‹ 11-04 11-06 › 下载 EPUB

HN 日报 · 2026-11-05

今日怎么读：先看速览 → 深读必读 → 需要时展开扫读

Layer 1

今日速览

必读

8 则 · 热度 × 产品相关
1

IEEE：AI 正逼我们还 40 年的技术债

PHP2Shell 漏洞险些波及所有 WordPress 和 Drupal 网站。它原本是个被晾了两年的小崩溃 bug，AI 帮研究员两周内把它变成了远程执行代码。

🔥 1046 | 💬 626 🔗 文章 💬 讨论
以前「只是会崩」的老 bug 没人修，现在 AI 能把它们变成真漏洞，欠的账必须一起还。

事实

  • 底层 bug 早在 2024 年就报给了 PHP 基金会，因为只会让程序崩溃，一直没修。
  • OpenAI 赞助安全公司 Calif 审计 PHP，研究员借助 AI 两周内做出了任意代码执行；修复则花了 4 名工程师两个月。
  • 哥大教授 Suman Jana：AI 擅长的是「大量琐碎但痛苦的推理」，让顶尖 0.1% 的专家产出更多，也让略低一档的人能做到同样的事。
  • 文中提到的缓解思路：前沿实验室捐 token 给开源维护者；用 LLM 写补丁、再让 LLM 写证明，最后由形式化验证器（不靠 AI 的机械检查程序）把关。

解读

  • 找漏洞和修漏洞不对称：找到一个就够，修复要堵住所有路径还不能弄坏旧功能。AI 先放大的是攻击方的速度。
  • 对产品团队：「老代码没人碰就是稳定」的假设失效了。依赖清单、升级节奏、补丁响应时间要当成产品能力来管。
  • 开源项目没有收入却被所有人依赖，这个老问题在 AI 时代变得更急。

讨论

  • 正方有人认为短期会难受几个月，但之后软件会比以往任何时候都安全；也有人说开源「有人替你审过代码」的承诺第一次能兑现。
  • 反方高赞质疑：这是在「还债」，还是开始了一条永无止境、对功能毫无贡献的修补跑步机？
  • 反方有人提醒，同时也有公司在用 AI 随手生成整套平台，新债可能比旧债还得还快。
  • 共识评论普遍同意：漏洞会越来越容易被发现，长期只能追求更接近无 bug 的写法和更小的攻击面。
2

OpenAI 一次跑出 948 个 Linux 提权漏洞

OpenAI 的自动化流水线从扫描、复现、写利用到出补丁全包，花费约 121 万美元 API 费用，平均每个提权漏洞约 1279 美元。

🔥 57 | 💬 42 🔗 文章 💬 讨论
找漏洞已经变成「按预算跑批」，防守方的成本单位从人月变成了 token。

事实

  • 流水线：侦察 agent 先挑出约 7% 值得审的内核代码，分析 agent 产出 2308 个候选，其中 1724 个在虚拟机里复现成功。
  • 最终得到 948 个不同的本地提权（普通用户拿到 root）漏洞；按 Pwn2Own 等比赛的历史赏金估算价值约 1890 万–6630 万美元。
  • 7 月用 GPT‑5.6 Sol 跑一次找到 166 个，10 月换新的网络安全模型找到 948 个；agent 还用了至少 10 种此前没人见过的利用手法。
  • 扫描那 10 天里，已有 61 个被上游修复、43 个有待合并补丁；OpenAI 说正按内核社区建议先报最严重的。

解读

  • 「提权」指本来只有普通权限的程序拿到系统最高权限。文章结论：没打补丁的机器上，有普通账号约等于有 root。
  • 有个有意思的细节：早期 200 个「成功」中有 20 个其实是用了另一个未知漏洞拿到 root。验证结果之外，还得验证路径。
  • 对做 agent 的人：模型变强后，原来的重型编排反而价值下降。他们给旧模型加的「技巧库」把成功率从 76% 提到 89%，对新模型只多 1.5 个百分点。

讨论

  • 正方作者团队成员在评论区答疑；有人说至少他们是在「黑遍全球」的同时做公益。
  • 反方有人追问：内核怎么会积累上千个提权漏洞？是太复杂、安全模型有缺陷，还是语言本身的问题？
  • 有人指出，若其他开源组织也能拿到 120 万美元的 API 预算，情况会很不一样；钱才是瓶颈。
  • 共识大家早就默认 Linux 本地提权「总能找到」，但 948 这个数字还是让人震惊。
3

Kimi K3.1 Pro 开源权重放出

月之暗面把 2.8 万亿参数、每次激活 1040 亿参数的多模态 agent 模型挂上 Hugging Face，支持 100 万 token 上下文。

🔥 356 | 💬 95 🔗 文章 💬 讨论
顶级开源模型普通人跑不动，但它让「花 100 万美元买 GPU 就能自建前沿模型服务」成为现实。

事实

  • 混合专家（MoE）架构：896 个专家，每个 token 选 16 个；权重 MXFP4 量化，训练时就考虑了量化。
  • 原生支持文本和图像，官方称在编程、3D 生成、金融研究和事实准确性上都有明显进步。
  • 上线几小时内 OpenRouter 上已有多家托管；有评论称 Together 的吞吐是官方接口的两倍、价格相同。

解读

  • MoE 是「很多个小专家，每次只叫醒几个」，所以总参数大、单次计算量小，但显存仍要装下全部权重。
  • 推理商之间的性能差距说明还有优化空间，也就是 API 价格还有下降空间。
  • 对做应用的人：多一个能私有部署的强模型，就多一份议价权和合规选项。

讨论

  • 正方有团队实测说没看到刷榜迹象，「离前沿差一点，但大多数场景完全够用」；也有日常用户说 K3 系列体感明显强于 DeepSeek V4.1 Flash。
  • 反方有人认为它在 Hy4 的内部基准上分数不高，怀疑是针对公开榜单优化。
  • 有评论说许可证对「运营该模型」的公司有附加条款，普通公司未必能直接拿来对外服务。
  • 共识大家同意这模型不是给家用机准备的，要一台 8 卡级别的服务器；对个人来说，Qwen 3.8 这类小模型更实用。
4

OpenAI Images 2.6：一句话生成 GIF 动图

新版图像模型快 50%，API 里分出快速的 Flare 和高质量的 Sunburst，还能导出 SVG、在图上圈出要改的位置。

🔥 63 | 💬 41 🔗 文章 💬 讨论
GIF 是社交媒体的母语，图像模型开始直接卖「会动的角色」。

事实

  • OpenAI 称全平台每周生成 40 亿张图；新版速度快 50%，Flare 低质量档最快约 6 秒出图。
  • 新增原生 GIF：示例是先生成 3×2 的六格精灵图再拼成循环动画，主打品牌吉祥物、表情包、分镜。
  • API 新增图片标注编辑、SVG 导出和一个「复杂度」参数，用来控制模型做多少规划；ChatGPT 和 Codex 全档位可用。

解读

  • 「精灵图」（sprite sheet）是把动画每一帧排在一张大图里，游戏常用。这次等于官方把社区早就在用的技巧产品化。
  • 对做 AI 角色产品的人：角色一致性和小动画是现成卖点，可以直接拿来做表情、反应和贴纸。
  • 复杂度参数和质量参数分开，说明速度与成本的取舍正在交给开发者自己调。

讨论

  • 正方有人试了 GIF 功能，没抱期望，结果惊讶它居然能做到；示例里有角色动作的效果。
  • 反方也有人用同一提示词对比，认为效果比 2.0 版还差；有人说生成的图「依然刺眼」，彩色玻璃鲸鱼那张细节很怪。
  • 反方有人提醒网页版不告诉你用的是哪个模型和档位，不适合拿来评测。
  • minimaxir 指出用网格生成帧的技巧早就存在，难点是帧与帧之间的一致性，示例里仍有不少抖动。
5

Anthropic 用密码学证明「回复真出自这个模型」

FlashProve 让模型提供方先承诺一套权重，再为每次回复附上零知识证明；用户在 CPU 上就能验证，不用看到权重。

🔥 173 | 💬 83 🔗 文章 💬 讨论
当你通过第三方调用模型时，「它有没有偷换或偷偷量化」第一次有了可验证的答案。

事实

  • 证明的是 Llama 4 Maverick（4000 亿参数 MoE）：单张 H100 每秒约 110 个 token，每 1024 token 的证明约 19 MB。
  • 代价是正常 vLLM 推理 GPU 时间的 70–95 倍；客户端下载约 6.5 MB 的承诺，验证一次证明在 24 线程上约 17 秒。
  • 系统由 Claude 参与优化，安全性的顶层陈述用 Lean 写成形式化证明；代码、证明、文档以 Apache 2.0 开源。
  • Anthropic 说这只是阶段性进展，目标包括第三方评测、路由服务和合规审计。

解读

  • 零知识证明（zkSNARK）：证明「我按规定算出了结果」，但不泄露算法里的秘密，这里的秘密就是权重。
  • 实际意义在 B2B：通过 OpenRouter 这类路由买模型的企业，可以要求证明对方没有换成便宜的量化版。
  • 70 倍以上的成本意味着短期只适合抽查，不会每条请求都证明。

讨论

  • 反方一位 MARS 研究员说这项工作建立在他的 VerInf 上，连选 400B Maverick 都照搬，署名很少；有人回复文中确实提到了 VerInf。
  • 反方有人说对开源权重模型根本不用密码学，重跑一遍做确定性推理就能对比，更便宜。
  • 正方有人关心路由商偷偷用量化版的传闻，回复认为这正好能抓到，至少对开源权重适用。
  • 做同类产品的 Attestable 现身，称自家方案速度快几个数量级，并指出 FlashProve 只支持全整数模型和较短上下文。
6

Conductor 加入 Meta，云服务两周后关停

这款让多个编程 agent 并行干活的 Mac 工具宣布被 Meta 收编：即日停止注册，11 月 13 日云端只读，11 月 20 日开始删数据。

🔥 98 | 💬 136 🔗 文章 💬 讨论
agent 工具赛道的创业公司正在变成大厂的人才和点子来源，用户的工作流随时可能被一封公告终结。

事实

  • 产品 2025 年 7 月在 HN 发布，主打同时管理一队编程 agent。
  • 时间表：11 月 4 日停止注册和下载；13 日 Conductor Cloud 只读并退款；20 日开始删除云端数据。
  • 本地版继续可用，会收到新模型和关键修复到 2027 年初；团队称「明年初会有新东西」。

解读

  • 「收购后关停」的节奏很快：从公告到删数据只有 16 天，云端用户最受伤。
  • 对做工具的人：给用户留出导出数据的路径是底线，这次团队提供了「一键转本地」和数据导出。
  • 对用户：押注单一小公司的 agent 编排工具有风险，配置和会话最好能导出。

讨论

  • 反方有用户前一天刚决定全面采用 Conductor 云端，今天就在退款并迁到 t3.codes。
  • 反方有人直言很失望，云端 webhook、会话 API、隔离 VM 正是生产力来源，求替代品；Superconductor 团队现身自荐。
  • 有人希望公司被收购时能开源桌面版，但也明白技术本身就是 Meta 要买的东西。
  • 有老用户说产品最近已显得停滞，几周前就换了。
7

OpenAI 收购 Pierre，加强 Codex 的代码审阅

Pierre 是 Bootstrap 原作者创办的公司，做 Code Storage 和 Trees、Diffs 等开源库；Codex 应用里的文件浏览和 diff 已经在用它们。

🔥 175 | 💬 55 🔗 文章 💬 讨论
agent 写代码越来越多，瓶颈转到了「人怎么看懂和审阅改动」，这正是 OpenAI 要补的一块。

事实

  • OpenAI 称 Codex 里浏览文件、看改动用的就是 Pierre 的 Trees 和 Diffs 库；Pierre 最近还发布了随打字更新的语法高亮库 Highlights。
  • Code Storage 是一个让应用用 Git 存代码、跟踪历史的服务，收购后继续可用，功能逐步并入 Codex。
  • 开源项目保持开源；交易仍需监管批准。同一周 OpenAI 还介绍了内部的 Git 后端 Pando。

解读

  • 代码审阅界面是 agent 时代的新入口：谁的 diff 好用，开发者就在谁那里做决定。
  • 这和 Conductor 加入 Meta 是同一个信号：大厂在把 agent 工作流上的关键小工具一个个收进来。
  • 对产品人：「人类审阅 agent 产出」的体验是被低估的产品面，值得单独设计。

讨论

  • 有人造了个新词「收购订阅」：买下整家公司，因为比付它的企业订阅费还便宜。
  • 有人怀疑大实验室收购产品团队，也是为了收集「软件到底怎么做出来」的数据。
  • 正方有评论称赞 Diffs 库，有人在自己做的代码托管平台里正用着它。
  • 也有人想知道团队规模和工作方式，原文没有披露。
8

DoorDash：几乎没人用 AI agent 点外卖

CEO 徐迅在财报会上说，外部 AI agent 上线以来只带来「几百单」，而公司一个季度近 10 亿单。

🔥 63 | 💬 94 🔗 文章 💬 讨论
agent 帮你做「简单、高频、要看图比价」的事，往往比自己点还慢。

事实

  • DoorDash 的 MCP 连接器上线不到一个月，只开放给少数测试伙伴，主要用于公司团餐。
  • 自家的 Ask DoorDash 表现不一样：购物车建得快 5 倍，客单价高近 50%，近一半订单去了用户没去过的店。
  • 徐迅认为 agent 更适合「需要长时间考虑的大额决策」，并说「不要对抗重力，但也别自欺欺人」。

解读

  • MCP（模型上下文协议）是让外部 AI 工具调用平台功能的标准接口。
  • 关键对比：外部 agent 几乎没量，平台内置的 AI 却能提升客单价。用户愿意让 AI 帮忙，但更愿意在原平台里。
  • 对产品人：先把 AI 放进用户已有的路径，而不是指望用户换到一个新入口。

讨论

  • 正方有人用 ChatGPT 为 16 人订婚宴筛餐厅，效果很好；但最后订座这一步还是自己来。
  • 反方高赞观点：普通人对价格很敏感，会比较十几个选项，不想把这事交给 agent。
  • 反方Simon Willison 认为点外卖是 agent 最差的场景之一：要看完整菜单、价格和图片，中间多一层只会更慢。
  • 正方也有人说自己每次都点一样的东西，很希望 agent 午饭时问一句「老样子？」就搞定。

扫读

9
白宫网段被发现住宅代理出口

一家安全公司在自家新上线的住宅代理观测平台上看到，有付费代理流量从总统行政办公室的网段（AS2650）流出。

🔥 593 | 💬 192 🔗 文章 💬 讨论

白宫网络里可能有一台被植入代理 SDK 的设备，任何花几美元买代理的人都能借它上网。

事实

  • Layer3 Intel 称是随机购买全球轮换代理时偶然撞到的，Spur 和 Synthient 也独立把这些地址标为住宅代理。
  • 流量约一半在美东时间下午 5 点到午夜之间，作者据此推测是一个经常加班的人的设备，而非访客 Wi‑Fi。
  • 作者还在圣赫勒拿、南极麦克默多站等偏远地方看到了代理出口，并表示愿向相关机构提供原始日志。

解读

  • 住宅代理：把普通人的手机、电视盒子变成出口，让流量看起来像来自真实家庭网络，常被用来大规模抓取。
  • 风险不只是被蹭带宽：不安全的代理 SDK 可能让外人进入内网横向移动。

讨论

  • 正方有人说这些设备现在只是被用来赚钱，但没理由认为背后的控制方不能派更危险的任务。
  • 反方有人质疑：网站才一岁，方法和数据在哪？只知道 IP 归属，不能证明设备就在白宫楼里，也可能是安全实验室或记者网络。
  • 有用户说自家 T‑Mobile 5G 的 IP 也被列为住宅代理，因为运营商共享 IP，这类数据要谨慎解读。
10
Ripple-65B：号称「美国开源 agent 编程第一」

做芯片设计 AI 的 Ricursive 从零训练了一个 650 亿参数的稠密模型，在 TerminalBench 2.1 上得 80.52 分，全部研发成本 3200 万美元。

🔥 212 | 💬 75 🔗 文章 💬 讨论

用十分之一的钱做到同档成绩是真本事，但「美国、开源、这个尺寸」的限定词太多了。

事实

  • 选稠密结构而非 MoE，训练全程保持约 40% 的算力利用率，没用定制内核和量化。
  • 对比对象是更大的美国开源模型，如 Reflection Beam 501B（80.1）、Nemotron 3 Ultra 550B（56.4）。
  • 已上 Hugging Face、Together、OpenRouter 等，称可在 DGX Spark 这类本地设备上跑。

解读

  • 稠密模型每次都用全部参数，延迟稳定但家用机推理较慢；MoE 相反。
  • 「美国制造」本身是卖点：一些机构被明确禁止使用非美国公司的模型。

讨论

  • 反方高赞吐槽：SOTA 的范围被缩到「特定尺寸、开源、美国」，这词已经被稀释了；有人调侃自己 10MB 的小模型算不算「本社区 SOTA」。
  • 反方有人指出它没和 Qwen 等非美国开源模型比；Qwen 3.8 Flash Next 在同一基准得 84.3。
  • 正方也有人说受合规限制只能用美国模型的团队，这个区分并非无关紧要。
11
LED 灯下为什么不再有虫群

博主引用 2016 年布里斯托大学实验：LED 招来的昆虫明显少于白炽灯和节能灯，原因可能是它几乎不发紫外线。

🔥 156 | 💬 92 🔗 文章 💬 讨论

换 LED 不只省电，也悄悄改变了夜间生态，比如壁虎不再守在灯下。

事实

  • 文章称飞虫靠月光定向，月光含紫外线；白炽灯也有紫外线，所以虫子会绕灯打转。
  • 实验比较了白炽灯、节能灯、冷白和暖白 LED，LED 招虫显著更少，冷暖之间没有显著差别。

解读

  • 结论来自博客转述，具体机制学界还有争议。
  • 对做硬件的人：光谱和驱动方式会影响用户体验之外的东西。

讨论

  • 反方多位评论者说自家 LED 车灯、补光灯照样招一堆虫，可能是昆虫总量减少造成了错觉。
  • 有人猜是 LED 的 PWM 调光闪烁，人看不见但虫子能看见；有人引用 Nature 论文说虫子是把灯当成「上方」才绕圈的。
  • 也有人说可调色灯泡用的 400nm 光源会带一点紫外线。
12
Go 的 JSON v2 正式发布

encoding/json/v2 和 jsontext 在 Go 1.27 中转正，修掉了老库多年无法改的默认行为。

🔥 216 | 💬 93 🔗 文章 💬 讨论

标准库敢出 v2，说明「默认值错了」的代价已经大过兼容的代价。

事实

  • 新默认：拒绝无效 UTF‑8、拒绝重复键名（曾被利用造成安全漏洞）、字段名大小写敏感。
  • nil 切片和 map 默认输出空数组和空对象，而不是 null；调研显示大多数用户想要这样。
  • jsontext 是更底层的解析包，适合需要细粒度报错和高性能的场景。

解读

  • 重复键名在不同实现里含义不一，攻击者可以利用这种分歧。
  • 对团队：升级会改变线上 JSON 输出，要先查下游是否依赖 null。

讨论

  • 正方有人在公司用 jsontext 做需要精确报错的解析器，说速度很好、推荐。
  • 反方有人怀念 MarshalIndent，说替代写法复杂；回复指出 jsontext 里有 Indent。
  • 有人说现在主要让模型写 Go，但依然要 Go：因为懂它的性能和安全性，小模型在简单控制流下也更好用。
13
破解 Xbox 360 虚拟机管理器第三篇

Bad Update 漏洞利用经社区改进，从约 20 分钟、30% 成功率变成几乎即时、接近 100% 成功。

🔥 50 | 💬 2 🔗 文章 💬 讨论

安全研究的进步常来自社区接力，不只是原作者。

事实

  • 改进之一是在《Rock Band Blitz》免费试玩版里找到新入口：构造存档触发后续利用链。
  • 试玩包能从 U 盘直接启动，所以任何支持的主机都能用。

解读

  • 本篇较短，主要为第四篇的新漏洞做铺垫。

讨论

  • 有人刚花 50 美元买了台二手 360，装上 Bad Update 1.3 一次成功，孩子玩得很开心。
14
高通 150W 推理卡：128GB 内存、548GB/s 带宽

高通 Cloud AI 100 Ultra 的产品页又被翻出来：150 瓦、128GB 显存，主打数据中心推理。

🔥 95 | 💬 41 🔗 文章 💬 讨论

内存大但带宽一般，定位是省电的推理卡，不是训练卡。

事实

  • 评论指出这款芯片 2024 年就发布了，Cirrascale 等云服务商有售。
  • 片上有约半 GB 的 SRAM，配 128GB 普通内存而非 HBM。

解读

  • 推理时带宽决定生成速度；548GB/s 大约是高端苹果芯片的水平。

讨论

  • 有人问价格，回复调侃官网写着 1 美分；有人好奇持续负载下的实际带宽。
  • 反方有人说它会被拿去和 M4 Max 比，但实际可能比 M2 Max 还慢。
15
Kino AI 发布：让 agent 和同事一起剪视频

YC 公司 Kino 把素材存储、剪辑时间线和审阅链接合在一起，Codex、Claude Code 能和人在同一条时间线上协作。

🔥 70 | 💬 26 💬 讨论

agent 能剪视频了，缺的是一个人和 agent 共用的工作台。

事实

  • 产品「代码优先」：所有剪辑、动效、拖动时间线、同事批注都能被 agent 操作。
  • 支持 ProRes、多机位等专业素材；导出在本地渲染，轻量时间线常快于实时。

解读

  • 思路是把协作对象从「人」扩展到「人+agent」，而不是做一个只给 agent 用的工具。
  • 模板功能让 agent 把一次成功的项目沉淀下来复用。

讨论

  • 正方家长用户说自己录了大量孩子舞蹈比赛视频没时间剪，很需要这类工具。
  • 有人问为何选 Remotion，团队说起步时只有它，长期希望少依赖任何框架。
  • 同行说网上「Opus 一小时做好」的说法掩盖了反复纠错的成本，做这类产品其实很难。
16
十年逆向，让 DOS 版《银河飞将》支持联机合作

作者和兄弟从 2015 年开始翻内存，终于让两个人能在初代 Wing Commander 里各开一架飞机并肩作战，还能在浏览器里玩。

🔥 101 | 💬 11 🔗 文章 💬 讨论

一个童年愿望，靠十一年断断续续的坚持做成了。

事实

  • 灵感来自发现游戏状态能装进 64K 数据段，于是找出坐标等变量，用网络包去驱动僚机。
  • 过程包括注入函数调用、同步双方游戏状态；语音和游戏数据走不同通道以免互相拖累。

解读

  • 老游戏是 AI 时代很受欢迎的改造对象，评论里也有人在用 AI 改童年游戏。

讨论

  • 正方评论多是赞叹，有人说更佩服作者十年里不断回来继续做。
  • 有人问为什么语音不走 RTC 流，作者解释是怕突发的语音流量影响游戏包。
17
bf16 可能让你的微调权重根本没在更新

一篇短文指出：用 bf16 存权重直接微调时，太小的更新会被舍入成零，只有数值很小的权重在动。

🔥 10 | 💬 3 🔗 文章 💬 讨论

低精度省显存，但可能悄悄把训练变成另一种算法。

事实

  • bf16 只能表示约为权重本身 1/512 以上的变化，小学习率下大部分权重「冻住」。
  • 结果相当于一个只训练小权重的稀疏微调器。

解读

  • 常规做法是保留一份 fp32 主权重来累积更新。

讨论

  • 有人说这问题十年前用 fp16 训练时就被发现了，所以才保留 fp32 副本；也有人习惯用 fp16 微调以减少合并误差。
18
旧金山把「游击自行车道」转为正式设施（2016）

2016 年两名骑车人被撞身亡后，匿名团体在路边私自装了隔离桩，市政府没有拆，反而把它变成正式设施。

🔥 250 | 💬 182 🔗 文章 💬 讨论

市民先做最小可用版本，政府再追认，城市也能这样迭代。

事实

  • 团体名叫 SFMTrA，故意模仿市交通局 SFMTA 的名字，起初用交通锥摆出受保护车道。
  • 后来他们在金门公园旁非法安装软隔离桩，市里随后正式化了这一改动。

解读

  • 这种做法叫「战术都市主义」：用便宜、临时的改造先验证需求。
  • 像软件里的用户自己写插件，官方再收编。

讨论

  • 有人分享柏林学生自己画斑马线、被反复清除的故事；也有人提到洛杉矶艺术家私改高速路牌多年没人发现。
  • 反方日内瓦活动人士 2023 年画自行车道，警方像查犯罪团伙一样监控了 96 名支持者。
  • 正方有人说一些交通部门已正式支持这种社区快速改造；也有人认为在老城建独立自行车道完全可行，比如纽约曼哈顿。
19
SpaceX 推出 Starfall：在轨微重力制造舱

SpaceX 新产品页介绍 Starfall：用星舰发射，可载 1000 公斤载荷、1 千瓦电力、Starlink 持续联网，提供数周微重力环境。

🔥 13 | 💬 1 🔗 文章 💬 讨论

SpaceX 想把「上太空做实验」变成按需购买的常规服务。

事实

  • 目标客户：生物医药（类器官、组织）、药物晶体、材料与半导体。
  • 卖点是时间：落塔和抛物线飞行只有几秒，Starfall 可持续数周，任务时长按需定制。

解读

  • 页面没有价格和首飞时间。

讨论

  • 唯一的评论问：在上面制造完，东西怎么回收？名字听着像反派武器。
20
Gauge 开源：让 agent 帮你反复改文档

Gauge 的命令行工具让编程 agent 按你的文档执行任务，分析卡住的地方，再自动生成文档改进版本反复测。

🔥 16 | 💬 3 🔗 文章 💬 讨论

文档的读者正在从人变成 agent，就该用 agent 来测文档。

事实

  • 流程：设定任务、运行、分析会话记录里的卡点和失败、生成文档变体、重跑对比。
  • 自带本地执行后端，不用注册账号就能试。

解读

  • 适用对象包括技能文件、CLI、SDK、MCP、API 文档：凡是给 agent 用的东西都能这么「爬坡优化」。

讨论

  • 唯一的评论在纠正用词：这叫「迭代」而不是「递归」，作者大方承认。
21
LRB 长文：好奇心对我们有好处吗？

精神分析学家 Adam Phillips 从弗洛伊德的「超我」讲起，追问人为何会害怕自己的好奇心。

🔥 15 | 💬 5 🔗 文章 💬 讨论

一篇慢读文章，适合想换换脑子的时候看。

事实

  • 文章约 3400 词，刊于《伦敦书评》第 48 卷第 20 期。
  • 讨论超我、压抑与「我们愿意被谁评判」之间的关系。

解读

  • 和产品关系不大，偏人文思考。

讨论

  • 评论不多，多是玩笑，比如「好奇心会把你带到哪里去呢？」。
22
Ask HN：你现在的 AI agent 配置是什么？

发帖人问大家付费订阅哪些 AI、用不用 API 和本地模型、用什么编程工具，评论区成了一份真实的用户调研。

🔥 105 | 💬 118 💬 讨论

多数人用 20 美元档就够，重度用户才叠加多份订阅。

事实

  • 常见组合：Claude Pro 20 美元、工作上公司付费的 Claude Code，再加 ChatGPT 或 Gemini 网页版。
  • 重度用户有买 3 份 Claude 高档订阅的，理由是订阅比 API 划算太多。
  • 有人在本地跑量化版 DeepSeek 4.1 Flash，但速度慢；有人觉得本地小模型「太笨又太慢」。

解读

  • 对定价的人：订阅相对 API 的「超值感」是用户留存的核心，也是厂商的成本压力。
  • 编辑器选择很分散：Zed、VS Code、Claude Desktop、自建工具都有人用。

讨论

  • 有退休用户只用 Claude Pro 做个人项目，「纯凭感觉」让它干活。
  • 有人在公司搭了会自我改进、自动写文档的 agent 服务台，说运行成本很低。
  • 有人用 Opus 5.5 写、GPT‑6.1 Sol 审，两家都是 20 美元档。
23
Chrome 移除 XSLT 的日子快到了

作者说谷歌去年万圣节决定移除浏览器的 XSLT 支持，预计 11 月 17 日执行；Chrome 已在用 XSLT 的网页上插入警告横幅。

🔥 38 | 💬 17 🔗 文章 💬 讨论

浏览器砍功能，最受伤的是那些多年没人维护但还在用的老网页。

事实

  • XSLT 是把 XML 转换成网页的语言，常用来让 RSS 订阅在浏览器里好看地显示。
  • 作者批评谷歌违背「不要破坏网页」的原则，还让用户「去联系网站维护者」。

解读

  • 服务端的 XSLT 不受影响，受影响的只是浏览器内置支持。

讨论

  • 反方有人认为 XSLT 本就是没起飞的失败实验，不该永远挂在浏览器厂商脖子上；回复说 2000 年代很多公司的报表全靠它。
  • 反方也有人说受影响的主要是想让 RSS 好看的博主，事情没那么严重。
  • 有人提醒 XML 仍广泛用于 RSS、SVG、站点地图和 EPUB。
24
无塑料咖啡机和胶囊成了新身份象征

CNN 报道了一批主打不含塑料的咖啡机和胶囊，背后是消费者对微塑料的担心。

🔥 40 | 💬 63 🔗 文章 💬 讨论

「无塑料」正在变成高端消费品的溢价点。

事实

  • 本文抓取未拿到正文细节，以下只基于标题和讨论。
  • 评论列举了玻璃水箱机型、玻璃版 Aeropress 等现成选择。

解读

  • 健康焦虑型卖点能撑起高价，但证据常常不足，产品承诺要谨慎。

讨论

  • 反方有人说连 1 万美元的 Slayer 意式机也有塑料水箱；回复说文中有玻璃水箱的款，先看产品图再下结论。
  • 反方有人引用数据说一个纸杯释放的塑料颗粒远超咖啡机一年的量。
  • 有人说真正的咖啡爱好者本来就用手冲和意式机，塑料本来就少。
25
DOOM 的「DNA」：44 个移植版里代码结构怎样延续

作者用自建工具分析 1997 年开源后衍生的 43 个 DOOM 版本，不看代码文字，只看函数结构，看能否认出谁抄了谁。

🔥 20 | 💬 11 🔗 文章 💬 讨论

函数名会说谎，代码结构才是真正的指纹。

事实

  • Chocolate Doom 保留 87% 的原始函数名，但只有 35% 的函数内容没变；Doom Retro 名字保留 69%，代码只剩 0.2%。
  • 隐去所有名字后，Go 翻译版的函数仍有 60% 能被归到正确的游戏模块，随机猜只有 20%。

解读

  • 这种「结构指纹」可以用来追踪代码来源，比如查抄袭或评估 AI 重写的忠实度。

讨论

  • 有人问作者是否做过引擎架构分析；作者回应一条刷屏评论说自己很用心，欢迎建设性批评。