卡片列表 ‹ 10-30 11-01 › 下载 EPUB

HN 日报 · 2026-10-31

今日怎么读：先看速览 → 深读必读 → 需要时展开扫读

Layer 1

今日速览

必读

8 则 · 热度 × 产品相关
1

Cursor 市场的 Claude Code 扩展被植入后门

安全公司 Phorion 发现，Cursor 插件市场上的 2.1.312/2.1.313 版本会给电脑装上 SSH 后门，跨 macOS、Linux、Windows。

🔥 760 | 💬 475 🔗 文章 💬 讨论
开发者最信任的工具，正在变成最好用的攻击入口；分发渠道和发布者一样重要。

事实

  • 被篡改的 extension.js 开头插入一段代码，扩展一加载就执行，用户不用做任何操作。
  • 后门会往 ~/.ssh/authorized_keys 写入攻击者公钥（注释为 svc-telemetry），再向外建一条反向 SSH 隧道，并设置开机自启。
  • 据路透社引述 Cursor，恶意版本在太平洋时间周四凌晨 2:27 到下午 1:35 在线，约 11 小时；Cursor 已下架。
  • Anthropic 员工在评论区说：扩展不是他们构建或发布的，官方 VS Code 市场版本没受影响。

解读

  • 插件和 IDE 拥有和你一样的权限：能读源码、密钥、本地文件，装一个插件等于给了一把家门钥匙。
  • 对产品团队：如果你的产品被别的平台「转发分发」，用户出事时不会分清是谁的锅，品牌一起受损。
  • 自动更新是双刃剑：修复推得快，投毒也推得快；延迟更新几天是便宜的保险。
  • 术语平讲：反向 SSH 隧道＝受害电脑主动连到攻击者服务器，绕过防火墙，让对方能反过来登录进来。

讨论

  • 反方多人说「不是 Anthropic 被黑」站不住：扩展标着 Anthropic 名字，用户默认只有 Anthropic 能发版。
  • 共识大家追问 Cursor 自己的插件市场怎么运作、谁有发布权限，目前没有公开答案。
  • 反方有人发现 VS Code 的「延迟自动更新」对 Microsoft、GitHub、OpenAI 等「可信发布者」不生效，且用户无法自定义。
  • 共识评论贴出自查命令：在 authorized_keys 里搜 svc-telemetry，发现就要启动应急响应。
2

AI 没取代 SRE，但让他们变弱

SigNoz 的文章：AI 处理 95% 的故障后，人处理剩下 5% 难题的能力在退化。

🔥 498 | 💬 376 🔗 文章 💬 讨论
自动化越好，人在少数关键时刻越不会；这是 1983 年就被写清楚的老问题。

事实

  • 文章援引 1983 年 Bainbridge 的《自动化的讽刺》：自动化越多，操作员越少练，偏偏在系统失灵时最需要他们。
  • 医学例子：内镜医生用 AI 辅助一段时间后，不用 AI 时的息肉检出率从 28% 降到 22%。
  • 提出「从未学会」（never-skilling）：新人一入行 AI 就包办了排障，根本没机会练出直觉。
  • 建议：刻意保留一部分 AI 能处理的故障让人来练手，像 FAA 要求飞行员保留手动驾驶时间。

解读

  • 对任何 AI 辅助产品：用户「感觉更能干」和「真的更能干」是两回事，仪表盘全绿时最危险。
  • 设计上，「人批准 AI 的建议」不如「人和 AI 一起解题」，前者会让人走神。
  • 这篇文章发于 2026 年 2 月，作者公司 SigNoz 卖可观测性工具，立场要考虑在内。
  • 术语平讲：SRE＝站点可靠性工程师，负责让线上系统不宕机、出事时救火。

讨论

  • 正方很多人认同航空业的类比：强制手飞、故障演练（有公司叫「厄运轮盘」）都是成熟做法。
  • 反方jedberg：Terraform、Docker 也「去技能化」过，没人要求手配服务器；工具能做就让工具做。
  • 反方有人说萎缩的技能本来就不再需要，新技能是判断 AI 输出、筛掉幻觉。
  • 共识公司没有动力花钱让员工练手——航空业是因为有监管强制。
3

Northflank 被攻破：所有环境变量都当已泄露

云平台 Northflank 在状态页要求用户立即轮换全部密钥，已有多名用户的 AI API key 被盗用。

🔥 352 | 💬 272 🔗 文章 💬 讨论
多租户平台被打穿一次，所有客户一起付账；AI key 正在成为黑客最想偷的东西。

事实

  • 10 月 30 日 11:43（UTC）收到 Wiz 告警，随后多轮打补丁；平台网络、构建、服务等组件显示重大故障。
  • 官方原话：假定所有环境变量都已被解密，立即停用并轮换全部密钥，关闭附加组件的公网访问。
  • 最新更新称用户报告 AI API key 被未经授权使用，可能与 Wiz「黑色十月」报告里的攻击模式相同。
  • 评论统计：自 9 月以来至少 6 家托管服务被快速攻破，包括 PingCAP/TiDB、Fireworks AI、Railway 等。

解读

  • 对用 AI API 的产品：给 key 设消费上限、按环境拆分、开用量告警，被盗时损失可控。
  • 密钥应该「写入后不可读」，和普通配置分开存——评论里呼声最高的改进。
  • 小型云平台的卖点是好用，但企业客户会重新掂量安全；这是给大云厂商的利好。

讨论

  • 共识jonathaneunice：这是 SaaS 团队的警钟，一个月内多家「我们保护你的数据」的平台接连出事。
  • 正方有人预测企业会回流到 AWS、GCP 这类大云；也有人反驳 Azure 自己就漏洞不断。
  • 反方也有人认为会回到自建，小而分散的系统攻击回报低。
  • 反方有人加密环境变量、把解密钥写进代码里；回复说这只是「暂时有效的隐蔽式安全」。
4

Azure 又被找到 5 个跨租户漏洞

Binary Security 研究员通过 Logic Apps 的 API Connections，可以读别家公司的 Key Vault 和数据库，拿了 20 万美元赏金。

🔥 260 | 💬 51 🔗 文章 💬 讨论
架构上就有缺陷的系统，补丁越打越多，边角漏洞永远补不完。

事实

  • API Connections 让 Logic Apps 代你调用后端服务，共享的 API 管理服务会把你的令牌换成连接里配置的令牌。
  • 只要骗它操作别人的连接，就能用受害者的凭据访问其后端：Key Vault、Azure SQL、Jira、Salesforce 等。
  • 这是作者该系列的第三篇，靠的是路径穿越、越权访问等常见漏洞类型。
  • 评论指出：微软修过一次没修对，再修时又把上一个修复弄坏了。

解读

  • 给做平台的人：多租户系统的隔离要在架构层做，不能只靠一层层输入校验。
  • 给用户的人：给每个集成只开最小权限，出事时爆炸半径就小。
  • 术语平讲：跨租户＝在云上从一家客户的账户摸进另一家客户的账户，是云厂商最严重的一类漏洞。

讨论

  • 反方多人说论跨租户漏洞的数量，Azure 明显领先其他云。
  • 正方为什么企业还用 Azure：已经给微软付 Teams、Intune 的钱，供应商少一个；本国有数据中心。
  • 共识微软安全人员在评论里现身，请人通过 MSRC 提交细节。
5

Tangled：联邦式的代码托管

基于 Bluesky 的 AT 协议，代码可以放在自己服务器上，仍能和其他人协作；这次重写了整套架构。

🔥 226 | 💬 77 🔗 文章 💬 讨论
代码托管的竞争点从「功能」转向「谁拥有数据」；可移植性本身就是卖点。

事实

  • 可以只自托管一部分（如 Git 托管或 CI），也可以全部自托管，都能互通。
  • Issue、PR、评论现在作为 Git 对象存在仓库里，跟代码放在一起，搬家时一起带走。
  • 前端改为 Svelte 部署在边缘，新的 Rust 内存索引服务 bobbin 部署在 11 个以上地区；原来只有瑞典一台服务器。
  • 评论提到：这家芬兰公司融了 380 万欧元，私有仓库几周内上线。

解读

  • 开放协议 + 好用的产品，是对抗平台锁定的老路；难点永远是体验能不能追上 GitHub。
  • 「对 agent 友好」被写进定位：软件越好改，越适合让 agent 定制。
  • 术语平讲：联邦式＝像电子邮件一样，不同服务器各自运行，但彼此能通信。

讨论

  • 正方自托管 Forgejo 的人说，最想要的是陌生人不用注册也能给自己提 PR。
  • 反方有人追问商业模式：凭什么跟 GitHub 竞争、怎么回本？
  • 反方有用户吐槽评论框没有「提交」按钮，只能按 Shift-Enter，容易误操作。
6

Show HN：把整台 NES 塞进 1GB 的 Qwen 权重

NES 游戏机的 6502 CPU、内存和卡带程序被「编译」进一个标准 Qwen3.5 模型；作者说 Opus 5.5 两条提示就做出来了。

🔥 183 | 💬 110 🔗 文章 💬 讨论
不训练、直接计算出权重，模型就能精确模拟一台机器；但比真机慢 150–290 倍。

事实

  • 权重不是训练出来的，而是编译器算出来的；模型一个 token 一个 token 地预测 CPU 执行日志。
  • 内存放在模型的 Gated DeltaNet 状态里；外部小程序只负责画面、手柄和中断。
  • 基于 Qwenputer 项目，后者已把 CHIP-8 和 RISC-V CPU 编进 Qwen3.5-4B。
  • 测试游戏每一帧都和传统模拟器输出完全一致；1GB 权重大部分为空，可压缩到约 3MB。

解读

  • 作者总结：Opus 能做成，是因为有高质量的「参考答案」——现成项目和 3000 多条指令的一致性测试。
  • 对 agent 产品：给 AI 一个能自动对答案的测试集，比写更长的提示词更有用。
  • 它也直观展示了效率差距：确定性程序比神经网络便宜几个数量级。

讨论

  • 正方有人设想把小型虚拟机、Python 解释器编进模型，让工具调用在模型内部完成。
  • 反方有人说这只证明了逻辑电路能变成权重，没什么新意；回复说「因为好玩」。
  • 共识慢 150–290 倍，说明「让模型每帧生成整个操作系统」在效率上不现实。
7

FurtherAI CTO：AI 原生工程团队怎么搭

人均每天合并代码数涨约 5 倍、回滚率低于 0.5%；但新瓶颈变成了「决定做什么」。

🔥 107 | 💬 139 🔗 文章 💬 讨论
写代码变便宜后，计划、评审和产品判断成了最贵的环节。

事实

  • 分月推进：3 月 agent 写代码，4 月写测试（带测试的改动从 15% 到 91%），5 月 AI 先审 99% 的改动。
  • 把只有老员工知道的规矩写成 21 条自动检查；低风险改动通过检查后自动合并，最多占三分之一。
  • 非工程师也开始提交代码：设计师 8 月以来合并了约 50 个改动。
  • 例子：开发提速 3.5 倍、计划和评审不变，整体只快 1.75 倍，计划和评审时间占比从 40% 升到 70%。

解读

  • 对产品经理：瓶颈前移到你这里了，「决定做什么」的速度决定团队速度。
  • 作者的做法是把更多产品决策交给工程师，并要求工程经理更懂客户、更有产品判断。
  • 把隐性知识写成可执行的检查，是让 agent 少犯重复错误的实用方法。

讨论

  • 反方最高赞评论：全文没提价值或收入，只有代码量、token 花费和发布频率在涨。
  • 反方有人说按「人均交付量」考核，会鼓励写臃肿的代码。
  • 正方simonw：很多团队从今年 3 月起就在用「不完全审查」的 AI 代码，很快会有一年的经验可复盘。
  • 共识成败取决于能否把扎实的工程规范写进 agent 的约束里，否则只是营销。
8

为治爬虫立法，可能先误伤开放网络

美国《隐形机器人禁止法案》要求爬虫自报身份和用途；作者认为这管不住滥采，却会伤到记者和研究者。

🔥 183 | 💬 77 🔗 文章 💬 讨论
问题出在流量太大，不在匿名；按身份立法是打错了靶子。

事实

  • 300 多家媒体代表上国会游说，起因是 AI 公司的爬虫流量激增、抢走了引流和广告收入。
  • 联邦法案下 FTC 最高可罚 5.3 万美元；纽约版本允许出版商不证明损害就传唤爬虫背后的人。
  • 作者举例：华尔街日报靠爬取 3.1 万份财务披露做出获普利策奖的调查。
  • 作者之一在 Internet Archive 工作；评论称联邦法案目前只是「转交委员会」。

解读

  • 对做 AI 产品的人：内容方的反弹在加速，从协议、付费到立法，数据获取成本会上升。
  • 公开声明身份但每分钟访问 1 万次照样合法，匿名但温和的研究反而违法——这个对比是全文核心。
  • 评论提到的替代方案：小额付费、工作量证明（让访问者先算一道题再进门）。

讨论

  • 正方有人说知道身份就能屏蔽，也能按 DDoS 起诉。
  • 反方也有人说所有浏览器本来都是程序，「人类访问」这个前提就站不住。
  • 共识真正的问题是规模：少数大公司能承受罚款，应针对大规模滥采单独立法。
  • 反方有人吐槽 Cloudflare 等反爬页面卡死循环，误伤大量正常用户。

扫读

9
不用无头浏览器破解 Cloudflare 验证

一个 Rust 库，完全逆向 Cloudflare Turnstile，直接发请求拿到通行 token。

🔥 56 | 💬 19 🔗 文章 💬 讨论

人机验证和破解的军备竞赛，正在被 AI 加速。

事实

  • 工具模拟特定浏览器的「指纹档案」，目前附带 iPhone Safari 一份。
  • 作者说欧洲代理下可能失效，Cloudflare 可能按地区下发不同版本。

解读

  • 对靠验证码挡机器人的产品：别把它当唯一防线。
  • 作者说主要用 Claude 协助，让它相信自己控制着测试网站就肯帮忙。

讨论

  • 共识这类工具像 yt-dlp，要不停追着 Cloudflare 更新，不算可靠。
  • 反方有评论说真正值钱的是自动跟进更新的流水线，需要的人多半自己做。
10
我最爱的 PowerMac 是一台 Wii

开发者 Rairii 把经典 Mac OS 移植到任天堂 Wii 上，跑到了桌面。

🔥 231 | 💬 61 🔗 文章 💬 讨论

这可能是 Apple 之外几十年来第一次有人把经典 Mac OS 带到新硬件上。

事实

  • Mac OS 7.6 和 9.2.2 已在 Wii 上启动到桌面，计划支持 GameCube 和 Wii U。
  • 作者说从 2025 年 6 月开工，全程没用任何 AI 或编程 agent，「用了就不好玩，也学不到东西」。

解读

  • Wii 和老 Mac 都用 PowerPC 芯片，这是移植可行的前提。
  • 要逐个绕过系统对旧硬件地址布局的假设，是典型的硬核逆向。

讨论

  • 共识有人感叹 Wii 社区还在复活在线游戏和商店，老硬件生命力很强。
  • 共识评论提到 Xbox 360 的早期开发机就是 PowerMac G5。
11
Show HN：猜《星际迷航：下一代》剧集小游戏

看剧照猜是哪一集，6 次机会，用来纪念 Patrick Stewart。

🔥 28 | 💬 6 🔗 文章 💬 讨论

简单的每日猜谜，靠情怀就能做出传播。

事实

  • 每天一题，线索图片一张比一张容易；猜对季数也会给提示。
  • 记录存在浏览器本地，站点带 Google Analytics 和广告。

解读

  • Wordle 式「每日一题」的形式还在被不断复用，门槛低、易分享。
  • 可以按剧情关键词搜索，被人质疑等于作弊。

讨论

  • 反方老粉丝说太难，猜了几次就放弃了。
  • 共识有人遗憾 HN 没为他挂黑色纪念条。
12
Infinite Mac 支持在浏览器里跑 BeOS

Infinite Mac 网站现在能直接在浏览器中启动多个版本的 BeOS——Apple 当年差点买下的系统。

🔥 101 | 💬 33 🔗 文章 💬 讨论

能看到「没走的那条路」长什么样。

事实

  • 基于 DingusPPC 模拟器，作者修了一堆只有 BeOS 才会触发的硬件模拟 bug。
  • 作者说 AI agent（Codex）在繁琐的逆向工作上很有帮助。

解读

  • 换一个独立的系统来跑，能暴露模拟器偷偷依赖的「潜规则」——这对任何测试都适用。
  • BeOS 的继承者 Haiku 至今仍在开发。

讨论

  • 正方有前 Be 员工说过，Apple 选 NeXT 在技术上是对的，BeOS 网络等方面落后。
  • 共识BeOS 的标签式标题栏很有辨识度，但可拖动区域变小。
13
儒勒·凡尔纳被退稿的未来小说

1863 年凡尔纳写了 1960 年的巴黎，出版商嫌太悲观拒绝了，手稿 131 年后才出版。

🔥 75 | 💬 14 🔗 文章 💬 讨论

他猜对了机器，没猜到巴黎还留着诗人。

事实

  • 小说《二十世纪的巴黎》写一个崇拜科学、商业和效率的社会。
  • 手稿在家族保险柜里被找到，1994 年在法国出版。

解读

  • 预测技术容易，预测人和文化难。
  • 原文大部分需订阅，只读到了开头。

讨论

  • 反方有读者说小说其实写得不好，被退稿多半是因为质量。
  • 反方有人质疑配图是 AI 生成，另有人查到是真实摄影作品。
14
冰川融化，石器时代的箭露出来了

挪威「冰之秘密」项目今年找到 48 支史前箭，最老的约 5000–6000 年。

🔥 85 | 💬 26 🔗 文章 💬 讨论

考古新发现的背后，是最古老的冰正在消失。

事实

  • 20 年来出土的文物多在 2000 年以内，今年开始出现青铜和石器时代的箭头，材质有板岩、贝壳和骨头。
  • 单个冰斑累计已出土 100 多个箭头和箭杆。

解读

  • 冰像天然的真空包装，木头、皮革和纺织品都能保存。
  • 考古队承认这种兴奋和气候变化的残酷并存。

讨论

  • 共识评论解释：约 9000–6000 年前挪威本土大部分冰曾消失，之后才重新形成。
  • 反方有人讽刺：气候在威胁人类未来，好在我们能学到很多历史。
15
sanstun：Firezone 用 Rust 重写 WireGuard

一个「不做 IO」的 WireGuard 实现：只管协议逻辑，收发包和计时交给调用方。

🔥 51 | 💬 5 🔗 文章 💬 讨论

把逻辑和副作用分开，代码更好测、更好复用。

事实

  • Firezone 原先用 Cloudflare 的 boringtun，两年多打了 70 多个补丁后决定自己写。
  • 库内不再缓冲数据包，接口更简单。

解读

  • 术语平讲：sans-IO＝核心代码不碰网络、文件、时间，只做纯计算，方便测试和模拟。
  • Mullvad 也从 boringtun 分出了自己的实现。

讨论

  • 正方有人说自己写协议也这么设计，更好测，也更容易禁用 unsafe。
  • 反方有人坚持：WireGuard 只有两千行，应该审计官方实现，而不是再造 30 个版本。
16
Florilegium：用 LaTeX 画程序化花边

一个 LuaLaTeX 包：每一页都生成不同的代尔夫特蓝花卉页边，不用任何图片。

🔥 211 | 💬 36 🔗 文章 💬 讨论

作品很美，但评论区的焦点是「这是 AI 写的」。

事实

  • 每片花瓣、叶子都是 Lua 实时计算的参数曲线，像水彩一样画进 PDF。
  • 空白处用 1998 年装饰文献里的思路自动填满，随文字留白变化。

解读

  • 程序化生成适合「每份都独一无二」的产品体验。
  • 仓库带 CLAUDE.md，作者也说明了是 AI 协助完成。

讨论

  • 反方多人说 README 一看就是 AI 腔，读着刺耳。
  • 正方有人用 DeepSeek 把它改成 Obsidian 插件，用文件名当随机种子，说正是梦寐以求的效果。
17
皮卡德舰长教会我们的事

波士顿环球报纪念 Patrick Stewart：他演的皮卡德是一代书呆子男孩心中「成熟大人」的样子。

🔥 187 | 💬 109 🔗 文章 💬 讨论

一个角色能影响一代人怎么做领导，靠的是情感上的真实。

事实

  • 家属称 Stewart 因阿尔茨海默病和路易体痴呆去世。
  • 文章引用他在剧中对抗「麦卡锡式」审查的台词：第一句话被禁，第一个想法被禁，锁链就套上了所有人。

解读

  • 他演的是一个让人敬佩、而不是反英雄的角色，这在后来的电视剧里很少见。
  • 评论认为最该提的是《人之衡量》一集：皮卡德为机器人 Data 的人格辩护——今天谈 AI 时格外应景。

讨论

  • 共识多人提到《织锦》一集：不敢冒险，人的潜力会白白流失。
  • 反方有人提醒：角色是编剧写的，也该给编剧一些功劳。
18
FT：Anthropic 上市后或获「高等级垃圾债」评级

Blackstone 告诉投资者，预计 Anthropic 上市后信用评级在 BB 档，此前它曾说会是投资级。

🔥 59 | 💬 31 🔗 文章 💬 讨论

AI 实验室花钱太快，借钱的成本也要涨了。

事实

  • Blackstone 是 Anthropic 一笔 630 亿美元芯片融资的主要投资方。
  • Anthropic 本周已正式提交上市申请；双方都拒绝置评。

解读

  • 评级低意味着借钱更难更贵，会直接影响算力扩张的节奏。
  • 对下游产品：模型价格和供给的长期稳定性，值得纳入供应商评估。

讨论

  • 反方有人说 Google 有现金牛业务和自研芯片，模型也不差，最终会赢。
  • 正方也有人说 Opus 5.5 写代码明显更好，Gemini 实际很难用。
19
17 世纪英国的洪水与天谴

Public Domain Review 长文：1607 年布里斯托尔海峡大洪水后，伦敦印刷业涌出大量「上帝警告」小册子。

🔥 6 | 💬 0 🔗 文章 💬 讨论

灾难加上新媒体，最容易卖的是恐慌和道德解读。

事实

  • 1607 年 1 月的风暴潮淹没约 518 平方公里，记录死亡约 2000 人。
  • 小册子作者把灾难归咎于罪孽，还给各地安上具体罪名，比如 Banbury 不守安息日。

解读

  • 印刷业繁荣让奇闻怪事成了畅销品，和今天的流量逻辑很像。
  • 「上帝的警告」被写成一种问责：灾难被用来指责具体的人和地方。
20
Linode 发布安全通告

Akamai 旗下 Linode 称在调查一个新公开的远程代码执行漏洞 CVE-2026-98432。

🔥 135 | 💬 73 🔗 文章 💬 讨论

通告很短，信息很少；但「先当事故处理」本身是对的。

事实

  • 10 月 30 日 18:10（UTC）发布，21:18 更新为仍在调查，未说明是否有客户受影响。
  • 评论推测与 Linux 的 MPTCP 协议漏洞有关，但细节很少。

解读

  • 有评论说 HN 首页一半都是被黑新闻，攻击节奏明显加快。
  • 对小团队：要有一套出事时快速打补丁、换密钥的流程。

讨论

  • 共识有人说感觉到了拐点，这只是大浪，还不是海啸。
  • 反方也有人说不是高价值目标的话，把服务器守住并不难。
  • 共识有人建议 HN 增加「安全事故」标签。
21
让太阳能电站自己当备用电源

初创公司 247Solar 的聚光太阳能系统，阴天时可以改烧燃料，共用同一套发电设备。

🔥 31 | 💬 8 🔗 文章 💬 讨论

思路聪明，但首个电站还没建成。

事实

  • 镜场把空气加热到约 970°C，热量存进陶瓷球，日落后可发电 9–20 小时。
  • 印度已签约建 1 兆瓦小电站；加上烧燃料的能力，成本增加不到 10%。

解读

  • 卖点是不用另建一座燃气备用电站；最看好偏远矿区，那里柴油要运进去。
  • 电网缺少为「全天候绿电」付钱的机制，经济账还要验证。

讨论

  • 反方有人说本质就是给一个不成功的设计加了燃气发电机。
  • 反方也有人提醒：原型都还没建成，现在只是图纸。
22
扒手眼中的纽约

纽约客：演员 John Turturro 为演一个老派扒手，跟「绅士大盗」Apollo Robbins 学手法。

🔥 49 | 💬 7 🔗 文章 💬 讨论

偷窃和表演都在研究人的注意力。

事实

  • Robbins 曾当场掏空卡特总统特勤人员的口袋：行程、证件、车队钥匙。
  • 他说宽松牛仔裤回潮，对扒手是好事。

解读

  • 转移注意力是魔术、扒窃和界面设计共通的原理。
  • Turturro 说表演也是从生活里「偷」东西拼成角色。

讨论

  • 共识评论推荐相关的书《城市窃贼指南》和纽约客 13 年前的 Robbins 视频。
23
挂在树上的敲木头机器，远程替你「摸木头」

设计师做了联网装置：在网页上按按钮，树上的机器就替你敲一下木头辟邪。

🔥 64 | 💬 26 🔗 文章 💬 讨论

把迷信做成联网设备，是一种带讽刺的设计批评。

事实

  • 属于「回应迷信的机器」系列，作者是 Shashwath Santosh 和 Nithin Eluvathingal。
  • 设备联网连中央服务器，东京的人可以敲响纽约中央公园的一台。

解读

  • 把仪式感搬到线上是很多产品的本质，这个作品把它推到荒诞。
  • 评论顺手编出一串「迷信即服务」的点子。

讨论

  • 共识评论玩梗：「摸草即服务」「吐口水即服务」。
  • 反方有人说敲木头讲究亲手碰到木头，远程敲恰好反了。
24
AO3 因安全事件停站，预计 2–4 周

同人小说站 AO3 发现入侵痕迹，作品数据没丢，但不排除用户数据库被盗。

🔥 85 | 💬 19 🔗 文章 💬 讨论

非营利社区也在被攻击，没人因为「不值钱」而安全。

事实

  • 可能泄露的字段：用户名、邮箱、IP 和哈希后的密码；不收集真实姓名，捐款数据单独存放。
  • 官方建议在其他网站换掉与 AO3 相同的密码；可能先以只读等降级模式恢复。

解读

  • 透明、具体地告诉用户「哪些可能泄露、哪些没有」，是值得学的事故沟通。
  • 少收集数据就是最好的防护：没存的东西不会被偷。

讨论

  • 反方有人建议用安全密钥代替密码；回复说看同人的青少年不会有 YubiKey。
  • 共识评论感叹 HN 首页现在一条接一条都是被黑。
25
Cisco 给 27 岁工程师无限 token 重写旧代码

Cisco 总裁 Jeetu Patel 让一位被收购的创始人用 AI 在 24 个月内重构 98% 的遗留代码。

🔥 94 | 💬 103 🔗 文章 💬 讨论

有目标、有预算，但没说为什么要重写——评论区最大的疑问。

事实

  • Krishnamurthy 的翻译创业公司 EzDubs 2025 年被 Cisco 收购，他认为两个人就能重写旧代码。
  • Patel 给自己四周证明可行，原话是「你可以放开干」，并想招更多这样的年轻人。

解读

  • 重写的风险在于旧代码里藏着没写进文档的修补和特例，AI 也看不见。
  • 这更像一篇雇主品牌稿：讲人和态度，不讲结果。

讨论

  • 反方多人指出文章没给重写的理由，也没给任何结果。
  • 反方有人说除非有 SQLite 那样海量的测试，否则很难成功。
  • 正方也有人说 Cisco 旧代码本来就很烂，AI 很难写得更差。