GitHub Trending: на этой неделе — Sniffnet, Trivy, FunASR, PowerToys, Astro

Два инструмента безопасности в тройке лидеров. Один только что пережил атаку на цепочку поставок. Другой только что выпустил самую востребованную функцию. Вот история этой недели.

GyulyVGC/sniffnet — сетевой монитор, вытесняющий GlassWire

+1 197 звёзд за неделю · 39k всего · Rust

Sniffnet — кросс-платформенный сетевой монитор на Rust с GUI-библиотекой iced. Отображает трафик в реальном времени по соединениям с геолокацией, определением протокола и настраиваемыми оповещениями — без необходимости в специальных знаниях. Суть проста: Wireshark для тех, кто не хочет читать документацию Wireshark.

Версия 1.5, вышедшая в апреле 2026-го, добавила видимость трафика по приложениям — самую запрашиваемую функцию с момента запуска проекта. Теперь можно видеть, какая программа потребляет полосу, добавлять конкретные приложения в избранное и получать оповещения, когда помеченное приложение начинает генерировать трафик. В этой же версии появился импорт IP-чёрных списков.

HN тепло принял Sniffnet дважды — 288 голосов в мае 2023-го и 256 в феврале 2025-го. Оба треда заполнились практиками, сравнивавшими его выгодно с платной моделью GlassWire. Французское сообщество разработчиков в Bluesky на этой неделе было особенно активным:

«У вас странный сетевой трафик, и вы не хотите воевать с Wireshark? Sniffnet — это кросс-платформенный GUI на Rust с геолокацией и обнаружением подозрительного трафика, доступный без специальных знаний.» — camilleroux.com в Bluesky

Windows Central опубликовал рецензию, назвав его «новым основным приложением для мониторинга сети», которое «делает всё, что нужно, и даже больше». Проект — работа одного разработчика, Джулиано Беллини (GyulyVGC), принятого в программу GitHub Accelerator в 2023-м, и по-прежнему поддерживается им в одиночку. Issue с переводами собрал вклады на десятках языков.

Что стоит за +1 197 звёздами за неделю: релиз функций в v1.5, рецензия Windows Central и новый виток активности в Bluesky. Никакого хайп-цикла, никакого вирального твита. Инструмент, который работает лучше.

aquasecurity/trivy — сканер, ставший поверхностью атаки

+638 звёзд за неделю · 36k всего · Go

Trivy сканирует контейнеры, кластеры Kubernetes, файловые системы, Git-репозитории, облачные конфигурации и инфраструктуру как код — на уязвимости, неправильные конфигурации, секреты и компоненты SBOM. Один бинарник, одна команда trivy image nginx. Последние три месяца он также известен как проект, который сам стал жертвой атаки на цепочку поставок.

19 марта 2026 года Aqua Security раскрыла информацию: атакующий, идентифицированный как TeamPCP, скомпрометировал конвейер GitHub Actions Trivy. Атака не была zero-day: злоумышленники использовали прежний инцидент, который не был полностью устранён, сохранив доступ через неполную ротацию учётных данных. Затем они принудительно запушили вредоносные коммиты в существующие теги версий в репозиториях trivy-action и setup-trivy — то есть конвейеры CI/CD, привязанные к тегу, а не к SHA, молча получали скомпрометированный код. Полезная нагрузка включала кражу учётных данных, отравление тегов, подмену бинарников и самораспространяющегося червя, проникшего в 47 npm-пакетов. CrowdStrike, Wiz, Microsoft и Palo Alto Networks опубликовали разборы инцидента.

Комментатор HN выразил реакцию коротко:

«Довольно иронично, что инструмент безопасности оказался небезопасным.» — RS-232 на Hacker News

Другой указал на структурный урок:

«Не забывайте привязывать GitHub Actions к SHA-хешам вместо тегов — теги не обязательно иммутабельны!» — AdrienPoupa на Hacker News

Инцидент, судя по всему, ускорил распространение информации о Trivy, а не нанёс ему ущерб. Инструмент уже находился в широком продакшн-использовании; брешь поставила его имя в повестку разбора каждой команды безопасности. Aqua выпустила инструкции по устранению, сменила учётные данные и провела аудит конвейера. Репозиторий активно поддерживается — последний пуш два дня назад, 244 открытых issue, стабильная активность контрибьюторов.

638 звёзд за неделю приходят через три месяца после инцидента. Команды безопасности, завершающие оценку сканеров после прочтения разборов, всё равно останавливаются на Trivy.

modelscope/FunASR — промышленный конкурент Whisper со скоростью 170x

+632 звезды за неделю · 17,9k всего · Python

FunASR — инструментарий распознавания речи от Alibaba DAMO Academy, позиционируемый как продакшн-альтернатива Whisper. Главный аргумент: 170x от реального времени на GPU, при этом меньшая модель SenseVoice достигает конкурентных скоростей и на CPU. В комплекте — диаризация дикторов, определение эмоций, обнаружение речевой активности и стриминг за OpenAI-совместимым API, который можно развернуть самостоятельно.

В мае 2026-го вышло значимое обновление: в библиотеку моделей добавились Qwen3-ASR (52 языка, автоматическое определение языка) и GLM-ASR-Nano (поддержка диалектов), а также MCP-сервер для интеграции с AI-агентами. Инструментарий теперь работает как замена вызовам Whisper API: разработчики, переводящие агентные конвейеры с хостированной транскрипции OpenAI, могут сменить endpoint без изменения кода вызовов.

Треда на HN у FunASR нет. Трекер задач активен, но почти полностью на китайском: основная аудитория — китайскоязычные разработчики, строящие продакшн-системы транскрипции. +632 звезды за неделю, вероятно, отражают международное открытие: анонс MCP-сервера дал ему новое позиционирование — не просто альтернатива Whisper, а распознавание речи как tool-call endpoint.

microsoft/PowerToys и withastro/astro

PowerToys (+441 звезда, 134k всего) — зрелый набор утилит Windows от Microsoft: оконный менеджер FancyZones, Command Palette, Text Extractor и 20+ других инструментов. Версия 0.91, вышедшая в мае 2026-го, переработала производительность Command Palette и добавила поддержку низкоуровневого клавиатурного хука, открыв такие сочетания как Win+Space или Win+R для активации. В Bluesky после релиза v0.91 прошёл всплеск постов от Windows-разработчиков, использующих его ежедневно.

withastro/astro (+264 звезды, 60k всего) замыкает список. Веб-фреймворк для контент-сайтов активно разрабатывается — пуш был сегодня. Сейчас внимание сообщества сосредоточено на обработке CSP-хешей и совместимости с адаптером Cloudflare. Стабильный рост без катализирующего события на этой неделе.

Урок из разборов инцидентов

Этот период трендинга закрепил в отрасли конкретное инфраструктурное правило: привязывайте GitHub Actions к SHA-хешам коммитов, а не к именам тегов. Теги мутабельны. Тег v0.28.0 может указывать на другой коммит уже завтра. Атака на Trivy сработала именно потому, что конвейеры доверяли метке, а не хешу. Этот урок появился в разборах CrowdStrike, Microsoft, Wiz и Palo Alto — и привлёк к Trivy больше внимания, чем любой анонс релиза.

Более широкая закономерность: инструменты приватности и безопасности в тренде одновременно — не случайность. Sniffnet показывает, что делает ваша машина. Trivy показывает, что содержат ваши контейнеры. Оба — инструменты защитной видимости. Список недели, за разнообразием языков и типов проектов, — это разработчики, оснащающие себя для того, чтобы видеть внутрь собственных систем.