Audyt bezpieczeństwa urządzenia IoT zwykle kończy się tam, gdzie zaczyna się laminat płytki — na warstwie firmware'u, bo nikt w zespole nie umie podłączyć się do magistrali. Project Reboot to komercyjny target szkoleniowy: robot z celowo zaimplementowanymi podatnościami na czterech interfejsach (UART, I²C, SPI, BLE), sprzedawany przez Lab401 w dwóch wariantach — 452 zł za samo urządzenie i 553 zł z kompletem narzędzi. Ta różnica 101 zł jest w tym zestawie najciekawszą liczbą i zaraz wyjaśnię dlaczego. Poniżej: co realnie obejmuje program szkoleniowy, jaki sprzęt jest do niego potrzebny i w którym miejscu ten target się kończy.

Django Software Foundation przyjęła DEP 20: od stycznia 2028 framework przechodzi na jedno wydanie funkcjonalne rocznie, z numeracją kalendarzową (Django 2028, Django 2029), a etykieta „LTS" zostaje wycofana — bo każde wydanie dostaje ten sam, trzyletni okres wsparcia. Dla zespołów utrzymujących systemy produkcyjne to najważniejsza zmiana w planowaniu budżetu utrzymania od lat: znika przepaść między wersjami LTS, przez którą migracje robiło się skokowo, po dwa lata zmian naraz. Poniżej co dokładnie się zmienia, jak wygląda tabela przejściowa i dlaczego akurat teraz warto przejrzeć swój plan aktualizacji.

Klasyczne wykrywanie podsłuchów i sensorów (TSCM) zaczyna się od odbiornika SDR za kilka tysięcy złotych i kończy na tym, że nikt tego nie robi. Prelekcje z tegorocznego DEF CON pokazują inną ścieżkę: pasywny nasłuch Wi-Fi i BLE na ESP32 za 6 USD, który wykrywa kamery ALPR, drony z Remote ID i policyjne kamery nasobne. Liczby robią wrażenie — sieć 211 kamer Flock kosztowała 4,37 mln USD, jej zmapowanie mieści się w 850 USD. Poniżej: co te narzędzia faktycznie potrafią, dlaczego pojedynczy układ gubi pakiety i w którym miejscu cała metoda przestaje działać.

Traefik nie jest „szybszym Nginx" — to inna kategoria narzędzia. Jego przewagą nie jest wydajność surowa, tylko to, że reguły routingu i certyfikaty powstają automatycznie z etykiet kontenerów i API orkiestratora, bez edycji pliku i bez przeładowania. Cena za to jest konkretna: brak serwowania plików statycznych i plikowy acme.json, który nie skaluje się poza jedną replikę. Poniżej: architektura, automatyzacja TLS, metryki, ścieżka migracji v2 → v3 i uczciwe porównanie z Nginx na zweryfikowanych liczbach.

Nagłówek X-Forwarded-For nie jest źródłem prawdy o adresie IP klienta — jest zwykłym polem HTTP, które każdy może wpisać ręcznie w curl. Cała jego wiarygodność bierze się wyłącznie z tego, że aplikacja wie, którym proxy ufa i ile ich stoi przed nią. Aplikacja, która bierze pierwszy adres z lewej strony listy, właśnie oddała atakującemu pilota do rate limitingu, geolokalizacji i list dostępu opartych o IP. Poniżej: mechanika nagłówka, konkretne wektory nadużyć i poprawna konfiguracja w Nginx, Apache, AWS ALB, Azure Application Gateway oraz Express.

Prędkość i jakość lokalnych modeli językowych nie korelują ze sobą w żaden użyteczny sposób. Najszybszy z siedmiu testowanych modeli — 25 tokenów na sekundę — wypadł merytorycznie najgorzej. Najlepszy jakościowo generował 7 tokenów na sekundę. A wspólny mianownik prawie wszystkich odpowiedzi to jeden powtarzalny wzorzec: poprawna struktura i trafny kierunek, przy zmyślonych konkretach — nazwach funkcji API, składni komend, definicjach statystycznych. To jest różnica między „brzmi jak ekspert” a „można wkleić i uruchomić”.

Na laptopie z iGPU i jednokanałowym RAM-em intuicja „większy model = wolniejszy, GPU = szybsze niż CPU" rozpada się całkowicie. Model Qwen3-Coder o 30 miliardach parametrów, uruchomiony na samym procesorze, generuje 12–17 tokenów na sekundę. Mistral Small o 24 miliardach parametrów, w całości załadowany na GPU, generuje 0,62 tokena na sekundę — dwadzieścia razy wolniej, przy mniejszym pliku. Różnicy nie robi ani backend, ani kwantyzacja, ani zasilanie z kabla. Robi ją architektura: mixture-of-experts kontra dense.

Kod, który w pętli odpytuje bazę pięćset razy, nie jest wolny dlatego, że baza jest wolna. Każde z tych zapytań kosztuje na serwerze dziesiątki mikrosekund, a cała reszta to czekanie na sieć — i to czekanie skaluje się liniowo z liczbą iteracji. Na lokalnym Postgresie problem jest niewidoczny, na produkcji w innej strefie dostępności ten sam kod to timeout. Poniżej cztery poziomy batchowania, od WHERE id IN (...) po COPY, z pułapkami, które w każdym z nich wywracają sprawę.

Rynek narzędzi ofensywnych rozjechał się w 2026 roku na dwie warstwy, które kupuje się osobno i za zupełnie inne pieniądze. Pierwsza to klasyczny toolchain open source, który od dekady stanowi kręgosłup każdego zlecenia. Druga to platformy autonomiczne i agenci AI, sprzedawani w modelu ciągłej walidacji zamiast jednorazowego audytu. Poniższy ranking porządkuje jedno i drugie — z perspektywy firmy, która musi zdążyć z obowiązkami znowelizowanej ustawy o KSC.

Najczęstsza przyczyna, dla której wewnętrzny asystent RAG odpowiada „nie mam tej informacji w bazie wiedzy" na pytanie o dokument, który ewidentnie w tej bazie jest, nie leży w modelu, promptcie ani w wyszukiwaniu wektorowym. Leży w chunkowaniu: dzielenie tekstu po liczbie znaków odcina nagłówek sekcji od jej treści, a fragment bez nagłówka jest dla modelu treścią bez informacji, czego dotyczy. W zmierzonym korpusie dotyczyło to 47-73% fragmentów.