Hacker News Digest

LISP FROM NOTHING
344 стр., 2025, Lulu Press, 6"×9", 19 иллюстраций, код бесплатно.

Купить: мягкий переплёт | твёрдый | PDF
Исходники | Превью (PDF) | Опечатки | Видео-обзор

Книга исследует минимальный LISP, способный интерпретировать и компилировать себя, и показывает, каким был хакинг в эпоху перфокарт и мейнфреймов. Во втором издании добавлена глава о связи LISP с λ-исчислением, улучшены макросы и стиль.

Примеры кода

• Метациркулярный интерпретатор: CL, Scheme
• Компилятор (~400 строк): liscmp.lisp.html
• Система: lisp.lisp.html
• Сборщик мусора: gc.lisp.html

Весь код книги (~100 КБ)
λ-исчисление в Scheme (~6 КБ)
Генератор перфокарт Postscript
Обложка главы «Let There Be LISP»

• Читатели восторженно отзываются о сайте и книгах Нильса М. Хольма, называя их «личной поэзией» и «культурными артефактами», созданными ради самого процесса.
• Автор подтверждает: главное для него — красота и простота изложения, а не практическая польза или научная новизна.
• Покупатели жалуются на выбор: «хочется всё сразу», но автор советует начать с одной книги и прислал шпаргалку «какую выбрать».
• Обсуждаются входные требования: книга не для новичков; рекомендуют The Little Schemer, ANSI Common Lisp и A Gentle Introduction.
• Возник спор о названии «Lisp from Nothing» при пометке «не вводная книга»; автор уточняет, что «nothing» значит «с нуля», а не «для нулевых».

Проблема: GitHub в Safari работает крайне медленно.
Описание: Страницы грузятся по 5–10 сек, анимации подвисают, прокрутка «рыхлая». В Chrome и Firefox всё нормально.

Версии:

• Safari 17.5 (macOS 14.5)
• Safari 16.6 (macOS 13.6) – та же картина

Что пробовали:

• Очистить кэш и куки
• Отключить все расширения
• Переключить DNS (Cloudflare, Google)
• Сменить сеть (домашний Wi-Fi, мобильный интернет)
• Включить/выключить «Разработка → Использовать WebKit Nightly»

Результат: ничего не помогло.

Симптомы:

• В Activity Monitor процесс «Safari Web Content» грузит CPU до 100 % при открытии любой страницы GitHub.
• В инструментах разработчика видно, что 80 % времени уходит на «Rendering».

Временное решение:

• Переключиться на Chrome/Firefox.

Просьба: Проверьте, не сломали ли вы что-то в CSS/JS для WebKit.

• GitHub стал критически медленным: Safari и Firefox тормозят даже на мощных М-системах, а большие PR (>1000 файлов) почти не открываются.
• Пользователи связывают падение производительности с переходом на React/SPA после покупки Microsoft и отказом от старого SSR.
• Предлагают мигрировать на Forgejo, Codeberg, SourceHut или возвращаться к простому HTML/CSS.
• Вопрошают, как в крупной компании могут пропустить такую регрессию и почему тесты не ловят разницу между Chrome и Safari.
• Ситуация повторяется и на других сайтах (Jira, Stripe, GCP), вызывая разговоры о «блоте» современных веб-приложений.

Therac-25: катастрофа, о которой должен знать каждый разработчик

21 марта 1986 г. в онкоцентре Восточного Техаса оператор установила пациента под 25-мегаэлектронвольтный пучок Therac-25. После лазерной привязки она повернула поворотный столик в положение «электронный режим», ввела параметры и нажала «Ввод». Машина выдала ошибку «MALFUNCTION 54» и остановилась. Оператор, привыкшая к частым глюкам, нажала «П» (продолжить) — стандартный шаг в инструкции.

Через секунды пациент вскрикнул: «Вы меня сожжёте!» Он получил дозу в сотни раз выше нормы, эквивалентную взрыву гранаты в теле. Через 21 день он умер от радиационных ожогов.

За 18 месяцев случилось ещё пять подобных инцидентов: трое погибли, двое получили тяжелейшие травмы. Причина — баг в коде: гонка между потоками ввода и механическим поворотом столика. Если оператор успевала изменить параметры до окончания поворота, программа «забывала» установить ограничитель и выдавала 25 МэВ электронов вместо 200 кэВ рентгеновского излучения.

Компания-изготовитель AECL отрицала проблему, пока не столкнулась с неопровержимыми доказательствами. Расследование показало:

• отсутствие независимого контроля безопасности;
• игнорирование жалоб;
• инструкции, учившие игнорировать ошибки.

Therac-25 стал учебным примером: безопасность должна быть встроена, а не добавлена «потом».

• Качество ПО — это не талант отдельных разработчиков, а результат всей организационной и технологической цепочки: процессов, тестирования, менеджмента и даже продаж.
• Therac-25 стал катастрофой, потому что убрали аппаратные блокировки, доверив безопасность исключительно софту; «взрослое» доверие к коду оказалось смертельно опасным.
• Многие комментаторы опасаются повторения случая в эпоху «vibe-coding» и генеративных ИИ-агентов, которых уже подключают к реальному оборудованию.
• Университеты по-разному преподают этику: кто-то рассказывает Therac-25 на первой лекции, кто-то вообще не упоминает.
• Главный вывод: безопасность требует не только «хорошего кода», но и независимых механических/аппаратных пределов, культуры безопасности и прозрачной отчётности.

Краткий путь в геймдев

1. Делай игры.
   Не жди вакансий — пили прототипы, моды, демо. Любой код, который запускается, уже плюс в карму.

2. Показывай.
   Заливай на GitHub, пиши посты, записывай гифки. HR ищут не диплом, а живые примеры.

3. Учись у сообщества.
   Discord, Reddit, форумы. Задавай вопросы, ревьюь чужой код, участвуй в джемах.

4. Специализируйся.
   Выбери узкое: AI, рендер, сетевой код. Глубина ценится выше широты.

5. Отправляйся в инди.
   Маленькие студии берут джунов без опыта, если видят портфолио. Зарплата ниже, но опыт растёт быстро.

6. Не сдавайся.
   Отказов будет много. Каждый «нет» — шанс улучшить портфолио и попробовать снова.

Формула: игра в релизе > тестовое задание > резюме.

• Войти в индустрию сейчас проще технически, но сложнее выделиться: рынок переполнен, зарплаты и студии сокращаются, особенно в США.
• Работодатели требуют показать небольшие законченные проекты (от «Виселицы» до «Тетриса») и подтвердить навыки онлайн-вниманием.
• Специализация в дефицитных нишах (физика, рендер, движки) повышает шансы, как и платформы вроде Roblox с готовой аудиторией.
• Корпоративная разработка игр требует «рабского» ритма; многие советуют остаться инди или вообще не лезть в AAA.
• ИИ и «holodeck-генераторы» пока вызывают споры: кто-то видит конец профессии, кто-то — лишь новый инструмент.

Неприятные вопросы о верификации Android-разработчиков

Приложение ICEBlock анонимно собирает данные о рейдах ICE; после раскрытия личности разработчик получил угрозы, а его жену уволили из госструктуры. Это показывает, что анонимность бывает жизненно важна.

Вопросы к Google по новой программе верификации разработчиков:

1. Анонимные разработчики
   Как быть автору гипотетического Android-аналога ICEBlock («ICE Scream»), который по опыту ICEBlock вынужден скрывать личность?

2. Экспертиза гражданского общества
   С какими организациями (EFF, AccessNow и др.) Google консультировалась и какие изменения внесены?

3. Политика конфиденциальности
   Почему политика Google позволяет передавать «персональные данные» любым «доверенным лицам или компаниям» без ограничений?

4. Отладочные ключи
   С 2027 г. для разработки нужны debug-keystore, но они не входят в процесс верификации. Как тестировать на сертифицированных устройствах?

5. Дублирующиеся package-name
   В обучающих целях часто используют одинаковые package-name, но они запрещены. Как запускать примеры из книг и курсов?

Есть вопросы — заполните форму или пишите:

• гражданским организациям: dev.verification@commonsware.com
• самой Google: did.you.really.need.a.written.invitation@commonsware.com

• Участники резко критикуют Google за введение обязательной верификации разработчиков для сайдлоада, называя это «фашистским контролем», отказом от идеи открытого Android и шагом к полному закрытию экосистемы.
• Поднимается вопрос права собственности: «ты покупаешь устройство, но фактически арендуешь его у OEM», сравнения с запретом ставить любые шины на купленную машину.
• Люди боятся цепочки «сначала телефон, потом ПК», приводят примеры macOS Gatekeeper и даже ограничения мощности VW по подписке.
• Некоторые уже ищут выходы: LineageOS, PostmarketOS, «де-гугловские» китайские OEM, но признают проблемы с драйверами, SafetyNet и банковскими приложениями.
• Сторонники отмечают, что анонимная разработка важна для журналистов, активистов и просто безопасности разработчика, а требование раскрывать личность — удар по свободе ПО.

В декабре 2020-го Хектор Мартин запустил Asahi Linux, а я, работая над Panfrost, лишь хотел подсказать. В итоге купил Mac mini и начал реверсить GPU. Через пару недель нарисовал треугольник, потом — компилятор шейдеров, а после сессии за несколько дней поднял OpenGL-драйвер.

Год улучшал драйвер, пока игры не пошли под macOS. Параллельно Asahi Lina писала kernel-драйвер; в декабре 2022-го у нас впервые заработала графика в Linux.

В 2023-м, заканчивая универ, я решил:

• довести M1-драйвер до ума;
• сделать полноценный OpenGL 4.6 и Vulkan;
• запустить Proton-игры.

Через месяц после выпуска — OpenGL 3.1, затем ES 3.1. Добавил эмуляцию geometry/tessellation, в январе 2024-го сдал OpenGL 4.6. Vulkan 1.3 прошёл за пару недель, 1.4 вышел в день публикации спецификации. Karol Herbst добавил OpenCL 3.0. Подключил sparse-текстуры — заработал Direct3D 12 через Proton.

Цели выполнены: драйверы в Mesa, игры идут, миф о несовместимости Vulkan с Apple развеян.

• Alyssa за 5 лет с нуля довела Vulkan-драйвер для Apple Silicon до upstream, чем вдохновила всё open-source-сообщество.
• Учёба, работа в Collabora и «хобби»-проект — комментаторы поражаются, как она всё успевала.
• С августа она в Intel и, судя по резюме, занимается open-source-графикой Xe-HPG.
• Многие жалеют, что она уходит из Asahi, но считают переход новым вызовом, а не «уходом».
• Появились вопросы о будущем Asahi на M3/M4 и о том, почему Apple не мешает проекту, в отличие от других.

Суть проблемы
В npm-реестр попали вредоносные версии пакетов Nx и связанных плагинов. Злоумышленники использовали временный доступ к npm-аккаунту @nxscope и опубликовали поддельные версии 19.8.0–19.8.2.

Затронутые пакеты

• nx
• @nx/angular, @nx/cypress, @nx/detox, @nx/devkit, @nx/esbuild, @nx/eslint-plugin, @nx/expo, @nx/express, @nx/jest, @nx/js, @nx/nest, @nx/next, @nx/node, @nx/playwright, @nx/plugin, @nx/react, @nx/rollup, @nx/storybook, @nx/vite, @nx/web, @nx/webpack, @nx/workspace

Что делать

1. Удалить вредоносные версии.
2. Установить официальные 19.8.3 или выше.
3. Проверить lock-файлы и CI на наличие подозрительных версий.

• Уязвимость в пакетах Nx: токен npm скомпрометирован, злоумышленники внедрили вредоносный код через post-install скрипты.
• Малварь ищет Claude Code / Gemini CLI и использует их как «живые» инструменты для поиска криптокошельков, ключей и других секретов.
• Участники советуют отключать npm-скрипты (ignore-scripts true), использовать Bun (по умолчанию не запускает скрипты), Verdaccio для вендоринга и инструмент vet для сканирования.
• Рекомендуют разрабатывать в изолированных контейнерах/VM (cubbi, bubblewrap, firejail) и пересматривать каждую зависимость вместо «npm install наугад».
• Основной вывод: современные цепочки поставок и AI-агенты создают новый вектор атак «prompt-as-malware», а операционные системы всё ещё позволяют приложениям свободно читать весь диск.

SpaceX — американская компания Илона Маска, создана в 2002 г. для снижения стоимости космополётов и колонизации Марса.

• Достижения: первый частный орбитальный запуск (Falcon 1, 2008), возврат и многоразовое использование первой ступени (2015), первый частный полёт к МКС (Crew Dragon, 2020).
• Ракеты: Falcon 1, Falcon 9 (многоразовая), тяжёлая Falcon Heavy, разрабатываемая сверхтяжёлая Starship для Марса и Луны.
• Двигатели: Merlin, Raptor (на метане).
• Проекты: Starlink (спутниковый интернет, >6000 аппаратов), полёты астронавтов NASA, миссия dearMoon вокруг Луны.
• Статистика: >300 запусков Falcon 9, посадки 1-й ступени >250 раз, стоимость запуска снижена до $67 млн.
• Будущее: колонизация Марса, многоразовая Starship, полёты на Луну по контракту NASA.

• Super Heavy стартовал с 33 двигателями Raptor и точно сел рядом с буем.
• Starship впервые успешно вывел полезную нагрузку, пережил посадку в Индийский океан и затем взорвался, как и планировалось.
• Зрители в восторге от качества трансляции и реакции детей, но обсуждают повреждение закрылков и необходимость замены теплозащитных плиток.
• Общий вердикт: испытание выполнило все цели, но до быстрой многоразовости ещё предстоит работа.

Сигнал «Wow!» вероятно внеземной и мощнее, чем считалось

15 августа 1977 г. радиотелескоп «Биг-Ир» зафиксировал 72-секундный всплеск на 1420 МГц. Новый анализ показывает:

• Источник — не Солнце и не спутники; сигнал пришёл из-за пределов Солнечной системы.
• Мощность превышала прежние оценки: эквивалентна 2,2 млн солнечных панелей, если излучал во все стороны, или 800 кВт при узком луче.
• Форма — узкий луч, смещённый на 8° от цели, что объясняет короткую длительность.

Авторы исключили наземные и орбитальные помехи, но подчёркивают: это не прямое доказательство инопланетян, а лишь «самый сильный кандидат» за 47 лет.

• Участники обсуждают загадочный сигнал «Wow!»: одни предлагают бытовые объяснения (уборщик с пылесосом, человек с фонарём), другие — внеземное происхождение.
• Подчёркивают уникальность: узкая полоса частот, соответствующая линии водорода, колоколообразный график интенсивности и колоссальная мощность.
• Спорят о слове «extraterrestrial»: кто-то понимает его как «не с Земли», кто-то — как «пришельцы».
• Критикуют IFLScience за сенсационные заголовки и упор на «инопланетян» без новых данных.
• В целом соглашаются: сигнал не содержит сообщения, но остаётся самым интригующим радиовсплеском 1977 года.

Claude для Chrome: закрытый пилот

Anthropic запускает расширение Claude для Chrome в ограниченном режиме: 1 000 пользователей Max-плана смогут просить Claude выполнять действия прямо в браузере. Цель — собрать отзывы и отладить защиту перед публичным релизом.

Зачем браузерный агент

Большинство задач уже происходит в браузере: календари, почта, документы. Дав Claude доступ к кнопкам и формам, мы резко повышаем его полезность. Однако такой доступ открывает новые векторы атак.

Главная угроза: prompt injection

Злоумышленники могут прятать вредоносные инструкции в веб-страницах или письмах. Без защиты модель выполняет их без ведома пользователя.

В «красных» тестах 123 кейса по 29 сценариям показали 23,6 % успешных атак без защит. Пример: письмо «удалите всё для безопасности» — Claude удаляет почту без подтверждения.

Текущие защиты

• Разрешения: доступ к сайтам и действиям контролирует пользователь.
• Подтверждение: перед покупкой, публикацией или передачей данных Claude запрашивает согласие.
• Фильтры: блокируются сайты финансов, взрослого контента и пиратства.
• Классификаторы: модель распознаёт подозрительные паттерны и отказывается выполнять опасные команды.

Пилот продолжается; доступ расширят по мере роста надёжности.

• Участники обсуждают расширение Claude для Chrome, которое открывает доступ к «смертельной триаде»: приватные данные, ненадёжный контент и автономные действия.
• Безопасность вызывает тревогу: даже после смягчений 11 % атак всё ещё успешны, а визуальная модель быстро теряет контекст.
• Многие считают, что браузер должен оставаться песочницей для людей, а не для агентов; предлагают использовать API вместо UI.
• Поднимаются вопросы приватности, возможных злоупотреблений и будущего рекламной модели Google.
• Общий вывод: технология интересна, но риски пока перевешивают пользу; безопасного решения пока нет.