ldraw-mecha 让 AI 代理将带注释的 LDraw 乐高模型转换为 Blender 动画。给定 .mpd 模型，代理会逆向分析机构、规划组件间的交互，并生成 Blender Python 代码来创建绑定并制作动画。环境配置需要 Python 3.12+、git-lfs 和特定操作系统的脚本；环境变量指向 LDraw、Blender、LeoCAD、缓存和数据库。用户可通过选择器查看带注释的模型，并遵循流程指南。该方法同时注释源代码和导出的 glTF 节点，使代理能够基于代码推理零件，并操作匹配的 3D 节点。它可以制作复杂机构的动画，但存在限制：大型模型速度慢，柔性零件可能失败，低端模型常产生缺陷，且不处理重力、力、重量和惯性等物理现象。示例动画包括起重机、飞机和人仔动作。该项目致谢 LDraw 生态系统贡献者，且未获乐高官方认可。
每日HackerNews RSS
一篇 Hacker News 的 Show HN 帖子介绍了 anteloc 开发的 LDraw Mecha，这是一个为乐高模型制作动画的智能体工具集。它基于早期的 LDraw Nova（生成乐高 CAD 模型的 LDraw 源代码），LDraw Mecha 读取带特殊注释的 .mpd 源文件，推断子模型结构，识别机构，规划动画，并在 Blender 中执行以生成带骨骼绑定的动画 .blend 文件。作者分享了代码仓库、画廊和流程链接，并寻求社区反馈。评论者 hmartin（pyldraw3 的作者）祝贺该项目，并提议乐高工具开发者之间合作，分享了自己确定性模型构建的努力。总体而言，它突出了 AI 驱动的乐高动画并邀请协作。
启用 JavaScript 和 Cookie 以继续
Hacker News
最新 | 过去 | 评论 | 问 | 展示 | 招聘 | 提交
登录
与 Hacktron 合作，寻找 OpenAI 系统中的漏洞 – OpenAI
（openai.com）
8 分，由 99lcccss 6 小时前发布 | 隐藏 | 过去 | 收藏 | 2 条评论
帮助
suddenlybananas 5 小时前
[–]
为什么他们的内部模型不能自己做到这件事
回复
paxy 4 小时前 | 父评论 [–]
> 我们正在通过 Daybreak Red 扩展 Hacktron 对前沿模型的访问。
就三行字。
指南 | 常见问题 | 列表 | API | 安全 | 法律 | 申请加入 YC | 联系
搜索：
跳转到内容 你在另一个标签页或窗口登录了。刷新以重新加载会话。 你在另一个标签页或窗口退出了。刷新以重新加载会话。 你在另一个标签页或窗口切换了账户。刷新以重新加载会话。 关闭提醒 页脚 你无法在此时执行该操作。
摘要：CloneGuard 是一个只读的 Go 命令行工具，用于在执行前扫描仓库中的窃取凭证技巧，起因是假冒招聘人员的恶意带回家作业。它针对 npm install 脚本和 VS Code 任务等自动运行向量，标记秘密访问、可疑连接、下载并运行模式、混淆和已提交的二进制文件。它无依赖，使用退出码支持自动化，并包含用于测试的恶意样本。作者承认它是基于启发式的且可规避；“干净”并不意味着安全。
HN 评论者讨论了其价值：有些人推荐使用一次性虚拟机或 AI 辅助扫描而非正则工具，其他人质疑 VS Code 自动运行行为，批评强迫候选人运行不受信任代码的面试实践，并建议使用更好的隔离工具而非检测。
启用 JavaScript 和 Cookie 以继续
Hacker News 上的一个讨论帖讨论了一篇关于章鱼如何挤过小缝隙的文章。评论者争论章鱼是否有意识或智能，并将它们与水母、线虫和变形虫进行比较。其他人指出该研究受机器人启发的合理性，引发了关于企业研究实验室衰落以及基础科学面临证明资金合理性压力的讨论。一位评论者认为标题是点击诱饵，因为章鱼无法穿过真正太小的缝隙，建议使用“非常小的缝隙”这样的措辞。总体而言，该讨论涵盖了生物学、意识、研究经费和标题准确性。
日本农村人口减少导致农田被弃耕，并且矛盾地造成生物多样性下降。小型传统农场创造了由稻田、牧场、林地组成的镶嵌景观，这些景观支持着蝴蝶、萤火虫、青蛙、鸟类和本地植物等野生动物。一项2025年的日本研究发现，只有在人口稳定的地区，生物多样性才稳定；人口下降与物种减少相关。随着农村地区空心化，类似模式在全球出现。在欧洲的博登湖地区，植物多样性在小型混合农场的中世纪时代达到峰值。经验教训是：保护并不简单等于农业与自然对立；小型、多样化的农场可以在生产食物的同时维持生物多样性。
**摘要：** 一项与耶鲁相关的研究发现，随着日本农村地区人口减少和农田荒废，生物多样性下降——与再野化预期相反。评论者指出，该研究未纳入再野化干预，且适应人类维护景观（如稻田和人工管理边缘）的物种在这些景观消失时会陷入困境。讨论还提到入侵竹子扼杀原生树木、气候变化、筑坝洪泛区，以及日本长期的人类—生态协同演化。一些人认为生物多样性指标可能具有误导性，生态系统需要数十年来重新平衡。另一些人强调，许多“野生”栖息地实际上由数千年人类活动塑造，人口减少但缺乏管理可能形成生态荒漠，而非恢复自然。怀疑者质疑气候变化或研究范围是否能完全解释这些发现。讨论还涉及更广泛主题：城市化将青年从农村地区拉走、“原始”荒野的神话，以及人类缺席长期是有益还是有害于生态健康。
大语言模型和决策模型可以对身份解析中的过度合并进行评分。开箱即用时，Claude Opus 最准确，而 Jev 和 Luna 便宜得多且更快（每 1000 个身份 $0.05–$0.10，约 0.15 秒）。Luna 起初优于 Jev，但在更难的案例上两者打平。Jev 的置信度校准更好：其错误往往伴随低置信度，而 Luna 的错误常为高置信度。这使 Jev 更适合混合升级到 Opus：将 Jev 中不确定的案例送至 Opus，能在远低于单独使用 Opus 的成本下达到近前沿的准确率。Luna 的过度自信限制了混合方案的收益。决策模型在更难的基准测试中落后前沿模型约六分，但混合 Jev 在案例困难时动态增加支出，同时仍远比仅用前沿模型评分便宜。因此，对于可扩展、高性价比的身份质量评估，校准比开箱即用的原始准确率更重要。
Hacker News 讨论了一种方法：快速、低成本的决策模型（Jev）处理常规身份解析决策，并将不确定案例升级给更强的模型（Opus），据报道以约四分之一的成本达到 Opus 的准确率。评论者就编排方向展开辩论：一些人使用廉价或本地模型来管理和提示昂贵模型，另一些人使用前沿模型作为编排者、廉价模型作为执行者。他们指出，权衡取决于任务、校准、上下文和模型版本；升级需要良好的置信度校准。一些人建议使用 Qwen、GPT、Haiku、Sonnet 或本地模型的混合方案可减少 token 使用，但质量差异大，廉价模型可能错过应升级的情况。其他人提出 AI 辅助身份匹配的隐私担忧，并提醒基准测试是任务特定的。总体而言，该讨论强调，成本高效的 AI 系统通常结合专门的决策模型与升级机制，但最佳架构取决于领域，并需要仔细校准与审查。
Replit 将其沙箱引擎重写为基于 microVM，使用 KVM 和 Cloud Hypervisor 为每个沙箱隔离出独立的最小化 Linux 内核，同时保留容器用于内部的进程隔离。此次重写提升了安全性、能力与跨云可移植性，并在不中断服务的情况下迁移了数亿个项目。安全特性包括最小化内核配置、命名空间与 seccomp 保护、eBPF/LSM 监控、主机侧网络强制执行、凭据代理连接器以及注册表防火墙。每个沙箱使用远程块存储，支持写时复制分支与优雅重连。网络隔离使用独立命名空间与 VRF，以及主机侧代理与限流器。通过暖池与并行初始化，沙箱获取时间约 500 毫秒。Replit 还提供自带云（Bring Your Own Cloud）。该平台支持自主代理与企业用例，并提供持续的安全更新与自动化威胁检测。
Hacker News 讨论了 Replit 宣布使用 microVMs 重建其沙箱引擎的消息。评论分为两个主题：产品批评与基础设施/安全辩论。一些用户描述 Replit 从协作编程平台转向以 LLM 为中心的产品，指出限制、错误、生成代码质量差、安全性弱和成本高。其他人指出，它仍服务于非工程师创始人和比外包更便宜的原型开发，但随着 AI 工具改进，其窗口可能缩小。在基础设施方面，一位评论者将这一变化描述为把强隔离下移到更低边界，因为沙箱中的“actors”可能试图逃逸。另一位询问 microVM 硬件隔离是否优于 gVisor 等软件隔离；据称安全从业者认为 Firecracker/Cloud Hypervisor 与 gVisor 相当，但在可行时更偏好 microVMs。讨论还指出 gVisor 是 Go 应用内核，而 KVM/microVMs 提供更强的宿主机内核隔离。总体而言，Replit 的 microVM 改动被视为在对其更广泛产品方向看法不一的情况下，一次以安全为驱动的沙箱升级。
Hacker News 讨论《华盛顿邮报》报道：民主党正在对 SpaceXAI、Meta 和 Apple 发起国会调查。评论者辩论这些调查是针对真正不当行为——如所谓腐败、贿赂或滥用政府权力——还是党派报复。一些人认为国会还应推进可负担性问题并追究所有官员责任，另一些人警告调查必须基于明确犯罪。帖子包括通过档案网站绕过付费墙的实用建议、关于 Palantir 未被包括的疑问，以及对 Apple 在 ICE 相关追踪应用方面的批评。用户还讨论否决权推翻和两党立法是否可能，一些人强调民主党必须在问责与具体政策目标之间取得平衡。总体而言，讨论围绕腐败、科技公司与政府的关系，以及监督是否会有效或政治化。
2026年11月初，研究人员发现820个域名冒充35个餐饮品牌，大多使用 .delivery。这些网站通过反向代理从合法餐厅网站获取实时内容，同时将结账页面替换为恶意支付表单。它们窃取银行卡信息和银行短信验证码，然后将受害者重定向到其他地方，而不完成真实订单。攻击者可通过更改目标网站和域名在不同品牌间复用同一套攻击工具包。该骗局至少通过47个Google搜索广告推广，广告主账户互不相关。消费者应验证域名，避免在可疑网站输入支付信息。
一个 Hacker News 帖子讨论了这样一种诈骗活动：诈骗网站反向代理合法餐厅的点餐页面以窃取支付信息，并通过 Google 搜索广告推广。评论者批评 Google Adsense 允许诈骗广告，以及 Google/Meta 执法不力，有些人建议向 FTC 或总检察长举报。他们讨论了检测方法，包括监控日志/引荐来源、废弃购物车和反向代理指标，以及预防思路，如可信设备支付、基于应用的点餐和消费者验证——不过餐厅支付处理器常常导致名称不匹配。其他人指出 Cloudflare 的作用有限，以及阻止基于代理的诈骗的难度。帖子还包括关于 cookie 横幅的切题抱怨，以及一个离题的 AI 治理国家讨论。总体共识是，平台广告系统和薄弱的执法使这些诈骗得以进行，而餐厅和用户实际可用的防御手段有限。
本文描述了针对 Firecracker v1.16.1 的受控概念验证 guest-to-host 逃逸。研究人员从 guest 映射的 host 内存原语出发，定位了 Firecracker 进程，解析了其在 ASLR 下的地址空间与代码，并找到了活跃 vCPU 线程保存的 KVM 寄存器。随后他们临时重定向该线程从 KVM 的返回，以 root 身份执行了一次无害的 `write` 调用，恢复了被修改的栈状态，并验证了 Firecracker 保持运行且 guest SSH 可访问。该演示展示了操纵保存的寄存器状态和栈数据如何影响 host 用户态执行，同时强调生产环境中使用 Firecracker 的 jailer、权限降级、命名空间与 seccomp 需要单独进行权限评估。文档包含大量 resolver 细节、验证检查以及完整 proof-of-concept 源码。
该帖子链接到 PwnEscape 第 2 部分，描述了一种实用的 Firecracker 虚拟机逃逸。评论者指出，演示所用的 Firecracker 未启用其 jailer，而底层缺陷在主机 Linux 内核的网络/virtio-net 校验和处理中。正确配置的 jailer 会提高难度，但不会消除风险，因为内核本地提权漏洞仍然是主要担忧。讨论还涉及这是主要属于 Firecracker 还是内核问题、AI 辅助漏洞发现对 Linux 的更广泛影响、与 Nova、L4 和 Xen 等微内核虚拟机管理程序的比较，以及 AWS 的安全公告。部分评论者批评该文章为 LLM 生成，而另一些人认为该漏洞很重大且未被夸大。