Hacker News Digest

Жительница Пенсильвании Аманда Смит провела три ночи в тюрьме и рискует получить до шести лет заключения за мошенничество с Cash App, которого не совершала. В апреле к её дому пришли с ордером на арест: преступление якобы произошло в Арканзасе, более чем в тысяче миль от её дома, в штате, где она никогда не бывала. Залог сначала назначили в 50 тысяч долларов, но власти заявили, что платить бессмысленно — её всё равно экстрадируют. После освобождения Смит с мужем сами поехали в Арканзас, где её сфотографировали, сняли отпечатки и назначили новый залог в 20 тысяч долларов.

Выяснилось, что мошенник создал аккаунт Cash App на её имя, используя её номер социального страхования и дату рождения. Жертву обманули на Facebook Marketplace: взломанный аккаунт продавца предложил перевести 1000 долларов на Cash App «его жены» — под именем Аманды Смит. Через несколько часов деньги раздробили и разослали по сети других счетов. Полиция получила данные Смит через ордер, а детектив проверил их в базе Accurint от LexisNexis. Cash App поначалу отказалась выдать сведения о счёте, так как Смит не могла доказать, что владеет им; данные она получила лишь в ходе судебного разбирательства.

Ей предъявлены обвинения в компьютерном мошенничестве, незаконном использовании средств связи и краже имущества. Прокуратура предложила сделку: штраф 1000 долларов, возмещение 1000 долларов и три года испытательного срока. Смит отказалась, настаивая на невиновности: «Они пытаются сделать это моей проблемой… что я должна доказывать свою невиновность». Слушание назначено на ноябрь.

Обсуждение дополняет статью критикой системы правосудия США, где сделки с правосудием (plea deals) позволяют прокурорам скрывать ошибки следствия, вынуждая невиновных признавать вину из-за дороговизны защиты. В данном случае следствие проявило халатность, проигнорировав простые методы проверки: запрос IP-адресов у ISP или анализ чеков за VPN. Отмечена системная безответственность финтех-сервисов (например, Cash App), которые ради быстрого роста минимизируют верификацию, перекладывая риски мошенничества с использованием PII на пользователей. Также указано на отсутствие в США централизованного контроля за открытием счетов по SSN, в отличие от бразильской системы Registrato. Пользователь @user3939382 заявляет о занижении Cash App сумм расчетов по акциям в пользу компании, добавив, что жалобы в SEC и CFPB не помогли. В споре @mattw2121 называет арест нормальным процессом, однако большинство считает ситуацию абсурдной из-за отсутствия базовых доказательств. Для стимулирования тщательных расследований предлагается привлечь руководство Block Inc. и сотрудников правоохранительных органов к персональной финансовой ответственности.

Microsoft вводит платную аренду времени для облачного стриминга игр, которые пользователи уже купили. Пакеты «Cloud Playtime» доступны участникам программы Xbox Insiders по «вводным» ценам: 10 часов за 4 доллара (около 40 центов в час), 25 часов за 8 долларов (около 32 центов) и 50 часов за 12 долларов (около 24 центов). Купленное время не сгорает — оно расходуется по мере использования.

Главная претензия в том, что эти расходы ложатся поверх стоимости самой игры: пакеты требуют наличия купленной облачной игры или доступа к условно-бесплатным проектам. Подписка Game Pass иначе включала несколько часов стриминга в месяц для сотен игр, а теперь не-подписчикам предлагают платить отдельно. Модель напоминает старые аркадные автоматы, но с важным отличием: там не нужно было сначала покупать игру, а потом платить за каждую партию. Для сравнения, провалившаяся Stadia давала безлимитный стриминг купленных игр, хотя после её закрытия в 2022 году покупки стали неиграбельными, и Google вернул за них деньги.

Пользователи спорят, является ли аренда GPU справедливой альтернативой дорогому железу или признаком упадка консольного бизнеса Xbox. Часть считает цену приемлемой за доступ к мощностям без покупки консоли за $1000 (@ChrisRR), другие указывают на более выгодные условия GeForce Now (@odo1242). Многие опасаются стратегии постепенного внедрения микроплатежей, что может привести к росту цен и ограничению прав собственности (@alwa, @gxs). В этом контексте обсуждают природу «владения»: одни видят в оплате аренду вычислительных мощностей (@paxy), другие — попытку Microsoft изменить модель лицензирования и отойти от Game Pass (@swiftcoder). Также есть риск, что из-за пиратства и AI-реверс-инжиниринга игры станут эксклюзивами для стриминга, чтобы исключить локальный запуск (@bananzamba). @Terretta отмечает нестабильность Xbox Cloud вне США и снижение доступности консолей в Европе, называя это «спиралью смерти» бренда. В качестве альтернативы @trey-jones советует создать собственный сервер из двух GPU Nvidia Tesla с eBay и использовать Sunshine для стриминга Steam на Raspberry Pi 3.

С 24 ноября Quad9 прекращает бесплатный сервис киберзащиты для пользователей во Франции. Причиной стало неблагоприятное решение французского суда по иску катарской компании beIN, требующей блокировки DNS-разрешения ряда доменов, которые она связывает с нарушением авторских прав на спортивные трансляции. Суд существенно снизил ежедневный штраф — с 580 тысяч до 1 тысячи евро, — но для Quad9 это вопрос принципа, а не денег.

Швейцарский некоммерческий фонд подчёркивает: рекурсивное DNS-разрешение — нейтральная и пассивная служба, и он отказывается искажать ответы вопреки ожиданиям пользователей. Технически выполнить требование невозможно, а его реализация прямо противоречит миссии защиты приватности и целостности интернета. Quad9 не связан с этими доменами и их операторами, не одобряет пиратство и блокирует только вредоносную активность, оставляя пользователям выбор. По мнению фонда, с пиратством нужно бороться у источника публикации контента, а давление на невиновных третьих лиц вредит кибербезопасности сотен миллионов людей и влечёт непреднамеренные последствия.

Обсуждение дополняет статью деталями реализации блокировки и критикой судебных требований. Эксперты считают абсурдным наказывать DNS-резолверы за доступ к контенту, сравнивая это с наказанием телефонного справочника за наличие номера преступника. В споре о технической реализации @johnhtodd (CTO Quad9) планирует использовать geoIP-фильтры, однако @chaboud и @0x0000000 сомневаются в их эффективности для точечной блокировки доменов. Упомянут прецедент Cisco OpenDNS, который два года назад покинул французский рынок, не сумев оспорить аналогичные предписания по блокировке пиратских сайтов. Также отмечен правовой абсурд: Quad9 оштрафовали за неуважение к суду после того, как истец (Sony Music) сам использовал VPN для обхода блокировки и заявил о её неэффективности. Участники указывают на возможный политический контекст: beIN Sports принадлежит государству Катар, что могло повлиять на решения французских судов. В качестве альтернативы централизованным резолверам @Bender предлагает пользователям самостоятельно поднимать DoH/DoT серверы (например, на базе Unbound).

Сервис pwn.watch отслеживает актуальные инциденты безопасности: сейчас в ленте 36 активных случаев, из них 15 критических, а 18 уязвимостей ещё не закрыты полностью. Самая тревожная новость — банки США (Morgan Stanley, Bank of America, JPMorgan, Wells Fargo, Citi) фиксируют сторонних ИИ-агентов внутри клиентских счетов: агенты входят под учётными данными самих клиентов, что нарушает банковские правила, а руководители признают, что не всегда отличают человека от агента и авторизованного агента от вредоносного. Потерь и захватов счетов пока не зафиксировано, но Morgan Stanley уже блокирует таких агентов, а JPMorgan, Bank of America и Citi их ограничивают.

Среди других громких случаев — критическая уязвимость GitLab CVE-2026-110264 с оценкой CVSS 10.0: переполнение целых чисел в компиляторе регулярных выражений Onigmo позволяет неаутентифицированному атакующему выполнить код на самостоятельно размещённом GitLab; уязвимы все версии CE/EE с 2014 года, и одной октябрьской заплатки недостаточно. Trend Micro случайно отправила неисправленные отчёты об уязвимостях ядра Linux в публичные списки рассылки, раскрыв детали двух RCE в ksmbd с оценкой CVSS 9.0. Также скомпрометирован релизный конвейер LiteLLM: вредоносная версия 1.107.0 провисела на PyPI около двух часов и крала учётные данные при каждом запуске Python.

Обсуждение подтверждает рост числа инцидентов: данные Identity Theft Resource Center фиксируют увеличение компрометаций в США с 1 099 в 2016 году до более 3 300 в 2025 году, с резким скачком после 2022 года. Пользователь pixl97 связывает это с «безумным» темпом обнаружения уязвимостей из-за прежнего пренебрежения безопасностью. Участники (xbar, Kevin_Flynn) предсказывают, что LLM станут драйвером крупнейшей волны инцидентов в истории. WarmWash добавляет геополитический риск: китайские модели ИИ могут быть использованы в кибератаках. Возник спор о юридической ответственности за ошибки AI-агентов в банках: mahboi и stickfigure отмечают, что клиенты сами предоставляют им доступ. В качестве альтернативы для контроля средств без посредников рекомендуют самокастоди криптовалют. По сайту и данным предложены следующие улучшения: — заменить тепловую карту линейным графиком для наглядности динамики; — уточнить классификацию инцидентов, так как статусы «Live» и «Ongoing» остаются после патчей; — исправить ошибки 404 по кнопкам RSS и JSON; — изменить темную «AI-aesthetic» тему, которая ухудшает читаемость, особенно для людей с астигматизмом.

Индийская компания eMudhra объявила о добровольном уходе из глобального бизнеса SSL/TLS-сертификатов. Поводом стал недавний инцидент, связанный с её удостоверяющим центром: компания отозвала затронутые центры сертификации в течение 14 часов после обнаружения и своевременно раскрыла информацию. Конечным объектам сертификаты из пострадавшего центра не выдавались, инфраструктура не была скомпрометирована, утечки данных не произошло, все физические и логические средства защиты остались в целости.

Председатель совета директоров В. Сринивасан отметил, что глобальный SSL/TLS приносит лишь около 1% мировой выручки. Из-за роста требований к суверенитету данных и соответствию нормам сложность и стоимость этого направления растут, а крупные игроки выдают такие сертификаты бесплатно — рентабельность заметно снизилась. При этом шумиха в соцсетях вокруг инцидента привела к несоразмерному вниманию. Для многих удостоверяющих центров SSL/TLS — весь бизнес, но для eMudhra это лишь часть широкого портфеля, поэтому компания сосредоточится на корпоративных решениях и трастовых услугах.

Переход пройдёт безболезненно: корневые сертификаты G1 RSA продолжат работать до его завершения, клиентам бесплатно заменят сертификаты, а сервисы отзыва и статуса будут действовать, пока все выданные сертификаты не истекут или не будут заменены. Компания также выполнит обязательства перед программами корневых сертификатов браузеров, включая полный отчёт о причинах. Остальные направления — цифровая подпись, eSign, корпоративные PKI-платформы emCA и CertiNext, набор emSigner, решения идентификации SecurePass и emAS — работают в обычном режиме.

Обсуждение содержит крайне негативную оценку компетенций eMudhra: утечка приватного ключа считается катастрофической ошибкой, ставящей под сомнение безопасность всех продуктов компании (включая CertiNext и emCA) и её криптографические процессы. Пользователи обвиняют eMudhra в манипуляциях и попытке уйти от ответственности, так как утверждение об «отсутствии компрометации инфраструктуры» противоречит факту утечки ключа CA. Также критикуется скорость реакции: отзыв CA через 14 часов не считается оперативным, а заявляемое отсутствие выданных сертификатов нивелируется тем, что любой мог выпустить их самостоятельно. По опыту @Arbortheus, некоторые iPhone 15 Pro принимали скомпрометированные сертификаты даже спустя 5 дней после уведомления Apple. Отмечается системная уязвимость Web PKI из-за избыточного доверия к множеству коммерческих CA. В частности, платформа CertiNext используется сервисом InCommon для выдачи сертификатов образовательным учреждениям США (.edu). В результате инцидента акции компании упали на 20%. Пользователям macOS рекомендуют вручную установить статус «Never Trust» для всех сертификатов eMudhra и emSigner в Keychain Access.

Представлен ns2jb — первый программный тетhered-джейлбрейк для Switch 2, работающий на актуальной прошивке 23.0.1. Он позволяет исполнять произвольный нативный код как в обычном системном модуле, так и во встроенном модуле fs. Это открывает запуск homebrew, реверс-инжиниринг и модификацию игр Switch 2, резервное копирование сохранений и доступ к большинству периферийных устройств через MMIO. Для демонстрации возможностей была модифицирована эксклюзивная игра Mario Kart World — в неё добавили персонажей cinnamoroll, red и tole tole.

Автор построил стенд из Switch 1 и Switch 2, двух JetKVM и «умного» выключателя света с Amazon: рычаг нажимает кнопку питания, когда консоль зависает и требует перезагрузки. Первичное исполнение кода искали через WebKit — использовался n-day, загруженный через captive portal Wi-Fi, что дало «перехват нативного потока управления». Однако замена одного объекта JavaScript другим не масштабируется: мешают execute-only память, PAC и CFI. Поэтому параллельно исследуется путь через игры Switch 1, где нет PAC и CFI. Отмечается, что джейлбрейк занял около двух недель, а мод Mario Kart World был сделан за день.

Обсуждение дополняет статью деталями об автоматизации взлома с помощью LLM (Codex, Claude) и KVM-решений (JetKVM, USB-захват, Bluetooth-переключатели), что ускоряет реверс-инжиниринг и рутинные операции с железом. Для ввода кода в SmileBASIC рекомендуют Raspberry Pi Pico. Пользователи отмечают, что AI устраняет барьер «трудоемкости» взлома, делая старое ПО уязвимым. При этом @rootsudo и @coreyp_1 жалуются на фильтры безопасности Codex, которые блокируют поиск уязвимостей, хотя автор джейлбрейка смог обойти эти ограничения. В сообществе спорят об этичности публикации джейлбрейка: одни видят в нем борьбу с закрытостью Nintendo, другие — инструмент для пиратства. Предупреждают о риске моментального бана аккаунта и консоли из-за агрессивной политики Nintendo. По опыту @OleksandrC, такая блокировка превращает устройство в «кирпич»: остаются доступны только физические картриджи без обновлений и цифровых сервисов.

Разработчик дообучил языковую модель Qwen2.5-Coder-0.5B на 360 млн параметров, чтобы она вела себя как настоящий терминал. За демонстрацией нет ни оболочки, ни файловой системы: каждое нажатие клавиши подаётся на вход, а модель предсказывает, как изменится экран. Она умеет создавать файлы, запускать vim и tmux, играть в «змейку» и обычно помнит, что вы вводили несколько команд назад. Наберите pythoon — и увидите, что это не настоящая оболочка.

Терминал представлен сеткой символов, а не пикселей, поэтому обучающие данные можно генерировать в неограниченном объёме, запуская реальные программы в Docker. Модель не видит сетку напрямую — она получает последовательность токенов с содержимым экрана, позицией курсора и изменениями. Вместо потока текста она предсказывает, какие строки перерисовать и куда переместится курсор. Время тоже подаётся на вход: если ничего не нажато, приходит токен ожидания с длительностью — так «змейка» движется сама. Главные удачи — обучение модели исправлять собственные ошибки и параллельное декодирование строк экрана.

Демонстрация рассчитана на настольный браузер с WebGPU и физической клавиатурой, лучше всего работает в Chrome или Edge. Это загрузка на 208 МБ, всё выполняется локально. В планах — обучение на тысячах случайно сгенерированных приложений, чтобы проверить, сможет ли модель предсказывать поведение программы, которую никогда не видела. Веса обещают выложить позже.

Обсуждение дополняет статью идеями применения проекта, сравнением с аналогами и первыми отзывами. @donperignon отмечает, что в реальных тестах модель работает нестабильнее, чем в демо: она ошибается при создании папок и теряет состояние. @Meleagris и @gdevenyi предлагают использовать модель для создания интерактивных honeypots. @amelius советует развивать идею в сторону симуляции конкретного пользователя или интернета (через lynx) вместо общего терминала. @thorum и @aurareturn видят в этом будущем интерфейсов, где локальные модели генерируют UI в реальном времени. Проект сравнивают с vibeSH (@rowbin), Voidware (@ohadpr) и симуляцией Quake II от Microsoft (@psandor). По мнению @andai, выбор Qwen2.5-Coder в качестве базы оправдан её знакомством с синтаксисом CLI.

За последние двадцать пять лет записанная музыка незаметно стала машинно-идеальной — это явление в Институте музыкальной формы называют «сеткизацией» (gridification). Сравнение пятёрок Billboard Hot 100 за 1975 и 2025 годы показывает суть сдвига: в «Love Will Keep Us Together» группы Captain & Tennille ударные и бас не совпадают идеально, а в филле перед бриджем барабанщик Хэл Блейн ускоряется, а затем возвращает темп. В современном продакшене такое «выровняли бы по сетке» при сведении.

Цифры подтверждают: средний темп трека — 130,5 BPM, стандартное отклонение — 2,79 BPM, диапазон от 124,51 до 137,83 BPM, лишь 32,1% времени укладывается в ±1 BPM от среднего, всего 83 смены темпа. Сегодня человеческая временная особенность воспринимается как ошибка, требующая исправления, — хотя современные сессионные музыканты обладают выдающейся техникой и чувством времени.

Автор называет такую «коррекцию» формой эпистемического насилия над записью живых людей, овеществляющих ощущаемое время. Показателен и пример с вокалом: в живых выступлениях даже известных студийных певцов часто слышны проблемы с высотой тона, но публика на это не обращает внимания.

Обсуждение дополняет статью свидетельствами о потере «человечности» в музыке из-за квантования. Пользователи считают, что «идеальный» звук стал скучным, а мелкие ошибки и отклонения в темпе делают исполнение живым и эмоциональным. Участники спорят о влиянии сеткизации: @gwbas1c утверждает, что она маскирует талант, а @corry считает её необходимой для музыкантов с плохим чувством ритма. @wodenokoto указывает на логическую ошибку в статье, заявляя, что утрата навыка совместной игры не является причиной идеального совпадения баса и бочки. Стремление к перфекционизму не ново: @diskzero отмечает, что до появления DAW артисты (например, Steely Dan) вручную заменяли ноты и склеивали дубли. При этом @rafabulsing подчеркивает, что даже у сыгранных групп (Earth Wind and Fire) есть естественные колебания темпа, усложняющие создание мэшапов. Напротив, современные AI-генераторы (Suno), по мнению @jrickert, создают треки с естественным дрифтом, который приходится квантовать вручную. Проблема затрагивает не только поп-музыку, но и другие жанры: @Blackthorn называет чрезмерную коррекцию в метале «невыносимой», а @bitsinthesky замечает, что квантование и автотюн в любительских записях могут уничтожить индивидуальность группы. Аналогия проводится с автоматическими корректорами текста, которые делают язык плоским, удаляя авторский стиль.

Дэвид Харви из Университета Нового Южного Уэльса разбирает недавно предложенный алгоритм умножения целых чисел, который, как утверждается, работает за «o(n log n)» битовых операций — с маленькой «o», а не большой. Это принципиально: прежняя лучшая оценка O(n log n) считалась оптимальной, а новая заявка обещает O(n (log n)^(1−ε)) для некоторой малой положительной константы ε. Харви не проверял большинство деталей, но считает такую границу правдоподобной.

Статья написана без помощи ИИ, за исключением вёрстки, вычитки и, что важнее всего, обширных обсуждений с системой Claude Fable 5.1, которые помогли автору понять новые алгоритмы. Харви подчёркивает: некая американская технологическая компания выложила на GitHub «математический дамп» с множеством примечательных результатов, и один из них — как раз умножение ниже n log n. По его мнению, сотрудники компании в большинстве своём не понимают содержания выпущенных работ и не знают, как устроена сама модель.

Главная мысль Харви шире одной задачи: появилась автоматизированная система, способная вести математические исследования — по крайней мере в части «решения трудных задач» — гораздо лучше человека. Он уверен, что это не единичный случай: вскоре подобные модели станут дешёвыми и общедоступными, математических результатов будет всё больше, и сообществу придётся с этим считаться. Он сомневается, что людей ещё долго будут воспринимать всерьёз как авторов математических статей.

Результат $o(n \log n)$ считается правдоподобным, но полное формальное доказательство для широкой аудитории отсутствует. В Lean уже есть формализованное улучшение (проект @platypii и @jdb1729), которое предлагается доработать. Практический эффект пока невелик: даже при улучшении асимптотики реальное ускорение для типичных чисел будет ограниченным. Для понимания сути важно различать $O(n \log n)$ (верхняя граница с константой) и $o(n \log n)$ (строго более медленный рост). Дискутируется целесообразность использования LLM для разбора сложных доказательств. Сторонники считают их полезным инструментом, противники предупреждают о риске ошибок и галлюцинаций. Чтобы минимизировать риски, рекомендуют задавать вопросы постепенно, повышая сложность, и проверять ответы через формальные системы вроде Lean.

Вышли внеплановые критические патчи GitLab для Community и Enterprise Edition: версии 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 и 18.11.13. Всем, кто разворачивает GitLab самостоятельно, настоятельно рекомендуют немедленно обновиться. Облачный GitLab.com уже работает на исправленной версии, а арендаторы GitLab Dedicated на 19.3.5-internal0 и 19.4.2-internal0 и новее защищены и могут ничего не делать.

Патч закрывает несколько уязвимостей. Самая серьёзная — критическое целочисленное переполнение в компиляторе регулярных выражений. Далее идут уязвимости высокой степени риска: некорректная аутентификация при автосвязывании учётных записей через OmniAuth и LDAP по email, а также отравление кэша в эндпоинтах обнаружения OAuth/OIDC. Средний уровень риска — неправильный контроль доступа к полю email в GraphQL для рабочих элементов, неполное применение блокировки членства SAML/LDAP на уровне инстанса, позволяющее несанкционированно добавлять участников, и раскрытие внутренних учётных данных в заголовках ответов. Детали уязвимостей раскроют через 90 дней после выпуска.

Патч содержит миграции базы данных: на одноузловых установках обновление пройдёт с простоем, а на многоузловых при соблюдении процедур обновления без простоя — без него. Обычные миграции входят в 19.4.3 и 19.3.6, пост-развёртываемые — в 19.4.3.

Обсуждение дополняет новость о критических патчах GitLab. Пользователи @molf и @zahlman пояснили, что уязвимость вызвана ошибкой в движке регулярных выражений Ruby (onigmo), а не в самом GitLab. @miduil сообщил о еще одной проблеме с regex, позволяющей неавторизованно обращаться к эндпоинту, однако @dvdkon уточнил, что для этого нужна аутентификация и загрузка вредоносного org-mode файла. @artooro, @merb и @mqus отметили, что встроенный проверщик обновлений GitLab часто ошибочно требует обновления даже после установки последней версии, а его отключение занимает много времени. Для быстрой проверки версии на узлах @beaconflint рекомендует команду `gitlab-rake gitlab:env:info`. @yoyohello13 и @131hn заметили, что из-за еженедельных патчей ручное обновление стало невозможным, поэтому советуют использовать AI-агентов или автоматические CI-процессы. @minraws в связи с рисками самохостинга рекомендует строго фильтровать исходящий трафик (например, через Tailscale). @tptacek указал, что оценка CVSS 10.0 без контекста не отражает реальный уровень риска. В то же время @hobofan и @choilive поспорили о влиянии ИИ на безопасность: первый считает текущую ситуацию худшей в истории ИТ из-за массовых уязвимостей, второй — началом «золотого века» с ростом инвестиций в автоматизированные сканеры.