NIST发布了一份面向个体创业者的通俗网络安全指南《Small Business Cybersecurity: Non-Employer Firms（NIST Cybersecurity White Paper 50）》。作为对NISTIR 7621的更新，它聚焦于保护数字系统免受网络攻击，并将NIST CSF 2.0的指南改编为新手可用的内容。指南面向仅有一名员工的企业，提供备份、软件更新、更改默认密码等实用基础措施。它将CSF行动映射到个体经营者的业务需求，解释每项措施为何重要、如何开始，以及业务增长时如何扩展。指南还包含工作表和三个假设用例。NIST表示，它是一个起点，而非全面指南，专为网络安全知识或预算有限的个体创业者设计。
每日HackerNews RSS
Hacker News 讨论了 NIST 针对自雇人士和一人企业主的新网络安全白皮书。该文档列出 21 条建议，涵盖治理、资产清单、备份、访问控制、MFA、监控、事件响应和恢复。一些评论者认为 NIST 的指南可靠且有用，尤其可作为参考或起点。其他评论者批评 PDF 格式、 Dense 的写作、陌生术语和较差的可发现性；他们认为它并不真正面向非专业人士，需要更好的品牌、导航、交互式内容和更简单的信息传达。还有关 “Super Intelligence” 术语的批评，一些人视其为政治化。评论者给出的实用建议包括最小化存储数据、使用密码管理器、MFA、经过测试的不可变备份、Apple 生态、Signal 以及供应商管理的安全。总体而言，该讨论串将指南视为扎实但不完美的资源：对知情读者有价值，但对时间有限的非技术型小企业主来说并未优化。
前Epic Games开发者Kiaran Ritchie认为，Steam的30%分成实际上是为进入其庞大用户群支付的费用，而非基础设施费用，并表示Valve可以在保持盈利的同时降低该费用。他说，PC开发者必须在Steam上销售游戏，否则将失去大部分销量，并指责狂热的Steam用户抵制即使客观上更好的替代平台，使市场陷入无法打破的僵局，从而损害游戏开发资金。文章还提到Epic CEO Tim Sweeney对Valve的批评，以及作者认为向Valve支付30%分成比冒险遭遇Epic Games Store独占游戏失败更好。Newzoo的Emmanuel Rosier表示，只要Valve保持独立且非上市公司，Steam就不太可能被推翻。Valve还建议开发者避免依赖容易被AI克隆复制的单一机制，并向执法机构举报勒索。
一篇 Hacker News 讨论串就 Steam 是否可被取代展开辩论，起因是一位前 Epic 开发者的评论。多数用户将 Valve 辩护为"善意的垄断者"：私有公司，Gabe Newell 对客户负责，Steam 提供无可比拟的功能（云存档、多人联机、创意工坊、Proton/Linux 支持、退款、CDN）。锁定效应是重要因素——拥有大量游戏库的用户不愿安装多个启动器。Epic 因启动器体验差、发牢骚、政策偏向发行商而受批评；GOG 和 itch.io 作为替代品受到称赞。有人认为竞争在理论上可能，但需要"游戏可移植性"或强制推行的通用协议。批评者指出 Valve 的盲盒/赌博生态系统。总体而言，评论者认为 Steam 的信任、可靠性和 20 年的持续改进使得替代不太可能，除非 Valve 自身"屎化"或上市。
比亚迪创下10月电动汽车销量新纪录，售出305,743辆电池电动汽车，同比增长37%，新能源汽车总销量490,168辆。仅其电动汽车销量就超过了美国整个第三季度售出的约262,500辆电动汽车。10月电动汽车约占比亚迪销量的63%，而插电式混合动力汽车销量下降。比亚迪10月出口170,194辆车，截至10月累计出口超过150万辆，目标到2026年底出口约200万辆，2027年出口超过250万辆。该公司正在欧洲、东南亚和美洲扩展海外业务，同时推出搭载刀片电池2.0和闪充技术的新车型。
比亚迪一个月的销量超过了整个美国电动车市场。帖子讨论美国电动车普及为何落后：有人指责政策回滚、补贴削减、排放法规变化以及石油行业影响，也有认为市场仍在增长、充电基础设施持续扩展。评论者将美国约6%的电动车份额与中国和欧洲更高的普及率进行对比。比亚迪被称赞价格亲民、创新且性价比高，但也被批评内饰较廉价、维修性担忧和高度集成的组件。讨论还涉及关税、保护主义、国家安全论调，以及美国是否会因中国扩大电动车生产与全球出口而落后的风险。总体而言，帖子凸显出中国电动车势头与美国在政治和经济上受限的电动车市场之间日益扩大的差距。
Polyend 已开源 Tracker、Tracker+ 和 Tracker Mini 的固件，并发布用户可安装、修改和分享的 Tracker Community Edition 1.0；恢复系统有助于防止变砖。更新增加了长采样 SD 卡流式播放、保留步进 FX 槽位的专用微动和音量字段、新的概率条件，以及基于浏览器的自定义主题/字体。采样编辑器现在支持插件，包括六个内置效果/生成器，并提供用于创建和销售更多插件的 SDK。Tracker+ 和 Tracker Mini 新增 CHIP 和 DIRT 合成器以及合成器引擎 SDK。所有三款机型均获得波表包络和 LFO、更快的工程加载/保存，以及改进的 MIDI 时钟时序。
Polyend 发布了其 Tracker 固件的源代码，加入音乐设备中开放固件日益增长的趋势。评论者将此举与 M-VAVE FM-1 周围的逆向工程和自定义固件热潮、LLM 辅助逆向工程以及现有社区努力联系起来。此次发布还新增了诸如采样流、专用力度/时序轨道以及用于新合成器引擎和效果器的 API 等功能。Polyend 为因自定义固件而损坏的硬件提供保修期外维修。讨论强调了诸如众包开发、延长设备寿命和新功能等好处，同时也指出了关于固件质量、演出稳定性、算法激励和“劣质”固件的担忧。一些人认为硬件仍然重要，因为精心设计的用户体验和固定乐器支持表演和肌肉记忆。总体而言，开源被视为对逆向工程的明智战略回应，以及向更社区驱动的音乐硬件转变。
Anthropic 在 IPO 前披露了约 8954 亿美元的计算与基础设施采购/租赁承诺，其中约 4475 亿美元将于 2030 年前到期。Hacker News 评论者就其可持续性展开争论。乐观者指出收入正在增长且支出分散在多年；怀疑者认为这些承诺意味着巨大的增长、高昂的运营成本和很小的容错空间。关切包括竞争、电力供应、债务、稀释和零售投资者承担风险。一些人认为独家计算资源和多芯片支持构成护城河；另一些人则预期重组或救助。总体而言，该披露将 Anthropic 的 IPO 定位为对巨大 AI 需求增长的高风险押注。
目前尚无针对 22.04、24.04 或 26.04 的已修补内核，尽管该漏洞的 CVSS 评分为 9.8。Ubuntu 尚未为 CVSS 评分 9.8 的严重漏洞 CVE-2026-98432 提供修复内核，导致 22.04、24.04 和 26.04 LTS 版本缺少厂商更新。因此，运行这些版本的运维人员没有官方内核软件包可以修补该漏洞。这一缺口对依赖 Ubuntu LTS 内核实现隔离与权限边界的面向互联网和多租户的自托管系统影响最大；在软件包发布之前，这些主机仍面临该 CVE 所允许的任何远程或本地攻击。Ubuntu 尚未公布修复的预计时间。在此期间，受影响的管理员需要自行决定是继续使用默认内核、应用任何可能存在的树外缓解措施，还是将工作负载迁移至已包含补丁的发行版或内核。
Hacker News 用户讨论 Ubuntu 对一个严重 Linux 内核远程代码执行漏洞的延迟补丁。评论者指出，iptables 或 nftables 可以通过在 raw PREROUTING 中丢弃携带 IP 选项的 TCP 数据包来缓解，但供应商警告这可能无法完全阻止利用，特别是在 eBPF、容器或独立网络命名空间的情况下。许多人批评 Ubuntu/Canonical 落后于 Debian 和其他发行版，称延迟破坏了信任并促使迁移计划。其他人则争论可利用性：该漏洞似乎是涉及 IP 选项的竞态/释放后使用，且较低的观测利用率并不能证明安全。该帖还讨论了消费级路由器风险、供应商更新实践、Debian/OpenWRT/Turris/MikroTik 等替代方案，以及提议或主线内核的变通方法，并警告可能的回归。总体而言，挫败感集中在修补缓慢和缓解指南不明确。
Oracle计划通过发行100亿美元普通股和100亿美元高级票据融资200亿美元，以资助其AI建设。该举措曾在投资者日预览，但股价仍下跌超6%。资金可能用于资本支出、偿还债务和投资。Oracle还预测到2030财年收入至少达2250亿美元，并将2027-2030财年的额外资本市场融资上限设为200亿美元。预计通过供应商融资、客户提供的硬件和预付款，将在2028年下半年实现正自由现金流。投资者仍担心Oracle的债务负担：今年股价下跌33%，12个月跌50%，其CDS利差一年内飙升270%，标普评级为BBB-。分析师表示，执行情况将决定Oracle是获得回报还是受到惩罚。
Oracle 计划通过发行新股和债券筹集 200 亿美元，为其 AI 建设提供资金。Hacker News 评论者围绕这一举动展开辩论，一些人指出 Oracle 的债务负担沉重、利息支付高且存在违约风险，而另一些人则认为其核心数据库、ERP 和云业务仍然健康。讨论还涉及股东稀释、Oracle 股价下跌、AI 泡沫风险、可能的政府救助，以及 Nvidia 硬件快速迭代是否会搁置数据中心投资。评论者提到许可审批和电力短缺等运营障碍，一些人对 Oracle 从高利润率软件转向低利润率 AI 基础设施表示怀疑。还有人从个人层面批评 Oracle 和 Larry Ellison，同时指出 Oracle 产品仍深度嵌入企业和政府系统。少数人指出该融资已有预披露，质疑市场对此的负面反应。总体而言，该讨论串反映出人们对于 Oracle 的 AI 赌注究竟是具有战略意义，还是危险的过度杠杆，仍存在不确定性。
skill-video-studio 是一个由 Claude Code skill 编排的本地视频制作工作区。它使用 Playwright CLI 捕获真实的产品交互，使用 HyperFrames 构建品牌化的标题/章节/CTA 场景，并使用 FFmpeg 主控与检查输出。从静默演示开始，然后可选添加旁白、音乐、字幕或主持人画面。仓库包含两个示例项目、可复用的品牌/简介/模板，以及通过 brief.yaml 进行配置，另有用于旁白、头像和音乐的可选环境变量。生产环境需要 Node 22+、FFmpeg/ffprobe、Chromium 和辅助 Python 依赖；完整渲染和 GPU 功能为本地/手动。工作流为：brief → explore → brand → capture → compose → 可选层 → render/QA → thumbnail。私有素材和凭证保持在 Git 之外。文档涵盖入门、使用、配置、故障排除和许可。MIT 适用于原创内容；嵌入字体和外部工具保留各自的条款。
一位开发者开源了一个 Claude Code 技能，用于自动创建带配音和字幕的产品演示视频。他们指出，自己（以及他人）往往更偏向开发而忽视推广。该帖子引发了褒贬不一的反应：
- 一些人称赞这个想法，但批评了演示的音频（旁白被截断、音乐过响、混音差）。
- 另一些人认为，像 Opus 这样的现代模型即使不使用技能也能很好地生成视频；一项对比显示，使用技能和不使用技能的结果几乎相同，但技能消耗了更多 token。
- 多位评论者分享了使用 Claude Code、ffmpeg、Playwright 以及 ElevenLabs 等配音工具的类似工作流。
- 有人警告 Playwright 存在 CVE 漏洞。
- 一个反复出现的主题是：分发和营销仍然是真正的挑战，有些人使用 AI 寻找相关论坛发帖，而不是完全自动化内容。
总体而言，社区看到了自动化演示视频的价值，但质疑专用技能相比基础模型能力能增加多少。
作者反思，投影空间和齐次坐标在缺乏动机地教授时显得武断，但后来因为它们消除了例外情况并形式化了无穷远点而显得自然。他们的数学教育是自上而下的，现在更偏好自下而上的动机。像把正方形粘合或识别对径点这样的构造显得缺乏动机；更好的介绍会解释投影几何通过移除特殊情况（如垂直线）来简化几何。将 (x,y) 表示为 (x,y,1)，无穷远表示为 (x,y,0) 是一种有动机的、类似编程的方法；允许最后一个坐标变化自然引出齐次坐标。这种具体方法也出现在椭圆曲线密码学中，其中无穷远点需要谨慎处理。
关于《与射影平面和解》的 Hacker News 讨论探讨了射影几何作为处理无穷远并统一几何概念的一种方式。评论者解释说，点可视为过原点的直线，齐次坐标使仿射变换变为线性变换，射影平面在无穷远处添加点与线以得到更清晰的交点计数。其他人讨论了点与线之间的对偶性、平移作为剪切，以及添加无穷远的不同方法。一些参与者认为射影几何优雅且富有启发性，而另一些人则认为齐次坐标与应用可能感觉不直观，或像是一种计算技巧。总体而言，该帖将射影几何呈现为强大且统一的理论，但概念学习曲线陡峭。
作者认为，拥有 PR 和值班责任的开发者应阅读并理解所有 AI 生成的代码，而不是盲目相信。AI 工具可能很快，有时写出更好的代码，但缺乏判断、好奇心和学习能力；它们往往添加冗余、测试繁重或低质量的代码，随时间累积。作者将它们用于个人玩具项目，但不用于必须维护的生产代码。提示或模型间评审不够；可靠的质控尚不存在。由于 AI 不会从重复错误中学习，工程师必须仔细审查其输出，以保护工艺、可靠性和声誉。
Hacker News 上关于 “I Read the Clankers’ Code” 的讨论聚焦于 AI 生成代码的质量。评论者普遍认为大语言模型可以提升生产力，但警告未加审查的 AI 输出会变得难以维护，人工审查、标准、测试和架构判断仍然必不可少。一些人认为 AI 提高了普通开发者的下限，而另一些人则把它比作一个能力强但缺乏经验、需要指导的初级开发者。多人指出，现有工具和 CI/CD 检查尚不足以自动保证质量。讨论还对比了代码工艺与商业价值：一位评论者认为工程现在意味着构建生成代码的系统，而其他人反驳说糟糕的代码仍会损害可维护性和可靠性。总体而言，AI 加速了开发，但并未消除对软件工程基础的需求。