Типичный программист

Claude Code вписывает ссылку на сессию в коммиты — проверьте свою историю Claude Code по умолчанию дописывает в сообщения коммитов и описания пул-реквестов строку вида https://claude.ai/code/session_… — ссылку на сессию, в которой сделаны изменения. Отдельного предупреждения нет: многие узнают об этом, уже увидев ссылки в истории рабочего или опенсорсного репозитория. Issue с просьбой сделать поведение опциональным открыли в июне и в августе закрыли, но умолчание не поменялось — на выходных тема снова разошлась по Hacker News. Что видно по ссылке, зависит от настройки видимости сессии: приватная чужому аккаунту не открывается, публичная — любому вошедшему. В истории репозитория в любом случае навсегда остаются факт работы агента и идентификатор сессии. Отключается в ~/.claude/settings.json (для облачных веб-сессий — в репозиторном .claude/settings.json): "attribution": {"commit": "", "pr": "", "sessionUrl": false} Проверить, что уже накоммичено: git log --grep="claude.ai/code".

Наберите id: если там есть группа docker, у всего, что вы запускаете, уже есть root Omarchy — готовая сборка Arch Linux от Давида Хайнемайера Ханссона, автора Ruby on Rails, одна из самых заметных за последний год. Исследователь, пишущий под ником 0xcc, разобрал настройки по умолчанию и показал, что любой процесс в пользовательской сессии мог получить root: без пароля, без sudo и без единого запроса на повышение прав. Механизм короткий. Установщик добавлял пользователя по умолчанию в группу docker. Демон Docker в Arch работает от root и слушает сокет /var/run/docker.sock. Кто дотягивается до сокета, тот просит демона поднять контейнер от root, примонтировать в него любой кусок файловой системы хоста и делать с файлами что угодно. Одной команды хватает, чтобы прочитать то, что читать нельзя: docker run --rm -v /:/hostroot alpine cat /hostroot/etc/shadow Дополнительные группы наследуются дочерними процессами, поэтому право доставалось всей сессии целиком: браузеру, редактору, npm-скриптам, агентам в терминале. Взлом любого обычного приложения сразу означал взлом машины. Затронуты версии до 4.0.1, включая ветку 3.x; членство в группе убрали из конфигурации по умолчанию 24 августа. Про саму группу docker документация Docker предупреждает прямо: членство в ней равносильно правам root. Проблема здесь в том, что решение приняли за пользователя и включили по умолчанию, а в документации сборки описали словами «нужные изменения групп, чтобы вы запускали Docker не от root» — читается ровно наоборот. Поэтому проверка полезна не только владельцам Omarchy. Наберите id на рабочей машине и посмотрите, есть ли в списке docker. #безопасность

Сегодня у нас в Нейроканале вышел свежий обзор новых опенсорс-моделей. Заходите, там много чего интересного публикуем для тех, кто кодит с нейронками. Помогаем понять что лучше сейчас использовать в работе, какие подписки брать, автор отслеживает рынок каждый день.

Tailscale выложила netcat, которому не нужны ни аккаунт, ни root Перекинуть поток данных или пробросить порт между двумя машинами за NAT обычно означает поднимать VPN или искать сторону с белым адресом. Tailscale открыла исходники Tailcat — утилиты, которая делает это как netcat, но с уже зашифрованным каналом. Одна машина запускает сервер и печатает короткий токен, вторая подключается по этому токену, трафик идёт через WireGuard. Аккаунт Tailscale не нужен: утилита берёт сетевой слой продукта без его control plane. Root тоже не нужен — всё живёт в пространстве пользователя, без tun-интерфейса, правки маршрутов и настройки DNS. Кроме передачи потока умеет пробрасывать локальный порт, поднимать встроенный SSH-сервер на Linux и macOS, когда системного sshd на той стороне нет, и работать прокси по SOCKS5. В нашем канале «Инструменты программиста» разобрали подробнее, включая оговорку авторов про несовместимость будущих версий.

Бинарник на musl оказался на 26% медленнее glibc даже с хорошим аллокатором musl — лёгкая libc, на которой собраны Alpine-образы Docker и самодостаточные статические Linux-бинарники «один файл — и работает». Джонатан Эллис, сооснователь DataStax, много лет возглавлявший проект Apache Cassandra, замерил цену этого удобства на рабочей нагрузке своего Rust-инструмента. Со штатным аллокатором musl проигрывает разгромно, причём не только под высокой конкурентностью, где его чаще всего ругают: замеры шли на обычных четырёхъядерных машинах EC2. Замена аллокатора на mimalloc убрала большую часть разрыва, но 26% остались — профилирование указало на базовые процедуры работы с памятью внутри самой libc. Эллис оставил musl только маленьким утилитам, где важен размер файла, а из инструмента, чувствительного к скорости, убрал готовую musl-сборку. Если ваш сервис живёт в Alpine и упирается в процессор — сравните обе libc с одинаковым аллокатором на своей нагрузке.

47% кода профессиональные разработчики отдают агентам целиком В мае–июле JetBrains спросила больше 15 000 профессиональных разработчиков: какую долю кода за последний месяц вы сгенерировали агентами полностью, какую написали с подсказками ИИ, а какую руками. В среднем вышло 47% полностью агентского кода против 27% ручного. Больше половины пишут руками меньше 20% кода, каждый пятый не пишет ни строчки без ИИ. При этом группа, у которой агенты дают больше 80%, остаётся меньшинством в 22%. По языкам разрыв заметный: у Go, JavaScript и TypeScript в среднем 54–55% агентского кода, у C и C++ — 33%, и именно они держат самую высокую долю ручного письма, 38%. Сеньоры отдают агентам больше джунов: у четверти сеньоров агентского кода за 80%. По регионам ещё резче. В Китае, Японии и Южной Корее тех, у кого агенты пишут больше 80% кода, 32–35% против примерно 16% в Европе и Великобритании. Полные разрезы — в отчёте. #ии

Есть один разработчик, который искренне верит, что отпуск случится сразу после релиза. Проблема в том, что релизы у него не заканчиваются никогда. 😅 Сам он с места не сдвинется, поэтому нужна ваша помощь. В новой мини-игре вам предстоит разгрести бардак, найти билет, собрать чемодан и приодеть программиста для отпуска. Заодно собирайте промо-коды от партнёров! Играть

Почему mold линкует Firefox за 0,89 секунды, а lld — за 4,44 Автор линкера mold Руи Уэяма опубликовал статью о его устройстве. Секрет в том, что весь конвейер держит занятыми все 32 ядра одновременно: разбор входных файлов, разрешение символов через compare-and-swap, слияние строк, запись результата. На больших проектах mold быстрее lld в 2,4–16 раз и до 112 раз быстрее GNU ld. Цена — свои эвристики: из 19 000 пакетов Gentoo не собрались два. В «Сохранёнках программиста» разобрали статью подробнее.

ИИ-краулеры заняли пятую часть мощности git-серверов ядра Linux Скрейперы, собирающие данные для ИИ, открывают через веб-интерфейс cgit миллиарды HTML-страниц коммитов, хотя любой репозиторий можно склонировать одной командой. На пяти нодах git․kernel․org рендеринг страниц для ботов постоянно занимает 14–16 из 90 ядер, при этом на живых людей, по щедрой оценке автора, приходится около 2% запросов. Proof-of-work-защита Anubis отсекает две трети из примерно 6 млн запросов в день, но остальные проходят: боты научились решать её задачи и ходят с миллионов домашних и мобильных адресов — прокси-SDK встраивают в том числе в бытовую электронику, — поэтому по адресам их не отрежешь. Инфраструктура уже отключает дорогие веб-функции для анонимных посетителей. Константин Рябицев, который сопровождает git․kernel․org, разобрал нагрузку в цифрах. Если держите публичный сайт с «дорогими» страницами, посчитайте их трафик отдельно: в общем числе запросов боты не видны.

PayPal перестал запускаться на защищённом Android и решил, что телефон взломан Пользователи Pixel с GrapheneOS обновили PayPal до 10.10.0 и получили падение на старте: RootDetectionSecurityException: Security policy violation: s=root. Root на этих телефонах отсутствует — GrapheneOS его не поддерживает, а Play Services там настоящие. Детектор принял за взлом усиленную защиту самой операционной системы. Тред на Hacker News собрал 226 комментариев за 7 часов. Механика такая: защита от вскрытия в приложении сама подгружает код динамически, ужесточённая ОС это блокирует, и детектор делает вывод, что его пытаются вскрыть. Приложение оживает, если в настройках GrapheneOS для PayPal выключить Secure app spawning или разрешить динамическую загрузку кода. Если вы пишете приложение с проверкой на root, это повод прогнать её на телефоне с защитой строже стоковой. В нашем канале «Представляешь,» разобрали случай подробнее. #безопасность