Дайджест #16. Неділя, 21 червня

UHF X11 перетворює Apple Vision Pro на сервер відображення X11, дозволяючи запускати класичні X-застосунки у просторових вікнах visionOS. Кожне вікно відкривається окремо, підтримує підключення зовнішніх клієнтів через TCP та автентифікацію MIT-MAGIC-COOKIE-1. Рендеринг враховує native роздільну здатність з nearest-neighbor масштабуванням, а також пропонує ефекти CRT (сканлінії, фосфорні маски, світіння) для атмосфери 80-х. Експериментальна підтримка Indirect GLX дозволяє запускати OpenGL-клієнти поверх X11.

VAWAA — це платформа, що пропонує міні-стажування у визнаних митців та ремісників з усього світу. Замість звичайного відпочинку можна опанувати нове ремесло — від аргентинського танго до японської каліграфії — у форматі індивідуальних занять онлайн або безпосередньо в майстерні. Гості отримують глибоке культурне занурення, натхнення та навички, які залишаються на все життя.

Схоже на Airbnb Experiences, але з акцентом на тривале навчання у справжніх майстрів — хороша ідея для тих, кому набридли туристичні магнітики.

Bootimus — самодостатній PXE/HTTP boot сервер у вигляді одного Go-бінарника без зовнішніх залежностей. Має вбудований proxyDHCP, тому не потребує змін у налаштуваннях роутера, та автоматично визначає понад 50 дистрибутивів. Підтримує Docker, REST API, LDAP, unattended installs і не містить пропрієтарних компонентів. Поширюється під ліцензією Apache 2.0.

Якщо вам набридло возитися з dnsmasq та стародавніми Perl-скриптами, це виглядає як свіжий ковток повітря для netboot-завдань.

Стаття розповідає про те, як уряд США наказав Anthropic обмежити експорт моделей Mythos і Fable через національну безпеку, після чого компанія на тиждень відключила доступ до них. Автор проводить паралелі з історією невдалих спроб контролювати поширення шифрувальних технологій (як-от PGP) та шпигунського ПЗ. Висновок: експортні обмеження ніколи не зупиняли розповсюдження подвійних кібертехнологій, і навряд чи спрацюють у випадку з сучасними AI-моделями.

Цікаво, що іронія ситуації — Anthropic самі маркетували Mythos як "машину судного дня", фактично надавши уряду готове обґрунтування для заборони.

У статті розглядаються повноцінні веб-браузери (не лише WAP/WML) для кишенькових комп’ютерів (PDA) від початку 1990-х до середини 2000-х. Автор описує еволюцію браузерів за операційними системами — EPOC, Newton OS, Palm OS, Windows Mobile та Zaurus — від примітивних текстових клієнтів із проксі-доступом до браузерів із підтримкою HTML, CSS, JavaScript і табів. Більшість ранніх рішень покладалися на зовнішні проксі через обмежені потужності пристроїв, але до початку 2000-х з’явилися нативні браузери на зразок NetFront, Opera Mobile чи Minimo. Доля категорії вирішилася з появою смартфонів, хоча окремі браузери ще деякий час портували й на бестелефонні PDA.

Примітно, що Apple, яка подарувала світові сам термін «PDA» разом із Newton, через 14 років фактично добила цей клас пристроїв випуском iPhone.

Архітектури LLM перестали бути простими стосами Transformer-блоків: тепер вони рясніють різновидами attention (query grouping, sparse, sliding-window тощо), Mixture-of-Experts, маршрутизацією майже всього й багатогранними механізмами для multi-GPU інференсу. Це нагадує еволюцію рекомендаційних систем, де постійна напруга між зростанням можливостей та ефективністю інференсу породила складні гібридні графи. Дослідницький цикл потребує композовності: без частково оптимізованого базового рівня новий варіант може виявитися на порядок повільнішим, і його неможливо адекватно оцінити; FlexAttention у PyTorch — приклад інструменту, який дозволяє генерувати kernels для різних видів attention, зберігаючи композовність і передбачувану продуктивність. Тому вміння зводити архітектури до суті й проєктувати їх композовними виявляється не менш важливим за «розумні» агенти, як показує і підхід Андрія Карпатого.

Індустрія LLM, схоже, старанно наступає на ті самі граблі, що й recsys: хочеться гнучкості, але без композовності дослідження перетворюються на пошук голки в копиці сіна, де будь-який крок може коштувати порядок швидкодії.

SMPTE оголосила про відкриття всього каталогу своїх стандартів для вільного доступу — включно з усіма опублікованими стандартами, рекомендованими практиками, інженерними настановами та RDD. Рішення спрямоване на прискорення впровадження, зміцнення сумісності та стимулювання інновацій у медіаіндустрії. Цей крок є частиною ширшої модернізації процесів розробки, що включає GitHub-воркфлоу, HTML-авторинг та автоматизований паблішинг.

Понад століття продавали стандарти, а тепер вирішили, що сумісність важливіша за членські внески — цікаво, чи пов’язано це з тим, що конкуренти просто почали викладати їх у відкритий доступ раніше.

Проект з відтворення вихідного коду гри F-15 Strike Eagle II на C досяг значного прогресу: всі виконувані файли реконструйовано, і випущено версію v0.9.1 для тестування. Автори запрошують охочих випробувати її, замінивши оригінальні файли гри, і повідомляти про будь-які збої, графічні артефакти чи непрацюючі клавіші. Важливо, що реконструкція має точно повторювати поведінку оригіналу, включаючи всі його відомі глюки.

Тепер зрозуміло, чому в оригіналі літак падав у небо, коли закінчувалося паливо — це не баг, а фіча, яку треба зберегти.

Ember — нативний SwiftUI-клієнт для Hacker News без сторонніх залежностей. Підтримує всі стрічки, нативні нитки коментарів, пошук, закладки, офлайн-кешування, трекінг прочитаного та адаптивний інтерфейс для iPhone, iPad і Mac. Особлива увага приділена доступності (кольорова сліпота, VoiceOver, Dynamic Type) та персоналізації під час першого запуску.

Жодної залежності — це майже так само рідко, як і спокійний коментар на самому HN.

У Великій Британії уряд лейбористів розглядає запровадження вікової верифікації (age-gate) для VPN-сервісів у межах заборони соцмереж для дітей до 16 років. Конкретні деталі обіцяють оприлюднити в липні, а поки що повної заборони VPN не планують, хоча розпочато консультації щодо обмеження доступу дітей до VPN, якщо це підриває безпекові заходи. Міністри визнають гострий спір між прихильниками приватності та захисту дітей, і технологічний секретар замовила додаткове дослідження через брак якісних даних.

Цікаво, що підлітки оперативно почали гуглити обхід блокування — віковий гейт для VPN ризикує стати грою в кішки-мишки.

Група європейських організацій та проєктів зі сфери відкритих соціальних мереж опублікувала декларацію про створення Європейського соціального стеку. Вони пропонують відійти від монопольних платформ і побудувати незалежну, децентралізовану інфраструктуру на основі трьох відкритих протоколів: Fediverse (Mastodon, PeerTube), Atmosphere (Eurosky, Flashes) та приватних месенджерів (Matrix, XMPP). Декларація визначає вісім спільних принципів, включно з цифровою автономією, підтримкою демократії та відкритим кодом, і закликає європейські інституції інвестувати в цю екосистему.

Декларативне об'єднання трьох окремих стеків у «єдиний європейський стек» виглядає як спроба наздогнати потяг, що вже розбігається в різні боки.

Наші екрани і стандартні колірні простори (sRGB, Display-P3) не здатні відтворювати насичені ціанові, сині та зелені відтінки, які існують у природі, бо не можуть додати «негативний червоний», потрібний для чистих спектральних кольорів. Ці «заборонені» кольори можна побачити наживо: світло, що проходить крізь листя в густому лісі, глибока вода з фітопланктоном, структурне забарвлення пір’я птахів і крил метеликів, біолюмінесценція в океані чи печерах. Несподіваний доступний приклад — зелений сигнал світлофора, який насправді є інтенсивним бірюзовим.

Іронія в тому, що стаття про кольори, які не можна показати на екрані, складається переважно з графіків, де ці кольори однаково обрізані — лишається тільки повірити автору на слово й піти надворі подивитися на світлофор.

cargo-geiger — це плагін для Cargo, який рекурсивно сканує Rust-крейт і всі його залежності на предмет використання unsafe-коду, видаючи статистику у вигляді таблиці. Він не оцінює безпеку, а лише надає кількісні дані для полегшення аудиту разом із інструментами на кшталт cargo-crev. Підтримує різні способи встановлення, зокрема статичне звʼязування OpenSSL.

Назва — лічильник Гейгера для unsafe-коду: іронічно, але влучно.

Новий медіаплеєр Windows 11 споживає близько 377 МБ пам'яті в режимі очікування — у 3,5 раза більше, ніж класичний Windows Media Player (103 МБ). Запуск локальних файлів триває приблизно на 50% довше, а підтримка популярних кодеків, як-от HEVC (H.265) і AC-3, тепер потребує платних розширень або взагалі видалена з системи. Користувачам, які не хочуть платити за базове відтворення відео, радять перейти на VLC.

Схоже, Microsoft вирішила, що 103 МБ для програвання музики — це надто скромно, і варто дати людям вагомий привід оновити оперативну пам’ять.

У фавіконі (іконці вкладки) запущено повноцінну гру Pong. Ракетка керується вертикальним скролом сторінки, а поточний рахунок відображається у заголовку вкладки. Сторінка також містить код гри та живі самотести, які виконуються просто в браузері.

TownSquare — це сервіс, який додає на сайти живий простір: відвідувачі бачать одне одного, можуть рухатися, говорити та взаємодіяти в реальному часі. Для встановлення достатньо вставити один тег `<script>` перед `</body>`, без реєстрації, облікових записів чи алгоритмів. Усе працює одразу, створюючи ефект присутності й спільного моменту.

Ймовірно, це найшвидший спосіб перетворити статичний сайт на місце випадкових зустрічей — хоч і без гарантії, що туди загляне хтось, окрім вас.

Хакери, ймовірно, надіслали несанкціоноване екстрене сповіщення зі словом «misantropi4» (мізантропія) на мобільні телефони в кількох штатах Бразилії, зокрема в Сан-Паулу та Ріо-де-Жанейро. Повідомлення класифікували як «екстремальне», хоча жодної надзвичайної ситуації не було. Урядову платформу Cellbroadcast (аналог американської WEA) тимчасово відключили для розслідування.

Британський супермаркет Tesco подав до суду на Broadcom та реселлера Computacenter через порушення контракту на підтримку безстрокових ліцензій VMware. Tesco стверджує, що нова політика Broadcom змушує платити за дублюючі підписки та блокує оновлення, що ставить під загрозу роботу 40 000 серверів і касових систем магазинів. Компанія вимагає щонайменше £100 млн збитків, приєднуючись до аналогічних позовів AT&T та Siemens.

Фінляндія перетворює публічні бібліотеки на центри громадського життя, де можна позичити швейну машинку, 3D-принтер або абонемент у басейн. Закон зобов’язує бібліотеки сприяти демократії та активному громадянству, і вони фактично стали інфраструктурою цифрової інклюзії та соціальної рівності. За дослідженнями, кожен вкладений євро повертає суспільству втричі-вп’ятеро більше, а 55% фінів відвідують бібліотеку щонайменше раз на місяць — значно частіше, ніж у США чи Британії.

Можливо, фінський досвід підказує, що набагато цінніше вимірювати бібліотеку не кількістю виданих книжок, а її здатністю стати “спільною вітальнею” для всіх.

epoll сповіщає лише про можливість вводу/виводу, тому на кожну подію потрібні додаткові системні виклики read/write, що створює накладні витрати при великій кількості з’єднань. io_uring працює за моделлю завершення — операції подаються та отримуються через спільні з ядром кільцеві буфери, що дозволяє обробляти одразу пачку вводу/виводу одним викликом, а з режимом SQPOLL взагалі уникати зайвих перемикань контексту (ціною постійного CPU-опитуючого потоку). Код прикладів підтверджує меншу кількість кроків і системних викликів у io_uring. Автор рекомендує використовувати io_uring як сучасний стандарт асинхронного вводу/виводу на Linux і відмовлятися від epoll на системах з ядром 5.1+.

Claude Opus 4.7 без участі людини виконав завдання з робособакою в рамках другого етапу Project Fetch, показавши в середньому 20-кратне прискорення порівняно з найкращою людською командою з попередньої фази. Модель швидко підключалася до відео- й lidar-сенсорів, писала код для ручного керування та детекції м’яча, генеруючи при цьому в десятки разів менше рядків коду, ніж люди. Водночас точне фізичне маніпулювання — самостійне «принесення» м’яча — залишилося складним завданням, де модель лише позиціонувала робота, але не могла надійно виконати задумане. Успіх спричинений не цілеспрямованим робототехнічним fine-tuning, а загальним масштабуванням можливостей LLM.

Примітно, що Claude Opus 4.7 написав у 10 разів менше коду, ніж людська команда з Claude, і при цьому впорався із завданнями швидше та не менш успішно.

Ефект Армстронга — це фізичне явище, при якому статична електрика виникає через тертя рідини (пари, стисненого повітря), вперше виявлене у 1840 році біля парового котла. Вільям Армстронг створив потужний електростатичний генератор без рухомих частин, що видавав іскри до 22 дюймів (близько 56 см) і використовувався як вражаючий атракціон. Сьогодні ефект застосовують для поляризації фарби в розпилювачах, але він же спричинив вибухи під час чищення танкерів водяними струменями під високим тиском.

Примітно, що «гідроелектрична машина» Армстронга не мала жодного стосунку до гідроелектроенергії — лише оглушливий шум, видовищні іскри та нещасні випадки, зокрема летальні.

Користувачі сприймають затримки й час відновлення сервісу не як середнє арифметичне, а значно болючіше — через парадокс інспекції їхній досвід описується формулою E[X²]/E[X]. Тобто більшість часу очікування припадає саме на рідкісні, але довгі події, тому хвіст розподілу має вирішальне значення. Це особливо критично для часу відновлення, де на відміну від звичайних запитів не можна сховати затримку повторними спробами.

Усічені середні, які відкидають хвіст, — поганий інструмент, бо ігнорують саме те, що формує реальний досвід користувача.

Bayer спільно з Thoughtworks створила PRINCE — платформу на основі агентного RAG, яка еволюціонувала від звичайного пошуку до інтелектуального асистента, здатного відповідати на складні наукові запити природною мовою. Система поєднує RAG для неструктурованих даних, Text-to-SQL для структурованих, гібридне ранжування, а також кілька рівнів рефлексії (процесна, даних, чернетки), спираючись на context engineering і harness engineering для надійності, відновлення після збоїв та прозорості цитувань. Ключовим рішенням стало вибіркове надання контексту — кожен агент отримує лише релевантну на цьому етапі інформацію, що спрощує налагодження та оцінку.

Цікаво, що явне розділення того, що бачить модель на етапах планування, пошуку, перевірки й синтезу, виявилося ефективнішим за один монолітний контекст — підхід, який варто наслідувати навіть у простіших RAG-застосунках.

Розробники часто не розуміють CORS — це підтверджує вразливість Zoom, де замість правильно налаштованого заголовка `Access-Control-Allow-Origin` використали обхід через зчитування розмірів зображення із локального вебсервера. Такий підхід відкрив доступ до небезпечних функцій (зокрема встановлення ПЗ) будь-якому сайту, тоді як правильний CORS-заголовок обмежив би джерело лише доменом zoom.us. Автор зауважує, що навіть на localhost політика CORS працює у всіх браузерах, і її ігнорування — поширена проблема серед досвідчених і новачків.

Обхід CORS через розміри картинки — це такий рівень креативу, якому місце у музеї «як не треба робити».

Маркетингова агенція Qontour без дозволу створила сайт «The Dictionary of Obscure Sorrows», повністю відтворивши текст книги Джона Кеніґа, замінивши оригінальні ілюстрації на AI-зображення й додавши генератор нових слів на базі GPT-4. Сайт заробляв на affiliate-посиланнях Amazon, видавав себе за офіційний і витіснив справжню сторінку автора в Google та відповідях ChatGPT і Gemini. Кеніґ не був причетний, видавець подавав DMCA-скарги, але це не допомогло — випадок показує, як AI-агентства без згоди перепаковують чужу роботу для власного портфоліо і прибутку.

Схоже, «qontour» могло б стати тим самим словом.

Loupe — це iOS-додаток, який наочно показує, які дані про ваш пристрій може отримати будь-яка програма через публічні API. Сигнали згруповані в три категорії: пасивні (доступні без дозволів), ті, що потребують дозволу, та просунуті (наприклад, побічне використання canOpenURL або Keychain). Усе, що зчитує Loupe, залишається на пристрої — нічого не вивантажується і не передається.

Цікаво, що майже весь код проєкту написаний AI-інструментами, тож це ще й приклад того, як можна швидко створити навчальний privacy-інструмент за допомогою генеративних моделей.

Людський мозок еволюційно заточений на миттєве виявлення загроз, однак сучасний безперервний потік поганих новин з усього світу перевантажує цей древній механізм, викликаючи втому й бажання уникати новин. Дослідження фіксують рекордні рівні уникання: 40% людей у світі свідомо відгороджуються від новин, бо ті погіршують настрій і викликають відчуття безсилля. Розв’язання — не повна відмова, а здорові звички: виділяти обмежений час, надавати перевагу глибоким матеріалам, відділяти усвідомлення від реальних дій та розпізнавати «rage bait» — контент, створений для провокації гніву.

Порада «читайте одну довгу статтю замість скролінгу» звучить розумно, але іронія в тому, що більшість із нас прочитає це саммарі і гортатиме далі.

Автор відверто ділиться досвідом використання AI-агентів для написання коду: навіть коли згенерований код працює, він часто відкидає його повністю. Основні причини — неможливість пояснити підхід своїми словами, надмірний обсяг змін, передчасні абстракції та втрата власного розуміння системи. Справжнім вузьким місцем стає саме ревʼю, а не швидкість генерації, тому AI потребує досвідченого інженера, який веде його до адекватного рішення.

Виходить, AI поки не замінив інженера, а лише змусив його більше часу витрачати на перевірку чужої (хай і машинної) роботи.

У Linux 7.2 остаточно вилучили функцію strncpy, яка роками була джерелом помилок через неочевидну поведінку з NUL-термінацією та надлишкове zero-filling. Знадобилося шість років і приблизно 362 патчі, щоб позбутися всіх її використань. Відтепер замість strncpy слід послуговуватися strscpy, strscpy_pad, strtomem_pad, memcpy_and_pad або memcpy залежно від завдання.

Шість років, щоб викорчувати одну функцію — схоже, у світі Linux навіть прощання з legacy кодом буває розтягнутим, але зрештою безжальним.

ClickHouse представила PostgresBench — відтворюваний бенчмарк для порівняння керованих Postgres-сервісів на основі стандартного pgbench із TPC-B-подібним навантаженням. У першому раунді протестовано п’ять провайдерів (ClickHouse Postgres, AWS Aurora, AWS RDS, Neon, Crunchy Bridge) на конфігураціях 4 та 16 vCPU; сервіс ClickHouse показав значно вищу пропускну здатність і менші затримки на обох масштабах даних (~100 ГБ і ~500 ГБ). Автори пов’язують перевагу з локальним NVMe-сховищем, що усуває мережеві затримки на fsync, тоді як конкуренти покладаються на віддалене чи спільне сховище. Результати, код і конфігурації відкриті — будь-хто може відтворити тести або додати власний сервіс через pull request.

Технічний висновок «Postgres не гальмує — гальмує ваше сховище» звучить рекламно, але у цьому конкретному навантаженні справді вирішальним фактором є latency на запис.

Pull request додає експериментальну підтримку shared-memory потоків у JavaScriptCore (JSC) за дизайном Філіпа Пізло 2017 року. Потоки працюють у спільній купі без копіювання об’єктів, з новим API `new Thread(fn)` та примітивами синхронізації (Lock, Condition, Atomics на властивостях об’єктів). Поточний статус: паралельний JavaScript виконується через усі чотири JIT-рівні без глобального блокування, тестовий набір проходить, але ще потрібне очищення TSAN, фаззинг і виправлення регресії продуктивності (~0.45% у серійному режимі, але один бенчмарк перевищує бюджет). Вимірювання масштабованості на «плоскому» варіанті (лише числові масиви) показують, що JS випереджає Java на 16 і 32 потоках, однак на ідіоматичному варіанті (рядки, Map, BigInt) JS приблизно в 13 разів повільніший за Java через накладні витрати об’єктної моделі. PR відкритий для обговорення і може ніколи не бути злитий.

Чесний лог боротьби з багатопотоковістю в JS-рушії, включно з усіма провалами та виправленнями, вражає більше за сам код.