Hacker News Digest

Ошибка скрипта KGC привела к созданию однобайтовых (например, «4») и легко восстанавливаемых ECC-ключей восьми промежуточных CA eMudhra. Браузеры (Firefox, Chrome, Safari, Edge) автоматически отозвали их через OneCRL и CRLite, однако приложения и дистрибутивы с собственными хранилищами сертификатов остаются уязвимыми. Необходимо обновить системные trust-store и отозвать промежуточные сертификаты (например, через certctl untrust в FreeBSD или правку /etc/ssl/cert.pem в OpenBSD). Пользователям Go, Rust, Python и Electron следует перейти на обновленные версии: Go 1.27.3/1.26.10, rustls-webpki 0.103.16, certifi 2026-10-19, Electron 44.9.1. Инцидент выявил недостатки инфраструктуры отзыва сертификатов вне браузеров и стимулирует развитие PKI и решений вроде upki.

Cloudflare и VoidZero совместно с Максом Швенком из Owner.com работают над tsrs — портом компилятора TypeScript на Rust, который развивается в составе инструментальной цепочки Oxc. Это не форк: команда TypeScript сохраняет полный контроль над языком, а порт обязан строго следовать её решениям, иначе со временем станет несовместимым. Ранние замеры обещают до 8 раз большей скорости и примерно на 70% меньше памяти по сравнению с TypeScript 7.0 при том же числе обработчиков проверки типов. При этом TypeScript 7.1 beta уже до 2.5 раз быстрее 7.0, и часть оптимизаций пришла из tsrs.

Попробовать экспериментальную версию можно через npm install tsrs и npx tsrs. Rust выбран не только ради скорости: важна и сборка в WebAssembly, что упрощает запуск полноценной среды разработки прямо в браузере. По умолчанию tsrs использует адаптивную конфигурацию, зависящую от типа машины: она потребляет больше памяти, но работает ещё быстрее. Авторы подчёркивают, что раньше масштабные порты почти не удавались, а теперь передовые ИИ-модели способны выполнять их за считанные дни.

Процесс сопровождается автоматикой: агенты ежедневно проверяют изменения, собирают диффы и заводят задачи, а ночью прогоняют тесты Next.js против Vinext, выявляя расхождения. Тот же подход применят к TypeScript, стараясь не вносить отличий в поведение и возвращая улучшения производительности в кодовую базу TypeScript на Go. Пока есть расхождения, например порядок вывода диагностик, но к стабильному релизу их сведут к минимуму. В планах — более глубокая интеграция tsrs в стек Cloudflare, в том числе для типозависимых правил линтера в Oxlint.

tsrs демонстрирует до 8-кратный рост скорости и снижение потребления памяти на ~70%. Эти показатели достигнуты не только за счет Rust, но и благодаря алгоритмическим оптимизациям, которые планируют перенести в TypeScript 7.1. Основным драйвером порта стала необходимость легкого компилятора для WASM-песочницы, где Rust предпочтительнее тяжелого Go-runtime. При этом арена-модель памяти в tsrs вызывает опасения, так как скрывает unsafe-код и может быть небезопасной. Также отмечается, что AI-генерация порта ускоряет разработку, но требует тщательного ревью из-за риска архитектурных ошибок. tsrs хорошо масштабируется при многопоточном запуске и поддерживает инкрементные проверки, хотя bun остается эффективнее по общим метрикам.

Сбой питания в зоне GCP europe-west2-b вызвал перебои в работе банков Великобритании. Это спровоцировало критику зависимости компаний от облачных провайдеров и отсутствия реальной отказоустойчивости. В ходе обсуждения возникли следующие тезисы: — @nickcw удивлен отсутствием multi-AZ архитектуры, однако @Betelbuddy отмечает, что зоны Google могут фактически находиться в одном дата-центре. — Наличие нескольких зон не гарантирует доступность, так как компании редко тестируют симуляцию отказов и анализ вторичных эффектов (@robinson-wall). — Скрытые межзональные или межрегиональные зависимости могут превратить локальную проблему в глобальный сбой (@bsuvc). — Неравномерное распределение оборудования в GCP заставляет разработчиков выбирать между доступностью в нескольких зонах и требованиями к железу (@td521534f12). — Юридические ограничения по локализации данных вынуждают концентрировать инфраструктуру в ограниченном числе зон, что повышает риски. Переход в облако, обещавший надежность, создал структурные уязвимости, при которых один сбой парализует множество финансовых институтов. Также @physhster и @nickcw раскритиковали Google за использование тихоокеанского времени (PDT) в статусах европейских инцидентов.

Ограничение Facebook на две ссылки в месяц для бизнес-страниц воспринимается преимущественно негативно. Большинство считает это попыткой Meta монетизировать охваты, заставив малый бизнес платить за продвижение, что может привести к оттоку пользователей. В то же время часть участников видит в лимите способ борьбы со спамом, фишингом и дезинформацией для улучшения качества ленты. Поскольку ограничение не распространяется на личные профили и группы, для его обхода советуют публиковать ссылки там или использовать QR-коды.

Специалист по поисковой оптимизации создал сайт с 50 000 вымышленных статистических данных, чтобы проверить, как большие языковые модели выбирают источники. Домен stateglobe.com был сгенерирован за один день с помощью GPT-4.1 примерно за 30 долларов, позже добавили ещё 15 000 списков — итого около 50 долларов. Ни одна цифра не проверялась, но именно эти фальшивые числа начали распространяться по сети.

Результат оказался неожиданным: Google почти сразу деиндексировал сайт после двух обновлений, оставив лишь 5–20 показов. Зато ChatGPT за семь месяцев направил на ресурс более 10 000 сессий, а свыше 330 доменов — включая Shopify, Bluehost и DHL — сослались на выдуманные данные. Они попали даже в академическую работу и инвестиционное исследование банка. Автор объясняет это тем, что модели ищут «надёжные» цифры для заполнения пробелов в знаниях, а статистика выглядит убедительно.

Для отслеживания эффекта он советует смотреть логи серверов на активность ботов вроде ChatGPT-User и PerplexityBot, сессии из чат-ботов в GA4, новые ссылающиеся домены и упоминания без ссылок. При этом подчёркивает: публиковать заведомо ложные данные нельзя, эксперимент носил исследовательский характер, а сайт теперь содержит дисклеймер. Тактика может перестать работать, и она не должна быть основой всей стратегии.

Тред подтверждает, что фальшивая статистика легко попадает в обучающие наборы LLM, становясь источником дезинформации. Текущие механизмы фильтрации недостаточны: без надежного отбора источников модели цитируют любые сайты, включая вымышленные данные. Проблема «citogenesis», когда недостоверные сведения становятся базой для новых цитат, усиливается автоматическими скреперами. Мнения о решении разделились: @ShadowOfThePit предлагает ограничить модели официальными источниками и строго фильтровать веб, тогда как @nurrysbek считает это нереалистичным и полагается на улучшенное обоснование, признавая невозможность полного искоренения лжи. Поскольку SEO-спам и фальшивый контент давно манипулируют поисковиками, а LLM лишь ускоряют их распространение, борьба требует совместных усилий разработчиков моделей и поисковых систем. В качестве мер предлагается обучать классификаторы для отделения сгенерированного текста от человеческого, использовать API государственных статистических служб вместо запросов к LLM и внедрять пост-обработку с проверкой фактов.

В iPadOS 27 Apple сломала ключевую функцию для преподавателей и докладчиков: при выводе изображения через AirPlay на внешний экран любое нажатие на приложение, отличное от демонстрируемого, мгновенно переключает внешний дисплей на показ всего экрана iPad. Раньше можно было спокойно вести презентацию и параллельно смотреть заметки, управлять слайдами на Mac или видеть результаты опросов до их раскрытия — аудитория видела только нужный контент. Теперь студенты или зрители на конференции увидят все скрытые заметки, подсказки и промежуточные результаты, а постоянные всплывающие окна отвлекают от материала.

Масштаб проблемы зависит от приложения: в GoodNotes режим докладчика возвращается после повторного нажатия, в Keynote презентация просто завершается, а в PowerPoint приложение зависает в состоянии, требующем перезапуска. Автор понимает мотив Apple — в iPadOS 26 было непонятно, какое приложение управляет внешним дисплеем, — но предложенное решение «последнее нажатое приложение получает экран» оказалось значительно хуже. Он предлагает простое правило: приложение в режиме докладчика должно иметь безусловный приоритет на внешнем экране, пока презентация не остановлена или документ не закрыт.

Проблема сохраняется и в последних бета-версиях, автор отправил отчёт в Apple (код FB23615646) и призывает пользователей делать то же самое. Пока изменений нет, он не рекомендует обновляться до этой версии iPadOS всем, кто использует планшет для преподавания или выступлений.

Обсуждение дополняет статью анализом деградации качества ПО Apple, где конкретный баг считается симптомом проблем с QA, раздутого менеджмента и конфликта между ежегодными релизами и стабильностью. Пользователи спорят о причинах регрессий. @randusername видит их в жестких дедлайнах выпуска железа, тогда как @bel8 и @zamadatix считают поломку существующих функций провалом базовых регрессионных тестов. @afavour предполагает, что некоторые изменения функционала осознанны, но ломают специфические сценарии, в то время как другие видят в этом отсутствие тестирования. @gralab и @nalekberov отмечают, что переход на ежегодные обновления лишил ОС времени на «созревание» (как в эпоху Snow Leopard), что привело к каскаду багов. Общая нестабильность подтверждается сообщениями @Zealotux о поломках управления окнами в macOS 27 и @e40 о фантомных нажатиях пульта Apple TV после обновления HomePods. @neya, @binlog и @everdrive подчеркивают, что даже с чипами M4 iPad остается ограниченным из-за iPadOS, не позволяющей полноценно использовать железо для программирования и сложных задач. @btown критикует дизайн Apple: стремление к «магии» через удаление опций выбора делает невозможными профессиональные сценарии. Для обхода ограничений записи и трансляции экрана iPad на внешний дисплей @qfwfq__ советует связку «iPad + Mac + кабель + QuickTime» (режим записи нового фильма), что обеспечивает приемлемую задержку и запись звука.

DeepSeek открыла исходный код DeepInfer — высокопроизводительного фреймворка вывода, на котором работают её крупномасштабные продакшен-сервисы. Релиз ориентирован на офлайн-вывод и включает ключевые возможности для обслуживания под нагрузкой. Поддерживается пока одна модель — DeepSeek-V4.1-Flash. Среди заявленных функций: оптимизированные ядра (FlashMLA, DeepGEMM, DeepEP, TileKernels, DeepSelect и собственные ядра на TileLang), параллелизм Attention DP и MoE EP с балансировкой EPLB, механизм DSpark с проверкой по оценке уверенности, асинхронное планирование батчей без накладных расходов, инвариантность к составу батча и детерминированная генерация.

Отдельно стоит отметить ограниченный реплей SWA: для модели V4.1 по умолчанию сохраняются лишь 140 токенов суффикса, что сокращает работу на этапе prefill. Структурированный вывод поддерживает регулярные выражения, JSON-схемы и грамматики EBNF. Аппаратно фреймворк работает на GPU NVIDIA SM100 и NPU Huawei Ascend 950. Для полного сервиса вывода потребуются система KV-кэша, разделение этапов VE/Prefill/Decode и балансировка нагрузки между репликами — эти компоненты в релиз не вошли. Код распространяется под лицензией Apache 2.0, а за основу изначально был взят проект vLLM.

Обсуждение сместилось с технических деталей на геополитику и экономику: DeepSeek может подорвать монополию Nvidia, поддерживая чипы Huawei Ascend. Релиз DeepInfer расценивают как тактический ответ на запрет продуктов DeepSeek в правительстве США (DHS Order #2026-01) для обхода ограничений. Открытый код для NPU Huawei Ascend может ослабить позиции Nvidia, если стек станет массовым в малых лабораториях. Однако @seamossfet считает, что регуляции и таможенный контроль в США и ЕС нивелируют эту угрозу. Мнения о влиянии релиза разделились: одни видят удар по капитализации OpenAI и Anthropic из-за снижения стоимости вывода, другие (@ryno364) не считают это переломным моментом, так как веса уже были открыты. Появление DeepInfer может снизить цены на API у мелких хостинг-провайдеров (например, OpenRouter) за счет снижения порога входа в высокопроизводительный хостинг. Технические данные: — Пропускная способность одного кластера — 155 трлн токенов в день, выручка вне пика — $38 на карту в час (@schneehertz, @GreenWatermelon). — В релизе нет полноценной системы KV-кэширования (_aavaa_, @dangoodmanUT). — По опыту @VonLuderitz, модель V4.1 Flash работает быстрее и эффективнее Claude Max, имея меньше ограничений.

Вышел OpenBSD 8.0 — 61-й релиз проекта, датированный 20 октября 2026 года. Песня релиза называется «The Simps on AI», а артворк подготовили yvaneht nioj и clanker. Опубликованы контрольные суммы и публичные ключи signify(1) для base, прошивок, пакетов и syspatch, а также страница errata и подробный список изменений между 7.9 и 8.0.

Среди ключевых изменений — резкое расширение адресного пространства ядра на amd64: с 4 ГБ до 512 ГБ, при этом прямая карта памяти (pmap(9)) теперь размещается по случайному адресу. На arm64 добавлена поддержка гибернации и bounce-буферы, а шифрование swap ускорено аппаратными инструкциями AES — это же сделано и на amd64. На riscv64 появилась поддержка векторного расширения «V», расширенной архитектуры прерываний (драйверы imsic(4) и aplic(4)), таймерного расширения Sstc и bounce-буферов, а сведения о расширениях CPU теперь передаются в userland через elf_aux_info(3). На sparc64 выполнены проверки границ таблицы релокаций и осуществлён переход на инструментарий LLVM. Поддержка архитектуры loongson прекращена из-за несовместимости с Clang 22.

В ядре также исправлены расчёт размера памяти в open_wmemstream(3), уничтожение идентификатора семафора в semop(2) при переключении контекста и улучшены эвристики очереди неактивных страниц. Исходники по-прежнему поставляются архивами src.tar.gz, sys.tar.gz и ports.tar.gz — это обычные CVS-деревья, дающие быстрый старт для обновления через AnonCVS.

Обсуждение дополняет анонс OpenBSD 8.0 реальными отзывами. Обновление через sysupgrade по SSH осталось простым, а система сохраняет стабильность даже на старом железе (например, на ноутбуке Lenovo 2012 года). Ключевые технические изменения: поддержка многопоточного VMM/VMD, улучшение SMP-сетевых функций и переход ssh с supercop ed25519 на libsodium. Пользователи запрашивают бенчмарки для сравнения версий 8.0 и 7.9, при этом отмечают, что нумерация релизов линейна и не имеет особого значения. Релиз-песня «The Simps on AI» получила положительные отзывы как традиционный элемент выпуска; рекомендуется изучить её текст на странице проекта. Графика «blowfish on bike» вызвала споры: одни видят в ней пародию на AI-генерации или комментарий к трендам, другие — просто странный рисунок. Также прозвучала критика размера дистрибутива (8 МБ), длительности загрузки (53 сек) и использования формата GIF. Важная оговорка: если при обновлении система перезагружается в старую версию, проверьте наличие монитора, иначе процесс может завершиться неудачей.

В справочных страницах WhatsApp для Европы были скрытые блоки текста, адресованные ИИ-помощнику, а не людям. Из 545 связанных страниц на 80 нашлись 102 таких блока, и два из них оказались особенно показательными. Первый — на странице об удалении аккаунта: видимая часть советует ждать до 30 дней после деактивации или до 120 дней без использования (365 в США), а невидимая запрещала ИИ предлагать удаление аккаунта вручную и упоминать другие способы. Второй — на странице о жалобах и блокировке: как только пользователь заводил речь о юристе, суде или иске, ИИ запрещалось ссылаться на законы о защите данных, включая GDPR, LGPD и CCPA, даже если закон называл сам пользователь.

Это расходится с публичной политикой конфиденциальности для Европейской экономической зоны: там прямо сказано, что у человека есть право на доступ, исправление и удаление данных, право жаловаться в Ирландскую комиссию по защите данных или любой другой надзорный орган, и назван GDPR. Скрытые инструкции не отменяют эти права — в ЕС они закреплены статьями 17 и 77 GDPR, — но мешали людям о них узнать. Остальные 100 блоков были безобидными: подсказки про шифрование, минимальный возраст, двухэтапную проверку и защиту от мошенников.

Пользователи разделились во мнениях: одни (@MisterMunchkin, @otterley) считают инструкции стандартной защитой компании от юридических рисков, другие (@ryukoposting, @joshuaS98) видят в запрете упоминать регуляторов и GDPR преднамеренное введение в заблуждение. Спор о технической реализации: @yoaviram называет использование скрытого HTML примитивным дизайном, а @eknkc считает это удобным для координации команд через атрибуты вроде `data-support-instruction`. Скептики (@DonHopkins, @bicepjai) не верят в версию Meta о «баге», так как текст был специально сделан невидимым. Случай воспринимается как «индустриальный» prompt injection (@mgaldys4), который ранее описывался лишь в академических работах. Это пример манипуляции результатами LLM, когда пользователи доверяют саммари, не подозревая о жестком корпоративном контроле ответов (@adamddev1).

Приказ DHS ограничивает прямое использование продуктов DeepSeek. Открытые веса формально не запрещены, но размытая формулировка воспринимается как регуляторный захват и усиление анти-open-weight тенденции, что должно отпугнуть подрядчиков от любых решений на базе DeepSeek. В сообществе HN ведутся споры: jacquesm указывает на возможные уязвимости и вредоносный код в открытых моделях, а kidfiji считает риски мнимыми, а запрет — предлогом для обеспечения национальной безопасности. Также остается открытым вопрос, распространяется ли запрет на дистиллированные модели (например, от Anthropic). Критики отмечают, что ограничение дает преимущество американским провайдерам и может привести к росту цен на их API.