Truffle Security 最近对 AI 训练数据进行了史上最大规模的机密扫描，分析了 Hugging Face 上 1.87 亿个文件，总计 7.6 PB 的数据。研究人员在 6,003 个数据集中发现了 **221,303 个唯一、有效且经核实的凭据**。 这些泄露的机密包括： * **供应链风险**：GitHub 和 Docker 令牌，可被用于将恶意代码推送到数百万人使用的软件中。 * **基础设施访问权限**：数千个 GCP 服务账号密钥、AWS S3 存储桶以及活跃的数据库登录凭据。 * **AI 提供商密钥**：数千个 OpenAI、Anthropic 及其他 AI 提供商的密钥，潜在导致每月近 100 万美元未经授权的推理成本。 * **通信访问权限**：Slack 和 Mailgun 令牌，可能被用于冒充他人。 研究人员发现，这些泄露通常是“机械性”的，因为从上游来源（如 GitHub 或网络）抓取的机密会被复制到大量衍生数据集中。由于训练数据具有持久性和广泛分发的特性，即便原始来源已得到保护，这些密钥依然存在风险。 Truffle Security 正与 Hugging Face 合作以降低这些风险。他们给开发人员和 AI 实验室的核心建议是：**立即轮换受损密钥**，并在发布或进行训练之前扫描所有语料库中的机密信息。
每日HackerNews RSS
扫描 7.6 PB 的 HuggingFace 训练数据以查找机密信息 Scanning 7.6 Petabytes of HuggingFace Training Data for Secrets
2 天前
这篇 Hacker News 帖子讨论了 Truffle Security 发布的一份名为《扫描 7.6 PB HuggingFace 训练数据以查找密钥》的报告。该报告详细介绍了在用于训练 AI 模型的大规模数据集中发现实时、高风险凭据的情况。
虽然其技术发现被认为具有重要意义，但讨论很快转向了对报告写作风格的批评。许多评论者表达了对“Claude 风格”文笔的不满，其特点是重复的“卡片式”结构、篇幅冗长以及缺乏人情味。用户认为，依赖 AI 生成技术报告会导致内容臃肿、缺乏个性，且缺少传统技术写作应有的技巧与严谨性。另一些人则指出，报告在描述数据规模时使用了不必要且令人困惑的比喻。
最终，大家的共识是：尽管这项安全研究很有价值，但其呈现方式受到了当前过度依赖大语言模型起草文档这一趋势的影响，从而降低了基础调查的质量和可读性。
这是一个关于“吉姆”的故事。他是一个野心勃勃却鲁莽冒进的熟人，凭借超凡的魅力和社交能力，从一名挣扎在编程训练营的学生摇身一变，成为了硅谷的“风云人物”。起初，吉姆的职业轨迹极其耀眼；尽管缺乏深厚的技术功底，但他利用自己的个性赢得了高薪职位，并最终进入了 Y Combinator。 然而，吉姆的迅速成功引发了一个毁灭性的恶性循环：生活方式的奢靡、药物滥用以及行为失控。在一系列创业失败和公开崩溃之后，他耗尽了资源和人际关系，最终从科技圈彻底销声匿迹。 将吉姆那“倒抛物线”般的职业路径与作者自身稳健、线性的成长轨迹进行对比后，作者得出结论：吉姆是一个典型，是硅谷那种不断消耗野心家们的产业流水线下的产物。虽然吉姆的崛起令人瞩目，但他不可避免的崩盘也是一个警示。最终，作者意识到，在瞬息万变的创业世界里，“稳扎稳打”不仅更具可持续性，而且在绝大多数情况下，其实是通往真正成功的捷径。
此仓库 ▢episko 仓库本身 · mainclean 工作树 ⑃feat/attn-jumpworktree · 1 个会话3 个脏文件 ⑃feat/session-authworktreeclean 分支 ⎇release/0.9从分支创建新工作树 ＋创建“hotfix/…”从 main 创建新分支 工作树 ~/dev/episko-attn-jump 分支feat/attn-jump HEADa1c9f04 · Tim · 2 小时前连接 jumpToAttention() 工作树3 个文件未提交 会话添加 attention 快捷方式 在此处启动会话移除工作树…
抱歉。
拒绝访问。您没有权限在此服务器上访问“http://www.dailymail.com/news/article-16021741/flee-Americans-nine-countries-US-embassies-Iran-war.html”。引用编号 #18.eeb1cb8.1785618229.45ce460e https://errors.edgesuite.net/18.eeb1cb8.1785618229.45ce460e
抱歉。
Hacker News 上的讨论凸显了数字游戏带来的便利性与消费者所有权逐渐丧失之间的紧张关系。尽管索尼放弃实体光盘的举措引发了强烈抵制，但许多评论者指出，光盘早已成了“徒有其表的仪式”——它们往往需要强制性的在线补丁或验证，这意味着光盘已不再能保证离线状态下的长期可玩性。
该讨论串揭示了一个根本性的转变：游戏已从一种孤立、封闭的体验，转变为与厂商之间的“持续性关系”。纯数字发行让企业得以行使完全的控制权，将游戏变成了可随时撤销的授权，而非消费者的个人财产。
一些人认为，是玩家自身为了追求便利而纵容了这种趋势；另一些人则坚持认为这是一个“权利”问题。当前模式的批评者担心未来会出现“代际失忆”，即用户将有条件的访问权限视为理所当然。资料保存倡导者则认为，由于行业与法律保护的缺失，消费者的自由目前在很大程度上依赖于“非正规”手段——例如硬件改装、盗版和模拟器——以确保在厂商关闭服务器后，游戏依然能够运行。归根结底，人们达成了一个共识：实体媒介的消亡，其核心问题不在于光盘本身，而在于我们对所购买软件的自主权正在丧失。
炊具质量为何有意变差：Pyrex 和 All-Clad 现在归谁所有 Cookware Got Worse on Purpose: Who Owns Pyrex and All-Clad Now
2 天前
本摘要探讨了厨具行业质量下滑的现状，其背后驱动因素是那些将品牌名声置于产品完整性之上的私募股权公司和大型企业集团。 诸如 All-Clad、Pyrex 和 Farberware 等曾经声名卓著的品牌，如今都遭受了“劣质化”的侵蚀——即所有权变更导致削减成本、生产外包以及抛弃高质量工程设计的过程。值得注意的是，像 Centre Lane Partners 和 Lifetime Brands 这样的公司往往会掏空老牌企业，变卖工厂并将生产转移至海外的低成本设施，同时却依然利用品牌剩余价值收取高昂溢价。 一些较新的“直接面向消费者”（DTC）品牌往往依赖庞大的营销预算而非优质材料，并频繁利用关于健康的恐惧营销来兜售寿命短暂的陶瓷锅具。 为了在这样的市场中做出明智选择，作者提出了四条原则： 1. **调研所有者，** 而不仅仅是看品牌名称。 2. **参考保修条款，** 这通常是产品实际寿命的真实预估。 3. **优先选择裸金属材质**（铸铁、碳钢、不锈钢），以避免不粘涂层必然会失效的问题。 4. **避开“全能型”品牌，** 因为它们通常只是虚有其表的贴牌授权商。 归根结底，最优质的产品依然来自那些由独立人士、创始者或家族经营的企业，因为他们将产品的持久性置于快速的财务套现之上。
对不起。
Diátaxis Diátaxis
2 天前
Diátaxis 是一个用于技术文档的系统化框架，旨在使内容创作与特定的用户需求保持一致。该方法论源自古希腊语中的“安排”一词，将文档组织为四种不同的形式：教程、操作指南、技术参考和解释。
通过根据用户意图对内容进行分类，Diátaxis 为解决文档内容、风格和架构方面的常见挑战提供了一个清晰、轻量级的结构。它旨在做到直观且灵活，为维护者提供了一致的质量准则，从而改善读者的体验并优化贡献者的工作流程。
Diátaxis 在业界得到了广泛采用，并在 Vonage、Gatsby 和 Cloudflare 等公司得到了成功应用，它为信息架构提供了可靠的“北极星”指引。它简化了开发者的决策过程，确保信息组织逻辑清晰且易于查找，最终构建出一个更高效、更可持续的文档生态系统。
**Diátaxis 框架**是一种流行的技术文档系统化方法，将所有内容分为四种不同类型：**教程**（以学习为导向）、**操作指南**（以问题为导向）、**参考资料**（以信息为导向）和**解释说明**（以理解为导向）。
Hacker News 上的讨论显示，该框架受到了广泛的好评。许多从业者认为，这是一种构建复杂代码库并提高连贯性的有效方式。用户反映，该框架为不同文档页面的“语调”和意图提供了必要的清晰度。它作为一种有效的提示词，也越来越受青睐，用于引导大语言模型生成结构化的初稿文档。
然而，该框架也并非没有批评者。一些人认为这可能导致“过度分类”，可能会将关键信息隐藏在额外的点击之后，例如将 API 文档隐藏在“参考资料”标签下。另一些人则认为，这只是一种抽象概念，并不能总是解决维护最新内容的实际挑战。尽管有这些批评，许多开发者仍将其视为组织技术知识的宝贵工具，并常将其与架构决策记录（ADR）和 C4 模型等方法结合使用，以创建一个全面的文档生态系统。创建者 Daniele Procida 仍在不断完善该项目，包括持续努力通过翻译来扩大其影响力。
这份摘要详细介绍了尼尔·霍珀（Neil Hopper）令人震惊的案件。他曾是一位备受赞誉的英国国家医疗服务体系（NHS）血管外科医生，因作为“仿生”截肢者而成为媒体宠儿，后被揭露为骗子。 在自残导致双腿截肢后，霍珀谎称截肢是由于败血症所致，并因其所谓的“坚韧”而声名鹊起。然而，他最终因保险欺诈和持有极端、虐待性的色情制品而被判入狱。调查显示，霍珀是一个沉迷于人体残害的边缘群体的成员。 这一真相的曝光令其前病人感到不安，例如其母亲在接受霍珀手术后去世的费伊·哈里森（Faye Harrison），以及手术出现并发症的大卫·帕克（David Parker）。他们质疑自己所受的护理是否受到了霍珀堕落个人癖好的影响。尽管皇家康沃尔医院NHS信托基金坚持认为其内部审查未发现任何损害病人的证据，但受害者家属和法律专家认为这些“内部”审查不够充分，且缺乏独立性。霍珀此后已被取消医生注册资格。对受害者而言，主要的创伤仍在于“无法得知真相”——那种挥之不去的疑虑：一位从人类苦难中获取性快感的医生，是否曾利用其职权来满足自己黑暗的冲动。
费米悖论 Fermi Paradox
2 天前
**费米悖论**描述了这样一个矛盾：考虑到宇宙中存在大量的恒星和潜在的宜居行星，地外文明存在的概率在统计学上极高，但我们却完全没有发现其存在的证据。
这一术语源于 1950 年的一次午餐谈话，物理学家恩里科·费米提出了那个著名的问题：“大家都在哪儿呢？”此后，科学家们提出了各种解释，包括智能生命极其罕见或寿命短暂，以及星际旅行在物理上不可行等观点。
其他理论认为，文明可能为了避免被发现而有意保持“沉默”；或者是我们观察宇宙的时间还不够长，不足以发现它们；又或者是存在某种“大过滤器”——即阻碍复杂空间文明发展的障碍——阻止了它们的扩张。尽管科学家们通过射电望远镜进行了广泛的搜索，试图探测行星级人造天体（如戴森球），并运用德雷克公式建立了数学框架，但至今仍未发现外星生命存在的确凿证据。归根结底，这一悖论仍然是天体生物学中的一个根本性挑战，迫使研究人员去调和宇宙的浩瀚规模与我们目前所观察到的“孤独”现状。
抱歉。
2026年7月30日，美国网络安全和基础设施安全局（CISA）发布紧急警报，指出针对水利和污水处理系统（WWS）领域暴露在互联网上的可编程逻辑控制器（PLC）的威胁活动有所增加。攻击者通过修改密码将操作员锁定，并通过更改IP地址使设备失效，从而导致严重的运营中断，包括发布沸水警报。
CISA强调，蜂窝调制解调器是一个关键且常被忽视的安全盲点。他们强烈建议运营方将PLC与公共互联网断开连接，使用VPN或安全网关进行远程访问，并强制执行严格的密码管理和IP白名单策略。
Censys对受影响供应商当前面向互联网的设备占用情况进行了分析：
* **罗克韦尔自动化（Rockwell Automation）/ Allen-Bradley：** 4,148台主机（主要在美国；59%通过蜂窝运营商连接）。
* **西门子（Siemens）SIMATIC S7-1200：** 4,117台主机（高度集中在南欧和中欧，多通过移动运营商连接）。
* **施耐德电气（Schneider Electric）：** 2,072台主机（供应商范围；集中在土耳其和澳大利亚）。
虽然这些暴露数据描述了当前的概况，但并不证实存在主动攻击。敦促业主立即审计其基础设施，特别是未记录的蜂窝连接，以降低这些风险。
此次 Hacker News 的讨论聚焦于美国网络安全与基础设施安全局（CISA）近期发出的一项警报，该警报指出美国水务领域有超过 4,000 台罗克韦尔自动化（Rockwell Automation）的 PLC（可编程逻辑控制器）直接暴露在互联网上。由于技术陈旧、使用默认密码以及直接暴露于公网，这些关键系统正面临严重的安全威胁。
讨论反映出各方在如何应对这些系统性风险上存在巨大分歧：
* **技术鸿沟：** 专家指出，运营技术（OT）面临独特挑战，例如许多遗留设备无法轻易修补或更换，否则可能导致基础设施瘫痪。
* **系统性疏忽：** 参与者认为，公用事业运营商往往依赖“价低者得”的承包商，这些承包商通常更看重短期项目而非长期安全。此外，网络安全专业知识的匮乏和责任落实不到位也加剧了这一问题。
* **监管辩论：** 关于责任归属存在强烈争议。一些人认为，鉴于水务系统属于国家关键基础设施，联邦政府必须强制执行安全标准并加强监管。另一些人则认为，由于美国拥有超过 15 万家资源匮乏的小型公用事业机构，集中化的联邦管控并不切实际，他们认为地方问责制和组织文化才是保障现代公用事业安全的真正瓶颈。