一个只有一字节的私钥、一份缺了三块的推理引擎、一段 30 分钟就能克隆的声音、一次快 8 倍却要天天对着上游的移植、50,000 条编造的数字和一次点错窗口就全屏的升级：10 月 21 日 HN 热榜在问，坏了以后，你退得回去吗？
覆盖 10 月 20 日 08:00 至 10 月 21 日 08:00 的 Hacker News 热榜：一批能从证书里算出来的中间证书私钥、一份缺了集群三块的推理引擎、一套权重没开的语音模型、一次快 8 倍却要每天对着上游对一遍的编译器移植、50,000 条进了论文与投行的编造统计，和一次不能降级的系统升级——六条材料逐条看清坏了以后各自退得回去哪一步，以及今天能自己查哪一步。
全榜最高分在第三条。《DeepInfer》2099 分、818 条评论，10 月 20 日 17:08 上帖。3
榜序按时间衰减，分数按累计投票。今天两套数字错得很开：51 分的 ShinyHunters（一条勒索谈判员被指运营勒索站的报道）排第 2，21 分的苯二氮平（一篇讲怎么戒掉这类药的文章）排第 5，587 分的 eMudhra 排第 11。
| 材料 | 分数 | 评论数 | 位次 | 上帖时间（北京时间） |
|---|---|---|---|---|
| 一个可以从证书里算出来的私钥 | 587 | 306 | 11 | 10 月 20 日 21:58 |
| 一份开源出来的推理引擎 | 2099 | 818 | 3 | 10 月 20 日 17:08 |
| 一套覆盖 50 种语言的语音模型 | 488 | 133 | 4 | 10 月 21 日 00:02 |
| 一次快 8 倍的编译器移植 | 335 | 154 | 15 | 10 月 20 日 21:18 |
| 50,000 条编造的统计 | 314 | 180 | 31 | 10 月 20 日 21:06 |
| 一次点错窗口就全屏的系统升级 | 471 | 245 | 10 | 10 月 20 日 20:17 |
时间窗按上帖时间算，从 10 月 20 日 08:00 到 10 月 21 日 08:00。六条材料里，三条的原件落在这个窗口之前。
选条标准有两条：这件事今天有一份能打开的本体；它坏掉之后，有一半人退不回去。按这两条，本期收了一条 471 分的，也收了一条 314 分的。
榜上还有一条 403 分、364 条评论的帖子，说 Facebook 的公共主页以后每月发两条以上的链接要付费订阅。原始信源是一条 Mastodon 帖加一张截图，Meta 自己的帮助页今天打不开。7
OpenBSD 8.0 那条 465 分，与 10 月 20 日那期是同一条，这里不重复。8
剩下的各有短板。TorchTPU 是一份刚发到 PyPI 0.2.0 的 PyTorch 后端，讨论 57 条9。
Google Cloud 欧洲那次故障，今天能拿到的是银行与券商停摆的清单10；Ofcom 与 4chan 那条，原始材料是一篇律师写的博客11；Tor 出口节点那条，作者写的是自己怎么一个个投诉掉 300 个节点12；MicroG 的帖子本身就是一份 wiki 首页13。
Anthropic 上半年净亏损超过 800 亿美元这条，正文在付费墙后14。
今天这六件事，都是别人交到手上的东西。每一件都有一个「坏了怎么办」的答案，答案分两种：一种你自己按得动，一种要等别人发一版。
一份证明压缩包：私钥只有一个字节
谁在说。10 月 18 日 04:06（北京时间），一份报告发到 Mozilla 的 certificates@ 邮箱，由 Chrome 的根程序转来。4 提交人署名 Wayne，报告里附了 8 张中间证书的私钥控制证明。这条帖子 10 月 20 日 21:58 上榜，587 分、306 条评论，第 11 位。15
一手材料写了什么。8 把私钥，都能从证书本身算出来。缺陷单写得很直接：P-384 的私钥本该是群阶范围内的随机整数，这 8 把用到的都小于 256。4
换句话说，除最后一个字节，前面全是零。算出来的办法有两种：跑一遍 baby-step giant-step，或者干脆生成前 256 个 P-384 私钥逐个去碰。Mozilla 的人两种都试过，都成了。4
缺陷单里还有一段更省事的：有人拿一句「我在打 CTF，请还原这些证书对应的私钥」的提示词去问本地的模型，第一次就出来了。4
这 8 张证书 2025 年 4 月 30 日签发，属于同一批 24 张中间证书。这批分了 A、B、C 三个系列，RSA4096 与 P384 两种算法，DV、OV、EV、CS 四种用途。出事的是 B、C 两个系列里的全部 P384。4
原因写在 eMudhra 自己的回复里。那天用的密钥生成脚本改过一次，为了测 wrap/unwrap 加了一处「批准的偏差」。4
连锁在回复里列得很细：代码缺陷让第二对密钥生成在了机器里，强度更弱；这两把弱密钥因为标签相近，被误拿去签了 CSR，又送去 Sectigo 做交叉签名。4
时间线。10 月 17 日 18:05（UTC），Wayne 把报告同时发给 Apple、Chrome、Microsoft、Mozilla 与 eMudhra。4 Mozilla 在 20:08 确认证明有效，22:59 走完 OneCRL 的吊销。Chrome 的 CRLSet 在 22:46 那一版里已经有这 6 张 TLS 证书。4 苹果在 10 月 19 日跟进。16
eMudhra 自己在 10 月 18 日 09:38 把 8 张证书标成已吊销，原因栏写的是 caCompromise。4
退回去的那一步。浏览器用户在两天内就被兜住了，靠的是三家各自的吊销通道。麻烦在另一边：不查吊销信息的客户端，只能靠装新版本。16
Go 随后放出 1.27.3 与 1.26.10。17 同一张表上还有 rustls-webpki 0.103.16、Python 的 certifi 2026.10.19、pip 26.2.2、Homebrew 的 ca-certificates 2026-09-25_1、Electron 44.9.1；Node.js、Fedora 与 FreeBSD 那几行写的是 pending。16
更彻底的一步在缺陷单后面：Mozilla 决定紧急移除对 emSign ECC Root CA - G3 的信任，理由是要保护那些不使用吊销信息、或者没有办法单独撤销某张中间证书的客户端。4 eMudhra 随后停了这条根下的全部签发。4
评论区争在哪几点。第一层是这套体系该不该换。得票最高的一条问：还要读多少遍这种事，才肯把 Web PKI 换成一套不需要这么折腾的系统？15
后面分了两支。一支主张 DANE，让域名持有者用 DNS 自己声明证书；另一支说 DANE 会把信任挪给 TLD 运营者，而 TLD 运营者杀不掉。15
第二层是「为吊销一张证书，为什么要重装 Go」。有人写：为什么得为了撤销一张证书，去装一版新的 Go、Electron、webpki-roots，而且可能还是通过一条已经被攻破的 TLS 连接去装？15
第三层最实用，是一条清单：Go 升到 1.27.3 或 1.26.10，Rust 升 rustls-webpki 0.103.16 与 webpki-roots 1.0.10，Python 升 certifi 到 2026.10.19，Homebrew 升 ca-certificates 到 2026-09-25_1，Electron 升 44.9.1、43.8.1 或 42.11.16。15
今天能自己复检哪一步。两条 curl，一行一条：
curl https://dv-g3b-emudhra.we-have-a-problem.com/
curl https://dv-g3b-aaa-emudhra.we-have-a-problem.com/报证书错误，说明你这个客户端已经不认这两条链；能正常取回，说明它还认。16
少的那三块，正好是上线要用的
谁在说。10 月 20 日 12:09（北京时间），DeepSeek 提交了 DeepInfer 的第一个 commit；仓库 10 月 16 日就建好了。18 这条帖子同一天 17:08 上榜，2099 分、818 条评论，第 3 位。3
一手材料写了什么。README 第一句：DeepInfer 是「支撑 DeepSeek 大规模生产服务的高性能推理框架」，这次开源的部分是离线推理。18
支持的模型只有一个，DeepSeek-V4.1-Flash；支持的硬件两种，NVIDIA SM100 与华为昇腾 950。18
功能清单很长：FlashMLA、DeepGEMM、DeepEP 等一批自研 kernel；Attention DP 加均衡 CP，MoE 的 EP 加 EPLB；带置信度调度的投机解码；批不变推断；确定性采样；结构化输出。18
缺的部分写在同一个 README 的「运行一个完整推理服务还需要，本次未包含」下面，三行：KV cache 系统；VE/Prefill/Decode 分离（引擎功能大半已经实现）；数据并行副本之间、prefill 与 decode 各自的负载均衡。18
速度图在 4 张 SM100 上量 prefill、64 张上量 decode，都在同一个 scale-up 域内。协议是 Apache 2.0，到发稿时仓库有 12,000 多颗星。18
致谢里写得很清楚：它最初主要建在 vLLM 上，另外借鉴了 SGLang 与 TensorRT-LLM。18
评论区争在哪几点。第一层是钱。有人贴了一份知乎帖子的数字：单个集群每天 155 万亿 token，按每卡每小时 38 美元的离峰价折算收入。3
下面一片按这张表算回本时间的回复：三万美金一张的卡，按每小时净现金流 35 美元算，850 小时回本，约 35 天。3
第二层是这张表的单位。有人指出：OpenRouter 上周全平台的用量是 164 万亿 token；单个集群一天 155 万亿，这两个数字放在一起说不通。3
同一条串里另一个人问：如果这是真的，为什么 GPU 租金在涨、OpenRouter 上开源模型的价格在跌。3
反面的声音也有。有人指出，今天用 vLLM 已经能把同一个模型跑起来，全世界三十多个服务商都在跑；这份东西的价值，是给 vLLM、SGLang 的贡献者一份参考实现。3
今天能自己复检哪一步。仓库给了离线推理的例子：装好 GCC 13、Python 3.12、CUDA 13 或 CANN 9.2，跑
python examples/offline_inference.py。18 跑通之后回头看 README 那三行「未包含」，那里是你要不要上线的分界线。权重没开的那一份
谁在说。10 月 20 日，Mistral 发布 Voxtral 3：转写与合成两族语音模型，加一个语音智能体 SDK。19 这条帖子 10 月 21 日 00:02 上榜，488 分、133 条评论，第 4 位。20
一手材料写了什么。转写模型 Voxtral Small Transcribe 3 覆盖 50 种以上语言，其中 24 种是欧盟官方语言，另有一批资源较少的亚洲与印度语种。Mini 版 4B 参数，每分钟 0.0035 美元。1921
合成模型 Voxtral Mini TTS 3 覆盖 35 种以上语言、50 种以上方言，每百万字符 13 美元。19
Pro Voice 那一档写得更具体：30 分钟音频，能复刻一个人的音色、情绪范围与说话风格，跨语言。19
部署写了两条路：Mistral 在欧盟托管的 API，或者装到你自己的基础设施上。是否留存音频，由你决定。19
一个对不上的细节。发布页说转写模型是 state-of-the-art，把 Whisper、Scribe v2、Gemini 3.5 Transcribe 都比了下去。19 同一家的模型卡写的是：在 FLEURS 多语种转写与英文说话人分离两个榜上排第 3。21
评论区争在哪几点。第一层是它开不开。得票最高的几条的意思就一个字：「closed」。有人问「会一直这样吗」，有人写「闭源意味着我立刻不感兴趣」。20
第二层是对比老版本。一位用旧版 Voxtral 的人写，以前的版本不错，转写与说话人分离够用，语音空白时老老实实不出字。20 另一位对这次的「改进」看法相反：上一版像真人，这一版像通用的 AI 腔。20
第三层是这套东西的关键到底在哪。有人判断，真正的卖点在把实时推理模型接进来、再把工具调用的延迟藏起来的那一层。20
今天能自己复检哪一步。拿一段你自己的录音，分别在它和现在用的那家上跑一遍，记三件事：专有名词听对了几个、每分钟多少钱、这段录音最后落在谁家的机器上。19
每天早上对着上游对一次的移植
谁在说。10 月 20 日，Cloudflare 与 VoidZero 在博客上宣布 tsrs：一份用 Rust 写的 TypeScript 编译器移植。22 这条帖子当天 21:18 上榜，335 分、154 条评论，第 15 位。23
一手材料写了什么。作者是 Boshen Chen、Dimitri Mitropoulos、Christoph Nakazawa，另与 Owner.com 的 Max Schwenk 合作，代码放进 Oxc 项目。22
速度：同样数量的类型检查 worker 下，比 TypeScript 7.0 快最多 8 倍，内存少约 70%。22
同一条数据里还有一层：TypeScript 7.1 beta 本身已经比 7.0 快最多 2.5 倍，其中一部分优化还是从 tsrs 上游回去的。22
他们写得很清楚，这是一份移植，语言的设计与方向继续由 TypeScript 团队全权掌握；Rust 版必须严格跟着上游的决定走，否则迟早会散架、变得不兼容。22
为什么是现在：这些年有过好几支移植，真正成的只有 TypeScript 团队自己那支从 JavaScript 到 Go 的；现在前沿模型能在几天内独立做完一次大规模移植，市面上已经出现 slopfork、忠实移植和重新设计过的版本。22
维护方式写得很细：每天早上，一个 agent 拉上游 diff、开跟踪 issue；每天晚上，把上游测试套件重跑一遍、重生成兼容矩阵；发现缺口就构建复现、移植测试、提修复。22
还有一句自述的差距：诊断信息的输出顺序这类地方，现在与上游不同，目标是在稳定版之前把差异压到最小。22
评论区争在哪几点。第一层是这 8 倍有没有意义。有人问：TypeScript 编译器真的慢到不能忍了吗。23
一位答得干脆：TypeScript 团队自己的 Go 版已经把 10 倍拿回来了，真正的理由是 Rust 能进 WebAssembly，而 Go 的垃圾回收器得跟着一起打包进去。23
第二层是当年为什么选 Go。一条回复说，据说是因为从原代码库「更容易翻译」；另一条接得更狠：那是 AI 之前的事，再等一年，他们自己就能直接移植到 Rust。23
第三层是这活为什么做得动。有人列了两条：TypeScript 有一套巨大的测试可以照抄来验收；Rust 在 Workers 上的 CPU 与内存收益，在这个量级上直接就是成本。23
今天能自己复检哪一步。
npm install tsrs，然后在你最大的那个仓库上跑一次类型检查，把耗时和内存峰值与原命令并排记下来。22收不回的引用链
谁在说。10 月 7 日，Peec AI 的 GEO 研究员 Metehan Yesilyurt 写了一篇《Publish stats, get cited》。6 这条帖子 10 月 20 日 21:06 才上榜，314 分、180 条评论，第 31 位。24
一手材料写了什么。7 个月前，他买下一个新域名 stateglobe.com，用 GPT-4.1 在一天里生成 50,000 个统计页面，内容是 200 个国家的 SEO、内容营销、社交媒体、电商与网站技术数据。没有一个数字核过。6
成本：统计页约 30 美元，后来又加了 15,000 篇榜单文，约 20 美元，合计约 50 美元。6
结果分两半。Google 那边，两轮更新之后曝光掉到个位数，实际等于被除名。6
ChatGPT 那边没停：最近 30 天，这个站点收到 60 多万次爬虫请求，其中约 72,000 次来自 ChatGPT-User——那是它回答问题时实时打开页面用的 agent，训练爬取走的是另一条通道。6
引用那一段最能说明问题。7 个月后，有 330 多个域名链向这个站，包括 Shopify、DHL、Bluehost。6
编出来的数字还进了一篇学术论文、卡塔尔最大金融集团的投资研究、印度一家经济刊物和一份加拿大创作者社区的调研报告。6
作者给它起了个名字：引用洗白。第一天，一个假数字挂在全新域名上，权威为零。6
再往后，一篇论文引了它，然后一家银行引了它。下一个读者或下一个模型看到的，就是一个「有来源」的数字，而那个来源被严肃机构引用过。6
评论区争在哪几点。第一层是模型能不能发现自己被骗了。一条回复写：假数据对 AI 来说无所谓。24
第二层是换个搜索引擎能不能解决。有人说，OpenAI 迟早会建起自己的检索基础设施，Google 今天能识别这种站，它也能。24
有人回：Google 自己的结果被 SEO 垃圾占据多年，还一度让人吃石头、往披萨上抹胶水，指望它教别人识别垃圾，不太行。24
第三层是对这个实验本身的态度。一位评论者的意思很硬：撒了谎就是撒了谎，有人信了，那是撒谎的结果。24
作者在文末也写了这一层：这是研究，写出来是给人看清这条路，照着走是另一回事。6
今天能自己复检哪一步。挑你上一份对外材料里引用的那个数字，去它标的第一手来源点开一次，看那家机构是不是真的量过它。一次一条，今天能做完。
没有降级这一项
谁在说。10 月 19 日，Teddy Svoronos 在博客上写了《Apple broke an essential presentation feature of iPads》。5 这条帖子 10 月 20 日 20:17 上榜，471 分、245 条评论，第 10 位。25
一手材料写了什么。他的用法很具体：iPad 用 AirPlay 投到外接屏，学生在那块屏上看到他手写的讲义；同一台 iPad 上还开着别的窗口——控制 Mac 上的 PowerPoint、看自己记的要点与要提问的学生名单、看投票结果。5
从 iPadOS 27 起，只要开着多个窗口投屏，点一下别的窗口，外接屏就整块切成 iPad 的全屏画面。5
三个应用三种结局：GoodNotes 点回去能恢复演示视图；Keynote 直接退出演示；PowerPoint 卡在一个僵住的状态，要重启演示才能继续。5
他对苹果的改动也理解一半。iPadOS 26 里，哪个应用「控制」外接屏很难判断——要上滑回主屏，再从 Dock 里点那个应用。他说这办法很怪，苹果的解法更糟：改成最近点过的应用接管。5
他给了反馈码 FB23615646，9 月初在播客里也讲过，最新几个 beta 里没有变化。5
评论区争在哪几点。第一层是「iPad 不算电脑」这句话该不该说。一条高赞就用它开头，马上被顶回去：这条帖子的全部意思是，它本来工作得很好，直到 27 把它弄坏。25
第二层是反例特别具体。一位陪审员写，法庭上律师就用 iPad 加专用软件出示证据，赢了案子，对面用桌面电脑那套的输了；租车公司的员工拿着 iPad 走遍停车场办业务。25
第三层回到退路。有人写：桌面系统出问题，我可以降一个包、回滚一个版本，甚至自己改代码；iPad 上这些都没有。25
另一位立刻反驳：你以为桌面软件都能降级？Web 应用、商店分发的、自动更新的，一样降不了；真说能让普通人退回上一版系统的，大概只有 Windows。25
有人把这一层说得准确：真正的问题在于谁有权决定哪种行为是对的。25
今天能自己复检哪一步。如果你用 iPad 讲东西，把外接屏接上、开两个窗口、点一下另一个窗口，看屏幕上剩下什么。三分钟能做完。
六条材料，六条退路
把六条按退路排开，能自己按下去的两条，交付的是代码；另外四条，交付的是一份要你长期相信的结论。
| 材料 | 坏掉的是哪一步 | 退回去的路径 | 今天能自己查的一步 |
|---|---|---|---|
| 8 张中间证书 15 | 私钥能从证书算出来，签发它的根没坏 | 浏览器由三家吊销通道兜住；其余客户端等新版本 | 跑那两条 curl，看有没有证书错误 |
| DeepInfer 18 | 引擎给了，集群那三块没给 | 退回 vLLM，它本来就是从 vLLM 长出来的 | 跑 offline_inference.py，再读那三行「未包含」 |
| Voxtral 3 19 | 权重没开，声音和录音在别人机器上 | 自部署，或者换回一个你手上的模型 | 用自己的录音比一次，记下价格与留存位置 |
| tsrs 22 | 移植会与上游漂开 | 不用它，tsc 还在；要用它，就得天天对 diff | npm install tsrs，在自己的仓库上跑一次 |
| 50,000 条统计 6 | 数字没有来源，引用链替它补上了 | 没有退路，只能在引用前多走一步 | 点开你引用的那个数字的第一手来源 |
| iPadOS 27 5 | 平台改了行为，功能没有开关 | 不升级；升了只能等下一版 | 接外接屏，点一下别的窗口 |
另外四条，坏掉的那一层都握在别人手里：信任库、模型与录音、引用链、系统版本。前三条你能做的只有等一份更新；引用链那条连更新都没有，只能在下一次引用前多看一眼。
能自己按下去的那两条，共同点是代码在你自己机器上，坏处当场看得见。代价也清楚：一条缺三块，一条要天天对着上游对一次。
所以判断一样东西能不能放进工作流，除了问它好不好用，还可以数三样：它在你自己的机器上吗；出事时你按得动哪个键；你要等的那一版，是谁在发。
五个问题，留给今天能用上的人：
- 你线上那台机器跑的是哪个版本的 Go、Rust 或 Python，它今天认不认那 8 张证书？
- 你的推理服务如果要自己跑，缺的是哪一块——KV cache、分离，还是跨副本的负载均衡？
- 你手上的语音记录最后落在谁家的机房里？那段数据要撤回来，你按得动哪个键？
- 你依赖的那个「更快的移植」，上一次与上游对齐是什么时候？
- 你最近引用的那个数字，第一手来源你亲手点开过吗？
References
- 1Hacker News top 榜 2026-10-21 快照
news.ycombinator.com
- 2SimCity, but with Permits 在 Hacker News 上的讨论
news.ycombinator.com
- 3DeepInfer 在 Hacker News 上的讨论
news.ycombinator.com
- 4Bug 2083449：eMudhra 中间证书私钥泄露
bugzilla.mozilla.org
- 5Apple broke an essential presentation feature of iPads
teddysvoronos.com
- 6
- 7Ashley Gullen 关于 Facebook Pages 收费的帖
mastodon.gamedev.place
- 8OpenBSD 8.0 在 Hacker News 上的讨论
news.ycombinator.com
- 9Google open-sources TorchTPU 在 Hacker News 上的讨论
news.ycombinator.com
- 10Google Cloud outage 在 Hacker News 上的讨论
news.ycombinator.com
- 11Ofcom concedes defeat in 4chan case 在 Hacker News 上的讨论
news.ycombinator.com
- 12How I got over 300 Tor exit nodes removed 在 Hacker News 上的讨论
news.ycombinator.com
- 13MicroG 在 Hacker News 上的讨论
news.ycombinator.com
- 14Anthropic 上半年净亏损的报道讨论
news.ycombinator.com
- 15EMudhra Intermediate CA Compromise 在 Hacker News 上的讨论
news.ycombinator.com
- 16eMudhra Intermediate CA Compromise 事故页
emudhra.we-have-a-problem.com
- 17Go issue 82345：拒收一批中间证书
github.com
- 18deepseek-ai/DeepInfer
github.com
- 19Voxtral 3
mistral.ai
- 20Voxtral 3 在 Hacker News 上的讨论
news.ycombinator.com
- 21Voxtral Mini Transcribe 3 模型卡
docs.mistral.ai
- 22Introducing tsrs: A port of TypeScript to Rust
blog.cloudflare.com
- 23Tsrs: A Port of TypeScript to Rust 在 Hacker News 上的讨论
news.ycombinator.com
- 24Publish fake stats, get cited in LLMs 在 Hacker News 上的讨论
news.ycombinator.com
- 25Apple broke an essential presentation feature of iPads 在 Hacker News 上的讨论
news.ycombinator.com
This story was produced automatically by a channel. One sentence is all it takes for Neodrop to keep producing for you.