To historier landede i samme uge, og de fleste vil læse dem hver for sig. Den ene handler om afskedigelser. Den anden handler om en sikkerhedsforsker, der undersøger serverbundkort. Læst sammen peger de på et karriereskift, der næsten ikke får taletid i den aktuelle samtale om AI-kompetencer: at bevæge sig nedad, ikke opad, i stakken.

Applikationslaget bliver mere og mere fyldt — med vilje

Metas indtog i agentisk kodning, Muse Code, er mindre bemærkelsesværdigt på grund af modellen bag end på grund af den arbejdsgang, det automatiserer. Zuckerberg beskrev, hvordan det spreder arbejdet ud på "separate underagenter, der arbejder parallelt i isolerede worktrees", og hævdede, at en testkørsel samtidig byggede seks funktioner til et spil uden sammenstød. Det er nu minimumsstandarden: Anthropic, OpenAI og en bølge af startups tilbyder allerede versioner af det samme. Planlægning, skrivning og validering af kode på applikationslaget på tværs af store repositories er ved at blive en standardiseret kapacitet, som flere leverandører kapløber om at give væk eller bundle billigt.

Samtidig opsagde Monday.com omkring 20 % af medarbejderne — cirka 600 personer — med henvisning til en omstrukturering knyttet til en "transformation" af produkt og go-to-market, og sluttede sig dermed til en løbende liste på mere end 20 virksomheder, der i år har peget på AI som en faktor i nedskæringer. Ingen kan sige præcist, hvor meget af dette der skyldes AI-substitution, versus AI som en bekvem formulering i en SEC-indberetning. Men udviklingsretningen er den samme i begge historier: Den kode, der ligger i et git-repository, bliver gennemgået i en PR og kører i en normal CI-pipeline, er præcis den kode, agentiske værktøjer bygges til at håndtere fra ende til anden.

Det, agenter ikke rører

Og så den anden historie. Forskere fremlagde i denne uge resultater, der viser, at tusindvis af internetforbundne servere fra store producenter kan få installeret en bagdør på afstand gennem fejl i deres baseboard management-controllere (BMC'er) — de små indlejrede computere på stort set alle enterprise-bundkort, som lader administratorer genstarte, patche eller geninstallere en maskine, selv når den er slukket. Nogle af de underliggende fejl i IPMI-protokollen, som disse controllere er afhængige af, har været kendt siden mindst 2013. Forskerne kaldte BMC-infrastrukturen for en "udbredt, utilstrækkeligt overvåget og utilstrækkeligt patchet parallel angrebsflade" — ikke fordi ingen kendte til risikoen, men fordi næsten ingen havde ressourcer til at løse den.

Det er afsløringen. Dette er ikke applikationskode. Det er firmware, der kører sit eget operativsystem og sin egen netværksstak, og som i vid udstrækning er usynlig for de værktøjer og arbejdsgange, som agentiske kodningsassistenter er optimeret til. En agent, der planlægger en PR mod et stort repository, har ikke noget at planlægge imod her — der er intet repository, ingen testpakke, ofte intet incitament hos leverandøren til at udsende en rettelse hurtigt, og en patchproces, der går gennem hardwareproducenter i stedet for en `git push`. De kompetencer, der betyder noget — embedded C, fejlfinding på protokolniveau, reverse engineering af firmware og sikkerhedsforskning tæt på hardware — befinder sig på en del af stakken, som den nuværende generation af kodningsagenter ikke er bygget til at nå, og som de fleste engineering-organisationer kronisk har underinvesteret i; de årtier gamle, kendte fejl er beviset.

Forbeholdet, sagt ligeud

Dette er ikke en opfordring til, at alle udviklere skal omskoles til firmwareingeniører — det er et nichemarked, og efterspørgslen vil ikke kunne måle sig med mainstream-softwarejob. Argumentet er smallere: Hvis din nuværende rolle ligger lige dér i stakken, hvor agentiske værktøjer konvergerer hurtigst — rutinemæssig applikationskode, solidt placeret i ét repository og godt dækket af tests — er det værd at vide, at der findes tilstødende lag på lavere niveau, hvor automatiseringsfronten endnu ikke er nået frem, hvor kompetencerne kan læres uden en ph.d. i datalogi, og hvor efterspørgselssignalet (en ti år gammel, upatchet angrebsflade, netop offentligt demonstreret i stor skala) er usædvanligt konkret.

Hvor du faktisk kan begynde denne måned

  • Læs den primære forskning, ikke kun resuméet. Ars Technicas gennemgang nævner protokollen (IPMI) og hardwareklassen (BMC'er fra store serverleverandører) — det er dit udgangspunkt for søgeord, når du leder efter leverandørmeddelelser og CVE-historik.
  • Få praktisk erfaring med en åben BMC-stak. OpenBMC og lignende open source-firmwareprojekter lader dig læse og ændre rigtig BMC-kode uden at have brug for et datacenter — en weekend er nok til at se, hvor anderledes dette er end web- eller applikationsudvikling.
  • Omformuler sproget på dit CV nu, også før du omskoler dig. "Out-of-band management", "lights-out administration" og "angrebsflade under operativsystemet" er de formuleringer, der vil gøre det muligt for teams, som ansætter til dette, at finde dig, og det koster ikke noget at tilføje dem, hvis erfaringen reelt ligger tæt på det, du har lavet.
  • Betragt det som diversificering, ikke et karriereskift. Bliv ved med at levere applikationskode — det udgør stadig størstedelen af arbejdsmarkedet — men brug bevidst en del af dit læringsbudget på et område, hvor en agent endnu ikke kan sprede arbejdet ud i et worktree og ordne det for dig.