Hacker News Digest

PR оптимизирует процесс хеширования при извлечении wheel-файлов в uv, переиспользуя один 64 KiB буфер вместо выделения нового для каждого файла. Это сокращает количество аллокаций буфера с 11 120 до одного при обработке PyTorch wheel, сохраняя размер буфера на активное wheel. Измерения показывают ускорение холодной установки: AnyIO — на 2,6%, SymPy — на 8,3%, NumPy — на 9,5%, PyTorch CPU — на 7,8%, а среда из 14 пакетов с конкурентностью 4 — на 7,0%. Изменения были применены поверх коммита a188b8e833aef3c3b4b60a32ed9fafe6ac74186a и позже слиты в main. PR также включает исправления: не доверять хешам из прямых URL в метаданных wheel при --require-hashes, использовать совместимую версию Azure Storage API для анонимных и аутентифицированных запросов, скрывать параметр sig в URL и рассматривать проекты ниже уровня workspace-глобов как standalone. Обновлена зависимость astral-tokio-tar до 0.7.0 с учётом эффективных размеров при отслеживании жёстких ссылок. PR был сгенерирован Mend Renovate CLI и прошёл ревью.

Обсуждение подтверждает, что uv ускоряет тёплые установки благодаря кэшу распакованных wheel‐ов и жёстким ссылкам, но реальный выигрыш в скорости для большинства проектов незначителен (1 с против 0,1 с), а старые бенчмарки pip завышены, поэтому пользователи часто не замечают разницы. Утверждается, что единственное реальное преимущество uv перед pip — параллельное асинхронное извлечение, и если pip реализует аналог, он может догнать uv; жёсткие ссылки при этом считаются опасными и зависят от ОС. Отсутствие команды «uv download» и рост кэша при множестве окружений вызывают опасения; предлагается двухуровневое кэширование для ограничения диска. Сокращение кэша на ~10 % ценой 4 % замедления и усложнения кода большинство считает невыгодным. Среди реальных удобств uv отмечают установку из git без сборки пакета, использование BLAKE3 для дедупликации и быстрых проверок целостности (хотя некоторые предпочитают xxHash), а также объединение в одном бинарнике управления версией Python, автосоздания .venv, поддержки pyproject.toml и запуска скриптов — даже если по отдельности эти функции не уникальны.

В августе GitHub пережил два крупных сбоя: 6‑го и 17‑го число сервисы, включая сайт, аутентификацию, Actions, API, Pull Requests, Issues и Copilot, были недоступны почти восемь часов. Причиной стал резкий рост нагрузки, превысивший возможности центрального дата‑центра в США, где ключевой компонент не смог масштабироваться. Восстановление потребовало перераспределения трафика, изоляции проблемного оборудования и поэтапного возврата сервисов; ошибки в Copilot‑службах даже вызвали бесконечные повторные попытки клиентов, усугубив нагрузку.

В ответ компания ускорила инвестиции в ёмкость: за последние месяцы добавили более 3 млн процессорных ядер, 120 петабайт высокоскоростного хранилища и значительный сетевой ресурс, перенёс часть нагрузки в Azure (сейчас 58 % платформенного трафика обслуживается там). Были введены ограничения на повторные запросы, бюджеты таймаутов и пересмотрены низкоприоритетные оповещения, чтобы избежать каскадных сбоев. Тем не менее, рост активности — 2,9 млрд коммитов в месяц и 24 млн новых репозиториев — требует дальнейших архитектурных изменений, чтобы гарантировать надёжность, без которой разработчики не могут создавать и выпускать программное обеспечение.

Сбой GitHub вызван не нехваткой емкости, а отсутствием отказоустойчивости: системы коллапсируют при перегрузке, вместо того чтобы отбрасывать низкоприоритетный трафик. Клиентские retry-циклы, особенно в VS Code, усилили нагрузку в 10 раз и замедлили восстановление — это системная проблема, а не баг. Рост коммитов с 1,4 до 2,9 млрд в месяц за несколько месяцев указывает на массовое внедрение AI-агентов, что не было учтено при проектировании инфраструктуры. Рост CPU и хранилища не решает проблему — если архитектура не предусматривает graceful degradation, масштабирование лишь откладывает катастрофу. Нужно выставлять алерты при 80% загрузки, отслеживать лимиты не только сервисов, но и sidecar-контейнеров (например, Istio). Внедрять client-side throttling: при 5xx клиенты должны замедлять запросы, а не перезапрашивать. Трафик отдельных клиентов должен изолироваться, чтобы перегрузка одного не затрагивала других, особенно платных. Прогнозирование нагрузки (как в CloudWatch) важнее реактивного масштабирования. GitHub стал уязвимым централизованным монополистом — его сбой затрагивает всю экосистему, что стимулирует альтернативы: децентрализованные форки и локальные системы код-ревью. Платформа, скрывающая ошибки под спиннерами, нарушает принцип прозрачности для разработчиков. Рост GitHub Actions в выходные показывает, что AI-автоматизация затронула и личные проекты. Споры: разделить бесплатные и платные репозитории, чтобы enterprise-клиенты не страдали от AI-трафика — или сохранить открытость? Ввести плату за коммиты — или считать убытки GitHub оправданными, если они стимулируют Azure и OpenAI? Разработка AI-агентов для оптимизации внутренней инфраструктуры логична, но компания фокусируется на внешних функциях, а не на стабильности.

GitHub сообщает о сбоях в операциях Git, влияющих на работу сервиса. Пользователи могут столкнуться с проблемами при выполнении Git-команд, хотя другие функции платформы могут оставаться доступными. Компания рекомендует следить за официальными каналами для получения актуальной информации о статусе восстановления.

Для отслеживания инцидента GitHub предлагает несколько способов уведомлений: email, SMS, интеграция со Slack и вебхуки. Пользователи могут настроить подписку на получение оповещений о создании, обновлении или решении инцидентов. Для подтверждения подписки требуется ввод OTP (одноразового пароля), а при выборе SMS-уведомлений доступен выбор страны и ввод телефонного номера.

• Массовые жалобы на сбой GitHub: проблемы с push/pull, Actions, raw.githubusercontent.com и SSH-аутентификацией.
• Рост обеспокоенности надёжностью облачных сервисов (AWS, GCP, Azure, GitHub), сбои происходят чаще.
• Критика централизации и приоритетов компаний: упрёки в пренебрежении инфраструктурой ради AI/прибыли.
• Поиск решений: рекомендации по самохостингу (Forgejo, Gitea), локальным кешированию git и отказу от полной зависимости от SaaS.
• Спекуляции о причинах: влияние AI на инфраструктуру, "vibe coding", общая хрупкость централизованных систем.

Microsoft столкнулась с крупнейшей в истории DDoS-атакой на облачную платформу Azure, достигшей пика в 15 терабит в секунду. Атака использовала сеть из 500 000 IP-адресов, что делает её одной из самых масштабных и сложных для отражения. Атака была направлена на клиентов Azure в Европе и продолжалась около двух часов, используя комбинацию протоколов UDP и DNS-запросов для перегрузки инфраструктуры.

Microsoft удалось успешно отразить атаку, не затронув работу клиентов, благодаря автоматизированным системам защиты и масштабируемости Azure. Компания отметила, что это новый рекорд по мощности DDoS-атак, подчеркивающий растущую сложность киберугроз. Эксперты связывают увеличение масштаба атак с ростом числа уязвимых устройств в IoT-сетях и использованием более совершенных ботнетов.

• Aisuru — ботнет DDoS-сервис с избирательной атакующей направленностью (в основном онлайн-игры), избегающий государственных и военных объектов, резко вырос после взлома серверов прошивок роутеров.
• Основные мотивы атак — игровые конфликты (реванш за баны, манипуляция рынками внутриигровых товаров), возможна вымогательская деятельность или отвлечение внимания для скрытых атак.
• Ключевая уязвимость — массовое использование небезопасных IoT-устройств (особенно роутеров), критика OpenWRT за недостаточную защиту серверов сборки и отсутствие глобального регулирования.
• Атаки характеризуются короткими (40 сек) но рекордными по мощности пиками (до 10+ Тбит/с), что указывает на коммерческий характер услуг ботнета.

Автор сократил свои расходы на облачные услуги в 10 раз, переведя все проекты с AWS на самостоятельное хостинг, при этом улучшив производительность в 2 раза. Его месячный счет AWS снизился с $1,400 до менее $120, а инфраструктура стала мощнее. Автор утверждает, что страх перед управлением серверами обходится компаниям в 10 раз дороже, чем необходимо.

Многие разработчики в индустрии облаков заинтересованы в сохранении компаний на облачных платформах, так как их зарплаты зависят от сложности инфраструктуры. Облачные инженеры и DevOps специалисты не чувствуют финансовой боли от переплат, так как тратят чужие деньги, и заинтересованы в поддержании vendor lock-in.

Перейдя на Hetzner, автор получил доступ к серверам с 80 ядрами менее чем за $190 в месяц, в то время как аналогичные экземпляры в AWS стоят $2,500-$3,500 (в 13-18 раз дороже). Даже с резервированием экземпляров AWS остается в 7 раз дороже. Для небольших проектов доступны VPS с 8 ядрами и 32 ГБ ОЗУ за $50 в месяц.

• Обсуждение в основном свелось к тому, что для большинства проектов хостинг в облаке (AWS, GCP, Azure) в 2024 году оказывается дороже, чем аренда bare-metal в Hetzner/OVH, и что это не всегда оправдано.
• Участники споров подчеркнули, что «облако» всё ещё полезно для MVP, стартапов и сценариев с непредсказуемым трафиком, но при этом критикуют его стоимость для устойчивых рабочих нагрузок.
• Несколько человек упомянули, что большие компании могут позволить себе облако, потому что у них есть команды и бюджет на инфраструктуру и DevOps, тогда как мелкий бизнес и индивидуальные разработчики вынуждены искать более дешёвые решения.
• Также было отмечено, что важно различать «облако» как способ разработки (CI/CD, managed services) и как способ хостинга (IaaS), и что первое может быть дешевле, чем второе.

За 8 месяцев работы над RAG-системами для обработки 13+ миллионов документов автор выявил ключевые факторы успеха. Начав с типового стека Langchain + Llamaindex по туториалам, команда столкнулась с тем, что прототип на 100 документах показывал отличные результаты, а на полном наборе данных - провальные. Основные улучшения, давшие наибольший эффект: генерация множества семантических и ключевых запросов параллельно с исходным, реранкинг (оптимальное соотношение 50:15 чанков), тщательная настройка чанкинга с сохранением логических единиц, добавление метаданных в контекст LLM и маршрутизация запросов, не требующих поиска по базе.

Технологический эволюция включала переход от Azure к Pinecone, а затем Turbopuffer для векторного хранилища, от Cohere к Zerank для реранкинга, и от GPT-4.1 к GPT-5 и обратно. Автор подчеркивает, что реранкинг - "самые ценные 5 строк кода", а на чанкинг уходит большая часть времени. Весь опыт был упакован в open-source проект agentset под лицензией MIT.

• Обсуждение охватывает широкий спектр тем: от генерации синтетических запросов и проблем с их качеством до самостоятельного хостинга, отсутствия настоящего самостоятельного хостинга и до влияния выбора модели эмбеддинга на качество и стоимость.
• Участники обмениваются практическими советами по оптимизации чанкинга, реранкинга и использованию различных моделей эмбеддинга и ранжирования.
• Обсуждаются сложности с интеграцией и стоимостью при использовании сторонних сервисов, а также вопросы безопасности и контроля при использовании облачных сервисов.
• Рассматриваются вопросы о том, какие факторы действительно важны при выборе инструментов и подходов, и какие из них являются просто маркетинговыми фишками.

Microsoft планирует постепенно заменить графические процессоры AMD и Nvidia, используемые в своих AI-сервисах, на собственные чипы Maia. Это часть стратегии по снижению зависимости от внешних поставщиков и сокращению затрат на инфраструктуру для машинного обучения. Компания уже тестирует свои чипы в дата-центрах и планирует масштабировать их использование в Azure и других cloud-сервисах.

Переход на собственные решения может значительно сократить расходы на hardware и дать Microsoft больше контроля над производительностью и энергоэффективностью систем. Это также усилит конкуренцию на рынке AI-чипов, где доминируют Nvidia и AMD.

• Microsoft разрабатывает собственные AI-чипы (например, Maia 100) для снижения зависимости от NVIDIA и затрат, хотя и с опозданием по сравнению с Google и Amazon.
• Участники обсуждают, что создание собственного "кремния" — логичный шаг для крупных дата-центров, но для успеха критически важны разработка ПО и инфраструктуры (как у CUDA от NVIDIA).
• Высказываются опасения, что уход крупных игроков на собственные чипы может усилить монополию NVIDIA на рынке для остальных или, наоборот, снизить цены на GPU.
• Поднимается вопрос, является ли производственная мощность (например, TSMC) основным ограничением, а не дизайном чипов.
• Обсуждаются альтернативные архитектуры для AI, включая аналоговые чипы и специализированные решения для inference.

Microsoft ограничила использование своих технологий израильскими силовиками для массовой слежки за палестинцами. Решение последовало после расследования, выявившего, что израильский спецподразделение Unit 8200 применяло облачные сервисы компании для анализа миллионов ежедневных телефонных звонков гражданских в Газе и на Западном берегу. Система автоматически идентифицировала подозрительные разговоры и передавала данные военным для дальнейших действий.

Этот шаг отражает растущее давление на tech-гигантов с целью предотвращения злоупотреблений их инструментами в конфликтных зонах. Microsoft подчеркнула, что её продукты не должны использоваться для нарушений прав человека. Практический вывод: даже передовые технологии требуют жёстких этических рамок, особенно при работе с уязвимыми группами населения.

• Microsoft прекратила предоставлять облачные услуги Azure израильскому военному подразделению Unit 8200 из-за нарушения условий использования, связанного с хранением данных массовой слежки.
• Участники обсуждают потенциально катастрофические последствия полного отключения Microsoft всех сервисов для Израиля, включая критическую инфраструктуру.
• Высказываются опасения по поводу авторитарной власти корпораций, которые могут в одностороннем порядке лишать доступа к услугам, и призывы к регулированию провайдеров как операторов связи общего пользования.
• Мнения разделились: одни считают решение Microsoft запоздалым PR-ходом на фоне обвинений в геноциде, другие — позитивным шагом под давлением сотрудников и общественности.
• Поднимается вопрос о том, куда переместятся данные (вероятно, к другим провайдерам, таким как AWS или Oracle), и о влиянии этого на точность операций и количество жертв среди мирного населения.

Rug-pull и вилки: кто кого в OSS

• В облаке всё решают гиганты (AWS, GCP, Azure); разработчики и пользователи — без прав.
• Компания-владелец проекта может «рвануть коврик»: сменить лицензию на закрытую, чтобы загнать облачных конкурентов.
• Пример: Elastic → SSPL, MongoDB → SSPL, Sentry → новая лицензия.
• Ответ — вилка (fork), но она требует людей и денег; без спонсора умирает.
• AWS форкнул Elasticsearch → OpenSearch: набрал контрибьюторов с нуля, теперь живёт.
• Puppet ушёл в Perforce и закрыл код → родилась OpenVox.
• Вывод: однокомпаночные проекты рискованны; выбирайте те, где власть распределена, или сразу готовьтесь вилковать.

• CLA = право перелицензировать → «rug pull» возможен; DCO такого не даёт.
• Elasticsearch, Redis, Mongo и др. перелицензировались не от банкротства, а чтобы ограничить конкурентов и поднять доход.
• Пользователи чувствуют «предательство»: проект начинали под FOSS-лицензией, привлекли вклад и клиентов, потом закрыли код.
• Форки (OpenSearch, Valkey) спасают, но требуют новой инфраструктуры и сообщества; большинство просто делают «снапшот» и уходят.
• Проблема устойчивости: без денег проект умрёт, но нынешняя модель дарения дарит прибыль крупным облакам, а не разработчикам.

Ключевые моменты интервью со Стивом Баллмером

• 34 года в Microsoft: Баллмер прошёл путь от первого бизнес-менеджера до CEO, начиная с сделки IBM DOS.
• Корпоративный бизнес: сам построил направление, превратив его в опору компании.
• Провалы: открыто говорит о том, как упустили мобильные и поиск.
• «Разработчики, разработчики, разработчики»: рассказал историю легендарного лозунга.
• Отношения с Гейтсом: был год, когда они не разговаривали; объяснил, почему ушёл с поста CEO.
• Акции Microsoft: не продал ни одной — капитал вырос с $20 млрд до $130 млрд за 10 лет после ухода.
• LA Clippers и Intuit Dome: поделился планами и энтузиазмом владельца клуба.

Энергия Баллмера — на максимуме: слушайте, чтобы почувствовать «фирменный» стиль.

• Ключевой упрек Баллмеру — застревание в «окнах» и нежелание отпустить Windows-монополию; Наделла же открыл Linux, open-source и вывел Azure на новый уровень.
• Многие удивились, насколько ранним и важным был вклад Баллмера в Azure, а также напряжённости в его отношениях с Гейтсом.
• Некоторые считают Баллмера недооценённым: он знал, кого держать, спас Xbox и построил сверхприбыльный enterprise-департамент, но промахнулся по мобильным устройствам и планшетам.
• У Наделлы упрекают «санитарный» стиль, потерю культуры и якобы набор «средних» сотрудников, тогда как топ-выпускники уходили к Google и Meta.
• Сторонники Наделлы отвечают: Azure и open-source начали двигать ещё при Баллмере, а Microsoft всё ещё эффективно монетизирует Office 365 и корпоративный стек.

Один большой сервер вместо оркестра микросервисов

Современный сервер Azure с двумя AMD EPYC 3-го поколения даёт:

• 128 физических ядер / 256 потоков
• до 8 ТБ ОЗУ, 200 ГБ/с пропускная способность
• 128 линий PCIe 4.0 → 30 NVMe + 100 Гбит/с сеть
• 4 TFLOPS — в 2000 г. хватило бы для первой строчки Top500

Что он умеет

• 800 Гбит/с видео (Netflix)
• 1 млн IOPS в NoSQL, 70 k IOPS в PostgreSQL
• 500 k RPS nginx, компиляция ядра Linux за 20 с, кодирование 4K-видео 75 fps

Сколько стоит

• Аренда:
  – OVH: 128 ядер, 512 ГБ ОЗУ, 50 Гбит/с — $1 318/мес.
  – Hetzner: 32 ядра, 128 ГБ — €140/мес.
  – AWS m6a.metal: 96 ядер, 768 ГБ — $6 055/мес.
• Покупка: ~$40 000 за аналогичную конфигурацию у Dell.

Вывод
Для большинства задач один такой сервер перекрывает потребности всей компании. Распределённые системы нужны редко; чаще достаточно «одного большого сервера» и простого деплоя.

• «Облачный налог» заставляет инженеров выбирать только дорогие облачные решения, хотя за $200/мес. у Hetzner можно взять 48 ядер и 128 ГБ ОЗУ, тогда как AWS даёт лишь 4 vCPU и 16 ГБ.
• Многие участники подтверждают: при стабильной нагрузке гибрид «colo + VPS» или одна большая машина дешевле и проще, чем микросервисы и K8s.
• Ключевые риски: единая точка отказа, необходимость админов и железных рук; зато нет «meta-слоёв» Docker-proxy-nginx и можно выжимать максимум из железа.
• Часть команд тратит годы на «cloud-native» пайплайны и закрывается, не успев выйти на рынок; проще начать с PaaS/Hetzner и переезжать, когда счёт действительно больно.
• Для критичных задач достаточно двух физических серверов (active/backup) и CDN; 99,9 % доступности хватает большинству бизнесов, которым на деле не нужен 100 % uptime.

• aka.ms — коротилка Microsoft. Попытка зайти на https://aka.ms привела к логину только для сотрудников.
• akasearch.net — индекс ссылок aka.ms; нашёлся eng.ms.
• eng.ms — домен с приложением EngineeringHub. При входе через личный M365-аккаунт появился consent-запрос на доступ к профилю. После подтверждения — 500-я ошибка, но OAuth-токен уже выдан.
• rescue.eng.ms — поддомен, где после аналогичного согласия открылся Engineering Hub Rescue: список 22 внутренних сервисов Microsoft (Cloud + AI, Gaming, Finance и др.) с полным доступом через обычный аккаунт.

Итог: публичные OAuth-приложения Microsoft внутри корпоративных тенантов могут выдавать токены сторонним пользователям, если не ограничены политикой согласия. Проверьте свои тенанты на наличие подобных приложений и настройте Admin consent workflow, чтобы избежать утечек.

• Документация Microsoft по Entra ID/SSO вызывает у разработчиков «тыкание в темноте» и ошибки конфигурации.
• Уязвимости в мультитенантных приложениях возникают из-за непроверенных полей токена (iss, tid, audience) и отсутствия фильтрации по тенантам.
• Даже внутренние сервисы Microsoft открыты в интернет из-за политики Zero Trust, что увеличивает поверхность атаки.
• Исследователь получил RCE на сборочных серверах Windows, но Microsoft не выплатила ни цента, вызвав критику программы bug bounty.
• Сообщество советует: не полагаться на Entra для авторизации, всегда валидировать каждое поле токена и строить defense-in-depth.