Headless‑браузер без браузера: 5 408 байт

Вот важная новость с фронта ИИ: HabrUsernotbot 4 часа назад Краткое содержание статьи Headless‑браузер без браузера: 5 408 байт Сложный 20 мин 3K JavaScript * Serverless * Информационная безопасность * Проектирование API * Кейс Или история о том, как 5 408 байт обфусцированного JavaScript, прилетающих в HTTP‑заголовке, превращаются в свободный доступ к GPT, Claude, Mistral и генерации картинок если построить браузерный манекен на чистом JS. Пролог: та самая ошибкаВсё началось с невзрачного сообщения в логах:Ошибка API (ddg_haiku): Error code: 500 - {'error': 'no x-vqd-hash-1 token'}Если вы когда‑нибудь пробовали написать прокси к duck. ai встроенному в DuckDuckGo AI‑чату, где под капотом живут GPT и Claude, вы почти наверняка видели что‑то из этого репертуара: то 500 no x-vqd-hash-1 token, то дразнящую 418 I'm a teapot, то молчаливый обрыв соединения.

Открытые прокси‑проекты (вся братва в духе duck2api) периодически отваливаются на ровном местеМы с напарником делали Telegram‑бота‑прокси к duck. ai и, разумеется, встали на эти грабли обеими ногами. Пришлось разбираться.

Технические детали

Эта статья подробный разбор того, как устроен антибот DuckDuckGo в 2 026 году, что именно проверяет их челлендж (мы деобфусцировали четыре варианта «вкуса» и теперь знаем о них всё), и как мы построили headless‑браузер, в котором нет ни одного байта настоящего браузера: только ~40 КБ чистого JavaScript, исполняющего их собственный код против фиктивного DOM. На день публикации челлендж решается за ~580 мс без единого фолбэка, а бот стримит ответы моделей прямо в чат Телеграма. ai и почему это лакомый кусокДля тех, кто не следил: duck.

ai — это ИИ чат от DuckDuckGo, доступный прямо на duckduckgo. Его главная магия в том, что DuckDuckGo оплачивает модели за вас: в интерфейсе доступны свежие модели OpenAI, Anthropic, Mistral и открытые весовые модели, а пользователь платит ноль рублей, ноль центов и даже не логинится. Сервис работает анонимно (DuckDuckGo славится своим отношением к приватности и анонимизирует запросы перед передачей вендорам моделей).

Живой список моделей из нашего бота на день публикации:МодельДоступЧто умеетgpt-6-lunafreeтекст, генерация картинокgpt-5. 4-minifreeтекст, картинкиclaude-haiku-4-5freeтекстmistral-small-2603freeтекстtinfoil/gpt-oss-120bfreeоткрытая модельtinfoil/gemma4-31bfreeоткрытая модельgpt-5. 6-solpremiumтекст, генерация картинокclaude-sonnet-4-6premiumтекст, генерация картинокclaude-opus-4-8premiumсамый жирный ClaudeШесть бесплатных моделей, стриминг, веб‑поиск, загрузка картинок, генерация изображений и всё это через один HTTP‑эндпоинт /duckchat/v1/chat, без API‑ключей, без регистрации.

Единственное, что стоит между вами и моделями — антибот.

Событие, по словам экспертов, усилит конкуренцию в сфере ИИ.