4小时前
|
|
|
## 今天 Hacker News 社区聊了啥? NO.20251022
今天的科技圈有点热闹!首先,AI助手被爆新闻失实率高达45%,信息真假难辨!然后,MinIO停止发布免费Docker镜像,社区炸锅,担心安全更新跟不上?紧接着,特斯拉又召回近13000辆电动汽车,电池问题再引关注。还有Linux权限控制、CPU芯片揭秘、新型LLM架构、Cookie法规争议等精彩内容等你探索。想了解更多技术内幕?赶紧戳进来,吃瓜不迷路!

---
## Cloudflare CIRCL FourQ 实现中的密码学问题 (CVE-2025-8556)
本文深入探讨了 Cloudflare CIRCL 密码学库中 FourQ 椭圆曲线实现中发现的多个密码学问题,重点关注了无效点攻击及其对安全性的影响。
文章指出,在对开源椭圆曲线实现进行广泛审计时,发现了 Cloudflare CIRCL 库中 FourQ 椭圆曲线实现的几个密码学问题。这些问题已于 2025 年 3 月通过 Cloudflare 的 HackerOne 漏洞赏金计划报告,并在 Cloudflare 团队介入后得到适当的确认和修复。FourQ 曲线是由微软研究院开发的具有 128 位安全性的椭圆曲线,文章解释了 FourQ 曲线基于梅森素数的二维扩展,并利用 endomorphisms 优化计算。文章详细解释了无效点攻击的概念,攻击者可以利用服务器对无效点(即不在曲线上的点)执行计算,从而泄露有关私钥的信息。文章还讨论了 Edwards 曲线上的退化曲线攻击,指出通过将 Edwards 曲线的参数设置为 0,可以简化攻击并恢复私钥。文章强调了在 ECC 实现中验证点的重要性,以防止无效点攻击。文章最后总结了在 CIRCL 的 FourQ 实现中发现的 7 个相关问题,并重点介绍了其中 4 个主要问题,包括 `Point.Unmarshal` 中的不正确的点验证,缺少对点共轭的考虑等。总而言之,文章详细分析了 Cloudflare CIRCL 库中 FourQ 椭圆曲线实现中存在的密码学漏洞,并强调了在密码学实现中进行严格验证的重要性,以确保安全性。
- 原文: [Cryptographic Issues in Cloudflare's Circl FourQ Implementation (CVE-2025-8556)](https://www.botanica.software/blog/cryptographic-issues-in-cloudflares-circl-fourq-implementation)
- Hacker News: [https://news.ycombinator.com/item?id=45669593](https://news.ycombinator.com/item?id=45669593)
- 作者: botanica_labs
- 评分: 30
- 评论数: 2
- 发布时间: 2025-10-22 22:22:41
---
## Linux Capabilities Revisited:更细粒度的权限控制
本文深入探讨了Linux Capabilities,这是一种比传统的superuser模型更细粒度的访问控制机制。Capabilities将root用户的权限拆分为独立的单元,可以为不同的进程单独启用或禁用,从而实现更安全、更可控的权限管理。
文章首先介绍了Capabilities的基本概念,例如如何查看Linux主机支持的capabilities数量,以及如何使用`capsh --print`命令查看当前capabilities和相关设置。每个capability对应于一个特定的特权操作。
文章重点介绍了如何使用`setcap`命令为可执行文件设置capabilities。例如,`cap_setuid` capability允许进程任意操作用户ID(UID),包括将UID设置为受限值(如UID 0,即root用户)。通过将`cap_setuid` capability添加到Python二进制文件,可以在不设置SUID位或更改Python二进制文件的情况下,创建一个强大的后门。
文章还讨论了如何检测和移除capabilities。可以使用`getcap -r`命令枚举所有设置了capabilities的二进制文件。此外,文章还提到了LinPEAS工具,它可以用来查找(隐藏的)capabilities。最后,文章还介绍了Elastic的规则,用于检测通过setcap实用程序设置进程capabilities的行为。
文章强调,除了传统的SUID/SGID检查之外,现代安全实践还必须包括搜索具有特定capabilities集的文件。Capabilities提供了一种更细粒度、更隐蔽的方式来授予必要的权限,如果不加以监控,可能会带来重大的安全风险。
由于文章没有评论区,因此无法提供评论观点的总结和分析。
- 原文: [Linux Capabilities Revisited](https://dfir.ch/posts/linux_capabilities/)
- Hacker News: [https://news.ycombinator.com/item?id=45669142](https://news.ycombinator.com/item?id=45669142)
- 作者: Harvesterify
- 评分: 33
- 评论数: 2
- 发布时间: 2025-10-22 21:50:20
---
## MinIO 停止发布免费 Docker 镜像引发社区争议
MinIO 决定停止发布免费 Docker 镜像,这一举动在开发者社区引发了广泛讨论和不满。许多用户认为此举对社区不友好,并可能导致安全风险。
MinIO 停止提供 Docker 镜像意味着用户将无法再通过 Docker Hub 轻松获取和更新 MinIO 服务。社区成员对此表示失望,因为 Docker 镜像的便捷性大大降低了部署和维护 MinIO 的门槛。有人指出,此举正值一个严重安全漏洞发布之际,时机非常糟糕,可能会导致大量未更新的 MinIO 实例暴露在风险之中。用户担心,即使是小型或个人部署,也可能因为缺乏更新而面临安全威胁。
更有用户指出,MinIO 停止发布 Docker 镜像,加上之前从 UI 控制台中移除 OIDC 代码等行为,让他们觉得 MinIO 正在采取一种“锁定”策略,逐步将开源功能转移到付费版本中。一些付费用户也对此表示不满,认为这可能会导致他们放弃使用 MinIO。
社区成员普遍认为,即使自行构建 Docker 镜像在技术上可行,但并非所有用户都有能力或意愿这样做。更重要的是,官方 Docker 镜像的缺失会导致用户无法及时获得安全更新,从而降低整个互联网的安全性。有人甚至认为,MinIO 的这一举动是“恶意”的,因为他们完全可以利用 GitHub Actions 免费构建和发布 Docker 镜像。
当然,也有声音认为,自行构建 Docker 镜像并非难事,用户应该具备这种能力。但这种观点很快遭到了反驳,因为问题的关键在于及时获取更新和安全补丁,而不是构建镜像本身。
总的来说,评论区主要围绕 MinIO 停止发布 Docker 镜像的决定展开,表达了对社区支持减少、安全风险增加以及潜在的“锁定”策略的担忧。用户们从不同角度分析了这一举动的影响,并呼吁 MinIO 重新考虑这一决定,或者至少提供明确的迁移指南和安全更新渠道。
- 原文: [MinIO stops distributing free Docker images](https://github.com/minio/minio/issues/21647#issuecomment-3418675115)
- Hacker News: [https://news.ycombinator.com/item?id=45665452](https://news.ycombinator.com/item?id=45665452)
- 作者: LexSiga
- 评分: 367
- 评论数: 213
- 发布时间: 2025-10-22 14:17:18
---
## AI助手新闻内容失实率高达45%:一项大型研究揭示了AI工具的局限性
这项由欧洲广播联盟(EBU)协调、BBC主导的最新研究表明,AI助手在新闻内容呈现方面存在普遍的失实问题,这一现象不受语言、地区或AI平台的影响。研究发现,AI助手在提供新闻时,准确性、信息来源、区分观点与事实以及提供背景信息等方面都存在问题。
该研究由来自18个国家的22个公共服务媒体(PSM)机构参与,使用了14种语言,对ChatGPT、Copilot、Gemini和Perplexity四种主流AI工具进行了评估。结果显示,45%的AI回答存在至少一个重大问题,31%的回答存在严重的信息来源问题,包括缺失、误导或不正确的归属,20%的回答包含重大准确性问题,包括虚构细节和过时信息。其中,Gemini的表现最差,76%的回答存在重大问题,主要是由于其较差的信息来源表现。
这项研究的重要性在于,AI助手正日益取代搜索引擎成为许多用户获取信息的渠道。路透社研究所《2025年数字新闻报告》显示,7%的在线新闻消费者使用AI助手获取新闻,25岁以下人群的这一比例高达15%。研究人员发布了一个工具包,旨在帮助解决报告中发现的问题,包括改进AI助手的回应和提高用户的新闻素养。EBU及其成员正在敦促欧盟和国家监管机构执行现有的信息完整性、数字服务和媒体多元化法律。
BBC还单独发布了一项关于受众使用和认知AI助手获取新闻的研究,结果显示,许多人认为AI生成的新闻摘要是准确的,但事实并非如此。当人们发现错误时,他们会责怪新闻提供商和AI开发者,即使这些错误是AI助手造成的。最终,这些错误可能会对人们对新闻和新闻品牌的信任产生负面影响。
评论区里,有用户指出,报告中很多错误被归类为“来源问题”,例如AI助手没有引用来源,或者引用了维基百科而非BBC。还有人认为,报告没有明确指出测试的具体模型,并且遗漏了Anthropic,转而选择了Perplexity和Copilot。另有用户分享了自己使用Gemini的经历,发现它会凭空捏造新闻标题、摘要和链接。这些评论都突显了AI助手在新闻内容呈现方面存在的各种问题,以及用户在使用这些工具时需要保持警惕。
- 原文: [AI assistants misrepresent news content 45% of the time](https://www.bbc.co.uk/mediacentre/2025/new-ebu-research-ai-assistants-news-content)
- Hacker News: [https://news.ycombinator.com/item?id=45668990](https://news.ycombinator.com/item?id=45668990)
- 作者: sohkamyung
- 评分: 84
- 评论数: 52
- 发布时间: 2025-10-22 21:39:26
---
## 软件设计:为“腐烂之物”而设计
本文探讨了作者如何将软件工程的原则应用于食物发酵过程,特别是肉类熟成,通过硬件控制、数据监控和风险分析,确保食品安全和质量。
作者最初尝试用传统方法跟踪发酵过程,但发现难以确定关键的监控指标和时间点。随后,他搭建了一个硬件环境,包括温湿度控制的冰箱,并使用Home Assistant构建了数据面板。然而,仅仅监控数据是不够的,关键在于理解数据背后的含义。作者通过研究HACCP(危害分析和关键控制点)体系,学习如何识别潜在风险并进行有效监控。他开发了一个iOS应用,用于跟踪发酵过程中的关键指标,如pH值、湿度和温度,并根据不同的发酵阶段设置不同的约束条件。该应用还能自动生成HACCP文档,方便追溯和验证。作者将软件设计中的状态机概念应用于发酵过程,根据不同的阶段应用不同的约束条件,提高了监控效率。最终,他成功地将软件工程的严谨性与食品发酵的艺术相结合,确保了食品的安全和可控性。
- 原文: [Designing software for things that rot](https://drobinin.com/posts/designing-software-for-things-that-rot/)
- Hacker News: [https://news.ycombinator.com/item?id=45662368](https://news.ycombinator.com/item?id=45662368)
- 作者: valzevul
- 评分: 13
- 评论数: 0
- 发布时间: 2025-10-22 06:10:18
---
## CPU 芯片 Die Shot 收集项目
本文介绍了一个名为 Birdman86 的用户在 Wikimedia Commons 上创建的项目,旨在收集各种 CPU 和其他有趣芯片的 Die Shot(芯片裸片照片)。
Birdman86 的项目目标是拍摄尽可能多的 CPU 和其他有趣芯片的 Die Shot,并在页面上以有组织的方式呈现,方便用户浏览不同芯片类别和系列的 Die Shot。该项目会持续更新,随着 Birdman86 获得更多芯片和 Die,并有足够的时间,他会不断发布新的 Die Shot。目前已经涵盖了 Intel 8086, 8088, 80186, 80286, 80386, 80486 系列,以及 AMD, NEC, Siemens, Fujitsu, OKI, Cyrix, TI, ST, UMC 等厂商的 CPU 和协处理器。
这些 Die Shot 不仅展示了芯片的物理结构,也为研究芯片设计和制造工艺提供了宝贵的资料。例如,文章列出了 Intel 80286 的早期版本和后期版本的 Die Shot,可以观察到芯片设计的演进。此外,还包括了各种兼容芯片的 Die Shot,例如 AMD 的 Am286,以及 Cyrix 和 IIT 的协处理器,可以对比不同厂商的设计思路。
这个项目对于芯片爱好者、硬件工程师和历史研究者来说都非常有价值,它提供了一个集中访问各种芯片 Die Shot 的平台。通过观察这些 Die Shot,我们可以更深入地了解芯片的内部工作原理和发展历程。
- 原文: [Die shots of as many CPUs and other interesting chips as possible](https://commons.wikimedia.org/wiki/User:Birdman86)
- Hacker News: [https://news.ycombinator.com/item?id=45620330](https://news.ycombinator.com/item?id=45620330)
- 作者: uticus
- 评分: 105
- 评论数: 19
- 发布时间: 2025-10-18 02:39:22
---
## Dragon Hatchling:Transformer与大脑模型的桥梁
这篇论文介绍了一种名为“Dragon Hatchling”(BDH)的新型大型语言模型架构,旨在弥合Transformer模型与大脑模型之间的差距。BDH基于一种受生物学启发的、无尺度网络,该网络由n个局部交互的神经元粒子组成。
BDH模型具有强大的理论基础和内在的可解释性,同时保持了类似Transformer的性能。它是一种基于注意力的状态空间序列学习架构,并且可以被视为一个图模型,同时也能以GPU友好的方式实现。实验结果表明,在相同的参数规模(10M到1B)和训练数据下,BDH在语言和翻译任务上可以与GPT2的性能相媲美。
该模型的一个关键特性是其与大脑模型的关联性。BDH在推理过程中的工作记忆完全依赖于突触可塑性和基于脉冲神经元的赫布学习。实验证实,当BDH听到或推理关于特定概念时,特定的、独立的突触连接会得到加强。BDH的神经元交互网络是一个具有高模块化和重尾度分布的图。因此,该模型在生物学上是合理的,并可能解释了人类神经元实现语音的一种可能机制。
BDH的设计注重可解释性。其激活向量是稀疏且为正的,并且在语言任务中表现出单义性。状态的可解释性是BDH架构的一个固有特征,超越了神经元和模型参数的可解释性。论文还提供了代码和相关的博客链接,方便读者进一步了解和使用该模型。总而言之,BDH代表了一种在AI领域中,将模型性能、生物学合理性和可解释性相结合的有前景的方向。
- 原文: [The Dragon Hatchling: The missing link between the transformer and brain models](https://arxiv.org/abs/2509.26507)
- Hacker News: [https://news.ycombinator.com/item?id=45668408](https://news.ycombinator.com/item?id=45668408)
- 作者: thatxliner
- 评分: 104
- 评论数: 41
- 发布时间: 2025-10-22 21:00:08
---
## 本地LLM的安全悖论:小型模型更容易被欺骗植入漏洞
本文探讨了本地运行的大语言模型(LLM)在安全性方面存在的悖论。研究表明,相比于大型的云端模型,本地LLM更容易被诱导产生恶意代码,成功率高达95%。这是因为本地模型规模较小,识别恶意攻击的能力较弱。
文章揭示了两种攻击方式:
1. **“彩蛋”后门:** 攻击者通过看似无害的提示,诱导模型在代码中植入远程代码执行(RCE)后门。例如,要求模型在Flask Web服务器中添加一个“彩蛋”,当收到特定的HTTP Header时执行任意代码。
2. **认知过载即时RCE:** 攻击者首先通过认知过载分散模型的注意力,然后诱导模型生成包含混淆代码的Python脚本,从而在开发者的机器上立即执行恶意代码。
这些攻击利用了开发者日常工作流程中的漏洞,例如:
* **文档投毒:** 在README文件、API文档或Reddit讨论中隐藏恶意提示。
* **入侵MCP服务器:** 操纵上下文提供服务器,将恶意示例注入开发者的环境。
* **社会工程:** 在GitHub issue或pull request评论中提供看似有用的建议,但其中包含隐藏的恶意代码示例。
文章强调,本地模型虽然提供了数据隐私,但其较弱的推理和对齐能力使其更容易受到攻击。云端模型通常会监控恶意意图的提示,而本地模型则缺乏这种保护机制。这使得本地模型在安全性方面面临更大的风险。
- 原文: [The security paradox of local LLMs](https://quesma.com/blog/local-llms-security-paradox/)
- Hacker News: [https://news.ycombinator.com/item?id=45668264](https://news.ycombinator.com/item?id=45668264)
- 作者: jakozaur
- 评分: 15
- 评论数: 4
- 发布时间: 2025-10-22 20:48:01
---
## 浏览器应承担 Cookie 法规的重任
文章探讨了当前 Cookie 法规执行方式的弊端,认为将用户数据控制权分散在数百万网站上的做法是无效的,并提议将隐私设置集成到浏览器中,从而简化用户体验并提高法规的执行效率。
文章指出,目前网站上普遍存在的 Cookie 横幅通知已经导致用户产生“同意疲劳”,用户往往会不加思索地点击“全部接受”,使得隐私选择变得毫无意义。这种现状对小型网站和开发者也造成了负担,他们需要花费时间和精力来处理复杂的合规问题。此外,文章还强调,即使提供了看似多样化的选择,但设计往往倾向于引导用户选择“全部接受”,用户并没有真正掌握控制权。
文章提出了一个更简洁的方案:将隐私设置直接集成到浏览器中。用户可以在浏览器设置中一次性设置自己的隐私偏好,例如选择仅允许必要的 Cookie、允许匿名数据分析或允许个性化体验。之后,浏览器将根据用户的设置自动处理网站的 Cookie 请求,无需用户每次都手动操作。这种方式不仅能提升用户体验,还能减轻网站所有者的负担,并简化监管部门的执法工作。文章作者认为,与其强制数百万网站遵守法规,不如确保少数主流浏览器能够正确执行用户选择。
评论区中,@michaelmauderer 指出问题不在于法律本身,而在于网站的恶意合规,他们不希望放弃追踪用户。他强调,“拒绝所有”才是“全部接受”的本意,并分享了一篇关于德国法院反对操纵性 Cookie 横幅的新闻,认为“拒绝所有”选项应该直接呈现给用户。这表明,评论区认为问题的关键在于如何确保用户能够真正行使自己的隐私选择权,而不仅仅是被动地接受网站的默认设置。
- 原文: [Internet's biggest annoyance: Cookie laws should target browsers, not websites](https://nednex.com/en/the-internets-biggest-annoyance-why-cookie-laws-should-target-browsers-not-websites/)
- Hacker News: [https://news.ycombinator.com/item?id=45667866](https://news.ycombinator.com/item?id=45667866)
- 作者: SweetSoftPillow
- 评分: 261
- 评论数: 316
- 发布时间: 2025-10-22 20:12:28
---
## 特斯拉因电池电量损失风险召回近 13,000 辆电动汽车
特斯拉最近宣布召回近 13,000 辆电动汽车,原因是存在电池电量突然损失的风险。这次召回事件无疑给特斯拉的声誉带来了一定的影响,也引发了人们对于电动汽车电池安全性的关注。
这次召回主要涉及部分 Model S、Model X、Model 3 和 Model Y 车型。问题根源在于车辆的电池管理系统可能存在缺陷,导致在某些情况下电池电量会意外耗尽,从而造成车辆失去动力。
对于车主来说,车辆突然失去动力无疑是一个非常危险的情况,特别是在高速行驶时。特斯拉表示,他们将通过软件更新来修复这个问题,车主可以免费获得此次更新。
这次召回事件也提醒我们,电动汽车的电池技术仍然在不断发展和完善中。虽然电动汽车在环保和节能方面具有优势,但电池的安全性、稳定性和寿命仍然是需要关注的重要问题。
特斯拉作为电动汽车行业的领头羊,其产品质量和安全问题备受关注。这次召回事件可能会影响消费者对特斯拉的信心,也可能促使其他电动汽车制造商更加重视产品质量和安全。
希望特斯拉能够尽快解决这个问题,并采取措施确保未来产品的质量和安全。同时,也希望整个电动汽车行业能够共同努力,不断提高电池技术水平,为消费者提供更安全、可靠的电动汽车产品。
- 原文: [Tesla Recalls Almost 13,000 EVs over Risk of Battery Power Loss](https://www.bloomberg.com/news/articles/2025-10-22/tesla-recalls-almost-13-000-evs-over-risk-of-battery-power-loss)
- Hacker News: [https://news.ycombinator.com/item?id=45668022](https://news.ycombinator.com/item?id=45668022)
- 作者: zerosizedweasle
- 评分: 73
- 评论数: 44
- 发布时间: 2025-10-22 20:28:13
---
## Infracost 招聘首位开发者布道师,推动 FinOps 左移
Infracost 正在寻找一位高级开发者布道师,旨在通过在开发者常用的渠道和工作流程中展示 Infracost 的价值,来提高用户注册量。 核心目标是帮助工程师在实际花费之前了解代码变更的成本影响,从而主动管理云支出。
Infracost 致力于将 FinOps 左移,即在开发周期的早期阶段就关注成本优化。 这家公司意识到,随着基础设施即代码 (IaC) 的普及,每个工程师都成为了云资源的潜在购买者。 Infracost 通过 CLI 工具、VS Code 和 JetBrains 扩展、MCP 服务器以及 Copilot 集成等方式,将成本可见性融入到开发者的日常工作流程中。 开发者布道师将与产品和工程团队紧密合作,负责创建引人入胜的内容,例如博客文章、视频、教程和示例代码,以展示 Infracost 的使用方法和集成方式。 此外,还需要积极参与 GitHub、Slack、YouTube、Reddit 和 Hacker News 等开发者社区,收集反馈并影响产品路线图。
理想的候选人应具备 DevOps 或软件工程背景,对开发者教育充满热情,并拥有创建技术内容和建设社区的经验。 熟悉云成本管理、拥有构建开发者工具的经验,或曾在快速增长的初创公司工作过,都将是加分项。 Infracost 非常重视以客户为中心、保持开放透明以及快速行动。 公司提供全远程工作模式、年度团建活动、员工友好的股权条款、401k 匹配(美国)、健康保险以及带薪休假等福利。
- 原文: [Infracost (YC W21) Hiring First Dev Advocate to Shift FinOps Left](https://www.ycombinator.com/companies/infracost/jobs/NzwUQ7c-senior-developer-advocate)
- Hacker News: [https://news.ycombinator.com/item?id=45667770](https://news.ycombinator.com/item?id=45667770)
- 作者: akh
- 评分: 1
- 评论数: 0
- 发布时间: 2025-10-22 20:02:02
---
## 你可能还不知道的 15 个 Go 语言小技巧
本文总结了作者在使用 Go 语言过程中发现的 15 个不为人知的小技巧,涵盖了从循环到字符串处理,再到接口和错误处理等多个方面,可以帮助开发者更深入地理解 Go 语言的特性。文章适合有一定 Go 语言基础的开发者阅读,能够帮助他们写出更高效、更健壮的代码。
文章首先介绍了 Go 1.22 版本中可以直接使用 `range` 遍历整数的功能,接着提到了可以使用 Go 的 LSP 重命名包,甚至可以重命名目录。然后,文章讲解了如何使用 `~` 操作符来约束泛型类型签名,以及如何使用索引进行字符串插值。`time.After` 函数结合 `select` 语句可以方便地为 goroutine 设置超时时间。`embed` 包允许将非 Go 文件直接嵌入到 Go 二进制文件中,简化部署。
文章还提到了使用 `len()` 函数处理字符串时需要注意 UTF-8 编码的问题,`len()` 返回的是字节数而不是字符数。关于 nil 接口,即使值是 nil,但如果变量类型是非 nil 接口,那么 `a == nil` 的结果是 false。可以在 nil 结构体上调用方法,但访问属性会 panic。在循环中更新 map 时,不能保证立即生效。最后,文章建议返回自定义错误类型,以便提供更多上下文信息。
总而言之,文章内容丰富,涵盖了 Go 语言的多个细节,能够帮助读者更好地理解和使用 Go 语言。
- 原文: [Go subtleties](https://harrisoncramer.me/15-go-sublteties-you-may-not-already-know/)
- Hacker News: [https://news.ycombinator.com/item?id=45565793](https://news.ycombinator.com/item?id=45565793)
- 作者: darccio
- 评分: 135
- 评论数: 80
- 发布时间: 2025-10-13 15:42:43
---
## AMD Strix Halo 的 Infinity Cache 评估
本文深入探讨了 AMD Strix Halo 芯片中的 Infinity Cache (或称 MALL) 的性能表现,该芯片被应用于 Ryzen AI MAX 系列,结合了强大的 CPU (16 个 Zen 5 核心) 和大型 GPU (20 个 RDNA 3.5 WGP)。
Strix Halo 采用 256-bit LPDDR5X-8000 内存配置,并搭配 32MB 的 Infinity Cache,旨在解决 iGPU 对高带宽的需求。文章作者通过分析 Infinity Fabric 和内存控制器的性能计数器,来评估 Infinity Cache 在各种图形工作负载中的效率。
作者首先介绍了 Infinity Fabric 的作用,它通过定义良好的接口,抽象了数据在芯片上的传输细节。为了评估 Infinity Cache 的命中率,作者比较了 CS (Coherent Stations) 和 UMC (Unified Memory Controller) 之间的流量水平。CS 位于内存控制器之前,负责缓存一致性。如果 CS 命中缓存,则无需访问 UMC。
文章解释了如何通过监控 CS 和 UMC 之间的流量差异来估算 Infinity Cache 的命中率。然而,这种方法存在一些问题,例如 Strix Halo 只提供了有限数量的 Infinity Fabric 性能计数器,以及跨 CCX (Core Complex) 流量的干扰。此外,CPU 侧的流量也会影响命中率的计算,因为 Infinity Cache 主要针对 GPU 侧的内存请求。
尽管存在一些局限性,作者仍然能够通过自制的工具,以秒为单位对性能计数器进行采样,并分析了不同工作负载下的 Infinity Cache 性能。最终目的是评估 Infinity Cache 是否能够有效地处理流量,从而避免 DRAM 带宽瓶颈。
总而言之,这篇文章提供了一个深入了解 AMD Strix Halo 芯片中 Infinity Cache 运作方式的窗口,并探讨了评估其性能的方法和挑战。
- 原文: [Evaluating the Infinity Cache in AMD Strix Halo](https://chipsandcheese.com/p/evaluating-the-infinity-cache-in)
- Hacker News: [https://news.ycombinator.com/item?id=45664848](https://news.ycombinator.com/item?id=45664848)
- 作者: zdw
- 评分: 117
- 评论数: 50
- 发布时间: 2025-10-22 12:20:09
---
## Apple的围墙花园如何保护ICE:回顾与分析
本文探讨了Epic Games与Apple的诉讼案如何间接促成了特朗普政府能够迫使Apple下架ICE追踪应用。
文章的核心在于揭示了一个意想不到的联系:一场关于《堡垒之夜》V币的法律战,竟然与特朗普政府有能力要求苹果应用商店移除ICE追踪应用有关。作者指出,在大型诉讼案产生的众多奇怪且意想不到的后果中,这一联系尤其令人惊讶。文章作者是The Verge的资深记者Tina Nguyen,她主要关注特朗普政府、政治影响者、科技游说以及大型科技公司与政府之间的关系。文章通过回顾Epic Games与Apple的诉讼案,揭示了Apple应用商店的控制权如何在政治层面被利用。
文章提到,Epic Games与Apple的诉讼最初焦点在于苹果应用商店的垄断行为,以及其对开发者收取高额佣金的政策。然而,这场诉讼的结果却为政府干预应用商店内容提供了先例。具体来说,特朗普政府利用这一先例,以国家安全为由,要求Apple下架ICE追踪应用,这些应用旨在帮助移民躲避执法部门。
文章进一步分析了Apple的“围墙花园”模式,即对应用商店拥有绝对控制权,既能保护用户隐私和安全,但也可能被滥用,成为政治审查的工具。这种模式使得政府能够通过单一渠道施压,从而影响数百万用户的应用选择。文章最后强调,科技公司在追求商业利益的同时,也需要承担起社会责任,警惕其平台被用于侵犯人权或进行政治迫害。
- 原文: [How Apple's walled garden protects ICE](https://www.theverge.com/column/803693/ice-epic-games-apple-app-store)
- Hacker News: [https://news.ycombinator.com/item?id=45669796](https://news.ycombinator.com/item?id=45669796)
- 作者: Fricken
- 评分: 20
- 评论数: 1
- 发布时间: 2025-10-22 22:38:03
---
## Cadence:吉他理论与听力训练App
Cadence 是一款旨在帮助吉他爱好者掌握乐理知识和提升听音能力的应用程序,通过互动课程、趣味挑战和全面的吉他库,让学习过程更加轻松有趣。它提供结构化的互动课程、直观的复习卡片和基于视觉、听觉和理论的挑战,并提供进度跟踪功能,激励用户持续学习。
这款 App 包含了超过 2000 种和弦、音阶、琶音和进行,并提供免费和 Pro 两种版本。免费版提供初学者课程和挑战,Pro 版则解锁所有课程和挑战,并提供无限挑战尝试和自定义库预设。Cadence 致力于通过游戏化的方式,帮助用户掌握吉他理论,提升听音能力。
评论区里,用户们对 Cadence 的设计和色彩搭配表示赞赏,并对其将视觉与听觉结合的学习方式表示认可。有用户反馈 App 中的图标对比度较低,不易辨认,也有用户指出德语翻译存在问题。一些“万年进阶”的吉他手希望能通过这款 App 提升即兴演奏能力。还有用户认为 App 的名称具有误导性,更像是一款和弦应用,而非全面的音乐理论学习工具。总的来说,用户对 Cadence 的界面设计和功能表示肯定,并提出了改进建议。
- 原文: [Show HN: Cadence – A Guitar Theory App](https://cadenceguitar.com/)
- Hacker News: [https://news.ycombinator.com/item?id=45566730](https://news.ycombinator.com/item?id=45566730)
- 作者: apizon
- 评分: 113
- 评论数: 20
- 发布时间: 2025-10-13 18:18:29
---
## 立陶宛机场因香烟走私气球被迫关闭
这篇《卫报》的文章报道了一件发生在2025年10月22日的奇特事件:立陶宛维尔纽斯机场因为走私香烟的气球入侵领空而被迫关闭。
文章指出,这些气球被用来从邻国白俄罗斯走私香烟,由于数量众多且体积庞大,对飞行安全构成了严重威胁,迫使机场不得不暂停运营。走私者利用气球携带大量香烟,试图逃避关税和法律制裁。这种走私方式不仅新颖,而且显示出走私活动的日益猖獗和手段的不断翻新。机场关闭给旅客和货运带来了不便,也引发了人们对于边境安全和新型走私手段的关注。立陶宛政府正在调查此事,并寻求加强边境管控,以防止类似事件再次发生。
目前没有评论内容。
- 原文: [Cigarette-smuggling balloons force closure of Lithuanian airport](https://www.theguardian.com/world/2025/oct/22/cigarette-smuggling-balloons-force-closure-vilnius-airport-lithuania)
- Hacker News: [https://news.ycombinator.com/item?id=45668805](https://news.ycombinator.com/item?id=45668805)
- 作者: n1b0m
- 评分: 27
- 评论数: 1
- 发布时间: 2025-10-22 21:25:51
---
## 纽约市快餐店菜单上的微型糖勺警告标识
纽约市成为全美第一个要求连锁餐厅菜单上标注含糖饮料和零食的糖分警告标识的城市。这项名为“甜蜜真相法案”的法案要求拥有至少 15 家分店的餐厅,在其菜单上添加超过 50 克添加糖的食品的警告标识,这个量是联邦膳食指南中建议的每日最大摄入量。
这个警告标识是一个黑色三角形中包含一个白色小勺子的图案,旨在提醒消费者注意过量摄入糖分的健康风险,例如增加患 2 型糖尿病、体重增加和蛀牙的风险。纽约市的官员和公共卫生倡导者认为,这一举措能够帮助消费者做出更健康的饮食选择,类似于之前在菜单上标注卡路里信息和钠含量的做法。然而,一些公共卫生研究人员对此效果表示担忧,他们认为这种小而黑白的糖勺标识可能不够醒目,难以引起消费者的注意。纽约大学格罗斯曼医学院人口健康系的副教授 Pasquale Rummo 建议,使用更大、更醒目的红色标识,并配以文字说明,可能会更有效。
目前,一些快餐店(如麦当劳、塔可钟和 Shake Shack)已经在部分含糖饮料和套餐旁边添加了糖勺标识。但是,有顾客表示他们并没有注意到这些新标识,也不确定是否会因此改变他们的订单。此外,由于该法案仅适用于包装食品或与包装食品相同的食品,因此 Shake Shack 的一些奶昔和冰淇淋等高糖饮品并未被纳入监管范围。不过,纽约州议会正在审议一项类似的法案,旨在将监管范围扩大到更多产品。
为了评估这些糖分警告标识的实际效果,Rummo 正在领导一项由美国国立卫生研究院资助的研究,分析纽约市民在法案生效前后的消费收据。他预计,根据以往的研究结果,这些标识可能会产生积极但有限的影响。此前的研究表明,人们可能会受到菜单上营养标签的影响,但在外出就餐时,他们对食物的选择不如在杂货店购物时那么谨慎。
DeAnna Nara 对纽约市推出新的糖分警告标识表示乐观,她认为这将是消费者第一次能够清楚地看到单个菜单项中包含的添加糖量超过了每日建议摄入量。她补充说,公共宣传活动对于提高纽约市民对新标识的认识至关重要,并且卫生部门可以根据初步调查结果对标识进行修改。
**评论区观点:**
* 有人开玩笑说,他们以为糖勺是指用糖做成的勺子。
* 有非美国用户对美国食物中惊人的含糖量感到震惊,例如一份中杯 Dr Pepper 竟然含有 67 克糖。
* 有人觉得人们不会想到一份中杯苏打水会含有和一块芝士蛋糕一样多的糖。
* 有人认为美国需要提供更多不加糖的饮料选择,像日本和台湾那样。
- 原文: [Tiny sugar spoons are popping up on NYC fast-food menus](https://gothamist.com/news/tiny-sugar-spoons-are-popping-up-on-nyc-fast-food-menus-youre-being-warned)
- Hacker News: [https://news.ycombinator.com/item?id=45669195](https://news.ycombinator.com/item?id=45669195)
- 作者: nodumbideas
- 评分: 27
- 评论数: 31
- 发布时间: 2025-10-22 21:53:17
---
## Project Gutenberg 基金会 CEO Greg Newby 去世
Greg Newby 博士,古腾堡计划文学档案馆基金会(Project Gutenberg Literary Archive Foundation)的 CEO,在与癌症短暂斗争后不幸去世,享年 60 岁。他为古腾堡计划贡献了超过 20 年,与 Distributed Proofreaders 紧密合作,并担任 Distributed Proofreader 基金会董事会的投票成员。
Newby 博士对电子书充满热情,早在 1987 年就意识到其巨大潜力。他与微软和麻省理工学院合作,于 2023 年推出了古腾堡计划开放有声读物 AI 叙述集,被《时代》杂志评为“2023 年最佳发明”之一。在他的领导下,古腾堡计划提供的电子书数量增长到超过 75,000 本。
Newby 博士对古腾堡计划的贡献巨大,他的去世是文学界和互联网的重大损失。他不仅是一位杰出的领导者,更是一位充满热情和远见的人,致力于将文学作品传播给更多人。他的工作将继续激励着我们,让更多人能够免费获取知识和文化资源。
评论区表达了对 Greg Newby 博士的哀悼和敬意。许多人分享了与他交往的经历,赞扬他的慷慨、耐心和对开放网络的贡献。有人提到古腾堡计划是他们最喜欢的网站之一,并呼吁大家捐款支持这些有价值的资源。也有人分享了自己与癌症抗争的经历,提醒大家关注健康,尽早进行筛查。此外,还有评论指出了 Greg Newby 博士是古腾堡计划文学档案馆基金会的 CEO,而非古腾堡计划本身的 CEO,以澄清事实。总而言之,评论区充满了对 Newby 博士的怀念和对古腾堡计划的感激之情。
- 原文: [Greg Newby, CEO of Project Gutenberg Literary Archive Foundation, has died](https://www.pgdp.net/wiki/In_Memoriam/gbnewby)
- Hacker News: [https://news.ycombinator.com/item?id=45666510](https://news.ycombinator.com/item?id=45666510)
- 作者: ron_k
- 评分: 297
- 评论数: 51
- 发布时间: 2025-10-22 17:05:21
---
## Knocker:基于 Knock 的 Homelab 访问控制系统
Knocker 是一款可配置的自托管服务,为你的 Homelab 提供基于 HTTP 的 "knock-knock" 单包授权 (SPA) 网关,它具有 Web、CLI 和 Android 客户端,可以作为 Caddy 等反向代理的身份验证,甚至可以在防火墙级别使用 FirewallD 集成。它允许你保持服务的完全私密性,仅根据授权 IP 地址按需开放。
Knocker 的核心在于通过“敲门”机制,动态地将客户端 IP 地址加入白名单,从而允许其访问受保护的服务。它通过一个 HTTP 接口 `/knock` 接收客户端的“敲门”请求,验证 API 密钥,并根据配置的 TTL(Time-To-Live)将客户端 IP 地址添加到白名单中。反向代理(如 Caddy)在收到客户端请求时,会先向 Knocker 的 `/verify` 接口验证客户端 IP 是否在白名单中,如果验证通过,则将请求转发给受保护的服务;否则,返回 401 Unauthorized 错误。
Knocker 具有多种特性,包括 API 密钥认证、可配置的 TTL、远程白名单、静态 IP/CIDR 白名单、基于路径的排除、IPv6 支持以及 FirewallD 集成。FirewallD 集成允许 Knocker 创建动态的、基于时间的防火墙规则,这些规则会根据 TTL 自动过期,从而增强安全性。Knocker 还提供了 Web、CLI 和 Android 客户端,方便用户进行“敲门”操作。
部署 Knocker 通常使用 Docker Compose,它提供了预构建的 Docker 镜像,支持 AMD64、ARMv8 和 ARMv7 架构。配置 Knocker 需要修改 `knocker.yaml` 文件,设置 API 密钥、受信任的代理以及 FirewallD 集成选项。与 Caddy 集成时,可以使用 Caddy 的 `forward_auth` 指令,将 Knocker 作为身份验证网关。
Knocker 通过动态防火墙规则增强安全性,适用于非 HTTP 服务,例如 SSH 或游戏服务器。
总而言之,Knocker 提供了一种安全、灵活的方式来保护 Homelab 中的服务,避免了持久 VPN 连接的需求,并最大限度地减少了公共暴露面。它通过“敲门”机制和动态白名单,实现了按需访问控制,并提供了多种配置选项和客户端工具,以满足不同用户的需求。
- 原文: [Knocker, a knock based access control system for your homelab](https://github.com/FarisZR/knocker)
- Hacker News: [https://news.ycombinator.com/item?id=45666327](https://news.ycombinator.com/item?id=45666327)
- 作者: xlmnxp
- 评分: 44
- 评论数: 67
- 发布时间: 2025-10-22 16:37:31
---
## 分布式光线追踪技术详解
本文深入探讨了分布式光线追踪(也称为随机光线追踪)的概念,它通过模拟更广泛的光学现象,在传统 Whitted 光线追踪的基础上,进一步提升了渲染的真实感。文章区分了分布式光线追踪与并行光线追踪,后者侧重于计算任务在多节点上的分配,而前者则关注于模拟真实世界中光线的物理行为。
文章详细解释了传统 Whitted 光线追踪的局限性,例如只能模拟无限小的点光源,导致阴影边缘锐利,并且在处理反射、折射以及景深等复杂效果时存在不足。相比之下,分布式光线追踪通过采用概率方法,能够模拟任意大小和形状的光源,从而产生具有渐变边界的柔和阴影。此外,它还可以通过在镜面反射瓣上生成多个反射光线样本来模拟不同程度的光泽度,并通过在薄透镜几何体上分布多个积分样本来计算光学景深。文章还提到,通过在时域中集成多个样本,可以实现运动模糊效果。
文章还展示了作者使用自己的渲染器 xtracer 生成的一些示例,对比了 Whitted 算法和分布式光线追踪在阴影、光泽表面和景深等方面的效果差异。此外,文章还提供了一段示例代码,展示了如何实现薄透镜模型。总而言之,分布式光线追踪通过 Monte Carlo 方法对积分进行多点采样,从而更好地逼近渲染方程,实现更逼真的渲染效果。
评论区里,@knorker 对文章中关于传统光线追踪局限性的描述提出了质疑,认为传统光线追踪并非只能处理点光源和完美镜面反射,也能模拟发射面、体积光以及景深等效果。@amelius 则提出了一个关于 PBRT 渲染器的问题,询问如何在 PBRT 中模拟由多个材料组成的透镜(双透镜),因为 PBRT 的 MediumInterface 系统似乎不支持一个形状接触多个不同的介质。这反映了在实际应用中,开发者可能会遇到的复杂渲染问题,以及对渲染器功能的进一步需求。
- 原文: [Distributed Ray-Tracing](https://www.4rknova.com//blog/2019/02/24/distributed-raytracing)
- Hacker News: [https://news.ycombinator.com/item?id=45610939](https://news.ycombinator.com/item?id=45610939)
- 作者: ibobev
- 评分: 16
- 评论数: 7
- 发布时间: 2025-10-17 05:32:27
---
## Raylib 的 rlsw.h:轻量级 OpenGL 渲染器
本文介绍了 Raylib 库中的 `rlsw.h` 文件,它是一个用少于 5000 行代码实现的软件 OpenGL 渲染器。Raylib 本身是一个简单易用的游戏开发库,而 `rlsw.h` 则提供了在没有硬件加速的情况下进行渲染的能力。
`rlsw.h` 的主要作用是在没有 OpenGL 支持的平台上,或者在需要软件渲染的情况下,提供图形渲染功能。它实现了 OpenGL 的一个子集,允许开发者使用熟悉的 OpenGL API 进行开发,而无需依赖硬件。
这个文件是 Raylib 库的一部分,位于 `src/external/` 目录下,表明它是一个外部依赖或者可选组件。通过使用 `rlsw.h`,开发者可以在各种不同的平台上运行他们的 Raylib 游戏,包括那些只支持软件渲染的平台。
Raylib 库拥有大量的star 和fork,表明它在游戏开发社区中非常受欢迎。该库还提供了丰富的功能,包括图形渲染、音频处理、输入处理等,可以帮助开发者快速构建游戏原型和完整的游戏作品。此外,Raylib 还有活跃的社区支持,开发者可以在社区中寻求帮助、分享经验。
- 原文: [rlsw – Raylib software OpenGL renderer in less than 5k LOC](https://github.com/raysan5/raylib/blob/master/src/external/rlsw.h)
- Hacker News: [https://news.ycombinator.com/item?id=45661638](https://news.ycombinator.com/item?id=45661638)
- 作者: fschuett
- 评分: 219
- 评论数: 81
- 发布时间: 2025-10-22 05:00:10
---
## 以太网供电 (PoE) 基础知识及进阶
这篇文章深入探讨了以太网供电(PoE)技术,旨在为工程师提供全面的了解。PoE 通过网线同时传输数据和电力,简化了设备安装,降低了成本,并提高了灵活性。
文章首先介绍了 PoE 的基本概念,包括其工作原理和优势。它解释了 PoE 如何通过双绞线电缆传输电力,从而无需单独的电源线。这对于安装在难以触及的区域或没有电源插座的设备尤其有用,例如安全摄像头、无线接入点和 VoIP 电话。
文章还详细讨论了 PoE 的各种标准和功率等级,例如 IEEE 802.3af (PoE)、802.3at (PoE+) 和 802.3bt (PoE++)。每个标准都提供不同的功率级别,以支持各种设备需求。了解这些标准对于选择合适的 PoE 设备和确保兼容性至关重要。
此外,文章还探讨了 PoE 的应用,包括智能建筑、工业自动化和零售。在智能建筑中,PoE 可用于为照明、HVAC 系统和安全设备供电。在工业自动化中,它可以为传感器、执行器和控制系统供电。在零售中,它可以为销售点终端、数字标牌和安全摄像头供电。
文章还涵盖了 PoE 系统的设计和实施注意事项,例如电缆选择、功率预算和过载保护。正确的电缆选择对于确保可靠的电力传输和避免电压降至关重要。功率预算对于确保 PoE 交换机或注入器能够提供足够的电力来支持所有连接的设备至关重要。过载保护对于防止设备损坏和确保系统安全至关重要。
总而言之,这篇文章为工程师提供了关于 PoE 技术的全面指南,涵盖了其基本原理、标准、应用和设计注意事项。通过了解 PoE 的这些方面,工程师可以有效地利用这项技术来简化设备安装、降低成本并提高系统的灵活性。
- 原文: [Power over Ethernet (PoE) basics and beyond](https://www.edn.com/poe-basics-and-beyond-what-every-engineer-should-know/)
- Hacker News: [https://news.ycombinator.com/item?id=45605556](https://news.ycombinator.com/item?id=45605556)
- 作者: voxadam
- 评分: 205
- 评论数: 153
- 发布时间: 2025-10-16 22:09:21
---
## AWS 账户在中断后被入侵:巧合还是攻击?
本文讨论了在 AWS 中断后,用户账户遭到入侵的事件,并探讨了这是否是巧合,还是攻击者利用中断作为掩护。文章还提到了 Jina AI 提供的 URL 缩短和搜索服务。
文章的核心在于,用户在 AWS 中断后报告了账户被入侵的情况,这引发了关于事件之间是否存在关联的讨论。一种观点认为,攻击者可能一直在等待 AWS 基础设施出现故障,以便在混乱中隐藏他们的活动。另一种观点则认为,这可能只是一个巧合,因为 AWS 的规模非常庞大,账户被入侵的事件可能一直都在发生。文章还建议用户检查 CloudTrail 事件,以确定 EC2 实例的创建者,并采取必要的安全措施,例如重置密码和联系 AWS 代表。此外,文章还提到了在中断期间,用户可能会更容易受到网络钓鱼攻击。
评论区主要围绕以下几个观点展开:
* **巧合论:** 许多评论者认为,账户被入侵与 AWS 中断很可能只是巧合。他们指出,AWS 的规模庞大,每天都有可能发生各种安全事件。
* **攻击掩护论:** 也有评论者认为,攻击者可能利用 AWS 中断作为掩护,隐藏他们的攻击行为。他们可能事先已经获得了访问权限,只是在中断期间才采取行动。
* **安全漏洞论:** 评论中提到了访问密钥泄露、密码未启用 MFA 保护等安全漏洞,这些都可能导致账户被入侵。
* **钓鱼攻击论:** 还有评论者指出,在中断期间,用户可能会更容易受到钓鱼攻击,从而泄露敏感信息。
* **应对建议:** 评论中也给出了一些应对建议,例如检查 CloudTrail 事件、重置密码、联系 AWS 代表等。
总的来说,评论区对账户被入侵的原因存在不同的看法,但都强调了加强安全措施的重要性。无论是巧合还是攻击,用户都应该时刻保持警惕,保护自己的 AWS 账户安全。
- 原文: [Ask HN: Our AWS account got compromised after their outage](https://news.ycombinator.com/item?id=45657345)
- Hacker News: [https://news.ycombinator.com/item?id=45657345](https://news.ycombinator.com/item?id=45657345)
- 作者: kinj28
- 评分: 353
- 评论数: 85
- 发布时间: 2025-10-21 23:55:41
---
🫵 来啊,说点有用的废话!
▲