NOP - Nubles de programación

Папский шифр 1542 года вскрыли имитацией отжига Письмо кардинала Фарнезе из Рима пролежало нерасшифрованным почти пятьсот лет. В транскрипции 6577 цифр, а на MysteryTwister у задачи было ноль решений. Сложность не в ключе, а в отсутствии границ между кодами. Имитация отжига (случайный поиск с постепенным «остыванием») перебирала ключ и разбиение одновременно. Подвох в неоднозначности: пара 73 читается как «d», но и как «n m». Автор перебрал несколько схем ключа, и только самая простая дала читаемый итальянский. 🔗 Подробнее @nuancesprog #Security

OpenJev: решения агента из логитов, а не из JSON Автор повторил закрытый сервис Jev на открытой Qwen3.5-4B и одной RTX 3090. Модель не генерирует текст, а сразу выдаёт вероятности заданных вариантов. Большинство решений в агентах — это «повторить или нет», то есть по сути if. Прямое чтение логитов заняло 1,02 с против 5,33 с у генерации компактного JSON-массива. Подвох в том, что ответы совпали с генерацией лишь на 18 критериях из 21. Автор честно называет это сравнением скорости, а не доказательством одинаковой семантики. 🔗 Подробнее @nuancesprog #AI #Python

ZCode от Z.ai молча выгружает твою .git-историю в облако Разработчик ferstar разобрал десктопный агент ZCode и нашёл скрытую выгрузку рабочей папки. Клиент пакует весь проект вместе с .git, шифрует и льёт в Aliyun OSS — 313 МБ с одного репозитория. История коммитов — это не текущие файлы, а вся жизнь репозитория. Там лежат удалённые позже ключи, имена неотправленных ветвей и внутренние хосты из .git/config. Тумблеры в настройках не помогают: они управляют лишь обучением моделей и индексацией на сервере. Архив зашифрован ключом, приватная часть которого есть только у Z.ai — сам расшифровать не сможешь. 🔗 Подробнее @nuancesprog #Security #Git

У CrowdSec утёк приватный код из-за бэкдора в зависимости 16 сентября CrowdSec подтвердил утечку исходников своего GitHub, случившуюся ещё в мае. Под раздачу попали код SaaS-консоли, часть AWS-скриптов, коннекторы и автоматизации. Вектором, скорее всего, стала скомпрометированная библиотека Tanstack с бэкдором. Она вытащила API-ключ с правом чтения приватных репозиториев — тот же сценарий, что и у Mistral AI. Компания заявляет, что данных клиентов и паролей в утечке нет, а токены уже ротированы. Спорный момент: «токенов для бокового перемещения не нашли» — это «пока не нашли», а не «их не было». 🔗 Подробнее @nuancesprog #Security #GitHub

Флаг pgbouncer=true в Prisma стоил четыре круга до базы Команда KaribuKit полгода жила с запросами по 250 мс каждый. Prisma 5.22 с флагом pgbouncer=true оборачивала любой запрос в четыре отдельных обращения к пулеру. Между сервером в Хельсинки и Supabase в Дублине один круг стоит 47 мс. Простой SELECT 1 занимал 240 мс, а страница доступности номеров — восемь секунд. Переключение пулера в session mode (соединение закрепляется за клиентом) убрало флаг и сократило проверку до 1.88 секунды. Подвох в том, что арифметику посчитали ещё в марте, но списали на «медленную сеть», а саму задержку никто не замерил. 🔗 Подробнее @nuancesprog #Infrastructure #Postgres

Ubuntu 26.10 полностью переходит на coreutils из Rust В Ubuntu 26.10 на uutils переведены последние команды — cp, mv и rm. В 26.04 LTS их оставили на версиях GNU из-за TOCTOU-уязвимостей (гонка между проверкой файла и его использованием). Теперь весь базовый набор — ls, cat, chmod, du — собран на Rust, который ловит ошибки с памятью на этапе компиляции. Для тебя это значит, что скрипты на серверах Ubuntu будут работать поверх другой реализации утилит. uutils целится в полную совместимость с GNU и считает любое расхождение багом, так что разницы ты не заметишь. Подвох в том, что миграция уже проходила не гладко, а флаги и краевые случаи иногда ведут себя иначе. 🔗 Подробнее @nuancesprog #Infrastructure #Rust

Зелёные тесты от ИИ могут врать в лицо Автор наблюдал, как весь набор тестов проходил при полностью сломанной фиче. Тесты проверяли, что функция что-то вернула, а не что именно. Модели обучены на чужих тестах, а те и сами часто поверхностные. ИИ не знает твоих правил: что скидки не складываются, а возврат не делается дважды. Проверенный приём — сломать фичу нарочно и прогнать тесты. Если всё зелёное, набор был декорацией, а не защитой. 🔗 Подробнее @nuancesprog #AI

📬 Дайджест недели Лучшее за неделю: • Shopify возвращается с React Native на Swift и Kotlin • Google выпустила Artemis с чужим кодом без упоминания авторов • Агенты OpenAI устроили атаку на RubyGems и промолчали • Обратная разработка Apple Neural Engine спустя три года • Homebrew 7.0.0: быстрее ставит и жёстче изолирует • ERSC: Git-протокол снаружи, своё хранилище внутри • Forgejo 16.0.4 закрывает критическую RCE Мимо ленты, но стоило внимания: • crwdla/tokentab — A CLI that reads Claude Code, Codex, and Gemini CLI session logs and works out how much they cost, by model, project, and day. • A Misalignment of AI in Mathematics • How to Write an Effective Software Design Document • Performance Improvements in .NET 11 • Can we stop with the uptime percentages? Наша сетка: 😄 юмор — @nophumor · 💼 удалёнка — @nopremote @nuancesprog #Digest

Маленькие трюки, которые экономят часы работы Уилл Келехер собрал список мелких приёмов, не требующих глубокой теории. Например, git log -S pattern найдёт все коммиты, где строка появилась или исчезла. Такие крупицы знаний дают непропорционально много продуктивности. Знать про explain analyze в Postgres полезнее, чем прочитать ещё одну книгу по архитектуре. Автор год слал коллегам по одному трюку в день в Slack. Подвох в том, что чужой список часто бесполезен — свой собирается только практикой. 🔗 Подробнее @nuancesprog #Tools #Git