Kolejny newsletter wysyłany z mini-urlopu - nie próżnuję, a stale wyławiam interesujące materiały z branży IT, które wierzę, że zainteresują Cię podobnie, jak zainteresowały mnie. Z pewnością znajdziesz tu coś dla siebie.

A teraz "Pora na sponsora" - Ty także możesz zostać sponsorem lub patronem.

Zapraszam do lektury dzisiejszego wydania newslettera.

◢ #unknownews ◣

1. Co ujawniło podsłuchanie ruchu GitHub Copilota przez mitmproxy?
   https://www.lighthousenewsletter.com/p/i-put-github-copilot-behind-a-mitm
   INFO: Wiele narzędzi, z których korzystasz na co dzień - Claude, ChatGPT, Notion czy Slack - to czarne skrzynki. Nawet tam, gdzie kod jest otwarty, jak w VS Code i Copilocie, nie wiadomo, co leci na serwer. Chyba że... poeksperymentujesz ;) Autor tekstu podpiął GitHub Copilota w VS Code pod mitmproxy - narzędzie do przechwytywania ruchu sieciowego. Znalazł żądania do rozpoznawania intencji użytkownika, dobór modelu do zadania i lokalną bazę SQLite, w której Copilot trzyma pełną historię wszystkich sesji, promptów i odpowiedzi zapisaną zwykłym tekstem. Autor dzieli się też przykładem pokazującym, że pozorna ochrona (np. wyłączenie sugestii dla .env) może nie działać tak, jak się tego spodziewamy. Jakie wnioski płyną z tego eksperymentu, przeczytasz w tekście.

2. Segmentacja sieci - jak zrobić to dobrze? (film, 15 min)
   https://youtu.be/zDzo0C6_OuY
   INFO: 'Podzieliłem sieć na VLAN-y, więc mam segmentację i bezpieczeństwo?' - niestety nie. VLAN-y powstały głównie po to, by ułatwić zarządzanie i ograniczyć ruch rozgłoszeniowy, a nie jako narzędzie bezpieczeństwa. Z tego filmu dowiesz się, czym VLAN różni się od podsieci, dlaczego sama ich obecność nie równa się kontroli ruchu między segmentami oraz jaką rolę odgrywają w tym routing, reguły ACL i podejście 'default deny'. Autor pokaże Ci też, jak podejść do planowania takiego podziału, żeby ograniczyć ruch boczny atakującego, nie blokując przy tym potrzebnych usług.

3. Jak ograniczyć zużycie tokenów w sesjach Claude Code?
   https://claude.com/blog/maximizing-the-value-of-your-claude-code-sessions
   INFO: Czy zdarzyło Ci się zastanawiać podczas pracy z Claude Code, dlaczego jedna sesja kosztuje znacznie więcej niż inna, mimo że dotyczy podobnej rzeczy? Najczęściej chodzi o sposób prowadzenia rozmowy - co zostaje w kontekście, kiedy zmieniasz model, poziom jego wysiłku i jak długo ciągniesz jedną sesję. W tym tekście Anthropic przybliża m.in. co zaśmieca kontekst i jakie drobne nawyki pomogą Ci ograniczyć zbędne koszty - i wcale nie wiąże się to z dużą zmianą sposobu pracy z kodem.

4. Zamień router od operatora na własny firewall z OPNsense (film, 23 min)
   https://youtu.be/a3RI4DjFBzw
   INFO: Jeśli chcesz lepiej zadbać o bezpieczeństwo domowej sieci czy mieć nad nią większą kontrolę, możesz zamienić router od swojego operatora na OPNsense - otwartoźródłowy system routera i firewalla działający na Twoim mini PC. W filmie zobaczysz cały proces: przygotowanie pendrive'a instalacyjnego, przypisanie interfejsów WAN/LAN i pierwszą konfigurację, a potem włączenie DNSSEC, DNS over TLS oraz list blokujących reklamy i scamowe domeny dla całej sieci. Autor pokazuje też ciekawy eksperyment z agentem AI, który przez API samodzielnie dodaje m.in. konfigurację DNS i reguły blokujące ruch z wybranego kraju. Sprawdź, czy takie rozwiązanie ma sens w Twoim domu i czego jeszcze będziesz potrzebować poza samym routerem.

5. Praktyczna nauka etycznego hackingu i pentestów - baza materiałów
   https://github.com/husnainfareed/awesome-ethical-hacking-resources
   INFO: Jeśli chcesz rozpocząć naukę pentestingu i legalnie się gdzieś włamać, to repozytorium jest dobrym adresem - czekają w nim na Ciebie materiały to nauki etycznego hackingu. Znajdziesz tu linki zarówno do książek, kursów czy nagrań z konferencji, jak i do platform CTF, podatnych maszyn, baz podatności oraz dystrybucji linuksowych do pentestów. Listę zasobów rozwija społeczność GitHuba, więc jeśli jesteś już osobą w tym doświadczoną, możesz dodać coś od siebie.

6. Treści z AI jak fast fashion - czeka nas TEMU-fikacja treści? (esej)
   https://xn--gckvb8fzb.com/the-temu-fication-of-software-digital-goods-services/
   INFO: Wiertła i sukienki za parę dolarów wysyłane z magazynu na drugim końcu świata... kilka lat temu taki model biznesowy mógł się wydawać absurdalny, ale wiemy już, że się sprawdził - napędza notowane na giełdzie firmy takie jak TEMU czy Shein. Udało się to dzięki maksymalnemu ograniczeniu kosztów produkcji - pracownicy nie dostają godziwego wynagrodzenia, materiały są kiepskiej jakości itd. Autor stawia tezę, że ten sam mechanizm może objąć software, książki, muzykę i filmy - tylko że tanią 'siłą roboczą' będą modele AI wytrenowane na dorobku milionów programistów, pisarzy i muzyków, serwujące ten dorobek niemal za darmo. Co to oznacza dla Ciebie jako twórcy tekstów, muzyki czy kodu? Choć autor nie ma jasnej odpowiedzi, to jego hipotezy działają na wyobraźnię - warto przeczytać.

7. Zbuduj osobistego agenta AI do pracy i załatwiania codziennych spraw [sponsorowane]
   https://sklep.securitum.pl/agent-ai-do-zadan-specjalnych/agent-unknown
   INFO: Już 14 września odbędzie się szkolenie organizowane przez Sekurak.pl, na którym dowiesz się jak krok po kroku stworzyć agenta AI idealnie dostosowanego do Twoich potrzeb, który wyręczy Cię w żmudnych zadaniach wykonywanych czy to w pracy, czy w życiu codziennym. Korzystając z linka z tego newslettera możesz za darmo zdobyć bilet na szkolenie zakończone certyfikatem uczestnictwa. Jeśli osobiście nie możesz pojawić się na szoleniu, to po zapisie otrzymasz dostęp do nagrania.

8. Jak rozwijają się otwarte modele AI - raport Hugging Face
   https://huggingface.co/blog/state-of-open-models-summer-2026
   INFO: Hugging Face sprawdziło, co dzieje się w świecie otwartych modeli AI. Jeśli myślisz, że trzeba zbudować portfolio mniejszych modeli, żeby wziąć się za duże - przykłady chińskiego podejścia to obalą. Kolejnym zaskoczeniem może być liczba polubień vs liczba pobrań modeli - lajki mierzą zainteresowanie, ale to pobrania pokazują, z czego korzystają ludzie. W raporcie zobaczysz też, jak ma się otwarta licencja do biznesu (skoro wagi są dostępne, to na czym w takim razie zarabiają firmy AI?) i dlaczego tak dobrze radzi sobie Qwen, czyli rodzina modeli od Alibaby. A na koniec pierwszy udokumentowany przypadek samodzielnego włamania agenta, przez który Hugging Face było ostatnio na ustach wszystkich z branży.

9. Jak wyłączyć funkcje AI w popularnych aplikacjach?
   https://www.librarian.net/notoai/
   INFO: Jeśli nie chcesz korzystać z wszędobylskich funkcji AI wyskakujących w Twoim smartfonie, przeglądarce czy na skrzynce mailowej, ten poradnik może Ci się przydać. Autor poprowadzi Cię krok po kroku przez wyłączenie funkcji AI w aż czternastu narzędziach, m.in. w Zoomie, Slacku, What'sAppie, Chromie, Yahoo. Niestety jeden przełącznik często nie wystarczy, bo opcja wyłączenia bywa ukryta w kilku miejscach w ustawieniach, a do tego AI wraca przy aktualizacjach - dlatego warto zachować tekst na później.

10. Git-knife: przepisywanie historii Gita z podglądem i backupem
    https://github.com/TheRealYT/git-knife
    INFO: Istniejące GUI do Gita zwykle nie pozwalają edytować dat commitów, czy tożsamości committera - trzeba do tego terminala, który z kolei bywa mało przystępny. Git-knife ma być złotym środkiem: daje wygodę graficznego interfejsu, a do tego możliwość edycji metadanych, pozwala poprawiać historię lokalnej gałęzi bez checkoutu i dotykania working tree. Przed zastosowaniem zmian dostajesz podgląd, a każda operacja tworzy backup ref z możliwością szybkiego cofnięcia. Przyda Ci się to, gdy musisz np. naprawić błędny adres e-mail w wielu commitach naraz czy uporządkować daty. Na razie nie obsługuje zmiany kolejności, squasha ani dropa, a pojedynczych merge commitów nie edytujesz ręcznie w edytorze - choć zmiany zbiorcze obejmują też merge’e.

11. Rok walki ze scraperami i botami po sprawdzeniu danych z logów
    https://patronview.com/news/99-percent-of-my-website-traffic-is-bots/
    INFO: Jak to możliwe, że statystyki odwiedzin strony pokazują kilkaset odwiedzających dziennie, a serwer obsługuje miliony zapytań tygodniowo? Opowiada o tym twórca dużej bazy amerykańskich filantropów, który przez rok próbował okiełznać falę automatycznego ruchu - od robotów SEO, przez masowe zapytania zza granicy, aż po sieci podszywające się pod zwykłych użytkowników. Niektóre z tych botów zdradziły się np. przeglądarkami 'zamrożonymi w czasie' o kilka lat albo ruchem równo rozłożonym na kilkadziesiąt krajów naraz. W tekście przeczytasz jeszcze o tym, jak rozpoznać taki 'odcisk palca' automatu, które reguły firewalla ostatecznie zadziałały i dlaczego autor ostatecznie zablokował searchboty dużych firm technologicznych.

12. Starmind AI1 - kosmiczna infrastruktura AI kontra ograniczenia fizyki i koszty
    https://thenewstack.io/spacex-and-nvidias-orbital-ai-datacenter-fantasy/
    INFO: SpaceX i NVIDIA zapowiadają satelity Starmind AI1, które miałyby przenieść część obliczeń AI na orbitę okołoziemską - ale jak można przeczytać w analizie doświadczonego dziennikarza technologicznego, na drodze do realizacji tego planu stoi wiele praw fizyki i ekonomii. Problemem mogą okazać się m.in. chłodzenie sprzętu, ograniczenia sieciowe, kosmiczne śmieci czy burze słoneczne. Autor dorzuca też liczby - jak sądzisz, o ile droższe od ziemskiej infrastruktury byłoby hipotetyczne orbitalne centrum danych o mocy 1 GW? Odpowiedź czeka w tekście.

13. Dokąd zmierza AI? - lista 9 tez na bazie danych z rynku
    https://smunshi.net/posts/ai-theses.html
    INFO: Autor tekstu prezentuje tezy o kierunku rozwoju AI, posiłkując się nie szumnymi zapowiedziami dostawców modeli, ale danymi z rynku. Porusza temat niedomagania sztucznej inteligencji przy długich zadaniach, wpływu automatyzacji na rynek pracy czy rosnące koszty korzystania z dużych modeli przez API. Jest też kilka zdań o tym, co może się stać, gdy zabraknie danych do trenowania modeli AI. Każda z tez zwieńczona jest krótkim podsumowaniem - zajrzyj choćby po nie.

14. Kiedy trzeba oznaczać treści AI według nowych wytycznych UE?
    https://smashingmagazine.com/2026/08/eu-guidelines-ai-labelling/
    INFO: Tu pokazano temat oznaczania treści od AI pokazany od strony praktycznej - co podlega temu obowiązkowi, a co nie? Gdzie przebiega granica między zwykłą edycją tekstu przez AI a jego pełnym wygenerowaniem? W tekście zobaczysz wstępnie ustalony podział - jeżeli pracujesz nad UX albo produktami cyfrowymi ze wsparciem AI, dobrze to wiedzieć.

15. DecryptAds pokazuje, kto stoi za reklamami i śledzeniem w sieci
    https://krebsonsecurity.com/?p=74105
    INFO: Strony i aplikacje same ujawniają publicznie, jakie firmy mogą wyświetlać na nich reklamy i zbierać dane użytkowników, ale te informacje są rozproszone w różnych plikach i mało użyteczne bez zestawienia ich w całość. Nowy darmowy serwis DecryptAds zbiera te dane i pokazuje pełną sieć powiązań reklamowych stojących za daną stroną czy aplikacją, łącznie z firmami z krajów uznawanych za ryzykowne (bo np. pomagają wrogim rządom śledzić użytkowników). Zobaczysz, jak wygląda to na przykładzie espn.com czy przeglądarki Opera oraz jak takie zestawienia pomagają tropić złośliwe reklamy (malvertising) i strony tworzone hurtowo przez AI. Są tu też podpowiedzi, jakie narzędzia wdrożyć, żeby ograniczyć śledzenie - także na telefonie.

16. Kreatywne odsłony instalatorów DMG na macOS
    https://unsung.aresluna.org/as-a-windows-user-its-a-very-surreal-way-to-install-a-program/
    INFO: Żeby zainstalować aplikację na Macu, musisz przeciągnąć jej ikonkę do folderu Applications w oknie, które pojawia się po otwarciu pliku .dmg. Ograniczenia tego okienka stały się dla projektanktów kreatywnym placem zabaw, porównywalnym do designu kalkulatora czy apki pogodowej. Autor tekstu pokazuje różne podejścia do strzałek, kierunku przeciągania, instrukcji tekstowych czy kompozycji ikon - zobaczysz tu zaskakujące rozwiązania typu świnka skarbonka czy dżungla, ale też projekty z nieintuicyjną hierarchią i kiepską czytelnością.

17. Jak Claude będzie znakował odpowiedzi AI zgodnie z AI Act?
    https://niebezpiecznik.pl/post/jak-odpowiedzi-ai-beda-znakowane-w-sposob-niewidzialny-dla-ludzi/
    INFO: Od 2 sierpnia unijne przepisy wymagają, by narzędzia AI zostawiały oznaczenia w generowanych za ich pomocą tekstach, obrazkach i kodzie. Anthropic zapowiada dwa rodzaje oznaczeń: ukryty ślad w tekście generowanym przez model oraz podpisane metadane C2PA dla grafik. Wiadomo już, że tego rodzaju detekcja i tak będzie miała jak na razie swoje ograniczenia, bo wykrycie takich śladów nie oznacza, że cała treść została wygenerowana przez AI - i odwrotnie, brak watermarku nie równa się temu, że treść stworzył człowiek. Więcej o aktualnym rozwiązaniu twórców Claude przeczytasz pod tym linkiem.

18. Kitesurf - przeglądarka Cloudflare dla agentów AI
    https://blog.cloudflare.com/kitesurf/
    INFO: Agenci AI odwiedzający stronę www zmieniają wymagania wobec przeglądarek. Dla automatów ważna jest np. skalowalność i koszty działania czy rozmiar kontekstu, a znaczenie traci na ważności personalizacja wyglądu albo rozszerzenia - czyli to, co tworzy się z myślą o użytkowniku. Cloudflare właśnie zbudowało taką przeglądarkę 'pod agentów', a z tekstu dowiesz się więcej o architekturze tego projektu, testach i przypadkach, w których Kitesurf jeszcze się nie sprawdzi. 'Jeszcze', bo Cloudflare planuje dalszy rozwój przeglądarki, zapowiadają poprawę zgodności z CDP, lepsze renderowanie, wyższą zgodność z WPT oraz udostępnienie projektu jako open source.

19. Jak boty AI przeglądają strony WWW? - dane z ponad 5000 witryn
    https://knownagents.com/insights
    INFO: Platforma analityczna Known Agents zebrała statystyki z ponad 5000 serwisów swoich klientów i dzięki temu dowiadujemy się, jak wygląda tam ruch na stronach generowany przez crawlery, scrapery, asystentów AI, agentów przeglądarkowych i klasyczne boty wyszukiwarek. Ciekawa jest sekcja o skuteczności robots.txt, najczęściej blokowanych crawlerach oraz podszywaniu się pod boty AI - w tym o kampanii, w której skanuje się strony pod kątem zapomnianych plików z hasłami, kluczami do chmury i konfiguracją narzędzi deweloperskich. Jeśli zarządzasz stronami www, zajmujesz się SEO i bezpieczeństwem, warto poznać te dane.

20. Gmail ograniczy obsługę kont zewnętrznych od 2027 roku
    https://support.google.com/mail/answer/17101213
    INFO: Jeśli używasz Gmaila w przeglądarce jako skrzynki do obsługi poczty z Outlooka, Yahoo czy innych dostawców, przygotuj się na zmiany. Od stycznia 2027 znikają funkcje pozwalające na taką konfigurację - w tekście znajdziesz ich pełną listę. Dowiesz się też, jakie masz alternatywy i dlaczego warto uważać na nieoficjalne narzędzia, które próbują to zastąpić. Nie martw się o wcześniej zaimportowane wiadomości, nie zostaną usunięte.

21. Dzisiejsze szyfrowanie to już za mało - kryptorafia postkwantowa (film, 18 min)
    https://youtu.be/sDKvK_LaT60
    INFO: Po co przechwytywać zaszyfrowane dane, skoro z pomocą obecnej technologii i tak nie można ich odszyfrować? To długofalowa strategia 'zbieraj teraz, odszyfruj później' - ktoś może już dziś magazynować zaszyfrowany ruch, zakładając, że za kilkanaście czy kilkadziesiąt lat komputery kwantowe pozwolą go odczytać. Autor filmu tłumaczy, dlaczego RSA i kryptografia oparta na krzywych eliptycznych - czyli filarach dzisiejszego internetu - są na to szczególnie podatne, i czym jest ich następczyni: kryptografia postkwantowa. Choć najbardziej narażone są informacje, które powinny zostać poufne przez wiele lat, jak np. dokumentacja medyczna czy korespondencja państwowa, to temat jest ważny też dla Ciebie - warto już teraz pomyśleć o odpowiednim przechowywaniu swoich danych i korzystaniu z narzędzi o jak najlepszych zabezpieczeniach

22. Discovery index, czyli robots.txt dla agentów kodujących
    https://evilmartians.com/chronicles/publishing-agent-skills-discovery-index
    INFO: Coraz większą część ruchu na stronach technicznych generują dziś agenci AI. Firma konsultingowa Evil Martians postanowiła przygotować na to własną stronę. Opisują, co zrobić, żeby agenty kodujące same znajdowały ich agent skills, zamiast ręcznie podawać im link - mechanizm opiera się na jednym pliku indeksu, wystawionym pod stałym adresem na własnej domenie (.well-known/agent-skills/index.json). To ten sam wzorzec co robots.txt czy sitemapa, tylko skierowany do agentów zamiast do wyszukiwarek. Z tekstu dowiesz się też, czym różnią się trzy formaty publikacji (jednoplikowy skill, wieloplikowy i bundle kilkunastu skilli naraz) i dlaczego lepiej hostować pliki na własnej domenie niż linkować bezpośrednio do GitHuba. Autorzy prezentują to na własnym katalogu skilli, podają też cztery gotowe metody instalacji dla różnych narzędzi.

23. Za dużo kodu, za mało rozumienia własnej pracy - o programowaniu z AI
    https://blog.florianherrengt.com/ai-removing-middle-class-software-engineering.html
    INFO: Dawniej złe decyzje w programowaniu kumulowały się tygodniami czy miesiącami, a dziś jedna osoba z zespołu IT z pomocą AI potrafi w czasie pracy wygenerować 20 tysięcy linii kodu - więc i chaos w projektach narasta w ekspresowym tempie, zwłaszcza jeśli zespołowi brakuje wiedzy. Doświadczony inżynier pokazuje sytuacje, w których nikt w zespole nie potrafi wytłumaczyć, skąd biorą się dane w systemie, a odpowiedzią na pytanie 'jak to działa?' bywa link do rozmowy z Claude'em. Jeśli chcesz wiedzieć, jakie kompetencje warto rozwijać w czasach programowania z AI, przeczytaj ten tekst - to kolejna refleksja o tym, że samo programowanie z AI nie jest takim problem jak traktowanie go jako zamiennika myślenia i przekładanie na AI odpowiedzialności za swoją pracę.

24. DKIM replay - gdy podpis się zgadza, a i tak jest to phishing
    https://sekurak.pl/gdy-z...rafii/
    INFO: Zielona ikonka 'zweryfikowano' albo wynik dkim=pass przy mailu nie oznacza, że wiadomość jest bezpieczna. DKIM (cyfrowy podpis dodawany do maila) potwierdza tylko, że treść nie została zmieniona i pasuje do klucza domeny, która ją podpisała, ale nic nie mówi o tym, czy mail trafił do właściwego odbiorcy. Na tym opiera się atak DKIM replay: atakujący najpierw sprawia, że system marki sam wygeneruje i podpisze wiadomość z jego treścią (tzw. signing oracle), a następnie tę samą, prawdziwie podpisaną wiadomość wysyła ponownie do zupełnie innych odbiorców. Podpis pozostaje ważny, bo DKIM nie chroni informacji o tym, dokąd mail faktycznie trafia - dzięki temu filtry antyspamowe widzą prawdziwy podpis zaufanej marki i potrafią wpuścić maila prosto do skrzynki głównej. Autor tekstu omawia przykłady takich nadużyć z Google, Apple i PayPalem, a także przypadek ProtonMaila, gdzie masowy replay tej samej wiadomości wpłynął negatywnie na reputację całej domeny.

25. Jak działa grupa INC Ransom? - zdradziły ich źle zabezpieczone serwery
    https://cert.orange.pl/aktua...ataku/
    INFO: Zespół CERT Orange Polska zajrzał do dwóch serwerów grupy hackerskiej INC Ransom z otwartymi katalogami, gdzie znajdowały się narzędzia i skrypty atakujących. Analitycy odtworzyli na tej podstawie znaczną część łańcucha ataku - warto się z nią zapoznać, bo taka okazja rzadko się zdarza. Zwykle tego typu analizy opierają się na skutkach ataku, a tu możemy podejrzeć 'warsztat' grupy od środka. W tekście zobaczysz, jakie narzędzia wykorzystuje INC Ransom, dlaczego działa tak szybko i jak powinna wyglądać skuteczna detekcja takich ataków. Analiza pokazuje też, że za atakami INC Ransom wcale nie stoi genialny malware, a sprytne wykorzystanie legalnych narzędzi Windows.

26. Lista aplikacji open source do homelabu
    https://github.com/AwesomeHomelab/awesome-homelab
    INFO: Zamiast przekopywać się przez setki przypadkowych repozytoriów w poszukiwaniu narzędzi do domowego serwera, zajrzyj do AwesomeHomelab. Znajdziesz tu aplikacje open source przydatne do hostowania usług, tworzenia infrastruktury, backupów, testów itd. Jest też opcja, że przy zajrzeniu na tę listę znajdziesz pomysł na nowe rzeczy do wypróbowania na swoim serwerze.

27. Historia Gortona - ponad stuletniego fontu z domofonów, wind i... sprzętu NASA
    https://aresluna.org/the-hardest-working-font-in-manhattan/
    INFO: Masz w planach podróż na Manhattan? Spójrz na domofony, tabliczki na windach czy oznaczenia budynków - prawdopodobnie dojrzysz tam font o historii sięgającej końca XIX wieku, czyli Gorton. Powstał on jako narzędzie do maszyn grawerskich, a potem z racji swojej prostoty był chętnie używany wszędzie tam, gdzie potrzebowano odpornego na zużycie oznaczenia (np. w sprzęcie przemysłowym, urządzeniach wojskowych, a nawet na komputerze pokładowym misji Apollo). Autor filmu pokaże Ci historię tego kroju pisma - łącznie z jego błędami, które tylko dodają mu charakteru.