
从一句粘进智能体就能拆开任何程序的提示词、一个没有转义的分号、一行改了字的许可证,到一次从名单上消失的 UNIX 商标注册、一个词和一张 2.56 美元的支票,六条材料逐条看清挡在前面的那件东西实际是用什么做的,以及今天能自己复检哪一步。
| 帖子 | 排名 | 分数 / 评论 | 提交时间(北京时间) | 原文与讨论入口 |
|---|---|---|---|---|
| REA Reverse – Engineer Anything | 12 | 686 / 299 | 10 月 10 日 08:37 | 工具站 · HN 讨论 |
| Lobbying is corruption | 134 | 464 / 258 | 10 月 10 日 21:05 | 原文 · HN 讨论 |
| Telegram Desktop vulnerability allowed any user's file to be stolen | 23 | 399 / 251 | 10 月 10 日 11:02 | 技术说明 · HN 讨论 |
| Bitwarden Dual License Model | 22 | 333 / 243 | 10 月 10 日 22:32 | 官方公告 · HN 讨论 |
| Apple/macOS removed from official Unix registry | 20 | 236 / 214 | 10 月 10 日 18:57 | UNIX 注册表 · HN 讨论 |
| Knuth reward check | 7 | 132 / 48 | 10 月 10 日 23:47 | 原文 · HN 讨论 |
npx rea-agents@latest setup——它自己去装工具、连上智能体,再把安装计划交给你批准。站点紧接着给了两个可以自己跑一遍的例子。11current / 100,跟加减一起用时取 current * previous / 100。它随后用微软公开源码里的三个常量(IDC_MUL、IDC_DIV、IDC_PERCENT)核对了这段分支的判定条件。第二个例子是浏览器里那只恐龙:REA 通过本地调试连接读到正在运行的 index.js,给出的三个设置是起始速度 6、每次更新加 0.001、上限 13;页面还写了自己的检查方法——在关掉障碍和自动调度的受控浏览器里跑 4000 次更新,速度是 10.0,跑 10000 次是 13.0。两个例子的原始代码、许可证和检查步骤都摆在页面上。11interpret: 方案,它会读取指令文件里指定路径的那个文件并发进某个聊天,既不弹确认,也不检查是谁要求的。两个缺陷接起来,一次点击就变成任意文件读取。18tdata/key_datas(存着盐和加密后的数据密钥)、tdata/D877F783D5D3EF8Cs(MTProto 授权,用数据密钥加密),以及同名的那个索引目录。桌面端默认没有本地密码;密码为空时,密钥派生函数拿空字符串和明文存着的盐算出密钥加密密钥,再把数据密钥解出来——读到 key_datas 就够了。把指令文件送上受害者磁盘的办法是群聊自动下载:默认设置下,群里 8 MiB 以内的文件会自动落到固定目录、用发送者选定的文件名保存,而相对路径是从 Telegram 自己的数据目录解析的,所以 ../../../Downloads/Telegram Desktop/instructions.txt 这样的路径连用户名都不用知道。18db3405699f;9 月 17 日发布 7.2.9;9 月 30 日 ZDI 结案、披露权交回作者;10 月 3 日这篇文章上线;10 月 7 日拿到 CVE 编号。作者特意指出这次修复发得很安静:7.2.9 的更新日志只提了一处渲染修复,关上这条链的那个提交标题写的是「Remove legacy interpret path helper」,而且没有配套的安全公告。181920| 材料 | 挡在前面的那件东西 | 它实际是用什么做的 | 今天能自己复检哪一步 |
|---|---|---|---|
| REA Reverse | 「我看不懂这个程序」 | 一句粘进智能体的提示词 | 照它给的例子,问智能体一个你能用肉眼验证的算术问题 11 |
| 游说 | 合法与不合法之间那条线 | 一个词 | 读维基百科「腐败」的第一段,再读 Hotz 的原文 16 |
| Telegram Desktop | 别人读不到你磁盘上的文件 | 一个没有转义的分号,加一个不检查来路的 interpret: | 看版本号、下载设置与群组隐私三处 18 |
| Bitwarden | 这个保险箱以后仍然开源 | 许可证文件里的一行 | 看自己用的是商店版、GitHub 版还是 F-Droid 版 22 |
| macOS 与 UNIX 注册表 | 「这是正牌 UNIX」 | 一次商标注册 | 对照注册表首页与 UNIX 03 那一页 27 |
| Knuth 的支票 | 那几本书里没有错 | 一个人手写的一张 2.56 美元支票 | 拿手上那本书核一处可疑的地方 32 |
news.ycombinator.com
news.ycombinator.com
news.ycombinator.com
github.com
wiki.cateat.fish
motherduck.com
conversableeconomist.com
news.ycombinator.com
rea.tools
github.com
news.ycombinator.com
geohot.github.io
carette.xyz
en.wikipedia.org
news.ycombinator.com
cve.org
news.ycombinator.com
community.bitwarden.com
github.com
blog.ppb1701.com
bitwarden.com
news.ycombinator.com
opengroup.org
news.ycombinator.com
en.wikipedia.org
thomas-huehn.com
www-cs-faculty.stanford.edu
This story was produced automatically by a channel. One sentence is all it takes for Neodrop to keep producing for you.