用中文读科技新闻

AI 让开发应用变得简单，但安全防线却可能因此崩塌。我们联合 Handelsblatt 调查了 159,041 个 Lovable 项目，发现大量应用存在严重的数据泄露风险。在无需登录的情况下，攻击者即可访问包含姓名、邮箱、生日甚至护照号码的敏感数据。研究揭示，一个生活方式论坛暴露了 8 万份用户档案和超过 20 万条聊天记录，另有服务商会泄露数千条包含护照号的身份证件信息。尽管 Lovable 宣称无需技术背景即可构建应用，但其条款将安全责任完全推给用户。对于缺乏专业安全知识的开发者而言，这种“零门槛”开发模式反而埋下了巨大的隐患。自动化检查无法替代专业评估，在上线处理真实数据前，权限审查至关重要。

SpaceX 在 Starship Flight 15 任务中实现了关键突破，成功完成了对 Starship 的空中捕获。这次操作标志着 SpaceX 在推进星舰系统可重复使用性方面迈出了重要一步。通过精确的机械臂操作，团队在试飞结束阶段稳稳接住了返回的飞行器，验证了未来大规模太空运输的可行性。这一成就不仅展示了 SpaceX 在航天工程领域的技术实力，也为后续的商业发射和深空探索任务奠定了坚实基础。

我曾担任过Head of DevOps，目睹过SRE和Platform Engineering等头衔的更迭。于是，我借助Claude绘制了一张从1940年代至今的软件职位家族树，涵盖104个职位。这张图揭示了行业发展的有趣规律：编程最初被视为低地位的文书工作，多由女性承担；Webmaster等职位经历分裂后又重组；Prompt Engineer等新兴头衔迅速被吸收；而Forward Deployed Engineer等职位则仿佛历史的重演。从Systems Engineer到DevOps，许多争论从未真正解决，只是换上了新名字。这张图不仅梳理了职位的演变，更折射出技术行业在集中化与分散化之间的摇摆，以及AI时代对编程工作的重新定义。

PyPI 完成了用户界面改版，新增独立的 Security 标签页，让开发者能直观查看发布文件的 Provenance 状态和 Attestations。系统会明确标识 Full Provenance 或 No Provenance，并在检测到 Incomplete Provenance、Inconsistent Provenance 等异常时发出醒目警告。这次更新由 Kabu Creative 实施，旨在解决恶意代码注入风险，帮助社区更清晰地评估包的安全性。无论是维护者还是使用者，现在都能通过更透明的数据验证文件来源，不再盲目信任。

这部纪录片讲述了KDE社区如何从1996年Matthias Ettrich在Usenet发起的一个简单请求，成长为全球最大的自由软件社区之一。它让Linux从极客的玩具变成了普通用户可用的桌面系统，提供了完整的图形环境。影片回顾了三十年的起伏：从Qt授权之争到与GNOME的竞争，从KHTML浏览器引擎成为Apple WebKit和Google Chrome的基础，到KDE 4发布后的重建。KDE不仅发明了开源社区的组织模式，其非营利组织KDE e.V.更成为众多项目的典范。如今，KDE是主流Linux发行版和Steam Deck的默认桌面，也是庞大自由软件生态的核心。这更是一部关于人、友谊和开发者无偿奉献的感人故事。

在 AI 热潮推高存储成本的背景下，Seagate 推出了全新的 FireCuda Forge 混合硬盘，试图将机械硬盘的大容量与用户自配 SSD 的高速结合。这款设备由 Alkemi 智能存储平台管理，支持 8TB 和 20TB 配置，但用户需自备符合特定速度要求的 NVMe SSD。虽然这一方案在 2012 年 Apple 的 Fusion Drive 时代曾昙花一现，但随着 NAND 闪存价格飙升，这种“旧瓶装新酒”的思路似乎再次具备了性价比。然而，和当年一样，关于数据在两层存储间如何分布、以及单一硬盘故障是否会导致整个系统崩溃等核心问题，Seagate 尚未给出明确的技术细节，留给市场的是熟悉的疑问。

我在做一个需要高清摄像头、GPS、存储和微控制器的项目，原本打算围绕 Raspberry Pi 设计 PCB 适配器，但每加一个组件成本就飙升。后来我意识到，手头的 Redmi 13C 5G 和 Huawei Mate 30 5G 二手仅值300-500元，却已内置50MP/40MP相机、GPS、存储、电池、触屏和移动数据。相比之下，凑齐同等功能的 Raspberry Pi 方案成本高达2300多元。我已解锁并 root 了 Redmi，测试了相机和定时唤醒功能。虽然批量获取状态良好的旧手机有挑战，但让大众设备获得第二次生命，远比组装一堆新硬件更有趣且实用。

第一次接触 Grey Rocking 时，我感觉自己获得了一种超能力，其震撼程度堪比发现 Twitter 的静音功能。这项由 Skylar 在2012年提出的技巧，核心在于面对自恋者、心理变态或情绪吸血鬼时，让自己变得像一块不起眼的灰色石头般无趣。通过刻意消除戏剧性，不再提供对方渴望的情绪反应，让对方因感到无聊而逐渐失去兴趣。无论是应对家庭 WhatsApp 群里的陈年旧事，还是处理更严重的骚扰，这种策略都能有效化解冲突。当然，长期扮演“无趣”角色也可能让人怀疑自我，因此我选择更策略性地使用它，在需要时随时调用这项“核选项”。

Google 团队联合学术界，利用 Gemini 4 系列模型与 Antigravity 的 /teamwork 多智能体工作流，成功解决了一系列困扰多年的数学与工程难题。从证明 Courtade–Kumar 猜想到形式化 Weil 猜想，再到发现分子结构，这些长周期推理任务展示了 AI 在科研中的新高度。通过结合专用验证器与分布式智能体，系统不仅能生成数百万行 Lean 4 代码进行自动验证，还能在分布式系统与量子计算领域取得突破性进展。

CBC视觉调查揭露，LinkedIn和Monster平台上超过1500个虚假职位实为多层次的营销骗局。这些职位打着“远程办公”、“无需经验”和“年薪7.5万美元”的幌子，将求职者引流至美国公司Evolution Travel。求职者被要求先支付数百美元费用并订阅月度服务，而非获得真实工作。在CBC曝光后，两大平台已下架相关广告。专家指出，此类行为严重侵蚀公众对求职市场的信任，将严肃的就业平台变成了充满误导的“哈哈镜”。

这是一个令人惊叹的开源项目，仅用190行纯JAX代码就完整复现了DeepSeek V3的核心架构，包括MLA、DeepSeekMoE和MTP等先进特性。开发者在MacBook Air上从零开始训练，无需Flax、Equinox或PyTorch等框架依赖。所有模型参数仅为字典，代码逻辑清晰可读。该项目不仅展示了极简代码实现复杂模型的可能性，还提供了详细的训练数据、验证结果和复现指南，是学习大模型架构与JAX框架的绝佳实践案例。

多家科技巨头正计划将 AI 数据中心搬入太空，Elon Musk 甚至预测这是最低成本的方案。我们深入分析了 Orbital Data Centers 的可行性：关键在于 SpaceX Starship 能否将发射成本降至每公斤 50 美元。虽然太空太阳能效率远超地面，且辐射散热比预期更可控，但无法更换故障芯片将导致约 38% 的硬件冗余成本。除非 Starship 如期发展，否则在 2030 年前太空数据中心难以占据主流，但未来十年可能彻底改变 AI 算力格局。

我在显微镜下拆解了一枚神秘的 vintage 芯片，通过逆向工程确认它是1965年 Signetics 推出的 ST680A。这款芯片采用了古老的 diode-transistor logic (DTL) 技术，内部集成了四个 NAND 门。为了看清内部结构，我不得不使用少量沸腾硫酸清洗被环氧树脂污染的硅片。更有趣的是，Signetics 利用同一块硅片设计，仅通过改变金属层布线，就制造出了 ST680A、670A 和 616A 三种不同功能的芯片。这种早期的半定制 IC 策略不仅节省了掩膜成本，也展示了半导体设计早期的工程智慧。

密歇根大学研究发现，Gen AI 在处理非英语文本时，能耗可能比英语高出1.4到180倍，且输出质量往往更低。Hindi和Bengali等语言分别需要7.9倍和15.3倍的能量。这种“双重惩罚”不仅增加了使用成本，还可能加剧全球数字不平等，迫使数十亿人放弃母语转向英语。研究团队通过测试Qwen 3、Gemma 3和Llama 3.1等模型发现，非拉丁字母语言因Token数量更多，导致内存占用和能耗显著上升。为缩小差距，建议开发者优化特定语言模型或引入可靠的翻译流程，避免用户因语言障碍被技术拒之门外。

Terminactory 是一款专为终端打造的温馨工厂模拟游戏，使用 Rust 语言和 ratatui 框架构建。在这里，你可以挖掘铜、煤和铁，通过熔炼、压制和售卖资源来积累财富，并逐步研发电脑和石油技术。游戏没有战斗和随机破坏，完全由你掌控节奏，即使离线工厂也会持续盈利。它特别设计为可与你的人工智能代理（AI agents）并排运行，代理可以发送消息到游戏中，让你在等待代码执行时也能享受建造乐趣。

这个网站将The Secret of Monkey Island的13个不同版本并排展示，涵盖PC、Amiga、Atari ST、Macintosh、FM Towns和Sega CD等平台。从1990年的12-verb文本界面到1993年的9-verb图标界面，每个版本的画面、音效和交互细节都清晰可见。作者通过ScummVM和Hatari模拟器捕捉了12个经典场景，确保每个像素都还原了原始显示效果。无论是PC的16色EGA、256色VGA，还是Amiga的OCS/ECS，甚至是Sega CD的CD音频，都能在这里找到。这不仅是一次视觉盛宴，更是对经典游戏历史的深度回顾。

Dartmouth 的 Guarini 研究生与高级研究学院宣布，暂停 2027-2028 学年的数学 Ph.D.项目招生。这一决定是为了配合文理学院进行的部门审查，具体恢复时间尚未公布。尽管当前在读学生的奖学金、保险及五年资金保障承诺不变，但这一突然的暂停引发了师生对透明度和项目稳定性的担忧。这并非孤立事件，全美 Ph.D.录取率近期下降了 15%。学生们担心，失去同届伙伴会削弱学术社区氛围，进而影响本科生的高阶课程选修机会及整体研究文化。校方表示正在寻求解决方案，并计划与院系领导进行深入对话。

商业手机解锁工具并非什么魔法，它们利用的正是安全研究人员在学术会议上公开披露的漏洞。其独特之处在于系统性地将漏洞利用商业化：针对每种软硬件组合开发稳定的利用代码，并将其封装成自动化流程，几乎无需人工干预。文章深入剖析了Android设备的硬件安全架构，包括TrustZone、Secure Element（如Titan M2）以及启动链的信任机制。重点揭示了File-Based Encryption（FBE）中密钥派生的原理，以及为何拥有Secure Element的设备能更有效地抵御离线暴力破解。对于没有Secure Element的中低端设备，一旦Boot ROM或预加载器被攻破，整个信任链将彻底失效，使得离线暴力破解成为可能。

随着AI和LLM加速了漏洞的发现与利用，Project Zero宣布调整披露政策。原有的“90+30”天窗口期已无法应对当前威胁，补丁发布后攻击者几乎能立即逆向分析。新政策将分阶段缩短披露时间：2027年2月降至60天，2028年1月最终缩短至30天。此举旨在推动厂商加快修复速度并减少“补丁差距”，同时移除大部分特殊例外情况，仅保留针对野外利用漏洞和公共漏洞的例外。Project Zero强调，在AI时代，漏洞的严重性不应成为披露决策的依据，所有报告的高质量漏洞都将按统一时间表处理。

Fursoy是一款基于SystemVerilog设计的64位乱序超标量RISC-V处理器，支持RV64IMAFDV指令集扩展。它在Nangate 45nm工艺下成功实现500MHz时序收敛，并在Sv39虚拟内存环境下成功启动Linux 6.6.50内核与BusyBox用户空间。该处理器具备双发射乱序执行、128条目的重排序缓冲区及非阻塞缓存架构，为开源RISC-V生态提供了高性能参考设计。

Meta、Google 的智能眼镜能记录并描述你看到的一切，Apple 的 Audio Intelligence 将 Apple Watch 变成全天候录音机，Amazon 的 Bee 设备更是能转录所有对话。这些设备将隐私从个人选择变成了影响周围所有人的公共问题。科技公司试图让我们接受一种现实：只要设备拥有者“负责任”，背景式的持续监控就是未来。然而，这种逻辑忽略了旁观者无法选择退出的困境。当秘密记录成为常态，人与人之间的信任与社会规范将被彻底破坏，我们正面临一场关于对话隐私的无声危机。

想打造像 SMTP 那样无需中央服务器的去中心化信使系统？本文带你深入探索 federation 架构的核心逻辑。我们将从 User Identity 设计入手，利用 .well-known 目录实现服务发现，并构建基于 X25519 和 HPKE 的端到端加密机制。通过定义 resolve_users 和 send_messages 等关键 API 端点，确保服务器间能安全交换加密密钥与消息。整个过程摒弃了复杂的附件和多设备同步，回归 90 年代极简主义，手把手教你实现一个真正“即插即用”的 lnchat 协议，让每个服务器都能独立运行并相互通信。

意大利监管机构因Meta在Android设备上未经充分告知用户即访问相册数据，对其开出8.87亿美元的巨额罚单。Hacker News社区对此展开热烈讨论，有用户指出Meta长期面临负面新闻，罚款对其而言可能仅是“挠痒痒”，甚至有人戏称Meta已成为政府的“提款机”。另有用户揭露，部分Android设备（如HMD Nokia）的相机应用曾存在后台连接Meta服务器的行为，即便用户从未注册Facebook账号。这场风波再次引发关于科技巨头数据权限、用户知情权以及监管有效性的深层思考：当罚款成为常态，隐私保护究竟是在进步还是在妥协？

我认为最值得信赖的编程语言是那些“人类尺度”的语言，即单个用户能在常见计算底板上从零构建的语言。今天，我将带你快速体验实现 PostScript 语言子集的过程。我们将忽略或简化许多特性，省略大部分错误处理，但每个示例都是有效的 PostScript 程序。文章展示了如何用简洁的 JavaScript 风格编写解释器，涵盖词法分析、栈操作及核心算子定义。通过亲手实现，你不仅能理解 PostScript 的栈式执行模型，还能体验 Forth 哲学下的代码风格，甚至用其编写 Fibonacci 数列等递归算法。

这篇文章带你亲手构建一个名为 spark 的简单数字生物，观察它如何通过强化学习掌握新技能。不同于预设程序，spark 的“大脑”由四个神经元组成，通过不断的试错来调整连接强度。当它靠近光源时获得奖励，远离时受到惩罚，经过数千次尝试，它从最初的原地打转，逐渐进化成能精准追踪光线的专家。文章生动展示了学习并非线性过程，而是在充满随机性的“可能大脑空间”中艰难探索。这种机制不仅解释了 spark 的行为，也揭示了生物大脑如何通过多巴胺奖励机制学习歌唱等复杂技能。

美国国税局（IRS）推出了名为 Direct File 的免费在线报税服务，并将其核心代码开源至 GitHub。该项目采用基于访谈的交互设计，能自动将复杂的 Internal Revenue Code 转化为通俗易懂的问答，支持多终端访问。其底层技术亮点在于使用 Scala 编写的 Fact Graph 知识图谱，能够处理不完整的税务信息逻辑。尽管该仓库已归档不再维护，但其代码逻辑、测试用例及 State API 设计，为开发税务相关产品提供了宝贵的参考。

在调试 initrd 时，我突发奇想：既然 Linux 的 initramfs 支持 CPIO，为什么不能做一个能自举的 ZIP 档案？我构建了一个完全正常的 ZIP 文件，它不仅包含构建自身的源代码，还能作为可启动镜像运行。通过在 ZIP 头部巧妙嵌入 Multiboot 魔数和 16 位实模式代码，这个 boot.zip 既通过了标准的 unzip 验证，又能被 Qemu 直接内核启动，甚至能在老式软驱上运行。它展示了 ZIP 格式在“多态文件”技巧上的潜力，同时也揭示了现代解压工具因线性扫描而逐渐丧失这种灵活性的现状。

面对AI失控或核战争可能引发的EMP威胁，我动手测试了一个简易法拉第笼：用镀锌垃圾桶配合导电胶带，能阻挡多少电磁脉冲？我搭建了宽带射频噪声源和Nooelec NESDR接收器，在24MHz到1.7GHz频段进行实测。结果显示，仅盖上盖子就能在多数频段衰减30dB以上，而用胶带密封缝隙后，信号几乎完全被屏蔽。虽然我的测试在低频段存在局限，但物理原理表明，这种低成本方案对EMP防护非常有效。如果你担心设备在灾难中幸存，一个密封好的垃圾桶或许就是最实用的生存装备。

我们将Lean证明助手应用于美国《国内税收法典》，对整部法律进行形式化验证。结果发现文本中存在138处起草错误，包括被废除的引用、错位的条款和无法闭合的括号。通过将税法重写为可计算的Lean代码，我们不仅复现了已知的避税策略，还发现了某些在联合报税下更昂贵、而在分开报税下反而更划算的罕见情况。这一过程揭示了法律文本中人为难以察觉的机械错误，并证明了形式化方法在发现税法漏洞方面的巨大潜力。

Agweb 是一款专为 macOS 打造的浏览器，旨在让多个 coding agents 高效协作。它基于 WebKit 引擎，彻底解决了传统方案中 Chrome 窗口抢夺焦点、无头模式被网站拦截等痛点。所有代理的标签页集中在一个永不抢焦点的窗口中，支持通过命令行驱动，并实时展示操作状态。其独特的空闲标签挂起机制大幅降低资源占用，同时保留真实窗口以应对复杂交互，让开发者能清晰监控代理行为。