每日摘要 · Hacker News
· 35 黑客新闻
- ▲ 826PHP 即将发布关键安全更新
PHP 安全团队刚刚发出预警，即将在 2026 年 10 月 21 日发布一次关键安全更新。此次更新将修复两个被评定为 CVSS v4.0 9.2 分的高危漏洞，风险等级极高。官方强烈建议所有 PHP 用户提前做好准备，确保在更新发布的第一时间完成升级。值得注意的是，如果漏洞细节提前泄露或在野外发现活跃利用迹象，PHP 团队保留提前发布更新的权力。对于依赖 PHP 构建服务的企业和开发者而言，这…
随着 Interop 2027 计划的启动，浏览器厂商正合力推动 CSS 技术的全面普及。我深入分析了即将纳入的十大特性，包括让 CSS 具备编程能力的 CSS functions、支持 bevel 和 squircle 的 corner-shape 属性，以及能绘制任意边框的 border-shape。此外，Anchored Container Queries 将解决锚点定位的痛点，而 inh…
2021 年，我因情绪不稳进入 Toronto 的 CAMH，医生建议我停用长期服用的 Klonopin。本以为几周就能恢复，却遭遇了长达数月的噩梦：电击般的神经痛、严重的失眠、幻听和极度的焦虑，甚至让我产生了自杀计划。医生们对此束手无策，甚至误诊为颈椎病或关节炎。直到我在支持小组中了解到 Dr. Heather Ashton 的研究，才发现自己患的是苯二氮卓戒断综合征（BWS）。这种药物曾被视…
一个针对 PHP session.upload_progress 的堆栈释放后使用漏洞（heap use-after-free）已被泄露。该漏洞允许攻击者通过精心构造的 multipart POST 请求，利用缓存的 zval 指针覆盖 zend_fcall_info 结构，最终触发 system() 函数执行任意代码。我已在 PHP 8.4.4 和 8.2.34 等版本中验证了完整利用链。在官…
Meta推出的通用AI助手Muse存在严重隐私漏洞，当用户通过Web链接分享对话时，敏感信息可能被公开。安全公司Claroc的研究人员仅通过一次查询，就利用Passive DNS技术发现了6800个包含用户私密内容的链接，内容涵盖求职笔记、内部营收审查、贷款申请及银行欺诈警报等。尽管Meta声称Muse“从底层构建以保障隐私和安全”，但其URL设计将对话标题置于子域名中，使得这些链接极易被搜索和…
Anthropic 在2026年上半年录得超过800亿美元的净亏损，引发业界广泛关注。值得注意的是，其中720亿美元亏损源于可转换票据等金融工具的会计调整，并非实际经营亏损。尽管面临巨额账面损失，Anthropic 第三季度营收仍同比增长12倍，达到168亿美元，并有望在近期实现盈利。然而，评论者质疑其未来巨额投入计划——未来十年拟支出5180亿美元用于云、计算和基础设施，是否可持续。与此同时，…
- ▲ 128PHP 紧急安全更新：两个高危漏洞待修复
PHP 安全团队发出紧急预警，定于 2026 年 10 月 21 日发布关键安全更新，以修复两个 CVSS v4.0 评分高达 9.2 的严重漏洞。所有 PHP 用户需立即准备升级，以防漏洞细节公开或被恶意利用。与此同时，PHP 8.6.0 的 RC3 测试版也已发布，社区正在积极测试并反馈问题。此外，多个 PHP 版本如 8.4.26、8.2.34、8.5.11 和 8.3.35 也同步发布了…
- ▲ 122屏幕滚动竟能生成斜体字？
你以为看到的斜体字是设计师特意设计的吗？其实这可能是显示器逐行刷新产生的视觉错觉，原理和摄影中的rolling shutter如出一辙。文章探讨了这种技术巧合背后的文化习惯：为什么我们默认文字向右倾斜？如果当初选择从下往上刷新屏幕，或许斜体字的方向就会完全相反。除了这个意外的发现，作者还分享了多个令人惊喜的排版细节，从5x7像素字体中巧妙呈现的火车车厢，到塑料上雕刻的Gorton字体，再到键盘上…
安全团队 FulcrumSec 公开了 PingCAP TiDB Cloud 的严重数据泄露事件，总计外泄数据达 10.6TB。泄露内容极其详尽，包括 18 万个租户组织信息、11.5 万个明文客户 API 密钥、2000 多万条客户 SQL 语句以及完整的控制平面日志。更令人担忧的是，PingCAP 自身的安全团队早在 2022 年就在 Jira 中记录了多租户隔离失效的严重漏洞，但直到 20…
要理解量子现象，我们必须离开熟悉的三维世界，进入抽象的 Hilbert space。John von Neumann 将量子力学公理化，指出量子态并非固定属性，而是指向可能性的矢量。在观测之前，电子或光子处于叠加态，其状态矢量在 Hilbert space 中平滑演化；一旦观测，矢量会随机坍缩到某个确定轴上。无论是 Heisenberg 的矩阵力学还是 Schrödinger 的波动力学，本质上…
Subaru 确认将在 2027 年底前彻底退出欧洲内燃机市场，转而全面销售 EV。受欧盟排放法规驱动，Subaru 的标志性车型 Outback 将于今年末停产，Impreza、Crosstrek 和 Forester 等搭载 boxer engine 的车型也将在 2027 年陆续谢幕。未来欧洲市场仅剩 Solterra、E-Outback 和 Uncharted 三款与 Toyota 联合…
Hacker News热议Musk下令对Starlink进行降速操作，这一举动让Ukraine方面完全措手不及。讨论中，不同媒体对事件起因的报道存在分歧：Reuters称指令来自白宫，The Telegraph则称是Musk向Trump提议，而WSJ直指是Musk直接下令。评论区观点激烈，有人指出Starlink已成为国家安全风险，私人企业掌握如此关键的军事通信基础设施令人担忧。更有用户质问，当…
我想要一台 ZX Spectrum Next 笔记本电脑，于是决定自己动手制作。在解决了上一版铰链无法锁紧、屏幕兼容性差以及使用普通 USB 键盘等痛点后，我利用闲置的旧笔记本屏幕和 Spectrum Next 专用键盘，重新设计了这款复古设备。新设计集成了双 Micro-SD 卡槽、立体声扬声器、触摸板以及双摇杆接口，并基于 SpeccyX 项目的 PCB 进行构建。通过 CR-10S Pro…
- ▲ 64巴黎协定1.5°C目标已无法实现
联合国环境规划署（UNEP）发布的2026年排放差距报告指出，将全球升温控制在1.5°C以内的窗口期已彻底关闭。报告强调，超过1.5°C阈值已是迫在眉睫且不可避免的事实。新的应对策略调整为：确保升温不突破2°C，并致力于在本世纪末将温度回拉至1.5°C。然而，当前各国的国家自主贡献（NDCs）承诺即便全部落实，减排力度也远不足以达成目标，全球亟需将清洁能源转型速度提升数倍，并大规模部署碳移除技术…
NetWasm 项目宣布 C# 在 WebAssembly 代码体积上首次超越 Rust。通过独立编译器和内置的精确垃圾回收机制，NetWasm 生成的独立 WASI 组件比 Rust 小 10.9%，压缩后优势更达 20.4%。该项目不仅摆脱了对桌面 CLR、Mono 或 dotnet.js 的依赖，还在分配和垃圾回收基准测试中比 Mono AOT 快出约 30%。NetWasm 支持 C#…
别再担心 SSH 私钥被盗了。我在 macOS 上利用 Secure Enclave 创建了一个无法被提取的 SSH 身份，并配合 Touch ID 进行认证。只需三条命令，你就能将密钥安全地锁在硬件里，彻底告别 ~/.ssh 目录下的文件风险。每次使用 git push 时，系统都会要求验证指纹，既安全又便捷。虽然如果 Mac 损坏密钥会丢失，但这种科幻级别的默认安全体验，让普通消费者也能拥有…
过去我们展示了前沿 AI 模型发现漏洞的能力，但真正的价值在于主动防御。我们利用 Claude 对 25 个开源项目进行了自动化攻击面分析，发现并修复了 493 个安全问题。研究重点在于识别默认配置中的冗余代码、配置项之间的意外交互以及过早暴露的安全敏感代码。在 OpenSSH 的案例中，Claude 发现默认配置下，未启用的 ML-DSA-44 算法代码仍可被未认证客户端访问，这暴露了约 45…
我们重新评估了 Proof of Human、Google reCAPTCHA v3、hCaptcha、Cloudflare Turnstile 和 Cloudflare Bot Management 等五大检测系统。面对从传统脚本到 Browser Use、Perplexity Comet 及 Grok 等现代 AI 智能体的挑战，检测效果差异巨大。传统自动化信号对脚本浏览器依然有效，但面对能…
Pillowfort 官方正式宣布将于2026年12月4日关闭服务。创始人 Julia 坦言，这是她人生中最艰难的决定。尽管曾收到非营利转型的提议，但因无人能接手领导，关停成为唯一选择。回顾过去十年，2021年的安全事件让社区元气大伤，此后仅靠“骨架团队”勉强维持，创始人长期处于职业倦怠中。她痛心地看到互联网变得充满毒性且被商业化裹挟，虽然遗憾未能让 Pillowfort 长久存在，但仍希望有人…
- ▲ 43决策模型经济学：自造还是外购？
最近 Jev 和决策模型成了热门话题。文章探讨了决策模型的三种输出形式：choice、score 和 noul，并指出其输出定义清晰、带有概率权重且输出 token 几乎免费。作者提出了一种新的“决策层级”概念，类比计算机内存层级，将手写规则、Jev、LLM 和人类分别对应不同层级。通过引入 Chow's rule，文章详细分析了如何在不同层级间根据置信度、错误成本和评估费用进行决策流转。核心观…
当 Waymo 的自动驾驶汽车在路上穿梭时，空无一人的驾驶座上方向盘却会自行转动，这种既熟悉又诡异的景象正成为 San Francisco 的日常。Waymo 拥有超过四千辆车队，在十五个城市运营，甚至在当地超越了 Lyft 的市场份额。从最初为了法律合规而保留的方向盘，到如今被乘客视为一种“安心”的魔法，人类正在适应这种新技术带来的陌生感。然而，技术并非完美无缺，从机器人服务员在餐厅的尴尬亮相…
文章提出了 Decoherence 这一概念，指系统中局部有效但互不兼容的模型不断累积，导致变更成本被模型间的转换和防止意外副作用所主导。这就像 AI 生成的垃圾内容（slop）在无尽的噪声海洋中淹没了真正的信号。随着系统变化速率加快，Decoherence 呈指数级增长。虽然这阻止了失控的递归自我改进（intelligence explosion），但我们正奔向另一种灾难：Decoherenc…
Decker 迎来四周年里程碑，这次更新带来了令人兴奋的新功能。最引人注目的是对 gamepad input 的原生支持，让用 Decker 开发街机风格游戏成为可能。同时，脚本语言 Lil 在数值比较、表格处理及新增的 trim、ceil 等算子上进行了关键修正与扩展，显著提升了开发效率。IMG3 编码器的引入大幅优化了图片压缩率，而 contraptions 的新属性类型则让自定义 UI 更…
Ante是一种基于所有权语义和借用机制的低级函数式语言，与Rust类似，但目标更激进：在保持内存安全的前提下，允许更灵活的共享可变性。我通过引入“位置”（places）替代传统生命周期，并标记“不稳定位置”（unstable places），成功实现了零开销的循环可变性。这种设计不仅减少了借用检查错误，还支持观察者模式、循环类型等复杂数据流，同时避免悬空指针。相比Rust，Ante默认更贴近C#…
Battlezone Online (bzo) 让经典的 BZFlag 坦克对战直接运行在浏览器中，无需任何安装。无论是桌面电脑、手机还是 VR 头显，玩家都能通过 Three.js 客户端和 Node.js 服务器无缝接入。项目完全开源，支持 WebXR 沉浸式体验，并兼容现有的 BZFlag 服务器架构。从键盘鼠标到 VR 手柄，bzo 提供了完整的控制方案，让怀旧玩家和 VR 爱好者能随时…
在 C++26 中，std::polymorphic 类型解决了复合对象实现多态时的长期痛点。过去，若要让拥有组件的类保持可复制性，开发者不得不手动实现 clone() 函数，导致代码冗余且容易出错。std::polymorphic 通过类型擦除技术，在构造时自动捕获复制逻辑，让复合对象天然支持深拷贝、const 传播且永不空悬。它让 EventLog 等类无需遵循 Rule of Five，回…
Alibaba 在一夜之间悄悄将 DeepSeek V4 Flash 0731 的输出价格提高了 230%，从每百万 token 0.40 美元飙升至 1.32 美元。这并非孤例，Mistral 和 Qwen3.6 等模型也相继涨价，标志着 AI 行业由 VC 补贴驱动的蜜月期正式结束。对于依赖廉价 token 构建业务的应用而言，成本结构的剧变意味着利润空间可能瞬间蒸发。相反，Zhipu AI…
eMudhra 的八张中间证书私钥存在严重漏洞，其数值小至 4、56 或 115，仅用毫秒即可破解。这意味着自 2025 年 4 月起，任何人均可轻易伪造证书。尽管 Chrome 和 Firefox 已紧急阻断，但大量不检查证书透明度（CT）的客户端，如 curl、Python、Node 及各类 IoT 设备，仍面临巨大风险。这些设备默认信任根证书且未启用吊销检查，使得攻击者可轻易拦截加密流量或…
Dovepass 是一款专为旧金山地区设计的无人机飞行合规性研究原型工具。用户只需输入起飞点、目的地、无人机型号（如 DJI Mavic 3 Pro）及飞行时间，系统即可基于 FAA 空域规则、临时禁飞区、地形建筑数据及天气状况，生成详细的飞行可行性报告。它不仅能规划避开障碍物和禁飞区的路线，还能评估电池续航与风力影响，并生成可导入 DJI 应用的飞行文件。虽然它不能替代飞行前的最终确认，但为…
- ▲ 15让 LLM 证明解释器与语义一致
随着 LLM 在发现软件漏洞方面能力日益增强，构建可验证软件变得至关重要。我们尝试让 LLM 为小型语言 WHILE 编写形式语义，并利用 Lean 证明该语义与编译后的解释器二进制文件行为完全一致。实验发现，即使语义通过了所有常规测试，仍可能因实现细节（如缓冲区限制）而存在偏差。通过‘发布你的解释器’这一思路，我们将解释器本身作为验证基准，确保生成的数学规则能精准描述程序运行行为，为大规模软件…
Nexus-CLI 是一个纯 Go 编写的高性能工具，让你无需付费 API 密钥即可通过免费网页账户连接 DeepSeek V3 和 R1 模型。它内置了纯 Go 并行 PoW 求解器，能在几十毫秒内解决 DeepSeekHashV1 挑战，并支持交互式终端聊天、Unix 管道工作流以及 OpenAI、Anthropic 和 Ollama 的本地代理服务器模式。无论是通过 Chrome 自动获取…
Microagi 是一家位于 Munich、Zurich、London 和 Istanbul 的数据研究与部署实验室，专注于加速具身 AGI 的发展。他们的核心产品 Atlas 将自主机器人部署到全球重要工业公司的运营中，利用现有硬件实现闭环运行；而 shift 则能记录实际物理工作流程，将其转化为训练就绪的数据，且无需远程操作或中断生产线。这一组合让工业场景中的 AI 应用更加高效且无缝衔接。
我想在Cloudflare Workers上构建一个简历生成器，却遇到了边缘环境无法运行LaTeX编译器的难题。Workers本质是V8 isolate，无法启动原生二进制程序，而LaTeX需要完整的操作系统支持。最终方案是将编译任务移至容器，使用Tectonic引擎按需获取依赖并关闭shell escape以防代码注入。过程中我踩了环境泄露和临时文件竞态条件的坑，深刻体会到边缘计算与容器化服务…
T3 Code 是一个专为开发者打造的 AI 代理控制平台，支持通过 iOS、Android、Web 和 Electron 桌面应用统一管理本地运行的多个 AI 工具。它兼容 Codex、Claude Code、Cursor、Grok Build、OpenCode 和 Google Antigravity 等主流服务，用户只需安装对应 CLI 并完成认证即可无缝接入。项目完全开源，强调性能、远程…
越来越多的恶意软件攻击利用包安装时机窃取 CI/CD 主机或开发工作站的凭证，甚至无需运行代码。为应对这一威胁，GitHub 推出了全新的 Package Firewall 功能，目前已在 GitHub Enterprise Cloud 进入公开预览阶段。该防火墙部署在 Actions runners 或 coding agents 等端点与上游包仓库之间，能够深度检查元数据请求和包下载行为。管…