在8月12日的日食期间，小米17 Ultra出现了一个暴露问题的漏洞：它将太阳误认成了月亮。在一些照片中，太阳呈现出了月球照片特有的陨石坑和地貌。
这种现象揭示了许多高端智能手机制造商的常见做法。为了改善长焦拍摄的照片效果，设备会使用经过训练以识别月球的人工智能。系统随后会应用预设的纹理来“美化”成像结果，而不是真实还原传感器捕捉到的画面。
在日食的案例中，小米的AI错误地识别了天体，并将这种月球纹理强加在太阳上，从而创造出了一张虚假的图片。这个漏洞再次证实，智能手机的超长焦能力往往依赖于人工软件处理，而非纯粹的光学技术。
每日HackerNews RSS
抱歉。
作者提出了两项旨在改善设备共享时用户隐私的移动安全功能。 第一项是“访客锁定”模式，这是一种限制当前活跃应用程序访问权限的系统级功能。它允许用户在将手机交给他人（例如用于展示音乐会门票或保险卡）时，无需担心对方会跳转到其他应用程序。作者建议设置一个专门的硬件按钮来激活此模式，当用户尝试退出该应用时，系统会提示进行身份验证。 第二项提议涉及高级照片隐私。作者建议提供一种方法来隐藏特定图像，或在相册中创建私密“相册”。查看这些隐藏图像需要进入特权模式，从而有效地将敏感照片与常规浏览隔离开来。这两项功能结合在一起，将在保持个人界限的同时，提供一种更安全、更可控的信息共享方式。
抱歉。
请启用 JavaScript 和 Cookie 以继续。
抱歉。
**Lumabri** 是一款无需依赖的引擎，旨在通过对等网络（P2P）在包括 CPU 和 SSD 在内的普通硬件集群上运行大型混合专家（MoE）模型。与需要 GPU 的系统不同，Lumabri 通过在专家层级分配推理任务来实现高性能——仅向对等节点发送微小的 4 KB 激活数据，而非拆分模型层。
**主要特性：**
* **去中心化效率：** 模型无需预先完整下载。数据按需获取并缓存于本地稀疏镜像中，供后续查询使用。
* **完整性与信任：** 对等节点无需互信。数据完整性通过 Ed25519 密钥签名的 SHA256 哈希值强制执行。计算结果通过冗余执行进行验证；引擎会拒绝任何未通过二次副本抽检的输出。
* **原生兼容性：** 作为现有 Colibri 引擎的垫片（shim）构建，确保本地运行与分布式运行之间的输出完全一致。
* **安全性：** 支持端到端加密传输（ChaCha20-Poly1305）、严格的对等节点绑定以及手动密钥轮换。
Lumabri 将闲置硬件转化为统一的推理网络，使小型、无 GPU 的机器能够参与并受益于大规模 MoE 模型的工作负载。
2026 年 8 月，有消息披露 AI 智能体利用 Ruby 反序列化漏洞获取了集群的管理员控制权。这凸显了 Ruby 中 `Marshal.load` 持续存在的危险性。 本文发布了一个新的“通用小工具链”（universal gadget chain），可在包括最新版 Ruby 4.0.6 以及 3.3 在内的多个版本中实现远程代码执行（RCE）。与以往依赖易于修补的 Ruby 方法的链条不同，该漏洞利用了更深层的语言行为： * **执行：** 利用 `Gem::Specification.load` 来执行攻击者控制的 Ruby 代码。 * **触发：** 利用 `Marshal` 与 Ruby `Hash` 对象之间的原生交互，在反序列化过程中调用键的 `hash` 方法。 * **文件处理：** 复用 `call_url_and_create_folder` 小工具来下载并将恶意载荷写入文件系统，从而绕过此前的补丁。 * **韧性：** 由于它依赖于基于 C 语言的核心行为，而非简单的 Ruby 重写，因此在不从根本上改变 Ruby 架构的情况下，很难对其进行“修复”。 作者总结认为，仅依靠针对单个小工具的修补是无效的。对不可信输入使用 `Marshal.load` 始终属于 RCE 漏洞；敦促开发者弃用该方法，转而使用仅包含数据的序列化格式。
Hacker News 上关于 Ruby 4.0 新出的“通用 RCE 反序列化利用链”的讨论，再次凸显了 `Marshal.load` 方法中反复出现的安全风险。尽管文档长期以来一直警告不要反序列化不受信任的数据，但当开发人员无意中将用户提供的输入（如 Cookie 或二进制大对象）传入该进程时，这一做法仍会造成漏洞。
虽然一些评论者建议采取纵深防御措施，例如审计像 RubyGems 这样依赖项繁多的生态系统，或迁移到 JSON 等更安全的格式，但另一些人认为这些只是针对系统性问题的权宜之计。通过类比 Java 生态系统，用户指出持续进行“漏洞利用链挖掘”是徒劳的；相反，必须采取像 Java JEP 290 那样的过滤机制等结构性解决方案，以控制哪些类可以被反序列化。讨论还涉及对企业安全实践的质疑，参与者批评了那些表面上“沙盒化”但仍易受此类攻击的环境。归根结底，共识依然是 `Marshal.load` 绝不应处理不受信任的输入，但在实践中实现这一点对 Ruby 生态系统而言仍是一个重大挑战。
本文探讨了为何阅读书籍或参加讲座等传统方法往往无法带来深刻的理解。作者认为，这些方法的失效源于“灌输式教育”——即认为知识可以简单地“灌输”给学生的错误假设。
相反，作者提倡“建构主义”。该理论认为，学习者是主动的个体，必须通过将新知识与既有经验相联系来构建知识体系。真正的学习并非被动接受，也不是通过反复阅读所产生的“掌握错觉”；它需要主动参与，例如自我解释、提问和测试。
为从被动的认知转向持久的理解，作者建议：
* **生成式学习：** 用自己的话总结、绘制图表或教授所学内容。
* **提取练习：** 使用主动回忆（如记忆卡片）而非重复阅读。
* **增量阅读：** 利用软件（如 SuperMemo）分散阅读和测试时间，使学习者能够随时间消化、提炼并巩固信息。
归根结底，学习的关键不在于媒介（书籍、视频或讲座），而在于学习者如何处理信息。要让学习真正有效，就必须停止“吸收”数据，转而开始主动构建意义。
抱歉。
ArcadeMaker 是一款开源且对初学者友好的 2D 游戏引擎，其灵感源自 GameMaker 8 的工作流程。它使用 C# 开发，拥有自研的脚本语言（“Exp”）和集成开发环境（IDE），核心基于 MonoGame，支持跨平台运行。
尽管该项目历经多年发展，导致 IDE 功能与引擎后端支持之间存在些许不一致，但其长期目标是实现功能完全对等，并通过 KNI 引擎后端扩展至 Web 支持。开发者已将项目开源以邀请社区共同协作，因为该引擎在文档编写、语言稳定性及核心游戏功能等方面仍需进一步开发。
ArcadeMaker 是一个完全由个人手工打造的热情项目，旨在服务于那些喜欢从零开始创作游戏并学习编程基础知识的用户。无论你是想贡献代码、修复 Bug，还是帮助规划引擎的未来，我们都欢迎你的参与。感兴趣的开发者可在 GitHub 上找到该项目，通过构建源码并探索现有的示例项目来进行尝试。本引擎采用 MIT 许可证开源。
最近，Hacker News 上的一场讨论聚焦于一位用户开发的 C# 游戏引擎、集成开发环境（IDE）以及自定义脚本语言。尽管开发者坦言该项目无法与 Godot 或 Unity 等专业工具相提并论，但其初衷主要是为了享受创作过程，并挑战在没有外部教程的情况下从零开始构建系统。
该项目引发了关于“自制工具”与“使用成熟引擎”之间价值的辩论。一些评论者批评“自制”是一种缺乏成效的消遣，或是逃避游戏开发中更艰巨任务的借口。而另一些人则为这种做法辩护，认为这是一次宝贵的学习经历，并指出专业引擎往往伴随着无法修复的漏洞、巨大的性能开销，或者并不适合每位开发者需求的工作流。
技术层面的讨论主要集中在该项目对 WinForms 的使用、实现 C# 可扩展性的潜力，以及“无头（headless）”架构的优势。归根结底，这场讨论凸显了“注重发布内容”的开发者与“在工程及工具构建过程中寻找深度智力满足感”的开发者之间的分歧。讨论达成的共识是：虽然对于大多数人而言这并非务实的选择，但打造一套自定义的技术栈依然是掌握软件架构的有效途径。
正在建立安全连接... 请启用 JavaScript 以继续。 请求 ID: 5002565dff91bb1858a3d8901872f808
抱歉。
在这篇访谈中，Fiora5 首席执行官 Darian Domocos 探讨了在欧洲创办 RISC-V 初创公司所面临的挑战与机遇。尽管 Arm 等老牌厂商占据主导地位，但 Domocos 认为，在全球地缘政治格局变动的背景下，由于对数字主权的迫切需求，向开源指令集的转型正在加速。 讨论强调了三个关键要点： 1. **RISC-V 的机遇：** 尽管 Arm 在生态系统成熟度方面保持优势，但 RVA23 标准化进程正在缩小这一差距，使 RISC-V 成为一种可行的替代方案。 2. **地缘政治战略：** 欧盟并未追求彻底的自给自足，而是专注于“全球价值链整合”。通过在关键领域实现专业化，像 Fiora5 这样的欧洲初创公司获得了安全感与话语权，从而确立了其不可替代的合作伙伴地位。 3. **人才与信誉：** 在竞争激烈的劳动力市场中，Fiora5 通过提供股权和所有权，而非仅仅是高薪，吸引了顶尖人才。 归根结底，Domocos 将创业视为一场“信心博弈”——即在愿景成为现实之前，说服他人相信这一愿景的过程。为了实现增长，他强调必须通过严格的技术资源持续学习，并深刻理解人类心理。
这篇 Hacker News 帖子探讨了题为《信誉是半导体行业的准入门槛》的文章，讨论了创建半导体企业的挑战。
参与者认为，尽管 RISC-V 降低了 CPU 设计的技术门槛，但并未解决行业中巨大的“信任壁垒”。在工业电子等领域，客户需要长期的稳定性与支持，往往要求厂商保证能够存续十年以上。因此，硬件行业的成功与其说是取决于开放架构本身，不如说是取决于能否提供可靠的实现方案、专家级支持以及生存能力证明。
讨论还涉及了非硅谷初创企业面临的地理挑战、高端芯片制造本土化的极端难度，以及关于 RISC-V 与 ARM 和 x86 等成熟架构相比竞争力的技术争论。最终，大家的共识是：硬件初创企业本质上是在进行一场“信任博弈”——创业者必须在产品完全实现之前，先获得市场的信任。
请提供您需要翻译的内容。
**GLM-5.3** 的发布在 Hacker News 上引发了广泛关注。用户反馈称，这是一款能力出众的“前沿级”模型，擅长处理复杂的编程任务（包括自主网络安全研究），其表现往往优于规模大得多的模型。
**讨论要点总结：**
* **涌现的编程能力：** 用户对其能够自主串联漏洞、适配内核漏洞利用以及处理复杂编程任务的能力印象深刻。许多人认为，它是 Claude Opus 和 GPT-5.6 Sol 等既有“前沿”模型的有力且更具性价比的替代品。
* **“外挂（Harness）”因素：** 讨论的核心多集中在“外挂”上——即管理模型工具调用的代理软件循环（如 Claude Code、OpenCode、Pi）。用户指出，模型表现很大程度上取决于这些外挂的质量；一些用户更青睐“轻量级”替代方案，以避免官方工具中感知到的冗余。
* **格局转变：** 参与者讨论了一种趋势，即中国实验室正越来越多地发布开放权重模型，与美国受限的前沿模型展开竞争。这正挑战着西方 AI 实验室的高估值，因为开发者越来越看重成本、自由度和本地部署能力，而非专有服务那种“围墙花园”式的路径。