The Hacker Daily

一个匿名 GitHub 账号「bikini」在 Exploitarium 仓库批量发布了大量自称是「未公开 0-day」的漏洞 PoC，涉及 Ghidra、FFmpeg、Docker、nmap、c-ares、libssh2 等知名项目。但 HN 社区普遍持怀疑态度：多位评论者验证后发现，许多所谓漏洞实际上是已公开 CVE 或需要先具备代码执行权限才能利用的「循环论证式漏洞」；FFmpeg 代码执行漏洞被少数人认为确实危险，但多数人觉得质量参差不齐。社区核心争议在于：这些是否真的构成 0-day，还是 LLM 批量生成的安全研究报告？以及术语「0-day」是否已被严重通货膨胀。此外，有评论者担心此类仓库会吸引脚本小子模仿，同时也有声音认为仓库有助于安全研究兴趣引导。

OpenRA 发布 2026.02.22 测试版，为《红色警戒》《泰伯利亚黎明》《沙丘 2000》三款游戏加入了随机地图生成器，玩家可选择生物群系、玩家数量、对称性和资源设置来快速生成地图。沙丘 2000 获得视觉效果升级（音波坦克、受损建筑特效）和玩家社区主导的平衡性重制；泰伯利亚黎明 HD mod 达成功能完整，新内容管理器支持在重制版与经典版美术、音效、音乐之间切换，但合并进主版本的工作仍未完成。地图编辑器迎来 UI 改进和随机生成器集成工具，BOT 现可尝试建造扩张基地。评论中用户普遍赞誉 OpenRA 的重制质量，有玩家认为平衡性超越原版，也有玩家指出 AI 射程判定存在缺陷；EA 已开源 C&C 系列为社区带来新契机，但 Tiberian Sun 和 Red Alert 2 的支持仍未落地令部分早期众筹支持者失望。

本文系统对比了主流公共 DNS 解析器的选择框架，核心过滤维度包括传输协议（DoH/DoT/DoQ/DNSCrypt）、DNSSEC 验证支持、IPv6、管辖权与运营商类型等。研究表明加密 DNS 实际开销较小，但在高延迟链路上仍不及明文 DNS；约 25% 的 DoT 提供商曾提供无效 TLS 证书。隐私方面，ODoH（ oblivious 设计）可实现身份与查询分离，单一服务商无法同时获知两者。验证性解析器（Google、Cloudflare、Quad9）能抵御 DNS 记录伪造，这对安全至关重要。EDNS Client Subnet 涉及隐私与 CDN 加速的取舍。2022 年测量显示 DoQ 在响应时间上已优于 DoT/DoH，但约 40% 的握手受 QUIC 地址验证限制。流量分析仍可在 DoH 下高精度识别访问域名，标准 EDNS 填充无法完全防止。评论中有人倾向自建解析器规避隐私问题，也有人提醒 Quad9 恶意软件黑名单存在误拦，另有用户反映在 Starlink 低速链路上 UDP DNS 频繁丢包。

人类心智一次只能处理约 4 个信息单元，远小于它所构建的软件系统。注意力如同黑暗仓库中的手电筒光束——我们会错过视野正中穿着大猩猩服装的人，也会注意不到对话者被悄然调包。「人类错误」往往是系统设计缺陷而非个人疏忽。LLM 同样存在上下文窗口限制，「Lost in the Middle」研究表明：信息越多模型表现反而下降。好工程实践——精确命名、划定边界、编写测试、设计可撤销——都是将信息从脆弱的短时记忆转移到稳定的外部结构。Sam Farber 为患有关节炎的妻子 Betsey 设计的人体工学削皮刀，后来成为最畅销的厨房工具之一，正是「为受限认知设计」普适性的最佳例证。

福特汽车承认，在大幅依赖AI自动化质量检测系统后，因AI缺乏对复杂问题的细微判断能力，导致质量事故频发、损失数十亿美元，最终被迫在过去三年重新聘用超过350名被称为「灰胡子」的老牌工程师。这些资深员工负责下线前的质量审查，并协助训练和改进AI系统。福特COO表示：「我们曾以为引入AI并输入设计要求就能生产出高质量产品，但实际上效果远未达标。」召回工程师后，福特在J.D. Power初始质量调查中跃居主流品牌榜首，这是16年来的首次。福特表示不会放弃AI，但将改为「AI+人类监督」的协作模式。

考古学家在土耳其古城卡尼什（Kanesh）发掘出逾两万件泥板文书，揭示约四千年前亚述商人已建立高度复杂的商业体系——包括十二人合伙公司、资本入股与利润分成、早期退出罚款机制，以及类似「证券化」的贷款转让行为。2019年，哈佛、芝加哥等校四位经济学家运用现代贸易引力模型分析这些泥板数据，发现青铜时代的贸易衰减率与距离的关系与当代主权国家间贸易几乎一致，表明人类商业行为的底层结构四千年未曾改变。文章以此反驳「市场是需专家设计的产物」这一常见误区，认为市场更像哈耶克所述的「自发秩序」——无需理论指导，价格信号、利率、法院执行等机制在实践中自然演化。但评论者指出青铜时代权威机构同样管控价格与工资，质疑「自由市场」的标签是否恰当，并提及David Graeber《债务》纪录片及戴克里先限价令的失败案例作为补充视角。

这篇手册系统整理了金融科技软件开发的核心工程模式，围绕三大原则展开：不凭空创造数据（通过幂等、去重、对账保证）、不丢失任何数据（全精度、至少一次投递、事件溯源、审计跟踪）、不轻信任何来源（验证webhooks、交叉校验、失败即报）。核心章节涵盖金钱表示（浮点/任意精度/最小单位整数/有理数）、舍入策略（显式处理、尽量延后、追踪残余）、货币配对与受控货币集、FX汇率的定向性与时间敏感性。社区评论呈现明显分歧：部分读者认为内容浅薄、整数存储建议过于绝对，实践中浮点double广泛应用且有效；另一派则认为手册实操性强，特别是幂等性部分；作者现身澄清约80%为原创写作，20%借助AI辅助语法润色。

加州科学中心正在建设一个高达20层楼的垂直展示系统，将把退役的「奋进号」航天飞机以发射姿态（尾部朝下、垂直地面）矗立展示。该项目称为「Go for Stack」，旨在重现航天飞机发射时的壮观场景。奋进号此前一直平躺在展馆地面，游客只能从侧面仰视。全新的展示方式将让人们体验航天飞机矗立云端的震撼感，预计将成为洛杉矶新的地标性景点。该项目耗资2.5亿美元，完全依靠私人捐款。

文章指出数字购买的本质是「可撤销的许可」而非真正所有权。数字商店的「购买」按钮实则销售访问权限，迪士尼+、HBO Max、Sony PlayStation 等平台均有多次删除用户已购内容的记录，包括电影、剧集、游戏等。ReDigi 案法院判决确认数字文件不适用首次销售权，无法合法转售。相比之下，实体媒体如蓝光碟、游戏卡带、书籍可离线使用、转让或转卖，不受账户状态或平台政策影响。但评论也指出当前实体媒体同样面临DRM、硬件依赖和空间占用等问题，数字与实体之争实为「许可vs所有权」这一根本问题的两面。

正则表达式最令人头疼的问题是各实现之间存在差异。作者在Perl这一「极致」环境中学会正则，但常用功能在其他工具中可能缺失或语法不同。由于常在无法安装软件的电脑上工作，作者尝试找出「处处可用」的正则子集。awk因其功能被sed、grep、Emacs等工具广泛兼容，可作为最低共同标准，但Emacs在字符转义和空白匹配上又有特殊规则（如+?(){}|需反斜杠前缀，\s和\S表示字符类而非空格）。作者最终列出他认为「处处可用」的特性：. ^ $ [...] [^...] * \w \W \s \S \1-\9 \b \B ? + | {n,m} ()捕获等，但同时承认gawk支持替换字符串中的回溯引用却不支持正则本身。评论聚焦于：文档常不说明正则方言导致使用者困扰；Go的RE2引擎明确不支持回溯引用；正则无法组合或调用其他正则模式；不同引擎的匹配语义（贪婪vs左most-maximal）差异才是更根本的问题。

ClickHouse 团队开发了 WAL-RUS，这是 WAL-G（PostgreSQL 备份工具）的 Rust 重写版本。原始的 WAL-G 采用 Go 编写，但其垃圾回收机制导致内存使用难以预测，在资源受限环境中峰值虚拟内存接近 2.8 GB。通过 Rust 的显式内存管理和流式架构设计，WAL-RUS 将内存占用降至 1 GB 以下（降低逾 70%），同时保持与 WAL-G 的配置兼容——现有 WAL-G 生成的归档可直接被 WAL-RUS 读取，反之亦然。该工具还引入了对 Postgres 17 wal summaries 增量备份功能的支持，计划未来成为 ClickHouse Cloud 托管 Postgres 的默认备份机制。社区讨论中有人对 Go 版本内存开销表示理解（CPU 增加约 1.5 倍属可接受范围），也有人询问长事务混合场景下的表现。

作者在个人网站上实现了 Town Square 功能：在页面底部展示来访者的火柴人图标，可看到其他访客正在阅读的页面、走动并发送消息。这一项目的目标并非打造另一个社交网络，而是重现早期互联网「屏幕另一端有真实存在的人」的感觉。Town Square 刻意保持极简：无账号、无个人主页、无粉丝数、无永久聊天记录，消息仅在有人在线时存在。作者已将项目开源并提供公共服务器，任何人可免自托管集成到自己的网站。未来的发展方向包括：增加更多角色互动道具、实现 TownSquare 之间的「相邻网站」跳转连接，形成 Webring 式的网站网络。社区评论中有人盛赞创意怀旧，有人反映演示站已被匿名用户刷屏不当言论，moderation 成为最大争议点；也有人对「不同网站间穿行」的 Webring 愿景表示期待。

美国政府两周前下令禁止 Anthropic 向全球提供 Mythos 及受限版 Fable 5后，东京创业公司 Sakana AI 于本周推出名为 Fugu（河豚）的前沿模型，宣称其能力「与 Anthropic 的 Fable 5 和 Mythos Preview 并肩」，专为 AI 代理设计，可协调多模型 API 访问。Sakana 联合创始人 David Ha 表示「顶级模型获取可能一夜消失，集体智能是对权力集中的务实对冲」，并批评依赖单一供应商做国家基础设施的风险。中国网络安全公司 360 也推出 Tulongfeng 漏洞发现工具及 Yitianzhen 网络防御工具，其创始人周鸿祎称漏洞发现 AI 是国家战略资产。Sakana 表示发布时机纯属巧合，但其官网宣传「无需出口管制风险的前沿能力」。评论普遍质疑在无独立基准的情况下「Mythos-like」说法缺乏依据，有人指出 Fugu Ultra 实际上是一个路由多模型的云端系统而非单一模型，Sakana 去年还有过一次公开撤回声明的尴尬记录。

CSS 即将引入 random() 函数，允许直接设置随机属性值。本文作者在 Polypane 29+ 和 Chromium 148+ 环境中探索了这一功能，通过「bokeh」光晕效果展示创意潜力。技术要点包括：random() 接受最小最大值参数，需注意单位一致；使用 element-scoped 关键字可确保同一元素内自定义属性生成相同随机值（否则 width 和 height 会不一致）；可与 calc()、hsl()、filter 等配合实现模糊、对比度调整、混合模式等复杂视觉效果。目前 Safari 26.2+ 已支持，Firefox 尚无支持，浏览器实现仍在持续演进中。

普林斯顿大学团队利用强化学习与逆向设计，让AI从零开始设计射频集成电路（RFIC）。AI生成的设计外观近似抽象艺术，却能实现超越人类设计的最优性能。研究指出RFIC设计涉及麦克斯韦方程、热力学等多物理域耦合，长期依赖设计师经验的「暗黑艺术」。AI通过大规模探索设计空间，在数小时内完成原本需要数年的设计工作，大幅降低成本。评论者指出AI生成的设计可能存在可制造性问题，且相关方法本质上是遗传算法等传统优化的延续，并非全新技术突破。

作者以2020年三年个月 sabbatical 为契机，彻底改变了音乐创作方式。他从2005年起断断续续做音乐，但总觉得创作靠「星辰排列」，无法复制。sabbatical 期间他将音乐制作拆解成一系列机械「苦差事」：弹合成器并录音归档、清理录音素材、制作节奏型、叠加音轨、混音等。他发现，session 当时的满足感与最终成品质量几乎无关——很多最喜欢的曲子反而来自最沮丧的 session。最终他在最后一个月完成40首曲目，发行首张 EP，并意识到：即使不满意，付出时间就能产出新材料；灵感与运气不再是障碍，「假装是职业音乐人」反而让他真的成了音乐人。

作者以蛋白质binder设计为背景，坦诚自己长期忽视优化理论的学习，随后深入探讨了优化概率向量的两种主流方法：一是利用softmax将无约束的logit空间重参数化为概率向量，二是投影梯度下降（PGD）——在每步梯度下降后将结果投影回概率 simplex。作者指出高维场景下PGD会自然产生稀疏解（维度越高概率越大），并引出「mirror descent」概念作为后续讨论铺垫。

美国商务部以「Connected Vehicle Rule」为由，否决了中国吉利旗下 Polestar 在 2027 年后进入美国市场的授权，而吉利旗下另一品牌沃尔沃却在今年 5 月获批。Polestar 已将 Polestar 3 生产线从中国成都转移至美国南卡罗来纳州，以规避特朗普政府关税，却仍遭封杀。政府拒绝透露审批差异的具体原因，评论猜测可能与车辆遥测数据是否传输至中国有关，或涉及政治献金，但均属推测。此举引发对政策一致性、透明度的广泛质疑。

文章以《心灵捕手》中 Robin Williams 的经典独白为引，论述 AI 时代人类经验的不可替代性。作者指出：AI 已阅读整个互联网，却「读不懂房间」——它拥有知识，却缺乏真正的体验。阅读战争与亲历战争、读过爱情诗与真正恋爱，本质上是完全不同的事。当下 AI 能流利自信地谈论各种经历，却从未真正感受过。真正的艺术创作亦然：同一剧本，不同演员因各自人生阅历不同，呈现效果天差地别。作者呼吁人们不要被海量信息和 AI「替代焦虑」说服，从而放弃自己独特的生活体验与表达。

文章介绍如何通过 LXC 容器将浏览器、Electron 应用等高风险 X11 程序与主机隔离，降低被攻击后的损失。核心步骤包括：创建 LXC 网桥（lxcbr0）、配置无特权容器（UID/GID 映射到主机不存在的范围，如 0→100000）、挂载 X11 Socket（/tmp/.X11-unix）和经过 FamilyWild 处理的 .Xauthority 文件以实现图形转发、传递 PulseAudio Socket 以支持音频。评论集中指出该方案的关键缺陷：X11 Socket 的无过滤传递等于彻底绕过沙箱——容器内任意应用都能监控和控制主机上所有 X 窗口，包括 root 终端。有人提到 XACE（X Access Control Extension）可实现细粒度权限控制，但质疑默认未启用。亦有评论建议更简单的 Firejail 方案，以及 waypipe 等 Wayland 兼容替代。整体反映 X11 安全模型与现代沙箱需求之间的深层矛盾。

本文分析多个领域中阈值/整数断点导致的行为扭曲问题。核心案例包括：Pell Grant助学金本意帮助低收入学生，却因招生优化导致富裕家庭学生更易录取；俄罗斯选举在2004年后出现大量95%等整数投票率，暗示数据造假；心理学论文p值在0.05处异常集中，表明p-hacking问题严重；美国量刑法案在280克处产生断点；波兰高中毕业考试因教师主观加分在30分处出现不规则分布；足球青训因年龄分组门槛产生出生月份偏差。根本原因是将连续指标人为离散化为整数阈值，产生「奇怪激励」，作者建议用平滑梯度替代断点设计。

一项在加拿大渥太华开展的随机对照实验，测试了不同木屑边界对步道蜱虫密度的影响。研究将20段50米步道随机分为三组：未处理木屑组、溴氰菊酯处理木屑组和对照组。结果显示未处理木屑即可降低50%蜱虫数量，效果接近农药处理组，说明物理屏障本身有显著驱虫作用。社区讨论聚焦于几个层面：一是莱姆病疫苗曾存在后被撤市，目前有新疫苗在试验中；二是有益线虫作为生物防治手段被部分用户验证有效；三是农药（如permethrin）对水生生物和猫的毒性引发担忧；四是气候变暖正使蜱虫向高纬度高海拔扩散；五是从生态角度提出狼群等顶级捕食者的恢复可产生级联抑制蜱虫效应。争议集中在成本效益（每公里步道每年约3000加元维护费）与长期生态安全之间如何权衡。

作者揭示了用现代浏览器 Web MIDI API 控制复古硬件时的核心矛盾：现代计算机以 GHz 速度运行，而 1983 年的 Yamaha DX7 内部只是一颗 2 MHz 的 8 位日立 6305 处理器，仅有 256 字节 RAM 缓冲。USB MIDI 适配器全速倾泻数据，而标准 MIDI 接口缺乏 RTS/CTS 硬件握手信号，接收端无法喊停，导致数据淹没旧设备 CPU 使其死机或丢包。解决方案是在 JavaScript 层实现软件流控——将 SysEx 数据分块（每块 256 字节）并在每块间插入 60 ms 延迟，让 8 位 CPU 有时间写完 EEPROM。此外各厂商 SysEx 格式纯属私有，浏览器对 Web MIDI 施以严格安全限制（Chrome/Edge 需授权，Safari/Firefox 完全屏蔽）。作者将 knob.monster 打造成无需安装的云端预设库，但评论区对 $230/年的定价、离线支持缺失以及 Firefox 崩溃问题提出质疑。

DeepSeek 发布 DSpark 论文，介绍一种改进的推测解码（Speculative Decoding）技术来加速 LLM 推理。推测解码最早于 2022 年提出，核心思想是用小模型快速生成多个候选 token，再由大模型验证并行接受，从而绕过自回归生成的顺序瓶颈。DSpark 改进了 draft 模型和验证策略，减少验证失败的浪费计算，在 DeepSeek-V4-Flash/Pro 预览版中已实际部署。评论普遍认为 DeepSeek 难得地公开了技术细节和实现方法，与美国公司形成对比；有人指出这可能是其近期大幅降价的底气之一。但也有开发者追问能否将此技术用于 Qwen 等其他模型，以及消费者 GPU 上的实际表现。整体来看，社区对这种「开放即竞争力」的做法持正面态度，认为有助于压缩西方 AI 公司的利润空间。

Anthropic 发布 Claude Mythos 后引发行业恐慌，被宣传为能自动化挖掘零日漏洞的革命性工具。但深入分析后，所谓「革命性进步」实为渐进式提升：GPT-5.4、Opus 4.6 等模型在 CTF 挑战中差距不大；Mythos 发现 OpenBSD 27 年旧漏洞耗费约 2 万美元、1000 次运行，成本极高且大多数企业无力承担。UK AI Security Institute 评估也指出测试环境缺乏真实防御机制。文章认为真正改变的是资源获取门槛——有实力的组织可大规模自动化漏洞挖掘，而非平均攻击能力提升。同时，OpenAI 以「Daybreak」和「Patch the Planet」项目跟进，转向防御为主。美国政府以安全为由封锁非美国公民使用 Mythos/Fable，Anthropic 被迫关停服务。作者呼吁：无需恐慌，现有安全实践依然有效，应保持冷静、继续前进。