The Hacker Daily

IGI研究团队在Nature发表突破性研究：利用CRISPR-Cas12a2系统实现癌细胞精准清除。该技术通过检测p53突变基因产生的特定RNA，激活「染色质碎裂」机制，仅摧毁携带突变的细胞，健康细胞几乎不受影响。p53突变见于近半数癌症及70-90%的卵巢癌、胰腺癌、非小细胞肺癌。由于传统靶向药无法作用于肿瘤抑制蛋白，这类癌症长期被视为「不可成药」。新方法的独特之处在于完全绕过「重新激活」思路，转而「消灭」异常细胞，且具有可编程性，可快速针对新突变设计guide RNA。评论聚焦于：此前已有类似Cas9研究，此技术真正优势在于Cas12a2的不同机制；递送难题仍是临床最大障碍；癌细胞可能通过突变p53转录本逃避攻击；CRISPR临床应用仍处早期，仅1款FDA获批疗法。

作者 Ahmad Osman 呼吁开源 AI 赢得竞争，指出如果智能只能从少数封闭机构「租用」，公众失去的不仅是软件自由，更是操作自由。AI 是文明级基础设施，访问不应依赖封闭 API、远程平台或少数公司设定的价格。开源 AI 应保持可用、可理解、可复现、可本地部署、经济可行并由社区治理，避免陷入「认知订阅经济」。文章核心诉求是确保人类无需许可即可研究、构建、修改和运行智能系统。

安全初创公司depthfirst的AI安全代理在FFmpeg中发现了21个零日漏洞，其中8个已获CVE编号。这些漏洞覆盖TS解复用器、VP9解码器、RTP depacketizer等多个组件，总成本约1000美元，仅为Anthropic使用Mythos的十分之一。部分漏洞已在代码中潜伏15至23年，其中一个栈缓冲区溢出可追溯至2003年的SDT实现。代理通过威胁建模、攻击面分析和自动化PoC生成工作流程，确认每个漏洞可实际利用而非理论风险。文中演示了一个RCE利用原语，受害者只需执行ffmpeg -i rtsp://attacker/stream即可被攻击。但社区评论对「零日」定义存疑，认为FFmpeg长期被重点审计，真正未被发现的漏洞数量可能有限。

Putt.day 是一款每日迷你高尔夫游戏，玩家拖拽球杆控制击球力度和方向，目标是以最少的击球次数将球打入洞中。游戏支持拖拽旋转视角、双指缩放，水域障碍会将球送回原位。每天推出一张新球场，仅首次完成成绩计入排名，旧关卡可通过日历回顾。当前为第 32 天（2026 年 6 月 13 日）。社区反馈集中在物理引擎失真：球体偏「软」、滚动阻力过大、碰撞时动量衰减过快，导致短推几乎无法控制距离。另有玩家反映移动端触控操作被拇指遮挡视野，以及画面卡顿问题。开发者已根据反馈更新物理参数，并修复了因随机种子错误导致的关卡 BUG。

作者Brian Jenney拥有12年软件工程经验，运营AI工程培训公司Parsity，反驳「CS学位已死」的说法。他认为问题不在学位，而在于招聘管道失灵：2023至2024年间，标注「初级软件工程师」的职位增长47%，但实际录用却下降73%，大量「幽灵职位」造成虚假繁荣。数据对比需更全面——CS毕业生失业率6.1%虽高于哲学（3.2%），但综合失业、Underemployment和早期薪资来看仍名列前茅。作者建议：激活真实人脉（约26%offer来自内推）、考虑风险匹配的初创公司、主动制造项目经验（已部署的真实应用）、深入学习AI工程技能（RAGpipeline、多Agent系统）而非只会用工具。最后强调构建持久能力而非追逐市场波动。

作者因网络中断无法使用云端 AI，决定在 macOS 上搭建本地编码 Agent。硬件为 M1 Max（64GB 统一内存），最终方案为：llama.cpp（Metal 加速）+ Gemma 4 26B-A4B Q4 量化模型 + Q8 MTP 草案模型（推测解码）+ 多模态投影器 + Pi 终端 Agent。基线速度 58 tokens/s，加入 MTP 草案模型并调优后达到 72.2 tokens/s（提升约 24%），提示处理速度不变，仅生成速度提升。实测发现 llama.cpp 配合 MTP 优于 MLX，且加载多模态投影器后不影响文本生成速度。作者提供了完整的从编译、下载模型到配置 Pi 的步骤，并指出任何 --spec-draft-n-max 值 1-6 都值得测试，系统相关性很强。

本文为《现代64位CPU高效C++编程》一书第四章草稿，探讨CPU底层物理特性与性能关系。核心观点：电子信号延迟主要受寄生电容影响（而非光速限制），电容与连接长度成正比。内容涵盖：超标量流水线CPU的R-R操作可并行执行；L1D缓存读约3周期、写几乎即时，L2约10-15周期；除法性能近年显著提升至约20周期；分支预测失误代价约15-25周期。文章建议谨慎使用[[likely]]/[[unlikely]]属性，因现代CPU采用动态分支预测且程序员往往高估自己对分支概率的判断；仅在错误处理等明确低频场景才值得使用。文章还提及TLB等未深入展开的话题。

Apple 宣布将 TrueType 字体提示解释器从 C 语言重写为内存安全的 Swift，计划随 2025 年秋季系统更新发布。此举旨在应对字体解析器处理不可信数据带来的安全攻击面问题。核心挑战在于必须实现与原 C 实现的像素级兼容——任何细微差异都可能导致字体渲染出现肉眼可见的变化。为此团队编写了近四倍于解释器本身的测试代码，并使用 1000 万份 PDF 语料经模糊测试收敛至 4200 份进行覆盖验证，最终达到 99.7% 代码覆盖率。性能方面，Swift 版本反而比原 C 版本平均快 13%，主要优化手段包括：使用 ~Copyable 值类型消除 ARC 开销、通过 Span<T> 高效操作跨语言边界数据、以及利用投影类型替代数据拷贝。Apple 已开源该 Swift 解释器代码，采用 MIT 许可。评论中亦有批评 Apple 应将资源投入安全底层而非 SwiftUI 的声音，以及关于 Swift 与 Rust 在互操作性和 ABI 层面差异的讨论。

BitBoard 是 YC P25 孵化的分析工作区，定位为 AI 代理时代的数据分析基础设施。用户可在任意 AI 聊天或编码代理中生成仪表盘和分析，并将成果转化为连接、持久的资产，而非散落在聊天记录里的临时内容。所有连接、查询和代码均被存储，可追溯数据来源并用一致的逻辑重新运行。它支持直连数据源进行实时查询，或由代理推送数据以复用现有连接。核心价值在于：既利用 AI 做数据分析，又不丢失逻辑和上下文；团队成员可在浏览器内协作共享。该公司透露他们此前做其他产品，但客户不断将他们推向数据分析问题，因此转型至此。

安全研究人员发现恶意软件开发者开始将核武器与生物武器相关内容文本嵌入间谍软件，以触发主流 LLM 的安全拒绝机制。当安全扫描工具调用 AI 进行代码分析时，遇到这些触发词会自动拒绝服务，导致恶意代码得以绕过分析。这一现象揭示了 AI 安全过滤器的双刃剑特性——本意是防止有害内容传播，却被恶意利用来阻断正当的安全审查。社区对此反应两极：一方认为这是对过度审查的讽刺性反击，揭示了 AI 过滤器的脆弱性；另一方指出此类触发词只是早期原子弹设计知识，实际威胁有限，且可通过对触发词进行预过滤或使用更弱模型规避。更深层的问题在于，任何依赖内容分类的安全机制都可能成为攻击面。

ezra 是一个基于 Erlang/OTP 构建的轻量级任务队列，采用 SQLite 作为持久化存储，并遵循 Redis 协议以实现良好的兼容性。项目主打「不过度工程化」的设计理念，旨在不引入 Kafka、Redis 等外部依赖的情况下，提供可靠的异步任务处理能力。Erlang/OTP 的使用确保了系统的高并发与容错特性，SQLite 则简化了部署复杂度。评论者对作者选用 Redis 协议的做法给予肯定，认为这是聪明的设计决策；同时也有人指出，若需要在 Postgres 生态中处理 DAG 类复杂工作流，可参考 PgFlow 项目。

wasi-gfx 团队宣布将部分图形接口从 WASI 核心规范中拆分出来。原因是 WASI 追求十年尺度的架构稳定性，而 wasi:surface 等 UI 接口仍需快速迭代。调整方案为：wasi:webgpu 因基于 W3C WebGPU 标准，将继续保留在 WASI 命名空间；wasi:surface 和 wasi:frame-buffer 将迁移至新命名空间 wasi-gfx，以库的形式独立演进；同时正式废弃 wasi:graphics-context。工具链 wasi-gfx-runtime 和 wasi-gfx-shim 将继续同时支持两个命名空间。此举效仿了 wasmcloud 等项目在 WASI 外部构建专属生态的实践，将通用标准与领域特定接口分离。

美国众议院本周以声音投票方式通过 H.R. 6028 法案（立法机构 agencies 澄清法案），EFF 警告该法案将「从根本上改变」美国版权局且绝非好事。核心变化包括：取消国会图书馆对版权局的现有监督权、将多项权力直接转移给版权注册官、并使其成为总统提名、参议院确认的职位。EFF 认为这会使本已对版权和科技政策有巨大影响力的机构变得更加政治化——版权局曾在 AI 合理使用问题上严重误导、在 SOPA 法案中站在大型娱乐公司一边、长期偏向产业利益而非公众利益。法案还将 DMCA 第 1201 条规则制定权从国会图书馆馆长转移给版权注册官，进一步集中权力。EFF 批评该法案未经任何听证会就快速通过，呼吁参议院否决，「版权局应服务于公众，而非总统或行业说客」。

这是一篇关于19世纪意大利探险家吉罗拉莫·塞加托（Girolamo Segato, 1792-1860）的人物特写。塞加托自称发现了古埃及神秘「血肉化石」术的秘密，并利用硅酸盐配方成功将人体转变为石质木乃伊。他最著名的作品是一具名为「埃及石人」的成品，声称源自古埃及，但实际上可能是他亲手炮制。塞加托拒绝透露具体配方，坚称已将其带入坟墓，令学界至今无法验证真伪。文章探讨了这一介于科学与骗术之间的历史悬案，分析了当时欧洲对埃及学的狂热迷恋如何催生了此类谜案，也暗示部分「古物」可能纯属后世伪造。

一款致敬经典《海盗》（Sid Meier's Pirates）的浏览器海战游戏，采用 Love2D 引擎开发，目前仅有船战系统演示。游戏玩法围绕操控船只、转向机动、用炮火击沉对手展开。社区反馈聚焦几个问题：缺少风向机制（原文必须顺风航行否则减速）；小船过于强力凭借速度优势可无伤耗死大船；炮弹颜色与背景对比度低导致难以观察；操控说明不明确（空格键射击）。多位用户勾起怀旧情绪，提及 Apple II 上的《Old Ironsides》《Taipan》等经典海战游戏。开发者活跃回应，承诺加入风向系统和改进平衡性，并有人以此为基础实验多人模式和岛屿地图。

Tectonic 是一个从 XeTeX 分叉而来的现代 TeX/LaTeX 引擎，旨在解决传统 TeX 发行版构建过程过于复杂的问题。它能直接将 TeX 文件转换为 PDF，提供开箱即用的体验——用户只需运行「tectonic paper.tex」即可完成编译，无需手动管理复杂的工具链。Tectonic 名字取自希腊语「木匠」（τέκτων），意在暗示对 TeX 世界的重大变革。项目采用 MIT 许可证，基于 LaTeX、TeXLive、XeTeX、dvipdfm-x 等数十年积累开发，依赖 Dataverse Project 托管的资源包实现网络下载功能。目前维护者坦言项目已数年无重大更新，精力有限。

作者想让AI帮自己快速生成好看的个人工具，但苦于没有设计品味控制不好AI。测试多款风格后意外发现：只要要求AI生成「看起来像Qt应用」，几乎能消除那种廉价slop感。原因是Qt有严格的设计规范，AI不必在无数选项中做选择，避免了把所有风格「平均化」后产出的那种模糊感。作者把选举地图可视化工具改成Qt风格后效果好，随后将自己其他个人软件也迁移到Qt风格，效果同样令人满意。

作者记录了使用 Claude Code 逐步将自己从开发周期中移除的实验过程。Phase 0 他在本地开多终端并行与 AI 协作，但上下文切换疲劳让他难以持续。Phase 1 他将项目迁移到隔离的 EC2 实例以缩小风险范围，发现了笔记和记忆文件之间混乱的耦合。Phase 2 他放弃了手机远程干预的想法，转而追求「检查点式」沟通：AI 完成一块工作后留下清晰的交付物和问题，他次日再处理。Phase 3 他用 GitHub Issues 作为 AI 的任务看板，实现真正的日程驱动自动化。作者强调这个过程需要亲自尝试、理解自己如何与 AI 协作，并承认「自动化起初会让你更慢」。

路透社披露，以色列网络安全公司 BlackCore 涉嫌参与干预纽约市和苏格兰地区的选举活动。调查显示，该公司可能通过社交媒体操纵、信息传播或其他数字手段影响选民行为。除纽约和苏格兰外，法国同样是调查涉及的地区之一。此案引发西方多国对外国实体干预选举的高度关注，相关执法部门正在深入调查。BlackCore 方面尚未公开回应这些指控。

TycoonLE 是一个受 OpenTTD（开放运输大亨）启发的强化学习研究环境，基于 JAX 框架实现。其核心设计聚焦于长周期决策：智能体需要构建运输路线、调度货运、管理债务，并优化延迟收益。相较于游戏 AI 常用的短期奖励机制，该环境强调真实经济中的延迟回报与资源权衡问题，有助于研究信用分配、长期策略优化等强化学习难题。项目面向研究社区，提供标准化的 Gym 风格接口，适合评估各种 RL 算法在复杂经济模拟中的表现。

美国数据分析公司 Palantir 试图通过法律手段压制瑞士独立媒体《Republik》及旗下调查项目「WAV」的系列报道，但苏黎世商业法院最终裁定：Palantir 提出的 23 项「反陈述」（counterstatement）删除请求中，仅 1 项获准，其余 22 项均被驳回。Palantir 软件长期服务于美国国防和情报机构，近年来在部分欧洲国家面临日益增长的监管审查，丹麦、荷兰等国已表态希望减少对美国科技公司的依赖。Palantir 联合创始人彼得·蒂尔等人与《魔戒》的关联并非巧合——该公司名称本身即取自「全视之眼」Palantiri。法院判决后，《Republik》表示「欢迎法院确认我们的出版反述权」。

keyd 是 Rahemtlla 开发的一款 Linux 键盘重映射守护进程，旨在解决 Linux 键盘映射配置复杂、Wayland 兼容性差等痛点。它无需 root 权限即可灵活定义键位，核心特性包括：用 C 编写的输入循环延迟低于 1ms、支持将 caps lock 映射为 control 等修饰键、以及 hold/tap 键功能。评论普遍认为它比传统 xkbd 定义方案更简单、开箱即用，尤其在 Fedora Silverblue 上运行良好。有用户提到它拯救了「janktacular」的 Python 脚本。另有评论指出，它比 input-remapper 缺少高级宏功能，但专注于键位映射本身，简洁高效。

这是一个纯C语言实现泛型动态数组的代码片段，核心创意在于利用2的幂次特性——当数组长度为0或2的幂时，容量可通过stdc_bit_ceil计算得出，无需显式存储容量字段。同时通过不定义struct来避免为每种元素类型创建单独的数组结构体，利用typeof实现类型推断。然而评论指出这是「小聪明」式设计：容量实际仍存储在realloc的内存分配中，无法真正预留固定容量，且不使用struct导致类型不安全，arr[0]与arr[1]混淆、越界写入arr[3]等错误难以调试。支持者则认为对于无需预留容量的简单场景，这种设计简洁优雅，2的幂次扩容策略本身也是常见优化。

随着AI写作越来越普遍，作者提出了一个职场礼仪原则：如果你在请求人类的注意力，就要展示人类的努力。作者回忆一次经历——同事用AI批判他的设计方案，却表示「我没读过，可能不准确」，他反问：如果你都不愿意读，为什么要我读？作者的建议是：转发AI生成内容时务必标注来源，并附上自己的评论；请求代码审查前先自己审查AI生成的代码。评论区反响强烈，多人吐槽身边有同事完全沦为「AI提示词工程师」，copy/paste任务描述给AI后原文转发、连错都不改。也有观点指出，如果工作产出与机器无法区分，老板为何不直接用机器？更有人提出「不想写的人，也不值得别人读」的辛辣观点。

SkillSpector 是 NVIDIA 开源的一款 AI 技能安全验证工具，旨在检测和审查 AI Agent 所调用的技能（skills）是否存在恶意代码或安全隐患。由于当前许多 AI 系统支持用户自定义技能扩展，而这些技能可能包含执行任意操作的 Python 脚本，安全风险不容忽视。该工具试图在技能被加载执行之前对其进行扫描验证。然而评论区的反馈呈现两极化：一派认为这比什么都不做要好，是纵深防御的一层；另一派则指出其本质局限——LLM 审查 LLM 代码如同让病毒软件审查病毒，容易产生虚假安全感，且如果审查用的 LLM 本身存在漏洞，整个链条仍不可靠。还有评论提及技能可递归导入子文件夹中的 Python 文件，当前社区对技能的安全导入机制普遍缺乏信任。