Представляешь,

Файл на 3 КБ загружает процессор через Excelize почти на минуту для Go-библиотеки Excelize опубликовали описание отказа в обслуживании с оценкой 7,5. Если первые восемь байт совпадают с сигнатурой OLE, библиотека начинает обработку шифрованного файла, даже когда пароль не задан. Число итераций выработки ключа берётся из поля spinCount без верхней границы. в тесте файл на 3 072 байта со значением 100 000 000 занимал вызов OpenFile на 58,65 секунды в версии 2.11.0. Затем библиотека возвращала ошибку формата. На этом пути нет context.Context: таймаут HTTP-запроса сам по себе не прекращает вычисления. уязвимы версии с 2.3.1 по 2.11.0, исправленной версии в уведомлении нет. Пример с обычным spinCount 100 000 выполнялся за 61 миллисекунду. Ограничения проверки входного файла и способы изолировать обработку загрузок разобрали на сайте.

D2 стал некоммерческим и планирует редактор диаграмм с работой офлайн автор языка диаграмм D2 сообщил, что проект переходит под фискальное спонсорство Hack Club. Компания закрывается, а D2 продолжится как полностью открытый некоммерческий проект. До сих пор его финансировали закрытый редактор D2 Studio и алгоритм раскладки TALA; об их выпуске автор обещает отдельные сообщения. автор остаётся сопровождающим с ограниченным временем и ищет других мейнтейнеров. Качественные вклады могут привести к оплачиваемому контракту за счёт пожертвований. В своих правках и ревью он планирует использовать ИИ, а посты и сообщения продолжит писать сам. среди планов есть изометрический рендерер, транспиляторы из других языков диаграмм и система плагинов. Серверные функции поддерживать не будут: в списке исключений MCP, API, аккаунты и серверный рендеринг. D2 Studio должен стать полностью клиентским редактором с работой офлайн.

libheif закрыла шесть уязвимостей в обработке файлов HEIF и AVIF версия 1.23.4 библиотеки libheif закрывает шесть уязвимостей, включая три с высокой оценкой. Библиотеку используют для обработки HEIF и AVIF. Выпуск заявлен как совместимая по ABI замена 1.23.3, поэтому обновление сохраняет двоичный интерфейс. в одной из ошибок лимит max_items не применялся к дочерним элементам iinf. В тестах файл на 23 МБ занимал 1,5 ГБ памяти уже при чтении, до декодирования изображения. В WebAssembly значение из файла также влияло на выделение памяти в стеке и могло приводить к сбою модуля. другие ошибки затрагивали декодирование: рекурсивную проверку ссылок и взаимную блокировку потоков при параллельной обработке тайлов. Эти сбои происходят уже при обработке содержимого изображения. Условия срабатывания и исправления разобрали на сайте.

Nitter продолжит работу, публичные серверы обещают вернуть для чтения X разработчик Nitter, свободного интерфейса для чтения X без JavaScript и рекламы, обновил README: после консультации с юристами проект продолжится, подробности объявят позже. На главной странице nitter.net 7 сентября также сообщили о планах вернуть этот и другие публичные серверы и выпустить анонс в течение недели. компания X Corp 24 августа разослала требования закрыть серверы Nitter и репозиторий проекта. После этого nitter.net ушёл в офлайн, а разработка остановилась. На каком основании проект теперь продолжает работу, автор пока не объяснил. обещание вернуться ещё не означает, что каждый сервер снова доступен. Полного списка работающих адресов в анонсе нет. Чем Nitter отличается от обычного сайта X и какие ограничения зависят от конкретного сервера, разобрали на сайте.

Фонд Omarchy получил обязательства на $14,95 млн для разработки Linux автор Ruby on Rails Давид Хейнемейер Ханссон объявил о расширении финансирования Omacom Foundation, который поддерживает дистрибутив Omarchy Linux. Общая сумма обязательств составляет $14,95 млн и включает денежные взносы, будущие платежи и токен-кредиты для ИИ-инструментов. по $1 млн передали Брайан Армстронг из Coinbase, Юньцзе Дай из TapTap, Дрю Хьюстон из Dropbox и Питер Штайнбергер из OpenClaw. Отдельно 1Password и 37signals обязались платить по $100 тысяч в год три года. Токен-кредиты предоставлены на $1,95 млн от нескольких ИИ-компаний, в том числе Anthropic, OpenAI и Fireworks по $150 тысяч. фонд объявил о поддержке Hyprland, Quickshell и mise, компонентов Omarchy. Сопровождающий подсистемы PCI в ядре Linux Кшиштоф Вильчинский нанят на полную ставку для работы над пакетом с ядром. Установочный образ Omarchy 4.0 за 18 дней скачали больше 200 тысяч раз.

Исследователи взломали телевизор LG и записали комнату при тёмном экране команда Gamers Nexus вместе с Level1Techs показала запись микрофона и вебкамеры при внешне выключенном экране LG. Исследователи получили удалённый доступ к системе. В отдельном опыте LG G5 сохранял звук без сети, а после подключения команда скопировала запись. Такую запись из коробки опыт не подтверждает. штатно проверенные телевизоры сканируют соседние устройства и обращаются к рекламным сервисам LG. ACR распознаёт контент для LG Ad Solutions; в тесте G3 передача ACR-данных наблюдалась после принятия соглашений. Выключатель встроенного микрофона не отключает микрофоны пульта и USB-вебкамеры. через доступ к системе авторы извлекли и текстовые расшифровки голосового ввода. Это не доказательство круглосуточной записи разговоров. Подробности новых уязвимостей ограничены на время ответственного раскрытия; исследователи советуют отключить ТВ от сети. Условия опытов и поведение журналов разобрали на сайте.

Швейцария тестирует альтернативу Microsoft 365 на 3 000 рабочих мест федеральная канцелярия Швейцарии запустила пилот с открытым офисным пакетом openDesk. На 3 000 компьютерах он будет работать параллельно с Microsoft 365. Бюджет составляет 9 млн швейцарских франков, срок пилота ограничен концом 2027 года. результаты пробного этапа опубликовали 3 сентября: 172 сотрудника проверили документы, почту и видеосвязь. Первые две задачи получили положительные оценки, большие видеоконференции пока сталкиваются с техническими ограничениями. Решение о переходе всей администрации в новости не объявлено. военное киберкомандование ведёт отдельный переход на openDesk и рассчитывает завершить его к октябрю 2026 года. С 2024 года закон EMBAG требует публиковать разработанное для государства ПО с открытым кодом по умолчанию, но допускает исключения.

Asahi Linux добрался до Mac с M3 без режима сна Владельцы MacBook и iMac на M3, M3 Pro и M3 Max теперь могут поставить Linux через официальный установщик. Пока только в режиме Expert: это экспериментальная поддержка, а Mac Studio с M3 Ultra в список не попал. По анонсу уже работают камера, микрофоны, Wi-Fi, Bluetooth, USB до 10 Гбит/с и аппаратное декодирование AV1. Неплохой набор, пока вы не решите закрыть крышку: сон не работает, HDMI на оснащённых им MacBook отключён. GPU и полная поддержка контроллера дисплея тоже не готовы, поэтому производительного и энергоэффективного 3D-ускорения ждать рано. В официальной таблице функций при этом есть расхождения с анонсом. Разобрались, что уже запускается, где проверить свою модель и как безопаснее попробовать установку.

Заполните прикольную анкету вроде школьных! Не будем томить: за прохождение этой анкеты подарим промокод на хостинг-услуги. SpaceWeb и Типичный программист сделали эту анкету к 25-летию компании: вопросы про спорт, лучшего друга и обои на рабочий стол, а между ними прячутся аська, скайп, биткоин и другие приметы 2001–2026 годов. Заодно покажем, как менялись веб и сама компания, и немного заглянем в будущее.

OpenAI начала выпуск GPT-6 Astra, в ближайшие дни модель придёт всем подписчикам Plus модель уже получил ограниченный круг организаций, дальше все платные тарифы ChatGPT, API под именем gpt-6-astra и Amazon Bedrock. В API $10 за миллион входных токенов и $50 за выходные, Fast-режим до 2,5 раза быстрее за двойную цену. Раскатка займёт несколько дней: OpenAI говорит, что впервые в масштабе запускает много новых систем. по бенчмаркам OpenAI: Terminal-Bench 4.0 57,7% против 55,8% у Claude Fable 5.1 и 37,3% у GPT-5.6 Sol, FrontierMath Tier 4 97,6%, ARC-AGI-3 99,9%, ExploitBench 100%. На Humanity's Last Exam и в индексе Artificial Analysis уступает Fable 5.1 и Opus 5. Модель достигла критического уровня кибервозможностей, в тестах нашла две уязвимости нулевого дня, в релизе отказывается писать эксплойты. Полный разбор с оговорками на сайте, коротко в Нейроканале. #ии

разработчик запустил Compose Multiplatform на Apple TV одним Gradle-плагином, пока JetBrains не поставляет tvOS-сборки Саджид Али выложил плагин dev.sajidali.compose-tvos версии 1.3.0: он подменяет варианты зависимостей 15 групп org.jetbrains.* на tvOS-сборки, не меняя координат в проекте. Поддерживаются tvosArm64 и симулятор, нужны Kotlin 2.3.20, Gradle 8.0 и Compose Multiplatform 1.6 или новее. проект неофициальный: если JetBrains выпустит свой tvOS klib, плагин его не трогает. Автор утверждает, что тем же тулчейном собирает свой production TV app без правок исходников; демо на симуляторе Apple TV 4K в посте. tvosX64 пока не собирается, автотестов нет.

self-hosted замена Google Timeline перестала ронять браузер на миллионе точек автор Dawarich показал, что после перевода точек, треков и маршрутов на карты-тайлы набор из 957 350 геоточек грузится меньше секунды, а объём JSON упал примерно с 590 МБ до 150 КБ. Раньше такой архив просто убивал вкладку. в релизе 1.14.1 переписано определение посещений, метаданные устройств переехали в таблицу point_sources (нужна миграция базы), OwnTracks в HTTP-режиме показывает членов семьи. Self-hosting бесплатен со всеми функциями, облако от 59,99 евро в год. Куда переехала нагрузка и что проверить перед обновлением, на сайте.

у трёх из четырёх крупных ИИ-ассистентов прямо сейчас сбой. Anthropic признала инфраструктурную проблему: частично лежат Claude Code, API и claude.ai, сроков восстановления не называют. Для Claude это уже второй инцидент за день. У OpenAI рост ошибок в ChatGPT и Codex: больше половины жалующихся пишут, что сервис лежит полностью. На Grok жалуются на Downdetector, но xAI пока молчит. Стабильно работает только Gemini. Так что если код-агент внезапно замолчал — это не у вас одних. Хронология и что делать — в новости на сайте. #ии

Jujutsu 0.45 научился сам сводить расходящиеся коммиты, но сломал два привычных сценария Jujutsu, или jj, это система контроля версий поверх обычного Git-репозитория, где у каждого изменения постоянный ID и коммиты можно переписывать в середине стека. Сегодня утром вышла версия 0.45.0 с командой jj converge: она находит две и больше версии одного изменения, которые разошлись после отката или работы в двух рабочих пространствах, и заменяет их одним коммитом. Потомки перебазируются сами, закладки переезжают, а вопросы задаются только там, где эвристики не уверены; для скриптов есть --no-interactive. два ломающих изменения: jj config set --user при нескольких файлах конфига больше не спрашивает, какой править, а берёт первый загруженный (точный файл теперь через --file <PATH>), и jj git import в неколоцированных репозиториях перестал импортировать коммиты с отсоединённого Git HEAD. Из починенного: git add после команды jj больше не портит индекс так, что git fsck жалуется на duplicateEntries, а Ctrl+C в less перестал ломать терминал. Что проверить после обновления и как ставить, разобрали на сайте.

Zed 1.18 запомнил, какие файлы вы открывали в прошлый раз, и показывает значения переменных в C и C++ редактор Zed обновился: File Finder теперь подсказывает недавние файлы из прошлых сессий, отладчик через CodeLLDB и GDB показывает inline-значения для C и C++, а Continue Program и Continue Thread разведены по разным действиям. В Git появился переключатель базы диффа между HEAD и веткой по умолчанию. из мелкого: сломанное подключение внешнего агента перезагружается без перезапуска редактора, терминал понимает ctrl-alt-<буква>, на Linux кэшируются шрифты и глифы после измерения. В список моделей добавили Gemini 3.5 Flash-Lite, Grok 4.5 и 4.6, а GPT-5.6 в Bedrock получил контекст до 1 млн токенов. 117 коммитов с прошлой версии.

автор YJIT переписала интерпретатор своего языка со стека на регистры и получила до 3,37 раза Максим Шевалье-Буавер описала, как виртуальная машина языка Plush перешла на регистровый байткод: инструкция стала 64-битным словом с тремя операндами вместо enum на 24 байта. Медианное ускорение по тестам 2,07 раза, максимум 3,37; на fib и binary_tree Plush обошёл Lua на 24% и 55%. главный вывод автора: в интерпретаторе решает число инструкций, которые надо продиспетчеризовать, и «стековые байткод-интерпретаторы в 2026 году писать, вероятно, не стоит». Тесты сборщика мусора не ускорились совсем. Методика замеров и что забрать в свой DSL, на сайте.

модель на 125 млрд параметров запустили на Mac с 48 ГБ памяти: веса весят 105 ГБ и подгружаются с SSD Карлос Галарса выложил slotstream, инструмент на Swift для Qwen3.8-Flash-Next. Модель устроена как mixture of experts: 512 экспертов на слой, активны 10 на токен, поэтому в память грузятся только нужные, через pread в фиксированный пул слотов. Постоянно в памяти 3,8 ГБ, процесс занимает около 33 ГБ, генерация примерно 12 токенов в секунду на M5 Pro. цена: обработка промпта на 8000 токенов около 39 секунд, на 32 000 около трёх минут, контекст ограничен 32 768. Только Apple Silicon, macOS 14 и 110 ГБ свободного места; API совместим с Ollama и OpenAI. Почему обычный mmap не сработал, на сайте.

Google показала, как запустить Mantis: тот же ИИ-конвейер ищет уязвимости в её собственном коде Google 2 сентября выпустила инструкцию по Mantis, открытому набору скиллов для кодинг-агентов, который ищет уязвимости, воспроизводит их в песочнице и пишет патч. Репозиторий google/mantis лежит на GitHub с июня под Apache-2.0, а теперь к нему вышел гайд «как начать», в котором Google представила скилл mantis-advise: он подсказывает агенту безопасные решения до того, как тот напишет код. внутри 16 последовательных стадий плюс вспомогательные скиллы, каждая стадия отдельная слэш-команда: разбор истории коммитов, модель угроз, поиск, отсев ложных срабатываний, воспроизведение, патч и отчёт. По словам Google, у «наивного» ИИ-сканирования доля настоящих находок часто ниже 7%, и Mantis лечит это агентами-критиками и обязательным воспроизведением. Ставится через git clone https://github.com/google/mantis.git или npx skills add google/mantis, агент подойдёт любой. Исполняемый код запускается только в изолированной среде без сети, лучше в отдельной VM: README предупреждает капслоком, что конвейер исполняет сгенерированный код. Как собран конвейер и что он не обещает, разобрали на сайте.

в стандартной библиотеке Rust и в musl нашли одинаковую ошибку округления, и найти её помогла языковая модель разработчик под ником Shnatsel реализовывал fused multiply-add для своей библиотеки и нашёл ошибку на субнормальных числах. Та же ошибка оказалась в f32::mul_add и std::simd Rust и в fmaf() из musl: результат отличается на один младший бит. Контрпример к первой версии исправления нашла LLM, которую автор попросил искать баги. проявляется только при программной эмуляции FMA: старые и дешёвые Intel без AVX2, Hygon, 32-битный ARM. ARM64 не затронут. Проверка из трёх hex-чисел, состояние патчей в Rust и musl и кому это вообще важно, на сайте.

CSS теперь сам знает, какой по счёту элемент в списке: sibling-index() заработал во всех браузерах с выходом Firefox 154 функции sibling-index() и sibling-count() поддерживают все три движка: Chrome с версии 138, Safari с 26.2, Firefox с 154. Первая возвращает номер элемента среди соседей, вторая общее число детей, обе работают внутри calc(). ступенчатая задержка анимации в списке теперь одна строка: animation-delay: calc(sibling-index() * 80ms), без --i в каждом элементе и без JavaScript. Оговорки: считается дерево DOM, а не flat tree, на границе Shadow DOM функция может вернуть 0, а статус «widely available» по Baseline ожидается только в 2029 году. Примеры и обёртка в @supports на сайте.