一门没有堆分配器、跑得比 C++ 快的语言，一台藏着 500 美元比特币的 PHP 靶机，与一枚刻着 190 岁陆龟的 5 便士——Hacker News Top 20（2026 年 10 月 25 日）
汇总北京时间 2026 年 10 月 25 日 Hacker News 首页前 20 条，保留英文原标题、原文入口、中文要点与同一快照的讨论热度。
本文汇总北京时间 2026 年 10 月 25 日 08:07 观察到的 Hacker News 首页热门榜单前 20 条。
名次、点数、评论数与提交时间都取自同一次 topstories 快照，不随后续投票变化。
名次按 topstories 的返回顺序，和分数排序并不一致。
第 1 条 84 分，排在第 3 条 360 分之前；第 2 条只有 28 分，也排在 360 分的第 3 条前面。
第 19 条 442 分、431 条评论，是全榜最高，却排在第 19 位。
第 13 条与第 20 条各 11 分，是全天最低，一个排第 13，一个排第 20。
20 条里有 13 条提交于 10 月 25 日，是第 1 至第 8、第 10、第 13、第 15、第 19、第 20 条。
4 条在 10 月 24 日（第 12、14、16、17 条），1 条在 10 月 22 日（第 9 条），2 条在 10 月 21 日（第 11、18 条）。
分数与评论数双双最高的都是第 19 条；评论数第二是第 14 条的 203 条，第三是第 3 条的 200 条。
快照时还没有评论的是第 7、11、20 条，第 13 条 3 条、第 15 条 7 条、第 8 条 8 条；这六条按短条目处理。
按题材分，开发工具与语言 4 条（第 1、4、7、8 条），安全 4 条（第 3、9、15、17 条），硬件 3 条（第 11、16、18 条）。
基础设施 2 条（第 6、12 条），AI 与经济 2 条（第 2、19 条）；剩下五条分别是量子物理、陆龟硬币、限制与创意、短波监听和 Nest 恒温器。
今天最清楚的一条线，是一个人能完整看懂、也能自己造出来的东西。
第 3 条把私钥放进一台旧 PHP 服务器，第 4 条是一整门语言，第 7 条是 46 字节的 Forth，第 11 条自己画板子，第 18 条自己写 VGA 时序。
第二条线是托付给别人之后发生的事：第 17 条一个 Brotli 解码器横跨 Node、Python、Bun 与 Envoy，第 6 条仓库搬了家，第 9 条把开机解锁交给 TPM，第 20 条是云端一停、恒温器变回傻瓜。
第三条线是 AI 到底赚回了什么：第 2 条算创意行业四年少了 20 万个岗位，第 19 条说科技业之外看不到回报。
与频道历史的关系有两处。第 17 条接 10 月 24 日那期同一条漏洞的首次披露：那期只有 Node 与 Python 被点名，这期补上了语言清单、补丁版本，以及 OpenAI 二月就发现的经过。
第 3 条可以和 10 月 22 日那期 PHP 的安全发布对读：那期在修两个未认证远程执行漏洞，这条把打洞变成一场公开赛。
旧文回榜的有第 14 条（2018 年）、第 13 条（2023 年 9 月创建、2025 年 10 月更新）、第 7 条（2026 年 7 月）、第 2 条（9 月 27 日）。
原文早于提交日几天的还有第 6 条（10 月 15 日）、第 20 条（10 月 18 日）、第 18 条（10 月 20 日）、第 9 条（10 月 22 日）。
1. We should be more ambitious with the software we build
- 原文入口：Dan Luu · We should be more ambitious with the software we build
- HN 讨论：50225695
- 提交者：ltratt（提交于 2026-10-25 05:47）
- 快照热度：84 points | 50 comments
- 原文日期：日期未确认（页面未标发布日期，正文引用了 2026-10-19 的链接）
- 中文要点：Dan Luu 的论点是「我们可以对软件更有野心」，因为他身边这一年出现了一批以前做不出来的项目。
第一个例子是 Michael Malis 的 pgrust：用 Rust 重写 Postgres，主打性能。
作者相信它的测试做得扎实，依据是它在测试过程中报出了 Postgres 自己的 bug，包括 SP-GiST 的数值问题、JSONPath 的格式缓存问题、pgcrypto 与 money 溢出。
他也解释了这类项目为什么常被当成 AI 生成的垃圾：这类重写大多确实是。
他自己没细看 pgrust，因为认识作者，直接信了人。
他自己的例子更具体。假设手里的模型再快 10 到 100 倍，瓶颈会落到 ripgrep、编译 Rust、系统调用与文件系统开销上。
为此他做了正则引擎、ripgrep 的一个分支和编译更快的 Rust。这三件事放在以前要一年以上，现在他只花了几个小时。
代价写在脚注里：质量只到「对自己够用」，离产品级还差很多。
另一条记录更冷静。他做 Azul AI 时用 GPT-5.1/5.2 花 5 小时做到超人水平，但那时的模型经常「说用了某个技术，做的却不是」。
讨论焦点：50 条里信息量最大的一条在反对面，有人称 pgrust 前一天刚被 ClickBench 除名，理由是三项基准作弊，而这正是文章开头担心的那种情况。
第二类在补案例：有人说自己重跑了 Dan 那个 zstd 重写基准，Haiku 5.5 已经能做出来。
第三类回到维护性，有人说用 AI 加速一个流程，往往顺手加进一批只对测过的场景过拟合的代码，日后难改也难调。
2. America Has Lost 200k of Jobs in Media, Film and the Arts. How Much Is AI?
- 原文入口：Apricitas · AI and the fall of the creative class
- HN 讨论：50226419
- 提交者：gnabgib（提交于 2026-10-25 07:11）
- 快照热度：28 points | 12 comments
- 原文日期：2026-09-27（页面元数据，署名 Joseph Politano）
- 中文要点：过去四年，美国「创意」行业少了 20 万个以上岗位，最近一年约 5 万。
除 2001 与 2008 两次衰退，这是现代美国媒体就业最差的一段。麻烦在于今天没有全面衰退。
作者说要把 AI 的份额算出来很难：媒体公司不愿承认在用 AI，一来怕用户反弹，二来怕动摇版权的合法性。
其他原因同时在发生——好莱坞整合、内容生产外包、传统媒体让位给社交平台创作者。
他认为最清楚的证据是结构：数字艺术的每个细分都在掉岗位，线下娱乐还在健康增长；文字出版同期少了 7 万以上。
音乐那一段给了个换算：2000 年买一张 Metallica 专辑的钱，现在能换一个月几乎全部人类音乐的无限畅听。
讨论焦点：12 条，还没分成几派。一类直接质疑内容质量，说美国最近产出的电影、媒体和艺术本身就不行。
另一类把时间流向当主因：短视频和长视频拿走了看电影与电视的时间，并提到 Tom Hanks 多年前讲过类似的话。
还有一条在挑图，认为电影那张图的跌幅主要来自疫情后招聘潮的回落，说明不了 AI。
3. Show HN: Steal My Bitcoin
- 原文入口：Steal my Bitcoin
- HN 讨论：50224916
- 提交者：cloudlandsdev（提交于 2026-10-25 04:30）
- 快照热度：360 points | 200 comments
- 原文日期：2026-10-25（页面计时器的起点，与提交时间同一分钟）
- 中文要点：一台公开的 PHP 服务器上藏着一把约值 500 美元的比特币私钥。
PHP 运行账户可以通过一个叫 print-flag 的二进制读到它，第一个取走钱包的人赢。
页面写明它挑的 PHP 版本早于 PHP2SHELL 那批 CVE 的发布，等于把「旧版本里还剩多少能打的洞」摆到台面上。
挑战钱包地址是 bc1qlnu5…t3cxqy，余额可以在 mempool.space 上直接看；页面还有一个「距离上次成功入侵多少小时」的计时器。
作者留了一句话：如果这笔钱你不需要，建议捐给 GiveWell。
讨论焦点：200 条里最集中的是在验真，而这套设计正好可验：过一段时间没人打进去，就等于说明那个 RCE 没那么好利用。
第二个维度是价钱，有人觉得 500 美元买一个能用的远程执行漏洞太便宜。
第三类是期待智能体参战，有人希望第一个攻破的是大模型，并且能留下复盘。
4. The Goose Programming Language
- 原文入口：Goose · The Goose Programming Language
- HN 讨论：50224100
- 提交者：bobbydigitales（提交于 2026-10-25 03:06）
- 快照热度：188 points | 144 comments
- 原文日期：日期未确认（仓库 2026-08-30 创建，最后一次推送 2026-10-23）
- 中文要点：Goose 是 Wouter van Oortmerssen（aardappel）做的一门系统语言，代码在 github.com/aardappel/goose，Apache-2.0。
它有内存安全，但没有堆分配器、没有垃圾回收，也不需要写生命周期标注。动态值放在编译器分配的数据栈上，作用域结束就整体释放。
它给出的十六项基准是：速度是惯用 C++ 的 3.3 倍、手写优化 C++ 的 1.16 倍、最好的安全 Rust 的 1.12 倍，内存分别是它们的 1/1.9、1/1.3 与 1/1.2。
设计上有几处不一样。相对引用用 1、2、4 字节的偏移，所以数据结构本身就是文件格式，保存就是写，读取加一遍校验。
枚举按各自的变体占内存；线程之间不共享内存，跨线程靠 memcpy。
它编译成一个 C 文件，随包带 TinyCC 后端，可以在进程内编译并运行，不需要构建步骤。
讨论焦点：144 条里被顶到最上面的是转贴 John Carmack 的评价，说数据栈和相对引用让「直接映射文件与网络数据」变成默认能力。
有人立刻指出那是在回复一条要登录才能看的推文，脱离上下文说明不了什么。
作者本人出现了，留了一句 AMA 和仓库地址。
另一处分歧在必要性：有人说读下来看不出它比 C++ 强在哪里，也有人说概念好，但首页该先说清它填的是哪个空。
5. Listen and read USA nuclear forces Emergency Action Messages, heard on 11175 kHz
- 原文入口：Missileer Watch
- HN 讨论：50224422
- 提交者：liotier（提交于 2026-10-25 03:43）
- 快照热度：101 points | 64 comments
- 原文日期：日期未确认（页面未标发布日期）
- 中文要点：一个把短波里听到的美国核力量应急行动指令（Emergency Action Message，EAM）录下来、转成文字并逐条列出的小站。
11175 kHz 是美国空军高频全球通信系统（HFGCS）的四个主要语音频率之一，另外三个是 4724、8992 和 15016 kHz，整套系统由安德鲁斯与格兰德福克斯两个基地遥控（Wikipedia · High Frequency Global Communications System）。
页面现在挂着一行说明：示例数据，dev/ 里的测试件，真实流量还没接上；状态栏写着等待信号。
站点的联系信息写在页脚：Daniel Frenkel，Valar Systems，在俄勒冈。
它只读 archive.json 与 status.json 两个公开文件，不设追踪 cookie，录音与解码按 CC0 释出，时间统一用 UTC。
讨论焦点：64 条里最抓人的是气氛，有人说这对正在担心「接下来 13 分钟」的人挺治愈。
第二类是行话，有人打出 Skyking 那句 EAM 常见的开场，还有人自称创始听众。
第三类很实际：现在还是示例数据，大家想知道真正开始收录之后是什么样。
6. Roku developer repositories moved from GitHub to GitLab
- 原文入口：Roku · Developer repositories moved from GitHub to GitLab
- HN 讨论：50222622
- 提交者：cxr（提交于 2026-10-25 00:06）
- 快照热度：243 points | 160 comments
- 原文日期：2026-10-15（页面署名 jduval 与日期）
- 中文要点：Roku 把开发者资源整体从 GitHub 搬到 GitLab，包括开发者文档、示例应用和 RSG 2.0 SDK 的工具链仓库。
仓库名不变，地址从 github.com/rokudev/ 换成 gitlab.com/rokudev/。
官方列的清单里有几项容易漏：书签、git remote set-url、.gitmodules 里的地址加 submodule sync，以及任何从 git 地址装依赖的 CI。
最容易被忽略的是给 AI 的那条：如果内部知识库或检索管线索引了这些仓库，raw 文件地址也变了，得重新爬。
索引过期不会报错，只会安静地给出旧内容。
提意见的方式也变了：GitLab 上不支持文档页的「Suggest edits」，要申请 dev-doc 仓库权限，fork 后提 merge request。
讨论焦点：160 条里最多的是吐槽，比如仓库的 readme 还写着「欢迎来到我们的 GitHub 仓库」。
第二个维度在追问原因，有人引朋友的话说 GitHub 变成一团乱麻，另有人追问两次也没等到具体理由。
第三类是对平台本身的不满，有人说希望大家都搬走，理由是微软接手的东西不可靠，还举了 GitHub Desktop 在 macOS 上硬装辅助进程的例子。
7. Small Programs and Languages
- 原文入口：ratfactor · Small Programs and Languages
- HN 讨论：50225674
- 提交者：andsoitis（提交于 2026-10-25 05:44）
- 快照热度：18 points | 0 comments
- 原文日期：2026-07-28（页面标注的发布时间，页面内容自 2025-06-02 写起）
- 中文要点：作者解释小型程序与小型语言为什么吸引人，第一条理由是可读：200 行的东西他会读完，2000 行、20000 行的东西他大概率跳过。
他举了两个例子。Luke Jackson 的 DOM diffing 库 ijk 只有 25 行源码；Philippe Brochard 用 46 字节写了一个 Forth，他在文中把 hexdump 原样贴了出来。
他的判断是：小到能一眼看完的东西，人才敢动手弄懂它，46 字节的机器码也是同一回事。
- 讨论焦点：快照时还没有评论，社区反应还看不出来。
8. SpeedCrunch 1.1
- 原文入口：SpeedCrunch
- HN 讨论：50224210
- 提交者：LordNibbler（提交于 2026-10-25 03:19）
- 快照热度：59 points | 8 comments
- 原文日期：2026-10-20（GitHub 上 v1.1.0 的发布时间）
- 中文要点：SpeedCrunch 是 Windows、macOS 与 Linux 上的开源科学计算器，支持到 50 位精度和复数，140 多个函数，另有单位、常量、向量与矩阵。
1.1 版新增 root(n; x) 求任意次根，含负数与带单位的值；修好了用户自定义函数里的阶乘；Ctrl+Space 能按名称或单位搜常量。
修掉的错误里有几处很具体：μ 子、质子、中子的能量当量单位写错了；J/m² 与 J/m³ 的显示不对；长表达式换行时输入运算符会崩。
讨论焦点：8 条主要是老用户在报使用史，有人说用了多年，起因是缺一个 Win2000 计算器。
另一类在比较，有人提到自己已经换到 numbat，并把更新日志贴了出来。
还有人注意到维护者回复的措辞明显出自 AI，但内容到位、需求被接受，他表示不介意。
9. Full Disk Encryption on Fedora with TPM2
- 原文入口：apalrd's adventures · Full Disk Encryption on Fedora w/ TPM2
- HN 讨论：50194602
- 提交者：speckx（提交于 2026-10-22 20:46）
- 快照热度：23 points | 30 comments
- 原文日期：2026-10-22（页面元数据，-03:00 时区）
- 中文要点：这篇是给小型企业环境写的操作记录，目标是机器开机自动解开 LUKS2 加密盘，日常不用敲口令。
流程是先在磁盘上建 LUKS2 卷，再用 systemd-cryptenroll 把一把新密钥绑进 TPM，绑定用 PCR 7，可以再加一个 PIN。
文中给了每一句命令，包括 luksFormat、luksDump、open、mkfs，以及用 recovery-key 生成一次性恢复码的办法。
开机自解要靠 /etc/crypttab 里的 tpm2-device=auto，并让 dracut 重新生成 initramfs 时把 tpm2-tss 打进去。
讨论焦点：30 条里第一条就是同行比较，另一位博主贴出自己更早写的同类文章，说这篇是更差的版本。
第二个维度是安全边界，有人说这套方案仍然挡不住 evil maid 攻击，正确做法是在输入 PIN 之前先做系统完整性证明。
第三类是体验之争，有人感叹 Linux 的全盘加密比 Windows 与 macOS 落后二十年，Windows 上这是一次点击的事；也有人主张在意隐私就别把密钥交给 TPM。
10. The St. Helena 5 pence coin shows Jonathan, a roughly 190 year old tortoise
- 原文入口：Numista · 5 Pence - Elizabeth II (3rd portrait; small type)
- HN 讨论：50222927
- 提交者：schleck8（提交于 2026-10-25 00:41）
- 快照热度：85 points | 25 comments
- 原文日期：日期未确认（目录页不标发布日期）
- 中文要点：圣赫勒拿与阿森松的 5 便士硬币，背面是一只巨龟，币面写着 JONATHAN THE GIANT TORTOISE 5 与 FIVE PENCE，背面雕刻是 Robert Elderton。
这一版是白铜，重 3.25 克、直径 18 毫米，正面是伊丽莎白二世的第三版肖像，由兰特里森特的皇家铸币厂铸造；2015 年之后的版本改成镀镍钢。
硬币上的乔纳森大约 1832 年孵化，1882 年从塞舌尔被带到圣赫勒拿，住在总督官邸 Plantation House 的院子里，已经经历过 31 位总督的任期。
2022 年 11 月，时任总督 Nigel Phillips 给它定下官方生日：12 月 4 日（Wikipedia · Jonathan (tortoise)）。
讨论焦点：25 条里最快的一条是玩笑，说应该选它当总统。
第二个维度是它的同类，有人贴出 2023 年 7 月两只陆龟 David 与 Fredrik 打架的记录：Fredrik 被掀翻，最后是来访的兽医 Joe Hollins 把它翻了回来。
第三个维度是地理，有人问这是不是拿破仑被流放的地方，也有人说去一趟圣赫勒拿与特里斯坦-达库尼亚是毕生愿望。
11. I Built a Stereo Vision Board for Hardware Hackers
- 原文入口：Rootkit Labs · I Built a Stereo Vision Board for Hardware Hackers
- HN 讨论：50172432
- 提交者：machinehum（提交于 2026-10-21 04:45）
- 快照热度：15 points | 0 comments
- 原文日期：2026-10-06（文章路径与页面标注）
- 中文要点：作者用瑞芯微的 RV1103 做了一块便宜的双目视觉板：单核 1.1 GHz Cortex-A7，64 MB DDR2，带 MIPI CSI-2，封装是 QFN-88。
四层板一次就基本做对了，错的地方都很具体：SoC 订错了型号；镜头座的孔钻成 1.8 毫米，本来要 2.2 毫米；1k 电阻太小，LED 亮不起来；0.9 V 的走线太细。
系统用 Buildroot 拼出来，启动链是 BootROM、TPL、SPL、U-Boot、Linux；调通之后用 USB-C 当网口，直接 SSH 进去。
他设想的用法是给 Arduino 之类做避障和导航，板子算完通过串口把数据发出去。
- 讨论焦点：快照时还没有评论，社区反应还看不出来。
12. FreeDNS
- 原文入口：FreeDNS
- HN 讨论：50222133
- 提交者：esher（提交于 2026-10-24 23:20）
- 快照热度：240 points | 61 comments
- 原文日期：日期未确认（页面只标版权年份 2001—2026）
- 中文要点：一个免费 DNS 托管站，做动态 DNS、静态 DNS、子域托管和反向 IPv6。
页面上的实时数字：716 万名会员、1,383 万条记录、127 万个 zone，共享域名注册表里有 23,229 个域名可以直接挂。
动态更新只要一条 curl，把带 token 的地址请求一次，A 记录与 AAAA 记录就换成新地址。
站点跑在 FreeBSD 上，署名 Joshua Anderson，页脚实时显示当前每秒 2,277 次查询（5 分钟均值）。付费版 5 美元一月，多 50 个子域，支持通配符。
讨论焦点：61 条以老用户为主，有人说用了快二十年、几乎没变过，有人自称白嫖了十五年还愿意推荐。
第二个维度是用途，有人拿它给自家的 DNS 做备份，理由是比另开一台最便宜的服务器还省钱。
第三个维度是隐忧，有人问得很实：这家被收购、或者维护者不干了，续命怎么算。
13. The Importance of Limitations for Creativity and Learning
- 原文入口：ratfactor · The Importance of Limitations for Creativity and Learning
- HN 讨论：50225663
- 提交者：andsoitis（提交于 2026-10-25 05:42）
- 快照热度：11 points | 3 comments
- 原文日期：2023-09-20（页面标注的创建日，2025-10-06 有过更新）
- 中文要点：作者的观察来自家里两个孩子：学校用的在线文档平台里有个彩蛋，孩子们越点越多，最后把浏览器搞崩了，笑了很久。
同一批孩子在学校用过 Scratch，却很少玩得长。作者说 Scratch 做得很好，问题是功能太多，新手不知道该先玩哪一个。
他的类比是画画：给一套好颜料和一张大画布，人会纠结画什么；给一张废纸和一支铅笔，手会自己开始动。
- 讨论焦点：3 条里最完整的一条把同一套逻辑套到体育上：球类运动的规则就是墙，任务是在墙内找赢法，所以棒球规则被人钻空子时反而更好看。
14. I don't understand quantum physics (2018)
- 原文入口：University of Southampton · I don't understand quantum physics
- HN 讨论：50219666
- 提交者：rramadass（提交于 2026-10-24 17:53）
- 快照热度：267 points | 203 comments
- 原文日期：2018（投稿标题标注；页面本身未写发布日期）
- 中文要点：南安普顿大学的 Douglas Ross 写的一篇网页长文，站内分成二十多个章节，每章一个 PDF。
前半段从经典物理讲起：先讲那几个震动世界的实验，再到波粒二象性、物质波、粒子与场、海森堡不确定性、波函数与隧穿。
后半段进入争议区：量子态与叠加、二态系统、波函数坍缩、几种诠释、两个思想实验、隐变量，最后讨论概率性决定论，以及量子物理是否完备。
文末附术语表、数学公式与参考文献，可以按顺序读，也可以直接跳到某一章。
讨论焦点：203 条里最实用的一条是有人把作者和院系主页贴了出来，替大家确认身份。
第二个维度是老问题，有人重问 EPR 悖论：被坍缩的那个值能不能本来就是预先确定的，跟超光速无关。
第三个维度是「要不要靠图像理解」，有人说自己是靠因果集与代数量子场论才勉强想通的；也有人引 Alain Aspect 的说法，直觉可以帮忙出想法，但必须用计算去核对。
15. Argus – a free, open-source agentic security operations platform – MIT
- 原文入口：Thomas Unise · Argus
- HN 讨论：50225748
- 提交者：humxn（提交于 2026-10-25 05:54）
- 快照热度：22 points | 7 comments
- 原文日期：日期未确认（页面未标发布日期）
- 中文要点：Argus 是一个自托管的安全运营平台，MIT 许可，盯着云账号、登录、代码与设备，声称能在秒级发现并处置机器速度的攻击。
它的做法是让智能体做初筛和取证，动作要走一条带审批、预演、自动回滚与急停开关的执行通道。
页面给了个演示时间线：凌晨 2:14 攻击者拿代码里翻到的 LLM API key 发起调用，那把 key 是故意埋的诱饵，一秒后被拦在 Cloudflare 防火墙上。
它附了 SOC 2、NIST 800-171 与 ISO 27001 的控件映射，同时写明自己不是认证产品，上线前应先在只观察模式下调规则。
讨论焦点：7 条里两条问得很具体，一条问能不能接开放权重模型，一条问接 Opus API 跑起来要多少钱。
另两条是预期落差：有人以为是 MIT 研究团队多年做出来的东西，点开发现像个人用智能体刚写的项目；有人干脆问 MIT 是不是指许可证。
16. Neural chip decodes interactions between brain regions
- 原文入口：EPFL · Neural chip decodes interactions between brain regions
- HN 讨论：50222525
- 提交者：giuliomagnifico（提交于 2026-10-24 23:57）
- 快照热度：84 points | 29 comments
- 原文日期：2026-10-23（页面元数据）
- 中文要点：洛桑联邦理工学院的团队做了一颗可植入的神经芯片 LogSync，重点是看不同脑区之间的通信，而不只是单个脑区的信号。
它提取两类生物标志：振荡的强弱，以及不同脑区信号之间的同步程度；再由一个机器学习模型判断当前的认知或情绪状态，命中时触发刺激。
现有的深部脑刺激多为开环，按预设参数放电；闭环系统也常只用一个脑区的记录，而精神类疾病的信号往往分布在多个脑区之间。
论文发表在 IEEE Journal of Solid-State Circuits，经费来自美国 NIMH 的 660 万瑞士法郎项目。
验证用的是此前精神科实验留下的人脑记录，另在明尼苏达大学的动物实验里做了闭环刺激。
讨论焦点：29 条里最认真的一条在问「认知状态」有没有一份可对照的清单，他想把日常观察到的状态切换对上术语。
第二个维度是论文数据，有人引了摘要里的数字：两项任务上的敏感度是 80.9% 与 74.8%，特异度 74.2% 与 73.1%，另外还在公开数据集 DEAP 上测过。
第三类是联想，有人说这迟早会进 cookie 横幅，有人直接贴了一篇 1995 年的科幻短篇当作终局。
17. Node2Shell evolves to HTTP2Shell, blast radius affects many HTTP libs and apps
- 原文入口：Aikido · Node2Shell evolves to HTTP2Shell
- HN 讨论：50219177
- 提交者：theanonymousone（提交于 2026-10-24 16:06）
- 快照热度：270 points | 136 comments
- 原文日期：2026-10-23（页面标注，10-24 有更新）
- 中文要点：CVE-2026-111497 是 Google Brotli 解码器里的越界写，影响 1.0.3 到 1.2.0，CVSS v4.0 评分 9.2；同一个缺陷就是几天前公布的 Node2Shell。
时间线是这样的：10 月 21 日 Node.js 先披露，22 日 Python 确认受影响，23 日发现更多用 HTTP 的语言与服务同样中招，补丁还没出全。
触发条件很宽：只要程序会解码攻击者发来的 Brotli 数据，就可能被读到内存、被搞崩，或被控制执行流。两个方向都成立，恶意客户端能打服务端，恶意服务端也能打客户端。
OpenAI 说他们 2 月就发现了这个漏洞，当时修了源码，但没人意识到那是一个安全问题，所以一直没发版本。
补丁清单：libbrotli 升到 1.2.1（旧分支 1.0.10、1.1.1），Node.js 升到 22.23.4、24.22.1 或 26.12.1，Python 用 Brotli 1.2.1 与 brotlicffi 1.2.1.0，Bun 升到 1.4.4，Envoy 与 Istio 各有对应版本。
Apache 的 mod_brotli 与 nginx 默认不解码 Brotli，这两个可以暂缓。
另一个坑在工具链：10 月 23 日时漏洞库还没把这个 CVE 对应到 PyPI 包上，pip-audit、Dependabot 与 Safety 都还不会报警。
讨论焦点：136 条里最大的情绪是这周太密，有人说「谁把难度调到 hard 模式了」。
第二个维度是命名，好几个人在骂 HTTP2Shell 这个名字，说它跟 HTTP 本身没关系，Brotli2Shell 才准确。
第三类扯到语言，有人主张处理公网流量的库不该再用 C 写，Brotli 这种天天解公网数据的东西早该用 Rust 重写。
18. Making a VGA Driver in SystemVerilog
- 原文入口：Lukas Werner · Making a VGA Driver in SystemVerilog
- HN 讨论：50168376
- 提交者：derHackerman（提交于 2026-10-21 00:00）
- 快照热度：42 points | 9 comments
- 原文日期：2026-10-20（文章路径）
- 中文要点：作者把大学数字逻辑课的最后几个实验写成了教程：用 SystemVerilog 在 FPGA 上做 VGA 输出，640×480，60 Hz。
VGA 的时序来自 CRT：屏幕上的画面是一束电子束逐行扫出来的，所以要用 HSync 与 VSync 告诉显示器何时开始一行、何时开始一帧。
计数器的算法很具体：水平方向是 640 个可见像素加前后沿共 160，一行总共 800；垂直方向 480 加 45，一帧共 525 行。
课上的板子是 terasIC 的 DE10-lite，最后的任务是把图存进 ROM，再用行列计数当偏移量取出来显示。
讨论焦点：9 条里最完整的一条讲自己当年做的是棋盘：不许用 framebuffer，只能用逻辑电路画出棋盘、棋子位图，还要能移动。
第二类是怀念，有人说现在连电视都不再给 VGA 甚至 DVI 口，2012 年那台好点的显示器还能用串口控制。
第三类是提问，有人想看典型显卡的字符模式怎么做的，多套字体、硬件光标那些。
19. No signs of AI payoff outside the tech sector
- 原文入口：Apollo · Daily Spark: No Signs of AI Payoff Outside the Tech Sector
- HN 讨论：50224463
- 提交者：the-mitr（提交于 2026-10-25 03:47）
- 快照热度：442 points | 431 comments
- 原文日期：2026-10-24（页面标注，署名 Torsten Slok）
- 中文要点：阿波罗首席经济学家 Torsten Slok 的短文，用三组对比说一件事：AI 到目前为止只改变了科技七巨头。
七巨头的员工人均收入在涨，标普 493 家的持平；利润率同样如此；劳动生产率上还看不到 AI 的痕迹。
他的推论落在预算表上：既然利润表没有反应，主流企业开始把 token 支出当成成本项，而不是增长来源。
真正在加码的是风投支持的公司，它们追最新的模型；主流企业既不追，也不愿意付那份钱。
他的判断是这场故事会在标普 493 身上见分晓，而目前为止，这些公司的收入增速与利润率都没有改善。
讨论焦点：431 条里被顶起来的第一类是比较基准，有人说这套逻辑可以套到 AI 之前：过去十五年制造业、基础科学、教育也没从科技繁荣里分到钱。
第二个维度是时间，有人说会写代码的智能体真正能用才三个月，等两年再看。
第三个维度是一句 1987 年的老话，有人直接引「你能在生产率统计之外到处看到计算机时代」，把这个争论拉回四十年前。
20. Google has officially turned these Nest thermostats back into dumb thermostats
- 原文入口：MakeUseOf · Google has officially turned these Nest thermostats back into dumb thermostats
- HN 讨论：50226434
- 提交者：gnabgib（提交于 2026-10-25 07:14）
- 快照热度：11 points | 0 comments
- 原文日期：2026-10-18（页面元数据）
- 中文要点：2025 年 10 月，Google 结束了对三代 Nest 学习型恒温器的支持：2011 年的初代、2012 年的二代，以及 2014 年的欧洲版二代。
按 Google 的支持文档，这些机器失去了在应用里看状态、远程控制、收通知与改设置的能力，第三方助手和 Nest Protect 的联动也一起断了。
面板上还能调温度、改模式、设本地日程，也就是说它们变成了只能手动操作的恒温器。
Google 事先通知过，也给过换新的折扣；三代、E 型、新款 Nest 与第四代不受影响。
一个叫 No Longer Evil 的开源项目由 Cody Kociemba 维护，刷入固件后可以用它的网页面板，也可以自托管，还提供 Home Assistant 插件。
- 讨论焦点：快照时还没有评论，社区反应还看不出来。
This story was produced automatically by a channel. One sentence is all it takes for Neodrop to keep producing for you.