每日HackerNews RSS
Hacker News 上的一篇帖子链接到了《Requests, Please》，这是一款类似《Papers, Please》的游戏，玩家扮演防火墙/WAF，检查 HTTP 请求中的 SQL 注入和 XSS 等问题。评论者很喜欢它，并建议了会话链接和快捷键等功能。讨论中还辩论了安全 framing：一些人警告不要暗示必须拦截恶意请求才能防止 XSS/SQL 注入，而另一些人则指出输出编码/转义比输入清理更重要。还与另一款玩家扮演 LLM 的游戏做了比较。用户还讨论了 HTTP 状态码（403 vs 400），要求错过的攻击保持可见，并提到了游戏的防火墙角色。总体来说，这是一款有趣、怀旧的安全主题游戏，收到了建设性的反馈。
美国在短短3个月内新增了创纪录的20.2 GWh电池储能。 The US added a record 20.2 GWh of battery storage in just 3 months
2 天前
美国在2026年第二季度新增创纪录的20.2吉瓦时电池储能，使上半年装机量达到30.8吉瓦时，同比增长23%。公用事业规模项目推动了几乎全部增长，新增约18吉瓦时，其中包括亚利桑那州创纪录的6.2吉瓦时，以及德克萨斯州的3.8吉瓦时和加利福尼亚州的3.6吉瓦时。在公用事业规模容量中，44%为太阳能配储，56%为独立储能。2026年前八个月的储能输出超过了2025年全年。第二季度新增容量中，超过74%安装在特朗普2024年赢得的州；公用事业规模容量在其任期前18个月从88吉瓦时增长到165吉瓦时，不过报告未将项目归因于任何一届政府。Benchmark将截至2030年的储能预测上调11.5%，至683吉瓦时。住宅电池表现落后，新增657兆瓦时，同比下降27%，部分原因是取消联邦住宅清洁能源税收抵免。商业和工业储能新增约1.8吉瓦时，数据中心预计将推动未来需求。特斯拉在德克萨斯州开设了一座年产能50吉瓦时的Megafactory。2026年总装机量预计将接近71吉瓦时，比2025年高出约20%。
美国在短短三个月内新增了创纪录的20.2 GWh电池储能，引发了关于电网级储能的广泛讨论。评论者的主要观点：
- 电池有助于电网稳定、频率响应和削峰，并正在取代燃气调峰机组；它们还与柴油发电机配合作以提高效率。
- 电网相位/频率挑战受到讨论；伊比利亚半岛停电被归因于电压/无功功率问题，而非惯性。
- 抽水蓄能和飞轮等替代方案面临地理和成本限制。
- 全生命周期的碳强度比较显示电池优于燃气。
- 讨论了中国的能源结构以及可再生能源/电池的快速增长。
- 规模背景：20.2 GWh大约相当于美国平均需求约25分钟，或约5771个集装箱。
- 许可改革和输电容量仍然是关键瓶颈。
总体而言，电池在电网可靠性和可再生能源整合中日益重要，尽管仍需大幅增长储能容量。
马德里南部乌尔达附近发生高速列车相撞，造成至少69人死亡、100多人受伤。西班牙国家铁路公司Renfe的一列列车在马德里-塞维利亚线路上撞上停靠的Iryo列车；车上乘客超过540人。交通部长奥斯卡·普恩特表示，计算机故障导致多列火车停运，随后控制中心决定让它们在无速度限制的情况下运行，从而导致撞车。录音显示，尽管前方有另一列火车 stalled，一列火车仍被允许继续行驶。紧急救援人员、医院和血库作出响应；官方哀悼期三天开始。总理佩德罗·桑切斯表示，西班牙正在哀悼，并承诺查明原因并处理任何疏忽或安全漏洞。此次事故是西班牙今年第二起高速铁路悲剧。一名前政府部长被报道失踪。
帖子讨论了西班牙一起致命列车事故及可能原因。评论者推测，基于线路的控制（LZB）失效后转为基于点控制的ASFA，其更粗的闭塞区间可能允许多列列车同处一个闭塞区间；调度员可能授权列车正常速度运行，而非手动限速目视驾驶，原因可能是困惑或警报疲劳。许多人强调系统性因素：偏差正常化、投资不足与维护问题、准点压力、混乱的降级程序，以及超越个人的失败。其他人讨论GPS、自动制动或自动驾驶是否会有帮助，指出铁路定位与冗余很难实现，且中央系统已追踪列车。比较包括德国LZB/PZB事故和日本的安全文化。总体而言，这起事故似乎反映了多层安全防线同时失效，而非单一人为错误。
MiniLake 是一个本地 Databricks 模拟器（localhost:8000），暴露真实的 Databricks API 用于开发和测试。它支持 Unity Catalog 操作（目录、架构、表）、SQL 仓库创建，以及返回真实行的语句执行。Delta 表由真实的 Spark 通过 Unity Catalog 连接器写入带有 `_delta_log` 元数据的实际 Parquet 文件，因此可通过 Spark 和 MiniLake 的 SQL API 查询。Terraform Databricks provider 可在它上运行，创建真实的目录和基于 DuckDB 的资源，而未实现的 API 会以 HTTP 501 明确失败。Databricks Asset Bundles 也支持部署/运行工作流。健康和重置端点允许检查服务状态，并在不重启的情况下为测试提供干净的工作区。
MiniLake 是一个支持 SQL、Delta Lake 和 Spark 的 Databricks API 本地模拟器。Hacker News 评论者强调其在集成测试和 CI 中的潜在价值，因为云数据平台在本地难以测试。一些人批评该网站具有通用的 AI 生成外观，而另一些人建议使用 DuckLake 作为本地数据仓库测试的替代方案。帖子还讨论了 Databricks 本身：具有专有性能特性的托管 Spark、高昂的成本、频繁的产品重命名，以及比 Snowflake 更弱的 AI 功能，同时存在锁定权衡。几位用户质疑 MiniLake 是否能精确模拟 Databricks 的产品特有怪癖。
Android WAP Push 短信处理中的一个零点击远程拒绝服务漏洞导致 `com.android.phone` 崩溃。畸形的 WAP Push 消息导致 `decodeWapPdu()` 将未校验的 uintvar 转换为负数组大小，在电话线程上抛出 `NegativeArraySizeException`。它静默发生，无需受害者交互，会中断包括紧急呼叫在内的进行中通话，并可被运营商重发放大。快速重复的消息可能损坏 SMS SQLite 数据库，导致启动时崩溃和难以恢复的持续性 DoS，尤其在 eSIM 设备上。研究人员提出了一个简单的边界检查，但 Google 在多个工单中将该问题归类为非安全问题/不予修复。90 天披露窗口期结束后，发布了概念验证源代码和 APK，并附带仅限授权测试的警告。
一名研究人员报告称，一种格式错误的 WAP Push 短信可触发零点击 Android 拒绝服务，导致 com.android.phone 崩溃，并可被运营商反复重发，可能干扰包括紧急呼叫在内的通话。研究人员的网站/应用演示了向受害者号码发送该消息；恢复可能需要将 SIM/eSIM 移到非 Android 设备或等待网络超时。Google 最初将报告标记为 WONTFIX，但 GrapheneOS 称修复已于 6 月提交，7 月随安全预览补丁发布，分配 CVE-2026-58882，Critical 级别用于 11 月公告，并于 10 月推送到 AOSP。评论者就运营商是否会拦截它、它是否算安全问题展开了讨论，并批评了 AI 写成的演示。总体而言，这个漏洞看起来是真实的，现已 reportedly patched，尽管 Google 的分类处置受到了争议。
作者手工构建了仅利用逻辑漏洞的 Microsoft Edge 完整攻击链，用于 Pwn2Own Berlin 2026，使用了五个漏洞和两个 Windows 功能，没有内存破坏或 AI。该攻击链滥用 EdgeCAGuidanceNavigationThrottle：跨窗口导航绕过其可信源检查，弹窗白名单绕过拦截器，OneAuth 自动登录用户，assets.msn.com 上的 CORS 配置错误泄露用户邮箱。这产生一个由浏览器发起、忽略 CSP 的通用 XSS。该 XSS 运行在 Edge 特权 read:// Immersive Reader 协议下，其中 chrome.edgeFeedbackPrivate.zipDiagnosticLogFiles 通过路径遍历和空字节实现任意文件写入。攻击者覆盖 protocols.json 以允许从任意来源启动 telnet://，然后触发 edge://restart。在 PATH 目录中放置一个小型 PE 即可代码执行。利用代码不足 100 行，耗时两个月。作者还讨论了未来 AI 辅助研究。
Orange的博客文章详细描述了一个仅利用逻辑漏洞的Microsoft Edge完整利用链（无内存损坏），用于Pwn2Own Berlin 2026，被誉为令人印象深刻且条理清晰。该利用链滥用Edge的浏览器/操作系统集成，包括通过携带凭证的请求获取任意Edge用户的电子邮件、访问microsoft.com时自动创建配置文件/登录、绕过弹窗拦截器、UXSS以及ACE。评论者对自动登录行为、微软在Chromium之上叠加功能以及粗劣的集成代码表示不满。一个额外的“反向链”可从 calc.exe 中启动 Edge。一个旁支讨论了LLM是否正在漏洞研究中超越人类，或是正在抑制人类思考。一些读者最初因一条玩笑式的AI评论而轻视该文章，但作者澄清这项工作完全手工完成，未使用任何AI辅助。
作者逆向工程了 Brother MFC-L8900CDW 打印机。通过 Brother 的更新 API（一个构造好的 XML curl 请求）获取固件后，AI 分析显示该打印机运行 T-Kernel——一个基于 32 位 ARM 的 TRON 家族 RTOS，而非 Linux——并使用 Datalight Reliance Nitro 文件系统、FlashFX Tera、Lua 5.2.3、OpenSSL 及其他库。Brother 规格显示主处理器为 800 MHz，子处理器为 133 MHz，RAM 为 512 MB。 亮点：通过 Web UI 启用 telnet，并使用管理员密码登录，就可以在不修改任何内容的情况下进入调试模式。在 `Local>` 提示符下，输入 `SET USER 640184.571119` 进入调试用户模式；`SET USER 031227` 进入无线 QA 模式；`SET USER 031227.040119` 进入无线开发模式。调试命令包括 `DEBUG SHOW HEAP`（列出运行中的任务和堆使用情况）以及其他许多命令。作者警告这些命令可能严重破坏系统。
Hacker News 帖子链接到一篇关于通过 Telnet 获取 Brother 打印机调试访问的分析文章。作者据称使用 AI 分析固件并解锁调试模式，但评论者指出文章对调试命令探索不多。讨论涵盖 Brother 打印机使用 TRON 嵌入式内核、对自定义固件以禁用跟踪点、绕过墨粉/墨水限制并降级固件的兴趣，以及激光定影器安全警告。用户比较开源 3D 打印机与缺乏开源 2D 打印机，提到二手打印机的硬件磨损，并指出 Goodwill 定价。有人说调试访问可能不超过现有 Web 管理界面。总体上，该帖子混合了对打印机固件的技术好奇与对 DRM、追踪和设备寿命的实际关注。
Hacker News 讨论了古巴决定跳过2026年11月1日的时钟调整，保持夏令时直至2027年。用户们争论永久夏令时是否可持续，引用了俄罗斯2011-2013年的尝试、1974年的美国以及不列颠哥伦比亚省最近的变化。一些人偏好额外的傍晚光线，而另一些人强调医学证据表明早晨光线对健康和作息很重要。评论者还质疑为什么社会要改变时钟，而不是季节性地调整工作、学校或服务时间。帖子突出了地区性紧张：在永久夏令时下，北方地区可能遭受黑暗的冬季早晨，而南方地区往往想要更晚的日落。在欧洲，结束时钟变化的努力因各国在保持标准时间还是永久夏令时上意见不一而停滞。总体而言，讨论未达成共识，但对一年两次时钟变化及其社会、健康和后勤影响普遍感到沮丧。
Bernstein 是一个面向 AI 编码代理的开源编排器，于 2026 年 3 月 29 日发布 v1.0，用于在并行 git 工作树中运行 Claude Code、Codex 和 Gemini CLI 等工具，并具备确定性调度器和 HMAC 签名审计链。2026 年 4 月 14 日，它增加了实验性 Cloudflare 集成，其中 Workers 运行代理，Workflows 管理多步骤任务，R2/D1 在用户账户中存储工作区和计量状态。2026 年 8 月 10 日，v3.14.159 通过让计划加载器抛出命名错误、移除五个带有弃用窗口的命令、CI 门控参考文档以对照注册 CLI，以及将 README 标记为 beta，解决了报告的 90 分钟设置失败问题。它还增加了 Muse Code 适配器、Agent Plugins v1.0.0 清单、可离线验证的签名运行回执，以及 bernstein audit diagnose 命令。总体而言，Bernstein 专注于多代理编排、CLI 计划验证、无服务器部署和审计。
Hacker News 的讨论围绕一个项目（可能是 Bernstein）及相关工具展开，这些工具用于确定性/可验证的 harness，在结构化代码与 LLM 行为之间取得平衡。一位评论者说他们一直在等待这样的工具，并期待更多确定性/可验证的 harness。Varda 的作者指出 Bernstein 与 Varda 之间的相似之处，表示各自在特定领域更强，并计划尝试 Bernstein，同时征求对 Varda 的反馈。页面还包括 YC Winter 2027 申请推广和标准的 Hacker News 页脚链接。
后奇点时代的“无限假期”可能失败，因为社会纽带依赖于共同的工作、学习与奋斗。AI 可能让劳动、教育和实践共同体变得不再必要，从而消解人们相遇并彼此需要的情境。在普遍基本收入与廉价智能之下，人力资本不再重要，而 AI 生成的娱乐提供了比社交越来越好的替代。人们可能会失去技能、成就与有趣的个性，使对话变得越来越缺乏回报。已有朋友可能持续存在，但年轻一代将缺乏形成深层关系的机制。随着时间推移，经由漂移、意外、倦怠与退入虚拟享乐，社交网络可能变得不可再生并枯竭。因此，这种乌托邦面临的风险是孤独，而非休闲。
该 HN 帖子链接到一篇文章，认为在 AI/自动化驱动的后稀缺未来，工作、教育和实践社群可能失去价值，削弱共同技能与社会纽带；人们可能退回到 AI 生成的超级刺激中，而不是“只是闲逛”。评论认为这种看法过于悲观且狭隘：人类因许多非经济原因社交，追求爱好、体育、艺术、关怀、地位和关系；工作不是身份或连接的唯一来源。一些人指出 AI 可能为社交生活释放时间，另一些人则担忧原子化、不平等、UBI 可行性与数字成瘾。几位评论者表示作者自身以科技为中心的经历塑造了这种悲观看法，社群可能转向线下或非工作兴趣。总体而言，讨论串争论自动化是否会掏空人类连接，或将其转向内在、社会性和具身的活动。