2026年10月，研究人员发现一个ChatGPT漏洞，攻击者可通过分享恶意公开对话，在受害者已登录的chatgpt.com会话中执行JavaScript。攻击链结合了加载MathLive的图表与HTML预览。预览发送跨帧消息，MathLive未验证发送方来源/源，允许攻击者HTML通过innerHTML渲染。该HTML使用srcdoc创建未沙盒化的iframe，继承chatgpt.com的身份。ChatGPT的CSP阻止内联脚本但允许YouTube，因此使用YouTube JSONP端点执行任意JavaScript。载荷可枚举对话、读取私密对话并把数据发送到攻击者服务器，实际上接管账户。受害者只需打开共享链接。OpenAI于10月26日修复，评级P1，奖励5000美元。教训：验证postMessage发送方，避免设置中使用原始HTML，沙盒化生成文档，并将CSP视为纵深防御。
每日HackerNews RSS
Parameter.ai 的研究人员披露了一个漏洞，攻击者可通过向受害者发送恶意链接接管 ChatGPT 账户，该漏洞链式利用了 postMessage、JSONP 和 iframe 注入。OpenAI 确认并修复了该问题，奖励了 5000 美元的漏洞赏金。
Hacker News 讨论（312 分，155 条评论）大多批评了这家市值达数万亿美元的公司 payout 过低，认为这可能阻碍负责任的披露并推动研究人员转向黑市销售。
评论者就出售漏洞利用的伦理、AI 是否能发现此类 bug 以及大型代码库日益增长的复杂性与攻击面进行了辩论。
有人指出该博客文章似乎由 AI 生成，难以理解。
其他人提出了相关担忧，包括 ChatGPT 桌面应用中的远程文件系统访问。
总体而言，该讨论串突显了对 OpenAI 安全姿态和赏金计划的不满，同时也承认了该漏洞链的技术巧妙性。
国民议会继续审议2027年财政法案第一部分。其通过第1358号修正案，设立数字数据流税；通过第1387、1388和1390号相同修正案，对大规模股票回购征收10%的税；以及第3274号修正案，创建公民大借款。其还恢复了退出税，期限为十五年。第7条因通过取消对非职业性家具租赁预定收紧措施的修正案而被修改。通过了关于零利率贷款的修正案，特别是针对有五岁以下子女的家庭，以及在实体共有租赁中连续购房者。关于Papin协议的第10条被通过，包含就业维持保障和转让人陪同的可能性。第18条被否决，而第56条被通过。辩论主要涉及资本税收、购买力、房地产和企业援助。
法国议员在预算辩论中以微弱优势通过了一项拟议的每GB互联网流量0.055欧元税。评论者指出，这还不是最终法律，可能仍会被参议院否决；只有少数议员投票。有些人将其描述为针对大型内容提供商或CDN，而非个人用户，而批评者认为成本可能转嫁给消费者，并影响流媒体价格、自托管以及Tor等服务。讨论还涉及欧盟科技竞争力、监管，以及该措施是否实用或出于政治动机。总体而言，这一通过被视为初步且不确定，人们担忧其对互联网服务和法国数字经济的连带影响。
这篇文章解释了调试 nRF54LM20 的多个核心。它描述了使用 Zephyr 的 `west debug --domain` 定位应用核心（Cortex-M33）或 FLPR（RISC-V），并使用板级特定的 J-Link 设备标志。它详细说明了 J-Link 如何利用 SoC 知识连接到正确的访问端口，以及 ADI/DAP 架构如何暴露 DP 和 AP 寄存器。它演示了通过 WriteDP/ReadAP 手动扫描 AP，识别 AHB-AP 和 Nordic 的 CTRL-AP，并说明 AP 选择行为。总体观点是：供应商工具抽象了核心调试，但理解调试端口/访问端口机制有助于逆向工程、自定义工具和安全验证。
Hacker News
新
|
过去
|
评论
|
提问
|
展示
|
工作
|
提交
登录
那个访问端口上有什么？
(
danielmangum.com
)
6 分
由
hasheddan
1 天前
|
隐藏
|
过去
|
收藏
|
讨论
帮助
考虑申请 YC 的 2027 年冬季批次！
申请
截止到 11 月 2 日。
指南
|
常见问题
|
列表
|
API
|
安全
|
法律
|
申请 YC
|
联系
搜索：
You Should Know (YSK) 是一个分享改善生活的实用技巧的社区。帖子必须以 YSK 开头，并说明该技巧的重要性。社区禁止寻求医疗、心理或专业帮助、自我宣传、刷票、引战、骚扰以及大多数机器人。非 YSK 帖子必须使用 [META]。不允许转载其他平台的内容、仅视频来源、虚假信息和恶意挑衅。评论应保持相关。成员可以通过引用具体规则举报违规。LLM 机器人被禁止。社区还列出了合作社区、版务咨询和致谢。总体上，它强调有帮助、真实、尊重的用户内容。
Hacker News 讨论 Molly（一个 Signal 分支）已三个月无人维护且存在漏洞。许多评论者认为 Signal 新的多设备链接功能降低了 Molly 的主要使用场景，而另一些人仍需要它用于平板、多账户或工作配置文件。用户辩论 Signal 的取舍：强端到端加密和普通人友好的用户体验，与中心化、手机号注册、依赖 Google 服务以及有限的第三方客户端。一些人建议 Matrix、XMPP、SimpleX 或 Polly 等分支等替代方案。也有讨论 Signal 的通话挂断 CVE、消息送达可靠性、备份与 iOS 沙盒限制，以及分支的维护负担。总体而言，该讨论凸显了加密消息中安全性、可用性、联邦化与长期维护之间的张力。
雷蒙德·陈描述了按住 PC 电源按钮 12 秒会强制硬件级关机而不通知操作系统，而 Windows 在 8 秒后进行内核转储并稍后上传到 Windows 错误报告。作者感到困惑，因为大多数 PC 在约 4–5 秒后就关机，使得这类转储似乎很少见。ATX 电源按钮行为由主板微控制器处理，因此时序各异；作者想知道 ATX 规范是否建议 12 秒，或者 Windows 是否根据硬件调整转储时序。陈确认这些“长按电源按钮”转储确实会出现，包括一个由专门团队分析的“黑屏”子类型。确切解释仍部分未解。
一个 Hacker News 帖子讨论按住 PC 电源按钮多长时间可强制关机。ACPI 规范定义“电源按钮覆盖”在超过 4 秒后触发，但 Intel 芯片组设置允许 4–14 秒的覆盖时长，解释了行为差异。当按钮按住约 8 秒时，Windows 可能生成内核崩溃转储，微软会收到。用户报告的时间各不相同：有些 PC 在 3–4 秒内关机，而某些笔记本（如 Surface、Lenovo）耗时更长，有时长达 30 秒。现代笔记本的硬关机通常由嵌入式控制器而非操作系统处理，尽管 EC 可能发生锁死。内核代码引用了 7 秒阈值用于崩溃路径。总体而言，关机时长取决于硬件且可配置，并非统一的。
启用 JavaScript 和 cookies 以继续
Hacker News 的评论者讨论了塞尔维亚在反抗亚历山大·武契奇统治的抗议之后，选举出由学生运动中的学者和专业人士主导的议会。许多评论者称赞这一成就，并希望新议员能减少腐败、改善治理。其他人怀疑学术专长能否转化为政治技能，警告教授们可能难以应对妥协、联盟建设、官僚体系和现实执行。一些人指出名单中包括非学术人士，认为多元专长可能有所帮助。担忧包括傲慢、渗透、外国影响，以及腐败是否能被克服。评论者还比较了其他地方的 technocratic 政府，例子有好有坏，并辩论了无领导人的议会结构是否能运作。总体而言，该帖子表达了谨慎乐观，同时对这一实验能否在实践中成功抱有怀疑。
Sneezecount 是 Peter 记录自 2007 年 7 月以来喷嚏的博客。显示的帖子从 2018 年 6 月 1 日的喷嚏 #5,134 到 2017 年 12 月 19 日的 #5,033。每条记录包括喷嚏编号、日期和时间、地点、简短触发因素或伴随活动，以及强度（轻微、中等或强）。触发因素是日常时刻，如煮咖啡或茶、做饭、清洁、整理、听广播或电视、工作事务、开车和家庭活动。地点包括家中房间、RAICR 的办公室，以及斯旺西、伯明翰、萨默塞特等地。页面还包括 2007 年至 2018 年的月度归档计数、导航和网站页脚。总体而言，这是一份细致的个人喷嚏及其情况记录。
黑客新闻
新帖 | 往期 | 评论 | 提问 | 展示 | 招聘 | 提交
登录
Sneezecount (2018)
(joyfeed.com)
17 分，由 NaOH，1 天前
| 隐藏 | 往期 | 收藏 | 4 条评论
帮助
ralfd 1 天前
| 下一条
[–]
2018 年发生了什么？
回复
foobarbecue 1 天前
| 上一条
[–]
这是什么？
回复
lelandfe 1 天前
| 父评论 | 下一条
[–]
这个网站想得太多了 https://sneezecount.joyfeed.com/reflections-on-the-counting-...
回复
pmg101 1 天前
| 父评论 | 上一条
[–]
看起来是 Peter 的喷嚏记录：地点、强度，以及当天几句话。
回复
考虑申请 YC 的 Winter 2027 批次！申请开放至 11 月 2 日。
指南 | 常见问题 | 列表 | API | 安全 | 法律 | 申请 YC | 联系
搜索：
正在检查您的浏览器...需要 JavaScript
HN 讨论了 Leo de Moura 关于 AI、Lean 与形式化验证的访谈。高赞评论者 wbeckler 提倡将 Lean 4/TLA+/Rocq 与 AI 和确定性生成器结合，提到在 Open Markets Initiative 生成了数百万行代码，Lean 发现了 bug。其他人辩论 TLA+ 的高层建模限制和基于属性的测试（PBT）：PBT 寻找反例，而验证证明性质；两者可能与 fuzzing 融合，LLM 降低 PBT 设置难度。用户请求建模资源（Lamport 的 TLA+ 书、Software Foundations、Alloy）。提出的挑战包括确保代理生成的规格/性质正确、Lean 有限的编译目标，以及 AI 通过扩展子目标“转圈”。实用建议包括自顶向下的骨架/接口优先开发、按契约设计、运行时断言、分离朴素与优化实现，以及声明可信公理。有些人对 AI 生成代码和炒作表示怀疑。
Hacker News 的讨论围绕 Vitalik Buterin 的“数字极简主义”帖子展开。他描述通过使用缺乏 X 算法的多平台客户端 Firefly，在不完全离开 X 的情况下减少社交媒体参与，并通过飞行模式、离线地图以及包括 AI 在内的本地/自托管工具限制手机网络。评论者争论这是真正的极简主义还是精心筛选的使用，一些人称赞地图、播客和家庭自动化等实际好处，而另一些人主张完全数字化戒断。许多人讨论 X 的毒性、机器人、政治和主流用户的流失；另一些人则为过滤或离开平台辩护。隐私和手机追踪是主要话题，与数字主权、便利与不便、以及 AI 是有用工具还是人类互动的替代品并列。总体而言，该帖探讨了如何在保留有用技术的同时减少成瘾性数字习惯。
GCC 使用多种策略降低 switch 语句。对于密集的 case，它通常使用跳转表，可能带有常量偏移；稀疏的 case 可能使用比较树。它可以拆分密集子集并单独处理离群值。连续范围使用范围检查而非完整表。非连续的 case 在范围能放入寄存器且出口边较少时，可能使用位集测试（`bt` 指令）。编译器分析 case 簇，先尝试用动态规划进行位测试降低，再尝试用动态规划和盈利阈值进行跳转表降低（速度约为 8:1，大小约为 2:1，且最少约 5 个 case）。剩余 case 变为平衡的二叉比较树，在可用时使用概率。因此，GCC 根据 case 密度、大小和优化目标在位集、跳转表和决策树之间进行选择。
Hacker News 上关于 GCC switch lowering 的讨论涵盖了几种优化策略。评论者指出决策树在某些情况下可优于跳转表，引用了 System.HashCode。对于稀疏 switch，将值除以八或使用旋转技巧可简化代码，但 GCC 未实现这些。大稀疏 switch 的完美哈希在 GCC/Clang 中仍未实现；一位评论者在自己的编译器中一天内就实现了，而批评者认为编译器需要平衡编译时间、运行时间和代码大小，且热稀疏 switch 很少见。提到了 LLVM 的许多未解决问题，包括一个损坏的 OpenMP 循环和 restrict 处理。其他话题包括跳转表使用间接寻址的原因（一项缺失的优化）、代码大小估算限制导致无法使用字/字节偏移，以及大 switch 的硬件分支预测考量。JavaScript switch 显示无增益，但 regex unicode ranges 使速度翻倍。