一名安全研究人员在 Prusa Buddy 固件中发现了 14 个漏洞（约 23 个缺陷），包括通过 Prusa Connect 的远程代码执行链，以及 USB/FAT、G-code、MMU 和 EEPROM 错误。借助 AI 辅助模糊测试和逆向工程，他们在真实硬件上实现了完全控制器接管。Prusa 在 Buddy 固件 >7.0.0 中修复了所有问题并协同披露；CVE 尚未分配。十五款打印机型号（包括 MK4S、MK4、XL、CORE One、MINI）受影响，应进行更新。研究人员称赞 Prusa 响应迅速、合作良好的处理方式——快速验证、诚实的时间线和致谢——并对比其他厂商的糟糕响应。他们还反思 AI 工具让安全研究的深度变得更加民主化，使非专业人士也能发现深层嵌入式漏洞，同时警告不要用低质量的 AI 生成报告淹没开源项目。完整 write-up 和 PoC 代码正在发布，以便给用户时间修补。
每日HackerNews RSS
作者批评 TLS/ACME 的复杂性和频繁的证书续期，认为防止被动窃听并不需要完整的证书颁发机构模型。他们提出“抗议证书”：一种有效且由 CA 签名的证书，其 RSA 公钥模数包含可读消息。文章概述了 RSA 密钥生成以及在保留可用密钥的前提下将文本嵌入模数的方法，指出可能的 base64 对齐问题和安全权衡，包括熵降低以及素数可能过近或私钥指数过小的风险。它还指出续期可通过重新提交 CSR 自动化，并认为现代 TLS 前向保密使这种密钥即使在私钥可能被泄露的情况下也适用于公开网站。
一个 Hacker News 帖子讨论《Horible public key tricks》，一篇探索公钥与证书怪异现象的博客文章。评论者就 TLS 安全性展开辩论，指出未认证会话并不真正安全，中间人攻击者可注入内容或广告。其他人批评苹果的公证费用与 SIP 限制。Web PKI 与浏览器信任库因剥夺用户对信任决策的自主权而受指责。Let's Encrypt 的 ACME 流程被认为繁琐，但优于过去昂贵的证书。有人建议在证书透明度日志中嵌入数据。CA 的弱密钥检查与 eMudhra 事件也被提及。文章中大量拼写错误引发关于故意体现人类作者的猜测。整体而言，该帖子涵盖 PKI 缺陷、中心化与安全权衡。
卡尔·帕特森·施密特是芝加哥菲尔德博物馆的著名爬虫学家和馆员，1957年9月26日在辨识一条boomslang蛇时被咬伤后去世。他没有寻求治疗，而是详细记录了自己的症状，最终死于呼吸麻痹。专家认为他可能没有意识到这次咬伤致命，而且当时美国没有boomslang抗毒血清。除了他骇人听闻的死因，施密特的遗产还包括将博物馆的爬虫学藏品从8000件扩展到50000件，命名200多个亚种，推进动物地理区域研究，并发现Dunn's earth snake等独特物种。他的贡献在菲尔德博物馆继续受到纪念。
Hacker News 上的一个帖子链接到 CBS 的一篇文章，内容是一位著名科学家被蛇咬致死、并记录在日记中的事。评论者争论医院治疗或抗蛇毒血清是否可能有帮助，指出 1957 年的抗蛇毒血清有限，尤其是针对异域非洲蛇，而其他人认为他或许仍有生还机会。帖子还包含旁支讨论：一些游蛇科蛇类（包括束带蛇）有轻微毒性的唾液；后牙/毒牙的机制；以及某评论者冒险进行的蓝瓶水母自实验，并警告可能留下永久疤痕。总体而言，它混合了医学推测、爬虫学事实和个人轶事。
一位叔叔用Claude Fable 5.2一次性完成了侄子Aiden梦想中的清版动作游戏。它生成了一款有趣的12关、18名角色、支持4人游玩的游戏，包含过场动画、美术、音频和测试。6月的早期版本表现较弱，但Fable 5.2生成了好得多的结果，大约使用了175张图片和140段音频，并进行了自动化试玩测试。家庭试玩过程中增加了特殊技能、可解锁的亲属与宠物，以及最终救出化为天使的曾祖母。该项目使用了约3.4亿个token。里程碑：AI如今可以制作完整、有趣的多关卡游戏。
一篇 Hacker News 帖子描述了一位叔叔使用 Fable 5.2，从侄子的画作中一次性生成了一款可玩的清版动作游戏，消耗了约 300 美元的 token。游戏包含以家庭为主题的主角、敌人、Boss、美术、音乐和网页版。评论者讨论 AI 丰裕是否会贬低创意工作和共同体验，一次性生成是否像声称的那样容易，以及 AI 生成游戏的质量。一些人称赞这是令人难忘的礼物和新的创作工具；另一些人批评其千篇一律的 AI 美术、漏洞、薄弱的游戏设计，并担心孩子把努力外包出去。帖子还涉及定价、token 用量、模型比较，以及什么算“制作”游戏的标准正在变化。
请启用JS并禁用任何广告拦截器
Exact 是一个 pre-1.0 跨平台运行时：UI 使用 Contract 编写，数据逻辑使用 TypeScript 或 Rust 编写；编译器烘焙出紧凑的计划。Web 使用约 20 KB 的运行时和真实 DOM；macOS、iOS 和 Linux 使用带有原生渲染（AppKit、UIKit 或 GPU）的 Rust runner/layout kernel，无 webview 或 JavaScript 桥接。一份源代码可运行于 Web、macOS、iOS 和 Linux。AI 代理可通过 `scripts/agent.mjs` 使用十种操作构建、运行、检查和测试应用；Contract 测试在不同主机上运行不变。它强调速度预算、首像素前无 JavaScript 以及能力的惰性加载。呈现默认遵循平台惯例，布局和命名使用 CSS；Web 是奇偶校验 oracle。它支持许多应用和功能，Windows 和 Android 仍为部分支持，某些能力被有意省略。设置需要 Rust、Bun、Chrome、Xcode 和固定的 Hermes bundle。Exact 每日变化，无 API 稳定性。
Exact 是 Expo 的新跨平台 UI 框架：界面使用“Contract” DSL 编写，逻辑用 TypeScript 或 Rust 实现，并编译为紧凑的 plan。Hacker News 上的讨论褒贬不一。支持者提到 Expo 的经验、面向 agent 的工具链（agent 可检查、测试并控制 UI 时序），以及减少 Electron 式臃肿的潜力。批评者认为 README 过于“Claude speak”，质疑其架构，指出代码密集或类似压缩，还批评早期 alpha 缺少 Windows 和 Android 支持。评论者将其与 JSX/TSX、WPF/XAML、QML、Slint、Flutter 和 Qt 比较；讨论 JSX 的优势与局限；并讨论 Slint 的许可。一些人担心过度依赖 LLM 和糟糕的人类 DX，而另一些人认为 agent-first 功能也能帮助人类，且缺失平台已在路线图中。总体来看，它被视为雄心勃勃但尚早，生产就绪性不确定。
SSH2 远程代码执行 ssh2RCE
2 天前
本文档是一份讽刺性"通告"，声称经认证的SSH远程命令执行是严重漏洞。实际上，它描述的是SSH的预期行为：拥有有效凭据的用户连接到22端口，进行认证，并以该账户的权限运行命令，输出结果被返回。它将许多OpenSSH版本列为"受影响"，但该行为由RFC 4254规定，已存在数十年。安全控制记录成功是因为使用了有效凭据，而非任何控制失效。概念验证使用的是普通SSH命令。夸大的CVSS评分、"不会修复"状态和待定CVE都是玩笑的一部分。最后一节明确指出不存在真实漏洞，无需补丁，远程命令执行是SSH的设计目的。总之：这不是零日漏洞或缺陷，而是正常的、经授权的SSH功能。
标题为“ssh2RCE”的Hacker News帖子通过将SSH的正常功能——使用有效凭证执行命令——呈现为一个CVSS评分22/10（不可能）的严重漏洞来讽刺安全公告。评论者很快识破了玩笑，指出认证后的命令执行是SSH的预期用途，同时还有人分享了terminal2shell等相关链接。作者确认这是作为玩笑设计的讽刺内容，但担心有人可能误解；他们移除了夸张的配置更改（如setuid bash、root登录）以避免混淆。反应从 amused 到担心非技术经理（CISO）可能恐慌不等，还有人开玩笑说改用telnet，以及 playful 的telnet蜜罐演示。总体而言，该帖突出显示了讽刺性安全内容多么容易被误认为真实威胁。
近期联邦裁员涉及健康、安全、教育、移民、税务和气象机构。疾病控制与预防中心裁减约2400名员工，包括彻底取消国家职业安全与健康研究所及其他中心；卫生与公众服务部还裁减了儿童与家庭管理局、老年人与残疾人管理局及能源援助人员。国土安全部取消了民权办公室和监察员办公室。国税局计划大幅裁员，影响税收合规与收入。教育部裁减了民权与研究人员。国家卫生研究院、食品药物管理局和国家海洋和大气管理局也出现裁员，社会保障署计划裁员7000人。服务于儿童、老年人、移民、工人、患者和低收入家庭的项目面临监管、研究、客户服务和公共卫生保护的削弱。影响包括HIV/慢性病和职业安全服务减少、幼儿教育/儿童保育中断、移民案件延迟、税务延误、教育研究缺口、天气预报能力减弱以及潜在的社会保障积压。
一个 Hacker News 帖子讨论了 DOGE 和政府项目削减。一位评论者主张由一个独立组织发布关于政府效力的客观数据，称党派宣传而非数据塑造了人们的信念。另一位评论者问这是否指的是国会预算办公室。一位评论者说 DOGE 被严重夸大，指出 Elon Musk 关于平衡预算的主张在数字上不可信且并未发生。另一位评论者重申需要客观的第三方数据。一位评论者质疑“人员裁减总是危害社会”这一想法；另一位回应说从未作出这种普遍性主张，并称这种推断不合逻辑。最后一位评论者将此事界定为违宪地掏空行政国家。总体而言，评论者就客观证据的必要性、对 DOGE 主张的怀疑，以及削减是否有害或违宪展开辩论。
学习路径徽章：磁铁追踪器 为什么每个关节电机都需要磁铁、磁铁由什么制成，以及是谁制造了几乎所有的磁铁。它包括7个简短步骤，从“最强磁铁”到“今日出口管制”，每一步都有快速测验。每一步都会打开相关工具，因此你将在真实事物上学习。更新于 2026年10月29日
一篇关于磁铁和稀土的 HN 讨论指出，铁氮化物磁体声称的矫顽力后来被证明低于钕磁体，并且易受氧腐蚀。它还指出，美国军方偏好钴钐稀土磁体，因为它们不含铁磁性金属，能在潮湿或盐水环境中抗腐蚀，并耐高温，尽管比钕磁体更弱。一名评论者问，铁氮化物磁体更高的理论强度是否能在尽管更容易退磁的情况下用于竞技伺服。
Hacker News 上的一个讨论串讨论了一篇 Reddit 帖子，该帖声称在实施 100% AI 编程强制要求一年后，没有人理解代码库。评论者争论该帖是否真实或由 AI 生成，并质疑 Pangram 等 AI 检测工具。许多人表示，AI 重度工作流提高了产出，但侵蚀了开发者理解、学习和代码质量，造成技术债。另一些人认为 AI 对小任务有用，但作为强制要求很危险，且管理激励倾向于速度和指标而非可维护性。有人指出这些问题在 AI 之前就存在，而另一些人强调公司而非工人从更快的生产中受益。该讨论还涉及倦怠、上下文切换、供应商锁定，以及等待更好的 AI 模型是否比早期采用更明智。总体而言，它反映了对强制 AI 采用的怀疑，以及失去人类对代码理解的代价。