Två berättelser publicerades samma vecka, och de flesta kommer att läsa dem var för sig. Den ena handlar om uppsägningar. Den andra handlar om en säkerhetsforskare som undersöker moderkort för servrar. Lästa tillsammans pekar de på ett karriärbyte som knappt får någon uppmärksamhet i den aktuella diskussionen om AI-kompetenser: att gå nedåt, inte uppåt, i stacken.

Applikationslagret blir allt trängre — avsiktligt

Metas intåg i agentbaserad kodning, Muse Code, är mindre anmärkningsvärt på grund av modellen bakom det än på grund av det arbetsflöde som automatiseras. Zuckerberg beskrev hur det skickar ut arbete ”till separata underagenter som arbetar parallellt i isolerade arbetskataloger” och hävdade att en testkörning byggde sex funktioner för ett spel samtidigt, utan krockar. Det är numera en grundförväntan: Anthropic, OpenAI och en våg av nystartade företag gör redan varianter av samma sak. Att planera, skriva och validera kod på applikationsnivå i stora kodarkiv håller på att bli en standardiserad förmåga som flera leverantörer tävlar om att ge bort eller paketera billigt.

Samtidigt minskade Monday.com sin personalstyrka med ungefär 20 % — omkring 600 personer — och hänvisade till en omstrukturering kopplad till ”omvandling” av produkt och go-to-market. Därmed anslöt de sig till en löpande lista på mer än 20 företag som i år har pekat ut AI som en faktor bakom nedskärningar. Ingen kan säga exakt hur mycket av detta som handlar om AI-ersättning jämfört med AI som en bekväm formulering i en SEC-anmälan. Men riktningen är densamma i båda berättelserna: koden som finns i ett git-arkiv, granskas i en PR och körs i en vanlig CI-pipeline är precis den kod som agentbaserade verktyg byggs för att hantera från början till slut.

Det agenter inte rör

Och så den andra berättelsen. Forskare presenterade den här veckan resultat som visar att tusentals internetanslutna servrar från stora tillverkare kan bakdörras på distans genom buggar i deras styrkretsar för basbord (BMC:er) — de små inbäddade datorerna på i stort sett alla företagsmoderkort som låter administratörer starta om, patcha eller installera om en maskin även när den är avstängd. Några av de underliggande bristerna i IPMI-protokollet som dessa styrkretsar bygger på har varit kända sedan åtminstone 2013. Forskarna kallade BMC-infrastrukturen en ”utbredd, bristfälligt övervakad och bristfälligt patchad parallell attackyta” — inte för att ingen kände till att risken fanns, utan för att nästan ingen hade resurser att åtgärda den.

Där har vi ledtråden. Det här är inte applikationskod. Det är firmware som kör sitt eget operativsystem och sin egen nätverksstack, i stort sett osynlig för de verktyg och arbetsflöden som agentbaserade kodningsassistenter är optimerade för. En agent som planerar en PR mot ett stort kodarkiv har inget att planera mot här — det finns inget arkiv, ingen testsvit, ofta inget incitament för leverantören att snabbt leverera en korrigering och en patchprocess som går via hårdvarutillverkare i stället för en `git push`. De färdigheter som spelar roll — inbäddad C, felsökning på protokollnivå, reverse engineering av firmware och säkerhetsforskning nära hårdvaran — finns i en del av stacken som dagens kodningsagenter inte är byggda för att nå och som de flesta teknikorganisationer kroniskt har underinvesterat i. Årtionden gamla kända brister är beviset.

Brasklappen, uttryckt tydligt

Det här är inte en uppmaning till alla utvecklare att skola om sig till firmwareingenjörer — det är en nischad marknad, och efterfrågan kommer inte att mäta sig med den på breda roller inom mjukvara. Argumentet är snävare: om din nuvarande roll ligger helt i den del av stacken som agentbaserade verktyg snabbast närmar sig — rutinmässig applikationskod, väl avgränsad till ett enda kodarkiv och väl täckt av tester — är det värt att känna till att det finns angränsande lager på lägre nivå där automatiseringsfronten ännu inte har nått fram, där färdigheterna går att lära sig utan en doktorsexamen i datavetenskap och där efterfrågesignalen (en tio år gammal, oåtgärdad attackyta som just har demonstrerats offentligt i stor skala) är ovanligt konkret.

Var du faktiskt kan börja den här månaden

  • Läs den primära forskningen, inte bara sammanfattningen. Ars Technicas artikel nämner protokollet (IPMI) och hårdvaruklassen (BMC:er från stora serverleverantörer) — det är din utgångspunkt för sökord när du letar efter leverantörers säkerhetsbulletiner och CVE-historik.
  • Skaffa praktisk erfarenhet av en öppen BMC-stack. OpenBMC och liknande projekt för öppen källkods-firmware låter dig läsa och ändra verklig BMC-kod utan att behöva ett datacenter — en helg räcker för att se hur annorlunda detta är jämfört med webb- eller applikationsutveckling.
  • Formulera om språket i ditt CV redan nu, även innan du skolar om dig. ”Out-of-band-hantering”, ”lights-out-administration” och ”attackyta under operativsystemet” är fraserna som gör att du hittas av team som rekryterar inom området, och de kostar inget att lägga till om erfarenheten faktiskt ligger nära det du har gjort.
  • Se det som diversifiering, inte som ett karriärbyte. Fortsätt leverera applikationskod — det är fortfarande den största delen av arbetsmarknaden — men lägg medvetet en del av din inlärningsbudget någonstans där en agent ännu inte kan skicka ut arbete till en arbetskatalog och åtgärda det åt dig.