To historier kom på trykk i samme uke, og de fleste vil lese dem hver for seg. Den ene handler om oppsigelser. Den andre handler om en sikkerhetsforsker som undersøker serverhovedkort. Lest sammen peker de mot et karriereskifte som får nesten ingen oppmerksomhet i den pågående samtalen om AI-ferdigheter: å gå nedover, ikke oppover, i stakken.

Applikasjonslaget blir stadig mer overfylt — med hensikt

Metas inntog i agentbasert koding, Muse Code, er mindre bemerkelsesverdig på grunn av modellen bak enn på grunn av arbeidsflyten den automatiserer. Zuckerberg beskrev hvordan den sprer arbeidet ut til «separate underagenter som jobber parallelt i isolerte arbeidstrær», og hevdet at en testkjøring bygget seks funksjoner til et spill samtidig, uten konflikter. Dette er nå et grunnkrav: Anthropic, OpenAI og en bølge av oppstartsbedrifter tilbyr allerede varianter av det samme. Planlegging, skriving og validering av kode på applikasjonslaget på tvers av store kodebaser er i ferd med å bli en standardisert kapasitet som flere leverandører kappes om å gi bort eller pakke inn billig.

Samtidig kuttet Monday.com rundt 20 % av arbeidsstyrken — omtrent 600 personer — med henvisning til en omstrukturering knyttet til «transformasjon» av produkt og go-to-market, og føyde seg inn i en løpende liste over mer enn 20 selskaper som i år har pekt på AI som en faktor i nedskjæringene. Ingen kan si nøyaktig hvor mye av dette som er AI-erstatning, kontra AI som en praktisk formulering i en SEC-innlevering. Men utviklingen går i samme retning i begge historiene: Koden som ligger i et git-repositorium, blir gjennomgått i en PR og kjører i en vanlig CI-pipeline, er nettopp koden agentbaserte verktøy bygges for å håndtere fra ende til annen.

Det agentene ikke berører

Så var det den andre historien. Forskere presenterte denne uken funn som viser at tusenvis av internettilkoblede servere fra store produsenter kan bakdøres eksternt gjennom feil i baseboard management-kontrollerne (BMC-ene) — de små innebygde datamaskinene på praktisk talt alle hovedkort for virksomheter, som lar administratorer starte en maskin på nytt, oppdatere den eller installere et nytt systembilde selv når den er slått av. Noen av de underliggende svakhetene i IPMI-protokollen disse kontrollerne er avhengige av, har vært kjent siden minst 2013. Forskerne kalte BMC-infrastrukturen en «utbredt, utilstrekkelig overvåket og utilstrekkelig oppdatert parallell angrepsflate» — ikke fordi ingen visste at risikoen eksisterte, men fordi nesten ingen hadde fått ressurser til å utbedre den.

Det er det som avslører det. Dette er ikke applikasjonskode. Det er fastvare som kjører sitt eget operativsystem og sin egen nettverksstakk, i stor grad usynlig for verktøyene og arbeidsflytene som agentbaserte kodeassistenter er optimalisert for. En agent som planlegger en PR mot et stort repositorium, har ingenting å planlegge mot her — det finnes ikke noe repositorium, ingen testpakke, ofte heller ingen leverandørinsentiv til å sende ut en løsning raskt, og en oppdateringsprosess som går gjennom maskinvareprodusenter i stedet for en `git push`. Ferdighetene som betyr noe — innebygd C, feilsøking på protokollnivå, reversering av fastvare og sikkerhetsforskning tett på maskinvaren — befinner seg i en del av stakken som dagens kodeagenter ikke er bygget for å nå, og som de fleste teknologiorganisasjoner kronisk har underinvestert i; ti år gamle kjente sårbarheter er beviset.

Forbeholdet, sagt rett ut

Dette er ikke en oppfordring til at alle utviklere skal omskolere seg til fastvareingeniører — det er et nisjemarked, og etterspørselen vil ikke kunne måle seg med vanlige programvareroller. Argumentet er snevrere: Hvis din nåværende rolle befinner seg midt i den delen av stakken som agentbaserte verktøy raskest samler seg rundt — rutinemessig applikasjonskode, godt innenfor ett enkelt repositorium og godt dekket av tester — er det verdt å vite at det finnes tilstøtende lag på lavere nivå der automatiseringsfronten ennå ikke har nådd frem, der ferdighetene kan læres uten en doktorgrad i informatikk, og der etterspørselssignalet (en ti år gammel, uoppdatert angrepsflate som nettopp er offentlig demonstrert i stor skala) er uvanlig konkret.

Hvor du faktisk kan begynne denne måneden

  • Les den primære forskningen, ikke bare sammendraget. Ars Technicas gjennomgang navngir protokollen (IPMI) og maskinvareklassen (BMC-er fra store serverleverandører) — det er utgangspunktet for søkeordene dine når du skal finne leverandørråd og CVE-historikk.
  • Få praktisk erfaring med en åpen BMC-stakk. OpenBMC og lignende fastvareprosjekter med åpen kildekode lar deg lese og endre ekte BMC-kode uten å trenge et datasenter — en helg er nok til å se hvor annerledes dette er enn web- eller applikasjonsutvikling.
  • Omformuler CV-språket ditt nå, selv før du omskolerer deg. «Out-of-band-administrasjon», «lights-out-administrasjon» og «angrepsflate under operativsystemet» er formuleringene som gjør at team som ansetter til dette, finner deg, og det koster ingenting å legge dem til hvis erfaringen faktisk ligger nært opp til det du har gjort.
  • Se på det som diversifisering, ikke et karriereskifte. Fortsett å levere applikasjonskode — det utgjør fortsatt mesteparten av arbeidsmarkedet — men bruk bevisst en del av læringsbudsjettet ditt et sted der en agent ennå ikke kan spre arbeidet ut i et arbeidstre og fikse det for deg.