Дайджест #11. Вівторок, 16 червня

Хакер перепрошив розумну LED-лампочку на ESP32, щоб та працювала як прихована точка доступу Wi-Fi і хостила заборонені книги — своєрідний кіберпанковий дед-дроп у звичайному цоколі. Через обмеження у 4 МБ флеш-пам’яті (з яких ~2 МБ доступні під контент) довелося вручну правити таблицю розділів і відмовитися від ідеї з microSD. Пристрій запускає captive portal для автоматичного перенаправлення підключених, дозволяє регулювати колір підсвічування для маскування та оновлювати прошивку по OTA через безпечний safeboot, не залишаючи в пам’яті жодних Wi-Fi паролів власника.

Автор розповідає про свій досвід надсилання листів незнайомим людям — від страху й сумнівів до усвідомлення, що найгірше, що може статися, це просто відсутність відповіді. Він підкреслює довговічність email як засобу комунікації (на відміну від соцмереж), який дає простір для обдуманих і глибших розмов. У статті наведено низку практичних принципів — наприклад, бути лаконічним, щиро цікавитися людиною і не чекати нічого натомість — а також джерела для пошуку потенційних співрозмовників.

Автор визнає, що цей текст може бути складним способом заманити більше людей писати йому на пошту — і це справді виглядає як довгий лендінг до його інбоксу.

Amazon Web Services інвестує мільярди доларів у новий дата-центр у окрузі Монтгомері, штат Міссурі, який обслуговуватиме cloud computing та AI-навантаження. Проект створить понад 400 постійних технічних робочих місць, а також тисячі будівельних, і передбачає значні податкові надходження для регіону. Для зменшення впливу на місцеву інфраструктуру Amazon домовився, що витрати на електроенергію не перекладатимуться на інших споживачів, а система охолодження використовуватиме free-air cooling 90% часу, дощову воду та багаторазову рециркуляцію.

Це черговий крок у розгортанні гіперскейлерами обчислювальних потужностей у Midwest, де доступ до енергії та води стає вирішальним фактором.

MONOLITH запровадив систему MAGE (MONOLITH AGE) для виконання вимог каліфорнійського закону AB 1043, який зобов’язує ОС збирати дані про вік користувачів. MAGE надає API з enum-відповідями: недоступний, неповнолітній або повнолітній, дозволяючи застосункам отримувати віковий статус. Проєкт наголошує на інклюзивності, але йде на комплаєнс, щоб не залишити каліфорнійських користувачів у регуляторному вакуумі.

Дата публікації (1 квітня 2026) іронічно перегукується з мандатно-бюрократичним тоном релізу — схоже на першоквітневий жарт під соусом ентерпрайзного комплаєнсу.

Команда емулятора x86-32 з JIT-трансляцією наштовхнулася на програму, чий компілятор замість звичайного циклу ініціалізації 64 КБ пам’яті згенерував 65 536 окремих інструкцій запису, витративши на це 256 КБ коду. Така «оптимізація» настільки обурила розробників, що вони додали в транслятор детектор цієї функції й замінювали її на нормальний компактний цикл.

Класичний випадок, коли компіляторна оптимізація обертається власним запереченням.

Автор отримав у LinkedIn пропозицію роботи від нібито рекрутера криптостартапу, який попросив переглянути код у GitHub-репозиторії. Увага привернула підозріла поведінка, тому він перевірив код через read-only агента — той одразу виявив прихований бекдор у файлі з тестами, який виконувався автоматично при `npm install` і завантажував та виконував довільний код із зовнішнього сервера. І рекрутер, і автор комітів виявилися викраденими ідентичностями реальних людей, не причетних до атаки.

Ховати шкідливий код під виглядом “зламаних модулів Node” у тестовому файлі — все ще дієвий спосіб, якщо ціль достатньо втомлена або поспішає.

Реєстрація на публічному порталі футбольних агентів FIFA додавала обліковий запис у внутрішній Microsoft Entra tenant, а серверна частина не перевіряла ролі — лише клієнтський інтерфейс показував "access denied". Через це дослідник отримав доступ до панелі керування трансляціями ЧС-2026 із RTMP-посиланнями та потоковими ключами, міг зупиняти або підміняти відеопотоки з камер стадіонів. Також були доступні система коментаторів, live-аналітика, інструменти редагування статистики матчів та внутрішні файли. FIFA не мала контактів для повідомлень про вразливості, тож довелося дзвонити в MediaKind, CISA та ФБР посеред ночі — вразливість виправили швидко, але жодної відповіді від самої FIFA дослідник не отримав.

Найбільша спортивна організація світу, а security.txt не завела навіть у 2026 — довелося будити федералів, щоб не зіпсували фінал.

Автор розповідає, як випадкова зустріч із IBM 486 у дитинстві переросла в глибоку любов до комп'ютерів, що пройшла через епоху друкованих журналів, перші кроки в інтернеті та захоплення програмуванням. Ця пристрасть дала йому стабільність у неспокійному житті, кар'єру та ідентичність, але тепер він із сумом спостерігає, як технології псують жадібність, маркетинг і AI-хайп. Попри розчарування у закритості та експлуатації, він помічає позитивний рух до децентралізації та вільного софту і все одно лишається вірним своєму головному захопленню.

Схоже, справжня любов до комп'ютера — це коли ти готовий пробачити йому навіть вибух піратського диска Planescape: Torment у приводі.

Огляд AI-коду став дорожчим, бо моделі залюбки пишуть розлогі власні реалізації замість того, щоб використати наявні бібліотеки — для них обидва варіанти потребують однакових «зусиль». Натомість переписування подешевшало: ту саму модель можна попросити спростити код, замінити сотню рядків на імпорт бібліотеки або вирізати непотрібне. Через це автор більше планує наперед, щоб запобігти зайвій складності, а на рев’ю відкидає надмірності агресивніше — ціна помилки знизилася.

Усі опитані компанії використовують Kubernetes, навіть маленькі стартапи, бо цінують організаційні переваги: єдиний спосіб деплою, стандартизовані знання для найму та онбордингу, прозорість змін через GitOps. Технічні фічі Kubernetes їм майже не потрібні. Автор радить починати без нього, допоки в команді лише один інженер, а після появи другого — впроваджувати, щоб система зберігала знання, а не люди.

Понад 35 років після виходу оригінальної гри вийшла книга «The Game Engine White Papers: Commander Keen» — 214-сторінковий технічний розбір розробки під MS-DOS. У ній детально описано апаратне забезпечення (процесор 80286, EGA-відеокарти, звукові карти, клавіатури), ігрові асети, сам рушій і навіть портування на CGA. Книга доступна в папері на Amazon та безкоштовним PDF, вихідний код викладено на GitHub.

Тепер можна нарешті дізнатися, як id Software витискала плавний скролінг із заліза 90-го року, поки сучасний софт вимагає гігабайти пам’яті просто для відкриття вікна.

Anthropic запускає стипендіальну програму Claude Corps, яка охопить 1000 молодих фахівців у США: їх навчать працювати з Claude і на рік направлять у неприбуткові організації, виплачуючи повну зарплату $85 000. Компанія інвестує $150 млн, а партнерами стали CodePath та Social Finance. Перша когорта зі 100 людей стартує в жовтні 2026 року, заявки приймаються до 17 липня. Програма має на меті допомогти організаціям впроваджувати ШІ та підготувати працівників до змін на ринку праці.

Ініціатива нагадує технологічний аналог Корпусу миру — цікаво, чи справді модель масштабують за межі США, як обіцяють.

За ексклюзивними фінансовими документами, у 2025 році збитки OpenAI зросли майже у 8 разів — до 38,5 мільярда доларів, тоді як витрати сягнули 34 мільярдів доларів при доході 13,07 мільярда. Компанія сплатила Microsoft 17,2 мільярда доларів за послуги, а додаткові бухгалтерські витрати від переходу в комерційну структуру лише поглибили фінансову прірву. Попри накопичення активів на понад 50 мільярдів, збитки стрімко зростають рік у рік, і шлях до прибутковості виглядає дедалі сумнівнішим.

З такими темпами навіть SoftBank та Microsoft не наздоженуть прірву, що розширюється.

Typst 0.15 додає підтримку змінних шрифтів, експорт у HTML із MathML для формул, експериментальний bundle-експорт для генерації кількох файлів, спотові кольори для офсетного друку, тип `path` для проєктно-відносних шляхів, селектор `within` для інтроспекції та детальну діагностику проблем збіжності макета. Один документ тепер може містити кілька бібліографій, націлюватися на кілька PDF-стандартів одночасно, а CLI-команда `typst eval` замінила `typst query`. Виправлено поведінку списків, вирівнювання, експорту HTML, обробки шляхів і математичної верстки, а також уточнено правила групування абзаців у HTML, що усуває небажані параграфи.

За останні десятиліття образ засновників технологічних компаній скотився від скромних, захоплених справою «нердів» (як Джобс і Возняк) до жадібних до уваги та влади публічних фігур. Яскравий симптом — відео від Founders Fund, де лідери галузі грають у мафію, намагаючись відбілити репутацію через розважальне шоу замість чесної розмови про свої продукти. Автор радить повернутися до справжніх цінностей: допитливості, любові до навчання, технічної одержимості та скромності.

Знімати реаліті-шоу, щоб викликати симпатію до людей, які будують автономну зброю і біометричні бази даних, — це ніби запросити серійного підприємця на «МайстерШеф» і сподіватися, що ніхто не згадає про його основну роботу.

Google Earth додав експериментальний режим польоту на літаку, доступний лише у веб-версії. Керування здійснюється клавішами (Page Up/Down для тяги, стрілки для тангажу й крену) або мишею, фізика спрощена для казуального дослідження. При зіткненні з землею симуляція ставиться на паузу й пропонує миттєвий перезапуск. Відомі обмеження: артефакти рельєфу на ділянках нижче рівня моря, вимкнення стандартних гарячих клавіш карти та динамічне підвантаження контенту на високих швидкостях.

Slack’s video block only checks if the video_url is reachable, but otherwise acts as a simple iframe. This allows a client-side app to receive an encrypted private key, decrypt it locally with a passphrase, and perform encryption/signing operations without the server ever seeing the plaintext key. The result is a proof‑of‑concept that enables end‑to‑end encrypted messaging inside Slack, albeit by bending the intended use of video embeds.

Схоже, Slack такий хак не планувався — але він наочно показує, чому платформи могли б давати більше контрольованих можливостей для інтеграції.

Fusion — це механізм OpenRouter, який перетворює ваш запит на багатомодельну нараду: кілька експертних моделей паралельно аналізують його з веб-пошуком, а модель-суддя синтезує їхні відповіді у структурований аналіз (консенсус, суперечності, унікальні інсайти, сліпі плями) і формує фінальну відповідь. За замовчуванням використовується пресет Quality, але можна переключитись на Budget або повністю перевизначити панель і суддю через параметри `analysis_models` та `model`. Вартість запиту дорівнює сумі всіх викликів моделей панелі й судді. Підходить, коли ціна помилки вища за кілька додаткових completion-викликів — для досліджень чи експертної критики.

Затримка, ймовірно, зростає пропорційно кількості моделей у панелі — варто враховувати, якщо час відповіді критичний.

У жінки з прогресуючою хворобою Альцгеймера (10 років деменції, майже повна втрата мовлення та нетримання) після одноразового прийому 5 г грибів із псилоцибіном спостерігалося тимчасове відновлення функцій: спонтанне автобіографічне мовлення, самостійне вдягання, покращення ходи, соціальної взаємодії та, найбільш вражаюче — відновлення контролю сечовипускання, яке утримувалося тижнями. Автори наголошують, що це не означає зворотного розвитку хвороби, а свідчить про можливе існування резервних нейромереж, які на короткий час активуються під впливом псилоцибіну. Даних для узагальнень бракує, потрібні контрольовані дослідження.

Це лише опис одного випадку без біомаркерного підтвердження діагнозу та контрольної групи, тому робити висновки про ефективність зарано.

Salesforce підписала угоду про придбання компанії Fin (колишній Intercom) за $3,6 млрд. Fin — це платформа AI-агентів для підтримки клієнтів, яка працює на власній моделі Apex і демонструє вищі за галузеві показники вирішення запитів через чат, email, WhatsApp та інші канали. Придбання має доповнити Agentforce, прискоривши запуск AI-агентів для малого й середнього бізнесу, а також розширити можливості для великих підприємств.

Salesforce методично скуповує компанії з AI-агентами, наче колекціонує камінці нескінченності — цікаво, чи вистачить бюджету на всю пісочницю.

Anthropic випустила Fable — дуже сильну модель нового покоління, але після знайденого джейлбрейку уряд США змусив компанію припинити до неї доступ. Цей конфлікт не є випадковим: Anthropic постійно використовує наратив безпеки, щоб виправдати свої бізнесові інтереси — наближення до кінцевих користувачів, збір даних і обмеження конкурентів. Автор зауважує, що ця відповідність між місією та бізнесом, хоч і ефективна, викликає тривогу, адже компанія, переконана у власній винятковості, фактично прагне контролювати не лише розвиток ШІ, а й усе, що на нього спирається.

Порівняння з Apple доречне, але коли йдеться про надінтелект, ставки надто високі, щоб довіряти одній компанії.

Проєкт curl оголосив про "літо блаженства" — у липні 2026 року команда не прийматиме жодних звітів про вразливості, щоб дати мейнтейнерам перепочити після місяців високого навантаження. Форму на Hackerone призупинять з 1 липня до 3 серпня, а реліз 8.22.0 перенесуть на 2 вересня, щоб розгребти накопичене. GitHub issue та pull request залишаються відкритими, а власники платних контрактів і далі отримуватимуть підтримку.

Схоже, навіть curl іноді треба перезавантажитися.

Iroh 1.0 — стабільний реліз мережевої бібліотеки, яка замість IP-адрес використовує криптографічні ключі для прямої, безпечної та неперервної адресації пристроїв, навіть за NAT чи без інтернету. Випуск підтримує QUIC multipath, NAT traversal, локальні з’єднання, компіляцію у WASM та офіційні прив’язки для Python, Node.js, Swift і Kotlin. Публічні реле проекту за останні 30 днів обслужили понад 200 мільйонів кінцевих точок.

Ключова адресація замість IP — давно назріла зміна, і тепер вона доступна у зрілому, готовому до продакшену інструменті.

TimescaleDB’s hypercore engine uses a hybrid row-columnar approach: recent data stays in row-oriented chunks for fast inserts, while older chunks are converted to compressed columnar batches. It applies specialized algorithms — delta, delta-of-delta, XOR-based (Gorilla), and run-length encoding — to exploit patterns in time-series data, achieving compression ratios up to 98% (10–100× for typical IoT workloads). The critical configuration parameters are `segmentby` (a grouping key, stored once per batch and used for index-skipping) and `orderby` (sort order for better delta encoding). Properly tuned, compression not only saves storage but also speeds up analytical queries: a real-world example showed a 42× smaller chunk and 28× faster execution for point-like lookups.

Слід уважно вибирати `segmentby`: надто висока кардинальність (багато унікальних значень із малою кількістю рядків) призводить до недозаповнених batch’ів і майже нульової компресії.

У Rust і C/C++ принципово різний підхід до того, що вважати вразливістю безпеки пам'яті (CVE). У C, як на прикладі curl, виклик функції з NULL-вказівником спричиняє невизначену поведінку, але це вважається помилкою користувача, а не бібліотеки — інакше через неможливість точно описати контракти API весь код C був би завалений CVE. Rust же гарантує, що будь-яка можливість спричинити помилку пам'яті в safe-коді є звуковою дірою в бібліотеці й підлягає CVE, навіть без реальних випадків використання. Через цю фундаментальну асиметрію — у Rust поріг для CVE набагато суворіший — пряме порівняння кількості вразливостей дає хибне уявлення про безпеку.

Це схоже на ситуацію, коли дві людини по-різному рахують "проблеми": одна фіксує навіть синці від незручних меблів, а інша — лише переломи.

Apple випустила бета-версію Foundation Models для своїх операційних систем, яка дозволяє використовувати серверні мовні моделі через єдиний API `LanguageModelSession`. Anthropic надає Swift-пакет Claude for Foundation Models, що адаптує Claude до цього протоколу — запити йдуть напряму до API Claude, а білінг відбувається через обліковий запис Anthropic. Модель можна використовувати так само, як вбудовану локальну модель Apple, а для перемикання між ними достатньо змінити параметр `model:`.

Таким чином Claude стає повноцінним учасником екосистеми Apple із підтримкою потокової генерації, структурованого виводу, інструментів та обробки зображень — принаймні в теорії, бо все це поки що в бета-версії і вимагає Xcode 27.

Machine0 — це сервіс для запуску персистентних віртуальних машин (NixOS або Ubuntu) безпосередньо з командного рядка, з погодинною похвилинною оплатою. Кожна ВМ отримує виділені ресурси (до 60 vCPU і 240 ГБ RAM), статичну IP-адресу та HTTPS-ендпоінт, працює в чотирьох регіонах із гарантованим uptime 99,99%. Можна призупиняти ВМ, щоб зупинити білінг, робити знімки стану та клонувати з «золотих образів». Сервіс орієнтований на довготривалі завдання, детерміновані збірки (Nix flakes / Ansible), а також на агентні робочі процеси — є готові образи для OpenClaw та Hermes.

Автор налаштував homelab-платформу з OpenCode Web UI для автоматизації керування сервісами через Git. OpenCode генерує зміни (наприклад, оновлення контейнерів, додавання healthcheck-ів), створює pull request, а людина перевіряє та зливає — розгортання виконує GitOps. Середовище ізольоване: AI має доступ лише до Git-сервера, не має прямого доступу до сервісів, що мінімізує ризики. Такий підхід дозволяє керувати домашньою інфраструктурою з будь-якого пристрою, зберігаючи людський контроль.

Цікаво, що автор залишає за собою остаточне рішення через review, а не повністю довіряє AI — це робить модель практичною для домашніх умов.

Hetzner оголосив про підвищення цін на нові замовлення та масштабування хмарних інстансів з 15 червня 2026 року. Коригування стосується як dedicated-серверів у різних локаціях, так і cloud-серверів. Для cloud-серверів у Німеччині, Фінляндії, США та Сінгапурі наведено старі й нові ціни, причому для CCX та CPX лінійок зростання сягає понад 100%. Dedicated-сервери також отримали нові місячні тарифи та setup-збори.

CrankGPT — сатиричний проєкт AI-пристрою, що працює виключно від людської мускульної енергії: користувач крутить ручку чи крутить педалі, генеруючи обчислювальну потужність для локальних моделей. Автори висміюють залежність від хмарних AI-корпорацій, їхній вплив на клімат та концентрацію багатства, пропонуючи натомість privacy-first рішення без інтернету, де дані не покидають пристрій. Лінійка з трьох рівнів (від 20 Вт для простих запитань до 2+ кВт для тренування моделей) пародіює маркетингові сегментації «потужностей», перетворюючи фітнес на буквальне «прокачування токенів».

Схоже, єдиний AI, який справді бореться із зайвою вагою і вуглецевим слідом одночасно — хіба що ваші біцепси не погодяться на fine-tuning.

Автор експериментує з мінімальним запуском Linux-ядра, залишаючи лише один ініт-процес замість повноцінної ОС — система завантажується менш ніж за секунду. Він пише на C програму, яка виводить повідомлення й вимикає машину, пакує її в initrd і тестує спочатку в QEMU, потім на реальному ноутбуці через USB-флешку. Далі автор створює власне урізане ядро розміром 1–2 МБ замість стандартних 16 МБ, вимикаючи непотрібні модулі та залишаючи лише необхідне. Фінальна мета — завантаження системи з одного файлу, який містить ядро, initrd і EFI-заглушку.

Сучасні дистрибутиви змушують навіть 16-ядерного монстра хвилину «прочухуватися», а тут один сишний файл і пара команд повертають миттєве завантаження — майже як на старих комп'ютерах, де не було фонових сервісів, а лише твоя програма.