Где держать Telegram-бота или API, чтобы они не падали под нагрузкой и не съедали бюджет?

Tproger собрал подборку из шести VPS-провайдеров под этот сценарий: от тарифов за пару сотен рублей в месяц до конфигураций с DDR5 и портом 10 Гбит/с. У каждого свой акцент — где-то посуточная оплата и запуск за минуту, где-то API для CI/CD, бэкапы и приватные сети, где-то зарубежные локации.

Внутри по каждому провайдеру: реальные конфигурации, цены, на какой нагрузке тестировали и под какой сценарий брать.

https://tproger.ru/articles/gde-razvernut-bota-ili-api---podborka-vps--kotorye-ne-tormozyat

@prog_stuff

Linux Foundation собрала IT-гигантов против ИИ-атак на open source

25 июня Linux Foundation запустила Akritis, программу для защиты open source от уязвимостей. В коалицию вошли AWS, Anthropic, Google, Microsoft, OpenAI, NVIDIA, GitHub и Red Hat. «Единый координированный процесс раскрытия уязвимостей» по-русски значит, что мейнтейнеры получат одну очередь вместо сотни конфликтующих отчётов.

Akritis не форкает проекты и не навязывает мейнтейнерам политику. Она валидирует уязвимости, готовит патчи и возвращает их в исходный проект, а если автор пропал, берёт на себя его роль.

ИИ находит эксплуатируемые баги за минуты, а время от обнаружения до взлома уже ушло в «минус семь дней». Раньше нужна была экспертиза, теперь достаточно доступа к языковой модели. Подробности в материале.

Кто-то выложил эксплойт для bootrom Apple A12/A13, и он работает через USB

Представьте: вы подключаете устройство к Raspberry Pi Pico, и до загрузки ОС чип уже выполняет ваш код. Репозиторий usbliter8 делает именно это: атакует SecureROM в процессорах Apple A12, A13 и S4/S5 прямо через USB.

Автор собрал эксплойт на Raspberry Pi Pico с PIO-USB, написал shellcode под несколько чипов и выложил всё на GitHub. Меня цепляет, что это не джейлбрейк в привычном смысле, а работа на уровне bootrom (постоянной прошивки, которая запускается раньше ОС). Устройство цепляется до старта операционки, поэтому софтовые патчи Apple тут бессильны.

Проект больше про инженерный разбор, чем про практичность: A12X/Z пока не реализован. Но если вам интересно, как устроена защита мобильных чипов изнутри, репозиторий стоит открыть.

Разработчик портировал Linux на Sega MegaDrive

Sega MegaDrive, классическая консоль для игр, вдруг получила собственный порт Linux. Звучит как шутка, но в репозитории linuxmd лежит работающий порт.

Там есть ядро Linux, загрузчик u-boot, rootfs через buildroot, собственные утилиты и даже QEMU для отладки. Автор написал скрипты сборки toolchain, ядра и rootfs, чтобы процесс можно было повторить.

Главное здесь — проект заточен под реальное железо: в репозитории есть скриншот загрузки u-boot с EverDrive. Код и инструкции на GitHub.

ИИ атакует на стыке компонентов: prompt injection больше не про розыгрыши

Эксперты на InfoQ рисуют серьёзную картину. Самые опасные атаки на ИИ-системы лезут через стыки: там, где недоверенный ввод встречается с системными инструкциями, внешние данные попадают в обучающие пайплайны, а модель получает доступ к инструментам и привилегиям.

Авторы говорят о модели как о непредсказуемом агенте, а не о надёжной библиотеке. Статических правил недостаточно — нужно постоянно валидировать поведение, ограничивать каждое действие и мониторить модель так же, как вы мониторите прод.

Вывод: безопасность ИИ сводится не к идеальной защите, а к видимости и устойчивости. Инвестируйте в мониторинг, управление данными и совместную работу security- и ML-команд.

Расходы на ИИ растут не из-за моделей, а из-за бардака с контекстом

Gartner называет главный драйвер: каждая задача агента собирает окно из документов, схем инструментов, compliance-правил и переписки — и пережёвывает эту гору заново на каждом шаге.

Классический сценарий: агенту нужно понять, связан ли сбой с деплоем. Он дергает GitHub MCP, чтобы узнать, кто владеет сервисом, лезет в Jira за свежими тикетами и в PagerDuty за инцидентами. Три вызова повторяются сотни раз в месяц, и тысячный прогон стоит столько же, сколько первый.

Авторы The New Stack запустили эксперимент: можно ли заранее связать контекст, чтобы агенты не таскали одни и те же токены по кругу. Если вы подключали агентов к десятку серверов контекста (MCP), узнаете боль.

В заголовке обещано снижение расходов на 80%, но в тексте эксперимент только начался, так что цифра пока гипотеза.

Асинхронный Rust врезался в потолок: две точки ожидания — 360 строк промежуточного кода против 23 у синхронного

Я думал, абстракции без накладных расходов в Rust: почти правда. Пока не увидел, как async-функция с двумя await разворачивается в конечный автомат из 360 строк IR. Синхронный аналог займёт 23 строки.

Для сервера терпимо. Для прошивки на 256 КБ или wasm-модуля, где каждый килобайт на счету, уже нет. Автор объясняет, почему rustc не схлопывает состояния, не раскрывает сопрограммы и оставляет путь при панике. В материале найдёте обходы: ручная реализация Future, готовое значение из std, сворачивание await через pattern matching и передача данных по ссылке.

#rust

VPS vs VDS vs виртуальный хостинг: что выбрать в 2026

Часто сервер выбирают по цене, а потом упираются в нехватку ресурсов, гибкости или поддержки. И почти никто не знает главного: VPS и VDS — это в большинстве случаев одно и то же, разница только в названии. Реально выбор идёт между хостингом (провайдер всё настроил, но конфигурация ограничена) и изолированным сервером с root-доступом.

В подборке 6 провайдеров под разные сценарии: от старта на виртуальном хостинге за ~123 рубля в месяц до VPS с зарубежными локациями. Внутри реальные цены, лимиты, условия по бэкапам, тестовым периодам и подсказки как сделать правильный выбор для своего случая.

Android 17 даёт приложениям функции, которые ИИ-агенты могут вызывать сами

Привыкли, что приложение ждёт, пока вы сами нажмёте кнопку? В Android 17 Google меняет правила: разработчик аннотирует функции приложения, и ИИ-агент может дергать их через Jetpack, получая доступ к локальному состоянию.

Приложение перестаёт быть островом и становится частью инфраструктуры для агентов. 16 июня вышел Android 17 с API 37, а 9 июня появился Android CLI 1.0. Теперь проект можно собирать из командной строки.

Вдобавок с 30 сентября разработчиков ждёт обязательная верификация в четырёх странах, а в Play сервисный сбор отделяется от платёжного. Разобрали дайджест июня — кто платит, кто мигрирует и что ломается.

Байесовский заговор в распознавании символов

90% точности у систем распознавания символов (OCR) звучит солидно, но математика жёстче: при 1% ошибок и 1% подделок в потоке половина «подозрительных» документов окажутся настоящими. То есть риск, что 50% документов может быть распознана ложноположительно или ложноотрицательно!

Разбираем на свежем кейсе, что с этим делать, чем промышленное распознавание отличается от Tesseract, собранного за выходные, почему OCR не галлюцинирует в отличие от LLM и как формула Байеса объясняет ложные отказы.

Читайте в новом материале Tproger!

Вышел Podman v6.0.0 — релиз, который несколько месяцев переносил сетевой стек с slirp4netns и iptables на Netavark, Pasta и nftables. Заодно добавили экспериментальную поддержку Pesto — rootless port forwarding, который сохраняет реальный source IP для контейнеров в кастомных сетях.

Quadlet получил REST API и более надёжное отслеживание связанных файлов, podman machine — команду os update и более гладкую работу с несколькими провайдерами VM разом. Docker-совместимость по API и выводу команд тоже подтянули.

Обновлять конфиги стоит внимательно: формат конфигурационных файлов Podman тоже поменялся.

@tproger

Цитата дня: ИИ-агент пишет код не как джуниор или мидл. Он пишет его как сеньор с деменцией.

@neuro_channel

Свежая притча про фичекрип облетела Hacker News сегодня: основатель продаёт печь с алгоритмом, который сам определяет время выпечки хлеба, тортов и пиццы. MVP работает через раз — треть выпечки сгорает, треть остаётся сырой, но пять клиентов из любопытства покупают, и раунд на 5 миллионов закрыт.

Дальше знакомая механика. Инженер предлагает урезать функциональность до одного вида выпечки и снизить брак до 5%, но фаундер уже пообещал инвесторам весь рынок целиком. Крупный корпоративный клиент просит нестандартные размеры и вращающееся основание «через пару месяцев» — команда делает невозможное за три недели вместо пяти, и это становится нормой ожиданий продаж.

Дальше — кнопка свечей для тортов на день рождения, режим для Рамадана, подключение к камину. Каждая фича добавляется по первому требованию, а исходный алгоритм, из-за которого выпечка горела в 10% случаев с первого дня, так и остаётся нетронутым. Вращающееся основание для корпоративного клиента остаётся вторым по приоритету тикетом — а второй приоритет, как известно, никогда не становится первым.

@tproger

Коллеги из Нейроканала собрали, чем жила индустрия ИИ на этой неделе.

Главное: вышел Sonnet 5 — по возможностям близка к Opus 4.8, но заметно дешевле, контекст на 1 миллион токенов. Google открыла разработчикам Nano Banana 2 Lite и Gemini Omni Flash — самую быструю генерацию картинок в линейке и видеомодель с разговорным редактированием. Meituan выложила в открытый доступ LongCat-2.0 — MoE на 1,6 триллиона параметров, обученную целиком на китайских ASIC. Появился и Claude Desktop под Linux — пока только Ubuntu и Debian, без управления компьютером.

Сага с Fable 5: после снятия ограничений Anthropic вернула модель с лимитом 50% недельной квоты до 7 июля, потом подняла лимиты Claude Code на 50% до 13 июля, а под конец недели напомнила, что полноценная безлимитная подписка вернётся «когда позволят мощности» — не раньше 7 июля.

Открытые и дешёвые альтернативы: Zhipu раздаёт по 3 млн бесплатных токенов GLM-5.2 в день через агент ZCode, а китайская версия GLM Coding Plan оказалась в разы дешевле международной. Poolside обновили компактную модель для агентного кодинга Laguna XS 2.1 с приростом на SWE-bench.

Для рынка РФ: Cloud.ru открыли доступ к Claude, GPT, Gemini и DeepSeek через один аккаунт — по сути замена OpenRouter, который этим летом начал блокировать российские аккаунты.

И традиционный топ-20 трендов Hugging Face за неделю: новые Qwythos-9B, Ornith-1.0, Qwen-AgentWorld, Krea 2 и Unlimited-OCR, а в топе по-прежнему держится GLM-5.2.

Подробности, цифры и обсуждение — в постах канала.

@tproger

GoFrame — интерфейсы на Go через WASM

Если хотите React-подобные компоненты, но с Go-типами в браузере, посмотрите на GoFrame. В разработке участвовал наш подписчик, который и рассказал о нём. Экспериментальный фреймворк компилирует Go в WebAssembly и предлагает JSX-подобный синтаксис в файлах .gox. Пока это не замена React/Vue, а песочница для типобезопасного фронтенда. Авторы, кстати, просят фидбек. Так что не поскупитесь на комментарии.

Я сохранил ссылку, чтобы посмотреть на совмещение строгой типизации Go с компонентным рендерингом. Если экспериментируете с WASM, заходите. Вы бы написали фронтенд на Go?

Вот-вот уже

NetBSD не для игр, но в неё уже заводится Vulkan

NetBSD — система, которую обычно ставят на роутер или ретро-машину, а не на игровой ПК. Автор проекта vulkan-netbsd решил проверить, сколько усилий нужно, чтобы заставить её понимать современный графический API. Он собрал Mesa с Lavapipe, софтверным Vulkan-драйвером, который рисует на CPU без дискретной видеокарты. В итоге libvulkan_lvp.so (~17 МБ) встал в /usr/pkg/lib, манифест зарегистрировал поддержку Vulkan 1.4, а ldd разрешил все зависимости.

Пока реальные Vulkan-приложения ещё не запускаются: не хватает Vulkan loader. Но цепляет тут другое: энтузиаст доказал, что стек Vulkan можно собрать и завести на ОС, для которой никто не делал игровых драйверов. Это про переносимость и упрямство, а не про FPS.