Телеграм канал «QA-Логия»

Attack Replay: открытая тулза для тестов СЗИ

Хочешь быть уверен, что твоя защита реально рубит угрозы? Тогда перед внедрением проводишь приемочные испытания. Но готовить такие тесты — тот еще геморрой: под каждый продукт надо адаптировать трафик и сценарии.

Нормальной открытой утилиты, которая бы тупо брала трафик, модила его и воспроизводила, толком нет. Коммерческие решения стоят дорого или не покрывают всех ништяков. А спецам приходится дергать разные проги, теряя время на переключения.

Мы забацали Attack Replay — это опенсорсная утилита, которая сваливает в кучу функции нескольких инструментов и автоматом готовит и запускает тесты. В статье расписано, зачем это нужно, как устроено и какие результаты, а еще там ссылка на GitHub с кодом и готовыми pcap-файлами. Читать далее

👉 QA-логия

Ребята из Т‑Банка, которые шарят за кредитные продукты для физлиц, рассказали, как они гоняли нагрузочные тесты на Zeebe — движке, на котором базируется Camunda 8. Всё это замутили, когда искали, чем бы заменить Camunda 7.

Про Zeebe ходит куча мифов: мол, тормозит, настраивать — геморрой, да и в целом нестабильная штука. Авторы справедливо замечают, что большинство таких отзывов базируется на информации про очень старые версии.

Команда решила не верить слухам, а проверить всё сама, учитывая, что продукт уже успел апгрейднуться. Детали выкатили в статье на Хабре.

Почитать

👉 QA-логия

ESLint-plugin-playwright пропускает потенциально опасные тесты

Сценарий простой: тест долбит клик с force: true, потом тупит waitForTimeout(3000) и забывает хоть что-то проверить. Но CI с воткнутым eslint-plugin-playwright радостно зелёный — все три этих говнокейса в recommended-настройках висят как warning.

Автор разобрал исходники плагина и выяснил, что там объявлено error, а что просто warn. Внутри лежит конфиг, который разруливает этот бардак. Плюс список из десяти правил ревью, которые линтер никогда сам не отловит.

Читать далее: habr.com/ru/articles/1058692

👉 QA-логия

⁣Привет, коллеги. Замечали, как AI выдаёт «похоже на баг», а ты тратишь время, а это - особенность поведения? Сегодня про то, как не попасть в ловушку ложных срабатываний и превратить нечёткий сигнал в баг-репорт, который разработчики примут без споров.

Почему AI ошибается? Нейросеть не видит контекст. Она смотрит на строки кода или скриншоты, но не знает бизнес-логику, историю фичи или намерения разработчика. AI «ловит» визуальные несоответствия, но не отличает баг от временного состояния или преднамеренного дизайна.

Как превратить «похоже на баг» в аргументированный репорт? Работает старый принцип: «доверяй, но проверяй».

1. Воспроизведи сам. Никогда не заводи баг только на основе скриншота AI. Пройди шаги вручную или посмотри логи. Убедись, что баг стабильно воспроизводится.
2. Собери контекст вне AI. Посмотри консоль браузера, ответы сервера. AI мог увидеть «красный текст», но не понял, что это заложенное сообщение валидации. Отдели реальную проблему от шума.
3. Сравни с требованиями. Проверь документацию и макет. Если AI видит несоответствие - докажи, что «задумка» не совпадает с фактическим поведением, а не просто цитируй нейросеть.
4. Проверь на граничных значениях. AI часто «залипает» на типовые сценарии. Протестируй с разными данными - это подтвердит баг или покажет, что он был случайным.
5. Формулируй чётко. В репорте не должно быть «похоже на баг». Пиши: «Шаг 1. Открыть страницу. Результат: оранжевый фон вместо белого. Ожидаемый результат: фон белый (дизайн-система v.2.3)».

Типичные ошибки:
- Копипаст из AI. Фраза «AI говорит, что это баг» - не аргумент. Разработчики верят твоей проверке.
- Отсутствие приоритета. Не заводи средний баг на косяк в неиспользуемой админке.
- Игнорирование воспроизводимости. Не смог воспроизвести - не заводи. Иначе получишь «cannot reproduce».

AI - отличный помощник для первичного анализа логов и скриншотов. Он подсвечивает места для проверки, но не заменяет критическое мышление. Ты - фильтр между сырым сигналом и фактом. Чем лучше фильтруешь, тем выше твой авторитет.

Не будь «передатчиком» нейросети. Заводи баг-репорт только после своей верификации. Это развивает мышление, экономит время команды и спасает репутацию.

ИИ-багхантинг: как не захлебнуться в фолз-позитивах

Скормить ИИ-агенту задачу на багбаунти — раз плюнуть. А вот превратить его поток сознания в реальные багрепорты, чтобы не получить бан за мусор — уже цирк с конями. Один чувак из Bastion-отдела реагирования на инциденты уже полтора года копается в багбаунти, а последние полгода подвязал к этому LLM. В тексте: четыре стратегии ИИ-охоты, четыре метода оплаты модели, три этапа проверки и пайплайн с двумя агентами.

Все детали — на Хабре.

👉 QA-логия

🥲 Зарплаты айтишников растут медленнее инфляции

Это показало новое исследование на 45+ тысяч зарплат специалистов. Изучаем главное, чтобы быть готовыми к рынку:
- Медианная зарплата в IT в первой половине 2026 года составила 191 000 ₽ — это всего на 4% больше, чем полгода назад. При этом прогнозируемая годовая инфляция — 4,5–5,5%.

- Самый щедрый по офферам город, разумеется, Москва. Там медиана по зп — 235 тысяч, в регионах же всего 160.

- Топ-5 самых высокооплачиваемых специальностей в IT: на первом месте — разработчики, дальше идут менеджеры, администраторы, специалисты по информационной безопасности и аналитики.

- Самые высокие зарплаты среди языков при этом у Objective-C — этим гигачадам предлагают 400 000 ₽. Следом идут Elixir (348к), Swift и Golang с 326 и 325 тысячами рублей.

✖️ xCode Journal

ИИ убьёт работу QA? Мы скормили ему две тысячи своих тестов и вот что выяснили

Автотесты придумали, чтобы не тратить время впустую. Но в один прекрасный момент до нас дошло: мы вбухиваем в их поддержку больше, чем они экономят. Тест обосрался в CI — открываешь Allure, лезешь на стенд через VPN, логинишься, лазаешь по DOM'у, ищешь, какой локатор решил умереть. Полчаса-час на один тест — норм расклад. Деплойнули релиз — ещё пара дней улетает на то, чтобы подлатать локаторы, после того как фронтендеры решили переделать вёрстку. А когда с утра видишь 200 красных тестов при нетронутом коде, начинается движуха под названием «кто всё сломал».

Мы попробовали эту хрень, но чуда не случилось. ИИ берёт на себя часть тупой работы и отжирает несколько часов, но на серьёзных кейсах он тупит, зацикливается и с уверенным лицом выдаёт левые локаторы за настоящие.

Хай, я Егор Лаптев — QA Fullstack Java в SENSE на проекте одного большого российского банка. В статье разбираю, где ассистент реально помогает, а где только плодит геморрой. Показываю, как он работает изнутри, и разбираю шесть рабочих кейсов с кодом. Выделил ограничения и сколько это всё стоит. В примерах стек Selenide, Cucumber, REST Assured, Allure, Kafka и Moon в Kubernetes, но саму идею можно перетащить на любую связку UI- и API-тестов. Читать дальше

👉 QA-логия