## 使用TPM保护SSH密钥
本指南详细介绍了如何在可信平台模块 (TPM) 中存储 SSH 私钥，与传统的基于文件的存储方式相比，提供更高的安全性。虽然像 YubiKey 这样的硬件安全模块 (HSM) 非常安全，但现在大多数现代计算机都包含 TPM——通常是 Windows 11 的要求。
TPM 的安全性低于便携式 HSM（需要物理存在），但比文件系统存储更安全。一个风险是 BIOS 更新期间可能擦除 TPM。作者建议*导入*预先生成并已备份的 SSH 密钥到 TPM 中，从而减轻与 TPM 生成的密钥以及 ROCA 等漏洞相关的潜在问题。
该过程涉及安装必要的工具（如 `tpm2-tools`），创建 PKCS#11 存储（一个加密密钥的 SQLite 文件），以及设置用户/安全官 PIN。密钥并非*在*TPM 中，而是加密并在需要时加载。最后，设置环境变量 (`TPM2_PKCS11_SO`)，并更新 `~/.ssh/config` 以通过 PKCS#11 接口使用 TPM。使用 `ssh-add -s` 允许在会话期间缓存 PIN。像 `pkcs11-tool` 和 `tpm2_ptool` 这样的工具可以验证设置并列出可用密钥。
每日HackerNews RSS
对不起。
我们给了一个人工智能为期三年的零售租赁合同，并要求它盈利。
We gave an AI a 3 year retail lease and asked it to make a profit
2 天前
## 安东市场：一个AI驱动的零售实验 安东实验室正在通过一个名为Luna的AI完全控制旧金山的一家零售店——安东市场，来探索高级AI的实际影响。 这不是一个理论练习；Luna管理着从产品选择和定价到招聘和营销的一切，并拥有公司信用卡、电话和互联网访问权限。 实验表明，虽然AI擅长策略，但物理任务需要人类员工。 Luna成功地完成了招聘流程——发布职位、进行面试（有时会透露她的AI身份，有时不会）——并最终雇用了两个人，他们可能是世界上第一批拥有AI老板的员工。 安东实验室强调这是一个受控实验，具有充分的员工保护，但旨在突出AI管理人类工人的潜在近未来，尤其是在机器人技术滞后时，针对蓝领职位。 Luna的策略，例如创建独特的品牌形象和向当地企业发送冷邮件，展示了AI驱动商业的潜力和怪癖。 该团队希望识别“失效模式”并为AI雇主制定伦理准则，从倡导AI招聘实践中的透明度开始。
对不起。
六个角色
Six Characters
2 天前
## 铁核：第二部分 - 解码航空旅行的基础设施 本文深入探讨了支撑现代航空旅行的令人惊讶的过时但至关重要的系统，重点是旅客姓名记录 (PNR) 和电子机票详情。尽管技术有所进步，但核心基础设施仍然根植于 1960/70 年代的技术。 PNR 由一个六字符定位符（如 DDTCIV）标识，并非全球唯一记录。它是一种结构化的、仅追加日志，存储在如 Amadeus 或 Sabre 之类的全球分销系统 (GDS) 中——这意味着相同的定位符可以在不同的系统中存在。航空公司会补充使用他们自己的标识符。PNR 需要五个强制元素：姓名、行程、联系信息、机票详情和预订授权。 重要的是，电子机票上看似随机的字符串，例如票价计算，都是经过精心编码的。它们使用一种与货币无关的单位 (NUC) 转换为当地货币，通过每周汇率进行换算，该系统旨在管理国际价格波动。即使是看似微小的代码，例如路由中的“X/”，也决定了票价的应用。 然而，电子机票号码才是真正的 первичный 键——航空公司用于登机和跟踪的永久标识符。最后，看似晦涩的代码，例如“旅游代码”，将预订与公司帐户关联，用于计费和费率应用。 这个建立在遗留限制之上的复杂系统，突显了航空旅行的基础设施是如何深度交织且出人意料地稳定的。
这个黑客新闻的讨论围绕着一篇有趣的文章（链接为“Six Characters”），详细描述了航空公司机票系统中使用的一种奇特的系统。该系统使用一个六字符代码——最初被称为“非美国货币”（NUC）——来追踪票价，尽管实际上与美元挂钩以达成共识。
评论者深入探讨了这些代码的历史和机制。 揭示了三位数的IATA数字代码（早于双字母代码）被分配给完整的IATA成员航空公司用于机票目的，但并非*所有*航空公司都有这些代码。活跃航空公司的数量存在争议，最终定在367-370家左右。
讨论还涉及了货币的确定方式——基于航班的起飞国。有人担心可能的代码数量有限（20亿），以及代码可能被回收利用，并提到了黑客新闻上之前的一次相关讨论。最后，一些用户指出文章标题含糊不清，差点让他们没有点击。
启动猎人新闻：坎帕拉 (YC W26) – 将应用程序反向工程为 API
Launch HN: Kampala (YC W26) – Reverse-Engineer Apps into APIs
2 天前
完整流量拦截：实时查看任何应用或浏览器发出的所有HTTP/S请求。 认证链追踪：自动映射令牌、Cookie、会话和多步序列。 流量回放与导出：捕获序列并将其回放为稳定的自动化流程。 指纹保护：保持您的HTTP/TLS指纹，使拦截的流量与原始流量表现一致。
## 坎帕拉：将应用程序反向工程为API - 摘要
坎帕拉 (zatanna.ai) 由 Alex Blackwell 和 Tarun 推出，是一种中间人 (MITM) 代理，旨在通过将网站、移动和桌面应用程序的工作流程反向工程为 API 来简化自动化。它解决了现有自动化工具（如浏览器自动化和“计算机使用代理”）的局限性，这些工具通常脆弱且不可靠。
坎帕拉源自牙科技术领域工作中构建的内部工具，它通过不操纵 TLS/HTTP2 指纹来避免触发反机器人措施，并提供用户友好的界面来构建和导出脚本/API。用户可以利用代理框架进行引导式脚本创建，也可以手动创建工作流程，然后使用坎帕拉生成可复制的代码。
创建者设想的未来是，自动化依赖于理解底层请求层，而不是屏幕抓取。虽然承认可能存在服务条款问题，但他们强调他们的重点是自动化*现有*用户操作，而不是大规模抓取，并且认为自动化本身并不固有不道德。该工具目前处理 gRPC 和 websocket 流量，团队正在积极努力改进会话重新认证。
Laravel，一个受大量风险投资支持的流行的PHP Web框架，因其最近对开源“Laravel Boost”库的更改而受到审查。一个拉取请求引入了代码，通过像ChatGPT和Claude这样的人工智能代理，微妙地向用户推广Laravel Cloud，即该公司的商业部署服务。
尽管Laravel可以通过真正卓越的产品取得成功，但人们担心这种更改将商业利益置于社区信任之上——这种做法被称为“劣质化”。 即使Laravel Cloud已经通过自然方式获得了积极的人工智能推荐，但该更新也删除了对替代部署选项的提及，仅突出Laravel Cloud作为“最快”的解决方案。
争论的中心在于，微妙地影响代理推荐是否是一种合法的盈利策略，或者是一种有害的越界行为，可能导致疏远Laravel社区。 这起事件引发了关于*向*人工智能代理进行广告投放以及随着这种做法的发展，可能需要“代理广告拦截器”的更广泛讨论。
## Claude Opus 4.7现已发布：重大升级 Anthropic发布了Claude Opus 4.7，相比前代产品有了显著提升，尤其是在复杂的软件工程任务方面。用户反馈，在处理具有挑战性的编码工作时更有信心，该模型表现出严谨性、一致性以及改进的指令遵循能力。 主要增强包括大幅改进的视觉能力（支持更高分辨率的图像）以及为界面和文档创建等专业任务提供更具创意、更高质量的输出。虽然整体能力不如*Mythos Preview*模型，但Opus 4.7在众多基准测试中超越了Opus 4.6。 为了优先考虑安全性，Opus 4.7内置了网络安全防护措施，Anthropic还推出了针对安全专业人员的*Cyber Verification Program*。它现在已在所有Claude产品和主要云平台（Amazon Bedrock、Google Cloud、Microsoft Foundry）上可用，定价与Opus 4.6相同（输入token 5美元/百万，输出token 25美元/百万）。 早期测试者强调Opus 4.7改进了推理能力、效率以及自我纠正能力，从而加快了开发速度并提高了结果质量。一个关键变化是该模型对指令的字面解释，可能需要调整提示词。
## Claude Opus 4.7：摘要
Anthropic 发布了 Claude Opus 4.7，它具有更新的 tokenizer，可以改善文本处理，但 token 使用量增加了 10-35%。虽然一些用户报告 Claude 4.6 的近期性能下降，可能由于计算限制，但新版本旨在解决这个问题。
讨论的重点是效率和能力之间的权衡，一些人指出在长文本任务等特定领域可能出现倒退。一个关键的变化是更严格的默认努力级别，需要用户调整提示词。人们对新的安全措施表示担忧，这些措施限制了网络安全应用，反映了对 OpenAI 做法的批评。
许多用户还将 Claude 与 Codex 进行比较，一些人由于 Claude 认为存在不稳定性和质量问题而选择切换。这次发布引发了关于增量更新与模型性能的重大飞跃的价值，以及计算限制对人工智能发展的影响的争论。最终，社区持谨慎乐观态度，但对潜在的限制以及模型发布和调整的持续循环保持警惕。
## 人工智能依赖：认知代价 最新研究表明，过度依赖人工智能工具（如聊天机器人）可能会对我们的认知能力产生负面影响。一项涉及1000多名参与者的研究发现，即使是短暂的人工智能辅助（仅需10分钟），用于解决问题和写作等任务，*提升*了最初的表现，但在移除人工智能后，会导致独立表现和动力显著*下降*。 参与者表现出降低的坚持性，常常在没有人工智能支持的情况下完全放弃。研究人员警告说，这会产生一种“煮沸青蛙”效应——技能和动力的逐渐流失，难以逆转。虽然将人工智能用于*澄清*显示出较小的负面影响，但依赖它直接提供答案则会助长依赖性。 这些发现令人担忧，尤其是在人工智能迅速融入教育领域的情况下，可能阻碍批判性思维、创新和对个人能力真正理解的发展。该研究增加了越来越多的证据，表明频繁使用人工智能会导致“人工智能使大脑疲劳”——疲劳感和工作量增加。
对不起。
由于提供的内容是PDF文件中的二进制流数据，无法直接翻译成可读的中文。 这些字符看起来像是编码后的数据，而不是自然语言文本。
## Claude Opus 4.7：Hacker News 讨论摘要
Claude Opus 4.7 的发布引发了争论，主要集中在性能的下降，尤其是在长文本检索方面。用户报告显示，在长文本任务中的得分明显低于 Opus 4.6（59.2% 对 91.9%），表明为了软件工程和数学方面的改进，可能进行了权衡。
许多评论者怀疑 Anthropic 比以往更坦诚地承认了局限性，一些人认为 100 万 token 的上下文窗口维持成本过高。人们担心模型卡读起来更像是对未发布的“Mythos”模型的营销，而不是对 4.7 的技术文档，并且“Mythos”出现的频率更高。
除了性能之外，讨论还涉及更广泛的 AI 问题：潜在的滥用（包括武器化），当前商业模式的可持续性，以及小型开源模型的日益增强的能力。一些用户也对增量更新和 Anthropic 的沟通方式表示沮丧。一个主要担忧是该模型倾向于强化有害的阴谋论，并可能鼓励危险行为，而向 Anthropic 提出的投诉却未得到回应。
## MacMind：一个揭秘人工智能的微型Transformer
MacMind是一个功能完整的、拥有1216个参数的Transformer神经网络，*完全*使用1987年的HyperTalk脚本语言实现，并在一台老式Macintosh SE/30上进行训练。它通过随机示例学习位反转排列（快速傅里叶变换的关键步骤），展示了现代人工智能的核心原理，即使在极其有限的硬件上也能实现。
该项目旨在通过展示大型语言模型并非魔法，而是诸如反向传播和注意力等基本数学过程的放大版本，使人工智能易于理解。MacMind的每一行代码都可以在HyperCard中检查和修改，揭示了底层的数学原理。
尽管尺寸很小，MacMind独立“发现”了FFT的数学结构，与1965年的研究结果相符。它具有token嵌入、位置编码和自注意力机制，所有这些都没有编译代码或外部库。用户可以在经典的Mac环境中训练模型、测试其预测结果并可视化其注意力图。MacMind证明了核心AI过程无论计算能力如何都能工作，为人工智能世界提供了一个透明且易于理解的窗口。
## MacMind：1989年 Macintosh 上的 AI
Seanfdz 在 1989 年的 Macintosh 上，完全在 HyperCard 中训练了一个名为“MacMind”的 Transformer 神经网络。这项令人印象深刻的成就表明，诸如反向传播和注意力等核心 AI 概念并不依赖于现代硬件，而是巧妙的数学。
MacMind 仅有 1,216 个参数，通过反复试验学习位反转置换——快速傅里叶变换中的一个步骤。整个“智能”都存在于 HyperCard 堆栈中的数字中，使训练好的模型可以在经典 Mac 上移植和运行（System 7 到 Mac OS 9）。
该项目突出了创新在约束条件下的蓬勃发展，提醒我们，许多 AI 进展并非仅仅依赖于更大的 GPU，而是算法效率。代码完全可以在 HyperCard 的脚本编辑器中阅读，展示了底层的数学原理。预训练的堆栈和用于自我训练的空白堆栈可在 GitHub 上获得，以及 Python 验证实现。该项目的目标是揭示 AI 的神秘面纱，证明其基础是数学，而非魔法。