2026年10月下旬，PHP、Node.js、GitLab、LiteLLM、OpenCode 和 eMudhra CA 都发生了严重安全事件。虽然有补丁和修复步骤，但更困难的任务是在 AWS 和 Azure 中定位受影响的运行时、容器、函数、自托管 GitLab 实例、暴露的密钥和证书。文章强调，资产清单、归属、网络暴露和身份权限决定响应速度，尤其是在利用窗口不断缩小的情况下。它提供了只读命令，用于查找 PHP/Node 使用情况、可从互联网访问的 GitLab、受影响的 LiteLLM 环境及其角色、密钥/证书位置以及过时的信任存储。它还指出扫描器和控制台缺乏覆盖范围、归属和上下文，并推荐 Cloud Sleuth 用于映射 AWS/Azure 资源、推断所有者、展示网络和 IAM 可达性，并路由发现结果。总之：修补只是工作的一部分；了解你拥有什么、谁拥有它以及它能访问什么至关重要。
每日HackerNews RSS
Hacker News 帖子链接到 cloudsleuth.io 关于修补 PHP2Shell、LiteLLM 和 GitLab 漏洞的指南。评论聚焦 eMudhra 问题引发的证书信任风险：pip、certifi、Node 等工具可能自带 CA，因此被入侵的中间证书可能影响本地开发，尤其在伪造或不可信 Wi-Fi 上，SSL 拦截可能不被察觉。用户讨论从操作系统证书库移除不良证书是否有效，指出 pip/Python 除非另行配置否则使用 certifi。其他人认为攻击流程复杂，或认为动态吊销列表会有帮助。另一线程提出通过进程信号进行标准化 BOM 报告，但面临跨语言复杂性和实现负担的反对。
启用 JavaScript 和 cookies 以继续
美光宣布放弃其曾参与发明的4F² DRAM，而包括三星和CXMT在内的竞争对手仍在推进该技术。评论者争论这是否是对更便宜的3D扩展和现有工艺的战略聚焦、成本/复杂度判断，或掩盖落后的说法。一些人认为，考虑到可靠性与rowhammer担忧，4F²相对于其密度增益可能过于复杂或昂贵，而3D扩展可能降低每比特成本。另一些人看到创新者的窘境：在AI需求下当前DRAM利润巨大，因此美光可能避免风险性的新工艺投资，让竞争对手解决问题，之后可能利用专利。担忧包括CXMT快速建设晶圆厂并计划到2026年推出4F²服务器RDIMM，可能威胁现有厂商。总体而言，美光此举存在争议：要么是务实的工程与经济选择，要么是可能让竞争对手获得优势的风险性撤退。
两名民主党参议员罗恩·怀登和亚当·希夫指责特朗普政府非法扣留一项秘密法庭裁决，以向国会施压重新授权《外国情报监视法》第702条款，该条款允许对美国人通信进行无搜查令搜索。七个月前，外国情报监视法庭反对允许分析师在未经必要批准的情况下提取美国人消息的搜索过滤器，但仍然批准了再进行一年的监控。该裁决从未公开，政府的180天发布期限已于9月13日到期。第702条款已于6月失效，但收集仍在继续。怀登和希夫要求在11月6日前作出解释并提供相关官员姓名，警告说如果政府不遵守这一指令，国会就不能信任它遵守其他法律限制。包括美国公民自由联盟在内的公民自由团体敦促国会在信息被扣留期间不要重新授权第702条款。政府此前曾承诺发布该裁决——司法部长托德·布兰奇在7月的承诺中回答“是”——但尚未兑现。参议员马克·华纳期望新任国家情报总监杰伊·克莱顿依法解密该裁决。
Hacker News 上的一个帖子讨论了 Wired 的报道，称美国政府隐瞒了关于监控美国人的秘密法庭裁决。参议员 Ron Wyden 警告说，多届政府依赖一段关于 702 条款的秘密解释，并称解密后会震惊公众。评论者争论秘密法律解释是否合理，认为其破坏民主透明度和第四修正案。讨论指出 702 条款针对境外非美国人士，但引发对美国人被“后门”收集信息和情报共享的担忧。用户还批评秘密法庭和 FISA，认为监控是两党共同支持的，并指出两党支持或未能限制间谍权力。其他人讨论法律先例、政府律师意见，以及影响公民自由的秘密决定示例。总体而言，该帖子围绕隐藏的监控权限、缺乏问责，以及分类解释可能在监督不足的情况下促成大规模间谍活动的广泛担忧。
请启用 Cookie。 错误 1005 Ray ID: a5145057aff66020 2026-10-27 20:05:08 UTC 访问被拒绝 发生了什么？ 该网站（gizmodo.com）的所有者已禁止你的 IP 地址所属的自治系统号（ASN）（45102）访问该网站。 请访问 https://developers.cloudflare.com/support/troubleshooting/http-status-codes/cloudflare-1xxx-errors/error-1005/ 了解更多详情。 此页面有帮助吗？ 是 否 感谢您的反馈！ Cloudflare Ray ID： a5145057aff66020 您的 IP： 点击显示 47.245.80.60 性能与安全由 Cloudflare 提供
微软及其他公司反对加密平台将其股票代币化。评论者围绕代币化股票的定义展开讨论：它们是与股份挂钩的区块链代币，通常可按标的资产价格兑换，有时收取费用且交易时间受限。有人认为其优势包括7×24交易、国际访问、DeFi可组合性、分数化所有权，以及规避资本管制或税收。其他人认为股票本身就是代币，代币化会增加风险中介，可能助长欺诈或监管规避，并缺乏SIPC等保护。替代方案包括永续期货，它们跟踪价格但存在资金费用和清算风险。一些人认为代币化可能改善结算与清算，而怀疑者将其与衍生品比较，并警告对手方风险。总体而言，该讨论凸显了其潜在用途以及关于信任、监管和激励的深层担忧。
LFM3 是 Liquid AI 新一代面向专用端侧智能的多模态基础模型家族。初始发布以基于 1.7B 参数底座的 2B 级模型为中心，提供文本、视觉、音频、全模态和决策变体。基于全新三混合架构并在 22T tokens 上训练，LFM3 比以往 LFM 模型更具表达力且更高效，可在边缘设备运行，支持最高 256K 上下文，并可在单个 GPU 上微调。模型为开放权重，可通过 Hugging Face、Liquid AI API 和 Playground 获取。LFM3-1.7B 提升了代理、指令遵循和工具使用性能，同时保持快速且内存高效。LFM3-VL-2B 增加了支持视频的视觉推理；LFM3-Audio-2B 支持多语言语音、推理和工具调用；LFM3-Omni-2B 统一了视觉、音频和语言；d1 模型可基于文本、图像和音频进行快速结构化决策。此次发布还包含专用机器人与领域微调示例，以及广泛的硬件/平台支持。
Hacker News 关于 Liquid AI 的 LFM3 发布的讨论，重点介绍面向专业化、端侧智能的小型多模态模型（文本、视觉、音频、全模态）。开发者 samstevens 回答了本地使用、微调和性能方面的问题。要点：LFM3-1.7B 处理文本任务；LFM3-VL-2B 在 OCR 和视觉方面表现强；LFM3-Audio-2B 处理 ASR/TTS；全模态模型更通用，但各模态性能较弱。用户报告了在邮件/文本分拣、元数据标注、家庭自动化和音频行动项提取等方面的应用。使用 100+ 标注样本微调可适配模型；MLX 导出和量化支持本地部署。这些模型在部分基准上与更大的 Qwen 模型相当，但不推荐用于编程/SWE。推理轨迹来自 SFT 然后 RL，轻度鼓励简洁推理。总体而言，LFM3 面向高效本地智能体和专业化流水线，而非前沿云端性能。
WikiProject AI Cleanup的创始成员Ellia Lebleu表示，维基百科的AI问题在2023年末通过明显的ChatGPT套话显现出来。到2025年，迹象变得更加微妙，包括结构模式以及不准确或编造的引用。Pangram估计，2025年末有20%的新文章和草稿由AI生成，到2026年初降至15–16%，但尚不清楚是政策还是更好的模型导致了下降。英文维基百科现在禁止由大语言模型生成的文章，而AI来源验证器和Paste Check等工具有助于检测AI。大多数AI内容来自初学者，因此规则正被突出展示。Lebleu还指出维基百科作为人工撰写语料库的价值，并讨论了未来的“Google Zero”风险、AI归属框架，以及维基百科与AI之间可能的共生关系。
Hacker News 的讨论聚焦于维基百科清除 AI 生成内容的努力。评论者普遍支持清理，认为尽管 AI 可以辅助研究与编辑，但大规模 AI 生成文本会变得嘈杂、同质化，并容易出现幻觉或误导性引用。一些用户担心反馈循环：LLM 在维基百科上训练，随后 AI 生成内容又被反馈回去，可能污染训练数据，使 LLM 之前的档案越来越有价值。其他人指出检测并不完美，清理可能困难，尤其是 ClueBot 或 Pangram 等工具可能误标正当编辑。讨论还延伸到更广泛的维基百科问题：百科全书式篇幅与可读性、编辑偏见、质量控制以及人工策展的价值。有人认为 AI 生成的百科全书最终可能可行，但当前的验证和偏见问题仍然存在。总体共识是，维基百科应主要由人类撰写，AI 应谨慎作为工具使用，而非自主内容来源。
GoAhead 是一款用于数亿台设备的嵌入式 Web 服务器，在 6.1.0 及更早版本中存在三个 TLS 集成缺陷。在 OpenSSL 兼容的构建版本中，已配置的 CRL 被加载但从未执行，导致被吊销的客户端证书可完成 mTLS 握手（严重，CVE-2026-115881）。在 Mbed TLS 构建版本中，缓冲区长度拼写错误将 2048 位 DH 模数缩小为一个字节，使 TLS 1.2 DHE_RSA 会话在客户端接受该错误参数时可被被动观察者解密（中等）。在 LibreSSL 旧版验证器构建版本中，当 VERIFY_PEER=1 但 VERIFY_ISSUER=0 时，过深的客户端链可能被接受，绕过链深度限制（高，CVE-2026-115884）。影响取决于 TLS 后端、版本和验证配置。修复：升级到 GoAhead 6.1.1 或更高版本；对于 Mbed TLS，还应禁用有限域 DHE 套件或使用 OpenSSL 后端；对于 LibreSSL，启用 VERIFY_ISSUER=1 并配合受信任的 CA 证书包，或使用 OpenSSL/LibreSSL 4.x。ECDHE 和 TLS 1.3 不受 DH 问题影响。
Hacker News 的讨论涵盖了一份关于 GoAhead 中三个 TLS 漏洞的报告。评论者争论严重性：跳过 CRL 检查并不关键，绕过证书链长度限制是小问题。最引人注目的漏洞是 Mbed TLS 中 `mbedtls_ssl_conf_dh_param_bin` 的笔误，其中使用了 `sizeof(dhm_g)` 而非 `sizeof(dhm_p)`，将 2048 位 DH 模数缩小为一个字节，并在客户端接受损坏参数的情况下使 TLS 1.2 DHE_RSA 会话可解密。评论者还讨论 C 缺乏胖指针以及指针/长度 API 如何导致此类错误，以及与 eMudhra 弱参数的可能关联。较轻松的评论拿私钥为 5、后门和破坏互联网开玩笑。总体而言，该线程突显了 TLS 验证和 DH 参数处理中的实现与严重性问题。
CPython的实验性JIT编译器（2024年加入）正在从主项目撤出。在指导委员会要求提供定义支持、维护和成功指标的标准轨道PEP后，维护者创建了PEP 836，但后来因带宽不足而撤回。委员会曾对内存、安全、平台一致性、用户可见行为和兼容性测试时间表提出担忧，并希望获得更多社区共识。CPython主仓库中的工作将停止，JIT代码可能很快被移除，以准备Python 3.16。作者仍对技术方向感到乐观，并可能为他人留下参考实现，但没有主动开发计划；未来工作取决于社区兴趣。
Hacker News 评论者讨论 Python 实验性 JIT 的撤回/移除。该决定与维护、兼容性、工具/安全支持以及不明确的成功指标有关，还有开发者带宽有限。有人认为 JIT 工作本质上是实验性的，不应要求如此宽泛的 PEP，将其与 JVM 和 JavaScript 的优化过程作不利比较。其他人支持谨慎，指出 CPython 作为稳定全球基础设施的角色。性能提升被视为有限，而 Python 已有 PyPy、GraalPy、Numba、Cython 和 C/Rust 扩展等替代方案。评论者还讨论自由线程、动态语言复杂性、类型注解，以及 Python 是否应优先考虑类型化子集或替代实现。总体情绪混杂：性能导向用户失望，但接受该项目缺乏令人信服、可维护的进入 CPython 主线的路径。
获取个性化产品推荐，比较型号，查看已保存商品，并跟踪订单。另外，现在选择接收更新，了解新品、促销活动、灵活支付选项和门店活动。扫描二维码开始使用。
Hacker News 关于新款 M6 iMac 的讨论聚焦于其溢价是否合理。支持者称赞一体化设计、高 DPI 显示屏、扬声器、摄像头、配色选项、简洁性，以及家庭电脑、前台、厨房设备等小众用途。批评者认为其价格远高于搭配相当显示器的 Mac mini，却仅提供 24 英寸 60Hz 屏幕、最多 32GB 内存，且没有 Pro/Max 芯片选项。部分用户提到老款 iMac 的耐用性，并对失去 Target Display Mode 表示遗憾；另一些用户则讨论本地 AI，指出在该场景下内存带宽和更高端芯片比代际更重要。总体而言，评论者认为 iMac 对休闲、非技术或注重设计的买家颇具吸引力，但对专业人士、追求性价比的用户，或需要更大显示屏、更多内存或 Linux 灵活性的用户则吸引力不足。
研究人员正在整理文献勘误，并已完成第一代有限单群分类证明的完整 Lean 形式化。该分类定理指出，每个有限单群要么是素数阶循环群，要么是交错群，要么是 Lie 型群，要么是 26 个散在群之一。他们的 Lean 证明用 Lean 的内核检查每一步逻辑。他们还报告在已发表的 Unbalanced Group Theorem 论证中发现一个问题，并在随附论文中描述了替代路线。该项目依托数百个源文献和众多贡献者，并提供交互式证明地图与在线仓库。规模指标包括 4310 万行 Lean 代码、205 万声明、715 篇论文和书籍，以及 108 个里程碑。
Hacker News 讨论了 Axiom 使用 AI 代理在多来源下将有限单群分类在 Lean 中形式化的工作，据报道达 4310 万行。评论者指出它验证了这个著名复杂证明，发现了至少一处缺陷/缺口并已修复，可能消除 lingering 疑虑。讨论还涵盖自动形式化数学教科书、连贯定义的挑战、重复定理表述，以及基于 LLM 的形式化是否产生可复用库。其他评论提到 Lean 的内核/可检查性、可能的 bug 和第二/第三代证明。部分评论辩论 HoTT 与 Lean/集合论基础，用户也反思抽象代数与 AI 在数学中的角色。总体上，该帖把这一形式化视为具有里程碑意义的大规模验证工作，对数学信任和未来 AI 辅助证明形式化有影响。