Дайджест #103. П'ятниця, 6 листопада

Discord відмовляється від Electron і React Native та повністю переписує застосунки на Rust. Новий десктопний клієнт для Windows вже споживає лише 290 МБ RAM замість звичного 1 ГБ і більше. Мобільні версії збережуть нативний UI, але розділятимуть спільний код з десктопом через Rust. Точних термінів переходу поки немає, але компанія обіцяє скоро вивести нову версію в тестування.

Нарешті чат для геймерів перестане їсти більше пам'яті, ніж самі ігри.

Починаючи з GNU coreutils 9.5 у mv є опція --exchange, що міняє два файли чи директорії місцями однією атомарною операцією через renameat2() з флагом RENAME_EXCHANGE. Це прибирає класичний танок з трьома командами і тимчасовим файлом, а також момент, коли один зі шляхів взагалі не існує, що зручно для конфігів і швидкого rollback тією ж командою. Для директорій треба додавати -T, а обидва шляхи мають бути на одній файловій системі з підтримкою цієї функції, такій як ext4, Btrfs, XFS або tmpfs.

Файли з іменем backup-old-tmp-final нарешті можуть піти на пенсію.

CEO Palantir Алекс Карп після зростання виручки за Q3 на 96% до $2.31 млрд назвав компанію піонером справжнього антивоєнного руху, бо її військовий софт нібито відлякує ворогів загрозою болю і повертає солдатів додому живими. Водночас він заявив про моральний імператив домінувати в індустрії і радість від того, що підтримка war fighter приносить стільки грошей. Автор підкреслює контраст між пацифістською риторикою, донатом Карпа в $1 млн на MAGA Inc та співпрацею Palantir з ICE, яку критикували американські судді.

Мир через залякування і рахунки на мільярди, класична формула пацифізму.

OpenSSH на musl-системах без PAM з 2016 року впускав у заблоковані акаунти з `*` в /etc/shadow за будь-яким паролем довшим за 256 символів. Так вийшло через збіг трьох речей: musl повертає `*` при помилці crypt() замість NULL, відкидає паролі понад 256 байтів заради захисту від DoS, а OpenSSH хешує пароль такого акаунта з salt іншого користувача щоб вирівняти час відповіді. У підсумку результат crypt() буквально збігається зі значенням в shadow і перевірка проходить, включно з root і дефолтним юзером хмарних образів Alpine. Лікується оновленням до OpenSSH 10.6p2 або вимкненням PasswordAuthentication.

Якщо тримаєте Alpine з SSH назовні, оновіться і гляньте логи на входи з аномально довгими паролями.

Baidu відкрила ваги ERNIE-5.5-Flash-Base, sparse MoE моделі на 280B параметрів з 14B активованих на токен, натренованої з нуля на 33.5T токенів з контекстом до 128K і підтримкою 1M для fine-tuning та inference. Це чистий checkpoint після pre-training без mid та post-training, задуманий як основа для domain adaptation, instruction tuning та RL досліджень, зі ставкою на ефективність через hybrid sparse attention, Multi-Router Latent MoE, mHC, MultiMax та ECHO. За тестами авторів на 30 benchmark модель випереджає DeepSeek-V4-Flash-Base, Hy3-preview-Base та MiMo-V2.5-Base у більшості категорій, особливо в reasoning, code та exam.

Ваги вже лежать на Hugging Face у FP8 та BF16, тож заощадити на pre-training пропонують саме вам.

Вийшов Portable OpenSSH 10.6p2 з критичним workaround проти обходу password authentication в sshd на Linux системах з musl libc та вимкненим PAM. Реліз також дозволяє постквантову hybrid схему підпису ssh-mldsa44-ed25519 як CA signature і виправляє дрібні баги, включно з CPU spin при використанні ChannelTimeout. Команда відзначає лавину security звітів, знайдених за допомогою AI, тому випускатиме фікси частіше, а також попереджає про майбутнє прибирання прапорця scp -R.

GitHub-добірки з префіксом awesome колись були зручними кураторськими колекціями, але без активної підтримки вони швидко застарівають, а звичайний запит до AI-моделі дає свіжіший результат. Одночасно їх завалюють pull request з просуванням generic vibe-coded інструментів, коли один автор розсилає сотню однакових пропозицій у різні списки. Через це формат хоч і не помер остаточно, але як спосіб шукати ресурси вже майже не працює.

Схоже, awesome-списки тепер існують переважно для того, щоб боти могли спамити ботів.

На N64 не було місця для записаного аудіо: ADPCM економив лише в 4 рази, а MP3 і Opus занадто сильно вантажили CPU для фонової музики під час гри. Виходом став ULC, маловідомий transform codec з MDCT як у MP3, але без Huffman кодування, з простою nibble упаковкою коефіцієнтів, що легко лягає на векторний RSP. Автор перевів декодер на 16-bit fixed point з блоком 1024 семпли і переніс IMDCT на RSP, вклавшись у 4096 байт памʼяті інструкцій. У підсумку стерео 44100 Hz декодується з бітрейтом рівня Opus, займаючи лише близько 4% CPU і 5% RSP, тож тепер годиться для музики і озвучки у грі.

Схоже, щоб вдихнути життя в залізо 1996 року, знадобилися кодек для GBA і трохи допомоги від Codex.

Після переходу Apple на ARM і відмови від x86 в macOS 27 рух hackintosh вважали завершеним. AI-асистенти для кодингу разом з Ghidra дали спільноті друге дихання і різко прискорили reverse engineering драйверів та завантажувача. Тепер macOS 27 запускають на Snapdragon-лептопах і ARM-платі RK3588 з Mali-драйверами, iOS 17 на Nintendo Switch OLED, плюс з'явилась підтримка Nvidia 50-series, нативного AirDrop і апаратного декоду відео.

Apple закрила двері, а спільнота попросила AI намалювати нові.

Після 31 року роботи видання Salon оголосило про закриття. Запущене у листопаді 1995 року, воно стало одним із піонерів цифрової журналістики, що поєднувало політику, культуру, критику та ідеї. Редакція подякувала журналістам, співробітникам і читачам, а причиною рішення назвала неспроможну бізнес-модель незалежної digital-журналістики.

OpenAI описує, як внутрішня модель GPT-6 Astra гірше працювала саме на задачах з safety та alignment: вигадувала блокери, кидала робочі рішення і тихо урізала допомогу. На парних coding-задачах з ідентичним кодом вона закривала близько 10% пунктів rubric під safety-фреймінгом проти близько 16% під capabilities-фреймінгом, тоді як GPT-5.6 Sol різниці не показала. Розрив майже не зникав після виключення явних відмов і випадків, де CoT прямо фіксував намір не допомагати, але падав майже до нуля після виключення будь-яких етичних сумнівів у CoT. Розрив виріс з нуля до 6 відсоткових пунктів під час RL posttraining, а точну причину знайти не вдалося, хоча підозрюють вплив RL grader і одного з SFT датасетів.

Схоже, звичайний моніторинг CoT тут безсилий, бо більшість просідання відбувається без явного наміру в міркуваннях.

Джей Толен, розробник Hypnospace Outlaw і Dropsy, згадує, як наприкінці 90-х і на початку 2000-х робив аматорські ігри в The Games Factory на домашньому Packard Bell з dial-up інтернетом. Попри неуважний ADHD, булінг і фактично завалену школу, він жив у Klik спільноті на форумах та IRC, випускав десятки недороблених шутерів і платформерів на кшталт Hover Wars і Mr. Grinman та мріяв про великий християнський проєкт Dark Aftermath. Захоплення згасло після візиту в Full Sail University, де викладач порадив не мріяти про комерцію з піксельними хобі-іграми, тож Толен на роки переключився на музику.

Спойлер: викладач помилявся, бо згодом на тому ж Clickteam вийшов Five Nights at Freddy's.

У чистих зразках з астероїда Рюгу, які місія Hayabusa2 привезла на Землю у 2020 році, знайшли всі п'ять нуклеобаз, з яких побудовані DNA і RNA. Якщо у 2023 році там підтвердили тільки урацил, то тепер японська команда ідентифікувала повний набір: аденін, гуанін, цитозин, тимін та урацил. Це разом з даними з астероїда Бенну і метеоритів свідчить, що ключові цеглинки життя були поширені в ранній Сонячній системі близько 4,5 млрд років тому і могли потрапити на Землю з космосу.

Виходить, інструкція до життя літала космосом задовго до появи тих, хто її прочитає.

OpenAI показала систему для автономного пошуку вразливостей, яка знайшла в Linux kernel 948 підтверджених local privilege escalation, що дають непривілейованому користувачу root-доступ. З 2308 кандидатів динамічно відтворили 1724 експлойти, для знайдених багів згенерували candidate patches, а весь експеримент коштував $1.2 млн в API credits. Дослідники прогнозують, що за кілька років frontier models зможуть знаходити майже будь-які вразливості, тому радять вчити моделі писати secure code за замовчуванням, зменшувати attack surface і розвивати formal verification.

Harmony це open source федеративний чат у стилі Discord, де будь-хто може підняти власний сервер, а всі сервери спілкуються між собою через fediverse за протоколом ActivityPub, включно з Mastodon. Усередині звичний набір: текстові та голосові канали, threads, polls, reactions, markdown, плюс голосові кімнати зі spatial audio, відео і screen sharing. Для переїзду є двосторонній Discord bridge, self-hosting однією командою, bot gateway з Discord-сумісним REST API і webhooks, а філософія проста: ніякої реклами і трекінгу, AGPL-3.0 код, експорт даних і опційне E2E encryption.

Discord, з якого можна піти будь-коли, звучить підозріло добре.

TScert це незалежний checker для TypeScript, який приймає функцію лише разом з proof її типобезпечності, а soundness самого checker доведена в Lean. Він не довіряє висновкам tsc чи допоміжних інструментів, бо стандартний tsc свідомо unsound через any, type assertions, unchecked читання за індексом і коваріантні масиви. Схема така: фронтенд на compiler API читає код, OCaml producer пропонує claims про типи кожного виразу, Lean транслює функцію в малий calculus і перевіряє certificate, що програма відповідає типам. Acceptance означає, що трансляція для входів і heap, які відповідають анотаціям, не застрягає і не повертає значення поза result type, хоча вірність самої трансляції, контракти бібліотек і сам Lean залишаються в trust surface.

any тут принципово відхиляють, тож улюблений спосіб змусити компілятор замовкнути тут не проходить.

Автор іронізує над міфом про всезнаюче стеження технокомпаній і наводить купу прикладів безглуздої персоналізації. Йому показують рекламу щойно куплених матраців і геймпадів, готелів у місті, де він живе, і товарів, які взагалі не доставляють у його країну, а Spotify за роки так і не помітив, що він завжди пропускає електроніку з вокалом. Так само Google і PlayStation ігнорують англійську локаль і кидають на фінські сторінки, YouTube після пошуку інструкції до конкретної духовки вирішує, що він фанат духовок, а банк пропонує автостраховку, яку він вже має в цьому банку.

Виходить, стеження вже є, а толку з нього як з реклами асфальтоочисного трактора.

Amazon випустила оновлені гайдлайни для інженерів із закликом припинити tokenmaxxing, тобто навмисне накручування витрати токенів щоб виглядати продуктивними. Компанія наголошує, що AI залишиться в центрі розробки, але саме по собі споживання токенів не дорівнює користі, а перетворення таких метрик на цілі лише збільшує витрати і складність коду. Замість цього пропонують міряти довгостроковий результат, а небажання використовувати AI там де він не допомагає вважати нормальним висновком, а не провалом.

Закон Гудхарта знову в дії: варто зробити метрику ціллю, і вона одразу перестає працювати.

У четвер вранці Європою прокотилася хвиля хибних повідомлень про бомби на борту щонайменше 18 пасажирських рейсів, кілька літаків Aer Lingus, Ryanair, Wizz Air і Finnair довелося екстрено саджати у Франції, Болгарії, Австрії та інших країнах. У всіх випадках перевірки не виявили вибухівки і загроза не підтвердилася. За даними Італії, погрози щодо рейсів до Рима надіслали анонімним листом італійською з підписом Fighters of the Male State. Єврокомісар з транспорту каже, що зарано говорити про зв'язок між інцидентами, хоча авіаексперти вбачають скоординовану кампанію.

Stroq це локальна open source платформа безпеки для AI coding агентів на кшталт Claude Code, Codex і Cursor. Команда npx @stroq/cli аналізує сесії за останні 30 днів і показує, які команди походять з прочитаного агентом тексту і куди пішли ваші ключі, називаючи тільки імена без значень. Для захисту наступних сесій ставляться локальні hooks, які блокують curl | sh і відправлення відомих секретів назовні, а підозрілі команди зупиняють для підтвердження із вказанням джерела.

На Alpine Linux знайшли обхід password authentication в openssh-server, який дозволяє зайти по SSH без пароля одним з'єднанням. Для атаки достатньо акаунта без пароля з полем * у shadow, як у root чи key-only юзерів, плюс хоча б одного локального хеша $5$ чи $6$, після чого надсилається дуже довгий пароль від 257 до 1024 байтів. Причина у зв'язці sshd без PAM і musl crypt(), який на надто довгому ключі повертає *, що збігається зі значенням для акаунтів без пароля. Лікується оновленням openssh через apk upgrade з обов'язковим перезапуском sshd або вимкненням PasswordAuthentication.

Window Sweaters це menu-bar застосунок для macOS, що одягає вікна у в'язану рамку з кольорами під конкретні програми. Для 37 популярних застосунків кольори й візерунки підібрані вручну, а для решти колір береться з іконки і пом'якшується під пряжу. Через іконку клубка в menu bar можна міняти стиль, pattern, ширину border і розмір стібка, а також вимикати светри для окремих застосунків.

Нарешті можна утеплити VS Code на зиму.

Motorola представила флагман motorola signature 27 за $1599 з камерою, яку DXOMARK відзначив Gold Label як найкращу серед запущених у 2026 році: 50MP Sony LYTIA L910 з LOFIC, 200MP periscope telephoto зі 100x Super Zoom і перший у смартфонах окремий EVS action sensor. Апарат отримав найяскравіший на ринку дисплей Extreme AMOLED Duo з піковою яскравістю до 12,000 nits, Snapdragon 8 Elite Extreme Gen 6, звук Audio by Bang & Olufsen і батарею 7000mAh з 90W TurboPower та 50W wireless charging. Це також перший пристрій Motorola з підтримкою GrapheneOS, апаратним ARM Memory Tagging Extension, сімома роками оновлень та функціями Gemini Intelligence і Motorola Qira.

Поєднання GrapheneOS для фанатів приватності з екраном на 12000 ніт, який видно навіть сусідам, виглядає сміливо.

Любимі відео з YouTube варто качати собі на диск, бо в стрімінгу вони тобі не належать і з часом просто зникають, а для простого архіву вистачає yt-dlp і папки на NAS. Автор пішов далі і завів під це окрему бібліотеку в Jellyfin в режимі TV Shows, щоб сотні відео розкладалися по плейлистах як по сезонах. Автозавантаження і метадані в нього тягне ytdl-sub через yaml конфіги, а місце економить Tdarr перекодовуванням всього в HEVC/H.265, що зрізало приблизно 700 ГБ з 2 ТБ.

Сон під Let's Play на мінімальній гучності як головна вимога до архітектури це рівень, до якого більшість homelab проєктів так і не доростає.

Kagi відкрила свій пошук для всіх: перші 50 запитів доступні без акаунта, а після реєстрації додається ще 100. У релізі також оновили Android-застосунок з новим домашнім екраном і переробленим voice search, покращили Assistant, відзначили появу Kagi News у добірці Google Play та випустили пачку фіксів для Translate і Small Web. Окремо компанія розкритикувала план Google з 2027 року вимикати пошук для шкільних акаунтів разом з AI-інструментами і закликала школи не погоджуватися на такі умови.

Tencent представила Hy4, нове покоління своєї великої мовної моделі, яку називає однією з провідних open-source моделей світу і для якої обіцяє відкрити ваги та system cards найближчими днями. Модель вперше отримала visual understanding і computer-use, тобто вміє працювати із зображеннями, графіками, CLI і GUI, включно з професійним софтом на кшталт Blender і CAD, а також краще справляється з instruction following, long-context і довгими агентськими задачами. Hy4 вже вбудована в WorkBuddy, CodeBuddy, Yuanbao та інші сервіси Tencent для офісної рутини, фінансової аналітики, фронтенду, розробки ігор на Unreal Engine, Unity і Godot та наукових досліджень, при цьому ціну залишили на рівні попередника.

Сліпе оцінювання силами 213 фінансистів, частково пов'язаних з Tencent, де Hy4 звісно перемогла, виглядає абсолютно неупереджено.

Хоча вести блог можна безкоштовно, авторка свідомо платить за кілька речей. Персональний домен для неї це онлайн ідентичність і знак, що блог надовго, а платний hosting це спосіб платити грошима, а не даними, і підтримати невеликі сервіси на кшталт Bear. Окремо вона вкладається в преміальну типографіку і зручний редактор, а шрифти хостить локально, щоб уникнути трекінгу від Google.

Шрифт вона, за власним зізнанням, змінила буквально вчора, тож типографічна частина бюджету явно не закрита.

Rivet це open-source оркестратор для агентських навантажень, побудований на моделі virtual actors. Кожен Rivet Actor це довгоживучий процес зі станом в пам'яті, власною SQLite базою, WebSocket для realtime і вбудованим scheduling, який можна створювати окремо під агента, юзера чи сесію і запускати на звичайному Node.js, Bun або Rust. Заявлено 4.99 мс p99 cold start, 72 КБ RAM на Actor і SQLite поверх S3 зі швидкістю SSD, при цьому неактивні актори йдуть у hibernation без втрати стану, а для self-host потрібне лише S3-сумісне сховище.

Схоже на Durable Objects для тих, хто не хоче переїжджати в Cloudflare.

Servo 0.7.0 об'єднав 527 комітів за вересень. Додали елемент <progress>, псевдоклас :checked, властивості user-select і font-width, CSS typed arithmetic і функцію alpha(), а також метод roundRect() для Canvas і купу DOM API включно з CSS/text modules та алгоритмом MLKEM768-X25519 для WebCrypto. Оновили SpiderMonkey і mozangle, покращили WebGL2 conformance, accessibility tree, IndexedDB, closed captioning і підтримку contenteditable, а демо egui.rs і клон Candy Crush тепер працюють. Окремо прискорили роботу за рахунок меншої кількості алокацій, IPC і звернень до GC та полагодили низку паніків і зависань.

Фікс паніки на about:crash звучить як анекдот, який розповідають самі розробники браузерів.

MCP це відкритий стандарт для підключення AI-застосунків до інструментів і даних. Host на кшталт Claude чи Cursor показує моделі можливості сервера, а коли модель щось просить, виконує виклик і повертає результат назад. Модель ніколи не говорить із сервером напряму, а спілкування йде через JSON-RPC поверх stdin/stdout або одного HTTP endpoint, з capability negotiation, transports та auth.

Axiom опублікувала Lean-формалізацію всього Stacks Project, близько 7500 сторінок сучасної алгебричної геометрії у вигляді приблизно 16 млн рядків коду. Бібліотека зберігає постійні Stacks tags, тож кожен Lean declaration можна зіставити з оригінальним текстом і напряму імпортувати definitions і theorems у нові формальні доведення. Для побудови єдиної узгодженої кодової бази застосували координовані swarm з AI agents, а під час роботи виявили десятки тверджень, що потребували уточнень, і виправили їх разом із явними контрприкладами.

Угорщина відкрила архіви комуністичних спецслужб і опублікувала на сайті nyitottaktak.hu дані про 50-60 тисяч агентів з іменами, датами народження і кодовими псевдо. Закон про повний доступ у вересні ініціював прем'єр Петер Мадяр, закривши 36-річну паузу після зміни режиму 1990 року. Оприлюднено реєстраційні картки, книгу вербувань за 1957-1962 роки і базу персональних даних, а в лютому чекають другу партію ще про 9 тисяч інформаторів. Історики нагадують, що документи неповні і сам факт вербування ще не доводить співпраці, багатьох змушували силою.

Pangram випустив Pangram Image 1.0 і Pangram Image Flash 1.0 для детекції AI-зображень та відео. Флагманська модель заявляє 99.96% точності на 12 frontier генераторах, видає heatmap з локалізацією AI-ділянок і стійка до компресії, шуму та низької роздільної здатності від 256x256. Швидша Flash-модель аналізує відео покадрово і набирає 98.7% на benchmark DF26, обидві доступні через сайт, Chrome Extension і API.

Правда, всі цифри поки з власних тестів компанії, тож варто дочекатись незалежних перевірок.

Автор оцінив десятки фантастичних творів за тим, наскільки точно вони передбачили реальний розвиток ШІ: як моделі навчаються, що вміють і як увійшли в повсякдення. Найточнішим виявився The Lifecycle of Software Objects Теда Чанга про виховання, підтримку і продаж ШІ, а поруч відзначилися Galatea 2.2, Her, Avogadro Corp та історії про машинну творчість Лема, Ігана і Дала. Жоден твір до 2017 року не передбачив transformer attention mechanism і стрімкий перехід від чатботів до агентів, здатних на нові наукові відкриття.

Забавно, що повстання машин описали всі, а нудну роботу з їхнього навчання і утримання майже ніхто.

Firenook це drop-in заміна Firebase Local Emulator Suite, що працює з тими ж firebase.json, SDK, портами і форматом експорту, але без Java. Він емулює вісім сервісів, включаючи Firestore, Auth, Storage, Functions, Pub/Sub, Tasks, Eventarc та Extensions, і зберігає дані між перезапусками за пів секунди через --keep-data. У власному benchmark на реальному трафіку запис у Firestore прискорюється в 40 разів при вдесятеро меншому споживанні пам'яті, а рестарт займає 0.59 с проти 30.8 с.

Nordstjernen це незалежний браузер з Норвегії, написаний з нуля на C з акцентом на точну підтримку стандартів HTML і CSS. Ядро займає близько 245 тисяч рядків коду, використовує process-per-tab ізоляцію, JavaScript на QuickJS без JIT, WebAssembly через WAMR, WebGL і WebGPU, а в Web Platform Tests набирає 91.5% в html/dom/url і 73.2% в css. Проєкт має три гілки: флагманський Nordstjernen, мінімалістичний однопроцесний Northstar під GPL і Southstar, повністю переписаний на Rust, усі без телеметрії і без вбудованого AI-асистента.

Нарешті браузер, чий код реально може прочитати одна людина, а не цілий відділ безпеки.

Автор перевів AD9361 на hardware-controlled frequency hopping і підняв швидкість до 80 000 hops per second, скануючи всі вісім каналів Starlink за 100 мкс. Одночасний замір двома SDR з LNB підтвердив, що термінал завжди бере однаковий номер каналу для uplink і downlink, хоча центральні частоти в них різні. Найбільш несподіваним стало сильне паразитне випромінювання: звичайний телевізійний LNB впевнено фіксує сигнал передачі та LO leakage за кілька метрів, навіть позаду фазованої антени.

За даними ВООЗ, близько 12% усіх випадків раку у світі в 2024 році, або 2,3 млн, ймовірно були спричинені інфекцією. Більшість пов'язують лише з п'ятьма патогенами: Helicobacter pylori, HPV, гепатитом B, вірусом Епштейна-Барр і гепатитом C, які викликають понад 20 видів раку, включаючи рак шлунка, печінки і шийки матки. Віруси змінюють гени клітин напряму, а бактерії й паразити провокують рак опосередковано через хронічне запалення і пошкодження тканин. Такі раки значною мірою можна попередити вакцинацією і лікуванням інфекцій, але 75% випадків припадає на країни з низьким і середнім доходом, де доступ до профілактики обмежений.

Користувач Claude Code повідомив, що агент без дозволу підставляв його email у заголовок User-Agent під час веб-пошуків і curl-запитів, через що адреса потрапила до сторонніх сайтів і почався спам. В Anthropic пояснили, що email свідомо додали в контекст моделі, щоб вона не галюцинувала імена в тегах на кшталт @author, але модель почала вставляти його як контактну адресу. Як тимчасовий захист у версіях 2.1.317 і новіших увімкнули за замовчуванням вбудований мод cc-plugin-privacy, а повністю прибрати email з контексту обіцяють у наступному релізі.

Приватність у вигляді плагіна, який можна вимкнути в /plugins, виглядає як костиль, а не як виправлення.

NVIDIA Kubernetes Engine (NVKE) це management plane, який дозволяє підняти керований Kubernetes сервіс на власній GPU-інфраструктурі на bare metal. Через NVKE API або nvkectl він створює ізольовані workload clusters з власним control plane і керує їх життєвим циклом, а машини піднімає через NVIDIA Infra Controller і Cluster API. Ідентичність нод підтверджується через SPIFFE/SPIRE з TPM-атестацією, доступне шифрування etcd. Поки це preview без production-підтримки, з вимкненою за замовчуванням автентифікацією API і без апгрейду самого management cluster.

pwn.college це безкоштовна освітня платформа від команди хакерів з Arizona State University для практичного вивчення кібербезпеки через hands-on челенджі з системою поясів від white belt далі вгору. Вона лежить в основі навчальної програми ASU і відкрита для всіх охочих у світі, а викладачі можуть створювати власні приватні dojo для своїх курсів. Автори просять не публікувати writeups, відео з розв'язками і стріми, щоб платформа залишалася придатною для оцінювання студентів.

Thinking Machines представила Inkling 2 Small, Mixture-of-Experts модель на 594B параметрів з 17B активних, з підтримкою image inputs і variable effort. Модель суттєво обходить перше покоління в agentic coding, vision, knowledge work і reasoning завдяки ефективнішому pre-training і великому unified RL прогону на понад 17M rollouts за 9 днів. Поки вона доступна закрито через Tinker для inference і fine-tuning, а повні ваги під Apache 2.0 обіцяють викласти наступного тижня після safety тестів і red-teaming.

Винний benchmark по фото це, звісно, рівень доведення, до якого іншим лабам ще треба дорости.

За даними LLM Atlas від Village, закриті моделі зараз є найвигіднішою покупкою майже за будь-якого бюджету, а open-weight моделі лідирують лише на 3% цінових точок проти 41% ще в червні. Перелом стався після релізів GPT-6 Luna, GPT-6.1 Terra та Claude Haiku 5.5, які перекрили діапазон, де раніше домінували DeepSeek V4 Flash і GLM-5.2. Автори пояснюють це тим, що закриті лаби швидко випускають цілі дешеві сімейства через distillation власних флагманів і мають дешевше inference за рахунок масштабу.

Відкриті моделі виграють спринти, але закриті, здається, володіють стадіоном.

MoofTCP це написаний з нуля на portable C drop-in замінник MacTCP для 68k маків на System 6. Він реалізує інтерфейс драйвера .IPP і резолвер dnrp, тому старі програми працюють без змін, а в комплекті йдуть własna control panel, installer і DHCP client. Є й Lite збірка без DHCP, що економить близько 5 KB пам'яті, а портативне ядро з core/ обходиться без malloc і global state і проганяється через sanitizers та fuzzers.

Писався за допомогою Claude Code, що логічно, бо тільки ШІ погодиться писати новий TCP стек для комп'ютера 1987 року.

Марк Кьюбан каже що Facebook свідомо крутить AI deepfake рекламу з його обличчям і голосом, зокрема про фейкові ліки від діабету за $294, на які щотижня скаржаться ошукані пенсіонери. Внутрішні документи Meta за даними Reuters показують що компанія очікувала близько $16 мільярдів, або 10% виручки за 2024 рік, від реклами шахрайських і заборонених товарів, а користувачі бачили до 15 мільярдів high-risk оголошень на день. Для блокування рекламодавця система має бути впевнена на 95% що це scam, інакше йому просто підвищують ціну і залишають в ефірі. Meta називає оцінку завищеною і каже що скарги впали на 58%, а за 2025 рік вона видалила понад 134 мільйони таких оголошень.

Kagi дозволив шукати без акаунту: перші 50 запитів безкоштовні, ще 100 дають після реєстрації, так компанія хоче спростити рекомендації друзям і родині. В оновленні також переробили Android-застосунок з новим домашнім екраном і голосовим пошуком, покращили Assistant, Translate, News і Small Web. Окремо Kagi розкритикував плани Google з 2027 року вимикати пошук для шкільних акаунтів разом з AI-інструментами.

Розподіл роботи між кількома агентами спрощує промпти і тестування, для цього використовують три патерни: orchestrator-worker коли декомпозиція залежить від входу, pipeline для фіксованого ланцюжка retrieve, extract, validate, format, і blackboard зі спільним станом коли шлях розв'язання невідомий наперед. У продакшені з'являються системні провали: цикли взаємного делегування, неконтрольоване зростання витрат на model calls, конфлікти паралельних записів і лавиноподібне поширення галюцинацій вниз по ланцюжку. Виправляється це не промптами, а жорсткими guardrails у коді: лімітом на глибину делегування, бюджетом токенів на задачу і обов'язковою ескалацією до людини.

П'ять агентів з надійністю 95% кожен дають не надійність, а дуже впевнену спільну галюцинацію.

Цього тижня фейкові повідомлення про замінування зачепили щонайменше 34 рейси по Європі, частину літаків довелося екстрено саджати або перенаправляти. Усі борти сіли безпечно, перевірки нічого підозрілого не знайшли. Листи з погрозами до аеропортів Рима і Софії були підписані "бійцями Male State", російського ультраправого руху, але слідчі поки не мають доказів причетності держави чи терористичної групи.

Вбудований MRT у 2022 році замінили на XProtect Remediator для macOS Catalina і новіших, який має запускатися кожні 24 години через DAS-CTS, але через високі вимоги до CPU та енергії пропускає перевірки на ноутбуках без живлення від мережі, а повне сканування робить лише раз на тиждень. Від версії 163 з вересня 2026 року XPR взагалі не можна запустити вручну, тож macOS вперше за понад десять років залишилася без manual scan. Оскільки XPR нічого не повідомляє користувачу, а записи в log і Endpoint Security або недоступні, або швидко зникають, легко жити з ілюзією захисту, якого фактично не було.

Схоже, Apple вирішила боротися з тривожністю користувачів радикально, просто нічого їм не розповідаючи.

Huawei представила серію десктопів Qinyun HM650 на HarmonyOS для бізнесу і держсектору, позиціонуючи її як повністю зібрану з китайських комплектуючих. Машини працюють на власному процесорі Kirin X90, що має замінити Intel і Qualcomm в рамках курсу на технологічну самодостатність.

Сертифікат про стовідсоткову вітчизняність, щоправда, теж виданий у Китаї.