Hacker News Digest

Фонд Саймонса совместно с Anthropic и OpenAI вкладывает 15 миллионов долларов, чтобы помочь математикам адаптироваться к стремительному распространению искусственного интеллекта. Фонд будет управлять средствами и распределять их, в том числе через открытый конкурс заявок, поддерживая семинары и инициативы: оценку результатов, полученных с помощью ИИ, освоение новых инструментов, обмен мнениями и выработку общих стандартов использования ИИ. Anthropic и OpenAI также предоставят исследователям свои ИИ-инструменты и вычислительные ресурсы — причём не только в математике, но и в фундаментальной науке.

Президент фонда Дэвид Спергел подчёркивает: «Сейчас время взглянуть на математику как на целое — не как на набор доказательств и теорем, а как на коллективное понимание, движимое человеческим любопытством». По его словам, именно сообщество, а не отдельная компания или институт, должно определять, как эти инструменты оценивают, принимают и используют. Фонд давно поддерживает машинное обучение для науки: он финансировал разработку ассистента доказательств Lean, который изменил работу математиков и сделал возможными доказательства с помощью ИИ, а также проводил семинары и лекции о роли ИИ в этой области.

Обсуждение носит преимущественно скептический характер: пользователи воспринимают инициативу как PR-ход компаний OpenAI и Anthropic, выражают опасения по поводу несправедливого распределения грантов и деградации навыков математиков.

• Спор: Спор о распределении средств: @muragekibicho считает, что деньги получат уже известные и обеспеченные ученые (например, Terrence Tao), в то время как @schrototo утверждает, что гранты в академии обычно идут на найм PhD-студентов и постдоков.

• Спор: Мнения о целях компаний: @mrandish и @efficient_dairy видят в этом «отбеливание» репутации и способ получить бесплатную обратную связь от экспертов для улучшения моделей, тогда как @dannyw считает, что у фонда нет скрытой повестки, так как он давно поддерживает arXiv и науку.

• Совет: По опыту @an0malous, ученым следует отключать опции «Improve model for everyone» в настройках ChatGPT и Claude, чтобы избежать скрапинга их работ после публикации.

• Спор: Риски для когнитивных навыков: @lhk931122 на примере собственного опыта в разработке отмечает, что использование ИИ ухудшает навыки кодинга, и опасается, что математики перестанут понимать структуру доказательств, созданных ИИ.

• Сумма в 15 миллионов долларов воспринимается многими (@chazeon, @cuttothechase, @allears) как незначительная («карманные деньги») для таких гигантов, как OpenAI и Anthropic, и недостаточная для реальных системных изменений.

• Спор: Философский спор о сути математики: @tarkin2 задается вопросом, не пропадет ли ценность процесса поиска решения и интеллектуального роста, если ИИ будет выдавать только конечный результат.

OAI and Ant got blowback for essentially strip mining mathematical discoveries into PR wins for their models, accidentally laying waste to the research field in process. Throwing ~$5M each into PR whitewashing (partially in token credits), seems self-serving. — @mrandish

Перевод: OpenAI и Anthropic подверглись критике за то, что фактически «вырабатывали» математические открытия ради PR-побед своих моделей, попутно разрушая исследовательскую среду. Вброс по ~5 млн долларов на PR-отбеливание (частично в виде токенов) выглядит как попытка удовлетворить собственные интересы.

Энтузиаст Linux-драйверов применил ИИ-агента для обратной разработки аппаратуры без документации. После смерти матери ему досталась коробка старых фотоплёнок, и он купил сканер негативов Plustek 8200i, поддерживаемый в Linux, — но производитель сменил чипсет на неподдерживаемый. Попытки вручную написать драйвер для SANE ни к чему не привели, и проект был заброшен на месяцы.

Перелом наступил после поста Glorious Eggroll о починке драйвера мыши с помощью ИИ. Автор скопировал твит в Claude и попросил настроить виртуальную машину с Windows, чтобы запускать фирменный драйвер и захватывать USB-трафик. Уже через несколько часов появился первый рабочий скан под Linux, а через дни — почти идеальный драйвер с поддержкой инфракрасного сканирования. Правда, к тому моменту кто-то уже добавил поддержку сканера в SANE. Затем он применил тот же подход к MIPI-камере ноутбука: за день получил патчи для ядра (драйвер IMX471) и libcamera. Среди исправлений — ошибка выбора кропа, неверная ширина регистра тестового шаблона, слишком низкий потолок аналогового усиления (потеря около 1,8 ступени), полностью отсутствующая коррекция виньетирования (углы темнее на 2,7 ступени) и неверный расчёт баланса белого для RAW10/RAW12. В тесте яркость кадра выросла с 31,1 до 90,9.

Главный вывод: ИИ отлично справляется с рутиной — читает тысячи строк захвата, замечает повторяющиеся последовательности с меняющимся байтом, пишет проверки и не устаёт. Но человек по-прежнему решает, что строить, и проверяет результат на реальном железе. Инструмент hw-harness выложен на GitHub, чтобы другие могли повторить путь.

ИИ ускоряет обратную разработку аппаратуры: с помощью Claude и Opus за несколько часов созданы драйверы для FireWire‐USB адаптера, принтера Canon Zoemini 2, роутера Alcatel и прошит mp3‐плеер. Однако защита прошивки, брендинг и физический опыт остаются ключевыми барьерами для коммерческих продуктов. Алгоритмический «ров» аудио‐эффектов исчез — теперь решающими являются физический дизайн, бренд и удобство использования. Есть спор: один считает, что реальный ров — защита прошивки и шифрование; другой — что защита утрачена, важны лишь бренд и интерфейс. Рекомендуется использовать LLM‐агенты (Claude, Opus, DeepSeek) для генерации кода драйверов и Verilog‐моделей из схем — это сокращает время разработки с недель до часов. Перед reverse‐engineering стоит проверять открытые репозитории (например, SANE) — иногда поддержка уже есть. Автоматическое извлечение кода повышает риск нарушения интеллектуальной собственности и может привести к юридическим последствиям. Для защиты от ИИ‐reverse‐engineering рекомендуется использовать микроконтроллеры с защищённой загрузкой, шифрованием прошивки и ограниченным доступом к чистому образу.

Исследователи из Citizen Lab при Университете Торонто утверждают, что израильское рекламное агентство Discover-Tech через свою платформу Controlium годами показывало миллионам пользователей объявления, позволяющие устанавливать «zero-click»-шпионское ПО — без единого действия жертвы. Платформа собирает профили и IP-адреса людей, а затем, если человек выбран целью, шпионская фирма отправляет на его устройство вредоносный код. Заражение происходит незаметно и за секунды. По данным Citizen Lab, скомпрометированы десятки устройств сотрудников катарского телеканала Al Jazeera, а реклама Discover-Tech с 2024 года показывалась в Йемене, Бразилии, Мексике и Чехии.

Связанное исследование группы Confiant указывает, что эти объявления видели пользователи сетей госструктур Европы и США, ООН, НАТО, Международного уголовного суда и МАГАТЭ. Шпионское ПО получает доступ ко всему на устройстве: сообщениям, фото, почте, записи звонков и микрофону. «Рекламная экосистема используется в огромных масштабах, чтобы профилировать миллионы пользователей, а затем тихо заражать цели наёмным шпионским ПО», — говорится в отчёте. Исследователь Вулфи Кристл назвал катастрофой, что крупные рекламные площадки годами не замечали и не предотвращали эти операции, и призвал регуляторов США и Европы срочно вмешаться.

Из обсуждения

• @dang: Comments moved to https://news.ycombinator.com/item?id=50101813, which has the original source. We'll put the other links in the toptext there as well.

В пакете net/http языка Go появилось важное улучшение: начиная с версии 1.27 транспорт автоматически асинхронно вычитывает неиспользованное тело HTTP/1-ответа — до 50 миллисекунд или 256 КБ. Это позволяет переиспользовать соединение вместо создания нового. На практике функция, которая просто вызывает http.Get и закрывает тело, стала почти в пять раз быстрее: 100 запросов к index.golang.org заняли около 150 мс против 710 мс в Go 1.26.

Причина в стоимости установки соединения. Каждый новый запрос по HTTP/1 требует TCP-рукопожатия (1 RTT), затем TLS-рукопожатия (2 RTT по TLS 1.2 или 1 RTT по TLS 1.3) — итого до 3 RTT только на подготовку. При межрегиональной задержке в 100 мс RTT это сотни миллисекунд накладных расходов. Переиспользование соединений решает проблему: в HTTP/1.1 они постоянны по умолчанию, а в HTTP/2 запросы мультиплексируются в одном TCP-соединении.

Однако переиспользование ломается, если тело ответа не вычитано до конца: данные остаются в потоке байтов и мешают следующему запросу. Раньше разработчикам приходилось вручную вычитывать тело с таймаутом, что было громоздко и порождало ошибки — например, бессмысленное вычитывание для HTTP/2. Теперь Transport делает это сам, пропуская операцию при заголовке Connection: close. Рекомендация прежняя: просто закрывайте тело через defer resp.Body.Close() и не усложняйте код.

HTTP/1 остается актуальным из-за отсутствия SSL в локальных сетях, поддержки старого оборудования (более 20 лет в проде по опыту @thorens), ограничений некоторых CDN (Cloudfront к origin) и специфики работы с sendfile/kernel TLS. Спор: @baalimago считает HTTP/1 небезопасным и не понимает причин его поддержки; @hnav и @thorens приводят аргументы о совместимости с legacy-системами и специфическими сетевыми задачами. Совет: При использовании json.Decoder следует проверять Decoder.More, чтобы вычитать остаточные пробельные символы, иначе соединение может не переиспользоваться (в Go 1.27 эта проблема частично решается асинхронным вычитыванием до 256 КБ). Оптимизация Go 1.27 не сработает для ответов с transfer-encoding: chunked, если сервер использует json.NewEncoder, так как тело не будет считаться завершенным в рамках лимитов вычитывания по мнению @hnav. Разработчики (@jamesponddotco, @aleksi) отмечают, что теперь могут удалить собственные реализации функций очистки тела ответа (drain body), которые переносили из проекта в проект. По мнению @fastest963, HTTP/2 в Go может работать значительно медленнее, чем HTTP/1, что делает актуальным улучшение транспорта для первой версии протокола. Спор: @jerf критикует отсутствие явного документирования поведения в методе Close и отсутствие способа мгновенно закрыть соединение без ожидания тайм-аута вычитывания; @jchw считает, что Close слишком высокоуровневый метод для таких деталей.

Найден ещё один способ вызова произвольных функций в JavaScript без круглых скобок. Он основан на переопределении функции prepareStackTrace объекта Error, которая обычно форматирует трассировку стека и вызывается при обращении к свойству stack ошибки. Эта функция получает два аргумента — саму ошибку и структурированное представление стека в виде массива позиций кода. Ключевой момент: её сигнатура совпадает с сигнатурой конструктора Function, который генерирует функции, если второй аргумент — валидный код JavaScript.

Однако массив позиций кода не является валидным кодом, поэтому при попытке вызова возникает синтаксическая ошибка. Чтобы обойти это, нужно управлять результатом Array.prototype.toString(), возвращая нужный код. Автор предлагает два пути: переопределить метод константной функцией или использовать загрязнение прототипа, внедрив полезную нагрузку через Object.prototype.message и заменив Array.prototype.toString на Error.prototype.toString.

Собрав всё вместе, можно сгенерировать произвольную функцию. Остаётся её вызвать — например, через трюк с valueOf, переопределив его и приведя объект к примитиву, либо через toString с конкатенацией строки. Итоговая нагрузка: Object.prototype.message='alert\x281337\x29';Array.prototype.toString=Error.prototype.toString;Error.prepareStackTrace = Function;const x = new Error;x.valueOf=x.stack;+x; — её можно проверить прямо в консоли браузера.

Идея вызова функций без скобок реализована в разных языках через pipe‐операторы и постфиксный синтаксис. В JavaScript её практичность ограничена поддержкой только V8 и наличием альтернативных механизмов через Symbol, а также риском обфускации кода. Оператор forward pipe (|>) из ML‐семейства позволяет писать вызовы функций слева направо, улучшая читаемость порядка вычислений и заменяя вложенные скобки. В Mathematica используется постфиксный оператор //, в D — цепочки вызовов вида x.h().g().f() или x.h.g.f, что демонстрирует аналогичные возможности в других языках. В Ruby и APL традиционно применяется постфиксный синтаксис вызова функций, подтверждая, что идея «функция после аргументов» не нова. Техника с переопределением Error.prepareStackTrace работает только в V8; в Firefox и других браузерах недоступна, что ограничивает её применение. Член TC39 отмечает, что в JavaScript уже есть способы вызвать функцию без скобок через Symbol.isConcatSpreadable или Symbol.iterator, активируемые в разных контекстах. Некоторые считают такие приёмы «запретными» и используют их для обфускации кода, предполагая, что LLM‐модели могут испытывать трудности с их разбором. Стек‐ориентированные языки и традиция APL поддерживают постфиксный вызов и правосторонние «thread»‐операторы, позволяющие писать цепочки функций в виде дерева. При использовании подобных трюков следует учитывать возможные неоднозначности, когда скобки нужны для разрешения приоритета операторов, как в Ruby.

Пользователь GitHub под ником Viss сообщил об интеграции в Home Assistant, которая сканирует секреты и отправляет данные наружу, назвав это серьёзным вторжением в приватность. Он заявил, что не давал согласия на подобные проверки, и предложил сделать функцию добровольной, а не включённой по умолчанию. По его мнению, механизмом мог бы воспользоваться злоумышленник с доступом к репозиториям проекта.

Представитель проекта frenck сначала ответил резко, но затем извинился за пренебрежительный тон. Выяснилось, что проверку можно отключить командой ha security options --pwned=false. Эта функция существует в Supervisor годами и проверяет параметры приложений, помеченные как пароли. Недавний релиз лишь исправил предупреждение, из-за чего она стала заметной. Приватность заложена в дизайн: Supervisor хеширует секреты локально и отправляет в сервис Have I Been Pwned только первые 5 символов SHA-1-хеша, а сопоставление происходит на самом устройстве. Код доступен в файле supervisor/utils/pwned.py. Признано, что документация должна была объяснить работу функции и способ её отключения — страницу обещали обновить.

Home Assistant сканирует пароли и отправляет первые 5 символов SHA‐1‐хэша в Have‐I‐Been‐Pwned. Эту проверку можно отключить командой `ha security options --pwned=false`. Проверка существует в Supervisor несколько лет, разработчик Frenck извинился и пообещал обновить документацию. Пользователи требуют сделать сканирование опциональным по умолчанию (opt‐in), улучшить документацию и изменить тон общения разработчиков. Есть опасения, что передача частичного хэша пароля нарушает GDPR в ЕС, так как считается персональными данными без согласия. Некоторые считают, что отправка первых пяти символов SHA‐1 не представляет реальной угрозы приватности. Сканирование работает только в Home Assistant OS и supervised‐режиме; в самостоятельном контейнере Home Assistant Core эта функция отсутствует. Сообщество просит добавить явный GUI‐переключатель и избегать снисходительного тона в ответах разработчиков.

В команде Claude Code около 90% кода пишет сам Claude, поэтому проверку пришлось переосмыслить: вместо ручного чтения строк основная нагрузка легла на машины, а человеческое время и внимание берегут для задач, которые под силу только людям. С июня по сентябрь число влитых пул-реквестов удвоилось, а доля откатов упала более чем на 40%. В монорепозитории Anthropic объём изменений вырос примерно с 2500 в день в мае до более 30 000 в сентябре.

Ревью выполняет две функции: находить и исправлять проблемы до релиза и строить общее понимание кода в команде. Вопрос «читал ли код человек?» заменён на «что может пойти не так и какая проверка — автоматическая или человеческая — это поймает». Ревью теперь идёт непрерывно, как проверка орфографии при письме: большинство изменений Claude просматривает и правит ещё до того, как к ним подключится человек.

Проверки выстроены слоями, а не одним шлюзом. Сначала работа верифицируется до появления пул-реквеста: Claude дают тесты, сборку или скриншот для сравнения с дизайном и просят показать результат, а не утверждать, что готово; затем субагент свежим взглядом проверяет диф. Цель — чтобы большинство пул-реквестов влилось максимум с одним человеком в цепочке без роста откатов и инцидентов. Метрики — одобрения и комментарии людей, время ожидания, а откаты и инциденты служат ограничителем: если они растут, время не сэкономлено, а лишь перемещено.

Автоматизированный обзор кода в Claude Code вызывает сомнения: 30 000 PR в день делают процесс формальным, возникают вопросы о стоимости токенов, соответствию SOC2 и безопасности. Есть риск «игры» метриками (например, снижение откатов как цель, а не улучшение качества). Большинство участников считают, что полностью заменить человеческий контроль нельзя. Для критических задач и соответствия требованиям аудита (SOC2) необходимо сохранять минимум одного человека в цепочке проверки. Также отмечается, что ресурсы Anthropic (неограниченные токены) не масштабируемы для большинства компаний, и требуются механизмы сортировки изменений и практические примеры агент-ассистированного обзора, где человек остаётся в курсе при росте PR. Понимание кода через непосредственное знакомство остаётся ключевым для качественного ручного ревью.

Радиолюбители из пяти округов Флориды — Санта-Роза, Нассау, Лейк, Пинеллас и Леон — обеспечивали связь во время урагана «Исайяс» и после него. В округе Санта-Роза добровольцы работали в центре управления чрезвычайными ситуациями и в эвакуационном убежище в общинном центре Милтона, поддерживая канал связи между убежищем и центром и передавая оперативные сводки. По всему штату операторы поддерживали вспомогательную связь с центром управления в Таллахасси на случай отказа обычных сетей. «Хотя традиционные системы связи стали значительно надёжнее, радиолюбительство остаётся надёжным вспомогательным ресурсом, — заявил Арк Темс (W4CPD), руководитель программ CERT и ARES округа Санта-Роза. — Когда случается бедствие, наши добровольцы обучены, готовы и встают туда, где нужны. Это ещё один слой устойчивости». Темс также занимает пост координатора по чрезвычайным ситуациям Северной Флориды и радиолюбительского liaison с отделом управления чрезвычайными ситуациями Флориды.

В выпуске также сообщается: eBay ограничил продажу радиооборудования, но вывел из-под ограничений технику, работающую только в любительских диапазонах; Radio Club of America объявил лауреатов и действительных членов на 2026 год; вышел материал о подключении к 44Net Connect; ARRL объявила о смене руководства в Горном (Rocky Mountain) дивизионе. Кроме того, опубликованы новости любительского радио, анонсы прямых эфиров и подкастов ARRL, объявления, краткие заметки, солнечный отчёт ARRL, календарь радиоспортивных соревнований и список предстоящих конференций и крупных мероприятий.

Обсуждение дополняет статью анализом причин ограничений eBay, спорами о культуре радиолюбителей и хакерами, а также скепсисом относительно эффективности запретов в эпоху SDR. Пользователи спорят о природе сообществ: @eddythompson80 и @II2II видят в радиолюбителях «добропорядочных граждан», стремящихся к общему благу, в то время как хакеры ориентированы на индивидуальный вызов системе («если я смог, значит, это разрешено»). Ограничения eBay направлены на борьбу с дешевыми китайскими радиостанциями (например, Baofeng), которые позволяют нелицензированным пользователям мешать работе экстренных служб. Многие считают меры бесполезными из-за доступности SDR и возможности обхода ограничений через программные патчи. Требование указывать FCC ID в листингах сохраняет доступность большинства сертифицированных потребительских товаров, но может ударить по DIY-компонентам, таким как дешевые платы LNA. Существуют подозрения, что усиление контроля над оборудованием для Meshtastic и LoRa связано с приближающимися выборами в США, чтобы ограничить альтернативные каналы связи во время возможных протестов (@zackmorris). По опыту @grendelt, новые правила очистили поиск по радиолюбительскому оборудованию от огромного количества дешевого «мусора» и аксессуаров Baofeng, облегчив поиск серьезной техники.

Социальная сеть для разработчиков под названием /dev/null строится вокруг коммитов вместо постов: вход только через GitHub, а сообщения — это простой текст до 4000 символов. Лента работает без алгоритмов, строго по времени публикации, а профили полностью повторяют данные GitHub и редактируются там же. Первые коммиты проходят ручную модерацию, после чего автоматический модератор проверяет и одобряет их сам.

Тон площадки — шутливый и «свой»: в трендах шутки про Laravel, команды вроде php artisan make:friends и composer require followers, а также жалобы на внезапную нагрузку («нужно масштабировать сервер», «они деплоят прямо с телефона, помогите»). Упоминаются разработчики Нуну Мадуру и Николя Грекас, а число пользователей предлагают оценивать по счётчику подписок одного из участников. Есть и опрос о кроссплатформенной разработке с вариантами React Native, Flutter, SuperNative (NativePHP) и Kotlin Multiplatform. Всё остальное, по ироничному девизу проекта, уходит в /dev/null.

Сообщество разработчиков скептически относится к /dev/null. Обязательный вход через GitHub считается ограничением аудитории и связью с Microsoft, противоречащей идее независимой соцсети. Модерация постов (ручная проверка первых коммитов, затем автоматическая) вызывает опасения по поводу задержек и цензуры. Заявленные новшества воспринимаются как переупаковка существующих решений вроде Mastodon и Solid, без значимых отличий от других соцсетей для разработчиков. Технические проблемы: непонятный выбор домена (dev-null.sh), простои, отсутствие ясности о стеке технологий. Предложения: добавить публичный просмотр ленты и подробную информацию о платформе до регистрации, улучшить онбординг и визуальные метафоры (git‐аналогии, подсказки). Отмечается плюс: открытый исходный код и быстрый отклик сообщества — более 200 pull‐request'ов за 48 часов. Спор о будущем: некоторые видят в /dev/null потенциал для децентрализованного обмена файлами (сравнение с Solid), другие считают его обычным хостингом с альтернативами вроде tilde.town.

Десятилетиями криптографическое сообщество гадало, откуда взялись «зерна» (seed) для стандартных эллиптических кривых NIST, опубликованных в 2000 году в составе стандарта цифровой подписи FIPS 186-2. Эти параметры передала АНБ без каких-либо объяснений, что порождало подозрения в намеренных закладках. Ходила легенда, будто сотрудник АНБ Джерри Солинас сгенерировал зерна хешем шуточной фразы вроде «Дайте Бобу и Джерри прибавку». Проверка этой версии ни к чему не привела, а сам Солинас умер в 2023 году, оставив вопрос открытым.

В октябре 2026 года сотрудник Anthropic задал внутренней исследовательской модели вопрос о происхождении зерен — и меньше чем за полчаса Claude разгадал загадку для кривых P-192, P-224, P-256, P-384 и P-521. Никакого хеша не было: зерна оказались выводом генератора случайных чисел lrand48 из стандартной библиотеки C, инициализированного меткой времени Unix. Алгоритм брал по 20 байт за итерацию; для P-256 понадобилось 1842 итерации. Например, для prime192v1 подошла метка времени 20000.

Это не взлом и не ослабление кривых — наоборот, находка усиливает уверенность, что их выбирали без закладок.

Обсуждение подтверждает, что параметры кривых NIST получены из lrand48, инициализированного Unix‐временем, как показал Claude. Однако отсутствует окончательное объяснение некоторых seed‐ов, что вызывает скепсис относительно достоверности вывода и поднимает вопросы о практических последствиях. Некоторые пользователи (например, greatgib) сомневаются в доказательстве, указывая, что совпадение с lrand48 может быть случайным и не исключает наличия бэкдоров. teddyh предполагает, что необъяснимый seed B‐163 возник из‐за опечатки при публикации, поэтому поиск по правильному числу пока безуспешен. slowin предупреждает, что использование LLM для таких исследований создаёт асимметрию: провайдеры моделей получают информацию, недоступную обычным исследователям. sweis и tptacek отмечают, что раскрытие метода разрушает годы конспирологических теорий о преднамеренных уязвимостях в кривых NIST. nickysielicki утверждает, что Anthropic тайно стремится подорвать криптографию, но это личное мнение без доказательств. cowlby заметил, что первая цифра каждого seed никогда не превышает 7, что согласуется с 31‐битным выводом lrand48, где старший бит всегда 0. cloudfudge предлагает генерировать константы кривых из текущего времени при старте программы для упрощения управления параметрами. adastra22 считает, что такой способ генерации указывает на потенциальную уязвимость, сравнивая её с гипотетическим скрытым бэкдором. EGreg считает, что сообщества Bitcoin и Ethereum могут безопасно включать поддержку P‐256, так как доказано отсутствие преднамеренных уязвимостей в seed‐ах.