作者认为，npm、pnpm 和 yarn 等包管理器中日益流行的“冷却期”（即对包安装的时间限制）是一种无效的安全策略，这更像是一种“蜜罐”而非解决方案。 核心问题在于集体行动困境：该策略依赖于无私的社区成员充当“金丝雀”，为其他人审查软件包。由于每个人都在等待别人采取行动，实际上根本没有人去审查代码。同样，依赖自动化 CI/CD 流水线往往会导致恶意代码在被识别之前就被自动合并，这使得这种安全防范既被动又滞后。 作者主张“自主研究”（DYOR），而不是等待社区介入或依赖延迟安装。他建议将外部依赖项视为不可信软件，并采取积极、主动的措施：在将新代码集成到代码库之前，使用静态分析工具（SAST）、沙箱和人工智能辅助审计。作者最后总结称，开发者必须摒弃被动的安全措施，转而采取主动、严谨的扫描，以有效降低供应链风险。
每日HackerNews RSS
最近在 Hacker News 上的一场讨论对“NPM 发布冷却期”（即为了规避潜在恶意软件而推迟包更新的做法）仅仅是“安全剧场”的说法提出了质疑。
原作者认为，如果每个人都采取冷却策略，就不会有人去发现漏洞。然而，大多数评论者反驳了这一前提，指出安全公司、自动化扫描器和独立研究人员会立即对新版本进行审计。许多用户认为，即便只是等待一小段时间，也能让这些自动化系统在开发者集成代码之前捕获恶意程序。
尽管关于人工智能和大语言模型将提升还是贬低安全研究价值存在争议，但社区普遍认为仅靠冷却期是不够的。讨论强调，主动防御策略比被动等待更有效。许多贡献者建议，开发者不应依赖社区筛选，而应优先考虑通过容器或 SELinux 等工具对构建环境进行沙箱化，以隔离第三方代码。最终，社区认为“安全剧场”这一观点存在缺陷，并坚持认为审慎的延迟仍然是稳健安全策略中虽小但有价值的一环。
在20世纪60年代的一项调查首次暗示贝宁沿海存在珊瑚礁六十年后，当地一支科研团队正式重新发现了这一生态系统。尽管全球珊瑚数量几十年来不断减少，且当地资源有限，但研究员热拉尔·津津多胡（Gérard Zinzindohoué）及其团队在国家地理学会的资助下，并借助当地渔民的协助，在离岸14英里处找到了该珊瑚礁。 该团队在一艘临时研究船上进行作业，拍摄到了水下175英尺处一个蓬勃发展的透光层珊瑚生态系统的影像。该地点拥有至少8种珊瑚和8种鱼类，是一个罕见且未受干扰的海洋生物多样性区域。 这一发现不仅因其生物健康状况而意义重大，而且具有巨大的科学潜力；研究人员认为，该珊瑚礁可以为古气候研究和碳测年提供关键数据。目前，该团队正提倡将该区域指定为海洋保护区，特别是在保护鲨鱼和鳐鱼方面。除了当地的保护工作外，研究人员希望这一成功能够激励更多由本土主导的几内亚湾探索项目，证明西非国家有能力引领本国海洋环境的研究与保护工作。
在西非海岸发现了一处曾被认为已经死亡、现却生机勃勃的珊瑚礁。这一发现引发了关于该地区生态重要性的讨论，许多专家认为该地区在生物多样性方面的价值被严重低估了。
研究人员 Zinzindohoué 在评价这一发现时强调了地方自主权的重要性，呼吁西非国家承担起探索和保护自身海洋环境的责任，而不是依赖外部的认可。科学界的其他人则希望，西非国家在全球范围内日益提升的知名度（可能得益于近期在文化和体育方面取得的成就）能够带动对这些脆弱而多样的生态系统进行更多的投资、研究和保护工作。
甲骨文正面临潜在的财务不稳定风险，有报道称其可能因威斯康星州的一个数据中心项目背负高达 70 亿美元的抵押债务。与此同时，标普全球将甲骨文的信用评级下调至 BBB-，仅比“垃圾级”高出一级。
Hacker News 上的讨论对甲骨文的数据中心扩张持高度怀疑态度。用户指出了多个危险信号，包括裁撤负责构建云基础设施的专业团队，以及整个行业在获取新设施所需的大规模电力方面所面临的困境。
观察人士认为，甲骨文激进的硬件目标正与电力审批和供应链的现实情况发生冲突。鉴于甲骨文在企业软件生态系统（如 Java 和 SAP 系统）中的关键地位，人们越来越担心若该公司的基础设施雄心落空将引发的连锁反应。批评者指出，该公司对大规模资本支出以实现云增长的依赖可能难以为继，这也进一步加剧了市场的负面情绪。
特朗普政府因自四月以来未能发布强制性的移民执法数据，正面临两党议员的强烈抵制。尽管国会要求每半个月报告一次逮捕、拘留和驱逐出境的相关数据，但美国移民与海关执法局（ICE）已停止公开披露，理由是过往的政府停摆。鉴于该机构拥有创纪录的资金，专家们并不认可这一借口。 这种透明度的缺失引发了多个群体的集体诉讼，其中包括寻求大规模驱逐证据的保守派组织，以及担忧当前执法行动造成人道代价的移民权利倡导者。在两名移民近日遭ICE特工枪杀身亡，以及政府针对所谓数百万起“自行遣返”却拿不出证据的言论之后，紧张局势进一步加剧。 随着中期选举临近，透明度倡导者和政策专家警告称，官方统计数据的缺失使得公众无法准确了解政府执法的规模及其后果。虽然政府通过新闻稿提供了一些数据，但批评人士认为这些数字前后不一且缺乏核实。目前，政府正面临巨大压力，要求其恢复必要的常规报告，以确保公众问责和民主决策的知情权。
Hacker News 上的一场讨论突显了人们对美国移民及海关执法局（ICE）限制公众获取其拘留和遣返数据的担忧。这场由马歇尔计划（The Marshall Project）的一篇报道引发的讨论，聚焦于政府在面临日益严格的审查时所采取的限制透明度的举措。
评论者们对这一信息封锁的意义看法不一。批评者认为，限制数据获取阻碍了问责制，掩盖了联邦机构可能存在的不当行为，并将此视为逃避监管的蓄意举动。相反，一些用户为该举措辩护，理由是出于安全考虑。他们认为公开数据已被极端分子用于针对 ICE 设施和人员，并暗示信息封锁是防止针对政府设施进一步暴力的必要措施。
这一讨论反映了公众享有政府报告透明度的权利与当局在社会动荡和针对性攻击期间维护安全职责之间更深层次的紧张关系。
一份新的采购记录显示，美国移民与海关执法局（ICE）希望获取包括姓名、社会安全号码和族裔在内的个人数据，以部分调查该机构所谓的“选民欺诈”。它还计划利用这些数据调查移民欺诈。
一份最新报告显示，美国移民与海关执法局（ICE）已与汤森路透签署了一份价值 1.25 亿美元的合同，旨在“寻找选民欺诈”，此举在 Hacker News 上引发了强烈抵制。
评论者对这一举动深感担忧，称其为政府监控的危险扩张和潜在的越权行为。许多用户质疑该合同的必要性，认为通过购买第三方数据中介的数据来绕过搜查令，损害了法律保护。人们对该倡议的动机普遍持怀疑态度，多名参与者指出，政府此举似乎意在捏造证据，而非调查真实的犯罪活动。还有人将其与以往推翻选举结果的政治努力相提并论，认为这 1.25 亿美元的支出是破坏民主进程的腐败企图。
在愤怒声中，一些用户提供了实用建议，提醒加州居民可以利用该州的隐私门户网站，要求汤森路透等数据中介披露并删除其持有的个人信息。总体而言，这次讨论反映了人们对隐私侵蚀、公民数据商品化以及政府机构政治化的高度焦虑。
请启用 JavaScript 和 cookies 以继续。
这篇 Hacker News 帖子讨论了沙奈-廷皮什卡河（Shanay-Timpishka），这是一条距离最近的活火山 700 公里、充满神秘色彩的沸腾河流。该河被定义为“断层控制的非火山地热特征”，在当地萨满眼中是一处圣地，他们将河水的灼热归因于“雅库妈妈”（Yacumama），即“水之母”。
评论者探讨了“妈妈”（mama）一词的词源，指出它作为婴儿发音的通用衍生词，广泛存在于全球多种语言中，从汉语、斯瓦希里语到印地语皆是如此。此外，讨论还涉及了该地点的生物学意义，一位用户推测在这种极端水温下可能存在生命，并将其与土卫二（Enceladus）上沸腾的海洋进行了对比。
Gemini 3.6 Flash
9 小时前
关于谷歌发布 **Gemini 3.6 Flash** 的 Hacker News 讨论显示，社区意见呈现两极分化。批评者认为谷歌在“前沿模型”竞赛中正逐渐落后，并指出该模型在 DeepSWE 等基准测试中的表现不及竞争对手。许多用户对迟迟未见新的“Pro”版本表示不满，质疑谷歌的战略及其与 OpenAI 和 Anthropic 竞争的能力。
另一方面，一些用户为该模型辩护，强调其在日常非编程任务中的实用价值。他们认为谷歌正成功转向“低价量大”策略，专注于提供高性价比、高效的推理，以满足通用研究和日常查询需求。尽管一些资深用户反映其在编程任务中表现不佳且存在令人困扰的对话怪癖，但其他人仍认为它是一款可靠且经济实惠的工具，适合进行简单的重构和样板代码生成。
总的来说，目前的舆论倾向于认为，虽然 Gemini 3.6 Flash 可能无法满足追求顶尖智能的工程师，但对于普通用户而言，它仍然是一款定价具有竞争力且实用的产品；尽管人们对谷歌在 AI 领域的长期领导地位仍持怀疑态度。
萨拉的赌注 Sarah's Wager
9 小时前
请启用 JavaScript 和 Cookie 以继续。
Hacker News 社区对《萨拉的赌注》(Sarah's Wager) 一文评价极低，认为这只是一篇浮夸且空洞的“软文”。读者抱怨文章文风过于华丽、堆砌辞藻，且充斥着不必要的名流引述，读起来更像是剧本而非专业报道。
撇开这些浮夸的内容，文章的核心议题是关于风险投资人莎拉·郭 (Sarah Guo) 及其投资机构 Conviction。郭的核心论点——即所谓的“赌注”——是认为 AI 应用层和基础设施提供商（如 Baseten）最终将超越主要的模型实验室。用户感到不满的是，这一关键观点被埋没在冗长的轶事之中，导致一些人不得不借助 AI 总结工具来从繁琐的文字中提取实质信息。总的来说，评论者认为这篇文章是当前 AI 泡沫中浮夸风气的典型缩影，并指出其缺乏清晰直接的叙述，读起来令人厌倦。
为了支持对高效、高性能 AI 智能体日益增长的需求，Google 推出了 Gemini Flash 系列的多项更新： * **Gemini 3.6 Flash**：作为全新的“主力”模型，它提升了编码和多模态能力。该模型大幅提高了效率，整体输出 Token 使用量减少了 17%（在特定基准测试中最高可达 65%），同时将成本降低至每百万输入 Token 1.50 美元，每百万输出 Token 7.50 美元。 * **Gemini 3.5 Flash-Lite**：针对极致速度和性价比进行了优化，该模型每秒可输出 350 个 Token，非常适合高速智能体工作流。 * **Gemini 3.5 Flash Cyber**：一款专注于安全的专用模型，集成了“CodeMender”智能体，旨在提供先进的网络安全编排。 展望未来，Google 目前正在测试功能更强大的 Gemini 3.5 Pro，并已正式启动下一代 Gemini 4 的预训练工作。这些发布凸显了 Google 的核心目标：为构建可扩展 AI 智能体的开发者降低延迟、提高可靠性并降低成本门槛。
谷歌近期发布的 Gemini 3.6 Flash、3.5 Flash-Lite 和 3.5 Flash Cyber 在 Hacker News 上引发了质疑。虽然部分用户认可谷歌加快发布节奏并专注于核心模型性能的做法，但另一些人仍对其发展方向持批评态度。
讨论的主要观点包括：
* **基准测试的担忧：** 评论者批评谷歌仅将这些模型与其前代产品进行对比，而非与当前的前沿模型或国际竞争对手进行比较。
* **清晰度问题：** 用户指出所提供的性能统计数据存在不一致，导致人们对具体的效率提升感到困惑。
* **竞争生存能力：** 许多参与者对这些新模型表示失望，认为它们在成本和智能表现上均落后于 GLM-5.2 等其他产品。
* **战略前景：** 尽管存在质疑，仍有人希望谷歌加速开发能够最终恢复其竞争优势，特别是在多模态能力方面。
总体而言，社区情绪较为冷淡，许多人质疑在竞争日益激烈且高性能 AI 层出不穷的市场环境下，这些更新的价值主张何在。
苹果公司无需为未扫描iCloud中的儿童性虐待材料（CSAM）承担法律责任 Apple defeats liability for not scanning iCloud for CSAM
9 小时前
一家联邦法院驳回了一起针对苹果公司的诉讼，该诉讼指控苹果未能在 iCloud 中实施儿童性虐待材料（CSAM）检测工具。原告认为，苹果的设计选择（即选择不使用 PhotoDNA 等扫描软件，而是采用端到端加密）构成了导致非法内容传播的设计缺陷。
法院裁定，苹果受《通信规范法》第 230 条的豁免权保护。法院指出，原告的诉求实际上是将苹果视为第三方内容的发布者。由于实施 CSAM 检测需要审查和监控用户内容，因此是否部署此类工具属于受保护的内容审核选择。法院驳回了原告通过其他法律理论绕过第 230 条的尝试，确认苹果没有法律义务主动监控其服务器。
虽然怀斯法官驳回了此案，但她对目前的法律框架表示了极大的担忧，并指出当前的法律使儿童剥削受害者无法获得救济。她强调，尽管隐私是一项至关重要的利益，但目前的立法格局在平衡用户安全与预防犯罪滥用方面依然无效，并总结称，对这一现状的任何改变都必须来自立法者，而非法院。
近期的一项法院裁定使苹果公司免于承担因扫描 iCloud 数据以查找儿童性虐待材料（CSAM）而产生的法律责任。这一裁决在 Hacker News 上引发了激烈的争论，凸显了数字隐私与儿童安全之间的根本矛盾。
支持该裁决的人士将其视为端到端加密（E2EE）的一项关键胜利，认为真正的隐私意味着服务提供商即便出于崇高目的也无权访问用户数据。许多评论者强调，牺牲隐私来打击非法材料是一种“滑坡谬误”，会导致大规模监控。
反之，一些人表达了不安，指出法官将此结果描述为“令人不安”，因为这使受害者成为了“附带损害”。怀疑论者还指出，闭源生态系统中的端到端加密并非绝对，因为掌握软件控制权的公司依然保留了绕过隐私保护的技术能力。
讨论还涉及了以 CSAM 为重点的立法的更广泛影响，一些用户警告称，此类努力往往被用于侵蚀公民自由。归根结底，社区对于保护个人隐私权是否能成为无法扫描非法内容的理由，依然存在分歧。