Sentra 揭露了一起供应链攻击：被攻破的 Qubole 凭证让攻击者得以滥用多家组织中长期受信任、常处于休眠状态的 Qubole 角色。未发生直接入侵；攻击者从租用的服务器和 VPN 出发，利用合法的供应商访问（包括有效的 ExternalId）进行操作。他们静默测试访问，随后批量下载数据，并从 Secrets Manager、SSM、Lambda 和 EC2 中窃取密钥。Sentra 通过将泄露样本与扫描数据进行匹配、将嫌疑人缩小至外部身份，以及发现 Qubole 的异常行为，识别出这次攻击活动。它帮助客户确定受影响的数据并采取当日行动：移除 Qubole 信任、轮换暴露的密钥、封锁攻击者 IP、保留日志以及通知 Qubole。此事件凸显了被遗忘的供应商访问和过度权限问题。建议的控制措施包括持续的敏感数据发现、身份与数据映射、休眠访问清理、实时异常检测以及快速事件响应。零信任和数据检测/响应能够限制并检测此类供应商滥用行为。
每日HackerNews RSS
一篇标题为「Supply chain attack on Qubole customers」（sentra.io）的 Hacker News 帖子获得了 20 点和 6 条评论。评论者大多批评该文章为 AI 生成的垃圾，其中一位用户推荐了 Wiz 的博客文章作为更好的资源。另一位评论者指出，提交者此前曾推广一款声称 AI 写的内容无需阅读的应用。其余反应表达了震惊与难以置信。
该列表涵盖美国许多城市和地方的停车应用费用。ParkMobile是最常见的提供商，大多数列出的费用在0.25美元至0.45美元之间，典型值约为0.35美元。费用从多个地点的0美元到内华达城（CA）的0.75美元不等。其他提供商包括PayByPhone、Flowbird、ParkChicago、Passport、Park ATX、SAPark、Parking Kitty、ParkBoston、ParkColumbus和ParkNYC。部分条目显示费用为“未公布”，且一些城市使用城市特定来源。报告日期大致从2025年5月到2026年11月。总体而言，停车应用费用因管辖区域和提供商而异，ParkMobile在大多数列出的地点通常收费约0.30–0.45美元。
Hacker News 讨论聚焦于一份数据显示，停车应用在312个美国城市收取便利费，每次会话的中位数为0.35美元。评论者抱怨这些费用是不可避免的垃圾费用，尤其是在移除停车计时器或应用要求下载、个人信息和电话号码时。一些人指出，城市可能选择收取费用的供应商以降低预算成本，而另一些人认为这把公共成本转移给驾驶员。帖子还讨论了支付经济：卡网络和平台通常禁止更低的直接价格，但各国法规不同。用户更喜欢轻触支付或投币选项，并提到允许延长或退还停车时间的应用。其他人强调了暗黑模式，例如默认短信费用，以及隐私担忧。总体而言，讨论呼吁透明度、非数字化支付选项和对过高费用的监管。
作者描述了 Purple Garden 语言的字节码虚拟机和 x86 JIT 的寄存器分配工作。它解释了在没有 phi 节点的 SSA IR 上的活跃性分析，使用块参数和终结器。值从线性化的块位置分配生命周期；一次遍历收集使用和定义以构建 (lo, hi) 范围。这个活跃集送入预分配阶段，将虚拟寄存器映射到物理寄存器或栈槽。随后的降低使用辅助函数来确保/定义寄存器，必要时溢出到栈。示例展示了优化后的 IR、生命周期注解，以及生成的 VM 字节码和 x86 JIT 输出。分配器将块转换视为边移动，并承诺未来提供更多细节。总体上，它涵盖 Purple Garden 的虚拟机和 JIT 的活跃性、分配、降低和生成代码。
Hacker News 上的一篇帖子链接到一篇关于活跃性分析和将 SSA 转换为寄存器的文章。评论者讨论了寄存器分配与 SSA 构建：一人指出前向遍历需要最后使用追踪，而后向遍历可以简化分配；另一人批评多次遍历，但作者回复说该语言是静态类型，遍历代价低。一条详细评论解释了 phi 节点、控制流图和支配树方法的困难，将 SSA 与 ANF/CPS 联系起来，并介绍了 Braun 的线性时间 SSA 构建方法（使用 SCC 与拓扑排序），以及线性扫描寄存器分配和 JIT 相关性。帖子还引用了一篇关于寄存器分配的论文。
2023年，Google承诺Gemini Workspace中来自Gmail、Docs和Drive的个人内容不会被人工审核员查看。Google已改变这一说法：更新后的帮助文档和博客编辑现在确认，连接的数据可能被送入人工审核流程，并警告用户不要连接机密信息。测试显示，在启用Connected Apps的情况下，随口提及个人主题也可能自主触发后台Workspace查询，无需@标签，且数据摄取具有概率性。一次查询可能产生四种结果之一：无检索；高层摘要；通常包含PII的2-4句部分摘录；或完整未脱敏文件摄取。由于LLM工具调用具有非确定性，单次测试不能证伪该流程。Google的自动脱敏器无法完全去标识化账户号或确认号等叙述性数据。因此，最初的隔离保证已不复存在，且可能被人工审核员审查的概率性摄取完整文件。
Hacker News 用户讨论，消费者版 Gemini 通过 Connected Apps 可以访问个人 Google Drive/Gmail 数据，并将数据路由给人工审核员进行调试、安全与训练，而 Workspace 版 Gemini 声称豁免。Google 的支持页面警告不要连接包含机密信息的应用。评论者抱怨令人困惑、反复出现的同意弹窗和暗黑模式，警告隐私侵蚀，并建议去 Google 化/自托管选项，如 Immich、Nextcloud、Proton 和 Tailscale 加备份。其他人指出，尽管 Workspace 有单独政策，企业客户仍可能感到担忧，并且有人讨论替代方案与邮件托管。总体情绪是对 Google 数据实践的不信任，以及对已连接应用数据可能被人工查看的担忧。
Claude Fable 5.2（Max，默认回退）高度智能，但成本高、速度慢、输出冗长。它支持文本和图像输入，输出文本，上下文为100万token。在Artificial Analysis Intelligence Index中得65分，中位数为40；生成2.75亿token，中位数为7280万。定价为每100万输入token 8美元，每100万输出token 40美元，平均每任务26.54美元。每任务耗时45分钟，中位数为12.9分钟。总体而言，它性能强，但成本更高、速度更慢、输出量更大。
Claude Fable 5.2 以 65 分登顶 Artificial Analysis，但评论者关注其最高推理时的高昂成本，输出 token 远多于 Fable 5.1。在较低努力级别下，它更便宜、更快且仍得分很高，因此一些人认为它在帕累托最优意义上是 Opus 5.5 的显著改进。其他人质疑智能提升是否值得成本，理由包括收益递减、基准测试刷分，以及订阅或 DeepSeek 等更便宜模型的更好性价比。讨论还涵盖 Claude、OpenAI 和 Google 模型之间的比较；编程与非编程任务；模型拒答与安全行为；以及昂贵的前沿模型是否主要用于小众高价值任务。总体而言，反应褒贬不一：对能力提升感到兴奋，对成本与实际用途持怀疑态度。
巴黎表示，伊朗是法国超市冰柜网络攻击幕后黑手。 Iran was behind cyber-attack on French supermarket freezers, Paris says
2 天前
客户端验证 JavaScript 在您的浏览器中已被禁用。请启用 JavaScript 以继续。本网站的某个必要部分无法加载。这可能是由于浏览器扩展、网络问题或浏览器设置导致的。请检查您的网络连接，禁用广告拦截器，或尝试使用其他浏览器。
法国将一起针对超市冷冻柜的网络攻击归因于伊朗，理由是攻击中出现波斯语和伊朗IP地址。Hacker News评论者就伊朗是否为真正主谋展开争论，有人提出俄罗斯、以色列或虚假旗号的可能性。一些人认为伊朗可能利用此类攻击向美国盟友施压并展示网络能力；另一些人则认为此举会疏远法国，缺乏战略意义。讨论进一步扩展到伊朗的地区战略、对多国的攻击、美以冲突、对官方归因的怀疑以及证据是否充分。总体而言，该讨论串将地缘政治猜测与对官方说法及伊朗动机的质疑交织在一起。
氘是一种稳定的氢同位素，越来越多地用于OLED显示屏以提升性能和耐用性。其更重的质量可提高亮度和能效，尤其在蓝色OLED发光材料中；氘代已扩展到红色、绿色、黄色及其他OLED层。用氘取代氢可延长器件寿命，据报道LT50可达非氘代对应物的四倍，原因是降解反应更慢。氘还有助于OLED界面的中子散射研究，增进对形貌和热的理解。面板制造商正将氘代OLED技术扩展到智能手机、汽车显示屏和可穿戴设备。Clearsynth供应用于OLED、半导体、光纤和制药应用的氘代试剂、溶剂和中间体。
Hacker News 关于“氘对OLED显示屏的影响（2024）”的讨论指出，链接文章细节很少；一位评论者指向一篇 PMC 研究论文，并认为该方法可能难以扩展。随后评论者探讨了氘/重水：生产方法包括 Girdler sulfide 和催化交换；用途包括 NMR 溶剂、核反应堆、半导体电迁移降低、增强裂变武器，以及曼哈顿计划期间的生产。多人提到重水的二战历史，包括挪威破坏行动和美国 P-9 项目。还有人提到 Neal Stephenson 的小说和同位素应用。一些人表示怀疑，称 OLED 声明是营销炒作或 SEO 垃圾。总体而言，该讨论从 OLED 耐用性扩展到氘的科学、工业和历史意义。
USPS® 邮政编码边界图是基于 USPS 投递地址和位置数据的全国邮政编码边界图，随投递分布变化更新。它支持地图绘制、邮寄、营销、保险、房地产、物流、导航和交通。用户可将多边形作为基准真值，修正现有邮政编码数据，整理人口统计学数据，并优化路径。它提供内部版、企业版和发布版，每个版本进行四次季度更新；企业版和发布版的分发或发布受限。
Hacker News 的讨论聚焦于 USPS 以高昂的商业价格推出官方 ZIP Code 边界多边形，起价约 10,000 美元。许多评论者认为联邦数据应免费或便宜，尤其因为数字化分发成本很低；而其他人指出 USPS 财务紧张且受法律限制。帖子还解释说，ZIP code 是投递路线标签，而非清晰的地理边界；它们可能重叠、表示点、跨州界或发生变化。像 Census ZCTA 文件这样的替代品免费且通常足够。评论者还讨论 USPS 财务，包括 2006 年定价/养老金规则、垃圾邮件收入、普遍服务和私有化担忧。总体而言，该公告被认为对商业有用，但定价过高且概念上别扭，同时仍有免费替代品可用。
CUI 概览 指南 组件 展示 应用 更新日志 搜索… Ctrl K
Hacker News 讨论了 CUI，一个新发布的用 C 编写的原生 UI 组件库，主要由 Claude 在几天内生成。评论者称赞其外观精致、二进制文件小、内存占用低、响应迅速且依赖较少，有些人急于尝试。然而，许多人持怀疑态度，称其为 AI “vibe-coded”，并质疑其测试、边界情况、维护以及是否需要另一个 C UI 库。一些人争论“原生”的含义，指出其即时模式和受 Web 启发的设计，并将其与 LVGL、Clay、GPUI、Fyne 和 Qt 进行比较。其他人讨论 AI 编码的更广泛影响，包括编译时间、内存安全，以及此类工具是否降低了中间层库的价值。一些测试者报告了小问题，如鼠标滚轮行为和移动端问题，但总体第一印象积极。总体而言，反应褒贬不一：视觉上令人印象深刻且轻量，但尚未在生产环境中证明。
“Someone Was Here” 是一款免费的 Mac 应用，配有免费 iPhone 伴侣应用，可在你离开时检测是否有人使用你的 Mac——在空闲一段时间、尝试锁屏或解锁后——并拍摄他们的照片，记录时间、访问方式和会话时长。它会在快速设置中学习你的面部，不会对你发出提醒。照片会在几秒内通过你自己的 iCloud 或其他服务发送到你的 iPhone，同时屏幕上没有任何变化。当你返回时，Mac 会告诉你谁来过。应用常驻菜单栏，使用摄像头指示灯，照片保存在你的 Mac 上，无需账号，无广告或追踪。即时手机提醒一次性收费 4.99 美元。它旨在保护你自己的 Mac；如果你与他人共用空间，请披露。
Someone Was Here 是一款免费的 macOS 菜单栏应用，利用 Apple Vision 和 Core ML 在你离开时拍摄使用你的 Mac 的人，并在本地识别人脸，若不是你则发出提醒。远程实时提醒需通过配套应用或 Pushover、ntfy、Telegram、webhooks 等服务一次性支付 4.99 美元。开发者表示其灵感来自未经授权的 Mac 访问，并将其比作安全摄像头；应用运行在沙盒中，仅在锁屏活动、解锁或空闲时激活摄像头，并将人脸数据保存在本地。评论者就隐私和实用性展开讨论：有人觉得其令人不安，或更倾向于锁定设备、使用 YubiKey 或 FileVault；也有人指出可能涉及家庭暴力情境和篡改检测。开发者澄清摄像头并非始终开启，识别在本地进行，不进行追踪，远程提醒可选。设计受到好评。总体而言，它是一款可选远程提醒的本地审计/安全工具，社区反响不一。