在这篇2012年的文章中，作者伊恩·利尔蒙斯（Iain Learmonth）讲述了他被困在故障公寓电梯里的惊魂经历。尽管他向阿伯丁市议会缴纳了维护费，但利尔蒙斯发现电梯的警报按钮形同虚设，只会发出声响，却无法通知紧急服务部门或大楼管理处。 被困在屏蔽信号的金属箱里，利尔蒙斯在移动网络信号差和社交媒体求助失败的困境中挣扎。然而，当电梯运行至他家Wi-Fi的覆盖范围时，他成功利用 **mosh**（移动终端）连接到了 SDF MetaArray。由于 mosh 是为处理高丢包率而设计的，它使他能够通过终端发送电子邮件，从而促使消防队赶到现场。 尽管电梯在救援人员被召唤时又自行恢复了工作，但这番折磨还是让利尔蒙斯对大楼的基础设施失去了信任。他在文章结尾幽默地写道，他计划增强家里的Wi-Fi信号，以确保如果再次被困，至少还有一种可靠的方式可以寻求帮助。
每日HackerNews RSS
2026年8月4日，一起重大供应链攻击事件导致多个常用 npm 包（包括 `keyv`、`flat-cache` 和 `file-entry-cache`）的关键维护者 GitHub 账户被攻破。攻击者通过直接向主分支推送恶意代码，发布了带有有效来源签名（provenance signatures）的受损版本，影响了超过 868 个软件包，这些软件包的月下载量总计达数十亿次。 此次攻击表现为一种自我传播的蠕虫病毒。一旦受害者运行 `npm install`，一个经过混淆的投放脚本（`setup.mjs`）就会执行并安装 Bun 运行时，随后运行有效载荷（`Math_Symbol.js`）。该有效载荷旨在积极窃取敏感数据，包括： * **令牌与密钥：** npm、GitHub、AWS、Stripe、Slack 和 HashiCorp Vault 的凭据。 * **基础设施访问权限：** Kubernetes 机密信息和本地环境变量。 * **系统文件：** SSH 密钥、私钥、`.env` 文件和 VPN 配置。 该蠕虫还会针对其他维护者进行感染扩散。强烈建议用户检查其依赖项、执行安全扫描，并对这一针对软件供应链的自动化、高影响威胁保持警惕。
一项被称为“Shai-Hulud”的活跃供应链攻击已波及超过 2,000 个 NPM 软件包，影响了每月数十亿次的安装。该恶意软件利用 `preinstall` 脚本执行一个经过高度混淆的释放程序（`setup.mjs`），进而下载并运行恶意负载（`Math_Symbol.js`）。此负载旨在窃取敏感的环境密钥，通过公开的 GitHub 仓库泄露这些数据，并进一步感染其他开发者的机器。
此次攻击在 Hacker News 上引发了关于软件安全的热烈讨论，讨论的主要要点包括：
* **缓解策略：** 专家建议实施“依赖冷却期”（在采用新版本前等待几天）、使用不具备发布权限的隔离 CI/CD 工作流，以及禁用自动依赖更新。
* **系统性弱点：** 评论者强调了安装过程中执行任意代码的危险，以及 JavaScript 生态系统中过度依赖所固有的风险。
* **安全工具：** 讨论强调了纵深防御的重要性，提倡使用诸如用于密钥注入的本地代理、静态/动态分析工具（如 Packj），以及严格隔离构建与测试环境。
* **注册中心责任：** 人们对 NPM 和 GitHub 等主要注册中心仍未针对此类广泛的自动化攻击实施更强大、更主动的检测表示强烈不满。
Homebench – 测试本地大模型在速度、内存及质量方面的表现 Homebench – Benchmark local LLMs for speed, memory, and quality
2 天前
**homebench** 是一款零配置、以本地优先为核心的工具，旨在您的个人硬件上对大语言模型（LLM）进行基准测试。它填补了单纯的速度测试与复杂评估框架之间的空白，并提供了一个实时终端用户界面（TUI），以便从质量、速度和内存占用等方面对模型进行对比。
### **主要功能**
* **统一基准测试：** 自动发现来自 Ollama、LM Studio、llama.cpp、vLLM 或任何兼容 OpenAI 协议服务器的模型。
* **综合指标：** 测量每秒生成 Token 数（tokens/sec）、首字延迟（TTFT）以及内存占用情况。
* **质量评估套件：** 包含 31 个确定性任务，涵盖数学、推理和代码编写。可选的“LLM 裁判”模式可用于评估开放式任务。
* **硬件分析：** 提供 `fit` 命令，根据您的内存/显存（RAM/VRAM）容量评估哪些模型适合在您的系统上运行。
* **开发者友好：** 功能包括自动保存结果历史、运行结果差异对比、批量吞吐量测试，并支持自定义任务包（JSON/YAML）。
### **入门指南**
通过 pip 安装：`pip install homebench`
**快速使用：**
* `homebench`：运行快速默认基准测试。
* `homebench --all --full`：对所有模型进行全面的基准测试。
* `homebench fit`：检查哪些模型适合您的特定硬件。
`homebench` 是开源的，要求 Python 3.9+ 环境，能够为优化您的本地 LLM 设置提供即时、可操作的数据。
在多线程编程中，顺序锁（sequence locks）提供了一种非阻塞锁的替代方案，但它存在一个关键缺陷：在并发访问期间复制非原子数据会导致 Rust 和 C++ 中的未定义行为（UB）。检测到竞争条件并不等同于防止复制过程中发生的非法内存访问。
为了解决这个问题，**iceoryx2** 库引入了 `ByteAtomic`，这是一个能够实现字节级原子读写操作的封装器。它通过确保内存复制是逐字节进行而非作为单一非原子单元执行，从而避免了未定义行为。
该实现通过利用自定义的 `AtomicCopy` 特性，克服了未初始化内存（填充字节）带来的风险。该特性允许系统识别并仅复制数据结构中已初始化的字段，从而安全地跳过未初始化的间隙。
虽然 `ByteAtomic` 防止了内存复制带来的未定义行为，但它本身无法保证逻辑数据的完整性；用户仍需使用同步机制（如顺序锁）来防止“撕裂读取”（torn reads）。`ByteAtomic` 为在传统锁无法满足需求的系统中构建可靠、高性能的无锁结构，提供了必要的基础安全机制。
这篇 Hacker News 讨论聚焦于 `iceoryx2` 团队发布的一篇关于“ByteAtomic”封装的文章，该封装旨在安全地执行并发内存拷贝。
作者解释称，在 Rust 中，即使使用了顺序锁来丢弃损坏的结果，当发生数据竞争时，标准的 `memcpy` 操作也会触发未定义行为（UB）。他们的解决方案提供了一种在不违反语言安全保证的前提下执行这些拷贝的方法。
社区讨论主要集中在以下三个方面：
1. **实用性与理论的权衡**：批评者认为，“未定义行为”问题属于语言层面的技术细节，硬件层面可以处理得很好。他们认为强制执行逐字节的原子操作会显著降低性能。
2. **同步定义的界定**：关于术语出现了技术分歧——特别是无锁（lock-free）、无等待（wait-free）和顺序锁（sequence locks）之间的区别，以及考虑到顺序锁在写入者被中断时可能导致阻塞，探讨了其在安全关键系统中是否适用。
3. **替代方案**：资深开发人员建议，对于共享内存通信，RCU（读-拷贝-更新）或指针交换等替代模式通常比字节级原子封装更高效且更合适。
arXivLabs 是一个允许合作者直接在我们的网站上开发和共享 arXiv 新功能的框架。与 arXivLabs 合作的个人和组织都认同并接受我们关于开放、社区、卓越和用户数据隐私的价值观。arXiv 致力于坚守这些价值观，并仅与遵守这些价值观的合作伙伴进行合作。如果您有能为 arXiv 社区增值的项目想法，欢迎了解更多关于 arXivLabs 的信息。
为何词源很重要：追溯词源如何照亮历史 (2024) Why etymologies matter: How tracing words can illuminate history (2024)
2 天前
作为一名在波斯语与英语双语家庭中抚养孩子的历史学家，本杰明·布林（Benjamin Breen）探讨了词源学如何成为连接遥远过去与现代生活的桥梁。
通过考察语言中的“同源词”（即跨越遥远距离、拥有共同词根的词汇），布林展示了我们之间深刻且常被忽视的相互联系。他追溯了波斯语单词“div”（恶魔）的词源，发现其源自古印欧语中的“神”，由此说明了数千年前的宗教分裂是如何将神灵转变为恶魔的。同样，他还强调了诸如《铁匠与魔鬼》这类古老故事是如何流传数千年的，这表明我们的一些古老民间传说可能早于文字历史。
布林还利用词源学来揭示近期的文化转变，例如“hello”（你好）一词的出现。事实上，“hello”并非古已有之，它直到19世纪后期才成为标准问候语，这是早期电话技术所带来的需求。通过这些例子，布林提出词源学不仅仅是一项智力练习；它更是一种揭示塑造我们当下的“消逝的思想世界”的工具，揭示了当代话语中常被忽视的共有的人类历史。
作者分享了将 Claude 等大语言模型（LLM）整合到专业游戏开发中的经验，其态度从最初的怀疑转变为谨慎且有限的使用。虽然作者拒绝接受围绕人工智能的“魔法”营销，但发现它在处理内部公司文档和复杂、陌生的代码库时，作为研究工具具有一定价值。 然而，作者强烈警告不要依赖大语言模型来编写代码。他们认为这些模型经常产生“幻觉”，提供过度设计或低效的解决方案，并且缺乏深入的技术推理，尤其是在游戏开发这类训练数据通常较差的利基领域。作者指出，大语言模型本质上并不“智能”，它们只是容易生成自信误导信息的统计引擎。 最终，作者认为大语言模型是用于信息检索和新人入职的一种有用但昂贵的辅助手段，而非工程专业知识的替代品。他们批评了管理层强制要求订阅昂贵 AI 服务的趋势，建议企业应优先进行成本效益分析，而非盲从于“平庸产出”的流行语。作者总结道，虽然人工智能可以辅助处理信息，但它无法取代构建健壮、高效软件所必需的第一性原理思考、验证和深厚的领域知识。
这段 Hacker News 讨论聚焦于对 AI 辅助编程的批判性审视，反映了“代理式”（agentic）工作流的支持者与认为现有工具不足以胜任高级软件工程的怀疑论者之间的分歧。
**核心主题：**
* **性能与实用性：** 批评者认为 AI 在游戏开发中的性能优化等专业任务上表现不佳，因为它缺乏对专有技术或高性能限制的深刻理解。相反，支持者认为这些失败往往是“技能问题”，并声称通过适当的系统提示词、“控制框架”（harnesses）和测试驱动的代理循环，AI 可以非常有效。
* **“感觉编程”（Vibecoding）之争：** 许多评论者对那些不经严格审查就推送 AI 生成代码、导致软件质量低下且臃肿的“感觉派程序员”表示不满。另一些人则坚持认为，人类本身就会产出低质量代码，AI 只是放大了这种产出。
* **权力博弈：** 该讨论串突显了对控制权的争夺。尽管工程师抵制企业“恐慌式”推动的 AI 指令，但管理层却为了提升生产力而推行这些工具，往往凌驾于开发者对工作方式的自主权之上。
* **期望差距：** 摩擦多源于大语言模型（LLM）的本质：将 AI 视为专家预言家而感到失望的用户，与将它们视为能起草复杂样板代码的概率性“随机鹦鹉”并认为其不可或缺的用户之间，存在着巨大的认知鸿沟。
Soup 是一款精简的命令行工具，旨在简化大语言模型（LLM）的微调过程，无需复杂的 SSH 配置或基础设施管理。用户仅需一个 YAML 配置文件和一条命令，即可完成模型的训练、评估与部署。
**主要功能：**
* **层级流式传输（Layer Streaming）：** 将冻结的基座模型卸载至系统内存并逐层处理，使 4GB 显存的硬件也能训练大型模型（如 8B 参数模型）。
* **多功能性：** 支持多种训练方法，包括 SFT、DPO、ORPO、SimPO 和 KTO。
* **无需基础设施：** 可在本地 GPU 上运行，摆脱对云服务的依赖。同时支持 Docker，适用于未安装本地 CUDA 的环境。
* **内置工具：** 包含合成奖励生成、推测解码、模型导出（如 GGUF 等）以及用于模型验证的自动化 CI/CD 质量关卡。
* **高兼容性：** 兼容所有可由 HuggingFace 加载的模型，并为 Llama、Mistral 和 DeepSeek 等主流架构提供现成的配置方案。
Soup 采用 Apache-2.0 开源协议，通过高度优化、自动化且可复现的工作流程，取代了繁琐的人工基础设施配置，让高性能 LLM 训练变得触手可及。
近期 Hacker News 的一场讨论关注了 MakazhanAlpamys 开发的“Soup”项目，该项目支持在 4GB 显存的笔记本电脑 GPU 上微调 8B 参数的大语言模型。
其核心创新在于流式传输技术：系统无需将整个基础模型加载至显存，而是根据需要将解码器层从主机内存（RAM）流式传输至小型显存缓冲区。通过层预取技术，作者在实现与传统常驻内存训练结果完全一致的同时，仅产生了 1.43 倍的性能开销。
讨论要点如下：
* **实用性：** 用户指出，本地微调解决了当前小型人工智能应用在投资回报率（ROI）方面的顾虑。
* **数据要求：** 对于风格或格式调整，数百个示例足矣；但若涉及新知识，使用检索增强生成（RAG）优于微调。
* **硬件要求：** 虽然该工具可在性能较弱的 GPU 上进行训练，但作者建议优先考虑提升显存以提高效率，并指出 16GB 系统内存是运行 8B 模型的实际门槛。
* **透明度：** 该项目包含一套稳健的正确性协议，以确保流式训练过程的有效性，从而解决了优化训练流程中常见的静默失败问题。
Roame 是一家盈利的 AI 原生搜索引擎，旨在简化利用积分和里程预订奢华旅行的复杂流程。该平台由行业资深人士创立，能够自动执行耗时的奖励航位搜索，让用户在几秒钟内锁定高端舱位。 Roame 现正招募一名首席/高级工程师，负责引领技术方向并监管其基于 Go 语言的后端及 Web 架构。你将直接向创始人汇报，负责关键的支付与预订系统，领导遗留代码的迁移工作，并建立高标准的工程规范。 理想的候选人应具备 4 至 6 年以上的工作经验，在 Go 和 TypeScript 方面拥有深厚的专业知识，并有交付高弹性、高影响力代码的实战能力。你应该是一位“AI 原生”开发者，擅长管理智能体辅助的工作流，追求高效，并能够在亲力亲为、高度负责的环境中成长。对于希望在保持代码开发的同时担任领导角色的工程师而言，这是一个高可见度的重要岗位。 **薪酬待遇：** 17.5 万 – 25 万美元底薪 + 0.5% – 2% 股权。
Hacker News
最新 | 过往 | 评论 | 提问 | 展示 | 招聘 | 提交
登录
Roame (YC S23) 正在招聘首席工程师 (ycombinator.com)
1 天前 | 隐藏
考虑申请 YC 2026 年秋季批次！申请截止日期为 7 月 27 日。
准则 | 常见问题 | 列表 | API | 安全 | 法律 | 申请 YC | 联系
搜索：
我越来越讨厌博客文章里使用 AI 生成的图片了。这让我不禁怀疑，博文的内容是否也在一定程度上是由 AI 生成的。在个人运营的博客里看到这类图片总是令人失望。我对企业博客有这种预期，但对独立博客则不然。 与其看 AI 生成的图片，我宁愿看质量低劣的微软画图作品。我知道我的博客有很多槽点，但至少你可以确定，你看到的是一个真实人类的想法，而不是什么大语言模型。 如果你在经营个人博客，请避免使用 AI 生成的图片。 相关讨论请见 Hacker News。
Hacker News 上关于博客文章使用 AI 生成图片的讨论，反映出人们对此存在严重分歧：一方将其视为“低质量的表现”，另一方则认为这是一种合法的创作工具。
主要观点包括：
* **信任与用心程度：** 反对者认为 AI 图片是一种“虚假的价值信号”，暗示作者若懒于制作或寻找配图，其文字内容很可能也是质量低下的“垃圾内容”。许多读者现在将 AI 图片视为一种启发式判断标准，一旦看到就会立即离开，以避免浪费时间。
* **“人文因素”：** 一个普遍的主题是人们对人际连接和真实性的渴望。批评者宁愿看到简单、不完美的人类手绘，甚至是没有任何配图，也不愿接受经过精雕细琢却“毫无灵魂”的 AI 作品。
* **审美与品位：** 许多评论者觉得 AI 图片令人反感，认为其具有一种“怪异”或“过度处理”的观感。
* **工具的辩护：** 支持者认为 AI 只是创意工具（如摄影或合成器）的一种演变。他们认为策展人和创作者可以利用 AI 来增加价值，而全盘否定则是“设门槛”，或者是类似于早期摄影所遭受的那种周期性的反技术偏见。