Hacker News Digest

В даркнете появилась модифицированная прошивка для Flipper Zero, которая обходит защиту rolling-code у гаражных ворот и автомобильных сигнализаций.

Прошивка «Shadow Code» перехватывает и «замораживает» текущий код, позволяя злоумышленнику повторно активировать систему без подбора следующего значения. Работает на частотах 433/868 МГц, совместима с Keeloq, KeeLoq HCS и аналогичными протоколами.

Разработчики утверждают, что эксплойт не требует физического доступа к брелку: достаточно одного перехваченного пакета. Прошивка распространяется через закрытые Telegram-каналы и даркнет-форумы за криптовалюту.

Специалисты по ИБ рекомендуют обновить прошивку своих систем до последней версии, включить двухфакторную аутентификацию (где поддерживается) и использовать шлюзы с временными окнами активации, чтобы минимизировать риск повторного использования кода.

• Уязвимость в системах с динамическим кодом KeeLoq позволяет по одному нажатию кнопки ключа клонировать все функции брелка, если известен «производственный ключ».
• Пользователи обсуждают, что из-за атаки оригинальный брелок рассинхронизируется и перестаёт работать, что может быть использовано как акт вандализма.
• Многие считают бесключевой запуск и удалённое открытие машины избыточным риском, предпочитая физический ключ или многофакторную защиту.
• Упоминается, что производители (особенно Hyundai/Kia) могут выигрывать от краж, так как страховые выплаты приводят к продаже новых машин.
• Некоторые производители (Chevrolet, Toyota, Honda, Nissan) в списке уязвимых не фигурируют — возможно, используют другие протоколы или просто не тестировались.

• Установка: npm i -g cursor-cli
• Команды: cursor diff, cursor commit, cursor review, cursor chat
• Где работает: VS Code, JetBrains, Android Studio, Ghostty, Warp, Bash

Функции

• Прямые правки кода в терминале
• Реальное управление агентом
• Правила через .cursorrules, AGENTS.md, MCP

Плюсы

• Последние модели Anthropic, OpenAI, Gemini
• Интеграция в любой IDE
• Скрипты и автоматизация

• Пользователи обсуждают внедрение единого стандарта AGENT.md вместо множества разных файлов.
• CLI-агенты (Claude Code, Cursor CLI и др.) вызывают восторг: удобно держать в фоне, «чувствуешь себя хакером», но UI-IDE теряет значение.
• Критика: непонятно, зачем платить за Cursor, если тот же функционал уже включён в подписку Anthropic/OpenAI; не хватает обратной связи, MCP, hooks и локальных моделей.
• Сторонники Cursor верят в его будущую экосистему (CLI + IDE + GitHub-интеграции) и низкие издержки переключения между моделями.
• Главный вопрос безопасности: доверять ли LLM полный доступ к файловой системе и устанавливать скрипты через curl | bash.

Историческое дерево технологий
Интерактивная визуализация технологической истории от 3 млн лет до наших дней. Проект Этьена Фортье-Дюбуа, пока содержит 0 технологий и 0 связей.

Каменное орудие
3300 тыс. до н. э. — первая технология производства.

• Пользователи отмечают слепые зоны: недооценены металлургия, точная механика и «базовая наука», из-за чего газовые турбины возникают «из ниоткуда».
• Найдены мелкие ошибки: дата «обуви» указывает на сандалии, а не самые ранние туфли 7000–8000 г. до н. э.; точность дат винторезных токарных станков спорна.
• UI-критика: слишком много пустого пространства, неудобно на мобильных, не хватает зума, тысячных разделителей и «привязки» к следующему узлу.
• Замечена западная и англоязычная предвзятость: китайское письмо показано как терминус, а не как корень множества ветвей.
• Предложения по улучшению: вертикальный мобильный вид, поиск «самых важных потомков» технологии, агент для автоматического обогащения графа.

OpenAI выложила первые открытые веса: gpt-oss-120b и gpt-oss-20b. Модели хороши в бенчмарках, но проваливают SimpleQA и бедны на поп-культуру. Это, по сути, Phi-5.

Почему Phi?

Себастьян Бубек в Microsoft создал серию Phi, обучаясь исключительно на синтетике: высококачественные, но дорогие токены. Результат — отличные цифры в тестах и слабая практика, потому что «учили к экзамену». В конце 2024-го Бубек ушёл в OpenAI, и новые gpt-oss, судя по всему, построены на той же идее.

Зачем синтетика?

Безопасность. Открытый вес нельзя отозвать, а сообщество быстро стриптизирует модель под эротические ролевые игры. Синтетические данные позволяют заранее заложить отказы и избежать скандалов. OpenAI не нужно, чтобы модель была полезна в проде — достаточно победить китайские открытые веса в таблицах.

Итог: gpt-oss — это Phi-5 и Phi-5-mini, созданные ради безопасности и рекламных графиков.

• Модель GPT-OSS из-за жёстких «сейфти-фильтров» отказывается переводить даже безобидные романтические сцены с 17-летними персонажами.
• Пользователи жалуются, что цензура мешает повседневным задачам: переводам, переписке, написанию детских историй.
• Некоторые считают главной причиной отказа от полного open-source именно страх перед тонкой настройкой моделей для эротического ролеплея.
• Другие подтверждают: в локальных сообществах «первертов» действительно много, но это далеко не единственный сценарий использования.
• В итоге часть аудитории уходит на «аблитерированные» Llama и прочие неконтролируемые модели.

Криптография для полицейских и военных радиостанций оказалась уязвима

Исследователи из Университета Кентукки и Университета штата Джорджия обнаружили, что алгоритм ADP (Advanced Digital Privacy), который используется в радиостанциях марок BK Technologies, EF Johnson, Relm, Tait и других, можно взломать менее чем за минуту на обычном ноутбуке.

ADP защищает переговоры полиции, армии и спецслужб, но реализует «шифрование» лишь 32-битным XOR-потоком, что делает его фактически небезопасным. Уязвимость позволяет злоумышленнику:

• Слушать переговоры в реальном времени
• Изменять команды и координаты
• Отключать группы или отдельных операторов

Проблема усугубляется тем, что:

• Производители не публикуют спецификации ADP, поэтому пользователи не могут оценить уровень защиты.
• Некоторые модели радиостанций не поддерживают современные стандарты (AES-256, P25), оставляя ADP единственным вариантом.

Эксперты рекомендуют переходить на AES-256 или P25 Phase 2, но это требует замены оборудования и перенастройки инфраструктуры.

• Kevin Mitnick в 90-х глушил полицейские рации, просто зажимая кнопку передачи; сегодня такое не пройдёт из-за P25-транкинга.
• P25 и TETRA имеют уязвимости: от «on-demand» трекинга до 56-битных ключей и закрытых алгоритмов.
• В США до недавнего времени большинство переговоров шло в открытом виде, и жители жаловались на переход к шифрованию.
• Некоторые участники описывают, как легко искать MAC-адреса полицейских ноутбуков или использовать SDR-донглы и дроны для мониторинга.
• Общий вывод: безопасность радиосвязи часто рассматривалась как пунктик, а не базовое требование, и теперь это даёт сбой.

Налог на выезд из Германии: уезжайте до роста бизнеса

Если вы владеете немецкой компанией и она стала прибыльной, вы фактически не можете покинуть страну без огромного налога. Это «Берлинская стена» для предпринимателей, о которой почти не говорят.

Как считают налог

• Коснётесь, если владеете > 1 % любой ООО (включая иностранные).
• Берут среднюю прибыль за 3 года × 13,75 × 0,6 × 0,42 ≈ средняя прибыль × 3,5.
• Пример: прибыль 200 тыс € → налог ~700 тыс €.

Четыре группы

1. Наёмные – нет долей, уехать можно.
2. Убыточные/стартапы – оценка ≈ 0, налог 0 (если не было инвест-раунда).
3. Прибыльные малые – налог высокий, денег на него нет.
4. Крупные (> 2 млн €) – плотят налоговые советники через трасты в Лихтенштейне.

Пример

• 3a: прибыль 50 тыс €, зарплата 0 – налог 0.
• 3b: прибыль 200 тыс €, зарплата 120 тыс € – налог ~700 тыс €.

Вывод: уезжайте до того, как бизнес начнёт приносить деньги, иначе Германия не отпустит.

• Германия вводит «налог на выезд»: при переезде за границу бизнесмен вынужден заплатить до 42 % от условной стоимости своей компании, рассчитанной по формуле «средняя прибыль за 3 года × 13,75 × 0,6».
• Многие участники считают меру «Берлинской стеной для капитала» и прогнозируют отток предпринимателей; кто-то предлагает юридические схемы (холдинги, трасты в Лихтенштейне, офшор-лицензии).
• Опыт Канады и США показывает, что exit-tax существуют и в других странах, но размер и условия варьируются.
• Критика: сложность затрагивает в первую очередь малый и средний бизнес, тогда как крупные корпорации давно используют сложные структуры, чтобы минимизировать налоги.

• GPT-5 — три модели: regular, mini, nano; 4 уровня рассуждений (от minimal до high).
• Контекст: 272 тыс. токенов ввода, 128 тыс. вывода; поддержка текста и картинок.
• В ChatGPT — гибрид: быстрая модель + «глубокая» + роутер; после лимитов включаются мини-версии.
• Цены (за 1 млн токенов):
  • GPT-5: $1,25 / $10
  • Mini: $0,25 / $2
  • Nano: $0,05 / $0,40
    Кэш −90 %, вдвое дешевле GPT-4o.
• Семейство: заменяет GPT-4o, o3/o4-mini, 4.1-nano; Pro-версия ($200/мес) пока в ChatGPT.
• Остались отдельно: аудио, генерация картинок.
• По ощущениям: редко ошибается, «умеренно впечатляет», удобен как «умолчание по умолчанию».

• GPT-5 воспринимается скорее как стабильное, чем «миропотрясающее» улучшение; наблюдается сдвиг от «чистого скейлинга» к маршрутизаторам и продуктовой простоте.
• Пользователи расходятся во мнениях о глюках: кто-то не видит галлюцинаций, кто-то сталкивается ежедневно; кодинг-задачи местами хуже, чем у GPT-4.
• Линейка моделей разрослась до 8+ вариантов (regular/mini/nano × 4 уровня «reasoning»), исчезли temperature/top-p, что усложняет тонкую настройку.
• Цены агрессивно низкие, что намекает на острую конкуренцию; параметры модели и полноценные бенчмарки не раскрыты.
• Основной прогред — в мультимодальности и инструментальном взаимодействии, а не в «AGI-скачке»; общий консенсус: годовой прирост инкрементален, но за 5 лет — впечатляющий.

GPT-5 в API — новейшая модель OpenAI для кода и агентов.

• 74,9 % на SWE-bench Verified, 88 % на Aider polyglot.
• Лучше o3 в 70 % фронтенд-задач.
• Меньше ошибок вызова инструментов, надёжно цепляет десятки вызовов.

Фидбек партнёров
Cursor: «самая умная и управляемая». Windsurf: «SOTA, половина ошибок». Vercel: «лучшая модель для фронта». Manus, Notion, Inditex — рекорды внутренних бенчмарков.

Новые API-параметры
verbosity (low/medium/high), reasoning_effort: minimal, custom tools (plain-text, грамматики).

Три размера
gpt-5, gpt-5-mini, gpt-5-nano. В ChatGPT — система из нескольких моделей; в API — только reasoning-версия.

Производительность

• На SWE-bench: +5,8 % к o3, ‑22 % токенов, ‑45 % вызовов.
• Aider polyglot: рекорд 88 %, ошибки ↓33 %.
• Умеет глубоко анализировать код и отвечать на сложные вопросы.

Примеры одним промптом
Создаёт полноценные приложения, чинит баги, пишет красивый фронтенд.

• Разочарование: многие разработчики не видят превосходства GPT-5 над Claude Opus 4.1 и жалуются на плохое следование инструкциям и провалы в агентных задачах.
• Контекст: восторг вызывает увеличенный до 400 k токенов контекст, но критика сохраняется за неспособностью удерживать контекст в долгих сессиях.
• Цена: вход/вывод GPT-5 в разы дешевле Claude, что делает его привлекательным при масштабном использовании.
• Инструменты: хвалят встроенную поддержку контекстно-свободных грамматик и активное использование tool-calls, но пока неясно, догоняет ли Claude Code.
• Доступ: модель уже доступна в Cursor (бесплатно на днях) и через Responses API, но отсутствует фиксированный тариф à-la Claude Code и нет аудио-режима.

GPT-5 уже здесь
OpenAI представляет самую умную, быструю и полезную модель с встроенным «мышлением» — доступна всем.

Что нового в ChatGPT

• Экспертные ответы по математике, праву, финансам и др.
• Глубокий анализ сложных задач и уточняющие вопросы.
• Настройка: выбор личности, цвета чата, голосовой стиль.
• Режим обучения: пошаговая помощь в любом предмете.
• Интеграция Gmail и Google Calendar для персонализированных ответов.

Для бизнеса
GPT-5 надёжнее, понимает контекст компании (файлы, Google Drive, SharePoint) и работает через готовые коннекторы. Доступно в ChatGPT Team; Enterprise и Edu — 14 августа.

• Пользователи не увидели «AGI-рывка»: модель лишь немного улучшила SOTA (74,9 % vs 74,5 % у Claude Opus 4.1) и выровнялась с конкурентами, а не ушла вперёд.
• Главные плюсы: дешёвый API (в 7,5 раз дешевле Claude на выводе), 400 k контекст и «умный» роутер, выбирающий быстрый или reasoning-режим.
• Главные минусы: жёсткие лимиты (80 сообщений/3 ч для Plus), ошибки в демо (неверное объяснение подъёмной силы), сбои фактов и «reasoning failed» на сложных задачах.
• OpenAI сразу отключает целый зоопарк старых моделей, что ломает рабочие процессы и вызывает недовольство.
• Общий вердикт: это скорее «o3, но быстрее и дешевле», чем прорыв к AGI; рынок реагирует спокойно, а пользователи ждут Gemini 3.0.

Ненавижу Disqus.

Годы вела блог без нормальных комментариев — подходящего решения не находилось.

• Disqus: медленный, тяжёлый, трекает, ничего не контролируешь, тормозит страницы.
• Самостоятельный хостинг: по сути свой мини-соцсервис — пользователи, спам, модерация, БД, задержки.
• GitHub Issues: годится для дев-блогов, но костыль и требует аккаунт GitHub.
• Без комментариев: чисто, но теряются беседы и открытия.

Я давно в Bluesky: комьюнити ок, API вменяемый, децентрализация, люди делают блог-посты в протоколе и комментарии через Bluesky. Почему бы не так же?

Почему Bluesky уместен

• Нет своей инфраструктуры: без БД, аутентификации и модерации — это уже в Bluesky.
• Более богатый контент: изображения, ссылки, треды.
• Реальные профили и переносимость — больше ответственности, меньше троллинга.
• Кроссплатформенность: обсуждения видны и в соцсети, и в блоге.
• Я владею постом, комментаторы — своими реплаями.

Процесс: публикую пост, шарю в Bluesky, добавляю AT URI — ответы на тот пост становятся комментариями в блоге.

Компонент

AT Protocol: DID (did:plc:…/did:web:…), CID, AT URI (at://did…/app.bsky.feed.post/postid). Чтобы получить тред, достаточно вызвать getPostThread с нужным URI, без аутентификации.

Архитектура:

1. главный компонент треда;
2. компонент ответа с метаданными и ссылкой на оригинал;
3. компонент встраиваний (изображения, превью ссылок). Простая и небольшая композиция.

Треды: вложенность произвольная; выбрала рекурсивный рендер с отступами и ограничением в 5 уровней — дальше обычно спор на двоих.

Обогащения: изображения через CDN, часто по несколько — адаптивная сетка + модалка; внешние ссылки — карточки; неизвестные типы — аккуратный фолбэк.

Интеграция с Astro: React + client:load, передаю did и postCid из фронтматтера: bsky: did: "my-bluesky-did" postCid: "the-post-id"

Что узнала

• TypeScript помогает: пакеты с типами (@atcute/client) сняли кучу багов и ускорили разработку.
• Прогрессивное улучшение: комментарии — доп. слой; без JS или при падении API пост остаётся читабельным.

• Автор статьи предлагает использовать Bluesky как систему комментариев для блога, что вызвало оживлённое обсуждение.
• Поддерживающие отмечают простоту интеграции и «открытость» AT-протокола, а критики — зависимость от VC-финансирования, риск lock-in и необходимость иметь аккаунт Bluesky.
• Возникают вопросы модерации спама и удаления оскорблений, а также планы на случай бана или банкротства платформы.
• Альтернативы: Mastodon/ActivityPub, Matrix/Cactus.chat, GitHub Issues, Webmention, «письма редактору» по e-mail или вовсе отказ от комментариев.
• Некоторые участники подчёркивают важность «Can I walk out?» — возможности забрать контент и уйти, если сервис исчезнет.