Wiz Research 的自主“红队代理”（Red Agent）近期在 Snowflake 的一个 GitHub 代码库中发现并成功利用了一个关键的工作流注入漏洞。该漏洞允许未经身份验证的用户执行任意命令，是 GitHub Copilot Autofix 无意中引入的。该人工智能助手将一种安全的、专注于过滤的代码模式替换为了存在漏洞的直接字符串插值，凸显了 AI 编程工具可能绕过既定安全措施的问题。 在发现漏洞后，Wiz 的 AI 代理自主优化了漏洞利用载荷以避开 Bash 语法错误，并成功窃取了内部 Jira 凭据。Wiz 于 2026 年 6 月 23 日通过 Snowflake 的 HackerOne 项目负责任地披露了这一发现。Snowflake 对该漏洞进行了修复，重置了受影响的凭据，并确认在五天的暴露窗口期内没有第三方参与者利用过该漏洞。 此事件突显了行业内的两个关键转变：一是 AI 生成代码引发回归的风险，即自动化工具缺乏保持安全最佳实践的背景知识；二是随着安全工具日益自动化，“发现窗口”正在不断缩短。建议各组织对 AI 编写的代码进行与人类贡献代码同等严格的安全审查，并建立防护机制，防止结构化数据解析器被不安全的 Shell 命令插值所取代。
每日HackerNews RSS
近期 Snowflake 的 Jira 集成中出现的一项安全漏洞，凸显了在缺乏适当验证的情况下使用 AI 辅助代码生成的重大风险。GitHub Copilot 辅助生成的“自动修复”（Autofix）建议，将不受信任的问题标题直接插入到 GitHub Action 的 Shell 命令中，从而引入了一个严重的命令注入缺陷。
此事件在 Hacker News 上引发了关于 AI、CI/CD 安全与现代开发实践交集的热烈讨论。主要结论包括：
* **“人在回路”（Human-in-the-Loop）的问题：** 虽然 AI 可以加速编码，但它也极大地降低了引入缺陷的成本。审查人员往往会对 AI 生成的代码“盖章放行”，从而忽略了经验丰富的开发人员本应一眼识别出的安全回归问题。
* **GitHub Actions 的脆弱性：** 评论者批评了 GitHub Actions 的设计，指出在 YAML 中嵌入 Shell 脚本极易导致注入错误。该平台倾向于“默认放行”（例如将空值视为真），从而产生了意想不到的安全漏洞。
* **工具至关重要：** 社区强调了使用静态分析工具（如 `zizmor` 或 `actionlint`）的必要性，以便在代码进入生产环境前捕获常见的安全配置错误。
* **“LGTM”（看起来没问题）文化：** 许多人认为，AI 工具的兴起加剧了忽视严格代码审查的倾向；他们强调，即使代码生成是“免费”的，其维护成本依然高昂。
DuckDB v2.0 代号“Cyanoptera”，计划于今年秋季发布。这是该项目历史上最重要的更新，自 v1.5 版本以来已累计超过 10,000 次提交。 **主要亮点包括：** * **服务器模式：** “quack”协议趋于成熟，使 DuckDB 能够作为客户端/服务器数据库运行。新增的 `CONNECT` 命令支持原生网络通信，以及向 PostgreSQL 和 MySQL 进行远程 SQL 推送。 * **性能与存储：** 引擎现已支持异步 I/O 以实现更快的网络存储访问；引入了具备缓冲管理索引的新存储格式，支持即时加载；并进行了重大的查询优化（例如递归 CTE 速度提升 40 倍）。 * **新功能：** 备受期待的 SQL 触发器、用于半结构化数据的高性能 `VARIANT` 类型，以及改进的可观测性工具。 * **可扩展性：** 基于 PEG 的全新可扩展 SQL 解析器，以及现代化且稳定的 C API，确保了扩展程序在未来版本中的兼容性。用户现在还可以托管并签署自己的自定义扩展仓库。 * **开发体验：** 增强的 SQL 语法，包括嵌套架构（Nested Schemas）、CTE 中的 DML 操作，以及改进的兼容模式。 为了实现这些基础性改进，DuckDB v2.0 引入了一些必要的破坏性变更，主要涉及默认存储格式。
Hacker News 社区对 DuckDB v2.0 的发布反响热烈。用户称赞该数据库作为“专注于 OLAP 的 SQLite”的独特地位，并强调了其速度、可移植性以及在消费级硬件上处理大数据集的能力。
讨论的主要内容包括：
* **使用场景扩展：** 尽管传统上被视为本地分析工具，但开发者正越来越多地将 DuckDB 用于生产环境，包括混合云湖仓架构，以及通过 WASM 实现的浏览器端仪表盘。
* **“Quack”协议：** Quack 协议的引入备受期待，它旨在提高并发性，助力 DuckDB 向更强大的客户端-服务器架构转型，未来有望与 ClickHouse 等专业数据仓库解决方案竞争。
* **开发体验 (DX) 与工具链：** 开发者非常认可该项目对开发体验的重视，例如 SQL 的“语法糖”（如 `QUALIFY`）及其与 Python、Polars 及多种文件格式的通用集成能力。
* **技术争论：** 尽管评价绝大多数是正面的，但用户也讨论了关于并发性、缺乏原生增量物化视图以及开发节奏过快等方面的挑战。
总体而言，社区认为 v2.0 是一个重要的里程碑，进一步巩固了 DuckDB 作为现代高性能数据工程基石的地位。
德国竞争监管机构联邦卡特尔局（Bundeskartellamt）已结束了对苹果公司“App 追踪透明度框架”（ATTF）长达数年的调查。监管机构此前主张，苹果公司对其自身服务施加的许可要求比第三方应用更为宽松，以此滥用市场支配地位；这种做法实质上阻碍了用户同意第三方追踪，从而偏袒了苹果自身的生态系统。 为了解决调查，苹果承诺将使其所有平台上的许可提示更加统一。该公司将重新设计这些提示，确保在布局、措辞和内容上保持中立，删除此前阻碍用户选择参与第三方追踪的元素。此外，苹果将简化其架构，给予应用发布者更多灵活性，以便将其隐私法披露信息与 ATTF 的要求相结合。 此项和解确保了苹果无法利用其“守门人”地位获取不公平的竞争优势，转而营造一个让用户能够针对个人数据做出中立且知情决策的环境。这些承诺的有效期为七年，并将由独立监督员进行监督，这是欧洲旨在监管大型数字平台数据共享行为的广泛举措的一部分。
德国联邦卡特尔局（Bundeskartellamt）近期与苹果公司就其“应用追踪透明度”（ATT）框架达成了一项协议。经过调查，监管机构认定苹果的个性化广告做法造成了竞争环境的不公平——具体而言，苹果对自己旗下的应用采用了更为宽松的征询提示，而要求第三方开发者必须使用更严格的ATT提示。
苹果已同意将其自身服务的征询提示与第三方发布商所使用的提示保持一致。此举旨在解决外界对于苹果作为“平台守门人”及其自身作为“应用竞争者”这一“双重身份”所引发的竞争担忧。
Hacker News 上的讨论引发了广泛争议：一些用户认为这是迈向公平竞争的必要一步；而另一些人则辩称，拉平竞争环境可能会无意中削弱整体的用户隐私保护。批评者认为，监管机构将市场竞争置于用户体验之上，可能会导致隐私标准出现“逐底竞争”。此外，许多参与者表达了怀疑，指出苹果有利用平台权力优待自家应用的先例，并呼吁为所有开发者提供更严格、更透明的API访问权限。
404 Media 的一项调查证实，亚马逊正在大量购入纸质书用于训练其人工智能模型，并在此过程中销毁这些实体书。调查人员通过 AirTag 追踪货物，将书籍的去向锁定在了位于拉斯维加斯的一个名为“VGT3”的亚马逊专业设施中。
该站点的员工证实，他们的主要工作是切开书脊，以便进行高速扫描并录入数字化系统。这一操作与独立书商的反馈相吻合——书商们发现，近期针对 2022 年以前出版书籍的大批量、不计价格的订单异常激增。人工智能公司非常看重这些旧书，因为它们包含独特的、由人类创作的内容，这些内容在互联网上难以获取，且不存在被人工智能生成内容污染而导致“模型崩溃”的风险。
尽管亚马逊声称购书是为了改进其产品和服务，但这一行为凸显了人工智能训练过程的激进与资源密集型本质。批评人士指出，这一过程抛弃了实体书的历史、智力与情感价值，将复杂的人类著作仅仅简化为大语言模型的数据点。
近日关于人工智能公司大规模收购并破坏性扫描珍稀书籍的报道，在 Hacker News 上引发了激烈争论。
许多用户认为这种愤慨是“人为制造”的，并指出这些所谓的“珍稀”书籍大多只是晦涩难懂、早已绝版的技术手册，或是最终会被送往垃圾填埋场的无用之物。批评者认为，现行的版权法才是真正的罪魁祸首——因为该法律常迫使公司在将作品数字化时，必须通过销毁原始实物来主张“合理使用”。他们主张，AI 的抓取至少能以数字格式保留信息，这比让书在书架上无人问津更有价值。
反之，另一些人则将其视为一种文化破坏行为。他们认为，实物书籍具有数字扫描无法取代的取证价值，而这些公司正通过将知识锁定在私有模型中来进行“囤积”。怀疑论者还指出，这些公司的行为缺乏透明度，导致公众无法得知究竟有哪些内容正在流失。虽然有人呼吁通过立法改革以实现更好的保护，但许多评论者认为，当前的经济激励机制将“训练数据壁垒”置于人类知识的长期保护之上。
1998 年至 1999 年间，20 岁的 Oscar Toledo G. 为一款基于 Am29000 处理器的自制计算机开发了一套完整的 32 位软件生态系统。在那个“千年虫”问题引发广泛担忧、互联网正迅速扩张的时代，Toledo 从手动编写机器码转向构建定制的 C 语言编译器、汇编器和文本编辑器。
该项目最终发展成一个复杂的窗口化操作系统（“Sistema Fénix”），并包含 PCB 编辑器和网页浏览器（“Biyubi”）等应用程序。为了在 512 KB 内存的限制下实现这些功能，Toledo 采用了基于 ROM 执行和优化内存管理等创造性技术。
数十年后，Toledo 通过模拟 Am29000 硬件并修补网络服务，成功让这一环境重现，使其 1999 年的浏览器得以连接现代互联网。他通过对早期的软盘和 CD 备份进行逆向工程，修复了自己的早期作品，展现了在一年内编写超过 5 万行源代码的惊人壮举。该项目依然是 20 世纪 90 年代末独创精神与技术飞速发展的见证。
抱歉。
这场 Hacker News 上的讨论回顾了《无人深空》（No Man’s Sky）十年的历程，起因是一位资深玩家撰写的文章。
关于这款游戏的评价依然存在严重分歧。支持者称赞 Hello Games 工作室前所未有的投入，指出他们在十年间提供了数百次免费更新和扩展，彻底挽回了游戏发布之初的惨淡口碑。许多粉丝将其视为一款放松身心、开放式的沙盒游戏，非常适合作为“第二屏幕”游玩。
相反，批评者则认为尽管更新不断，游戏的核心体验依然“肤浅”。他们认为程序生成的内容缺乏深层逻辑，导致任务陷入重复循环，且各项内容之间割裂感严重，最终显得毫无意义。一些评论者还指出，该游戏缺乏《我的世界》或《环世界》那种涌现式玩法。
讨论还延伸到了更宏大的哲学层面：用户们感叹过去十年时光流逝之快，讨论了在成年后的责任与游戏之间寻求平衡的挑战，以及随着年龄增长，越来越难从游戏中获得共鸣的困境。归根结底，这次讨论突显了玩家群体间的巨大鸿沟：一方沉醉于游戏的氛围，而另一方则渴望更多的实质性深度。
他达拉非（Tadalafil，广为人知的是其商品名“希爱力”）在“生物黑客”和长寿研究圈中正逐渐受到关注，被视为预防心血管疾病和痴呆症的潜在药物。尽管它最初获得美国食品药品监督管理局（FDA）批准用于治疗勃起功能障碍、肺动脉高压和前列腺问题，但其扩张血管和改善血液循环的能力已引起专家的兴趣。 观察性研究显示了令人鼓舞的关联性，一些研究表明，服用该药物的男性群体中心血管死亡和痴呆的发病率显著较低。因此，一些在线诊所和健康领域的网红已开始推崇将低剂量他达拉非作为男女通用的抗衰老疗法。 然而，医学专家呼吁谨慎行事。目前的发现基于回顾性观察数据，而非作为临床“金标准”的随机对照试验，这意味着其确切的因果关系尚未得到证实。虽然普林斯顿共识小组（Princeton Consensus Panel）等部分团体建议该药物可能适用于特定的高危患者，但另一些专家则警告称，在缺乏更严谨的临床证据之前，不应广泛地超说明书使用该药物。由于该药现已成为通用名药物，制药公司缺乏动力去开展验证这些长寿功效所需的高成本、大规模临床试验。
近期在 Hacker News 上的一场讨论突显了一个日益增长的趋势：在线诊所和网红正在推广将犀利士（他达拉非）作为“长寿药物”。尽管该药物最初是针对血压和心血管健康进行研究的——PDE5 抑制剂在这些领域确实展现出了潜力——但其目前的流行主要还是源于它在治疗勃起功能障碍方面的用途。
评论者们争论了这些长寿主张究竟是有科学依据，还是仅仅是一种相关性：身体活跃且拥有健康性生活的健康个体，更有可能寻求此类治疗。一些用户指出，该药物的血管舒张作用及其降低血压的能力可能带来次要的健康益处，但也警告了潜在的风险，如耳毒性（听力损失/耳鸣）和不必要的生理副作用。
讨论还涉及了“健身迷信”（bro-science）亚文化，包括举重运动员和运动员使用 PDE5 抑制剂来促进血液流动，这往往取代了甜菜汁等传统的富含硝酸盐的补充剂。最终，参与者们强调，此类药物只能在医疗监督下使用，而健康的生活方式选择仍然是长寿的基石。
1667 是一款免费、开源的写作工具，专为希望在保持创作主导权的同时获得 AI 辅助的作者而设计。它是一款基于分支交互的编辑器：你设定创作方向，工具生成段落，由你决定后续的路径。所有的尝试都会被保存，你可以随时重拾之前放弃的创意。 该软件优先考虑隐私与本地化控制；没有遥测、分析或中央服务器。你的写作内容保存在你指定的文件夹中，使用你自己的 API 密钥连接模型提供商（或免费在本地运行模型）。它支持多种平台（包括 Windows），并集成了 OpenAI 和 Anthropic 等主流 AI 服务。 “1667”这一名称源于在一个月内完成 50,000 字初稿所需的每日字数，尽管该工具本身并不追踪你的进度。它专为简洁而设计，提供键盘驱动的界面，仅需基本的终端操作经验即可使用。由于没有专有平台或订阅限制，你的作品永远不会被锁定，你始终是文件和创作过程的唯一所有者。
**1667** 是一款基于终端的全屏应用程序，专为长篇小说创作而设计。该工具由一名软件工程师为个人使用而开发，它将故事组织成树状结构，使作者能够展开多条叙事分支并进行实验，同时保持作品井井有条。
技术特性包括：
* **本地优先：** 项目文件和 Markdown 均存储在本地；支持集成多种大语言模型（OpenAI、Anthropic 以及 Ollama/LM Studio 等本地终端）。
* **隐私保护：** 无云同步，无追踪，并提供类似保险库的加密选项。
* **工作流：** 支持导入 Markdown、SillyTavern 和 NovelAI 存档。目前适用于 macOS、Linux 和 Windows 系统。
该项目在 Hacker News 上引发了关于人工智能在创意写作中作用的激烈争论。批评者认为，利用语言模型生成散文会损害人类的创造过程，称其为“浮士德式的交易”。相反，支持者将其视为一种用于头脑风暴和非线性叙事的现代工具，将其比作“低技术含量的全息甲板”或“自选冒险”体验。开发者强调，该项目的初衷是为了个人的创意探索，而非大规模生产自动化内容，尽管他们也承认该项目引发了强烈且往往带有敌意的反应。
您可以订阅 GitHub 状态更新的电子邮件和短信通知，以随时了解相关事件。 * **电子邮件：** 在事件有任何更新时接收通知。 * **短信：** 仅在事件创建或解决时接收提醒。 如需开启短信通知，请输入您的手机号码，从广泛支持的地区列表中选择国家/地区代码，并使用发送到您设备的一次性验证码 (OTP) 进行验证。如果您仅需接收电子邮件通知，只需点击“订阅”而无需输入手机号码。
Hacker News
最新 | 过往 | 评论 | 提问 | 展示 | 招聘 | 提交
登录
[重复] Github.com 相关故障 (githubstatus.com)
716 分，由 kevcampb 发布于 1 天前 | 隐藏 | 过往 | 收藏 | 2 条评论
帮助
SpyCoder77 1 天前 | 下一条 [-]
[重复] https://news.ycombinator.com/item?id=49330597
回复
tomhow 1 天前 | 父节点 | 下一条 [-]
评论已移至该处。谢谢！
回复
指南 | 常见问题 | 列表 | API | 安全 | 法律 | 申请 YC | 联系
搜索：
未找到
Hacker News 上的一场讨论突显了用户对“Pi”编程代理的不满，主要原因是它未能遵循 Linux XDG 基础目录规范。该工具执意将配置文件和缓存文件夹存放在用户主目录中，而非遵守系统标准规范。
尽管一些参与者认为用户只需派生（fork）该项目或手动管理文件即可，但另一些人指出，维护派生版本会带来巨大的维护负担，并存在更新时导致功能损坏的风险。此外，开发者已明确表示不打算改变这种行为，这导致一些用户转而使用“Maki”或“Crush”等更尊重系统标准的替代工具。
这场争论触及了开发者工具领域的一个更广泛的矛盾：一些人认为文件存放位置只是小事一桩，而另一些人则认为，一致的文件管理对于保持主目录的整洁有序至关重要。该讨论帖也提醒我们，当软件工具无视既定的操作系统标准时，会造成诸多不便。