Hacker News Digest

Мужчина обнаружил, что умная кофеварка его родителей за 10 дней передала в домашней сети 1 ТБ данных, что привело к перегрузке точки доступа Wi-Fi. Хотя большая часть трафика оставалась внутри локальной сети и не уходила в интернет, объём передачи был настолько велик, что «насытил» точку доступа, что он описал как «это всосало». Он предположил, что причина — ошибка в конкретном устройстве, и отметил, что такие сбои делают IoT-устройства потенциально опасными для стабильности домашней сети.

После публикации в X (бывший Twitter), где он выразил шок и немедленно отключил прибор, мужчина решил не углубляться в анализ того, какие именно данные передавала кофеварка, сочтя это бессмысленным. Он подчеркнул, что устройство принадлежит его родителям, а он лишь помогает им удалённо управлять сетью, и рассматривает случившееся как урок для них о рисках подключения ненадёжных умных приборов. В итоге он решил заменить кофеварку на новую модель.

Обсуждение ставит под сомнение реальный объём трафика, указывая на известный баг UniFi‐дашборда, который завышает статистику и может показывать терабайты за 24 ч как артефакт. Большинство данных остаётся в локальной сети и собирается для рекламных целей, например, Keurig собирает данные о домашнем хозяйстве для продажи рекламодателям. IoT‐устройства регулярно опрашивают серверы обновлений (каждые 15 секунд), создавая постоянный фон трафика. Чтобы избежать перегрузки сети, рекомендуется изолировать IoT‐устройства в отдельный VLAN или SSID и ограничить их доступ к основной сети. Также предлагается ввести строгую сертификацию IoT‐продуктов, аналогичную требованиям к радиочастотным устройствам, для обеспечения безопасности и конфиденциальности. Некоторые отмечают, что буква «Т» в IoT означает Tracking, так как даже без явных функций устройства собирают пользовательские данные. Ещё один совет — разработать открытый «tarpit», отвечающий устройствам поддельными данными, чтобы перегружать их и скрывать реальный трафик.

Более 75% новых автомобилей по всему миру оснащены встроенным интернет-доступом, превращая их в «смартфоны на колёсах», которые постоянно передают данные производителям и третьим лицам. В рамках первого масштабного измерения экосистемы подключённых транспортных средств исследователи Northeastern University, совместно с Consumer Reports, протестировали 21 современный автомобиль и 30 сопутствующих мобильных приложений. Результаты показали, что 19 из 21 автомобиля связываются с хотя бы одним сторонним доменом, включая рекламные и трекинговые сервисы, тогда как семь из 30 приложений передают конфиденциальные идентификаторы, а пять — VIN вместе с другими персональными данными. Эти передачи происходят через Wi-Fi и сотовые сети, и после выхода с устройства данные оказываются в руках компаний, которые могут делиться или продавать их без ведома владельца.

Производители, получив уведомление о результатах, в основном перекладывали ответственность на потребителей, утверждая, что владельцы могут либо принять условия использования данных, либо отказаться от подключённых функций (например, удалённого запуска или мобильного приложения), либо вообще перестать пользоваться автомобилем — что исследователи назвали несправедливым выбором. Единственным исключением стала Honda, которая изменила практику сбора данных, прекратив передачу точной геолокации трекинговым третьим лицам. Исследование подчеркнуло значительный разрыв между публичными заявлениями производителей о конфиденциальности и реальными потоками данных, а также сложность изучения таких систем из-за различий в сетевом поведении даже среди автомобилей одной марки. Авторы приходят к выводу, что без большей прозрачности и контроля со стороны пользователей риски злоупотребления личными данными в автомобильной экосистеме будут только расти.

Большинство современных автомобилей собирают и передают телеметрию без удобного отказа. Пользователи отмечают, что простого способа отключения нет, и вынуждены выбирать между полезными функциями (удалённый запуск, приложение) и потерей этих возможностей при отключении телеметрии. Практические способы отключения включают физическое отключение модема: вытаскивание SIM‐модуля, отключение питания или вытаскивание предохранителя (например, у Ford Pass). Некоторые бренды, такие как Honda и Mercedes, лучше защищают приватность, но большинство производителей продолжают сбор данных при включённых приложениях. Старые автомобили без встроенного интернета (модели 2000‐х годов) считаются безопасным вариантом для избежания слежки. Пользователи требуют законодательных мер и новых рыночных решений, включая создание устройств или сервисов для отключения телеметрии. Однако отмечается, что отключение телеметрии в автомобиле может быть малоэффективным, так как смартфоны владельца продолжают собирать аналогичные данные о местоположении и поведении. Также предупреждается, что страховые компании могут повышать тарифы при отсутствии передачи данных автомобилем.

Пользователь попросил Muse экспортировать файлы, которые он может видеть, и получил архив размером 2,7 ГБ сжатого и 6,8 ГБ распакованного. В нём оказалась корневая файловая система Linux-среды сессии: системные файлы Ubuntu, внутренняя документация Muse, код интеграций, шаблоны приложений, файлы памяти и журналы агентов, включая SSH-ключи. Автор не публикует архив из-за чувствительности данных.

Большая часть интересных файлов находилась в /home/hatch, /opt/hatch и /opt/hatch-image. В директории agents/ хранились 113 записей суб-агентов в формате JSONL, а в домашней директории агента — файлы вроде SOUL.md, IDENTITY.md, MEMORY.md и др. Документация включала около 20 Markdown-файлов по использованию браузера, платежам, данным, голосовым функциям и расписанию, а также гайды для WhatsApp, Mac, Tailscale и Home Link.

В /opt/hatch/skills/ насчитывалось около 68 директорий навыков, каждая с файлом SKILL.md и связанным кодом — для Google Workspace, соцсетей Meta, Outlook, здоровья, бытовых устройств и генерации медиа. Особенно примечательной оказалась документация по экспериментальной интеграции Home Link (docs/devices/home_link.md), описывающая использование ESP32-C5 с Wi-Fi и BLE для подключения Muse к домашним устройствам через прокси с отдельным шагом одобрения.

Автор отправил отчёт в программу bug bounty Meta, но получил ответ «Not Applicable» без уточнения причин. Он также связался с несколькими сотрудниками, но не добился дальнейших действий. Несмотря на попытки исследовать границы контейнера (например, через 80 открытых сокетов), escape не был продемонстрирован из-за недостатка опыта и осторожности по отношению к продакшен-системе. Для уточнений пользователь предлагает связаться по почте pete@mouse.dev.

Обсуждение уточняет, что предоставление Muse полного доступа к файловой системе виртуальной машины — запланированная особенность, а не уязвимость; поднимает спор о том, что считается «software engineering» в эпоху LLM‐агентов; раскрывает технические детали (изолированная VM на пользователя, 332 МБ Rust‐бинарник, возможный отдельный Postgres вместо SQLite); отмечает готовность Meta выпускать рискованные AI‐продукты без баг‐баунти и даёт практические рекомендации по точному промпт‐инжинирингу и будущей миграции конфигураций в базы данных.

• Спор: Некоторые комментаторы считают, что создание markdown‐файлов — это «software engineering», тогда как другие утверждают, что реальная инженерная работа заключается в оценке этих файлов, а markdown лишь продукт, а не процесс.

• Большинство участников согласны, что каждый пользователь получает отдельную VM и что агент имеет полный доступ к своей файловой системе, что является запланированной функцией, а не уязвимостью.

• Совет: Для получения желаемого поведения от Muse рекомендуется формулировать запросы максимально точно, сравнивая процесс с «взмахом волшебной лампы» — так называют «magic genie engineering».

• Спор: Некоторые пользователи критикуют отсутствие баг‐баунти за раскрытие полной файловой системы, в то время как другие считают, что это не баг, а преднамеренный доступ внутри изолированной VM.

• Тред отмечает, что готовность Meta запускать этически неоднозначные AI‐продукты даёт ей уникальное преимущество по сравнению с другими крупными технологическими компаниями.

• Полный доступ агента к VM рассматривается как положительный сигнал для открытости: разработчики могут работать с агентами так же, как с обычными программами на компьютере.

• Спор: Один комментарий указывает, что Muse, судя по всему, использует отдельный экземпляр Postgres для каждого агента, что кажется избыточным по сравнению с заявлением о единой SQLite базе.

• Пользователь поделился, что основной «harness» Muse представляет собой монолитный 332 МБ бинарник, написанный на Rust, подтверждая значительный размер исполняемого кода.

• Совет: Ожидается, что текущий подход к конфигурации в виде ini‐файлов будет заменён более структурированной базой данных в будущих версиях.

• Несколько комментариев выражают обеспокоенность, что зависимость от AI‐генерируемых markdown‐файлов свидетельствует о деградации традиционных навыков программной инженерии.

• Совет: Рекомендовано не публиковать извлечённый архив с файловой системой, так как в нём могут находиться SSH‐ключи и внутренняя документация, представляющие конфиденциальную информацию.

• Спор: Некоторые считают файлы с SSH‐ключами и внутренними документами чувствительными, тогда как другие полагают, что в контексте изолированной VM они могут не быть строго конфиденциальными.

About 20 Markdown files described browser use, connectors, payments, credentials, data handling, generated files, voice, goals, and scheduling.This the state of software engineering in 2026.Edit: clarified engineering to software engineering, which is more correct — @tolugenius

JetKVM Mini — это компактный KVM-переключатель размером с коробок спичек (42×42×23 мм), доступный в двух версиях: проводной за $39 и беспроводной за $42. При покупке упаковкой из трёх единиц цена снижается до $33 и $36 соответственно. Устройство поддерживает захват видео в разрешении 1080p, работу с клавиатурой и мышью через USB, а также использует тот же веб-интерфейс, облако и прошивку, что и базовая модель JetKVM. Проводная версия оснащена портом RJ45, а беспроводная — модулем Wi-Fi 2,4 и 5 ГГц, настройка которой происходит через Bluetooth с телефона или ноутбука.

Корпус выполнен из алюминия, на верхней панели расположен дисплей, показывающий IP-адрес, а сбоку — кнопки управления. Прошивка открытая и поддерживает безопасную загрузку: публичный ключ подписи JetKVM предварительно записан в eFuse чипа, позволяя заблокировать устройство на запуск только подписанного ПО через один параметр в веб-интерфейсе. JetKVM Mini поступит в продажу 26 октября 2026 года через авторизованных реселлеров. Устройство позиционируется как доступное решение для удалённого управления компьютерами в условиях ограниченного пространства или отсутствия свободных сетевых портов.

JetKVM Mini полезен для удалённого управления (перезагрузка, ввод пароля FDE), но надёжность варьируется: у некоторых пользователей два из трёх устройств вышли из строя, у других — работают без проблем с первого дня. Есть проблемы с кабелями (двойной USB‐C сплиттер часто не подключается), конфликт IP‐адресов (Wi‐Fi и Ethernet используют один IP, вызывая ложные тревоги в Unifi), отсутствие видеопропуска (серьёзный недостаток для Windows-пользователей) и отсутствие ATX‐управления (ограничивает удалённое включение после неудачного WoL). Безопасность облачного сервиса вызывает вопросы; рекомендуется использовать собственный Wireguard‐VPN вместо него. Отсутствует или плохо работает обмен буфером обмена между локальной и удалённой машиной. Потребляемая мощность в работе и простое не измерена — пользователи просят предоставить данные. Технически устройство использует MCU с программным кодированием, достигая 4K@60, но для BIOS‐доступа достаточно 1080p. Альтернатива — ArkKVM: полностью открытый стек с Tailscale, но в три раза дороже, что важно для домашней лаборатории. Пользователи отмечают, что JetKVM экономит часы ручных процедур при удалённой перезагрузке и вводе пароля FDE. Сравнивают с более дорогими открытыми альтернативами и делятся советами по использованию собственного VPN.

LG отрицает обвинения в шпионаже через свои смарт-телевизоры, заявляя, что утверждения о постоянной записи аудио и передаче данных в режиме ожидания «не соответствуют действительности». Компания подтверждает, что её устройства сканируют локальную сеть для обнаружения других устройств — функция, распространённая среди смарт-телевизоров и медиаплееров, но подчеркивает, что это не связано с сбором личной информации или прослушиванием. LG утверждает, что не ведёт скрытого мониторинга пользователей и не передаёт данные без их согласия, опровергая выводы расследования Gamers Nexus.

В своём двухчасовом видео на YouTube Gamers Nexus заявило, что LG эксплуатирует «216 миллионов шпионских телевизоров», которые якобы постоянно собирают и загружают данные пользователей, даже когда телевизор выключен или находится в режиме ожидания. По утверждению канала, устройства сканируют Wi-Fi-сети, записывают аудио и анализируют входные сигналы для определения того, что смотрит пользователь. Однако LG отвергает эти заявления как необоснованные, отмечая, что её практики соответствуют отраслевым стандартам и не нарушают конфиденциальность. Компания призывает пользователей доверять официальным заявлениям, а не спекулятивным выводам из независимых расследований.

Обсуждение опровергает заявления LG о прозрачности и добровольности сбора данных. Пользователи сталкиваются с темными паттернами: функции ACR и другие опции часто включены по умолчанию или активируются автоматически при подключении к интернету, а их отключение требует глубокого поиска в меню. Выявлены противоречия между заявлениями LG и реальностью: — Компания отрицает использование визуальных данных экрана, но исследование 2024 года подтверждает захват изображений для создания хешей. — Утверждения об отсутствии постоянной записи аудио опровергаются необходимостью постоянного прослушивания среды для распознавания wake-слова, а также генерацией технических логов. — Заявления о прекращении сбора данных при выключении ТВ опровергаются данными о передаче трафика и сканировании сети в режиме ожидания. — Gamers Nexus зафиксировал сканирование локальной сети и определение всех подключенных устройств. Пользователи считают, что LG намеренно использует расплывчатые формулировки, а низкая стоимость смарт-ТВ обусловлена монетизацией данных пользователей. Наличие микрофона, камеры и сети делает устройство уязвимым для слежки третьими сторонами. Для защиты рекомендуют: — не подключать смарт-ТВ к интернету, используя внешние стриминг-устройства (Apple TV, Google TV) или коммерческие мониторы; — полностью обесточивать ТВ, чтобы прекратить сбор данных в режиме ожидания; — изолировать устройство в отдельном VLAN; — устанавливать альтернативные прошивки для удаления вредоносного кода.

LG смарт-телевизоры непрерывно собирают и передают данные о пользователях и их домашней сети, даже в режиме ожидания или при отключённом интернете. Тесты Gamers Nexus показали, что устройства сканируют локальную сеть в поисках смартфонов, часов и других гаджетов, фиксируют данные о ближайших Wi-Fi сетях и передают их в LG Ad Solutions. Более того, микрофоны телевизоров продолжают записывать аудио в standby-режиме, сохраняя файлы локально и отправляя их после восстановления соединения.

Для определения контента используется технология автоматического распознавания (ACR), которая анализирует аудио и видео с любого входа — HDMI, приложений или внешних устройств — чтобы точно определить, что смотрит пользователь. Хотя ACR применяется почти всеми производителями smart TV, в случае LG она работает в связке с постоянным сетевым сканированием и аудиозаписью, что вызывает серьёзные вопросы о приватности. Это не первый случай: ранее LG уже сталкивалась с критикой за скрытую установку рекламного ПО на мониторах, что после публичного давления привело к удалению навязчивой рекламы.

Проблема шпионажа в смарт-ТВ системна: охватывает LG, Vizio, Samsung, Hisense и связана с принудительной привязкой к аккаунтам, автоматическими обновлениями и отсутствием настоящего «тупого» режима. Все современные смарт-ТВ требуют регистрации и аккаунтов при настройке — это стандарт, а не исключение. Производители интегрируют рекламные платформы (Vizio/Walmart, LG Ad Solutions), делая сбор данных коммерческой моделью. Современные ТВ без шпионажа практически отсутствуют; безопасны только старые модели или коммерческие дисплеи (например, NEC). Советы по защите: - Отключить интернет у ТВ и использовать внешние стриминг-устройства (Apple TV, Kodi на мониторе). - Отключить Wi-Fi модуля через разъёмную ленту или заменить пульт на ИК-версию без микрофона (LG OLED). - Установить WebOS Brew на старые LG ТВ для полного контроля после первоначального подключения. - Ограничить доступ в интернет по MAC-адресам через роутер (SonicWall). - Использовать аппаратный выключатель микрофона и Wi-Fi. - Отказаться от обновлений ПО на старых Samsung, чтобы сохранить «тупой» режим. - Запросить удаление данных через California’s DROP. Спор: данные могут накапливаться локально и передаваться при следующем подключении — передача в офлайн-режиме маловероятна, но накопление подтверждено. Предложение: создать сертификацию «DUMB» («Don't Upload My Bits») для потребительского спроса на безопасные ТВ — пока не реализовано.

QuadRF — это портативный фазированный радиомассив на базе Raspberry Pi 5 и FPGA, способный в реальном времени обнаруживать беспилотники и «видеть» Wi‑Fi сквозь стены. Он стримит цифровой спектр I/Q через MIPI‑интерфейс с пропускной способностью более 5 Гб/с, а встроенный AR‑визуализатор отображает сигналы 4,9–6 ГГц цветами‑блоками, позволяя пользователю регулировать усиление и выравнивание антенн в браузере.

Тестирование показало, что устройство легко запускает GNU Radio и кастомный AR‑визуализатор через локальный Wi‑Fi‑точка, а при полёте дрона DJI Mini 4 сигнал появляется как красный или зелёный «блуждающий» объект, требующий увеличения усиления при удалении. В комплекте есть опциональный набор с батареей и креплением для手持‑режима, позволяющим сканировать диапазон C‑band в движении. Разработчики планируют объединить несколько модулей, достигая эквивалентного излучаемой мощности 1,15 МВт, но текущий прототип остаётся небольшим и 3D‑печатным. При этом открытый характер проекта даёт шанс сообществу улучшать интерфейс и расширять применение, а governments уже давно используют аналогичные системы, поэтому важно освещать их возможности и уязвимости. Пикосекундный тайм‑синхронизатор обеспечивает точность измерений, позволяя различать слабые сигналы в шумном спектре. Это делает устройство пригодным для экспериментов в радиосвязи и радиолокации.

• Описание QuadRF‑модулей, их демо‑видео и планы улучшения UI
• Ограничения частотного диапазона (5‑6 ГГц), потенциальные применения: детекция дронов, поиск скрытых камер, локализация помех и EMC‑тестирование
• Отзывы о цене (ожидалось $50‑100, фактически $500) и сравнение с существующими SDR‑решениями
• Дискуссия о будущих возможностях: расширение диапазона, интеграция в мобильные платформы, влияние на рынок и государственные проекты

Почему Wi-Fi в домашних условиях часто работает плохо? Потому что маркетинг и потребительская психология заставляют производителей и провайдеров выставлять по умолчанию широкие каналы 80 МГц вместо 20/40 МГц, что приводит к перегрузке эфира и соседским помехам. А ведь профессионалы знают, что узкие каналы дают больше свободных частот и лучше масштабируют сеть. Но продавать «широкий» канал как «фичу» выгоднее.

Кроме того, популярные онлайн-тесты скорости, которые пользователи любят запускать, сами по себе создают конкуренцию за эфирное время и ухудшают качество связи для всех устройств в сети. Это показывает, что «скорость» как метрика качества Wi-Fi вредоносна сама по себе.

• Wi-Fi оптимизирована под скорость, а не под надежность, что приводит к перегрузке каналов и влияет на задержки и потери пакетов, что особенно критично в плотно населенных местах.
• Пользователи часто не осознают, что их сети могут быть перегружены из-за соседей, и что это может быть причиной проблем, которые они приписывают провайдеру или оборудованию.
• Провайдеры и производители оборудования продолжают продвигать "скорость" как единственную метрику качества сети, потому что это легко продавать, даже если это не отражает реальную производительность сети.
• В действительности, наилучшая производительность Wi-Fi достигается при использовании Ethernet кабеля для стационарных устройств, оставляя Wi-Fi для мобильных устройств, где это действительно необходимо.

Инженеры Калифорнийского университета в Санта-Крузе разработали Pulse-Fi — систему, которая измеряет пульс через обычный WiFi без ношения датчиков.

• Точность: после 5 с обработки сигнала погрешность ≤0,5 уд/мин; показатели соответствуют медицинским стандартам.
• Работает при любом положении тела (сидя, стоя, лёжа, в движении) и на расстоянии до 3 м.
• Доступность: используются самые дешёвые WiFi-модули ESP32, поэтому подходит для условий с ограниченными ресурсами.

Алгоритм машинного обучения выделяет колебания сигнала, вызванные сердцебиением, и фильтрует шумы от движения и окружения. В испытаниях участвовали 118 человек, каждого проверили в 17 позах.

Публикация представлена на конференции IEEE DCOSS-IoT 2025.

• Wi-Fi уже умеет «видеть» сердцебиение и дыхание без всяких датчиков; новая работа UCSC просто уточняет точность до <0,5 уд/мин.
• Техника работает на обычных ESP32/RPi и, вероятно, на смартфонах, поэтому 24×7-мониторинг всей семьи становится дёшево и сердито.
• Пользователи видят плюсы: сон без браслета, поиск людей за стеной, замена PIR- и мм-волновым датчикам.
• Критики беспокоятся: данные можно продавать рекламодателям, использовать для слежки, взлома, таргетинга по эмоциям или даже ударов дронов.
• Пока нет ясности, как защититься: выключать Wi-Fi, строить «клетку Фарадея» или требовать open-source-оборудования — обсуждают всерьёз.