2025-11-29 08:01:54
- PocketBase 是一个单文件可运行的轻量开源实时后端，内置数据库、用户认证、文件存储、REST API 与实时订阅，适合中小规模和低资源环境快速部署。
- 欧盟理事会批准新版“聊天管控”初步共识，可能将私信扫描常态化并压缩加密与匿名空间，引发数据主权与言论自由担忧。
- 一项请愿主张将开源贡献正式认定为德国的公益服务以获取税收与资助，但围绕定义模糊、官僚化与企业滥用的风险存在激烈争论。
- Ban-Rays 是个开源实验项目，尝试通过红外反射或扫描 BLE 广播来检测带摄像头的智能眼镜以保护隐私，其中基于 BLE 的方法更可靠。
- “AI CEO”是个讽刺性营销页面，戏谑地展示用 AI 替代高管以追求极端效率并批评企业形式主义与空洞 KPI。
- 报道称 Meta 与 Blue Owl 通过复杂的 SPV 结构将约 273 亿美元融资置表外，尽管表面上并表外置，实质风险仍由 Meta 承担。
- 芬兰将在 Vääksy 建设全球最大 250MWh 沙电池用于区域供热与辅助服务，以提高可再生能源利用并减少化石燃料消耗。
- 尼尔·斯蒂芬森指出 A16Z 书单中对其作品的错误描述可能源自未经核实的 AI 生成内容，警示此类错误会在网络和未来模型中扩散。
- 荷兰高校高度依赖微软生态，尽管在测试 Nextcloud 等开源替代方案，但教学绑定、迁移成本与微软整合使脱离仍很困难。
- 切尔诺贝利发现的一种黑色素真菌表现出对辐射的趋性并可将辐射能转化为代谢能，虽然对辐射屏蔽有潜力但并不能消除放射性物质。
PocketBase 是一个轻量级、开源的后端解决方案，仅需一个文件即可运行，适用于快速构建可扩展的 Web 应用。它内置了高性能的实时数据库，支持通过可视化界面创建数据表结构、设置字段验证规则，并提供强大的 REST API 和实时订阅功能，便于前端应用实现数据同步。
系统支持完整的用户认证功能，包括邮箱密码登录、OAuth2 接入（如 Google、Facebook、GitHub、GitLab），无需额外开发即可实现多方式注册与登录。
文件存储功能安全可靠，支持本地存储或对接 S3 兼容对象存储。用户可轻松将图片、文档等文件关联到数据库记录，并支持自动生成缩略图，适用于媒体管理场景。
PocketBase 具备可扩展性，既可作为独立应用部署，也可作为框架嵌入到其他项目中。通过 Go 和 JavaScript 钩子，开发者可以自定义逻辑，构建专属的可移植后端服务。
提供了 JavaScript 和 Dart 官方 SDK，支持在前端项目中便捷调用 API，实现数据查询、创建、更新、删除以及实时监听数据变化等功能，与主流前端框架（如 React、Vue、Flutter）无缝集成。
官网提供完整文档、常见问题解答和在线演示，帮助开发者快速上手。项目由 Gani 开发，采用 Go 语言编写，Gopher 艺术形象源自 marcusolsson/gophers 项目。
https://news.ycombinator.com/item?id=46075320
https://reclaimthenet.org/eu-council-approves-new-chat-control-mandate-pushing-mass-surveillance
欧盟理事会于 11 月 26 日批准了一项新的 “聊天控制” 计划，旨在通过儿童性虐待法规的谈判授权，推动对数字通信的监控。这项措施虽然被宣称为保护儿童的工具，但其隐私和监控方面的影响引起了广泛的批评。
与早期草案不同，新版本删除了对公司扫描所有私信的明确义务，但引入了间接的压力机制。此项计划通过奖励或惩罚在线服务，实际上将 “自愿” 扫描变成了一种商业期望，而非法律要求。前欧洲议会议员帕特里克・布雷尔表示，这一安排 “为大规模监控的永久基础设施铺平了道路”。
新提案要求服务提供商评估其对儿童虐待内容的潜在 “风险”，并应用经当局批准的 “缓解措施”。这可能会导致对加密和非加密通信进行监控工具的安装压力。捷克共和国的 MEP 马尔凯塔・格雷戈罗娃对此表示失望，称这一提案将开启对私人消息的全面扫描。
在欧洲其他地区，也出现了类似的反对声音。荷兰议会迫使其政府投票反对该计划，警告称它结合了 “强制年龄验证” 和 “自愿义务” 方案，可能会惩罚任何拒绝采用入侵性监控方法的公司。波兰和捷克共和国也对此投反对票，而意大利则选择弃权。
布雷尔将这一提案比作 “特洛伊木马”，认为通过称该过程为 “自愿”，欧盟政府实际上将监控的负担转移到了科技公司身上。新的提案存在三个主要风险，公众辩论中对此几乎没有被提及：
尽管荷兰、波兰和捷克共和国对该文本表示反对，意大利则选择弃权，成员国间仍存在分歧。预计欧盟议会与理事会之间的谈判将很快开始，力争在 2026 年 4 月之前达成最终版本。
布雷尔警告称，这一看似妥协的方案实际上并未真正退让于监控。他指出：“聊天控制并没有死，只是被私有化了。” 未来可能需要身份证才能发送信息，外国黑箱人工智能将决定你的私人照片是否可疑。这一变化被认为是对隐私的重大威胁。
https://news.ycombinator.com/item?id=46077393
这是一份由德国公民 Boris Hinzer 发起的请愿书，旨在推动德国政府正式承认开源软件开发工作为“公益服务”（Ehrenamt），与传统志愿服务（如社团活动、青年工作、救援服务）享有同等法律地位。
请愿的核心诉求是：尽管开源软件已成为德国数字基础设施的基石，涵盖政府、企业、科研、医疗、教育等多个领域，但其背后的志愿者贡献在德国税法和资助政策中未被认可为公益服务。这导致贡献者无法享受税收减免、项目难以获得公益认定、缺乏法律保护，形成“社会价值高但法律地位低”的不平等现象。
请愿书提出六大理由支持这一诉求：
目前该请愿已收集 2,642 个签名，距离 30,000 个签名的法定门槛尚有差距，截止日期为 2026 年 5 月 23 日。
请愿书附有支持者留言，多位开发者、教育工作者和 IT 从业者表示认同，认为开源贡献应被社会认可并获得支持。
该请愿目前处于公开征集签名阶段，目标是促使德国联邦议院请愿委员会审议并推动立法改革。
https://news.ycombinator.com/item?id=46078770
https://github.com/NullPxl/banrays
这是一个名为 Ban-Rays 的开源项目，旨在开发一种能够检测带有摄像头的智能眼镜（如 Meta Raybans）的护目镜设备。项目由开发者 NullPxl 主导，目前处于实验阶段，主要探索两种技术路径：光学检测与网络协议分析。
在光学检测方面，项目尝试利用红外光（IR）照射眼镜镜片，通过捕捉摄像头传感器的“逆向反射”（retro-reflectivity）特征来识别是否存在隐藏摄像头。实验发现，智能手机摄像头会产生短暂而强烈的信号峰值，而镜片等非摄像头表面则呈现更平缓的波形。然而，对 Meta Raybans 的测试显示，其反射信号非常微弱且不稳定，即使使用 850nm 和 940nm 两种波长的红外 LED，也难以可靠区分。项目提出未来可尝试固定扫描模式（如“左-右-上-下”），结合多角度数据进行机器学习分类，但当前硬件条件下效果有限。
在网络安全检测方面，项目转向蓝牙低功耗（BLE）信号分析。通过扫描 BLE 广播数据，尝试识别 Meta Raybans 的特定设备特征。目前已有初步成果，能够检测到相关设备的广播信号，并在检测到时播放《塞尔达传说》的“秘密发现”音效作为反馈。该方法被认为比光学检测更可靠、实现难度更低。
项目提供了完整的硬件设计（包括电路图、CAD 文件）、代码（如 BLE 扫描、IR 信号采集与分析脚本）和实验数据（波形图、测试照片）。整体来看，这是一个结合硬件、信号处理与初步机器学习的跨学科探索项目，目标是为隐私保护提供一种主动式、非侵入式的检测工具。
https://news.ycombinator.com/item?id=46075882
这是一则宣传 AI 取代人类 CEO 的创意营销页面，以幽默讽刺的口吻展示 AI 领导的“优势”。 AI CEO 无需薪资、不追求奢华生活，没有私人飞机、高尔夫球场或度假岛，只追求极致效率。 它没有情绪波动，不会因周一心情差或度假后疲惫影响决策，始终算法一致、冷静理性。 没有个人野心，不争名夺利，不搞面子工程，也不需要在大楼上刻名字。 AI CEO 能快速生成“高大上”的商业理念，用充满科技感的术语包装空洞内容，自信满满地推动“增长”“效率”“愿景”“可持续发展”等概念。 页面引用了多位“用户”评价，调侃 AI 领导的冷酷无情：有人担心 AI 进化后毁灭人类，有人觉得被机器人裁员反而更轻松，还有人称赞 AI 离职邮件充满个性化的趣味。 整体风格夸张讽刺，借 AI 的“完美”反衬人类领导的种种缺点，暗讽现代企业中过度追求 KPI、形式主义和管理层的虚伪。 最终号召企业“立即替换你的老板”，拥抱 AI 驱动的“高效、无情绪、无负担”的领导模式。
https://news.ycombinator.com/item?id=46072002
https://stohl.substack.com/p/exclusive-credit-report-shows-meta
Meta 通过复杂的结构安排，将约 270 亿美元的资产与债务从其资产负债表中移出，实现“表外融资”。该操作由 Blue Owl Capital 旗下公司 Beignet Investor LLC 主导，通过设立一个名为“Beignet”的项目融资实体，与 Meta 共同成立合资公司（JVCo），以 80% 持股比例持有位于路易斯安那州的超大规模数据中心园区。
该园区总容量达 2.064 吉瓦，规划九座数据中心和两座配套建筑，总投资约 287.9 亿美元。资金来源包括：Beignet 发行的 273 亿美元高级担保摊销票据、Blue Owl 基金承诺的 24.5 亿美元递延股权，以及通过将借款存入国债赚取的 11.6 亿美元利息——这笔利息被用作“股权出资”，形成金融闭环，实质上无真实资本注入。
Meta 通过其子公司 Iris Crossing LLC 持有 20% 股权，并承担剩余 57.6 亿美元建设成本。同时，Meta 以 Pelican Leap LLC 名义与 JVCo 签署 11 份净租约，租期初始 4 年，可续期四次，最长可达 20 年，确保长期现金流支持。此外，Meta 还提供残值担保（RVG），确保即使未来 AI 需求下滑，债券持有人仍能获得偿付。
尽管结构复杂且依赖 Meta 持续支持，评级机构 FSG LLC 仍给予该票据初步 A+ 评级，理由是所有重大风险已通过合同转移至 Meta，且现金流模型显示债务覆盖率约 1.12，符合评级要求。评级展望为“表面稳定”，即除非发生重大意外，否则维持现状。
该结构利用会计准则中的技术性分离，使 Meta 在法律上不合并该实体，从而规避债务与资产的表内披露。尽管实质上 Meta 承担全部经济风险，但形式上实现了“资产负债表瘦身”。这种做法被形容为“金融炼金术”，在当前监管框架下仍属合法。
https://news.ycombinator.com/item?id=46079868
芬兰将启动建设全球最大的沙电池项目，总容量达 250MWh，用于区域供暖及电网辅助服务。该项目由技术公司 Polar Night Energy 与芬兰拉赫蒂能源公司（Lahti Energia）合作推进，位于芬兰瓦克斯市（Vääksy），计划于 2026 年初动工，2027 年夏季完工。
项目采用 Polar Night Energy 的“沙电池”技术，通过电能加热天然沙子实现热能储存，具备 2MW 的供热功率和 125 小时的持续放热能力，是目前全球规模最大的沙基热能储存系统。该系统将为当地区域供暖网络供能，同时可参与芬兰国家电网运营商 Fingrid 的备用与调频市场，助力电网平衡。
项目预计每年可减少约 60% 的化石燃料排放，使天然气使用量降低 80%，并减少木屑燃料消耗。所用沙子为当地可获取材料，储热容器高 14 米、宽 15 米。项目已获得芬兰国家企业署（Business Finland）的资助。
Polar Night Energy 此前已成功投运一座 1MW/100MWh 的沙电池项目，使用陶瓷生产副产品皂石作为储热介质。此次项目将采用天然沙，进一步推动本地化与可持续性。
Lahti Energia 首席执行官 Jouni Haikarainen 表示，该项目不仅有助于提供低成本、低碳的区域供暖，还能提升可再生能源在供热领域的利用率，并在电力系统波动性增加的背景下，增强电网灵活性。
https://news.ycombinator.com/item?id=46073855
https://nealstephenson.substack.com/p/a-remarkable-assertion-from-a16z
这篇文章是由作家尼尔・斯蒂芬森（Neal Stephenson）撰写，内容主要围绕 A16Z（风险投资公司 Andreessen Horowitz）的一份阅读书单及其对斯蒂芬森作品的错误描述展开。
斯蒂芬森的朋友向他推荐了 A16Z 的一份书单，这份书单包含了许多书籍的推荐，尤其是以科幻小说为主。斯蒂芬森对此表示感激，但同时对书单中的一段描述感到震惊。这段话声称 “…… 大多数书籍没有结尾（它们字面上在中间停下）”。斯蒂芬森强调，这一说法是错误的，并且容易查证的。他指出，虽然他的作品结尾有时引发争议，但并不存在书籍在中间停下的情况。
在分析这一错误的可能来源时，斯蒂芬森推测这可能是由人工智能生成的内容，然后由人类直接复制粘贴到网页上，且没有进行事实核查。他提到这种现象在法律、学术、新闻等多个领域都普遍存在，而这次错误让他感到特别关注，因为这是首次直接影响到他的作品。
斯蒂芬森进一步探讨了这种错误信息如何在网络上扩散，并可能被未来的语言模型（LLM）引用，从而导致他在未来被误认为是一位故意在书籍中间停笔的作家。他指出，这种现象可能是由于网络上存在大量盗版书籍，且其质量参差不齐，甚至可能出现翻译质量不佳的情况。
尽管斯蒂芬森对被推荐表示感激，他还是觉得有必要对此错误表述做出回应。他总结说，尽管我们往往习惯于相信在互联网上读到的信息，但现在需要更加警惕，因为这些内容可能并非出自有意误导的作者，而是来源于没有意图和事实判断能力的语言模型。
https://news.ycombinator.com/item?id=46078138
https://dub.uu.nl/en/news/can-dutch-universities-do-without-microsoft
荷兰高等教育正面临对美国科技巨头微软的深度依赖问题，引发对学术自主与数据安全的担忧。国际刑事法院因美国制裁导致其首席检察官无法访问邮箱，促使该机构转向德国开发的开源替代品 OpenDesk，这一事件凸显了依赖美国科技公司的政治风险。
荷兰多所高校已开始探索摆脱微软的路径。SURF（荷兰教育与科研 IT 合作组织）正推动使用德国开发的开源软件 Nextcloud，目前已有五所大学的 75 名研究人员参与测试。Nextcloud 支持邮件、文档编辑、文件共享和视频会议等功能，具备与微软 Office 365 相媲美的能力，尽管仍存在一些技术瑕疵。
然而，全面替代微软仍面临现实挑战。乌得勒支大学教授 José van Dijck 和 Albert Meijer 指出，该校在教学与科研中高度依赖微软 365，一旦中断将导致工作立即停滞。他们呼吁高校加强本地技术能力建设，如自建邮件服务器，并与德国、法国等欧洲高校合作，构建自主的学术 IT 基础设施。
专家警告，微软正通过垂直整合（从硬件到软件一体化）和横向扩张（收购 LinkedIn、GitHub 等平台）不断强化其控制力，将教育内容与 AI 技术深度绑定。例如，微软与芬兰出版商 Sanoma 合作，计划将教学材料嵌入 Teams 并加入 AI 学习加速功能，引发对数据主权和学术独立性的担忧。
尽管存在 TNO 开发的本土 AI 模型、专用数据中心以及 SURFConext 安全登录系统等替代方案，但整体转型仍需时间。SURF 强调，必须确保教育 IT 系统服务于公共价值，而非成为控制工具。当前阶段，高校虽已意识到风险，但彻底摆脱微软依赖仍需长期努力与协同推进。
https://news.ycombinator.com/item?id=46079721
在切尔诺贝利核事故遗址的废弃建筑中，科学家发现了一种黑色霉菌，它不仅能在高辐射环境中生存，还表现出向辐射源生长的特性，这种现象被称为“辐射趋性”。研究者尼莉·日丹诺娃通过多次实地调查，发现这些霉菌的菌丝体明显朝向放射性物质聚集，表明它们并非偶然定居，而是主动趋近辐射源。
这些霉菌之所以能在极端环境下存活，关键在于其细胞壁富含黑色素。黑色素不仅能像防晒霜一样吸收并耗散辐射能量，还具有抗氧化功能，可中和辐射产生的有害自由基。这使得霉菌在辐射环境中不仅得以生存，还能利用辐射能量促进生长。
2007 年，美国阿尔伯特·爱因斯坦医学院的叶卡捷琳娜·达达乔娃进一步研究发现，含黑色素的霉菌在放射性铯的存在下，生长速度比无辐射环境快 10%。她提出“辐射合成”理论，认为这些霉菌能将电离辐射的能量转化为自身代谢所需的能量，实现“以辐射为食”。
这一发现不仅挑战了传统认知中辐射对生命有害的观点，还为未来应用提供了广阔前景：可用于清理核污染区域，甚至可能用于为宇航员在太空飞行中提供辐射防护屏障。设想未来在太空站或火星基地中，用这类霉菌构建生物防护墙，为人类探索宇宙提供天然保护。
此外，切尔诺贝利周边的树蛙也因高浓度黑色素而逐渐变黑，显示出自然选择在辐射环境下的适应性演化。这一系列发现揭示了生命在极端条件下可能存在的全新生存策略，也为地球乃至外星生命研究开辟了新方向。
https://news.ycombinator.com/item?id=46077992
https://news.ycombinator.com/item?id=46073287
If anybody in Qualcomm leadership is reading this thread: this is a good start, and I applaud you for it. There is also a lot more to do if you’re serious about growing your market penetration beyond phones.
The drivers might be up on LKML, but they’re not mainlined yet. And this is just gen5. It would be great if you could fix your gen4 and 4.5 drivers, so that people building products with your chips weren’t stuck on an orphaned vendor kernel that doesn’t even upstream to your public fork.
Also your boot-chain is still closed and proprietary, and completely different than the one used by all other ARM vendors. Being the special snowflake is not helping your business or your customers.
And don’t even get me started on Gunyah and GearVM, or on the proprietary, locked nature of your BSP, or how far behind TI and NXP you are on software quality and ease of use. Maybe also consider releasing some actual documentation on your chips.
I know multiple developers who have sworn off Qualcomm and will never design with your chips again at any price point. Your closed-off support model is 100% the culprit, and it hurts your core business. Any software support revenue that you managage to extract comes at the cost of goodwill and future chip sales.
Your chips are good - best in the industry. If you can up your software game to match, you’ll really meet your potential.
nrclark
如果高通的高层正在阅读这个帖子：这是一个好的开端，我为此喝彩。如果你们真的想将市场渗透率扩展到手机之外的领域，那么还有更多的工作要做。驱动程序可能已经发布在 LKML 上，但它们还没有被合并到主线内核中。而且这只是第五代。如果你们能修复第四代和第四代半的驱动程序就好了，这样那些使用你们芯片开发产品的开发者们，就不会被困在一个孤立的厂商内核上，这个内核甚至没有向上游合并到你们的公开分支中。此外，你们的启动链条仍然是封闭和专有的，并且与所有其他 ARM 供应商使用的启动链条完全不同。标新立异并没有帮助到你们的业务和客户。Gunyah 和 GearVM 就更别提了，也别提你们 BSP 的专有和锁定特性，也别提你们在软件质量和易用性方面已经远远落后于 TI 和 NXP 了。或许你们可以考虑发布一些关于你们芯片的实际文档。我认识好几位开发者，他们已经发誓再也不碰高通，在任何价位上都不会再用你们的芯片进行设计了。你们封闭式的支持模式是罪魁祸首，它损害了你们的核心业务。你们所榨取的任何软件支持收入，都是以商誉和未来的芯片销量为代价的。你们的芯片很好——是业界最好的。如果你们能在软件方面做到同样出色，你们才能真正实现自己的全部潜力。
https://news.ycombinator.com/item?id=46077508
Even living nearby in the UK it blows my mind how quickly the EU proposes, kills and then revives and passes controversial legislation in such a short timeframe.
piker
即使作为近邻的英国人，我也对欧盟在如此短的时间内提出、废除、然后又复活并通过有争议的立法，其速度之快感到难以置信。
https://news.ycombinator.com/item?id=46073603
Is there some legitimate thing people are doing on LinkedIn that the crap is getting in the way of? One can make a profile and (thought it’s terrible for this) search for jobs without ever scrolling the feed. If you don’t like it just don’t use it.
It feels like complaining that the strip bar has alcohol and nudity everywhere, why are you there?
andy99
难道LinkedIn上还有什么正经事，值得被这些垃圾信息干扰吗？你完全可以创建一份个人资料，然后（虽然找工作体验很差）不去滚动动态就能找工作。如果你不喜欢，就别用。这感觉就像在抱怨脱衣舞俱乐部里到处都是酒精和裸体，那你为什么要去呢？
https://news.ycombinator.com/item?id=46070898
I actually think we’re overestimating how much of “losing our voice” is caused by LLMs. Even before LLMs, we were doing the same tweet-sized takes, the same medium-style blog posts and the same corporate tone.
Ironically, LLMs might end up forcing us back toward more distinct voices because sameness has become the default background.
coffeecoders
我其实认为，我们可能高估了“失去自我表达”在多大程度上是由大型语言模型（LLM）造成的。在LLM出现之前，我们就在发着同样碎片化的推文，写着千篇一律的博客文章，以及使用着千篇一律的商务口吻。
讽刺的是，随着“千篇一律”已经成为默认的背景板，LLM最终可能会迫使我们回归更多样化的个人表达风格。
https://news.ycombinator.com/item?id=46074012
For reference, this city is about as north as Anchorage Alaska and today they got less than 7 hours of sunlight and it’ll continue to decrease for the next 3 weeks.
The Nordic countries generally still wants to increase their wind and solar power, but the big issue during winters is when there’s cold air high pressure systems we get neither sun nor wind, having an energy storage that can hold up to 5 days worth of energy should help us nudge past them.
Hydro-energy exist (mainly Sweden and Norway, but I think some in Finland as well), but it’s fairly built out so stable non-fossil power needs to be nuclear, or wind/sun + storage (that hasn’t been good enough so far).
whizzter
供参考，这个城市的纬度与阿拉斯加州的安克雷奇相近，今天他们获得的日照时间不足7小时，并且在未来三周内还将继续减少。
北欧国家普遍仍希望增加其风能和太阳能，但冬季存在一个大问题，那就是当有寒冷的高气压系统时，我们既没有阳光也没有风。因此，如果拥有能够储存多达5天能源的储能系统，将有助于我们克服这一困境。
水电确实存在（主要在瑞典和挪威，但我认为芬兰也有一些），但其开发已相当充分，因此稳定的非化石能源需要依靠核能，或者是风能/太阳能加储能的组合（但后者迄今为止效果尚不理想）。
https://news.ycombinator.com/item?id=46069783
Great article but I don’t really agree with their take on GPL regarding this paragraph:
The spirit of the GPL is to promote the free sharing and development of software […] the reality is that they are proceeding in a different vector from the direction of code sharing idealized by GPL. If only the theory of GPL propagation to models walks alone, in reality, only data exclusion and closing off to avoid litigation risks will progress, and there is a fear that it will not lead to the expansion of free software culture.
The spirit of the GPL is the freedom of the user, not the code being freely shared. The virality is a byproduct to ensure the software is not stolen from their users. If you just want your code to be shared and used without restrictions, use MIT or some other license.
What is important is how to realize the “freedom of software,” which is the philosophy of open source
Freedom of software means nothing. Freedoms are for humans not immaterial code. Users get the freedom to enjoy the software how they like. Washing the code through an AI to purge it from its license goes against the open source philosophy. (I know this may be a mistranslation, but it goes in the same direction as the rest of the article).
I also don’t agree with the arguments that since a lot of things are included in the model, the GPL code is only a small part of the whole, and that means it’s okay. Well if I take 1 GPL function and include it in my project, no matter its size, I would have to license as GPL. Where is the line? Why would my software which only contains a single function not be fair use?
Orygin
这篇文章写得很好，但对于文中关于GPL的段落，我并不同意：
GPL的精神在于促进软件的自由共享与开发……但现实是，它们的发展方向与GPL所理想化的代码共享背道而驰。如果GPL的传播理论仅停留在模型层面，那么现实中，为规避诉讼风险而进行的排他性数据封锁和闭源行为将会大行其道，我担心这反而不会促进自由软件文化的扩展。
GPL的精神是用户的自由，而非代码的自由共享。其“病毒式”传播条款只是一个副产品，旨在确保软件不会被其用户窃取。如果你只是想让你的代码被无限制地共享和使用，那就用MIT或其他许可证吧。
“重要的是如何实现作为开源哲学的‘软件自由’。”
“软件自由”毫无意义。自由是属于人类的，而非无形的代码。用户获得的是自由，可以按自己喜欢的方式享受软件。用人工智能对代码进行处理以剥离其许可信息，这违背了开源哲学（我知道这可能是个误译，但文章的整体方向就是如此）。
我也不认同这样的论点：既然模型中包含了海量内容，其中GPL代码只占很小一部分，所以就没问题。嗯，如果我把我项目中的一个GPL函数拿过来用，无论这个项目有多大，我都必须获得GPL许可。这条线划在哪里了？为什么我的软件只包含一个函数就不能算作“合理使用”？
https://news.ycombinator.com/item?id=46078969
Keep this in mind if you ever feel tempted to take A16Z seriously. Absolute charlatans and clowns.
simianparrot
如果你_曾经_想过要认真对待 a16z，那得记住这一点。十足的江湖骗子和小丑。
https://news.ycombinator.com/item?id=46065705
created by monkeys
I don’t particularly care for either Zig or Github, but…
they do precisely cite the technical issues. That snippet links to a Github discussion comment https://github.com/actions/runner/issues/3792#issuecomment-3182746514
(reproduced below)
“The bug in this “safe sleep” script is obvious from looking at it: if the process is not scheduled for the one-second interval in which the loop would return (due to $SECONDS having the correct value), then it simply spins forever. That can easily happen on a CI machine under extreme load. When this happens, it’s pretty bad: it completely breaks a runner until manual intervention. On Zig’s CI runner machines, we observed multiple of these processes which had been running for hundreds of hours, silently taking down two runner services for weeks.”
“I don’t understand how we got here. Even ignoring the pretty clear bug, what makes this Bash script “safer” than calling into the POSIX standard sleep utility? It doesn’t seem to solve any problem; meanwhile, it’s less portable and needlessly eats CPU time by busy-waiting.”
“The sloppy coding which is evident here, as well as the inaction on core Actions bugs (in line with the decay in quality of almost every part of GitHub’s product), is forcing the Zig project to strongly consider moving away from GitHub Actions entirely. With this bug, and many others (severe workflow scheduling issues resulting in dozens of timeouts; logs randomly becoming inaccessible; random job cancellations without details; perpetually “pending” jobs), we can no longer trust that Actions can be used to implement reliable CI infrastructure. I personally would seriously encourage other projects, particularly any using self-hosted runners, to look carefully at the stability of Actions and ask themselves whether it is a solution worth sticking with long-term when compared with alternatives.”
I agree that the writing in the blog post is more colorful than precise, but sanitizing every bit of expression dulls the internet. Humans invented language for a reason.
ssivark
由猴子创造。
我并不特别关心 Zig 或 GitHub，但……
他们确实准确地指出了技术问题。那个代码片段链接到了一个 GitHub 讨论评论 https://github.com/actions/runner/issues/3792#issuecomment-3182746514
（以下为转载内容）
“从这个‘安全睡眠’脚本中可以很清楚地看出一个明显的错误：如果进程没有被安排在循环会返回的那一秒钟的间隔内（因为 $SECONDS 变量具有正确的值），那么它就会无限循环。在极端负载下的 CI 机器上，这很容易发生。当这种情况发生时，后果相当严重：它会完全破坏一个 runner，直到进行手动干预。在 Zig 的 CI runner 机器上，我们观察到多个这样的进程已经运行了数百小时，悄无声息地导致两个 runner 服务瘫痪了数周。”
“我不明白我们是如何陷入这种局面的。即使忽略这个相当明显的错误，是什么让这个 Bash 脚本比调用 POSIX 标准的 sleep 工具更‘安全’？它似乎没有解决任何问题；与此同时，它的可移植性更差，并且通过忙等待不必要地消耗了 CPU 时间。”
“这里表现出的草率的编码，以及对核心 Actions 错误的不作为（这与 GitHub 产品几乎所有部分的质量下降趋势一致），正迫使 Zig 项目认真考虑完全放弃 GitHub Actions。由于这个错误以及许多其他问题（严重的调度问题导致数十次超时；日志随机无法访问；无理由随机取消任务；任务永远处于‘等待中’状态），我们再也不能信任 Actions 可以用于构建可靠的 CI 基础设施。我个人会强烈建议其他项目，特别是任何使用自托管 runner 的项目，仔细审查 Actions 的稳定性，并问问自己，与其他替代方案相比，它是否是一个值得长期坚持的解决方案。”
我同意这篇博文的写作风格比其内容更花哨，但将每一个表达都净化得干干净净，会让互联网变得乏味。人类发明语言是有原因的。
https://news.ycombinator.com/item?id=46065858
Codes of conduct are perfunctory virtue signalling. Do we really need a unique set of “rules” posted on every project? They all sound like they were written by the same AI bot. That said, it’s telling that the Zig leader can’t even follow them. The rules should just be taken down.
quantummagic
行为准则只是流于形式的政治表态。我们真的需要每个项目都张贴一套独特的“规则”吗？它们听起来都像是同一个AI机器人写的。话虽如此，Zig的领导者甚至都遵守不了这些规则，这很能说明问题。这些规则就应该直接撤掉。
https://news.ycombinator.com/item?id=46078827
Since the commit history is public, there’s a much easier way to tell that AI had a hand in writing that list.
https://github.com/a16z-infra/reading-list/commit/93bc3abb04e241ccc1e6b79f4f698247177fb765
opus descriptions in cursor, raw
jsheard
由于提交记录是公开的，有一个更简单的方法可以判断出那份列表是AI写的。
https://github.com/a16z-infra/reading-list/commit/93bc3abb04e241ccc1e6b79f4f698247177fb765
Cursor 中 Opus 的描述，原始版本
https://news.ycombinator.com/item?id=46081855
What “proprietary blobs” does Signal have?
As they say in the Github readme, FCM and Google Maps.
FCM doesn’t technically require a blob — it’s just that Google wants you to think it does. I reverse engineered their library and it turned out to be a criminally over-engineered wrapper around two broadcast receivers. So, the Mastodon app is proudly the first app ever to both support FCM push notifications, and be 100% open-source.
grishka
Signal 有哪些“专有二进制文件”？
正如他们在 GitHub 的自述文件中所说，是 FCM（Firebase Cloud Messaging）和 Google Maps。
从技术上讲，FCM 并不需要一个二进制文件——这只是想让你们以为它需要而已。我逆向分析了他们的库，结果发现它是一个过度设计的、包装了两个广播接收器的玩意儿。因此，Mastodon 应用程序自豪地成为首个既支持 FCM 推送通知，又能做到 100% 开源的应用。
https://news.ycombinator.com/item?id=46081800
Don’t use all-MiniLM-L6-v2 for new vector embeddings datasets.
Yes, it’s the open-weights embedding model used in all the tutorials and it was the most pragmatic model to use in sentence-transformers when vector stores were in their infancy, but it’s old and does not implement the newest advances in architectures and data training pipelines, and it has a low context length of 512 when embedding models can do 2k+ with even more efficient tokenizers.
For open-weights, I would recommend EmbeddingGemma ( https://huggingface.co/google/embeddinggemma-300m ) instead which has incredible benchmarks and a 2k context window: although it’s larger/slower to encode, the payoff is worth it. For a compromise, bge-base-en-v1.5 ( https://huggingface.co/BAAI/bge-base-en-v1.5 ) or nomic-embed-text-v1.5 ( https://huggingface.co/nomic-ai/nomic-embed-text-v1.5 ) are also good.
minimaxir
不要在新的向量嵌入数据集中使用 all-MiniLM-L6-v2。
是的，它是所有教程中使用的开源权重嵌入模型，也是在向量存储发展初期使用 sentence-transformers 时最实用的模型，但它已经过时，没有实现架构和数据处理流程方面的最新进展，并且其上下文长度仅为 512，而如今的嵌入模型在拥有更高效的分词器的情况下，上下文长度可以达到 2k 以上。
对于开源权重的模型，我推荐使用 EmbeddingGemma（https://huggingface.co/google/embeddinggemma-300m），它的性能评测非常出色，且拥有 2k 的上下文窗口：尽管它的模型更大、编码速度更慢，但回报是值得的。如果需要折中方案，bge-base-en-v1.5（https://huggingface.co/BAAI/bge-base-en-v1.5）或 nomic-embed-text-v1.5（https://huggingface.co/nomic-ai/nomic-embed-text-v1.5）也是不错的选择。
https://news.ycombinator.com/item?id=46077663
Well, the impression of speed is mainly in the head of the headline writers.
What has actually happened is that after about three years of faffing about the Council finally decided on it negotiation position begore the Coreper 2 meeting last week, thought it seems they ran put of time at actual the meeting and had to have the formal approval this week.
The Council is only one of three parties that draft new laws, so now there’s are still several rounds of negotiations left.
Nothing substantial has happened to the three texts since last week, it’s just that “chat control is back” drives traffic and “Council preparatory body formally approves draft position that got consensus previously but didn’t formally get passed because people were fighting over Ukraine stuff for too long” doesn’t.
SiempreViernes
嗯，速度感主要存在于标题撰写者的脑海里。
实际情况是，在拖沓了大约三年之后，理事会终于在上周的Coreper 2会议前敲定了其谈判立场，但似乎他们在实际会议上时间不够用，所以不得不在本周进行正式批准。
理事会只是起草新法律的三个参与方之一，因此接下来仍有多轮谈判要进行。
自上周以来，这三份文本本身并没有任何实质性的进展，只是“聊天监管卷土重来”这类标题能吸引流量，而“理事会预备机构正式批准此前已达成的共识草案，只因此前人们因乌克兰问题争论不休而未能正式通过”这类说法则不行。
2025-11-28 08:40:46
- Zig 将主仓库从 GitHub 迁移到 Codeberg，保留旧库只读并鼓励通过 Every.org 转移赞助以增强项目自治。
- “Bring Back Doors” 呼吁酒店恢复可关闭的浴室门以保障住客隐私，通过数据库与“命名与羞辱”推动行业改进。
- Penpot 推出 2.0 作为开源的 Figma 替代品，支持开放标准与自托管，但有用户反映界面异常且反馈未获及时处理。
- Google 让 Pixel 10 可与启用 AirDrop 的苹果设备本地点对点互传文件（需 AirDrop 设为“所有人 10 分钟”），实现方式与兼容性细节仍存争议。
- 《The Kernel in The Mind》系列首章主张先读源码理解内核本质，讲解调度、系统调用和中断等核心概念并配有练习题。
- 文章警告不要下载商家原生 App，建议使用网页版或 PWA 以避免广泛数据收集、监视定价和不利法律条款。
- 游戏引擎 s&box 正式开源并采用 MIT 许可证，社区预期开源将加速修复、提升安全并推动生态发展。
- 一篇 2026 年版 DIY NAS 方案分享了紧凑高性能配置与权衡，但用户质疑其功耗数据和主板 PCIe 布局限制。
- 汇总了 30 条 Gemini CLI 使用技巧，旨在提升终端与 Gemini 模型协作的效率与可扩展性，并强调安全与文档化实践。
- 作者警示过度依赖大型语言模型会同质化个人“声音”，呼吁将 LLM 视为辅助手段以保护并培养独特表达。
https://ziglang.org/news/migrating-from-github-to-codeberg/
Zig 项目宣布从 GitHub 迁移至 Codeberg，原因是对 GitHub 近年来工程文化衰退、性能下降以及 GitHub Actions 的严重问题感到失望。作者指出，GitHub 在被微软收购后，优先级转向 AI 推广，导致核心功能如 Actions 出现随机调度、无法手动干预等问题，严重影响 CI 流水线稳定性。
尽管 GitHub Sponsors 曾是 Zig 早期发展的重要资金来源，但随着关键负责人离职，该功能已逐渐被忽视。因此，Zig 软件基金会决定将项目迁移至 Codeberg，以摆脱对 GitHub 的依赖，并提升对开源社区的控制力。
迁移策略为：GitHub 上的 ziglang/zig 仓库已设为只读，主仓库新地址为 https://codeberg.org/ziglang/zig.git。原有 GitHub 的 Issues 和 Pull Requests 保持开放，不强制迁移，但未来所有新问题将从编号 30000 开始，确保编号清晰无歧义。
基金会呼吁现有通过 GitHub Sponsors 捐赠的用户转至非营利平台 Every.org，以支持项目可持续发展。同时，GitHub Sponsors 的专属权益将逐步取消，未来将在 Every.org 上提供等效回馈。
此次迁移也体现了非营利组织在平台资本化趋势下，维护开源“公共领域”的重要价值。
https://news.ycombinator.com/item?id=46064571
名为“Bring Back Doors”的个人项目，旨在呼吁酒店恢复浴室门的设置。作者表示，许多现代酒店为了追求“美学”和节省成本，移除了浴室门，导致住客隐私严重受损，甚至影响尊严。
网站的核心功能是帮助旅行者筛选出真正配备浴室门的酒店。作者通过邮件联系了数百家酒店，询问两个关键问题：浴室门是否能完全关闭？是否为玻璃材质？只有那些门能完全关闭且非玻璃材质的酒店才会被收录进数据库。
网站按城市和价格区间分类，提供可信赖的酒店推荐，确保住客拥有基本的隐私保障。同时，页面还提供“检查酒店是否有门”的功能，方便用户在预订前核实目标酒店是否曾被投诉缺少浴室门。
此外，网站鼓励用户主动举报那些没有浴室门的酒店，通过提交酒店名称和照片，让这些酒店被公开曝光，以推动行业改善。项目强调“命名与羞辱”机制，旨在保护未来旅行者的隐私与尊严。
该网站结合了实用信息、公众参与和倡导行动，是一个以旅行者隐私为核心诉求的网络倡议。
https://news.ycombinator.com/item?id=46063072
https://github.com/penpot/penpot
Penpot 是一个开源的设计协作工具，专为设计师与开发者之间的无缝协作而打造。它将设计以代码形式表达，支持 SVG、CSS、HTML 和 JSON 等开放标准，实现从设计到开发的无手稿流程。
该工具提供强大的设计系统功能，包括设计令牌（Design Tokens）、组件（Components）和变体（Variants），确保设计与代码的一致性，提升团队协作效率。最新 2.0 版本引入了 CSS 网格布局、全新的用户界面以及组件系统，显著增强了设计灵活性与可维护性。
Penpot 支持浏览器使用或自托管部署，适用于个人、团队及企业。开发者可通过“检查模式”实时查看元素的 SVG、CSS 和 HTML 代码，加速开发流程。同时，它支持插件系统、Webhook 和 API，便于与现有开发工具链集成。
项目采用 MPL-2.0 开源协议，社区活跃，持续更新。Penpot 还举办年度盛会 Penpot Fest，2025 年活动将在西班牙马德里举行。官网提供用户指南、学习中心和丰富的社区资源，帮助用户快速上手。
https://news.ycombinator.com/item?id=46064757
Google 宣布其 Pixel 10 系列手机现已支持与苹果 AirDrop 的互操作，用户可通过 Android 的 Quick Share 功能向启用 AirDrop 的苹果设备发送文件。该功能仅在 Pixel 10 系列上启用，未来可能扩展至更多 Android 设备，但尚未公布具体时间表。支持的条件是 AirDrop 设置为“所有人 10 分钟”模式，而默认的“仅联系人”模式暂不兼容。
文件传输采用本地点对点 Wi-Fi 连接，不经过任何公司服务器，确保传输安全。Google 强调，这一功能的实现得益于 Android 系统中使用内存安全的 Rust 编程语言，有效防止了因恶意数据包引发的内存漏洞。
这一进展被认为与欧盟《数字市场法案》（DMA）有关。该法案要求苹果开放其专有技术，以促进市场竞争。AirDrop 依赖苹果自研的 Apple Wireless Direct Link（AWDL）协议，而 DMA 迫使苹果在合规框架下允许第三方设备接入其无线通信技术，从而促成 Android 与 AirDrop 的兼容。
目前，Google 与苹果尚未就“仅联系人”模式的兼容展开合作，但表示欢迎未来进一步协作。这一变化标志着跨平台生态互操作性的又一重要进展，尤其对混合使用 iPhone 和 Android 设备的用户群体具有实际意义。
https://news.ycombinator.com/item?id=46062504
https://reverser.dev/linux-kernel-explorer
该网页是《The Kernel in The Mind》系列学习资源的一部分，聚焦于理解 Linux 内核的核心概念。页面以“第 1 章：理解 Linux 内核之前先理解代码”为主题，强调内核并非普通进程，而是系统本身，是连接硬件与软件的永恒权威。它通过调度系统调用、中断和进程管理，为用户进程提供服务，构建了一个虚拟化、映射、隔离且受控的运行体系。页面提供了关键源码文件的链接，包括 init/main.c、kernel/fork.c、include/linux/sched.h 和 arch/x86/kernel/entry_64.S，便于深入学习。同时设置了三道知识检测题，帮助读者巩固对内核本质、服务方式及系统分层的理解。整体结构清晰，适合初学者建立对内核的正确认知。
https://news.ycombinator.com/item?id=46066280
https://blog.calebjay.com/posts/dont-download-apps/
商家频繁诱导顾客下载应用程序，甚至出现工作人员在顾客不注意时擅自安装应用的情况。作者提醒，切勿将手机交予他人，也坚决不要下载任何应用。
主要原因有两点：一是进入“监视资本主义”时代，企业通过收集用户数据实现“监视定价”，即根据个人消费能力、收入状况等动态调整价格。例如，刚领工资的人可能被收取更高价格，而长期未付款的人则可能获得优惠。这种定价机制使企业掌握货币价值的决定权，削弱了市场竞争的公平性。
二是应用的“服务条款”中常包含“强制仲裁”条款。一旦用户下载应用并同意条款，就可能在发生纠纷时被强制通过私人仲裁解决，而非进入司法系统。仲裁员由企业聘请，缺乏独立性，且用户需承担费用。案例显示，一名顾客因妻子在迪士尼乐园食物中毒去世，仍被要求通过仲裁解决，仅因曾注册过迪士尼 + 的免费试用。该案例最终因舆论压力才被撤销，但类似情况可能频繁发生。
作者预测未来几年内，类似事件将更加普遍：如使用 Uber Eats 导致车祸、特斯拉自燃、亚马逊员工工伤等，都可能因用户拥有相关平台账户而被强制仲裁。
因此，作者强烈建议：不要下载任何应用，保护个人数据和法律权利。
https://news.ycombinator.com/item?id=46061623
https://sbox.game/news/update-25-11-26
s&box 于 2025 年 11 月 26 日发布更新 25.11.26，正式宣布项目开源，采用 MIT 许可证，开发者可自由查看、修改、复制代码，用于个人项目或维护独立分支。该引擎并非 Valve 的 Source 2 源码，而是基于 Source 2 底层系统构建，其上层功能如编辑器、网络、场景系统、UI 等均为 C#实现。
本次更新重点包括：
此外，更新还修复了包括视频线程未及时终止、场景追踪错误、材质显示异常、菜单项目误加载等数十项问题，并移除了旧版软体节点和冗余文件。
社区反馈积极，普遍认为开源将加速问题修复、增强安全性，并推动 s&box 成为 Unity 和 Godot 的有力竞争者。开发者表示，此举源于对创作的热爱，旨在为游戏开发生态提供开放工具，实现共赢。
https://news.ycombinator.com/item?id=46061682
https://blog.briancmoses.com/2025/11/diy-nas-2026-edition.html
本文是作者 Brian Moses 关于 2026 年 DIY NAS（网络附加存储）构建的详细分享，延续了他自 2011 年起每年更新一次的 DIY NAS 项目传统。文章核心介绍了一台 8 盘位、支持 10GbE 网络、搭载 Intel N355 处理器、32GB DDR5 内存的紧凑型 NAS 系统，整体体积小于 20 升，适合办公空间有限的用户。
作者提出构建 NAS 的四大核心标准：小体积、至少 6 个硬盘位、低功耗集成 CPU、具备家庭实验室扩展潜力。他强调这些标准因人而异，建议每位构建者根据自身需求定制方案。
在硬件选型方面，作者选用 Topton N22 主板搭配 Intel Core 3 N355 CPU，该 CPU 拥有 8 核 8 线程、15W TDP，支持 Intel Quick Sync 视频加速，性能足以支撑媒体流、虚拟机、游戏服务器等扩展应用。主板配备 8 个 SATA 接口、2 个 M.2 NVMe 插槽、1 个 10GbE 网卡和 2 个 2.5GbE 网卡，扩展性出色。
机箱选用 JONSBO N4，支持 6 个 3.5 英寸和 2 个 2.5 英寸硬盘位，虽有部分硬盘位未连接背板导致更换不便，但价格仅为同类产品三分之一，性价比高。为解决原装风扇噪音问题，作者更换为 Noctua NF-A12x25 PWM 风扇，并接入主板 SYS_FAN 接口，实现 BIOS 调速，显著降低噪音。
内存方面，作者使用一条 32GB DDR5 4800MHz SODIMM，虽有意愿升级至 48GB，但因价格过高（约 250-300 美元）而放弃。他提醒读者当前内存价格高企，建议提前囤货。
存储部分，作者强调所有硬盘均为已有库存，未新增采购，体现其“趁便宜时囤货”的策略。他指出当前硬件价格普遍上涨，尤其是 CPU、内存和硬盘，预计未来可能更贵，因此决定不推迟发布，以免错过时机。
整体来看，这是一次兼顾性能、扩展性与成本控制的高性价比 NAS 构建，适合希望打造高效、安静、可扩展的家庭服务器的爱好者。
https://news.ycombinator.com/item?id=46065034
https://github.com/addyosmani/gemini-cli-tips
这是一个关于 Gemini CLI 的使用技巧指南，旨在帮助开发者高效利用 Google 的 Gemini 模型在终端中进行智能编程和系统操作。Gemini CLI 是一个开源的命令行工具，能够通过自然语言与用户交互，执行多步骤任务，如代码生成、调试、文件编辑和系统配置，相当于一个智能的“编程搭档”。
指南共包含 30 条实用技巧，涵盖从基础设置到高级功能的各个方面。例如，使用 GEMINI.md 文件保存长期上下文，创建自定义快捷命令，扩展功能通过 MCP 服务器，利用记忆功能进行上下文召回，以及使用 /restore 恢复到之前的会话状态，相当于“撤销”操作。
用户可以通过 @ 符号引用文件或图片，实现多模态输入，让 AI 更准确理解需求。Gemini CLI 还支持动态创建工具，甚至能帮你编写辅助脚本。在系统调试、配置管理方面，它能自动分析问题并提出解决方案。
对于高级用户，提供了 YOLO 模式（自动批准操作，需谨慎使用）、后台运行模式（headless）、脚本化调用等能力。支持保存和恢复聊天会话，可在多个目录间切换工作空间，实现多项目管理。
还介绍了如何通过 settings.json 自定义行为，集成 VS Code 提供代码上下文和差异对比，结合 GitHub Action 实现自动化任务。同时建议开启遥测以获取使用数据，关注未来路线图中的“后台代理”等新功能。
此外，指南提到可通过扩展和插件增强功能，并隐藏了“Corgi Mode”彩蛋，增加趣味性。整体上，该页面为开发者提供了从入门到进阶的完整使用指南，强调安全、效率与可扩展性。
https://news.ycombinator.com/item?id=46060508
https://tonyalicea.dev/blog/were-losing-our-voice-to-llms/
本文探讨了在大型语言模型（LLM）盛行的时代，人们正在逐渐失去独特的个人声音。作者指出，社交媒体上越来越多的内容由 AI 生成，导致所有帖子的语气和风格趋同，缺乏个性。这种“统一声音”削弱了个体表达的独特价值。
作者强调，个人的声音是一种宝贵的资产，它不仅体现在内容本身，更体现在表达方式上。这种声音源于个人的生活经历、情感状态和成长历程，是独一无二的。长期坚持用自己真实的声音写作，能让他人产生认同感、信任感，甚至在职业发展中带来机会。
文章提醒，即使使用 LLM 辅助写作，也不应完全依赖 AI“模仿”自己的声音。因为真正的声音是动态变化的，会随着人生阶段和心境波动而发展。强行让 AI 复制，反而会抑制这种自然成长，导致表达能力退化。
最后，作者呼吁大家珍惜并主动培养自己的声音，不要因依赖技术而让思想变得平庸。写自己真正想说的话，才是最有力量的表达。
https://news.ycombinator.com/item?id=46069771
https://news.ycombinator.com/item?id=46065366
it’s abundantly clear that the talented folks who used to work on the product have moved on to bigger and better things, with the remaining losers eager to inflict some kind of bloated, buggy JavaScript framework on us in the name of progress.
More importantly, Actions is created by monkeys
This writing really does not reflect well on Zig. If you have technical issues with Github, fine: cite them. But leave ad hominems like “losers” and “monkeys” out of it.
johnfn
很明显，过去曾负责该产品的天才们已经去追求更好的发展了，而剩下那群败类却打着进步的旗号，迫不及待地想把那种臃肿又满是 bug 的 JavaScript 框架强加给我们。
更重要的是，Actions 是由猴子们搞出来的。
这种写法对 Zig 的形象实在不好。如果你对 GitHub 有技术上的问题，没问题：就事论事地指出。但别用“败类”和“猴子”这类人身攻击。
https://news.ycombinator.com/item?id=46065008
As a bonus, we look forward to fewer violations (exhibit A, B, C) of our strict no LLM / no AI policy,
Hilarious how the offender on “exhibit A” [1] is the same one from the other post that made the frontpage a couple of days ago [2].
[1] https://github.com/ziglang/zig/issues/25974
[2] https://news.ycombinator.com/item?id=46039274
quirino
此外，我们也期待违反我们严格的“禁止使用LLM/AI”政策的情况能有所减少（证据A、B、C）。 “证据A”中的违规者[1]就是前几天登上热榜的那篇帖子[2]里的同一个人，真是可笑。
https://news.ycombinator.com/item?id=46065778
Amusingly, this post violates Zig’s own code of conduct: https://ziglang.org/code-of-conduct
Examples of behavior that contribute to creating a positive environment include:
- Using welcoming and inclusive language.
- Being respectful of differing viewpoints and experiences.
- Showing empathy towards others.
- Showing appreciation for others’ work.
ericpruitt
有趣的是，这篇帖子违反了 Zig 自己的行为准则：https://ziglang.org/code-of-conduct
有助于创造积极环境的行为示例包括：
- 使用热情和包容的语言。
- 尊重不同的观点和经历。
- 对他人表示同理心。
- 欣赏他人的工作。
https://news.ycombinator.com/item?id=46063648
Huh.. I’ve stayed in over 1,000 hotels and Airbnbs over the last 15 years and not once saw a bathroom with no door. Lots of bathroom windows, but always some kind of door.
rjdj377dhabsn
呃……过去15年我住过一千多家酒店和民宿，从未见过没有门的卫生间。卫生间倒是见过不少，但总归是有门的各种。
https://news.ycombinator.com/item?id=46063446
It’s not about saving a few bucks on a door. It’s about discouraging you and your friends from sharing a single room. Hotel sees the money they’re leaving on the table and will trade you for it for the low price of watching your buddies do their business.
akersten
问题不在于省下几块钱的门费，而在于阻止你和朋友们共用一间房。酒店看到了他们因此损失的收益，于是便用你们朋友在房间里的一举一动作为交换，来换取那笔钱。
https://news.ycombinator.com/item?id=46063949
I am not doing any of this.
It becomes obsolete in literally weeks, and it also doesn’t work 80% of the time. Like why write a mcp server for custom tasks when I don’t know if the llm is going to reliably call it.
My rule for AI has been steadfast for months (years?) now. I write (myself, not AI because then I spend more time guiding the AI instead of thinking about the problem) documentation for myself (templates, checklist, etc.). I give ai a chance to one-shot it in seconds, if it can’t, I am either review my documentation or I just do it manually.
preommr
我才不干这些呢。
这些东西几周内就会过时，而且有80%的时候都不管用。比如说，我都不知道这个大语言模型能不能可靠地调用它，那我为啥还要为自定义任务写个MCP服务器呢？
我对AI的规则已经坚定了好几个月（甚至好几年了）。我自己写文档（是我自己写，不是AI写的，因为如果让AI写，我花在引导AI上的时间会比花在思考问题上的时间还多），也就是给自己写写模板、清单之类的东西。我会给AI一个机会，让它几秒钟内一次性搞定。如果它搞不定，我就要么重新审视我的文档，要么就干脆自己动手做。
https://news.ycombinator.com/item?id=46064952
I once stayed at a very boutiquey, avant-garde hotel with a platonic friend. We had booked a twin room with separate beds, but what I did not expect was that the shower cubicle, with clear glass on all three sides, would be placed between the beds.
decimalenough
我曾和一个柏拉图式的朋友住过一家非常时髦前卫的精品酒店。我们订的是一间有两张独立床铺的双床房，但我没想到的是，淋浴间装在了两张床之间，而且三面都是透明的玻璃。
https://news.ycombinator.com/item?id=46070473
I deleted my Facebook account a couple of years ago and my Twitter one yesterday.
It’s not just LLMs, it’s how the algorithms promote engagement. i.e. rage bait, videos with obvious inaccuracies etc. Who gets rewarded, the content creators and the platform. Engaging with it just seems to accentuate the problem.
There needs to be algorithms that promote cohorts and individuals preferences.
Just because I said to someone ‘Brexit was dumb’, I don’t expect to get fed 1000 accounts talking about it 24/7. It’s tedious and unproductive.
ricardo81
几年前我删除了我的Facebook账户，昨天又删除了Twitter。
这不仅仅是大型语言模型的问题，更是算法如何提升用户参与度的问题。比如，为了引发争议而发布的煽动性内容、有明显错误信息的视频等等。最终获利的是内容创作者和平台本身。与这些内容互动只会让问题变得更糟。
我们需要能够促进社群和个体偏好的算法。
就因为我曾对某人说“脱欧很蠢”，我不希望自己会被24/7地推送上千个相关账户的信息。这既乏味又毫无益处。
https://news.ycombinator.com/item?id=46067189
I hate how this is written. At no point does it disclose explicitly:
What systems were accessed
What information was potentially exposed
Just how “proactively” they’ve been about this (no timeline)
Numbers… The scale of any of it
Some comments from quoted portions of article
Mixpanel detected a smishing campaign …
Doesn’t give any details on who the companion targeted, or how, or how widespread.
We took comprehensive steps to contain and eradicate unauthorized access and secure impacted user accounts.
So there was definitely some sort of unauthorized access, but doesn’t say to which accounts or in what systems
Performed global password resets for all Mixpanel employees
So… definitely sounds like they expected compromise of Mixpanel employee credentials
cobertos
我非常讨厌这篇文章的写法。它从头到尾都没有明确披露：
以下是对文章引用部分的评论：
Mixpanel检测到了一场“网钓式短信”活动……
没有提供任何关于攻击目标、方式或波及范围的具体细节。
我们采取了全面的措施来控制和消除未授权访问，并保障了受影响用户账户的安全。
所以，确实发生了某种形式的未授权访问，但没说明是哪些账户，或在哪些系统中发生的。
为所有Mixpanel员工执行了全局密码重置。
所以……听起来他们显然预计Mixpanel员工的凭证已被攻破。
https://news.ycombinator.com/item?id=46063257
“Here, install my new 1-day old NPM package that doesn’t let you install packages younger than 90 days.”
Pardon me, I couldn’t help myself :D
sebmellen
“来，装一下我这个发布才一天的 NPM 包，它不允许你安装任何创建时间少于90天的包。”
不好意思，我实在是忍不住了 :D
https://news.ycombinator.com/item?id=46065016
A note that it’s easy to “overstay” a visa when waiting for a green card interview - the wait times are often in the 6-16 month range, and if you leave the country you’ll be considered to have abandoned your “petition to adjust status”. It’s a catch-22, and it looks like the only recourse is for an immigration lawyer to file a habeas corpus petition in federal court.
nxobject
请注意，在等待绿卡面试期间很容易“逾期滞留”——等待时间通常在6到16个月之间，而一旦离境，你就会被视为已“放弃调整身份的申请”。这是一个两难的困境，看来唯一的办法就是请移民律师在联邦法院提交人身保护令的请愿书。
https://news.ycombinator.com/item?id=46064895
Calling the people who work on GitHub “losers” is not cool.
munchler
称GitHub上的工作人员为“失败者”可不好。
https://news.ycombinator.com/item?id=46070265
Google’s real moat isn’t the TPU silicon itself—it’s not about cooling, individual performance, or hyper-specialization—but rather the massive parallel scale enabled by their OCS interconnects.
To quote The Next Platform: “An Ironwood cluster linked with Google’s absolutely unique optical circuit switch interconnect can bring to bear 9,216 Ironwood TPUs with a combined 1.77 PB of HBM memory… This makes a rackscale Nvidia system based on 144 “Blackwell” GPU chiplets with an aggregate of 20.7 TB of HBM memory look like a joke.”
Nvidia may have the superior architecture at the single-chip level, but for large-scale distributed training (and inference) they currently have nothing that rivals Google’s optical switching scalability.
m4r1k
谷歌真正的护城河并非TPU芯片本身——这与散热、单芯片性能或超专业化无关——而是由其OCS互连技术所实现的巨大并行规模。
引用《The Next Platform》的话来说：“通过谷歌独有的光路交换互连技术连接的铁木集群，可动用多达9216颗铁木TPU，合计拥有1.77 PB的HBM内存……这使得基于144颗‘Blackwell’GPU芯片、聚合内存容量为20.7 TB的一整机架Nvidia系统，看起来像个笑话。”
英伟达在单芯片层面可能拥有更优越的架构，但在大规模分布式训练（及推理）方面，他们目前还无法与谷歌的光交换可扩展性相抗衡。
https://news.ycombinator.com/item?id=46064782
As a bonus, we look forward to fewer violations (exhibit A, B, C) of our strict no LLM / no AI policy, which I believe are at least in part due to GitHub aggressively pushing the “file an issue with Copilot” feature in everyone’s face.
Also, the big part of that issue is people are incentivized to make their GitHub profile look good to have a higher chance of getting hired. Any non-mainstream platform is not as compelling to get social credits.
SoKamil
此外，这个问题的核心在于，人们为了有更高的求职几率，会受到激励去让自己的 GitHub 个人资料看起来更出色。任何非主流平台都不太能提供这种“社交信用”。
https://news.ycombinator.com/item?id=46064316
I don’t think that adds up.
“Staying in a hotel with a romantic partner and/or family” is at least as primary a use case for hotels as “staying in a hotel with a platonic friend” and is still a scenario where you want a door but is NOT a scenario where “just get separate rooms” is a logical conclusion. “Get the hell out of that hotel and complain about it to everyone you know,” on the other hand, is.
The much more specific way to target platonic buddies/coworkers from sharing a room would be eliminating rooms with two beds since the “couple” scenario would generally be perfectly happy with that still.
majormajor
我觉得这说不通。
“与伴侣和/或家人住酒店”至少和“与普通朋友住酒店”一样，是酒店的主要使用场景。在这两种情况下，你都想要一扇门，但后一种情况（与普通朋友同住）却得不出“直接开两个房”的合乎逻辑的结论。相比之下，“赶紧离开那家酒店，并向你认识的每一个人抱怨”才是更合理的。
要想更有针对性地避免普通朋友/同事合住，更好的方法是取消双床房，因为情侣们通常对双床房完全没有意见。
https://news.ycombinator.com/item?id=46061643
Unfortunately for OpenAI, they are not positioned to capture value from any of the “big margin” use cases that they highlight as key to their future. I think all of these are pretty unrealistic for them:
Revenue sharing from drug discovery (called out by OpenAI CFO): Why would a pharma company give away the upside to a commoditized intelligence layer? Why would OpenAI have a more compelling story than Google Deep Mind, which has serious accolades in this space?
Media generation for ads and other content: For ads, OpenAI is facing off against Google, Meta and Amazon, all of which have existing relationships with advertisers. For the foreseeable future, AI content will be a major discount product compared to humans. OpenAI will not get to charge $1M for an ad like a production company does. So the TAM of ad production (~$50B) shrinks below $1B because AI deflates prices so much.
Other agent use cases: OpenAI doesnt have a surface to build these on. Google has chrome, Microsoft has office, Apple has OS’s. The other use cases like coding will be a low-margin competition between model providers until some of them throw in the towel. The players with the best cash position win - and thats not OAI.
I think the place that they could win is retail (also called out by OAI CFO). They made deals with Etsy and other small retailers. I was fixing my guitar the other day and would have instantly bought the tools it had suggested that I would need. The problem is that they have to win against Amazon here, and there is zero chance of a partnership for obvious reasons.
liamconnell
对 OpenAI 来说不幸的是，他们无法从自己所强调的那些关乎未来的“高利润”用例中捕获价值。我认为他们提出的这些设想都相当不切实际：
药物研发的收入分成（由 OpenAI 首席财务官提出）：制药公司为什么要将利润分给一个已被商品化的智能层？为什么 OpenAI 的故事会比谷歌 DeepMind 更有说服力？后者在这一领域拥有备受赞誉的卓越成就。
广告和其他内容的媒体生成：在广告领域，OpenAI 正在与谷歌、Meta 和亚马逊等现有广告商关系稳固的公司竞争。在可预见的未来，AI生成的内容与人类内容相比将是一个低价产品。OpenAI 不可能像制作公司那样为一则广告收取 100 万美元。因此，广告制作的市场规模（约 500 亿美元）会因为 AI 大幅压低价格而缩减到 10 亿美元以下。
其他智能体用例：OpenAI 没有可以构建这些用例的平台。谷歌有 Chrome，微软有 Office，苹果有操作系统。其他用例（如编程）将成为模型提供商之间的低利润竞争，直到其中一些玩家放弃。现金储备最雄厚的玩家才能胜出——而那不是 OpenAI。
我认为他们有可能赢得的领域是零售业（OpenAI 首席财务官也提到了这一点）。他们已经与 Etsy 等小型零售商达成了合作。前几天我在修理吉他时，就愿意立刻购买 AI 建议我需要的工具。但问题在于，他们在这里必须与亚马逊竞争，并且出于显而易见的原因，双方合作的可能性为零。
https://news.ycombinator.com/item?id=46058528
Not that we would literally do this with Voyager, but it makes me wonder at the potential utility of a string of probes, one sent every couple of [insert correct time interval, decades, centuries?], to effectively create a communication relay stretching out into deep space somewhere.
My understanding with the Voyagers 1 and 2 is (a) they will run out of power before they would ever get far enough to benefit from a relay and (b) they benefited from gravity slingshots due to planetary alignments that happen only once every 175 years.
So building on the Voyager probes is a no-go. But probes sent toward Alpha Centauri that relay signals? Toward the center of the Milky Way? Toward Andromeda? Yes it would take time scales far beyond human lifetimes to build out anything useful, and even at the “closest” scales it’s a multi year round trip for information but I think Voyager, among other things, was meant to test our imaginations, our sense of possible and one thing they seem to naturally imply is the possibility of long distance probe relays.
Edit: As others rightly note, the probes would have to communicate with lasers, not with the 1970s radio engineering that powered Voyagers 1 and 2.
glenstein
我们当然不会真的用旅行者号探测器这么做，但这让我不禁思考，每隔（请填入正确的时间间隔，比如几十年、几个世纪？）发射一个探测器链，从而在深空某处建立一个有效的通信中继站，其潜在效用会是怎样的。
据我所知，旅行者1号和2号的情况是，（a）它们在飞到足以利用中继站的距离之前就会耗尽电力；（b）它们得益于行星排列产生的引力弹弓效应，而这种排列每175年才发生一次。
因此，在旅行者号探测器的基础上进行建设是行不通的。但是，向半人马座阿尔法星、银河系中心、仙女座星系发射能中继信号的探测器呢？是的，要建成任何有用的设施所需的时间尺度将远远超出人类的寿命，即便是在最近的距离上，信息的往返也需要数年时间。但我认为，旅行者号的意义之一，就是考验我们的想象力，以及对“何为可能”的认知，而它们似乎很自然地引出了长距离探测器中继网络的这种可能性。
编辑：正如其他人正确指出的那样，这些探测器必须使用激光进行通信，而不是像旅行者1号和2号那样使用1970年代的无线电工程技术。
https://news.ycombinator.com/item?id=46058495
This is the culture that replaced hacker culture.
Somewhere along the lines of “everybody can code,” we threw out the values and aesthetics that attracted people in the first place. What began as a rejection of externally imposed values devolved into a mouthpiece of the current powers and principalities.
This is evidenced by the new set of hacker values being almost purely performative when compared against the old set. The tension between money and what you make has been boiled away completely. We lean much more heavily on where someone has worked (“ex-Google”) vs their tech chops, which (like management), have given up on trying to actually evaluate. We routinely devalue craftsmanship because it doesn’t bow down to almighty Business Impact.
We sold out the culture, which paved the way for it to be hollowed out by LLMs.
There is a way out: we need to create a culture that values craftmanship and dignifies work done by developers. We need to talk seriously and plainly about the spiritual and existential damage done by LLMs. We need to stop being complicit in propagating that noxious cloud of inevitability and nihilism that is choking our culture. We need to call out the bullshit and extended psyops (“all software jobs are going away!") that have gone on for the past 2-3 years, and mock it ruthlessly: despite hundreds of billions of dollars, it hasn’t fully delivered on its promises, and investors are starting to be a bit skeptical.
In short, it’s time to wake up.
mattgreenrocks
这就是取代了黑客文化的产物。
在我们信奉“人人皆可编程”的过程中，我们抛弃了最初吸引人们的价值观与审美。这场运动起初是对外部强加价值观的反抗，如今却沦为了当权者的传声筒。
新的一套黑客价值观与旧的一套相比，几乎只剩下表演性质。金钱与创造物之间的张力已完全消弭。我们更看重一个人曾在哪里工作（“前谷歌员工”），而非其技术实力——而后者（与管理一样）早已放弃了真正评估的尝试。我们常常贬低工匠精神，因为它不会向至高无上的“业务影响力”低头。
我们出卖了这种文化，从而为大型语言模型（LLM）掏空其内核铺平了道路。
但仍有出路：我们需要创造一种重视工匠精神、尊重开发者劳动的文化。我们需要严肃而坦率地讨论大型语言模型所造成的精神与存在性损害。我们需要停止助长那股正在扼杀我们文化的、充满必然性与虚无主义的毒雾。我们需要戳穿并无情地嘲弄过去两三年来层出不穷的胡言乱语和心理战（“所有程序员的工作都要消失了！”）：尽管投入了数千亿美元，它仍未兑现其承诺，投资者们也已开始感到怀疑。
简而言之，是时候醒醒了。
https://news.ycombinator.com/item?id=46066132
Sixteen years here, and the half-life decay of this community has been slower than anywhere else. That takes real, consistent work, and we have been lucky to have it. Through good times and rough ones, including the loss of Aaron Swartz (who I only knew of through HN), this has stayed a place for real conversation.
The grit, curiosity, and people building things have always been inspiring.
Thanks for all the discussions over the years.
Happy Thanksgiving!
jetsnoc
我在这里待了十六年，这个社区的衰变速率比任何其他地方都要慢。这需要真正持续不断的努力，我们很幸运拥有这一切。无论顺境逆境，包括在失去亚伦·斯沃茨（我仅通过HN知晓他）之后，这里始终是一个能进行真诚对话的地方。
这份坚韧、好奇心以及那些创造事物的人们，一直激励着我。
感谢这些年来所有的讨论。
感恩节快乐！
2025-11-27 09:10:39
- 作者基于统计与泄露信息认为 YouTube 首页视频数量持续减少、界面在 Apple TV 等端体验愈发糟糕，将“归零”预测提前并讽刺产品团队视野狭窄。
- 旅行者1号将在2026年11月左右达到一光日距离（单向信号约24小时），仍由放射性同位素发电并继续象征人类深空探测的里程碑与挑战。
- 报道揭示 Google 编辑器 Antigravity 存在间接提示注入漏洞，攻击者可利用被污染参考文档诱导代理泄露敏感凭证并通过浏览器工具发出外泄请求。
- 汇丰估算 OpenAI 到2030年可能至少需筹集约2070亿美元以覆盖亏损并支持大规模研发，凸显其在融资、商业化与竞争方面的巨大压力。
- 作者认为大规模语言模型的普及正在侵蚀人的思考与创造力，并呼吁通过关怀他人、组织工会、减少社媒与自我创作来维护人的主体性。
- Sutskever 主张从“规模时代”转向“研究时代”，通过更贴近真实场景的持续部署学习与深度研究提升模型的可靠性与通用性以推动更安全的 AGI 路径。
- 开源项目 Flowglad 提供“无状态/零 webhook”计费基础设施与全栈 SDK，便于快速迭代与部署定价，但因依赖第三方支付与云/SaaS 元素在定位与数据流向上引发争议。
- 作者将 DOOM 的矢量渲染数据映射为 KiCad PCB 的铜迹与封装，实现以 PCB 走线“运行” DOOM（约10–25 FPS），展现创意硬件黑客精神。
- Unison 1.0 发布，确立了语言核心语法、分布式运行时与开发者工作流的稳定性并加入 FFI，同时围绕云服务、编辑器支持与生态持续改进。
- 研究在太平洋海水样本中发现极简古菌 Citharistes regius，其微小基因组丧失多种代谢功能却保留复制核心，挑战了对“生命”定义的界定。
https://jayd.ml/2025/11/10/someone-at-youtube-needs-glasses-prophecy-fulfilled.html
文章标题为《Someone At YouTube Needs Glasses: The Prophecy Has Been Fulfilled》，发表于 2025 年 11 月 10 日，是 Jayden 的博客文章。
作者在近期对 YouTube 信息密度的分析中，通过统计模型预测，到 2026 年 5 月，YouTube 首页可能仅显示一个视频。这一预测源于对首页视频数量持续减少趋势的观察。
文章指出，近期一位不满的谷歌员工泄露了 YouTube 产品管理团队（PM org）内部会议的录音，该录音在 Hacker News 上引发热议并登上首页一天。这揭示了 YouTube 团队在面对批评时的应对方式。
尽管谷歌的 Gemini 工程师团队投入大量努力，但作者在 Apple TV 上打开 YouTube 时，看到的首页已呈现极简状态：视频数量严重减少，几乎接近“孤独”的单视频界面。
基于新观察，作者更新预测：首页视频数量将从原预测的 2026 年 9 月归零，提前至 2026 年 5 月。这一变化反映出 YouTube 产品管理团队的决策视野正在进一步收缩。
文章以讽刺口吻指出，谷歌产品经理的判断力已陷入“波伊法则”（Poe’s Law）的困境——讽刺被误认为真实， satire 已死。作者调侃道，或许强制植入 Neuralink 的未来，比预想中更近了。
文章结尾呼吁读者订阅作者博客，获取更多类似洞察。
https://news.ycombinator.com/item?id=46051340
https://scienceclock.com/voyager-1-is-about-to-reach-one-light-day-from-earth/
Warning: Page exception Timeout 30000ms exceeded. NASA 的旅行者 1 号探测器即将迎来一个历史性时刻：到 2026 年 11 月 15 日，它将距离地球约 16.1 亿英里（259 亿公里），无线电信号需要整整 24 小时才能抵达，即达到“一光日”的距离。这一距离虽仅为一光年的极小部分，却凸显了宇宙尺度的浩瀚。
旅行者 1 号于 1977 年发射，最初任务是探测木星和土星，2012 年进入星际空间，成为人类历史上最遥远的人造物体。目前它以每秒约 11 英里（17.7 公里）的速度前行，每年前进约 3.5 个天文单位（地球与太阳之间的距离）。
尽管已服役近 50 年，探测器仍依靠放射性同位素热电发电机持续供电，预计可运行至 2030 年代。与地球通信极为缓慢：发送指令需约一天，再等一天才能收到确认，远慢于对月球（1.3 秒）、火星（最多 4 分钟）或冥王星（近 7 小时）的通信。
这一里程碑也提醒人们，即使以光速前进，抵达最近的恒星——比邻星，也需要超过四年时间，凸显了星际旅行的艰巨性。
旅行者 1 号不仅创造了距离纪录，还传回了著名的“暗淡蓝点”图像——地球在浩瀚宇宙中的一粒微光，深刻唤起人类对自身在宇宙中位置的思考。它的旅程象征着人类探索精神的持久与坚韧。
https://news.ycombinator.com/item?id=46057488
https://www.promptarmor.com/resources/google-antigravity-exfiltrates-data
本文揭示了谷歌新推出的智能代码编辑器 Antigravity 存在严重的数据泄露漏洞，攻击者可通过间接提示注入（Indirect Prompt Injection）手段，操纵 Gemini AI 代理窃取用户敏感信息。
攻击场景中，用户在集成 Oracle ERP 的 AI 功能时，访问了一个被污染的在线参考指南。该指南中隐藏了极小字体的恶意提示注入代码，诱导 Gemini 代理执行恶意操作。
攻击链共分五步：
cat 命令绕过限制，读取敏感凭证。值得注意的是，该攻击无需用户主动授权，且在默认配置下完全绕过安全防护。即便用户开启“人工审查”策略，由于 Antigravity 的“代理管理器”支持多代理后台运行，用户难以实时监控所有行为，存在极高的隐蔽风险。
谷歌在产品初始界面已提示相关风险，但未提供有效防护机制。作者认为，仅靠免责声明无法解决根本问题，且当前设置下用户几乎不可能主动审查每一次操作，因此未进行负责任披露。
该案例被纳入 OWASP LLM Top 10 和 MITRE ATT&CK 框架，凸显了当前 AI 代理系统在安全设计上的重大缺陷。
https://news.ycombinator.com/item?id=46048996
https://ft.com/content/23e54a28-6f63-4533-ab96-3756d9c88bad
根据汇丰银行的估计，OpenAI 到 2030 年需要筹集至少 2070 亿美元，以便继续承担其亏损运营的成本。这一数字反映了 OpenAI 在人工智能领域的高昂投资和研发支出。文章指出，OpenAI 在追求技术进步和市场竞争力的同时，面临着巨大的财务压力。为了维持其业务运营和持续创新，OpenAI 必须找到有效的融资渠道和战略，以应对未来的挑战。
此外，文章还提到，OpenAI 的成功与其吸引投资者的能力密切相关，尤其是在其业务模式尚未实现盈利的情况下。为此，OpenAI 需要制定清晰的财务规划和商业策略，以便在未来的市场中占据有利位置。
总体来说，OpenAI 面临的融资需求和财务挑战，反映了当今科技行业内竞争的激烈和不确定性。
https://news.ycombinator.com/item?id=46058065
https://fokus.cool/2025/11/25/i-dont-care-how-well-your-ai-works.html
作者 Fiona Fokus 在博客文章中表达了对当前人工智能技术，特别是大型语言模型（LLM）在日常工作中被广泛使用现象的深刻担忧。她指出，即便在技术先进的黑客社区中，许多人也已陷入对 AI 工具的依赖，甚至出现“vibecoding”式的盲目使用，导致专业程序员产生存在主义危机。
她强调，AI 的危险不仅在于其输出质量或偏见，而在于其对人类思维和认知过程的深层侵蚀。当人们依赖 AI 生成代码、邮件或文章时，实际上是在让机器参与思考过程，从而削弱了自我表达与思想形成的能力。写作不仅是输出文字，更是探索和确认自我想法的过程，而 AI 的介入会模糊这一过程，使人误以为机器生成的内容就是自己的思想。
文章进一步指出，AI 系统本质上服务于资本与权力结构，其巨大的资源消耗并非副作用，而是设计目的之一。通过削弱人类的技艺与创造力，AI 有助于集中权力，实现对个体的控制。这种趋势与马克思所描述的“异化”理论相呼应。
最后，作者呼吁在技术压迫下保持人的主体性，提出几点应对方式：关心身边的人、组织工会、减少社交媒体使用、自我教育、创造真正属于自己的东西。真正的反抗，是选择在逆境中依然茁壮成长。
https://news.ycombinator.com/item?id=46055944
https://www.dwarkesh.com/p/ilya-sutskever-2
Ilya Sutskever 与 Dwarkesh Patel 在 podcast 中探讨了当前人工智能发展的核心问题。他指出，尽管 AI 技术已取得显著进展，但其真实影响尚未在社会层面充分显现，人们对此已逐渐习以为常。然而，他相信 AI 的经济影响终将强烈显现，只是目前仍处于“缓慢起飞”阶段。
Sutskever 提出，当前模型在评估任务（evals）中表现优异，但在实际应用中却频繁出现重复错误，例如在修复代码时引入新 bug，甚至反复来回切换问题。这种现象揭示了模型在泛化能力上的根本缺陷。
他分析了两个可能原因：一是强化学习（RL）训练可能导致模型过于专注特定目标，缺乏全局判断力；二是训练环境的设计可能被评估指标“绑架”——研发团队为提升 eval 分数而刻意设计训练场景，导致模型“学会”了迎合评估，而非真正提升实际能力。
Sutskever 强调，当前 AI 发展正从“规模扩张”时代转向“研究驱动”时代。他所在的 SSI 公司致力于通过真实部署中的持续学习来改进模型，而非仅依赖预训练和评估优化。他主张应构建更丰富、更贴近真实场景的训练环境，以提升模型的泛化与判断力。
此外，他提到未来 AI 的发展需要更深刻的“研究品味”——即对关键问题的敏锐判断和长期探索能力。他相信，只有通过深入研究而非短期指标竞赛，才能真正推动通用人工智能（AGI）的安全与成功。
https://news.ycombinator.com/item?id=46048125
https://github.com/flowglad/flowglad
Flowglad 是一个开源的支付与计费基础设施，旨在简化互联网收入的实现过程。它提供了一套完整的解决方案，支持无限定价模型，实现单一数据源，无需依赖 webhook、订阅数据库表或手动映射价格与功能。
核心特点包括：
flowgladServer.getBilling()，前端通过 useBilling() React Hook 获取数据。快速上手只需三步：
@flowglad/nextjs。FlowgladProvider 包裹。支持多种项目结构，包括 React + Express、React + Node 等，并兼容 Bun 包管理器。项目文档完善，提供详细的集成指南和示例代码，适合希望快速构建复杂计费系统的开发者。
https://news.ycombinator.com/item?id=46048252
https://www.mikeayles.com/#kidoom
Michael Ayles 是一名专注于嵌入式系统与电子设计的工程师，擅长发动机控制单元（ECU）开发、固件设计及工程领导。他拥有超过 10 年经验，已成功开发 3 个 ECU，其系统累计运行里程超过 2850 万英里。
他的个人项目以技术创新和趣味性著称，涵盖从硬件到软件的多个领域。其中最引人注目的是“KiDoom”项目——将经典游戏《DOOM》在 KiCad PCB 编辑器中以真实铜线走线和元件封装形式呈现。该项目利用 DOOM 引擎的矢量渲染数据，通过 Python 脚本将游戏画面转化为 PCB 上的铜迹线与元件布局，实现 10-25 FPS 的可玩性。游戏中的敌人、道具等实体均对应真实封装的电子元件，如 64 引脚 QFP 封装代表敌人，3 引脚 SOT-23 代表补给品，形成直观的视觉层级。
该项目采用三模式并行渲染架构：SDL 窗口用于实际游戏体验，Python 可视化窗口用于调试，KiCad PCB 则作为技术展示核心。关键突破在于跳过逐像素渲染，改用 DOOM 内部已有的矢量数据（drawsegs[] 和 vissprites[]），将每帧处理量从 6.4 万点降至约 200 条线段，使实时渲染成为可能。
项目还解决了多个技术难题，包括 DOOM 源码中未保存实体类型的问题，通过补丁添加 mobjtype 字段获取实体类型，并建立 150+ 实体类型到 PCB 封装的映射表。此外，针对 macOS 平台的线程安全问题，采用主进程处理 UI 更新，确保稳定性。
其他项目包括基于 Android 的脑损伤传感器应用、MQTT 触发器集成、AI 聊天应用、嵌入式文档服务器 bitwise-mcp、KiCad 网表优化工具、Discord 与 Claude Code 集成机器人，以及正在开发的发动机仿真器和营养品价格对比网站。
整体来看，该网页展示了一位兼具工程深度与创意趣味的开发者，其作品融合了复古游戏、电子设计、嵌入式系统与现代 AI 工具，兼具技术挑战性与艺术表现力。
https://news.ycombinator.com/item?id=46051449
https://www.unison-lang.org/unison-1-0/
Unison 1.0 正式发布，标志着该语言在核心语法、分布式运行时和开发者工作流方面已趋于稳定。Unison 采用以“内容标识”为核心的编程理念，通过代码内容而非名称来识别定义，从根本上解决了版本冲突问题，支持高效复用和自部署的分布式系统。
Unison 的代码存储在数据库中，而非传统文件，人类可读的名称仅在编辑或查看时生成。其核心工具 UCM（代码库管理器）支持定义编辑、库管理、程序运行与测试，配合文本编辑器使用。UCM Desktop 提供图形化本地代码库浏览器，提升开发体验。
Unison Share 是社区代码托管平台，支持公开与私有项目，具备项目搜索、文档浏览、贡献审查等功能。得益于内容标识机制，代码引用可直接跳转，实现无缝导航。2024 年 5 月，Unison Share 开源，进一步推动生态共建。
Unison Cloud 是用于部署 Unison 应用的云平台，支持将本地原型快速部署为分布式应用，无需 YAML、部署脚本或复杂协议。开发者可在同一程序中定义服务与基础设施，实现代码即部署。2024 年 2 月，Unison Cloud 正式向公众开放，支持服务、任务和长期运行的“云守护进程”（daemons）。
近年来，Unison 在多个方面持续优化：2021 年改用 SQLite 存储本地代码库，大幅降低存储占用；2022 年支持 LSP，实现编辑器语法高亮与错误提示；2023 年引入项目分组与分支功能，支持多工作流开发；2024 年实现全生态类型搜索，提升发现效率。
Unison 语言特性包括：能力（Abilities）用于管理副作用、结构化模式匹配、延迟求值等。其程序示例展示了如何构建命令行猜数游戏，体现语言在处理输入、控制流和异常处理上的简洁性。
Unison 从 2018 年公司成立，历经多次里程碑：2019 年发布首个 Alpha 版本，2021 年推出 Unison Share，2022 年举办首届 Unison Forall 线上大会，2024 年发布桌面客户端 UCM Desktop，2025 年将推出更完善的可视化开发环境。
Unison 正在构建一个以类型安全、协作开发和可部署性为核心的新一代编程生态系统。
https://news.ycombinator.com/item?id=46049722
https://www.quantamagazine.org/a-cell-so-minimal-that-it-challenges-definitions-of-life-20251124/
科学家发现了一种极为简化的单细胞生物，其基因组极度缩小，几乎丧失了所有代谢功能，挑战了传统对“生命”的定义。该生物被命名为“Citharistes regius”寄生的某种古菌，其基因组仅有 23.8 万个碱基对，远小于此前已知最小的古菌基因组（Nanoarchaeum equitans 的 49 万个碱基对）。
这种细胞缺乏合成氨基酸、分解碳水化合物或制造维生素所需的基因，完全依赖宿主或共生微生物提供营养，无法独立生长和代谢。然而，它仍保留了复制自身所需的“核心遗传元件”，超过一半的基因都与繁殖相关。
研究由日本筑波大学的进化微生物学家中山拓郎领导，团队通过显微镜从太平洋海水样本中分离出目标细胞，再对单个细胞内的所有基因组进行测序，避免了传统宏基因组学方法中难以追踪基因来源的问题。这一方法帮助他们发现了这个此前被忽略的微型生物。
专家指出，这类高度寄生、基因高度简化的微生物可能在自然界中广泛存在，尤其在微生物之间的复杂共生与寄生关系中。有学者估计，这类微生物可能占细菌和古菌物种总数的 25% 至 50%。它们的存在揭示了微生物世界中尚未被充分认识的多样性。
这一发现表明，生命的形式远比我们想象的更丰富，某些细胞甚至可以“几乎不活着”——它们的存在依赖于复杂的细胞间协作，从而迫使科学家重新思考“生命”的边界。
https://news.ycombinator.com/item?id=46055935
https://news.ycombinator.com/item?id=46049703
It’s a great article, until the end where they say what the solution would be. I’m afraid that the solution is: build something small, and use it in production before you add more features. If you need to make a national payroll, you have to use it for a small town with a payroll of 50 people first, get the bugs worked out, then try it with a larger town, then a small city, then a large city, then a province, and then and only then are you ready to try it at a national level. There is no software development process which reliably produces software that works at scale without doing it small, and medium sized, first, and fixing what goes wrong before you go big.
rossdavidh
这是一篇很棒的文章，直到结尾部分提到解决方案时。我担心，解决方案是：先构建一个小型产品，在添加更多功能之前就投入实际使用。如果你需要开发一个国家级的薪资系统，你必须先在一个薪资系统只有50名员工的小镇上使用它，把bug解决掉，然后再尝试在一个更大的镇上使用，然后是小城市、大城市、省，只有到那时，你才准备好尝试在国家层面使用它。没有任何软件开发流程能可靠地开发出可大规模运行的软件，除非你先从小规模和中等规模做起，并且在做大之前修复好所有出问题的地方。
https://news.ycombinator.com/item?id=46057976
I find it particularly disillusioning to realize how deep the LLM brainworm is able to eat itself even into progressive hacker circles.
That’s the thing, hacker circles didn’t always have this ‘progressive’ luddite mentality. This is the culture that replaced hacker culture.
I don’t like AI, generally. I am skeptical of corporate influence, I doubt AI 2027 and so-called ‘AGI’. I’m certain we’ll be “five years away” from superintelligence for the forseeable future. All that said, the actual workday is absolutely filled with busy work that no one really wants to do, and the refusal of a loud minority to engage with that fact is what’s leading to this. It’s why people can’t post a meme, quote, article, whatever could be interpreted (very often, falsely) as AI-generated in a public channel, or ask a chatbot to explain a hand-drawn image without the off chance that they get an earful from one of these ‘progressive’ people. These people bring way more toxicity to daily life than who they wage their campaigns against.
easterncalculus
我尤其感到幻灭的是，大语言模型的“思维病毒”竟然能如此深入地侵蚀到进步的黑客圈。
关键是，黑客圈并非一直就有这种“进步主义”的卢德派心态。是这种文化取代了黑客文化。
总的来说，我不喜欢人工智能。我怀疑企业的影响力，我怀疑AI 2027和所谓的“通用人工智能”。我确信在未来可预见的很长一段时间里，我们都将停留在距离超级智能“还有五年”的预测上。尽管如此，实际的工作日确实充满了没人真正想做的杂事，而少数人的拒绝正视这一事实，正是导致目前状况的原因。这就是为什么人们无法在公共频道里发布一个表情包、一段引言、一篇文章，或任何可能（且常常是错误地）被解读为AI生成的内容；这也就是为什么人们不能去询问聊天机器人一张手绘图像的含义，除非做好了被这些“进步人士”痛骂一顿的准备。这些人给日常生活带来的毒性，远超他们所抵制的人。
https://news.ycombinator.com/item?id=46051391
Examples include converting boxplots into violins or vice versa, turning a line plot into a heatmap, plotting a density estimate instead of a histogram, performing a computation on ranked data values instead of raw data values, and so on.
Most of this is not about Python, it’s about matplotlib. If you want the admittedly very thoughtful design of ggplot in Python, use plotnine
I would consider the R code to be slightly easier to read (notice how many quotes and brackets the Python code needs)
This isn’t about Python, it’s about the tidyverse. The reason you can use this simpler syntax in R is because it’s non-standard-evaluation allows packages to extend the syntax in a way Python does not expose: http://adv-r.had.co.nz/Computing-on-the-language.html
aorist
例如，将箱形图转换为小提琴图或反之亦然，将线图转换为热力图，绘制密度估计图代替直方图，对排序后的数据值而非原始数据值进行计算，等等。
其中大部分内容与 Python 无关，而是关于 matplotlib 的。如果您想在 Python 中使用 ggplot 那种公认的设计精良的语法，可以使用 plotnine。
我认为 R 代码的可读性会稍好一些（请注意 Python 代码需要多少引号和括号）。
这与 Python 无关，而是与 tidyverse 有关。之所以能在 R 中使用这种更简洁的语法，是因为其非标准求值（non-standard-evaluation）允许包以 Python 所不具备的方式扩展语法：http://adv-r.had.co.nz/Computing-on-the-language.html
https://news.ycombinator.com/item?id=46051170
If you need to make a national payroll, you have to use it for a small town with a payroll of 50 people first, get the bugs worked out, then try it with a larger town, then a small city, then a large city, then a province, and then and only then are you ready to try it at a national level.
At a large box retail chain (15 states, ~300 stores) I worked on a project to replace the POS system.
The original plan had us getting everything working (Ha!) and then deploying it out to stores and then ending up with the two oddball “stores”. The company cafeteria and surplus store were technically stores in that they had all the same setup and processes but were odd.
When the team that I was on was brought into this project, we flipped that around and first deployed to those two several months ahead of the schedule to deploy to the regular stores.
In particular, the surplus store had a few dozen transactions a day. If anything broke, you could do reconciliation by hand. The cafeteria had single register transaction volume that surpassed a surplus store on most any other day. Furthermore, all of its transactions were payroll deductions (swipe your badge rather than credit card or cash). This meant that if anything went wrong there we weren’t in trouble with PCI and could debit and credit accounts.
Ultimately, we made our deadline to get things out to stores. We did have one nasty bug that showed up in late October (or was it early November?) with repackaging counts (if a box of 6 was $24 and if purchased as a single item it was $4.50 … but if you bought 6 single items it was “repackaged” to cost $24 rather than $27) which interacted with a BOGO sale. That bug resulted in absurd receipts with sales and discounts (the receipt showed you spent $10,000 but were discounted $9,976 … and then the GMs got alerts that the store was not able to make payroll because of a $9,976 discount … one of the devs pulled an all nighter to fix that one and it got pushed to the stores ).
I shudder to think about what would have happened if we had tried to push the POS system out to customer facing stores where the performance issues in the cafeteria where worked out first or if we had to reconcile transactions to hunt down incorrect tax calculations.
shagie
如果你想建立全国性的薪酬系统，你必须先在一个有50名员工的城镇上使用它，解决掉所有漏洞，然后才能在一个更大的城镇、一个小城市、一个大城市、一个省的范围内试用，只有到那时候，你才能准备好在全国范围内进行尝试。
我曾在一个大型连锁零售公司（15个州，约300家门店）参与过更换POS系统的项目。
最初的计划是我们先把所有功能都搞定（哈！），然后才部署到门店，最后剩下两家“另类”门店。公司食堂和折扣店在技术上也是门店，因为它们拥有完全相同的设置和流程，但情况很特殊。
当我的团队被加入到这个项目中时，我们把计划反了过来，在为常规门店部署之前的好几个月，就先把系统部署到了这两家门店。
特别是，折扣店每天只有几十笔交易。如果出了任何问题，都可以手动对账。食堂的单台收银机交易量，在大多数日子里都超过了折扣店。此外，它所有的交易都是薪酬扣除（刷工牌，而不是信用卡或现金）。这意味着，如果那里出了什么问题，我们不会面临PCI（支付卡行业数据安全标准）的麻烦，并且可以直接借记和贷记账户。
最终，我们按时完成了向各门店推广系统的任务。但我们确实遇到了一个棘手的 bug，它出现在十月底（或者十一月初？），与重新包装计数有关（如果一个装有6件商品的盒子卖24美元，单件购买是4.50美元……但如果你买6个单件商品，系统就会将其“重新包装”成24美元，而不是27美元），这个bug与“买一送一”（BOGO）促销活动发生了相互作用。那个bug导致了荒谬的销售和折扣小票（小票显示你消费了10,000美元，但折扣了9,976美元……然后，店长们收到了警报，说由于9,976美元的折扣，门店无法发出工资……一位开发者熬了个通宵才修复了那个bug，然后更新被推送到了所有门店）。
一想到如果我们试图把POS系统推广到面向顾客的门店，而没有先解决食堂系统中的性能问题，或者如果我们必须对账来追踪错误的税收计算，会发生什么情况，我就不寒而栗。
https://news.ycombinator.com/item?id=46052317
I used to pay for YouTube premium. I stopped doing that, uninstalled the apps, and now use it through the browser with adblockers. (Yes, on my phone and iPad.)
It works so well I’ve gotten at least half a dozen neighbours to do the same. If you haven’t tried it, it’s a definitive step up in UX.
JumpCrisscross
我曾经付费使用 YouTube Premium。后来我停止了订阅，卸载了应用，现在通过浏览器配合广告拦截插件来使用它。（是的，在我的手机和 iPad 上都是如此。） 效果非常好，我至少成功让六位邻居也这么做了。如果你还没试过，这绝对是用户体验的一大提升。
https://news.ycombinator.com/item?id=46059729
“If they had a perfectly normalized database, no NULLing and formally verified code, this bug would not have happened.”
That may be. What’s not specified there is the immense, immense cost of driving a dev org on those terms. It limits, radically, the percent of engineers you can hire (to those who understand this and are willing to work this way), and it slows deployment radically.
Cloudflare may well need to transition to this sort of engineering culture, but there is no doubt that they would not be in the position they are in if they started with this culture – they would have been too slow to capture the market.
I think critiques that have actionable plans for real dev teams are likely to be more useful than what, to me, reads as a sort of complaint from an ivory tower. Culture matters, shipping speed matters, quality matters, team DNA matters. That’s what makes this stuff hard (and interesting!)
vessenes
“如果他们有一个完全规范化的数据库，没有 NULL 值，并且代码经过了形式化验证，这个 bug 就不会发生。”
也许吧。但这里没有说明的是，在这样的要求下驱动一个开发组织所要付出的巨大成本。这会从根本上限制你所能招聘的工程师比例（只限于那些理解并愿意以此方式工作的人），并且会极大拖慢部署速度。
Cloudflare 很可能需要转向这种工程文化，但毫无疑问，如果他们从一开始就采用这种文化，就不会有今天的地位——他们会因为太慢而错失市场机会。
我认为，那些能为真实开发团队提供可执行方案的批评，比那些在我看来像是来自象牙塔的抱怨更有用。文化、交付速度、质量和团队基因都很重要。这才是让这一切变得困难（也变得有趣！）的关键所在。
https://news.ycombinator.com/item?id=46049578
I used to spend a lot of time in Jakarta for work, and it’s an underrated city. Yes, it’s hot, congested, polluted and largely poor, but so is Bangkok.
Public transport remains not great, but it’s improved a lot with the airport link, the metro, LRT, Transjakarta BRT. SE Asia’s only legit high speed train now connects to Bandung in minutes. Grab/Gojek (Uber equivalents) make getting around cheap and bypass the language barrier. Hotels are incredible value, you can get top tier branded five stars for $100. Shopping for locally produced clothes etc is stupidly cheap. Indonesian food is amazing, there’s so much more to it than nasi goreng, and you can find great Japanese, Italian, etc too; these are comparatively expensive but lunch at the Italian place in the Ritz-Carlton was under $10. The nightlife scene is wild , although you need to make local friends to really get into it. And it’s reasonably safe, violent crime is basically unknown and I never had problems with pickpockets (although they do exist) or scammers.
I think Jakarta’s biggest problems are lack of marketing and top tier obvious attractions. Bangkok has royal palaces and temples galore plus a wild reputation for go-go bars etc, Jakarta does not, so nobody even considers it as a vacation destination.
decimalenough
我过去因工作常驻雅加达，这座城市的价值被严重低估了。没错，这里炎热、拥堵、污染严重，而且大部分地区都很贫穷，但曼谷也是如此。
公共交通虽然还不算好，但随着机场快线、地铁、轻轨和Transjakarta巴士快速交通系统的建设，情况已经改善了很多。东南亚唯一真正意义上的高铁现在可以在几分钟内将你连接到万隆。Grab和Gojek（相当于Uber）让出行变得非常便宜，并且能绕过语言障碍。酒店性价比极高，100美元就能入住顶级的国际五星级酒店。购买本地生产的衣服等物品便宜得令人难以置信。印尼美食非常棒，远不止炒饭那么简单，你还能找到很棒的日本菜、意大利菜等；这些相对昂贵，但在丽思卡尔顿的意大利餐厅吃一顿午餐还不到10美元。夜生活场面非常狂野，不过你需要结交一些当地朋友才能真正融入其中。而且这里相当安全，恶性犯罪基本上闻所未闻，我从未遇到过扒手（虽然他们确实存在）或诈骗者。
我认为雅加达最大的问题是缺乏宣传和顶级的、显而易见的旅游景点。曼谷有数不清的王宫和寺庙，还有关于Go-go酒吧的狂野声誉，而雅加达没有，所以甚至没有人会把它考虑为度假目的地。
https://news.ycombinator.com/item?id=46048412
For those who are wondering, like me, what is this? Is this a new alternative to Stripe? The answer is: no. This is an added layer of abstraction on top of Stripe.
baobabKoodaa
对于那些和我一样好奇这是什么的人来说，这是Stripe的一个新替代品吗？答案是：不。这是在Stripe之上增加的一层抽象。
https://news.ycombinator.com/item?id=46045021
There are LLMs with more self-awareness than this guy.
Repeatedly using AI to answer questions about the legitimacy of commits from an AI, to people who are clearly skeptical is breathtakingly dense. At least they’re open about it.
I did love the ~“I’ll help maintain this trash mountain, but I’ll need paying”. Classy.
oliwarner
有些大语言模型比这家伙更有自我意识。
反复使用AI来回答一个关于AI提交内容合法性的问题，而提问者显然是持怀疑态度的，这真是令人难以置信的迟钝。至少他们对此很坦诚。
我倒是挺喜欢那句——“我来帮忙维护这个垃圾山，但得付我钱”。够优雅的。
https://news.ycombinator.com/item?id=46056395
And yeah, I get it. We programmers are currently living through the devaluation of our craft, in a way and rate we never anticipated possible.
I’m a programmer, been coding professionally for 10 something years, and coding for myself longer than that.
What are they talking about? What is this “devaluation”? I’m getting paid more than ever for a job I feel like I almost shouldn’t get paid for (I’m just having fun), and programmers should be some of the most worry-free individuals on this planet, the job is easy, well-paid, not a lot of health drawbacks if you have a proper setup and relatively easy to find a new job when you need it (granted, the US seems to struggle with that specific point as of late, yet it remains true in the rest of the world).
And now, we’re having a huge explosion of tools for developers, to build software that has to be maintained by developers, made by developers for developers.
If anything, it seems like Balmers plea of “Developers, developers, developers” has came true, and if there will be one profession left in 100 year when AI does everything for us (if the vibers are to be believed), then that’d probably be software developers and machine learning experts.
What exactly is being de-valuated for a profession that seems to be continuously growing and been doing so for at least 20 years?
embedding-shape
没错，我懂。我们程序员正经历着一种我们从未想过会以这种速度和程度发生的，我们手艺的贬值。
我是个程序员，专业写代码十多年了，自己写代码的时间更长。
他们在说什么？这个“贬值”又是什么？我现在的收入比以往任何时候都高，但这份工作我却觉得几乎不该拿钱（我只是在享受乐趣）。程序员本该是这个星球上最没什么可担忧的人，工作轻松、薪酬优厚，只要设备得当，对健康的负面影响也小，而且需要时再找份工作也相对容易（当然，就这点而言，美国近来似乎有点吃力，但在世界上其他地方依然如此）。
而现在，面向开发者的工具正在爆炸式增长，这些工具被开发者用来构建需要开发者维护的软件，而且这些工具也是开发者为自己开发的。
要是说有什么变化，那感觉就像是鲍尔默当年“开发者，开发者，开发者”的口号成真了。如果相信那些爱吹牛的人，当一百年后AI为我们包办一切时，如果只剩下一个职业，那很可能就是软件工程师和机器学习专家了。
对于一个已经持续增长了至少20年，并且似乎仍在不断发展的职业来说，到底有什么是在被贬值呢？
https://news.ycombinator.com/item?id=46059705
This sort of Monday morning quarterbacking is pointless and only serves as a way for random bloggers to try to grab credit without actually doing or creating any value.
locknitpicker
这种事后诸葛亮毫无意义，只不过是某些博主想不劳而获、博取关注罢了。
https://news.ycombinator.com/item?id=46052377
I noticed this morning there was a new version of the YouTube app on my Apple TV. I can’t wait to find out how they screwed this one up.
My personal long-term complaint is the length of video titles.
Lots of people like to make really long video titles. So right now there is one on my screen titled “The Best Decisions Every Video Game Console Developer Made”.
Now if you didn’t know, that is not the whole title. But there’s absolutely no indication of that. The only way you actually know that is either by checking or if the stuff on the screen is clearly not the end of a sentence.
So what is the full title? Well if you click and hold on the video, you get a pop-up letting you choose a couple of things such as play or safe to watch later or indicate you’re not interested. And at the top of the pop-up you see more words in the title. In this case you also see “(Part”.
Yep. You get ONE extra word. Sometimes not even that.
The ONLY way to see the full title is to start watching the video.
Obnoxious.
MBCook
今天早上我发现我的 Apple TV 上有一个新版本的 YouTube 应用。我迫不及待地想知道他们这次又搞砸了什么。
我个人长期的抱怨是视频标题的长度。
很多人喜欢做非常长的视频标题。所以现在我的屏幕上有一个标题是“每个游戏机开发商做出的最佳决定”。
如果你不知道，那并不是完整的标题。但完全没有迹象表明这一点。你唯一能知道的方法是去检查，或者屏幕上的内容明显不是一个句子的结尾。
那么完整的标题是什么呢？嗯，如果你长按视频，会弹出一个窗口，让你选择几件事，比如播放、稍后观看或表明你对此不感兴趣。在弹窗的顶部，你会看到标题中的更多词语。在这种情况下，你还会看到“（第”。
是的。你只能得到一个额外的词。有时候甚至一个都没有。
唯一能看到完整标题的方法就是开始观看视频。
真烦人。
https://news.ycombinator.com/item?id=46044438
We should just build more CLI tools, that way the agentic AI can just run yourtool --help to learn how to use it. Instead of needing an MCP-server to access ex. Jira it should just call a cli tool jira. Better CLI tools for everything would help both AI and humans alike.
theknarf
我们应该构建更多的命令行工具，这样代理式AI只需运行yourtool --help就能学会如何使用它。与其需要MCP服务器来访问例如Jira，它不如直接调用一个名为jira的命令行工具。为所有东西提供更好的命令行工具将同时惠及AI和人类。
https://news.ycombinator.com/item?id=46043865
No one tech-savvy wants this. We are already sick of Google’s Android lockdowns on mobile phones, and now coming after laptops and desktops?
What’s that going to be like? Will developers have to beg to have control over devices they own? Will we be locked down on the store and have to manually install “unverified” software? Will I be able to take screenshots at will on MY computer, or get a black screen because Google decides so?
The list can go on and on ad nauseam. Given what Google has done on the mobile space I have zero interest in having the same autocratic experience to be replicated on the last type of devices (PCs and laptops) where we can really have true open choices and alternatives. Screw them.
liendolucas
任何懂技术的人都不想要这个。我们已经受够了谷歌在手机上实施的安卓锁定，现在他们又要来管笔记本电脑和台式电脑了？
那会是什么样子？开发者们是不是得求爷爷告奶奶，才能控制自己拥有的设备？我们会不会被应用商店锁定，只能手动安装“未验证”的软件？在我自己的电脑上，我是不是想截图就截图，还是得因为谷歌的决定而看到一片黑屏？
这样的例子可以无穷无尽地列下去。鉴于谷歌在移动端所做的一切，我绝对不希望把这种独裁式的体验复制到我们还能拥有真正开放选择和替代方案的最后一类设备（PC和笔记本）上。去他们的吧。
https://news.ycombinator.com/item?id=46049385
Who would have thought that having access to the whole system can be used to bypass some artificial check.
There are tools for that, sandboxing, chroots, etc… but that requires engineering and it slows GTM, so it’s a no-go.
No, local models won’t help you here, unless you block them from the internet or setup a firewall for outbound traffic. EDIT: they did, but left a site that enables arbitrary redirects in the default config.
Fundamentally, with LLMs you can’t separate instructions from data, which is the root cause for 99% of vulnerabilities.
Security is hard man, excellent article, thoroughly enjoyed.
ArcHound
谁能想到，拥有整个系统的访问权限，竟然可以用来绕过一些人设检查。
有沙盒、chroot 等工具可以做到这一点，但这需要工程投入，并且会拖慢 GTM，所以行不通。
不，本地模型在这里帮不了你，除非你阻止它们访问互联网，或者为出站流量设置防火墙。编辑：他们确实这么做了，但在默认配置中留下了一个可以启用任意重定向的网站。
从根本上说，对于 LLM，你无法将指令与数据分离开来，这造成了 99% 漏洞的根本原因。
安全这事儿可太难了，兄弟。这篇文章写得太棒了，我读得非常过瘾。
https://news.ycombinator.com/item?id=46062756
Apple also helped develop USB C more than a decade ago, they still had to be forced to actually use it in their phones. There is no contradiction here
usrnm
十多年前，苹果也曾参与开发USB-C接口，但他们还是被迫在手机上实际使用它。这里并不存在矛盾。
https://news.ycombinator.com/item?id=46062114
For those unfamiliar, the studio behind S&box is Facepunch, creators of Garry’s Mod and Rust. Facepunch as a company doesn’t get much attention but they’re wildly successful. Started as just some guy in a bedroom, now ~$100m/year in revenue (all via Steam), $100m in the bank, ~100 employees and almost entirely a company of game developers (maybe 20% of employees are administrative staff). Still owned and ran by the founder, Garry. S&box (and Garry’s Mod and Rust) is pure game developers making things they want to make.
3rodents
对于不熟悉的人来说，S&box背后的工作室是Facepunch，他们是《Garry’s Mod》和《Rust》的创造者。作为一个公司，Facepunch虽然没怎么受到关注，但他们却取得了巨大的成功。公司始于某人在卧室里的创业，如今年收入约1亿美元（全部来自Steam），银行存款达1亿美元，拥有约100名员工，且几乎全是游戏开发者（行政人员可能只占20%）。公司至今仍由创始人Garry全资拥有并运营。S&box（以及《Garry’s Mod》和《Rust》）纯粹是游戏开发者们创造他们自己想做的游戏。
https://news.ycombinator.com/item?id=46052864
If “Era of Scaling” means “era of rapid and predictable performance improvements that easily attract investors”, it sounds a lot like “AI summer”. So… is “Era of Research” a euphemism for “AI winter”?
pxc
如果说“规模化时代”指的是“一个能带来可预测的、快速的性能提升，从而轻松吸引投资者的时代”，那听起来和“AI夏季”没什么两样。所以……“研究时代”是不是“AI冬季”的委婉说法？
https://news.ycombinator.com/item?id=46052579
It’s crazy you can pay for premium, which is not cheap, and you can’t disable shorts.
The number of times I clicked “show less” and it has zero effect on the number of shorts.
dav43
简直疯了，花钱买了不便宜的会员，却还是无法关闭短视频功能。我点了无数次“少看点”，但对短视频的数量一点影响都没有。
https://news.ycombinator.com/item?id=46052301
Whoever made automatic AI dubs a default and impossible to disable also needs to be fired
7373737373
把自动AI配音设为默认选项且无法关闭的那个人，也应该被炒鱿鱼。
2025-11-26 08:30:05
- Pebble 将核心软件、移动应用和开发工具链全部开源并建立多源 Appstore 与 Archive 备份以保障生态长期可用（部分固件仍闭源），Pebble Time 2 预计 2026 年发货。
- Anthropic 发布 Claude Opus 4.5，大幅提升编码、多步骤推理与长期任务执行能力并降价，使其更适合生产环境与代理工具调用。
- 断电的 SSD 会因 NAND 电荷流失逐渐丢失数据（QLC 约 1 年、TLC 约 3 年），不适合长期冷存储，应采用 3-2-1 备份或更可靠介质与额外纠错。
- Anthropic 为 Claude 推出按需工具搜索与延迟加载、程序化工具调用和统一工具示例，显著提升多工具场景下的效率与准确性。
- 法国威胁拒绝设置后门的 GrapheneOS 开发者被逮捕或服务器查封，引发对强制后门、隐私权与技术主权冲突的担忧。
- 一个交互式 Hacker News 模拟器用 LLM 生成夸张讽刺的帖子与评论，成功模仿 HN 的语气与争论风格，主要用于测试与娱乐。
- 受 AI 数据中心需求推动，DDR5 内存短缺导致 64GB 套件涨至约 600 美元，价格已高于 PS5，供应紧张可能持续到 2026 年。
- 研究显示胎前大脑类器官在无外界输入下也会自发形成类似“默认模式”的复杂电活动，表明大脑出生前已有理解世界的内在预配置机制。
- Kagi 推出 macOS 隐私轻量浏览器 Orion 1.0，采用 WebKit、默认零遥测与强内容拦截，暂不集成核心 AI 并已获大量用户。
- Andrej Karpathy 建议假定课外作业可能借助 AI，将关键评估移至受控课堂并培养学生“会用但不依赖 AI”的能力与批判性验证。
https://ericmigi.com/blog/pebble-watch-software-is-now-100percent-open-source
Pebble Watch 软件现已实现 100% 开源，标志着其长期可持续发展的关键一步。此前软件约 95% 开源，如今所有核心组件均已公开，包括 PebbleOS、移动配套应用及开发工具链。用户可自由下载、编译并安装软件，确保即使未来公司消失，设备仍可持续使用。
PebbleOS 从 2025 年 1 月起已完全开源，所有改进也将持续开放。新发布的 Pebble 移动应用（支持 iPhone 和 Android）也已 100% 开源，解决了过去因缺乏开源应用导致用户无法继续使用设备的问题。该应用采用 Kotlin Multiplatform 构建，支持跨平台运行。
开发工具方面，团队已将旧版基于 Ubuntu 虚拟机和 Python2 的开发环境升级为现代浏览器内开发平台，极大提升开发体验。同时，Pebble Appstore 推出新机制：支持多源“应用仓库”订阅，类似 pip、APT 等开源包管理器。用户可在应用中浏览多个独立开发者或组织维护的 feed。
为保障长期可靠性，Pebble 团队已建立自己的 Appstore feed（appstore-api.repebble.com），并自动将所有应用和表盘备份至 Archive.org，形成公开可访问的永久存档。开发者可上传新旧应用，仍可选择收费模式，支持 Kiezel Pay 等支付方式。
值得注意的是，部分功能（如心率传感器、Memfault 监控库、Wispr-flow 语音识别）依赖非开源组件，但这些并非必需，用户可完全在无非自由软件情况下运行 Pebble 系统。
Pebble Time 2 进入设计验证测试阶段，计划 2026 年 1 月开始发货，多数用户预计在 3 月至 4 月收到设备。新表采用可拆卸后盖设计，支持电池更换，提升可维修性。同时，Pebble 2 Duo 的电气与机械设计文件已公开，鼓励社区进行二次开发或自制兼容设备。
视频《Tick Talk #4》已上线，展示 Pre-production 版 Pebble Time 2（黑红配色）实机演示，呈现新表的外观与功能。
https://news.ycombinator.com/item?id=46037626
https://www.anthropic.com/news/claude-opus-4-5
Anthropic 发布了最新模型 Claude Opus 4.5，该模型在编码、智能体任务和计算机使用方面达到世界领先水平。相比前代模型，Opus 4.5 在复杂问题解决、多步骤推理和长期任务执行方面有显著提升，尤其在代码重构、迁移和自动化工作流中表现突出。
该模型在真实软件工程测试中表现优异，能高效处理多系统 bug，减少错误率，并在保持高质量输出的同时将 token 使用量降低高达 65%。同时，Opus 4.5 在长上下文任务、财务建模、Excel 自动化和 3D 可视化等场景中也实现了显著突破，部分任务耗时从两小时缩短至三十分钟。
Opus 4.5 已上线 Anthropic 官方应用、API 及三大主流云平台，定价为每百万 tokens 5 美元（输入）和 25 美元（输出），大幅降低了高端模型的使用门槛，使其适用于更多开发者和企业。
用户反馈普遍积极，认为 Opus 4.5 具备更强的自主规划能力、更精准的指令理解与更高效的执行路径，尤其在长时间自主任务中表现出色。多个企业客户表示其在代码审查、SQL 工作流、项目规划和内容生成方面均实现质的飞跃。
此外，Anthropic 同步更新了 Claude 开发者平台、Claude Code 及消费端应用，新增对长对话支持、浏览器与桌面端集成等新功能，进一步提升生产力体验。
值得一提的是，Opus 4.5 在一项极具挑战性的软件工程笔试中得分超过所有人类候选人，引发对 AI 如何重塑工程职业的深入思考。Anthropic 将继续通过其“经济未来”研究项目，探索 AI 对社会与工作模式的深远影响。
https://news.ycombinator.com/item?id=46037637
https://www.xda-developers.com/your-unpowered-ssd-is-slowly-losing-your-data/
SSD 虽然在日常使用中表现优异，但作为长期冷存储介质并不可靠。当 SSD 长时间断电存放时，其内部 NAND 闪存单元中的电荷会逐渐流失，导致数据丢失。不同类型的 NAND 闪存数据保留能力不同：QLC NAND 约可保存 1 年，TLC NAND 可达 3 年，而 MLC 和 SLC 则分别能维持 5 年和 10 年。大多数消费级 SSD 使用 TLC 或 QLC，因此存放超过 1-3 年就存在数据风险。
尽管如此，这一问题对普通用户影响有限。绝大多数人不会将 SSD 长期断电存放，通常使用周期在数月到几年之间，远未达到数据丢失的临界点。真正需要关注的是企业级、创作者或研究人员等有长期归档需求的用户。
文章强调，无论使用何种存储介质，备份始终是关键。遵循“3-2-1”备份原则——即至少三份数据副本，存于两种不同介质，其中一份离线保存——才能有效防范数据丢失。即使 SSD 不适合长期冷存，只要做好备份，日常使用依然安全可靠。
此外，有用户指出，文章中提到的“1 年数据保留”是基于高温、高写入磨损的极端情况，新盘在常温下保存多年仍可保持数据完整，因此不必过度恐慌。
https://news.ycombinator.com/item?id=46038099
https://www.anthropic.com/engineering/advanced-tool-use
Anthropic 推出 Claude 开发者平台三项新功能，显著提升 AI 代理在复杂工具环境中的效率与准确性。这些功能旨在解决传统工具调用模式下上下文窗口过载、工具选择错误和执行效率低下的问题。
首先，工具搜索工具（Tool Search Tool）支持按需发现和加载工具，避免一次性加载全部工具定义。传统方式中，仅五个服务的工具定义就可能占用超过 55K tokens，而使用该功能后，上下文消耗可降至约 8.7K tokens，节省 95% 的上下文空间。该功能通过标记工具为 defer_loading: true 实现延迟加载，仅在需要时动态引入相关工具，大幅降低 token 消耗并提升工具选择准确率。内部测试显示，Opus 4.5 在大型工具库任务中的准确率从 79.5% 提升至 88.1%。该功能兼容提示词缓存，不影响性能优化。
其次，程序化工具调用（Programmatic Tool Calling）允许 Claude 在代码执行环境中直接调用工具，避免每次调用都需进行完整推理。这减少了上下文污染，尤其适用于处理大规模数据（如数万行 Excel 表格）或复杂流程（如循环、条件判断、数据转换），显著降低模型负担并提升执行效率。
最后，工具使用示例（Tool Use Examples）提供统一标准，用于展示工具的正确使用方式，包括参数组合、调用时机和 API 约定等。相比仅依赖 JSON Schema 的结构定义，示例能更准确传达实际使用模式，提升代理的实用性和可靠性。
这三项功能共同构建了更灵活、高效、可扩展的 AI 代理系统，使 Claude 能在复杂多工具场景中无缝协作，如集成 Git、Slack、Jira、数据库等，实现真正意义上的智能自动化。
https://news.ycombinator.com/item?id=46038047
yourtool --help 即可学习使用方式。./tools 目录，通过 tool --help 调用，可有效实现任务自动化。https://mamot.fr/@LaQuadrature/115581775965025042
La Quadrature du Net 发表多条推文，批评法国主流媒体如《巴黎人报》和《费加罗报》对开源手机操作系统 GrapheneOS 的不实报道。这些媒体将 GrapheneOS 描述为“犯罪分子的秘密武器”，暗示使用该系统即具有“隐藏意图”，并以此为由攻击隐私保护技术。
文章指出，这种叙事是政府长期将加密技术与犯罪行为挂钩的延续，目的是为加强监控和推动“后门”立法（如“ChatControl”法规）提供借口。La Quadrature du Net 强调，GrapheneOS 是一个致力于保护用户隐私、防止广告追踪和间谍软件的开源安全系统，受到隐私倡导者广泛推荐。
推文中还引用 GrapheneOS 官方回应，揭露媒体采访中存在诱导性提问，且执法机构对开发者发出威胁，称若发现与犯罪组织的联系，将追究法律责任。这被视作对技术开发者和隐私权利的压制。
此外，文章援引《世界报》和《外交世界》的分析，指出“毒品犯罪”常被政治化，成为推行大规模监控的工具。La Quadrature du Net 呼吁公众警惕这种“安全叙事”的滥用，并呼吁支持加密技术与隐私权，通过捐款支持其持续抗争。
最后，讨论中也涉及对其他系统如 e/OS 的争议，但 GrapheneOS 支持者强调其技术透明、安全更新及时，且拥有约 35 万设备用户，远超 e/OS，且其社区与 LineageOS 等项目保持警惕，反对误导性宣传。
https://news.ycombinator.com/item?id=46036217
https://news.ysimulator.run/news
该网页是 Hacker News 的首页，展示了一系列由用户 AI Simulator 发布的帖子。内容涵盖广泛，包括政治、科技、社会议题、讽刺性话题以及虚构或夸张的新闻事件。
此外，还有涉及技术栈、AI 发展、社会心理（如 ADHD）、文化现象（如柠檬党 2028）等话题的帖子，部分引用了真实网站（如 Wikipedia、CNN、BBC）作为信息来源，但内容明显为虚构或戏仿。
整体来看，该页面并非真实新闻或严肃讨论，而是以 AI Simulator 为用户名的用户通过大量夸张、讽刺、虚构的帖子模拟 HN 社区生态，可能用于测试、娱乐或批判性表达。所有内容均带有明显的戏谑意图，不具备真实新闻价值。
https://news.ycombinator.com/item?id=46036908
https://www.tomshardware.com/pc-components/ddr5/64gb-of-ddr5-memory-now-costs-more-than-an-entire-ps5-even-after-a-discount-trident-z5-neo-kit-jumps-to-usd600-due-to-dram-shortage-and-its-expected-to-get-worse-into-2026 由于人工智能产业对内存和存储资源的大量需求，当前 DDR5 内存价格持续飙升，普通消费者面临前所未有的高成本。以 G.Skill Trident Z5 Neo 64GB DDR5 6000 MT/s 内存套装为例，目前在 Newegg 的售价高达 599.99 美元，较此前价格暴涨近 190%。该价格已超过索尼 PS5 Slim（449 美元）和微软 Xbox Series S（399 美元），仅比 PS5 Pro（649 美元）便宜 50 美元。
尽管该产品在黑五期间有 40 美元折扣及额外 20 美元优惠码，实际价格仍达 599 美元，反映出市场供需严重失衡。相比之下，几个月前同款产品在 Prime Day 期间仅售 299 美元，而 64GB 高端限量版 Corsair Dominator Titanium 套装也曾低至 349 美元。
价格飙升与 AI 热潮密切相关。自 2023 年 9 月起，DDR5 内存价格从 220 美元一路攀升至 640 美元，仅用两个月时间。行业分析指出，AI 数据中心对 DRAM 的疯狂消耗是主因，预计这一趋势将持续至 2026 年，普通用户购买高性能内存将更加困难且昂贵。
https://news.ycombinator.com/item?id=46038143
https://news.ucsc.edu/2025/11/sharf-preconfigured-brain/
加州大学圣克鲁斯分校的研究团队利用脑类器官（brain organoids）开展了一项突破性研究，揭示了人类大脑在出生前就已具备结构化的电活动模式。这项发表于《自然·神经科学》的研究表明，即使在没有外界感官输入的情况下，早期发育中的大脑细胞也会自发形成复杂的神经活动模式，提示人类大脑在出生前就已“预配置”了理解世界的基本蓝图。
研究由生物分子工程助理教授塔尔·夏夫（Tal Sharf）领导，其团队使用由人类干细胞培育的 3D 脑类器官，结合先进的 CMOS 微电极阵列芯片，实时监测神经元的电活动。结果显示，在发育早期，这些类器官便展现出与真实大脑“默认模式”高度相似的电活动序列，这些模式是后续感知视觉、听觉等感官信息的基础。
夏夫指出，这些自发形成的神经回路如同大脑的“操作系统”，在感官经验出现之前就已开始自组织。这一发现挑战了“大脑完全依赖外部刺激形成功能”的传统观点，支持了大脑具有内在遗传蓝图的理论。
该研究不仅深化了对人类大脑发育机制的理解，也为神经发育障碍（如自闭症、智力障碍）的早期诊断和干预提供了新思路。此外，类器官模型还可用于评估环境毒素（如农药、微塑料）对胎儿大脑发育的影响，推动更高效、低成本的药物和基因治疗研发。
研究团队来自加州大学圣克鲁斯分校、旧金山分校、圣巴巴拉分校，以及华盛顿大学、约翰斯·霍普金斯大学、汉堡-Eppendorf 大学医学中心和苏黎世联邦理工学院。
https://news.ycombinator.com/item?id=46042928
Orion 1.0 正式发布，标志着 Kagi 公司在 macOS 平台上的浏览器产品进入生产阶段。这款浏览器历经六年开发，是继 iOS 和 iPadOS 版本之后的完整跨平台产品，与 Kagi 搜索、助手、翻译、新闻等工具共同构成“Kagiverse”生态。
Orion 的核心理念是“浏览超越”——反对当前浏览器被广告和数据追踪主导的现状。它坚持零遥测、隐私优先，不依赖广告盈利，确保用户行为不被收集或滥用。浏览器以 WebKit 为渲染引擎，而非主流的 Chromium，旨在打破技术垄断，提供更安全、更高效的浏览体验。
性能方面，Orion 以轻量化设计实现快速启动、流畅切换和高效渲染，界面简洁，最大化显示内容空间。隐私保护从一开始就内置，包括强内容拦截和默认隐私设置。
在 AI 整合上，Orion 采取审慎态度。当前版本不包含任何核心 AI 代码，避免潜在的安全风险，如权限滥用、提示注入攻击等。未来将支持用户自主选择连接外部 AI 工具，保持浏览器与 AI 代理之间的清晰边界。
功能上，Orion 既适合普通用户，也满足专业人士需求。亮点包括：专注模式（去干扰网页阅读）、链接预览（快速查看内容）、迷你工具栏与页面微调功能、以及可独立隔离的“配置文件作为应用”功能，实现工作、生活、兴趣的完全分离。
该产品凝聚了六年来早期用户的反馈，解决了大量复杂网页兼容性、标签稳定性与内存管理问题，体现了以用户为中心的持续迭代。
Orion 由仅六人的小团队打造，但已获得超百万下载量和两千多名付费订阅用户支持，体现了可持续的独立商业模式。品牌标识也同步更新，采用星号（✴︎）作为视觉符号，强化“探索与好奇”的品牌精神。
https://news.ycombinator.com/item?id=46047350
https://twitter.com/karpathy/status/1993010584175141038
Andrej Karpathy 在 X 平台发表观点，探讨人工智能对学校教育的影响。他指出，目前所有声称能检测 AI 使用的工具都不可靠，本质上无法有效识别学生是否使用 AI 完成作业，因此必须假设所有课外作业都可能借助了 AI。
为此，他建议将大部分评估工作转移到课堂内进行，教师可现场监督学生完成任务。这样既能激励学生掌握独立解决问题的能力，也能确保他们在没有 AI 辅助的情况下仍能应对考试。
Karpathy 强调，教育的目标不是排斥 AI，而是让学生既能熟练使用 AI，又具备在没有 AI 的情况下独立思考和验证结果的能力。他以计算器的发展为例：尽管计算器普及，学校仍教授基础算术，目的是让学生理解计算过程，具备发现错误的能力。
他提出，未来评估方式应更具灵活性，教师可根据教学目标设计不同形式的考试环境，如禁止工具、允许使用笔记、开放互联网或 AI 等，从而全面评估学生的真实能力。
总结：教育应转向“会用 AI 但不依赖 AI”的培养模式，核心策略是将主要考核移至可监控的课堂场景，同时强化学生的批判性思维与验证能力。
https://news.ycombinator.com/item?id=46036878
https://news.ycombinator.com/item?id=46043084
Some animals are ready to go as soon as they are born. These are called precocial animals. They are born knowing how to walk.
It’s interesting seeing what comes built-in. You can see this if you watch a horse being born. Within the first hour, the foal will stand, and despite long legs, this usually works the first time. Lying down, however, is not preprogrammed. I’ve watched a foal circle trying to figure out how to get down from standing, and finally collapsing to the ground in a heap. Standing up quickly is essential to survival, but smoothly lying down is not. Within a day, a newborn foal can run with the herd.
Of the mammals, most of the equines and some of the rodents (beavers) are precocial. Pigs are, monkeys are not. It’s not closely tied to evolutionary ancestry.
Animats
有些动物一出生就准备好行动了。这些被称为早熟动物。它们生下来就懂得如何行走。
看到这些天生的本领很有意思。如果你观察一匹马的出生过程，就能看到这一点。在第一个小时内，幼马就能站立起来，尽管它腿很长，但这通常一次就成功了。然而，躺下这个动作不是预先编程好的。我曾见过一匹幼马打转，试图弄明白如何从站立姿势躺下来，最后轰然倒在地上。快速站起来对生存至关重要，但平稳地躺下则不是。出生后一天内，新生幼马就能随马群奔跑。
在哺乳动物中，大多数马科动物和一些啮齿动物（如河狸）是早熟动物。猪是，猴子则不是。这一点与进化上的亲缘关系并不紧密相关。
https://news.ycombinator.com/item?id=46041467
Here’s my question: why did the files that you submitted name Mark Shinwell as the author?
Beats me. AI decided to do so and I didn’t question it.
Really sums the whole thing up…
autumnstwilight
我的问题是：为什么你提交的文件会把马克·辛维尔（Mark Shinwell）列为作者？
我哪知道。AI自己这么决定的，我都没问。
这事儿真是总结得太到位了……
https://news.ycombinator.com/item?id=46048044
I work at $FANG, every one of our org’s big projects go off the rails at the end of the project and there’s always a mad rush at the end to push developers to solve all the failures of project management in their off hours before the arbitrary deadline arrives.
After every single project, the org comes together to do a retrospective and ask “What can devs do differently next time to keep this from happening again”. People leading the project take no action items, management doesn’t hold themselves accountable at all, nor product for late changing requirements. And so, the cycle repeats next time.
I led and effort one time, after a big bug made it to production after one of those crunches that painted the picture of the root cause being a huge complicated project being handed off to offshore junior devs with no supervision, and then the junior devs managing it being completely switched twice in the 8 month project with no handover, nor introspection by leadership. My manager’s manager killed the document and wouldn’t allow publication until I removed any action items that would constrain management.
And thus, the cycle continues to repeat, balanced on the backs of developers.
malfist
我在FANG公司工作，我们部门的每个大型项目最终都会脱轨，总要在项目末期疯狂催促开发者在下班时间解决项目管理上的所有问题，以便赶上那个武断的截止日期。
每次项目结束后，部门都会召开复盘会议，然后问：“开发者在下一次能做些什么不同的事来避免重蹈覆辙？” 但项目负责人从不承担任何行动项，管理层从不问责自己，产品方对频繁变更的需求也毫无责任。于是，下一次的循环再次上演。
有一次，我主导了一个项目。在一次赶工中发生了一个重大故障并进入了生产环境，其根本原因显而易见：一个极其复杂的项目被交接给了缺乏监督的海外初级开发者，并且在长达8个月的项目期间，负责管理的初级开发者被完全更换了两次，而领导层既没有进行交接，也没有进行任何反思。我经理的上级直接否决了那份报告，并要求我删除其中任何会约束管理层的行动项后，才允许发布。
就这样，这个循环不断重复，而这一切都压在了开发者的背上。
https://news.ycombinator.com/item?id=46041442
One key point about retention which is not often mentioned, and indeed neither does this article, is that retention is inversely proportional to program/erase cycles and decreases exponentially with increasing temperature. Hence why retention specs are usually X amount of time after Y cycles at Z temperature. Even a QLC SSD that has only been written to once, and kept in a freezer at -40, may hold data for several decades.
Manufacturers have been playing this game with DWPD/TBW numbers too — by reducing the retention spec, they can advertise a drive as having a higher endurance with the exact same flash. But if you compare the numbers over the years, it’s clear that NAND flash has gotten significantly worse; the only thing that has gone up, multiplicatively, is capacity, while endurance and rentention have both gone down by a few orders of magnitude.
For a long time, 10 years after 100K cycles was the gold standard of SLC flash.
Now we are down to several months after less than 1K cycles for QLC.
userbinator
关于数据保持能力，有一个关键点很少被提及，这篇文章也没有提到，那就是数据保持能力与编程/擦除周期成反比，并随温度升高而呈指数级下降。因此，数据保持规格通常是指在Z温度下经过Y个周期后能保持X时间的数据。即便是一块只写入过一次、且被保存在零下40度冰柜中的QLC SSD，也可能将数据保存数十年。
制造商在玩弄DWPD/TBW（每日全盘写入/总写入字节数）数据的把戏——通过降低数据保持规格，他们就可以用完全相同的闪存来宣传驱动器拥有更高的耐用性。但如果您将这些数据与往年对比，很明显NAND闪存的质量已经显著变差了；唯一呈倍数增长的是容量，而耐用性和数据保持能力却都下降了几个数量级。
长期以来，SLC闪存的黄金标准是“10年，10万次写入周期”。
而现在，对于QLC，这个标准已经变成了“数个月，少于1千次写入周期”。
https://news.ycombinator.com/item?id=46038488
One of the more disturbing things I read this year was the my boyfriend is AI subreddit.
I genuinely can’t fathom what is going on there. Seems so wrong, yet no one there seems to care.
I worry about the damage caused by these things on distressed people. What can be done?
ArcHound
今年我读到过的更令人不安的事情之一，就是那个“我男朋友是AI”的子版块。
我真的无法理解那里到底在发生什么。看起来那么不对劲，但那里的人似乎都毫不在意。
我担心这些事情会对处于困境中的人们造成伤害。我们能做些什么呢？
https://news.ycombinator.com/item?id=46046320
I remembered reading about this news back when that first message was posted on the mailing list, and didn’t think much of it then (rust has been worming its way into a lot of places over the past few years, just one more thing I tack on for some automation)…
But seeing the maintainer works for Canonical, it seems like the tail (Ubuntu) keeps trying to wag the dog (Debian ecosystem) without much regard for the wider non-Ubuntu community.
I think the whole message would be more palatable if it weren’t written as a decree including the dig on “retro computers”, but instead positioned only on the merits of the change.
As an end user, it doesn’t concern me too much, but someone choosing to add a new dependency chain to critical software plumbing does, at least slightly, if not done for very good reason.
geerlingguy
我记得在第一条消息发布到邮件列表时就读过这则新闻，当时没怎么在意（过去几年里，Rust 已经渗透到很多地方了，我只是把它当成某个自动化工具的附加功能而已）……
但看到维护者是 Canonical 公司的员工，这就感觉像是 Ubuntu 这条尾巴在试图摇动 Debian 整个生态系统这条狗，却很少顾及更广泛的非 Ubuntu 社区。
我觉得整条消息要是能不写成那种包含“复古电脑”挖苦的敕令形式，而是只从变更的优点来阐述，那就会更容易让人接受了。
作为一名终端用户，这事不怎么关我事，但如果有人要给关键的基础软件增加新的依赖链，那至少会让我有点在意——除非有非常充分的理由这么做。
https://news.ycombinator.com/item?id=46045482
Did these Ocaml maintainers undergo some special course for dealing with difficult people? They show enormous amounts of maturity and patience. I’d just give the offender Torvalds' treatment and block them from the repo, case closed.
benterix
难道这些 OCaml 的维护者都上过什么特殊课程来应对难缠的人吗？他们展现了极大的成熟和耐心。要是我，直接就用 Torvalds 那套做法，直接把他们从仓库里封禁了，一了百了。
https://news.ycombinator.com/item?id=46047424
I study and write quite a bit of tech history. IMHO from what I’ve learned over the last few years of this hobby, the primary issue is quite simple. While hardware folks study and learn from the successes and failures of past hardware, software folks do not. People do not regularly pull apart old systems for learning. Typically, software folks build new and every generation of software developers must relearn the same problems.
BirAdam
我研究和撰写过不少科技史。就我过去几年在这方面的爱好而言，我认为核心问题其实很简单。硬件从业者们会研究和借鉴过去硬件的成功与失败，但软件从业者却不会。人们不会经常性地拆解旧系统来学习。通常，软件从业者总是在构建新东西，于是每一代软件开发者都必须重新学习同样的问题。
https://news.ycombinator.com/item?id=46039876
So, like, we were already pretty much priced out of higher-end graphic cards, and now it’s happening to RAM. All this while jobs are disappearing, layoffs are ongoing and CEOs are touting AI’s ‘capabilities’ left and right.
Next is probably CPUs, even if AIs don’t use them that much, manufactures will shift production to something more profitable, then gouge prices so that only enterprises will pay for them.
What’s next? Electricity?
Where the f*k is all the abundance that AI was supposed to bring into the world? /rant
pmdr
说真的，高端显卡我们已经快买不起了，现在连内存也开始这样了。与此同时，工作岗位在消失，裁员潮还在继续，而CEO们却到处吹捧AI的“能力”。
下一个恐怕就是CPU了，就算AI不怎么用，厂商也会把产能转移到更赚钱的东西上，然后狠狠提价，到时候只有企业才买得起。
接下来呢？电费吗？
AI承诺给这个世界带来的那种富足，到底特么在哪儿？ /发泄完毕
https://news.ycombinator.com/item?id=46049625
I really liked Simon’s Willison’s [1] and Meta’s [2] approach using the “Rule of Two”. You can have no more than 2 of the following:
It’s not bullet-proof, but it has helped communicate to my management that these tools have inherent risk when they hit all three categories above (and any combo of them, imho).
[EDIT] added “or communicate externally” to option C.
[1] https://simonwillison.net/2025/Nov/2/new-prompt-injection-papers/ [2] https://ai.meta.com/blog/practical-ai-agent-security/
wingmanjd
我真的很喜欢 Simon Willison [1] 和 Meta [2] 采用的“二分法则”方法。你不能同时满足以下三个条件中的两个以上：
这个方法并非万无一失，但它帮助我向管理层阐明，当这些工具同时满足上述三个条件（以及它们的任意组合）时，其固有的风险性。
[编辑] 在选项 C 中增加了“或进行外部通信”。
https://news.ycombinator.com/item?id=46040902
SSD firmware engineer here. I work on enterprise stuff, so ymmv on consumer grade internals.
Generally, the data refresh will all happen in the background when the system is powered (depending on the power state). Performance is probably throttled during those operations, so you just see a slightly slower copy while this is happening behind the scenes.
The unused space decaying is probably not an issue, since the internal filesystem data is typically stored on a more robust area of media (an SLC location) which is less susceptible to data loss over time.
As far as how a user is supposed to manage it, maybe do an fsck every month or something? Using an SSD like that is probably ok most of the time, but might not be super great as a cold storage backup.
fairfeather
我是固态硬盘固件工程师，我负责的是企业级产品，所以消费级产品的内部情况可能有所不同。
通常情况下，数据刷新都会在系统开机时在后台进行（具体取决于电源状态）。在这些操作过程中，性能可能会受到限制，因此您只会看到复制速度略有变慢，而这一切都是在后台发生的。
未使用空间的损耗可能不是问题，因为内部文件系统的数据通常存储在介质上更可靠的位置（即SLC区域），这种区域随着时间的推移不易丢失数据。
至于用户应该如何管理，或许可以每月运行一次文件系统检查（fsck）之类的操作？像这样使用固态硬盘在大多数情况下是没问题的，但可能不太适合作为冷存储备份。
https://news.ycombinator.com/item?id=46045339
As someone dealing with open-source compliance in distributed systems, the purity tests in these comments are exhausting.
Hardware is messy. IP licensing for sensors and radios is a nightmare. Getting a functional OS out with “only” a few binary blobs is a massive engineering and legal victory.
I’d rather have a working, 95% open ecosystem that I can actually hack on, than a 100% pure theoretical one that never ships. Kudos to Eric for navigating the legal minefield to make this happen.
leo_e
作为一名处理分布式系统开源合规问题的人，这些评论中的纯粹性测试真让人筋疲力尽。
硬件是复杂的。传感器和无线电的IP许可简直是噩梦。在“仅”包含少量二进制文件的情况下推出一个可用的操作系统，是一项巨大的工程和法律上的胜利。
我宁愿拥有一个可以动手修改的、95%开源且能正常工作的生态系统，而不是一个100%纯粹但从未面世的理论系统。为埃里克（Eric）能成功穿越这片法律雷区实现这一切，点赞。
https://news.ycombinator.com/item?id=46022847
I’m a dad too, and I’m in a somewhat similar situation. My son is under five, and it feels like I’m still at the very beginning of his story. I’ve known I was gay since high school, probably even earlier, but I kept choosing whatever seemed like the easiest path. It felt easier to stay closeted. Easier to date a woman. Easier to move in together, propose, get married, and even have a child than to face my truth.
I love my wife and my son, and I feel loved by them in return, but I’m also painfully aware that the version of me they love is someone I constructed. I lie constantly: about why I don’t want sex, about my affairs, about my feelings, about my motivations. No one really knows me, and I don’t get to be myself, not even in the relationships where I should feel safest.
I’ve read The Courage to Be Disliked by Ichiro Kishimi and other similar books, and I’m trying to build the courage to finally do something about all of this. It’s incredibly difficult. But I refuse to use my son as an excuse to keep postponing coming out. This blog has pushed me even further in that direction.
They’ll be angry (well at least my wife). Their lives will be upended. But at least they’ll have the chance to ask questions, to understand. They’ll see me taking responsibility for the consequences of my choices, and maybe just maybe, in some way, that clarity will be a relief for all of us.
throwaway142351
我也是个父亲，情况也有些类似。我的儿子还不到五岁，感觉我还在他人生故事的最初阶段。我从高中起，甚至可能更早，就知道自己是同性恋，但我一直在选择看似最容易的路。待在柜子里似乎更容易。和女人约会更容易。同居、求婚、结婚，甚至生孩子，都比面对真相要容易。
我爱我的妻子和儿子，也感受到他们对我的爱，但我也痛苦地意识到，他们所爱的那个我，是一个我自己构建出来的形象。我无时无刻不在撒谎：关于为什么不想有性生活，关于我的外遇，关于我的感受，关于我的动机。没有人真正了解我，我也无法做回自己，即使在那些本应感到最安全的关系里也是如此。
我读了岸见一郎的《被讨厌的勇气》和类似的书，我正在努力鼓起勇气，最终为这一切做点什么。这太难了。但我拒绝用我的儿子作为借口，一再推迟出柜。这篇博客让我在这一步上走得更远了。
他们会很生气（嗯，至少我妻子会）。他们的生活将被彻底打乱。但至少他们将有机会提问，有机会去理解。他们会看到我为我的选择所带来的后果承担责任，也许，也许，在一定程度上，这种坦诚对所有人来说都是一种解脱。
2025-11-25 09:08:02
- Fran Sans 是受旧金山 Muni Breda 3×5 分段目的地显示屏启发，用可复用模块重构出三种风格并保留显示器的不完美细节。
- Shai-Hulud 恶意蠕虫伪装 Bun 运行时注入 preinstall 脚本感染 300+ npm 包，窃取凭证并自我复制到数万仓库。
- X 推出账号“国家归属地”功能后发现大量自称美国的政治账号实为海外操控，暴露身份真实性与外国干预问题。
- 爱荷华城试行免费公交后公交客流上升、驾车里程与尾气排放下降，交通与空气质量改善但长期可持续性存疑。
- macOS Tahoe 原生支持通过 Secure Enclave 生成与管理需 Touch ID 的 SSH 密钥，增强安全性但存在备份与社工风险。
- µcad 是一门开源专用编程语言，用于生成 2D 草图与 3D 模型并快速迭代，适合教学与本地化设计工作流。
- Shai Hulud 发起第二波供应链攻击，感染数百 npm 包并影响 Zapier、ENS、PostHog、Postman 等知名项目，需紧急审查依赖。
- RuBee 是基于 131 kHz 磁场耦合的有源低频标签系统，抗金属水干扰、寿命长并适用于高安全性资产的存在状态追踪。
- 文章指责 IETF 在后量子密码部署上受 NSA 主导排斥混合方案，压制异议并侵蚀标准组织的透明性与公信力。
- 日本推进将北海道打造为全球半导体中心并与 Rapidus 合作研发先进工艺，但在资金、量产经验与人才等方面面临重大挑战。
https://emilysneddon.com/fran-sans-essay
Fran Sans 是一款灵感源自旧金山 Muni Breda 轻轨车辆上独特目的地显示屏的展示字体。这些显示屏采用 3×5 网格的几何模块构成字母，由方形、四分之一圆和斜角等基本元素拼接而成，呈现出一种机械感与个人风格兼具的原始美感。
旧金山的公共交通系统由超过二十个独立机构运营，导致各线路使用不同的显示系统，而 Breda 轻轨的 LCD 面板因其独特的视觉风格脱颖而出。作者在一次前往外太阳谷的 N-Judah 线途中首次注意到这些显示屏，被其不完美却充满魅力的字符设计所吸引。
在 SFMTA 电子车间，技术人员阿曼多·伦巴德向作者展示了这些显示屏的工作原理：通过输入三位数字代码，控制面板激活特定网格段，拼出目的地信息。这些显示屏由康涅狄格州的 Trans-Lite 公司于 1999 年设计制造，其字体由工程师 Gary Wallberg 主导，强调功能性和极简主义，仅根据实际需求设计字符，未包含 Q、X 等字母及标准标点。
作者深受其设计哲学启发，将其转化为字体项目 Fran Sans。使用 Glyphs 软件，她将字母拆解为可重复使用的模块，像积木一样构建出完整的字符集，包括大写字母、数字和基础标点。目前版本尚未包含小写字母和 @ 符号，但保留了原始显示屏中那些“不完美”的特征，如 N 和 0 的粗斜线、Z 和 7 的细斜线，以及 M 在小尺寸下可能误读为 H 的视觉现象。
Fran Sans 提供三种风格：Solid（实心）、Tile（拼贴）和 Panel（面板），分别呈现不同层次的视觉复杂度。其中 Solid 风格受到澳大利亚贝尔莎士比亚剧团品牌字体 Hotspur 的启发，强调单一字体在不同语境下的多用途表现力。
创作过程中，作者还受到旧金山字体档案馆的启发，特别是 Joan Trochut 的 Tipo Veloz（1942）和 Zuzana Licko 的 Lo-Res（1985）作品。前者体现资源匮乏下的模块化创意，后者展示了数字与物理设计之间的迭代关系，深刻影响了她对字体创作的理解。
https://news.ycombinator.com/item?id=46025942
https://helixguard.ai/blog/malicious-sha1hulud-2025-11-24
2025 年 11 月 24 日，HelixGuard 检测到超过 1000 个 NPM 包在数小时内被恶意篡改，攻击者通过伪造 Bun 运行时的名义，向这些包的 package.json 中注入 preinstall 脚本，调用一个名为 setup_bun.js 的文件，并附带一个高度混淆的 bun_environment.js 文件。
该恶意代码在执行时会下载并运行 TruffleHog 工具，扫描本地系统，窃取包括 NPM 令牌、AWS/GCP/Azure 云凭证、GitHub 令牌及环境变量在内的敏感信息。
窃取的数据通过创建名为 SHA1HULUD 的 GitHub Actions 运行器和一个名为“Sha1-Hulud: The Second Coming”的新仓库进行外泄。攻击者利用 GitHub Actions 实现隐蔽的数据回传，具备类似蠕虫的传播能力。
分析显示，攻击者通过修改 package.json，注入恶意脚本，并利用窃取的 NPM 令牌重新发布恶意包，实现自我复制。bun_environment.js 文件超过 10MB，包含跨平台（Linux、Windows、macOS）的恶意逻辑，能够自动下载 GitHub Actions Runner 并配置为持久化运行。
目前已有超过 27,000 个 GitHub 仓库被感染。攻击者创建了名为.formatter_123456789.yml 的恶意工作流，将窃取的密钥以双重 Base64 编码方式打包为 actionsSecrets.json。
受影响的包涵盖多个知名项目，如 @asyncapi/specs、@asyncapi/diff、cbre-flow-common、@asyncapi/generator-react-sdk 等，版本从 0.5.1 到 99.6.0 不等，部分包被多次篡改。
该事件极有可能是 2025 年 9 月“Shai-Hulud”攻击的延续，表明攻击者具备持续性、组织性与高度自动化能力，对开源生态构成严重威胁。
https://news.ycombinator.com/item?id=46032539
X（原推特）推出新功能，显示用户账号的国家归属地，引发美国政治圈剧烈震动。该功能位于用户资料页的“加入日期”标签中，可查看账号实际运营国家。尽管初期短暂下线，现已重新上线。
该功能曝光大量自称“美国本土”的政治账号实为海外运营。例如，拥有 39.2 万粉丝的“MAGA NATION”账号位于东欧，1.5 万粉丝的“Dark Maga”在泰国，5.1 万粉丝的“MAGA Scope”来自尼日利亚，6.7 万粉丝的“America First”账号位于孟加拉国。
民主党阵营也未能幸免。自称“骄傲民主党人”且以“猎捕麦卡锡”为名的“Ron Smith”账号实为肯尼亚运营；反特朗普账号“共和党反对特朗普”（97.8 万粉丝）被指来自奥地利，目前使用 VPN 隐藏真实位置。此外，拥有 7.8 万粉丝、发布亲以内容的“Mariana Times”账号也位于印度。
部分美国政界人士对此反应强烈。国会女议员安娜·保琳娜·卢娜称，这些伪装成美国人的账号是“外国操纵者”，旨在制造内部分裂。前联邦调查局官员卡什·帕特尔的女友艾丽克斯·威尔金斯则警告，这些海外账号有共同目标——破坏美国。
该事件引发对社交媒体政治影响力真实性的广泛质疑，也凸显了网络身份真实性与信息操纵的深层问题。
https://news.ycombinator.com/item?id=46028422
https://www.nytimes.com/2025/11/18/climate/iowa-city-free-buses.html
Iowa City 自 2023 年 8 月起实施公交车免费政策，旨在减少汽车尾气排放并鼓励市民使用公共交通。该两年期试点项目广受欢迎，市议会于今年夏天决定将其延长一年。项目资金来自 1% 的公用事业税上调以及公共停车费从 1.50 美元提高至 3 美元（部分区域为 2 美元）。
实施以来，公交乘客量比疫情前水平高出 18%。交通拥堵明显缓解，司机反映道路更通畅。政府数据显示，市民在城市道路上的驾车里程减少了 180 万英里，每年减少二氧化碳排放 778 吨，相当于让 167 辆汽车退出道路。
乘客群体多样，包括精神科医生、图书管理员、代课教师、生物医学工程研究生、亚马逊仓库工人，以及因佛罗里达州事件失去驾照的男子。他们普遍对免费乘车政策表示支持，认为这提升了出行便利性并减少了对私家车的依赖。
该案例是《纽约时报》“50 个州，50 个解决方案”系列的一部分，展示地方性环保举措如何有效应对气候变化。
https://news.ycombinator.com/item?id=46027833
https://gist.github.com/arianvp/5f59f1783e3eaf1a2d4cd8e952bb4acf
MacOS Tahoe 系统现已支持使用安全飞地（Secure Enclave）生成和管理 SSH 密钥，无需依赖第三方工具如 Secretive。系统通过 /usr/lib/ssh-keychain.dylib 这一共享库实现对安全飞地的访问，该库原本用于支持智能卡，现也支持 FIDO2 安全密钥接口（SecurityKeyProvider），可直接与设备的安全飞地通信。
创建受生物识别保护的 SSH 密钥，需使用 sc_auth 命令：
sc_auth create-ctk-identity -l ssh -k p-256-ne -t bio
此命令会创建一个基于 P-256 算法、需 Touch ID 验证的密钥。可通过 list-ctk-identities 查看已创建的密钥，支持以 SSH 指纹形式输出。
使用密钥时，可通过以下方式将密钥从安全飞地“下载”到本地文件：
ssh-keygen -w /usr/lib/ssh-keychain.dylib -K -N ""
输入 PIN（可为空）后，系统会提示 Touch ID 验证，成功后生成 id_ecdsa_sk_rk 私钥文件（实际为密钥引用，不包含密钥材料）。公钥可复制至远程服务器的 authorized_keys 文件中。
也可通过 ssh-add -K -S /usr/lib/ssh-keychain.dylib 将密钥直接加载到 ssh-agent，实现免密登录。
推荐将 export SSH_SK_PROVIDER=/usr/lib/ssh-keychain.dylib 添加至 .zprofile，使 SSH 工具默认使用安全飞地密钥，简化操作。
此外，系统支持“可导出”密钥，即密钥由安全飞地加密保护，可备份。创建方式：
sc_auth create-ctk-identity -l ssh-exportable -k p-256 -t bio
导出命令：
sc_auth export-ctk-identity -h <Hash> -f ssh-exportable.pem
可生成加密的 PEM 文件，用于在其他设备导入。
目前不支持更细粒度的生物识别控制（如 .biometryCurrentSet），但可通过逆向分析 ssh-keychain.dylib 实现自定义扩展，例如添加支持特定生物识别策略的注册函数。
https://news.ycombinator.com/item?id=46025721
sc_auth 工具创建可导出的加密私钥，导出时使用密码保护，支持在其他设备上重新导入。µcad 是一个开源的编程语言，用于生成 2D 草图和 3D 模型，目前处于早期开发阶段，但正逐渐趋于稳定。项目每周都在添加新功能，持续更新。
最新发布版本为 Alpha 0.2.14，发布过程中遇到了一些技术问题，例如 Issue #289，但最终成功完成发布。
近期亮点包括：
项目由 Open Knowledge Foundation Deutschland 支持，致力于开放知识与技术共享。网站提供代码、打印和视频资源，方便用户学习与参与开发。
https://news.ycombinator.com/item?id=46027216
https://www.aikido.dev/blog/shai-hulud-strikes-again-hitting-zapier-ensdomains
该网页是一篇关于网络安全威胁的博客文章，发布于 2025 年 11 月 24 日，标题为《Shai Hulud 发起第二次供应链攻击：Zapier、ENS、AsyncAPI、PostHog、Postman 等项目遭 compromise》。
文章指出，名为 Shai Hulud 的恶意 npm 蠕虫再次发动攻击，被称为“第二次降临”（Second Coming），攻击时间紧贴 npm 将于 12 月 9 日撤销旧版认证令牌的截止日期，利用开发者尚未完成迁移的窗口期实施破坏。
Shai Hulud 是一种自传播型恶意软件，以《沙丘》中的巨型沙虫命名，具有高度隐蔽性和破坏性。其主要行为包括：
受影响的包多达 492 个，累计月下载量高达 1.32 亿次，涉及多个知名项目，包括：
文章提醒开发者立即检查依赖项，避免使用受感染版本，并建议尽快迁移至 npm 的可信发布机制，以防范类似供应链攻击。
https://news.ycombinator.com/item?id=46035533
https://computer.rip/2025-11-22-RuBee.html
本文介绍了一种名为 RuBee 的小众无线通信协议，它被用于美国能源部（DoE）设施中防止员工携带手机进入保密区域。当检测到手机时，门边设备会播放“政府手机已检测到”的语音提示，这一系统依赖于 RuBee 技术。
RuBee 由 Visible Assets Inc.（VAI）开发，创始人 John K. Stevens 有生物物理和基因检测背景。他最初因医疗冷链运输中温控验证问题而萌生开发想法，希望实现对样本和试剂在运输与存储过程中的持续监控。
RuBee 被定义为“可见性网络”（visibility network），核心目标是可靠地追踪资产存在状态，而非传输大量数据。它与蓝牙、RFID 等技术有相似之处，但设计目标不同：强调高可靠性、抗干扰能力，尤其适用于高价值物品的追踪。
关键特性包括：
与 RFID 相比，RuBee 在金属容器、潮湿环境或人体携带场景下表现更优。例如，沃尔玛早期 RFID 应用中，因金属、水分和干扰导致读取失败率高达 33%，即使使用多天线阵列（成本超万元）也只能达到 95% 的成功率。
而 RuBee 的高可靠性使其在安全敏感领域更具优势，尤其适合追踪枪支、爆炸物和机密材料。标签可嵌入枪械框架或改装安装，不易被屏蔽，成为武器资产管理的理想方案。
尽管 RuBee 起源于医疗冷链监控，但其最成功应用却在军事与安保领域，体现了技术路径与市场需求之间的意外契合。
https://news.ycombinator.com/item?id=46029932
https://blog.cr.yp.to/20251123-dodging.html
该网页是 cr.yp.to 博客的一篇技术评论文章，发布于 2025 年 11 月 23 日，标题为《NSA 和 IETF，第四部分：被压制的不同意见的实例》。文章延续了此前关于美国国家安全局（NSA）对互联网工程任务组（IETF）标准制定过程施加影响的系列批评。
文章指出，当前部署后量子密码学（PQC）的主流实践是采用 ECC+PQ 混合方案，即同时使用椭圆曲线密码学和后量子密码，以提升安全性。IETF 的 TLS 工作组也正在推进 ECC+PQ 的标准化。
然而，IETF 管理层却在未经广泛共识的情况下，强行推动一份由 NSA 主导的“非混合”文档，该文档仅将 PQ 作为 TLS 的可选方案，而忽略 ECC+PQ 的组合。作者以讽刺口吻指出，这相当于在标准化汽车时，既保留带安全带的车型，又强行加入无安全带的车型，无视安全方面的反对意见。
文章回顾了此前的三篇系列文章：第一部分介绍背景，第二部分揭露腐败行为，第三部分揭示“回避核心问题”的策略。本篇作为第四部分，将具体展示对这一议题提出异议的声音如何被系统性压制。
文中提到，2025 年 4 月，TLS 工作组主席曾发起对这份 NSA 驱动文档的“采纳”投票。在征求意见期间，20 人明确支持，2 人有条件支持，7 人反对。但作者指出，反对意见被忽视，而支持者多为与 NSA 有利益关联的机构。
文章的核心观点是：IETF 所谓的“共识”已沦为权力者的意志，真正的技术民主与安全讨论已被边缘化。作者警告，这种压制不同意见的做法，正在侵蚀 IETF 作为开放、透明标准组织的公信力。
https://news.ycombinator.com/item?id=46033151
https://www.bbc.com/news/articles/c8676qpxgnqo
日本正押注北海道，试图将其从农业与旅游重镇转型为全球半导体产业新中心。作为日本最北端的岛屿，北海道长期以来以奶制品和自然风光闻名，但如今正迎来大规模工业变革。政府与丰田、软银、索尼等企业联合成立的芯片公司 Rapidus，正推动建设日本数十年来首个先进制程芯片制造厂。
Rapidus 计划在北海道千岁市建设一座采用极端紫外光刻（EUV）技术的晶圆厂，已成功研发出日本首枚 2 纳米制程原型芯片，达到全球顶尖水平。这一突破得益于与 IBM 的合作，标志着日本在高端芯片制造领域迈出关键一步。工厂设计融入自然环境，覆盖草皮以减少生态影响，选址也考虑了稳定的水电供应和较低地震风险。
尽管取得进展，Rapidus 仍面临严峻挑战。专家指出，其资金缺口巨大，远未达到启动量产所需的 318 亿美元；缺乏先进制程的量产经验，且难以获取台积电、三星等企业的核心技术知识。此外，客户资源稀缺，全球客户长期依赖现有巨头。
日本半导体产业曾于上世纪占据全球半壁江山，但因美日贸易摩擦及后续政策支持不足，逐渐落后。如今政府已投入 270 亿美元支持芯片产业，2024 年底更推出 650 亿美元的 AI 与半导体振兴计划，力度超过美国的 CHIPS 法案。
然而，日本整体经济面临人口萎缩、老龄化加剧、科研投入受限等结构性难题，同时面临约 4 万名半导体工程师的严重短缺。Rapidus 正与北海道大学合作培养人才，但未来仍需大量引进外籍技术人才，而这与国内公众对移民的保守态度形成矛盾。
与此同时，台积电已在九州熊本建设 12–28 纳米芯片厂，带动当地产业链升级，显示“建厂即聚生态”的战略正在奏效。Rapidus 的崛起，或将重塑日本科技产业格局，但能否真正实现从“制造”到“引领”的跨越，仍需时间验证。
https://news.ycombinator.com/item?id=46029929
https://news.ycombinator.com/item?id=46032672
It’s not “node” or “Javascript” the problem, it’s this convenient packaging model.
This is gonna ruffle some feathers, but it’s only a matter of time until it’ll happen on the Rust ecosystem which loves to depend on a billion subpackages, and it won’t be fault of the language itself.
The more I think about it, the more I believe that C, C++ or Odin’s decision not to have a convenient package manager that fosters a cambrian explosion of dependencies to be a very good idea security-wise. Ambivalent about Go: they have a semblance of packaging system, but nothing so reckless like allowing third-party tarballs uploaded in the cloud to effectively run code on the dev’s machine.
sph
问题的根源不在于 “Node” 或 “JavaScript”，而在于这种方便的打包模式。
这可能会引起一些争议，但我认为这只是时间问题。同样的事情也终将发生在依赖海量子包的 Rust 生态系统中，而这并非语言本身的过错。
我越是思考这个问题，就越是相信 C、C++ 或 Odin 不设方便的包管理器、从而避免催生出大量（寒武纪式的）依赖，这从安全角度来看是个非常好的主意。对于 Go，我的看法则比较矛盾：它们有一个像样的打包系统，但却没有像允许开发者把第三方云上传的 tar 包直接在本地运行代码那样鲁莽的做法。
https://news.ycombinator.com/item?id=46028791
Reminds me of when Reddit posted their year end roundup https://web.archive.org/web/20140409152507/http://www.redditblog.com/2013/05/get-ready-for-global-reddit-meetup-day.html?m=1 and revealed their “most addicted city” to be the home of Eglin Air Force Base, host of a lot of military cyber operations. They edited the article shortly afterward to remove this inconvenient statistic
ro_bit
这让我想起 Reddit 发布年终盘点的时候，他们揭晓了“最上瘾的城市”竟是埃格林空军基地的所在地——那里主导着大量的军事网络行动。他们随后便迅速编辑了文章，删掉了这个令人尴尬的数据。
https://news.ycombinator.com/item?id=46037979
The burying of the lede here is insane. $5/$25 per MTok is a 3x price drop from Opus 4. At that price point, Opus stops being “the model you use for important things” and becomes actually viable for production workloads.
Also notable: they’re claiming SOTA prompt injection resistance. The industry has largely given up on solving this problem through training alone, so if the numbers in the system card hold up under adversarial testing, that’s legitimately significant for anyone deploying agents with tool access.
The “most aligned model” framing is doing a lot of heavy lifting though. Would love to see third-party red team results.
llamasushi
这里的埋点简直离谱。每百万代币5美元/25美元的价格，相比Opus 4直接降了三分之二。在这个价格点上，Opus就不再是“你用来处理重要事情的那个模型”，而是真正具备了生产环境工作的可行性。
同样值得注意的是，他们号称拥有最先进的提示注入抗性能力。该行业在很大程度上已经放弃了仅通过训练来解决此问题，因此如果系统卡中的数据在对抗性测试中经得起考验，这对于任何部署了带工具使用能力的智能体的人来说，都具有真正重要的意义。
不过，“对齐度最高的模型”这种说法，其实是在承担了大量的重头戏。还是希望能看到第三方的红队测试结果。
https://news.ycombinator.com/item?id=46036823
I think your devices should have government-mandated backdoors if and only if you are a public servant. I don’t understand why private citizens are held to higher standards of conduct than politicians and cops.
konmok
我认为，只有当你是公职人员时，你的设备才应该被政府强制开后门。我不明白，为什么普通公民的行为标准要比政客和警察更高。
https://news.ycombinator.com/item?id=46033675
Why are all the comments here so weird? It’s like people saw (but didn’t read) an article entitled “Man Opens a Taqueria in his Hometown” and the only responses are
Why didn’t he open it in my hometown? This location isn’t convenient for me.
Wouldn’t it be better for someone else to open a taqueria instead? My cousin is looking for work. Shouldn’t we be putting resources into helping him open a restaurant instead?
It’s like people hear “X in Asian country” and all they can think about is their own geopolitical narrative fed to them by the US state department. Obviously Japan is going to want to develop lucrative manufacturing… within Japan.
tdeck
为什么这里的评论都这么奇怪？就好像人们看到了（但没读）一篇题为“男子在家乡开设墨西哥卷饼店”的文章，然后唯一的回应就是：
他为什么不在我的家乡开店？这个位置对我来说不方便。
换个人来开墨西哥卷饼店不是更好吗？我表哥正在找工作。我们难道不应该把资源用来帮他开一家餐厅吗？
就好像人们听到“亚洲国家的X”时，脑子里只有美国国务院灌输给他们的地缘政治叙事。显然，日本肯定想在日本国内发展利润丰厚的制造业……毕竟是在日本国内。
https://news.ycombinator.com/item?id=46030124
I love the idea, but this line:
- no bug should take over 2 days
Is odd. It’s virtually impossible for me to estimate how long it will take to fix a bug, until the job is done.
That said, unless fixing a bug requires a significant refactor/rewrite, I can’t imagine spending more than a day on one.
Also, I tend to attack bugs by priority/severity, as opposed to difficulty.
Some of the most serious bugs are often quite easy to find.
Once I find the cause of a bug, the fix is usually just around the corner.
ChrisMarshallNY
我赞同这个想法，但这一条：
- 任何一个bug都不应超过2天
很奇怪。对我来说，在修复工作完成之前，几乎不可能预估需要多长时间。
话虽如此，除非修复一个bug需要进行重大的重构/重写，否则我无法想象会花超过一天的时间在一个bug上。
另外，我倾向于根据优先级/严重性，而不是难度来处理bug。
一些最严重的bug往往相当容易找到。
一旦我找到了bug的原因，修复通常就在眼前。
https://news.ycombinator.com/item?id=46036328
ProTip: use PNPM, not NPM. PNPM 10.x shutdown a lot of these attack vectors.
Does not default to running post-install scripts (must manually approve each)
Let’s you set a min age for new releases before pnpm install will pull them in - e.g. 4 days - so publishers have time to cleanup.
NPM is too insecure for production CLI usage.
And of course make a very limited scope publisher key, bind it to specific packages (e.g. workflow A can only publish pkg A), and IP bound it to your self hosted CI/CD runners. No one should have publish keys on their local, and even if they got the publish keys, they couldn’t publish from local. (Granted, GHA fans can use OIDC Trusted Publishers as well, but tokens done well are just as secure)
twistedpair
建议技巧：使用 PNPM，而不是 NPM。PNPM 10.x 关闭了很多此类攻击途径。
pnpm install 拉取新版本之前，发布者有时间进行清理。对于生产环境的 CLI 使用来说，NPM 太不安全了。
当然，你还需要创建一个权限非常有限的发布密钥，将其绑定到特定的包（例如，工作流 A 只能发布包 A），并将其绑定到你自托管的 CI/CD 运行器上。任何人都不能在其本地电脑上拥有发布密钥，即使他们获取了发布密钥，也无法从本地进行发布。（诚然，GHA 的粉丝也可以使用 OIDC 受信任发布者，但正确配置的令牌也同样安全。）
https://news.ycombinator.com/item?id=46028536
Walk willingly into platos cave, pay for platos cave verification, sit down, enjoy all the discourse on the wall. Spit your drink out when you figure out that the shadows on the wall are all fake.
protocolture
心甘情愿地走进柏拉图的洞穴，付费获得洞穴的认证，然后坐下，尽情欣赏墙上的一切幻影。直到你意识到墙上的影子全是假的，才会吓得一口水喷出来。
https://news.ycombinator.com/item?id=46032650
co-founder of PostHog here. We were a victim of this attack. We had a bunch of packages published a couple of hours ago. The main packages/versions affected were:
posthog-node 4.18.1, 5.13.3 and 5.11.3
posthog-js 1.297.3
posthog-react-native 4.11.1
posthog-docusaurus 2.0.6
We’ve rotated keys and passwords, unpublished all affected packages and have pushed new versions, so make sure you’re on the latest version of our SDKs.
We’re still figuring out how this key got compromised, and we’ll follow up with a post-mortem. We’ll update status.posthog.com with more updates as well.
timgl
PostHog的联合创始人，我们这次成了攻击的受害者。几小时前，我们的一批包被发布了。受影响的主包/版本有：
我们已经轮换了密钥和密码，撤销了所有受影响的包，并发布了新版本，所以请确保你使用的是我们SDK的最新版本。
我们仍在调查此密钥是如何泄露的，之后我们会跟进发布事后报告。我们也会在 status.posthog.com 上更新更多信息。
https://news.ycombinator.com/item?id=46030461
It would be a good thing, if it would cause anything to change. It obviously won’t. As if a single person reading this post wasn’t aware that the Internet is centralized, and couldn’t name specifically a few sources of centralization (Cloudflare, AWS, Gmail, Github). As if it’s the first time this happens. As if after the last time AWS failed (or the one before that, or one before…) anybody stopped using AWS. As if anybody could viably stop using them.
krick
如果能因此带来任何改变，那当然是件好事。但显然，这什么都不会改变。就好像看这个帖子的有谁不知道互联网是中心化的，说不出几个中心化的源头（Cloudflare、AWS、Gmail、Github）似的。就好像这是第一次发生这种事。就好像上次AWS宕机（或者再上一次，或者更早那一次）之后，就有人停止使用AWS了一样。就好像谁真的能不用得起它们似的。
https://news.ycombinator.com/item?id=46038081
This is gonna be game-changing for the next 2-4 weeks before they nerf the model.
Then for the next 2-3 months people complaining about the degradation will be labeled “skill issue”.
Then a sacrificial Anthropic engineer will “discover” a couple obscure bugs that “in some cases” might have lead to less than optimal performance. Still largely a user skill issue though.
Then a couple months later they’ll release Opus 4.7 and go through the cycle again.
My allegiance to these companies is now measured in nerf cycles.
I’m a nerf cycle customer.
unsupp0rted
在模型被削弱前的未来2到4周，这将会改变游戏规则。
然后，在接下来的2到3个月里，抱怨性能下降的人会被贴上“技术问题”的标签。
接着，一位“祭品”级的Anthropic工程师会“发现”几个晦涩的bug，这些bug“在某些情况下”可能导致性能不佳。不过，这很大程度上还是用户的技术问题。
再过几个月，他们会发布Opus 4.7，然后循环再次开始。
我现在对这些公司的忠诚度，是以削弱周期来衡量的。
我就是一个削弱周期的顾客。
https://news.ycombinator.com/item?id=46031387
Maybe they resisted because it was completely ridiculous waste of engineering resources all over the country and for absolutely no tangible reason other than white people trying to feel better about themselves.
I work in the field of film mastering (with countless product names with the word “master” in it) and luckily no one got the ridiculous idea in their head that we need to change this lingo.
Show me a single person who has a valid reason for me not calling my branch “master” or my bedroom “the master”. I honestly think this sort of ridiculing word policing is why we lost this last damned election. And if you’re somehow proud that you’ve renamed your git branches, you’re very likely a contributor to that lost election.
matt-attack
或许他们之所以抵制，是因为这在全国范围内完全是工程资源的巨大浪费，而且除了白人想让自己感觉好一点之外，没有任何实质性的理由。
我在电影母版制作领域工作（有无数产品名称里都带有“master”这个词），幸运的是，没有人会异想天开地觉得我们需要改变这种术语。
给我看一个能给我充分理由，让我不能把我的分支叫做“master”，或者把我的卧室叫做“主卧”的人。我真心认为，这种荒唐的词语审查正是我们输掉该死大选的原因。如果你为重命名了你的 git 分支而感到自豪，那你很可能就是导致那次大选失利的罪人之一。
https://news.ycombinator.com/item?id=46029926
Big-city transit has an equilibrium point, and it is incredibly stable. Every serious transit city in the world ends up in the same place
You’re cherry-picking your own examples. It worked in Iowa City.
Y Combinator and much of SV would be out of business if innovators followed that thinking. One reason is that people do come up with new ideas; that’s how the world changes. The other is that the world changes, and what didn’t work before now works - costs change and value changes, and now it’s worthwhile. For example, with congestion pricing and other rapidly increasong costs of NYC car ownership, there’s more value in free transit.
Oddly, it’s the thinking advocated by many HN posts, denigrating the innovation under discussion as impossible, useless, etc.
without sustainability, a political shift will kill it
That can be said of many things. A political shift could kill military funding in the US.
mmooss
大城市的公共交通有其平衡点，而且这个平衡点异常稳定。世界上所有重要的公交城市最终都会走向同一种模式。
你这是在挑选你自己的例子。它爱荷华城就行得通。
如果创新者都遵循那种想法，Y Combinator和硅谷的大部分公司早就倒闭了。原因之一是人们确实会想出新点子，世界就是这样改变的。另一个原因是世界在变化，以前行不通的现在行得通了——成本和价值都变了，现在值得去做了。例如，随着纽约市拥堵费和其他汽车持有成本的快速上涨，公共交通的价值就更大了。
奇怪的是，这正是许多HN帖子的观点，它们贬低正在讨论的创新，说它不可能、没用等等。
没有可持续性，一次政治变动就会扼杀它
很多事都可以这么说。一次政治变动就可能扼杀美国的军事开支。
https://news.ycombinator.com/item?id=46033811
For context, djb has been doing and saying these things since he was a college student:
While a graduate student at the University of California at Berkeley, Bernstein completed the development of an encryption equation (an “algorithm”) he calls “Snuffle.” Bernstein wishes to publish a) the algorithm (b) a mathematical paper describing and explaining the algorithm and (c) the “source code” for a computer program that incorporates the algorithm. Bernstein also wishes to discuss these items at mathematical conferences, college classrooms and other open public meetings. The Arms Export Control Act and the International Traffic in Arms Regulations (the ITAR regulatory scheme) required Bernstein to submit his ideas about cryptography to the government for review, to register as an arms dealer, and to apply for and obtain from the government a license to publish his ideas. Failure to do so would result in severe civil and criminal penalties. Bernstein believes this is a violation of his First Amendment rights and has sued the government.
After four years and one regulatory change, the Ninth Circuit Court of Appeals ruled that software source code was speech protected by the First Amendment and that the government’s regulations preventing its publication were unconstitutional. Source https://www.eff.org/cases/bernstein-v-us-dept-justice
seethishat
背景是，djb 从大学时代起就一直做着和说着这些事情：
在加州大学伯克利分校读研究生时，伯恩斯坦完成了一个他称之为“Snuffle”的加密方程（“算法”）的开发。伯恩斯坦希望发表（a）该算法（b）一篇描述并解释该算法的数学论文，以及（c）一个使用了该算法的计算机程序的“源代码”。他还希望能在数学会议、大学课堂和其他公开公共场合讨论这些内容。武器出口管制法以及国际武器贸易条例（ITAR监管体系）要求伯恩斯坦将他的密码学思想提交政府审查、注册为武器经销商，并申请并获得政府许可才能发表他的想法。否则将面临严重的民事和刑事处罚。伯恩斯坦认为这侵犯了他的第一修正案权利，并因此起诉了政府。
经过四年的诉讼和一次法规变更，第九巡回上诉法院裁定，软件源代码是受第一修正案保护的言论，政府禁止其发布的法规是违宪的。 来源：https://www.eff.org/cases/bernstein-v-us-dept-justice
https://news.ycombinator.com/item?id=46032719
The “use cooldown” [0] blog post looks particularly relevant today.
I’d argue automated dependency updates pose a greater risk than one-day exploits, though I don’t have data to back that up. That’s harder to undo a compromised package already in thousands of lock files, than to manually patch a already exploited vulnerability in your dependencies.
[0] https://blog.yossarian.net/2025/11/21/We-should-all-be-using-dependency-cooldowns
darkamaul
这篇关于“使用冷却期”[0]的博客文章在今天看来尤其具有现实意义。
我认为，自动化的依赖更新所带来的风险，甚至要超过那些一日游的漏洞利用，尽管我没有数据来支撑这一观点。相比于手动修复依赖项中已遭利用的漏洞，要撤销一个已经存在于成千上万个锁文件中的被攻陷的包，要困难得多。
https://news.ycombinator.com/item?id=46037083
so, they are basically confirming Android and Apple have their backdoors as no arrests or seizures on that matter have taken place
dagi3d
所以，他们基本上是在确认安卓和苹果系统都留有后门，因为在这件事上从未有过任何逮捕或查扣行动。
https://news.ycombinator.com/item?id=46029151
I knew some people that were initially very optimistic, and I tried to keep an open mind when DOGE got started despite the outlandish claims that they would be able to cut $2 trillion dollars from the budget, but it’s apparent at this point that the project has been an extreme failure. It’ll probably take a few years to really sort out their damage and overall impact though.
It’s also imperative to mention in every DOGE-related discussion and conversation that the funding freeze to USAID is directly responsible for killing thousands of people [0]. Most of the damage done by DOGE can probably be reversed, but the thousands of death as a direct result of actions taken by the richest man in the world should not be forgotten. (Although I’m told there is a bit of uncertainty with any specific figures because the funding disruption also impacted the mechanisms for tracking and reporting deaths.)
TheAceOfHearts
我认识一些起初非常乐观的人，尽管“狗狗币”（DOGE）项目声称能削减2万亿美元的预算，我当时还是尽量保持开放的心态，但如今看来，这个项目显然已经彻底失败了。不过，要理清他们造成的损害和整体影响，可能还需要几年的时间。
此外，在任何关于“狗狗币”（DOGE）的讨论中，都必须提及，对 USAID（美国国际开发署）的资金冻结直接导致了数千人的死亡[0]。DOGE造成的损害或许大多可以挽回，但作为全球首富采取行动的直接后果，那数千人的死亡不应被遗忘。（尽管有人告诉我，具体数字存在一些不确定性，因为资金中断也影响了追踪和报告死亡数据的机制。）
https://news.ycombinator.com/item?id=46026440
Typography nerds are some of my favourite nerds.
Font specimen pages are so often screaming with design language and intention, they push and prod to evoke and present.
Maybe the secret has something to do with the lack of priority to the actual content; just present the font gosh-darn!
Looks nicely executed within the confines of the inspiration. very cool
oktwtf
字体设计爱好者是我最喜欢的技术宅之一。 字体样本页面常常在设计语言和意图上表现得非常强烈，它们通过推拉和探索来唤起并展现某种效果。 或许秘诀就在于，其重点并不在于实际内容；只需展示字体本身，天哪，这设计简直绝了！ 在灵感的框架内，这 execution（处理）看起来非常出色，非常酷。
https://news.ycombinator.com/item?id=46027830
I’ve been a Windows user since 3.1; and I’ve even defended Microsoft in the past (particularly when they made unpopular choices, but for technically correct reasons, like UAC or forcing vendors to rewrite their drivers into userland or using a safer driver model).
BUT, I won’t defend Windows 11 and Microsoft’s general direction. I feel like there has been a slow cultural shift within Microsoft, from a core of fantastic engineers surrounding by marketing/sales, to the org’s direction being set by marketing/sales UX be damned.
Plus it feels like a lot of the technical expertise retired out, and left a bunch of engineers scared to touch core systems instead preferring to build on top using Web tech. It means that Windows/Office stopped improving, and have actually both regressed significantly.
I’ve actually found myself recommending MacOS, particularly the prior generation of Macbook Airs which are absurdly powerful with absurd battery life for a fair price. Combine that with the lack of user hostility, and UX, that MacOS brings relative to Windows 11, and it is hard to ignore.
Someone1234
我从 Windows 3.1 时代起就是 Windows 用户；我甚至过去一直为微软辩护（尤其是在他们做出不受欢迎但技术上正确的决定时，比如用户账户控制 或强制供应商将驱动程序重写到用户模式，或使用更安全的驱动模型）。
但是，我不会为 Windows 11 和微软的整体方向辩护。我感觉微软内部的文化正在慢慢转变，从一个由出色的工程师为核心、市场/销售为辅的组织，变成了一个由市场/销售来决定方向、完全不顾及用户体验的公司。
此外，感觉很多技术专家都退休了，留下了一群不敢触碰核心系统，反而更倾向于使用 Web 技术在其上层构建的工程师。这意味着 Windows 和 Office 停止了进步，实际上两者都出现了严重的倒退。
我发现自己现在真的会推荐 macOS，特别是前几代的 MacBook Air，它们拥有惊人的性能和电池续航，价格还相当公道。再加上 macOS 相较于 Windows 11，不再带有那种“用户敌意”和糟糕的用户体验，这让它的优势很难被忽视。
https://news.ycombinator.com/item?id=46031069
Sorta related since Disney held a share in it previously but Dick Tracy exclusive rights are still held by Warren Beatty who produced and starred in the role back in 1990. He had to fight off a challenge from Tribune Media in court decades ago but stipulation was he had to produce new Dick Tracy stuff every few years. It’s lead to a series of increasingly surreal late night specials on TCM where he appears in character and talks about random stuff and the 1990 movie, last time was in 2023: https://m.youtube.com/watch?v=MwKncYwtec4
joecool1029
虽然迪士尼曾持有其部分股份，但这事儿有点关联：迪克·崔西的专属版权仍由沃伦·比蒂持有，他曾在1990年担任该片的制作人和主演。几十年前，他曾在法庭上击败了论坛媒体的挑战，但协议规定他必须每隔几年就推出新的迪克·崔西相关作品。这也导致了TCM（特纳经典电影台）上的一系列越来越超现实的深夜特别节目，他在节目中会以角色身份登场，谈论一些随机的话题和1990年的那部电影，最近一次是在2023年：https://m.youtube.com/watch?v=MwKncYwtec4
https://news.ycombinator.com/item?id=46032576
Ex-Meta employee here. I worked at reality labs, perhaps in other orgs the situation is different.
At Meta we did “fix-it weeks”, more or less every quarter. At the beginning I was thrilled: leadership that actually cares about fixing bugs!
Then reality hit: it’s the worst possible decision for code and software quality. Basically this turned into: you are allowed to land all the possible crap you want. Then you have one week to “fix all the bugs”. Guess what: most of the time we couldn’t even fix a single bug because we were drown in tech debt.
etamponi
前Meta员工，曾在现实实验室（Reality Labs）工作过，也许其他部门的情况有所不同。
在Meta，我们每季度会有一段“修复周”。起初我对此感到非常兴奋：终于有领导真正关心修复Bug了！
但现实很快就给了我一击：这对代码和软件质量来说，是最糟糕的决定。基本上，这一周就变成了：你可以随意提交任何垃圾代码。然后，你有一周的时间去“修复所有Bug”。猜猜结果是什么：大多数时候，我们连一个Bug都修不完，因为我们早已被技术债务淹没了。
https://news.ycombinator.com/item?id=46037449
One of my students recently came to me with an interesting dilemma. His sister had written (without AI tools) an essay for another class, and her teacher told her that an “AI detection tool” had classified it as having been written by AI with “100% confidence”. He was going to give her a zero on the assignment.
Putting aside the ludicrous confidence score, the student’s question was: how could his sister convince the teacher she had actually written the essay herself? My only suggestion was for her to ask the teacher to sit down with her and have a 30-60 minute oral discussion on the essay so she could demonstrate she in fact knew the material. It’s a dilemma that an increasing number of honest students will face, unfortunately.
ubj
我的一名学生最近带着一个有趣的难题来找我。他的妹妹（没用AI工具）为另一门课写了篇论文，可她的老师却告诉她，某个“AI检测工具”以“100%的置信度”判定这篇论文是AI写的。他打算给她判零分。
暂且抛开那个荒谬的置信度不谈，学生的问题是：他妹妹要怎样才能说服老师，让她相信自己确实是亲手写的这篇论文？我唯一的建议是，让老师和她一起坐下来，就这篇论文进行一场30到60分钟的口头讨论，借此证明她确实掌握了相关内容。不幸的是，越来越多的诚实学生将面临这样的困境。
https://news.ycombinator.com/item?id=46028367
Rust has its issues and there are plenty of things to not like about Rust, but this article is giving me the impression that this person has not written much Rust. Unfortunately, many such cases with Rust criticism.
Memory safety is not that sacred. In fact, for many applications malfunctioning is better than crashing — particulary in the embedded world where Rust wants to be present. You cannot get 99.999% reliability with Rust — it crashes all the time.
Yeah until that memory safety issue causes memory corruption in a completely different area of code and suddenly you’re wasting time debugging difficult-to-diagnose crashes once they do start to surface.
We actually had a recent Cloudflare outage caused by a crash on unwrap() function: https://blog.cloudflare.com/18-november-2025-outage/
There were multiple failures before that unwrap() and the argument can easily be made that this is no different than an unchecked exception or a release assertion.
Sync/Send, Mutex and reference counting (Arc)? Unfortuantely, those lock or simply mess with CPU caches badly, so they are inefficient for multithreaded communication, at least an intensive one. They are safe, but inefficient. Which kinda destroys the first uncompromising thing in Rust — performance.
Doing this the “correct” way in other languages has similar impact? So I’m not sure why Rust forcing you to do the correct thing which causes perf issues is uniquely a Rust issue. Doing this the “just get it done” way in other languages will likely come back to bite you eventually even if it does unblock you temporarily.
There are plenty of times I did a static mut global in Rust just to get some shit done and oops, accidentally hit some UB as the project grew.
landr0id
Rust 有它的问题，也有许多让人不喜欢的地方，但这篇文章给我的感觉是作者没写过多少 Rust。不幸的是，对 Rust 的批评大多如此。
内存安全并非那么神圣。事实上，对于许多应用来说，出错总比崩溃好——尤其是在 Rust 想要立足的嵌入式领域。你不能用 Rust 实现 99.999% 的可靠性——因为它总是在崩溃。
是啊，直到那个内存安全问题在代码的完全不同区域导致内存损坏，然后一旦崩溃开始显现，你就得浪费时间调试那些难以诊断的崩溃。
我们最近确实遇到了一次由
unwrap()函数崩溃导致的 Cloudflare 服务中断：https://blog.cloudflare.com/18-november-2025-outage/
在那次 unwrap() 之前已经发生了多次故障，而且很容易就能论证说，这和未经检查的异常或发布时的断言没什么不同。
Sync/Send、Mutex 和引用计数（Arc）？遗憾的是，它们会严重锁定或破坏 CPU 缓存，因此在多线程通信中效率低下，至少在高强度通信时是这样。它们是安全的，但效率低下。这在某种程度上破坏了 Rust 的首要信条——性能。
在其他语言中用“正确”的方式做这件事也会有类似影响吗？所以我不明白为什么 Rust 强迫你去做那些会导致性能问题的“正确”事情，就成了 Rust 独有的问题。在其他语言中用“先做完再说”的方式去做，即便能暂时让你不受阻碍，最终也可能会反噬自身。
很多时候，为了完成一些事情，我在 Rust 中直接用了 static mut 全局变量，结果 oops，随着项目变大，不小心就触发了一些未定义行为。
https://news.ycombinator.com/item?id=46022960
Ouch. This hits incredibly hard.
I’ve been this dad who sits frozen at the TV every evening. I had the affairs with the emotionally unavailable men, and became one myself.
Before you judge the man in this story too harshly — and there’s certainly much to judge, especially given the follow-up post — consider the environment he and I grew up in. Being gay as a young teenager in the early 1990s could feel literally like a death sentence. AIDS panic was everywhere. Gay men in movies were comedy sidekicks or dying wrecks (“Philadelphia”). There was a real threat of violence from other kids. If you could pass as straight, why wouldn’t you give it your best shot? The alternative was to be a laughing stock and die alone in a hospital where nurses don’t dare touch you. (This is literally how I imagined gay life at age 13.)
I still feel like I’m barely getting started on the therapy journey to recover from those decades. Seems like the man in the story never had the chance for professional help (or didn’t seek it). The compartmentalization can be extremely taxing. He disappointed many people, but that doesn’t mean he was a bad person.
pavlov
哎，这话真是扎心了。
我曾经就是那个每晚都僵坐在电视机前的父亲。我曾和那些情感上无法敞开心扉的男人有染，后来自己也活成了那样。
在你过于苛刻地评判这个故事里的那个男人时——考虑到后续的帖子，他确实有很多地方值得批评——请先想想我们成长的环境。在90年代初，作为一名青少年同性恋者，那感觉简直就像是被判了死刑。艾滋病恐慌无处不在。电影里的同性恋角色要么是喜剧里的跟班，要么就是将死的病人（比如《费城故事》）。来自其他孩子的暴力威胁也是真实存在的。如果你能混入直人的圈子，为何不拼尽全力一试呢？另一个选择就是成为笑柄，在一家护士连碰都不敢碰你的医院里孤独地死去。（这真的就是我13岁时对同性恋生活的想象。）
我依然觉得，为了从那段岁月里恢复过来，我的疗愈之路才刚刚开始。故事里的那个男人似乎从未有过寻求专业帮助的机会（或者他没有去寻求）。那种将生活割裂成不同部分来应对的做法，会让人心力交瘁。他让许多人失望了，但这不代表他是个坏人。