每日HackerNews RSS
黑客新闻
最新 | 过去 | 评论 | 提问 | 展示 | 工作 | 提交
登录
打造 AI 芯片 "Find My" 的竞赛
(ieee.org)
9 分
由
oldnetguy
1 小时前
|
隐藏
|
过去
|
收藏
|
1 条评论
帮助
reasonableklout
11 分钟前
[–]
今天才知道这项技术存在。
这很有趣：
> 为了遏制这个问题，该国正在转向位置验证。去年三月，美国众议院外交事务委员会通过了一项法案，要求对先进 AI 芯片进行位置验证。在九月下旬的美中峰会之前，立法者呼吁对该法案及相关法案进行全体投票。
通过的法案是《芯片安全法案》。我不确定参议院是否会等到中期选举新成员就职后再对该法案进行全体投票。
指南
|
常见问题
|
列表
|
API
|
安全
|
法律
|
申请 YC
|
联系
搜索：
团队在 Kafka 收据之上构建了 ClickHouse 报表。数据流存在重复、迟到文档和间歇性管道停机。四种方案失败：插入时求和重复计算了重复数据；宽表重算读取了太多行；内存键字典无法容纳；读时聚合太慢。最终设计将聚合视为其文档的函数，而非运行总和。每个文档确定性地映射到一个小型“cell”（register、shift、hour）。窄表按 register/document 排序存储所需列，而脏 cell 日志记录被触及的 cell。可刷新视图仅重算脏 cell，并在 ReplacingMergeTree 中存储带版本的结果；shift 由 cell 组装。重复投递按 document key 折叠，迟到文档将其旧 cell 标记为脏，最长一天的中断可自动追上。报表保持快速，因为它们读取紧凑 cell，而非数十亿文档行。权衡包括 75–115 秒延迟、超过一天需手动恢复、副本重算竞争、重试插入可能丢失标记，以及指标必须可合并。
Hacker News
最新
|
过去
|
评论
|
提问
|
展示
|
招聘
|
提交
登录
聚合是一个函数，而不是求和
(
alnovis.io
)
5 分
由
alnovis
1 小时前
|
隐藏
|
过去
|
收藏
|
讨论
帮助
指南
|
常见问题
|
列表
|
API
|
安全
|
法律
|
申请 YC
|
联系
搜索：
Beep Locator 是一个 Python Web 应用，使用多个基于浏览器的监听设备三角定位神秘间歇蜂鸣声。受 BeepBeep 论文启发，它使用 WebSockets、麦克风录音、chirp 对齐和蜂鸣检测。设备首先通过声学测距或粗略手动放置估计位置，然后监听蜂鸣。拍手可用于测试。检测到的声音显示在地图和日志中，并支持重放和确认神秘蜂鸣。确认后，系统跟踪该蜂鸣并细化其可能位置。通过 Claude Code 迭代构建，包括可热替换的监听器代码以及重新定位和建议监听器放置等功能，它在约 40 厘米内定位到一氧化碳探测器。该项目还展示了编码代理如何通过连接设备运行并分析音频获得感官输入。
一篇 Hacker News 帖子题为“定位神秘蜂鸣声的来源”，链接到 Simon Willison 的网站。评论讨论了查找隐藏蜂鸣声的工具与方法。其中提到 MKBHD 演示的 FOTRIC TD2e 声学成像相机，价格约 1000 美元，可能为一次性使用而租用。还有人建议通过把一半箱子移到另一间房并监听蜂鸣声，进行 O(log n) 的物理二分查找。回复里有笑话或替代方案，例如调谐到老鼠吱吱声的猫用 HUD。另一位评论者称赞 Simon Willison 的浏览器声音项目。总体来说，这是一场关于定位蜂鸣声来源的实用与幽默讨论。
一名安全研究人员在 Prusa Buddy 固件中发现了 14 个漏洞（约 23 个缺陷），包括通过 Prusa Connect 的远程代码执行链，以及 USB/FAT、G-code、MMU 和 EEPROM 错误。借助 AI 辅助模糊测试和逆向工程，他们在真实硬件上实现了完全控制器接管。Prusa 在 Buddy 固件 >7.0.0 中修复了所有问题并协同披露；CVE 尚未分配。十五款打印机型号（包括 MK4S、MK4、XL、CORE One、MINI）受影响，应进行更新。研究人员称赞 Prusa 响应迅速、合作良好的处理方式——快速验证、诚实的时间线和致谢——并对比其他厂商的糟糕响应。他们还反思 AI 工具让安全研究的深度变得更加民主化，使非专业人士也能发现深层嵌入式漏洞，同时警告不要用低质量的 AI 生成报告淹没开源项目。完整 write-up 和 PoC 代码正在发布，以便给用户时间修补。
黑客新闻
新的 | 过去 | 评论 | 提问 | 展示 | 工作 | 提交
登录
永远不给你打印出来
（
dixken.de
）
5 分
由
ta988
1 小时前
| 隐藏 | 过去 | 收藏 | 讨论
帮助
指南 | 常见问题 | 列表 | API | 安全 | 法律 | 申请 YC | 联系
搜索：
作者批评 TLS/ACME 的复杂性和频繁的证书续期，认为防止被动窃听并不需要完整的证书颁发机构模型。他们提出“抗议证书”：一种有效且由 CA 签名的证书，其 RSA 公钥模数包含可读消息。文章概述了 RSA 密钥生成以及在保留可用密钥的前提下将文本嵌入模数的方法，指出可能的 base64 对齐问题和安全权衡，包括熵降低以及素数可能过近或私钥指数过小的风险。它还指出续期可通过重新提交 CSR 自动化，并认为现代 TLS 前向保密使这种密钥即使在私钥可能被泄露的情况下也适用于公开网站。
Hacker News 的一个帖子讨论了 “Horrible public key tricks”（maurycyz.com）。评论者 tptacek 认为所有严重攻击者都是中间人——常通过诱使受害者转移自己的流量（例如 DNS 注入）——而且仅被动的攻击者已经灭绝；他还说未认证的 TLS 会话不能称为“安全”。另一位用户询问转移流量在实践中意味着什么；tptacek 提到了 DNS 注入。embedding-shape 描述了攻击者策略，比如让网络在没有“保护”的情况下无法使用、提供免费服务，或推动替代性私有网络。mplewis 用消防栓类比反驳因一个缺陷就否定整个系统。
卡尔·帕特森·施密特是芝加哥菲尔德博物馆的著名爬虫学家和馆员，1957年9月26日在辨识一条boomslang蛇时被咬伤后去世。他没有寻求治疗，而是详细记录了自己的症状，最终死于呼吸麻痹。专家认为他可能没有意识到这次咬伤致命，而且当时美国没有boomslang抗毒血清。除了他骇人听闻的死因，施密特的遗产还包括将博物馆的爬虫学藏品从8000件扩展到50000件，命名200多个亚种，推进动物地理区域研究，并发现Dunn's earth snake等独特物种。他的贡献在菲尔德博物馆继续受到纪念。
一篇 Hacker News 帖子链接到 CBS News 关于一位著名科学家被蛇咬死并在日记中记录经历的文章。该帖有六分和一条评论。在那条评论中，一位用户回忆把蓝瓶水母尸体涂抹在手臂上，然后感到灼痛、腋窝酸痛（他们归因于淋巴结），以及整天的低度头痛。他们指出自己的实验不如冲浪者被拖曳的触手缠住严重，但仍然觉得有趣。
一位叔叔用Claude Fable 5.2一次性完成了侄子Aiden梦想中的清版动作游戏。它生成了一款有趣的12关、18名角色、支持4人游玩的游戏，包含过场动画、美术、音频和测试。6月的早期版本表现较弱，但Fable 5.2生成了好得多的结果，大约使用了175张图片和140段音频，并进行了自动化试玩测试。家庭试玩过程中增加了特殊技能、可解锁的亲属与宠物，以及最终救出化为天使的曾祖母。该项目使用了约3.4亿个token。里程碑：AI如今可以制作完整、有趣的多关卡游戏。
Hacker News 的帖子提到 Fable 5.2 一次性完成侄子梦想中的游戏，有评论者将它与 Opus 5.5 在 DX Ball 风格游戏上的表现作比较。Opus 5.5 感觉更有趣，而 Fable 5.2 的游戏元素更好，但尽管提示如此，它仍改变了机制。评论讨论了 AI 生成游戏的美学、未来可能正常化、一个允许敌人被无限踢的 bug，以及约 300 美元的 API 成本估算。其他人提到 token 上下文改进、对重新实现旧 Mac 游戏的兴趣，以及关于 AGI 和“LLM glazer”工作的玩笑。总体结论是，AI 能快速生成可玩的游戏，但对需求的遵循、打磨、成本和质量仍然是问题。
请启用JS并禁用任何广告拦截器
Hacker News 上的一个讨论串链接到一篇《福布斯》文章，内容涉及黄仁勋的丑闻，以及他妻子可能分得一半财富的猜测。评论者讨论可能的地缘政治动机，认为中国或美国都可能从削弱黄仁勋对芯片政策的影响力中获益。其他人讨论其时机是否与即将到来的美中事件有关。有人提到英伟达股价反应，以及如果其妻子获得大额股权的财务影响。讨论串还涉及常见主题：权势高管落入美人计、财富集中与离婚财产再分配、如果资产转移给妻子可能的慈善捐赠、婚前协议担忧，以及英伟达股价是否应受影响。总体而言，讨论混杂了八卦、地缘政治阴谋、市场影响和社会评论，而非已确认的事实。
Exact 是一个 pre-1.0 跨平台运行时：UI 使用 Contract 编写，数据逻辑使用 TypeScript 或 Rust 编写；编译器烘焙出紧凑的计划。Web 使用约 20 KB 的运行时和真实 DOM；macOS、iOS 和 Linux 使用带有原生渲染（AppKit、UIKit 或 GPU）的 Rust runner/layout kernel，无 webview 或 JavaScript 桥接。一份源代码可运行于 Web、macOS、iOS 和 Linux。AI 代理可通过 `scripts/agent.mjs` 使用十种操作构建、运行、检查和测试应用；Contract 测试在不同主机上运行不变。它强调速度预算、首像素前无 JavaScript 以及能力的惰性加载。呈现默认遵循平台惯例，布局和命名使用 CSS；Web 是奇偶校验 oracle。它支持许多应用和功能，Windows 和 Android 仍为部分支持，某些能力被有意省略。设置需要 Rust、Bun、Chrome、Xcode 和固定的 Hermes bundle。Exact 每日变化，无 API 稳定性。
Hacker News 讨论了 Expo 团队推出的新跨平台 UI 框架 Exact。评论者称其雄心勃勃，指出其代理可以控制 UI 时机，并且 Android 支持预计稍后推出。一名评论者认为它可能影响巨大，可能推动原生、更高效应用的复兴，并减少 Electron 的臃肿，同时警告称它仍是一个长期押注，有许多细节需要解决。另一个担忧是对 AI 模型编写代码的重度依赖，这可能使框架的实用性因模型而异。
SSH2 远程代码执行 ssh2RCE
17 小时前
本文档是一份讽刺性"通告"，声称经认证的SSH远程命令执行是严重漏洞。实际上，它描述的是SSH的预期行为：拥有有效凭据的用户连接到22端口，进行认证，并以该账户的权限运行命令，输出结果被返回。它将许多OpenSSH版本列为"受影响"，但该行为由RFC 4254规定，已存在数十年。安全控制记录成功是因为使用了有效凭据，而非任何控制失效。概念验证使用的是普通SSH命令。夸大的CVSS评分、"不会修复"状态和待定CVE都是玩笑的一部分。最后一节明确指出不存在真实漏洞，无需补丁，远程命令执行是SSH的设计目的。总之：这不是零日漏洞或缺陷，而是正常的、经授权的SSH功能。
一篇 Hacker News 帖子链接到 ssh2rce.com，该网站展示了一个看似 SSH 远程代码执行的问题。评论者指出这是一个玩笑：拥有有效凭据的远程攻击者可以在 SSH 服务器上执行任意命令，这本质上是正常的 SSH 行为。原帖作者承认有很多线索，并表示最终的 FAQ 会更明确地解释。反应包括称赞和一个幽默的建议：改用 telnet。