Open source — July 2026

540% рост атак на цепочки поставок — а вы знаете, что внутри вашего кода?

Вот цифра, которая заставляет задуматься: от 70 до 90% кодовой базы типичного приложения — это не ваш код. Это open source библиотеки, их зависимости, зависимости зависимостей и ещё пара уровней вглубь. Когда вы добавляете spring-boot-starter-web в Java-проект, вы тянете десятки транзитивных пакетов, которые даже не выбирали. И именно там чаще всего прячутся CVE.

🔎Число атак на цепочки поставок ПО выросло на 540% за три года и удвоилось ещё раз к 2024-му. При этом большинство уязвимостей находится не в корневых пакетах, а в тех самых транзитивных зависимостях — на глубине, куда ваш package.json или pom.xml просто не заглядывает.

Для решения этой проблемы существует целый класс инструментов — SCA (Software Composition Analysis). Не путайте с SAST: SAST ищет баги в вашем коде, SCA фокусируется на том, что вы не писали, но запускаете каждый день. И вот почему это критично: без SCA-мониторинга компрометированная библиотека из npm или PyPI может тихо красть credentials, открывать бэкдоры или выполнять произвольный код в продакшне.

🎇Помните Log4Shell в декабре 2021-го? Команды без SCA тратили дни на ручной поиск: какие сервисы используют Log4j, какой версии, через какую транзитивную цепочку библиотека попала в проект. Те, у кого был работающий SBOM и Dependency-Track, получили список затронутых компонентов за минуты. Разница между инцидентом на пару часов и инцидентом на неделю.

Что стоит знать про практику:

• SBOM (Software Bill of Materials) — инвентаризация всех компонентов приложения. Без неё поиск уязвимостей — гадание вслепую. • Для генерации SBOM отлично работает syft от Anchore — поддерживает контейнеры, файловые системы, архивы. Результат можно сразу прогнать через grype для поиска CVE. • Из форматов SBOM для задач безопасности выбирайте CycloneDX (OWASP) — он проектировался под security use cases и нативно поддерживает VEX. • OWASP Dependency-Track — open-source платформа для непрерывного мониторинга зависимостей. Загружаете SBOM, получаете автоматический матчинг по базам уязвимостей.

➡️Минимальная точка входа — генерация SBOM в CI/CD на каждый билд. Это занимает пару строк в пайплайне, но превращает реакцию на следующую критическую CVE из паники в рутину.

Разобрали SCA-инструменты, Dependency-Track, Snyk, форматы SBOM и практические команды в полной версии статьи.

https://codeby.net/threads/analiz-zavisimostei-v-bezopasnosti-prilozhenii-sca-instrumenty-dependency-track-snyk-i-sbom-na-praktike.94864/

🔥 PyTorch Foundation постепенно превращается в основу open-source AI-стека

Теперь под её управлением сразу шесть крупных проектов:

• PyTorch — обучение моделей • vLLM — быстрый inference • DeepSpeed — распределённое обучение и оптимизация • Ray — масштабирование AI-нагрузок • Helion — высокопроизводительные GPU/TPU-ядра • Safetensors — быстрая и безопасная сериализация моделей

Идея интересная: собрать ключевые части жизненного цикла AI под нейтральным open-source управлением вместо десятков разрозненных проектов.

Уже есть заметные результаты: PyTorch 2.13, новый Model Runner V2 в vLLM, улучшения Ray для GB200/GB300, а Helion показывает сильную производительность на Blackwell и TPU.

Если интеграция между этими проектами продолжит усиливаться, PyTorch Foundation может стать для AI-инфраструктуры примерно тем, чем CNCF стала для cloud-native.

🔗 https://futurumgroup.com/insights/can-pytorch-foundations-multi-project-strategy-reinvent-open-source-ai/

Управляем серверами бесплатно — нашли отличный SSH-менеджер, который работает без подписок или рекламы.

Опенсорсный Termix может стать имбой для админов любого сервера. Он включает в себя как стандартные функции, так и расширенные:

• Двухфакторка, чтобы защитить ваши серверы и доступ к ним. • Годный интерфейс, разработанный на React и Tailwind CSS. • Терминал SSH с разделением экрана, управлением SSH-туннелями. • Удалённый редактор файлов с подсветкой синтаксиса. • Мониторинг вообще всех ресурсов серверов. • Менеджер Docker и Podman-контейнеров. • Много-много других фич, которые пригодятся админу.

Забираем — здесь.

ITeach

Путин подписал закон об ИИ

НАСТОЯЩИЙ МАТЕРИАЛ (ИНФОРМАЦИЯ) ПРОИЗВЕДЕН И РАСПРОСТРАНЕН ИНОСТРАННЫМ АГЕНТОМ THE BELL ЛИБО КАСАЕТСЯ ДЕЯТЕЛЬНОСТИ ИНОСТРАННОГО АГЕНТА THE BELL. 18+

Владимир Путин подписал первый в России закон о регулировании искусственного интеллекта. Он будет касаться моделей от 1 млрд параметров «с признаками универсальности», на основе которых можно, например, писать софт. Закон вводит понятия «суверенных» и «национальных» моделей — первые должны быть созданы российскими разработчиками с нуля, вторые могут включать сторонние опенсорс-компоненты. И тем, и другим государство предоставляет конкурентные преимущества — например, доступ к данным из федеральных информационных систем — в обмен на государственный же контроль и соответствие «традиционным духовно-нравственным ценностям».

Первоначальный вариант законопроекта был гораздо более радикальным, вплоть до запрета иностранного ИИ, и вызвал серьезное сопротивление рынка. Окончательный смягченный вариант — рамочный, конкретику чиновники установят в подзаконных актах. Наиболее чувствительные сферы применения ИИ вроде обороны, розыска и госуправления документ вообще не регулирует, оставляя это отдельным федеральным законам или президентским указам.

Большинство положений закона вступит в силу 1 сентября. Что изменится для российского рынка искусственного интеллекта и кому это выгодно, мы подробно разбирали в одном из выпусков Технорассылки.

✔️ Constella: локальная память для файлов, заметок и AI-агентов

Constella — open-source desktop-приложение, которое индексирует локальные файлы и превращает их в единую базу знаний для поиска и AI-агентов.

Данные хранятся на устройстве: LanceDB используется для векторов, SQLite — для метаданных и knowledge graph.

Что умеет:

- индексировать Obsidian, Documents, Downloads и любые выбранные папки; - извлекать текст из PDF, DOCX, Markdown и изображений; - строить семантический поиск по локальным данным; - автоматически связывать заметки, темы и концепты; - работать с локальными и облачными LLM; - отдавать базу знаний через MCP в Claude Code; - использовать агентов и переиспользуемые workflows.

Схема примерно такая:

Файлы ↓ chunks + embeddings ↓ LanceDB + SQLite ↓ Knowledge Graph ↓ поиск / агенты / MCP

https://github.com/Constella-OS/constella-desktop

🚨 Весь стек AI-ассистента переписали на Zig.

Проект называется NullClaw. Размер бинарника — 678 КБ, потребление памяти — около 1 МБ, запуск занимает меньше 2 мс. Без runtime, VM, фреймворков и garbage collector — только Zig. Почему это важно:

OpenClaw требует Mac Mini за $599 и больше 1 ГБ RAM NanoBot — больше 100 МБ RAM и Python PicoClaw — 10 МБ RAM и Go

NullClaw запускается на плате за $5 с 1 МБ RAM, предлагая ту же функциональность при использовании примерно 0,1% ресурсов.

В эти 678 КБ входят:

22+ AI-провайдера, включая OpenAI, Anthropic, Ollama, DeepSeek и Groq 13 каналов связи: Telegram, Discord, Slack, WhatsApp, iMessage, IRC и другие 18+ встроенных инструментов гибридный поиск по памяти: vector + keyword многоуровневая sandbox-изоляция через Landlock, Firejail и Docker поддержка Arduino, Raspberry Pi и STM32 MCP, subagents, streaming, voice и остальной стек

Каждая подсистема реализована как заменяемый интерфейс: провайдеры, каналы, инструменты и memory backend можно менять через конфиг без правок кода.

API-ключи по умолчанию шифруются с помощью ChaCha20-Poly1305. В проекте 2 738 тестов, около 45 000 строк Zig и нет зависимостей кроме libc.

Полностью бесплатно. Open Source.

👉 @PythonPortal

🥷🏻 OSINT, безпека та анонімність в Telegram

12 Best Telegram Search Engines — кращі пошуковики в Телеграм. 12 найпопулярніших та найефективніших пошукових систем, призначених для швидкого пошуку каналів і груп в Telegram без використання пошукових ботів. Автор перевірив всі ресурси з цього списку та додав свій короткий висновок до кожного із них.

Open-Source Intelligence or OSINT: You Can’t Hide on Telegram — ще одна стаття про Telegram. Ідентифікатори, юзернейми, боти, аналіз активності користувачів, груп та каналів на які підписаний/був підписаний користувач. Пошук каналів та груп в Telegram, оператори пошуку, використання Wayback Machine архівів.

Telegram OSINT Investigation — aнонімізація в Телеграм: використання SIM-карт з правильною юрисдикцією, маршрутизація через VPN/Tor, приховування активності. Відновлення видаленого контенту в Телеграм (Кеш Google, Wayback Machine та сторонні архіви). Медіа, документи та їхні метадані в Телеграм. Поведінковий аналіз користувача. Криміналістика ботів. Вторинний ринок нікнеймів як додатковий вектор аналізу.

https://t.me/cybersecurity_ua/947 — безпека та анонімність в Telegram, захист від "пробиву" та "деанону". Must have щодо використання месенджера Telegram, який повинен знати кожен користувач. Коротко, по суті, на конкретному прикладі з конкретним алгоритмом дій, без води. Українською мовою. Від автора, який розуміє, про що пише і нічого вам не намагається продати. #перевірка #безпека

#статья #ClaudeCode

⭐️ Хуки Claude Code: запрещаем агенту коммитить без прогона тестов

Знакомая сцена: длинная сессия, агент поправил тест и потянулся коммитить, не прогнав тесты. Запрещающее правило никуда не делось — оно всё ещё лежало в CLAUDE.md. Просто перестало весить. Это третья статья про paranoid-qa — опенсорсный пак скиллов, который заставляет Claude Code тестировать с доказательной дисциплиной.

Читать статью

LH | IT Курсы | OSINT

✔️ Constella: локальная память для файлов, заметок и AI-агентов

Constella — open-source desktop-приложение, которое индексирует локальные файлы и превращает их в единую базу знаний для поиска и AI-агентов.

Данные хранятся на устройстве: LanceDB используется для векторов, SQLite — для метаданных и knowledge graph.

Что умеет:

- индексировать Obsidian, Documents, Downloads и любые выбранные папки; - извлекать текст из PDF, DOCX, Markdown и изображений; - строить семантический поиск по локальным данным; - автоматически связывать заметки, темы и концепты; - работать с локальными и облачными LLM; - отдавать базу знаний через MCP в Claude Code; - использовать агентов и переиспользуемые workflows.

Схема примерно такая:

Файлы ↓ chunks + embeddings ↓ LanceDB + SQLite ↓ Knowledge Graph ↓ поиск / агенты / MCP

https://github.com/Constella-OS/constella-desktop

Твиттер станет опенсорсным!!!!🥳

Кста можете на мой твиттер подписаться :)))

Docker Desktop на Mac давно ругают за прожорливость. Apple выкатила свой вариант

container - open-source инструмент от Apple для запуска Linux-контейнеров на macOS.

Он не требует Docker daemon и запускает контейнеры как лёгкие виртуальные машины на Apple silicon.

Что важно:

* написан на Swift * оптимизирован под M-series * работает с OCI-образами * можно pull/push в стандартные registry * подходит для привычных container workflow на Mac * каждый контейнер изолирован через lightweight VM

Это не «Docker Desktop умер», но сигнал понятный: Apple хочет нативный, быстрый и более аккуратный путь для контейнеров на своих чипах.

Для разработчиков на Mac это может стать очень сильной альтернативой, особенно если Docker Desktop уже достал расходом RAM и CPU.

github.com/apple/container

Firezone

Firezone — это open-source-платформа Zero Trust, построенная на WireGuard.

Она обеспечивает безопасный удалённый доступ через P2P-туннели и детализированные групповые политики, работая в три раза быстрее OpenVPN.

📁 Language: #Elixir 60.8%

⭐️ Stars: 8.9k

➡️ Cсылка на GitHub

📱 @git_developer

🔥 Бесплатный курс по нейросетям от Андрея Карпати: от backprop до GPT

Neural Networks: Zero to Hero — бесплатный курс с видео и Jupyter-ноутбуками, где нейросети изучаются через реализацию руками.

Что внутри:

• backprop с нуля через micrograd • bigram и MLP-модели на PyTorch • разбор активаций, градиентов и BatchNorm • ручной backprop без loss.backward() • переход к WaveNet-подобной архитектуре • сборка GPT по шагам • основы BPE-токенизации

Хороший вариант, чтобы понять, как нейросети работают изнутри, а не запоминать формулы.

Проект open-source, лицензия MIT.

🔗 https://github.com/karpathy/nn-zero-to-hero

США решили отжать open source у китайцев: на сцену выкатили Laguna S 2.1

Стартап Poolside выкатил свою четвёртую версию Laguna S 2.1 — открытую модель для агентного программирования, которая весит аж 118 млрд параметров. В конторе заявляют, что это самая мощная открытая модель Запада: на кодинговых тестах Laguna не отстаёт от моделей, которые крупнее неё в разы, а кое-где даже обходит их. И главное — она запускается на настольном компе NVIDIA DGX Spark, без всяких суперкомпов.

Веса уже висят на Hugging Face, и юзать модель можно даже в коммерции.

Читать далее

👉 Data Science | Machinelearning [ru]

⚠️ 8 FREE Open Source Apps So Good, I Can’t Believe They EXIST! [2026] 😱⚠️

Watch Now - https://youtu.be/hs-zmc1Vo88

📚 Бесплатный учебник по теории игр - 578 страниц

Game Theory от Giacomo Bonanno — большой open-source учебник по некооперативной теории игр.

Внутри:

* основы теории игр и стратегического взаимодействия; * равновесия и принятие решений; * 165 задач с решениями; * 163 иллюстрации; * материал на стыке математики, экономики и Computer Science.

Хорошая база для тех, кто занимается ML, Multi-Agent Systems, математикой и алгоритмами.

📖 Скачать PDF: https://arxiv.org/pdf/1512.06808

#GameTheory #Mathematics #Statistics #Probability #MachineLearning

📚 Бесплатный учебник по теории игр - 578 страниц

Game Theory от Giacomo Bonanno — большой open-source учебник по некооперативной теории игр.

Внутри:

* основы теории игр и стратегического взаимодействия; * равновесия и принятие решений; * 165 задач с решениями; * 163 иллюстрации; * материал на стыке математики, экономики и Computer Science.

Хорошая база для тех, кто занимается ML, Multi-Agent Systems, математикой и алгоритмами.

📖 Скачать PDF: https://arxiv.org/pdf/1512.06808

#GameTheory #Mathematics #Statistics #Probability #MachineLearning

Линус Торвальдс всем поставил ультиматум: либо ИИ, либо до свидания

15 июля создатель Linux написал в рассылке разработчиков ядра примерно следующее: Linux — не какой-то там анти-ИИ проект. Кому не нравится — форкайте кернел или валите

И это разворот на 180 градусов. В 2024-м он называл 90% разговоров про ИИ маркетинговым хайпом. А теперь говорит — всё, вопрос закрыт, инструмент реально полезный, спорить тут больше не о чем.

При этом не то чтобы он не видит проблем: поток багрепортов от ИИ завалил security-рассылку так, что с ней стало невозможно работать — мейнтейнерам добавилось геморроя с ревью — LLM иногда выдают откровенную дичь

Но БАНИТЬ полезную технологию из идеологических соображений — тупо контрпродуктивно.

Триггером стал Sashiko — опенсорсный ИИ-ревьюер патчей от инженеров Google, который якобы находит ~53% багов в тестовом коде.

Правила в итоге прагматичные: юзай хоть Copilot, хоть Claude, хоть локальную модель — но за код отвечаешь ты, человек, а не нейронка.

Тема залетела на Phoronix под 100+ комментов за двое суток — самое обсуждаемое событие в мире Linux в этом году.

Supabase 🔥 – открытая альтернатива Firebase, предоставляющая PostgreSQL базу данных, аутентификацию, real-time подписки и хранилище файлов.

Аналогия: Это как если бы Firebase и PostgreSQL родили ребёнка – получил мощь SQL-базы и удобство backend-as-a-service, но без vendor lock-in!

💚 Ключевые особенности: - PostgreSQL вместо NoSQL – полноценная реляционная БД - Real-time subscriptions на изменения данных - Row Level Security – безопасность на уровне строк - Open source – можно развернуть на своих серверах

🎯 Кто использует: GitHub, Mozilla, Notion используют Supabase для быстрого прототипирования. Более 1 млн разработчиков выбрали Supabase.

🔥 Итог: Supabase = мощь PostgreSQL + скорость Firebase! Полный контроль над данными! 💪🐘

#Term | Гайды Программиста

Если в ваши утренние планы не входило смачно кринжануть, то увы, придётся. Потому что Vertu возвращается.

И не абы с чем, а с фолд-смартфоном Alphafold - в телячьей или крокодиловой коже, либо вообще с золотом-брульянтами в корпусе. Стоит это удовольствие почти $7 тыс. баксов за самую скромную версию, но если вы фанат не просто позолоченных унитазов, а целиком золотых, то можете выложить $50 тыс. за самую навороченную модель.

Девайс открыто позиционируют как тяжёлолюксовую цацку для сальных папиков 80 левела. На официальном рекламном постере нарисовали ультрасерьёзного дядю прямиком из "Карточного домика". Он держит Vertu так, будто утреннюю газету на толчке читает (непременно золотом). А в газете что? Правильно, биржевые сводки прямиком с Уолл-стрит! Интернет придумали - привычка осталась.

Внутри сидит ИИ-ассистент от Hermes, построенный на опенсорсном проекте Nous Research, который просто перебрасывает запросы между чужими моделями GPT, Клодом, Джемини и китайским опенсорсом. Tech-медиа его потестили и пишут, что это образцовый ИИ-кал. Использовать его предлагают для планирования командировок и составления бизнес-встреч бизнес-партнёрами по бизнесовому бизнесу.

Вишенка на торте - сам уважаемо-людо-фон подозрительно смахивает на фолд ZTE Nubia, который стоит около тысячи баксов. И не просто так - раньше Vertu сама заявляла о техническом партнёрстве с ZTE. Видимо, партнёрством дело не ограничилось - распотрошили аллигатора, сыпанули брюликов, и вот вам ценник х50.

Единственная реально годная фича тут - это консьерж-сервис с личной не-ИИшной помощью, которые идут в комплекте на 24 месяца. Это прямая отсылка к тому самому Vertu из нулевых, который покупали именно за это. Ну и ещё чтобы в рестике класть его поверх жирного кошелька со скрепкой и ключей от гелика.

Интересно, крокодилу вообще каково осознавать, что его натянули даже не на сумочку, а вот на это?

Ждём новый Vertu в корпусе от Caviar за ундециллион долараф.

Дизраптор

Codex Router добавляет Kimi K3 и DeepSeek прямо в селектор моделей Codex, не затрагивая вход через ChatGPT и встроенные GPT-модели.

После установки рядом с нативными моделями появляются дополнительные варианты:

• Kimi K3 через OAuth или API • DeepSeek V4 Flash и Pro через API

Инструмент не перезаписывает конфигурацию Codex, автоматически создаёт резервную копию и поддерживает безопасный откат. Также предусмотрена миграция со старых версий роутера.

Проект полностью бесплатный и опенсорсный.

👉 @PythonPortal

🎯 TurboVec: 31 ГБ эмбеддингов в 4 ГБ без обучения

Хранение векторов для RAG быстро съедает память. 10 миллионов документов в float32 — это 31 ГБ RAM. Google выпустили open-source Rust-библиотеку которая меняет это соотношение.

TurboVec использует TurboQuant — квантайзер которому не нужно обучение: · Нормализация вектора · Случайный поворот · Разбивка на бакеты через предвычисленную математику

Фиксированный пайплайн который работает на любых данных без калибровки под конкретный датасет.

Никакого managed сервиса который трогает ваши векторы. Работает с любой open embedding моделью. Получаете полностью air-gapped retrieval стек с Python биндингами.

📍 Навигация: Вакансии • Задачи • Собесы

Библиотека дата-сайентиста

#буст

Modly — это бесплатное опенсорсное десктопное приложение, которое превращает обычные изображения в 3D-модели прямо на вашем компьютере.

Вся генерация выполняется локально на GPU, без облака и подписки. Приложение работает на Windows, Linux и macOS с Apple Silicon.

В Modly есть визуальный workflow: загрузили изображение, сгенерировали mesh и добавили его в сцену. Импортированные модели можно сразу сглаживать и упрощать, а внешние расширения позволяют подключать разные модели и стили генерации.

https://github.com/lightningpixel/modly

👉 @PythonPortal

Atlas

Atlas — это опенсорсный инструмент, который в реальном времени строит визуальную карту сетевой инфраструктуры.

Он автоматически сканирует Docker-окружения и локальные подсети, обнаруживает все доступные устройства и собирает данные об их IP- и MAC-адресах, а также открытых портах.

Полученная информация отображается на интерактивном дашборде, где можно увидеть, как именно связаны узлы сети, и отслеживать изменения даже в сложных топологиях.

📁 Language: #JavaScript 57.3%

⭐️ Stars: 1.2k

➡️ Cсылка на GitHub

📱 @git_developer