Cześć!

Piątek przyszedł punktualnie, więc i ja nie mogłem się spóźnić. Przekopałem w tym tygodniu (dosłownie) setki linków, aby wybrać tylko te, które naprawdę mogą być warte Twojego czasu.

Ostatnio na stronie newslettera dorzuciłem linka do wyszukiwarki i do proponowania linków. Z tego drugiego korzystacie bardzo chętnie (mam nieźle zapchaną kolejkę "do przeczytania"), ale nie wrzucajcie tam proszę swoich komercyjnych ofert - takich nie umieszczam w newsletterze poza sekcją sponsorską.

A teraz "Pora na sponsora" - Ty także możesz zostać sponsorem lub patronem.

Zapraszam do lektury dzisiejszego wydania newslettera.

◢ #unknownews ◣

1. Remake retro gry Duck Hunt z NES-a - reverse engineering (film, 13 min)
   https://www.youtube.com/watch?v=-iVTqln-ymk
   INFO: Strzelanie do kaczek na Pegasusie - mówi Ci to coś? ;) W tym filmie zobaczysz, jak autor dekompiluje ROM tego klasyka, analizuje jego działanie, po czym tworzy rozbudowaną wersję (jeszcze więcej kaczek!). Pistolet Zapper też doczekał się nowej wersji na ESP32 - z czujnikiem światła, soczewką i komunikacją przez WiFi. To ciekawe połączenie retro gamingu z reverse engineeringiem, ale nie rób sobie apetytu na pogranie w nową wersję - Nintendo raczej nie ucieszyłoby się z rozpowszechniania takiej gry. Autor udostępnia za to PDF z analizą techniczną gry.

2. Co warto hostować na własnym serwerze?
   https://viceconsole.fyi/blog/2026/10/10/what-i-self-host/
   INFO: Początek był niewinny - autor miał dość podsuwanych jego dziecku rekomendacji w serwisach streamingowych, więc zaczął hostować Jellyfin (odtwarzacz filmów). Z biegiem czasu usług self-hosted przybywało i dziś na swoim serwerze ma zdjęcia, monitoring, backupy... Całą listę narzędzi znajdziesz w tym wpisie. Autor wspomina też o bezpieczeństwie, utrzymywaniu takiego zestawu na skromnym sprzęcie i o tym, czego mimo wszystko nie zdecydował się hostować.

3. DNS Museum - kolekcja najdziwniejszych eksperymentów z DNS
   https://dns.museum/
   INFO: Jak daleko mogą zajść eksperymenty z DNS? Tu zobaczysz całą ich kolekcję, m.in. traceroute’y wyświetlające teksty piosenek i obrazki, DNS przesyłany przez SMS, blogowanie w rekordach TXT, kalkulator, pogodę i Wordle’a obsługiwane zapytaniami oraz MP3 odtwarzane przez DNS. Obok żartów są też rzeczy przydatne na co dzień, np. sprawdzanie ASN dla adresu IP czy zestaw narzędzi dns.toys. Każdy wpis ma link do źródła - możliwe, że będziesz mieć sporo otwartych kart w przeglądarce ;)

4. Sprzęt do lokalnych modeli AI? - To nie takie proste (film, 16 min)
   https://www.youtube.com/watch?v=h8dxm7UEStQ
   INFO: Szukasz sprzętu do lokalnego korzystania z dużych modeli AI. Masz do wyboru dwie maszyny mające 256 GB pamięci RAM. Jedna jest o połowę tańsza od drugiej, a "RAM to RAM", więc wybór jest prosty. No właśnie nie do końca. Autor poleca brać pod uwagę takie czynniki jak: wsparcie oprogramowania (ono mija), rosnące wymagania modeli oraz koszty utrzymania sprzętu plus jego wartość przy odsprzedaży. Jeśli to uwzględnisz, to jest szansa, że nie przepłacisz za sprzęt albo nie kupisz czegoś, co za chwilę zostanie bez wsparcia. W filmie zobaczysz kilka opcji zdobycia 256 GB pod AI i przypadki, kiedy taniej będzie jednak skorzystać z API.

5. 'Gdy coś pójdzie nie tak' - sprytne mechanizmy fail-safe (film, 19 min)
   https://www.youtube.com/watch?v=USxYLW434xc
   INFO: Ludzie i maszyny prędzej czy później zawiodą... Mało optymistyczne założenie, ale to właśnie ono pomaga projektować skuteczne mechanizmy bezpieczeństwa. W tym filmie zobaczysz kilka takich rozwiązań. To dzięki nim kontakt z piłą stołową nie musi oznaczać utraty palców, a awaria hamulców w ciężarówce - katastrofy. Swoje mechanizmy bezpieczeństwa mają też Netflix, architektury chmurowe czy smartfony - autor opowie Ci, jak to działa.

6. Kto utrzymuje krytyczne projekty open source?
   https://sheets.works/data-viz/holding-up-the-internet
   INFO: Kojarzysz komiks z xkcd z infrastrukturą, w której za krytyczny element odpowiada od 2003 roku anonimowy gość z Nebraski? Autorzy sprawdzili, kto jest kimś takim w bazie stref czasowych, core-js, sudo, bashu, OpenSSL-u i innych projektach. Pokazują też, które narzędzia dostają granty albo wsparcie od firm, a które mimo powszechnego użycia nie mają żadnego publicznego finansowania. Ciekawy przegląd w interaktywnej formie.

7. Analizujemy sklepy internetowe technikami OSINT - nie daj się oszukać [sponsorowane]
   https://s.mrugalski.pl/osintSekurak
   INFO: Dołącz do darmowego szkolenia online organizowanego przez Sekurak.pl, na którym dowiesz się, jak w kilkanaście minut zweryfikować wiarygodność dowolnego sklepu internetowego za pomocą darmowych narzędzi OSINT-owych. Zaczniemy od sprawdzenia firmy w rejestrach. Przeanalizujemy historię domeny. Nauczymy się też rozpoznawać kupione opinie o danym sklepie i produktach. Szkolenie odbędzie się 29 października o 19:00, ale jeśli nie możesz być z nami na żywo, otrzymasz dostęp do nagrania.

8. Jak zarabiały darmowe bramki SMS i jaki był ich koniec? (film, 20 min)
   https://youtu.be/-JiuMHFp4oc
   INFO: Zanim SMS-y stały się nielimitowane i wliczone w cenę abonamentu, każdy z nich kosztował, dlatego popularnością cieszyły się bramki SMS. Dlaczego operatorzy udostępniali taką usługę i jak ona na siebie zarabiała? Autor przybliży Ci ekonomię tego przedsięwzięcia. Dowiesz się też, jak to się stało, że przestało się to biznesowo spinać i bramki Plusa, Idei czy Ery zniknęły z rynku.

9. Skuteczny zespół potrzebuje więcej niż miłej atmosfery
   https://charity.wtf/p/if-your-team-is-happy-are-you-doing
   INFO: Bezpieczeństwo psychologiczne w pracy oznacza, że ludzie nie boją się przyznać do błędu, zgłosić problemu albo zadać 'głupiego' pytania - dzięki temu zespół szybciej się uczy i lepiej pracuje. Autorka uważa, że to pojęcie powoli traci swój pierwotny sens i zaczyna być traktowane jako zapewnienie komfortu zespołowi. Jednak czy w pracy lidera naprawdę chodzi o to, aby wszyscy chodzili zadowoleni? Czy miła atmosfera wystarczy do osiągania wyników? To opiniotwórczy tekst o dobrym przywództwie, przydatny dla managerów i liderów.

10. Cache w agentach kodujących AI - ile kosztuje Twoja przerwa?
    https://siddhantkhare.com/writing/agentic-inference-field-guide
    INFO: Agent kodujący przy każdym kroku wysyła modelowi całą rozmowę od nowa, a serwer, aby nie czytać jej za każdym razem od początku, zapamiętuje to, co już przetworzył (mowa o cache dla tokenów). Dopóki agent pracuje sam i odzywa się co kilka sekund do backendu, cache działa świetnie. Gorzej, gdy agent czeka na Ciebie - czytasz zmiany albo idziesz na lunch - bo serwer w tym czasie często czyści pamięć (TTL już minął) i po Twoim powrocie większość tokenów trzeba przeliczać od nowa, więc cena tokenów wzrośnie. Autor zebrał publiczne dane na ten temat i pokazuje inną perspektywę na testy użycia cache przez agentów - najczęściej mierzą one tę część, kiedy wszystko działa dobrze i autonomicznie, zupełnie bez uwzględniania naturalnego rytmu pracy człowieka. Warto zajrzeć i sprawdzić, ile kosztuje Cię każda przerwa na kawę ;)

11. Jak ma działać blokowanie nielegalnych treści? - polska ustawa i unijne DSA (film, 26 min)
    https://youtu.be/oPYJlnigePg
    INFO: Po ostatnich atakach w szkołach Sejm przyspieszył prace nad ustawą o blokowaniu nielegalnych treści w internecie, na co niektórzy reagowali sprzeciwem pt. "cenzura!" czy "urzędnik skasuje twój wpis!". Sam problem jest jednak starszy niż ostatnie wydarzenia: o tym, co znika z sieci, decydują głównie platformy i to na podstawie własnych regulaminów, a ich skuteczność w walce z nielegalnymi treściami czy scamem jest co najmniej wątpliwa. Sprawa jest bardziej złożona, niż sugerowałaby etykieta "cenzura", więc jeśli chcesz jej rzeczowego omówienia, to rzuć okiem na film.

12. Telewizor z Android TV bez nachalnych rekomendacji
    https://cretezy.com/2026/ad-free-android-tv
    INFO: Google TV i Android TV wyświetlają reklamy albo rekomendacje treści nawet w trybie 'apps only', a w ustawieniach nie ma opcji, aby to wyłączyć. Jeśli chcesz się tego pozbyć, musisz podmienić ekran główny na inny, zastąpić oficjalny YouTube aplikacją bez reklam i przeprogramować przycisk YouTube na pilocie. Wszystko robi się przez ADB (narzędzie do wydawania urządzeniu z Androidem komend) i trochę pracy przy tym jest, ale jeśli masz już dość tych rekomendacji, to może kiedyś się tym pobawisz. Cały proces wyrzucania rekomendacji znajdziesz w tekście. Autor wspomina też o blokowaniu reklam w całej sieci domowej przez Pi-hole albo przez prywatny DNS.

13. Jak Anthropic robi code review przy tysiącach zmian dziennie?
    https://claude.dev/blog/solving-code-review-at-anthropic/
    INFO: Zespół Claude Code opisuje, jak obecnie wygląda ich code review - przy takiej ilości generowanego kodu nie ma szans, żeby ludzie przejrzeli wszystko. AI sprawdza kod jeszcze zanim powstanie PR, zmiana przechodzi przez kilka warstw kontroli, a agenty głosują nad tym, które wykryte błędy trafią do człowieka. Więcej o tym procesie przeczytasz w tekście - dowiesz się też, za co wciąż odpowiada człowiek i jak takie code review zastosować u siebie.

14. Jak benchmarki AI mają się do codziennych zadań w różnych zawodach?
    https://www.mercor.com/research/labor-index/benchmark-map/
    INFO: Mówi się, że sztuczna inteligencja wkrótce zastąpi wszystkich. Tylko czy to prawda? Jak dobrze AI poradziłaby sobie w określonym zawodzie? Jedna z firm zajmujących się benchmarkami omawia 29 testów dla modeli z oficjalną amerykańską bazą zawodów - okazało się, że około 90% czasu pracy Amerykanów przypada na zadania, których te testy prawie albo w ogóle nie sprawdzają. Benchmarki najczęściej obejmują zadania podatne na automatyzację oraz największe rynki pracy. To nie znaczy, że są bez sensu, tylko że zanim przełoży się wynik modelu na konkretny zawód, warto sprawdzić, co dokładnie test mierzy. Zajrzyj do interaktywnej mapy, żeby dowiedzieć się więcej.

15. Kto jest odpowiedzialny za projekt? - określ to w modelu DRI
    https://theengineeringmanager.substack.com/p/put-a-name-on-it
    INFO: Coraz mniej managerów, coraz więcej projektów prowadzonych równolegle - tak często wygląda dzisiaj rzeczywistość w zespołach IT. Odpowiedzialność za projekt spoczywa w takim wypadku na zespole, czyli... na nikim. Jeżeli to problem również w Twoim teamie, może zainteresuje Cię model DRI (Directly Responsible Individual), w którym jedna konkretna osoba jest odpowiedzialna za dowiezienie wyniku - najczęściej inżynier, który wykonuje pracę w projekcie. W tekście zobaczysz, jak wygląda rytm pracy w takim modelu i co to realnie daje.

16. Superlite - mniej klikania zgód podczas pracy z Claude Code
    https://contextfirst.blog/superlite-hand-an-agent-a-spec/
    INFO: Pewnie znasz zestaw skilli "superpowers". Pozwalają one w bardzo kompleksowy sposób planować projekty i przeprowadzać analizy, ale niestety zadają po drodze dziesiątki pytań. Z Superlite dasz Claude Code opis projektu i bez ciśnienia odejdziesz od komputera, zamiast co kilka minut zatwierdzać kolejne kroki. Agent pyta tylko raz, a potem sam planuje pracę, dzieli ją na niezależne zadania i równolegle je odpala. Każda decyzja, którą modele podejmą pod Twoją nieobecność, trafia do logu razem z uzasadnieniem. Ich samodzielność ma swoje granice: najważniejszych zasad pilnują hooki, a zanim agent coś usunie albo zrobi ruch ryzykowny dla bezpieczeństwa, musi poczekać na Twoją zgodę. Autor stworzył Superlite jako alternatywę dla superpowers, które uznaje za świetne, ale potrzebował innego trybu pracy.

17. sslx - wygodniejsza alternatywa dla OpenSSL w terminalu
    https://github.com/glincker/sslx
    INFO: Sprawdzenie certyfikatu w OpenSSL to zwykle kilka wywołań openssl sklejonych pipe’ami i flagi, których i tak za każdym razem szukasz w Google. A gdyby tak zebrać to w krótkie polecenia typu 'sprawdź tę domenę' i od razu dostać wynik w terminalu? To właśnie zrobisz z sslx: ocenisz konfigurację TLS dowolnego hosta (podobnie jak w SSL Labs), sprawdzisz daty wygaśnięcia certyfikatów dla wielu domen naraz, wygenerujesz certyfikat testowy albo CSR i przekonwertujesz formaty. Każda komenda ma wyjście w JSON i przewidywalne kody błędów, więc łatwo wpiąć sslx w crona albo CI. Działa na macOS i Linuksie i nie wymaga zainstalowanego OpenSSL. A jeśli myślisz, że i tak nie musisz znać tych wszystkich komend, bo przecież Twój agent AI robi to za Ciebie, to pomyśl, że możesz dać to narzędzie agentowi, aby przepalał znacznie mniej tokenów.

18. Jak rozpoznać tajny model LLM po jego zachowaniu?
    https://swistak.codes/post/rozpoznawanie-llm/
    INFO: Korzystasz z jakiegoś narzędzia, które 'pod spodem' ma bliżej nieokreślony model językowy, albo natrafiasz na tajemniczy nowy model, który występuje jedynie pod nazwą kodową. Jak zidentyfikować model, który pojawił się np. na OpenRouterze? Zwykłe pytanie go o tożsamość może skończyć się kłamstwem albo halucynacją, lepiej więc nauczyć się rozpoznawać go po zachowaniu. Autor tekstu pokaże Ci, jak to sprawdzić m.in. badaniem reakcji, błędami tokenizacji, wyborem 'losowych' liczb albo porównywaniem liczby tokenów w promptach. Do kilku testów dostaniesz gotowe skrypty. Żadna z tych metod nie daje 100% pewności, ale pomoże Ci zawęzić listę podejrzanych.

19. MASH - jeden playbook Ansible do self-hostingu wielu usług
    https://github.com/mother-of-all-self-hosting/mash-playbook
    INFO: Jeśli stawiasz na własnym serwerze kilka usług open source, to każdą z nich osobno konfigurujesz i pilnujesz, żeby sobie nie wchodziły w drogę. MASH to taki playbook Ansible 'all-in-one', który pozwala uruchomić wspomniane aplikacje jako kontenery Dockera. Wspólne elementy (np. baza Postgres, reverse proxy Traefik czy backupy) są utrzymywane centralnie, a instalacja i aktualizacje są zautomatyzowane. Nową usługę możesz dodać, dopisując kilka linijek w konfiguracji. Jedna konfiguracja nie oznacza przy tym jednego serwera - usługi możesz rozdzielić między wiele maszyn. Dzięki temu zamiast utrzymywać kilka osobnych instalacji masz jeden porządny stack, łatwiej robisz backupy (wszystko leży w jednym miejscu) i szybciej testujesz nowe narzędzia.

20. Jev, LLM czy człowiek - kto powinien podjąć decyzję i ile to kosztuje?
    https://pncnmnp.github.io/blogs/economics-decision-models.html
    INFO: Autor proponuje umieścić Jeva w hierarchii decyzyjnej, analogicznej do hierarchii pamięci w komputerach. Wyglądałoby to tak: na szczycie są reguły i cache, niżej modele decyzyjne, potem LLM-y, a na końcu ludzie. Taki system może pomóc obniżyć koszty automatyzacji, bo proste sprawy załatwiają tańsze poziomy. Zobaczysz też, jak za pomocą reguły Chowa policzyć próg, przy którym opłaca się przekazać sprawę wyższej instancji. Tekst jest dość matematyczny, ale wzory są przeplatane prostymi przykładami na liczbach. Możesz wrzucić obliczenia do jakiegoś AI, aby łatwiej było zrozumieć mechanizm za nimi stojący.

21. Strona przyjazna AI - co naprawdę interesuje boty?
    https://pournasserian.com/writing/ai-friendly-website-2026
    INFO: Co dodać na swojej stronie, aby ChatGPT, Claude i inne narzędzia ją cytowały? Takich porad jest na pęczki - a tutaj znajdziesz ich testy. Autor wdrożył u siebie np. robots.txt z regułami dla crawlerów AI, llms.txt, kopie stron w Markdownie, a nawet własny serwer MCP. Po 18 dniach przejrzał logi Cloudflare i dane ze swojego serwera MCP, a wnioskami dzieli się w tekście. Sprawdź, co według niego ma sens, a co na razie niewiele daje.

22. Uwierzytelnianie domeny do wysyłki maili - krok po kroku
    https://mailfully.com/blog/spf-dkim-dmarc-setup
    INFO: Ten poradnik przeprowadzi Cię przez konfigurację SPF, DKIM i DMARC dla domeny do wysyłki automatycznych wiadomości (wyjaśniając przy okazji, czym różnią się te mechanizmy). Dowiesz się, czemu SPF i DKIM pokazują 'pass', a DMARC i tak nie przechodzi - albo jak bezpiecznie zaostrzać politykę DMARC na podstawie raportów. Jest też pokazane, jak sprawdzić nagłówki prawdziwej wiadomości wysłanej z aplikacji. Jest tam także tabela typowych błędów (np. podwojona nazwa domeny, proxowane CNAME-y w Cloudflare, dwa rekordy SPF). Przykłady bazują na jednym dostawcy, ale zasady przeniesiesz na dowolną usługę.

23. Jak projektować serwery MCP, które dobrze działają z agentami AI?
    https://refactoring.fm/p/how-to-design-a-good-mcp-server
    INFO: Coraz więcej produktów trafia do asystentów AI jako wtyczki, dzięki którym np. Claude czy ChatGPT mogą obsługiwać Notion albo Stripe w imieniu użytkownika. Pod spodem działają serwery MCP, a firmy często robią je byle jak - np. przepisują swoje API jeden do jednego. Efekt jest taki, że agent się gubi, robi kilka kroków tam, gdzie wystarczyłby jeden, albo w ogóle nie kończy zadania. Autor pokazuje na przykładach znanych firm, jak zrobić to dobrze i co jest ważne po wdrożeniu takiego rozwiązania. Jeśli Twój zespół buduje albo planuje integrację swojego produktu z asystentami AI, ten tekst może się przydać.

24. Agent AI przeszuka za Ciebie czat na WhatsAppie - własny serwer MCP
    https://github.com/finereli/whatsapp-mcp
    INFO: Co Cię ominęło na grupie na WhatsAppie? Twój asystent AI może to przeczytać, podsumować czy przeszukać za Ciebie - musisz tylko podłączyć się przez kod QR albo numer telefonu do serwera MCP z tego repozytorium. Serwer jest read-only i działa na Twoim koncie Cloudflare, gdzie przechowywana jest historia czatów (autor rekomenduje plan Workers Paid za kilka dolarów miesięcznie, bo import dużej historii przekracza domyślny limit CPU). Ale żeby nie było zbyt kolorowo - redaktorskim obowiązkiem trzeba poinformować, że rozwiązanie jest niezgodne z regulaminem komunikatora.

25. CSS w 2027 roku - 10 funkcji, które mogą trafić do przeglądarek
    https://www.joshwcomeau.com/css/interop-2027/
    INFO: W ramach projektu Interop twórcy przeglądarek (Google, Apple, Microsoft, Mozilla) co roku wybierają funkcje CSS do wdrożenia przez wszystkich, tak żeby strony działały tak samo w każdej przeglądarce. Teraz trwa wybór funkcji na 2027 rok - każdy może zagłosować w publicznym rankingu propozycji, trzeba mieć do tego konto na GitHubie. Natomiast w samym tekście znany twórca kursów o CSS pokazuje swoją dziesiątkę faworytów z przykładami kodu i podpowiada, z czego można korzystać już teraz. A jeśli chodzi Ci po głowie pytanie, po co to robić w czasach pisania kodu z agentami AI, przeczytaj o tym kilka zdań w podsumowaniu tekstu.

26. Na ile LLM-y przyznają się do własnych błędów?
    https://www.lesswrong.com/posts/w9BCdjwztmAGdrptD/llms-knowingly-hide-their-mistakes-1
    INFO: Badacze wstawiali do rozmów z agentami AI błędy, np. wysłanie poufnych danych do nieodpowiedniej osoby, nadpisanie pliku czy zamówienie dania z alergenem - i sprawdzali, czy agenci wspomną o tym użytkownikowi. Często tego nie robili - w jakich przypadkach możemy mówić o przeoczeniu, a w jakich o 'świadomym' przemilczeniu błędu? Jakie to ma znaczenie przy budowie agentów AI do dłuższych zadań? Warto przeczytać wyniki tych testów.

27. Czy REA pomoże Twoim agentom AI klonować aplikacje? (film, 22 min)
    https://youtu.be/9Pa1h-vaZpI
    INFO: Pakiet 'Reverse Engineer Anything' ma pomóc Twojemu agentowi AI przeanalizować dowolną aplikację i napisać jej własną wersję. Autor sprawdza to na czterech przykładach i ocenia, ile robi samo REA, a ile zrobiłby agent bez pomocy tego pakietu. Testowane projekty to m.in. aplikacja wzorowana na Clopie (optymalizator obrazów na macOS) i tablica do rysowania inspirowana Excalidraw. Jak wygląda taka praca, jakie są jej koszty... i gdzie leży granica między poznaniem działania czyjegoś programu a jego kopiowaniem? O tym jest ten film.

28. Skill od Cloudflare do audytu bezpieczeństwa aplikacji
    https://github.com/cloudflare/security-audit-skill
    INFO: Poproszenie sztucznej inteligencji o audyt bezpieczeństwa często kończy się długą listą wyimaginowanych 'podatności' lub przepaleniem tokenów bez uzyskania wartościowych wyników. Zamiast tego możesz przetestować skill od Cloudflare, który poprowadzi Twojego agenta AI przez sześcioetapowy, uporządkowany audyt. Skill pilnuje, aby AI nie zmyślało problemów: każdą znalezioną lukę sprawdza osobny agent, który próbuje udowodnić, że to fałszywy alarm. Do pełnego audytu potrzebujesz agenta obsługującego subagentów i sandboxa odciętego od sieci - bez niego skill nie uruchamia testowanego kodu, tylko oznacza wątpliwe przypadki do ręcznej weryfikacji.

29. Responsywne iframe'y dzięki jednej linii kodu w CSS - nowość
    https://alfy.blog/2026/10/09/iframe-that-finally-fit-their-content.html
    INFO: Jeżeli zdarzało Ci się osadzać na stronie np. formularz płatności albo widget z komentarzami, to znasz pewnie to zgadywanie wysokości iframe na oko i testowanie jej na pięciu telefonach. Takie okienko ma sztywną wysokość, więc zwykle albo zostawała pusta przestrzeń na stronie, albo pojawiał się drugi pasek przewijania. Załatwiało się to zwykle przez m.in. JavaScript, ResizeObserver i postMessage. Da się to zrobić prościej z frame-sizing już od Chrome 154. To jedna linijka CSS po Twojej stronie. Jest tylko jeden haczyk, o którym przeczytasz w tekście.