Cześć!

Pierwszy piątek listopada, a ja wpadam z nowymi, interesującymi materiałami z branży IT. Zamiast scrollować social media, otwórz garść bardziej rozbudowanych treści, które mam nadzieję, pozwolą Ci rozwinąć się w branży, zaciekawią Cię, albo przynajmniej uprzyjemnia Ci piątek :)

A teraz "Pora na sponsora" - Ty także możesz zostać sponsorem lub patronem.

Zapraszam do lektury dzisiejszego wydania newslettera.

◢ #unknownews ◣

1. Bezpieczeństwo iPhone'a i Androida w liczbach - co lepsze?
   https://my127001.pl/android-vs-iphone-ktory-jest-bezpieczniejszy-cve-zero-daye-ceny-exploitow-i-czas-latania-w-liczbach-2026
   INFO: Co jest bezpieczniejsze, Android czy iPhone? Najlepiej sprawdzić to na danych - i to właśnie robi autor wpisu. W porównaniu bierze pod uwagę liczby podatności i zero-dayów, ceny exploitów, wyniki Pwn2Own oraz statystyki malware i phishingu. Zauważa też, że 'Android' jest tu zbyt ogólnym pojęciem do porównywania, bo inaczej w pojedynku z iPhonem wypadnie wspierany Samsung, a inaczej tani smartfon z marketu. Oprócz wyników porównania przeczytasz tu o ustawieniach i nawykach, które mają znaczenie dla bezpieczeństwa niezależnie od wybranego systemu.

2. Fałszywa karta podarunkowa od Rossmanna - uważaj na linki z WhatsAppa i Messengera
   https://cert.orange.pl/aktualnosci/loteria-z-podszyciem-pod-rossmann-whatsapp/
   INFO: Znajomy przysłał Ci na WhatsAppie lub Messengerze link do ankiety, dzięki której dostaniesz 2000 zł na zakupy w Rossmannie? Cóż za wspaniałomyślny znajomy… To właśnie tego rodzaju zaufanie do drugiej osoby wykorzystują oszuści w kampanii opisanej przez CERT Orange Polska. Autor opisuje, jak ofiara może nieświadomie rozsyłać link dalej i jak to daje po kieszeni - nie tylko jednorazowo, ale i w subskrypcji. Tę subskrypcję na szczęście da się przerwać, o czym też przeczytasz w tekście. Może to dobra myśl, by podzielić się tym z najbliższymi.

3. Co warto wiedzieć przed zbudowaniem homelabu?
   https://safeguard.sh/resources/blog/how-to-build-a-tiny-data-center-at-home-homelab
   INFO: Od czego zacząć, jeśli chcesz mieć domowy homelab? Niekoniecznie od dużego używanego serwera, którego hałas pogorszy Twoje relacje z domownikami ;) Lepszym startem może okazać się cicha, energooszczędna maszyna z Proxmox VE. Zanim podejmiesz decyzję, przeczytaj ten tekst - autor dość dobrze wyczerpuje temat startu z własnym centrum danych, uwzględniając najczęstsze pytania i typowe błędy entuzjastów homelabów.

4. Jak wykryć osoby, które wynoszą dane? Znakowanie informacji (film, 17 min)
   https://www.youtube.com/watch?v=VqGMHpquXG8
   INFO: Autor pokazuje różne metody zastawiania pułapek na tzw. krety, czyli osoby, które wynoszą lub kopiują firmowe dane. Do ich zdemaskowania mogą służyć m.in. fałszywe sygnatury antywirusowe, niewidoczne znaki w tekście, wnikliwa analiza wydruku czy honeypoty. Dobra lekcja z pogranicza bezpieczeństwa informacji i klasycznych technik kontrwywiadowczych - o korzystaniu z nich wspominał np. Elon Musk, kiedy ludzie wynosili dane z Tesli.

5. Context Bombs - pułapki na ofensywnych agentów AI
   https://agentic.tracebit.com/factory/
   INFO: Agentów AI atakujących Twoje środowisko produkcyjne można oszukać fałszywymi tropami. Takie wabiki - Context Bombs - mają nie tylko ostrzec o intruzie, ale też zmarnować jego czas i pieniądze albo odciągnąć go od prawdziwych celów. W testach przeciwko siedmiu modelom sprawdzono m.in. podrobiony raport z testów bezpieczeństwa, zaszyfrowane pliki i ślamazarną usługę odzyskiwania danych. Tu znajdziesz omówienie tych testów (miej na uwadze, że pisze to firma sprzedająca narzędzia do zastawiania takich pułapek).

6. Dlaczego RAM jest taki drogi i czy warto czekać z zakupem?
   https://highlab.pl/dlaczego-pamiec-podrozala/
   INFO: Nawet jeśli nie płynie w Tobie cebulowa krew, to pewnie i tak łapiesz się za głowę na widok cen RAM-u. Zestawy DDR5 32 GB podrożały w rok pięciokrotnie, SSD, karty microSD i pendrive'y może nie aż tak, ale ich ceny też bolą. Jak nietrudno się domyślić, głównym powodem jest popyt ze strony centrów danych AI i przesunięcie produkcji w stronę pamięci serwerowej. Jak się w tym odnaleźć jako zwykły człowiek, który po prostu potrzebuje RAM-u do złożenia dziecku komputera albo odpalenia nowej gry? Ten artykuł podpowiada, kiedy kupować RAM od razu, kiedy lepiej odpuścić rozbudowę i czy w najbliższym czasie można liczyć na spadki cen.

7. Czy Polska może zostać potęgą AI? 17 rozmów z ludźmi, którzy budują polski rynek AI [sponsorowane]
   https://s.mrugalski.pl/rzeczpospolitAI
   INFO: Rozmowy z twórcami startupów, naukowcami i decydentami - m.in. Matim Staniszewskim, Aleksandrem Mądrym i Rafałem Brzoską. O tym, dlaczego polscy inżynierowie budują AI głównie za granicą, gdzie leżą największe bariery i dlaczego cyfrowa suwerenność to coś więcej niż hasło. Dostępne jako książka, ebook i audiobook. Z kodem "unknow20" otrzymujesz 20% zniżki na dowolny format książki, jak i na zestaw. Użyj go w koszyku.

8. Jak otwierać bramę osiedlową przez VoIP i Home Assistanta?
   https://q84fh.net/pl/posts/2026-10-31-brama-dla-gosci/
   INFO: Autor chciał wygodnie wpuszczać gości na osiedlowy parking, bo brama otwiera się tylko pilotem z ograniczonym zasięgiem albo po telefonie z numeru zapisanego na liście. Zbudował więc aplikację w Go, która tworzy tymczasowy link z dużym przyciskiem: gość go klika, a Home Assistant dzwoni do bramy z numeru internetowego i ją otwiera. Gość nie musi niczego instalować ani się logować, a autor dostaje powiadomienie, kto i kiedy otworzył bramę. Znajdziesz tu wszystko, co potrzebne, żeby też się tak pobawić.

9. Używany firmowy serwer do domowego laba - co może pójść nie tak? (film, 15 min)
   https://www.youtube.com/watch?v=YGwEQqYlvok
   INFO: Dzięki temu, że firmy co parę lat wymieniają sprzęt, Ty możesz sprawić sobie serwer za grosze - niestety jest ryzyko, że za tę okazję zapłacisz m.in. wzmożonym hałasem i poborem prądu, zmniejszoną przestrzenią do życia i nieodpartą pokusą dokupowania kolejnych pasujących egzemplarzy. Klasa enterprise brzmi świetnie, ale przed impulsywnym zakupem używanego Della z aukcji dobrze obejrzeć ten film - również dlatego, że sporą rolę gra tu czynnik emocjonalny, przez który potem trudno się ze sprzętem rozstać ;)

10. *sshole - luka w OpenSSH na musl wpuszczała na konta bez hasła od 2016 roku
    https://sshhole.com/
    INFO: Jeśli korzystasz z systemów takich jak Alpine Linux lub OpenWRT (np. na routerze) lub z dowolnego innego, który zamiast LIBC korzysta z MUSL, to mam złą wiadomość. Wpisanie dowolnego ciągu dłuższego niż 256 znaków podczas logowania na dowolne konto spowoduje… wpuszczenie Cię na to konto. Czyli możesz wejść na roota bez znajomości hasła. Musi być do tego spełniony jeszcze jeden dodatkowy warunek, ale więcej na ten temat znajdziesz na stronie. Jedyny w pełni skuteczny ratunek to aktualizacja OpenSSH do najnowszej wersji. Na szczęście Alpine wrzuciło poprawione paczki nie tylko do najnowszej wersji systemu, ale i do poprzednich.

11. Podróż przez Wielką Brytanię bez cyfrowego śladu (film, 17 min)
    https://www.youtube.com/watch?v=-afUWnMAwVU
    INFO: Autor filmu próbuje przejechać całą Wielką Brytanię, od północnego krańca Szkocji do Londynu, zostawiając jak najmniej cyfrowych śladów. Nie korzysta więc z telefonu ani karty, ma gotówkę i papierowe mapy, a do internetu łączy się przez Tails (system uruchamiany np. z pendrive’a, który ogranicza śledzenie w sieci). Co okazało się największym utrudnieniem w takiej podróży? Czy da się przemknąć niezauważonym w jednym z najbardziej monitorowanych krajów na świecie? Niezła próbka funkcjonowania poza cyfrowym obiegiem.

12. Skąd AI bierze statystyki, które podaje w odpowiedziach?
    https://trakkr.ai/trakkr-research/zombie-stats
    INFO: Autorzy zapytali pięć popularnych asystentów AI o różne statystyki, a potem sprawdzili, czy cytowane liczby prowadzą do prawdziwych badań. Okazało się, że sporo liczb krążących po blogach i zestawieniach ma niezweryfikowane źródła, a do tego czasem zmienia się ich kontekst. Takie liczby, powtarzane mimo braku badania, które by je potwierdzało, mają nawet swoją nazwę: 'zombie stats'. Jeśli nie chcesz ich w swoich tekstach, prezentacjach czy raportach, przeczytaj tutaj o sprawdzaniu danych podrzucanych przez AI.

13. Po co i jak opóźniać instalację paczek npm i PyPI?
    https://brunoj.com/nothing-installs-at-our-company-until-its-a-week-old/
    INFO: Przy instalacji nowych wydań paczek z npm czy PyPI można złapać świeżo opublikowany malware z przejętych pakietów, co pokazały m.in. incydenty z Axiosem i LiteLLM. Autor zauważa, że skoro wiele złośliwych wersji znika z rejestrów w ciągu kilku godzin, pomocne będzie zachowanie tygodniowego buforu przy instalacji. W jego przypadku wydania zatrzymuje firmowe proxy. Jak to działa i na jakie problemy się natknął po wdrożeniu tego rozwiązania, przeczytasz w tekście.

14. Atak PHP2Shell - jak jedno żądanie HTTP może przejąć serwer PHP (film, 4 min)
    https://www.youtube.com/watch?v=6Kz4bWKoXhU
    INFO: Odpowiednio przygotowane żądanie HTTP może doprowadzić do wykonania kodu na serwerze z PHP - w czasie październikowego ataku PHP2Shell zagrożonych było nawet 70% stron w sieci. Dawniej napisanie takiego exploita było bardzo trudne, ale AI znacznie to ułatwia. Jeżeli chcesz dokładniej poznać mechanizm działania tego ataku, obejrzyj ten krótki film.

15. API Anything - zamień strony bez API w operacje dla agentów AI
    https://github.com/goodnight000/api-anything
    INFO: Gdy serwis nie ma publicznego API, agent AI zwykle musi sterować przeglądarką lub parsować kod HTML, co zajmuje sporo czasu i zużywa dużo tokenów - a do tego wystarczy przebudowa strony albo ściana antybotowa, żeby wybić go z rytmu. Możesz skrócić tę drogę z API Anything. Narzędzie uczy się żądań wysyłanych przez frontend i zapisuje je jako operacje, które agent wywołuje przez MCP, CLI albo TypeScript, a w odpowiedzi dostaje JSON. W paczce i we współdzielonym katalogu znajdziesz gotowe operacje m.in. dla Goodreads, Google Flights i Hacker News, porównanie z agentem sterującym przeglądarką oraz instrukcję uczenia narzędzia obsługi nowych stron. Działa to lokalnie, a zapisane operacje przechowują tylko odwołania do ciasteczek i tokenów. Minusy? Nie ma rozwiązywania CAPTCHA, a za zgodność tego działania z regulaminem stron odpowiadasz Ty.

16. Lekcje z czarnego tygodnia cyberbezpieczeństwa
    https://www.welivesecurity.com/en/business-security/lessons-cybersecurity-black-week/
    INFO: Luki w PHP i jądrze Linuksa, zainfekowane wydanie LiteLLM, krytyczny błąd w GitLabie, problem z Brotli w Node.js i afera z certyfikatami eMudhra… Koniec października był wyzwaniem dla niejednego admina i specjalisty od cyberbezpieczeństwa. Jeżeli info o którejś z nich Cię ominęło albo lubisz czytać podsumowania w chłodnym tonie, dalekim od krzykliwych nagłówków, to pod tym linkiem to znajdziesz.

17. Jak działa zaufanie w internecie? - lekcje po wpadce Emdury (film, 31 min)
    https://youtu.be/HgwMZhuAaOI
    INFO: Ostatnio głośno było o wpadce indyjskiego urzędu certyfikacji z wygenerowaniem bardzo słabych kluczy pośrednich. To dobra okazja, żeby utrwalić wiedzę, jak działa zaufanie w internecie oparte na certyfikatach TLS i dlaczego przejęcie albo odtworzenie klucza pośredniego CA jest tak poważnym problemem. Jak to jest, że przeglądarki są w dużej mierze chronione przez Certificate Transparency, ale wiele narzędzi i urządzeń już nie? Autor podpowie Ci też, co warto aktualizować i jak sprawdzić, czy Twoje środowisko jest podatne.

18. Polskie centrum programów bug bounty od CERT Polska
    https://hack.cert.pl/
    INFO: Opcja dla osób od cyberbezpieczeństwa, które chcą legalnie testować polskie systemy publiczne i jeszcze na tym zarobić - wystartował program Big Bounty. Na tej stronie znajdziesz spis programów wraz z zakresem testów, zasadami zgłaszania błędów i ograniczeniami (więc nie musisz zgadywać, co jest dozwolone w takich testach). Im poważniejszą lukę znajdziesz, tym więcej możesz zarobić. Powodzenia.

19. Telekomputer z 1990 roku - pierwszy odcinek programu o komputerach (film, 22 min)
    https://www.youtube.com/watch?v=_rzsdYDT25U
    INFO: Sentymentalna wycieczka do czasów, w których to my czekaliśmy na ulubione programy, a nie one na nas. Pod tym linkiem znajdziesz archiwalne nagranie pierwszego odcinka programu 'Telekomputer' - obejrzenie tego z perspektywy dorosłego już człowieka związanego z branżą IT - i ze świadomością, jak ona się rozwinęła przez ponad 30 lat - może być dla Ciebie ciekawym doświadczeniem.

20. pwn.watch - aktualny tracker podatności, exploitów i łatek
    https://pwn.watch/
    INFO: Gdzie w internecie się pali - i czy Cię to dotyczy? Sprawdzisz to z bieżącą listą incydentów bezpieczeństwa pod tym linkiem. Lista obejmuje luki do załatania, wycieki i ataki na firmy oraz problemy z supply chain. Luki możesz filtrować po dostępności poprawki (jest/częściowa/brak) i po poziomie zagrożenia, a przy poszczególnych incydentach znajdziesz m.in. numery CVE, wersje z poprawkami i krótkie zalecenia. W zestawieniu są m.in. PHP, jądro Linuksa, Android, sprzęt sieciowy, narzędzia AI i aplikacje webowe.

21. Otwórz w przeglądarce archiwalne rozmowy na Gadu-Gadu
    https://github.com/sadekzinho/czytnik-archiwow-gg
    INFO: Jeśli masz gdzieś kopię dysku z czasów świetności Gadu-Gadu, to ten nieoficjalny czytnik pewnie zrobi Ci wieczór - dostaniesz się z jego pomocą do archiwum komunikatora. To pojedynczy plik HTML, który otwiera pliki archives.dat z GG 6 i 7 (nowsze wersje nie są obsługiwane) i działa offline w przeglądarce. Oprócz wyszukiwarki znajdziesz tu statystyki, ulubione słowa, emotki, linki, galerię obrazków, kalendarz urodzin wyłapanych z życzeń, a nawet grę "Kto to napisał?". Miłej zabawy ;)

22. Przyspieszamy start terminala z pomocą Claude Code?
    https://www.nickyt.co/blog/how-i-used-claude-code-to-speed-up-my-shell-startup-by-95percent
    INFO: Autora irytowało, że po otwarciu nowej karty terminala musi chwilę czekać, zanim zacznie pisać, więc razem z Claude Code sprawdził przyczynę spowolnienia - były nią narzędzia (pyenv, gcloud czy menedżery Node.js) ładowane przy każdym starcie. Rozwiązaniem na szybszy start okazał się lazy loading. Jeżeli też dużo pracujesz w terminalu i chcesz pozbyć się takich drobnych opóźnień, opisana tu konfiguracja może Ci się przydać. Na zachętę: czas startu spadł z 770 ms do 40 ms.

23. AI poisoning - czy zatruwanie modeli ma sens jako opór wobec AI?
    https://blog.humanistyka.dev/2026/10/ai-poisoning-jak-podwazac-skutecznosc-i-jakosc-narzedzi-ai
    INFO: Jak wyrazić swój sprzeciw wobec korzystania z ludzkiej twórczości do trenowania modeli AI? Niektórzy wybierają prompt injection, zatruwanie danych i sugerowanie AI fałszywych źródeł. Autor polemizuje z sensem i skutecznością takich działań - sugeruje też rozwiązania, które mogłyby pomóc na większą skalę, a przy tym być etyczne.

24. Odkrywaj muzykę z całego świata na interaktywnym globie - MuGlobe
    https://muglobe.com/
    INFO: O tym, jaką muzykę poznajemy, decydują dziś często algorytmy platform streamingowych. Jeżeli masz chęć na samodzielne poszukiwania, ten muzyczny atlas może Ci się spodobać. W MuGlobe przesuwasz się po interaktywnej kuli ziemskiej, a gdy zatrzymasz się w wybranym miejscu, możesz odsłuchać czegoś w rodzaju lokalnej stacji radiowej (nagrania lecą z YouTube). Jest też opcja przeglądania regionów muzycznych, gatunków i wykonawców, a w niektórych miejscach poczytasz w encyklopedii o instrumentach czy historii tamtejszej muzyki. Projekt korzysta m.in. z danych NASA Blue Marble, Natural Earth i MapLibre GL JS. Jest darmowy i nie wymaga logowania.

25. 40 funkcji i workflows w Claude Code - znasz je wszystkie? (film, 54 min)
    https://www.youtube.com/watch?v=P3TCZ2xrvbo
    INFO: Jak dobrze wykorzystujesz potencjał Claude Code? Być może spośród 40 funkcji wymienionych w tym filmie będzie choć jedna, o której usłyszysz po raz pierwszy. Autor wymienia m.in. porządkowanie CLAUDE.md, lokalne ustawienia, własny status line, pracę z planami, rewind, compact, pamięciami i kontrolą kosztów - nie sposób wymienić wszystkiego w krótkiej zajawce, musisz zajrzeć do filmu ;) Dowiesz się, jak wykorzystać hooki, skille, MCP i tryb headless, aby nie powtarzać w kółko tych samych instrukcji w promptach. I nawet nie musisz programować, żeby z tego skorzystać, bo Claude Code pomoże Ci też przy notatkach, porządkowaniu plików czy analizie danych.

26. Dlaczego kursor myszy jest przechylony w lewo? (film, 4 min)
    https://www.youtube.com/watch?v=DeUaK2Rhddw
    INFO: Kursor myszy widzisz codziennie, ale czy myślisz czasem o tym, dlaczego jest przechylony w lewo? Pewnie nie, ale od tego jest ten newsletter ;) Skąd wziął się ten kształt, skoro pierwszy kursor sprzed niemal 60 lat wskazywał prosto w górę, i jakie jeszcze ciekawostki kryje jego historia? Zajrzyj do filmu.

27. Gdzie lokalna AI przestaje być prywatna? (film, 14 min)
    https://www.youtube.com/watch?v=P1dRr4Zna3E
    INFO: Autor filmu sprawdza, czy programy do uruchamiania AI na własnym komputerze rzeczywiście zapewniają nam prywatność. W tym celu podgląda cały ruch sieciowy Maca, a w promptach podaje fałszywe, wrażliwe dane. Okazuje się, że samo to, że model działa 'lokalnie', nie mówi jeszcze wszystkiego o prywatności - liczy się też to, co dzieje się wokół rozmowy (połączenia aplikacji z siecią czy prompty w logach). Jeżeli korzystasz z Ollamy, LM Studio czy llama.cpp, warto tutaj zajrzeć - na końcu jest kilka porad o tym, jak ograniczyć wycieki.