OpenSSH 10.4 已于 2026 年 7 月 6 日发布，带来了显著的安全增强、错误修复和新功能。 **安全与稳定性更新：** 此次发布解决了多个漏洞，包括 `sftp` 和 `scp` 中潜在的文件系统遍历风险、`sshd` 内部 SFTP 服务器中的截断问题，以及客户端的释放后使用（use-after-free）漏洞。此外，还修复了与 GSSAPI 身份验证及不当认证延迟相关的拒绝服务攻击向量。 **主要变更：** * **协议加固：** 传输协议变得更加严格；如果对端在密钥重新交换期间发送非 KEX 消息，系统将断开连接。 * **沙盒机制：** 在 Linux 系统上，如果无法启用 seccomp/NO_NEW_PRIVS，`sshd` 将会强制终止。 * **实验性功能：** 增加了对复合后量子签名方案（ML-DSA 44 和 Ed25519）的支持。 * **模式匹配：** 使用了更高效的基于 NFA 的实现替换了原有的通配符匹配器。 * **配置：** `sshd -G` 现在以大小写混合形式输出指令，以提高可读性。 此版本包含了大量的可移植性改进和内部重构，以强化权限分离模型。建议用户在升级前查阅发布说明，了解潜在的配置变更。详细信息和下载镜像请访问 [openssh.com](https://www.openssh.com/)。
每日HackerNews RSS
```Hacker News
最新 | 过往 | 评论 | 提问 | 展示 | 招聘 | 提交
登录
OpenSSH 10.4/10.4p1 发布 (openssh.org)
10 分，由 throw0101a 发布于 1 小时前 | 隐藏 | 过往 | 收藏 | 3 条评论 | 帮助
Panino 1 小时前 | 下一条 [–]
除了其他更改外，10.4 还增加了后量子密钥（组合式 ML-DSA 44 和 Ed25519），但默认未启用。当 2019 年增加后量子密钥交换时，花了近 3 年时间才默认启用。这并非批评，只是一个观察。我目前对后量子签名没有迫切需求。不过很高兴看到 OpenSSH 发布新版本！
回复
lousken 18 分钟前 | 上一条 | 下一条 [–]
hmac-sha1 和 umac-64 仍然默认启用吗？
回复
throw0101a 1 小时前 | 上一条 [–]
发行说明的 HTML 版本：* https://www.openssh.org/releasenotes.html#10.4
回复
准则 | 常见问题 | 列表 | API | 安全 | 法律 | 加入 YC | 联系
搜索： ```
arXivLabs 是一个框架，允许合作者直接在我们的网站上开发并分享 arXiv 的新功能。与 arXivLabs 合作的个人和组织都认同并接受我们对开放性、社区性、卓越性和用户数据隐私的价值观。arXiv 致力于秉持这些价值观，且仅与遵守这些价值观的合作伙伴进行合作。如果您有能为 arXiv 社区创造价值的项目构想，请了解更多关于 arXivLabs 的信息。
Hacker News
最新 | 过往 | 评论 | 提问 | 展示 | 招聘 | 提交
登录
2048自旋体声波伊辛机用于数字划分和数独 (arxiv.org)
10分 由 Jimmc414 在1小时前发布 | 隐藏 | 过往 | 收藏 | 讨论 | 帮助
指南 | 常见问题 | 列表 | API | 安全 | 法律 | 申请 YC | 联系
搜索：
请启用 JavaScript 和 Cookie 以继续。
Hacker News新动态 | 过往 | 评论 | 提问 | 展示 | 招聘 | 提交登录Vessel (claude.ai)schwarzarno发布于1小时前，11积分 | 隐藏 | 过往 | 收藏 | 1条评论 帮助
theblorgler 49分钟前 | 下一条 [–]
这游戏相当不错。有一点我直到读完第一章才弄明白，那就是记忆机制的运作方式。我觉得很奇怪，明明我已经把照片放进物品栏了，理论上应该可以在那里查看，但为了形成关于照片的记忆，我却必须回到第一个房间。如果规则是不能从物品栏里的物品中形成记忆，我认为可以通过在选择“记忆”(REMEMBER)操作时，自动切换到房间标签页下的物品来提示玩家。总的来说，我很喜欢这款游戏。回复
指南 | 常见问题解答 | 列表 | API | 安全 | 法律 | 加入YC | 联系
搜索：
Ternlight – 可在浏览器（WASM）中运行的 7 MB 嵌入模型 Ternlight – 7 MB embedding model that runs in browser (WASM)
2 小时前
一个 7 MB 大小的嵌入模型。在 CPU 上运行。无需 API。直接集成，毫秒级文本嵌入，无需调用服务器。 在浏览器中运行，无 API 调用。 引擎 + 权重 · 7 MB 迷你版 · 5 MB 快速嵌入 · 约 5 毫秒 仅限 CPU · 无需 GPU 使用它 三行代码实现语义搜索。 作为单个 npm 包提供。无需下载模型，无需服务器。 $ npm install @ternlight/base example.js import { embed, similar } from '@ternlight/base'; similar('easy weeknight dinner ideas', recipes, { topK: 3 }); // → 排序后的匹配结果 · 约 5 毫秒 · 零网络延迟 示例 React 文档搜索 在浏览器中搜索 React 文档。输入问题 — 由 5 MB 大小的 @ternlight/mini 驱动。
**Ternlight** 是一个轻量级、高性能的嵌入（embedding）模型，旨在通过 Rust 编译的 WASM 直接在浏览器中运行。该项目利用三元量化感知训练，提供了两个精简版本：8MB 的基础模型和 5MB 的迷你模型。
与大型语言模型不同，Ternlight 为文本生成 384 维向量，从而实现语义搜索、意图匹配和聚类分析。这使得开发者能够在无需依赖外部 API 或服务器端开销的情况下，在本地实现“输入即搜索”的功能。对于较大型的数据集，开发者可以在服务器端预先计算嵌入并将其传送到客户端，以优化性能。
该项目已发布在 npm 上，支持 Node 和浏览器环境。完整的技术流程和源代码已在 GitHub 上开源，并采用 MIT 许可证。
《寓言》将神奇物品变成了《哈利·波特》中汤姆·里德尔的日记。 Fable turned reMarkable into Tom Riddle's diary from Harry Potter
2 小时前
“The Diary” 是一个针对 reMarkable Paper Pro 的实验性项目，它将该平板电脑转变为一本基于手写输入的交互式日记。通过利用大语言模型（LLM）后端（通过兼容 OpenAI 的 API 或本地 `pi` 设置），设备可以读取你的手写输入，进行“思考”，并以流畅的字体在纸面上逐笔渲染出动画回复。 该项目提供两种模式：一种用于方便集成 AppLoad 启动器的窗口版本，以及一种挂起原生界面以提供超低延迟直接电子墨水绘图的“接管”模式。 **主要功能包括：** * **直观交互：** 书写并暂停即可获得回复；画一个大大的“?”获取指南；使用五指点击退出。 * **可定制后端：** 支持任何具备视觉能力的 OpenAI 兼容模型，用于分析你的手写文本。 * **先进工程：** 使用 Rust 构建，采用原始 evdev 输入和自定义的基于 C 语言的电子墨水渲染。 **警告：** 这是一个高风险的高级修改项目，它以 root 权限运行并会改变系统行为。用户应熟悉 SSH、Linux 命令行工具，并掌握恢复设备的备份方法。与 reMarkable AS 无关联。
Hacker News 社区正在讨论由 Maxime Rivest 开发的项目“Fable”。该项目利用生成式 AI 重现了《哈利·波特》中汤姆·里德尔的日记。
对此项目的评价褒贬不一。一些用户认为，将它与具有精神控制能力的诅咒物品进行类比令人不安，但考虑到围绕生成式 AI 的争议，这种对比又显得颇具讽刺意味。另一些用户则对开发速度之快印象深刻，评论者指出，与过去缓慢的工程流程相比，现代工具让创作者能够极其迅速地“将想法变为现实”。
讨论串还提出了一些实际的批评，特别是在项目文档方面。用户指出，项目的 README 文档缺乏直接演示，访客必须跳转到 X（原推特）的外部链接才能看到项目运行效果，而登录弹窗进一步阻碍了用户体验。尽管存在技术障碍，且网友们调侃称商务部需要介入监管，但该项目还是引发了关于当前 AI 能力发展速度及其潜在令人不安之处的广泛讨论。
Ramp Economics Lab 发布了一份工作论文，通过分析超过 21,000 家美国公司的企业级支出数据，研究了人工智能对就业的影响。与人们对大规模裁员的担忧相反，研究显示，“高强度”人工智能采用者（即投资于先进工具而非基础订阅的企业）在两年内的总员工人数增加了 10%。
主要研究结果包括：
* **入门级职位增长：** 高强度采用人工智能的企业，其入门级招聘人数增加了 12%，这表明企业正优先考虑具备人工智能技能的候选人。
* **学习曲线：** 员工人数的增长并非立竿见影；通常在采用人工智能 6 到 12 个月后，随着组织整合了新的工作流程，增长才会显现。
* **网络效应：** 人工智能的采用主要受专业人脉和风险资本支持的推动，而非仅仅取决于所属行业。
* **效率提升：** 对于小型企业而言，人工智能降低了运营固定成本，使其能够扩大收入并雇佣更多员工。
该研究表明，人工智能是增长的催化剂，而非劳动力的替代工具。作者建议求职者锁定采用人工智能的企业，并建议企业主克服初期的学习曲线，同时指出当前有关人工智能引发裁员的负面新闻可能被夸大了。
Hacker News最新 | 过往 | 评论 | 提问 | 展示 | 招聘 | 投稿登录公司在采用AI后招聘更多员工 (ramp.com)15分 由 mooreds 5小时前发布 | 隐藏 | 过往 | 收藏 | 1条评论 帮助
combilabs 23分钟前 [–]
我预计你会发现，历史上在研发或资本支出方面投入更多的公司，无论投资形式如何，在随后的两年里往往会雇佣更多员工。看起来这篇论文并没有努力去控制研发或资本支出的不同形式。回复
指南 | 常见问题 | 列表 | API | 安全 | 法律 | 申请YC | 联系
搜索：
在近期关于“λFS”的研究中，作者旨在通过将关系视为通过支持表映射的有限函数，将函数式编程与关系代数（Datalog/SQL）及张量代数进行整合。引入递归时会产生一个核心挑战：数据库式的查询优化与编程语言式的组合推理之间的张力。 在标准的函数式语言中，求值顺序是可预测的；而在数据库中，查询规划器会选择执行策略以最大化性能。当这些语言交汇时，求值顺序既会影响性能，也会影响程序是否能够终止，尤其是在涉及黑盒用户定义函数的情况下。 作者提出了解决此问题的三个潜在路径： 1. **从左到右求值：** 优先考虑可预测性和简单的成本模型，由程序员负责性能优化，但在处理循环查询时较为吃力。 2. **非确定性求值：** 允许声明式的查询优化，但使形式语义复杂化，需要高级域理论（幂域）来定义其行为。 3. **“并行与”（Parallel and）：** 一种对称连接，可并发求值参数，并在一旦发现 `false` 结果时立即终止。虽然这提供了最声明式且稳定的行为，但高效实现仍是一个待解决的研究课题。
Hacker News
最新 | 往日 | 评论 | 提问 | 展示 | 招聘 | 提交
登录
查询语言中的求值顺序与非终止性 (rntz.net)
17 点，由 luu 发布于 3 小时前 | 隐藏 | 往日 | 收藏 | 1 条评论 | 帮助
veqq 47 分钟前 [-]
https://codeberg.org/veqq/declarative-dsls 是围绕一种查询语言构建的，该语言以相同的方式处理表格/数据帧、哈希映射、数组、字符串等。我最终允许在 `select` 中以任意顺序使用 :where、:group-by 等子句，然后允许你使用 ->> 宏来微调执行顺序。
回复
指南 | 常见问题 | 列表 | API | 安全 | 法律 | 申请 YC | 联系
搜索：
本系列文章共两篇，旨在探讨人工智能经济中一个重大却常被误解的转变：从侧重训练的资本支出转向由推理驱动的利润空间。 尽管市场对 DeepSeek R1 等模型的反应错误地释放了“训练价值崩盘”的信号，但真正的战场在于推理。目前，前沿实验室通过收取高额 API 费用享有巨大的利润空间，但这一模式正受到 GLM 5.2 等高质量“开放权重”替代方案的冲击。 作者发现，在编程任务上，GLM 5.2 的表现可与顶级模型（如 Opus/GPT）相媲美。尽管它在视觉和网络搜索方面尚有不足，但由于服务商提供了与现有智能体工具兼容的“直接替换”方案，切换成本微乎其微。由于 GLM 5.2 的成本仅为专有 API 价格的一小部分——且随着基于 AMD 等硬件优化的推理服务，其成本有望进一步下降——构建高质量、私有化或本地部署 AI 的门槛正在急剧降低。 作者认为，“你的利润就是我的机会”，暗示推理价格的崩盘对当前前沿实验室的主导地位构成了生存威胁。本系列的下一篇文章将深入分析这一趋势下整个行业内的赢家与输家。
这篇 Hacker News 的讨论评估了由于 GLM 5.2 等开放权重模型的迅速发展，导致“AI 利润率崩溃”即将来临的说法。
对话重点涵盖了几个核心议题：
* **支持利润率稳定的观点：** 一些用户认为，得益于服务保证、集成能力和责任保护，企业软件历来能保持高利润率；这表明企业会更倾向于选择“安全”的现有供应商，而非更廉价的替代品。
* **支持利润率崩溃的观点：** 另一些人则认为，随着闭源模型与开源模型之间的性能差距不断缩小，人工智能将成为一种大宗商品。由于模型替换相对容易，企业将难以维持定价权。此外，诸如先进的 Token 缓存等技术创新，正大幅降低代理工作流的成本。
* **实际局限性：** 用户指出，像 GLM 5.2 这类模型的当前定价尚无法与 Anthropic 或 OpenAI 等成熟厂商竞争。此外，许多人认为我们正处于“收益递减”阶段，当前模型已足以胜任大多数专业任务，进一步提升智能水平的经济意义正在减弱。
最终，参与者对这种危言耸听持怀疑态度，并指出转向开源竞争力是一个众所周知的渐进过程，而非突发性的冲击。
请启用 JavaScript 和 Cookie 以继续。
这篇 Hacker News 讨论批评了《经济学人》一篇文章的观点，该文章探讨了“最少运动量是多少”。
许多评论者反对“最少运动量”这种说法，认为将运动视为一种需要缩减的苦差事会适得其反。相反，他们建议寻找自己真正热爱的体育活动（如跳舞、徒步或团队运动），以确保能够持之以恒。
该讨论串强调了几个关键主题：
* **动力：** 参与者认为，可持续性比优化更重要。将运动与现有习惯相结合，例如一边划船一边看视频，有助于克服现代生活中的干扰。
* **目的：** 所需的“最低限度”取决于个人目标，无论是为了老年时的功能性活动能力，还是为了特定的运动表现。
* **社会障碍：** 一些用户认为，对“最低限度”的关注反映了一个将劳动和消费置于健康之上的社会现状，并提出真正的挑战在于重构现代生活，使其自然地融入运动。
最终，大家的共识是：运动的“合适”量，应当是你能够享受并持续保持的量，而不是为了避免负面健康后果而勉强维持的最低限度。
**M/PC** 是一款专为 Varvara 平台设计的拼接式（concatenative）操作系统，其灵感源自 OpenFirmware。该系统旨在摆脱传统浏览器的束缚来管理文件，并采用后缀表示法（即函数置于操作数之后）。用户通过屏幕顶部的单一提示符进行交互，并支持无键盘导航和 ROM 启动。
主要功能包括：
* **命令复用：** 文件可以存储一系列命令，通过波浪号（~）前缀即可执行。
* **视觉定制：** 系统启动时，会根据屏幕分辨率自动使用 ICN 文件绘制壁纸。
* **多功能控制：** 用户可以使用手柄输入来浏览目录和滚动数据栈，非常适合精简的系统管理。
* **全面的工具集：** M/PC 包含一套强大的原语，用于文件操作（读、写、复制、删除）、算术运算、栈操作和屏幕控制。
M/PC 可作为 BIOS ROM 启动，允许用户通过 F4 键直接返回系统环境，无需完全重启。它为 Varvara 生态系统提供了一个极简且高效的命令行环境。
Hacker News
最新 | 过往 | 评论 | 提问 | 展示 | 招聘 | 提交
登录
M/PC – 一个拼接式操作系统 (xxiivv.com)
11 个积分 由 caminanteblanco 2 小时前发布 | 隐藏 | 过往 | 收藏 | 1 条评论 | 帮助
benj111 3 分钟前 [–]
这与其说是一个操作系统，不如说是一个 shell，对吧？不过这确实是个有趣的想法。Unix 管道本质上就是拼接式的，我经常思考如果更进一步朝这个方向发展会产生多大的效用。话虽如此，这其中包含了大量 Forth 的影子（Dup, over, rot）。我不确定在 shell 中使用 Forth 那种通过栈传递选项的方式是否真的行得通。
回复
指导原则 | 常见问题 | 列表 | API | 安全 | 法律 | 申请 YC | 联系
搜索：