NOP::Nuances of Programming
56.8K subscribers
4.2K photos
11 videos
12 files
5.55K links
Любые вопросы по сотрудничеству: @ramilkr
Если нужен токен:
https://telega.in/c/nuancesprog
NOP::Humor - https://xn--r1a.website/nophumor
NOP::Recruiter Удаленка- https://xn--r1a.website/nopremote

РКН: 4977653520
Download Telegram
Anthropic: рой из 45 агентов ищет уязвимости лучше одиночек

Anthropic запустила 45 агентов с общим форумом на 15 опенсорсных проектах. Они рецензировали находки друг друга, а отдельный агент-арбитр решал, настоящий ли баг.

Рой нашёл 266 уязвимостей против 21 у независимых агентов, работающих параллельно. Совпало всего 12 находок — подходы дополняют друг друга, а не заменяют.

Подвох в токенах: рой сжёг 27 миллионов против 6,5 у обычной схемы. Если считать только основной код, цена одной уязвимости выходит примерно та же.

🔗 Подробнее

@nuancesprog #AI
👍4
DuckDB получит асинхронный ввод-вывод для Parquet и CSV

С версии 2.0 осенью 2026 года DuckDB научится читать Parquet и CSV асинхронно. Раньше поток простаивал, ожидая ответа от удалённого хранилища вроде S3.

Это важно, если ты держишь данные в облаке, а считаешь их на отдельной машине. Синхронное чтение не выбирает всю доступную полосу, и потоки ждут вместо работы.

Внутри два пула: обычные воркеры и ASYNC-потоки, которых вчетверо больше, максимум 256. Подвох в упреждающем чтении: при быстрой сети и медленном декодировании память забивается префетчем.

🔗 Подробнее

@nuancesprog #Data
👍4
Как Go, Kotlin и BEAM делят потоки между задачами

Разработчик разобрал по исходникам, кто в рантайме решает, когда переключить задачу. Сравниваются три планировщика M:N: Go, корутины Kotlin и Erlang/Elixir на BEAM.

Ответ на этот вопрос определяет всё остальное в рантайме. От него зависит, кооперативная многозадачность или вытесняющая, и встанет ли на паузе весь процесс при сборке мусора.

Полезная деталь: поток ОС в Linux по умолчанию берёт около 8 МБ стека. Ещё автор напоминает, что go f() ничего не ждёт — без WaitGroup или канала main спокойно завершится раньше.

🔗 Подробнее

@nuancesprog #Languages #Go
👍4
Cloudflare сам добавляет свой аналитический скрипт на сайты

Разработчик перевёл домен на Cloudflare и обнаружил в своей HTML-странице чужой JS. Это beacon.min.js от Cloudflare Insights, который включается по умолчанию с прошлого года.

Скрипт появляется, если DNS-запись «проксируется» — оранжевое облачко в панели включено. Формально это не взлом, но трафик твоих читателей уходит третьей стороне без спроса.

Отключается в разделе Analytics: сначала добавь сайт, потом сними галочку со сниппета. Заодно помогает CSP — заголовок, разрешающий браузеру грузить скрипты только с указанных адресов.

🔗 Подробнее

@nuancesprog #Security
👍11
Как Go ловит копирование структур через sync.noCopy

В sync.Mutex, sync.Once и sync.Map лежит пустое поле типа noCopy. Компилятор про него ничего не знает — предупреждение выдаёт go vet.

Проверка copylocks ищет типы, у которых sync.Locker реализует указатель, но не значение. Поэтому у noCopy есть пустые методы Lock и Unlock: они нужны только для этого трюка.

Тот же приём работает и в твоих структурах — добавь поле-маркер с двумя пустыми методами. Подвох в том, что sync.RWMutex маркера не имеет, и через свой именованный тип копию можно протащить незаметно.

🔗 Подробнее

@nuancesprog #Languages #Go
👍1
В Linux 7.3 нехватка vRAM бьёт по FPS не так больно

Патчи по управлению видеопамятью наконец приняли в апстрим и поставили в очередь на Linux 7.3. Речь о ситуации, когда игра просит больше vRAM, чем есть на карте.

Раньше это считалось приговором: вылеты и неиграбельный фреймрейт. На деле переполнение vRAM — вопрос производительности, а не стабильности, и часть данных просто уезжает в оперативку.

Подвох в шине PCIe 4.0 x16: около 32 ГиБ/с, то есть примерно 1 ГиБ за кадр при 30 FPS. Промах мимо Infinity Cache стоит примерно в 4,6 раза дороже обычного чтения из vRAM.

🔗 Подробнее

@nuancesprog #Infrastructure #Linux
👍5
GitHub снова падал: до 50% ошибок на скачивании архивов

17 августа GitHub словил массовую деградацию: API, Actions, Git-операции, Issues, Pages и вебхуки. Веб и API отдавали около 20% ошибок, а загрузка архивов и raw-контента — примерно 50%.

Под удар попали SAML и OIDC-логины, а также SCIM (автоматическая синхронизация учёток из корпоративного каталога). Значит, сломались не только пуши, но и вход в систему и CI, который тянет зависимости прямо из репозиториев.

Причину нашли и починили, но остаточные сбои тянулись ещё около часа после первого «mitigated». Хороший повод завести зеркало артефактов и не держать деплой на одном внешнем сервисе.

🔗 Подробнее

@nuancesprog #Infrastructure #GitHub
👍3
ИИ пишет код, а объяснять его придётся тебе

Автор разделяет два режима работы с ИИ-ассистентом: помощь мышлению и отказ от него. В пул-реквесте они выглядят одинаково, разница всплывает через месяцы.

Примеры узнаваемые: миграция без индекса на фильтруемой колонке ложит дашборд под трафиком. А проверка на null лечит симптом гонки, и через два спринта баг выходит ниже по стеку.

Тест перед мержем простой: объясни код коллеге, не открывая историю чата. В комментариях предложили жёстче — сможешь объяснить через три месяца, когда контекст выветрится.

🔗 Подробнее

@nuancesprog #AI
👍2
llama.cpp получил версию v0.1.0

llama.cpp — движок для запуска LLM локально на CPU и GPU — выпустил тег v0.1.0. Раньше проект жил на сборочных номерах вида b6180, теперь появилась привычная нумерация.

Для тех, кто тащит llama.cpp в продакшн, это про предсказуемость зависимостей. Пиннить сборку по номеру коммита неудобно, а на семантическую версию можно спокойно сослаться в Dockerfile.

Подвох в том, что описания у релиза нет, а в артефактах всего два файла. Так что ждать стабильного API по мажорной цифре 0 пока рано.

🔗 Подробнее

@nuancesprog #AI #C
👍3
CSS в письме может увести твой пароль

Гарет Хейс из PortSwigger изучил санитайзеры Yahoo, Gmail, Outlook, Fastmail и ProtonMail. Он показал, как разрешённый CSS ворует токены, подменяет интерфейс и перехватывает ввод.

Тег label с атрибутом for кликает по чужим кнопкам интерфейса почты. В Outlook так открывается лента и закрепляется письмо — Microsoft это до сих пор не починила.

Псевдоэлементы :before и :after прячут текст от человека, но не от языковой модели. Так в браузере Atlas от OpenAI получается непрямая инъекция промпта прямо из письма.

🔗 Подробнее

@nuancesprog #Security
👍5
incident.io отключила Pub/Sub — и никто не заметил

Команда incident.io добавила второй брокер сообщений и на неделю выключила Google Pub/Sub без единой жалобы. Через их платформу идёт около 240 млн сообщений в день по 800+ топикам.

Pub/Sub обещает 99,95% доступности, а компания продаёт корпоративным клиентам 99,99% — арифметика не сходится. Единственный брокер становится точкой отказа, и отговорка «это провайдер лежал» клиента не устроит.

Спасла старая абстракция eventadapter: интерфейсы Publisher и Subscriber позволили подменить транспорт без правки тысяч мест в коде. Подвох в том, что вместе с резервированием приезжают балансировка нагрузки, честное распределение по клиентам и регулярный chaos-тест.

🔗 Подробнее

@nuancesprog #Infrastructure
👍2
Как шуточный домен стал инструментом военной разведки

В 2018 году домен sondehub.org был куплен ради шутки — редиректа на трекер метеозондов. Сегодня это полноценный сервис с данными о запусках по всему миру.

Обратные предсказания траекторий позволили вычислять точки запуска зондов по данным о ветре. Так авторы случайно нанесли на карту артиллерийские позиции и военные суда.

С декабря 2024 года по API кто-то долбит запросами прогнозов — предсказывая полёты боевых аэростатов. Открытые данные и открытое API однажды становятся чужим оружием.

🔗 Подробнее

@nuancesprog #Security
👍4
SigNoz на ClickHouse 25: три ловушки при self-hosted развёртывании

Автор поднимал SigNoz (self-hosted систему observability) в изолированной сети Docker. Обещанный «docker-compose up за десять минут» превратился в разбор конфигов ClickHouse и гонок при старте.

Официальная документация отстаёт от изменений в базовых образах. Если ты держишь телеметрию у себя, эти грабли прилетят и тебе.

В ClickHouse 25.5.6 нельзя подменять config.xml целиком: правки идут в config.d/ и users.d/. А схемы больше не создаются сами — коллектор стартует только после успешного выхода контейнера-мигратора.

🔗 Подробнее

@nuancesprog #Infrastructure #Docker
👍3
Как одна строка SQL превращает Postgres в read-only

Клиент PlanetScale получил лавину ошибок 25006: запись перестала работать без видимых причин. Причина — один эндпоинт выполнял SET SESSION CHARACTERISTICS AS TRANSACTION READ ONLY.

PgBouncer в режиме транзакций переиспользует соединения между клиентами. Настройка сессии осталась в соединении и «отравила» пул для всех последующих запросов.

Быстрое лечение — DISCARD ALL на всех соединениях пула, а не только на подозрительных. Надёжнее не трогать сессию вообще: читающий трафик отправляй на реплику.

🔗 Подробнее

@nuancesprog #Infrastructure #Postgres
👍3
Ядро Linux 7.2: планировщики, futex и Raspberry Pi

Вышло ядро Linux 7.2 — один из самых нагруженных циклов после 6.7. Среди новинок cache-aware scheduling, суб-планировщики для sched_ext и улучшения MGLRU.

Igalia довела до ума справедливую политику DRM-планировщика, важную при дележе GPU между клиентами. Ещё закрыли 14-летний баг в robust list у futex(), из-за которого портились данные.

Подвох в том, что fair-политика осталась опциональной: на rc7 прилетел отчёт о регрессии. Владельцам Raspberry Pi 4 и 5 интереснее runtime PM — GPU теперь глушит клок в простое.

🔗 Подробнее

@nuancesprog #Infrastructure #Linux
👍5
Mojo открыли под Apache 2.0: компилятор целиком

Modular выложила исходники компилятора Mojo и всей оснастки в общий репозиторий на GitHub. Лицензия — Apache 2.0 с исключениями LLVM, неделей ранее язык дошёл до версии 1.0.

Четыре года Mojo развивался с открытым сообществом, но закрытым компилятором. Теперь можно смотреть, как устроен язык для GPU и ускорителей, и собирать его у себя.

Сборка идёт через Bazel: `./bazelw run --config=build-mojo KGEN:mojo -- run hello.mojo`. Подвох в том, что правки в компилятор пока не принимают — обещают открыть вклад к концу года.

🔗 Подробнее

@nuancesprog #Languages #GitHub
👍2👎1
Скрытый WebAudio на AliExpress ломает Bluetooth-мультипойнт

Автор блога laserphile заметил: открытая вкладка AliExpress глушит музыку с телефона. Причина — два скрытых AudioContext от скриптов collina.js и fireyejs.js.

Графы строят пилообразный осциллятор с усилением в ноль, но подключают его к системному выходу. Звука нет, зато аудиотракт остаётся активным, и кнопка «выключить звук во вкладке» не помогает.

Это часть большого отпечатка: canvas, WebGL, WebRTC, память, движение устройства. Спорно тут другое — отличить антифрод от обычной слежки со стороны невозможно.

🔗 Подробнее

@nuancesprog #Security #JavaScript
👍2
Малварь в Rust-крейте arrayref запускается при сборке

20 августа на crates.io появилась версия arrayref 0.3.10 с зависимостью proc-macro1. Её build-скрипт качал и запускал бинарник прямо во время компиляции.

Достаточно было просто собрать проект — без запуска кода и без тестов. Внутри src/ лежала честная копия proc-macro2, поэтому сборка проходила без единого подозрения.

Отдельный трюк: злоумышленник отозвал старые версии 0.3.5–0.3.9, и Cargo сам советовал обновиться до заражённой. Проверь Cargo.lock и логи сборок с 20 августа, вредоносные версии уже удалены.

🔗 Подробнее

@nuancesprog #Security #Rust
👍3
Как meshoptimizer научился жевать миллиарды треугольников

Арсений Капулкин прогнал через meshoptimizer сцену Zorah от NVIDIA — 1,64 млрд треугольников и 36 ГБ геометрии. Blender и Unreal Engine на этом файле просто падают по памяти, даже при 192 ГБ ОЗУ.

Речь про Nanite-подход: меш режется на кластеры по ~128 треугольников и собирается в граф уровней детализации. Кластер заменяется на грубый только если ошибка меньше пикселя — иначе на стыках вылезают трещины.

Автор описывает, как оптимизировал построение этой структуры до минут вместо часов. Подвох в том, что сцена содержит только позиции вершин — нормали считаются прямо в шейдере.

🔗 Подробнее

@nuancesprog #Tools
👍4
Торвальдс чинил драйвер Intel GPU вместе с ИИ

Линус закоммитил однострочный фикс в драйвер xe: round_up() заменён на round_down(). Из-за округления вверх последняя страница VRAM отдавалась аллокатору, хотя принадлежала сжимающему железу.

На Battlemage G21 с 16 ГиБ туда попадала таблица страниц Mesa, и композитор падал по кругу. Результат — чёрный экран на исправной машине после каждого холодного старта.

Отладка заняла 24 патча с отладочным кодом и 18 перезагрузок ядра. ИИ помогал, но несколько раз заявлял, что баг нерешаем и надо просто написать отчёт.

🔗 Подробнее

@nuancesprog #AI #Linux
👍6