达特茅斯学院的瓜里尼学院已暂停其数学博士项目2027-2028届的招生，同时文理学院对该系进行审查。院长凯莉·科拉表示，暂停是定期审查的一部分，并与文理学院领导共同做出；恢复时间不确定。现有学生的资助、津贴、指导和学位要求保持不变，项目将支持在读学生直至毕业。申请者已收到通知，提交的材料将不被审核。教职人员和学生批评了这一决定，指出缺乏透明度，并担心研究文化、本科生对高级课程的修读机会以及项目稳定性。此次暂停是在全美博士名额下降的背景下发生的。另外，达特茅斯正在削减5000万美元支出，终止“研究员学会”，并将北园公寓转为研究生住房。
每日HackerNews RSS
达特茅斯学院Guarini学院今年将不招收数学博士新生，而现有数学研究生继续保留助学金、保险、资助、指导、考试和教职。Hacker News评论者就这是否明智或目光短浅展开了辩论。一些人认为大学过度培养博士，应使招生与就业市场相匹配；另一些人则表示机构不应规划职业，且博士训练能培养超越聪明的专门知识。AI/LLM被指出为数学研究和学术岗位带来不确定性，同时一些人警告说减少博士数量可能削弱人类专业知识。另有评论质疑达特茅斯更广泛的5000万美元削减支出、行政臃肿，以及削减是否应针对员工而非学生群体。总体而言，反应不一：一些人认为这是在学术和就业市场变化背景下负责任的缩减；另一些人则视之为对研究训练的过早、有害撤退。
灰色岩石技巧由博主Skylar在2012年经历一段虐待关系后提出，指刻意变得无聊和平淡，以剥夺操纵者或“情绪吸血鬼”所渴望的戏剧性。它受一位陌生人“要无聊”的建议启发，目的是让互动变得毫无满足感，使难缠的人失去兴趣并离开。它在严重情境（如跟踪或无法避免的关系）以及日常冲突（如家庭聊天）中都有用。虽然有效，但使用过于广泛时可能让人感到过度或情感麻木；作者如今更倾向于有策略地使用，而非持续使用。
文章与讨论聚焦于“灰石法”——以平淡、无聊、无反应的方式回应难相处的人，以减少冲突并剥夺其情绪回报。评论者表示，这有助于应对有毒的同事、家人或网络暴民，有时能让他人尊重边界或失去兴趣。然而，许多人警告，这并非健康的长期默认策略：它可能压抑真实感受、变得消极攻击、破坏健康关系并回避必要沟通。它通常被视为在无法立即逃离或断联时的减少伤害手段，而非边界、自信或离开有毒关系的替代品。几位评论者将其与斯多葛主义区分，并警告不要将回避正常化。
作者认为，近期美国和英国炫耀美国经济增长、嘲讽“europoors”（欧洲穷人），反映的是不安全感和政治创伤，而非欧洲真正劣等。这场争论主要由美国人和英国人，尤其是英国精英推动，而不是由欧洲人推动。作者从美国移居欧洲后指出，美国生活自动更好这一旧假设正在消退，因为欧洲人和美国人都看到了欧洲更强的社会保障、更便宜的教育、医疗和更好的工作与生活平衡。与此同时，美国对民主崩溃的焦虑和英国脱欧后的屈辱，助长了对欧盟的防御性攻击。作者还质疑更高美国薪资等同更好生活水平的说法，指出医疗、学生贷款、汽车成本、育儿和高房租会降低可支配收入。总体而言，这些噪音来自英国和美国的脆弱，而不是来自欧洲。
HN 上围绕一篇称“europoor” rant 反映美国不安全感的文章展开讨论。评论者争论关于空调和 Costco 的亲美模因是否为人为炒作，以及外国人是否真的感到印象深刻。许多人比较美国与欧洲的生活水平：一些人引用更高的美国工资、生产率和可支配收入，而另一些人强调欧洲的医疗、安全网、假期、步行友好和更低的压力。几人指出社交媒体不代表现实生活，双方都在交易刻板印象。其他人讨论住房成本、地区差异以及中产阶级购买力是否停滞。整体上，该主题显示美国与欧洲繁荣的竞争叙事，对头条收入还是更广泛的生活质量因素更重要存在分歧。
Project Zero 将在报告后 90 天披露漏洞 Project Zero will disclose vulnerabilities 90 days after reporting
21 小时前
Project Zero 正用“Full 90”政策替代其“90 + 30”披露政策：漏洞将在报告后 90 天披露；从 2027 年 2 月 2 日起改为 60 天；从 2028 年 1 月 3 日起改为 30 天。这一变化反映了 AI 辅助的发现与利用、从补丁更快逆向工程、补丁浸泡时间价值下降，以及报告漏洞数量增加。新政策取消了大多数特殊情况，包括宽限期和变体处理，但保留了野外利用漏洞、公开已知漏洞和厂商要求披露的例外。其目标是更快修复、缩小补丁间隔，并便于自动化。Project Zero 仍会跟踪漏洞是否修复，但修复状态不再作为政策决策点。严重性不会决定披露时间，尽管 Project Zero 只报告影响重大的漏洞。渐进时间表是在厂商反馈后选择的，以避免伤害用户，同时鼓励更快、更现实的修复改进。
Project Zero 宣布“Full 90”披露政策：漏洞在向厂商报告后 90 天公开披露；该期限将于 2027 年 2 月 2 日缩短至 60 天，并于 2028 年 1 月 3 日缩短至 30 天。Hacker News 评论者就 30 天是否过于严苛展开辩论，尤其针对难以修复的漏洞以及测试/发布限制。有人认为用户应了解风险，也有人认为 AI 辅助修补可能是缩短时限的原因之一。讨论还涉及厂商话语权、漏洞赏金以及不同项目更新速度差异。
这篇帖子解释了商业移动取证工具如何通过利用标准、已公开的漏洞类别而非新奇魔法来解锁设备。它涵盖了硬件安全架构——TrustZone 的 Normal/Secure Worlds、TEE 实现（TrustyOS、QSEE、TEEGRIS 等）、Titan M 等安全元件，以及启动链——以及 Android 的加密模型（FDE/FBE、通过 scrypt 和 Gatekeeper/Keymaster 的 CE 密钥派生，以及安全元件设备上的 Weaver）。
主要攻击路径：BFU（关机）攻击会攻破 Boot ROM/preloader 以修补 TEE 并离线暴力破解凭证——在存在不可修补 Boot ROM 缺陷的 MediaTek 设备上尤其致命。安全元件强制更慢的在线暴力破解，使配备 Titan M 的 Pixel 大部分情况下具有抗性。AFU 攻击完全跳过凭证猜测：由于首次解锁后解密密钥驻留在内存中，USB 驱动漏洞（约 200 个可触及的驱动）可获得内核访问并读取解密数据，正如 Cellebrite 的 CVE-2024-53104/53197/50302 链所示。iOS 面临类似风险（checkm8、USB 限制模式绕过 CVE-2025-24200）。
防御措施：关机（BFU 最强）、在 iOS 上启用锁定模式、使用短自动重启计时器、限制 USB 数据、选择安全元件设备（Pixel + GrapheneOS 提供最强的 Android 保护），并使用强字母数字密码。应用级加密提供纵深防御。
Hacker News 链接了一篇关于破解手机解锁工具的揭秘文章。评论提到 Cellebrite 文档和 MSAB XRY 取证软件的近期泄露，讨论 GrapheneOS 对取证工具的抵御能力，并讨论移动安全状态：首次解锁前（BFU）与首次解锁后（AFU）。一位评论者询问 Samsung Knox 的锁屏延迟是否表示更强的保护；另一位解释该延迟可能反映 BFU 加密。其他人批评美国国家安全局和政府优先事项，认为机构更关注监控，而非帮助厂商修补取证公司使用的漏洞。该帖反映出对手机提取工具、隐私以及安全努力是否保护普通用户的担忧。
```
Hacker News 链接到 Mercury OS，它被描述为一种没有文件夹或应用的重新构想操作系统。该帖子有 11 点和 9 条评论。评论者大多持怀疑态度：有人认为计算机不应变得更“神奇”，并为文件和文件夹作为有用隐喻辩护，担心扁平数据空间会增加杂乱；另一人认为这是让 LLM 看起来相关的又一次尝试，并不喜欢过度依赖代理进行组织。一条回复指出该概念早于 LLM。其他人质疑它究竟是真正的操作系统还是高层应用，理由是硬件和抽象问题，并将其与 AI 设备操作系统比较。其他评论提到过去讨论、AI 时代的重新考虑、对中断的夸张说法，以及关于花哨 Notes 应用的笑话。页面还包括 HN 导航和指南。
从此 QR 码中提取的两层。 01 / 普通内容 bitcoin:bc1qxy2kgdygjrsqtzq2n0yrf2493p83kkfjhx0wlh 02 / 嵌入签名 qrsig.org Ed25519 · 64 字节 正在加载签名… 签名将精确内容绑定到签发者的域名和声明的签发时间。它不会改变地址。
Hacker News 上的一篇帖子介绍了 qrsig.org，一个用于加密验证二维码发行者的提案。一些评论者认为这个想法有趣，但许多人批评该网站和仓库是 AI slop/vibe-coded，指出其文案冗长且界面文字多余。用户还讨论了 Codex 和 Claude 等 AI 编码工具添加冗余解释的问题。安全方面，有人指出验证二维码来源并不能保证其目的地安全。一位评论者推广了强调在打开链接前先显示 URL 的工具和博客文章。
这篇文章讨论了一起当前的间谍丑闻以及美人计的悠久历史，情报机构利用目标的弱点，遵循MICE原则：金钱、意识形态、胁迫和自我。它列举的例证包括玛塔·哈里、东德“罗密欧”如费利克斯招募诺玛、克格勃勒索约翰·瓦萨尔，以及克莱顿·洛内特里的招募。它指出美人计并非总是有效；文化背景很重要，法国的婚外情规范可能降低其威慑力。它还说，据报道美国情报机构避免美人计，因为勒索产生的长期代理人不如出于意识形态或需要而自愿被招募的代理人高效、可信。最后，作者回忆起1990年代巴尔干半岛任务中，两名穿比基尼的女性试图诱他进她们的房间；他的反间谍训练和她们的“歪牙”帮助他拒绝，而一名当地资深情报官员后来将这一企图归因于旧派残余。
一个 Hacker News 帖子链接了一篇关于美人计历史的文章，并包含与英伟达相关争议的评论。一名评论者认为 Alice 很可能只是中国国家安全部（MSS）的资产，而非受过训练的间谍，并称这些指控在白宫早已为人所知。该泄露被描述为在美中峰会和芯片出口豁免谈判前，中国 AI 鹰派与贸易务实派之间内部裂痕的一部分。其他评论者争论“honeypot”与“honey trap”的区别，认为 honeypot 是一般性诱饵，而 honey trap 针对特定受害者。文中还引用了 CNN 的报道。
LinkedIn和Monster在CBC的调查后下架了1000多条虚假职位。Hacker News上的讨论扩展到整个网络经济中的诈骗问题，包括虚假或过期职位、误导性商品质量以及AI驱动的欺诈。评论者争论廉价、一次性商品是诈骗还是消费者驱动的市场，其他人则指出欺骗性营销、操纵评论、推广榜单和平台执法不足。讨论还涉及传销、分时度假诈骗、钓鱼、冒充以及通过招聘网站找到正当工作之难。总体而言，虚假职位被视作一个更大生态系统的症状，在这个生态系统中，欺骗和低质量商品日益常见。
这篇博客介绍了一个自引导 ZIP 压缩包 boot.zip，它既是有效的 ZIP 文件，又可在 x86 BIOS 系统上启动。其第一个本地文件头被构造为无害的 8086 指令，从而可以在 ZIP 修改时间字段处跳转到启动扇区。压缩包包含 boot/ZIPHEAD.COM 和重建所需的源代码。它通过嵌入在第一个文件中的 Multiboot 头支持 QEMU 直接内核启动，也通过前 512 字节中的有效 MBR 启动扇区支持从软盘或硬盘进行 BIOS 启动。加载器设置实模式、A20、保护模式，将压缩包加载到高内存，并转移到 Multiboot 入口点。该压缩包在保持正常归档工具可读、无间隙或无效结构的同时，展示了 ZIP 多格式文件技巧。作者还详细介绍了 ZIP 格式设计、中央目录、多格式文件可能性以及复杂的 BIOS 启动过程。
Hacker News 链接了一篇关于创建自启动 ZIP 压缩包的文章。评论者讨论了 ZIP 作为被低估的容器格式，指出在服务器支持范围请求时，可以通过 HTTP 从大型 ZIP 中获取单个文件。他们解释了中央目录通常位于文件末尾附近，且末尾中央目录记录提供了其大小和偏移量，因此只需请求所需的范围。帖子还包含了一句幽默的“你应该吗？”引用、一位开发者对高级计算技巧的感受反思，以及一个指向不常见 RAR 文件技巧的链接。