FULCRUMSEC 披露其在约两个月内未被发现的情况下，从 PingCAP 的 TiDB Cloud 控制平面窃取了 10.6 TB 数据，其中包括连续 88 次每六小时一次的导出。窃取内容涵盖 180,046 个租户组织、403,262 个唯一邮箱、115,308 个明文 API 密钥、2060 万条客户 SQL 语句、1.02 亿次网关连接、500 万个客户端 IP、413 个私有仓库、Jira 与 CRM 数据、AWS/GCP 成本数据以及源代码。攻击者指出多租户隔离薄弱、仓库中提交凭据，以及支持工单中包含实时客户凭据（AWS 密钥、GitHub 令牌、数据库连接字符串）。被明确点名的受影响客户包括 Booking.com、Shopee、CAPCOM、Mercari、PayPay、Atlassian 等。第一阶段发布为 128.3 GB 压缩数据（约 200 GB 解压后），可通过种子下载，包含五个归档。PingCAP 自己 2022 年的 Jira 工单 SECURITY-22 记录了任何组织成员都可以重置集群 root 密码，凸显早已知晓的隔离风险。
每日HackerNews RSS
一个 Hacker News 帖子讨论了 fulcrumsec 公开的 PingCAP TiDB 数据泄露事件，声称可访问完整的 TiDB Cloud 控制平面、计费与财务系统、GCP/AWS 云基础设施、Jira、CRM、分析系统、源代码，以及包含应用服务器 IP 的四年客户连接日志。评论者对规模表示震惊，并指出其紧随其他重大事件；一人指出 AWS 私有价格给 PingCAP 约 47% 的折扣，跨 AZ 流量占其账单的 15%。该帖有 36 分和 3 条评论。
Hilbert空间将量子对象的可能状态表示为维度：量子比特有二个维度，交通灯有三个，自由粒子有无限个。它唯一的基本特征是其大小；坐标轴由观测者选择以表示位置或动量等测量，因此海森堡与薛定谔的表述是同一空间的不同视角。冯·诺依曼通过两个性质定义了Hilbert空间：完备性与内积，内积衡量状态箭头与坐标轴之间的对齐。以希尔伯特命名，这些空间是量子力学的基础。物理学家们争论Hilbert空间是基本现实还是有用工具。肖恩·卡罗尔将其视为现实的基本舞台，而乔纳森·索尔斯将其视为多种数学框架之一，并指出更新的冯·诺依曼代数可能更好地描述量子时空与黑洞。冯·诺依曼本人后来质疑了Hilbert空间的普适性。他的五条“戒律”将状态描述为箭头、平滑演化、测量坐标轴、概率性影子以及测量时的坍缩。
```
黑客新闻
新
|
过去
|
评论
|
提问
|
展示
|
工作
|
提交
登录
在希尔伯特空间中，一切事物在量子意义上皆有可能
（
quantamagazine.org
）
15 分
由
unprovable
55 分钟前
|
隐藏
|
过去
|
收藏
|
2 条评论
help
thrill
9 分钟前
[–]
给定无限时间，所有可能的事物都是不可避免的，无限次。
回复
SantalBlush
1 分钟前
|
父评论
[–]
给定无限时间，是否可能从区间 [0, 1] 中随机抽到一个有理数（而非无理数）？如果可以，是否可能无限次？
回复
考虑申请 YC 的 2027 年冬季批次！
申请
开放至 11 月 2 日。
指南
|
常见问题
|
列表
|
API
|
安全
|
法律
|
申请加入 YC
|
联系
搜索：
```
文章介绍了 Jev 决策模型，该模型输出选择、分数或布尔语句的概率，提供廉价、快速、定义明确的答案。它将这些模型映射到决策层级——缓存/规则、决策模型、LLM、人类——每一层处理置信的输入，并将不确定的输入向下传递。它推导出 Chow 规则，用于决定何时回答还是拒答：仅当预期错误成本低于拒答成本时才回答，平衡当前准确率、下一层错误率与价格。然后它将该规则扩展到按类别不等的错误成本，显示最高类别并不总是最便宜的。最后，它警告说接口可被廉价 LLM 复制，但诚实的概率和专门训练可能仍然是差异化因素；未来的扩展包括延迟以及用于机器人与设备的多模态决策模型。
Hacker News
最新 | 过去 | 评论 | 提问 | 展示 | 工作 | 提交
登录
自制还是购买：决策模型的经济学
(pncnmnp.github.io)
6 分，作者 pncnmnp，1 小时前 | 隐藏 | 过去 | 收藏 | 讨论
帮助
考虑申请 YC 2027 年冬季批次！申请开放至 11 月 2 日。
指南 | 常见问题 | 列表 | API | 安全 | 法律 | 申请 YC | 联系
搜索：
GitHub 已为 GitHub Enterprise Cloud 客户推出包防火墙公开预览版，以帮助防止包安装过程中遭受恶意软件攻击。目前支持 npm，它位于 Actions runners 和 coding agents 等端点与上游包仓库之间，检查元数据请求和下载中的恶意活动。管理员配置企业策略，包括可配置的冷却期、对照 GitHub Advisory Database 进行恶意软件或漏洞检查，以及诸如证明降级等供应链检查。端点必须配置为通过防火墙路由包请求，防火墙会根据策略对其进行评估。如果包被错误阻止，用户可以请求例外。该服务在预览期间免费，正式发布时将按计量使用计费。
Hacker News
新
|
过去
|
评论
|
提问
|
展示
|
工作
|
提交
登录
GitHub 包防火墙
(
github.blog
)
7 分
由
soheilpro
47 分钟前
|
隐藏
|
过去
|
收藏
|
讨论
帮助
考虑申请 YC 的 2027 冬季批次！申请开放至 11 月 2 日。
指南
|
常见问题
|
列表
|
API
|
安全
|
法律
|
申请 YC
|
联系
搜索：
CSS的未来 The Future of CSS
4 小时前
Interop 已成功推动网页功能的跨浏览器支持。对于 Interop 2027，作者强调了十项请求的 CSS 功能：用于自定义 CSS 函数的 @function；用于替代圆角的 corner-shape；用于自定义边框的 border-shape；Anchor Positioning Level 2 的回退查询；用于转换继承值的 inherit()；滚动触发的动画；用于让焦点/Tab 顺序与视觉布局对齐的 reading-flow；用于动画化 auto 等关键字尺寸的 interpolate-size/calc-size；通过 rule 实现的 gap decorations；以及用于 sticky/滚动状态的 scroll-state 容器查询。大多数功能目前仅 Chrome/Edge 支持，但可作为渐进增强使用。作者认为现代 CSS 知识仍然重要，尤其是在引导 AI 工具时，并鼓励开发者为 Interop 优先级投票。
黑客新闻
最新 | 往期 | 评论 | 提问 | 展示 | 招聘 | 提交
登录
CSS 的未来
（
joshwcomeau.com
）
8 分
由 soheilpro
45 分钟前
| 隐藏 | 往期 | 收藏 | 讨论
帮助
考虑申请 YC 2027 年冬季批次！申请开放至 11 月 2 日。
指南 | 常见问题 | 列表 | API | 安全 | 法律 | 申请 YC | 联系
搜索：
T3 Code 已在 GitHub 和 GitCafe 之间同步，作者声称这是同类最大的公开仓库同步——大约 18,000 个 PR、4,000 个 issue，以及包括评论、审查和检查在内的超过 200,000 个总项目。虽然 git 镜像很简单，但同步周围的 forge 元数据（issue、PR、审查等）才是真正的工程挑战。一些评论者质疑其意义，指出像 Linux 内核这样的项目也在多个平台上托管，不过作者澄清那些只是 git 镜像。GitCafe 本身因缓慢或不可用而受到批评。一条将这项工作斥为“vibe slop”的评论被举报，促使版主提醒 Hacker News 指南反对肤浅的贬低。总体而言，该帖子引发了关于同步成就是否真正值得注意或被过度炒作的争议。
在纽约，Waymo 的测试许可已于 2026 年初到期，市长 Zohran Mamdani 尚未明确支持续期；其车辆现在由人类驾驶员驾驶。Waymo 宣传机器人出租车可减少对黑人乘客的歧视并帮助公交空白区，并强调接受服务性动物，倡导者 Lana Nieves 描述了积极的乘车体验。但无障碍程度仍有限：独自出行的轮椅使用者仍需人类驾驶的无障碍车辆，Waymo 与 Nieves 团体的合作也引发关于可信度和资金的问题。公司还需要为自动驾驶汽车建设新基础设施；其旧金山车辆基地显示有 200 辆汽车全天候充电和维护。一位经理表示员工在车辆之间感到安全，而一名记者的测试发现，当他跳到 Waymo 前面时，车辆停了下来。
Hacker News 推荐了一篇《纽约客》文章，题为“Learning to live with Waymos”（15 分，4 条评论）。一位评论者称赞 Waymo 在拼车中去除了陌生人，称出租车里的对话常常变得尴尬而平淡，而 Waymo 让朋友能继续不受打扰地交谈。另一位开玩笑说，未来 Google 的 LLM 可能实际上会加入对话，因为通话可能被录制用于训练。第三位分享了存档链接，还有一位说他们最初把标题误读为“without Waymos”，因为他们住在旧金山。页面还包含一条 Y Combinator 申请通知。
我们想通知您即将发布的 PHP 安全版本，该版本修复了两个严重漏洞（均为 CVSS v4.0 9.2，严重）。发布计划于 2026 年 10 月 21 日星期三 14:00 UTC。我们鼓励所有 PHP 用户现在做好准备，以便在发布后尽快更新。如果我们发现任一漏洞的细节公开，或发现野外主动利用的证据，我们保留提前发布的权利。PHP 安全团队
Hacker News 用户正在讨论一个即将发布的严重 PHP 安全更新，该漏洞可能通过操纵 URL 获得远程 shell 访问。概念验证据报道正在私下流传，一些人建议在修补前将服务器下线。该问题预计影响 PHP 5 至 8，引发对未打补丁的 LAMP/WordPress 安装和托管服务的担忧。临时缓解措施是在 `php.ini` 中禁用 `session.upload_progress.enabled`。PHP 的提前警告以及许多管理员需要快速响应的预期凸显了其严重性。
Cloudflare Worker 无法运行原生 TeX 引擎，因此 LaTeX 到 PDF 的编译必须在通过 HTTP 访问的独立容器中进行。服务使用 Tectonic，因为它按需获取依赖、自动处理编译轮次，并保持 shell escape 禁用；它还以 --untrusted 运行。安全要求包括按任务的临时目录、对同级文件的路径遍历检查、干净环境，以及在 COMPILE_TOKEN 缺失时 fail closed。部署涉及 IAM、缺失的共享库和 glibc 不匹配，后者通过更新的 Debian 基础镜像修复。最严重的 bug 是一条 warm-up 行因 || true 静默失败，导致镜像缓存很小并使首次编译耗时 60 秒；现在缓存大小会被断言。热编译约需 3 秒，可缩容到零，并保持在免费层级内。
Hacker News 上的讨论围绕“在边缘应用背后发布 LaTeX 编译器”展开。一位评论者强调 web2js，它将基于 Pascal 的 TeX 编译为 WebAssembly，并用于在浏览器中运行 TikZ；TeX wasm 约 500KB（压缩后 90KB），尽管预加载的 LaTeX 资源会让体积更大。另一位建议使用 eXTeX，一种基于 Java 的 LaTeX 引擎。帖子作者表示，他们的主要限制是与现有 LaTeX 简历、宏包、字体和资源的兼容性，并询问 eXTeX 是否适用于真实模板。页面上还出现了一个 Y Combinator 2027 冬季申请横幅。
Gamow Labs 正在构建能够操作机器人湿实验室、诊断故障并恢复实验以提高吞吐量的智能体。其 LabRobotBench 基准测试前沿 AI 模型在物理空间推理和复杂生物工作流方面的能力。在留出子集上，GPT 6.1 SolCodex 得分 46.7%，Opus 5.5 得分 23.0%，Gemini 4 Argon 得分 20.9%。该基准包括恢复中断的细胞测定、平衡实验与冷藏之间相互竞争的截止时间，以及完成时间敏感的剂量-反应测量。示例显示模型会犯代价高昂的错误：使测定未完成、冷藏物资归还过晚，或在截止时间后收集测量值。公司邀请开发前沿模型、实验室自动化或扩展实验能力的合作伙伴。
Hacker News
新帖 | 过往 | 评论 | 提问 | 展示 | 工作 | 提交
登录
LabRobotBench v0.1：评测湿实验室机器人
（gamowlabs.com）
7 分
由 wardbradt
1 小时前
|
隐藏
|
过往
|
收藏
|
1 条评论
帮助
Haranrk
9 分钟前
[–]
如何访问数据集/运行基准测试？
回复
考虑申请 YC 2027 年冬季批次！申请开放至 11 月 2 日。
指南 | 常见问题 | 列表 | API | 安全 | 法律 | 申请 YC | 联系
搜索：