udzielane porady były trafne, a ich generowanie bardzo szybkie.

Biorąc pod uwagę, że rozwiązanie jest darmowe, wygodne i łatwe w obsłudze (jeden klik), to jest szansa, że się przyjmie w świecie developerskim.

Pamiętaj, że opisywana funkcja jest dostępna w przeglądarce od Google. Mowa o Chrome. To nie jest natywne rozwiązanie silnika Chromium, więc:

↳ nie pojawi się w tej formie w konkurencyjnych przeglądarkach (ARC, Brave, Opera itp.)
↳ wymaga posiadania konta Google

Czym to rozwiązanie różni się od wklejenia komunikatu z błędem do ChatGPT/Perplexity?

↳ robisz to jednym klikiem
↳ nie płacisz za usługi premium
↳ kontekst (request, wartości zmiennych, drzewo DOM, komunikat) jest przesyłany automatycznie
↳ słabiej dba o Twoją prywatność 😬

Chrome i debugowanie JavaScript z AI

Gdy miałem 13 lat nauczyłem się podstaw HTML, CSS i JavaScriptu, a pomogła mi w tym... Czarodziejka z księżyca 🌖

Niezwykle poważna historia 😉  🧵 ↓

To było w okolicach 1999 roku. Chodziłem wtedy do podstawówki i poznałem 2 lata starszego ode mnie kolegę — Łukasza.

Był to "szkolny mistrz komputerów".
Nie znałem ówcześnie nikogo z większym skillem.

Sporo się od niego nauczyłem. Przede wszystkim podstawy programowania w Turbo Pascalu, podstawy konfiguracji sieci (z naciskiem na modemy dial-up) oraz obsługę systemu operacyjnego (MS-DOS 6.22 ✌️ + Win 3.1).

Najcenniejsze jednak okazało się to, czego nauczyłem się przypadkiem.

Łukasz był skrajnym fanem mangi i anime. Takim... skrajnie-skrajnym.

Dom oklejony plakatami z przeróżnych anime. Częste wizyty na zlotach otaku, nauka podstaw języka japońskiego, prenumerata Kawaii, czytanie mangi w oryginale i usilne 'nawracanie' wszystkich na mangę/anime.

Łukasz jako jeden z nielicznych "miewał dostęp do internetu".
Raz na kilka tygodni wybierał się do kafejki internetowej i "ściągał internet na dyskietkę", czyli mówiąc prościej, za pomocą specjalnego softu archiwizował strony do poczytania na później w domu.

Pewnego razu zachorowałem na świnkę i musiałem sporo czasu spędzić w domu.

Łukasz był troskliwym kolegą, więc mnie odwiedził i abym się nie nudził, przyniósł mi... 18 tomów "Czarodziejki z księżyca" i dyskietkę 🤯

"Ściągnąłem Ci trochę netu. Lepiej zrozumiesz dzięki temu czarodziejkę, ale najpierw ją przeczytaj!" - powiedział.

Na dyskietce zarchiwizowanych było kilka serwisów wyjaśniających genezę czarodziejki z księżyca, opisy bohaterów, drzewo zależności między nimi, linia czasu itp.

Tak... czarodziejka. Tylko tego teraz potrzebowałem siedząc w łóżku 🤦‍♂️

Przyznaję, że przeczytałem 12 tomów bazowej mangi i nie było to takie złe, jak myślałem, ale może to być też zasługa gorączki 😅

Później przyszedł czas na zawartość dyskietki.

Opisy bohaterów były skrajnie nudne, więc co najwyżej je przeglądałem.
Nie mogłem się tylko przestać zachwycać "jak ten internet jest wspaniały".

Pliki linkowały do siebie i nawet wyświetlały obrazki - ale super!

Coś skłoniło mnie do podglądnięcia źródeł plików HTML, które dostałem. Była to typowa "zupa tagów" modna w latach 90'. Brak formatowania.

Zauważyłem tam jednak pewne zależności.
Gdy ktoś napisał <b>Tuxedo</b>, to Tuxedo był pogrubiony, a <hr> robiło kreskę 😮

Następne tygodnie spędziłem na modyfikowaniu plików, które otrzymałem.
Umiałem już formatować tekst, zmieniać kolory, a nawet dodawać kolumny i wiersze do tabel.

Łukasz był zachwycony, gdy wręczyłem mu puste dyskietki i poprosiłem o więcej materiałów na temat czarodziejki 😏

Kilka miesięcy później stworzyłem od zera pierwszą stronę internetową.
Drugą byłą już strona mojej szkoły.

Później natrafiłem na kurs Pawła Wimmera, który dołączony był za darmo do "Pajączka" (taki edytor HTML) i to wystrzeliło mój rozwój w kosmos 🚀

Jakby na to nie patrzeć, gdyby nie wpychanie mi czarodziejki z księżyca, prawdopodobnie zetknąłbym się z technologiami webowymi dopiero w liceum lub na studiach, a ta wiedza pozwoliła mi drastycznie przyspieszyć mój rozwój w branży IT.

Tak przy okazji, to jeśli brzydzisz się anime, to rzuć okiem na Death Note, a być może zmienisz zdanie — tylko uwaga, bo uzależnia 😉

OK, to tyle przemyśleń.
Idę naklejać na ścianę plakat z Ryuk-iem  👋

Czarodziejka z księżyca nauczyła mnie programować

Wróciłem z hackathonu HackYeah, gdzie byłem mentorem i jurorem.
Oceniałem dziesiątki projektów, więc postanowiłem napisać poradnik.

Jak NIE wygrać hackathonu  🧵 ↓

Po pierwsze: design jest dla słabych!

Twoja aplikacja może składać się z inputa i szarego przycisku "submit", bo przecież liczą się tylko algorytmy.

Co z tego, że w przypadku HackYeah, 20% punktów dostaje się za design? 🤷‍♂️

Po drugie: prezentacja nie jest ważna.

Czarne litery na białym tle i ściana tekstu to jest to, w czym zakochają się jurorzy i co w zupełności wystarczy, aby wygrać.

Mając 3 minuty na zapoznanie się z projektem, jurorzy przeczytają wszystkie  10 stron opisu Twojej aplikacji.

Po trzecie: pamiętaj, że wszyscy ludzie na świecie są techniczni.

Opisz biblioteki, z których korzystasz i rozrysuj infrastrukturę na AWS. Opisywanie problemu, który rozwiązujesz i tego, jak to robisz, jest lamerskie.

Co z tego, że 60-70% składu jury to osoby nietechniczne? 🤷‍♂️

Po czwarte: nie potrzebujesz gościa umiejącego występować publicznie.

Dobry projekt sprzeda się sam! Poza tym, czy opisy algorytmów, 10 stron tekstu i rysunek infrastruktury nie zrobiły już roboty i pitch przed jury, to już jest tylko formalność?!

Po piątek: bezpieczeństwo jest najważniejsze!

ZAWSZE oddaj efekt swojej dwudniowej pracy jako prywatne repozytorium na GitHubie**, bez dostępu dla jurorów. Otrzymasz wtedy dodatkowe punkty za opsec w kategorii cybersecurity.

** sporo dyskwalifikacji było dziś za to

Tak poważniej mówiąc:

Warto brać pod uwagę kto (osoby nietechniczne) i jak (często w pierwszym odsiewie 'na oko') będzie oceniał prace i to, jak wygląda podział procentowy tego, za co zdobywa się punkty (design!).

Jak NIE wygrać hackathonu w kilku prostych krokach ;)

Wczoraj testowo przez ponad godzinę dyskutowałem z nowym Advanced Voice Mode w ChatGPT. WOW! Niezłe to jest 🤯

KIlka wniosków i spraw technicznych  🧵 ↓

Jedną z najważniejszych nowych funkcji jest możliwość przerywania asystentowi w trakcie mówienia. To sprawia, że rozmowa jest naturalna.

Wygląda to tak:
- w Krakowie polecam zwiedzić Wawel oraz Sukiennice, które...
- a ile kosztują bilety na Wawel?
- 12 zł
- ok. mów dalej...

Utrzymanie uwagi jest na naprawdę wysokim poziomie. 

"Rozmówca" cały czas wiedział, o czym mówimy, co już powiedziałem wcześniej i odwoływał się do faktów zebranych w poprzednich rozmowach (wprowadzono jakiś czas temu pamięć).

Zauważyłem także mocną poprawę jakości głosu (+dodali kilka nowych głosów). Nadal nie jest to idealny polski akcent, ale np. wymowa cyfr, która do tej pory nie wychodziła za dobrze, brzmi teraz OK.

Nie ma już zdań w stylu "w roku tys... @^%!$^%!@$... siódmym"

Kolejna sprawa to modulacja głosu. To jest naprawdę niesamowite.
Poprosiłem np. o to, żeby powiedział coś głosem czarnego charakteru z filmu kryminalnego — skrajnie mnie to zaskoczyło.

Podobnie np. gdy miał opowiadać bajkę dla dzieci. Też intonacja się zmienia na spokojniejszą.

Niestety, asystent odmówił imitowania głosów znanych postaci (nawet tych z kreskówek), powołując się na wewnętrzne zasady, jakie mu wprowadzono.

Chat zgodził się imitować mój sposób mówienia — wyszło słabo.

Imitowana jest intonacja i akcent, a nie barwa głosu.

Niesamowicie zaskoczyła mnie też responsywność odpowiedzi.

Szybkość udzielania odpowiedzi zbliżona jest do czasu reakcji człowieka.

Nie ma już tego oczekiwania na rozpoczęcie wypowiadania zdania jak w przypadku standardowej interakcji z czatem.

Co do wad, to są rzeczy, których nie jest świadomy i nie tak często przeprasza za błędy.

Zapytałem, jak długo już rozmawiamy. Twierdził, że 2 godziny.

Gdy zwróciłem mu uwagę, że to nie jest prawda, odpowiedział, że ten czas bardzo szybko leci i pewnie nie jestem tego świadomy.

O ile 'tradycyjny ChatGPT' potrafi skorzystać z netu i podać w miarę świeże informacje, to podczas zaawansowanej rozmowy głosowej działamy w trybie 'odciętej wiedzy', ale zakładam, że jest to ograniczenie na wczesnym etapie rozwoju projektu.

Nowy tryb jest aktualnie usługą testową i mocno limitowaną, ale chyba nikt nie wie, jakie to są limity.

Reddit podaje, że można rozmawiać do 2h dziennie.
W innym miejscu jest, że 2h to limit tygodniowy.
Ktoś też raportował, że po 45 minutach jego limit się wyczerpał.

Według mnie bliższy prawdy jest ten limit tygodniowy, ponieważ dzisiaj, gdy uruchomiłem aplikację, zobaczyłem komunikat informujący, że pozostało mi już tylko 12 minut rozmowy.

Advanced Voice Mode nie jest dostępny na terenie Unii Europejskiej.

Jak się domyślacie, w celu zdobycia dostępu, użyłem VPN-a, połączyłem się z siecią w taki sposób, aby mieć adres IP ze Stanów Zjednoczonych i uruchomiłem aplikację 🤷‍♂️

Minimalna wersja aplikacji to 1.2024.261.

Niestety, pomimo tego, że tryb zaawansowanej rozmowy aktywował się na moim koncie, to wyłączenie VPN-a spowodowało automatyczne wyłączenie tego trybu.

Po ponownym połączeniu i restarcie aplikacji wszystko wróciło do normy.

Czy OpenAI osiągnęło to, co znamy np. z filmu "Her"?

Moim zdaniem w 90% tak. Te brakujące 10% to możliwość interakcji z narzędziami, czyli "sprawdź mój kalendarz", czy "wyślij maila".

Zakładam jednak, że to czeka nas w najbliższej przyszłości.

Jeśli programiści otrzymają dostęp do API Advanced Voice Mode, a sam model ze wsparciem tej funkcji będzie obsługiwał np. function calling, to z developerskiego punktu widzenia będzie to niesamowity game changer.

Testy Advanced Voice Mode w ChatGPT

Na większość maili odpisuję z użyciem sztucznej inteligencji, ale niekoniecznie tak, jak sobie to wyobrażasz.

Oto mój workflow  🧵 ↓

Uprzedzając pytania, wyjaśniam, że AI nie odpowiada za mnie na maile w sposób autonomiczny. Pomaga mi jedynie w szybkim generowaniu odpowiedzi na zapytania.

Szacuję, że pozwala mi to zaoszczędzić około 3-4h w skali tygodnia.
Rozwiązania używam już od ponad 2 miesięcy.

Jeśli chodzi o stack technologiczny, to wykorzystuję:

↳ Keyboard Maestro do obsługi skrótów klawiszowych
↳ PHP do napisania kodu backendu
↳ GPT-4o (konkretnie gpt-4o-2024-08-06) jako 'mózg'
↳ moją bazę notatek w postaci płaskiego pliku tekstowego


Jak wygląda mój workflow przy odpisywaniu?

Mam dwie sytuacje do ogarnięcia:

1) Odpisanie na CAŁEGO maila
2) Odpisanie na fragment maila/wiadomości (bo może to być np. tekst ze Slacka/FB itp.)

Niezależnie od tego, czy odpisuję na całość, czy fragment tekstu, za każdym razem zaznaczam po prostu tekst będący wejściem do mechanizmu.

Następnie naciskam na klawiaturze magiczny klawisz "Odpisz na maila" i wpisuję, co chcę odpisać, po czym naciskam ENTER.

Po kilku sekundach w schowku pojawia mi się gotowa odpowiedź, którą wklejam przez CTRL/CMD+V.

Dzięki temu, że rozwiązanie jest niezależne od aplikacji, mogę je stosować wszędzie (Gmail, Slack, Signal itp.).

Korzystam z klawiatury, na której mam trzy klawisze, z których nigdy nie korzystałem. Przeprogramowałem je więc tak, aby wykonywały ustalone przeze mnie akcje.

↳ Odpisywanie na maila
↳ Uruchamianie asystenta AI
↳ Zablokowanie ekranu

Jeśli mowa o asystencie AI, to korzystam z Alice — to pewnego rodzaju nakładka na wiele LLM-ów.

Bardzo przyjemne rozwiązanie do codziennego użytku.
https://www.heyalice.app/

Ale ja nie o tym! :)

W Keboard Maestro mam napisany scenariusz, który:

1) Kopiuje zaznaczony fragment tekstu
2) Wyświetla popupa systemowego z zapytaniem "Co odpisać?"

Gdy w oknie z odpowiedzią wpiszę tekst i nacisnę ENTER, używam Pythona i CURL-a do wysłania zarówno skopiowanego tekstu, jak i mojej odpowiedzi do skryptu PHP hostowanego gdzieś na moim koncie, na Mikrusie.

https://mikr.us

Otrzymaną od backendu odpowiedź wrzucam do schowka systemowego, a następnie odtwarzam dźwięk, abym wiedział, że mogę już coś wkleić do okna odpowiedzi.

Generowanie odpowiedzi zajmuje przeważnie od kilku do kilkunastu sekund, w zależności od długości maila.

OK, ale gdzie jest ta oszczędność czasu?!

Wyobraź sobie, że dostaję dłuuuugiego maila z zaproszeniem na konferencję. Niestety, termin mi nie odpowiada, bo koliduje z innym wystąpieniem.

Zaznaczam treść maila, klikam magiczny przycisk i wpisuję:
"jestem wtedy w Gdańsku"

Tak, dosłownie kilka słów wystarcza.

W odpowiedzi otrzymuję ładnie zredagowanego w moim stylu maila, gdzie dziękuję za zaproszenie, ale grzecznie odmawiam, ponieważ akurat w tym terminie występuje  na innej konferencji, ale w Gdańsku. Dopisuję, że może za rok się uda.

Jeśli przypomina Ci to słynnego mema, to musisz wiedzieć, że był on dla mnie inspiracją 😉

No OK, ale wszystko muszę napisać, bo GPT-4o nic nie wie na mój temat?

Wie na mój temat wszystko, co jest mu potrzebne do pracy.

Dodatkowo zna linki do dokumentacji, które często wklejam, ceny moich produktów w sklepie, standardowe odpowiedzi na pytania przedzakupowe itp.

Skąd ta wiedza?

Stosuję coś na wzór prostego RAG-a.

Wiedzy nie ma wiele, więc mam jeden, prosty plik z wiedzą.
Podzielony jest on na sektory. Są tam informacje o mnie, o firmie, o produktach itp.

Skrypt wybiera to, co akurat wg niego jest potrzebne do udzielenia odpowiedzi.

Nie korzystam z douczonego (fine-tuning) modelu, a po prostu wrzucam do kontekstu wiedzę, której model może potrzebować do udzielenia odpowiedzi na pytania. Zaznaczam także, aby model nie odpowiadał na podstawie wiedzy własnej (aby ograniczyć totalne ściemnianie ze strony LLMa).

Mój automat odpowiada także w formacie, w jakim ja najczęściej to robię, czyli cytując pytania zawarte w mailu i odpowiadając na nie poniżej.

Jeśli model umie odpowiedzieć na pytanie, to odpowiada, a w przeciwnym przypadku wrzuca do odpowiedzi znacznik [odpisz].

Przychodzący mail może wyglądać przykładowo:

"Siema! Jak na Mikrusie postawić XYZ? Będziesz na konferencji ZZZ? Co tam u Ciebie?"
Mój input: "Będę jako prelegent"

Jak będzie wyglądała odpowiedź automatu?

> Jak na Mikrusie postawić XYZ?

Szczegółowy poradnik znajdziesz tutaj: [URL wyjęty z bazy].
W razie problemów pytaj.

> Będziesz na konferencji ZZZ?
Będę i nawet mam tam prelekcję!
Jak rozumiem, też się wybierasz, więc do zobaczenia na miejscu!

> Co tam u Ciebie?
[odpisz]

Tak przygotowane odpowiedzi uzupełniam czasami o 1-2 zdania od siebie lub poprawiam niektóre słowa, aby brzmiały sympatyczniej.

Niemniej, poprawa kilku słów jest szybsza niż znalezienie dokumentacji do np. 3 rzeczy i odpowiedź na wałkowane od lat 5 pytań związanych z hostingiem.

To ten moment, gdy powinny zacząć pojawiać się komentarze:
"OMG! SECURITY!!! RODO! Dane wyciekają!!!111111" 

Rozwiązanie jest proste:
Nie wysyłam do automatu danych, które jakkolwiek uważam za wrażliwe 🤷‍♂️

80% maili, na które odpisuję to zapytania handlowe i pytania techniczne

No dobra, ale ile to kosztuje?

Szczerze mówiąc, to nie wiem. Nie chce mi się tego liczyć.

Szacuję, że odpowiedź na jednego maila to coś w okolicach 2-3 groszy? Jak odpiszę dziennie np. na 10-15 maili, to kwota jest raczej pomijalna.

Oszczędność czasu liczona w setkach godzin rocznie już pomijalna nie jest, więc to rozwiązanie stanowi dla mnie ogromne usprawnienie pracy.

Docelowo chcę podmienić plikową bazę na coś wektorowego (qdrant?), aby lepiej wnioskować na podstawie kontekstu, o co chodzi nadawcy.

Jeśli chcesz zrozumieć jak wykorzystać sztuczną inteligencję jako backend w swoich aplikacjach, nauczyć się integrować LLMy z istniejącymi rozwiązaniami IT i ze swoimi danymi, to jeszcze dziś do północy możesz zgarnąć szkolenie AI Devs 3 w niższej cenie.

https://aidevs.pl/?ref=unknowX

Pamiętaj, że rozwiązania, którymi się dzielę, to coś, co sprawdza się u mnie.

Prowadzę własny biznes, miewam problemy z ogarnianiem poczty elektronicznej i jest szansa, że są to realia nijak nieprzystające do Twoich.

Dawno nie odpisywałem na maile...

Dziś przeglądałem plik "Dockerfile" z pewnego projektu.
W źródłach znalazłem:

RUN apk add libpng-dev libwebp-dev freetype-dev libpng-dev libpq-dev
[...tutaj build...]
RUN apk del libpng-dev libwebp-dev freetype-dev libpng-dev libpq-dev

Da się to zrobić lepiej i łatwiej 🧵 ↓

Jeśli korzystasz z Alpine jako bazy dla obrazu kontenera, to pakiety możesz instalować z opcją "--no-cache".

Tworzysz obraz, który ma być możliwie mały — po co Ci trzymanie na dysku ściągniętych paczek?

RUN apk add --no-cache [tutaj lista paczek]

Druga sprawa, do duplikowanie kodu.

Na początku Dockerfile masz listę np. 30 paczek niezbędnych przy kompilacji, a na końcu masz... tę samą listę, ale do odinstalowania (aby zmniejszyć rozmiar obrazu).

Pod względem efektów, jest to OK, ale pojawia się pewien problem...

Jeśli zauważysz, że brakuje Ci jakiejś paczki, musisz dopisać ją w dwóch miejscach Dockerfile jednocześnie. To generuje zbyteczną pracę i daje szansę na wpadkę (coś instalujesz, ale zapominasz odinstalować).

Na Alpine Linux paczki można grupować za pomocą przełącznika "--virtual".
Na tak utworzonej paczce można później łatwiej operować.

RUN apk add --no-cache --virtual cli-tools wget curl netcat-openbsd
[...operacje...]
RUN apk del cli-tools

Po parametrze "--virtual" podana jest nazwa, która będzie określać Twój zestaw paczek. U mnie to jest "cli-tools".

Nazwa jest dowolna i równie dobrze może nazywać się "reksio" - jeśli tak akurat potrzebujesz ;)

W kolejnym kroku usuwam taką 'paczkę', odwołując się do jej nazwy.

Jeśli zależy Ci na mocnym ograniczeniu wielkości obrazu, to możesz (niekiedy) pokusić się o zastosowanie multi-stage buildów, gdzie jeden z kontenerów używany jest do budowania aplikacji, a drugi zawiera już tylko czystą wersję aplikacji.

Nie zawsze da się to zastosować.

Istnieje szansa, że pomyślisz "Eeeej! chyba każdy to wie!".
No więc nie każdy 😃

Widziałem już tyle Dockerfile tworzonych metodą copy/paste (te same paczki na początku i końcu pliku), że jestem przekonany, że znajdą się osoby, dla których będzie to nowość usprawniająca pracę.

Jak już o kontenerach mowa, to trzeba je mieć gdzie stawiać.
Jeśli ma to być Twoje środowisko developerskie, to rzuć okiem na Mikrusa.

https://mikr.us

To serwer VPS zachowujący rozsądny stosunek między ceną i jakością.

Sprytniejszy sposób instalacji pakietów w kontenerach

W jaki sposób robię research materiałów do swojego newslettera?
Posługuję się między innymi RSS-ami, ale nie tak jak myślisz 🤓

Pełen workflow  🧵 ↓

Jako backend do obsługi RSS-ów używam serwisu Feedly.
Dlaczego nazywam to "backendem", a nie po prostu "czytnikiem"?

Bo nie czytam w tej aplikacji niczego i loguję się tam przeważnie raz na kilka miesięcy. Mam tam zbyt wielki śmietnik, aby to okiełznać 😉

Do wydobywania artykułów z Feedly wykorzystuję aplikację MAKE.

Prosty scenariusz składający się z dosłownie kilku kroków sprawdza, czy nowe artykuły, które pojawiły się w RSS-ach, pasują do moich zainteresowań i do tematyki, która interesuje moich czytelników.

Scenariusz w Make, wykonujący się regularnie, co 3 godziny, zwraca tylko nowe wpisy (z limitem ustawionym na 20 wpisów).

Wszystkie wyciągnięte tak artykuły scalam w jednego, długiego JSON-a.

Struktura to tablica:
[{"title":"aaa", "description":"bbb","url":ccc"}, ...]

Tak zbudowany JSON trafia do LLM-a (AI).

W moim przypadku jest to llama-3-sonar-large-32k-chat uruchamiany na infrastrukturze od Perplexity.

Model wybrałem doświadczalnie i w Twoim przypadku może sprawdzić się inny.

Model AI otrzymuję instrukcję (to parafraza, a nie cytat!):

"Za chwilę otrzymasz JSON-a z tytułami i opisami artykułów. Zostaw w nim tylko to, co lubię i koniecznie pozbądź się tego, co mnie denerwuje. Oto lista moich preferencji:
- lubię tutoriale
- nie chcę newsów o XYZ"

Wiadomo, że zapytanie jest bardziej rozbudowane, ale chcę pokazać konstrukcję.

Prompt zawiera oczywiście jeszcze informację o konieczności zwrócenia odpowiedzi bez formatowania, bez komentarzy i w formacie JSON.

Niestety, nie każdy model radzi sobie dobrze z budową JSON-a.

Tak przygotowany i odfiltrowany plik JSON nadal jest parsowany w Make.

Rekord po rekordzie wrzucam wszystkie pozostałe w nim artykuły do aplikacji Raindrop (coś jak Pocket/Instapaper).

Dzięki temu zabiegowi, w aplikacji mam tylko potencjalnie interesujące artykuły.

Kolejny krok to już po prostu czytanie tego, co udało mi się zebrać i wyławiania z trzycyfrowej liczby adresów URL około 30-35 subiektywnie najlepszych.

Przeważnie trwa to z 6-8 godzin — zależnie od dnia.

Kiedyś otrzymałem komentarz "jeśli musisz filtrować RSS-y, to znaczy, że obserwujesz złe feedy!". Oczywiście możesz tak powiedzieć, jeśli obserwujesz 3-4 źródła i 100% artykułów z nich Cię interesuje.

Niestety, istnieją portale, które dziennie produkują po 30-50 wpisów w RSS 😱

Przy dostatecznie dużej skali, automatyzacja filtrowania to coś, bez czego nie wyobrażam sobie pracy.

Oczywiście, niektóre z czytników mają wbudowane filtrowanie po słowach kluczowych, ale to niestety nie wystarcza i powoduje spore zamieszanie.

Przykładowo: chcesz się pozbyć wszystkich newsów o Facebooku, więc do listy zakazanych słow dodajesz "facebook", a tymczasem nagłówki w RSS, to:

- portal Zuckerberga znów ma kłopoty
- niebieska społecznościówka zakazana na Madagaskarze?

LLM ogarnie to bez problemu.

Sztuczna inteligencja jest tutaj przeze mnie używana w celu zrozumienia potencjalnego sensu artykułu (wiadomo, czasami przeleci jakiś clickbait), a nie do wyszukiwania keywordsów, bo to dałoby się zrobić znacznie prościej.

To, co opisałem to oczywiście tylko pewna część pracy, którą wykonuję. Pominąłem czytanie kilkudziesięciu newsletterów, skanowanie subredditów, czy współpracę z zewnętrznym dostawcą treści zatrudnionym na moje potrzeby.

Research materiałów do newslettera

Od 7+ lat prowadzę działalność, która niestety nierozłącznie związana jest z moim nazwiskiem. W oczach wielu ludzi "firma to ja".

Generuje to wiele problemów  🧵 ↓

Mam kilka filarów działalności. Sprzedaję szkolenia, mam własny hosting serwerów VPS, jestem twórcą online oraz zarabiam na współpracach i afiliacji.

Z powodu rozrostu biznesu, podejście typu 'samotny mikroprzedsiębiorca' już od kilku lat się nie sprawdza.

Zatrudniam ludzi.

Spora część biznesu została przeze mnie zautomatyzowana (i tutaj wielkie  ❤️ dla rozwiązań bazujących na LLM), a pewną część wymagającą ludzkiej ręki wydelegowałem do pracowników.

Niestety jak wspomniałem, dla znacznej większości moich klientów "firma to ja".

Ostatnio wyjechałem na 2-tygodniowy urlop. Nie powinien to być problem, bo nad hostingiem czuwają admini, którzy świetnie radzą sobie ze zgłoszeniami.

Po urlopie jednak zauważyłem, że ogrom zgłoszeń nie wpadł do kolejki ticketowej, ani na maila supportowego. Zgłoszenia wpadały na mojego prywatnego maila... i Instagrama... i Facebooka... i Twittera/X 😱

"Cześć Kuba! Strona mi padła. Weź napraw"
"Czekam już 8 dzień na naprawę!"

Oczywiście użytkownicy hostingu wiedzą, jak powinno się zgłaszać problemy techniczne, co nie zmienia faktu, że sporo wiadomości w social mediach zaczyna się od:

"nie będę otwierał zgłoszenia i tutaj Ci szybko napiszę...."  🤦‍♂️

'Privy' sprawdzam przeważnie raz na 7-10 dni.

Kolejny problem, jaki się pojawia, to hejterzy.

Każdy twórca online ma ich kilku(nastu/set) i to nic nadzwyczajnego.

Niestety, 'firma to ja', więc na celowniku są wszystkie odnogi mojego biznesu. Ataki DDoS skierowane w serwery z powodu "bo nie lubię Mrugalskiego!" to norma.

Z hejterami związany jest jeszcze jeden problem - "ryzyko wizerunkowe".

Co pewien czas ktoś stara się rozkręcić jakąś mini aferę wokół mnie. Jakieś pomówienie, fałszywe oskarżenia, trochę przykrych słów, ale "firma to ja", więc bezpośrednio przekłada się to na dochody i zyski.

Istnieją klienci 'VIP' (urzędy, duże instytucje, uczelnie itp.), którzy bywają niekiedy niemal oburzeni, że nie są obsługiwani przez Mrugalskiego, tylko ich poważne sprawy zostały oddelegowane do pracowników.

Na ich miejscu wolałbym, aby ktoś inny zajął się ich problemem 😉

Bazowanie na marce osobistej przy rozwoju firmy jest dobrym pomysłem na start, ponieważ:

↳ ludzie łatwiej zaufają osobie, a nie firmie
↳ zwiększa to także zaufanie do samej marki
↳ zdobywanie nowych klientów jest łatwiejsze i szybsze

Tak przynajmniej jest do czasu.

"Zadaniowy ping-pong" polegający na wysyłaniu zgłoszeń do mnie, odbiciu ich do zespołu i dopiero wykonaniu, powoduje zmniejszenie skalowalności firmy i znacznie spowalnia obsługę klientów.

Od ponad roku myślę o tym, jak zmienić wizerunek firmy w taki sposób, aby klienci (i hejterzy) nie utożsamiali jej bezpośrednio ze mną.

Jednocześnie nie mogę nagle stać się anonimowy, bo to działalność budowana na marce osobistej.

Jakieś pomysły, jak mógłbym to osiągnąć?  🤔

Marka osobista w biznesie — problemy z tym związane

🕵️‍♂️ Agenty, to ostatnio gorący temat w świecie sztucznej inteligencji, tylko... o co w tym chodzi i czym/kim są wspomniani agenci?!

Jak podejście oparte na agentach miałoby pomóc Ci w pracy?  🤔

Już tłumaczę  🧵 ↓

Wykorzystanie AI Generative AI przez programistów możemy podzielić na dwa główne przypadki:

1) Pomóż mi coś zrobić / zrób to ze mną (np. Copilot, ChatGPT)
2) Zrób to za mnie i działaj w tle!

To drugie podejście stosowane jest w automatyzacji, gdy GenAI działa na backendzie. 

Działanie na back-endzie polega na implementacji części logiki aplikacji na instrukcjach dla LLM. LLM może działać w chmurze (np. Anthropic API) lub lokalnie (np. Llama 3).

NIE oznacza to, że LLM generuje dla Ciebie kod aplikacji, tylko po prostu staje się jej częścią.

Przykładowo, piszesz automat, który usuwa z Twojej platformy obraźliwe komentarze. 

Jak to zrobisz?

Metoda klasyczna polega na wrzuceniu do słownika wszystkich wulgarnych słów. Niestety, praktyka pokazuje, że to działa bardzo kiepsko 🤷‍♂️

Gdy użytkownik napisze do drugiego "Ty małpo!" albo "ale z Ciebie pustak!", to Twój skrypt nie zadziała, ponieważ małpa i pustak nie są wulgaryzmami. Jednak taki komentarz nie powinien zostać opublikowany na stronie. 

LLM bez większego problemu wyłowi taki tekst i go usunie.

No OK, ale o co chodzi z agentami?  🤔

Typowe zastosowanie LLM w logice aplikacji, w uproszczeniu zakłada trzy rzeczy:

1) Programista umie wykonać to zadanie (zna proces)
2) Programista umie wytłumaczyć komuś to zadanie, nawet jeśli ten ktoś to dziecko 👶
3) zadanie jest proste

Niestety, nie zawsze wszystkie kroki z procedury są wymagane, ich kolejność może być różna, w trakcie operacji może dojść do błędu wymagającego dodatkowych akcji. Nie zawsze też wiemy, jak wygląda cel, więc nie możemy go poprawnie opisać.

Trudno to ogarnąć jednym promptem 😕

Tutaj z pomocą przychodzi wzorzec projektowy określany mianem Agentów AI ✌️😎

Agent to aplikacja zdolna do osiągnięcia celu, do którego NIE została zaprojektowana, posługując się zestawem narzędzi, z których umie korzystać. 

Pomyśl o nim jak o stażyście w firmie.

Stażysta nie wie, jakie zadanie będą na niego czekać w nowej pracy, ale za to w CV wpisał kilka posiadanych umiejętności:

• umiem wysyłać maile
• umiem używać wyszukiwarki
• wiem, jak się ściąga zdjęcia i inne pliki z internetu
• szybko się uczę nowych rzeczy!

Szef daje mu pierwsze zadanie:

"Musimy przygotować artykuł o ostatnim rozdaniu Oskarów. Sprawdź, którzy aktorzy zostali nagrodzeni. Spisz ich i wyślij na maila. A! Dołącz też ich jakieś fajne fotki".

Szef nie powiedział, jak zrobić to zadanie, a tylko podał oczekiwany wynik.

Czy stażysta sobie z tym poradzi? Zakładam, że tak.

Umie przecież wyszukać informacje np. w Google, pościągać zdjęcia i wysłać to wszystko na maila szefa. Ma dostęp do narzędzi, z których umie korzystać.

Tak samo jest z agentami wspieranymi przez LLM.

Przeważnie w celach biznesowych nie tworzy się agentów uniwersalnych, mogących wykonywać absolutnie dowolne zadania.

To albo zupełnie nie działa, albo jest piekielnie drogie w użyciu (koszty chmury lub zasobów lokalnych), albo działa bardzo słabo.

Specjalizowane systemy agentowe mogą jednak wykonywać pracę, do której NIE zostały stworzone, a jedynie posiadają do niej wymagane "kompetencje", czyli umieją korzystać z odpowiednich narzędzi.

Jakimi narzędziami może posługiwać się agent?  🤔

• Zewnętrzne źródła danych (np. firmowa baza danych)
• przeglądarka WWW (do wchodzenia na strony i używanie ich)
• interpreter np. Pythona (do tworzenia pomocnych skryptów)
• zaawansowany kalkulator

i wiele innych

O ile zadanie "zamów mi pizzę z ananasem z pizzerii XYZ pod adres ZZZ" brzmi absurdalnie w kontekście np. modelu GPT-4o, to w kontekście agenta umiejącego posługiwać się przeglądarką i posiadającego niezbędne dane na Twój temat jest realne do wykonania.

Da się to zautomatyzować.

Agent w praktyce wymaga, aby:

• narzędzie udostępniało API, którym mógłby się posłużyć (przeglądarki oparte np. na silniku Chromium takie posiadają lub mogą współgrać np. z PlayWright/Puppeteerem)

• wiedzieć, jak przekazać dane do narzędzia (tego uczy go programista)

Tworzenie rozwiązań agentowych nie jest łatwe, ale jest to kierunek, w którym będą zmierzać firmy przy wprowadzaniu automatyzacji i rozwiązań bazujących na sztucznej inteligencji.

Sama umiejętność napisania sprytnego prompta może już niebawem okazać się zbyt słabym skillem.

Wraz z Adamem Gospodarczykiem i Mateuszem Chrobokiem przeszkoliliśmy już kilka tysięcy programistów ze skutecznej integracji systemów IT z rozwiązaniami AI.

Jesienią będziemy uczyć budowy agentów 🕵️‍♂️
https://www.aidevs.pl/?ref=unknowAgent

Zobacz agendę i dołącz do nas ⬇️