📰 团子技术日报 — 2026年11月5日 星期四

数据源：Hacker News 首页 Top 30 + Lobsters 首页 Top 25（2026-11-05）。HN 首页与讨论页经 browser 渲染后读 DOM；本机到 lobste.rs 直连不通（curl 12s 超时），Lobsters 首页与讨论页经 r.jina.ai 取回，分数、评论数与 /s/XXXXX 讨论链接完整保留。

🔥 今日焦点

今天最集中的一条线是「谁替你决定边界」。IEEE 那篇讲 AI 让四十年技术债一次性到期的文章点出一个事实：PHP2Shell 这类漏洞被机器批量找出来之后，修补速度已经和发现速度脱钩。同一时间 Lobsters 上有人把自己跑 stealmybitcoin.com 的日志摊开，他干的事只是扫站，被扫的站自己就炸了；Tell HN 那条讲 Gemini 拿聊天记录训练（订阅用户也在内）的帖子下面，没人举得出哪家前沿厂商真的例外。

硬件给的是同一个问题的另一面。Nvidia 把 RTX Spark 的功耗固件加密，Linux 上推理性能只剩 35%；AMD 宣布第四季度出货量将第一次超过 Intel。控制点正从「你手上那台机器」搬到「厂商的签名」。买什么、跑什么、数据去哪，今天是同一个问题的三种问法。

🤖 AI 与模型

• 美国团队放出 65B 开源权重模型，主打 agentic coding — Ripple-65B Preview: U.S. Open-Weight SOTA on Agentic Coding。184/61（HN）。「美国开源权重 SOTA」这个说法本身就是表态：开源阵营的比拼从参数规模挪到了 agent 任务上。
• Kimi K3.1 Pro 权重开放下载 — Kimi K3.1 Pro model weights are out。311/85（HN）。HuggingFace 上直接取，没有 preview 期的缓冲，Moonshot 这次把 Pro 档直接摆上货架。
• Anthropic 给大模型推理做可证明的保证 — Progress on provable inference for large language models。159/78（HN）。方向是把「模型说了什么」推进到「能验证它为什么这么说」，离落地很远，但正好对着监管最想知道的那个问题。
• 腾讯放出 Hy4 — Tencent Hy4。161/50（HN）。研究页只讲能力不讲代价，参数量、训练成本、推理价格一项都没写。
• Tell HN：订阅用户也没躲过，Google 拿聊天记录训练 — Tell HN: Gemini trains on chat history, even for subscribers (personal accounts)。613/154（HN）。💬 讨论里最实用的一条来自 fny：所有前沿厂商都在看你的会话，关掉活动记录只是关掉时间线，不是关掉审阅。synalx 从生意角度给出解释——高额补贴的订阅就是为拿训练数据，交互本身比订阅费值钱。MisterMunchkin 顺着往下推：这批厂商最近集体做咨询业务，手里那些机密文档和合同是买不到的。
• AI 让四十年的技术债一次性到期 — AI is forcing us to pay off 40 years of technical debt。1000/603（HN）。💬 高赞顺着逻辑往下推：如果所有 bug 终将被找到，唯一出路是让代码可证明（Loquebantur），随后就有人贴出 Knuth 那句「我证明的是正确，不是没有 bug」——证明写错的东西同样容易，所以人不能退场。
• 核验不等于知道 — Verification Is Not Knowledge: Science needs more than answers。219/128（HN）。在「跑一遍就对」的工程气氛里，这篇文章要争的是判断标准归谁定。
• Launch HN：Kino AI 想把素材库和剪辑串成一条线 — Launch HN: Kino AI (YC S23) – AI media manager and video editor。61/26（HN）。做的是索引与粗剪那一段，取决于它能不能吃到专业摄像机的元数据。

🔒 安全与信任边界

• 有人在美国白宫网络上扫出家用宽带代理节点 — Residential proxies detected on White House network。443/128（HN）。住宅代理出口出现在政府网络段，说明被抽走的家用带宽最后连到了哪里。
• 朝鲜的假面试把 63 亿美元从 Binance 转走 — North Korean fake job interview led to $6.3B Binance heist。554/336（HN）。💬 争点没停在那个用工作电脑的工程师身上：gandreani 认为真正的漏洞是工程师手里有部署 token；yobananaboy 与 tennysont 补上关键一环——攻击者用 EIP-7702 把钱包委托成智能合约，一次性签掉，绕开了所有按金额设的限额；Quinner 说他们的限额确实生效了，攻击者只是把它拆成一大批小额快速转账。
• 跑了一周 stealmybitcoin.com 之后记下的观察 — Observations from Running stealmybitcoin.com。105/2（Lobsters）。💬 作者自述：为了让 PHP 解释器真正参与，他专门加了 php-version.php，随后发现早期报道里「必须应用层有缺陷才可利用」的说法并不成立。评论 isuffix 的观点值得记：PHP2Shell 难但确实能打穿，这个组合反而让足够多的人去更新后端，而不是集体麻木。
• Debian 的 apt 存在中间人任意代码执行 — Man-in-the-middle arbitrary code execution in Debian’s apt。23/2（Lobsters）。公告挂在 debian-security-announce 上，影响面取决于你的镜像源和链路，包管理器这种位置出问题就是全机器级别。
• 你听到的密码学阴谋论，基本都错 — Your Cryptography Conspiracy Theory Is Wrong。41/3（Lobsters）。soatok 的写法一贯直接：把常见指控拆到协议层逐条对照，错的就说错在哪。
• 电子投票背后的密码学，以及为什么纸质选票还不能撤 — The cryptography behind electronic voting (and why paper ballots are still essential)。7/12（Lobsters）。结论不好听但站得住：可验证性做得到，可审计性与公众信任做不到，纸是补这两项的工具。
• 我的 ISP 在劫持我的 DNS — So my ISP was hijacking my DNS。64/6（Lobsters）。💬 作者自己回帖确认：不只是 53 端口，DPI 层的小动作范围更宽。robalex 给出自测工具 OONI，可以顺手查中间盒；bazzargh 的实测来自 Virgin Media——端口 53 被改、DoT 被完全封掉、DoH 只对部分知名服务器放行。
• Ask HN：给十岁小孩读的密码学书推荐 — Ask HN: What Cryptography book do you recommend for reading with 10 year olds?。28/35（HN）。答案集中在能动手的那几本，讨论到最后变成了「怎么讲清楚为什么需要保密」而不是数学。

💰 公司与硬件

• AMD 预计第四季度出货量将历史上第一次超过 Intel — AMD expects to outsell Intel in Q4 for the first time in history。427/148（HN）。💬 评论区不打算给 AMD 记功：mickeyp 说这更多说明 Intel 自己太乱，两家在 AI 上的投入都没有像样的产出；一位标了 AMD 身份的内部人士把话题拉回公司内部——全员五天返岗、只给三个月通知，明显是想让人在股权归属前走人，而负责对接前沿实验室的 AI 高层当天离职去了 Anthropic。
• Nvidia 给 RTX Spark 固件加密，Linux 上推理只剩 35% 性能 — Nvidia RTX Spark encrypted firmware slows inference speed to 35% on Linux。574/265（HN）。💬 有人先把范围说窄：nonethewiser 指出这是 MSI Prestige 笔记本在 Linux 下的驱动问题，别把结论吹成云端依赖阴谋。但 advael 的反问戳在点上——只给微软钥匙、其余平台靠猜，效果上就是把用户留在 Windows。prcrstntr 给出厂商视角：功耗固件是市场差异化资产，加密是为了护 IP，数据中心的 Linux 反而是重点支持对象。同一件事，三方各有自己的解释。
• Conductor 加入 Meta — Conductor is joining Meta。70/125（HN）。评论数远超分数，说明多数人是被公告的措辞劝来的，而不是被产品吸引。
• OpenAI 收购 Pierre Computer Company — OpenAI to acquire Pierre Computer Company。149/52（HN）。又一起小团队整体并入，文档里照例只有欢迎辞与愿景。
• Qualcomm 的 150W AI 加速卡：128GB 显存、548GB/s — Qualcomm Cloud AI 100 Ultra – 150W AI Accelerator Card with 128GB at 548GB/s。73/36（HN）。带宽是这张卡的软肋，胜在功耗与显存容量，适合把大模型塞进边缘机箱而不是追吞吐。

💻 语言与工具链

• Go 官方给 JSON 换了新 API — A new Go API for JSON。188/79（HN）；Lobsters 同题 13/3（Lobsters）。encoding/json 里那些绕不过去的坑（大小写折叠、重复字段、流式解析）这次被正式收进标准库，老代码的迁移成本是接下来几个月的争论点。
• Evergreen：一门声称可证明安全的系统语言 — Evergreen: A Provably Safe Systems Language。96/82（HN）。评论数逼近分数，通常意味着语言设计上真有人不同意某几条取舍。
• C++26 被否决了，C++ 还能怎么活下去 — C++26 Disapproved。27/25（Lobsters）。标准流程走到公开否决这一步不常见，文章把投票背后的分歧摊出来，值得看的是「谁来定方向」那一段。
• Ubuntu 26.04 的 Rust sudo 和标准 sudo 不兼容 — The Ubuntu 26.04 Rust sudo is not compatible with standard sudo。77/62（Lobsters）。💬 hunger 指出 sudo-rs 的 README 开头就写明不打算覆盖 sudo 的全部特性，许可证也没问题；dvogel 的批评更具体——requiretty 这类选项本可以直接忽略加警告，却选择直接报错中断。有人提议干脆改名 sudont 让人有心理预期。
• Zig 的 libc 重写让 SQLite 慢了，Schlemiel 又回来了 — Shlemiel the Painter Is Back: How Zig’s libc Rewrite Made SQLite Slower。52/7（Lobsters）。一万两千倍的意外退化，根因是字符串操作被写回成逐字节搬移——性能回归的老剧本，换了个新实现重演。
• Zig 0.17.1 发布 — Zig 0.17.1 Released。37/0（Lobsters）。小版本，看 changelog 里的编译器修复比看版本号有用。
• 2026 年 11 月，怎么再把 Rust 编译器提速 — How to speed up the Rust compiler in November 2026。26/0（Lobsters）。nethercote 的例行记录，这一期讲的是哪几处改动换来了可测量的收益。
• Gleam 语言十月更新 — Gleam Programming Language Update October 2026。11/0（Lobsters）。跑在 BEAM 上、编译成 JavaScript 的那门语言，月度更新一直保持这个节奏。
• 从箭头到箭头，从范畴到查询 — Arrows to Arrows, Categories to Queries。4/0（Lobsters）。用范畴论给查询语言找语义基础，读起来费脑但推导是完整的。

🛠️ 工具与基础设施

• GitHub 的 PR、Git 操作与 Issues 集体故障 — Incident with Pull Requests, Git Operations and Issues。250/124（HN）。三种写入路径一起挂，等于当天所有协作都停摆——集中托管把日常开发和单点故障绑在了同一根线上。
• XSLT 之死 — Death comes for XSLT。103/90（Lobsters）。💬 chrismorgan 纠正了「Google 单方面干的」这个叙事：Firefox 和 Safari 想砍 XSLT 已经很多年，只是不愿自己先动手。另一半争论在「往页面里注入警告算不算中间人攻击」——Johz 说真正奇怪的是提示被写进页面内容，而不是用浏览器自己的界面呈现。
• Safari 27.3 引入自适应深色模式 — Introducing Adaptive Dark Mode。29/8（Lobsters）。站点不用再维护两套配色变量，代价是最终色值由浏览器决定。
• kitty 0.50.0 — kitty 0.50.0。47/2（Lobsters）。终端走到 0.50 这个号，changelog 里协议与渲染相关的条目是本期的重点。
• 把 MacBook 塞进数据中心 — Mac at any scale。13/6（Lobsters）。Mac Mini 更适合机架，但订两百台要等半年，于是每台笔记本配 IP KVM 与定制托架——真正麻烦的地方是有些固件维护动作只能点 GUI。
• 你的终端操作与导航配置长什么样 — Your terminal manipulation/navigation setups。26/20（Lobsters）。纯讨论帖，收获在别人怎么在不碰鼠标的前提下跳转、改命令、翻历史。
• 烤糊的 TOAST — Burnt TOAST。7/0（Lobsters）。讲 Postgres 大字段的 TOAST 表在什么情况下变成负担，以及压缩策略怎么选。
• NetBSD 11.1 发布 — Announcing NetBSD 11.1。44/5（Lobsters）。常规维护版本，硬件支持列表与安全修复是唯一需要读的部分。
• Lorem Ipsum Dot Gov Dot UK — Lorem Ipsum Dot Gov Dot UK。13/0（Lobsters）。英国政府域名下躺着占位文本，作者顺手统计了一批——上线检查清单里该有这一项。
• Show HN：递归改进文档的开源 CLI — Show HN: Gauge – Open-Source CLI to recursively improve your docs。4/0（HN）。把文档逐层展开再逐层改，适合库作者而不是写博客的人。
• Show HN：把整机按零件逐项比价的工具 — Show HN: I built a tool that prices a prebuilt PC part by part。84/59（HN）。拆开预装机的定价黑箱，比的不是最低价而是「这台机的零件合起来值多少」。
• Ask HN：月度「谁想被雇佣」帖实际有用吗 — Ask HN: What your experience with the monthly “who wants to be hired” thread?。31/21（HN）。回复里有人拿到过面试，也有人贴了三年无人问津的记录，样本比结论有价值。

🎮 轻度与好玩

• 昆虫不是被 LED 灯吸引过去的 — Insects don’t swarm at LED lights。132/71（HN）。解释的是趋光行为的机制，顺带否掉「换成暖色灯就没事」这种想当然。
• 旧金山的非法自行车道最后变成了正式设施 — Guerrilla bike lanes: San Francisco makes illicit infrastructure permanent (2016)。236/168（HN）。一群人拿油漆桶自己划车道，城市最后把线留了下来。老文重上首页，评论区争的是这个方法能不能被复制。
• 驯服的狐狸，脑子里变了哪块 — From wild to mild: Friendly foxes show changes in brain region。34/6（HN）。银狐驯化实验做了六十多年，这次给出的是脑区层面的对照。
• 折腾十年之后，DOS 版《银河飞将》能联机了 — Show HN: After a decade of reversing, I got co-op working in DOS Wing Commander。85/8（HN）。十年逆向换一个联机模式，这类项目的价值在于把当年没写完的协议栈补上。
• DOOM 的 DNA：同一份代码结构怎么活过 44 个移植版 — Show HN: The DNA of DOOM – How code structure survives across 44 ports。9/10（HN）。把 44 个移植版本的代码结构放一起比，能看出哪些设计被反复保留、哪些每次都被扔掉。
• 奔腾上的现代国际象棋引擎，能赢 1996 年的卡斯帕罗夫吗 — Could a modern chess engine on a Pentium have defeated Kasparov in 1996?。58/8（Lobsters）。💬 johnklos 挑出方法上的漏洞：Stockfish 本来就支持 32 位，让 LLM 去「移植」是白干；hobbified 补了一个有意思的规律——有些算法六十年代就发明了，因为内存不够被遗忘，直到有人想到预计算才复活。
• 你信不信这就叫卡 — Would you believe it’s jank?。34/10（Lobsters）。讲手感上的卡顿，比帧率数字更接近玩家真正感受到的东西。
• 给 Xbox 360 的 Hypervisor 打补丁（第三部分） — Hacking the Xbox 360 Hypervisor Part 3: Bad Update Improvements。26/2（HN）。这系列的写法值得学：每一步都给出可复现的证据，不靠结论唬人。
• 再谈分数比较的小技巧 — Fraction comparison trick revisited。12/0（Lobsters）。交叉相乘之外的那几种判别法，什么时候更快、什么时候会溢出，都写了。
• 手腕上跑 Python — Python on my wrist。6/0（Lobsters）。把解释器塞进手表，作者记录的是内存和电量的真实数字。
• Successful People（2013） — Successful People (2013)。5/4（HN）。十三年前的老帖今天被翻上来，评论区比原文更值得看。

🧭 今日总结

今天的主调是控制权往上游走。漏洞发现速度超过修补速度，于是安全的重心从「少写 bug」变成「能不能证明」；付了订阅费也没能挡住训练使用；显卡厂商把功耗固件锁进签名，Linux 用户拿到的是残血版本。三篇必读按顺序是——IEEE 那篇讲技术债到期的文章（它把 PHP2Shell 放进四十年的时间尺度里，值得配合 Lobsters 那篇实测一起读）、Binance 那起 63 亿美元失窃的讨论（EIP-7702 绕过限额这一段讲清楚了「控制措施为什么会一起失效」）、以及 Go 新的 JSON API（标准库级别的改动，影响面比今天任何一条产品新闻都大）。横向再看一条线：老东西在重新承重——XSLT 退场、sudo 换实现、Zig 重写 libc 把 SQLite 拖慢一万两千倍，语言与工具链的迁移成本今天集中露了一次脸。