Hacker News Digest

AnduinOS — лёгкий, приватный, бесплатный дистрибутив на базе Ubuntu.
ISO 2 ГБ, GNOME-оболочка, Flatpak-приложения, никакого слежения.
Совместим с пакетами Ubuntu, подходит для работы, игр, сервера и обучения.

Версии

• LTS 1.1 (Noble Numbat) — до апреля 2029, GNOME 46, ядро 6.11, стабильность.
• Standard 1.3 (Plucky Puffin) — до января 2026, GNOME 48, ядро 6.14, новейшие функции.

Ссылки

• Скачать | Документация | Исходники | Поддержать

«Переход с Windows прошёл безболезненно, система лёгкая и красивая» — пользователи.

• Многие спутали название «AnduinOS» с «ArduinoOS».
• Это одиночный проект китайского инженера Microsoft: ремикс Ubuntu с GNOME, стилизованным под Windows 11.
• Критика: «distro-дистро-дистро» не заслуживает звания OS, не ясен уникальный посыл по сравнению с Mint/Ubuntu.
• Плюсы: простая установка Flatpak, может помочь консервативным пользователям перейти с Windows.
• Минусы: нет ARM-сборки, в скриншотах замечен сомнительный WPS Office, отсутствует описание отличий от Ubuntu.

Работа в Notion офлайн

• Доступно всем: просматривайте, редактируйте и создавайте страницы без сети в десктоп- и мобильном приложении.
• Автозагрузка: на Plus/Business/Enterprise последние и избранные страницы сохраняются автоматически.
• Вручную: откройте нужную страницу → ••• → Available offline; дождитесь полосы загрузки.
• Проверка: в Settings → Offline видно, что сохранено; можно удалить лишнее.

Подготовка к офлайну

1. На каждом устройстве включите офлайн-доступ отдельно.
2. Убедитесь, что нужные страницы загружены через Settings → Offline.
3. База данных: первые 50 строк загружаются автоматически; остальные — вручную.
4. Подстраницы отмечайте индивидуально.

Работа офлайн

• Изменения сохраняются локально и синхронизируются при подключении к интернету.

• Пользователи делятся на два лагеря: кто-то рад офлайн-режиму Notion, но многие уже ушли в Obsidian за скоростью, локальным хранением и «файл-овер-эпп» подходом.
• Все сходятся, что офлайн-синхронизация сложна: конфликты, потеря данных, архитектура масштаба — всё требует огромных усилий.
• Некоторые считают Obsidian неудобным для командной работы и предпочитают Notion для HR, спринтов и коллаборации.
• Альтернативы: SiYuan, Anytype, Notesnook, Appflowy, но у каждого свои компромиссы.
• Главный вывод: Notion — для команд и «документов в облаке», Obsidian — для личных баз знаний и контроля над данными.

ASCII-вывод в D2 0.7.1
Файлы с расширением .txt теперь рендерятся в ASCII. Пример: при сохранении .d2-файла Vim-плагин мгновенно показывает ASCII-превью.

Для документации кода
ASCII-диаграммы удобно вставлять в комментарии: выделите блок d2, плагин заменит его ASCII-версией.

Unicode или чистый ASCII
По умолчанию используются символы Unicode, но флаг --ascii-mode=standard вернёт строгий ASCII.

Ограничения (альфа-версия)

• Без стилей: animated, font, темы не поддерживаются; цвета в терминале — возможно позже.
• Неравномерные отступы из-за дискретной сетки.
  Сообщайте о багах: github.com/terrastruct/d2/issues.

Попробуйте сейчас
Откройте пример в D2 Playground.

• Представлена новая альфа-функция D2: рендеринг диаграмм в ASCII.
• Пользователи сравнивают D2 с Mermaid, отмечают лучший внешний вид и CLI без Chromium, но упрекают в отсутствии GitHub-рендеринга и сложных grid-раскладок.
• Появились вопросы о браузерной офлайн-работе, vim-/emacs-плагинах, Python-обёртке и возможности ручной подгонки элементов.
• Автор подтвердил, что WASM-версия (d2.js) уже работает в браузере, но пока неанонсирована; официальный релиз и поддержка PR-диаграмм ожидаются позже.

Emacs как обрезчик видео

Марцин Борковский показал, как вырезать фрагменты прямо из редактора. Автору тоже часто нужно обрезать скринкасты, поэтому он вдохновился и написал video-trimmer-mode (~300 строк Elisp).

• Использует ffmpeg для всей тяжёлой работы.
• Показывает превью и позволяет задавать начало/конец кадрами.
• Код живёт в dotsies и обновляется.

Если пригодилось — поддержите автора на GitHub Sponsors или купите его macOS/iOS-приложения.

• Автор показал, как обрезать видео прямо в Emacs, используя ffmpeg и 300 строк Elisp.
• Пользователи спорят: «круто, но зачем?» vs «если ты уже живёшь в Emacs, то это естественно».
• Плюсы: всё текстом, клавиатурное управление, можно автоматизировать, не надо выходить из среды.
• Минусы: GUI всё-таки удобнее для точного выбора кадров; для разовой задачи проще спросить LLM нужную команду ffmpeg.
• Сторонники Emacs считают его не редактором, а полноценной программной средой (или «ОС»), где легко интегрировать любые инструменты.

CodeRabbit: от PR до RCE и доступа к 1 млн репозиториев

CodeRabbit — самое популярное AI-приложение на GitHub Marketplace (1 млн репозиториев, 5 млн PR). При установке он анализирует каждый PR и оставляет AI-комментарии.

Найденные уязвимости

1. RCE через Markdown-рендеринг

   • Внутри контейнеров запускается markdown-it с плагином markdown-it-katex.
   • Плагин использует child_process.exec без фильтрации LaTeX-ввода.
   • Внедрённый в PR $\input{/etc/passwd}$ запускает произвольные команды.

2. Утечка токенов

   • Внутри контейнеров доступны переменные окружения: GITHUB_TOKEN, CODERABBIT_API_KEY, DATABASE_URL.
   • Чтение /proc/self/environ и ~/.netrc позволило получить токены GitHub, JWT-секреты и строку подключения к PostgreSQL.

3. Доступ к 1 млн репозиториев

   • Установленный GitHub-App имеет scope contents:write во всех подключённых репозиториях.
   • С помощью украденного токена можно клонировать/писать в приватные репы, создавать PR, коммиты и релизы.

Цепочка атаки

1. Создаём PR с вредным LaTeX.
2. Получаем RCE в контейнере CodeRabbit.
3. Считываем секреты.
4. Используем токен GitHub для полного доступа к репозиториям.

Меры защиты

• Переход на изолированные sandbox-среды.
• Отключение опасных LaTeX-функций.
• Минимизация scope GitHub-токенов.

• Исследователи нашли RCE в CodeRabbit: Rubocop запускался в проде без песочницы, позволяя выполнять любой код и получить ключи GitHub-приложения.
• Уязвимость дала доступ на запись к ~1 млн репозиториев; компания утверждает, что «данных клиентов не скомпрометировано», но аудита нет.
• Пользователи критикуют отсутствие прозрачности, грубые ошибки в управлении секретами (ключ в ENV) и чрезмерные права GitHub-приложений.
• Главный вывод: анализаторы кода должны запускаться в изолированных средах без доступа к чувствительным переменным, иначе подобные инциденты неизбежны.

Без futex всё тленно

Книга The Art of Multiprocessor Programming (2-е изд., 2021) считается канонической, но она обходит стороной futex — ключевой примитив современной многопоточности. Это упущение делает пособие бесполезным для практиков.

Futex ≠ mutex
Название происходит от «fast userspace mutex», но futex — это не мьютекс, а основа для всех высокоэффективных примитивов синхронизации. До него всё строилось на громоздких System V IPC, которые не масштабировались: при 1000 потоков futex в 2002-м оказался в 20–120 раз быстрее sysv-блокировок. Windows и macOS добавили аналоги только в 2012 и 2016 гг.

Суть futex
Он разделяет блокировку и ожидание/пробуждение:

• В user-space проверяем состояние; если свободно — захватываем без системного вызова.
• При конфликте вызываем futex_wait(addr, expected), засыпаем в ядре на конкретном адресе.
• Пробуждение — futex_wake(addr, n), где n обычно 1 или «все».

Передаваемое в wait значение защищает от «просыпания» после уже случившегося события: если память изменилась, системный вызов мгновенно возвращает ошибку.

Такой подход убирает лишние системные вызовы и позволяет строить быстрые мьютексы, rw-lock’и, семафоры и пр. без поллинга и экспоненциальных бэкоффов.

Итог
Любая современная библиотека (pthreads, C++ std::mutex, Rust std::sync) опирается на futex. Учебник, игнорирующий этот примитив, не готовит к реальной разработке.

• Futex — это быстрый примитив синхронизации, который экономит системные вызовы при отсутствии конфликтов и не требует выделения ядром объектов.
• В отличие от Benaphore и старых SysV-механизмов, futex не требует предварительной инициализации в ядре и исчезает, когда нет ожидающих.
• Обсуждение подчёркивает, что современные учебники по многопроцессорному программированию обязаны упоминать futex, но «The Art of Multiprocessor Programming» этому не уделяет внимания.
• Улучшения futex2 (Linux ≥5.16) добавили NUMA-поддержку и аналог Windows WaitForMultipleObjects, а io_uring теперь умеет работать с futex.
• Для надёжности при падении потока существуют robust-locks и списки futex, которые ядро автоматически разблокирует.

Суть проекта
Сделал GOTO-монтировку с нуля: два гармонических редуктора (100:1), ESP32-S3, шаговый и сервопривод, USB-C PD до 100 Вт. Управление — по Wi-Fi, протоколы step/dir, CAN, Modbus.

Почему
Начал с €200-трекера Move Shoot Move, но полярная настройка и поиск объектов были мукой. Профессиональные монтировки €1 200–4 000 казались перебором. Решил построить своё.

Путь

1. Освоил FreeCAD и KiCad.
2. Выбрал редукторы 14 и 17 типа с AliExpress (поиск через Google site:aliexpress.com).
3. Изучил опыт HEMY, HrEM, DHEM и DIY EQ Mount V2.
4. Плата полукруглая, вмещается в корпус; драйверы встроены в моторы, поэтому схема простая.
5. Корпус алюминиевый, крепление Arca-Swiss, режимы экваториальный/альта-азимут.

Характеристики

• RA: серво 42AIM15 + 17-редуктор → 32 768 шаг/об, 65 536 с оверсэмплингом.
• DEC: шаговый MKS Servo42D + 14-редуктор → 1/256 микрошаг.
• Скорость slew увеличивается переключением микрошага 256→128 по CAN.
• GPIO и питание 5–24 В вынесены на разъёмы «на будущее».

Итог
Вместо покупки дорогой монтировки — компактная, точная и полностью самодельная система за меньшие деньги и с кучей новых навыков.

• Проект – самодельный гармонический монтировочный телескоп на ESP32 и OnStepX; автор делится деталями конструкции, ПО и стоимости.
• Участники хвалят точность и отсутствие противовесов, но спорят о реальной грузоподъёмности и стабильности по сравнению с коммерческими ZWO.
• Поднимаются вопросы платы: ширина дорожек для 24 В, сборка на JLCPCB, цена за 5 штук.
• Обсуждают FreeCAD: восторг от возможностей и одновременно жалобы на вылеты и UX; советуют Fusion 360 и помощь ИИ.
• Как делать «правильную» PCB: читать даташит, ставить bypass-конденсаторы, брать за основу dev-board.
• ПО: KStars/EKOS, Stellarium, Skyfield, INDI/ASCOM для GOTO и плейт-решения; идея делать научную астрометрию и собирать light-curves экзопланет.
• Появляется идея продавать наборы как некитайскую альтернативу после тарифов Trump.

OpenMower — проект превращения недорогих серийных газонокосилок-роботов в умные устройства с точной навигацией RTK-GPS.

• Цель: дать старому «железу» современные функции — карты, зоны, маршруты, автопарковку.
• Что внутри: полностью открытая прошивка, платы и 3D-печатные крепления; заменяем только «мозги», оставляя моторы и датчики.
• Требования: базовая газонокосилка (Flymo, Gardena, Worx и др.), плата-основа на Raspberry Pi 4, RTK-модуль, внешняя антенна.
• Функции:
  • планирование маршрутов по векторной карте;
  • работа по зонам и расписанию;
  • возврат на зарядку и продолжение с места остановки;
  • OTA-обновления и веб-интерфейс.
• Сборка: подробные инструкции и BOM в репозитории; сообщество в Discord помогает с отладкой.
• Лицензия: GPL-3.0, все файлы и схемы свободны.

• Кто-то считает, что «все современные газонокосилки ездят хаотично», но большинство пользователей отвечают: случайный алгоритм работает отлично, а провод периметра надёжен и дешёв.
• Аппаратное обеспечение у Husqvarna, Mammotion, Sunseeker и др. хвалят, но ПО всё ещё «сырое» и требует доработок.
• OpenMower заменяет «мозги» готового шасси RTK-GPS и открытым ПО; поддерживаемый корпус в США почти не продаётся.
• Поднимаются вопросы безопасности (ежи, камни, ответственность), цены (как подержанная машина) и необходимости косить только днём.
• Кто-то мечтает о солнечных микро-триммерах, другие просят RC-версию или модуль для сбора мусора.

29 минут без дыхания: новый рекорд хорватского фридайвера

14 июня 2025 года в бассейне отеля Bristol в хорватской Опатии Витомир Маричич задержал дыхание 29 мин 3 сек, установив мировой рекорд по статическому апноэ с предварительным дыханием чистым кислородом. Предыдущий рекорд (24 мин 37 сек) принадлежал соотечественнику Будимиру Шобату (2021).

Перед погружением Маричич дышал 100 % O₂ (по правилам Guinness допускается до 30 мин). Затем он лёг на дно 3-метрового бассейна, положив руки за голову.

«После 20-й минуты стало легче морально, но физически — всё тяжелее: сокращения диафрагмы усиливались. Я знал, что не сдамся», — рассказал он после выхода.

Для сравнения:

• Рекорд AIDA по статическому апноэ на воздухе — 11 мин 35 сек (Стефан Мифсуд, 2013).
• Рекорд GWR на воздухе — 11 мин 54 сек (Бранко Петрович, 2014).

Методика: предварительное дыхание кислородом заменяет азот в лёгких, увеличивая запас O₂ с 0,45 до 3 л и откладывая рефлекс на вдох за счёт снижения CO₂. Требуется глубокая релаксация, контроль диафрагмы и минимальный пульс.

• Рекорд 29 мин 4 сек достигнут после предварительного дыхания чистым кислородом; на обычном воздухе рекорд 11 мин 35 сек.
• Участники обсуждают, как тренируют толерантность к CO₂, контролируют диафрагмальные спазмы и используют млекопочитающий рефлекс для замедления обмена.
• Поднимаются вопросы безопасности: риск потери сознания, «синих» blackout’ов и долгосрочного вреда мозгу; подчёркивается роль тренёров-сейфов.
• Некоторые спрашивают, можно ли применять «кислородный трюк» для обычного снорклинга — ответ: нет, это сложно и небезопасно.
• Упоминаются генетические и культурные факторы (баджаи, хорваты), а также увеличенные селезёнки у морских кочевников.

Вместо «умных» функций — просто работающие.

Везде впихивают ИИ, который никто не просил: браузеры, ОС, конференц-приложения ломаются, но деньги текут в «искусственный интеллект».
Gamescom добавил ИИ-расписание: люди получили сотни ненужных встреч, функцию быстро убрали.
Те же деньги могли бы починить DM, поиск, перенос встреч — базовые вещи, из-за которых все возвращаются к почте и LinkedIn.

Мотив один: быстрая прибыль. В итоге продукты гниют, а инвесторы кормят обещания «вот-вот будет AGI».
Один бюджет крупной компании хватило бы на 100 лет развития Godot, Blender, Ladybird — реальных инструментов, которые нужны сегодня.

Потерянные годы не вернуть.

• Участники жалуются, что вместо починки старых багов и улучшения базовых функций компании впихивают «AI-фичи», которые никому не нужны.
• Многие считают, что инвесторы сознательно выбирают технологии, которые трудно децентрализовать, чтобы сохранить контроль и монополию.
• Одни видят в нынешнем AI-хайпе очередную моду, как было с UML, блокчейном и облаками; другие – шанс на прорыв, оправдывающий «пузырь».
• Популярная идея: деньги лучше бы пошли на документацию, API и совместимость, а не на обучение моделей водить мышкой по браузеру.
• Подводный тезис – проблема не в AI, а в концентрации капитала и в том, что «зелёное поле» проще финансировать, чем ремонт «коричневого».