Servo 0.7.0 发布，包含 527 次提交，带来积极求值的开发者工具控制台、大量新的 DOM API（parentRule、version、getComposedRanges、baseURL、CSS/文本模块、getContextAttributes、Content-Language、dir、SVG 元素、WebCrypto 的 MLKEM768-X25519、roundRect、paintTime/presentationTime、getCueAsHTML），以及 SpiderMonkey v153.3 和 mozangle v0.7 的安全升级。真实世界兼容性有所提升（例如 egui.rs、Candy Crush 可运行）。
进行中的工作包括无障碍树几何、WebGL2 一致性、contenteditable/WSIWYG 编辑器支持、视频字幕、Sanitizer API、IndexedDB 游标和 Web Animations 时间线方法。
嵌入 API 变更：新增无障碍操作转发、clear_session_history，移除节流以及 focus/blur 方法，webgl 加入默认特性，多进程 Cargo 特性，GC 调优偏好设置，以及 Android 上的 JVM 11 目标。
性能/稳定性工作减少了分配、IPC、GC 交互和内存使用；Linux 上的线程亲和性提升；修复了许多 panic 和挂起问题。Web 平台改进包括 CSS 图像加载事件、选择改进、LCP、WebDriver、stylo 升级，以及数十项错误修复。
项目还列出了新贡献者，并报告每月 8,144 美元的捐赠。
每日HackerNews RSS
摄影师Brendan Larsen在塔拉纳基山上空拍摄了578张每张8秒的照片，历时两小时，然后在Photoshop中手动叠加工约45小时。最终合成图显示约14450条卫星轨迹，来自约1400颗卫星。Larsen强调这张图像不是AI生成的。摄影师 Vincent Laforet称其为重要照片，并对卫星会破坏长曝光感到 dismay，质疑是谁允许了这种卫星活动。
Alpine Linux OpenSSH 在无密码账户（密码字段为 `*`，如仅密钥用户）且在无 PAM（或 UsePAM no）且 PasswordAuthentication yes 的构建下，存在严重认证绕过。若至少另一个账户有 `$5`/`$6` 密码哈希，攻击者可发送超长密码（257–1024 字节）在一次尝试中登录该无密码账户。默认情况下 root 受保护，除非 PermitRootLogin yes。修复方法：将 Alpine openssh 升级到修补版本并重启 sshd；若无法升级，设置 PasswordAuthentication no 并重启。受影响版本包括 3.16–3.24/edge。云 tiny-cloud 镜像在存在任何 `$6` 哈希时可被利用。检查日志中无密码账户的 "Accepted password"；若不确定，按机器已遭入侵处理。
OpenAI首席执行官萨姆·奥尔特曼提出，社会应为技术进步接受人工智能相关的危害，但文章将此视为更广泛的寡头世界观的一部分，并称选民已拒绝它。文章认为，特朗普第二任期的标志是硅谷精英与他结盟、获取影响和利益。埃隆·马斯克利用政府权力削减项目和岗位，据称导致死亡，而他的公司却从中获利。文章描述，本届政府助长加密货币骗局、充斥内幕交易的预测市场、有阴谋论思想的官员、由监控驱动的驱逐以及AI生成的信息。与此同时，关税、对伊朗的非法战争和化石燃料放松监管加剧了生活成本危机。总体而言，这篇文章描绘了一个被选民拒绝的、技术驱动的腐败盗贼统治。
作者认为，尽管人们担心无所不在的监视和极其精准的定向广告，但他们的实际体验恰恰相反：广告和推荐笨拙且无关。他们会看到已购买商品的广告、本国不可用的服务，以及不需要的物品；平台会忽略明确偏好（如跳过带人声的电子音乐）；语言设置会被覆盖；公司还会发送重复优惠（例如给已有客户推送汽车保险）或无关促销。总体而言，尽管数据被收集和出售，但利用得很差，使得“他们什么都知道”的说法在实践中显得不真实。
一个AI代理使用esFirmware和Epoch分析ARM路由器启动ROM的安全启动。ROM使用RSA-PSS验证篡改后的第二阶段引导加载程序（BL2）并拒绝它。通过仿真启动、完整的2500万条指令时间旅行追踪，以及将每次故障运行缩减到约43000条指令的快照，代理运行了指令跳过攻击活动。它发现了一个向量：跳过单个分支会使接受存储执行而非拒绝存储，将判定结果从0x55555555变为0xAAAAAAAA。调用方直接使用该判定结果，不对BL2内容进行进一步检查。记录的基线与故障追踪在该指令处恰好分叉。该攻击活动显示这是扫描代码中唯一的单跳过向量。该结果已在仿真中证明，包括在两个仿真器上，但未在硬件上或通过最终跳转到篡改后的BL2证明。此案例说明，如果附近控制流脆弱，强加密和防护措施仍可能失败，且AI驱动工具可以自动化启动、追踪和故障攻击活动。
转达Laura的建议：下载并归档你关心的网络媒体，因为平台会删除或限制内容。yt-dlp等基础工具让这很容易。作者的过度配置服务于睡眠习惯：通过Jellyfin NAS库在电视上观看Many a True Nerd的Let's Plays。Jellyfin僵硬的剧集结构需要ytdl-sub的YAML配置来保留播放列表；大多数频道需要的结构更少。一个怪癖导致Jellyfin会重复列出播放列表视频，除非将播放列表标题用作季号，但修复已有导入需要完全重新导入。存储方面，Tdarr将库重新编码为HEVC/H.265，在2TB上节省约700GB，但其界面复杂，不广泛推荐。总体信息：占有并归档对你重要的内容。
作者描述了将超低复杂度编解码器（ULC）引入 Nintendo 64。N64 的音频选项有限：ADPCM 节省空间但文件仍较大，而 Opus 音质优秀却对游戏过程来说太慢。ULC 最初由 Aikku93 为 Game Boy Advance 演示制作，是一种类似 MP3 但没有其复杂度的变换编解码器。它使用半字节对齐的系数存储，解码简单。作者通过将 IMDCT 移动到 RSP 协处理器，将浮点数转换为 16 位定点数（Q1.14），并使用 RSPL 与 Codex 生成 MIPS 汇编，将其移植到 N64。结果实现了 44100 Hz 立体声音频，在接近 Opus 的比特率下仅使用约 4% 的 CPU 时间和 5% 的 RSP 时间，适合游戏过程中的背景音乐和语音。解码器已合并到 Libdragon 的预览分支，并显著使 Half-Life 的 N64 版本能够装入单卡带。
Discord 正在用 Rust 替代 Electron 作为其桌面应用，以获得更好的性能和内存安全。CTO Stanislav Vishnevskiy 表示，Discord 的许多基础设施和客户端代码已经使用 Rust，而完整的客户端迁移还将移除 React Native，移动端将保留原生 UI，同时通过 Rust 共享应用代码。预览版显示 Windows 客户端使用 290MB RAM，而当前应用为 1GB 或更多。发布进度尚不清楚，但 Discord 希望很快开始用户测试。
Vivaldi 8.3 是独立的欧洲浏览器推出的一次隐私导向更新。其重建的广告与追踪器拦截器现提供四种保护级别——关闭、轻度、强效和激进——可按站点调整或通过自定义拦截列表设置，并在 Android 和 iOS 上提供对应支持。垂直标签页新增悬停展开和紧凑的固定标签网格。新功能包括“粘贴并前往”以同时打开多个链接、“复制净化链接”以移除追踪参数，以及更快的阅读模式，此外还支持扩展的 Chrome 标签页组 API。Vivaldi 强调用户控制与隐私，而非数据收集。