Hacker News Digest

Печенье Biscoff (speculoos) стало популярным в США после того, как Delta Airlines начала раздавать его вместо арахиса из-за дефицита орехов и необходимости защитить пассажиров с аллергией. Оно используется в кулинарии: как основа для чизкейка, в начинке синнабонов или в виде пасты (Biscoff spread). Для снижения сахара рекомендуется версия от ChocZero. Пользователи спорят о качестве: одни хвалят его как лакомство, другие называют «заводским мусором» из-за высокого содержания сахара. Также обсуждается происхождение: speculaas считается общим культурным наследием Бельгии, Нидерландов, Франции и Германии, а не только Бельгии. По опыту @jmpman, Biscoff редко вызывает отвращение при приёме препаратов GLP-1.

Epic Games выпустила в предварительном доступе новый лаунчер, созданный с помощью ИИ, и главным аргументом сделала скорость загрузки — якобы быстрее, чем у Steam. Ответ Valve последовал через сутки: небольшое обновление сократило время холодного запуска клиента Steam до 5,23 секунды против примерно 5,47 секунды у Epic Games Launcher V2. Восстановление из трея у Epic чуть быстрее (0,36 против 0,42 секунды), но ключевое маркетинговое преимущество нейтрализовано. Valve показала, что точечная оптимизация зрелой экосистемы способна обогнать «вайб-кодинг» на ИИ.

Однако проблемы лаунчера Epic глубже скорости. Спустя годы и даже в новой версии там нет базовых функций: форумов и сообществ, пользовательских обзоров, гайдов, обмена скриншотами и клипами, групп и рекомендаций кураторов, кастомизации профиля, торговой площадки для внутриигровых предметов, прямой торговли между игроками, цифровых карточек и магазина очков, универсальной перенастройки геймпада, режима Big Picture для телевизоров и портативных ПК, Remote Play и Remote Play Together, встроенных инструментов трансляции, семейного доступа к библиотеке, платформенного хаба модов вроде Steam Workshop, персональных очередей открытия, локальной передачи игровых файлов и отката версий игр.

Тред показывает, что заявленные в статье цифры ускорения запуска Steam не совпадают с реальными измерениями пользователей. Пользователь tancop измеряет восстановление из трея за ~2 секунды и холодный запуск за 10‐15 секунд, тогда как статья указывает 5,23 секунды — разница указывает на возможные различия в измерениях или A/B‐тестирование. Для большинства геймеров важнее стабильность, функции и потребление памяти, чем небольшое ускорение старта (kllrnohj, beart). Steam уже построен на Chromium/Electron, поэтому сравнение скорости запуска между «Electron‐приложениями» фактически сравнивает похожие технологии (righthand). Участники отмечают, что «vibe coding» позволяет создавать небольшие бинарники (~3 МБ вместо 130 МБ), что упрощает портирование на разные ОС (yboris, 2OEH8eoCRo0). Совет: проводить тесты обоих лаунчеров на одном устройстве до и после обновления для объективного сравнения (MokaAkashiya). Есть спор о роли AI в оптимизации: hombre_fatal считает, что Valve использует AI, тогда как dlcarrier и freecodeio скептичны и видят улучшения результатом традиционной оптимизации кода. Критика маркетинговой подачи (messer979, dlcarrier) подчёркивает, что тратить сотни тысяч долларов на полсекунды ускорения выглядит преувеличенно и служит PR‐ходом.

За последние месяцы OpenAI опубликовала сотни математических результатов — в теории чисел, теоретической информатике и логике, — которые десятилетиями, а то и веками не поддавались лучшим математикам мира. Реакция сообщества оказалась смесью возмущения, изумления и горя. Лауреат Филдсовской премии Юго Дюминиль-Копен признался, что плакал ночью после октябрьского релиза: «Они аннигилировали мою область исследований». Стивен Строгац из Корнеллского университета говорит о «дизориентации» и «огромном горе», а его коллеги используют выражения вроде «они выпотрошили наш предмет» и «они выжгли ландшафт».

Автор задаётся вопросом, что делает человека особенным, и отвечает: не интеллект и не социальность по отдельности — вороны решают многошаговые задачи, муравьи специализируются, слоны оплакивают умерших, — а их умножение друг на друга. Люди с необычайной точностью имитируют и затем дорабатывают, а социальность распространяет этот процесс на группы и поколения, позволяя знаниям накапливаться. Шимпанзе в Западной Африке колют орехи камнями одинаково 4000 лет, тогда как люди за тот же срок прошли путь от вавилонских глиняных табличек до космических ракет и машинного интеллекта.

Наука — одновременно ремесло и разговор, и ИИ может забрать первую половину. Но остаётся вторая: радость встречи с другим умом, обсуждение доказательств, перевод чужой логики в человеческое понимание и передача его ученикам. Когда машины найдут все истины, искать останется только друг друга.

Математики переживают горе из‐за утраты статуса и чувства потери лет труда, когда ИИ решает задачи, над которыми они работали десятилетиями. Однако ИИ пока лишь ускоряет решение известных задач и не способен создавать новые проблемы или участвовать в концептуальных играх, требующих долговременных обязательств. Для дальнейшего роста ИИ нуждается в новых человеческих открытиях. Некоторые считают, что ИИ в конечном итоге исчерпает свой потенциал без такого вклада, другие опасаются полной замены математики. Чтобы оставаться востребованными, математикам советуют осваивать навыки работы с ИИ — становиться промпт‐инженерами и проверяющими выводы — а также развивать новые способы мышления и пройти процесс скорби. В отличие от инженеров, математики в университетах пока менее подвержены массовым увольнениям из‐за ИИ.

Сервис Unfenced собирает в одном каталоге участки земли, которые граничат с государственными лесами, охотничьими угодьями и заповедными зонами. Сейчас в базе 13 626 таких объектов, и каждый проверен по официальным картам границ USGS PAD-US 4.1, а не по описаниям в объявлениях. Всего проанализировано 695 439 активных объявлений о продаже, данные обновляются примерно раз в неделю. Охвачено 49 регионов — участков нет только в округе Колумбия и Северной Дакоте.

Больше всего предложений в Колорадо (1 396), Калифорнии (836), Юте (645), Аризоне (642) и Вашингтоне (638). Для каждого участка указана измеренная длина общей границы с общественными землями: например, 120 акров в Орегоне за 90 000 долларов имеют 5 240 футов общей границы, а 14 акров на Гавайях за 185 000 долларов — 987 футов. Есть фильтр «в пределах 100 миль» и интерактивная карта.

Авторы подчёркивают: это анализ открытых данных о границах, а не геодезическая съёмка и не листинговый сервис. Проект принадлежит дизайн-студии Other Waters Studio из Филадельфии.

Покупка земли у границы с государственными территориями сопряжена с проблемами обслуживания границы, ненадёжностью данных и необходимостью дополнительных фильтров. Сервис подтверждает свою ценность, но имеет практические ограничения. В обсуждении возник спор о том, кто обязан поддерживать ограду вдоль границы: один пользователь жалуется, что государство не ремонтирует её из‐за бюрократии, другой утверждает, что плата за ограду не должна ложиться на налогоплательщиков. Рекомендуется установить собственный забор внутри своей границы, чтобы контролировать состояние и не зависеть от государственных служб. Данные Unfenced иногда неточны: в листингах указаны неверные площади, сервис не охватывает все участки, прилегающие к публичным землям. Пользователи просят добавить фильтры по цене, размеру участка и близости к велосипедным и пешеходным тропам. Опыт владельца 60‐акровой недвижимости показывает, что удалённые участки требуют значительных затрат времени и средств на обслуживание: дорога, электроэнергия, транспорт. При наличии болотных участков владелец должен самостоятельно принимать меры по снижению комаров, так как государственная земля не решает эту проблему. Возникает сомнение в безопасности владения землёй у границы с публичной территорией: посторонние могут использовать ваш участок, а вы можете нести юридическую ответственность за их действия. Технически сложно совмещать данные разных картографических источников, но в большинстве случаев получаются достаточно точные результаты для дальнейшего анализа.

Пользователь купил точку доступа TP-Link EAP770 с Wi-Fi 7 в августе 2023 года, ещё до финализации стандарта, и столкнулся с повреждением данных при длительных загрузках по Wi-Fi: файлы больше нескольких гибибайт обрывались с ошибками MAC и TLS, хотя Wireshark не показывал ни плохих контрольных сумм, ни ретрансмиссий. Переход на Tailscale с WireGuard маскировал проблему, так как потеря пакета внутри туннеля вызывала повторную передачу. TP-Link отказался выпускать прошивки: устройство версии v1 объявили снятым с поддержки, а последняя прошивка осталась от июня 2023 года. Исправление оказалось тривиальным — записать два нуля в sysfs, но оболочка TP-Link не позволяла этого сделать, поэтому автор написал эксплойт ядра для собственной точки доступа.

Отдельно выяснилось, что ежедневные обрывы Wi-Fi около 11:00 — другой баг, связанный с картой Qualcomm WCN785x в ноутбуке Framework 16: каждые несколько часов она переставала передавать данные на 1–4 минуты, накапливая тысячи кадров в очереди драйвера ath12k, а затем разом отправляла весь накопленный запас. Сигнал при этом был отличным (-31…-42 dBm), ошибок приёма не было, а логика отправки кадров полностью скрыта в закрытой прошивке amss.bin. Автор переключил 5 ГГц с Wi-Fi 7 на Wi-Fi 6 и оставил наблюдение на сутки, чтобы понять, связан ли баг со стандартом.

Обсуждение дополняет статью свидетельствами о системном низком качестве ПО TP-Link, техническими деталями проблем с когерентностью кэша в SoC и советами по выбору альтернатив вроде OpenWRT. Аппаратная разгрузка (hardware offload) часто становится источником трудноуловимых багов в сетевых картах, включая дорогое корпоративное оборудование. Совет: При выборе роутера рекомендуется проверять совместимость с OpenWRT, чтобы избежать зависимости от низкокачественного или заброшенного вендорского ПО. Доверие только к контрольным суммам TCP опасно, так как ошибки когерентности кэша или отсутствие ECC RAM в буферах NIC могут привести к незаметному повреждению данных. ZFS send/recv не полагается на TCP checksums, так как использует собственные сквозные (end-to-end) контрольные суммы для обнаружения повреждений при передаче. Спор: Пользователи спорят о поддержке GL.Inet: @commandersaki хвалит их за глубокую помощь в диагностике, в то время как @Oxodao считает предоставление доступа к роутеру поддержке недопустимым. По опыту @reflexe, проблемы с повреждением данных часто связаны с тем, что когерентность кэша плохо специфицирована на уровне SoC/платформы, что приводит к разным результатам на разных чипах с одним и тем же ядром ARM. В потребительской электронике драйверы часто представляют собой «винегрет» из скриптов, что заставляет разработчиков переписывать их с нуля по даташитам или через реверс-инжиниринг. Пользователи сообщают о проблемах с поддержкой TP-Link, включая отсутствие прошивок для старых ревизий (v1) и быстрый вывод устройств из эксплуатации (EOL).

Tiny Little Office привлекает лёгкой URL‐ориентированной архитектурой и возможностью самохостинга, но имеет проблемы с надёжностью, отсутствием коллаборации, ограниченной документацией и багами. Пользователи ценят отсутствие логинов и простую передачу документов по ссылке, а также возможность развернуть сервис самостоятельно. Однако есть опасения, что сервис может исчезнуть, хотя открытый код и самохостинг снижают этот риск. Требуется добавить реальное совместное редактирование через WebSocket или WebRTC, поддержку аннотаций PDF, исправить UI‐проблемы (чёрный текст на чёрном фоне в тёмном режиме, «запрыгивание» курсора), обеспечить простое локальное развертывание без Cloudflare (например, через Docker‐композ и поддержку SQLite/Postgres), а также предоставить подробное руководство по сохранению и открытию документов, включая форматы CSV, TXT и iCal. Проект считается интересным экспериментом, но пока не готов заменить традиционные офисные пакеты из‐за ограниченной функциональности и пригодности только для лёгких задач.

Организация AnitaB.org объявила об отмене ежегодной конференции Grace Hopper Celebration, которая должна была пройти в Анахайме, Калифорния. Причина — нехватка средств: в этом году регистрации участников и обязательства спонсоров оказались значительно ниже ожиданий и не покрыли ключевые операционные расходы. Президент и исполнительный директор Бренда Дарден Уилкерсон подчеркнула, что решение далось тяжело и приносит извинения всем, кто уже понёс расходы.

Участникам рекомендовано самостоятельно отменить или изменить авиа- и железнодорожные билеты, брони отелей и прочие договорённости. Вопросы по регистрации, спонсорству и финансам AnitaB.org будет решать напрямую с затронутыми людьми и организациями; о возврате регистрационных взносов обещают сообщить до 26 октября. Для централизации обращений открыт адрес GHC@AnitaB.org.

Конференция десятилетиями помогала женщинам в технологиях открывать двери и влиять на будущее отрасли. Её отмена ударила и по финансам организации: сейчас AnitaB.org оценивает стратегические альтернативы и возможные форматы будущих программ, обещая новые объявления в ближайшие недели.

Отмена GHC объясняется не только низкой регистрацией, но и сокращением корпоративных инвестиций в DEI, ростом цен на билеты, падением международных регистраций, внутренними управленческими проблемами и изменением рынка найма. Большинство комментаторов считают ключевым фактором финансового дефицита сокращение расходов компаний на DEI. Есть спор: одни утверждают, что DEI утратил маркетинговую ценность, другие — что его активно атаковали, что привело к оттоку спонсоров. Резкий рост цен на билеты сделал участие менее доступным, отпугивая участников и спонсоров. GHC служил важным источником найма, и его отмена негативно скажется на рекрутинге. Студенты, уже забронировавшие поездки и отели, оказались в затруднительном положении из-за отмены за две недели до мероприятия. Упоминается снижение международных регистраций как фактор падения доходов. Также отмечаются проблемы с организацией и управлением конференцией — хаотичность и плохая логистика. Снижение активности на рынке найма уменьшает потребность в масштабных рекрутинговых событиях, что отражается на финансировании GHC.

Программирование ради удовольствия, а не ради денег или карьерного роста — это и есть «рекреационное программирование». Его ключевое отличие — внутренняя мотивация вместо внешнего давления: вы создаёте вещи из любопытства, изучаете новые языки просто ради ощущений, решаете задачи, существующие только в вашей голове, и пишете код, который вызывает улыбку. Это не сайд-проекты ради стартапа, не прокачка навыков для повышения и не прохождение туториалов шаг за шагом.

Такое занятие предотвращает выгорание, развивает интуицию через эксперименты без последствий и часто ведёт к неожиданным открытиям. Автор выделяет пять стилей: «живой исследователь» строит на публику и показывает тупики и баги, «глубокий ныряльщик» одержим пониманием того, как всё устроено, «креативный технолог» использует код как художественную среду, «решатель проблем» закрывает мелкие личные потребности, а «исследователь языков» постоянно пробует новые парадигмы.

Общие принципы для всех: разрешение создавать «бесполезное», следование за энергией, а не за планом, документирование процесса и принятие новичкового склада ума. Прогресс важнее совершенства, а скука — это данные о том, что вам интересно, а не поражение. Выделите папку для экспериментов без давления продакшена и пробуйте: недельные опыты, самодельные версии знакомых инструментов, кросс-языковые задачи. Единственное правило — бросать, если это перестало быть весёлым.

Обсуждение дополняет статью личными историями о поиске потока, предостерегает о риске выгорания даже при внутренней мотивации и поднимает экзистенциальный вопрос о ценности хобби-программирования в эпоху LLM. Пользователи спорят о влиянии AI на хобби: @jackling считает, что использование AI лишает процесс статуса «программирования как хобби», тогда как @testerius и @tjansen видят в этом инструмент для ускорения реализации идей. По опыту @bunderbunder, даже любимые занятия требуют ментальных ресурсов («cost spoons»), поэтому важно разделять восстанавливающий отдых и интеллектуально затратное программирование, чтобы избежать выгорания. Многие участники (@NalNezumi, @markus_zhang) отмечают, что в рекреационном кодинге ценность часто заключается в самом процессе понимания и состоянии потока, а не в доведении проекта до завершения или публикации на GitHub. Рекреационное программирование может быть формой «ментальной гимнастики» для поддержания когнитивной формы в условиях автоматизации, по аналогии с занятиями спортом при малоподвижном образе жизни (@United857). Существует направление, где код является конечной целью (как искусство), а не средством создания инструмента, например, участие в IOCCC (@omoikane). Спор: Отношение к идее, что хобби-проекты предотвращают выгорание: @prophesi упоминает компании, поощряющие сайд-проекты, но @ktm5j и @bunderbunder считают, что перенос работы в свободное время только ускоряет истощение.

Автор рассказывает, как потерял работу не потому, что модель оказалась лучше него, а потому что она была дешевле. Как последний инженер в компании, он стоил дороже, чем подписка на «Fable» — модель, которую руководство сочло достаточной, чтобы дотянуть до слияния. Это не первое его увольнение: раньше ему приходилось самому сообщать подчинённым об уходе, зная об этом за неделю. На этот раз, узнав о своём увольнении, он несколько часов держался, а потом пульс подскочил выше ста ударов в минуту и не спадал больше недели.

Масштаб проблемы шире одного человека: шестеро или семеро знакомых из группы по «DevOps» потеряли работу или получили уведомление за последний месяц, включая сотрудника одной из FAANG-компаний, которому выдали шесть месяцев выходного пособия и уничтожили личные вещи. Другой нанимающий менеджер лишился должности через неделю после того, как генеральный директор запоздало опубликовал статью о том, что «ИИ меняет разработку». Автор подчёркивает: корректнее говорить не «ИИ забрал мою работу», а «ИИ поспособствовал упразднению моей роли».

При этом модели, по его мнению, всё ещё не заменяют опытного инженера: им не хватает вкуса в продуктовых решениях и предвидения последствий — роста издержек, сложности, доступности. Но они уже достаточно хороши, чтобы под присмотром переносить проверенное поведение между платформами: «Shopify» переписал приложение с «React Native» на нативный код, а порт «TypeScript» на «Rust» воспроизвёл даже исходные баги. В итоге модели не заменили людей — они убедили тех, у кого есть деньги, тратить их иначе.

Тред подтверждает, что компании увольняют инженеров ради экономии, заменяя их дешевыми подписками на AI-модели (например, Fable), или используют ИИ как предлог для сокращений ради краткосрочной прибыли (@glimshe, @philipodonnell). Это напоминает прошлый опыт замены сотрудников дешевым аутсорсингом (@voidifremoved, @TrackerFF). Мнения о возможностях LLM разделились. @gregwebs и @echelon считают, что модели уже способны генерировать готовый код, поэтому роль инженера трансформируется в техническое руководство и управление ИИ. Другие (@dofm, @TrisEck) уверены, что моделям не хватает вкуса и продуктового чувства. @jdw64 приводит пример приложения на моделях Astra и Fable, которое оказалось полно багов, что доказывает невозможность полной замены квалифицированного программиста. Пострадавшим инженерам советуют создавать собственные проекты с помощью тех же моделей для сохранения дохода (@laylower), а также относиться к работе как к средству, а не центру жизни (@sajithdilshan, @danw1979).

Исследователь безопасности обнаружил критическую уязвимость удалённого выполнения кода на сайтах документации Google для разработчиков. Всё началось с анализа OAuth-потока: при обращении к /oauth2authorize сервер устанавливал сессионную cookie Flask размером около 1200 байт. Поскольку cookie подписываются, но не шифруются, содержимое оказалось доступно для чтения. Внутри лежал сериализованный через pickle объект OAuth2WebServerFlow, содержавший в открытом виде client_id и client_secret OAuth-приложения Google.

Ключевая находка: этот же client_secret использовался как SECRET_KEY для подписи сессий Flask. Исследователь воспроизвёл подпись офлайн через itsdangerous с производным ключом cookie-session — результат совпал байт в байт. Это означало полную потерю целостности сессии: можно было подделать любые значения и получить валидную подпись. Поскольку callback распаковывал объект потока через pickle.loads, атакующий мог подсунуть произвольный pickle с опасным опкодом REDUCE, что давало неаутентифицированное RCE.

Для доказательства без вреда продакшену использовался payload с time.sleep(N) — задержка ответа точно соответствовала заданному числу секунд. Уязвимость затронула несколько хостов DevSite, включая firebase.google.com, developer.android.com и source.android.com. Google выпустил хотфикс в течение суток, а выплата составила $90 000: базовые $75 000 за RCE уровня S0 с коэффициентом 1.2 за качество отчёта. Рекомендации включают ротацию секретов, отдельный SECRET_KEY для каждой инсталляции, хранение OAuth-объекта на сервере и отказ от pickle на границе с клиентом.

Обсуждение поднимает вопросы о признании вклада LLM, роли человеческой экспертизы, влиянии стиля LLM‐текстов на восприятие, недопустимости практик вроде pickle в cookie и будущем размера баунти, подтверждая, что Google продолжает выплачивать крупные вознаграждения за критические уязвимости. Спор: одни считают, что автор должен указывать, что LLM (Claude) нашёл уязвимость, иначе человек лишён агентства; другие утверждают, что без человеческого направления LLM бы не нашёл баг, поэтому кредит остаётся за исследователем. Большинство согласны: LLM — лишь инструмент, его использование должно быть открыто, но результат зависит от опыта и вопросов, задаваемых человеком. Совет: рост применения ИИ может снизить размер баунти до уровня стоимости токенов, поэтому исследователям стоит готовиться к более скромным выплатам. Критика стиля: блог, написанный полностью LLM, отталкивает читателей и усложняет восприятие технических деталей. Упоминание: использование pickle в cookie с подписью — серьёзное упущение, маловероятно пройти код‐ревью или автоматическое тестирование в крупных проектах. Совет для новичков: осваивать AI‐инструменты, но одновременно углублять фундаментальные знания о протоколах и механизмах, иначе AI останется лишь «начинающим» помощником. Выплата $90 000 за найденную уязвимость подтверждает, что Google всё ещё готов платить крупные суммы за критические RCE, несмотря на обсуждения об изменении рынка.