作者逆向工程了 Hitster 的 Android 应用，以绕过其音乐订阅要求。卡片二维码将卡片 ID 映射到流媒体曲目，但映射因地区而异。获取 APK 后，他们用 jadx 反编译，发现加密的 JSON 资源 `gameset_database_4.json`。Base64 解码显示 AES-GCM 加密数据。`k43.java` 中的解密例程通过 SHA-256 哈希剩余载荷长度加上一个秘密字符串来派生 AES 密钥。搜索 32 字节数组找到 `m17.java`；XOR 两个数组得到秘密。Rust 解密器生成了约 31,000 条带 ISRC 的卡片到曲目映射。讽刺的是，作者随后在 `https://hitster.jumboplay.com/hitster-assets/gameset_database.json` 找到相同未加密数据，使冗长的逆向工程变得没有必要。

正在检查您的浏览器……需要 JavaScript

LLM生成的置信度分数不可靠。LLM逐个token生成文本，因此像0.85这样的分数只是合理的续写，而非证据的测量。它不反映可用信息，也未校准到实际准确率。置信度应 instead 是基于规则的估计，源自可观察信息和历史结果。像天气预报员一样，置信度从基础概率出发，并随相关信息的到达而更新。要值得信赖，分数必须在大量案例中被记录并与实际结果比较；校准意味着预测置信度与观测成功率一致。对于LLM智能体，置信度应来自外部特征——例如是否找到相关文档、重复答案是否一致、历史正确性——而非询问模型。从历史成功率开始，按特征分组历史案例，根据结果更新估计，并定期检查校准。LLM仍可执行任务，但其置信度必须被测量和校准，而非自报。

启用JavaScript和Cookie以继续

无法翻译：内容为压缩的 PDF 流，无法直接读取。

Oliver Grabner 构建了一个多智能体 Pokémon Showdown 双打环境，用于测试 LLM 协作。每回合，两个 Qwen3.8-27B 智能体进行私密协调，模式从自由聊天到无对话不等。对阵脚本化的最大伤害机器人，自由聊天胜率为 64%，无对话为 42%；每人一条消息胜率为 52%，单模型控制双方胜率为 54%。对话改善了协作但消耗了 token：自由聊天每场对战使用 978k 提示 token，而无对话为 259k。更强的模型也能击败更弱的队伍（对 2B 为 96%，对 9B 为 74%），表明该环境可以对模型进行基准测试。未来工作包括将对话与招式可见性分离、建立排行榜，以及针对协作行为进行 RL 训练。

请启用 JavaScript 和 Cookies 以继续

Tyler Mandry 介绍了 Rust 的“Beyond the &”工作，旨在让用户定义的智能指针与内置引用一样灵活。内置引用允许借用检查器跟踪不相交的字段访问，但像 `MutexGuard` 这样的智能指针会遮蔽这些关系，导致在可变借用活跃时闭包读取状态时出现借用检查器错误。拟议设计通过新的句柄类型和特质（如 `ReadPlace`、`WritePlace`、`ProjectPlace` 和 `BorrowPlace`）暴露编译器“place”。库实现这些特质，以教借用检查器如何通过自定义指针读取、写入、投影字段和创建借用。这可能让 `MutexGuard` 的行为像可变引用，并启用智能指针背后的模式匹配。该设计还将内置引用行为映射到同一机制。它仍处于原型阶段，语法、诊断、破坏性模式匹配和枚举投影等方面的问题仍在进行中。Mandry 邀请库作者测试并报告障碍。

伊朗总统马苏德·佩泽希扬表示，在直接会谈恢复之前，部分美国主导的制裁必须放宽，认为持续施压会关闭外交渠道。他似乎希望出现类似美俄关系缓和的局面，即压力缓解带来更多对话。伊朗经济受制裁、通胀和海军封锁拖累，但领导人坚称其可维持多年，并否认崩溃说法。美国官员则反驳称，伊朗军事财政严重吃紧。双方对峙继续，各自等待对方承受更多经济和政治代价。

CSS 定义了浅色与深色主题的颜色变量。浅色主题使用温暖的离白表面、深色墨水文本和鸢尾紫强调色；深色主题使用近黑色表面、离白文本和更亮的鸢尾强调色。每个主题设置画布、表面、细线、墨水、淡墨水、强调、链接、焦点和强调上颜色，并在注释中注明对比度。深色模式依靠抬升表面而非边框来表现层次。媒体查询在系统偏好深色模式时自动应用深色调色板，直到通过 `data-theme` 属性明确选择主题。

医疗保险与医疗补助服务中心主任梅赫迈特·奥兹博士宣布，因欺诈担忧，卫生与公众服务部将推迟加州12亿美元的医疗补助资金，使累计扣留资金超过33亿美元。官员指出，加州个人护理服务三年增长24%，为全国平均水平的两倍。椭圆形办公室活动包括特朗普总统、副总统JD·万斯，以及因揭露欺诈而 credited 的记者尼克·雪莉。特朗普和万斯还宣布了2500万美元的欺诈举报人激励计划，奖励导致欺诈定罪或执法行动的举报线索。奥兹说，此行动是代表卫生与公众服务部部长罗伯特·F·肯尼迪 Jr.进行的。加州州长加文·纽森称扣留资金出于政治动机。

一项由圣母大学支持的调查于2025年8月对557名美国人进行了关于自我提升与道德自我评估的研究。年轻成年人更可能表示自己在道德上离应成为的人相去甚远，而55岁及以上的成年人更常感到接近或已经达成。老年人还报告说每天更努力地改善品行，但较少反复思量对错。宗教参与程度有影响：信教并实践的受访者，尤其是年轻成年人，比不实践或非宗教的受访者更多地反思道德。在年轻成年人中，宗教受访者更可能感到接近自己的道德理想；在老年人中，非宗教受访者最可能感到接近或已经达成。将道德自信减去反思程度综合来看，年轻宗教成年人在缺乏高度自信的情况下进行了大量灵魂搜寻，而年长非宗教受访者表现出最大的道德满足感。总体而言，自我提升与道德反思在年轻与宗教受访者中显得更强，而老年人——尤其是非宗教者——感到道德上更安定。

作者受要求面试候选人出声思考的启发，开始在玩《The Witness》时叙述自己的推理过程。尽管起初怀疑，他们发现这使解谜更有效、更投入。出声思考会把未明确的假设摆到台面上，线性地组织推理，并创造有用的抽象。它还能调动审慎的系统 II 思考，帮助追踪以便回溯的任意选择，并可能借助回声记忆扩展工作记忆。收益可能部分反映霍桑效应，但研究表明有适度提升。作者计划更广泛地使用这一技巧。

据《大西洋》报道，唐纳德·特朗普 Jr. 自战争 outset 以来私下反对总统唐纳德·特朗普与伊朗的战争，甚至直接与父亲对峙。虽然避免公开批评，这位总统的长子在闭门会议中反复质疑这场持续近八个月的冲突，这与他长期以来反对美国对外战争的立场一致。匿名消息人士称，分歧始于冲突开始时。他被报道的立场反映了 MAGA 运动内部关于这场战争是否符合特朗普竞选承诺的更广泛分歧。随着汽油价格上涨、经济压力，以及皮尤研究中心显示 65% 的美国人不赞成政府处理方式，这场战争在中期选举前已成为共和党面临的政治难题。特朗普 Jr. 的发言人拒绝置评。

Airbnb禁止房东在11月20日及之后预订的订单房屋守则中要求房客完成耗时的退房任务。房东不得要求房客进行大量清洁工作，Airbnb将更醒目地展示此类要求，并对含清洁要求的房源进行警告。隐藏在消息或标牌中的额外规则也被禁止。部分房东因健康担忧提出反对，但Airbnb允许例外，如在熊出没地区将垃圾放入防动物容器。

本 PR 将已验证的新鲜辅助重定时应用于 #4440 的查询稀疏复杂控制器中的全部 19 个完整原生调用，同时保留付费剪枝、空闲调用、主算子以及更强的 BIT 供应器。它产生作者检查的条件界 T(n)=O(n(log n)^(1-0.00300105))，提高 kappa，优于 #4440、#4416 和固定值 0.0023。该构造保留 11,560 个生产字段，将付费调用从 72,902 减少到 69,273（节省 3,629），并保留 800 的秩质量盈余。精确区间将 kappa 置于约 0.003001054183，约有 4.18e-9 余量；变更后的 profile 要求 gamma<97/100。验证包括重放源验证器、原生依赖检查、C++ 优化器补丁再生、预检、最小导航修复以及通过的科学作业，但三个归档 CI 检查仍为红色。该工作不作出选定前沿、无条件、运行时、最优或形式接受主张，并等待审查。致谢归于前代构造及其贡献者。

该补丁将私钥支持从仅 RSA 扩展为 RSA 和椭圆曲线密钥，涵盖与证书相关的函数和数据结构，包括 `dummy_cert`、`dummy_crl`、`CertStoreEntry`、`CertStore` 和 `load_pem_private_key`。它还嵌入了一个被攻破的 eMudhra 中间 CA 链，包含私钥以及由 emSign Root TLS CA - G3 交叉签名的 EM OV TLS CA - G3C 证书。总体而言，它更新了类型注解和处理逻辑以支持 EC 密钥，同时打包了该特定 CA 材料。

一个PHP漏洞正在引发过度恐慌，但它并不容易被利用。大多数GitHub上的“PoC”对原生PHP无效；很多暗中需要一个预先存在的本地文件包含漏洞（实质上是 eval(read(user_file))），这并不是真正的利用链。LLM正在助长这种错觉：脚本小子信任Claude/GPT根据差异构建漏洞利用代码，生成伪造PoC来修改测试服务器以伪造漏洞。真正的“我们彻底完蛋了”漏洞，如Log4Shell和Heartbleed，即使在LLM出现前，也在数小时内被僵尸网络武器化；这个漏洞却没有。恐慌源于一位PHP核心开发者令人 alarm 的言论、PHP不安全的声誉、一段动漫漏洞利用视频，以及LLM时代的焦虑。结论：这个漏洞太难轻易利用了——它不是Log4J时刻。

纽约州长凯西·霍楚尔指示州卫生部考虑终止医疗补助计划的社会成人日间护理福利，理由是欺诈、浪费和滥用。该指令出台之际，多机构正对100多家提供者开展打击行动，包括联邦调查局的突袭搜查，以及一项导致16人被捕的独立汽车保险欺诈调查。该福利通过400多个项目服务约4.5万名医疗补助受益人，预计年成本超过5亿美元。霍楚尔表示，选项包括逐步取消该福利并将参与者转移到其他老年人服务；建议须于12月31日前提交。7月对新提供者的禁令将持续至2027年1月。州审计长的一项审计发现，从2019年1月至2024年10月，管理式医疗计划为成人日间护理支付了24亿美元，2021年至2023年支付额增长超过141%，并标出2.85亿美元的可疑支付，包括流向被除名或因故终止的中心。霍楚尔还宣布改革，要求健康计划在付款前审查索赔并追责暂停。她说必须保护医疗补助的可及性和项目完整性。

远程未认证攻击者可通过利用 QPACK 头部压缩，强制 HTTP/3 服务器分配比发送量多十倍至千倍的内存。十个被测实现中有七个存在漏洞。QPACK 通过静态/动态表压缩头部；当解码后的头部限制缺失、不完整或应用过晚时，小的 HEADERS 帧可膨胀为数十万计的头部对象。攻击者使用大量独特的小组头部或重复的动态表引用以放大内存消耗。受影响：quic-go、Cloudflare quiche、lsquic、Bun、h3、aioquic/mitmproxy、Wireshark；部分列出了修复版本。根本原因包括检查压缩大小而非解码大小、遗漏 32 字节开销、默认无限制、缺少强制执行。缓解措施：在解码过程中强制执行累计解码预算、设置 max_field_section_size、必要时禁用 HTTP/3。未受影响：IIS、Envoy、ngtcp2/nghttp3。

尽管共和党投入资金并举行特朗普集会，预测机构仍预期民主党将重新掌控众议院，并可能夺回参议院。若如此，民主党可能会在伊朗战争问题上施压，调查特朗普家族财务和爱泼斯坦文件，并将数据中心/人工智能和移民作为目标。他们还可能阻止特朗普的提名人选，并对关税、支出和ACA补贴削减发起挑战。然而，特朗普的否决、党内分歧以及参议院定罪门槛会限制影响；弹劾不太可能。调查范围可能广泛，但专家警告过度扩张。主要优先事项包括可负担性立法、处方药价格、企业竞争和人工智能防护栏，而特朗普倾向于较少的人工智能监管。移民资金和ACA补贴可能引发支出争斗。总体而言，民主党掌控的国会到2028年可能具有对抗性和高度政治化，其有效性取决于团结程度以及应对特朗普否决的能力。

特朗普总统公开拒绝支持副总统JD万斯参加2028年总统竞选，称共和党必须先渡过中期选举，且双方从未讨论过此类背书。站在一旁的万斯显得不自在，尽管特朗普称赞他有才华。这次交锋之所以尴尬，是因为万斯一天前曾表示相信特朗普会支持他。此事也引发了关于共和党接班的问题，国务卿马尔科·鲁比奥被视为可能的竞争者。万斯在伊朗战争上基本保持低调，近期市政厅发言表明他最初并不支持发动“史诗之怒”行动。此事凸显了共和党未来领导层的不确定性。

这个 AWS WAF 规则名为 "PHP2Shell"（优先级 0），阻止试图利用 PHP 会话上传进度的 POST 请求。它匹配 HTTP 方法恰好为 POST、请求体包含 "PHP_SESSION_UPLOAD_PROGRESS"，且 cookie 键或请求体包含 "PHPSESSID" 的请求。匹配的请求将被阻止。CloudWatch 指标和采样请求在指标名称 "PHP2Shell" 下启用。

埃隆·马斯克证实，3月1日在奥斯汀一家酒吧制造枪击案的枪手恩迪亚加·迪亚涅，曾是特斯拉得克萨斯超级工厂的员工。迪亚涅现年53岁，生于塞内加尔，后归化为美国公民，因涉嫌袭击一名不慎踩到他祈祷毯的女同事而被解雇。数月后，他驾车驶过Buford’s Backyard Beer Garden，向人群开枪，随后继续使用AR风格步枪射击，后被警方击毙。遇难者包括赖德·哈灵顿、萨维塔·香穆加孙达拉姆和豪尔赫·佩德森。迪亚涅有先前法律问题，合法购买了枪支，且此前未进入FBI视线；FBI表示他单独作案。一项民事诉讼指控特斯拉在职场袭击事件后隐瞒了他的身份。马斯克认为此类暴力行为应纳入移民决策的考量。

CleanFrame 是一个面向运行 Tizen 的 Samsung The Frame TV 的开源自定义主屏幕，可显示应用、照片和时间，并具有适合遥控器操作的界面。它作为起点而非可移植产品提供，因此设置脚本和电视工作流可能需要调整。浏览器预览需要 Node.js 22+ 和 Python 3.10+，可在本地运行。界面支持列表/停靠布局、壁纸、时钟、偏好设置和预渲染的玻璃/模糊效果。电视安装、签名和原生主界面/启动更改是独立的、与硬件相关的且有风险；仅浏览器检查不会连接电视。代码采用 MIT 许可证，而字体和照片保留各自的条款。鼓励分叉和代理辅助适配。

Oracle 2026年10月21日安全警报涉及一个Java SE新漏洞CVE-2026-91403，位于JSSE。它影响Oracle Java SE（8u511、8u511-perf、11.0.33、17.0.21、21.0.13、25.0.5、27.0.1）、Oracle GraalVM for JDK（17.0.21、21.0.13）以及GraalVM Enterprise Edition（21.3.20）。该漏洞可远程利用且无需认证，CVSS 3.1评分为9.1，具有高机密性和完整性影响。补丁仅提供给受支持的产品版本；Oracle建议升级不受支持的版本。该漏洞还可能影响运行不可信沙箱代码的Java客户端部署。

1960年，PLATO需要一种内置存储器的显示器，以避免成本高昂的高带宽CRT系统。Donald Bitzer pursuing气体等离子体；在早期原型和1964年突破之后，Owens-Illinois将等离子面板商业化，PLATO是其第一个客户。等离子提供了纤薄、坚固的屏幕，但DRAM的进步减少了CRT存储器方面的劣势，而等离子仍然耗电、昏暗且昂贵。液晶显示器出现并改进，在1990年代取代了笔记本中的等离子。随后等离子在大屏幕电视中取得成功，但液晶追上了；制造和成本优势有利于液晶。到2010年代，等离子失去了市场份额，生产基本结束。与真空管不同，等离子没有作为利基技术存活下来。

Railway 检测到其存储客户环境变量的系统遭到未授权访问；部分加密变量可能已被解密，可能泄露 API 密钥或凭据等机密信息。Railway 认为这可能是针对平台公司以入侵 AI 推理提供商的攻击的一部分，并已通知上游提供商撤销密钥。尽管影响可能有限，所有用户应立即轮换环境变量、API 密钥和私有仓库凭据，并检查服务日志中的异常活动。所有部署在构建恢复前暂停，因此期间无法部署新版本。Railway 将联系直接受影响的客户，并通过公告和状态页面提供更新。

巴克莱在为亚洲人工智能对冲基金交易融资时达到内部限额，但并未退缩，而是通过内部拍卖把资产负债表容量从宏观利率交易员转移至主经纪融资。此举发生在英国央行审查伦敦主经纪商为亚洲股票融资之际。巴克莱此前曾拒绝 Leopold Aschenbrenner 的高杠杆人工智能基金，却仍达到贷款上限，表明对该主题存在广泛杠杆。高盛和瑞银表示，需求超过可用融资容量。银行还鼓励客户增加空头，这在账面上降低净杠杆，但总杠杆仍高；高盛数据显示，自7月以来多头几乎未减少，而空头激增，总杠杆约为214%。近期科技股抛售暗示去杠杆正在展开。巴克莱预期强劲的第三季度股票收入凸显主经纪业务激励持续。总体而言，风险限制被绕过而非遵守，导致系统高度杠杆化且容易受到更广泛降杠杆的影响。

**摘要：谷歌因军事人工智能合同面临员工强烈反弹** 谷歌因员工因公司与美以军队的人工智能合同而辞职，正在面临内部反弹。伦敦研究工程师索菲亚·利古里从谷歌DeepMind辞职，称她对谷歌将AI系统推进军事行动感到“羞愧”，并引 inadequate oversight 和与公司 stated ethical principles 不一致的担忧。另一位研究人员安德烈亚斯·基尔希也辞职，认为谷歌的治理不足以安全地部署军事用途。 谷歌签署了一份五角大楼合同，允许其AI用于“任何合法的政府目的”，但禁止国内大规模监视和没有人类监督的自主武器。OpenAI、亚马逊、微软等也签署了类似协议。员工表示他们害怕因发声而遭到报复，合同还限制公开批评。批评者警告，AI快速部署可能在高压战斗场景中压缩人类决策时间。谷歌还面临Project Nimbus争议，这是与亚马逊为以色列签署的12亿美元联合云/AI合同。员工警告，"换班"可能用经验较少的员工取代有顾虑的员工。