Главное на Hacker News

LiteLLM 1.107.0 появился на PyPI 21 октября в 11:39 UTC и внутри каждого процесса Python на машине запускал стилер учётных данных. Скрытый демон затем раз в час звонил домой за новым кодом, а к 13:40 релиз уже убрали.

Помогла бы задержка установки зависимостей? Один специалист по безопасности цепочки поставок из треда считает, что достаточно и 24 часов. Скептик уверен, что медианная атака остаётся незамеченной месяцами.

Нынешние обещания стран снизят выбросы на 5–8% к 2030 году, а ЮНЕП считает нужными 18%. Чтобы вернуться ниже 1,5°C, также придётся извлечь из воздуха около 320 гигатонн CO2 к 2100 году, примерно в восемь раз больше того, что мир выбросил в 2024-м.

Специалист по климатическим технологиям с 12 годами в отрасли ответил призывом к выдержке: физика не меняется, и задача тоже.

Claude Duet — исследовательская версия для подписчиков Pro и Max в США, работает на Opus 5.5. Крупные задачи вроде назначения встреч или построения дашбордов он делает на собственном облачном компьютере и докладывает, когда закончит.

Первая претензия в треде: лаборатория, которая выпускает фронтирные coding-агенты, могла бы позволить попросить Claude записать вас в список, а не вводить данные заново.

Версии PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35 вышли 21 октября, на день раньше плана, из-за утечки CVE-номеров. Обе уязвимости получили CVSS 9.2, входа для эксплуатации не нужно, а видео с PoC по ошибке выложили в открытый доступ.

В треде администратор, который спешно обновлял несколько серверов, написал, что трёхстрочное правило nginx, блокирующее multipart-загрузки, тихо защищало машину, которую он не мог выключить.

В релиз вошли серверный протокол Quack, фоновое чтение Parquet и CSV, VARIANT с автоматическим шреддингом и триггеры. Новый парсер PEG стал основным, ICU удалён, а 2.0 поддерживается минимум до октября 2027 года.

Один пользователь сообщает, что сжал 7 ТБ логов Azure в NDJSON до 2,5% от исходного размера в Parquet менее чем за два часа на средней ВМ.

Если менять в промпте только название клиента, доля взламываемых приложений меняется. Для гонконгской демократической группы почти половина приложений утекала пользовательские секреты, против примерно трети для нейтрального клиента. Авторы называют это бэкдором.

Самое резкое возражение в треде: это модель 30B от июля 2025 года без режима рассуждений, которая и так слабо работает с безопасностью, а намерения никто не показал.

Railway считает, что атака — часть более широкой кампании против платформенных компаний и провайдеров AI-инференса, и попросил вышестоящих провайдеров отозвать ключи. На время расследования деплои приостановлены.

В Discord Railway пользователи говорят, что украденные ключи уже используют, а один пишет, что нагрузка на ключи, созданные только для Railway, выросла через 10 часов после начала инцидента.

Practical Engineering проводит путь пожарной лестницы от экономической уловки до запрета для новых построек в 1968 году. Между ними — пожар на фабрике Triangle Shirtwaist в 1911 году, где наружная лестница прогнулась под толпой.

Комментаторы спорят, стоит ли по ним скучать: один говорит, что с пожарной безопасностью всё стало лучше, другой всё равно рискнул бы ржавой лестницей, чем заблокированной основной.

Эссе на hrih.si утверждает, что ИИ повторяет путь FORTRAN, только быстрее: испытание METR показало, что опытные разработчики с ИИ работали на 19% медленнее, при этом считали, что быстрее, а данные Faros AI показали больше pull request'ов, но намного более долгие ревью.

Комментаторы атакуют саму аналогию. Один говорит, что компиляторы сначала называли «автоматическими кодировщиками»; другой — что компилятор сопоставляет вход с выходом примерно 1:1, а LLM так не делает.