2025-12-22 08:30:24
- Anna’s Archive 完成对 Spotify 的大规模备份，包含数亿条元数据与约300TB音频，并按流行度分阶段公开且提供付费企业访问。
- Jmail 以类 Google 邮箱界面公开埃普坦档案，暴露大量私人邮件与图片，引发真实性与隐私争议。
- Flock 与 Cyble 被指通过虚假滥用举报试图删除揭露其监控项目的独立网站，暴露下架机制被滥用的风险。
- Ruby 官网全面改版并发布安全修复与 4.0 预览，强调语言简洁、生态与工具链改进，建议及时升级。
- 帖子汇总了 2025 年 HN 常被提及的书目并指出多处误标，提醒读者核对书名与版本。
- 作者用少量 OpenSCAD 代码实现参数化 AA/AAA 电池盒，证明其适合结构简单且重复性高的实用零件设计。
- 爱尔兰选手 Diarmuid Early 赢得 2025 年 Excel 世界锦标赛，凸显 Excel 在限时解题与函数式自动化方面的强大能力。
- Anthropic 推出 Claude Chrome 扩展，可自动化浏览器操作与信息整理，但带来显著的安全与隐私风险。
- 实测表明树莓派 5 配外接 GPU 在多场景下以更低能耗与成本接近传统桌面表现，挑战“大 GPU 需要大 PC”的观念。
- WalletWallet 提供无需注册的网页工具将条码或文件转换为 Apple Wallet 通行证 (.pkpass)，但签名方式与隐私存在安全顾虑。
https://annas-archive.li/blog/backing-up-spotify.html
Anna’s Archive 宣布完成对 Spotify 音乐数据的全面备份，打造全球首个完全开放的音乐 Preservation Archive（保存档案），旨在永久保存人类的音乐文化遗产。
此次备份包含约 25600 万首歌曲的元数据，涵盖 1.86 亿个唯一的 ISRC 编码，是目前公开可获取的最大音乐元数据数据库。同时，已归档约 8600 万首音乐文件，总容量约 300TB，覆盖了 Spotify 平台上约 99.6% 的播放量。
数据按歌曲在 Spotify 上的“流行度”（popularity）排序，优先收录高流行度歌曲。流行度 ≥70 的歌曲几乎全部被收录，音频格式为原始 OGG Vorbis（160kbps），未重新编码，保留原始质量。对于流行度为 0 的歌曲，采用 OGG Opus 编码（75kbps），音质对多数人无明显差异，但专家可能察觉差异。
所有数据通过种子文件（torrents）分阶段发布，目前元数据已上线，音乐文件将按流行度顺序陆续释放。后续还将提供文件路径、校验码、专辑封面及用于还原原始文件的 .zstdpatch 补丁文件。
该档案的建立弥补了现有音乐数字保存工作的三大不足：过度集中于热门艺术家、追求极致音质导致存储成本过高、缺乏覆盖全量音乐的权威种子列表。
Anna’s Archive 强调，尽管 Spotify 并非收录全球所有音乐，但其数据已构成一个极具价值的起点。团队呼吁公众参与：通过捐赠支持项目，或通过种子分享帮助维护数据的长期可用性。
该档案目前仅通过种子文件提供，未来若需求足够，可能开放单个文件下载功能。欢迎用户反馈需求。
https://news.ycombinator.com/item?id=46338339
该网页是一个电子邮件界面，显示了名为 Jeffrey Epstein 的用户（[email protected]）的收件箱内容。界面呈现了多封来自不同联系人和平台的邮件，涵盖新闻摘要、社交互动、私人信件及媒体资讯。
邮件内容主要分为几类：
整体来看，该页面呈现了一个高度私人化、信息密集的电子邮件收件箱，内容混合了真实人物互动、媒体资讯、情感表达与网络玩笑，反映出 Epstein 在社交、政治与媒体领域的广泛联系，以及其在公众视野中的复杂形象。
https://news.ycombinator.com/item?id=46339600
https://haveibeenflocked.com/news/cyble-downtime
Flock 公司与网络安全公司 Cyble Inc.合作，利用“打击网络犯罪”名义对批评者进行打压。Cyble 以 Flock 为委托方，向云服务商 Cloudflare 提交虚假举报，指控“Have I Been Flocked”网站存在“网络钓鱼”和“商标侵权”，试图删除该网站。
举报内容声称该网站未经授权使用 Flock 的商标，伪装成虚假网页欺骗公众。但事实上，该网站仅公开了 Flock 大规模监控平台的相关信息，属于对政府承包项目透明度的监督行为。
Cyble 提交的报告漏洞明显：既未提供有效证据，又将公开的政府记录错误归为“非法获取”，企图通过堆砌多种指控来掩盖其真实目的——压制对 Flock 的监督。
Cloudflare 回应称，若能提供信息来源或授权证明，可重新评估。但该网站已明确指出，其内容均来自公开渠道，而 Cyble 的举报逻辑本身存在矛盾。
作者表示，尽管遭遇服务中断，但已迅速将网站迁移至其他平台，不会因打压而停止揭露 Flock 滥用监控技术的行为。该事件揭示了某些企业如何利用“网络安全”名义，对批评者实施网络审查。
网站强调自身独立性，与 Flock、政府机构或任何组织均无关联，致力于推动对 AI 监控技术的问责与公众监督。
https://news.ycombinator.com/item?id=46341305
Ruby 是一种自 1995 年起广受程序员喜爱的编程语言，最新版本为 3.4.8。该语言以简洁、易读、自然的语法著称，强调“让程序员快乐”，其设计哲学使代码更贴近自然语言，减少冗余，提升开发效率。
网页通过多个代码示例展示了 Ruby 的强大功能：从基础字符串操作、数组运算到面向对象编程中的类定义与实例化，体现了 Ruby 的直观与表达力。例如，使用 times 方法重复输出，用 sub 和 upcase 处理字符串，以及通过 cities - visited 实现集合差集运算。
Ruby 拥有丰富的生态系统，超过 20 万种名为 gems 的库，支持从 Web 开发（如 Rails 框架）到数据处理的各类应用。成熟的工具链如 Bundler、RSpec 等，使开发者能快速构建高质量应用。
多位知名开发者如 Ruby on Rails 创作者 David Heinemeier Hansson 和《程序员修炼之道》作者 Dave Thomas 都高度评价 Ruby 的优雅与高效，认为它能将想法快速转化为简洁、优美的代码。
Ruby 社区以“Matz is nice and so we are nice”（MINASWAN）为精神核心，倡导友好、互助与包容，吸引了全球开发者参与，定期举办会议与活动，形成温暖而活跃的交流氛围。
最新动态显示，Ruby 4.0.0 已发布 preview3 版本，引入新特性如 Ruby::Box 和 ZJIT（即时编译优化），并升级 Unicode 支持至 17.0.0。同时，Ruby 3.4.8 也已发布，修复多项安全问题。
安全方面，近期发布了多个 CVE 通告，涉及 URI 认证泄露、REXML 和 net-imap 模块的拒绝服务漏洞，提醒用户及时更新版本以保障系统安全。
该网站由 Ruby 社区成员维护，致力于推广 Ruby 语言及其生态，鼓励更多人加入“Rubyist”行列，共同“快乐编程”。
https://news.ycombinator.com/item?id=46342859
https://hackernews-readings-613604506318.us-west1.run.app
页面展示的是 Hacker News 的最新热门内容，主要为技术类文章、编程讨论和创业项目分享。首页顶部为排名靠前的链接，每条包含标题、作者、发布时间及评论数。热门话题包括人工智能在代码生成中的应用、Web3 技术的实践挑战、开源项目的维护困境，以及开发者对新型编程语言的探索。部分文章附有简要摘要，如一篇关于 Rust 语言在系统编程中安全优势的深度分析，另一篇讨论大模型如何改变软件开发流程。评论区活跃，用户多从技术实现、实际应用和潜在风险角度展开讨论，体现出社区对前沿技术的批判性思考与实践关注。整体内容聚焦于技术趋势、开发者经验与行业反思。
https://news.ycombinator.com/item?id=46345897
https://nuxx.net/blog/2025/12/20/openscad-is-kinda-neat/
本文作者分享了使用 OpenSCAD 设计电池盒的体验，作为学习这款基于代码的 CAD 工具的入门项目。作者此前用 Autodesk Fusion 设计过一个可参数化的电池盒，支持 AA 和 AAA 电池，通过调整行数、列数和电池类型即可生成不同规格的模型。为了学习新工具，他决定用 OpenSCAD 重做这个设计。
OpenSCAD 的核心特点是通过编写代码来生成三维模型，适合结构简单但重复性强的设计。作者仅用几十行代码就实现了功能：定义电池尺寸、壁厚、行列数等参数，然后通过 cube() 和 difference() 函数创建一个外盒，并在内部循环生成电池孔位的切口。
关键代码逻辑是使用嵌套循环和 translate() 函数精确放置每个电池孔，同时用 let() 语句计算每个孔的起始位置。作者提到对 let() 的使用感到困惑，但功能已实现。
最终生成的模型与 Fusion 版本效果一致，可直接导入切片软件打印，无需依赖昂贵的 CAD 软件。作者认为 OpenSCAD 非常适合制作如垫片、轴承座、定位孔等简单但实用的零件，未来可能成为这类设计的首选工具。
https://news.ycombinator.com/item?id=46337984
https://www.bbc.com/news/articles/cj4qzgvxxgvo
爱尔兰籍选手迪亚姆德·伊里（Diarmuid Early）在 2025 年微软电子表格（Microsoft Excel）世界锦标赛中夺冠，成为全球最顶尖的电子表格高手。他击败了三届冠军、来自澳大利亚的安德鲁·奈（Andrew Ngai），赢得 6 万美元奖金及“世界冠军”头衔。
该赛事在拉斯维加斯举行，吸引了来自全球的 256 名选手参与，经过多轮淘汰赛，最终 24 人进入决赛。比赛以高强度、限时挑战为特点，每五分钟淘汰一名排名最低的选手，现场气氛如同大型体育赛事，观众欢呼、解说员激情播报，参赛者需在嘈杂环境中保持专注。
迪亚姆德被称为“电子表格界的勒布朗·詹姆斯”，因其卓越的反应速度与逻辑思维能力而闻名。他强调，比赛并不依赖会计或金融知识，而是考验快速解决问题的能力，如解迷宫、分析扑克牌型、整理历史人物战役数据等。每道题限时 30 分钟，按得分和完成速度决出胜负。
尽管长期活跃于金融领域，迪亚姆德表示自己的商业成功也得益于 Excel 技能。他目前在纽约经营个人财务咨询业务，已有客户因他在比赛中的名声主动寻求合作。
虽然他本人对短视频平台兴趣不大，但已通过 YouTube 发布解题视频和直播演示，吸引大量爱好者加入。目前该赛事拥有活跃的全球社群，包括一个庞大的微信群组，持续吸纳新玩家。
如今，电子表格竞技正迎来“黄金时代”，从最初仅限金融领域的比赛，发展为涵盖广泛逻辑与计算能力的综合性智力运动。2026 年“通往拉斯维加斯之战”预选赛已开放报名，将于 1 月 22 日启动。
https://news.ycombinator.com/item?id=46339031
Claude 在 Chrome 浏览器中的扩展功能现已进入测试阶段，面向所有付费订阅用户开放。该功能允许 Claude 在浏览器中自动导航、点击按钮、填写表单，提升工作效率。
主要功能包括：
使用建议：
安全提醒： 浏览器端 AI 存在提示注入等安全风险，恶意网站可能诱导 Claude 执行非预期操作。尽管已采取防护措施，但无法完全杜绝风险。建议用户了解相关风险，谨慎使用。
该功能可与 Claude Code 和 Claude Desktop 配合使用，实现开发流程自动化，支持后台运行任务和定时工作流，提升整体效率。
https://news.ycombinator.com/item?id=46339777
https://www.jeffgeerling.com/blog/2025/big-gpus-dont-need-big-pcs
本文探讨了在树莓派 5 上使用外部 GPU（eGPU）的实际性能表现，挑战了“大 GPU 需要大 PC”的传统观念。作者通过对比树莓派 5 与现代桌面 PC 在四种场景下的表现，验证了树莓派在特定条件下具备与高端 PC 媲美甚至超越的潜力。
核心结论是：尽管树莓派仅提供单条 PCIe Gen 3 通道（约 850MB/s），远低于桌面 PC 的 16 条 PCIe Gen 5 通道（512GT/s），但在多 GPU 协同、高效内存共享和特定工作负载下，树莓派依然能实现接近甚至超越桌面 PC 的性能，尤其是在能效比方面优势显著。
测试内容包括：
成本与能效方面，树莓派 eGPU 系统总价约 350-400 美元，远低于 1500-2000 美元的桌面 PC。待机功耗仅 4-5W，而 PC 高达 30W，效率优势明显。
尽管在游戏兼容性上仍存在挑战（如 Steam 在 Arm 架构下安装困难），但本文证明：对于媒体服务器、AI 推理、图形渲染等场景，树莓派 +eGPU 组合不仅是可行的，而且在效率和性价比上极具竞争力。
https://news.ycombinator.com/item?id=46338016
这是一个免费的在线工具网站，名为 WalletWallet，旨在帮助用户将实体会员卡或优惠卡的条形码转换为可存储在苹果 Wallet 应用中的数字通行证。
用户无需注册、无需安装任何软件，所有处理都在浏览器本地完成，确保隐私安全。
使用流程分为三步：首先输入或扫描条形码数据，支持 QR 码、Code 128、PDF417、Aztec 等多种格式；然后自定义通行证的标题、标签、数值和卡片颜色；最后生成并下载 .pkpass 格式的文件，直接添加到苹果 Wallet 中。
网站支持通过摄像头扫描或上传图片来获取二维码，并提供手动输入选项，操作简单直观。
该工具由 Alen 使用 Claude 开发，属于开源项目之一，同时提供博客链接以获取更多资讯。
注意：Apple Wallet 是苹果公司的注册商标，本工具为第三方非官方应用。
https://news.ycombinator.com/item?id=46345745
https://news.ycombinator.com/item?id=46340821
Let’s spend years plugging holes in V8, splitting browser components to separate processes and improving sandboxing and then just plug in LLM with debugging enabled into Chrome. Great idea. Last time we had such a great idea it was lead in gasoline.
CAP_NET_ADMIN
让我们花几年时间修复V8的漏洞、将浏览器组件拆分到独立进程、改进沙盒技术，然后呢？直接把开着调试模式的LLM插进Chrome里。好主意。上次我们有这么“棒”的主意，还是在汽油里加铅呢。
https://news.ycombinator.com/item?id=46339136
To put this into perspective, What.CD [0] was widely considered to be the music library of Alexandria, unparalleled in both its high quality standard and it’s depth. What had in the ballpark of a few million torrents when it got raided and shut down. Anna’s rip of Spotify includes roughly 186 million unique records. Granted, the tail end is a mixed bag of bot music and whatnot, but the scale is staggering.
[0] https://en.wikipedia.org/wiki/What.CD
Etheryte
为了让大家有个概念，What.CD [0]曾被广泛认为是音乐界的亚历山大图书馆，无论在高质量标准还是内容的深度上都无可匹敌。它在被查封关闭时，大概有几百万个种子文件。而安娜对Spotify的抓取则包含了大约1.86亿条独特记录。诚然，末尾部分混杂着一些机器人生成的音乐和其他乱七八糟的东西，但其规模仍令人震惊。 [0] https://en.wikipedia.org/wiki/What.CD
https://news.ycombinator.com/item?id=46347543
I’m burned out because I have to raise two young children, work a full time job in a demanding career, and then in the hour or two a day of time that isn’t accounted for in those two tasks, I need to maintain a household and try to care for myself. I feel a strong sense of purpose caring for my family, but don’t have enough time to meet life’s demands. Maybe other people relate more to this post because they more money and no kids.
unstyledcontent
我累垮了，因为我得养两个年幼的孩子，从事一份要求苛刻的全职工作，然后在除了这两件事之外每天仅剩的一两个小时里，我还得维持一个家的运转，并努力照顾自己。我在照顾家人时感到一种强烈的使命感，但却没有足够的时间去应对生活中的各种需求。也许其他人更能理解这篇帖子，因为他们更有钱且没有孩子。
https://news.ycombinator.com/item?id=46337844
Self-hosting is more a question of responsibility I’d say. I am running a couple of SaaS products and self-host at much better performance at a fraction of the cost of running this on AWS. It’s amazing and it works perfectly fine.
For client projects, however, I always try and sell them on paying the AWS fees, simply because it shifts the responsibility of the hardware being “up” to someone else. It does not inherently solve the downtime problem, but it allows me to say, “we’ll have to wait until they’ve sorted this out, Ikea and Disney are down, too.”
Doesn’t always work like that and isn’t always a tried-and-true excuse, but generally lets me sleep much better at night.
With limited budgets, however, it’s hard to accept the cost of RDS (and we’re talking with at least one staging environment) when comparing it to a very tight 3-node Galera cluster running on Hetzner at barely a couple of bucks a month.
Or Cloudflare, titan at the front, being down again today and the past two days (intermittently) after also being down a few weeks ago and earlier this year as well. Also had SQS queues time out several times this week, they picked up again shortly, but it’s not like those things …never happen on managed environments. They happen quite a bit.
mittermayr
我认为，自托管更多关乎责任问题。我运营着几个SaaS产品，自托管不仅性能远超AWS，而且成本也只是其一小部分。效果惊人，而且运行得非常好。
然而，对于客户项目，我总是建议他们选择支付AWS的费用，因为这能将硬件“在线运行”的责任转移给他人。这并不能从根本上解决宕机问题，但它让我可以说：“我们只能等他们解决了，宜家和迪士尼也宕机了。”
这种方法并非总是奏效，也并非总是万无一失的借口，但总的来说，它能让我晚上睡得更安稳。
然而，在预算有限的情况下，与一个在Hetzner上运行、每月仅需几美元、配置紧凑的3节点Galera集群相比，很难让人接受RDS（我们至少需要一个暂存环境）的成本。
又或者，Cloudflare及其前置的Titan服务，在今天和过去两天间歇性宕机，而几周前和今年早些时候也曾宕机过。本周SQS队列也几次超时，虽然很快又恢复了，但这并不意味着这些事情在托管环境中就绝对不会发生。这种情况其实相当常见。
https://news.ycombinator.com/item?id=46341793
If Flock truly believed that the domain name infringes on their trademark, they would file an ICANN UDRP complaint instead of Cloudflare and Hetzner abuse reports.
But they don’t, because the former would require them to perjure themselves, and the latter just requires them to lie to a hosting company.
greyface-
如果 Flock 真的认为该域名侵犯了他们的商标，他们会提交一个 ICANN UDRP 投诉，而不是向 Cloudflare 和 Hetzner 提交滥用报告。 但他们没有，因为前者会让他们自己作伪证，而后者只需要对托管公司撒谎。
https://news.ycombinator.com/item?id=46338463
This is why it’s almost always wrong for library functions to log anything, even on ”errors”. Pass the status up through return values or exceptions. As a library author you have no clue as how an application might use it. Multi threading, retry loops and expected failures will turn what’s a significant event in one context into what’s not even worthy of a debug log in another. No rule without exceptions of course, one valid case could be for example truly slow operations where progress reports are expected. Modern tracing telemetry with sampling can be another solution for the paranoid.
Too
这就是为什么库函数几乎总是不应该记录任何东西，即使在“错误”发生时也是如此。状态应该通过返回值或异常来传递。作为库的作者，你根本无法知道应用程序会如何使用它。在一个场景中具有重要意义的事件，比如多线程、重试循环和预期的失败，在另一个场景中可能根本不值得记录调试日志。当然，没有规则没有例外，一个有效的例子就是那些真正耗时的操作，在这些操作中，进度报告是理所应当的。对于那些偏执的开发者来说，采用抽样技术的现代追踪遥测系统是另一个解决方案。
https://news.ycombinator.com/item?id=46338335
When implementing logging, it’s important to distinguish between an error from the perspective of an individual operation and an error from the perspective of the overall program or system. Individual operations may well experience errors that are not error level log events for the overall program. You could say that an operation error is anything that prevents an operation from completing successfully, while a program level error is something that prevents the program as a whole from working right.
This is a nontrivial problem when using properly modularized code and libraries that perform logging. They can’t tell whether their operational error is also a program-level error, which can depend on usage context, but they still want to log the operational error themselves, in order to provide the details that aren’t accessible to higher-level code. This lower-level logging has to choose some status.
Should only “top-level” code ever log an error? That can make it difficult to identify the low-level root causes of a top-level failure. It also can hamper modularization, because it means you can’t repackage one program’s high-level code as a library for use by other programs, without somehow factoring out the logging code again.
layer8
在实现日志记录时，区分从单个操作角度看的错误和从整个程序或系统角度看的错误是至关重要的。单个操作可能会遇到错误，但该错误对于整个程序来说，未必是需要记录为错误级别的日志事件。可以说，操作错误是任何妨碍操作成功完成的事情，而程序级别的错误则是妨碍整个程序正常工作的东西。
当使用正确模块化并执行日志记录的代码和库时，这是一个棘手的问题。它们无法判断其操作错误是否也是程序级别的错误（这可能取决于使用上下文），但它们仍然希望自己记录这个操作错误，以便提供更高级别代码无法访问的详细信息。这种底层日志记录必须选择某种状态。
是否应该只有“顶级”代码才能记录错误？这可能会难以识别高级别故障的根本原因。这也可能阻碍模块化，因为这意味着如果无法以某种方式再次分离出日志记录代码，你就无法将一个程序的高级代码重新打包成库供其他程序使用。
https://news.ycombinator.com/item?id=46343336
The AI witch hunt claims its first victim, apparently over some placeholder textures.
Sandfall Interactive further clarifies that there are no generative AI-created assets in the game. When the first AI tools became available in 2022, some members of the team briefly experimented with them to generate temporary placeholder textures. Upon release, instances of a placeholder texture were removed within 5 days to be replaced with the correct textures that had always been intended for release, but were missed during the Quality Assurance process.
skibidithink
AI猎巫运动的第一个受害者已经出现，起因似乎是某些占位纹理。
Sandfall Interactive进一步澄清，游戏中没有任何由生成式AI创建的素材。当2022年首批AI工具问世时，团队中的少数成员曾短暂地试用它们来生成临时的占位纹理。游戏发布后，这些占位纹理的实例在5天内被移除，并替换为本计划用于发布、但在质量保证过程中被遗漏的正确纹理。
https://news.ycombinator.com/item?id=46344963
I used cursor over the past three weeks to update a 12 year-old Ruby on rails project. While it has been slightly updated throughout the years, this was my first proper modernization of the code base.
It’s been a real pleasure getting back into Ruby after so many years in typescript, python, and rust.
Happy to see the update. Real shame about the haters here, the Ruby community is a supportive and positive bunch that has shipped real products while others seem to worship at the altar of computer science alone… that’s about as counter snarky as I want to be here
kshahkshah
在过去的三个星期里，我用了 Cursor 来更新一个有12年历史的 Ruby on Rails 项目。虽然这个项目多年来有过一些小幅更新，但这才是我第一次真正地对代码库进行现代化改造。
在 TypeScript、Python 和 Rust 这些领域待了这么多年之后，能重新回到 Ruby 真是一种享受。
很高兴看到这次更新。这里的喷子真是让人无语，Ruby 社区是一个充满支持和积极正能量的群体，他们已经做出了实实在在的产品，而另一些人似乎只把计算机科学奉为圭臬……我在这里的反驳，大概也就到此为止了，不想再刻薄下去了。
https://news.ycombinator.com/item?id=46339690
The Anna’s archive group is ideologically motivated. They’re definitely not doing this for AI companies.
They have a page directly addressed to AI companies, offering them “enterprise-level” access to their complete archives in exchange for tens of thousands of dollars. AI may not be their original/primary motivation but they are evidently on board with facilitating AI labs piracy-maxxing.
jsheard
Anna’s archive小组是有意识形态动机的。他们肯定不是为AI公司做这件事。他们有一个直接面向AI公司的页面，向AI公司提供对其完整档案的“企业级”访问权限，以换取数万美元。AI可能不是他们的原始/主要动机，但他们显然支持促进AI实验室最大化利用盗版资源。
https://news.ycombinator.com/item?id=46340750
I’m impressed. You guys cloned a whole suite of products in a short period of time that cost millions of dollars. Even the little bits of humor look costly.
On the other hand, it’s way more information than I expected. I can see why someone would hesitate to release them - there’s a lot to sift through and it’s likely even the government couldn’t sift through all of them to make sure their friends weren’t mentioned somewhere.
muzani
我印象深刻。你们在短时间内复制了价值数百万美元的一整套产品。就连那一点点幽默看起来也代价不菲。另一方面，信息量远超我的预期。我能理解为什么有人会犹豫是否要发布它们——需要筛选的内容太多了，而且即便是政府可能也无法筛查全部内容，以确保他们的朋友没有被提及在某处。
https://news.ycombinator.com/item?id=46337014
LLMs have certainly become extremely useful for Software Engineers, they’re very convincing (and pleasers, too) and I’m still unsure about the future of our day-to-day job.
But one thing that has scared me the most, is the trust of LLMs output to the general society. I believe that for software engineers it’s really easy to see if it’s being useful or not – We can just run the code and see if the output is what we expected, if not, iterate it, and continue. There’s still a professional looking to what it produces.
On the contrary, for more day-to-day usage of the general pubic, is getting really scary. I’ve had multiple members of my family using AI to ask for medical advice, life advice, and stuff were I still see hallucinations daily, but at the same time they’re so convincing that it’s hard for them not to trust them.
I still have seen fake quotes, fake investigations, fake news being spreaded by LLMs that have affected decisions (maybe, not as crucials yet but time will tell) and that’s a danger that most software engineers just gross over.
Accountability is a big asterisk that everyone seems to ignore
etra0
大型语言模型对软件工程师来说无疑变得极其有用，它们非常具有说服力（而且也很讨人喜欢），但我对我们日常工作未来的走向仍然不确定。
但最让我感到害怕的一件事，是社会大众对大型语言模型输出结果的信任。我相信，对于软件工程师来说，很容易判断其是否有用——我们只需运行代码，看看输出是否与预期一致，如果不一致，就进行迭代，然后继续。对于其产出的内容，我们依然抱有专业的审视态度。
相反，对于社会大众在日常生活中的更多使用来说，情况就变得非常可怕了。我家里有多个成员在使用AI寻求医疗建议和生活建议，以及其他我每天依然能看到其“幻觉”的内容，但与此同时，这些回答又如此具有说服力，让他们很难不去信任。
我仍然看到大型语言模型在传播虚假引述、虚假调查和假新闻，这些已经影响了人们的决定（也许这些决定目前还不是至关重要的，但时间会证明一切），而这是大多数软件工程师都严重忽视的危险。
责任归属是一个巨大的脚注，似乎所有人都忽略了它。
https://news.ycombinator.com/item?id=46341900
https://hn-wrapped.kadoa.com/ethmarks
Mine seems to think that I’m some kind of detail-obsessed super-pedant. Personally, I think this is ridiculous. “super” is a Latin stem meaning “beyond”, which implies that I’ve transcended the qualities of pedantry. A better term would be ‘pluri-pedant’, which denotes someone who is exceptionally punctilious while still remaining within the bounds of being pedantic.
ethmarks
我的 Hacker News Wrapped 总结似乎觉得我是一个对细节着迷的超级学究。可我个人觉得，这简直荒谬至极。“super” 这个词源自拉丁语，意为“超越”，言下之意是我已经超越了学究的特质。一个更合适的词应该是 ‘pluri-pedant’，它指的是那些极其一丝不苟，但仍未跳出学究圈的人。
https://news.ycombinator.com/item?id=46337843
An issue with having the legal limit at ~2-5ng/ml is that it makes habitual users be over the limit if they have smoked recently or not.[0] Making the prohibition seem unserious to some, not about safety but about punitive control, and in turn making it matter less if you smoke and drive as you are taking the risk of getting into trouble in any case.
The impairments of driving under the influence of alcohol have been extensively studied, but unless I have overlooked the literature it seems that the same investigations have not been carried out with THC.
[0] «Blood THC >2 ng/mL, and possibly even THC >5 ng/mL, does not necessarily represent recent use of cannabis in frequent cannabis users.»; https://www.sciencedirect.com/science/article/abs/pii/S0376871620303422
tokai
将法定上限设定在~2-5纳克/毫升的问题是，这会导致习惯性使用者无论最近是否吸食过都超标。[0]这让一些人觉得禁令不严肃，不是为了安全而是为了惩罚性管控，进而让吸食后驾车显得不那么重要，因为反正你都在冒惹上麻烦的风险。
酒驾造成的损害已被广泛研究，但除非我忽略了相关文献，似乎同样的研究尚未对THC进行过。
[0] «血液中THC浓度>2纳克/毫升，甚至可能>5纳克/毫升，不一定代表频繁大麻使用者近期使用过大麻。»; https://www.sciencedirect.com/science/article/abs/pii/S0376871620303422
https://news.ycombinator.com/item?id=46336153
The disater plan is to have a few dozens stratum 1 servers spread around the world, each connected to a distinct primary atomic clock, so that a catastrophic disaster needs to take down the global internet itself for all servers to become unreachable.
The failure of a single such server is far from a disaster.
cornholio
灾难计划是让几十台一级服务器分布在世界各地，每台服务器都连接到一个独立的主级原子钟，这样，只有发生一场能摧毁整个全球互联网的大灾难，才会导致所有服务器都无法访问。单个服务器的故障远算不上是一场灾难。
https://news.ycombinator.com/item?id=46339019
The thing is, this doesn’t even seem particularly useful for average consumers/listeners, since Spotify itself is so convenient, and trying to locate individual tracks in massive torrent files of presumably 10,000’s of tracks each sounds horrible.
I wouldn’t be so sure. There are already tools to automatically locate and stream pirated TV and movie content automatic and on demand. They’re so common that I had non-technical family members bragging at Thanksgiving about how they bought at box at their local Best Buy that has an app which plays any movie or TV show they want on demand without paying anything. They didn’t understand what was happening, but they said it worked great.
Definitely wondering if this was in response to desire from AI researchers/companies who wanted this stuff.
The Anna’s archive group is ideologically motivated. They’re definitely not doing this for AI companies.
Aurornis
问题是，这对普通消费者/听众来说似乎没什么大用，因为Spotify本身已经非常方便了，而且要在可能包含数万首曲目的巨大种子文件中定位单个音轨，听起来就让人头疼。 我可不这么认为。已经有工具可以自动按需定位和播放盗版的电视和电影内容了。这些工具非常普遍，以至于我在感恩节时，连不懂技术的家人都在吹嘘说，他们在当地百思买买了一个盒子，上面的应用可以按需播放任何他们想要的电视节目或电影，而且完全免费。他们不明白这是什么原理，但他们说用起来效果非常好。 Anna’s archive（安娜档案馆）这个组织是受意识形态驱动的。他们绝对不是为AI公司做这件事的。
https://news.ycombinator.com/item?id=46346238
If you’re not familiar with Tim Ferriss, you should know that there is always more to the story than the narrative he shares. He’s one of the most charismatic and charming writers and podcasters out there and has a strong ability to build trust through his writing. However, he also has a long history of stretching the truth and spinning history in his favor, often by omitting important facts.
One example: His 4 Hour Work Week book really was on the New York Times Best Seller list for a long time like he brags about in this post, but he has also bragged in other contexts about all of the manipulation and engineering (including mass purchasing books to artificially inflate sales numbers) that goes into gaming the New York Times Best Seller List.
On the topic of being famous, he’s not typically famous like a celebrity. He built his career around being a self-help guru who will bring you the secrets to success in business, life, relationships, and even cooking. He’s talked about how he selects his writing topics based on how to present solutions for people’s inner desires, like financial freedom or impressing people for dating success. He puts himself at the center of these writings, presenting himself as the conduit for these revelations. He was even early in social media and blogging and experimented with social media engagements and paid events where you get to come hang out with Tim Ferriss and learn his secrets, encouraging his fans to idolize him and his wisdom dispensing abilities.
So his relationship with his fans isn’t typical fame in the style of a celebrity or actor. He’s more of an early self-help guru who embraced social media and blogging early on. His experience with uncomfortable fan obsessions is therefore probably on the next level, but not exactly typical fame.
EDIT to add why I know this: Tim Ferriss literally wrote the book on how to abuse remote work. His Four Hour Work Week book encourages readers to talk their boss into working remote then to outsource their work to low paid overseas assistants so they have more time to travel the world. It encourages things like setting up an e-mail auto responder and only responding to your coworkers once a week whine you’re “working remote” and setting up your own side job while traveling the world. If you’ve ever had a remote work job get ruined by people abusing it, chances are good that those people had read a Tim Ferriss book somewhere along the way.
Aurornis
如果你对蒂姆·费里斯（Tim Ferriss）不熟悉，你应该知道，他分享的叙事之外，故事总有更多内幕。他是当下最具魅力和魅力的作家和播客主之一，并且通过写作建立信任的能力很强。然而，他也有长期夸大事实、为了自身利益歪曲历史的历史，通常是通过省略重要事实。
一个例子：他的《每周工作4小时》一书确实像他在帖子中吹嘘的那样在《纽约时报》畅销书榜上停留了很长时间，但他也在其他场合吹嘘过为操纵《纽约时报》畅销书榜单所做的一切操纵和策划（包括大量购买书籍人为抬高销量数字）。
在成名的话题上，他不像名人那样通常意义上的出名。他的职业生涯建立在成为一名自助大师的基础上，他会为你带来商业、生活、关系乃至烹饪的成功秘诀。他曾谈到如何选择写作主题：基于如何呈现人们内心渴望的解决方案，比如财务自由，或是为了约会成功而打动他人。他将这些写作的中心置于自己身上，将自己呈现为这些启示的渠道。他甚至很早就涉足社交媒体和博客，并尝试社交媒体互动和付费活动——在这些活动中，你可以来和蒂姆·费里斯一起闲逛并学习他的秘诀，鼓励他的粉丝崇拜他和他的智慧传授能力。
因此，他与粉丝的关系并非名人或演员那种典型的成名方式。他更像一位很早就拥抱社交媒体和博客的早期自助大师。因此，他对令人不适的粉丝痴迷的体验可能更进一层，但又并非典型的成名。
编辑补充我知道这些的原因：蒂姆·费里斯简直就是滥用远程工作的鼻祖。他的《每周工作4小时》一书鼓励读者说服老板允许远程工作，然后把工作外包给低薪的海外助理，这样他们就有更多时间环游世界。它鼓励一些做法，比如设置邮件自动回复，在“远程办公”时每周只回复一次同事邮件，以及环游世界时建立自己的副业。如果你曾因远程工作被滥用而毁了这份工作，那么这些人很可能在某个时候读过蒂姆·费里斯的书。
https://news.ycombinator.com/item?id=46347784
Why would anyone want to buy a new computer now unless the old one is worn out? There is no price/performance improvement. Nor will there be for the next five years or so. NVidia says to expect 10% price increases each year. DRAM prices have doubled, and Samsung says not to expect price cuts. Micron just exited the retail RAM business.
Microsoft is trying to escape this trap by pivoting to Windows as a subscription service. It will get worse, not better.
Animats
除非旧电脑坏了，否则现在谁会想买新电脑？价格和性能方面没有任何提升，而且未来五年左右也不会有。英伟达表示，预计每年价格都会上涨10%。内存价格已经翻了一番，而三星也表示不要期望价格会下降。美光刚刚退出了零售内存业务。微软试图通过将Windows转变为订阅服务来摆脱这个困境。情况只会变得更糟，而不是更好。
https://news.ycombinator.com/item?id=46339663
I think what earned what.cd that title wasn’t necessarily just the amount but the quality, as you mentioned, as well as the obscurity of a lot of the offered material. I remember finding an early EP of an unknown local band on there, and I live in the middle of nowhere in Europe. There were also quite a few really old and niche records on there which possibly couldn’t be put on streaming services due to the ownership of rights being unknown. It was the equivalent of vinyl crate digging without physical restrictions.
Additionally there was a lot of discourse about music and a lot of curated discovery mechanisms I sorely miss to this day. An algorithm is no replacement for the amount of time and care people put into the web of similar artists, playlists of recommendations and reviews. Despite it being piracy, music consumption through it felt more purposeful. It’s introduced me to some of my all time favourite artists, which I’ve seen live and own records and merchandise of.
flxy
我认为 what.cd 赢得那个名声的，不一定是数量，而是你提到的质量，以及大量材料的稀有性。我记得我在上面找到了一个不知名本地乐队的早期EP，而我住在欧洲一个很偏僻的地方。那上面还有很多非常古老、小众的唱片，可能因为版权归属不明而无法被放到流媒体服务上。这就像是一种没有物理限制的黑胶唱片寻宝。
此外，上面还有很多关于音乐的讨论，以及我至今仍非常怀念的、许多精心策划的发现机制。算法无法替代人们为构建相似艺术家网络、制作推荐歌单和撰写乐评所投入的时间和心血。尽管是盗版，但通过它进行的音乐消费感觉更有目的性。它让我认识了一些我最喜欢的艺术家，我不仅看过他们的现场演出，还拥有他们的唱片和周边商品。
https://news.ycombinator.com/item?id=46343613
That’s incredibly harsh. A blanket ban on AI generated assets is dumb as hell. Generating placeholder assets is completely acceptable.
thiht
这太苛刻了。全面禁止AI生成的资产蠢透了。生成占位资产完全是完全可以接受的。
2025-12-21 08:37:01
- WebKit 推出 display: grid‑lanes，为瀑布流和自适应列布局提供原生支持，减少对 JS 和媒体查询的依赖。
- 空中客车拟将核心应用迁移到受欧洲法律管辖的主权云以保障数据主权并规避美国云法案风险，招标预计2026年初。
- NIST 博尔德站点因停电及备用发电机故障导致本地 NTP 服务受损，团队正用备用电源保护原子钟并限制服务以防错误时间传播。
- 作者两年自托管 PostgreSQL 的经验表明在成本、性能和可控性上常优于云数据库，但需承担运维责任且不适合所有场景。
- 文章主张将匿名作为架构原则而非隐私营销，强调不保存身份信息能在被攻破或被胁迫时更好地保护用户但会失去找回机制。
- Karpathy 回顾 2025 年 LLM 发展，指出 RLVR、对智能的新认识、应用层兴起和本地代理等促成了范式跃迁。
- 通过公开固件与 AI 辅助逆向，研究者发现 TP‑Link Tapo C200 固件中嵌入私钥并存在多处缓冲区溢出，约 2.5 万台设备可能受影响。
- 基于 reVC 与 WebAssembly 的移植演示可在浏览器运行《GTA: Vice City》（需用户自备资源），属于技术展示且存在法律灰色地带。
- Charles Proxy 是跨平台的付费 HTTP/HTTPS 调试代理，Charles 5 强化了界面、性能及对 HTTP/2 与 TLS 调试的支持。
- Tiny Tapeout 项目用约 4000 门逻辑电路实现彩色视频与音频演示，展示在无 CPU/无内存的极简硬件下通过算法压缩实现复杂效果。
https://webkit.org/blog/17660/introducing-css-grid-lanes/
Webkit 团队正式推出 CSS Grid Lanes 功能，为网页布局带来全新可能性，尤其适用于灵活的瀑布流式内容展示，如照片画廊、新闻文章等。
Grid Lanes 通过 display: grid-lanes 启用，结合 grid-template-columns 定义列布局，支持响应式设计。例如使用 repeat(auto-fill, minmax(250px, 1fr)) 可自动填充可用空间，创建自适应列数的布局，无需媒体查询或容器查询。
该功能支持多种高级布局特性：
grid-template-columns 实现交替宽窄列，如 minmax(8rem, 1fr) minmax(16rem, 2fr) minmax(8rem, 1fr)，确保首尾列始终为窄列。grid-column: span X 可让元素跨越多个列，实现如报纸版式中大图或标题横跨多栏的设计。grid-column: -3 / -1 等语法将元素固定在特定列，例如将标题置于最后一列。grid-template-columns 或 grid-template-rows，可实现瀑布流（纵向）或砖块式（横向）布局，系统自动根据定义方向决定流式方向。引入“容差”（item-tolerance）概念，控制布局算法对元素高度差异的敏感度。默认值为 1em，意味着小于 1em 的高度差异被视为相等，避免因微小差异导致内容顺序混乱，提升可访问性与用户体验。用户可调高容差值以减少布局抖动。
该功能已在 Safari Technology Preview 234 中上线，开发者可立即试用。CSS 工作组仍在讨论是否新增专门属性控制方向，但目前使用 grid-template-columns 或 grid-template-rows 已能正常工作。
Grid Lanes 使网页布局更智能、更高效，支持无限滚动加载、键盘导航、无需 JavaScript 布局逻辑，是现代响应式设计的重要突破。
https://news.ycombinator.com/item?id=46331586
https://www.theregister.com/2025/12/19/airbus_sovereign_cloud/
欧洲航空航天巨头 Airbus 正准备启动一项重大招标，计划将关键的本地应用迁移至一个具备“数字主权”的欧洲云平台。此次迁移涉及 ERP、制造执行系统、CRM 及产品生命周期管理（如飞机设计）等核心系统。
Airbus 执行副总裁 Catherine Jestin 强调，此举主要出于对数据主权的考量，部分信息具有高度敏感性，需确保其完全受欧洲法律管辖。尽管微软、AWS 和谷歌已推出本地化解决方案，但欧盟企业仍担忧美国《云法案》（CLOUD Act）允许美国政府跨境调取数据，且微软曾在法国法院承认无法保证数据完全不受美国法律影响。
此外，特朗普重返白宫后加剧了地缘政治不确定性，进一步推动欧洲企业减少对美国科技巨头的依赖。Airbus 的招标预计于 2026 年初启动，合同金额预计超过 5000 万欧元，期限长达十年，强调价格稳定。
然而，Jestin 对能否找到符合要求的欧洲云服务提供商持保留态度，坦言“成功概率仅为 80%”。她指出，当前欧洲云服务商普遍缺乏足够规模与技术能力，能否在短时间内满足 Airbus 的复杂需求仍是未知数。
该动向反映出欧洲在推动本土数字基础设施建设方面的紧迫性，也凸显了全球科技格局下“数字主权”与“技术自主”之间的深层博弈。
https://news.ycombinator.com/item?id=46334533
https://lists.nanog.org/archives/list/[email protected]/message/ACADD3NKOG2QRWZ56OSNNG7UIEKKTZXL/
NIST Boulder 的 NTP 服务因长时间停电导致原子钟时间基准失效。2025 年 12 月 17 日 UTC 22:23，NIST 博尔德校区遭遇停电，尽管有备用发电机，但关键发电机已确认故障，导致时间信号分发链路中断。
受影响的 NIST 互联网时间服务器包括： time-a-b.nist.gov time-b-b.nist.gov time-c-b.nist.gov time-d-b.nist.gov time-e-b.nist.gov ntp-b.nist.gov（认证 NTP 服务）
目前服务器仍通过备用电源运行，但为防止传播错误时间，已计划关闭服务。
停电原因系科罗拉多州博尔德地区强风引发输电线路损坏及电力公司为预防野火而实施的预断电措施。设施运营方已关闭非紧急区域，包括部分网络机柜，导致监控与控制能力大幅下降。
目前现场仍处于封闭状态，仅限紧急人员进入。恢复时间暂无明确估计，修复工作需待电力恢复及人员重返现场后才能展开。
NIST 团队正努力通过备用电源保护氢原子钟，以确保其在电池耗尽前维持稳定。若另一栋建筑中的备用时钟系统仍正常运行，未来可帮助重新校准主时间基准，而无需依赖外部参考信号。
https://news.ycombinator.com/item?id=46334299
https://pierce.dev/notes/go-ahead-self-host-postgres#user-content-fn-1
本文作者分享了自己两年来自行托管 PostgreSQL 数据库的实践经验，认为自托管不仅成本更低、性能更优，而且在稳定性与可控性方面表现良好。
作者指出，过去十年云服务商不断渲染“自托管数据库危险”的叙事，但事实上大多数云数据库服务（如 AWS RDS）本质上运行的仍是开源 Postgres，只是增加了运维工具和自动化管理。真正区别在于：云服务提供的是“运营价值”，而非技术突破。
作者通过实际迁移验证，将 RDS 数据库导出并恢复到自建服务器后，性能完全一致，甚至部分场景表现更优，因为可以自由调整数据库参数。
自托管的主要工作量集中在初期部署和定期维护上。作者总结了自己的运维节奏：
尽管自托管需自行处理故障响应，但作者强调：即使使用云数据库，当服务中断时仍需由用户应对，且可操作空间更小。
文章最后指出，自托管适合绝大多数人，仅在以下情况不推荐：
关键配置建议：
https://news.ycombinator.com/item?id=46336947
https://servury.com/blog/privacy-is-marketing-anonymity-is-architecture/
隐私不是营销口号，而是系统架构的必然选择。当前许多自称“注重隐私”的服务，实际上通过收集邮箱、手机号、身份证信息等完成用户身份绑定，本质上是“隐私表演”——拥有数据，却承诺保护。
真正的匿名性不是宣传语，而是一种设计原则：系统根本无法获取用户身份信息。以 Mullvad VPN 为例，警方持搜查令上门时，因系统未存储任何用户数据，只能无功而返。其核心是仅用 16 位随机数字作为账户标识，无邮箱、无姓名、无记录。
Servury 平台沿用相同理念：不收集邮箱、姓名、IP、支付信息、设备指纹或地理位置。用户仅需保管一个 32 位随机字符的凭证，账户状态仅包含余额和运行服务。没有密码找回、无验证流程，因为这些功能都依赖于身份信息的存储。
这种设计带来明确的权衡：一旦丢失凭证，账户永久无法恢复，连客服也无法协助。但这正是目的——无法被找回，意味着无法被劫持、无法被勒索、无法被泄露。执法机构无法强制提供用户身份，黑客无法通过钓鱼或重置邮件入侵。
邮箱是匿名性的最大障碍。它绑定身份、可追踪、持久存在，成为社会工程攻击的入口。因此，Servury 完全放弃邮箱注册，用户身份由随机凭证唯一标识。
支付方面，支持加密货币以切断身份与交易的关联，同时保留 Stripe 等传统方式，但明确告知用户：信用卡支付并非匿名。
需要强调的是，匿名不等于违法免责、不等于安全无忧、不等于完全隐身。它只是确保即使系统被攻破或被胁迫，也无法暴露用户身份。真正的匿名是“即使你愿意，也无法出卖用户”。
这种架构的核心价值在于：当信任失效时，系统仍能保护用户。互联网正分裂为“实名世界”与“匿名世界”，而云基础设施、代理服务等应属于后者——我们不该知道你是谁。
https://news.ycombinator.com/item?id=46334025
https://karpathy.bearblog.dev/year-in-review-2025/
2025 年是大语言模型（LLM）发展的重要一年，涌现出多项具有颠覆性的范式变革。
第一，强化学习从可验证奖励（RLVR）成为新标准。这一技术通过在数学、代码等可验证环境中训练模型，使模型自发形成类似人类的推理能力，如分解问题、回溯修正等。相比传统的监督微调和人类反馈强化学习，RLVR 需要更长的训练周期和更多算力，但带来了更高的性能性价比。OpenAI 的 o3 版本是这一趋势的标志性成果，标志着模型能力的显著跃升。
第二，LLM 的智能形态被重新理解为“幽灵”而非“动物”。与人类智能基于生存进化的逻辑不同，LLM 的训练目标是模仿人类文本、获取奖励、赢得评分。因此其能力呈现“锯齿状”特征：在特定领域表现出天才级表现，而在其他方面却可能极为脆弱，容易被欺骗或误判。这一认知也导致对传统基准测试的信任下降，因为模型可通过合成数据等方式针对性优化，从而“碾压”基准但仍未接近通用人工智能（AGI）。
第三，Cursor 等新型 LLM 应用揭示了“LLM 应用层”的兴起。这类工具不仅调用 LLM，还实现上下文工程、多步骤任务编排、GUI 交互和自主性调节，形成垂直领域的智能工作流。未来 LLM 实验室可能提供通用能力，而应用层将通过私有数据、反馈机制和具体场景，将通用模型转化为专业级工具。
第四，Claude Code 首次展示了真正意义上的本地 AI 代理。它运行在用户本地计算机上，能持续调用工具、保持上下文、访问私有数据，实现长期、闭环的问题解决。相比云部署的代理，本地化部署更符合当前能力不均衡的现实，也带来了更自然、低延迟的交互体验。
第五，Vibe Coding（氛围编程）成为主流。借助 LLM 的强大理解与生成能力，用户仅用自然语言即可构建复杂程序，无需深入编码细节。这不仅让普通人也能参与编程，也极大提升了专业开发者的效率。例如作者在纳米聊天中用自然语言直接生成高效的 BPE 分词器，无需学习底层语言或依赖现有库。
https://news.ycombinator.com/item?id=46330726
本文作者 Simone Margaritelli 分享了对 TP-Link Tapo C200 摄像头进行逆向工程的完整过程，重点展示了如何利用 AI 辅助技术发现多个安全漏洞。文章记录了一个周末的探索项目，旨在验证 AI 在嵌入式设备安全研究中的有效性。
作者首先通过公开的 AWS S3 存储桶获取了 Tapo C200 的固件镜像，该存储桶无需认证即可访问，包含 TP-Link 所有设备的历史固件版本。随后使用 tp-link-decrypt 工具解密固件，该工具基于 TP-Link 公开的 GPL 代码提取 RSA 密钥，成功解密后得到标准的 MIPS 架构固件结构：引导程序、内核和 SquashFS 根文件系统。
在分析过程中，作者结合 Ghidra 与 AI 工具 GhidraMCP（集成 Anthropic Opus 和 Sonnet 4 模型），实现高效逆向。AI 被用于理解函数逻辑、重命名变量和参数，使原本难以阅读的反汇编代码逐步转化为可读的伪代码，极大提升了分析效率。
关键发现包括：
作者强调，本项目不仅验证了 AI 在逆向工程中的强大辅助能力，也展示了即使对经验较少的研究者，也能借助 AI 快速入门嵌入式安全分析。整个过程被完整记录在 Arcadia 平台，提供原始视频与截图供参考。
https://news.ycombinator.com/item?id=46329038
https://dos.zone/grand-theft-auto-vice-city/
这是一个基于网页的《侠盗猎车手： Vice City》技术演示项目，由开源引擎 reVC 实现，可在浏览器中直接运行。项目通过 WebAssembly 和现代浏览器 API 重新构建了原游戏的底层系统，包括渲染、输入、音频和文件访问，实现了无需安装的流畅体验。
该演示仅用于技术展示和教育目的，不包含任何原始游戏资源。用户需自行合法获取并提供原始游戏文件，系统通过 SHA-256 校验验证资产所有权。演示版本仅使用最小且不完整的资源，仅限在 dos.zone 域名内运行，不对外公开或索引游戏内容。
项目明确声明与 Rockstar Games 及《侠盗猎车手》系列无任何关联，不构成商业使用或侵权。所有软件组件基于 GitHub 上公开的 re3/reVC 项目，遵循其开源许可证。若版权所有者认为内容侵权，可联系项目方处理。
网站提供订阅支持，旨在持续维护无广告、免费的经典游戏体验。项目由 js-dos 引擎驱动，支持多平台访问，是现代浏览器运行复杂经典游戏的前沿实践。
https://news.ycombinator.com/item?id=46329696
Charles 是一款适用于 Windows、macOS 和 Linux 的 HTTP 代理/HTTP 监控工具，专为开发者设计，用于查看机器与互联网之间的所有 HTTP 和 SSL/HTTPS 流量，包括请求、响应及 HTTP 头信息（如 cookies 和缓存信息）。
最新动态显示，2025 年 9 月 20 日发布了 Charles 5.0.3 版本，修复了 macOS 上的性能问题并包含若干小改进。2025 年 8 月 9 日发布了 5.0.2 版本，包含错误修复和优化。2025 年 3 月 12 日，Charles 5 正式发布，带来重大用户界面升级和底层技术革新。
在 2024 年 1 月，Charles 5 公开测试版 13 推出，重点优化了 Windows 平台的用户体验，支持深色模式。此后多个测试版本陆续发布，持续提升 UI 美观度、性能表现，并引入新功能。
此前版本中，2023 年 4 月发布的 Charles 5 公开测试版已开启重大 UI 改进与技术升级。2021 年 11 月，Charles 4.6 发布，新增功能并提升稳定性。2020 年 11 月，修复了 macOS 深色模式支持问题。
安全方面，2021 年 12 月确认 Charles 未使用 log4j，因此不受 log4j2 漏洞影响。2018 年 5 月，发布安全公告，修复了 Charles 4.2 和 3.12.1 及更早版本中的本地提权漏洞。
功能演进方面，Charles 4.0 版本引入了对 HTTP/2 和 IPv6 的支持，4.2 版本增强了 TLS 调试能力，3.11 版本带来重大新功能，3.9 版本支持“聚焦”特定主机以减少干扰。2013 年起，Charles 开始集成内置 Java 运行时，简化安装流程。
此外，2018 年推出 Charles for iOS，支持移动端抓包。2017 年起，陆续支持 Brotli 压缩、HAR 和 SAZ 文件导入等功能。2009 年起，逐步完善 SSL 支持，包括对 iOS 9 ATS 的兼容性。
总体来看，Charles 持续迭代，聚焦提升用户体验、安全性和功能完整性，是开发者调试网络请求不可或缺的工具。
https://news.ycombinator.com/item?id=46333983
https://www.a1k0n.net/2025/12/19/tiny-tapeout-demo.html
本文介绍了一个名为“Pure Silicon Demo Coding”的极简 ASIC 设计项目，该设计仅使用约 4000 个逻辑门，在 Tiny Tapeout 8 竞赛中实现了 2-bit RGB 视频输出和 1-bit 音频输出。项目包含两个演示：一个复古风格的 C64/Amiga 风格开场动画，另一个是 Nyan Cat 动画。
设计基于自定义的 1220x480 分辨率和 48MHz 时钟，虽在 FPGA 上原型验证时因非标准视频模式导致数字捕获画面出现抖动和混叠，但在真实 CRT 显示器上效果极佳。开发过程中使用 Verilator 进行 C++ 级仿真，通过 SDL 窗口渲染视频并生成演示视频；实际硬件部署在 OrangeCrab FPGA 上，采用 R-2R 电阻网络实现 RGB222 输出，音频通过 sigma-delta 调制经 RC 滤波输出，音质清晰。
为在极小的逻辑门资源下实现丰富效果，设计中大量使用状态机，避免使用 ROM 和 RAM，所有状态均以触发器（flip-flop）存储，因此对状态位数量极为敏感。最终设计共使用 3374 个标准单元，包含 293 个触发器，几乎填满整个芯片面积。
关键优化包括：
文章强调，在无 ROM、无 RAM 的约束下，数据编码应优先考虑“算法复杂度”而非“数据量”，即利用重复模式和逻辑结构压缩数据，使看似复杂的图形与动画在极小面积内实现。该设计充分体现了“极小化硬件”下的创意与工程智慧。
https://news.ycombinator.com/item?id=46337438
https://news.ycombinator.com/item?id=46330891
I work on campus (very very close to the engineering building) and I previously lived near Brookline. So all of this hits home.
But what got me was the tipster who blew wide open the case is reportedly a homeless Brown graduate who lived in the basement of the engineering building (a la South Korean film Parasite). It made me so sad but also not surprised, that building does have a single occupancy bathroom with showers; and no keycard access was needed in the evening until 7pm.
So it made sense to me that he or she would’ve used that building for shelter and comfort. Also it didn’t boggle my mind at all that a Brown grad (from the picture, the tipster looked like a artistic Brown student vs. the careerist type) would be homeless - given that I known many of my classmates who have a certain personality, brilliant but also idealistic/uncompromising that made them brittle unfortunately in a society that rewards conformity, settling and stability.
I can’t get over the fact that two Brown student whom presumably have fallen on the wayside of society have chosen two different paths, (1) the homeless guy who still perseveres even in the basement of Barrus & Holley for 15 years a la Parasite after 2010 graduation but still has the situational awareness and rises to the occasion to give the biggest tip to the Providence Police, (2) the other guy who harbors so much resentment over a course of 25 years to plan a trip from Florida to gun down innocent kids who are 18 and 19 and his classmate when they were 18 and 19 year old.
noname123
我在校园工作（离工程学院非常非常近），以前也住在布鲁克莱恩（Brookline）附近。所以这一切都让我感同身受。
但真正让我触动的是，据报道，那位一举破案的人，是一位住在工程学院地下室的无家可归的布朗大学毕业生（类似韩国电影《寄生虫》里的情节）。这让我感到非常难过，但又觉得并不意外，因为那栋楼确实有带淋浴的单人卫生间，并且晚上7点前都不需要门禁卡。
因此，在我看来，他或她把那栋楼当作栖身之所和慰藉，是合乎情理的。而且，我也一点也不惊讶一位布朗大学的毕业生会无家可归——从照片来看，这位举报者看起来像个有艺术气质的布朗学生，而不是那种追求事业的人。鉴于我认识很多有特定性格的同学，他们才华横溢，但又充满理想主义且绝不妥协，这种性格让他们在奖励顺从、安分和稳定的社会里，不幸变得脆弱不堪。
我无法释怀的是，两位布朗大学学生，他们都被社会边缘化了，却选择了两条截然不同的道路：(1) 那位无家可归的人，从2010年毕业后就一直像电影《寄生虫》里那样，在巴勒斯和霍利（Barrus & Holley）的地下室里坚持了15年，但他依然保持着环境意识，抓住时机向普罗维登斯警方提供了最重要的线索；(2) 另一个人，却在长达25年的时间里心怀怨恨，策划从佛罗里达州前来，用枪射杀那些在他18、19岁时和他同龄的无辜学生。
https://news.ycombinator.com/item?id=46330416
I’m a little frustrated with articles like this that scattershot their critique by conflating genuine failures with problems that even FAANGs struggle with.
In particular, I don’t love it when an article attacks a best practice as a cheap gotcha:
“and this time it was super easy! After some basic reversing of the Tapo Android app, I found out that TP-Link have their entire firmware repository in an open S3 bucket. No authentication required. So, you can list and download every version of every firmware they’ve ever released for any device they ever produced”
That is a good thing - don’t encourage security through obscurity! The impact of an article like this is as likely to get management to prescribe a ham-handed mandate to lock down firmware as it is to get them to properly upgrade their security practices.
rao-v
我对这类文章感到有些恼火，它们将真正的失败与连 FAANG 公司都难以避免的问题混为一谈，进行漫无目标的批评。
特别是，我非常反感文章为了寻找廉价噱头而去攻击最佳实践的行为：
“这次简直太简单了！在 Tapo Android 应用上进行了一些基本的逆向工程后，我发现 TP-Link 将其整个固件库都放在一个公开的 S3 存储桶里，不需要任何身份验证。因此，你可以列出并下载他们为任何一款生产过的设备发布过的所有固件的每一个版本。”
这是一件好事——不要鼓励“通过隐藏来保证安全”的做法！这类文章的影响，既可能促使管理层颁布一项笨拙的命令来锁死固件，也可能促使他们正确地升级其安全实践。
https://news.ycombinator.com/item?id=46332259
Props to the Safari team. They surprised us all when they suddenly shot to the top of interop-2025 this October
culi
向Safari团队致敬。今年10月，他们突然一跃成为interop-2025的第一名，让我们所有人都感到惊讶。
https://news.ycombinator.com/item?id=46334787
Some people in the US deride it’s close allies as “freeloaders” because they choose to use and buy US tech, reinforcing the US’s position as a global powerhouse. (Meanwhile US tech is built on the shoulders of their allies.) Now we see these same allies are starting to look inward and invest in technology they own completely because the US is acting decisively not like an ally. Something unthinkable since WW2.
I don’t see this news as anything but a good thing. For every technology out there, the EU needs a native alternative. It’s clear the current US administration wants to make the EU worse based on a politics of grievance.
flumpcakes
一些美国人嘲笑其亲密盟友是“搭便车者”，因为他们选择使用和购买美国技术，从而巩固了美国作为全球强国的地位。（与此同时，美国的技术却是建立在其盟友的肩膀上。）现在我们看到，这些盟友开始向内看，投资于他们完全拥有的技术，因为美国的表现完全不像一个盟友。这是自二战以来不可想象的事情。
我认为这则新闻绝不是什么坏事。对于每一种技术，欧盟都需要一个本土的替代方案。很明显，当前的美国政府基于一种怨恨政治，想要让欧盟变得更糟。
https://news.ycombinator.com/item?id=46323710
ACR — Automatic Content Recognition: tech in some smart TVs/apps that identifies what’s on-screen (often via audio/video “fingerprints”) and can report viewing data back to vendors/partners.
VPPA — Video Privacy Protection Act: a U.S. law aimed at limiting disclosure of people’s video-viewing/rental history.
HDCP — High-bandwidth Digital Content Protection: an anti-copy protocol used on HDMI/DisplayPort links to prevent interception/recording of protected video.
DRM — Digital Rights Management: a broad term for technical restrictions controlling how digital media can be accessed, copied, or shared.
MPAA — Motion Picture Association of America: the former name of the main U.S. film-industry trade group (now typically called the MPA, Motion Picture Association).
TV / TVs — Television(s).
thomasahle
ACR — 自动内容识别：一些智能电视/应用中的技术，用于识别屏幕上的内容（通常通过音频/视频“指纹”），并能将观看数据报告给供应商/合作伙伴。
VPPA — 《视频隐私保护法》：美国的一项法律，旨在限制人们视频观看/租赁历史的披露。
HDCP — 高带宽数字内容保护：一种用于 HDMI/DisplayPort 连接的防复制协议，用于防止受保护视频被截获或录制。
DRM — 数字版权管理：一个广义术语，指用于控制数字媒体如何被访问、复制或共享的技术限制措施。
MPAA — 美国电影协会：美国主要电影行业协会的旧名（现通常被称为 MPA，即“电影协会”）。
电视
https://news.ycombinator.com/item?id=46334864
Wind gusts were reaching 125 MPH in Boulder county, if anyone’s curious. A lot of power was shut off preemptively to prevent downed power lines from starting wildfires. Energy providers gave warning to locals in advance. Shame that NIST’s backup generator failed, though.
arn3n
如果有人好奇的话，博尔德县的阵风风速达到了125英里/小时。为了防止倒下的电线引发野火，当地提前切断了大量电力。电力供应商也提前向当地居民发出了警告。不过，美国国家标准与技术研究院（NIST）的备用发电机发生故障，真是可惜。
https://news.ycombinator.com/item?id=46322339
Imagine you could interview thousands of educated individuals from 1913—readers of newspapers, novels, and political treatises—about their views on peace, progress, gender roles, or empire. Not just survey them with preset questions, but engage in open-ended dialogue, probe their assumptions, and explore the boundaries of thought in that moment.
Hell yeah, sold, let’s go…
We’re developing a responsible access framework that makes models available to researchers for scholarly purposes while preventing misuse.
Oh. By “imagine you could interview…” they didn’t mean me.
seizethecheese
想象一下，你能采访1913年的数千名受过教育的人——报纸、小说和政论文的读者——询问他们对和平、进步、性别角色或帝国的看法。不仅仅是用预设的问题去调查他们，而是与他们进行开放的对话，探究他们的假设，并探索那个时代思想的边界。 太棒了，就这么定了，我们走吧…… 我们正在制定一个负责任的访问框架，该框架使模型可用于学术研究，同时防止其被滥用。 哦。“想象一下你能采访……”这话，说的不是我。
https://news.ycombinator.com/item?id=46330824
Worth noting that a partner at Sequoia (Shaun Maguire) publicly accused the wrong guy of being the shooter.
https://www.fastcompany.com/91463942/sequoia-shaun-maguire-brown-university-shooter-palestine
Aliabid94
值得一-提的是，红杉资本的一位合伙人（肖恩·马奎尔）曾公开指控了错误的枪手。
https://news.ycombinator.com/item?id=46327523
We’ve heard this many times before with other acquisitions so don’t be upset if people are a bit skeptical.
zeroonetwothree
对于其他收购，我们早就听过这种说法了，所以如果大家有所怀疑，也请不要介意。
https://news.ycombinator.com/item?id=46330537
I have one better: the try block pattern.
https://doc.rust-lang.org/beta/unstable-book/language-features/try-blocks.html
koakuma-chan
我有一个更好的：try块模式。https://doc.rust-lang.org/beta/unstable-book/language-features/try-blocks.html
https://news.ycombinator.com/item?id=46338973
This is insane.
I definitely was not aware Spotify DRM had been cracked to enable downloading at scale like this.
The thing is, this doesn’t even seem particularly useful for average consumers/listeners, since Spotify itself is so convenient, and trying to locate individual tracks in massive torrent files of presumably 10,000’s of tracks each sounds horrible.
But this does seem like it will be a godsend for researchers working on things like music classification and generation. The only thing is, you can’t really publicly admit exactly what dataset you trained/tested on…?
Definitely wondering if this was in response to desire from AI researchers/companies who wanted this stuff. Or if the major record labels already license their entire catalogs for training purposes cheaply enough, so this really is just solely intended as a preservation effort?
crazygringo
太疯狂了。
我之前完全不知道Spotify的DRM（数字版权管理）被破解到了可以如此大规模下载的程度。
但问题是，这对于普通消费者/听众来说似乎没什么特别的用处，毕竟Spotify本身已经非常方便了。而且要在包含上万首曲子的巨大种子文件中找到特定的曲目，听起来就够糟糕的。
但对于从事音乐分类和生成等领域的研究人员来说，这似乎是个天大的福音。唯一的问题是，你总不能公开承认自己到底是在哪个数据集上进行训练/测试的吧？
我很好奇，这是否是为了回应那些想要这些数据的AI研究人员或公司的需求。又或者，主要的唱片公司是否已经以足够便宜的价格授权了他们的整个曲目目录用于训练目的，所以这真的仅仅是一项旨在保存音乐的努力？
https://news.ycombinator.com/item?id=46334829
Time travel is extremely dangerous right now. I highly recommend deferring time travel plans except for extreme temporal emergencies.
autarch
目前时间旅行极其危险。我强烈建议推迟时间旅行计划，除非是极端的时间紧急情况。
https://news.ycombinator.com/item?id=46334110
The apparent information gathering and brutal review process is unbelievable here. If I’m understanding this correctly, the requirement is that eg Epic Game Store must register and upload every single APK for every app they offer, and cannot offer it in their store until Google approves it, which may take a week or more - including every time the app updates.
Meanwhile they get full competitive insight into which apps are being added to Epics store, their download rates apparently, and they even get the APKs to boot, potentially making it easier for those app devs to onboard if they like, and can pressure them to do so by dragging their feet on that review process.
Provide direct, publicly accessible customer support to end users through readily accessible communication channels.
This is an interesting requirement. I want to see someone provide the same level of support that Google does to see if it draws a ban.
hirsin
这里明目张胆的信息收集和严苛的审查流程真是难以置信。如果我没理解错的话，要求是，例如Epic Game Store必须为他们提供的每款应用注册并上传每一个单独的APK，并且在谷歌批准之前，不能在自己的商店中上架该应用——这个过程可能需要一周或更长时间——包括每次应用更新的情况。与此同时，他们可以获得全部的竞争情报，了解有哪些应用被添加到Epic商店、这些应用的下载率，甚至还能拿到这些APK文件。如果谷歌愿意，这可能会让那些应用开发者更容易入驻其平台，并且谷歌可以通过在审查过程中故意拖延来施压，迫使他们这样做。
“通过易于访问的沟通渠道，为终端用户提供公开、直接可访问的客户支持。” 这真是个有趣的要求。我真想看看有没有哪家公司能提供和谷歌同等级别的客户支持，看看他们会不会因此被封禁。
https://news.ycombinator.com/item?id=46334197
The fact that this is being introduced after the whole Epic/Apple thing clearly shows that the penalties in that case were not nearly severe enough and the standards set were not nearly stringent enough. The mere attempt to engage in policies like this should result in fines in the hundreds of billions.
BrenBarn
在经历了整个Epic/Apple事件之后，又有人试图推行类似的政策，这清楚地表明，当初的处罚远不够严厉，设立的标准也远不够严格。仅仅尝试推行这样的政策，就应该处以数千亿美元的罚款。
https://news.ycombinator.com/item?id=46328603
Yeah, hard disagree on that one, based on recent surveys, 80-90% of developers globally use IDEs over CLIs for their day-to-day work.
I was pretty worried about Cursor’s business until they launched their Composer 1 model, which is fine-tuned to work amazingly well in their IDE. It’s significantly faster than using any other model, and it’s clearly fine-tuned for the type of work people use Cursor for. They are also clearly charging a premium for it and making a healthy margin on it, but for how fast + good it’s totally worth it.
Composer 1 + now eventually creating an AI native version of GitHub with Graphite, that’s a serious business, with a much clearer picture to me how Cursor gets to serious profitability vs the AI labs.
jonathannorris
不，我对此强烈反对。根据最近的调查，全球80-90%的开发者在日常工作中使用的是集成开发环境（IDE）而不是命令行界面（CLI）。
在Cursor推出其Composer 1模型之前，我其实还挺担心他们的业务的。该模型经过专门微调，能在他们的IDE中发挥出惊人的效果。它比使用任何其他模型都快得多，而且显然是为人们在Cursor中从事的工作类型而量身定制的。
他们显然为这个模型卖了个高价，利润也很可观，但考虑到它的速度和性能，这绝对是物有所值的。
Composer 1再加上现在通过Graphite最终打造一个AI原生版的GitHub，这可是一项大生意。与那些AI实验室相比，Cursor如何实现真正的盈利，这一点现在对我来说清晰多了。
https://news.ycombinator.com/item?id=46335170
Freeloading?
My country spends less on defence as a percentage of GDP than the US. But it spends much of that with US companies. This is not Freeloading. It was a deal. Cancel TSR-2, and buy American and we will lend you some money. Cancel your nuclear program and buy US submarine launched missiles and we will help you look after yourself. Now let Visa and Mastercard skim off all your transactions and we will keep you secure to keep the money flowing. Sweetheart tax deals for US companies to operate, and we will keep you safe to keep the money flowing. It is not Freeloading, it is colonialism
jimnotgym
搭便车吗？
我国在国防上的开支占GDP的比例低于美国。但它将其中很大一部分花在了美国公司身上。这并不是在搭便车。这是一笔交易。取消TSR-2项目，然后购买美国货，我们就会借给你们一些钱。取消你们的核计划，购买美国的潜射导弹，我们就会帮助你们照顾好自己。现在，让万事达（Mastercard）和维萨（Visa）从你们的每一笔交易中抽走一部分提成，我们则会确保你们的安全，以保持资金流动。给在美国运营的公司提供优惠的税收待遇，我们则会保护你们的安全，以保证资金继续流动。这不是搭便车，这是殖民主义。
https://news.ycombinator.com/item?id=46327626
A good Friday morning laugh! I think the tiles are not just honest, they are brutally honest. Some of my fav ones:
Amazon finally adds a feature that has been standard since 2005
Texas accidentally does something good for privacy
Would it possible to add a feature where hovering over a title displays the original title?
laser9
周五清晨的一则好笑事！我觉得这些标题不只是真实，简直是残酷的真实。我最喜欢的几个是：
是否可以添加一个功能，当鼠标悬停在标题上时，会显示原标题？
https://news.ycombinator.com/item?id=46322100
It would be interesting to see how hard it would be to walk these models towards general relativity and quantum mechanics.
Einstein’s paper “On the Electrodynamics of Moving Bodies” with special relativity was published in 1905. His work on general relativity was published 10 years later in 1915. The earliest knowledge cuttoff of these models is 1913, in between the relativity papers.
The knowledge cutoffs are also right in the middle of the early days of quantum mechanics, as various idiosyncratic experimental results were being rolled up into a coherent theory.
anotherpaulg
看看要引导这些模型走向广义相对论和量子力学会有多困难，想必会很有趣。爱因斯坦提出狭义相对论的论文《论运动物体的电动力学》发表于1905年，而他的广义相对论研究成果则在10年后的1915年发表。这些模型的知识截止点是1913年，正好介于这两篇相对论论文之间。这些模型的知识截止日期也正值量子力学发展的早期，当时各种独特的实验结果正被整合成一个连贯的理论。
2025-12-20 09:22:30
- 诚实风格的Hacker News主页文章，充满了讽刺。
- 一名16岁学生利用Mintlify静态资源接口漏洞通过SVG嵌入JS在Discord等域触发XSS窃取凭证，揭示第三方文档平台的供应链安全风险并已被修复。
- 研究团队训练仅以1913年前文本为语料的历史语言模型，以重现当时的思想与偏见供学术研究并开放代码与示例。
- 作者用四台M3 Ultra Mac Studio和Thunderbolt 5测试RDMA实现1.5 TB“统一”VRAM，显著降低跨节点延迟并提升大模型效率，但受布线、交换机和macOS集群管理等限制。
- OpenAI发布GPT-5.2-Codex，声称在大型代码重构、终端支持、视觉理解与防御性网络安全上显著提升，并计划分阶段受控开放以管控双重用途风险。
- Mullvad推出基于Rust的GotaTun用户态WireGuard实现以替换wireguard-go，在Android上大幅降低崩溃率并提升性能，计划逐步推广并进行第三方审计。
- Firefox将默认关闭所有AI功能并提供一个可彻底禁用AI功能的开关，强调AI功能为用户可选且要保持透明与可控。
- 亚马逊宣布自2026年起允许无DRM电子书以ePub和PDF格式下载，便于读者在Kindle生态外保存和阅读。
- 报道称中国在秘密推进类似“曼哈顿计划”的国家级半导体攻坚项目，试图自主攻克EUV等关键技术，目标量产时间或推迟到2030年前后。
- Garage是一款可在数据中心外运行的轻量级S3兼容对象存储，通过跨区复制与极简设计在低规格硬件与普通网络环境下提供高可用性与易部署性。
https://dosaygo-studio.github.io/hn-front-page-2035/news-honest.html
https://news.ycombinator.com/item?id=46326588
https://gist.github.com/hackermondev/5e2cdc32849405fff6b46957747a2d28
一名 16 岁的高中生黑客 Daniel 在 2025 年 11 月初发现了一个严重的供应链漏洞，该漏洞影响了 Discord、Vercel、Cursor、X（Twitter）等多家大型科技公司。
漏洞根源在于 Discord 切换至使用 Mintlify 这一 AI 文档平台后，其文档站点（discord.mintlify.app）存在一个可被滥用的 API 端点。Daniel 通过分析发现，Mintlify 平台的/_mintlify/static/[subdomain]/[…route]接口允许任意读取其他 Mintlify 站点的静态资源，且未进行跨域校验。
关键突破在于，Daniel 利用 SVG 文件可嵌入 JavaScript 的特性，上传一个包含恶意脚本的 SVG 文件，并通过 Discord 的域名访问该文件。由于该接口返回的文件可被浏览器直接渲染，恶意脚本得以在 Discord 文档页面中执行，从而实现跨站脚本攻击（XSS）。
这一漏洞意味着攻击者只需发送一个链接，即可在用户访问时窃取其凭证，影响范围极广。Daniel 与两位朋友（Eva 和 MDL）协作，共同验证并报告了该漏洞。Discord 在收到报告后立即下线了整个开发者文档系统，并回滚至旧平台。Mintlify 也迅速响应，与团队合作修复了该漏洞及其他相关问题。
该事件揭示了依赖第三方文档平台带来的供应链安全风险，也展示了年轻安全研究人员在发现并推动修复重大安全问题方面的巨大潜力。
https://news.ycombinator.com/item?id=46317098
https://github.com/DGoettlich/history-llms
这是一个关于历史大语言模型（History LLMs）项目的公开信息页面，由苏黎世大学、科隆大学等机构的研究人员共同发起，旨在训练基于历史文本的大型语言模型。
项目核心是开发一系列参数规模达 40 亿的 LLM，基于 Qwen3 架构，从头训练，使用总计 800 亿个 token 的历史数据，数据截止时间分别为 1913 年、1929 年、1933 年、1939 年和 1946 年。训练数据来自一个经过筛选的 6000 亿 token 时间标注文本库，确保模型能反映特定历史时期的思想与认知。
项目即将发布“Ranke-4B”系列模型，其名称致敬历史学家利奥波德·冯·兰克，强调历史真实性和时间维度。模型在多个历史语境下的回答展示了不同时期的价值观与认知局限，例如：
研究团队强调，这些模型用于科学研究，旨在还原历史认知，不干预模型的“规范判断”，并明确声明不认同模型中表达的过时或错误观点。
项目获得 Lambda AI 的研究资源支持，并感谢 Z.ai 及历史 LLM 研讨会参与者提供的反馈。项目主页将陆续发布模型代码、使用指南与更多示例。
该页面作为信息枢纽，旨在推动历史学与人工智能的交叉研究，帮助理解历史思想的演变。
https://news.ycombinator.com/item?id=46319826
https://www.jeffgeerling.com/blog/2025/15-tb-vram-on-mac-studio-rdma-over-thunderbolt-5
苹果为测试 RDMA over Thunderbolt 5 功能，提供了 Mac Studio 集群。作者使用 Exo 1.0 工具测试了四台 M3 Ultra Mac Studio 组成的集群，总内存达 1.5 TB，成本接近 4 万美元。RDMA 技术将四台 Mac 的内存统一管理，显著降低延迟（从 300μs 降至 50μs 以下），大幅提升大模型运行效率。
该集群由两台 512GB 内存、32 核 CPU 的 Mac Studio（每台 11,699 美元）和两台 256GB 内存的机型（每台 8,099 美元）组成，搭配 DeskPi 提供的 4-post mini 机架。尽管 Mac Studio 功耗低于 250W 且运行安静，但其后置电源按钮设计导致机架安装不便，需手动按压且需固定设备以防滑出。
网络方面，Mac Studio 通过 Thunderbolt 5 实现 50–60 Gbps 高速互联，但缺乏标准交换机支持，需点对点直连，布线复杂。相比之下，NVIDIA DGX Spark 和 AMD AI Max+ 395 系统虽内存更少（最大 128GB），但网络接口更稳定。
基准测试显示，单台 M3 Ultra Mac Studio 在 Geekbench、HPL（双精度浮点）和 AI 推理方面均大幅领先同级 Linux 系统。其 HPL 性能突破 1 Tflop，是 GB10 的近两倍，且功耗极低，待机功耗低于 10W。
集群测试中，HPL 在四台 Mac 上实现 3.7 Tflop，接近 3 倍加速（受限于内存不对称）。Thunderbolt 5 传输在 llama.cpp 推理中表现远优于 2.5G 以太网，即使未启用 RDMA 也明显更优。
启用 RDMA 后，Exo 1.0 可实现跨节点内存共享，但 macOS 管理复杂：无法通过 SSH 升级系统，必须手动操作 GUI。作者使用 Screen Sharing 远程控制，管理效率低于 Linux 集群。
结论：单台 M3 Ultra Mac Studio 已具备顶级性能，超越多台 DGX Spark 或 AI Max+ 395 系统。集群虽有潜力，但管理成本高，是否值得取决于具体需求。苹果在本地 AI 和 HPC 领域正悄然布局，M3 Ultra 是目前最强大的消费级 AI 计算平台之一。
https://news.ycombinator.com/item?id=46319657
https://openai.com/index/introducing-gpt-5-2-codex/
OpenAI 于 2025 年 12 月 18 日发布 GPT-5.2-Codex，这是目前最先进的代理式编程模型，专为专业级软件工程与防御性网络安全任务设计。
该模型在 GPT-5.2 基础上进一步优化，具备更强的长上下文理解能力、更可靠的工具调用、更高的事实准确性以及原生上下文压缩技术，显著提升在复杂、长时间编码任务中的表现。它在 SWE-Bench Pro 和 Terminal-Bench 2.0 等权威基准测试中均达到领先水平，尤其在大型代码重构、迁移和功能开发任务中表现出色。
GPT-5.2-Codex 在 Windows 环境下的本地开发支持也得到显著增强，能更稳定地处理真实终端环境中的编译、建模和服务器部署等操作。同时，其视觉理解能力提升，可精准解析设计稿、技术图表和用户界面，快速生成可运行原型并推进至生产环境。
在网络安全领域，GPT-5.2-Codex 的能力实现显著跃升。其性能在连续多个版本中呈现阶梯式增长，已具备超越以往模型的漏洞发现与分析能力。例如，一位安全研究员在使用 GPT-5.1-Codex-Max 时，成功发现并负责任地披露了 React 框架中的一个可能导致源码泄露的漏洞。
尽管 GPT-5.2-Codex 尚未达到“高”级别的网络攻击能力（依据 OpenAI 的准备度框架），但其能力已引发对双重用途风险的关注。为此，OpenAI 加强了模型与产品的安全防护机制，并计划采取分阶段部署策略：首先向付费 ChatGPT 用户开放，随后逐步向 API 用户开放；同时，将对经过审核的专业人士和组织提供邀请制的“可信访问”，用于防御性网络安全研究。
OpenAI 表示，未来模型可能突破“高”级别能力阈值，因此正在前瞻性地规划安全治理方案，以确保技术进步与社会安全并行。
https://news.ycombinator.com/item?id=46316367
https://mullvad.net/en/blog/announcing-gotatun-the-future-of-wireguard-at-mullvad-vpn
Mullvad VPN 宣布推出 GotaTun，这是基于 Rust 语言开发的 WireGuard® 实现，旨在提供更快、更高效、更可靠的连接体验。GotaTun 源自 Cloudflare 的 BoringTun 项目，是 WireGuard 的一个纯 Rust 实现，不涉及新协议或连接方式。
该技术整合了多项隐私增强功能，如 DAITA 和多跳（Multihop），并为 Android 平台提供了原生支持。Mullvad 已在 2025 年 11 月底的 Android 应用版本 2025.10 中率先上线 GotaTun。
此前，Mullvad 的移动应用长期依赖 Go 语言编写的 wireguard-go 作为 WireGuard 的用户态实现。然而，该组件存在严重问题，超过 85% 的 Android 崩溃报告均来自 wireguard-go。此外，Go 与 Rust 之间的 FFI 调用存在安全隐患，且难以调试，影响了整体维护效率。
GotaTun 上线后效果显著：自发布以来，GotaTun 未引发任何崩溃，用户感知的崩溃率从 0.40% 降至 0.01%。用户反馈显示，网络速度提升，电池消耗降低。
展望未来，Mullvad Plann 2026 年将开展第三方安全审计，全面在所有平台（包括桌面端和 iOS）替换 wireguard-go 为 GotaTun，并持续优化性能。
https://news.ycombinator.com/item?id=46324543
https://mastodon.social/@firefoxwebdevs/115740500373677782
Firefox 开发团队在 Mastodon 上发布了一系列关于人工智能（AI）功能的声明，强调所有 AI 功能将默认关闭，用户需主动开启，同时将提供“AI 关闭开关”（AI kill switch），确保用户可彻底禁用所有 AI 相关功能，且未来不再显示。
团队表示，此举旨在回应社区对 Mozilla 过去频繁转向新兴技术趋势（如 IoT、区块链、NFT 等）却未产出实际用户价值的担忧。部分用户批评 Mozilla 缺乏专注，将注意力集中在“AI”这一概念本身，而非具体功能或用户体验。
对此，有开发者指出，Mozilla 确实曾探索过 VR（如 Hubs 项目）和 IoT，但这些项目规模小、资源有限，且未构成公司主方向。NFT 和加密货币相关投入也仅限于短暂讨论或接受捐赠的尝试，未深入开发。
团队呼吁公众基于事实理性讨论，避免因过往印象而预设立场。同时强调，AI 功能的引入不是为了炒作，而是作为可选工具，最终目标是保持 Firefox 的开放、透明与以用户为中心的定位。
https://news.ycombinator.com/item?id=46316409
页面主体内容为亚马逊 KDP（Kindle Direct Publishing）的官方帮助中心页面，主要介绍 KDP Select 计划的相关信息。KDP Select 是一项专为作者设计的会员计划，旨在帮助作者通过亚马逊平台获得更高的收益和更广泛的读者覆盖。
加入 KDP Select 后，作者可以将作品设置为限时免费或参与全球电子书借阅项目（Kindle Unlimited），从而提升作品曝光率。参与该计划的书籍将获得额外的推广资源，包括亚马逊首页推荐、邮件营销支持以及参与 KDP 的营销活动。
此外，KDP Select 要求作者在 90 天内将作品独家上架至亚马逊平台，期间不得在其他平台发布电子版。该计划支持多种语言和出版类型，适用于小说、非虚构类作品及儿童读物等。
页面还提供了常见问题解答、参与条件说明以及如何加入计划的详细步骤，帮助作者快速了解并启动 KDP Select。整体内容结构清晰，面向希望提升作品影响力和收入的独立作者。
https://news.ycombinator.com/item?id=46324078
https://www.japantimes.co.jp/business/2025/12/18/tech/china-west-ai-chips/
中国正秘密推进一项类似“曼哈顿计划”的国家级半导体攻坚项目，旨在突破西方对先进芯片制造技术的封锁。在广东深圳的一处高度机密实验室中，一支由约 100 名年轻工程师组成的团队，已成功研制出一台可产生极紫外光（EUV）的原型机，这是制造最先进 AI 芯片的核心设备。
该原型机由前荷兰半导体巨头 ASML 的工程师团队通过逆向工程完成，尽管尚未产出可用芯片，但已能稳定生成 EUV 光束。项目由中共中央科技委员会负责人丁薛祥主导，华为深度参与协调全国数千名工程师与科研机构，构建完整的国产芯片产业链。
美国自 2018 年起联合荷兰实施出口管制，禁止向中国出售 EUV 及部分 DUV 光刻机，意图将中国芯片技术压制在一个世代以上。然而，中国通过获取二手 ASML 设备零部件、招募前 ASML 员工等方式，加速自主研发。目前，中国官方目标是 2028 年实现 EUV 芯片量产，但知情人士认为 2030 年更为现实，远早于此前普遍预测的十年周期。
项目高度保密，参与者均使用化名与假身份进入实验室，防止信息外泄。尽管 ASML 表示其技术复制难度极高，但中国已展现出惊人的技术追赶能力。若成功，中国将实现从芯片设计到制造的全面自主，彻底摆脱对美国及盟友供应链的依赖。
https://news.ycombinator.com/item?id=46316907
https://garagehq.deuxfleurs.fr/
Garage 是一个可靠且轻量级的 S3 兼容对象存储系统，专为在数据中心外部运行而设计。它具备高可用性和数据冗余能力，每个数据块在三个不同区域进行复制，确保即使面对网络故障、磁盘损坏或人为操作失误也能保持稳定运行。
Garage 的核心优势在于极低的部署门槛：仅需一个独立的、无依赖的二进制文件，可在所有主流 Linux 发行版上运行。它对硬件要求极低，支持过去十年内的 x86_64 CPU（包括 ARMv7/ARMv8），最低只需 1GB 内存、16GB 磁盘空间，以及 200ms 延迟以内、50Mbps 以上的网络连接，适合使用二手或异构硬件构建集群。
该系统支持在互联网上跨多个数据中心部署，无需专用骨干网络，真正实现“随处部署”。它兼容 Amazon S3 API，可无缝对接大量现有应用，便于用于网站托管、媒体存储和备份目标等场景。
Garage 的设计借鉴了多项分布式系统领域的前沿研究成果，包括 Dynamo、CRDT 和 Maglev 等经典论文，确保其在性能与可靠性之间取得良好平衡。
该项目获得欧盟 Horizon 2021 计划及 NGI-POINTER、NGI0 Entrust、NGI0 Commons 等基金的持续支持，未来也欢迎通过捐赠或支持合同参与其开发。项目由 Zola 构建，由 Garage 自身提供支持，并由 Deuxfleurs 托管。
https://news.ycombinator.com/item?id=46326984
https://news.ycombinator.com/item?id=46325241
I’d advise anyone buying e-books on Amazon to think it through carefully. My account was banned recently because, years ago, I ordered two paper books that Amazon said would be split into two shipments. Both books arrived without any issues, but later Amazon refunded me for one of them, claiming that one package never arrived. This happened 4–5 years ago.
Apparently, during a recent review, they decided this counted as fraud and banned my account. As a result, I can no longer log in and lost access to all my Kindle e-books. They also remotely wiped my Kindle, so my entire library is gone. I appealed the decision, but I’ve been waiting for over six months with no resolution.
icqFDR
我建议所有在亚马逊上购买电子书的人都仔细考虑一下。我的账户最近被封了，原因是几年前我订购了两本纸质书，亚马逊说会分两批发货。两本书都顺利收到了，但后来亚马逊却为其中一本给我退款，声称那个包裹从未送达。这件事发生在四到五年前。
显然，在最近的一次审查中，他们决定这属于欺诈行为，于是封禁了我的账户。结果，我无法再登录，也失去了所有Kindle电子书的访问权限。他们还远程清除了我的Kindle，所以我整个的电子书都没了。我申诉了，但已经等了六个多月，还没有任何答复。
https://news.ycombinator.com/item?id=46309399
(I’m a mod here)
It’s true that this place can be cryptic, and that has downsides—specifically, it can be confusing to newcomers, even to some newcomers who would make ideal HN users. That sucks.
But there’s a key that unlocks most of the puzzles. That is to understand that we’re optimizing for exactly one thing: curiosity. (Specifically, intellectual curiosity, since there are other kinds of curiosity too.) Here are links to past explanations about that: https://hn.algolia.com/?dateRange=all&page=0&prefix=true&sort=byDate&type=comment&query=curiosity%20optimiz%20by:dang
We try to elevate things that gratify curiosity: creative work, surprising discoveries, deep dives, technical achievements, unusual personal experience, whimsical unpredictability, good conversation, etc. And we try to demote things that run against curiosity, especially repetition, indignation, sensationalism, and promotion.
It gets complicated because you’ll also see plenty of repetition, indignation, sensationalism, and promotion on HN—alas! This is the internet after all. But the site survives because the balance of these things stays within tolerable ranges, thanks to two factors: an active community which cares greatly about preserving this place for intended purpose ( https://news.ycombinator.com/newsguidelines.html ); and an owner (Y Combinator) that pays us to work on the site full time and mainly just wants us to keep it good, to the extent possible.
If you really want to figure this place out, the way to do it is as a reader. Hang out on the site, look at the mix of articles that make the frontpage, spend time in the discussion threads (hopefully the interesting sectors and not the flamey ones!), and over time your eyes will adjust.
What doesn’t work—and this is good because we want it not to work—is approaching HN as a platform for promoting content. If you (<– I don’t mean you personally, but anyone) mainly care about “how can I use this thing to get attention for my startup/blog/project/newsletter”, then you’re operating in ‘push’ mode rather than ‘pull’ mode (or ‘idle’ mode, which is even better). In that case you won’t be curious because you’re too focused on what you’re wanting for extraneous reasons—and if you aren’t in a state of curiosity, this place won’t make sense. At least we hope it won’t!
dang
（我是这里的版主）
确实，这个地方可能会让人感到费解，而且这有其弊端——具体来说，它会让新用户感到困惑，甚至会让一些本可以成为优秀HN用户的新人望而却步。这很糟糕。
但有一把钥匙能解开大多数谜题，那就是理解我们只为一件事优化：好奇心。（具体来说，是求知欲，因为好奇心也分好几种。）这里有一些过去对此解释过的链接：https://hn.algolia.com/?dateRange=all&page=0&prefix=true&sort=byDate&type=comment&query=curiosity%20optimiz%20by:dang
我们努力提升那些能激发好奇心的内容：富有创意的作品、令人惊喜的发现、深度剖析、技术成就、不寻常的个人经历、异想天开的不可预测性、高质量的对话等等。同时，我们努力抑制那些与好奇心背道而驰的内容，尤其是重复、愤怒、煽情和推广。
事情会变得复杂，因为在HN上你同样会看到大量的重复、愤怒、煽情和推广——唉！毕竟这里是互联网。但这个站点之所以能够存续，是因为这些因素的平衡维持在可容忍的范围内，这得益于两个因素：一个活跃的社区，他们非常关心为这个地方的既定目的而守护它（https://news.ycombinator.com/newsguidelines.html）；以及一个所有者（Y Combinator），他们付钱让我们全职投入这个站点的工作，并且主要只希望我们尽可能地让它保持良好。
如果你真的想搞懂这个地方，方法就是作为一名读者。多花点时间在网站上，看看登上首页的文章组合，在讨论串中多待一会儿（希望能是有趣的部分，而不是引战的部分！），久而久之，你就能适应这里的规则。
什么方法是行不通的——而我们正希望它行不通——那就是把HN当作一个推广内容的平台。如果你（<—- 我不是指你个人，而是指任何人）主要关心的是“我该如何利用这个平台来为我我的初创公司/博客/项目/通讯获取关注度”，那么你就是在“推送”模式下运作，而不是“拉动”模式（甚至是“空闲”模式，那更好）。在这种情况下，你不会怀有好奇心，因为你太专注于因外在原因而想要得到的东西——如果你不处于好奇的状态，这个地方对你来说就会毫无道理。至少我们希望如此！
https://news.ycombinator.com/item?id=46322816
I work in CPU security and it’s the same with microarchitecture. You wanna know if a machine is vulnerable to a certain issue?
The technical experts (including Intel engineers) will say something like “it affects Blizzard Creek and Windy Bluff models’
Intel’s technical docs will say “if CPUID leaf 0x3aa asserts bit 63 then the CPU is affected”. (There is no database for this you can only find it out by actually booting one up).
The spec sheet for the hardware calls it a “Xeon Osmiridium X36667-IA”
Absolutely none of these forms of naming have any way to correlate between them. They also have different names for the same shit depending on whether it’s a consumer or server chip.
Meanwhile, AMD’s part numbers contain a digit that increments with each year but is off-by-one with regard to the “Zen” brand version.
Usually I just ask the LLM and accept that it’s wrong 20% of the time.
bjackman
我在CPU安全领域工作，微架构也是如此。你想知道一台机器是否容易受到某个特定问题的影响吗？
这些命名方式之间完全没有关联。而且，根据芯片是面向消费级还是服务器端，他们还会给同样的东西起不同的名字。
与此同时，AMD的型号中包含一个每年递增的数字，但这个数字与“Zen”品牌的版本号相比，总是差一。
通常我直接询问大语言模型，并接受它有20%的错误率。
https://news.ycombinator.com/item?id=46322597
I’m really not a fan of this direction for Apple. One of the differentiators between iOS and Google was a lack of ads, which make the experience feel more premium. Increasing ads, or having them at all, really erodes the user experience.
Apple managed to become the most valuable company in the world without ads. Adding them after hitting that milestone feels either greedy or desperate, maybe a little of both. I know the ads themselves aren’t new, but the steady increase is a worrying trend.
I’d rather pay an extra $100 for the phone than have ads all over it.
al_borland
我真的不喜欢苹果的这种发展方向。过去iOS和谷歌的一大区别就在于没有广告，这让用户体验感觉更高端。增加广告，或者干脆有广告，确实会严重损害用户体验。
苹果在没有广告的情况下，成功成为了全球市值最高的公司。在达到这一里程碑之后再加入广告，感觉要么是贪婪，要么是 desperation，可能两者兼而有之。我知道广告本身并不新鲜，但这种持续的增长趋势确实令人担忧。
我宁愿手机多花100美元，也不想看到它里里外外都是广告。
https://news.ycombinator.com/item?id=46319309
I’m happy to see it. They should have included Roku in that too!
Roughly twice per second, a Roku TV captures video “snapshots” in 4K resolution. These snapshots are scanned through a database of content and ads, which allows the exposure to be matched to what is airing. For example, if a streamer is watching an NFL football game and sees an ad for a hard seltzer, Roku’s ACR will know that the ad has appeared on the TV being watched at that time. In this way, the content on screen is automatically recognized, as the technology’s name indicates. The data then is paired with user profile data to link the account watching with the content they’re watching.
https://advertising.roku.com/learn/resources/acr-the-future-of-tv-and-audience-data
I wouldn’t be surprised if my PS5 was doing the same thing when I’m playing a game or watching a streaming service through it.
autoexec
很高兴看到这个。他们本也应该把Roku也算进去！
大约每秒两次，Roku电视会以4K分辨率拍摄视频“快照”。这些快照会与一个内容和广告数据库进行扫描比对，从而将曝光内容与正在播放的内容进行匹配。例如，如果一个观众正在观看一场NFL橄榄球比赛，并看到了一款硬苏打水的广告，Roku的ACR（自动内容识别）技术就会知道，此时正在观看的电视上出现了这个广告。正如该技术的名称所示，屏幕上的内容因此得到了自动识别。随后，这些数据会与用户档案数据配对，将正在观看的账户与其所观看的内容关联起来。
我不会感到意外，当我在玩游戏或通过它观看流媒体服务时，我的PS5也在做同样的事情。
https://news.ycombinator.com/item?id=46322766
I’d rather pay an extra $100 for the phone than have ads all over it.
In all likelihood, we will pay an extra $100 AND have ads.
hhoorzad
我宁愿多花100美元买手机，也不愿手机里遍布广告。 但很有可能，我们既要多花100美元，又得忍受广告。
https://news.ycombinator.com/item?id=46320163
“Time-locked models don’t roleplay; they embody their training data. Ranke-4B-1913 doesn’t know about WWI because WWI hasn’t happened in its textual universe. It can be surprised by your questions in ways modern LLMs cannot.”
“Modern LLMs suffer from hindsight contamination. GPT-5 knows how the story ends—WWI, the League’s failure, the Spanish flu.”
This is really fascinating. As someone who reads a lot of history and historical fiction I think this is really intriguing. Imagine having a conversation with someone genuinely from the period, where they don’t know the “end of the story”.
saaaaaam
时间锁定的模型不会进行角色扮演，它们是其训练数据的化身。Ranke-4B-1913不知道第一次世界大战，因为一战在其文本宇宙中尚未发生。它可以以一种现代大语言模型无法企及的方式，对你提出的问题感到惊讶。
现代大语言模型受制于事后诸葛亮式的污染。GPT-5知道故事的结局——第一次世界大战、国际联盟的失败、西班牙流感。
这真的非常迷人。作为一个大量阅读历史和历史小说的人，我觉得这真的非常引人入胜。想象一下，与一个真正来自那个时代的人交谈，而他们并不知道“故事的结局”。
https://news.ycombinator.com/item?id=46327064
“Please star my repo so I can get a job” is brutal
BeaverGoose
“请给我的项目点个星，这样我就能找到工作了”这句话太扎心了。
https://news.ycombinator.com/item?id=46327158
OK, so the “Storing data in the network … " title made me remember something.
If you transmit a message to Mars, say a rover command sequence, and the outgoing buffer is deleted on the sending side (the original code is preserved, but the transmission-encoded sequence doesn’t stick around), then that data, for 20-90 minutes, exists nowhere except space. It’s just random-looking electrical fluctuations that are propagating through whatever is out there until it hits a conducting piece of metal millions of miles away and energizes a cap bank enough to be measured by a digital circuit and reconstructed into data.
So, if you calculate the data rate (9600 baud, even), and set up a loopback/echo transmitter on Mars, you could store ~4 MB “in space”. If you’re using lasers, it’s >100x as much.
jvanderbot
好的，这个“将数据存储在网络中……”的标题让我想起了些什么。
如果你向火星发送一条消息，比如一个漫游车指令序列，并且在发送端删除了出站缓冲区（原始代码被保留，但经过传输编码的序列不会保留），那么在接下来的20到90分钟里，这些数据将仅仅存在于太空之中。它们看起来就像是随机变化的电信号，在太空中传播，直到数百万英里外碰上一块金属导体，能量被注入电容组，足以被数字电路测量并重新还原为数据。
所以，如果你计算一下数据速率（即使是9600波特），并在火星上设置一个回传/应答发射器，你就可以在“太空”中存储约4MB的数据。如果你使用的是激光，存储量则会超过100倍。
https://news.ycombinator.com/item?id=46317958
This feels so emblematic of our current era. VC funded vibe coded AI documentation startup somehow gets big name customers who don’t properly vet the security of the platform, ship a massive vulnerability that could pwn millions of users and the person who reports the vulnerability gets…$5k.
If I recall last week Mintlify wrote a blog post showcasing their impressive(ly complicated) caching architecture. Pretending like they were doing real engineering, when it turns out nobody there seems to know what they’re doing, but they’ve managed to convince some big names to use them.
Man, it’s like everything I hate about modern tech. Good job Eva for finding this one. Starting to think that every AI startup or company that is heavily using gen-ai for coding is probably extremely vulnerable to the simplest of attacks. Might be a way to make some extra spending money lol.
llmslave2
这太能代表我们这个时代了。一家获得风险投资的、带有某种“精英气质”的 AI 文档初创公司，不知怎么就拉来了大牌客户，而这些客户显然没有对平台的安全性进行严格审查。结果，他们推出一个可能导致数百万用户被攻破的重大漏洞，而发现这个漏洞的人……只得到了 5000 美元。
如果我没记错的话，上周 Mintlify 还发了一篇博客文章，炫耀他们那套令人印象深刻（也复杂得要命）的缓存架构。他们表现得好像自己是在做真正的工程，结果却发现他们那里似乎没人知道自己到底在做什么，但他们却成功说服了一些大公司来使用他们的产品。
天呐，这简直汇集了我对现代科技的所有厌恶。Eva 发现了这个漏洞，干得漂亮。我开始觉得，每一家 AI 初创公司或重度使用生成式 AI 进行编程的公司，可能都极易受到最简单攻击的威胁。这或许还能成为赚点零花钱的门路，哈哈。
https://news.ycombinator.com/item?id=46319454
This is a pretty scary exploit, considering how easily it could be abused.
Imagine just one link in a tweet, support ticket, or email: https://discord.com/_mintlify/static/evil/exploit.svg. If you click it, JavaScript runs on the discord.com origin.
Here’s what could happen:
Your Discord session cookies and token could be stolen, leading to a complete account takeover.
read/write your developer applications & webhooks, allowing them to add or modify bots, reset secrets, and push malicious updates to millions.
access any Discord API endpoint as you, meaning they could join or delete servers, DM friends, or even buy Nitro with your saved payment info.
maybe even harvest OAuth tokens from sites that use “Login with Disord.”
Given the potential damage, the $4,000 bounty feels like a slap in the face.
edit: just noticed how HN just turned this into a clickable link - this makes it even scarier!
superasn
考虑到这个漏洞很容易被滥用，这确实相当骇人。
想象一下，一条推文、支持工单或电子邮件中只有一个链接：https://discord.com/_mintlify/static/evil/exploit.svg。一旦点击，它就会在 discord.com 域下运行 JavaScript。
以下是一些可能发生的情况：
考虑到潜在的破坏力，4000 美元的赏金感觉就像是一种侮辱。
编辑：刚注意到 HN 把这个链接变成了可点击的——这让情况变得更可怕了！
https://news.ycombinator.com/item?id=46325413
A friend of mine received a double shipment for a $300 order. Being honest, he contacted customer service to arrange a return. Everything seemed fine until a few days later when he noticed they had also refunded his original payment. He reached out again to let them know, and they said they’d just recharge his card. Apparently, that transaction failed (no clear reason why), and without any warning, they banned his account, wiping out his entire Kindle library in the process. Amazon works wonderfully right up until it fails spectacularly.
egeozcan
我的一位朋友下了300美元的订单，结果收到了双份商品。他很诚实，主动联系客服安排退货。一切都看起来很顺利，但几天后他发现，他们不仅安排了退货，还把原款也一并退了。他又联系对方告知此事，对方说会重新给他的信用卡扣款。显然，那笔扣款失败了（也没说清具体原因），然后，在没有任何警告的情况下，他们封禁了他的账户，并把他整个Kindle图书馆的内容都清空了。亚马逊一直运行得很好，直到它以灾难性的方式彻底失灵。
https://news.ycombinator.com/item?id=46314344
The financials of open access are interesting.
Instead of journals getting revenue from subscribers, they charge authors an “Article Processing Charge” (APC) which for ACM is $1450 in 2026 and expected to go up. Authors from lower-middle income countries get a discount. [1]
Authors are often associated with institutions (e.g. universities) who can cover the APC on behalf of the author through a deal with the journal. For the institution, now instead of paying the subscriber fee and publishing for free, they pay a publishing fee and everyone reads for free.
trainyperson
开放获取的金融模式很有趣。
期刊不再从订阅者那里获得收入，而是向作者收取“文章处理费”（APC）。对于ACM（美国计算机协会）而言，2026年的APC为1450美元，并且预计会继续上涨。来自中低收入国家的作者可以享受折扣。[1]
作者通常隶属于某个机构（例如大学），这些机构可以通过与期刊达成协议，代为支付APC。对机构而言，他们现在不再是支付订阅费来供机构成员免费发表，而是支付出版费，让所有人都可以免费阅读。
https://news.ycombinator.com/item?id=46320995
We’re developing a responsible access framework that makes models available to researchers for scholarly purposes while preventing misuse.
The idea of training such a model is really a great one, but not releasing it because someone might be offended by the output is just stupid beyond believe.
jimmy76615
我们正在制定一个负责任的访问框架，该框架使研究人员能够为学术目的获取模型，同时防止其被滥用。
训练这样一个模型的想法确实很棒，但仅仅因为有人可能会对输出内容感到不满就不发布它，简直是愚蠢到了极点。
https://news.ycombinator.com/item?id=46318608
I’ve had the advertising settings disabled on my LG C2 for a while and yesterday I decided to browse the settings menu again and found that a couple new ones had been added and turned on by default.
Good times.
spike021
我已经有一段时间在LG C2上关闭了广告设置，但昨天我决定再次浏览设置菜单，结果发现有几个新的选项被添加进来，并且默认是开启的。
真不错啊。
https://news.ycombinator.com/item?id=46318189
It’s a good thing that Chinese companies have zero expertise in leveraging consumer demand for lower-end tech to develop know-how and catch up with the state of the art from Western-aligned companies and then economies of scale to surpass them in distribution.
vslira
幸好中国公司完全不具备利用消费者对低端技术的需求来积累技术诀窍、追赶西方领先公司，再凭借规模经济优势在渠道上超越他们的能力。
https://news.ycombinator.com/item?id=46318752
I love the insanity of this idea. Not saying it’s a good idea, but it’s a very highly entertaining one, and I like that!
I’ve also had enormous luck with Anubis. AI scrapers found my personal Forgejo server and were hitting it on the order of 600K requests per day. After setting up Anubis, that dropped to about 100. Yes, some people are going to see an anime catgirl from time to time. Bummer. Reducing my fake traffic by a factor of 6,000 is worth it.
kstrauser
我太爱这个想法的疯狂之处了。不是说这是个好主意，但它确实非常有趣，我很喜欢这个点子！
用 Anubis 我也运气爆棚。AI 爬虫找到了我的个人 Forgejo 服务器，每天发送了大约 60 万次请求。在配置了 Anubis 之后，这个数字就降到了大约 100 次。是的，有些人时不时地会看到一个动漫猫娘。真倒霉。但这能将我的虚假流量减少到原来的六千分之一，完全值得。
https://news.ycombinator.com/item?id=46317613
The fact that SVG files can contain scripts was a bit of a mistake. On one hand, the animations and entire interactive demos and even games in a single SVG are cool. But on the other hand, it opens up a serious can of worms of security vulnerabilities. As a result, SVG files are often banned from various image upload tools, they do not unfurl previews, and so on. If you upload an SVG to discord, it just shows the raw code; and don’t even think about sharing an SVG image via Facebook Messenger, Wechat, Google Hangouts, or whatever. In 2025, raster formats remain way more accessible and easily shared than SVGs.
This is very sad because SVGs often have way smaller file size, and obviously look much better at various scales. If only there was a widely used vector format that does not have any script support and can be easily shared.
dllu
SVG文件可以包含脚本这一点其实是个不小的失误。一方面，在单个SVG文件中实现动画、完整的交互式演示甚至游戏，确实很酷。但另一方面，这也引发了一系列严重的安全漏洞问题。因此，SVG文件常常被各种图片上传工具所禁止，也无法预览，等等。如果你把SVG文件上传到Discord，它只会显示原始代码；更别想通过Facebook Messenger、微信、Google Hangouts或其他任何方式分享SVG图片了。到了2025年，光栅格式在可访问性和易于分享方面仍然远胜于SVG。
这非常令人惋惜，因为SVG的文件体积通常要小得多，并且在各种尺寸下显然也更清晰美观。但愿能有一种广泛使用的矢量格式，它不支持任何脚本，并且易于分享。
https://news.ycombinator.com/item?id=46314476
The main problem is the incentives are off. Publishers are now rewarded for publishing more papers, as opposed to having more readers. When it was more readers, you were rewarded for the quality of the publication thus more people wanted to read it. By switching the profit incentive to number of publications, we have chosen quantity over quality.
Needless to say I prefer open access since those outside institutions can then read science, but the incentive model is heavily broken, and I’m not sure it’s a good price to pay for the reward.
zipy124
主要问题在于激励机制错位。如今，出版商获得的奖励是根据发表论文的数量，而非读者的数量。当激励机制是围绕读者数量时，你会因为出版物的高质量而获得回报，因此会有更多人愿意阅读它。现在我们将利润激励转向了论文发表数量，这就导致我们选择了数量而非质量。
不用说，我当然支持开放获取，因为这样一来，机构之外的人也能读到科学文献。但是，这种激励机制已经严重失灵，我不确定为了这种回报而付出这样的代价是否值得。
https://news.ycombinator.com/item?id=46320772
ACR needs to die. It’s an absurd abuse of the privileged position that a TV has - a gross violation of privacy just to make a few bucks. It should be absolutely nobody’s business to know what you watch except your own; the motivation behind the VPPA was to kill exactly this type of abuse.
The greatest irony is that HDCP goes to great lengths to try and prevent people from screenshotting copyrighted content, and here we have the smart TVs at the end just scraping the content willy-nilly. If someone manages to figure out how to use ACR to break DRM, maybe the MPAA will be motivated to kill ACR :)
nneonneo
ACR必须被淘汰。这是一种对电视机特权地位的荒谬滥用，纯粹是为了赚几个钱而严重侵犯隐私。除了你自己之外，没有任何人有权利知道你看什么。VPPA（视频隐私保护法）背后的初衷就是为了杜绝这种滥用行为。
最大的讽刺在于，HDCP（高带宽数字内容保护）费尽心力试图阻止人们截取受版权保护的内容，结果到头来，智能电视却可以随心所欲地抓取这些内容。要是有人能利用ACR来破解DRM（数字版权管理），或许MPAA（美国电影协会）就会有动力去干掉ACR了。
https://news.ycombinator.com/item?id=46323706
I think people screaming “but AI is the future” doesn’t recognize what the problem is. The problem is not AI. The problem is that Mozilla keeps jumping on fads instead of focusing on their browser core. There are a tons of “we bundled all the latest crap” Chrome forks out there. Nobody needs more those. Stop pushing bells and whistles. Give us more extensibility instead. Keep supporting v2 manifest and add more. There were genuine technical reasons for why XUL and NPAPI had to die, but we need an equally powerful alternative.
And yea, having a faint through about removing adblock support, yet alone speaking it aloud is a really bad sign for Mozilla’s future.
tliltocatl
我觉得那些大喊“但AI是未来”的人并没有认识到真正的问题。问题不在于AI，而在于Mozilla总是在追逐潮流，而不是专注于其浏览器的核心功能。市面上已经有大量“我们打包了所有最新玩意儿”的Chrome分支了，没人需要更多这种东西。别再那些花里胡哨的功能了，多给我们一些可扩展性吧。继续支持v2清单，并增加更多功能。XUL和NPAPI之所以必须淘汰，有其真实的技术原因，但我们同样需要一个功能同样强大的替代品。
而且，是的，竟然还在考虑移除广告屏蔽功能，更别说公开谈论了，这实在是 Mozilla 未来一个极不祥的征兆。
2025-12-19 08:23:57
- ACM 宣布自 2026 年 1 月起在数字图书馆对所有出版物实行开放获取，作者保留版权并提供过渡支持以提升可见性与公平获取。
- AWS 首席执行官认为用 AI 取代初级开发者是愚蠢的想法，主张将 AI 作为增强工具并保持新人培养以维护人才梯队。
- 在 AI 辅助开发时代，开发者的核心是交付并证明代码可运行，需提供手动与自动化测试证据并教会 AI 执行验证。
- 一台 Hetzner 服务器被利用 Next.js RCE 漏洞植入 xmrig 挖矿程序，提示开发者重视依赖与供应链安全。
- 古典雕像原本有色彩且更克制细腻，现代极端复原易误导公众，重建应区分证据与推测并明确标注。
- 购买零售渠道的苹果礼品卡兑换可能触发账户封禁并造成数据与购买记录丢失，苹果在申诉与透明度上存在问题。
- 日本研究团队从两栖爬行动物肠道分离出能选择性在肿瘤内富集并诱导免疫反应的细菌，在小鼠结直肠癌模型中实现完全缓解。
- HTMX 被推荐为一种轻量无需大量 JavaScript 的前端增强方案，通过服务器渲染局部更新简化开发复杂度，适用于许多场景。
- 英国独立审查警告国家安全法可能过度扩张，将加密通信或使用 VPN 等合法技术误判为“敌对活动”，威胁隐私与创新。
- Docker 免费发布 Docker Hardened Images，提供轻量、低攻击面且附带 SBOM 与 SLSA 构建证明的生产就绪镜像，但关于构建工具开源性仍有争议。
亲爱的计算机社区成员们，
我们很高兴地分享一个对我们领域来说的重要里程碑。从 2026 年 1 月开始，所有 ACM 出版物及其相关作品将在 ACM 数字图书馆中实现开放获取。这一变化反映了全球计算机社区对于研究成果更加可获取、可发现和可重用的长期呼声和日益增长的需求。
通过转向开放获取，ACM 支持一种出版环境，具体体现在以下几个方面：
此次转型的结果源于与作者、特殊兴趣小组（SIG）领导、编辑委员会、图书馆和全球研究机构的广泛对话。我们对社区持续倡导开放性以及确保计算机知识广泛共享的承诺表示感谢。
在向 2026 年 1 月过渡的过程中，我们将提供额外的信息和指导，包括：
我们的目标是让这一过渡过程对所有参与 ACM 出版物和会议的贡献者顺利且富有支持性。感谢您们在推动计算研究和实践方面的持续努力。我们期待与大家共同在一个更加开放和可获取的未来继续这项工作。
https://news.ycombinator.com/item?id=46313991
https://www.finalroundai.com/blog/aws-ceo-ai-cannot-replace-junior-developers
本文为 Final Round AI 博客文章，标题为《AWS CEO 解释 AI 无法取代初级开发者的 3 个原因》。文章引用了 AWS 首席执行官 Matt Garman 在 WIRED《大访谈》播客中的观点，反驳了“用 AI 替代初级开发者以降低成本”的流行做法。
首先，初级开发者往往比资深员工更熟悉 AI 工具。他们成长于数字时代，学习和使用 AI 编程辅助工具（如代码生成、调试建议）更为自然。2025 年 Stack Overflow 开发者调查显示，55.5% 的早期职业开发者每日使用 AI 工具，高于资深开发者。许多 Z 世代员工甚至在帮助资深同事提升 AI 技能。
其次，初级开发者薪资较低，削减他们并不能带来显著的成本节约。企业若仅以降本为目标而裁撤初级岗位，实际效果有限。研究显示，30% 曾裁员以节省成本的公司最终支出反而上升，且不得不重新招聘，造成更大损失。
第三，停止招聘初级开发者将破坏人才梯队建设。公司需要新鲜血液注入创新思维和未来领导力。若长期不培养新人，未来将面临人才断层，难以应对项目扩展和技术演进。Deloitte 报告指出，科技行业人才需求增速是整体劳动力市场的两倍，建立稳定的人才管道至关重要。
Garman 强调，AI 应作为提升生产力的工具，而非替代人力的手段。他相信 AI 将在中长期创造更多岗位，而非减少。同时，他支持计算机科学教育，认为扎实的理论基础是未来高价值岗位的核心。最终，AI 将推动企业更高效发展，而人类开发者需不断适应新角色，提升综合能力。
https://news.ycombinator.com/item?id=46302267
https://simonwillison.net/2025/Dec/18/code-proven-to-work/
本文由 Simon Willison 于 2025 年 12 月 18 日发表，探讨了在 AI 辅助开发日益普及的背景下，软件工程师的核心职责——交付经过验证的可运行代码。
作者指出，当前一个令人担忧的现象是，初级工程师过度依赖 LLM 工具，提交大量未经测试的大型代码变更（PR），将验证工作推给同事或开源维护者。这种行为不仅不尊重他人时间，更是对开发职责的失职。
真正的开发工作不应只是“写代码”，而应确保代码确实有效。为此，必须通过两个步骤证明代码工作正常：
第一，手动测试。开发者必须亲自验证代码在正常流程下能正确运行。建议将测试步骤整理为可复现的终端命令及输出，直接附在代码审查中。对于难以通过命令行演示的变更（如 UI 变化），应提供屏幕录制视频作为证据。同时，要主动探索边界情况，这是区分初级与高级工程师的关键能力。
第二，自动化测试。这是不可省略的环节。提交的代码必须包含能通过测试的自动化用例，且在回滚实现后测试应失败。自动化测试的编写过程与手动测试一致：准备初始状态、执行变更、验证结果。良好的测试代码结构和模式复用，能帮助 AI 工具写出符合团队风格的测试。
作者强调，如今的 AI 编程代理（如 Claude Code、Codex CLI）已具备自动执行代码、验证结果并迭代优化的能力。开发者应教会 AI 工具完成同样的验证流程——既能手动测试，也能编写自动化测试。例如，让 AI 自行运行 CLI 工具进行验证，或在修改 CSS 时自动截图比对效果。
最终，AI 无法承担责任。人类开发者才是问责主体。能证明代码有效的人，才真正有价值。因此，每次提交 PR 前，务必附上充分的验证证据。
本文倡导一种“以证明为核心”的开发哲学：在 AI 时代，真正的竞争力不在于生成代码的能力，而在于验证代码的能力。
https://news.ycombinator.com/item?id=46313297
https://blog.jakesaunders.dev/my-server-started-mining-monero-this-morning/
作者 Jake Saunders 在早晨收到 Hetzner 的邮件，警告其服务器存在攻击行为，且若不及时处理，服务器可能在 4 小时内被封锁。他随即登录服务器检查，发现系统负载异常高，CPU 使用率高达 819%，并检测到多个名为 javae 和 xmrig 的异常进程，确认服务器已被用于挖掘 Monero 加密货币。
经过排查，这些进程均以用户 ID 1001 运行，且位于 Docker 容器中。通过检查容器列表，作者发现自己的 Umami 分析工具容器（ID: a42f72cb1bc5）中存在一个名为 xmrig-6.24.0 的目录，位于 /app/node_modules/next/dist/server/lib/ 路径下，这是典型的挖矿软件植入位置。
进一步调查发现，Umami 是基于 Next.js 构建的，而作者此前误以为自己“不使用 Next.js”，因此未加关注。实际上，他部署的 Umami 在 9 天前更新，恰逢一个名为 CVE-2025-66478 的严重漏洞被公开。该漏洞存在于 Next.js 的 React Server Components（RSC）序列化机制中，攻击者可通过构造恶意 HTTP 请求，利用不安全的反序列化实现远程代码执行（RCE）。
攻击者正是利用这一漏洞，入侵了作者的 Umami 容器，植入挖矿程序并长期运行（从 12 月 7 日开始，持续约 10 天）。作者意识到，即便自己不直接使用 Next.js，其依赖的第三方应用若使用该框架，仍可能成为攻击入口。
文章最后强调：安全防护不能仅依赖“我不用 XX”，而应关注所有依赖项的潜在风险，尤其是开源组件中的漏洞。作者也表示已重置系统，修复漏洞，并提醒其他开发者重视供应链安全。
https://news.ycombinator.com/item?id=46305585
https://worksinprogress.co/issue/were-classical-statues-painted-horribly/
本文探讨了古希腊与古罗马雕塑原本被彩色装饰这一事实，以及现代人对彩色复原版本普遍感到“难看”的现象。作者指出，尽管历史学界早已知晓古代雕塑是彩色的，但近年来通过维岑茨·布林克曼等人的“色彩中的神”展览，公众才广泛接触到这些复原作品。然而，这些复原往往使用高饱和、哑光的色彩，使原本精美绝伦的雕塑显得突兀甚至丑陋。
作者质疑“现代审美与古代不同”这一常见解释。他指出，古代壁画、马赛克和绘画中描绘的雕塑，大多色彩柔和、层次细腻，如庞贝古城中描绘的雕像，或圣马可别墅的拳击手雕像，均呈现出自然、克制的色彩处理，远非现代复原中那种刺眼的艳丽。
此外，文中还提到，古代艺术中极少有与现代复原风格相似的实例。唯一接近的是奥普隆蒂斯别墅中的一只戏剧面具，但其本身是夸张、怪诞的舞台道具，不能代表普通雕塑的风格。
因此，作者认为，现代人对彩色复原的反感，可能并非源于审美差异，而是因为这些复原违背了我们对古典雕塑“洁白无瑕”的长期视觉惯性。这种“白色崇拜”源于文艺复兴时期对残缺雕塑的误读，当时人们误以为无色是艺术本真，从而形成了一种根深蒂固的审美偏好。
最终，文章提出：真正的问题不在于古代人是否喜欢彩色雕塑，而在于现代复原方式是否真实反映了古代的色彩美学。当前的复原可能过于夸张，反而扭曲了我们对古典艺术的理解。
https://news.ycombinator.com/item?id=46311856
https://daringfireball.net/linked/2025/12/17/are-apple-gift-cards-safe-to-redeem
本文由 John Gruber 撰写，围绕苹果账户因兑换被篡改的 Apple Gift Card 而被锁定的事件展开讨论。事件主角 Paris Buttfield-Addison 在购买一张来自大型零售商的 500 美元苹果礼品卡后，尝试兑换时其整个 Apple 账户被锁定，导致 iCloud 和所有 iTunes、App Store 购买记录丢失。
尽管该礼品卡来自可信渠道，但其可能已被恶意篡改，触发了苹果的欺诈检测机制。Gruber 指出，整个事件过程缺乏透明度：苹果未说明账户被封禁的具体原因，也未提供任何解释，整个处理流程如同“卡夫卡式”的黑箱操作。
文章提到，尽管 Adam Engst 在 TidBITS 上建议公众抵制购买苹果礼品卡，将其视为“数字俄罗斯轮盘”，但 Gruber 仍认为大多数礼品卡是安全的。他个人因此决定仅在苹果直营店兑换礼品卡，并避免将其与个人 Apple 账户关联，以降低风险。
此外，Gruber 对苹果账户一旦被封禁后是否可恢复表示怀疑。尽管 Buttfield-Addison 最终在执行关系团队（Executive Relations）介入后账户得以恢复，但整个过程耗时近一周，反映出苹果内部支持体系的僵化与不透明。
他提出两个核心疑问：一是账户封禁是否由算法自动触发，还是有人工干预；二是被封账户是否真的能被恢复，还是只能通过“退款 + 重新注册”这种看似荒谬的方式解决。
文章最后强调，尽管事件已解决，但苹果礼品卡的安全性仍存疑，用户在兑换和赠送时需保持警惕。
https://news.ycombinator.com/item?id=46313061
https://www.jaist.ac.jp/english/whatsnew/press/2025/12/17-1.html
日本先端科学技術大学院大学（JAIST）的三木栄朗教授研究团队发现，从日本树蛙肠道中分离出的一种名为 Ewingella americana 的细菌，具有极强的抗癌活性。该研究成果已发表于国际期刊《Gut Microbes》。
研究团队从日本树蛙、火腹蝾螈和日本草蜥的肠道中分离出 45 种细菌，经筛选后发现其中 9 种具有抗肿瘤作用，尤以 E. americana 表现最为突出。在小鼠结直肠癌模型中，单次静脉注射该细菌即实现 100% 的完全缓解率，疗效显著优于现有的化疗药物（如多柔比星）和免疫检查点抑制剂（如抗 PD-L1 抗体）。
其抗癌机制具有双重作用：一是直接杀伤癌细胞，该菌为兼性厌氧菌，可选择性定植于缺氧的肿瘤微环境，在 24 小时内数量增加约 3000 倍；二是激活免疫系统，大量招募 T 细胞、B 细胞和中性粒细胞至肿瘤部位，促进促炎因子（如 TNF-α、IFN-γ）释放，诱导癌细胞凋亡。
该细菌表现出高度肿瘤特异性，能精准聚集于肿瘤组织，不侵入正常器官（如肝、脾、肺、肾、心脏），且在体内迅速清除（半衰期约 1.2 小时），24 小时后无法检测到。短期轻度炎症反应可在 72 小时内恢复，长期观察 60 天未见慢性毒性。
未来研究将拓展至乳腺癌、胰腺癌、黑色素瘤等多种实体瘤，优化给药方式（如分次剂量、瘤内注射），并探索与现有免疫疗法或化疗的协同效应。
本研究开创性地利用自然界未被充分开发的两栖类与爬行类肠道微生物资源，为难治性癌症治疗提供了全新思路，揭示了生物多样性在医学创新中的巨大潜力。
https://news.ycombinator.com/item?id=46306894
这是一个强烈呼吁开发者尝试 HTMX 的技术文章，作者以充满情绪但不失理性的语气，批判当前前端开发中的过度复杂化现象。
文章指出，开发者常面临两种错误选择：要么使用原始的纯 HTML，无法实现动态交互；要么陷入现代 JavaScript 框架（如 React）带来的庞大依赖、缓慢构建和复杂状态管理的“地狱”。这种二元对立是虚假的。
真正的第三条路是使用 HTMX——一个轻量级库，仅约 14KB 压缩后大小，无需编写任何 JavaScript。它让任意 HTML 元素都能发起请求，服务器返回真实可渲染的 HTML 片段，由 HTMX 直接插入页面指定位置，实现局部更新。
文中通过三个实际演示展示其能力：点击按钮更新内容、加载更多数据、实时搜索反馈。所有功能仅靠 HTML 属性实现，无需额外代码。
作者引用一家公司从 React 迁移到 Django + HTMX 的案例，数据惊人：代码量减少 67%，依赖减少 96%，构建速度提升 88%，页面加载速度提高 50%-60%。团队成员也实现了全栈化，不再有前后端割裂。
针对质疑，文章回应：
最后明确指出，不推荐使用场景包括实时协作编辑、重度计算、离线应用或真正复杂的界面状态管理。但绝大多数项目——如仪表盘、后台系统、电商网站、博客等——都适合用上。
文章结尾真诚邀请读者花一个周末试一试：加个 <script> 标签，写一个 hx-get 属性，体验一次“为什么我们把网页开发搞得这么复杂”的顿悟。
https://news.ycombinator.com/item?id=46312973
英国监管机构警告称，开发类似 Signal 或 WhatsApp 等加密通讯应用可能被视作“敌对行为”，这是英国近期加强数字隐私监管的最新举措。该言论引发科技界对加密技术未来前景的广泛担忧。当前，英国政府正加强对在线安全的管控，包括考虑对虚拟私人网络（VPN）实施更严格限制，甚至可能禁止未成年人使用。与此同时，英国通信管理局（Ofcom）已启动对 VPN 的监控，计划在 2026 年进一步强化文件内容审查。专家批评此类措施可能损害用户隐私，甚至“制造灾难”。瑞士也因技术行业强烈反对，已决定修订拟议中的 VPN 监管法案。此外，印度要求 VPN 服务商屏蔽非法泄露公民数据的网站，欧盟则准备扩大数据留存范围，将 VPN 提供商纳入监管目标。美国网络安全机构也建议 Android 和 iPhone 用户停止使用个人 VPN，引发公众对隐私与安全平衡的讨论。
https://news.ycombinator.com/item?id=46311355
https://www.docker.com/blog/docker-hardened-images-for-every-developer/
Docker 宣布免费开放 Docker Hardened Images（DHI），为全球 2600 万开发者提供安全、轻量、生产就绪的容器镜像。DHI 采用开源 Apache 2.0 许可，完全透明，支持 Debian 和 Alpine 两大主流基础镜像，确保开发者可信任、可验证、可迁移。
DHI 通过 distroless 运行时大幅缩减攻击面，镜像体积最多减少 95%，并实现近零 CVE 的安全目标。每个镜像均附带完整的 SBOM（软件物料清单）、SLSA Build Level 3 构建证明和公开可查的漏洞评估，杜绝隐藏漏洞或模糊评分。
Docker 强调安全透明，不掩盖未修复漏洞，所有安全状态实时可见。同时，DHI 提供商业版本（DHI Enterprise），承诺关键漏洞 7 天内修复，支持 FIPS、FedRAMP 等合规需求，适用于金融、政府等高安全要求行业。
DHI 已扩展至 Helm Charts 和 MCP 服务器（如 MongoDB、Grafana、GitHub），构建从应用到基础设施的全栈安全基础。未来将覆盖更多系统组件、库和工具，实现从 main() 函数到底层系统的全面安全。
Docker 还推出 AI 助手功能，可扫描现有容器并推荐或自动替换为 DHI 镜像，降低迁移门槛。该功能目前为实验性，即将正式上线。
Docker 坚信，安全不应是例外，而应是默认。通过开放 DHI，Docker 正在推动容器生态进入“安全即默认”的新标准。
https://news.ycombinator.com/item?id=46302337
https://news.ycombinator.com/item?id=46312879
I will die on this hill, because I’m right. Painters put on the first layer in saturated colors like this, then add detail, highlight and shadow. The base layer stuck to the statues, and the rest was washed away.
This whole thing just won’t go away because many people are operating outside their area of expertise on this subject.
Painters layer paint, starting with a saturated base color. These archaeologists are simply looking at the paint that was left in the crevices.
Geonode
我会坚持我的立场，因为我是正确的。画家会先使用饱和度高的颜色打底，然后再添加细节、高光和阴影。底层颜料附着在雕像上，而其余的则被冲刷掉了。
这件事之所以不断发酵，是因为许多人在这个领域都超出了他们的专业范畴。
画家分层上色，从饱和的底色开始。而这些考古学家只是观察到了残留在缝隙里的颜料。
https://news.ycombinator.com/item?id=46309399
(I’m a mod here)
It’s true that this place can be cryptic, and that has downsides—specifically, it can be confusing to newcomers, even to some newcomers who would make ideal HN users. That sucks.
But there’s a key that unlocks most of the puzzles. That is to understand that we’re optimizing for exactly one thing: curiosity. (Specifically, intellectual curiosity, since there are other kinds of curiosity too.) Here are links to past explanations about that: https://hn.algolia.com/?dateRange=all&page=0&prefix=true&sort=byDate&type=comment&query=curiosity%20optimiz%20by:dang
We try to elevate things that gratify curiosity: creative work, surprising discoveries, deep dives, technical achievements, unusual personal experience, whimsical unpredictability, good conversation, etc. And we try to demote things that run against curiosity, especially repetition, indignation, sensationalism, and promotion.
It gets complicated because you’ll also see plenty of repetition, indignation, sensationalism, and promotion on HN—alas! This is the internet after all. But the site survives because the balance of these things stays within tolerable ranges, thanks to two factors: an active community which cares greatly about preserving this place for intended purpose ( https://news.ycombinator.com/newsguidelines.html ); and an owner (Y Combinator) which pays us to work on the site full time and mainly just wants us to keep it good, to the extent possible.
If you really want to figure this place out, the way to do it is as a reader. Hang out on the site, look at the mix of articles that make the frontpage, spend time in the discussion threads (hopefully the interesting sectors and not the flamey ones!), and over time your eyes will adjust.
What doesn’t work—and this is good because we want it not to work—is approaching HN as a platform for promoting content. If you (<– I don’t mean you personally, but anyone) mainly care about “how can I use this thing to get attention for my startup/blog/project/newsletter”, then you’re operating in ‘push’ mode rather than ‘pull’ mode (or, even better, ‘idle’ mode). In that case you won’t be curious because you’re too focused on what you’re wanting for extraneous reasons—and if you aren’t in a state of curiosity, this place won’t make sense. At least we hope it won’t!
dang
（我是这里的版主）
说实话，这个地方确实有些晦涩难懂，这有其弊端——特别是会让新来的人感到困惑，甚至是一些本可以成为优秀HN用户的新人。这很糟糕。
但有一个关键可以解开大部分谜题。那就是要明白，我们只为一件事优化：好奇心。（具体来说是智识上的好奇心，因为好奇心还有其他类型。）这里有一些过去关于此问题的解释链接：https://hn.algolia.com/?dateRange=all&page=0&prefix=true&sort=byDate&type=comment&query=curiosity%20optimiz%20by:dang
我们努力提升那些能激发好奇心的内容：富有创意的作品、惊人的发现、深度剖析、技术成就、不寻常的个人经历、异想天开的不可预测性、高质量的对话等等。而我们则努力压制那些与好奇心相悖的内容，尤其是重复、愤慨、耸人听闻和推广。
情况会变得复杂，因为你在HN上也会看到大量的重复、愤慨、耸人听闻和推广内容——唉！毕竟这是互联网。但这个网站之所以能存续，是因为这些内容的比例维持在可容忍的范围内，这得益于两个因素：一个积极且非常关心为这个地方保留其既定用途的社区 ( https://news.ycombinator.com/newsguidelines.html)；以及一个（Y Combinator）拥有者，他们付钱让我们全职运营这个网站，主要就是希望我们尽可能地把它做好。
如果你真的想搞懂这个地方，方法就是作为一个读者。多花时间在这个网站上，看看登上首页的各种文章组合，多在讨论区里逛逛（希望是那些有趣的板块，而不是引战的板块！），久而久之，你就能适应这里的规则。
什么方法是行不通的——而这恰恰是好事，因为我们希望它行不通——那就是把HN当作一个推广内容的平台。如果你（←这里说的不是你个人，而是泛指任何一个人）主要关心的是“我该如何利用这个平台来给我的初创公司/博客/项目/通讯引流”，那你就是在“推送”模式而非“拉动”模式（或者，更好的是“闲置”）模式下运作。在这种情况下，你不会怀有好奇心，因为你太专注于那些与你个人目的无关的东西了——而如果你不处于好奇的状态，这个地方对你来说就毫无道理可言。至少我们希望是如此！
https://news.ycombinator.com/item?id=46313303
I’m glad that got resolved for Paris, but what the hell is a normal person supposed to do. Not every one has that kind of public reach to get a satisfactory resolution. First he had understand what happened technically, then he needed a public platform to tell people about it, then that writing needed to get reposted by others, than PR needed to get involved. Not something that’s going to happen for a normal user.
Apple, Google, and the big players are not a trustworthy place to entrust precious data. Increasingly, Apple and Google aren’t very much different as they are both in the advertisement business: the great misaligner of incentives.
oidar
很高兴巴黎的问题得到了解决，但普通人到底该怎么办呢？不是每个人都有那样的公众影响力来获得满意的解决。首先，他必须从技术上明白发生了什么；然后，他需要一个公开的平台告诉人们这件事；接着，他的文章需要被其他人转发；最后，公关部门还需要介入。这些事对于普通用户来说是不可能发生的。
苹果、谷歌和这些大公司并不是一个值得托付宝贵数据的地方。如今，苹果和谷歌已没什么不同，因为它们都从事广告业——一个导致利益严重错位的行业。
https://news.ycombinator.com/item?id=46314509
there’s one depressing anecdote that I keep on seeing: the junior engineer, empowered by some class of LLM tool, who deposits giant, untested PRs on their coworkers—or open source maintainers—and expects the “code review” process to handle the rest.
It’s even worse than that: non -junior devs are doing it as well.
endorphine
有一个令人沮丧的轶闻，我总是看到：初级工程师在某种大语言模型工具的加持下，把巨大的未经测试的代码提交推给同事，或是开源项目的维护者，然后就指望“代码审查”流程来搞定剩下的一切。
情况甚至比这更糟：不止是初级开发者，就连非初级开发者也这么干。
https://news.ycombinator.com/item?id=46311760
He warns that developers of apps like Signal and WhatsApp could technically fall within the legal definition of “hostile activity” simply because their technology “make[s] it more difficult for UK security and intelligence agencies to monitor communications.
Sounds like Let’s Encrypt would also fall under that.
This has got to stop. If you want to stop criminals, then focus on their illegal activites, not the streets they walk on. I walk on them too. And don’t use CP as a catch-all argument to insert backdoors.
Their big problem here is that previously, it was hard to find people with the same opinion as you. If you couldn’t find someone in the same village who wanted to start a rebellion, it probably wouldn’t happen. Today, someone can post a Telegram group message and make thousands of people rally to a town square. I see the dangers, and I see why governments think they are doing this to protect the people. No one wants civil war. That is still not a strong enough reason to call road construction a hostile activity.
I’m back in Sweden after 12 years abroad. Time to read up on which parties are sane and which aren’t when it comes to technical infrastructure.
flowerthoughts
他警告说，像Signal和WhatsApp这类应用的开发者，仅仅因为其技术“让英国安全与情报机构更难监控通信”，在技术上就可能落入法律上“敌对活动”的定义范畴。
听起来Let’s Encrypt恐怕也会被归为此类。
这种情况必须得到遏制。如果想打击罪犯，就应该专注于他们的非法行为，而不是他们行走的街道。我也走在那些街道上。而且，别用儿童色情内容当万能挡箭牌，来强推后门。
他们这里最大的问题是，过去很难找到志同道合的人。如果你在自己的村子里找不到一个想造反的人，那叛乱大概就不会发生。而今天，有人可以在Telegram上发一条群消息，就能召集成千上万的人涌向某个城镇的广场。我看到了其中的危险，也理解了政府为何认为他们这样做是为了保护人民。没人想要内战。但这仍然不足以将修建道路的行为定义为“敌对活动”。
我在国外待了12年后，又回到了瑞典。现在是时候好好了解一下，在技术基础设施方面，哪些政党是清醒的，哪些不是了。
https://news.ycombinator.com/item?id=46304618
Your sleep is more important than our work distraction.
jonny_eh
你的睡眠比我们工作上的分心更重要。
https://news.ycombinator.com/item?id=46309842
HN is hard to game on purpose. So stop looking for the levers and participate , that’s all there is to it. I’ve made friends here, have been helped by people on projects that I was busy with, did the reverse, found friends and business partners and spend way too much time. HN is a very interesting slice of the online world, a place that is unlike the rest, sometimes a bit dry but always interesting and extremely useful. If you’re looking at it to try to understand it then you might as well try to understand a rat or a mouse. You won’t understand it because it isn’t there to be understood, it just is, like any other organism.
The root of HN is a thing called ‘startup news’, that was changed very quickly and since then HN has been a focal point for techies of all sorts but also lots of other people from all walks of life and from a large variety of countries. It isn’t ‘one thing’ to everybody that participates, just like a hammer is a different thing for a carpenter than it is for a masoner or a farmer.
The fact that after being a member for a couple of years you have this question indicates a lack of participation, not a lack of understanding.
jacquesm
HN 的设计本就难以被操控。所以别总想着寻找什么窍门，参与进去就是了。我在这里交到了朋友，也得到了别人在我手忙脚乱的项目上的帮助，也反过来为他人提供过帮助，还找到了商业伙伴，当然也花费了过多的时间。HN 是网络世界中一个非常有趣的切片，一个与众不同的地方，有时可能有点枯燥，但总是那么有趣且极具用场。如果你试图去理解它，那还不如试着去理解一只老鼠。你理解不了它，因为它不是为了被理解而存在的，它就只是存在着，就像任何其他有机体一样。
HN 的根源是一个叫做“Startup News”（创业新闻）的东西，但它很快就改变了，从那时起，HN 就成了各类技术人员的焦点，同时也吸引了来自各行各业、世界各地的许多人。对于每个参与者来说，它都不是“单一的东西”，就像一把锤子，对于木匠、石匠或农夫来说，它的意义是不同的。
作为一名成员几年后你还会提出这个问题，这表明你参与得不够，而不是你理解不了。
https://news.ycombinator.com/item?id=46301812
As someone who had to drop out of school in the 2008 crisis (family trouble), I owe a good chunk of my learning to the first era of online teaching.
Those courses that were basically “we’re a top university and we let someone record the class from the back” were a literal life changer. Honestly, that was all I wanted.
Everything that came after has been substantially worse. Work is gamified, teachers spend more time building an audience than creating the product… it’s all horribly tainted by profit.
If we went back to recording lectures by the worlds best and putting it online for free with attached books and exercises, we could improve the world a lot.
kace91
作为一名因家庭困难而在2008年经济危机时不得不辍学的学生，我的很大一部分学业要归功于在线教育的早期。
那些课程基本上就是“我们是顶尖大学，允许有人在后排录课”，这简直改变了我的人生。说真的，那正是我想要的。
后来的一切都差了很多。学习被游戏化了，老师们花在构建受众上的时间远多于打磨课程产品……一切都因逐利而变得面目全非。
如果我们能回到把世界顶尖教授的课程录下来并免费发布到网上，附带书籍和练习题，那我们就能极大地改善这个世界。
https://news.ycombinator.com/item?id=46310130
It sometimes blows my mind how questions which essentially boil down to “How do I best manipulate you for personal gain?” can be asked in such an unabashed fashion.
MathiasPius
那些本质上就是“如何才能最好地操纵你来获取个人利益？”的问题，竟能如此肆无忌惮地提出来，有时真让我感到震惊。
https://news.ycombinator.com/item?id=46303586
Crazy that Dang literally manages HN in his sleep!
We all knew that but I haven’t seen any confirmation before this.
shlomo_z
太疯狂了，Dang 居然是在睡梦中管理 HN 的！ 我们都知道这件事，但在此之前我从未见过任何证实。
https://news.ycombinator.com/item?id=46302565
Relevant post by Kent Beck from 12th Dec 2025: The Bet On Juniors Just Got Better https://tidyfirst.substack.com/p/the-bet-on-juniors-just-got-better
The juniors working this way compress their ramp dramatically. Tasks that used to take days take hours. Not because the AI does the work, but because the AI collapses the search space. Instead of spending three hours figuring out which API to use, they spend twenty minutes evaluating options the AI surfaced. The time freed this way isn’t invested in another unprofitable feature, though, it’s invested in learning. […]
If you’re an engineering manager thinking about hiring: The junior bet has gotten better. Not because juniors have changed, but because the genie, used well, accelerates learning.
simonw
肯特·贝克（Kent Beck）于2025年12月12日发布的相关文章：《押注初级人员的理由变得更好了》https://tidyfirst.substack.com/p/the-bet-on-juniors-just-got-better
以这种方式工作的初级人员可以极大地缩短他们的上手时间。过去需要几天才能完成的任务，现在几个小时就能搞定。这并非因为AI代劳了工作，而是因为AI缩小了搜索范围。他们不再花费三小时去搞清楚该用哪个API，而是花二十分钟评估AI提供的选项。解放出的时间并没有投入到另一个不盈利的功能上，而是用于学习。[…]
如果你是一名正在考虑招聘的工程经理：押注初级人员的理由变得更好了。这并非因为初级人员本身发生了变化，而是因为，只要善加利用，AI就能加速学习。
https://news.ycombinator.com/item?id=46301111
I have used Firefox as my default browser through thick and thin for damn near two decades.
If Mozilla killed andblocking extensions I’d switch to Helium Browser in a heartbeat since they’re maintaining manifest v2 support for uBO and even ship it OOTB.
The web is unusable without a proper Adblock.
throwaway613745
过去近二十年来，无论顺境逆境，我始终将Firefox作为我的默认浏览器。
如果Mozilla终止对广告拦截扩展的支持，我会立刻转向Helium浏览器，因为他们一直在维护对Manifest V2的支持，甚至将uBO作为默认功能内置其中。
没有合适的广告拦截器，网络根本无法使用。
https://news.ycombinator.com/item?id=46303471
Isn’t the struggling with docs and learning how and where to find the answers part of the learning process?
I would argue a machine that short circuits the process of getting stuck in obtuse documentation is actually harmful long term…
beAbU
难道在文档中挣扎，学习如何以及在哪里找到答案，不正是学习过程的一部分吗？
我认为，一台能让人跳过在晦涩文档中碰壁这个过程的学习机器，从长远来看其实是有害的……
https://news.ycombinator.com/item?id=46306974
I also enabled UFW (which I should have done ages ago)
I disrecommend UFW.
firewalld is a much better pick in current year and will not grow unmaintainable the way UFW rules can.
firewall-cmd –persistent –set-default-zone=block firewall-cmd –persistent –zone=block –add-service=ssh firewall-cmd –persistent –zone=block –add-service=https firewall-cmd –persistent –zone=block –add-port=80/tcp firewall-cmd –reload Configuration is backed by xml files in /etc/firewalld and /usr/lib/firewalld instead of the brittle pile of sticks that is the ufw rules files. Use the nftables backend unless you have your own reasons for needing legacy iptables.
Specifically for docker it is a very common gotcha that the container runtime can and will bypass firewall rules and open ports anyway. Depending on your configuration, those firewall rules in OP may not actually do anything to prevent docker from opening incoming ports.
Newer versions of firewalld gives an easy way to configure this via StrictForwardPorts=yes in /etc/firewalld/firewalld.conf.
3np
我也启用了 UFW（其实早就该这么做了）。
我不推荐 UFW。
在当今，firewalld 是一个更好的选择，而且不会像 UFW 规则那样变得难以维护。
firewall-cmd –persistent –set-default-zone=block firewall-cmd –persistent –zone=block –add-service=ssh firewall-cmd –persistent –zone=block –add-service=https firewall-cmd –persistent –zone=block –add-port=80/tcp firewall-cmd –reload 其配置由 /etc/firewalld 和 /usr/lib/firewalld 目录下的 xml 文件支持，而不是像 UFW 规则文件那样脆弱不堪的一堆东西。除非你有自己的理由需要使用传统的 iptables，否则请使用 nftables 后端。
特别是对于 Docker，一个非常常见的陷阱是，容器运行时可以并且会绕过防火墙规则，无论如何都会打开端口。根据你的配置，原帖中的那些防火墙规则实际上可能无法阻止 Docker 打开入站端口。
新版 firewalld 提供了一种简单的方法来配置这一点，即在 /etc/firewalld/firewalld.conf 中设置 StrictForwardPorts=yes。
https://news.ycombinator.com/item?id=46316606
If anyone from OpenAI is reading this – a plea to not screw with the reasoning capabilities!
Codex is so so good at finding bugs and little inconsistencies, it’s astounding to me. Where Claude Code is good at “raw coding”, Codex/GPT5.x are unbeatable in terms of careful, methodical finding of “problems” (be it in code, or in math).
Yes, it takes longer (quality, not speed please!) – but the things that it finds consistently astound me.
mccoyb
如果OpenAI的有人在看这个——恳请不要破坏它的推理能力！
Codex在发现bug和细微的不一致性方面非常出色，这让我感到惊讶。在“原生编码”方面，Claude Code很擅长，但在严谨、有条理地寻找“问题”（无论是代码中还是数学中）方面，Codex/GPT5.x是无人能敌的。
是的，这需要更长的时间（请追求质量，而非速度！）——但它持续发现的东西总是让我惊叹不已。
https://news.ycombinator.com/item?id=46310161
I run a dead-simple, one-time, online fax service called JustFax Online[0]. While I don’t have a recurring revenue as I operate one one-time payment, for the past months I have been consistently grossing over €500/mo.
This also brings tears to my eyes, as I remember[1] browsing these threads and being amazed (still am) by all the people who make side projects and make money from them, and at the same time thinking that I will never reach this milestone, and yet, here I am.
[0]: https://justfaxonline.com [1]: https://news.ycombinator.com/item?id=39110194#39141819
skwee357
我运营着一个名为 JustFax Online 的极简式、一次性付费的在线传真服务。[0] 虽然我的运营模式是单次付费，没有持续性的收入，但在过去的几个月里，我的月总收入一直稳定超过 500 欧元。
这让我热泪盈眶，因为我记得[1]也曾浏览过这些帖子，并对所有能通过副业赚钱的人们感到惊叹（至今依然如此），同时我也曾认为自己永远无法达到这个里程碑，然而，现在我做到了。
[0]: https://justfaxonline.com [1]: https://news.ycombinator.com/item?id=39110194#39141819
https://news.ycombinator.com/item?id=46303812
failing to manage HN in my sleep is more like it
dang
更准确地说，是我连睡觉时都管不好HN。
https://news.ycombinator.com/item?id=46300387
The interpretation is not the problem. Whether he will do it, is actually secondary to the fact that he thinks cutting adblock can bringing in money.
No, it will just kill the browser. The fact he thinks otherwise tells me how out of touch he is.
nialv7
问题不在于解读。他会不会这么做，这其实并不重要，重要的是他相信屏蔽广告能带来收入。
不，那只会毁了浏览器。而他却不这么认为，这足以说明他已经与实际脱节了。
2025-12-18 07:54:07
- Astral 发布用 Rust 编写的极快 Python 类型检查器与语言服务器 ty Beta，主打增量计算、低延迟编辑反馈与开源集成。
- 文章批评现代图形 API（如 DX12/Vulkan/Metal）过于复杂且不适配当代 GPU，主张回归基于现代硬件特性的更简单设计。
- 文章指责 Mozilla 高层暗示可能削弱广告拦截功能，会损害 Firefox 的隐私立场与用户信任。
- 作者预测大语言模型将大幅降低形式化验证成本并推动其普及，但规格制定与行业文化仍是主要障碍。
- GitHub 推迟对自托管 Actions 运行器收费、下调托管运行器价格并引入小额云平台费，同时承诺改进自托管扩展与扩缩工具。
- Google 发布面向速度与效率的 Gemini 3 Flash，声称在推理速度、成本与多模态能力上显著优于前代。
- Waterfox 回应称不会在可预见未来集成不可审计的大模型，强调浏览器应保持可控性、透明与用户自主。
- OpenAI 推出 GPT Image 1.5（gpt-image-1.5），大幅提升图像生成与编辑的局部修改、风格迁移和文本渲染能力并在 ChatGPT 中上线。
- Coursera 与 Udemy 达成全股票合并协议，合并后保留 Coursera 品牌并预计实现收入与成本协同，交易需监管与股东批准。
Astral 团队今日宣布推出其新工具 ty 的 Beta 版本。ty 是一个用 Rust 编写的极快 Python 类型检查器和语言服务器，旨在替代 mypy、Pyright 和 Pylance 等现有工具。
ty 的设计核心是“增量计算”，专为语言服务器优化，能够在编辑文件或修改函数时仅重新计算必要部分，实现极低延迟的实时反馈。在 PyTorch 项目中，ty 仅需 4.7ms 即可重新计算诊断结果，相比 Pyright 的 386ms 快 80 倍，比 Pyrefly 快 500 倍。
在性能方面，ty 无需缓存时比 mypy 和 Pyright 快 10 至 60 倍，尤其在编辑器中表现更为突出。其底层架构借鉴了 Ruff 和 uv 的设计理念，强调极致性能、正确性与用户体验的平衡。
ty 提供业界领先的诊断系统，灵感来自 Rust 编译器，能跨文件提供上下文信息，清晰指出错误原因并建议修复方式。例如，当赋值类型不匹配时，会同时显示赋值位置和对应声明位置的问题。
支持主流编辑器，可通过 VS Code 扩展使用，兼容 LSP 协议，提供 Go to Definition、自动补全、自动导入、语义高亮、内联提示等现代语言服务器功能。
当前目标是通过 Beta 版本收集早期用户反馈，后续将重点提升稳定性、完善 Python 类型规范支持，并增强对 Pydantic、Django 等流行库的原生支持。
长远来看，ty 将成为 Astral 工具链的核心，推动更多高级功能，如死代码消除、未使用依赖检测、语义版本兼容性检查、CVE 可达性分析、类型感知 linting 等。
项目开源，采用 MIT 许可证，欢迎社区贡献。团队特别感谢核心开发成员及来自 Salsa、Elixir、Python 类型社区等多方的技术支持与协作。
Astral 致力于让 Python 成为地球上最高效的编程生态系统，ty 将持续每周迭代，不断优化，与用户共同打造更好的开发体验。
https://news.ycombinator.com/item?id=46294289
Unknown 类型，其语义等同于 Any，但能提供更严格的诊断。https://www.sebastianaaltonen.com/blog/no-graphics-api
本文探讨了现代图形 API 的复杂性及其历史根源，指出当前图形 API（如 DirectX 12、Vulkan、Metal）的设计已不再适应现代 GPU 的发展。作者认为，这些“现代 API”诞生于 10 年前，当时 GPU 架构高度异构，需要通过持久化的管线状态对象（PSO）来减少运行时开销。然而，如今的 GPU 已普遍具备完整的缓存层次结构、统一内存访问、64 位 GPU 指针支持以及无绑定（bindless）纹理采样，使得许多早期设计的必要性已不复存在。
文章指出，当前 API 的复杂性导致了严重的 PSO 组合爆炸问题——游戏需缓存数以万计的 PSO 变体，本地缓存动辄超过 100GB，严重影响加载性能和游戏流畅度。相比之下，早期的 Mantle 和主机端 API（如 PS4/Xbox One）因专为单一现代架构（AMD GCN）设计，无需复杂映射与预处理，API 更简洁高效。
作者回顾了图形 API 的发展历程，从 1998 年的 3dfx Voodoo 2 到 NVIDIA GeForce 256，指出早期硬件高度专用化，API 设计受限于硬件差异，导致长期的向后兼容性负担。如今硬件已趋统一，现代 GPU 支持 CPU 直接写入 GPU 内存、统一地址空间和可编程通用计算，完全有能力支持更轻量、更直接的图形编程模型。
结论是：我们应重新思考图形 API 的设计，摆脱对持久化状态对象的依赖，回归更简单、更高效的编程方式。未来的图形 API 应基于现代硬件能力，大幅简化 API 表层，减少驱动层负担，提升开发效率与运行性能。
https://news.ycombinator.com/item?id=46293062
https://infosec.press/brunomiguel/is-mozilla-trying-hard-to-kill-itself
作者对 Mozilla 新任 CEO 在《The Verge》采访中提及可能禁用 Firefox 广告拦截功能一事表达了强烈担忧。该 CEO 虽表示不打算实施此措施，因其“违背使命”，但承认此举可为公司带来额外 1.5 亿美元收入。作者认为，这番言论暗示该选项仍被认真考虑，令人不安。
作者回顾自己长期使用 Firefox 的经历，强调 Firefox 的核心吸引力在于对开放网络标准的坚持、强大的扩展系统以及对用户隐私的保护。广告拦截功能不仅是用户体验的重要组成部分，更在当前网络环境下成为一种必要的安全防护，尤其针对恶意广告（malvertising）。
作者担心，若 Mozilla 放弃这一关键优势，将严重削弱其与基于 Chromium 的浏览器（如 Chrome）的差异化竞争力，进而伤害其核心用户群体——那些重视隐私、技术素养高的极客与爱好者。这部分用户不仅是 Firefox 的忠实支持者，也是普通用户获取技术建议的重要来源。
作者指出，虽然理解 Mozilla 需要盈利，但 CEO 公开谈论一个“不愿做但可做”的策略，极易引发负面舆论，损害品牌形象。他质疑这种表态的必要性，认为这可能暴露公司内部在使命与商业利益之间的矛盾。
整体来看，作者对 Mozilla 未来方向感到失望与忧虑，认为此举可能加速其衰落，呼吁 Mozilla 回归初心，坚守开放网络的使命。
https://news.ycombinator.com/item?id=46299934
https://martin.kleppmann.com/2025/12/08/ai-formal-verification.html
本文作者 Martin Kleppmann 预测，人工智能（AI）将推动形式化验证技术从边缘走向软件工程主流。
形式化验证是一种通过数学证明确保代码符合规格的方法，已有工具如 Isabelle、Lean、F*和 Agda 等支持。尽管已有成功案例，如验证过的操作系统内核和编译器，但其应用受限于高昂的人力成本和专业门槛——例如，seL4 微内核的验证耗时 20 人年，需 20 万行证明代码，远超实现代码量。
当前，形式化验证因成本过高而难以普及，尤其在工业界。然而，随着大语言模型（LLM）在编写代码和证明脚本方面能力提升，这一局面正在改变。AI 可辅助甚至自动化生成证明，而验证器会自动拒绝无效证明，确保结果可信。
作者认为，AI 生成代码的不确定性，恰恰需要形式化验证来保障可靠性。当 AI 能自动证明其生成代码的正确性，开发者将更愿意采用 AI 代码而非人工编写但可能含错的代码。
此外，AI 还可协助编写形式化规格说明，尽管存在自然语言与形式语言转换的潜在风险，但整体可控。未来，开发者可能只需声明期望的系统行为，AI 即可自动生成代码与证明，无需人工审查。
总结三点：形式化验证成本将大幅降低；AI 代码需要形式化验证以替代人工审查；形式化验证的精确性可弥补 AI 的不确定性。三者结合，使形式化验证有望在不久的将来成为主流。届时，真正的挑战将不再是技术，而是行业文化的转变。
https://news.ycombinator.com/item?id=46294574
https://resources.github.com/actions/2026-pricing-changes-for-github-actions/
GitHub 宣布推迟原定于 2026 年 3 月 1 日实施的自托管 GitHub Actions 运行器收费政策，以有更多时间重新评估该策略并听取开发者、客户和合作伙伴的反馈。此举旨在改善 GitHub Actions 的产品体验，重建用户信任。
尽管自托管运行器将推迟收费，但 GitHub 仍将继续推进 GitHub 托管运行器价格下调计划，自 2026 年 1 月 1 日起，托管运行器价格将降低最高达 39%，具体降幅取决于所使用的机器类型。该降价由整体运行器价格下调约 40% 与新增的每分钟 0.002 美元的 GitHub Actions 云平台服务费共同构成，但该服务费已包含在新的托管运行器定价中。
新增的云平台服务费将适用于所有 GitHub 托管和自托管运行器工作流，但不影响公共仓库的使用，且 GitHub 企业服务器客户不受影响。该费用将于 2026 年 3 月 1 日起正式实施。
GitHub 表示，此次调整是为了更准确地反映服务使用成本，并支持平台持续创新。目前已有 96% 的客户不会受到价格变化影响，其中 85% 的受影响客户将实际支出减少，仅 15% 的客户面临小幅上涨，平均增幅约 13 美元。
为提升自托管运行器体验，GitHub 将加大投入，推动更广泛的平台支持，包括 Windows、容器、虚拟机、云实例和裸金属服务器的自动扩展能力。2026 年将推出“GitHub Scale Set Client”——一个轻量级 Go SDK，帮助企业在不依赖 Kubernetes 或 ARC 的情况下构建自定义自动扩展解决方案，支持任务队列管理、安全配置与智能扩展逻辑。
GitHub 强调，平台将持续优化 Actions 的可靠性、性能与可扩展性，以支持企业级 CI/CD 需求，并为未来智能工作负载提供安全、开放的平台基础。同时，GitHub 已开放公开讨论，收集用户反馈，用于指导后续产品路线图。
https://news.ycombinator.com/item?id=46291156
https://blog.google/products/gemini/gemini-3-flash/
Google 今日发布 Gemini 3 Flash，这是 Gemini 3 系列中最新推出的高性能、低成本 AI 模型，专为速度与效率而设计，旨在让每个人都能更快地学习、构建和规划各种任务。
Gemini 3 Flash 在保持 Gemini 3 Pro 级别推理能力的同时，实现了 Flash 级别的响应速度和运行效率，显著降低使用成本。它特别适用于编程、复杂分析以及需要快速反馈的交互式应用。
该模型现已作为默认选项，上线于 Gemini 应用和 Google 搜索的 AI 模式中。开发者可通过 Google AI Studio、Gemini CLI、Google Antigravity、Android Studio、Vertex AI 和 Gemini Enterprise 等平台访问。
在性能方面，Gemini 3 Flash 在多项前沿基准测试中表现卓越，例如在 GPQA Diamond（90.4%）和 Humanity’s Last Exam（无工具情况下 33.7%）等博士级推理任务中达到领先水平，甚至超越了此前的 Gemini 2.5 Pro 模型。在 MMMU Pro 多模态知识测试中取得 81.2% 的高分，与 Gemini 3 Pro 相当。
该模型具备智能思考调节能力，可根据任务复杂度动态调整推理深度，在典型使用场景下平均减少 30% 的 token 消耗，同时提升任务完成质量。在高思考层级任务中，其处理速度比 Gemini 2.5 Pro 快 3 倍，真正实现了性能、速度与成本之间的最优平衡。
Gemini 3 Flash 的推出标志着 Google 在“高效智能”道路上迈出关键一步，让前沿 AI 技术更广泛、更经济地服务于全球用户与开发者。
https://news.ycombinator.com/item?id=46301851
https://www.waterfox.com/blog/no-ai-here-response-to-mozilla/
Mozilla 新任 CEO 宣布将 AI 置于公司未来的核心位置，试图打造“全球最值得信赖的软件公司”。作者对此表示理解，但认为这一战略存在根本性错误。
作者指出，“AI”一词如今被滥用，掩盖了技术本质的差异。像 Bergamot 这类有限用途、可审计的机器学习模型具有实际价值，而大型语言模型（LLM）则是不可见的“黑箱”，无法验证其行为，也无法确保用户数据安全。
在浏览器这一场景下，作者强调浏览器应是用户的“代理”，代表用户与网络交互。若引入 LLM 作为中介，就变成了“用户代理的代理”，AI 将自行决定内容呈现、标签页管理、浏览历史修改等，用户却无法理解或审查其逻辑，违背了透明与控制原则。
尽管 Mozilla 声称 AI 功能可关闭，但作者质疑：如何监控一个你无法理解的系统？即便能关闭，持续追踪其潜在影响也带来巨大认知负担。
作者认为，Mozilla 的困境在于，为应对市场压力，正试图吸引普通用户，却可能失去其技术社区根基。而 Waterfox 的定位恰恰相反：专注于成为一款纯粹、高效、可控的浏览器，不引入当前形式的 LLM。
Waterfox 明确承诺：不会集成 LLM，至少在可预见的未来不会。其核心价值在于性能、标准兼容性和用户自主权。
此外，作者指出，许多 Firefox 分支项目缺乏正式治理结构、隐私政策或法律实体，导致责任缺失。而 Waterfox 拥有法律实体和正式政策，这使其获得第三方信任，甚至接入 Widevine 等受保护流媒体服务，证明了治理机制的实际价值。
最后，作者承认 AI 可能不可阻挡，但强调网络的去中心化本质仍值得守护。真正的浏览器不应成为 AI 的附庸，而应始终以用户为中心。
https://news.ycombinator.com/item?id=46295268
https://openai.com/index/new-chatgpt-images-is-here/
OpenAI 今日发布了全新版本的 ChatGPT Images 功能，基于其最新旗舰图像生成模型，显著提升图像生成与编辑能力。新模型支持更精准的图像编辑，能够忠实执行用户指令，仅修改指定内容，同时保留光照、构图和人物外观等关键细节，适用于照片修复、服装试穿、风格转换等场景。
新功能支持多种创意变换，如将现实照片转化为电影海报、时尚广告或插画风格，且能自动适配时代背景与艺术风格。模型在指令遵循方面表现更佳，可准确生成复杂布局，如 6x6 网格内容，确保元素位置与描述一致。
在文本渲染方面，新模型支持更密集、更小字号的文字，能精准还原 Markdown 格式内容，如报纸文章、代码片段和数据图表，保持原始排版与信息完整性。
该功能已全面上线 ChatGPT，面向所有用户开放。API 版本命名为 GPT Image 1.5，支持开发者集成。新图像创作空间也已推出，用户可通过预设风格快速激发灵感，实现从零开始的创意探索。目前，企业与商业用户版本将稍后开放。
https://news.ycombinator.com/item?id=46291941
GitHub 宣布推迟原定于 2026 年 3 月 1 日实施的自托管 GitHub Actions 运行器收费政策，以有更多时间听取开发者、客户和合作伙伴的反馈，并重新评估该策略。公司表示，虽然运行 Actions 控制平面存在实际成本，且正加大对自托管运行器在复杂企业场景下可扩展性的投入，但此次定价调整未能充分纳入用户意见，因此决定暂缓执行。
与此同时，GitHub 仍将在 2026 年 1 月 1 日如期下调 GitHub 托管运行器价格，降幅最高达 39%，具体价格根据机器类型而定，免费使用配额保持不变。
自托管运行器在公共仓库中的使用将继续免费。对于 GitHub Enterprise Server 用户，该政策调整不会产生影响，其自托管运行器的使用仍无需付费。
GitHub 强调，将加大对自托管体验的投资，未来 12 个月内将扩展支持更多平台（包括 Windows）、引入新的自动扩展机制，并提升整体稳定性与灵活性。
针对用户关心的问题，官方说明：收费并非针对用户自有的硬件，而是为了更公平地分摊平台基础设施与服务维护成本，同时支持持续创新。绝大多数用户（96%）的账单不会发生变化，其中 85% 的受影响用户将实际支出减少，仅 15% 的用户面临小幅上涨，中位数增加约 13 美元。
对于个人开发者，仅 0.09% 使用私有仓库的免费或 Pro 用户可能面临账单上涨，中位数增加不足 2 美元/月，且该影响发生在已用完免费配额之后。另有 2.8% 的用户将受益于成本下降。
GitHub 提供了新的定价计算器和 Python 脚本，帮助用户基于历史使用数据估算未来成本，并建议查看详细使用报告以辅助评估。此外，也提供了从自托管运行器迁移到 GitHub 托管运行器的指南。
公司已开启公开讨论，欢迎用户直接反馈，以共同塑造 GitHub Actions 的未来发展方向。
https://news.ycombinator.com/item?id=46291414
Coursera 与 Udemy 宣布达成最终合并协议，将以全股票交易方式合并，创建一个面向全球劳动力的领先技术平台，助力应对人工智能时代下的技能转型需求。
此次合并基于 2025 年 12 月 16 日的收盘价，合并后公司的预估股权价值约为 25 亿美元。Udemy 股东将获得 0.8 股 Coursera 普通股，较过去 30 个交易日平均股价溢价 26%。合并后，Coursera 现有股东将持有新公司约 59% 的股份，Udemy 股东将持有约 41% 的股份。
合并后的公司将整合 Coursera 的大学与行业品牌资源，以及 Udemy 动态的 AI 驱动技能发展市场，打造更全面、个性化、可扩展的学习生态系统。平台将强化 AI 原生创新，提升技能发现、学习与认证的全流程效率，加速产品迭代与全球市场拓展。
财务方面，预计合并后公司年收入将超过 15 亿美元，24 个月内可实现约 1.15 亿美元的年度运营成本协同效应。合并后公司将执行大规模股票回购计划，进一步增强股东回报。
新公司将继续以 Coursera 为品牌名称，股票代码为 COUR，在纽约证券交易所上市，总部设在加利福尼亚州山景城。Coursera 的公共利益公司（PBC）身份保持不变。
Greg Hart 将继续担任合并后公司的首席执行官，Andrew Ng 将继续担任董事会主席。董事会共 9 名成员，其中 6 名来自 Coursera，3 名来自 Udemy。
该交易已获双方董事会一致批准，预计于 2026 年下半年完成，需获得监管批准及股东投票通过。主要股东如 Insight Venture Partners 和 New Enterprise Associates 已签署支持协议。
https://news.ycombinator.com/item?id=46301346
https://news.ycombinator.com/item?id=46303196
Yes, sorry! We’re investigating, but my current theory is we got overloaded because I relaxed some of our anti-crawler protections a few days ago.
(The reason I did that is that the anti-crawler protections also unfortunately hit some legit users, and we don’t want to block legit users. However, it seems that I turned the knobs down too far.)
In this case, though, we had a secondary failure: PagerDuty woke me up at 5:24am, I checked HN and it seemed fine, so I told PagerDuty the problem was resolved. But the problem wasn’t resolved - at that point I was just sleeping through it.
I’ll add more as we find out more, but it probably won’t be till later this afternoon PST.
dang
是的，抱歉！我们正在调查，但我目前的推测是，几天前我们放宽了一些反爬虫保护措施，导致系统过载。
（我那么做的原因是，反爬虫保护措施不幸也影响了一些真实用户，而我们不想阻挡真实用户。不过，看来我把限制调得太低了。）
不过，这次我们遇到了另一个故障：PagerDuty 在凌晨 5:24 唤醒了我，我检查了 Hacker News (HN)，看起来一切正常，所以就告知 PagerDuty 问题已解决。但实际上问题并没有解决——那时我只是睡过去了。
随着我们了解更多情况，我会继续更新，但可能要等到太平洋标准时间今天下午晚些时候了。
https://news.ycombinator.com/item?id=46295141
It is us, developers, who convinced our management to purchase GitHub Enterprise to be our forge. We didn’t pay any heed to the values of software freedom. A closed source, proprietary software had good features. We saw that and convinced our management to purchase it. Never mind what cost it would impose in the future when the good software gets bad owners. Never mind that there were alternatives that were inferior but were community-developed, community-maintained and libre.
The writing is in the wall. First it was UX annoyances. Then it was GitHub Actions woes. Now it is paying money for running their software on your own hardware. It’s only going to go downhill. Is it a good time now to learn from our mistakes and convince our teams and management to use community-maintained, libre alternatives? They may be inferior. They may lack features. But they’re not going to pull user hostile tricks like this on you and me. And hey, if they are lacking features, maybe we should convince our management to let us contribute time to the community to add those features? It’s a much better investment than sinking money into a software that will only grow more and more user hostile, isn’t it?
throwaway150
正是我们这些开发者，说服管理层购买了GitHub Enterprise作为我们的代码托管平台。我们没有顾及软件自由的价值。一款闭源、专有的软件拥有良好的功能，我们看到了这一点，并说服管理层购买了它。从未想过，当这项优秀的软件落入不良所有者之手时，未来会带来什么代价。我们也忽略了那些虽然功能较差，但由社区开发和维护且是自由软件的替代方案。
不祥之兆已经显现。起初是用户体验上的烦心事，然后是GitHub Actions带来的种种困扰，现在竟然要我们为在自己的硬件上运行他们的软件而付费。情况只会每况愈下。现在是不是到了我们从错误中吸取教训，并说服我们的团队和管理层采用由社区维护的自由软件替代方案的时候了？它们可能功能较差，可能缺乏一些特性。但它们不会像现在这样，对用户玩这种敌对把戏。再说了，如果它们真的缺乏某些功能，也许我们应该说服管理层，允许我们投入时间来为社区贡献，以增加这些功能呢？这比把钱投入到一个只会变得越来越对用户不友好的软件中，要好得多，不是吗？
https://news.ycombinator.com/item?id=46300288
He says he could begin to block ad blockers in Firefox and estimates that’d bring in another $150 million, but he doesn’t want to do that. It feels off-mission.
It may be just me, but I read this as “I don’t want to but I’ll kill AdBlockers in Firefox for buckerinos ”.
Yes, that does seem like a pretty uncharitable interpretation of that quote. I read it as “we won’t do it, even though it would bring in $150M USD”.
lxgr
他说他可以在Firefox浏览器上开始屏蔽广告拦截器，并估计这能带来另外1.5亿美元的收入，但他不想这么做。这感觉有点偏离公司的核心使命。
可能这只是我个人的看法，但我解读为：“我并不想这么做，但为了钱，我照样会在Firefox上干掉广告拦截器。”
是的，这确实是对那番话相当不友善的解读。我的解读是：“我们不会这么做，即便这能带来1.5亿美元的收入。”
https://news.ycombinator.com/item?id=46300189
It’s kinda frustrating that Mozilla’s CEO thinks that axing ad-blockers would be financially beneficial for them. Quite the opposite is true (I believe) since a ton of users would leave Firefox for alternatives.
herobird
有点让人沮丧的是，Mozilla的CEO认为移除广告拦截器会对他们有财务上的好处。但我认为事实恰恰相反，因为大量的用户会因此离开Firefox，转而使用其他浏览器。
https://news.ycombinator.com/item?id=46304549
“without losing face”? What culture are you referring to? The Western companies I have worked at do not discourage such questions – in fact, it’s often the sign of someone very senior when they ask a seemingly ‘dumb’ question that others have taken for granted.
rsanek
“不失面子”？你指的是什么文化？我工作过的西方公司并不会阻止这类提问——事实上，当有人提出其他人想当然的、看似“愚蠢”的问题时，这往往表明他们非常资深。
https://news.ycombinator.com/item?id=46292376
I got contacted by our rep a couple weeks ago, who informed me of this news. I thought it was a disaster and it really pissed me off. The rep couldn’t even explain the reasoning well. It basically summed up to “because we can” and “where are you going to go?”. He was shocked to find out that I didn’t like it.
We currently self-host on kubernets/aws. The thing that really got to me isn’t the new charge per se. It’s the fact that GHA has a ton of problems. I can hold my nose and deal with them when it’s free. But now that you’re squeezing me, at least you could have created something like GHA 2.0 and added a charge for that. Instead, there are vague roadmap promises which don’t even include things that I care about. Specifically:
Jenkins had better kubernetes integration years ago. It’s crazy that GHA can’t beat that.
“Reintroducing multi-label functionality” - yeah, so they first broke it. They did supply “reasons”, which looked like they never talked to a customer. [1]
Still no SDK of any kind.
“Actions Data Stream” - or you can just fix your logging.
There are dozens more complains, which are easy enough to find. This kind of an approach just makes me want to make sure that I don’t use GHA again. Even if I end up paying another vendor, at least I’ll be treated as a customer.
[1] - https://github.com/orgs/community/discussions/160682#discussioncomment-8063837
golovast
几周前，我们的客户代表联系了我，告知我这一消息。我认为这简直是一场灾难，真的让我非常生气。这位代表甚至无法很好地解释原因，他的说辞基本上就是“因为我们可以这么做”以及“你还能去哪里呢？”。他对于我不喜欢这个决定感到很震惊。
我们目前在 Kubernetes/AWS 上进行自托管。真正让我恼火的不是新收费政策本身，而是 GHA 存在的大量问题。当它免费时，我可以捏着鼻子忍受这些缺陷。但现在你们要来压榨我了，你们至少也应该先打造一个类似 GHA 2.0 的产品，然后对它收费。取而代之的，只有一些模糊不清的路线图承诺，其中甚至没有包含我关心的问题。具体来说：
还有几十条其他的抱怨，很容易就能找到。这种做法只会让我下定决心再也不使用 GHA。即使最终我不得不向另一个供应商付费，至少我还能被当作客户来对待。
https://news.ycombinator.com/item?id=46301897
Don’t let the “flash” name fool you, this is an amazing model.
I have been playing with it for the past few weeks, it’s genuinely my new favorite; it’s so fast and it has such a vast world knowledge that it’s more performant than Claude Opus 4.5 or GPT 5.2 extra high, for a fraction (basically order of magnitude less!!) of the inference time and price
samyok
别被“flash”这个名字给骗了，这真是一个绝妙的模型。
在过去的几周里我一直在玩它，它真的成了我的新宠；它速度飞快，又拥有海量的世界知识，性能甚至比 Claude Opus 4.5 或 GPT 5.2 extra high 更强，而其推理时间和价格却只有后者的零头（基本上少了一个数量级！！）。
https://news.ycombinator.com/item?id=46294934
Okay results are in for GenAI Showdown with the new gpt-image 1.5 model for the editing portions of the site!
https://genai-showdown.specr.net/image-editing
Conclusions
OpenAI has always had some of the strongest prompt understanding alongside the weakest image fidelity. This update goes some way towards addressing this weakness.
It’s leagues better at making localized edits without altering the entire image’s aesthetic than gpt-image-1, doubling the previous score from 4/12 to 8/12 and the only model that legitimately passed the Giraffe prompt.
It’s one of the most steerable models with a 90% compliance rate
Updates to GenAI Showdown
Added outtakes sections to each model’s detailed report in the Text-to-Image category, showcasing notable failures and unexpected behaviors.
New models have been added including REVE and Flux.2 Dev (a new locally hostable model).
Finally got around to implementing a weighted scoring mechanism which considers pass/fail, quality, and compliance for a more holistic model evaluation (click pass/fail icon to toggle between scoring methods).
If you just want to compare gpt-image-1, gpt-image-1.5, and NB Pro at the same time:
https://genai-showdown.specr.net/image-editing?models=o4,nbp,g15
vunderba
GenAI Showdown 网站编辑测试部分的结果已经出炉，这次测试了新的 gpt-image 1.5 模型！
https://genai-showdown.specr.net/image-editing
结论
OpenAI 一直拥有最强的指令理解能力，但其图像保真度却是最弱的。这次的更新在一定程度上弥补了这一弱点。
与 gpt-image-1 相比，它在进行局部编辑而不改变整个图像美学风格方面要好得多，评分从之前的 4/12 翻倍至 8/12，并且是唯一一个真正通过了“长颈鹿”提示的模型。
它是最具可操控性的模型之一，合规率达到 90%。
GenAI Showdown 更新
在“文本生成图像”类别中，为每个模型的详细报告增加了“花絮”板块，展示其显著的失败案例和意想不到的行为。
新增了包括 REVE 和 Flux.2 Dev（一个新推出的可本地化部署模型）在内的模型。
终于实现了一个加权评分机制，该机制综合考虑了通过/失败、质量和合规性，以进行更全面的模型评估（点击通过/失败图标可以在不同评分方法之间切换）。
如果您想同时比较 gpt-image-1、gpt-image-1.5 和 NB Pro：
https://genai-showdown.specr.net/image-editing?models=o4,nbp,g15
https://news.ycombinator.com/item?id=46302283
I got stuck in an infinite loop.
Try opening HN -> it’s down, better check HN to see everyone talking about a major website being down -> Try opening HN -> loop
Elfener
我陷入了死循环。试着打开HN -> 网站挂了，那就去HN上看看大家是不是在讨论某个大网站也挂了 -> 试着打开HN -> 循环。
https://news.ycombinator.com/item?id=46300847
Like many others, the ability to run uBO is the main reason I use Firefox. Otherwise I’d use Chrome or Safari.
JoeJonathan
和大多数人一样，我使用Firefox的主要原因是它能运行uBO，否则我就会用Chrome或Safari了。
https://news.ycombinator.com/item?id=46295665
I really hope astral can monetize without a highly destructive rugpull, because they are building great tools and solving real problems.
klysm
我真的希望Astral能够盈利，不至于进行极具破坏性的rugpull，因为他们正在构建出色的工具并解决实际问题。
https://news.ycombinator.com/item?id=46291358
We are introducing a $0.002 per-minute Actions cloud platform charge for all Actions workflows across GitHub-hosted and self-hosted runners.
Charging for self-hosted runners is an interesting choice. That’s the same cost as their smallest hosted runners [1]
[1] - https://docs.github.com/en/billing/reference/actions-runner-pricing#standard-github-hosted-runners
Arcuru
我们将对所有Actions工作流程（涵盖GitHub托管和自托管的运行器）推出每分钟0.002美元的Actions云平台费用。对自托管运行器收费是一个有趣的选择。这和他们最小的托管运行器成本相同[1] https://docs.github.com/en/billing/reference/actions-runner-pricing#standard-github-hosted-runners
https://news.ycombinator.com/item?id=46304163
The thing people miss in these “replace juniors with AI” takes is that juniors were never mainly about cheap hands on keyboards. They’re the only people in the org who are still allowed to ask “dumb” questions without losing face, and those questions are often the only signal you get that your abstractions are nonsense.
What AI does is remove a bunch of the humiliating, boring parts of being junior: hunting for the right API by cargo-culting Stack Overflow, grinding through boilerplate, getting stuck for hours on a missing import. If a half-decent model can collapse that search space for them, you get to spend more of their ramp time on “here’s how our system actually fits together” instead of “here’s how for-loops work in our house style”.
If you take that setup and then decide “cool, now we don’t need juniors at all”, you’re basically saying you want a company with no memory and no farm system – just an ever-shrinking ring of seniors arguing about strategy while no one actually grows into them.
Always love to include a good AI x work thread in my https://hackernewsai.com/ newsletter.
alexgotoi
在那些“用AI取代初级员工”的论调中，人们往往忽略了一点：初级员工的价值，从来就不在于他们是廉价的“键盘劳动力”。他们是组织里唯一还能在不丢面子的情况下提出“傻”问题的人，而这些“傻”问题往往是让你意识到那些抽象概念有多么荒谬的唯一信号。
AI的作用恰恰是消除了初级员工工作中那些令人尴尬又无聊的部分：比如盲目照搬Stack Overflow上的代码来寻找合适的API，埋头处理枯燥的样板代码，或者因为漏掉一个import语句而被困住好几个小时。如果一个还不错的AI模型能帮他们缩小搜索范围，你就可以把他们更多的时间花在“我们这个系统是如何协同工作的”上，而不是“在我们的代码风格里for循环该怎么写”这种事上。
如果基于这个前提，你却决定“太棒了，我们现在完全不需要初级员工了”，那你基本上就是说，你想要一个既没有传承、也没有人才梯队的企业——只剩下一群资深的员工，他们的圈子越来越小，为战略问题争吵不休，同时也没有人能成长起来接替他们。
我总喜欢在 https://hackernewsai.com/ 的简讯中收录一些关于“AI与工作”的优秀讨论帖。
https://news.ycombinator.com/item?id=46293716
The article is missing this motivation paragraph, taken from the blog index:
Graphics APIs and shader languages have significantly increased in complexity over the past decade. It’s time to start discussing how to strip down the abstractions to simplify development, improve performance, and prepare for future GPU workloads.
opminion
过去十年中，图形API和着色器语言的复杂度显著增加。是时候开始讨论如何剥离这些抽象层，以简化开发、提升性能，并为未来的GPU工作负载做准备。
https://news.ycombinator.com/item?id=46291992
That’s not a move of a company that thinks it can still grow. That’s a Netflix “we have 90% of the market, let’s squeeze them” move. This is the beginning. We have all seen this pattern over the last 5+ years. You know their next few moves.
andsens
这不是一个认为自己还能继续增长的公司的举动。这完全是奈飞（Netflix）那种“我们占据了90%的市场，就让我们去压榨他们”的做法。这只是个开始。在过去五年多来，我们都见识过这种模式。你知道他们接下来的几步棋。
https://news.ycombinator.com/item?id=46296574
Large language models are something else entirely*. They are black boxes. You cannot audit them. You cannot truly understand what they do with your data. You cannot verify their behaviour. And Mozilla wants to put them at the heart of the browser and that doesn’t sit well.
Am I being overly critical here or is this kind of a silly position to have right after talking about how neural machine translation is okay? Many of Firefox’s LLM features like summarization afaik are powered by local models (hell even Chrome has local model options). It’s weird to say neural translation is not a black box but LLMs are somehow black boxes that we cannot hope to understand what they do with the data, especially when viewed a bit fuzzily LLMs are scaled up versions of an architecture that was originally used for neural translation. Neural translation also has unverifiable behavior in the same sense.
I could interpret some of the data talk as talking about non local models but this very much seems like a more general criticism of LLMs as a whole when talking about Firefox features. Moreover, some of the critiques like verifiability of outputs and unlimited scope still don’t make sense in this context. Browser LLM features except for explicitly AI browsers like Comet have so far had some scoping to their behavior, either in very narrow scopes like translation or summarization. The broadest scope I can think of is the side panels that show up which allow you to ask about a web page with context. Even then, I do not see what is inherently problematic about such scoping since the output behavior is confined to the side panel.
inkysigma
大型语言模型完全是另一回事*. 它们是黑箱。你无法对它们进行审计，无法真正理解它们如何处理你的数据，也无法验证它们的行为。而Mozilla想把它们置于浏览器的核心，这一点让人很不舒服。
是我过于吹毛求疵了，还是说在刚刚讨论过神经机器翻译没问题之后，这种立场本身就有点可笑？据我所知，Firefox的许多LLM功能，比如摘要功能，都是由本地模型驱动的（说真的，就连Chrome也有本地模型的选项）。说神经机器翻译不是黑箱，但LLM却成了我们无法理解其数据处理的黑箱，这很奇怪，特别是如果稍微模糊一点看，LLM不过是用于神经机器翻译的架构的放大版本。从这个意义上说，神经机器翻译同样具有不可验证的行为。
我或许可以把一些关于数据的讨论理解为在谈论非本地模型，但当讨论Firefox功能时，这看起来更像是对LLM整体的一种更广泛的批评。此外，像输出可验证性和无限范围这类批评，在这个语境下仍然讲不通。除了像Comet这样的明确以AI为核心的浏览器之外，浏览器的LLM功能迄今为止都对其行为有所限制，要么是像翻译或摘要这样非常狭窄的范围。我能想到的最广泛的范围，是那些弹出的侧边栏，它们允许你结合网页内容提出问题。即使如此，我也看不出这种范围限制有什么内在问题，因为其输出行为仅限于侧边栏内。
https://news.ycombinator.com/item?id=46298001
I don’t think formal verification really addresses most day-to-day programming problems:
QuadrupleA
我不认为形式验证能真正解决大多数日常编程问题：
对于某些数学上纯粹的任务，当然，它非常棒。或者像正则表达式解析器或压缩编解码器这样的底层库。但我不认为这代表了大多数我们所负责的任务，而那些底层的“数学上纯粹”的库，现在通常也已经得到了很好的处理。
https://news.ycombinator.com/item?id=46294586
I can’t help but feel that this article was written in a format that is the textual equivalent of thin desires…
Every sentence is separated into its own paragraph, like each one is supposed to be revelatory (or maybe tweet-worthy). It’s pretty common design knowledge that if you try to emphasize everything, you end up emphasizing nothing. The result is that reading the article feels choppy, and weirdly unsatisfying, since the larger arc of each point is constantly being interrupted.
Why choose such an antithetical form, to what is otherwise an important and deep message?
The only answer that comes to mind is that the author’s livelihood, or at least their internal gauge of success, is tied to manipulating readers’ thin desires.
ianstormtaylor
我总觉得，这篇文章的写作格式简直就是“肤浅欲望”的文字体现。 每一句话都自成一段，仿佛每一句都石破天惊（或者说，特别适合发推特）。 这是很常见的设计常识：如果你试图强调所有东西，结果就是什么都没强调出来。 结果是，读这篇文章感觉很跳跃，而且有种奇特的、不满足感，因为每个观点的整体脉络总是在被打断。 对于一个本应重要而深刻的信息，为什么作者要选择与之背道而驰的格式呢？ 我唯一能想到的答案是，作者的生计，至少是他们内心成功的标尺，都取决于对读者肤浅欲望的操纵。
https://news.ycombinator.com/item?id=46301962
TIL I have a “open Hacker News” hand reflex
manbitesdog
今天才知道我有个“打开 Hacker News”的手反射。