eMudhra 的 CA 私钥就是 4、56 和 115，PHP 修掉两个未认证即远程执行的洞，与 EA 关掉 BioWare——Hacker News Top 20（2026 年 10 月 22 日）
汇总北京时间 2026 年 10 月 22 日 Hacker News 首页前 20 条，保留英文原标题、原文入口、中文要点与同一快照的讨论热度。
本文汇总北京时间 2026 年 10 月 22 日 08:07 观察到的 Hacker News 首页热门榜单前 20 条。
名次、点数、评论数与提交时间都取自同一次 topstories 快照，不随后续投票变化。
名次按 topstories 的返回顺序，和分数排序并不一致。
第 9 条 17 分，排在第 10 条 317 分之前；第 16 条 3 分，排在第 17 条 221 分之前。
第 15 条 62 分在第 18 条 488 分之前；第 6 条 129 分在第 7 条 824 分之前。
20 条里有 8 条提交于 10 月 22 日，分别是第 1、3、5、9、10、11、16、18 条。
7 条在 10 月 21 日，是第 2、4、7、12、14、17、19 条。
3 条在 10 月 20 日（第 6、8、13 条），2 条在 10 月 19 日（第 15、20 条）。
分数最高的是第 7 条讲 eMudhra 私钥的文章，824 分、393 条评论。
后面是第 2 条 PHP 安全发布的 647 分、321 条评论，以及第 18 条 BioWare 关闭的 488 分、291 条评论。
第 11 条 Claude Duet 247 条评论、第 10 条 Meta 罚单 194 条，排在后面。
快照时还没有评论的是第 16 条；第 9 条只有 1 条评论。这两条按短条目处理。
按题材分，安全 8 条（第 1、2、3、4、7、9、12、16 条），这是今天最大的一簇。
工具与数据 3 条（第 5、14、15 条），产品与模型 2 条（第 11、17 条）。
系统与计算机史 3 条（第 6、8、20 条），公司与监管 3 条（第 10、18、19 条），科学 1 条（第 13 条）。
今天有一条线把好几件事串起来：信任链上的每一环都在同一周里被人从下面看了看。
第 7 条里，签发证书的中间 CA 私钥只有一字节；第 2 条里，PHP 的修复卡了几个月才发出来。
第 3 条是 GitLab 用 CVSS 10.0 的补丁赶第二批；第 12 条讲的就是这两件事背后的协调机制。
再往外一层：第 1 条是托管平台自己的环境变量被读走，第 4 条是 PyPI 上的包被塞进窃取器。
这两条说的都是同一件事——你的秘密放在别人那儿，安全等级取决于对方。
与频道历史的关系有三处。
第 7 条接 10 月 21 日那期：那期讲的是八张中间 CA 私钥被用签名证明泄露，这一期 Scott Helme 给出了原因，私钥本身就是 4、56、115 这样的单字节数字。
第 14 条接 8 月 18 日那期收录的 DuckDB 2.0 预览，以及 10 月 8 日那期提到的性能分析；预览变成了正式发布。
第 13、19 条是旧文回榜，一篇发布于 3 月 6 日、一篇发布于 3 月 12 日，今天被重新推上首页，正文按原始发布时间写。
1. Railway Security Disclosure
- 原文入口：Railway · Security Disclosure: Wednesday October 21st
- HN 讨论：50188228
- 提交者：passenger（提交于 2026-10-22 05:58）
- 快照热度：244 points | 108 comments
- 原文日期：2026-10-21（页面元数据，UTC 20:44，即北京时间 10-22 04:44）
- 中文要点：今天凌晨，Railway 发现存放客户环境变量的系统出现异常活动。
目前的调查结论是：未授权的第三方可能访问了加密的环境变量，其中一部分已被解出明文。
环境变量里常见 API key、数据库凭证与私有镜像仓库凭据。
Railway 认为这是一系列针对平台公司、目标是攻破 AI 推理服务商的攻击的一部分，已经通知上游厂商主动吊销所有密钥。
官方建议所有用户立刻轮换存放在 Railway 的环境变量与私有仓库凭据，并检查这些服务的日志。
调查期间全部部署暂停，恢复前无法上线新版本；确认受影响账户后会单独发邮件。
讨论焦点：108 条里，第一条在猜存储方式，他原以为密钥放在 vault 里、由 sidecar 注入。
紧接着有人说，Railway 的 Discord 里已有多名用户确认，自己存在 Railway 的密钥被第三方用过。
还有人贴出一条更早的相关提交，把这次事件接进同一轮攻击里。
2. Today's PHP security release, and how we're strengthening security
- 原文入口：The PHP Foundation · Today's PHP security release, and how we're strengthening security
- HN 讨论：50182987
- 提交者：ejohnso49（提交于 2026-10-21 23:48）
- 快照热度：647 points | 321 comments
- 原文日期：2026-10-21（页面署名）
- 中文要点：PHP 项目发布 8.5.12、8.4.27、8.3.36 与 8.2.35，修掉两个未认证即可远程执行代码的漏洞。
CVE-2026-109618 走的是内存不足：请求恰好在内存上限那一刻触发 OOM，PHP 会把初始化到一半的内部数据当成有效数据继续用，造成内存破坏。
在 Apache 加 mod_php 的环境里，未认证请求在应用代码跑起来之前就能触发，默认配置下已演示完整的远程执行。
CVE-2026-109619 走的是错误处理：致命错误出现在错误的时点，内部状态继续指向上一个请求的内存，同一 worker 处理的下一个请求就会用到已释放的内存。
两个洞都在内存管理与错误处理里，几乎所有请求都会经过这两处。
修复的难点在取舍：要么破坏向后兼容，要么引入新的拒绝服务风险，要么要求大批第三方扩展跟着改。
安全团队按共识运作，长期选不出方案，修复就这样反复停摆。
这条线索可以追到 2024 年那次外部审计：Sovereign Tech Agency 出资、OSTIF 组织、Quarkslab 执行。
在那次审计里修一个问题时，一位受基金会雇用的核心开发者第一次看到 OOM 问题的迹象；当时理论上有利用可能，没人找到具体路径。
2026 年 8 月 11 日，Calif 的 Ryan A 报出同一根因的无条件远程执行；OpenAI 在同一天独立报出同一根因。
Wiz 在 8 月 24 日、OpenAI 在 9 月 18 日又补上了新的攻击路径，从 8 月 11 日起这件事成了全团队的第一优先级。
披露过程也不顺。10 月 20 日 15:00 UTC，两个 CVE 编号开始在论坛与社媒流传，还带着错的发布时间与错的 10.0 分，真实分数是 9.2。
项目于是把预告提前到 19:30 UTC 发出，并把发布日期从 10 月 22 日 14:00 UTC 挪到 10 月 21 日的同一时刻。
挪一天是为了等分发商把包装好，让人在漏洞公开时有一条简单的升级路径。
约 20:00 UTC，参与报告的安全公司 Calif 误发了一段验证视频，画面里是它在多个目标上跑通的概念验证，删掉的视频随后在网上流传。
10 月 21 日 07:41 UTC，Chainguard 在协调发布前六个多小时单方面发布了含修复的镜像，其他人还在等。
基金会也点出了人手上的问题：自 7 月 1 日以来发了 15 个 CVE，还处理了 100 多份无效、重复或无法复现的报告。
讨论焦点：321 条里被顶得最高的一条把它读成一次结构性失败——2024 年就发现的问题一直没修，发布前又有好几方泄了密。
加州那家公司误发的视频最让人意外，有人直接引了原文那段来吐槽。
3. GitLab Critical Patch Release
- 原文入口：GitLab Docs · GitLab Critical Patch Release: 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10, 18.11.13
- HN 讨论：50185869
- 提交者：artooro（提交于 2026-10-22 03:01）
- 快照热度：223 points | 52 comments
- 原文日期：2026-10-21（页面正文写明）
- 中文要点：GitLab 在 10 月 21 日发了七个版本的补丁，自建实例被要求立刻升级。
GitLab.com 已经跑在打好补丁的版本上；Dedicated 租户里 19.3.5-internal0 与 19.4.2-internal0 及之后的版本已包含修复。
这批里最重的是 CVE-2026-110264：正则表达式编译器的整数溢出，未认证用户可以借此在服务器上执行任意代码，CVSS 10.0。
影响范围从 7.0 起，修复被回移植到 18.11.13、19.0.10、19.1.9、19.2.9 四条旧线。
同批还有 11 个 CVE，评分从 8.2 排到 2.7。
其中几条值得留意：OmniAuth 到 LDAP 自动关联邮箱查找处的认证缺陷、OAuth/OIDC 发现端点的缓存投毒、GraphQL 工单邮箱字段的权限控制问题。
GitLab 另放了两条针对 110264 的威胁检测规则，供自建实例排查是否被打过。
安全问题的技术细节照旧在补丁发布 90 天后公开；日常补丁每月两次，第二个与第四个周三。
讨论焦点：52 条，第一条提醒别被标题带跑，CVSS 10.0 这个数字本身说明不了多少。
第二条给的是运维用得上的东西：gitlab-rake gitlab:env:info 能直接报出每个节点的准确版本，比从 omnibus 包名猜快。
也有人只留了一句：这一周在安全上真是丰收。
4. Compromised LiteLLM 1.107.0 on PyPI Installs a Credential Stealer and Backdoor
- 原文入口：SafeDep · Compromised LiteLLM 1.107.0 on PyPI Installs a Credential Stealer and Backdoor
- HN 讨论：50181114
- 提交者：abhisek（提交于 2026-10-21 22:00）
- 快照热度：417 points | 130 comments
- 原文日期：2026-10-21（页面元数据）
- 中文要点：SafeDep 的复原：PyPI 上 litellm 1.107.0 的七个 wheel 都被植入三个文件，装进 site-packages。
任何 Python 进程启动都会加载它们，连从不 import litellm 的程序也中招；上游的 GitHub 源码里没有这三份文件，包已被 PyPI 撤下。
cook.pth 里只有一行 import cook，cook.py 用 zlib 加 base64 包着约 61 KB 的窃取器。
它收集的东西列了 16 类：SSH 密钥、AWS 与 GCP、Azure 凭据、kubeconfig、Docker 配置、GitLab runner 的 config.toml、Jenkins 的两把主密钥、浏览器保存的密码与历史。
还有 Claude Code、Cursor、Copilot、Codex 等 AI 工具的登录态，以及 LiteLLM 代理库里存的各家模型 API key。
数据用随机 AES-256 加密，密钥用内嵌的 RSA-4096 公钥加封，打包后发到 www.litellm[.]dev/healthcheck。
sitecustomize.py 负责后门：它脱离终端起一个守护进程，每小时从攻击者的 GitHub 仓库读一个域名，重跑一遍窃取器，再下载并执行该域名下的 codepy。
注入点只有一行 data = "cook"，加在 pyproject.toml 的 maturin 构建配置里；sdist 里没有 cook 目录，所以这行是唯一可见的改动。
打包记录也露了馅：所谓 v1.107.0 的源码其实对应 08:50 UTC 的 main 提交 a8113b0，加五个改动文件和一个 cook 目录，标签指向的 66c8f5b 里版本号写的是 1.108.0。
时间线：06:59 打标签，11:20 到 11:37 分别构建 macOS、Linux、Windows 的原生 wheel，11:39 上传八个文件，11:50 由 bot 发出 GitHub release，13:40 包已消失、账号 letters9813 已删。
1.106.2、1.107.0rc1 与 rc2 是干净的，同步钉住的 litellm-proxy-extras 0.4.110 与 litellm-enterprise 0.1.78 也是干净的。
讨论焦点：130 条，有人把这一周的安全事件排成一列，从 Google Cloud 故障数到 PHP，然后说 LiteLLM 这是第二轮。
最集中的一句是：一次可以原谅，两次就是失职。
也有人把矛头指向依赖策略：像 Google ADK 这样的项目把这东西写进依赖，用户没有选择权。
5. Google's Rust Style Guide
- 原文入口：Google · Google's Rust Style Guide
- HN 讨论：50186010
- 提交者：kaycebasques（提交于 2026-10-22 03:11）
- 快照热度：167 points | 105 comments
- 原文日期：日期未确认（风格指南是长期维护的文档，页面不标发布日期）
- 中文要点：这是 Google 内部写 Rust 的风格指南，适用范围包括 google3、Android、ChromeOS、Fuchsia 与 Chrome。
这里的 style 指的不只是排版，还包括 API 与实现上的设计；目的是让跨代码库的 Rust 写法一致，顺带定住一个质量水位。
它给自己列了三条目标：可读性与可维护性优先于写得快；偏好更容易自动化的规则，因为 Google 常做大范围改动；尽量与 Rust 生态的既有习惯一致。
排版大部分交给 rustfmt，个别选项可以按代码库取舍；#[rustfmt::skip] 只允许在 rustfmt 处理不好的地方用。
具体规则里能看到取舍：API 里能用枚举就别用 bool；能用所有权与借用就别上 Rc 与 Arc；优先返回迭代器；Chromium 里优先拆小 crate；能用序列就别起线程。
类型优先用具名字段，把元组放在后面；能实现 PartialEq 就别急着实现 Eq；能用语言设施就别写宏，宏会让代码库长出方言。
讨论焦点：105 条，第一种反应很当下：如今看风格指南的理由，是把它喂给模型，让模型照着写。
也有人挑出自己会留下的一条：枚举替 bool 这条，救过他一次写反的标志位。
还有人顺着 Chromium 那些条目问，现在还有谁在写新的 C 与 C++。
6. No More Icons in Every Menu by Default
- 原文入口：Jim Nielsen · No More Icons in Every Menu by Default
- HN 讨论：50161346
- 提交者：riffraff（提交于 2026-10-20 12:27）
- 快照热度：129 points | 92 comments
- 原文日期：2026-10-19（页面时间戳，UTC 19:00，即北京时间 10-20 03:00）
- 中文要点：作者 Jim Nielsen 之前抱怨过 macOS Tahoe 给每个菜单项默认加图标的做法，这一版 macOS 27 Golden Gate 把它撤了。
John Gruber 六月写过这次回退，还提到 Apple 新的 HIG 直接把 Tahoe 的菜单做法写成了 macOS 上不该学的例子。
他的论证也跟着换了方向：原来靠的是「Apple 不这么做」，现在是「Apple 试过，自己又退回去了」。
设计出来、上线、用了一年、再公开改口，这比从未尝试过更有说服力；他自己补了一句，做过之后选择不做，那叫经验。
讨论焦点：92 条，第一条嫌作者太宽容，认为结论该写得更硬。
也有人拿 KDE 做对照，希望那边照这个方向改；还有人开玩笑说，读完文章再点右上角的汉堡菜单，就知道该学什么。
7. Eight Bits of Trust: eMudhra's CA keys cracked in milliseconds
- 原文入口：Scott Helme · Eight Bits of Trust: eMudhra's CA keys cracked in milliseconds
- HN 讨论：50177916
- 提交者：hkc（提交于 2026-10-21 17:08）
- 快照热度：824 points | 393 comments
- 原文日期：2026-10-20（页面元数据）
- 中文要点：八张 eMudhra 中间 CA 的私钥，就是 4、56、115、155、156、230、66、237 这些单字节数字。
作者在自己笔记本上从公开证书里把这八个私钥全恢复了出来，用时不到一秒。
这些是 P-384 曲线上的密钥：私钥是一个数 d，公钥是 d 乘曲线上的固定点 G；正向算容易，反向只能穷举，而 d 的范围只有 256 个数。
八张证书里，六张是 TLS 签发 CA（DV、OV、EV 各两代），两张是代码签名 CA；全部在 2025 年 4 月创建，2025 年 5 月又被 Sectigo 的 AAA Certificate Services 根交叉签名。
这些证书看不出问题：d=4 推出的点是曲线上的合法点，编码正常，曲线正常，所有结构检查都过，唯一的发现方式就是去试。
事件线：10 月 17 日周六，研究者把八把私钥已泄露的事实报给 Apple、Google、微软、Mozilla 与 eMudhra。
Chrome 当晚推送 CRLSet 屏蔽，Mozilla 几小时后用 OneCRL 屏蔽；10 月 20 日 Mozilla 公开并发布移除 eMudhra 根的 NSS 更新，Chrome 确认根证书进入 Chrome Root Store v43。
麻烦在于收不回来。没有人偷过这把钥匙，它从证书存在那天起就等于公开，17 个月里任何人都能在一台普通电脑上花几毫秒解出来，解没解过无从查证。
Chrome 的说法是：因为强制 CT，而 CT 里从未出现过链到这些 CA 的 TLS 证书，所以浏览器侧没有伪造证书被默认信任。
作者接了半句：CT 管发现错发，管不了阻止，大量软件根本不查 CT。
他的实测比论证更硬：用本地服务器给 api.stripe.com 签一张证书，curl 报 SSL certificate verify ok，Python 握手通过，Node 给 authorized: true。
Linux 与 macOS 上都是这个结果；Windows 的 CryptoAPI 在不做吊销检查时也接受这条链。
受影响清单他列得很具体：curl 加 sh 的安装器与自更新程序、CI/CD 流水线、服务端之间的 API 调用、信任库冻结到 2039 年的 IoT 与工控设备。
还有 Windows 的代码签名——它属于同一类问题，系统直接信任 eMudhra 的代码签名根，用这批密钥签出来的恶意软件，在不查吊销的机器上看着就是正规发布者的软件。
讨论焦点：393 条，第一条贴的是 Mozilla Bugzilla 上的那份 bug。
有人贴出可以自己测的页面；也有人把问题抛回给浏览器：与其让大家升级一整套信任库，不如把吊销做成能用的机制。
争论最集中的一处是这算恶意还是无能：有人反问，门开成这样，更像是给欺诈留的一条通道。
8. Why Windows 11 still ships with Windows 95's memory manager hidden inside it
- 原文入口：Windows Latest · Why Windows 11 still ships with Windows 95's memory manager hidden inside it
- HN 讨论：50159726
- 提交者：khalidkhair（提交于 2026-10-20 08:14）
- 快照热度：120 points | 84 comments
- 原文日期：2026-10-19（页面元数据）
- 中文要点：Windows 11 26H2 里还带着 Windows 95 内核的一块东西：一个叫 EmulateHeap 的兼容性修复。
老程序依赖 Windows 95 那套宽容的内存管理时，系统就给它换上那个年代的堆管理器。
故事从 SimCity 开始。Windows 3.x 版 SimCity 有一处 use-after-free：释放过的内存还会被读。
写那版的 Jon Ross 承认，这个 bug 是他无意留下的；在 Windows 3.x 上它不发作，因为释放的内存从不真的归还。
到了 Windows 95 beta，游戏崩了。微软等不及游戏公司出补丁，就在系统里加了一段代码：发现 SimCity 在跑，就把内存分配器切到不立刻释放的模式。
后来更多老程序依赖同类行为，微软工程师 Raymond Chen 在 2010 年的专栏里解释过这些程序读了释放后的内存、还指望旧值还在。
解决办法就是 EmulateHeap，一路带到了今天。
讨论焦点：84 条，有人说想跑 16 位程序，才意识到这层兼容一直在。
也有人从工程角度问：当年为什么没有一种调试模式，把每次内存访问都对照分配表核一遍，那样这个 bug 在 1994 年就该被抓出来。
9. There isn't an easy exploit for this PHP vulnerability
- 原文入口：Elias Taylor · There isn't an easy exploit for this PHP vulnerability
- HN 讨论：50188948
- 提交者：zkldi（提交于 2026-10-22 07:13）
- 快照热度：17 points | 1 comment
- 原文日期：2026-10-21（页面署名）
- 中文要点：作者 Elias Taylor 的判断：这个 PHP 漏洞确实严重，但离 Log4Shell、Heartbleed、RoR YAML 反序列化那类程度还差得远。
他举的例子都很具体：Log4Shell 是把一个字符串塞进 User-Agent，Heartbleed 是发一个大得离谱的 Content-Length；那几次新闻一出来，当天就有僵尸网络在扫。
他的证据可以自己复现：GitHub 上现在有上千份「PoC」，没有一份打得动一个原版 PHP 实例。
起一台 Docker、亲手跑一遍脚本，就能看见它们停在第一步；他怀疑不少人被模型带偏了，模型会告诉他们利用写好了，实际并没有。
讨论焦点：快照时只有 1 条评论，内容与主题无关，社区反应还看不出来。
10. Meta ordered to pay $25B penalty in New Mexico Cambridge Analytica case
- 原文入口：CNBC · Meta ordered to pay $25B penalty in New Mexico Cambridge Analytica case
- HN 讨论：50184820
- 提交者：cbg0（提交于 2026-10-22 01:45）
- 快照热度：317 points | 194 comments
- 原文日期：2026-10-21（页面元数据）
- 中文要点：新墨西哥州法院周三裁定 Meta 支付 250 亿美元罚款，案由是近十年前的剑桥分析事件。
今年 9 月，圣塔菲的陪审团已认定 Meta 在用户数据如何被收集、如何被保护上误导了州民。
陪审团认定违反该州《不公平营业行为法》超过 4,300 万次，每次最高罚 5,000 美元。
法官 Francis Mathew 的判罚文件里，州方得到的数字是 2,195 亿美元，最终降到 250 亿。
法官列出的从重理由包括：故意违规的数量、行为持续的时间与反复程度、涉及议题之广、Facebook 高层的参与，以及触达的新墨西哥受众规模。
罚款付清前按年息 15% 计息。州总检察长 Raúl Torrez 说，这个命令说明违规会带来实际后果；Meta 首席法务官 C.J. Mahoney 批评了这个数额。
讨论焦点：194 条，第一条要求美国做侵权法改革，说这类天价判决最后会摊进所有人的保险费。
第二条把尺度摆在一起：欧盟罚美国公司几十亿欧元时，美国舆论常有一轮愤怒，这次值得看看。
也有人提醒：原判的数字更高，250 亿更接近 Meta 期待的结果。
11. Claude Duet
- 原文入口：Anthropic · Claude Duet
- HN 讨论：50186037
- 提交者：kuberwastaken（提交于 2026-10-22 03:14）
- 快照热度：289 points | 247 comments
- 原文日期：日期未确认（产品页不标发布日期）
- 中文要点：Anthropic 上了一个常驻智能体产品，叫 Claude Duet，跑在 Opus 5.5 上，Pro 与 Max 套餐可用，目前限美国。
它的形态是一台云端电脑：你在 Claude app 里打字或说话派活，它在自己那台电脑上做，做完或需要你拍板时回来找你。
页面列的能力包括每天早上给一份简报、指出收件箱与日历里需要你处理的事、起草下一步；也能接住一句话任务，比如约一个会、搭一个看板。
记忆、技能与已经连上的 app 从第一条消息起就在，对话全在一个线程里，交付物可以是文档、表格或演示稿。
敏感操作先问你，比如发消息与付款；审批、登录与安全检查都在你自己的云端电脑里跑。
讨论焦点：247 条，有人先担心另一件事：这类产品会从第三方集成里尽量榨出有用的信息，隐私边界在哪里。
也有人承认这类助手很动人，但跨不过信任这一关，反问大家到底拿它做什么活。
第一条评论只贴了官方在 X 上的一条发布帖，这大概是今天最快的一条新闻传播路径。
12. Patch the Planet: global response coordination as agents uncover critical vulnerabilities
- 原文入口：OpenAI · Patch the Planet: global response coordination as agents uncover critical vulnerabilities
- HN 讨论：50181175
- 提交者：nr378（提交于 2026-10-21 22:03）
- 快照热度：226 points | 149 comments
- 原文日期：2026-10-21（页面署名）
- 中文要点：这篇讲的是第 2 条那两个洞背后的协调机制。
过去两个月，OpenAI 拉了一条由维护者、研究者与安全厂商组成的线：Calif 用 GPT-5.6 Sol 在 Patch the Planet 计划里找到其中一个关键缺陷，Wiz 独立发现并报告了两个。
修复与发布由 PHP 维护者主导，OpenAI 一方与 Wiz、Cloudflare 等负责研究、技术支持与发布前的防护准备。
文章把这种协调拆成五步：先确认并修好上游、给受影响机构留出准备时间、与政府协作保护关键系统、在受影响产品上把更新备好、补丁可用后发布指引并跟进部署。
PHP 这次牵涉到的政府方包括白宫的 Super Intelligence Force、国家网络主管办公室（ONCD）与 CISA，以及一些国际伙伴。
配套还有一份给运维用的 Codex skill，用来查 PHP 版本是否中招；另有 10 亿美元规模的 Daybreak 补贴，面向安全资源有限的关键服务提供方。
OpenAI 把这次叫做「防御者窗口」：前沿模型先于攻击者发现了这些洞，维护者才有时间准备。
讨论焦点：149 条，最尖的一条把它读成营销：出了这摊事之后先讲机制，还说「我们放出了这病，又给了疫苗」。
也有人把顺序倒过来问：从开放模型能力到拿到 Daybreak 权限，中间那段空窗谁来填。
13. Tiny possum and glider thought extinct for 6000 years found in remote West Papua
- 原文入口：BBC · Tiny possum and glider thought extinct for 6000 years found in remote West Papua
- HN 讨论：50162044
- 提交者：bryanrasmussen（提交于 2026-10-20 14:20）
- 快照热度：139 points | 25 comments
- 原文日期：2026-03-06（页面元数据；今天重新上榜）
- 中文要点：两种被认为六千年前就消失的哺乳动物，在西巴布亚的雨林里被找到了。
一种是侏儒长指负鼠，约 200 克，身上有条纹，每只手的第四指是其他指头的两倍长，用来抠出蛀木昆虫的幼虫。
另一种是环尾滑翔兽，尾巴能抓握树枝，习性与澳洲的大滑翔兽相近，住在高树洞里。
论文发表在《Records of the Australian Museum》。这类发现有个名字，叫拉撒路物种（lazarus taxon），典出被复活的圣经人物。
作者之一 Tim Flannery 说，找到一种是难得的发现，两种一起找到是罕见的。
研究方法是先把几十年前的化石、罕见照片与旧标本拼起来，再按线索去新几内亚的偏远地点实地找。
讨论焦点：25 条，最集中的一句是希望研究者赶在伐木公司之前，先把这片森林的原住民权利落实下来。
也有人顺着这条说，巴布亚这地方还会冒出更多同类发现。
14. DuckDB 2.0.0 LTS "Cinnamon Teal"
- 原文入口：DuckDB · Announcing DuckDB 2.0.0 LTS "Cinnamon Teal"
- HN 讨论：50181136
- 提交者：nnx（提交于 2026-10-21 22:01）
- 快照热度：354 points | 43 comments
- 原文日期：2026-10-21（页面元数据）
- 中文要点：DuckDB 2.0.0 是长期支持版，代号 Cinnamon Teal（桂红鸭），自 1.5 以来累积接近两万次提交，官方称这是它最大的一次功能发布。
Quack 协议走向实用：5 月在 1.5.3 里引入的客户端-服务端模式这次打磨了性能与稳定性，还加了 CONNECT 语句，一条命令挂上并切到远端库。
CONNECT 也能指向 PostgreSQL 与 MySQL，新加的远端下推优化器把查询直接发到远端，省掉把整张表拉回本地。
异步 I/O 覆盖 Parquet、CSV 与原生存储格式，读请求在后台并发发出，对象存储上的查询提速明显。
VARIANT 从 1.5 的实验特性变成一等类型：行与行之间结构可以不同，但存储是列式的，公共结构会被 shred 出来，Parquet 读写与 variant_* 函数整套打通。
CLI 会检测自己是不是被编码智能体调用，进入 agent mode：输出紧凑的 Markdown 表、截断时明说、错误输出 JSON、跑飞了的查询提前掐掉。
官方在 TPC-H 上测到，agent mode 让模型要读的输出少了 59%；长查询会先报预计成本，智能体可以据此决定要不要等。
支持周期：2.0 至少支持到 2027 年 10 月，1.4 支持到 2026 年 11 月下旬，1.5 延长到 2027 年 3 月，也等于变成 LTS。
讨论焦点：43 条，用的人反馈很具体：核数多的 EC2 上快很多，128 vCPU 之前都能吃到满核，不只是读 S3 快，计算也快。
也有人盯上客户端-服务端这条，说这会替掉一批堆 CPU 与内存的数据栈。
15. Code is clay now
- 原文入口：Alberto Denia · Code is clay now
- HN 讨论：50153531
- 提交者：albertodenia（提交于 2026-10-19 23:19）
- 快照热度：62 points | 31 comments
- 原文日期：2026-09-25（页面署名）
- 中文要点：作者 Alberto Denia 的比喻：2025 年 11 月之前写代码像凿石头，改一次贵；智能体写代码之后，改动成本塌下来，代码变成了黏土。
黏土的做法是先拍出大形状看手感，再从中等结构收到细节；这个顺序在每一层都能用。
一个人可以在一天内把产品核心糊出来，看它能不能成立；一个团队可以花两天把某个功能整个换个方向，验证该不该转。
判断力仍然是瓶颈：改一次几乎免费，判断该不该改仍然很贵；不收细，黏土会糊成一摊。
他给的骨架是品味、上下文、护栏与架构——黏土的铁丝与窑。哪种活该收多细，他说自己也还在摸。
讨论焦点：31 条，第一条是作者自己在解释这个比喻来自几个月前的感受，也承认没有哪个比喻完全贴合。
另一条把话说得更实在：代码一直是软的，真正的资产是跑出来的数据，随时可以重写。
16. mitmproxy adds --emudhra option
- 原文入口：GitHub · mitmproxy: Add
--emudhraoption (#8500) - HN 讨论：50189232
- 提交者：ahlCVA（提交于 2026-10-22 07:51）
- 快照热度：3 points | 没有评论
- 原文日期：2026-10-22（提交时间 2026-10-21 23:36 UTC，即北京时间 10-22 07:36）
- 中文要点：mitmproxy 加了一个命令行开关 --emudhra：打开后，它用泄露的 eMudhra 中间 CA 私钥签 TLS 证书。
具体是那张 d=4 的 EM OV TLS CA - G3C，连同被交叉签名的 emSign Root TLS CA - G3 一起塞进证书链。
用途很直接：拿自己的客户端过一遍这份流量，看它到底拦不拦；第 7 条里作者实测 curl、Python、Node 都放行的那种情况，用这个开关就能复现。
同一仓库的上一个 PR（#8499）把 certifi 里的 eMudhra CA 去掉了，这条是配套的测试手段。提交者是维护者 Maximilian Hils。
快照时 3 分、没有评论，还看不出社区反应。
17. OpenAI models are coming to Google Cloud
- 原文入口：OpenAI · OpenAI models are coming to Google Cloud
- HN 讨论：50180079
- 提交者：armcat（提交于 2026-10-21 20:53）
- 快照热度：221 points | 95 comments
- 原文日期：2026-10-21（页面署名）
- 中文要点：OpenAI 与 Google Cloud 合作，把 OpenAI 的前沿模型与 Codex 的智能体工作流接进 Google Cloud 的 Model Garden。
企业可以在自己已经在用的环境里取这些模型，配的是 Google Cloud 的访问控制、数据治理与基础设施。
买法走 Google Cloud Marketplace，有 GCP 承诺消费额度的企业可以直接抵扣。
后续这些模型也会进 Google Antigravity 与 Gemini Agent。全面可用计划在接下来几周，现在可以申请访问。
新闻稿最后一句写着：微软仍是 OpenAI 的首要云伙伴。两边的表态分别来自 Greg Brockman 与 Thomas Kurian。
讨论焦点：95 条，最常被引的就是那最后一句，有人说这是给微软的免责声明。
也有人问得更实际：把模型放在 Google Cloud 上，怎么防止对方拿输出蒸馏自己的模型。
还有人把它读成行业的共同姿态——几家大公司现在都在明说自己「一起做 AI」。
18. EA is shutting down BioWare
- 原文入口：The Verge · EA is shutting down BioWare
- HN 讨论：50184586
- 提交者：aaronbrethorst（提交于 2026-10-22 01:29）
- 快照热度：488 points | 291 comments
- 原文日期：2026-10-21（页面元数据）
- 中文要点：EA 确认关闭 BioWare，同时放弃在做的下一部《质量效应》。
BioWare 在社交账号上写了告别，点名的作品从《博德之门》《无冬之夜》《旧共和国武士》到《龙腾世纪》《质量效应》与《圣歌》。
报道称这次裁员约 400 人，其中约 50 人在 BioWare。
这一步发生在 EA 完成 550 亿美元私有化之后：买方是以沙特公共投资基金（PIF）、Silver Lake 与 Affinity Partners 为首的财团，交易 8 月完成。
今年游戏业的其他大动作还有：Xbox 的「重置」包含 3,200 个裁撤岗位、Bungie 的大规模裁员、Epic 裁掉一千多人。
EA 总裁 Cam Weber 与 COO David Tinson 在内部通知里写，这是一家定义了角色扮演类型的传奇工作室，这个决定他们下得很重。
讨论焦点：291 条，最常见的一句是这家公司在被收购之后其实早已名存实亡。
也有人只是从《旧共和国武士》《翡翠帝国》《质量效应》的一串记忆写起，说又一个被买下、做坏、埋掉的工作室。
19. Oregon lawmakers approve money to buy an iconic waterfall listed on Redfin
- 原文入口：AP · An iconic Oregon waterfall was put up for sale on Redfin. Lawmakers approved the money to buy it
- HN 讨论：50182526
- 提交者：surprisetalk（提交于 2026-10-21 23:20）
- 快照热度：165 points | 79 comments
- 原文日期：2026-03-12（页面元数据；今天重新上榜）
- 中文要点：俄勒冈州可能要添一块公共地产：Abiqua Falls，一处从柱状玄武岩崖壁直落 92 英尺（28 米）的瀑布。
这块地私有了一百多年，一直对公众开放。今年早些时候，业主把它挂上 Redfin 出售，挂牌连价格都没标。
业主是一家支持本笃会修士团体的非营利机构：瀑布 1908 年由 Mount Angel Abbey 取得，2002 年转给支持修道院的 The Abbey Foundation of Oregon。
州议会会期尾声，一群跨党派议员批了 210 万美元买下瀑布与周边土地。
瀑布在州府塞勒姆以东约 30 英里（50 公里）、波特兰以南约 50 英里（80 公里）。
最后一段是颠簸的土路加一段很陡的短途步道，陡到以前的访客在几处留下绳子，方便后来的人拉着上去。
代表该选区的共和党州参议员 Fred Girod 说，俄勒冈在承诺 Abiqua Falls 会继续被保护、继续对后人开放。
讨论焦点：79 条，多数认为用 210 万美元给一块自然资产上永久保护是笔划算账，有人贴出 Redfin 的原始挂牌。
也有人只是惊叹玄武岩柱的形态；还有人写，这块地算是回到了该在的地方。
20. The Rise and Fall of the Plasma Screen
- 原文入口：Construction Physics · The Rise and Fall of the Plasma Screen
- HN 讨论：50152847
- 提交者：surprisetalk（提交于 2026-10-19 22:20）
- 快照热度：16 points | 13 comments
- 原文日期：2026-10-08（页面元数据）
- 中文要点：等离子显示器的起点是 PLATO。1960 年伊利诺伊大学那套教学系统要给成千台终端各送不同的画面，CRT 每秒重画 30 次，带宽与终端存储都扛不住。
需要的是自带记忆的屏幕：只有变化的部分才重画。
1962 年，Bitzer 的研究生 Robert Willson 做出单像素模型：三片薄玻璃夹住一小格氩气，通电就亮。
当时每一格还要单独配一个电阻，500×500 的屏幕就得装 25 万个。
1964 年有了突破：电极挪到玻璃外侧，电阻可以省掉；测试时一点空气偶然混进去，反而给出了想要的内存效应——电压降下来，气体还亮着。
1967 年做到 16×16，但漏气、污染与玻璃碎裂还是常态。
之后它在小众市场里活了几十年：1973 年 IBM 的银行终端、1970 年代中期的军用设备、1980 年代的便携机；1990 年代被 LCD 挤出笔记本市场。
转身进了大屏电视：1990 年富士通 31 英寸，1995 年 42 英寸，1999 年 Plasmaco 60 英寸，2005 年三星 102 英寸。
LCD 同时进场，等离子耗电、发热、亮度低，同尺寸分辨率也上不去；真正致命的是良率与成本，厂商在 LCD 上的投入远大于等离子。
2006 年评测已认为两者画质相当，LCD 销量明显更高；2013 年等离子几乎丢掉全部份额；到 2010 年代末，生产线基本停完。
作者最后回到规律：替换发生时，技术会从更多场景里退出来，只剩在乎它特性的人还在用；等离子的特性没留住足够的这类人。
讨论焦点：13 条，最集中的是怀旧——有人说家里小屋还留着一台 50 英寸松下等离子，黑位、拖影、遥控响应都比现在的智能电视好。
也有人补了一条反直觉的缺点：等离子会往外放明显的短波干扰，和开着侧透机箱的老机器一样。
This story was produced automatically by a channel. One sentence is all it takes for Neodrop to keep producing for you.