ReasonGate 是一款可解释的、模型无关的安全网关，旨在保护大语言模型（LLM）应用免受提示词注入、间接攻击和数据泄露的威胁。与仅提供简单通过/失败分数的“黑盒”过滤器不同，ReasonGate 为每一项决策提供透明且可审计的证据，使其适用于安全团队及满足合规性要求。
该系统采用多层防御架构，包括：
* **标准化：** 消除零宽字符和同形异义字等欺骗性干扰。
* **注入检测：** 使用基于模式的规则和机器学习驱动的分类技术。
* **间接/RAG 扫描：** 在检索到的数据和工具输出到达模型之前进行检查。
* **泄露/金丝雀监控：** 监控输出内容，防止敏感数据和系统提示词泄露。
ReasonGate 拥有高性能、零依赖的 Python 核心，可在隔离环境中运行，并提供可选的企业级机器学习检测附加组件。每一次决策都会生成机器可读的审计记录，详细说明触发该操作的具体信号。作为“深度防御”层，ReasonGate 允许开发人员强制执行安全不变性，而无需依赖 LLM 内部的安全训练，从而帮助团队自信地交付安全、可投入生产的 AI 智能体。
每日HackerNews RSS
Hacker News 社区近期对旨在拦截大语言模型（LLM）提示词注入攻击的工具“ReasonGate”提出了批评。该项目通过正则表达式列表来过滤用户输入，引发了开发者的广泛质疑。
以人工智能研究员 Simon Willison 为首的批评者指出，基于正则表达式的过滤方法从根本上不足以应对潜在的各种提示词注入攻击。由于大语言模型能够解析多种语言、编码和对抗性后缀，静态模式匹配（作者承认其召回率仅为 76%–96%）无法提供可靠的防护。
评论者指出，该工具很容易被简单的输入绕过，一位用户甚至表示自己通过基础的命令行式提示词注入成功欺骗了模型。许多贡献者认为，试图过滤“不可信”输入的方法本身就是错误的，因为用户输入和系统指令在同一通道内是混合在一起的。最终，精通技术的评论者们一致认为，此类工具属于“劣质软件”而非可靠的安全解决方案，并指出目前针对提示词注入的真正防御手段在人工智能架构中仍是一个未解难题。
这是《强化学习小书》（Little Book of Reinforcement Learning）的 GitHub 页面。本书是对强化学习的简要介绍，涵盖从基础知识到应用算法的内容。在这个仓库中，除了书本身，你还可以找到配套资料。具体如下：在 `algos/` 文件夹下，包含书中涵盖的从 MC 到 PPO 等不同算法的 PyTorch 实现；在 `supplementary/` 文件夹下，包含对书中简要提到的动态规划算法的详细解释和严谨证明。这是我于 2021 年编写的文档。未来该仓库还将持续补充更多资料。你可以在此处打印一份。本书版本信息：本书采用非商业性知识共享许可协议（CC BY-SA 4.0）发布。
Hacker News 社区正在讨论 alxndrtl 所著的《强化学习小书》（The Little Book of Reinforcement Learning）。一些用户认为它可能是一本有益的入门读物，或许可以作为 Nathan Lambert 的《RLHF 之书》（RLHF Book）的前导，但也有人提出了批评意见。
技术层面的批评者认为，该书缺乏必要的信息论基础，特别是在置信域方法的推导和奖励的概念化方面。另一些人则将当前的强化学习模型与生物的操作性行为进行对比，质疑这些人工智能系统是否充分复制了现实生物中那种微妙的、基于振荡的变异性。
讨论帖中还有很大一部分内容围绕书名展开：用户们在争论“小书”（Little Book）这一命名究竟是在向《小施米尔》（The Little Schemer）和《深度学习小书》（The Little Book of Deep Learning）等经典技术系列致敬，还是一种通用的出版惯例。
arXivLabs 是一个允许合作者直接在我们的网站上开发并分享 arXiv 新功能的框架。与 arXivLabs 合作的个人和组织都认同并接受我们对开放、社区、卓越和用户数据隐私的重视。arXiv 致力于秉持这些价值观，且仅与遵守这些价值观的合作伙伴开展合作。您是否有能为 arXiv 社区增值的项目想法？了解更多关于 arXivLabs 的信息。
关于“Ring-Zero：将零样本强化学习扩展至万亿参数”的 Hacker News 讨论，凸显了围绕当前大语言模型（LLM）研究路径的深刻怀疑与争议。
批评者质疑该论文的方法论，特别是指责其依赖“LLM 作为评判者”的验证框架，认为这些方法存在循环论证和产生错误的风险。另一些人则批评使用知识蒸馏作为性能代理的极端计算效率低下，并指出这种资源密集型的方法对大多数研究者而言是遥不可及的。
讨论帖的一个主要议题是万亿参数模型巨大的能源需求与人脑效率之间的比较。尽管一些参与者对规模化带来的环境和经济成本表示担忧，但支持者认为这种发展是早期技术演进中的必要阶段。他们将其与计算历史进行类比，认为早期的低效率是未来实现突破的标准前奏。最后，一些评论者观察到，这些庞大的模型正趋向于“活跃层”和稀疏化，这可能与人脑突触脉冲的生物学效率不谋而合。
Mojibake 是一个轻量级、高性能的 Unicode 处理库，采用 C11 编写并兼容 C++17。该库以 MIT 协议开源，旨在提供易用性与可移植性，仅由两个文件（`mojibake.c` 和 `mojibake.h`）组成，且没有任何外部依赖。 该库实现了完整的 Unicode 标准算法，包括规范化（NFC/NFD/NFKC/NFKD）、大小写转换、分段（字位、词、句、断行）、双向文本（Bidi）以及排序规则。它还具备用于文本分析、Emoji 序列检测、显示宽度计算以及侧重于安全性的标识符/混淆字符验证的强大工具。 Mojibake 支持多种编码（UTF-8/16/32），提供可自定义的内存分配，并包含构建时功能标志以最小化二进制体积。它通过了官方 Unicode 一致性测试套件的严格测试，并使用 libFuzzer 进行了模糊测试，确保了可靠性与安全性。凭借跨平台兼容性（包括 WASM 和 TypeScript 支持），Mojibake 为需要在 C 或 C++ 项目中进行可靠 Unicode 处理的开发者提供了一个全面、自包含的解决方案。
“Mojibake”是一个新型轻量级 C 语言 Unicode 库，旨在作为现有解决方案的替代方案。该项目仅包含两个文件——`mojibake.h` 和 `mojibake.c`，实现了必要的 Unicode 算法，包括规范化、大小写转换、分段、双向文本、整理和易混淆字符处理。
该库支持跨平台，已在 Linux、macOS、Windows 11 和 BSD 系列系统上通过验证测试。用户可以通过基于 WASM 的在线演示进行探索，其中展示了公共 API 和文档。开发者欢迎社区通过项目的 GitHub 仓库进行贡献和参与。
研究人员在刚果民主共和国的洛马米国家公园（Lomami National Park）发现了一种名为“Likweli”（学名：*Colobus congoensis*）的稀有灵长类新物种。这种猴子于 2018 年至 2022 年间被观察到，因栖息于茂密的森林树冠高处，极难被发现。 Likweli 与其近缘物种撒旦疣猴（*Colobus satanas*）在身体特征、骨骼结构、发声方式和基因差异上均有不同，代表了一个约在 470 万至 580 万年前分化出来的独立支系。尽管该物种拥有悠久的进化史，但当地人对其知之甚少，这也印证了它是一种隐蔽性极强的动物。 由于种群数量稀少、地理分布范围有限，加之受到狩猎和栖息地被侵占的威胁，研究人员正式建议将其列为“濒危”物种。这一发现彰显了该地区丰富的生物多样性，并强调了在洛马米国家公园持续开展保护工作、以守护此类稀有物种的紧迫性。
研究人员在刚果盆地发现了一个新的猴子物种——“Likweli”。这一发现之所以引人注目，是因为它依赖于当地的生态知识；八个村庄的居民对该动物提供了准确的描述，这加强了研究人员认为 Likweli 是一个独特的、隐蔽物种的判断。Hacker News 上的一项讨论强调了这种当地专业知识的重要性，因为土著居民往往对周围的动植物拥有复杂且长期的认知。
作者对现代软件行业质量的下滑深感沮丧，起因是一次糟糕的 MINI Countryman 更新（03/2026.54）导致 Android Auto 和 CarPlay 无法使用。这一事件成为了作者对“快速部署”开发周期的全面批判的导火索：在这一模式下，“两周冲刺”和“以后再修”的心态取代了卓越的工程标准。
作者认为，车辆和关键系统被视为肤浅、可修补的产品，而非复杂的架构，这迫使用户沦为无偿且沮丧的测试人员。此外，这种批评还延伸到了“合规敲诈”——诸如 Cyber Essentials Plus 之类的强制更新周期，往往将官僚主义的勾选框置于实际安全性之上，反而导致了性能倒退和系统不稳定。
作者以微软修复 Windows 11 臃肿代码库的长期困境为例，呼吁结束这种低劣更新的“无尽仓鼠轮”。最终，这篇文章是对整个科技行业的控诉；作者在承认自己也有所牵连的同时，敦促行业回归初心，将可靠性、工匠精神和软件质量置于当前的平庸循环之上。
最近 Hacker News 上的一场讨论因一起汽车 Android Auto 更新故障而引发，凸显了关于车载软件集成的持续争议。
讨论主要围绕两种对立的观点展开。一些人认为，依赖 Android Auto 和 Apple CarPlay 等第三方集成是车企为掩盖其糟糕的专有软件开发能力而采取的削减成本措施，甚至有人建议制造商应彻底禁用这些系统，转而开发更好的自有解决方案。
相反，许多用户强烈捍卫基于智能手机的界面，认为它们比汽车制造商生产的那些往往陈旧、过度收集数据或被订阅机制锁定的系统更加好用且可靠。
讨论还延伸到了人工智能在软件开发中的作用。虽然一些参与者推测人工智能最终将解决汽车软件的困境，但另一些人则认为这种想法很天真，并指出人工智能无法取代安全关键系统所必需的严格维护和可靠性。归根结底，这个讨论反映了人们对汽车行业在平衡用户便利性、软件稳定性和企业控制权方面所面临的困境感到深切不满。
2026年7月16日，美国网络安全与基础设施安全局（CISA）将 **CVE-2026-25089** 加入其已知被利用漏洞（KEV）目录。该漏洞为 Fortinet FortiSandbox 中的一项严重（CVSS 评分为 9.8）操作系统命令注入漏洞，目前已被积极利用。未经身份验证的远程攻击者可利用 Web 界面中的“启动 VNC”（start VNC）功能执行任意命令。 这是自 2026 年 6 月中旬以来，FortiSandbox 被在野利用的第三个漏洞（此前还有 **CVE-2026-39808** 和 **CVE-2026-39813**）。由于 FortiSandbox 为其他集成的 Fortinet 产品（如 FortiGate、FortiMail）提供威胁情报，因此一旦该设备被攻破，可能会破坏整个组织的安全基础设施。 **建议措施：** * **立即修补：** 升级至 FortiSandbox 4.4.9+ 或 5.0.6+ 版本。使用 4.2 版本的用户应联系 Fortinet 获取迁移指导。 * **限制访问：** 确保 Web 管理界面（443 端口）不对互联网开放；限制访问权限至安全的管理 VLAN 或跳转主机。 * **审计与排查：** 检查集成日志是否存在异常行为，并确保系统已修复 2026 年 4 月发现的相关两个漏洞。 * **验证完整性：** 监控是否存在未经授权的账户创建、配置更改或可疑的出站流量。
```
Hacker News 最新 | 往期 | 评论 | 提问 | 展示 | 工作 | 投稿 登录
CVE-2026-25089：FortiSandbox 未经身份验证的命令注入漏洞已被加入 CISA KEV 列表 (hellorecon.com)
15 分，由 slvnx 发布于 2 小时前 | 隐藏 | 往期 | 收藏 | 讨论 帮助
考虑申请 YC 2026 年秋季批次！申请截止日期为 7 月 27 日。
指南 | 常见问题 | 列表 | API | 安全 | 法律 | 申请 YC | 联系
搜索：
```
这是一种印象，但完全建立在数据之上。一切皆非刻意安排：每场比赛都是由大约 1,500 个记录事件重建而成——包括每一次触球、传球、射门和红黄牌。——关于“比赛”项目
```Hacker News新帖 | 过往 | 评论 | 提问 | 展示 | 招聘 | 提交登录2026年国际足联世界杯数据画像 (bogachev.fr)5分 由 sebg 9分钟前发布 | 隐藏 | 过往 | 收藏 | 1条评论 帮助
twilo 2分钟前 [–]
很棒，但没声音是怎么回事？回复
考虑申请 YC 2026年秋季批次！申请截止日期为7月27日。
准则 | 常见问题 | 列表 | API | 安全 | 法律 | 申请 YC | 联系
搜索： ```
请提供您需要翻译的内容。
Kickstage 发布了 **BambooGrid**，这是一款开源的网页端工具，旨在简化电网建模和潮流分析。该工具专为弥补电气行业新工程师的知识缺口而设计，通过直观的拖拽式可视化界面，取代了繁琐的 Jupyter Notebook 模拟。
BambooGrid 基于 React 前端和 Python 后端（利用 `pandapower` 库）构建，允许用户在无限画布上布置母线、线路、负荷和发电机。它提供实时潮流计算结果、电压水平可视化，并支持交互式导纳矩阵。该项目采用 MIT 协议开源，旨在兼顾教学资源与功能性模拟工具的双重用途。
用户无需安装，可直接在浏览器中访问 [bamboo.kickstage.com](https://bamboo.kickstage.com) 体验该软件。开发团队正积极寻求社区反馈，以不断完善功能，帮助用户深入理解电力系统。
保留您现有的浏览器自动化测试。当测试失败时，Libretto 会自动分析实时页面，并提交一个包含代码修复建议的 GitHub Pull Request。 OpenLibretto 自动修复 Playwright 错误 libretto-agent 想要将 1 个提交合并到 main 分支 workflows/book-appointment.ts - await page.locator('input[name="username"]').fill(login); + await page.locator('input[name="login"]').fill(login); 经检查实时页面确认，登录字段的名称为 name="login"。
Libretto PR Agent 是一个全新的开源 TypeScript 库，旨在自动化维护现有的 Playwright 浏览器脚本。Libretto 无需开发者迁移到复杂的 AI 驱动浏览器框架，只需一行代码即可集成到当前的工作流程中。
当 Playwright 脚本运行失败时，该代理会利用浏览器的 CDP（Chrome DevTools Protocol）会话检查错误、分析页面，并自动生成包含修复建议的 GitHub 合并请求（Pull Request）。
主要功能包括：
* **非侵入式：** 无需重写框架，即可与现有代码库兼容。
* **确定性：** 在保持硬编码 Playwright 脚本速度和可靠性的同时，增加了 AI 辅助的自动修复功能。
* **灵活性：** 免费且开源，开发者可以使用自己的 LLM API 密钥，并支持任何浏览器提供商。
通过自动处理调试和更新失效选择器或工作流的繁琐过程，Libretto 旨在降低维护生产级浏览器自动化任务的团队开销。源代码现已在 GitHub 的 Saffron Health 仓库中开源。