Дайджест #12. Середа, 17 червня

Автор описує свій домашній NAS frood, який повністю працює з initramfs, що містить мінімалістичну систему Alpine Linux. Такий підхід дає змогу запускати всю ОС із одного файлу, декларативно керувати конфігурацією через git та уникати зносу SD-карт. Збирання виконується за допомогою alpine-make-rootfs і пакується в Unified Kernel Image, а тестування відбувається у qemu. Система позбавлена складнощів стандартного Alpine-завантаження і максимально проста в обслуговуванні.

Іноді найкращий спосіб уникнути проблем з ініціалізацією — просто не мати її взагалі.

Unicorn Engine — легкий мультиплатформний емулятор CPU з відкритим кодом, що підтримує ARM, x86, RISC-V, PowerPC та інші архітектури, реалізований на C із JIT-компіляцією. Має простий API та біндінги для багатьох мов, широко застосовується в кібербезпеці, академічних дослідженнях і комерційних продуктах. У 2022 році отримав нагороду Asian Star 10x10 Award, наразі доступна версія 2.0.1 із виправленнями.

Попит на такі фреймворки підтверджує, що високорівнева програмна емуляція залишається критично важливою для автоматизованого аналізу шкідливого ПЗ.

Автори пришвидшили `ast.walk` у 220 разів для потреб власного лінтера Python-коду. Поетапно усували overhead генераторів, замінили виклики `iter_child_nodes` та `iter_fields` на прямий обхід, а потім переписали критичний код на Rust із доступом до `__dict__` вузлів через пам'ять. Останні оптимізації включали кешування типів AST-підкласів у невеликій таблиці та сканування лише перших `len(_fields)` записів словника, що дало змогу майже повністю прибрати накладні витрати.

Тепер це справді більше схоже на sprint, ніж на walk.

Джон Кармак висловив захоплення Фабрісом Белларом, назвавши його, ймовірно, кращим програмістом за себе. У відповіді додано, що Беллар — французький інженер, який тихо живе в Парижі і 30 років писав код, що зараз обслуговує потоки відео на YouTube, Netflix, TikTok.

Дослідник стверджує, що «джейлбрейк», через який влада США заборонила іноземний доступ до Fable 5, був просто запитом «fix this code» для пошуку й виправлення вразливостей — штатним сценарієм захисної роботи. Експортний контроль у такому випадку швидше зашкодить оборонцям, ніж зупинить зловмисників, оскільки аналогічні можливості незабаром з’являться у відкритих моделях.

Коли регулятори лякаються кнопки «відлагодити», проблеми починаються не в AI, а в головах.

Стаття за допомогою інтерактивних 3D-моделей детально розбирає будову механічного годинника: від заводної пружини в барабані та зубчастої передачі, що пришвидшує обертання, до анкерного спуску й балансового колеса з волоском, які задають точний ритм. Окремо пояснюються механізми заводу (клік), стрілковий вузол, календар дати, безключовий механізм для налаштувань через головку, а також автоматичний підзавод за допомогою інерційного вантажу. Попри крихітні розміри деталей, уся система працює без батарей, покладаючись лише на механіку.

Інтерактивні моделі перетворюють складну механіку на інтуїтивно зрозумілу екскурсію.

У Bash є вбудована можливість відкривати TCP-з'єднання через спеціальний шлях `/dev/tcp`. Це не справжній файл, а внутрішня фіча оболонки, яка дозволяє надсилати та отримувати дані через сокет, наприклад, робити прості HTTP-запити. Достатньо відкрити файловий дескриптор, записати в нього рядки запиту (з обов'язковим `Connection: close`, щоб не зависнути) та прочитати відповідь командою `cat`. Метод працює лише з plaintext HTTP, не підтримує TLS, редіректи чи стиснення, і доступний тільки у збірках bash із увімкненою опцією `--enable-net-redirections`.

Дотепний рятівник, коли контейнер оголений до кісток, а встановлювати curl заборонено — хоча це скоріше виживальний трюк, ніж інструмент на щодень.

SubQ 1.1 Small — модель із Subquadratic Sparse Attention (SSA), яка замінює квадратичну складність уваги на лінійну, дозволяючи ефективно опрацьовувати контексти до 12 млн токенів. На Needle-in-a-Haystack вона майже безпомилково знаходить факти на глибині аж до 12M, а на RULER (128K) показує 99.12%, зберігаючи сильні загальні здібності (GPQA Diamond 85.4%, LiveCodeBench 89.7%). На 1M токенів модель потребує в 64.5 рази менше обчислень і працює в 56 разів швидше за FlashAttention-2. Навчання включало поетапне розширення контексту до 2M і продовжений pretraining на довгих природних артефактах (книги, документи, репозиторії коду).

Здається, команда справді зробила прорив у масштабуванні уваги — іронічно, що тепер "довгий контекст" може стати буденністю, а не приводом для хайпу.

Стаття досліджує питання, що залишиться людині після того, як ШІ перебере на себе виконання в розробці: ключовими незамінними якостями автор називає судження, смак і здатність будувати логічні ланцюги власноруч. Основна небезпека — у втраті суб’єктності, коли людина перестає мислити й лише передає запити від одного кінця до іншого. Щоб цього уникнути, варто спершу формулювати власне бачення і лише потім залучати ШІ, а джерело сенсу перенести з зовнішньої «корисності» на внутрішню цінність, яку машина не здатна пережити. У фіналі автор окреслює дві стійкі ролі — будівничий інфраструктури для ШІ та «вартовий» якості — і закликає не знижувати стандарти заради швидкості, а вкладати зекономлений час у зростання.

У Slay the Spire 2 через особливості ініціалізації генераторів випадкових чисел виникла кореляція між різними RNG: усі вони створюються з сідом, що відрізняється на фіксований хеш-зсув, а стандартний System.Random у C# лінійний за модулем сіду. Це дозволяє передбачати результати одних випадкових подій на основі інших, спричиняючи аномальні розподіли — наприклад, клята «Neow's Bones» дає Debt у ~54% випадків у Underdocks, карта Rebound узагалі не випадає з події Trash Heap, а шанс на банку з першого бою різниться між актами на порядок. Автор наводить десятки прикладів цього баґу та закликає розробників замінити генератор на нелінійний.

Схоже, що навіть у всесвіті Spire рандом не любить, коли сіди відрізняються рівно на хеш рядка — гра починає поводитись як школяр, який підглядає у сусіда.

Локальні моделі на ноутбуці з 64 ГБ RAM тепер дозволяють виконувати агентичне кодування на рівні ~75% від frontier-моделей. Авторка використовує Gemma 4 (особливо 12B-qat) через LM Studio та Pi, запускаючи все в Docker-контейнері для безпеки. Основні задачі — рефакторинг, генерація тестів і дослідницькі прототипи — вже не потребують постійної перевірки API-моделями. Екосистема швидко зріє, але до production ще далеко, натомість можна глибоко інтроспектувати токени та параметри.

Цікаво, що локальні моделі вже здатні замінити платні API для багатьох задач розробки, хоча про стабільність поки не йдеться.

З кінця 2025 року зловмисники поширюють шкідливе ПЗ через Steam Workshop, ховаючи його в «application»-шпалерах для Wallpaper Engine. Найчастіше жертвами стають гравці з Китаю та Росії: заражені шпалери встановлюють бекдори (DarkKomet), інфостілери (Lumma, Vidar), криптомайнери або викрадають облікові записи Steam. Атака використовує особливість цього типу шпалер — можливість запускати сторонній код, — й маскує пакети під невинні анімовані заставки з міні-іграми. Steam видалив виявлені зразки, проте нові постійно з’являються, тому перед застосуванням подібних шпалер варто перевіряти їх антивірусом.

Автор пояснює термін «yak shaving» — коли заради однієї задачі виконуєш ланцюжок побічних справ і втрачаєш початкову мету. Термін виник в MIT AI Lab після перегляду епізоду The Ren & Stimpy Show, а в розробці проявляється як бажання будувати все з нуля замість готових рішень. Попри те що це вважають помилкою, автор наполягає, що yak shaving приносить задоволення і є надзвичайно ефективним для навчання — як у випадку Дональда Кнута, який заради верстки книжки створив TeX, мову WEB, парадигму literate programming, алгоритми переносів і власний шрифт.

Іронія в тому, що стаття про шкоду винаходження велосипедів сама з’явилася після того, як автор власноруч написав генератор статичних сайтів для цього блогу.

Apple представила функцію Vehicle Motion Cues ще у 2024 році — це анімовані точки по краях екрана iPhone, iPad або Mac, які рухаються синхронно з рухом автомобіля, спираючись на дані з акселерометра та гіроскопа. Коли машина повертає, точки зміщуються в протилежний бік, коли гальмує — ковзають уперед, усуваючи конфлікт між статичною картинкою, яку бачать очі, та рухом, який відчуває вестибулярний апарат. Автор статті перевірив це на собі під час двомісячної подорожі Європою і виявив, що справді може годинами читати книги чи писати тексти на пасажирському сидінні без жодних ознак нудоти. Функція вмикається в налаштуваннях доступності, а для швидкого перемикання можна призначити подвійний тап по задній кришці iPhone.

Залишається тільки питання: чому подібне рішення не з'явилося років 15 тому, коли ми ще мучилися з друкованими мапами на задньому сидінні батьківської машини.

Архітектура "восьминога" для AI-агентів описує систему з центральним координаційним "мозком", який розподіляє завдання між напівавтономними підсистемами. TorkBot має foreground lane для швидкої взаємодії з користувачами, яка передає складну роботу іншим lanes через текстові повідомлення. Ключова перевага — швидкий відгук на дії користувача, оскільки основний контекст залишається легким, тоді як обробка важких завдань з tool calls, dead-ends та I/O ізолюється в окремих "щупальцях". Автор свідомо колапсує всі канали комунікації (Slack, GitHub тощо) в єдиний foreground-діалог, роблячи ставку на майбутню здатність моделей встановлювати зв'язки між різними контекстами.

Ставка на один діалог для всіх поверхонь виглядає ризиковано — навіть людина може заплутатись у такому потоці, а моделі поки що не завжди справляються з розрізненням контекстів. Але якщо спрацює, це може дати якісно інший рівень агентної інтуїції.

Meta за останні кілька тижнів знищила свою колись легендарну інженерну культуру: керівництво примусово перекинуло 30–50% розробників на маркування даних для AI, запровадило стеження за кнопками і кліками, а кількість токенів стала показником у перформанс-рев’ю. Це призвело до катастрофічного захоплення акаунтів в Instagram через AI-згенерований код та розгромлену команду безпеки. Найкращі інженери масово шукають вихід, поки Марк Цукерберг та Александр Ван одержимі створенням власного coding LLM.

Схоже, принцип «move fast and break things» тепер застосували до самих інженерів Meta.

Snap представила AR-окуляри SPECS — повністю автономний пристрій вагою 132–136 г, з дисплеєм на основі рідких кристалів на кремнії, 51-градусним полем зору та підтримкою AI, який бачить світ разом із користувачем. Вони позиціонуються як інструмент для роботи, навчання та розваг, що не ізолює від реальності. Ціна — $2 195, попереднє замовлення відкрите, постачання заплановане на осінь у США, Великобританії та Франції.

67 відкритих проєктів отримали гранти в межах програми Next Generation Internet через три фонди: NGI Zero Commons Fund, NGI TALER (приватні платежі) та NGI Fediversity (хостинг із фокусом на портативність). Фінансування охоплює рівні від відкритого заліза (FPGA, гібридні батареї, апаратне шифрування) до браузерних рушіїв (Servo, Bisque), мережевих протоколів (MPTCP, microTCP, DMRSEC), засобів розробки (Haskell GADTs, Ribbit, AtomVM) і децентралізованих сервісів (PeerTube, Castopod, Posca). Також серед грантів — численні проекти для Wayland, Redox OS, OpenStreetMap та causal AI, що разом формують наступний шар цифрової інфраструктури з відкритим кодом.

Схоже, європейські гранти останнім часом — це не лише бюрократія, а й непоганий індикатор того, куди рухатиметься незалежний стек.

Apple переносить усі адреси Hide My Email на піддомен @private.icloud.com, що дасть сервісам змогу легко вирізняти та блокувати ці alias-и, не зачіпаючи звичайні iCloud-скриньки. Це зводить нанівець правдоподібне заперечення і ризикує перетворити функцію на аналог тимчасових пошт, які часто просто не приймають. Автор закликає Apple переглянути рішення, а поки радить генерувати alias-и на @icloud.com до остаточного переходу.

Тепер «прихована» пошта буде настільки прихованою, що її навіть не приймуть.

KDE випустила Plasma 6.7 з підтримкою різних віртуальних робочих столів на кожен екран, прискореним перемиканням і технічним прев'ю системи тем Union. Реліз також містить багато виправлень і присвячений пам'яті давнього учасника спільноти Еріка Лаффона.

Сатиричний переклад внутрішнього листа Robinhood про звільнення 10% співробітників розкриває справжній зміст корпоративних евфемізмів. Заяви про «пласку організацію», «підвищення щільності талантів» і «безкомпромісну відданість цінностям» висміюються як виправдання оптимізації витрат на тлі прибутковості компанії. Фінальний «переклад» зводиться до лаконічного «Fuck you».

Дослідники з UNSW Sydney розробили метод приготування еспресо за допомогою ультразвуку та води кімнатної температури, що зменшує споживання енергії до 75%. Технологія використовує акустичну кавітацію — мікробульбашки, які при руйнуванні діють як мікроскопічні щітки, вибиваючи смак і кофеїн з кавової гущі без нагрівання. Сліпі тести на близько 100 кавоманах не виявили жодних відмінностей у смаку між традиційним і ультразвуковим еспресо, а фільтр-кава, приготована таким способом, навіть отримала кращі оцінки. Цей підхід відкриває шлях до швидкого й енергоефективного виробництва кавових концентратів у промислових масштабах.

Схоже, гаряча вода в еспресо була лише звичкою, а не необхідністю.

Version 15 мови Wolfram Language та Mathematica отримала вбудований AI-асистент у кожному ноутбуці, нову суперфункцію ModelFit для уніфікованої підгонки моделей та повністю перероблений фреймворк TimeSeries на основі Tabular. Додано підтримку категоріальних даних, символьне представлення музики, покращено роботу з гігабайтними ноутбуками, з’явилися бічні панелі, візуальні теми та багатопанельна візуалізація PlotGrid. Реліз також містить інкрементальні структури даних, алгебри Ґрассмана/Кліффорда/Вейля, багатовимірні дзета-функції, розв’язання PDE у криволінійних координатах, підкріплювальне навчання для систем керування та глибшу інтеграцію із зовнішніми AI-середовищами і Python-сесіями.

Білл Вотерсон, творець Calvin and Hobbes, шість років боровся зі своїм синдикатом, відмовляючись від мерчандайзингу на мільйони доларів, щоб зберегти мистецьку цілісність коміксу. Він домігся права на творчі відпустки та нестандартний формат недільних випусків, працюючи без компромісів, аж поки не вигорів. У 1995-му, на піку популярності, Вотерсон завершив серію, а згодом майже повністю зник із публічного простору, відмовляючись навіть обговорювати свій найвідоміший твір.

Така безкомпромісна відданість власним принципам на шкоду комерції — рідкісне явище; Вотерсон буквально забілив власну «стелю», залишивши по собі порожню, свіжу сторінку.

Продажі книг Тіма Ферріса у жанрі практичної нон-фікшн впали на 57% у 2026 році порівняно з попереднім, і він повʼязує це з тим, що читачі тепер отримують інструкції та персоналізовані поради безкоштовно через чат-боти. Найбільше страждають саме прикладні видання, які легко замінити витягами з LLM. Попри це, Ферріс бачить майбутнє за глибоким зануренням у тему та книжками, що ведуть до справжньої трансформації, а не просто передають інформацію.

Іронічно, що книга «4-годинний робочий тиждень», яка вчила делегувати все віртуальним асистентам, тепер сама стала жертвою делегування — безкоштовним LLM.

Кампанія Stop Killing Games із 1,3 млн підписів не змогла змусити Єврокомісію запропонувати закон, який би зобов’язував видавців підтримувати ігри після припинення продажу. Замість цього до кінця 2026 року запустять розробку добровільного кодексу поведінки для індустрії. Прихильники ініціативи мають намір просувати свої вимоги через поправки до Digital Fairness Act та паралельні юридичні справи, зокрема позов проти Ubisoft за The Crew.

Добровільний кодекс у відповідь на 1,3 млн підписів — це майже як пообіцяти стати добрішим, коли вас просять просто не вимикати сервери.

Міністерство юстиції США підтримало xAI в судовій справі, заявивши, що робота десятків газових турбін без дозволів біля дата-центрів у Мемфісі є питанням національної та енергетичної безпеки, оскільки модель Grok використовується Пентагоном для військових операцій, зокрема для ударів в Ірані. NAACP стверджує, що ці турбіни значно погіршили якість повітря в і без того забрудненому регіоні, спричинивши зростання викидів PM2.5, формальдегіду та оксидів азоту. Водночас xAI, яка тепер є підрозділом SpaceX, планує витратити ще $2,8 млрд на нові газові турбіни протягом наступних трьох років.

Автор замінив перегрітий 10GBASE-T SFP+ модуль на комутаторі — MikroTik S+RJ10 із чипом Marvell, що досягав 95°C і спричиняв втрату зв’язку, на 10Gtek ASF-10G-T80-INT із чипом Broadcom BCM84891. Новий модуль виявився значно холоднішим: температура CPU комутатора впала приблизно на 5°C, і мережа працює стабільно вже понад два тижні. Цікаво, що модуль емулює оптичний Intel-трансивер, тому безпосередній моніторинг його температури через SNMP став неможливим.

Схоже, єдиний спосіб переконатися, що Broadcom-модуль не перегрівається — це чекати, поки він вимкнеться, і сподіватися, що цього не станеться.

cuTile Rust — проєкт від NVIDIA, що пропонує tile-орієнтований DSL для безпечного написання GPU-ядер на Rust із JIT-компіляцією через CUDA Tile IR. Система гарантує коректність володіння та відсутність гонки даних, досягаючи на B200 до 91% пікової пропускної здатності пам’яті (7 TB/s) і 92% піку для GEMM (2 PFlop/s). Використовується в inference-двигуні Grout від Hugging Face для моделей Qwen3. Проєкт на ранній стадії, вимагає CUDA 13.3, Rust 1.89+ та GPU з sm_80+.

Попри вражаючі цифри, жорсткі вимоги до свіжості стеку роблять його радше демонстрацією майбутніх можливостей, ніж інструментом для поточних пайплайнів.

Стаття описує комплексний підхід до зламу IIS-серверів у bug bounty: від пошуку через Shodan і Google dorks до специфічних технік на кшталт tilde enumeration для 8.3-імен, фаззингу з вузькоспеціалізованими словниками та витягання web.config для RCE через десеріалізацію ViewState. Окремо розглянуто обхід обмежень через path traversal, cookieless-сесії для читання DLL, NTFS-хакі аутентифікації та WAF bypass за допомогою HPP.

Смішно, скільки всього можна витягнути з сервера, на який більшість навіть не дивиться після синього екрану IIS.

TNO разом із SURF та Нідерландським судово-експертним інститутом будує GPT-NL — суверенну мовну модель, що тренується з нуля на очищених даних і фінансується державою (€13,5 млн). Модель відкрита: код публікується як open source, ваги надаються за контрольованою ліцензією, а частина доходів повертається постачальникам даних. Особливу увагу приділено прозорості, захисту авторських прав, анонімізації персональних даних та енергоефективності. Проєкт позиціонується як відповідальна та незалежна від Silicon Valley альтернатива для нідерландського контексту.

Цікаво, чи зможе європейська модель із відносно скромним бюджетом реально конкурувати з Big Tech — але сама спроба побудувати повністю контрольований ланцюг постачання даних виглядає значно чеснішою за звичний «вигрібай усе підряд» підхід.

JWT не слід використовувати для збереження сесій користувачів: вони не призначені для цього, небезпечні та не витримують критики експертів з безпеки. Натомість варто застосовувати перевірені серверні сесії з куками — вони надійніші, гнучкіші й не створюють ілюзії stateless-аутентифікації. Навіть Google використовує JWT лише як транспорт для Single Sign-On, а не для сесій. Для короткотривалих підписаних токенів краще взяти специфікацію PASETO.

Брент Сіммонс після виходу на пенсію за рік з командою зробив 2188 комітів у NetNewsWire: модернізували код, перейшли на Swift structured concurrency і Liquid Glass UI, портували парсери з Objective-C, виправили баги та оптимізували продуктивність. Додали засоби діагностики для користувачів, підтримку Cache-Control і перевели спілкування зі Slack на Discourse. Фундаментальну роботу майже завершено, тепер можна братися за нові функції.

Пенсія — це коли нарешті маєш час зайнятися улюбленим проєктом без перерв на додавання shareholder value.

Apple змінює домен для анонімних адрес Hide My Email з @icloud.com на @private.icloud.com — це дасть сайтам і додаткам змогу легко відрізняти приватні адреси й блокувати реєстрацію. Ефективність функції знизиться, хоча вже створені адреси продовжать працювати. Apple не пояснила причин, а зміна відбувається на тлі активних спроб уряду США розкривати анонімні облікові записи.

Схоже, приватність стала незручним свідком, якого вирішили перейменувати.