GitHub Trending за неделю: PowerToys, FunASR, Trivy, Astro, Fastify

GitHub Trending обычно читается как лента хайпа: свежий фреймворк для ИИ-агентов, трёхнедельный репозиторий с 8 000 звёзд, README в эмодзи. На прошлой неделе он выглядел как список того, что команды уже держат в продакшене.

Четыре из пяти — зрелая инфраструктура: от 36k до 135k звёзд, годы коммитов, названия, знакомые по вакансиям. Никакого кластера ИИ-агентов, никакой сенсации за одну ночь. Единственная запись из мира машинного обучения, FunASR, — это движок распознавания речи от ModelScope (подразделение Alibaba), а не обёртка над чат-ботом. Неделя, собранная из старожилов, сама по себе сигнал: разработчики заново открывали для себя несущие инструменты, а не гнались за новинками. А самая интересная история в рейтинге — то, что происходит, когда один из таких несущих инструментов атакуют.

aquasecurity/trivy — сканер безопасности, ставший полезной нагрузкой

+378 звёзд за неделю · 36k всего · Go

Trivy сканирует контейнеры, кластеры Kubernetes, git-репозитории и облачные конфигурации на известные уязвимости. В марте 2026 года он сам стал одной из них. Группировка, назвавшаяся TeamPCP, перезаписала force-push'ем 76 из 77 тегов версий в GitHub Action trivy-action, перенаправив доверенные ссылки на вредоносные коммиты: те читали память процессов CI-раннера и выгружали каждый найденный секрет. За сутки украденные npm-токены подпитывали CanisterWorm, самораспространяющийся червь, который заразил 47 npm-пакетов и, по разборам инцидента, использовал canister в Internet Computer как тайник для command-and-control.

Практиков зацепил не червь, а повтор. Aqua раскрыла более раннюю атаку 1 марта и сменила учётные данные; ротация задела не всё, и та же группировка спокойно вернулась 19 марта.

«Похоже, эта атака опирается на прошлый инцидент, где не сумели как следует устранить и локализовать ущерб. Trivy стоило провести полную переоценку рисков и чётко изолировать учётные данные. Этого не сделали, и за этим последовала вторая компрометация.» — читатель со ссылкой на разбор socket.dev

Тред на Hacker News свёлся к очевидной горькой фразе:

«Довольно иронично, что инструмент безопасности сам небезопасен.» — комментатор в треде об уязвимости

Практический вывод из того же треда оказался острее иронии: перестаньте доверять изменяемым тегам. «Не забывайте привязывать свои GitHub Actions к SHA, а не к тегам, которые могут оказаться неизменяемыми, а могут и нет», — отметил один читатель. Странность в том, что сканер с 36k звёзд, о котором вышел бюллетень Microsoft Security, спустя месяцы снова в рейтинге трендов: счётчик звёзд отражает внимание, а публичная катастрофа на грани провала — это и есть внимание.

modelscope/FunASR — тренд в полной тишине

+605 звёзд за неделю · 18k всего · Python

FunASR — единственный ИИ-репозиторий недели, и на бумаге внимание он заслуживает: 50+ языков, диаризация дикторов, распознавание эмоций, стриминг, плюс OpenAI-совместимый API и прикрученный MCP-сервер. Среди его собственных тегов есть whisper-alternative, и в этом весь посыл: self-hosted стек транскрипции для команд, которые предпочли бы не отправлять аудио в OpenAI.

Чего нет, так это обсуждения. Поиск по Hacker News на FunASR не даёт ни одной публикации; упоминания в Bluesky — это голые ссылки, одно из них бот, сообщающий, что кто-то поставил репозиторию звезду. Неделя с 600 звёздами без единого обсуждения на английском ничего не доказывает, но контраст назвать стоит: у каждого из четырёх западных инструментов в списке годы споров в тредах, а речевая модель Alibaba набирает тренд в вакууме. Возможности здесь распространяются быстрее, чем сообщество.

withastro/astro — и просьба, зашитая в описание

+279 звёзд за неделю · 60k всего · TypeScript

Astro — заслуженно популярный фреймворк для контент-сайтов с архитектурой островов, которая по умолчанию не отгружает ни байта JavaScript. Это ещё и единственный репозиторий в рейтинге, чьё описание на GitHub заканчивается рекламным призывом: «Веб-фреймворк для контент-сайтов. ⭐️ Поставьте звезду, чтобы поддержать нашу работу!» Тренды должны измерять органический интерес; Astro же просто просит о нём напрямую, в той самой строке, которую читает каждый посетитель. Обвинять не в чем: всё прямо в метаданных, и это работает.

Сила проекта в заметном присутствии мейнтейнеров. Руководитель документации Astro продолжает разбирать issue публично: «У нас открыт issue, мы за этим следим, кто-нибудь займётся им завтра с самого утра». Такая отзывчивость превращает звезду в повторный визит.

fastify/fastify — тихий проект, переходящий на веб-стандарты

+85 звёзд за неделю · 36k всего · JavaScript

Fastify — самый малый по приросту в списке и самое показательное включение. На Hacker News есть тред шестилетней давности, буквально озаглавленный «Fastify набрал 13k звёзд на GitHub, но в HN тишина. Почему?». Ответ тогда и сейчас один: скучная надёжность не порождает тредов.

«Я выбрал Fastify вместо Express примерно 2 года назад из-за бенчмарков, и с тех пор он стабильно работает в продакшене. Отличный софт.» — разработчик, который перешёл на него

Fastify и Astro роднит направление, а не размер: оба тихо перестраиваются на веб-стандарты. Мейнтейнер Fastify Джеймс Самнерс заменил самописный разбор заголовков на парсер по спецификации, а ещё один PR от мейнтейнера добавляет маршруты на Web Standard API. Самые используемые части экосистемы Node сходятся к платформе, вместо того чтобы изобретать в обход неё. История медленная, потому-то она и не попадает в тренды сама по себе.

microsoft/PowerToys — невозмутимый король

+1,042 звёзд за неделю · 135k всего · C

Самый большой прирост недели оказался и самым предсказуемым. PowerToys в любимчиках Hacker News с тех пор, как запуск FancyZones в 2019-м собрал 500 голосов, и проект продолжает выпускать обновления: релиз v0.91 добавил низкоуровневый перехват клавиатуры для Command Palette и опцию спрятать иконку в трее. Об этом сообщил PM проекта PowerToys, собрав несколько сотен лайков. Ничего громкого, просто набор утилит на 135k звёзд, который до сих пор обновляется каждый месяц. Он держит список именно потому, что ему никогда не нужен особый повод.

О чём на самом деле говорит скучная неделя в трендах

Уберите ИИ-пену, и GitHub Trending превращается в индекс доверия: PowerToys, Astro и Fastify растут, потому что к этим заслужившим доверие инструментам люди возвращаются снова. Загвоздка в том, что Trivy был в том же списке заслуженного доверия, и именно это доверие потратила TeamPCP. Высокий счётчик звёзд — не оценка безопасности; это мера того, сколько пайплайнов унаследует атакующий, если проникнет внутрь. Самый звёздный инструмент безопасности в рейтинге этой недели — наглядное тому доказательство.