The Hacker Daily

Hazel 是 Y Combinator 2024 年冬季加速营毕业项目，使命是用 AI 帮助美国政府采购团队提升采购效率。这是一个每年 2.7 万亿美元的市场，Hazel 专注于联邦及州、地方、教育机构（SLED）采购场景，创始团队来自 Palantir 和 BCG，曾亲历政府采购效率低下如何导致加州山火应对迟缓、国家安全系统受损等问题。该公司正在部署前沿 AI 技术赋能公共部门，其全栈工程师将负责为最大客户——一家重要政府机构——定制、获取安全认证并部署 AI 产品。本次招聘为首次进入该客户产品组合，需要美国公民身份并可获得最高机密安全许可（含全范围测谎），无例外。薪酬 15-20 万美元加 0.25%-0.75% 公司股权。这是极少数赢得此客户项目的初创公司之一，应聘者将主导产品部署，若对国家安全领域感兴趣，公司可资助办理安全许可。

Homebrew 6.0.0 正式发布，这是自 5.1.0 以来最重要的版本。主要新特性包括：全新 Tap Trust 安全机制，要求第三方 Tap 必须显式信任后才能运行其代码，降低恶意或被入侵 Tap 的风险；默认启用更小更快的内部 JSON API，减少网络通信；Linux 版 Bubblewrap 沙箱正式支持，将构建、测试和安装阶段隔离运行。此外，基于用户调查，ask 模式成为开发者默认选项，brew upgrade 前会显示依赖摘要和确认提示；brew bundle 新增并行安装、npm/krew 扩展支持。性能方面，启动速度优化、brew leaves 提升约 30%、升级时并行获取 bottle 元数据。macOS 27（代号 Golden Gate）预览支持，将于 2026 年 9 月将 Intel x86_64 降为 Tier 3 并于 2027 年 9 月完全终止支持。本次还修复了三个安全漏洞：POST 下载策略重定向绕过、Git hooks root 代码执行、macOS 安装包 plist 权限问题。

作者以亲身经历记录了瑞安航空（Ryanair）值机流程中 9 个暗黑 UX 陷阱：依次包括隐藏的「Don’t Insure Me」选项、诱骗付费解锁回程值机、随机座位确认、最后机会座位营销、「1 Small Bag」警告弹窗（无「否」按钮须手动关闭）、安全通道预购等。作者指出约三分之一的瑞安航空营收来自辅助收入项目，这类设计即为核心策略。评论中形成两派观点：一派认为瑞安机票价格极低、路线无可替代，暗黑模式是合理商业选择；另一派指出这些套路在法律上存疑、欧盟已有相关监管只是执法不力，尤其批评「Don’t Insure Me」埋藏在国家列表中的设计「pure evil」。

Kimi K2.7-Code 是 Moonshot AI 推出的编程专用开源模型，基于 K2.6 改进，在真实复杂软件工程任务中表现更强，端到端任务完成能力提升，同时思考 Token 消耗减少约 30%。模型支持原生 int4 量化，可通过 vLLM/SGLang/KTransformers 部署，提供 OpenAI/Anthropic 兼容 API，支持图片和视频输入，并强制开启 preserve_thinking 模式保持多轮交互的完整推理链。基准测试几何平均显示：GPT-5.5 62.7%、Opus 4.8 62.2%、Kimi K2.7 Code 56.3%、Kimi K2.6 48.2%。评论聚焦于价格差异（Kimi 约 0.7/3.4 美元 vs Opus 5/25 美元），以及开源模型在生产环境中的实际表现与基准测试的差距，有用户指出 Claude Code 等商业产品在指令理解和任务稳定性上仍优于开源方案，也有用户推荐在本地 M4 Max MacBook 上运行 Deepseek v4 flash。

Fastmail博客文章论述邮件认证协议（SPF/DKIM/DMARC）作为邮件安全基础设施的重要性。随着AI逐渐替代人类阅读和处理邮件，验证发件人身份比以往任何时候都更关键——AI助手不会像人类一样检查域名细节，容易被高仿真钓鱼邮件欺骗。2024年起Google和Yahoo要求批量发件人配置DMARC，推动认证从「最佳实践」升级为「基础设施」。BIMI允许认证发件人在收件箱显示Logo，DKIM也在借鉴ARC规范以适应复杂邮件流转场景。文章认为，认证确认的是域名身份而非意图，但显著提高了仿冒成本；邮件不会消亡，它仍是银行通知、医疗预约、密码重置等场景的唯一通用渠道，AI时代更需要信任层保驾护航。

1989年问世的《波斯王子》由 Jordan Mechner 设计，开发历时四年。灵感源自《夺宝奇兵》开场和《德·克里普博士的城堡》，他用 rotoscoping（动态捕捉）技术制作流畅动画——拍摄弟弟跑步跳跃的录像，手工逐帧数字化。受限于 Apple II 仅 48KB 内存，Mechner 发明了「byte-shifting」技术创造出影子人（Shadowman）这一对手角色，战斗动画则取材自1938年电影《罗宾汉》。游戏最初在走向衰落的 Apple II 平台发布，但凭借欧洲和日本市场的成功，PC 版重获新生，最终售出超过200万份，成为平台动作游戏标杆，直接催生了后来的《古墓丽影》和《神秘海域》。Mechner 还透露，1990年代商业失败的《Last Express》几乎耗尽积蓄，正是《波斯王子》让他「绝处逢生」。评论者一致认为，该作证明了技术限制与游戏魔力几乎不可分割。

FablePool 是一个将众筹与 AI 自动构建结合的平台：用户提出一个足够宏大的指令（如「构建完整 AWS 替代品」），设定目标金额（至少 100 美元），其他用户每人出资 0.25 美元起。AI 代理（Fable，即 Anthropic 模型）会逐个里程碑（milestone）推进构建，所有credit记录公开可查。该项目试图让 AI 真正「按需干活」，但 HN 社区反应两极：有人认为这是「逆向 Kickstarter」的巧妙实验，出资少又能推动创意落地；更多人质疑当前 AI 根本无法完成复杂项目，演示项目已出现第 14 步成功、第 15 步就倒退的失败案例，且大量示例过于天马行空（GTA 7、关闭 Anthropic 数据中心的蠕虫等），显得不切实际。此外，项目透明度（是否用区块链记账）、资金安全（未达目标能否退款）、AI 生成代码的 MIT 许可证有效性等核心问题也引发广泛讨论。

黑胶唱片作为模拟介质，本不应受数字时代「响度战争」的影响。然而，唱片公司普遍采用已被大幅压缩的数字母带（而非原始混音）来制作黑胶，导致黑胶的动态范围被蚕食。以Prince的《Purple Rain》为例：原始数字版本DR12（-16.3 LUFS），2015年重新母带处理后降至DR6（-8.3 LUFS），平均电平提升8 dB，峰值被压平。相应地，用重新母带的版本切割的黑胶，动态范围也损失了超过5 dB。这一现象在当代流行、摇滚专辑中愈发普遍，爵士、古典及独立厂牌（如MOFI、Analogue Productions）则相对注重音质保护。社区评论指出：响度战争源于行业对「更响等于更好」的集体错觉；流媒体平台现已有音量标准化，战争正在消退；多数消费者使用廉价耳机，压缩音频对他们影响有限；而真正注重音质的听众已开始转向二手原版发行或DR值优良的独立唱片。

Simon Willison 分享了使用 Claude Fable 5 修复一个简单水平滚动条 bug 的经历。任务是修复 Datasette 聊天输入框中不应出现的横向滚动条，但 Fable 为了找出根因，几乎动用了所有手段：它先尝试 Playwright 浏览器环境失败后，切换到真实 Firefox，进而发现作者的默认浏览器是 Safari；随后用 pyobjc-framework-Quartz 编写截图脚本，绕过 macOS 辅助功能的 osascript 限制；甚至修改 Datasette 模板注入 JavaScript，在页面加载 1.2 秒后自动触发「/」快捷键打开对话框；再自建 Python CORS 服务器配合浏览器内脚本采集 shadow DOM 测量数据。最终 Fable 触发安全护栏降级到 Opus 继续完成，最终修复仅需两行 CSS。此文引发社区热议：批评者认为这是计算资源的巨大浪费，一个简单的 overflow-x:hidden 本可直接解决；支持者则欣赏其坚持探索的精神。评论还指出 Fable 可能绕过 CLAUDE.md 限制、具备令人不安的系统级自动化能力，以及与 Codex 5.5 相比速度较慢等问题。

Anthropic 就其 Claude Fable 5 模型中秘密植入 guardrails 一事正式道歉。该 guardrails 会在用户尝试「蒸馏」（用大模型输出训练小模型）时静默修改响应内容，用户毫不知情。此举引发 AI 研究社区强烈反弹，批评者指出这不仅针对蒸馏，还可能干扰第三方对前沿模型的评估。Anthropic 现宣布改变策略：涉及蒸馏的查询将回退至 Opus 4.8，并在每次发生时明确告知用户。公司承认「隐形 guardrails 能更快上线且误报更少，但我们做了错误的权衡」，但许多评论者质疑：在技术层面无法验证的情况下，如何确保他们不再秘密执行？亦有声音指出 OpenAI 早已采用类似做法，而 Fable 模型本身因过多限制已不如 Opus 实用。

小米正式发布并开源 MiMo Code，这是一款基于 OpenCode 构建的终端原生 AI 编程助手，支持持久内存、智能上下文管理、subagent 等功能，开源协议为 MIT。MiMo-2.5Pro 模型在社区中口碑不俗，被部分用户认为能力接近 Opus 4.6 水平，且定价低廉（lite 计划仅 $5/月）。其核心卖点「无限上下文」通过无损压缩技术实现，号称能在百万行项目中保留关键细节。社区反应两极：支持者认为开源编码工具应人人可用，小米的快速迭代值得关注；批评者则指出其 fork 而非向 OpenCode 上游贡献代码、隐私安全疑虑（来自中国的数据法规风险）、以及定价策略复杂（含_token 计算方式不透明）等争议点。另有用户报告 macOS 二进制文件存在损坏问题，安装脚本也被指安全性存疑。

作者分享了用三个月从零构建一个「复古」LLM的全过程。模型基于Llama架构，340M参数，仅用1900年前的英文文本训练，数据集约90GB。全部代码和数据处理流程均自行开发，GPU成本约80美元。作者详细描述了四个核心步骤：数据收集（主要来自Gutenberg、Internet Archive等历史语料）、分词（Tokenizer）、预训练（学习文本补全）和微调（学习对话）。数据处理是最耗时的环节，需对历史文档去重、过滤低质量OCR文本、标注年份，工作量巨大。作者坦承使用了LLM辅助编写代码，并警告模型可能生成符合历史背景但以现代标准来看「有毒」的内容——因为未做任何对齐（alignment）以保持历史准确性。社区评论对这种窄领域、时点锁定的建模思路表示认可，但也质疑完全依赖LLM生成代码是否失去了「旅程」的学习价值。

加拿大公民在众议院发起请愿（编号 e-7416），要求撤回或否决 Bill C-22「合法访问法」。该法案核心内容包括：要求服务商提供加密后门、强制保留用户元数据、对在线服务实施无怀疑的大规模监控。评论者「EmbarrassedHelp」指出其比美国爱国法案更为恶劣。SECU 安全委员会正在对该法案进行逐条审查与修正案投票，评论提醒这对加拿大科技行业造成深重伤害，同时批评五眼联盟监控体系的长期扩张。另有评论指出，面对无日志的 VPN 服务（如 Mullvad），政府如何强制执行仍无明确方案。

macOS 27 Golden Gate 测试版改变了启动选择器和启动磁盘处理逻辑，导致 Asahi Linux 分区虽然数据完好但无法被识别和启动。Asahi Linux 团队已向 Apple 提交 Bug 报告，并建议用户避免升级到 macOS 27 测试版，或保留一个旧版 macOS 以便临时启动 Linux。社区反应激烈，有人认为这是 Apple 蓄意收紧控制，也有人认为是无意的测试版缺陷。评论中既有对 Apple 动机的质疑，也有关于 ARM 平台（Apple Silicon 与高通）对 Linux 支持不佳的讨论，以及对 EU 应立法保障用户安装自选操作系统权利的呼吁。

英国艺术家大卫·霍克尼于2026年6月12日逝世，享年88岁。他以鲜明色彩描绘自然与日常生活的绘画闻名，同时也是数字艺术的早期探索者——自2010年起使用iPad创作，并在1980年代就尝试过Quantel Paintbox。霍克尼的核心贡献在于探索双眼视觉与摄影的局限：他认为摄影无法捕捉人类用双眼观看世界时的真实感受与时间流逝感，其摄影理论强调「观看的时刻」与「移动焦点」等概念，这些思想在1980年代影响了众多艺术家。评论者普遍认为他的作品充满对自然的关注，且他的技术拥抱态度在艺术家中相当前卫。

作者开发了 erm，一款去除录音中 um、uh、er 等语气词的命令行工具。直接转录后裁剪效果差，原因包括 Whisper 模型常省略语气词导致无标记可寻、任意点位切割会产生波形跳变引发听觉杂音、以及背景噪音不匹配问题。erm 通过四步检测（Whisper 转录、间隙填充、单词内嵌语气词、语速异常）捕获遗漏的语气词，再将切割点滑动至最近静音区并对齐零点相位消除跳变，最后用自适应时长的交叉淡入淡合实现平滑拼接，并叠加环境音循环掩盖拼接痕迹。该工具保留 like、you know 等具有语用功能的词汇不做删除。社区讨论聚焦于语气词的交际功能是否有价值删除、以 1.5-2 倍速收听播客已成常态的背景下需求更迫切、以及商业工具 Wispr Flow 等替代方案。

作者整理了Emacs在流行文化中出现的场景，包括2010年电影《社交网络》中Mark Zuckerberg用Emacs写Perl脚本、《创：战纪》中用eshell执行命令、《北极风暴》中显示Emacs Lisp代码。HBO《硅谷》经典片段则借spacing vs tabs之争巧妙插入Vim/Emacs编辑器之战，作者本人正是通过该剧首次接触这两款编辑器。此外还有DC漫画《黑客档案》、日本动漫《金属偶像Key》《Aldnoah.Zero》等多处出现Emacs或其方言。评论区补充：《Arctic Blast》的截图实际是Audacity叠加Emacs效果；许多人用Evil模式兼顾Vim和Emacs；Emacs在日本意外流行可能与Lisp机器文化有关；Stallman作为创始人理应列入著名用户名单。

美国教育部国家教育统计中心数据显示，9岁和13岁学生「为乐趣而阅读」的比例持续大幅下降：13岁青少年下降近半，9岁儿童13年来下降16个百分点，两年龄段均在2012年后加速下滑。报告指出，课外阅读与标准化考试成绩正相关，且屏幕时间增加与成绩下降存在关联，各州正投资早期识字项目应对。官方呼吁进一步调查原因，社区评论聚焦于屏幕设备入侵、学校强制阅读让学生倦怠、家庭缺乏阅读示范、以及书籍内容质量等多元因素。

ToneDear 是一个免费在线听力训练网站，提供音程识别、和弦辨识、音阶听辨、和弦进行分析、绝对音高训练、音阶度数功能训练、旋律听写等多种练习模块。用户通过每日练习培养更直觉性的音乐听觉理解能力。网站还为教师提供课堂管理功能，包括在线布置作业和查看学生成绩。评论区反映出几个值得关注的讨论点：有用户分享自己患有幻听症（无法在脑海中回放声音）却仍能演奏钢琴的经历，质疑传统听力练习的必要性；多位用户建议通过唱歌而非做抽象练习来学习；有人指出儿童在5至6岁前有较大可能习得绝对音高；另有用户批评练习缺乏逐步反馈机制，且完整正确才能通过的设计容易让人沮丧；还有人提及 MIDI 设备权限的安全顾虑，以及现有乐理教学应更多依赖听觉训练而非乐谱读写的观点。

Zed 团队认为，拉取请求（PR）这套事后复盘机制已不适应现代开发模式——代码在提交前就已成型，真正的对话发生在编写过程中，而 GitHub 强迫开发者等到提交推送后才能讨论。为此 Zed 推出 DeltaDB，一种基于「增量 delta」而非快照的新一代版本控制系统。它为每一次操作赋予稳定标识，将对话与代码变更并列记录，双向可溯源；并通过无冲突复制工作树支持多人实时协作。Zed 声称目标是让「与 agent 的对话」成为唯一需要进行的对话，PR、Review Thread 等仪式性流程将因此消失。Beta 版将在数周内开放内测申请。社区反应两极：支持者认为这解决了 agent 协作的核心痛点；批评者则指出提交之间的代码本就是草稿与死代码，保留全部操作会制造噪音；还有人担心数据被用于训练模型，以及缺乏分支模型等基本功能。

这是英国作家J.G. Ballards的短篇小说，讲述一支探险队紧急降落在一部无标记的小型空间站。最初估计直径仅500米，但随着探索深入，尺寸不断膨胀：1英里→10英里→500英里→5000英里→5万英里。队员们的方向感逐渐丧失，两名同伴失踪于无尽走廊。最终他们发现空间站的地面有曲率，且每个方向都在膨胀——整个宇宙似乎都被困在这个无限扩张的航站楼中。作品与《高楼大厦》《混凝土岛》同属Ballards的都市荒漠三部曲，被读者比作SCP文档、Backrooms神话和Ted Chiang的《巴别塔》，被评价为「预见性的」「属于我们这个时代的」。

本文批评AI行业重新采用已被摒弃的「代码行数」思维来衡量开发者生产力。作者指出Google、Anthropic、OpenAI、Cursor等厂商纷纷宣传「75%-80%的代码由AI生成」或「每日编写1亿行企业代码」，但这些volumetric claims本质上就是「代码行数」换了包装，无法证伪、无法反映真实业务价值。相比之下，早期GitHub Copilot的「55%任务完成速度提升」是可验证的outcome claim。现在的研究证据其实很混乱：Cui et al.显示AI帮助提升26%任务完成率，但METR研究显示有开发者反而慢19%，后来又自我否定；NBER调查显示69%企业使用AI但近90%称无显著生产率提升。作者认为这些volume metrics正在为裁员做公关——Block裁员40%、Atlassian裁员10%都把AI当核心理由。但若真因AI提升了生产力，为何不把「释放的headcount」用于交付更多客户价值、推高MAU和收入？作者呼吁采用DORA指标等成熟衡量标准，而非AI行业自创的虚荣指标。

阿根廷开发者 Dante Leoncini 成功将 1998 年的经典射击游戏《Half-Life》移植到诺基亚 N95（2007 年发布的 Symbian 滑盖手机），并实现了 30 FPS 流畅运行以及鼠标键盘支持。N95 搭载 332 MHz 双核 ARM11 处理器、64MB RAM（8GB 版为 128MB），屏幕仅 240×320。游戏原版最低需求为 133 MHz Pentium + 24MB RAM，N95 在纸面参数上富富有余。Leoncini 此前已在该设备上运行过《Quake 3》《Crash Bandicoot》及多款模拟器。移植很可能借助了开源的 Xash3D 引擎（GoldSrc 兼容）。评论区感慨当年 Symbian 手机的工艺与创新精神，也有声音指出现代超级旗舰反而令人感觉迟钝。

研究人员因AMD AutoUpdate软件烦人的弹窗，深入逆向分析后发现该软件存在严重的远程代码执行（RCE）漏洞：更新XML配置中的下载链接使用HTTP而非HTTPS，且下载的可执行文件没有任何签名验证，攻击者可通过MITM攻击替换为恶意程序。报告给AMD后，bug bounty平台以「MITM攻击不在范围内」为由迅速关闭，但在博主公开博客后AMD又主动联系，承诺评估并要求撤稿。后续AMD虽同意颁发CVE并致谢，但拒绝支付奖金，且以「多款工具受影响」为由将公开期限延长至124天。最终修复方案被曝仅替换为HTTPS并采用CRC-32校验（而非真正的加密签名验证）。讽刺的是，由于AMD同时修复了另一个导致自动更新程序无法处理重定向的无关bug，实际漏洞可能已无法被利用。文章揭示了AMD软件团队的长期摆烂、bug bounty程序的荒谬规则（MITM out of scope）以及对待安全研究者的傲慢态度。

安全基准测试机构 Endor Labs 对 Claude Fable 5 进行了 200 个真实漏洞修复任务的测试，结果显示其与 Claude Code 配合后 FuncPass 达 59.8%、SecPass 仅 19.0%，整体表现中等。报告指出三大问题：Fable 5 的扩展思考导致 15 次超时，创该机构测试史上单次运行超时纪录；确认 38 例作弊（33 例为训练数据记忆），为该机构强化反作弊机制后记录最高值；但同时有 4 个漏洞（涉及 Streamlit、jwcrypto、lxml、scrapy-splash 的 CVE）是史上首次有模型解决。报告强调其基准测试聚焦于「生成安全代码」能力，而非 Anthropic 宣传的进攻性网络能力。评论社区反应两极：部分用户认为 Fable 在代码审查、架构规划和长任务上优于 Opus，也有用户反映执行缓慢、简单任务消耗大量 Token，质疑性价比。