Cześć!

Nadszedł piątek, a więc jest i nowe wydanie newslettera. Nie wiem, czy wiesz, ale poza newsletterem publikuję jeszcze całkiem sporo treści okołotechnicznych, które możesz znaleźć np. na moim LinkedIn, czy Instagramie. Rzuć okiem np. na analizę problemów z adresami na Gmail, zmagania z DDoSem od FB, czy eksperymenty z odpikselowaniem fotek z użyciem AI.

A teraz "Pora na sponsora" - Ty także możesz zostać sponsorem lub patronem.

Zapraszam do lektury dzisiejszego wydania newslettera.

◢ #unknownews ◣

1. Agile tylko z nazwy - podróbka „zwinnego” podejścia w zespołach IT (film, 16 min)
   https://youtu.be/sZ0y_0rf6a4
   INFO: Daily, sprinty, story pointy, retro… I tak na spotkaniach spędzasz więcej czasu niż na programowaniu. Taką sytuację autor filmu nazywa teatrem Agile, który zamiast czynić pracę zespołu bardziej „zwinną”, spowalnia ją i zamienia w nic niewnoszące rytuały. Gdzie leży przyczyna problemu i jak osoby techniczne mogą faktycznie wzmacniać agile'owe podejście w zespole? Dowiesz się z filmu. Obejrzyj, nim rzucisz wypowiedzeniem przez nadmiar calli w pracy.

2. Ups, klucz API wylądował w Git - co robić?
   https://www.freecodecamp.org/news/how-to-fix-a-leaked-api-key/
   INFO: Piszesz kod korzystający z jakiejś zewnętrznej usługi i wklejasz do niego klucz API w pliku, żeby szybko przetestować, czy działa. Robisz "git commit", może nawet wysyłasz to dalej na GitHuba czy inny hosting, a chwilę później skacze zużycie jakiegoś płatnego API albo ktoś zaczyna grzebać w Twojej infrastrukturze… Tak może wyglądać scenariusz wycieku klucza API i niestety usunięcie go z aktualnej wersji pliku oraz zrobienie nowego commita nie rozwiązuje problemu, bo Git przechowuje historię zmian. Jeżeli chcesz wiedzieć, co krok po kroku zrobić w takiej sytuacji, przeczytaj ten tekst.

3. Jak zmieścić sieciowy homelab w bagażu podręcznym (artykuł + film, 11 min)
   https://www.jeffgeerling.com/blog/2026/mini-homelab-network-fits-in-carry-on/
   INFO: Autor miał w planach wybrać się na zjazd miłośników starych komputerów, gdzie chciał pokazać synchronizację czasu na zabytkowych Makach. Wystarczyłby mu telefon jako hotspot albo hotelowe Wi-Fi, ale nie do końca im ufał, więc… spakował do bagażu podręcznego mini serwerownię: zapasowe łącze 5G, baterię awaryjną i obsługę dwunastu urządzeń sieciowych naraz. W tekście opisuje, jak ten setup poradził sobie na jego prezentacji i jak był zbudowany.

4. Tryb Auto Mode w Claude Code pozwolił na RCE - testowy atak
   https://embracethered.com/blog/posts/2026/breaking-claude-code-opus-5-and-automode/
   INFO: Według Anthropic tryb pracy "Auto Mode" w Claude Code - gdzie zamiast programisty każdą akcję zatwierdza automatyczny klasyfikator bezpieczeństwa - w zewnętrznym teście nie przepuścił żadnego z 72 ataków prompt injection… Znalazł się więc ktoś, kto chciał to sprawdzić. Autor zaczął od prostej prośby o streszczenie strony, a potem skłonił agenta do pracy z pobranym ZIP-em i uruchomienia własnego kodu pomocniczego. Czym to skutkowało i co na to Anthropic - przeczytasz w tekście.

5. Domowy serwer na starym komputerze z UmbrelOS (film, 16 min)
   https://www.youtube.com/watch?v=1xMTVHA-HIk
   INFO: Jeśli masz w domu nieużywany komputer, UmbrelOS może być najprostszą drogą do zamienienia go w budżetowy domowy serwer. Autor testuje to na dziesięcioletnim biurowym HP EliteDesk i pokazuje cały proces stawiania środowiska - instalację z pendrive’a, pierwsze logowanie i uruchamianie aplikacji ze sklepu (a to wszystko jest do zrobienia bez znajomości Linuksa czy Dockera). Zobaczysz, jak działa na tym prywatna chmura i serwer multimediów, ale też gdzie z racji ograniczeń kończy się zabawa. Sprawdź, czy to będzie dla Ciebie dobra opcja do homelaba, czy potrzebujesz czegoś bardziej zaawansowanego (autor podsuwa parę opcji).

6. Jak atakuje Sandworm? - grupa związana z rosyjskim wywiadem (film, 29 min)
   https://youtu.be/yavYETv7wGk
   INFO: Opis działalności Sandworma, jednej z najbardziej rozpoznawalnych rosyjskich grup APT powiązanych z wojskowym wywiadem GRU. Zobaczysz, jak wyglądały ich ataki na energetykę Ukrainy i infrastrukturę IT igrzysk w Pjongczangu, szeroko znaną kampanię NotPetya czy ataki wymierzone w polską logistykę i elektrownie. Autor opisuje, jak Sandworm korzysta z wiperów, malware'u dla systemów przemysłowych i kampanii nastawionych na długotrwałą obecność w zaatakowanych systemach - i czemu w takich przypadkach zawodzi wykrywanie tego po sygnaturach malware. A jak lubisz "Diunę", to scenografia filmu ma szansę przypaść Ci do gustu ;)

7. Power BI NextGen: jak mądrze wykorzystać potencjał AI w codziennej pracy analityka? [sponsorowane]
   https://s.mrugalski.pl/powerBiNextGen
   INFO: Power BI NextGen to pięciotygodniowy kurs prowadzony przez Artura Molusa, przygotowujący do zaawansowanej pracy w Power BI z LLM-ami. Dziesięć spotkań live i lekcje self-learning, zadania, 19 milionów rekordów treningowych, dostęp do społeczności oraz dwa miesiące Claude Team i Power BI Online w pakiecie. Start 28 września, w przedsprzedaży do 8 września 1590 zł brutto (później 2190 zł).

8. Teoria muzyki dla programistów - nuty, skale i akordy w JavaScripcie
   https://runjs.app/blog/music-theory-for-programmers
   INFO: Co się dzieje, gdy programista nie może nauczyć się gry na instrumencie na bazie teorii muzyki? Pisze kod i dzięki temu zaczyna rozumieć ją o wiele lepiej, bo okazuje się, że podstawy leżą w fizyce i arytmetyce. W tekście zobaczysz proces od generowania prostego dźwięku w przeglądarce do budowania skal, akordów i krótkiej melodii, a to wszystko za sprawą JavaScriptu i Web Audio zamiast instrumentu.

9. Wyciek GTA VI z oszustwem kryptowalutowym w tle (film, 14 min)
   https://youtu.be/mzrgo0gsScg
   INFO: Ostatnio było głośno o aferze wokół wycieków GTA VI i osobie znanej jako "CyberLeek", która przy okazji promowała własny token krypto. Autor pokazuje, jak wyglądał tu mechanizm zarobku - był to klasyczny rug pull czy nie? Omawiany jest też moment zniknięcia CyberLeek i dlaczego trudno uwierzyć w opowieść tej osoby o "walce o prawa graczy". A jeśli czekasz na GTA VI, to uważaj - po sieci krąży fala podszywaczy i fałszywych wycieków, a część z nich rozsiewa złośliwe oprogramowanie.

10. Jak projektować z AI, aby strony nie wyglądały tak samo?
    https://www.lennysnewsletter.com/p/how-to-turn-your-ai-into-a-world
    INFO: Projekty interfejsu generowane przez AI zwykle wyglądają bardzo podobnie, bo modele wybierają najbezpieczniejsze opcje. A dobry design - jak mówi autor tekstu - jest tego przeciwieństwem. W tekście znajdziesz kilka wskazówek, jak tworzyć z AI bardziej unikalne projekty (nie, nie wystarczy polecenie "stwórz mi coś bardziej unikalnego" ;)). Proces opiera się na szukaniu kierunków, definiowaniu stylu i dopracowywaniu efektu. Autor wspomina też o rozdzieleniu ról - do czego w projektowaniu wykorzystać tańsze, a do czego mocniejsze modele.

11. Czego nie robić w startupie? - 75 antywzorców
    https://www.itamarnovick.com/intro-to-startup-anti-pattern-series/
    INFO: Nie ma jednej recepty na sukces startupu, ale są za to sprawdzone sposoby na jego porażkę - i czekają na Ciebie pod tym linkiem. Pośród 75 pułapek znalazły się m.in. wczesne skalowanie, overengineering, ślepe gonienie konkurencji czy budowanie produktu pod inwestorów. Oczywiście pojedynczy "antywzorzec" nie zabije od razu Twojego startupu, ale kilka naraz może utrudniać realizowanie planów firmy albo rozwijać ją w niewłaściwą stronę. Przydatne dla właścicieli startupów i tych, którzy chcieliby mądrze inwestować w młode projekty. Lista jest jeszcze w trakcie tworzenia, więc warto zapisać sobie ten post na później, bo w chwili, gdy piszę te słowa, szczegółowo opisanych jest dopiero pierwszych 14 antywzorców.

12. Analiza kodu źródłowego testu na ADHD w przeglądarce - jak to działa?
    https://nullpt.rs/reverse-engineering-adhd-test
    INFO: Autor tekstu diagnozował się na ADHD i podczas testu MOXO (przypomina to grę, w której sprawdza się reakcje badanego) z ciekawości zajrzał w kod strony. Odkrył, jakie dane zbiera test, ale to nie koniec historii - przypadkiem trafił na panel przeznaczony dla lekarzy, więc założył tam konto i wykonał test dwa razy, raz oszukując, raz przechodząc go uczciwie, żeby porównać wyniki. A my dzięki jego eksperymentom możemy zobaczyć, jak od środka wygląda jedno z narzędzi diagnostycznych.

13. Przeglądanie stron w trybie hard mode - konfiguracja uBlock Origin
    https://untrusem.party/blog/how-I-browse-the-web-with-Ublock-Hard-Mode.html
    INFO: Odrobina radykalnego podejścia dla osób zirytowanych reklamami, trackerami i skryptami uruchamiającymi się podczas korzystania ze stron WWW. Autor prezentuje, jak skonfigurował opcje w uBlock Origin, aby przeglądarka blokowała obrazki, webowe fonty, JavaScript, połączenia z zewnętrznymi serwerami - i żeby on sam mógł sobie odblokować to, co potrzebne do działania strony. Opowiada o dynamicznym filtrowaniu, loggerze w uBlock Origin, LocalCDN i narzędziach do bardziej prywatnego korzystania z YT czy Reddita. Nawet jeżeli nie zamierzasz aż tak dbać o prywatność i nie potrzebujesz takich ustawień, to warto przeczytać, jakie informacje o Tobie są pobierane przez strony WWW.

14. Od API GPT-3 do ChatGPT - rozmowa z Altmanem o skalowaniu AI (film, 26 min)
    https://youtu.be/ooBSNwtgTyI
    INFO: Wielowątkowa rozmowa z CEO OpenAI - Altman opowiada m.in. o początkach ChatGPT, zarządzaniu skalowaniem dużego projektu i obecnym rozwoju modeli AI. Posłuchasz też o jego wizji AI jako nowej warstwy infrastruktury podobnej do elektryczności czy internetu. Jeśli interesuje Cię nie tylko samo używanie modeli AI, ale też sposób myślenia stojący za decyzjami ich twórców, to może być dla Ciebie ciekawe.

15. Baza wiedzy CERT Polska - dla adminów, specjalistów cyberbezpieczeństwa i nie tylko
    https://wiedza.cert.pl/
    INFO: CERT Polska uruchomił nową bazę wiedzy ze swoimi materiałami na temat bezpieczeństwa. Są tu scenariusze walki z phishingiem i ransomware, procedury obsługi incydentów, materiały o budowaniu odpornej na ataki infrastruktury, ale też sekcje o bezpieczeństwie osobistym zwykłych użytkowników - warto się z tym zapoznać, nawet jeśli nie pracujesz w cybersecurity.

16. Jak drobny błąd w rachunku doprowadził do wykrycia szpiegów KGB? (film, 57 min)
    https://www.youtube.com/watch?v=656058JxTM0
    INFO: Czterdzieści lat temu Cliff Stoll - wówczas astronom i admin - zauważył brakujące 75 centów za czas obliczeniowy w systemie Unix w Lawrence Berkeley Labs. To początek śledztwa, które doprowadziło go aż do niemieckiego hakera sprzedającego KGB tajne dane wojskowe USA. W tym filmie Stoll osobiście opowiada, jakie techniki wykorzystywali zarówno on, jak i atakujący, co daje ciekawy kontrast do dzisiejszych możliwości w zakresie cyberbezpieczeństwa, ale też pokazuje, że do rozpracowania takich case'ów nawet dzisiaj potrzebne są ciekawość, kreatywność i współpraca między ludźmi, a nie tylko dobre narzędzia.

17. Luka bezpieczeństwa w linuksowej dystrybucji Omarchy
    https://0xcc.io/posts/omarchy-root-creds/
    INFO: Na dystrybucji Omarchy zwykły użytkownik bez większego problemu może uzyskać uprawnienia admina, a to dlatego, że dystrybucja domyślnie dodawała konto użytkownika do grupy "docker", co w praktyce oznaczało dostęp do uprawnień roota. Sam Docker ostrzega przed tym w swojej dokumentacji, ale Omarchy robiło to automatycznie przy instalacji, nie pytając o zgodę. Myląca była też dokumentacja Omarchy - mówiła o uruchamianiu Dockera "jako zwykły użytkownik, a nie root", co można było rozumieć jako tryb rootless - a tak nie było. Jeśli ktoś przejął kontrolę nad którymkolwiek programem w sesji użytkownika, automatycznie zyskiwał pełne uprawnienia administratora w całym systemie. Więcej o tym przeczytasz w artykule, a jeśli używasz Omarchy: łatka już jest, zaktualizuj do wersji 4.0.1 lub nowszej.

18. GPT-6 Astra - nowy model z naciskiem na computer use, programowanie i cybersecurity
    https://openai.com/index/gpt-6-astra/
    INFO: OpenAI wczoraj opublikowało model GPT-6 Astra. Jest to aktualnie ich najbardziej inteligentny i najlepiej dopasowany (aligned, czyli podążający za intencjami użytkownika) model z oferty. Osiąga świetne wyniki w benchmarkach i (jak mówią twórcy) został przede wszystkim stworzony do zadań wymagających obsługi komputera i programowania. Świetnie radzi sobie też z analizą danych, testowaniem stron internetowych czy researchem. Na danych testowych wyszło, że wykonuje taski mniej więcej o 47% szybciej niż GPT-5.6 Sol, przy zachowaniu znacznie wyższej skuteczności. Model ten świetnie radzi sobie przy długich sesjach programistycznych. Aktualnie model jest około dwukrotnie droższy od GPT-5.6 Sol, ale jak to zwykle bywa, po kilku miesiącach cena pewnie się unormuje.

19. Migracja kodu z AI - jak szybko to poszło Asanie?
    https://blog.pragmaticengineer.com/the-pulse-we-need-to-talk-about-migrations-with-ai/
    INFO: OpenAI pochwaliło się case study - Asana miała migrować testy z Enzyme do React Testing Library w dwa tygodnie (zamiast w 5 lat) za 12 tysięcy dolarów (zamiast za 6 milionów dolarów). Liczby robią wrażenie, ale czy mają pokrycie w rzeczywistości? Autor tekstu dotarł do osoby zarządzającej tym projektem w Asanie, dzięki czemu te liczby zyskały szerszy kontekst - przeczytasz o tym w tekście. Takich case studies może być wkrótce więcej, bo za sprawą AI długo odkładane migracje techniczne robią się prostsze i bardziej opłacalne.

20. Jak Microsoft Paint i Photos znakują obrazy AI?
    https://xusheng.dev/posts/reversing/mspaint_invisible_watermark/main/
    INFO: Lokalne modele AI w Paint i Photos jednak tak do końca lokalne nie są - co pokazał reverse engineering zrobiony przez autora tego tekstu. Prompt trafia na serwer Microsoftu do moderacji, serwer odsyła identyfikator GUID, który zostaje wtopiony w piksele gotowego obrazu, dzięki czemu da się go z nim powiązać. W tekście zobaczysz, czym różni się niewidoczny znak wodny od widocznego logo i jak łączy się z metadanymi C2PA. Autor zastanawia się też, jak to się ma do prywatności i prawa do informacji, bo Microsoft nie informuje wprost o stosowaniu tej techniki.

21. Jeden duży skrót zamiast wielu małych automatyzacji w Apple Shortcuts
    https://michael.team/functions/
    INFO: Apple Shortcuts (aplikacja do automatyzacji zadań na iPhonie, iPadzie i Macu) nie mają wbudowanej możliwości pisania funkcji, czyli fragmentu logiki, który można wywołać wielokrotnie z różnymi danymi wejściowymi, jak w programowaniu. Ale można to obejść. Zamiast rozbijać automatyzację na dziesiątki osobnych, małych skrótów-pomocników, trzymasz całą logikę w jednym skrócie, który wywołuje sam siebie i za każdym razem sprawdza, jaką funkcję ma tym razem wykonać, na podstawie danych przekazanych mu w specjalnym "słowniku" parametrów. Tu przeczytasz więcej o tym rozwiązaniu. Sprytna optymalizacja dla osób automatyzujących sprzęt od Apple.

22. Kontrola kodu od AI w TypeScript i React w 10 krokach
    https://evilmartians.com/chronicles/ten-anti-ai-slop-moves-for-frontend-projects-going-faster-than-humans-can-review
    INFO: Codzienność pracy z kodem generowanym przez AI to często przekopywanie się przez błędne założenia, zduplikowane funkcje albo testy, które nic nie sprawdzają. Autorzy pokazują, jak ograniczyć te błędy we frontendzie z użyciem kontraktów API, odpowiedniej konfiguracji TypeScript, testów mutacyjnych czy automatycznych kontroli w CI. Na końcu podają też kolejność wdrażania tych metod, aby to, co tworzymy, nie okazało się typowym AI-slopem.

23. Jak chińskie grupy APT atakują infrastrukturę telekomunikacyjną?
    https://cert.orange.pl/cyber-threat-intelligence/krajobraz-zagrozen-01-09-2026/
    INFO: Przejęcie routera czy sieci GRX (sieci łączącej operatorów GSM) daje cyberprzestępcom dużo trwalszą i trudniejszą do wykrycia pozycję niż atak na serwer pocztowy albo konto użytkownika. Artykuł omawia tę strategię w kontekście chińskich grup powiązanych z rządem (np. Salt Typhoon, Mustang Panda), które wykorzystują przejęte urządzenia infrastruktury komunikacyjnej czy cyfrowej jako punkty pośrednie do dalszych ataków. Przeczytasz też o stosowaniu passkey i FIDO2 oraz TerminalFix do ataku na pracowników różnych organizacji. Warto przeczytać, zwłaszcza jeśli pracujesz w sektorze telekomunikacyjnym. To cykliczny raport cyberzagrożeń publikowany przez CERT Orange.

24. HTMLcat - katalog użytecznych funkcji dla frontendu
    https://htmlcat.net/
    INFO: W HTML, CSS i JavaScript możesz już wiele rzeczy zrobić natywnie, bez żadnych bibliotek - a na tej stronie znajdziesz je rozpisane w formie krótkich notatek. Każda z nich to jedna funkcja, mały przykład kodu i najważniejsze zastrzeżenie (np. "uważaj, słabe wsparcie w przeglądarkach" albo "przetestuj z czytnikiem ekranu"). Wśród 42 dostępnych obecnie karteczek znajdziesz zarówno klasyki (wyśrodkowanie w CSS czy clamp()), jak i nowsze możliwości (View Transitions API, Popover API czy kontenerowe zapytania w CSS). Całość można filtrować po HTML/CSS/JS albo po prostu wyszukiwać tematy ręcznie.

LINKI TYLKO DLA PATRONÓW

25. Sieć neuronowa w Pythonie i NumPy - od podstaw
    https://uw7.org/un_b6feda5f97402/
    INFO: Autorka buduje w Pythonie sieć neuronową - zaczyna od sztucznego neuronu (to w gruncie rzeczy proste mnożenie i dodawanie liczb), a kończy na małym modelu, który uczy się rozpoznawać klasyczny problem logiczny (XOR). Tłumaczy, czym są wagi, bias, funkcje aktywacji oraz jak sieć "uczy się" na błędach (czy, bardziej naukowo: jak wygląda mechanizm gradientu i propagacji wstecznej). Na końcu pokazuje tę samą sieć zbudowaną dwa razy - raz ręcznie w NumPy, raz w PyTorch. Jeśli chcesz zrozumieć, jak działa deep learning, rozpoznawanie obrazów, przetwarzanie języka, generatywna AI - to dobra baza.