No.01
1-Click GitHub Token Stealing via a VSCode Bug
单击链接即可窃取 GitHub Token 的 VSCode 漏洞
332 分
47 条评论
作者: ammar2
文章披露 vscode.dev 和 github.dev 浏览器版 VSCode 存在安全漏洞,攻击者可通过点击链接在网页中模拟键盘事件,利用「did-keydown」消息机制触发 Ctrl+Shift+A 快捷键安装恶意扩展,从而获取具有读写所有仓库权限的 GitHub OAuth Token。这是因为 Webview 沙盒机制存在设计缺陷,允许跨域 iframe 中的脚本冒充用户输入。作者因 MSRC 处理安全报告不佳而进行完全披露,引发社区对 VSCode 安全响应和替代编辑器(Zed、Neovim)的讨论。
No.02
Show HN: I reverse-engineered the world maps of Test Drive III (1990 DOS game)
展示: 逆向工程 1990 年 DOS 游戏《Test Drive III》世界地图
59 分
11 条评论
作者: s-macke
开发者对 1990 年经典 DOS 游戏《Test Drive III》的世界地图进行了逆向工程分析,揭示了游戏早期「真3D」引擎的实现方式。文章展示了如何技术破解这些复古游戏地图,让玩家能重新探索熟悉的场景。社区评论回顾了游戏的音乐、沙盒玩法和不同平台版本,特别提到了其独特的地图设计和和「Stunts」等同类竞速游戏的比较。
No.03
Use your Nvidia GPU's VRAM as swap space on Linux
在 Linux 上将 NVIDIA GPU 显存用作 swap 空间
276 分
73 条评论
作者: tanelpoder
展示了一项目「nbd-vram」,通过 NBD(网络块设备)将 NVIDIA GPU 的显存作为系统 swap 使用,主要针对内存不可升级的笔记本用户。评论指出性能问题:RTX 3070 在 PCIe 4.0 x16 上理论带宽 64GB/s,但实际只达 1.3GB/s,远低于 SSD swap 的水平。社区讨论聚焦于实现方式的低效、动态切换 swap 的可能性,以及类似项目(OpenCL 版、Windows 版)的存在。支持者认为在运行 AI 模型时显存空闲可充分利用,但批评者质疑其实际价值和速度表现,建议使用 Vulkan 或 CUDA 直接映射可能更高效。
No.04
The Unreasonable Redundancy of Nature's Protein Folds
自然蛋白质「折叠」的骇人冗余性
77 分
13 条评论
作者: ray__
文章探讨了深度学习在蛋白质结构预测上的应用,但发现当试图通过「折更多」天然蛋白质序列来增加训练数据时,遇到了序列数量与结构多样性之间严重的错配。研究发现,尽管天然蛋白质序列数量庞大,但它们「折」出来的3D结构却高度冗余:例如三个蛋白质序列相似度仅23.9%-28.3%,却共享相同「折」(TM-score > 0.75)。作者认为进化倾向于重复使用稳定、可表达、易适应的「折」结构,而非在序列空间均匀分布。预测结构的质量也影响聚类效果,可能真正可重复使用的结构邻域数在数万而非「Foldseek」报告的230万。
No.05
MAI-Code-1-Flash
微软发布 MAI-Code-1-Flash 编码模型,目标效率优先
454 分
201 条评论
作者: EvanZhouDev
微软推出 MAI-Code-1-Flash,一个专为日常开发工作流程设计的快速高效编码模型。该模型由微软端到端训练,使用干净且许可合适的数据,专门针对 GitHub Copilot 生产环境优化。其关键特性包括自适应推理(简单请求简洁回复,复杂任务深入分析)和强大的指令跟随能力。在核心编码基准测试中,MAI-Code-1-Flash 优于 Claude Haiku 4.5,SWE-Bench Pro 上领先 16 分(51.2% vs 35.2%),且能用更少 token(最多 60%)解决同样问题。然社区对比对象选择寥富(Haiku 是最小旧模型)和模型透明度(训练数据未披露)表示质疑。
No.06
CT scans of BYD car parts
展示: BYD 汽车零件 CT 扫描
355 分
180 条评论
作者: viasfo
Lumafield 对 BYD 汽车零部件进行 CT 扫描,展示了这家中国电动汽车制造商的工程设计和制造工艺。文章通过 CT 断层图像,展示了控制臂、子帧、电池包等关键部件的内部结构,突出了 BYD 在垂直整合方面的努力——从 lithium 矿到港口。评论者们对比分析了 BYD 与特斯拉、福特的技术路线,讨论了「中国制造」质量的提升、集成电子轴的维修难度,以及美国保护主义政策对中国 EV 的影响。
No.07
AI outperforms law professors in Stanford Law study
斯坦福法学院研究:AI 在合同法答疑中击败教授
199 分
160 条评论
作者: berlianta
斯坦福法学院教授 Julian Nyarko 领导的研究发现,16位美国法学教授在近3000次盲评比较中,75%认为 AI 生成的合同法答疑优于同行教授编写的答案,仅3.5%的 AI 回答被认为有教学害处,而人文回答为12%。研究使用 Gemini 2.5 Pro 和 NotebookLM,旨在评估大语言模型在需要判断力和模糊推理的法律教育中的辅导效果。Nyarko 强调研究挑战了人们对 AI 在法律领域能力的假设,但也承认责任归属和落地部署仍需谨慎。评论对样本量小、盲评可行性、利益相关性以及误答后果表示质疑。
No.08
Roku LT Operating System open source distribution
展示: Roku LT 操作系统开源
70 分
22 条评论
作者: dpmdpm
Roku 开源了其 LT 操作系统,代码主要使用 C 语言托管在 GitHub 上。然而社区对此反应复杂:一方面称赟在「不是用 Brightscript」编写;另一方面担忧「Automatic Content Recognition」技术仍会监控屏幕内容,隐私问题未解决。开发者们质疑为何不直接使用 FreeRTOS 或 Zephyr 等成熟 RTOS,同时也讨论了刷写修改版系统的可行性及遥控器功能(蓝牙、Wi-Fi、语音等)对 RTOS 的需求。文档仅提供视频形式也遭到批评。
No.09
Microsoft Doubles Down on Controversial Quantum Computing Claims
微软继续推进「有争议」的量子计算声称
15 分
9 条评论
作者: igortru
微软在量子计算领域继续推进之前的「有争议」声称。根据评论反映,外界对微软观察到的效应持怀疑态度,认为可能只是电子的简简单来解释。同时社区讨论量子计算是否会成为主流,以及主流编程语言的构想。微软提供了 Q# 语言用于量子编程开发。
No.10
Capstone – multi-platform, multi-architecture disassembly framework
展示: Capstone 多平台多架构反汇编框架
43 分
1 条评论
作者: gregsadetsky
Capstone 是一个轻量级的多平台多架构反汇编框架,支持 ARM、ARM64、x86、RISC-V、PowerPC 等 20 余种架构。其核心优势包括架构中立的简洁 API、提供详细的指令「decomposer」信息和隐式寄存器语义,同时具有线程安全、高性能、支持内核嵌入等特性。文章展示了最新的 6.0.0 Alpha9 和 5.0.9 稳定版发布,修复多个安全漏洞和添加新架构支持。来自安全社区专家的高度评价,认为其可能成为反向工程领域的「黄金标准」和「行业标准」。
No.11
Pluto.jl 1.0 release – reactive notebook for Julia
展示: Pluto.jl 1.0 发布——Julia 的反应式 notebook
103 分
8 条评论
作者: fons-p
Pluto.jl 1.0 版本发布,一个致力于让科学计算更易用、有趣的 Julia 交互式编程环境。核心特性包括「反应式单元格」(类似电子表格)、「可重现性」(自动包管理和版本控制)、「易用性」(专为教学设计,支持 16 种语言)。1.0 版本本身变化不大,但整体可靠性大幅提升,拥有约 2500 个自动化测试。新增单元格禁用功能、长运行计算确认、PlutoUI.jl 的丰富输入组件,以及直接导出为 Julia/PDF/HTML 的能力。Pluto 自 2021 年起长期霸占 Julia 包中 GitHub star 数榜首,并被 MIT 等机构用于教学课程开发。
No.12
Gmail thinks I'm stupid, so I left
Gmail 认为我不行,所以我选择离开
884 分
538 条评论
作者: speckx
作者 JP 使用 Gmail 16 年后因受够了「语言模型」强制推送的 AI 功能而决定迁移到 Fastmail。他 complains Gmail 网页界面在未经要求的情况下自动生成邮件摘要、回复草稿,并反复弹出 Press / for Help me write 和 Tab to improve 提示,让他感到被质疑能力和不尊重。这些 AI 功能有的无法关闭,或关闭后会连带关闭其他有用功能,作者认为这是故意设计来人为推高 AI 使用率。目前正在体验 Fastmail,准备「正规」地绑定自有域名邮箱,与 Google 说再见。评论中有人表示同样问题存在于 Google Docs,建议关闭「smart features」设置,也有人称 Gmail AI 摘要毫无意义,还有用户建议使用 IMAP 客户端避免这些问题。
No.13
My thoughts after using Clojure for about a month
使用 Clojure 约一个月后的感想
199 分
102 条评论
作者: speckx
作者用 Clojure 重写静态站点生成器进行学习,发现 Clojure 比 Common Lisp 更加内聚(避免了 mapcar、remove-if-not 等不一致命名),seq 抽象统一了序列操作,标准库也更完备。然而习惯「everything is a list」的作者花较长时间接受向量、哈希表、集合等四种数据结构的平等地位。语法方面,作者认为 Clojure 比 Scheme 复杂(多了 [] {} #{}),但逐渐适应并欣赹其设计。由于不了解 Java,作者感觉对 JVM 生态仍是未知。最终决定继续使用 Clojure 并用 Project Euler 练习,认为其 REPL 和 babashka 使其适合脚本编写。
No.14
Words of Type
展示: Words of Type 字体设计术语百科
54 分
6 条评论
作者: tobr
Words of Type 是一个字体设计术语 wiki,系统介绍各类「字母」「字符变体」「字体解剖学」等专业术语。文章解释了拉丁字母系统的演变、 OpenType 特征代码(如 calt、case、ss01 等)如何实现「上下文变体」「样式集」等效果,详细解析了「&」符号的历史由来(源自拉丁「et」)及设计原则。还涵盖「字体解剖学」概念,包括「出头高度」「下沉部」「顶点」「弓」等解剖部位命名,旨在为设计师和字体爱好者提供参考。评论者对内容有所质疑,认为部分术语关联度不高;但多数赞赏其清晰的设计和信息密度。
No.15
U of T researchers demonstrate AI worm could target any online device
多伦多大学研究人员演示 AI 蠕虫可攻击任意在线设备
21 分
5 条评论
作者: shscs911
多伦多大学「CleverHans Lab」研究团队演示了一种新型「AI 蠕虫」,可利用开放权重的免费 AI 模型构建。该蠕虫能够在网络中传播时自适应调整攻击策略,利用每个设备的漏洞逐步侵入并劫持计算资源以继续蔓延,使每一次感染的边际成本趋近于零。研究人员强调,即使是简单的模型也能对设备从笔记本到HVAC系统乃至能源电网造成威胁,目前的网络防御机制尚未做好准备。他们在封闭实验室中构建原型并已向相关机构披露,旨在提前引发学界、产业及政策制定者的警觉和应对措施。
No.16
DIY Bipedal Robot Used Pneumatic "Air-Muscles" Instead of Motors
DIY 两足机器人采用「空肌肉」替代电机
6 分
1 条评论
作者: sohkamyung
1987年,英国摄影师 Richard Greenhill 在他的阁楼里,联集志友们建立了「Shadow Group」,共同开发了两足人形机器人 Shadow Walker。该机器人采用压缩空气驱动的28根「空肌肉」(仿仿 McKibben 肌肉)来实现12个自由度的关节运动,而非传统电机。骨架由枫木制成,简化设计包含单根腿骨和宽大脚趾,机器人身高168厘米、重38千克。Shadow Walker 能靠稳定站立并保持平衡,甚至在推拨下能恢复重心,但行走能力有限。1990年参加了举办于格拉斯哥的第一届国际机器人奥运会,这一 DIY 项目最终没能完成步行。尽管未能大展风采,该项目促成了 Shadow Robot 公司的成立,成为英国最老的机器人公司之一。文章回顾了20世纪后期机器人发展史,以及 Shadow Walker 在当时极具突破性的 DIY 方法和空气肌肉控制技术。
No.17
HP re-releases classic computer science calculator: The HP-16C
HP 重新发布经典计算机科学计算器: HP-16C 收藏版
157 分
103 条评论
作者: dm319
HP 推出 HP-16C 「收藏版」复刻机,保留经典外观设计但运行速度提升 100 倍,支持在「HEX」「DEC」「OCT」「BIN」之间无缝切换,具备位运算、逻辑测试和 1–64 位可定制字长的数学功能。最大程度保留原机可编程特性,支持条件分支、子程序、标签、标志,程序内存 203 字节加 99 个数据寄存器,并新增存储/载入程序功能。评论反映对制造质量、按键手感、价格和目标用户的质疑,同时也有玩家推荐瑞士品牌 SwissMicros 的替代产品,以及对 RPN 运算模式的喜爱和批评两方面声音。
No.18
4K years ago, Mohenjo-daro grew more equal over time
墨亨若城 4000 年前出现「随时间增益更加平等」现象
87 分
41 条评论
作者: marojejian
约克大学生物学研究团队分析「墨亨若城」住房尺寸和 «Gini 系数» 发现,这一印度河流文明古城(公元前 2600-1900 年)的不平等程度低于美索不达米亚和青铜时期希腊城邑,城内豪富住宅与普通住宅的差距随时间反而在缩小。该城没有王宫、宗教雕像或豪葬,反而以街道规划和先进排水系统闻名,其中「印度印章」在普通民宅中广泛发现,标准化「重量衡器」也遍布地区。这挑战传统观点:城市成长必然导致贫富差距扩大,墨亨若城证明了「公共基础设施」与分布式治理可能塑造了平等的大型城市社会。
No.19
Open Repair Data Standard
开放维修数据标准
125 分
4 条评论
作者: cassepipe
开放维修数据标准(ORDS)旨在统一各组织和社区收集电子产品维修数据的方式,便于全球范围内数据聚合分析。该标准 v0.3 版本聚焦小型电器和电子产品,收集「产品信息」「维修信息」「活动信息」三大模块数据。通过标准化格式整合各地社区维修事件数据,可以识别全球或区域内常见故障和维修模式。数据采用开放「Creative Commons」许可发布,每六个月更新一次联合数据集。一些讨论质疑产品信息模块过于简略(如移除了「model」字段),也有人担心项目近期缺乏更新。
No.20
How we index images for RAG
如何为 RAG 索引图片
122 分
17 条评论
作者: mooreds
Kapa 团队在「RAG 管道」中如何处理技术文档中的图片(截图、架构图、表格):他们采用的是在索引时用廉价视觉模型描述图片,存储文本描述,查询时检索这些描述。这种做法将图片处理成本前置,查询时仅 1-6% 的额外开销;相比之下,直接在查询时发送图片给多模态模型则会显著增加成本(GPT 多 27%,Claude 多 51%)并遇及 payload 限制。文章指出图片分为「illustrative」(说明性,帮助操作)和「load-bearing」(承载关键信息)两类。他们还解决了过滤噪声图片、小模型足够好的问题,以及独立存储 caption 比内联存储更高效的问题。
No.21
Writing Portable ARM64 Assembly
编写可移植的 ARM64 汇编
3 分
0 条评论
作者: luu
由于 Apple ARM 电脑普及,开发者写 ARM64 汇编时常忽略其他平台(Linux/BSD 服务器、单板计算机),导致可移植性问题。文章指出,跨 Mach-O 和 ELF ABI 只需注意两点:一是 Darwin 符号需加下划线前缀(如 _unmask),二是避开苹果定制的 NEON 指令语法(如 eor.16b),应使用官方「eor v2.16b, v2.16b, v0.16b」格式。还提醒 x18 寄存器在 Darwin 和 Android 上保留,但 GNU/Linux 不保留。通过简单宏定义可抽象 ABI 差异,实现 UNIX 环境下 ARM64 汇编的广泛兼容。
No.22
OpenFOV – Webcam head tracking for iRacing
OpenFOV:基于网络摄像头的 iRacing 头部追踪 FOV 控制工具
115 分
55 条评论
作者: mwit2023
OpenFOV 是一款使用网络摄像头实现头部追踪的工具,用于控制 iRacing 游戏的视场角(FOV)。它让玩家通过头部微动作在游戏内「看」向不同方向,模拟 VR 般的体验,无需佩戴专用头显或额外屏幕。据介绍,这种方式可以解锁传统显示器的新功能,但其实用体验存在争议。评论中既有对比 OpenTrack 和 TrackIR 的讨论,也有质疑其有效性的用户,认为头追踪会让人偏离屏幕方向。同时也有玩家提到,这种技术在模拟飞行等游戏中已有实践,「极小头部动作映射大角度」的设计理念是有意义的。
No.23
Trump signs downsized AI order after weeks of reversals
特朗普签署「缩水」AI行政命令 要求企业提交模型供审查
205 分
150 条评论
作者: _alternator_
特朗普签署了新的AI行政命令,经过多次修改后大幅缩水。该命令要求部分AI企业在发布强大模型前「自愿」提交给政府审查30天,给联邦机构准备时间。评论认为该命令内容空泛,缺乏实质性规定,行政命令本身不可强制企业遵守。争议集中于:此举是否真为安全考虑,还是为政府创造模型垄断机会;开源模型和中国双用模型释放的监管困境;以及与2025年「防止撰写AI」命令的连续性。
No.24
Preparing for KDE Plasma's Last X11-Supported Release
KDE Plasma 的最后一个 X11 支持版本筹备中
179 分
217 条评论
作者: jandeboevrie
KDE 官方博客宣布 Plasma 6.8 将正式移除 X11 会话支持,「It's done when it's done」的滑稽时隔 15 年终于实现。此版本约五个月后发布,登录界面将仅保留 Wayland 会话,所有 Plasma Shell、System Settings 和设备配置中的 X11 代码路径将被清除。XWayland 将保留,用户可继续使用 X11 应用程序;KDE 应用程序在其他桌面环境中仍可正常工作;KDM 也能继续登录其他桌面的 X11 会话。KDE 内部数据显示 Plasma 6.6 95% 以上用户已使用 Wayland,确认了其稳定性和普及率。不过,评论区反映 Wayland 在无障碍访问、NVIDIA 驱动兼容性、旧游戏支持、窗口管理等方面仍存在问题,部分用户对此变更表示担忧。
No.25
Multicore suppport for DOS is real – partly
DOS 多核支持成为现实 —— 部分实现
83 分
15 条评论
作者: beebix
本文讨论了在 DOS 环境下实现多核支持的可能性和历史背景。作者指出,DOS 本身没有多核概念,早期多核系统出现时 DOS 已经过时,因此没有开发动力。真正的阻碍是「鸡生蛋蛋生鸡」问题:消费者无兴趣采用多核是因为缺少杀手级应用,而开发商又因用户基础小而不投入开发。文章还提及如果 1998 年 Mhz 竞赛停滞,或 Win98/DirectX 游戏失败,DOS 多核支持可能会出现。社区评论指出实际实现需要手动操作 APIC,核心间通信主要通过共享内存,DOS 进程由「PSP」结构管理但缺乏多任务支持。
No.26
Fidonet: Technology, Use, Tools, and History (1993)
展示:Fidonet 技术、用途、工具与历史(1993)
162 分
66 条评论
作者: BruceEel
Fidonet 是 1980-90 年代中期的全球 BBS 网络系统,通过拨号电话连接各地 BBS 节点传递邮件和信息。评论者回忆了个人经历:许多人在八九十年代通过 Fidonet 接触互联网,节点地址如「5:7211/1」「2:463/1161」让人依然记忆犹新。Turkey 还有克隆版 HitNet 与兼容软件 Wolverine。当时需要配置门址并提供服务才能加入,这门技术让用户觉得传输速度快且纯净,没有今日的垃圾邮件和算法内容。许多人怀念 BBS 时代的「sysop」和社群聚会文化。
No.27
Show HN: Live breath detection and biofeedback from a phone microphone
展示: 用手机麦克风进行实时呼吸检测和生物反馈
46 分
15 条评论
作者: felixzeller
本文介绍了一个开源项目 shiihaa-breath-detection,利用手机麦克风捕捉呼吸音信号,实现实时呼吸检测和生物反馈。项目支持 Android 和 iOS 两个平台,Android 版本原先仅在德语区(DACH)发布,现已扩展至全球 Play Store(除中国大陆)。用户可通过呼吸数据进行冥想辅助或健康监测。社区对技术创意表示认可,但也注意到应用分发的区域限制问题。
No.28
SaySynth: A Brief History of Speaking Machines
展示: SaySynth — 用 macOS say 命令打造语音合成器
10 分
1 条评论
作者: evakhoury
作者 Brian Abelson 在 composition.codes 的演讲中介绍了 SaySynth,这是基于 macOS 系统「say」命令构建的合成器。文章回顾了四种 speaking machines 类型:机械式、共振式、采样式和生成式。从1773年的 Von Kempelen 到现代 AI 语音,语音合成历史上有两大模式:经常通过唱歌展示能力,以及反映制作者文化偏见(如 Euphonia 的女性面孔、Voderettes 女性操作员被忽略、AI 助理女性化)。作者发现 macOS say 命令有隐藏的底层 DSL 可控制音素级别的时长和音高曲线,基于此开发了 YAML 序列表制,通过并行 say 子进程产生失调效果,系统本身的同步失败反而创造出更具有机感的声音。
No.29
Bringing Up DeepSeek-V4-Flash on AMD MI300X
在 AMD MI300X 上部署 DeepSeek-V4-Flash
107 分
17 条评论
作者: kkm
Doubleword分享了在 AMD MI300X 上部署 DeepSeek-V4-Flash 的踩坑经验。MI300X 拥有 192GB HBM3 和一半的 H100 租金,但软件支持滞后。主要问题包括:FP8「fnuz」与 OCP 标准的指数偏差差异导致数值错误,AITER 内核库在 gfx942 平台支持不完整,sparse MLA 等内核需要专门实现;HIP graphs 和 Triton 内核的兼容性问题;MoE 路由 bug 等。经过优化后,单卡性能提升约 8.6%,使 MI300X 在性价比上具有竞争优势。
No.30
Loading Sega Games Off a Vinyl Record [video]
展示: 用 Vinyl 记录加载 Sega 游戏
32 分
9 条评论
作者: zdw
本文展示了如何将 Sega 游戏数据存储在乙烯基唱片上并通过音频方式加载,复现 80 年代的创意存储方式。社区评论回忆了当年在 Commodore 64、Sinclair ZX-Spectrum 等计算机上加载「Frogger」 cassette、杂志附送「绿色乙烯基单曲」及「Robot Karel」教育编程环境的经历。一些用户称这是「纯粹因为很傻才去做」的极致尝试,但也有人补充了当年不同计算机的音频接口差异和杂志配赠软盘的历史背景。
评论精华