GitHub Trending сегодня: Trivy, Paperless-ngx, Kafka, prompts.chat и Media-Downloader

Сегодняшний GitHub Trending выглядит как список, собранный человеком, который уже держал сервер. Никаких новеньких репозиториев, никаких ночных AI-запусков: пять зрелых self-hosted рабочих лошадок, и самой молодой уже три с половиной года.

Список без новичков

Даты говорят больше, чем описания. Trivy семь лет, Paperless-ngx четыре, prompts.chat три с половиной, media-downloader пять, а Kafka почти пятнадцать. Ни один не подходит под new_repo_viral_burst, ни один не появился в этом году. Объединяет их другое: каждый запускаешь на своём железе — свои документы, медиатека, промпты, сканеры, журнал событий. В день, когда некого короновать из хайповых новинок, Trending вытаскивает наверх не новое, а долговечное. И тогда самый интересный вопрос: кому из них сообщество действительно доверяет.

aquasecurity/trivy — сканер, который сам стал полезной нагрузкой

+21 звезда сегодня · 37k всего · Go

Для платформенных и DevSecOps-команд аргумент такой: один бинарь в CI вместо пяти. Натрави Trivy на образ контейнера, Git-репозиторий, кластер Kubernetes, IaC-файл или живой облачный аккаунт — и он покажет известные CVE, утёкшие секреты, мисконфиги и полный SBOM. Он вобрал в себя старый Terraform-сканер tfsec, поэтому одна команда теперь покрывает и код приложения, и инфраструктуру. Именно эта широта охвата и сделала его взлом таким болезненным.

В марте 2026 года злоумышленники злоупотребили workflow pull_request_target, чтобы украсть персональный токен доступа, а затем force-push'ем переписали вредоносные коммиты поверх 75 из 76 тегов версий в trivy-action и с этого плацдарма засеяли самораспространяющегося npm-червя по прозвищу «CanisterWorm» в десятках пакетов. Бюллетень безопасности GitHub собрал самый громкий тред на Hacker News за все последние годы проекта.

«Довольно иронично, что инструмент безопасности сам небезопасен» — комментатор HN под бюллетенем

Более острую трактовку дал тот, кто связал инцидент с более ранним взломом, который мейнтейнеры так и не закрыли до конца:

«Похоже, эта атака опирается на прежний инцидент с безопасностью в Trivy, где не сумели устранить и локализовать ущерб… Этого не произошло, и вторая компрометация…» — читатель HN, связавший два инцидента

Практический совет, который повторяли в треде: привязывайте GitHub Actions к SHA коммитов, а не к подвижным тегам.

paperless-ngx/paperless-ngx — архив, с которым не хотят расставаться

+35 звёзд сегодня · 42k всего · Python

Это для домашних лабораторий и небольших офисов, которым нужно оцифровать чеки, договоры и письма из налоговой и держать их на своём железе, а не в облачной ячейке. Конвейер прогоняет OCR по каждому входящему PDF, индексирует полный текст, расставляет теги автоматически и отдаёт всё через веб-интерфейс на Django/Angular с разделением владения по пользователям, так что семья или команда работают с одним инстансом, но без общего логина. Это редкий self-hosted инструмент, про который говорят, что его правда можно настроить и забыть.

«Я хостю у себя пару вещей, но если бы пришлось выбрать только одну, это была бы она… ноль проблем за два года. Я уже дважды угробил свой инстанс и восстанавливал из бэкапа, и это, кстати, на удивление приятно делать.» — self-hoster, дважды восстанавливавший свой инстанс из бэкапа

Не все доходят до этого этапа. Установка остаётся давней претензией:

«Это какой-то безумный способ упаковывать приложение для установки… Мне даже страшно пробовать его настраивать» — потенциальный пользователь, которого отпугнул гайд по установке

Что в нём появилось нового, так это место, где он теперь всплывает. В Bluesky self-hoster'ы прикручивают к нему локальную LLM для тегирования и классификации через проекты вроде Paperless-AI, превращая простой OCR-архив в приватного локального помощника по документам, который никогда не звонит домой.

apache/kafka — старожил, с которым меряется выскочка на Rust

+25 звёзд сегодня · 33k всего · Java

Kafka нужна бэкенд- и дата-командам, которые гоняют большие потоки событий: логи, метрики, change-data-capture, всю ту обвязку под тем, что называют «real-time». Это надёжный секционированный лог коммитов с publish/subscribe поверх: продюсеры дописывают, консьюмеры читают в своём темпе, лог сохраняется. В свои почти пятнадцать это самый старый репозиторий в сегодняшнем списке и выбор, за который никого не увольняют. Интересное давление на него идёт со стороны Rust.

«Тот же конвейер, то же железо. Iggy против Kafka… в 3× выше пропускная способность · ~29× ниже задержка p99.9 · в 7× плотнее хвост end-to-end.» — проект Iggy, конкурент на Rust

Движок Apache Iggy на стадии Incubator написан с нуля на io_uring с дизайном thread-per-core, и он продолжает публиковать вот такие прямые сравнения. Вендорские бенчмарки вызывают привычный скепсис, а экосистема Iggy рядом с Kafka размером с погрешность округления. Но сама пара, JVM-старожил против написанного с нуля лога на Rust, и есть живой спор в стриминге прямо сейчас, и именно поэтому пятнадцатилетний репозиторий снова на дневной странице.

f/prompts.chat — 164 000 звёзд и почти ноль обсуждений

+88 звёзд сегодня · 164k всего · HTML

Аудитория этого проекта: все, кто собирает промпты для ChatGPT, Claude или Gemini, плюс организации, которым нужен приватный self-hosted каталог промптов. Начинал он как Awesome ChatGPT Prompts, единственный README со списком промптов для копипаста, а вырос в приложение на Next.js с поиском, коллекциями и разделом vibe-coding, который превращает промпт в маленькое работающее приложение. А дальше начинается аномалия. При 164k звёзд это с большим отрывом самый звёздный репозиторий в сегодняшнем списке, но почти везде, где люди реально обсуждают, он молчит. Единственная публикация на Hacker News за этот период — «Show HN» на 2 голоса и 3 комментария, а в Bluesky почти нет ничего, кроме голых репостов ссылки. Это самый чистый здесь пример репозитория, который звездят как закладку, а не внедряют и спорят о нём: рефлекс awesome-листа, а не сообщество.

mhogomchungu/media-downloader — GUI, чтобы не запоминать ни одного флага yt-dlp

+27 звёзд сегодня · 4.8k всего · C++

Для десктопных пользователей, которым нужен охват yt-dlp без его командной строки, это фронтенд на Qt/C++, который оборачивает yt-dlp, gallery-dl, aria2c и ещё с полдюжины загрузчиков в одно окно с пакетными очередями. Открытые issue выглядят как здоровый проект с одним мейнтейнером: просьба перевести бэкенд на aria2-next, баг с размерами окна в тайлинговых оконных менеджерах, сломанные загрузки с Pixiv. Один пользователь Bluesky назвал его настоящую беду в четырёх словах: «Самое банальное название на свете».

Что всплывает в тихий день

Страница трендов без единого новорождённого репозитория сигналит не о том, о чём страница, увенчанная главным AI-запуском недели. Наверх всплывает разрыв между тем, что люди перезвёздивают по привычке, и тем, что они реально запускают. В этом разрыве и весь сегодняшний урок: у prompts.chat звёзд в восемь раз больше, чем у Trivy, а обсуждают его кратно меньше, тогда как репозиторий, с которым разработчики по-настоящему возятся, и есть тот, чьи мейнтейнеры обожглись дважды. В такой день смотрите на число комментариев, а не на число звёзд: звёзды показывают, что положили в закладки, а треды — что несёт нагрузку.