Cześć!

Jak co tydzień, dzielę się porcją najciekawszych materiałów z branży IT, na które natrafiłem w mijającym tygodniu. Jeśli czytasz newsletter od niedawna, to archiwa wydań od 2019 roku (wcześniejszych nie posiadam) znajdziesz u mnie na GitHubie. Możesz przy okazji dać tam gwiazdkę, aby repo niosło się w świat.

A teraz "Pora na sponsora" - Ty także możesz zostać sponsorem lub patronem.

Zapraszam do lektury dzisiejszego wydania newslettera.

◢ #unknownews ◣

1. Homelab krok po kroku dla specjalisty security i nie tylko (film, 32 min)
   https://www.youtube.com/watch?v=YSon1JW5qXM
   INFO: Homelab czasem wciąż kojarzy się z wielką szafą pełną serwerów w garażu, ale środowisko do testowania narzędzi czy do nauki można odpalić na niskobudżetowym sprzęcie. Więcej o tym opowie Ci autor filmu - zobaczysz, o co warto zadbać przy takim projekcie, z uwzględnieniem m.in. Proxmoxa, NAS-a i backupów. I choć materiał dotyczy budowania takiego środowiska w kontekście cybersecurity, to wiele rekomendacji przyda Ci się, nawet jeśli nie siedzisz w tym temacie, a po prostu chcesz mieć domowy homelab.

2. Self-hosting LLM-ów na przykładzie Kimi K2.6 - czy to się opłaca?
   https://cline.bot/blog/how-to-save-millions-by-self-hosting-llms
   INFO: Kiedy całkiem sporo wydajesz na API modeli językowych, w końcu pojawia się pokusa postawienia własnej infrastruktury do hostowania agentów. Czy to się opłaca? Autor, pracujący przy Cline (popularnym narzędziu do kodowania z AI), pokazuje, że odpowiedź jest dość złożona, a wstępne kalkulacje mogą odbiegać od rzeczywistości. Omawia przykład wdrożenia modelu Kimi K2.6 - tłumaczy m.in., od czego zależy koszt jednego przetworzonego tokena oraz dlaczego przy pewnej skali "drogie" API bywa i tak lepszym wyborem niż własny sprzęt. To temat dla Ciebie, jeśli rozważasz self-hosting modeli AI.

3. Jak oszuści przejmują konta Steam i okradają graczy
   https://cert.orange.pl/aktualnosci/odblokowano-osiagniecie-przejete-konto-steam/
   INFO: Cyberprzestępcy w ogóle nie będą próbowali włamać się po cichu na Twoje konto Steam - dużo łatwiej będzie przekonać Cię, żebyś sam im je oddał i zrobią to, podszywając się pod znajomą Ci osobę. Autorka, analityczka CTI, tłumaczy nie tylko jak wyglądają takie ataki, ale i jakie mechanizmy psychologiczne są wykorzystywane w celu oszukiwania graczy CS-a czy TF2. Jeśli nie chcesz stracić konta, skinów czy danych z komputera, przeczytaj do końca, bo czeka tam kilka porad, jak być wyczulonym na takie oszustwa. Warto też uświadomić na ten temat nastoletnich graczy, zwłaszcza jeśli mieszkasz z takimi pod jednym dachem.

4. Zbyt szczegółowo rozpisujesz projekty? Przestań - wnioski autora Nozbe
   https://michael.team/flat/
   INFO: Tworzenie rozbudowanej struktury projektów może dawać poczucie kontroli, ale według autora bywa to złudne i wcale nie pomaga w realizacji zadań. Przez blisko 20 lat prowadzenia swojej aplikacji do zadań uparcie odmawiał dodania podprojektów i podzadań do nich, mimo że użytkownicy o to prosili. Najpierw tę decyzję pomagała mu podjąć intuicja, a potem znalazł serię badań trwających od lat 80., które okazały się dość zbieżne z jego przeczuciami. W tekście opowiada, jak odpowiedział na potrzeby osób korzystających z apki i pokazuje, gdzie kończy się pożyteczne rozbijanie pracy na kroki, a zaczyna zbędna hierarchia zadań.

5. Skąd w kodach ISBN wzięło się fikcyjne państwo Bookland? (film, 3 min)
   https://youtu.be/68vS8CTBL3k
   INFO: Jeśli masz wolne trzy minuty na poznanie ciekawostki, to zobacz, jak brytyjski system numerowania książek z lat 60. przerodził się w globalny standard ISBN i musiał zostać dopasowany do 13-cyfrowych kodów kreskowych. Dlaczego książki dostały w systemie kodów kreskowych własny 'kraj' o prefiksie 978? Po co później dodano także 979? Jak ze starego numeru SBN da się dojść do współczesnego ISBN-a oraz kodu kreskowego? Odpowiedzi czekają w filmie. Jest szansa, że po obejrzeniu tego materiału będziesz na to zwracać uwagę na książkach ;)

6. Powrót do jednofunkcyjnych urządzeń zamiast smartfona do wszystkiego - idea Focused Compute
   https://abhi.now/blog/calm-technologies/
   INFO: Z użyciem smartfona możemy dziś załatwić niemal wszystko: sprawdzić dowolną rzecz, przeczytać newsletter, posłuchać muzyki, zadzwonić do przyjaciela, ustawić nawigację... A co, gdyby przerzucić się z powrotem na sprzęt, który służy tylko do czytania, tylko do odtwarzania muzyki, tylko do komunikacji - wszystko po to, aby uniknąć przebijania się przez masę smartfonowych powiadomień? Autor tekstu wraca wspomnieniami do czasów, kiedy to było normą, i pokazuje urządzenia, które mogłyby zaspokoić potrzebę odklejenia się od smartfona. Jeśli robienie wszystkiego na jednym urządzeniu już Cię męczy, może być to dla Ciebie inspirująca lektura.

7. Czy kodowanie z AI to wielka ściema? - webinar [sponsorowane]
   https://s.mrugalski.pl/pragmaticAI
   INFO: Dołącz do bezpłatnego spotkania, które obala mity na temat łatwego wdrażania AI w programowaniu. Dowiesz się z niego, co naprawdę blokuje efektywną pracę z narzędziami. Spotkanie odbędzie się 5 sierpnia o 18:00, a każda zapisana osoba otrzyma dostęp do nagrania, więc zapisz się, nawet jeśli nie możesz być na żywo. Dołącz i sprawdź, czy Twój zespół faktycznie wykorzystuje potencjał AI, czy tylko goni za buzzwordami.

8. Jak AI znalazło w WordPressie - podatność wp2shell prowadząca do RCE
   https://slcyber.io/research-center/exploit-brokers-pay-500000-for-a-wordpress-rce-i-found-one-with-gpt5-6/
   INFO: Autor użył promptu, którym OpenAI wcześniej rozwiązało trudny problem matematyczny, lekko go zmodyfikował i skierował na kod źródłowy WordPressa z instrukcją: szukaj luki od podstaw, bez podglądania historii zmian czy przeszukiwania internetu. Kilka godzin później model twierdził, że znalazł działającą lukę SQL injection dostępną bez logowania, czego WordPress nie miał od lat. Błąd leżał w mechanizmie Batch API, pozwalającym wysłać kilka poleceń REST API w jednym żądaniu HTTP: WordPress sprawdzał poprawność jednych danych, ale przez pomyłkę w kodzie wykonywał zupełnie inne, nigdy nie zweryfikowane polecenie. Autor zweryfikował na testowej instalacji, a potem zapytał model, czy da się to eskalować do pełnego przejęcia serwera... To jedna z najpoważniejszych luk, jakie dotknęły Wordpressa, a podatna jest czysta wersja bez jakichkolwiek dodatków.

9. Jak aplikacje budują cyfrowy odcisk palca Twojego telefonu (film, 17 min)
   https://youtu.be/VhzHSL2AOTI
   INFO: Pozornie nieistotne dane z smartfona, takie jak identyfikator reklamowy, czas pierwszej konfiguracji czy otoczenie Bluetooth/WiFi, tworzą coś w rodzaju cyfrowego odcisku palca. Osobno te dane znaczą niewiele, ale gdy różne aplikacje i firmy łączą je ze sobą, mogą na tej podstawie zbudować dokładny profil użytkownika i precyzyjnie dopasowywać do niego reklamy. Jeśli nie chcesz, by w ten sposób zbierano o Tobie dane, obejrzyj ten film - dowiesz się, które uprawnienia w telefonie warto ograniczyć w pierwszej kolejności, gdzie dokładnie wyłączyć śledzenie reklamowe oraz kiedy sensowniejszym wyborem jest wersja webowa danej usługi zamiast instalowania kolejnej aplikacji na stałe.

10. Czy agent OpenAI naprawdę zhakował Hugging Face? - analiza techniczna incydentu (film, 16 min)
    https://www.youtube.com/watch?v=q2KCrmQz9WE
    INFO: Autor sprawdza, czy historia o autonomicznym agencie od OpenAI, który podczas testów bezpieczeństwa wymknął się poza pierwotne zadanie i zaatakował infrastrukturę Hugging Face, trzyma się kupy od strony technicznej. Zestawia to, co oficjalnie potwierdziły obie firmy, z publicznie dostępnymi śladami technicznymi (poprawki w kodzie, commity), żeby ocenić, które elementy tej historii są solidnie udokumentowane, a które wciąż wymagają postmortemu. Ciekawy przypadek pokazujący ryzyko związane z autonomicznymi agentami AI - i to wcale nie dlatego, że mają one 'złą wolę'.

11. Kontenery bez uprawnień roota - bezpieczniejsze uruchamianie usług na Linuksie
    https://blog.coderspirit.xyz/blog/2026/07/06/securing-services-with-rootless-containers/
    INFO: Kontener oddziela aplikację od reszty systemu, ale to oddzielenie opiera się na mechanizmach Linuksa, które same w sobie nie dają pełnej ochrony. Pytanie więc, co zyskuje atakujący, jeśli uda mu się wydostać poza kontener? W klasycznym podejściu (Docker albo Podman uruchomiony jako root) będzie źle: wydostanie się z kontenera oznacza przejęcie hosta z pełnymi uprawnieniami administratora. Alternatywą jest tryb rootless, w którym ten sam scenariusz kończy się dużo lepiej - atakujący ląduje na hoście jako zwykły użytkownik. W tym tekście zobaczysz, jak działa ta alternatywa i jak to skonfigurować przez Podmana i systemd.

12. Tworzenie landing page z AI - Spec Driven Development w 3 wersjach (film, 36 min)
    https://www.youtube.com/watch?v=y1ggVPREpvI
    INFO: Rzucanie do agenta ogólnym poleceniem typu 'zrób mi landing page' kończy się zwykle kodem, który nie spełnia naszych oczekiwań Jak więc zabrać się za tworzenie takiej prostej strony z agetem AI, aby nie marnować czasu? Pomocne będzie wykorzystanie Spec Driven Development, czyli przygotowanie porządnej specyfikacji zanim przystąpimy do właściwej pracy. Autor porównuje aż trzy podejścia do tego procesu: swój autorski workflow, Microsoft Spec Kit i OpenSpec. Wszystko na tym samym zadaniu, więc widać, ile kontroli dokumentacji i czasu wymaga każde z nich. Sprawdź i wybierz najlepsze dla siebie.

13. Jak korzystać ze sztucznej inteligencji bez utraty krytycznego myślenia? (film, 51 min)
    https://www.youtube.com/watch?v=yVnLQlJiRWs
    INFO: Na pytania o sztuczą inteligencję nie da się zwykle odpowiedzieć prostym 'tak' albo 'nie'. AI może zarówno wspierać naszą pracę, jak i obniżać jej jakość, może nakręcać dezinformację, a jednocześnie pomagać ją wykrywać itd. Ważne więc, abyśmy świadomie używali jej na swoją korzyść - i tego dotyczy ta rozmowa. Posłuchasz też o edukacji w dobie AI, wartości samodzielnego tworzenia i krytycznego myślenia oraz o tym, dlaczego spójny i przekonujący ton odpowiedzi modeli językowych tak łatwo usypia naszą czujność.

14. Jak zadbać o PostgreSQL, gdy aplikacja zaczyna rosnąć?
    https://hatchet.run/blog/postgres-survival-guide
    INFO: Gdy Twoja aplikacja rośnie, to zapytania, które jeszcze niedawno działały błyskawicznie, zaczynają zajmować sekundy, a rutynowa migracja nagle blokuje wszystkie zapisy na produkcji. Przygotujesz się na taki rozwój sytuacji, wprowadzając w życie wskazówki z tego tekstu. Są tu zebrane praktyczne lekcje z kilku lat pracy z PostgreSQL na produkcji: od podstaw projektowania schematu i indeksów, przez query planner i autovacuum, aż po zaawansowane triki jak kolejki zadań w Postgresie czy migracje dużych tabel bez wielogodzinnej blokady. Warto przygotować swoje środowisko na podstawie tego poradnika zanim trzeba będzie gasić pożary.

15. Najważniejsze trendy i wyzwania z CSS-em: State of CSS 2026
    https://2026.stateofcss.com/en-US
    INFO: Dziś z pomocą CSS da się animować przejścia między stronami, budować układy typu masonry czy robić różne eksperymenty wizualne, ale frontendowcy nie zawsze mogą wykorzystać te możliwości. Wyniki tegorocznej ankiety State of CSS pokazują, jak deweloperzy odbierają tę eksplozję nowych możliwości: jedna konkretna funkcja wygrywa jednocześnie w dwóch przeciwstawnych kategoriach. Jakie ograniczenia na to wpływają, dowiesz się z tekstu. Znajdziesz tu też więcej informacji o trendach w CSS-ie i być może optymistyczne spostrzeżenie na temat udziału AI w tworzeniu w tej technologii.

16. Koszty odświeżania cache w modelach AI - wyniki testów
    https://blog.mempko.com/keeping-the-kv-cache-warm-measuring-prompt-cache-eviction-across-anthropic-openai-and-google/
    INFO: Jeśli Twój agent AI odświeża prompt cache co 30 sekund (a to częsta konfiguracja), to możliwe, że przepalasz na tym pieniądze. Autor tekstu wykorzystał API czterech modeli językowych i zmierzył, co dzieje się z cache promptów w trakcie typowej przerwy w pracy agenta - czyli w momencie, gdy czeka na wynik testów, buildu albo ludzkiej akceptacji. Okazuje się, że popularna konwencja "pinguj co 30 sekund" nie zawsze ma sens, a odpowiedni interwał wcale nie jest uniwersalny i bardzo zależy od dostawcy. Znajdziesz tu też wzór, z pomocą którego samodzielnie policzysz próg opłacalności - kiedy lepiej przestać pingować i po prostu zapłacić za ponowne przetworzenie promptu od zera. To coś dla osób, które samodzielnie chcą projektować swoje rozwiązania agentowe, a nie bazować na gotowcach.

17. Jak zgrać i odnowić kasetę VHS i dlaczego nie jest to łatwe? (film, 22 min)
    https://youtu.be/3w1S3MsvCLQ
    INFO: Mając ważne nagranie na kasecie VHS, musimy liczyć się z jej starzeniem i z tym, że powoli znika z rynku sprzęt potrzebny do jej odczytania. A do tego jest coraz mniej ludzi, którzy umieją taki sprzęt naprawić. Co począć? Na przykład zadbać o te nośniki samodzielnie - i w tym pomoże Ci ten film. Autor pokazuje cały proces zgrywania zapisu ślubu sprzed ćwierć wieku, uwzględnia m.in. oględziny nośnika, dobór magnetowidu i obróbkę obrazu z pomocą AI. Zobaczysz też, w jakich sytuacjach trzeba się pogodzić ze stratą, bo taśmy uratować się nie da.

18. Jak kodowanie z AI wpływa na objętość pull requestów i jakość code review?
    https://brodzinski.com/2026/07/3x-pull-request-size-ai.html
    INFO: AI dziesięciokrotnie powiększa rozmiar pull requestów - taką tezę postawił kiedyś autor artykułu, a potem zderzył ją z danymi z dwóch bardzo podobnych projektów (jednym pisanym ręcznie, drugim w całości przez Claude'a). Przestrzelił trochę z tym rzędem wielkości, ale i tak pozwoliło to dotrzeć do głębszego problemu: dawniej co piąty PR był maleńką, łatwą do zrecenzowania zmianą, dziś to już tylko jeden na dwadzieścia. Jednocześnie przybyło bardzo dużych porcji kodu do sprawdzenia naraz. Co to oznacza dla osób robiących code review, dowiesz się z artykułu.

19. Dlaczego logotypy firm AI są do siebie tak podobne?
    https://velvetshark.com/ai-company-logos-that-look-like-buttholes
    INFO: Jeśli kiedyś ktoś zleci Ci zaprojektowanie logo dla startupu AI, tu masz gotowy przepis na sukces: weź koło, dodaj gradient, zrób dziurę pośrodku, a z boku dorzuć kilka promienistych linii. Gotowe - wyglądasz dokładnie jak cała reszta branży! Autor tekstu z dużą dawką humoru pokazuje, że niemal wszystkie duże firmy AI wybrały ten sam zestaw motywów wizualnych, w których jak już dostrzeżesz drugie dno, to trudno to potem 'odzobaczyć'. Skąd ta zbieżność w projektowaniu i jak możnaby się wyłamać z tego schematu? O tym przeczytasz w tekście.

20. Dlaczego "--" w Gicie nie zawsze chroni przed argument injection
    https://nesbitt.io/2026/07/21/end-of-options.html
    INFO: W większości narzędzi uniksowych "--" oznacza koniec opcji przekazwywanych do aplikacji i początek zwykłych argumentów. Git zmienił tę konwencję dawno temu, przeznaczając "--" do oddzielania rewizji od ścieżek plików, co zostawiło samą rewizję bez żadnego zabezpieczenia. Jeśli skrypt przekaże do Gita nazwę gałęzi czy referencję zaczynającą się od myślnika, Git może to potraktować jako opcję do wykonania, a nie jako zwykły tekst. Autor pokazuje, jak to wygląda w praktyce na potwierdzonych podatnościach, łącznie z przypadkiem, gdzie taki mechanizm ataku wykryto tego samego dnia w czterech różnych systemach kontroli wersji naraz. Zobacz, jak menedżery pakietów radzą sobie z tym problemem i dlaczego w wielu projektach nie opłaca się podnosić wymaganej od użytkowników wersji Gita, żeby móc bezpiecznie korzystać z właściwego rozwiązania.

21. Pobieraj treści z YouTube i zapisuj na NAS-ie - Youtube-dl-nas
    https://github.com/hyeonsangjeon/youtube-dl-nas
    INFO: Link do filmu na YouTube może wylądować w kolejce na Twoim NAS-ie gotowy do odtworzenia i to bez dotykania terminala. Brzmi dobrze? Jeśli tak, to zajrzyj do tego repozytorium z narzędziem, które opakowuje yt-dlp w panel webowy z zaimplementowanym logowaniem, kolejką zadań, poglądem postępu na żywo przez WebSockety i historią wcześniejszych pobrań. Obsługuje pojedyncze filmy, playlisty, samo audio albo napisy, a uruchomić pobieranie możesz z przeglądarki, z prostego REST API do automatyzacji albo bezpośrednio z telefonu (Android i iOS). To narzędzie raczej do pojedynczych pobrań, nie do masowego archiwizowania całych kanałów - do takiego zastosowania autor odsyła do osobnego projektu.

22. EventCatalog – narzędzie do Documentation as Code
    https://devszczepaniak.pl/eventcatalog-dokumentacja-dla-twojego-systemu/
    INFO: Z dokumentacją architektury systemu są zwykle dwa problemy - albo w ogóle nie powstaje, albo szybko przestaje być zgodna z rzeczywistością. Rozwiązaniem może być EventCatalog, czyli narzędzie traktujące dokumentację jak kod: wersjonowaną, żyjącą w repozytorium, sprawdzaną w code review. Autor tekstu pokazuje, jak wygląda takie dokumentowanie architektury opartej na zdarzeniach (zapytania, usługi, domeny zapisują się jako pliki tekstowe, które można wersjonować w Git i przeglądać w PR-ach). Przy małych, prostych aplikacjach EventCatalog to pewnie będzie przerost formy nad treścią, ale dla zespołów pracujących nad systemami z wieloma nieoczywistymi zależnościami może to być spore ułatwienie.

23. Jak cyberatak może zatrzymać elektrownię? - bezpieczeństwo sieci (film, 25m)
    https://youtu.be/fp6N-UVqito
    INFO: Film tłumaczy, dlaczego infrastruktura przemysłowa działa według innych zasad niż klasyczne IT: ważniejsza jest ciągłość pracy, a stare systemy, brak szyfrowania, czy rzadkie aktualizacje bywają tam codziennością. Zobaczysz przykładową ścieżkę ataku prowadzącą od phishingu albo wystawionej kamery do manipulacji parametrami urządzeń w części OT (Operational Technology). Dowiesz się też, jak ograniczać takie ryzyka przez segmentację sieci, IDS/IPS, analizę protokołów przemysłowych, MFA, minimalne uprawnienia itp. Jest tu poruszany także wątek europejskich rozwiązań bezpieczeństwa i tego, dlaczego suwerenność technologiczna może mieć znaczenie przy ochronie infrastruktury krytycznej.

24. Kimi K3 - chiński model AI jako konkurencja dla modelów z USA? (film, 17 min)
    https://youtu.be/eGum4pH2pRc
    INFO: Na rynku pojawił się nowy, chiński model AI, który w testach dogania amerykańskie modele - zwłaszcza w kodowaniu i w zadaniach, gdzie agent musi samodzielnie pracować nad jednym celem przez dłuższy czas. Z materiału dowiesz się, jak z niego korzystać przez stronę, dedykowane narzędzie do kodowania albo API, poznasz ciekawą funkcję uruchamiania kilku agentów naraz nad jednym zadaniem, oraz usłyszysz, na co uważać pod kątem prywatności, zanim wpuścisz taki model do swojego codziennego workflow. Zobaczysz też, gdzie Kimi K3 wciąż ustępuje topowym modelom.

25. PDF-y i grafiki SVG mogą być interaktywne – to dlaczego tak rzadko się z nimi spotykamy?
    https://vexlio.com/blog/svgs-and-pdfs-can-both-be-interactive/
    INFO: Myślisz, że PDF to tylko statyczny dokument, a SVG - zwykła grafika wektorowa? A to nie wszystko. Oba formaty od dawna kryją w swojej specyfikacji możliwość reagowania na kliknięcia, przeciąganie i inne interakcje. Autor tekstu, twórca narzędzia do publikowania samodzielnych, interaktywnych dokumentów, prezentuje to na żywych przykładach (możesz je pobrać i otworzyć nawet offline). Opowiada też, dlaczego rzadko kiedy widzimy takie ich zastosowanie - swoje robią tutaj ograniczenia czytników i kwestie bezpieczeństwa.