Главное на Hacker News

В сегодняшнем GitHub Trending: iroh (библиотека на Rust, которая соединяется с устройством по публичному ключу, а не по IP), Meshery (менеджер стеков Kubernetes) и три справочных репозитория — курс freeCodeCamp, build-your-own-x и гайд по самостоятельному хостингу.

Списки собирают звёзды, треды — сомнения. Топовый комментарий на Hacker News называет Self-Hosting-Guide «гигантским списком инструментов», а не обещанным в названии руководством, и год без обновлений. iroh — исключение: мейнтейнер провёл открытый AMA в день попадания на главную.

Основатели Cursor за четыре года прошли путь от нуля до состояния на поколения вперёд — на продукте, который в треде упорно называют обёрткой: форк редактора, оснастка и промпты. Собственная модель Composer 2.5 построена на Kimi K2.5.

Загвоздка в схеме сделки: денег тут нет. SpaceX расплачивается своими акциями, размывая долю акционеров, и при этом обещает инвесторам IPO рынок на $26 трлн.

А самые громкие скептики не могут объяснить, почему в это всё равно продолжают вкладывать.

Её тест на качество — не бенчмарк. Это вопрос, надо ли сверять вывод с платной моделью, и OSS-20B от OpenAI оказалась первой, где делать это приходилось заметно реже.

Возражение треда прямолинейно: запустите Gemma 4 MoE, ожидая поведения Claude Code, — и сильно разочаруетесь. Способная, но до фронтира далеко.

Chrome 150 (около 30 июня 2026 года) убирает флаг ExtensionManifestV2Disabled; Chrome 151 в июле удаляет остальное. Google ссылается на «сложность, техдолг и риски безопасности».

Человек, назвавшийся сотрудником Google, защищал шаг как меру безопасности. В ответе напомнили: 75% выручки Google приносит реклама — и она же контролирует магазин расширений, который якобы защищает.

Похвала пришла в обёртке оговорок — «почти наверняка более сильный программист в целом, чем я», — и один комментатор прямо указал на эту осторожность.

Потом прозвучал контраргумент: Беллар не касался FFmpeg больше 20 лет, его исходного кода не осталось, но именно он по-прежнему решает, кому можно использовать имя FFmpeg.

Исследователи скормили Fable 5 открытый код с заранее внедрёнными известными CVE. Модель отказалась перечислять дыры, но согласилась их залатать — и патчи вместе с тестами всё равно выдали уязвимости.

Кэти Муссурис, основательница Luta Security, говорит: в этом и состояла вся техника. Итог: директива об экспортном контроле, запрещающая доступ любому иностранцу, и Anthropic, отключившая модели для всех.

Соль не в 14 миллиардах коммитов. Соль в том, что это коммиты агентов, а не выпущенные фичи: агенты теперь пишут в GitHub, пока думают, а не после человека.

Один комментатор вспоминает, как основатель GitHub много лет назад сказал топ-менеджеру Microsoft, что виртуальные диски Azure недостаточно быстры по IOPS, чтобы держать GitHub.

А статья с этим заявлением сама — сгенерированная ИИ, почти пустая React-страница на сайте, который автор называет одиночным и наспех «вайбкоженным».

Закон бьёт по объявлениям, которые висят, чтобы собирать резюме, наполнять воронку или изображать рост, которого нет. Сторонники называют это давно назревшей помощью соискателям, теряющим недели на вакансии, которых никогда не было.

Оговорку добавил житель Нью-Йорка: в штате уже есть закон о раскрытии зарплат, который не исполняется. Закон, который «лежит в кодексе, открыто нарушаясь», ничего не чинит.

И «Вход с Apple», и алиасы «Скрыть мою почту» переезжают на @private.icloud.com. Теперь одна регулярка отделяет ретранслирующие адреса от настоящей почты iCloud, и сайт может отвергнуть их все одним правилом.

Запасной ход автора: нагенерировать про запас алиасы @icloud.com сейчас, до изменения, с лимитом не меньше 30 в час.

Подвох всплыл в обсуждении: забань новый домен — и заодно сломаешь кнопку входа Apple, которую тебе же велели добавить.

Пока протестировано на Pixel 6a, 7, 7a, 8, 10a, 10 и 10 Pro Fold; официальные сборки на подходе, а патчи безопасности будут выходить дольше, чем у Android 16.

В списке заметно отсутствуют Pixel 9 и 9a — их владельцы в обсуждении всё ещё ждут поддержки.

Главный парадокс: приватная ОС ставится только на телефоны компании, от которой бегут, а Pixel к тому же продают не везде.

Главный тезис gist: JWT создавались под токены на ~5 минут, а не под логины, и «они не предназначены для этого, они небезопасны». Используйте сессионные куки или PASETO для подписанных токенов.

Повторяющаяся оговорка из обсуждения: это верно для браузерных сессий — и почти только для них.

Разворот: один комментатор предложил сломать AssumeRoleWithWebIdentity в AWS STS, если JWT и правда так небезопасны. Желающих не нашлось.

Каждая инструкция записи байта занимала 4 байта. 65 536 штук — это 256 килобайт машинного кода ради инициализации 64 килобайт стека: соотношение кода к данным 4 к 1.

Вместо того чтобы гонять этот раздутый код как есть, бинарный транслятор узнавал чудовищную функцию и подставлял компактный цикл, который и должен был выдать компилятор.

Оговорка из обсуждения: возможно, это вовсе не баг, и полностью развёрнутая версия на реальном железе работала быстрее.

Вся машина существует, чтобы замедлить одну пружину. Заводная пружина хочет раскрутиться за секунды; спуск отпускает её по одному зубу, привязанный к балансу, качающемуся на волоске 8 раз в секунду.

Цехановский собирает часы с нуля: барабан, колёсная передача, анкерное колесо, вилка, затем заводная головка и ротор автоподзавода на запястье.

Это материал 2022 года, и настоящая боль обсуждения в том, что автор с тех пор молчит.

Функция называется Vehicle Motion Cues: телефон считывает ускорения и повороты машины и пускает по экрану точки, движущиеся в обратную сторону, чтобы глаза подтверждали то, что вестибулярный аппарат уже чувствует.

Спрятана она в «Настройки → Универсальный доступ» и по умолчанию выключена — поэтому большинство владельцев о ней даже не слышали.

Загвоздка из обсуждения: помогает она только от тошноты, вызванной взглядом в экран. Поднимите голову, и если всё равно укачивает, точки бесполезны.

Причина — деньги: бюджет администрации Трампа на 2026 год предложил сократить Национальный научный фонд на 55%, а приказ начать сворачивать сеть пришёл в начале мая.

Большую часть системы планируют демонтировать к 2027 году, выпотрошив многолетнюю летопись Тихого океана как раз тогда, когда возвращается Эль-Ниньо.

Тихий поворот из обсуждения: вынуть оборудование дороже, чем оставить его на месте без обслуживания, и от этого шаг выглядит как выбор, а не экономия.

Дело не в поиске и не в Gmail. Дело в кухонной колонке, которая раньше зачитывала аккуратную выжимку, а теперь выдаёт четырёхминутный монолог Gemini и сыплет уточняющими вопросами, пока человек не начнёт орать «отмена» и «стоп».

Несколько читателей сообщают о той же регрессии в Android Auto: просишь одну песню — получаешь нечто «смутно похожее по смыслу, без возможности поправить».

Но поворот острее нытья: комментаторы замечают, что анти-Google-манифест стоит на сайте, так заваленном рекламой, что он сам стал экспонатом той «эншиттификации», против которой протестует.

Законопроект оставляет в стороне мессенджеры (WhatsApp, Signal) и делает исключение для YouTube Kids, затем грозит многомиллионными штрафами за несоблюдение, плюс вброшены добавки: ночной комендантский час и ограничение бесконечной ленты для тех, кому нет 18.

Автор раскрывает, что сам входит в совет директоров соцсети, и обсуждение видит в этом и подсказку, и повод ему не доверять.

Жёсткая сноска из живой австралийской версии: 15-летняя гостья сообщила, что существующих аккаунтов это вообще не коснулось — там проверка возраста закрывает только вновь созданные.

Дыра учебная: роли проверялись только на клиенте. Сервер не валидировал JWT и отдавал инфраструктуру прямого эфира любому, кто зарегистрировался на публичной Agent Platform ФИФА. Запушь поток на RTMP-эндпоинт — и подменишь картинку в телеэфире по всему миру.

Поворот: ФИФА не ответила. Ни подтверждения, ни благодарности, ни выплаты — просто молча закрыли дыру. Половина обсуждения спрашивала, зачем он вообще об этом сообщил.

Трюк в трёх строках: открыть дескриптор 3 на /dev/tcp, printf'нуть сырой GET с CRLF-заголовками, затем считать дескриптор обратно через cat. Заголовок Connection: close несущий — убери его, и cat будет ждать вечно.

Но самый громкий ответ в обсуждении был поправкой: Bash не говорит на HTTP. Он открывает сокет, а на HTTP — плохо — говоришь ты. Игрушечный клиент не разбирает ответы и ломается на редиректах, чанках и TLS.

Publishers Weekly зафиксировал падение взрослого нон-фикшена на 9% в первом квартале 2026-го, и селф-хелп — самая просевшая подкатегория: −26,3% год к году. Тезис Ферриса: люди поверили, что лучший интерфейс для советов — бесплатный чат-бот, мгновенно выдающий персональный протокол.

Контраргумент из обсуждения: данные только по печати. Один комментатор напоминает, что в 2022-м 65% аудиокниг были нон-фикшеном, а формат с тех пор вырос втрое — аудитория, возможно, ушла, а не исчезла.

Эссе открывается студентом Уоттерсоном, который месяцами расписывал Микеланджело на потолке общаги, а потом закрасил всё белилами перед уходом: искусство ради самого процесса, не сохранённое ни для кого.

Он отказался от мерча, который оценивали по меркам Garfield в 750 миллионов — миллиард долларов в год, шесть лет бился с синдикатом и ушёл в 1995-м после десяти лет.

Обсуждение поймало эссе на противоречии: оно пугает массовыми отказами газет, а потом признаёт, что бросили его лишь 7 из 1800.

Под бежевой ностальгией скрывается аппарат на Sailfish OS с поддержкой Android-приложений, по слухам, заказанный у стороннего производителя. Цена — 500 долларов (около 700 в Канаде).

Главный камень преткновения — блокировка браузера. Критики напоминают: именно через браузер вы добираетесь до 99% мировой информации, а файрвол или правило DNS отрезали бы соцсети, не выжигая всё подряд.

Вопрос, на который ветка не находит ответа: те, кто любил C64, и те, кто любил раскладушки, — разные поколения. Так для кого это вообще?

По оценкам, от 4000 до 5000 инженеров из примерно 25 000 теперь сидят в новом подразделении на 6500 человек, занятом разметкой данных и RLHF. Качель от автономии к разметке не выносят люди из команд инфраструктуры и безопасности.

Добавьте слежку за нажатиями клавиш и мышью без права отказа с конца апреля и CISO, который ушёл на следующий день после того, как ИИ-поддержка позволила угонять аккаунты Instagram.

Поворот: бывший инженер Meta говорит, что все хорошо устроенные подразделения были куплены, а выращенные внутри всегда были бардаком.