每日HackerNews RSS

CVE-2026-3888：重要的Snap漏洞允许本地权限提升至root。 CVE-2026-3888: Important Snap Flaw Enables Local Privilege Escalation to Root 2 天前

## Ubuntu Snapd 漏洞摘要 (CVE-2026-3888) Qualys 威胁研究团队发现了一个高危的本地权限提升 (LPE) 漏洞，影响 Ubuntu Desktop 24.04 及更高版本的默认安装。该漏洞源于 `snap-confine` 和 `systemd-tmpfiles` 之间的交互，允许本地攻击者获得完全 root 权限。 利用该漏洞需要特定的时间窗口 – 等待 `systemd-tmpfiles` 清理一个临时目录 (`/tmp/.snap`)，然后用恶意内容重新创建它。`snap-confine` 在初始化 snap 沙箱时，会将这些文件以 root 身份挂载，从而实现代码执行。虽然复杂 (CVSS 分数 7.8)，但成功利用将完全破坏系统。 **受影响的系统应立即更新至：** * Ubuntu 24.04 LTS: snapd 2.73+ubuntu24.04.2 或更高版本 * Ubuntu 25.10 LTS: snapd 2.73+ubuntu25.10.1 或更高版本 * Ubuntu 26.04 LTS (开发版): snapd 2.74.1+ubuntu26.04.1 或更高版本 * 上游 snapd: 2.75 或更高版本 此外，在 Ubuntu 25.10 发布之前，已识别并修复了 `uutils coreutils` 包中的一个单独漏洞，防止潜在的 root 级别文件删除。Qualys 提供 QID (386810) 用于检测，以及 CyberSecurity Asset Management 和 VMDR 等工具用于漏洞识别和修复。

## Snap 漏洞允许提权至 root Snap（Ubuntu 使用的软件包管理系统）中存在一个严重漏洞 (CVE-2026-3888)，允许本地用户提权至 root。该漏洞源于 `snap-confine` 中的复杂 bind 挂载方案，并涉及利用 `/tmp` 中的竞争条件。 讨论中，用户对 Snap 的闭源性质和强制集成表示不满，一些人正在寻找替代发行版。 此外，人们还对 coreutils 的 Rust 重写版本中的一个单独漏洞表示担忧，该漏洞最初被淡化，但可能意义重大。 许多评论者质疑 Snap 复杂性的必要性，并建议采用更简单的沙盒方法。 一些人提倡使用 Flatpak 或从源代码构建，而另一些人则指出 setuid 程序的固有风险以及在涉及 root 权限时仔细代码管理的需求。 此事件强化了关于在安全性和易用性之间取得平衡以及日益复杂的系统架构的潜在弊端的争论。

查看详情

显示 HN：Tmux-IDE，开源、代理优先的终端 IDE Show HN: Tmux-IDE, OSS agent-first terminal IDE 2 天前

Lead + 队友：Claude 协调团队。队友在各自的窗格中独立工作，每个窗格专注于一项任务。 共享任务列表：Agent 通过共享任务和消息进行沟通。Lead 分配，队友认领并汇报。 自组织：一旦布局运行，Lead 可以通过正常的 Claude 提示招募队友、重新分配工作并重塑工作流程。 声明式 YAML：在 ide.yml 中定义团队布局——角色、任务、窗格大小。可在不同机器和项目间复现。 任何技术栈：自动检测 Next.js、Vite、Python、Go 等。开发服务器与 Agent 团队并行运行。 一键启动：tmux-ide 处理 tmux 会话、窗格分割和实验性 env 标志。你启动布局，然后告诉 Claude 如何组织团队。 内置 Claude Code 技能：安装脚本会自动注册一个 Claude Code 技能。要求 Claude 设置你的工作区，它会处理检测、布局和配置。

查看详情

我14年没用过鼠标。 I haven't used a mouse for 14 years 2 天前

作者已经独家使用Mac触控板工作14年，包括繁重的设计任务，认为其精度优于传统鼠标——这是一种普遍的体验，因为许多Windows触控板质量较差。macOS的“三指拖动”功能是舒适长时间使用的关键。 该功能允许通过简单地在触控板上移动三个手指来拖动对象，所需的力度比传统的点击并拖动更小。结合“轻点点击”，它实现了无需物理点击即可使用触控板。 虽然以前在标准设置指南中有介绍，但此选项现在隐藏在**系统设置 > 辅助功能 > 指针控制 > 触控板选项 > 拖动方式**中，必须手动启用为“三指拖动”。作者强调了Mac触控板持续的卓越性能及其对工作流程的影响。

## 触控板 vs. 鼠标：Hacker News 讨论 一个 Hacker News 帖子引发了关于放弃鼠标的讨论，一位用户声称已经 14 年没有使用鼠标了。 讨论很快集中在触控板的优点上，特别是苹果的 Magic Trackpad，与传统鼠标相比。 许多用户赞扬了 Mac 触控板的精确度和舒适性，强调了多指势（尤其是三指拖动）以及它们允许的放松手部姿势。 然而，其他用户更喜欢鼠标，认为鼠标具有更高的准确性、速度，并且可以避免 RSI（重复性劳损）。 几位用户提到了*物理*鼠标按钮的重要性，认为点击来点 frustrating。 诸如轨迹球（Logitech MX Ergo、Kensington Expert Wireless）和指点杆（ThinkPad TrackPoint）等替代方案也受到欢迎，用户报告称可以缓解腕部压力。 讨论表明，人们强烈偏好符合人体工程学的解决方案，一些人提倡使用垂直鼠标。 一个反复出现的问题是 macOS 上有用功能的糟糕可发现性，例如三指拖动隐藏在辅助功能设置中。 最终，“最佳”输入方法似乎非常个性化，取决于个人需求和偏好。

查看详情

人工智能编程是赌博。 AI coding is gambling 2 天前

## AI 编程与赌博类比 这篇文章反思了与AI一起编程的出人意料的缺乏满足感，尽管它似乎有很多好处。作者认为，依赖AI代码生成感觉不像真正的编程——一个深思熟虑的问题解决和详细实施过程——而更像**赌博**。 AI允许进行微不足道的代码更改，减轻了评估工作量和研究的认知负担。虽然它*看起来*能产生结果，但这些结果往往只是表面上正确，需要大量的清理工作。这种不断“拉动老虎机拉杆”以获得期望结果的行为令人上瘾，反映了赌博的机制，并促成了工作游戏化的趋势。 作者认为最有害的方面是失去了编程中“滋养灵魂”的部分：理解、适应和巧妙地整合现有代码的过程。相反，工作已经集中在修复AI的不足之处。尽管作者承认自己有责任更深入地参与代码，但他表达了对这种转变的基本不满，即使作为一名*应该*从开发速度加快中受益的设计师。

## AI 编程：赌博还是工具？ 一则 Hacker News 的讨论集中在利用 AI 编程是否感觉像赌博。许多评论者认为它具有成瘾性，源于“快速奖励”循环和不确定的结果——即使是相同的提示也可能产生截然不同的结果。这种控制的错觉，加上模型本身固有的不可预测性，可能令人着迷，但并不能保证成功。 几个要点浮出水面：清晰规范和测试的重要性（如 TDD），认识到 AI 是一种概率性工具而非完美解决方案，以及需要仔细监督。有人将其比作熟练的扑克（策略很重要）与老虎机（纯粹的运气）。 人们对过度依赖、潜在的脆弱代码以及成瘾性表示担忧，尤其是在模型越来越强大的情况下。“感觉编程”——在没有彻底验证的情况下大量依赖 AI——时，赌博的比喻最为强烈。最终，讨论强调 AI 是一种强大的工具，但需要负责任地使用、批判性思维和健康的怀疑态度。

查看详情

伊朗南帕斯天然气田遭以色列袭击，能源价格飙升。 Iran's South Pars Gas Field Is Attacked by Israel, Sending Energy Prices Soaring 2 天前

请启用 JavaScript 并禁用任何广告拦截器。

## 伊朗天然气田袭击及反应 - Hacker News 摘要 以色列对伊朗南帕斯天然气田的袭击导致能源价格飙升，在Hacker News上引发了激烈的讨论。许多评论员表达了对冲突升级和潜在更广泛影响的担忧，一些人指责美国政策和对以色列的无条件支持。 一个中心主题是对以色列行为缺乏问责制的沮丧，以及其他国家承担的负担。一些人提倡减少对以色列的美国援助，而另一些人则认为需要采取更强硬的立场。关于中国（伊朗石油的主要购买国）的作用，以及袭击如何影响全球能源市场，存在争论。 许多评论强调了一种无力和对政治格局的幻灭感，质疑民主进程和游说的影响力。一些人表达了宿命论观点，而另一些人呼吁采取果断行动来缓和局势并防止进一步冲突。这场讨论揭示了围绕这场持续危机根深蒂固的分歧和焦虑。

查看详情

2025年图灵奖颁发给量子信息科学领域。 2025 Turing award given for quantum information science 2 天前

该网站正在使用安全服务来保护自身免受在线攻击。您刚才的操作触发了安全解决方案。 提交特定词语或短语、SQL命令或格式错误的数据等行为可能会触发此阻止。

查看详情

谷歌工程师发布“Sashiko”，用于代理AI代码审查Linux内核。 Google Engineers Launch "Sashiko" for Agentic AI Code Review of the Linux Kernel 2 天前

谷歌已开源**Sashiko**，这是一款基于人工智能的代码审查系统，专为Linux内核设计。Sashiko 使用谷歌的 Gemini 3.1 Pro 开发（但兼容 Claude 等其他 LLM），此前已在内部使用，现在正在审查发送到 Linux 内核邮件列表的*所有*提交。 初步测试表明，Sashiko 识别了最近内核问题中带有“Fixes:”标签的约 **53% 的错误**——重要的是，这些错误是**人工审查员遗漏的**。虽然并非完美，但这表明了显著提高代码质量的潜力。 谷歌正在资助 Sashiko 的运营和基础设施，项目托管正在过渡到 Linux 基金会。代码可在 GitHub 上找到，补丁审查的网页界面位于 [Sashiko.dev](https://sashiko.dev)。这标志着人工智能代理集成到开源内核开发的关键流程中的一步。

## Sashiko：基于AI的Linux内核代码审查工具 谷歌工程师发布了“Sashiko”，这是一款基于智能体的AI工具，旨在协助审查提交给Linux内核的代码变更。该系统分析补丁并识别潜在的错误，据报道，在最近的一组测试中发现了约53%的问题——这些问题最初被人工审查员遗漏。 讨论的重点在于该工具的潜在优势和劣势。一些人认为它对负担过重的内核维护者来说是一个有价值的帮助，而另一些人则对误报以及可能用无关报告淹没开发人员表示担忧，这与curl等其他开源项目中AI生成的错误报告中出现的问题相呼应。 一个关键的争论点是，该工具是否会受到内核开发人员的欢迎，以及它对风格和结构的关注是否会给开发过程增加不必要的阻力。Sashiko使用Rust构建，并利用Gemini模型，它被呈现为开发人员可以选择使用的工具，而不是强制集成。

查看详情

展示 HN：黑客新闻档案（4700万+条目，11.6GB），Parquet 格式，每 5 分钟更新一次。 Show HN: Hacker News archive (47M+ items, 11.6GB) as Parquet, updated every 5m 2 天前

## 黑客新闻数据集：完整档案 该数据集提供自2006年成立以来，黑客新闻（HN）提交的每一项内容的完整、实时更新档案，截至2026年3月，总计超过4700万项内容。HN由Y Combinator维护，是技术人员和企业家们的重要在线社区。 数据来源于镜像HN Firebase API的ClickHouse Playground，组织成每月Parquet文件，并对当前日期进行5分钟实时更新。它包括故事、评论、投票、招聘信息和用户数据（用户名），允许对趋势、讨论和社区动态进行深入分析。 **主要特点：** * **完整且更新：** 每5分钟持续更新，确保接近实时的数据。 * **高效格式：** 存储为Parquet格式，方便使用DuckDB和`datasets`库进行快速查询。 * **详细数据：** 包括项目ID、类型、作者、时间戳、文本、评分、URL和后代计数。 * **易于访问：** 在Hugging Face上提供，方便下载和使用。 **潜在用途：** 语言模型训练、情感分析、社区研究和信息检索。 该数据集采用开放数据共享许可协议（Open Data Commons Attribution License）。更多详细信息，包括数据模式和使用示例，可在Hugging Face数据集页面上找到。

## 黑客新闻数据 Parquet 格式存档 Hugging Face 上一个新项目以 Parquet 格式提供了完整的黑客新闻存档（超过 4700 万条数据，11.6GB），每 5 分钟更新一次。这使得对 HN 数据集进行高效查询和分析成为可能。 该项目引发了关于抓取 HN 数据合法性的讨论，考虑到 Y Combinator 的服务条款声称拥有用户内容的所有权。用户们争论 YC 是否执行这些条款，并表达了对数据隐私和被遗忘权担忧，注意到 YC 不愿完全删除用户数据。 更新频率和存储格式也被讨论，并提出了使用 Apache Iceberg 等替代方案以实现更高效更新的建议。 几位用户分享了相关的 HN 数据分析项目和工具，包括 ClickHouse 实现和用于语义搜索的向量数据库。 该项目旨在用于数据科学和分析，为研究人员和开发人员提供有价值的资源。

查看详情

政府在主要艺术家强烈抗议后，就人工智能和版权问题退步。 Government backtracks on AI and copyright after outcry from major artists 2 天前

最近政府的倒退表明，版权所有者在与寻求在未经许可的情况下将受版权保护的材料用于人工智能训练的技术公司之间的斗争中取得了胜利。剑桥大学出版社的曼迪·希尔赞扬了这一决定，重申了现有法律：对此类用途*需要*获得许可。 然而，政府并未完全关闭未来例外情况的大门，引发了持续的争论。Tech UK认为，清晰的框架对于英国在全球人工智能竞赛中保持竞争力至关重要，担心落后于国际竞争对手。 这场争议源于人们对人工智能开发依赖于“免费”获取创意内容，可能损害艺术家和创作者的担忧——像埃尔顿·约翰爵士这样的人物对此进行了激情的辩论，他将此比作盗窃。虽然去年对《数据（使用和访问）法案》的一项寻求人工智能训练数据的透明度的修正案被否决，但这个问题仍然未解决，并且是一个主要的争议点。

英国政府最近在人工智能和版权方面的政策转变引发了艺术家们的大量反对，并导致迅速的退步。最初，政府似乎倾向于大型科技公司，考虑修改版权法，允许人工智能在未经许可的情况下使用创意作品。 批评者，例如在Hacker News上评论的人，谴责这一举动将“人工智能的利益”置于支持英国创意产业之上——英国创意产业是重要的经济驱动力。许多人对政府愿意损害创作者权益表示难以置信，将其比作历史上意识形态战胜证据的失败案例。 讨论还涉及更广泛的主题，包括企业影响力、知识产权观念的变化以及英国政府内部政策反复无常的模式。最终，公众的强烈抗议迫使政府撤销了拟议的修改。

查看详情

朝鲜10万名虚假IT工人为金正恩每年带来5亿美元收入。 North Korean's 100k fake IT workers net $500M a year for Kim 2 天前

## 朝鲜IT工人计划：日益增长的威胁 IBM X-Force和Flare Research的最新报告详细介绍了朝鲜渗透公司、使用虚假IT工人背后复杂的运作。这些工人可能遍布40个国家，总数高达10万，每年为平壤带来约5亿美元的收入，他们通过远程和全职职位窃取资金和敏感数据。 该运作涉及分层结构：招聘人员、协助者、IT工人以及合作者（提供身份的西方人）。工人们擅长网页开发和.NET，通常不知道计划的真实性质，最初被告知他们加入的是“隐秘的初创公司”，例如“C Digital LLC”。他们使用虚假的在线资料和工具，如谷歌翻译、朝鲜VPN（OConnect/NetKey）以及安全消息应用程序IPMsg。 研究人员发现证据表明工人们在Upwork等自由职业平台上追踪“投标”和“消息”。一旦受雇，他们便利用协作支持来取得成功并获得系统访问权限。缓解策略包括仔细审查在线面试行为中的不一致之处，留意人工智能修改过的视觉内容，并使用“致命问题”——直接询问关于金正恩的问题，朝鲜工人会立即结束通话以避免回答。

## 朝鲜IT劳动力：摘要 一份最新报告详细说明了朝鲜通过约10万名IT劳工每年产生约5亿美元的收入。这些劳工并非“虚假”的，即并非不生产力，他们是真实存在的人，经常使用被盗身份来掩盖其所在地和工作单位。他们经常远程工作，有时会得到外部协助，并且可能非常成功，年收入高达30万美元。 主要的受益者不是个人劳工，而是朝鲜国家，它会收取他们收入的大部分。这种做法引发了对潜在安全风险的担忧，因为这些劳工可能被用于间谍活动或网络攻击。 讨论的重点在于合适的术语——“欺诈”、“欺骗”甚至是“奴隶劳动”，以及雇佣实际上是被迫从事这项工作的个人的伦理影响。一些评论员指出这与其他地方的剥削性劳动实践相似，而另一些人则强调独特的地缘政治背景和朝鲜政权的控制。这些劳工如何获得工作并维持其掩护的后勤问题也在争论之中，一些人认为招聘公司内部存在同谋。

查看详情

更多