GitHub

Иоанну, инженер Bold.org, выгрузил историю своей активности на GitHub. Медианный рабочий день вырос с 3–4 действий до 7. Дней без активности стало 18 за этот год против 40–46 в год раньше. Виноваты дешёвые старты: агенты делают каждый новый проект лёгким в начале и трудным в том, чтобы его отпустить.

Самые резкие ответы в треде пришли от тех, кто считает, что автор с самого начала неверно понял сделку.

Запрос объяснялся риском Bluetooth-связи, работающей при ограниченном интернете; GitHub на момент обсуждения репозиторий не удалил.

Главный вывод обсуждения: реальные ограничения и контекст эксплуатации важнее громкого заголовка.

Сама страница входа раскрывала административный токен GitHub, связывая страницу устройства с цепочкой поставки программного обеспечения.

Главный вывод обсуждения: реальные ограничения и контекст эксплуатации важнее громкого заголовка.

Фальшивый рекрутёр Y Combinator прислал тестовое на Python со скрытым Git-хуком pre-commit, привязанным к удалённому серверу — в момент запуска `git commit` хук определял вашу ОС и тихо скачивал второй этап.

Атакующий склонировал настоящий, безобидный FastAPI-проект с GitHub и просто подменил папку `.git` на вредоносную, добавив каждой жертве уникальный идентификатор полезной нагрузки.

Финальный скрипт подтягивал `hardhat` — набор инструментов для разработки под Ethereum. Цель — не кража паролей, а крипто-кошельки.

GigaToken — опенсорсная drop-in замена библиотеки токенайзеров HuggingFace, заявляющая до ~1268x прироста пропускной способности на том же бенчмарке — SIMD-оптимизированная предтокенизация по регулярным выражениям плюс агрессивное кэширование, а не новый алгоритм.

Протестировано на трёх семействах чипов — серверный AMD EPYC, Apple M4 Max и десктопный Ryzen — ускорение держится везде: от 106x на самом слабом чипе до 1268x на кремнии Apple.

Самый заплюсованный ответ мягко остудил хайп: токенизация обычно занимает менее 0,1% общего времени инференса — так кому это вообще нужно?

Разработчики 22–25 лет потеряли 19% рабочих мест с конца 2022 года, хотя общая численность разработчиков в США выросла на 10%, до 1,69 млн. Лори Восс доказывает: обвал прячется внутри бума.

Его разворот: за прошлый год к GitHub присоединились 36 млн человек, и большинство не называют себя программистами. Профессия растворяется в навыке.

Тред расходится в том, есть ли на графиках вообще отпечатки ИИ.

Формулировка оказалась слишком резкой, и автор зашёл в тред её сузить: как математик он имел в виду, что нельзя найти все баги или какой-то конкретный баг, а не то, что баги не находятся вовсе.

Сооснователь WebAssembly не купился и на смягчённую версию, назвав тезис «самооправданием ленивого ревьюера». А ветеран с 90 тысячами кармы сформулировал главную находку: единой цели у ревью нет — все думали, что делают это по одним причинам, а на деле нет.

Шутка заходит, потому что Sony только что объявила: PlayStation отказывается от физических носителей, а тут GitHub предлагает записать ваш код на диск. Хороший гэг, только вот «GitHub»-предложение живёт на типовой странице Microsoft Forms, какую мог собрать кто угодно. Ровно так и выглядит фишинг.

Тред так и не решил, официально ли это, но всё равно веселился. Один заметил архивную иронию: это будут записанные болванки лет на десять, а не настоящий Arctic Code Vault от GitHub. Другой поймал копирайтную: у вас просят разрешение записать публичный репозиторий на CD, а на обучение ИИ на нём же галочка не понадобилась.

Bashblog генерирует полноценный статический блог, RSS, теги и бэкапы из одного bash-скрипта примерно на 1200 строк, опираясь только на стандартные Unix-утилиты. Никакого рантайма ставить не надо, базы данных нет. У него 1,9 тыс. звёзд на GitHub.

Возражение было резким: один инженер заявил, что у bash после нескольких строк ноль преимуществ, а подсветка синтаксиса в редакторе ломается по всему файлу. Контрдовод пришёл от того, кто держит веб-серверы на 128 МБ ОЗУ, где тащить Python или Node — ровно та цена, которой ты пытаешься избежать.

Анонимный репозиторий разом выложил десятки эксплойтов, аккуратно описанных, и предложил читателям отрепортить их ради славы. Подача — поток свежих 0-day — подняла привычную тревогу.

Потом код прочитали те, кто занимается реверс-инжинирингом профессионально: большинство — вовсе не 0-day, а часть даже не уязвимости. Один из них нашёл «эксплойт для 7-Zip», который доказывает лишь, что до парсера можно дотянуться. Тревожит не сами баги, а кто или что генерирует их в таком количестве.

Greptile изучил самый быстрорастущий репозиторий в истории GitHub: вклады, требующие глубокого знания кодовой базы, принимают почти в 4 раза чаще, чем новые фичи. Скорость подачи ничего не предсказывает.

Тред разделился по поводу решения. Одни хотят систему репутации, заимствованную из истории борьбы со спамом; другие — полный запрет AI-вкладов; один инженер тихо заметил, что аналогия с email здесь не работает.

Связь глубокая: имена пользователей на crates.io совпадают с именами на GitHub, таблица users хранит столбцы gh_login и gh_id, а права команд на крейты привязаны к командам GitHub. Отвязать всё это — значит переписать аутентификацию на живом реестре.

RFC о поддержке нескольких провайдеров наконец принят, реализация началась. Но мейнтейнер Cargo называет настоящий тормоз: код написать можно, а скучную работу никто не оплачивает.

Всё началось с одного клонированного репозитория со ссылкой на zip-архив. Клон перепушивал идентичный коммит каждые несколько часов, чтобы держаться в топе «недавно обновлённых» на GitHub и обходить оригинал в поиске.

Чтобы оценить масштаб, автор разобрал 16 миллионов коммит-пушей из GHArchive за пять дней. Из 40 000 репозиториев, обновляющихся 1–24 раза в сутки, ровно 10 000 совпали с отпечатком кампании. Отправьте ссылку в VirusTotal — ноль угроз. Отправьте сам zip — троян.

Соль не в 14 миллиардах коммитов. Соль в том, что это коммиты агентов, а не выпущенные фичи: агенты теперь пишут в GitHub, пока думают, а не после человека.

Один комментатор вспоминает, как основатель GitHub много лет назад сказал топ-менеджеру Microsoft, что виртуальные диски Azure недостаточно быстры по IOPS, чтобы держать GitHub.

А статья с этим заявлением сама — сгенерированная ИИ, почти пустая React-страница на сайте, который автор называет одиночным и наспех «вайбкоженным».

Запустить npm install было бы достаточно. Скрипт prepare в пакете автоматически выполняет файл, спрятанный под слоями закомментированных тестов, — тот подтягивает с удалённого сервера произвольный код и запускает его.

Разработчик не клонировал репозиторий локально. Он поднял одноразовый VPS, направил на код AI-агент с доступом только для чтения — и тот почти сразу выделил app/test/index.js. Тред вынес быстрый и мрачный вердикт об авторах: КНДР.

Откройте отравленный репозиторий в ИИ-IDE — и setup-хук запускается сам, утаскивая ваши токены. Связки вроде Codex или opencode, по сообщениям, его обошли.

Поправка треда к заголовку: это не дыра в «опенсорсе Microsoft», а удар по цепочке поставок, и быстро снять 70+ репозиториев было верным решением, а не скандалом.

Более глубокая тревога одного CISO: агенты теперь жонглируют множеством не связанных проектов сразу, поэтому радиус поражения одной плохой зависимости только вырос.

KVarN — нативный плагин для vLLM, который квантует KV-кэш до 4-битных ключей и 2-битных значений через поворот Адамара и асимметричное квантование. Один флаг, без правок модели и без калибровки.

Заявка, от которой поднимаются брови: точность уровня FP16, кэш в 3–5 раз больше и пропускная способность до 1,3 раза выше, чем у FP16, плюс примерно в 2,4 раза выше, чем у TurboQuant, при большей точности.

На Qwen3-32B с контекстом 16K кривая Парето уходит в угол, недоступный конкурентам. Именно поэтому тред переспросил: правильно ли мы это читаем.

Скилл Claude Code генерирует учебник; CLI на Go хранит его в ~/.lathe/tutorials/ и отдаёт читалку на localhost:4242. Второй проход модели проверяет, что код компилируется, перед выдачей.

Философия: человеческая документация первична. Lathe заполняет пробелы там, где её нет, — новые библиотеки, внутренний инструментарий, недокументированные API.

Преподаватель Pluralsight предупреждает: LLM делают бессвязные программы, которые новичок не уличит. Другие возражают: набор кода руками строит больше беглости за часы, чем недели пассивного чтения.

Issue показывает: Anthropic уже запускает Ubuntu 22.04 внутри Claude Desktop через Cowork и уже поставляет CLI-бинарники linux-x64 и linux-arm64 — то есть отсутствие десктоп-сборки это пробел в политике, а не в технике.

У неофициальной пересборки 4500 звёзд; её мейнтейнер держит парк виртуалок только ради тестов композиторов. Один инженер Anthropic ответил в треде HN: четыре слова, никаких сроков.

Discord поставляет Linux с захватом звука и тремя форматами пакетов. Тред спрашивает не о том, трудно ли это, а о том, входит ли Linux в целевой рынок.