WhatsApp* классифицирует мошеннические сообщения на устройстве, не нарушая сквозное шифрование

Задача с виду противоречивая: распознать мошенническое сообщение и не прочитать переписку. Meta* публикует технический обзор Scam Alert до массового выката, вместе с ограниченной бетой, и приглашает исследователей безопасности его ломать.

Решение целиком на устройстве: содержимое сообщений не покидает телефон ради классификации и не отправляется автоматически ни в WhatsApp*, ни в Meta*, ни кому-либо ещё. Функция опциональна и включается пользователем.

Принципы названы прямо: модель достаточно мала, чтобы работать на мобильном железе, достаточно проста, чтобы её опубликовать для независимой проверки, и достаточно эффективна без серверной части. Недавние успехи в моделях на устройстве как раз и сделали такой размен возможным.

*Компания Meta и её продукты признаны экстремистскими, их деятельность запрещена на территории РФ.

Все агенты собраны из восьми способностей, а не из отраслевых рецептов: книга на 60 паттернов

Первая волна литературы про агентов была устроена по отраслям: как построить агента для медицины, для финансов, для программирования. Автор считает, что такая рамка теперь мешает: если убрать промпты и наборы инструментов, медицинский и кодовый агент запускают одни и те же пять-шесть архитектурных паттернов, а различия косметические.

Книга переупорядочена вокруг способностей. Их восемь: восприятие, рассуждение, планирование, память, работа с инструментами, координация, обучение и выравнивание. Любой работающий агент, от скрипта в cron, который сводит вам почту, до многоагентной системы, готовящей документы по слиянию, это композиция этих восьми в разных пропорциях.

Для каждого из 60 паттернов даны код, режимы отказа и сводные примеры. Объём книжный, так что это чтение на недели, а не на вечер.

CSRF с нуля: почему POST в Spring Boot отдаёт 403 и почему отключать защиту не выход

Сценарий, с которого начинается текст, узнаваем: вы пишете REST API на Spring Boot, ловите неожиданные 403 на каждом POST и «чините» это строчкой .csrf(csrf -> csrf.disable()) в цепочке фильтров.

Справочник разбирает предмет снизу вверх: сначала механика браузера, из-за которой атака вообще возможна, потом сами атаки, и только затем реализация защиты в Spring Security.

Автор связывает материал со своим гайдом по OAuth 2.0, где параметр state упоминался вскользь как защита авторизационных потоков от CSRF. Здесь та же тема разворачивается целиком. Сохранять стоит тем, кто отвечает за аутентификацию на бэкенде.

От первых сайтов на HTML до нейросетей — веб прошёл долгий путь, и SpaceWeb прошёл его вместе с рунетом все свои 25 лет. К юбилею компания вместе с Типичным программистом сделала анкету, где эта история рассказана между вопросами про спорт, друзей и обои на рабочий стол, а нужную атмосферу создают аська, скайп и биткоин из разных эпох.

В конце — небольшой взгляд в будущее, промокод на услуги SpaceWeb и результат: узнаешь свой цифровой профиль.

Четыре джойна в SQL против одного запроса в графе: справочник по Neo4j и Python

Рамка задана вопросом, который легко произнести и тяжело написать: у каких инженеров есть свежий контекст по сервисам, задетым ночным инцидентом. В SQL это четыре или пять джойнов, каждый строит промежуточный результат шире нужного ответа и тут же выбрасывает большую часть. Запрос замедляется по мере роста таблиц и хуже читается с каждым возвращением к нему.

Справочник ведёт от пустой базы до работающего графа знаний: загрузка настоящих данных из Python и запросы, на которых идея становится понятной.

Разобраны части, которые туториалы пропускают: как решить, что становится узлом, почему первая модель данных почти наверняка неверна, как ускорить загрузку и как читать план запроса, когда что-то тормозит.

Агентам дали писать стратегии, но не дали решать, что считать удачным результатом

Агент для торговых исследований умеет написать код стратегии, прогнать бэктест, посмотреть результат и переписать стратегию заново. Сложность не в этом цикле, а в том, чтобы он не превратился в неуправляемый поиск красивого бэктеста.

В справочнике систему строят так: исторические данные даёт EODHD, а детерминированный слой на Python держит в своих руках разбиение выборок, логику бэктеста, бенчмарки, историю экспериментов и правила отбора. Внутри этих границ работают три агента: координатор, инженер стратегий и критик исследования, которые проходят три версии стратегии.

Цель проговорена прямо: доказывать, что агенты надёжно находят прибыльные стратегии, автор не собирается. Он строит процесс, где агенты генерируют и оспаривают идеи, но не контролируют доказательства. Приём переносится на любую агентную задачу с измеримым результатом.

Асинхронный Rust в одном ряду с потоками и событийными циклами, а не сам по себе

Та же серия Эли Бендерски, часть седьмая: тот же набор задач конкурентного сетевого сервера решается средствами Rust.

Отдельная ценность в том, что асинхронный Rust обычно объясняют изнутри, через футуры и исполнители, и он выглядит вещью в себе. Здесь он попадает в общий ряд с потоками, событийными циклами и корутинами из предыдущих частей, и становится видно, чем именно он платит за свои гарантии.

В паре с восьмой частью, про Go, получается готовое сравнение двух подходов на одной задаче, написанное одним человеком в одинаковых условиях.

Горутины против потоков и событийных циклов: восьмая часть разбора конкурентных серверов

Эли Бендерски много лет ведёт серию, где один и тот же сетевой сервер переписывается разными средствами: последовательно, на потоках, через событийный цикл, на обратных вызовах, на корутинах. Каждая часть решает уже описанные задачи новым способом и меряет результат.

Восьмая часть переключается на Go. Ценность именно в позиции внутри серии: горутины разбираются не как отдельная фича языка, а как очередной ответ на проблемы, которые в предыдущих семи частях уже разложены и измерены.

Читать можно подряд с первой части или точечно, если предмет знаком и нужно сравнение подходов. Ссылки на все части стоят в начале текста.

Вторая глава Logic for Programmers выложена целиком: предикаты, импликация и кванторы

Хиллель Уэйн писал книгу, потому что хороших материалов по логике именно для программистов не было. Книга вышла, и появилась обратная проблема: нет хороших бесплатных. Автор выложил вторую главу целиком в виде поста.

Глава называется ускоренным курсом и вводит понятия с нуля: предикаты, оператор импликации, множества и кванторы над ними. Автор подчёркивает, что многое читателю знакомо по опыту программирования, просто называется иначе.

Все сноски в посте это редакторские комментарии, которых в книге нет. Удобный способ понять, нужна ли вам книга, потратив вечер вместо покупки.

Биргитта Бёкелер разбирает, превращается ли TDD в руках агента в ритуал без содержания

Материал входит в серию Exploring Gen AI, где технологи Thoughtworks публикуют результаты собственных экспериментов, а не обзоры чужих мнений. Автор — Distinguished Engineer с двадцатью с лишним годами в разработке и архитектуре.

Вопрос поставлен честно прямо в заголовке: театр или реальная польза. Разбирается в том числе вариант, что цикл красный-зелёный-рефакторинг в руках агента становится обрядом, который ничего не проверяет.

Стоит времени, если вы сейчас решаете, встраивать ли тесты в промпт или писать их после, и не хотите принимать это решение по ощущению.

Meta переписала транспорт RDMA с нуля под Ethernet и кластеры в миллион ускорителей

Коллективные операции вроде all-reduce синхронизируют тысячи ускорителей во время обучения, и темп всей задачи задаёт самая медленная передача. В инференсе задержка между шардами модели напрямую бьёт по времени ответа для сотен миллионов пользователей. Даже небольшое трение в сети замораживает заметные вычислительные мощности.

Проблема со стандартным RoCE в том, что он ожидает доставку каждого кадра по порядку, опирается на PFC и мешает распылению пакетов, которое как раз и даёт производительность в больших многоплоскостных сетях. MetaRoCE спроектирован с чистого листа под высокую пропускную способность, низкий хвост задержек и простоту эксплуатации по мере роста числа ускорителей и расстояний между ними.

Спецификацию, эталонную реализацию и набор тестов на соответствие выкладывают через Open Compute Project. Масштаб, на который это рассчитано: кластеры в сотни тысяч ускорителей, разнесённые по нескольким дата-центрам и регионам.

Многостадийная модель дала Meta* 6% конверсий в Instagram* и предсказуемые законы масштабирования

Система ранжирования обязана достать и отсортировать тысячи объявлений за миллисекунды, перебирая миллионы кандидатов в секунду. Раньше это решалось гибридной схемой, где последовательности пользовательских событий обрабатывает одна модель, а разреженные признаки другая, со всеми вытекающими компромиссами.

В статье описаны два изменения: многостадийная модель последовательностей, разводящая тяжёлое офлайновое моделирование пользователя и лёгкое онлайновое ранжирование, и приём с плотной токенизацией и вниманием, учитывающим цель, который выучивает взаимодействия признаков прямо из данных.

Совокупный результат: плюс 6% конверсий в Instagram*, плюс 3% конверсий в Facebook* и плюс 3,5% кликов по рекламе в Facebook*. Всё это часть Generative Ads Recommendation Model.

*Компания Meta и её продукты признаны экстремистскими, их деятельность запрещена на территории РФ.

Восемь дыр в семи консольных ИИ-агентах: репозиторий сам называет команду для запуска

Manifold Security раскрыла класс уязвимостей, где конфигурация Git внутри репозитория указывает команду, а агент её выполняет: от вашего пользователя, вне песочницы и без запроса подтверждения. Четыре из восьми на момент публикации не закрыты.

🔘 срабатывает, только если репозиторий приехал файлами с целой директорией .git: архив, общий диск, папка синхронизации, флешка. Обычный clone не воспроизводит;
🔘 пофикшено в goose, Claude Code и Cursor; на 1 сентября Hermes Agent, Qwen Code, Grok Build и второй путь в Claude Code всё ещё выполняли команды из репозитория;
🔘 в Claude Code и Hermes нагрузка срабатывает до подтверждения доверия к папке, в Qwen Code до аутентификации, в Grok Build на первом нажатии клавиши;
🔘 OpenAI в тот же день выпустила три своих CVE на тот же класс в Codex.

#инструменты

Дэн Лу: стоимость работы над производительностью упала на порядки, и оправданий у медленного софта не осталось

Тезис эссе в том, что оптимизации, раньше окупавшиеся только на огромном масштабе или в самых прибыльных проектах, стали доступны всем: то, что требовало человека с редким набором навыков, теперь делается несколькими предложениями запроса.

Дальше идут возражения практиков, и они интереснее самого тезиса. Марк Брукер соглашается и добавляет, что вероятный итог это динамический софт, подогнанный под конкретную нагрузку, а не под класс нагрузок, со своими рисками; он же вспоминает FFTW и приёмы демосцены вплоть до демки, переиспользовавшей собственный код как текстуры ради попадания в кеш.

Майкл Малис возражает мему «код никогда не был сложной частью»: для JIT-компиляторов написание кода как раз и было барьером, и их редкость это доказывает. Читать стоит целиком, вместе с ветками ответов.

Что на самом деле обещает wait-free-очередь на Rust

Обстоятельный разбор на dev.to ведёт от вопроса «что вообще значит wait-free» до рабочей очереди на Rust. Атомарные операции убирают мьютекс, но не обещают, что поток закончит операцию за конечное число шагов, если соседний поток застрял у планировщика. Wait-free означает именно верхнюю границу шагов.

Что разбирают по дороге:
• чем wait-free отличается от lock-free и obstruction-free;
• почему очередь даётся сложнее, чем кажется;
• как кольцевой буфер фиксированного размера и номера последовательности решают, чья сейчас ячейка;
• где реализация остаётся тонкой даже после того, как код заработал.

Rust отсекает часть ошибок работы с памятью, но гарантию прогресса даёт алгоритм, а не компилятор.

Сохраните, если строите событийный пайплайн, где продюсеры быстрее консьюмеров: выбор между Mutex и атомиками перестаёт быть вопросом вкуса.

Сколько платформы достаточно: когда внутренняя платформа становится вторым продуктом

DevOps ускорил путь изменений до продакшена, но тестирование, безопасность и поддержку каждая команда тянет сама. Внутренняя платформа забирает это на себя и легко разрастается в отдельный продукт с бэклогом. Статья на 15 минут в InfoQ разворачивает доклад с KubeCon EU 2026 и опирается на опыт Wehkamp, крупного онлайн-универмага Нидерландов.

Рамка Джона Китса:
— начинать с узких мест доставки, а не со сборки полной платформы;
— один рекомендованный маршрут выката и явный выход для тех, кому он не подходит, вместо поддержки всех случаев;
— вкладываться туда, где снимается дублирование между командами;
— вести платформу как продукт, по обратной связи пользователей.

Успех автор меряет скоростью доставки и снятой нагрузкой, а не числом возможностей.

Сохраните, если спорите, что добавить в платформу.

ThreadSanitizer перестаёт находить гонки после 255 потоков

Фил Итон разбирает на The Consensus, что такое гонка данных, как устроен детектор гонок и какие баги есть у самого детектора. Внутри: идеализированный интерпретатор многопоточного C на Python и векторные часы в стиле FastTrack, на которых видно, как детектор сопоставляет обращения к памяти из разных потоков.

Рамка: TSan встроен почти во все тулчейны (Clang, GCC, Go, Swift, OCaml), но документации у него нет. Опубликован алгоритм второй версии (2012), а про третью (2021) автор предлагает читать исходники.

Дальше показано, как перегрузить внутренние структуры TSan, чтобы он молча пропустил очевидную гонку. Одна из границ: процесс, создавший за свою жизнь больше 255 потоков. Для Go-сервиса с горутиной на запрос это обычный день.

Сохраните, если полагаетесь на go test -race в CI: зелёный прогон не доказывает, что гонок нет.

Перевод HSL в RGB укладывается в четыре строки без единого if

Классическая реализация hslToRgb разбирает шесть секторов цветового круга ветвлениями и отдельно обрабатывает серый. В заметке о самодельном конвертере цветов приводится компактная запись: k(n) = (n + h/30) % 12, амплитуда a = s * min(l, 1-l) и функция f, которую зовут трижды: с 0, 8 и 4. Все три канала считаются одним выражением, а серый выпадает сам: при нулевой насыщенности a = 0, и f возвращает светлоту.

Формула не авторская: то же преобразование приводит образцом спецификация CSS Color 4, так что за краевые значения можно не волноваться. Заметка короткая, остального в ней немного: почему для браузерного инструмента без сборки автор отказался от npm-пакета color и как признаёт, что писал код с плотной помощью ИИ.

Сохраните, если держите свои утилиты для цвета и не хотите тянуть зависимость ради одной математики.

Почему P99 вырос до 3 секунд, хотя модель была ни при чём

Разбор production-кейса на The New Stack (плюс видео): ML-приложение для биржевой торговли держало нагрузку в тестах и посыпалось под реальной конкурентной нагрузкой. Виноватой считали модель, а тормозило чтение признаков.

Около 740 000 операций в секунду — и P99 (худший ответ из сотни) подскакивает до 3 секунд, притом что средние задержки выглядят здоровыми. Каждый вызов модели делал всего несколько чтений признаков, но они вставали в очередь за записями. На высокой конкурентной записи начинается борьба за блокировки, и ретраи, раздутые кэши и тюнинг пула соединений уже не спасают.

Хвостовая задержка не баг, который можно починить, а свойство вашей архитектуры.

Гонять нагрузочные тесты стоит по хвосту, а не по среднему: если P99 растёт вместе с конкурентной записью, смотреть надо на слой хранения признаков, а не на модель.

Почему Cloudflare пересжимает кэш в zstd, а не хранит байты как есть

Диски и память за год подорожали, а объём кэша упирается в закупленное железо. Cloudflare разбирает прототип Cache Transcoding: ответ на входе в кэш кодируется zstd в прокси Pingora, лежит сжатым на диске, в таком же виде едет между дата-центрами через Tiered Cache и раскодируется перед отдачей клиенту.

Что в разборе:
— почему хранение ответа в кодировке, которую прислал сервер-источник, тратит диск впустую;
— почему zstd, а не Brotli: на прошлых тестах Cloudflare он сжимал на 42% быстрее при том же размере;
— где проходит граница по CPU и почему остановились на третьем уровне zstd.

На первых замерах подходящие ответы ужимались до ⅓ размера на диске. Но это прототип со стажировки: рост нагрузки на процессор пока оценочный.

Сохраните, если считаете стоимость хранилища или выбираете, чем сжимать холодные данные.

Почему нельзя пересчитывать ликвидацию всех счетов на каждом тике

На бирже с кредитным плечом задержка оставляет убыток площадке, а раннее срабатывание закрывает обеспеченную позицию. Инженерный разбор показывает, почему проверка счёта требует работы в реальном времени.

При изменении цены или позиции движок сопоставляет средства счёта и текущую прибыль или убыток с минимальным обеспечением. Полный перебор отстаёт во время волатильности. Поэтому цены ликвидации вычисляют заранее и пересчитывают только счета, которым эта цена угрожает. Проверку запускают сделка, пополнение, вывод или выплата финансирования, а не таймер.

Компромисс: медленно значит убыточно для площадки, слишком агрессивно значит потерять клиента. Материал для разработчиков торговых систем и систем обработки событий: дальше источник объясняет, почему расчётная цена становится критическим входом безопасности.