Railway 检测到其存储客户环境变量的系统遭到未授权访问；部分加密变量可能已被解密，可能泄露 API 密钥或凭据等机密信息。Railway 认为这可能是针对平台公司以入侵 AI 推理提供商的攻击的一部分，并已通知上游提供商撤销密钥。尽管影响可能有限，所有用户应立即轮换环境变量、API 密钥和私有仓库凭据，并检查服务日志中的异常活动。所有部署在构建恢复前暂停，因此期间无法部署新版本。Railway 将联系直接受影响的客户，并通过公告和状态页面提供更新。
每日HackerNews RSS
Railway 披露了一起安全漏洞，可能泄露了客户环境变量和密钥。它要求用户轮换所有 API 密钥和凭据，但部署已暂停，许多用户无法用新值重新部署，服务因此中断。客户报告泄露的密钥被未授权使用，包括 LLM API 和云凭据，有些人因滥用产生了费用。Railway 员工表示，他们在遏制一个活跃且高度积极的攻击者并协调撤销时，推迟了更广泛的通报，并承认沟通存在不足。用户就停机还是凭据被盗更糟展开讨论，批评 Railway 的处理方式，有些人计划迁移。帖子还提及其他近期安全事件，但焦点是 Railway 的漏洞。
**摘要：谷歌因军事人工智能合同面临员工强烈反弹**
谷歌因员工因公司与美以军队的人工智能合同而辞职，正在面临内部反弹。伦敦研究工程师索菲亚·利古里从谷歌DeepMind辞职，称她对谷歌将AI系统推进军事行动感到“羞愧”，并引 inadequate oversight 和与公司 stated ethical principles 不一致的担忧。另一位研究人员安德烈亚斯·基尔希也辞职，认为谷歌的治理不足以安全地部署军事用途。
谷歌签署了一份五角大楼合同，允许其AI用于“任何合法的政府目的”，但禁止国内大规模监视和没有人类监督的自主武器。OpenAI、亚马逊、微软等也签署了类似协议。员工表示他们害怕因发声而遭到报复，合同还限制公开批评。批评者警告，AI快速部署可能在高压战斗场景中压缩人类决策时间。谷歌还面临Project Nimbus争议，这是与亚马逊为以色列签署的12亿美元联合云/AI合同。员工警告，"换班"可能用经验较少的员工取代有顾虑的员工。
一个 Hacker News 帖子链接到一篇 BBC 文章，内容关于谷歌员工因公司的人工智能军事合同而辞职。该 BBC 文章对部分美国读者显示付费墙。评论讨论两起具名辞职是否具有新闻价值，指出这些工程师似乎不是美国人或不在美国，且谷歌约有 20 万员工。一些评论者批评 BBC 的动机和偏见，另一些则为编辑判断辩护。还有评论嘲讽谷歌的伦理、调侃最后有道德的员工，并指出 BBC 现在向美国人收费。一位评论者将辞职描述为反对军事或工业实践，而非和平主义。总体而言，该讨论串关注媒体报道框架，以及大型科技公司中少数人辞职的重要性。
用户对关于 PHP CVE（CVE-2026-109618 和 CVE-2026-109619）的支持回复感到不满，这些漏洞影响 PHP 8.2–8.5，可让未经身份验证的远程攻击者使 PHP worker 进程崩溃，但被认为范围有限且难以利用。第一次回复未提供预计时间，仅指向公开的 CVE 公告。第二次回复表示 AWS 会将 PHP 修复加入受影响服务：Elastic Beanstalk 在最新平台版本中包含缓解措施，并自动更新托管环境（也可手动升级），而 Lightsail 会将修复构建到新蓝图中。对于托管的 Elastic Beanstalk 环境，无需立即采取行动；用户应关注公告并跟进该案例。
作者庆祝 macOS Golden Gate 移除了 macOS Tahoe 中引入的默认菜单图标，而 Apple 新的人机界面指南现在将这一做法视为设计失误。他们指出，自己此前曾反对在每个菜单项中都加入图标，部分原因是“Apple 不这样做”，但在 Apple 发布该功能后输掉了这个论点。现在他们有了更强的论据：Apple 尝试了这一做法，发布了它，使用了一年，然后公开转向。对他们来说，这显示了经验的价值——通过实践学习——而不是永远不尝试某事。
Claude Duet 是一款主动式的、处于研究预览阶段的伴侣，可继承你的 Claude 记忆、技能和已连接的应用。与标准 Claude 不同，它会在一个持续的对话线程中通过文本或语音主动联系你，并使用自己的虚拟机和浏览器在后台工作——因此即使你的设备关闭，任务也会继续，并在完成后通知你。
它每几小时检查一次已连接账户（以保留套餐额度），并允许你自定义提醒频率。敏感操作——发送消息、付款、签名、删除——需要明确批准；有些操作（如交易证券或在账户间转账）则被禁止。你可以随时断开任何应用。
Claude Duet 与 6000+ Claude Marketplace 连接器集成，支持 Gmail/Slack 分拣、催收未付款发票、运行工资单、发布职位、起草协议、管理 Shopify 店铺等任务，以及更多功能。它还可以通过 Link（Stripe 的钱包）使用虚拟卡进行商业购买，Shop Pay 和 1Password 登录即将推出。
目前它是一款早期的、以工作为重点的预览版，位于一个与 Claude 共享用量限制的独立应用中，可通过候补名单供美国的 Pro 和 Max 用户使用。
对不起。
启用 JavaScript 和 Cookie 以继续
对不起。
请提供需要翻译的内容。
黑客新闻讨论了一起可能的第三个严重 PHP CVE，公开细节有限。早期评论认为它可能是需要 PHP 代码执行的内存破坏，不一定严重，但一位评论者后来指出似乎存在远程影响。其他人争论它是否匹配一个已知的垃圾回收回归/双重释放，且不可利用或无法 RCE，而另一位评论者称该理论错误，影响 8.5.10。一些人对 PHP 近期安全问题处理持怀疑态度，另一些人认为信息太少无法判断，建议等待 PHP 官方公告。整体来看，帖子反映了对严重性和可利用性的不确定性，没有确认结论。
正在检查您的浏览器...需要 JavaScript
对不起。
Julian Weisser认为，AI和自动化大幅降低了创建和推出初创公司的时间与成本，使单人创业越来越常见——Carta数据显示，到2026年，单人创始人占新初创公司的39%。虽然去掉联合创始人可以避免导致许多初创公司失败的人际冲突，但单人创始人面临新的风险：孤独和缺乏人力支持。AI可以加快工作，但不能完全替代那些挑战想法、发现你陷入困境或给予鼓励的人。Weisser总结道，最佳路径不是增加一个图方便而找的联合创始人，而是通过为单人创始人提供资源和同伴，践行“独自创业，共同前行”。
HN 上关于“自动化之后：单人创业将成为默认”的讨论，聚焦于 AI 是否让单人创业变得可行。关联的论点认为，自动化降低了所需的时间和资金，单人创始人正在增多。评论者同意 AI 帮助一个人完成构建，但强调销售、领域专业知识、客户发现和执行仍然困难。许多人认为联合创始人仍然重要，因为能提供互补技能、问责机制和减轻倦怠；销售往往是瓶颈，单人构建并不保证收入。其他人指出，单人创业可能容易被复制、门槛低，并面临孤独或人员单点风险。一些人分享个人经历：创始人借助 AI 学习编程、单人公司因未找到 PMF 而解散，或构建消费者工具。怀疑者质疑因果关系、投资者吸引力，以及单人创始人增长反映的是成功还是只是更多小企业。总体而言，AI 可能让单人创业更常见，但成功仍取决于市场需求、销售、专业知识和可持续执行，而不仅是自动化。
在论坛帖子中，用户批评Plex的“New Experience”客户端削弱了核心功能，并对未经审核的社区应用的安全性表示担忧。多人报告Apple TV 4K上Dolby Vision 4K HEVC/MKV缓冲而HDR10正常，且没有修复ETA。一位用户说播放器团队被解雇，引发同情和Plex衰退或可能关闭的猜测。其他用户讨论迁移到Jellyfin/Rivulet或为Jellyfin做贡献。整体情绪是沮丧、信任下降和对Plex未来的不确定。
Hacker News 的讨论围绕 Plex 据报道裁掉整个播放器团队展开，一位前员工（后来被删）的评论建议用户转向 Jellyfin/Infuse。评论者批评 Plex 近期的重新设计——尤其是新版 Apple TV 应用——用户体验差且 bug 多，部分人认为产品方向问题不亚于工程问题。用户讨论的替代方案包括 Jellyfin、Infuse、Emby、Silo、PixelBrite 和 Wholphin。Jellyfin 很受欢迎，但存在缺口：元数据识别、转码效率、音乐库性能，以及面向非技术用户的客户端打磨程度。仍有人看重 Plex 广泛的客户端支持、便捷的共享功能以及 Plexamp。该帖还包含关于 HDR/Dolby Vision 和克里斯托弗·诺兰电影对白的题外辩论。总体而言，许多用户将此次裁员视为 Plex 衰落的又一信号，并正在迁移或评估开源替代品。