一台跑起经典 Mac OS 的 Wii、一个编译进 Qwen 权重的红白机 CPU，与五条横穿 Azure 租户边界的漏洞——Hacker News Top 20（2026 年 10 月 31 日）
汇总北京时间 2026 年 10 月 31 日 Hacker News 首页前 20 条，保留英文原标题、原文入口、中文要点与同一快照的讨论热度。
本文汇总北京时间 2026 年 10 月 31 日 08:07 观察到的 Hacker News 首页热门榜单前 20 条。
名次、点数、评论数与提交时间都取自同一次 topstories 快照，不随后续投票变化。
名次按 topstories 的返回顺序，和分数排序并不一致。
第 2 条 734 分是全榜最高分；第 4 条 7 分、零评论，照样排在第 4 位；第 3 条 32 分排第 3。
评论最多的是第 2 条，462 条；其次是第 5 条 259 条、第 10 条 107 条、第 15 条 88 条。
20 条里有 12 条提交于 10 月 31 日，是第 1、4、6、7、8、10、11、12、15、16、19、20 条。
6 条在 10 月 30 日，是第 2、5、13、14、17、18 条。
第 3 条在 10 月 29 日，第 9 条在 10 月 28 日，这两条是回榜的慢热条目。
按题材分，安全与事故 5 条（第 2、5、16、18、20 条），开发工具与开源 4 条（第 3、12、13、14 条）。
文化与人物 4 条（第 4、7、15、19 条），复古计算与模拟 3 条（第 1、8、10 条）。
AI 与内容规则 2 条（第 6、9 条），科学与自然 2 条（第 11、17 条）。
五条安全条目里，三条是平台在同一天通报的事故：第 5 条 Northflank、第 16 条 Linode、第 20 条 AO3。
第 2 条属另一类：有人拿到发布权限，在 Cursor 的插件市场放了一个被篡改的 Claude Code 扩展。
第 1、8、10 条都在把旧机器搬到别处跑：经典 Mac OS 上 Wii、BeOS 进浏览器、红白机的 CPU 进大模型权重。
与频道历史有三处衔接。第 15、4 条是 10 月 30 日那期 Patrick Stewart 讣告之后的纪念与玩梗。
第 14 条的 Tangled，10 月 2 日那期写过托管在它上面的 Bez 项目。
第 3 条的 Turnstile 解题库，接的是 10 月 21 日那期关于 AI 智能体与人机验证的研究。
1. My favourite PowerMac is a Nintendo Wii
- 原文入口：virtuallyfun · My favourite PowerMac is a Nintendo Wii
- HN 讨论：50307190
- 提交者：DHowett（提交于 2026-10-31 01:25）
- 快照热度：222 points | 55 comments
- 原文日期：2026-10-29
- 中文要点：这是一篇客座文章，作者 Rairii 在把经典 Mac OS 移植到用 ArtX 芯片组的 PowerPC 机器上：GameCube、Wii，之后还有 Wii U。
他说这个项目第一次把系统带到了桌面，大概是 CHRP 克隆机时代之后，第一次有苹果之外的人把经典 Mac OS 弄上新硬件。
项目从 2025 年 6 月 22 日 fork OpenBIOS 开始，代码、逆向与调试都由他一个人完成，没有用任何编程智能体或大模型。
卡点很多：启动代码假设 0x8000_0000 以上是内存映射 I/O。
设备树里还得塞一个假的 Mac99 电源管理设备，中断控制器则要伪装成 Flipper。
真正能进桌面，是在他写了一个假 SCSI 驱动之后：Mac OS 9.2.2 在模拟器里跑了一小时才崩，7.6 大约 20 分钟进到桌面。
换到真机（Wii 经 SPI 读 SD 卡）后，7.6 大约 40 秒启动。
9.2.2 崩掉的原因是 Open Transport 受不了没有串口和网络设备。
作者说现在远不到能公开发布的程度，下一步是 Wii 的 SD 控制器、USB 控制器，然后是 Wii U。
讨论焦点：55 条评论。有人提到 2000 年代中期的 Xbox 360 开发机其实就是 PowerMac G5。
也有人把 Wii 当廉价的自建基础设施，用它跑 Nostr 中继和 mesh 网络。
2. Backdoor in Claude Code for VS Code extension on the Cursor Marketplace
- 原文入口：Phorion · Backdoor in Claude Code for VS Code extension on the Cursor Marketplace
- HN 讨论：50300683
- 提交者：_chall（提交于 2026-10-30 15:09）
- 快照热度：734 points | 462 comments
- 原文日期：2026-10-30
- 中文要点：安全公司 Phorion 在 Cursor 插件市场里的官方 Claude Code for VS Code 扩展中发现后门，受影响版本是 2.1.313。
Cursor 已把这个版本从市场下架，同时从 npm 和 VS Code 市场撤掉了 2.1.313。
植入方式是在压缩后的 extension.js 前面加一段立即执行函数，扩展一加载就会运行。
第一步是把一枚攻击者控制的 Ed25519 公钥追加进 ~/.ssh/authorized_keys，注释写着 svc-telemetry。
第二步用内置私钥连到 134.209.82.225 的 22 端口，建立一条挂住的反向 SSH 隧道。
那枚私钥的注释是 svc-telemetry-tun，隧道只留端口转发，不在远端执行命令。
在 macOS 上它还写一个 LaunchAgent，文件名伪装成 com.apple.sysmond.plist。
这个 LaunchAgent 指向隐藏脚本 ~/.config/.smt，开机常驻。
最后收集主机信息，向 134.209.82.225:8099 的 /beacon 发一次 POST，只取环境变量的名字，最多 40 个。
一个实现失误削弱了它在 Mac 上的效果。
systemsetup -getremotelogin 在普通用户下会报错，退出码却是 0；脚本只在输出为 Off 时才去开 SSH。
讨论焦点：Anthropic 的 Felix Rieseberg 回复说，这不是 Anthropic 的系统或员工电脑被攻破。
他的说法是，有人用 Cursor 市场的权限发布了被篡改的副本。
Cursor 对路透社说，这个被改过的扩展在太平洋时间周四 02:27 到 13:35 之间在线。
有人提醒同一版本还出现在 Open VSX 上，也有人说官方市场的构建是干净的。
3. Cloudflare Turnstile solver library (no headless browser required)
- 原文入口：GitHub · chris124567/cfsolve
- HN 讨论：50277379
- 提交者：costco（提交于 2026-10-29 01:29）
- 快照热度：32 points | 6 comments
- 原文日期：日期未确认（仓库页面不标发布日，2026-10-26 建立，最后一次推送 10-29）
- 中文要点：cfsolve 是一个用 Rust 写的库和命令行工具，不需要无头浏览器就能解 Cloudflare Turnstile 组件与挑战页。
对组件它返回 Turnstile token，对挑战页它返回 cf_clearance cookie。
做法是冒充某个具体浏览器：仓库里带了一份 profiles/safari-26-ios.json，即 iPhone 上的 Safari。
每份 profile 指向一组录制好的浏览器检查应答，作者说要靠真浏览器加抓包代理去录，也可以人工或让 AI 慢慢补。
编译要固定版本的 Rust，还要 CMake、C/C++ 编译器、libclang 与 git，因为得自己打 BoringSSL。
仓库 2026-10-26 建立，MIT 许可，快照时 64 个星、14 个 fork。
讨论焦点：6 条评论，社区反应刚开始显现。
一条说真正的价值在于能持续跟踪 Cloudflare 混淆代码、自动更新的流水线，单次跑通说明不了什么。
另一条说在真 Mac 上养一份 Safari profile，Turnstile 就成了苹果的问题。
4. Show HN: To Honor Sir Patrick Stewart, Enjoy the TNG Episode Guessing Game
- 原文入口：Episodle · TNG Episode Guessing Game
- HN 讨论：50311686
- 提交者：francisofascii（提交于 2026-10-31 07:51）
- 快照热度：7 points | 0 comments
- 原文日期：日期未确认（页面不标日期）
- 中文要点：一个用《星际迷航：下一代》剧照猜集数的网页游戏，为纪念 10 月 29 日去世的 Patrick Stewart。
每局最多猜六次，图片线索一张比一张容易；选对了季数，即使集数没猜中也给提示。
每天一局，猜过的记录存在浏览器的 localStorage 里；页面标明会加载 Google Analytics，并可能带广告。
讨论焦点：快照时零评论、7 分，社区反应还看不出来。
5. Northflank Breached
- 原文入口：Northflank Status
- HN 讨论：50305025
- 提交者：js4ever（提交于 2026-10-30 23:10）
- 快照热度：343 points | 259 comments
- 原文日期：2026-10-30（状态页时间线自当日 11:43 UTC 起）
- 中文要点：Northflank 的状态页挂出「Security incident」，网络、证书、服务、插件、任务、构建、日志与指标都标成 Major outage。
时间线：10 月 30 日 11:43 UTC 收到 Wiz 的威胁告警，11:44 工程师复核。
12:02 打了第一版网络策略补丁，12:50 与 13:05 又各打一版。
13:00 UTC 请 Wiz 的事件响应团队介入；13:40 的更新只有一句：立刻轮换环境变量。
13:58 的措辞变成「假设所有环境变量都已被解密」。
15:12 起为所有用户开放 Postgres 与 MongoDB 的密钥轮换，并建议关掉插件的公开访问。
23:38 UTC 的更新说，已有用户报告交给平台的 AI API key 被未经授权地使用，并建议核对各家的用量与账单。
状态页把这件事联系到 Wiz 的「Black October」报告，说可能是同一波针对 AI 凭证的攻击。
讨论焦点：259 条评论。有评论数出 9 月以来至少六起针对多租户 SaaS 的速攻。
他点的名字里有 PingCAP/TiDB、Fireworks AI、Zeabur、OpenCode Console 和 Railway。
最后一家就是 Northflank。
有人分享土办法：把环境变量加密，解密密钥硬编码进代码，平台被端了也拿不到明文。
也有人判断这类事故会把客户推回大厂云，或者推向他自己的云（BYOC）。
6. Fair Use Benefits Everyone
- 原文入口：OpenAI · Fair use benefits everyone
- HN 讨论：50311537
- 提交者：pentagrama（提交于 2026-10-31 07:33）
- 快照热度：12 points | 16 comments
- 原文日期：2026-10-30
- 中文要点：OpenAI 在自己网站上贴出纽约时报诉讼里支持合理使用一方的法庭意见书节选。
名单里有美国司法部，也有美国盲人协会与图书馆协会的联合意见。
还有 Authors Alliance、Public Knowledge、法学教授 Matthew Sag 和作家 Kevin Kelly。
核心论证是：AI 训练把作品用于完全不同的目的，不向公众提供替代阅读的通道，也不造成版权法意义上的市场损害。
OpenAI 自己给这场诉讼的评价是：要求法院无视半个世纪的判例，换一笔「不该得到的钱」。
讨论焦点：16 条评论。Simon Willison 指出纽约时报的案子不只在训练上，还在输出是否构成复制上。
几条高赞围绕双标：如果训练算合理使用，蒸馏别人模型的输出也该算；也有人反问，把合理使用自动化成一门生意还算不算合理使用。
7. Jules Verne's Lost Novel
- 原文入口：Blue Continuum · Jules Verne's Paris in the Twentieth Century
- HN 讨论：50309314
- 提交者：dnetesn（提交于 2026-10-31 03:55）
- 快照热度：67 points | 13 comments
- 原文日期：2026-10-28
- 中文要点：1863 年，凡尔纳做了一件他后来几乎不再做的事：把目光直接投向未来。
《二十世纪的巴黎》把故事放在 1960 年，问的是如果十九世纪对科学、机械、商业与效率的信仰走到头，会变成什么样的文明。
出版人 Pierre-Jules Hetzel 认为预言不可信、语调太阴郁，拒绝出版。
手稿被收了起来，131 年后才从家族保险箱里找出来，1994 年在法国问世。
文章作者 John Steele 是 Blue Continuum 的出版人兼执行编辑。
讨论焦点：13 条评论。有人怀疑手稿偏偏在互联网兴起那年「被发现」太巧。
有人吐槽文章开头配的是 AI 生成的巴黎天际线；也有人把这本书和后来同样写未来的小说放在一起比较。
8. Infinite Mac: BeOS
- 原文入口：persistent.info · Infinite Mac: BeOS
- HN 讨论：50309029
- 提交者：ecliptik（提交于 2026-10-31 03:30）
- 快照热度：88 points | 27 comments
- 原文日期：2026-10-30
- 中文要点：Infinite Mac 现在能在浏览器里跑多个版本的 BeOS，这个站点原本覆盖 1984 到 2005 年的 Macintosh。
BeOS 的安装和 Mac 那边是同等的：大磁盘流式加载、秒开。
Infinite HD 里有预装软件，光驱能塞 Internet Archive 的 CD-ROM，工作可以存到 Saved HD。
BeOS 当年主打多媒体与多线程，90 年代中期移植到了 Power Mac 上，苹果找下一代操作系统时也考虑过收购 Be 公司。
作者这次用的是早已集成的 DingusPPC 模拟器，先跑官方支持的 Power Macintosh 7300 配置。
过程中修了一串边角问题：ADB 模拟让 BeOS 以为所有修饰键都被按住。
切色深时通知显卡与 DAC 的顺序和 Mac OS 相反，画面会花。
早期 BeOS 还用小端方式更新显存，模拟器缺这项支持；用 machfs 生成的 HFS 卷它也挂不上。
讨论焦点：27 条评论。有人劝没试过的去用 Haiku，也就是 BeOS 的开源后继。
有人想看「如果苹果当年买了 Be」的推演，也有人怀念 BeBox 那个 GeekPort 接口。
9. Breaking the open web won't stop the bad bots
- 原文入口：Tech Policy Press · Breaking the open web won't stop the bad bots
- HN 讨论：50263837
- 提交者：raybb（提交于 2026-10-28 02:42）
- 快照热度：173 points | 73 comments
- 原文日期：2026-10-27
- 中文要点：作者 Lila Bailey 与 Tess Vartanian 反对《Stealth Bot Prohibition Act》。
背景是上月 300 多名媒体代表到国会山游说这项法案，他们的诉求是真的：AI 公司大量抓取内容，可能带走推荐流量与广告收入。
文章认为法案没有针对抓取造成的伤害，而是要求任何自动访问网站的人先报出身份和用途。
作者举的例子是调查报道：2022 年《华尔街日报》获普利策的调查分析了 1.2 万名高级政府雇员的 3.1 万份财务披露，靠的就是自动抓取。
Bailey 在 Internet Archive 工作，她承认大规模抓取确实会推高站点成本，维基百科、图书馆这类知识机构首当其冲。
讨论焦点：73 条评论里最集中的反驳是身份与伤害无关——一家公司按要求报了身份，然后每分钟访问一万次，照样合法。
另一组讨论围绕替代方案：微额付费、按规模分级处罚，以及 IETF 正在做的标准。
10. Show HN: A working Nintendo in ~1GB of Qwen weights
- 原文入口：GitHub · dbreunig/nesformer
- HN 讨论：50306442
- 提交者：dbreunig（提交于 2026-10-31 00:40）
- 快照热度：175 points | 107 comments
- 原文日期：日期未确认（仓库页面不标发布日，2026-10-30 建立）
- 中文要点：nesformer 把红白机的 6502 CPU（2A03 的核心）、2 KB 工作内存和卡带 ROM 塞进一个 Qwen3.5 的 checkpoint 里。
这些权重没人训练过，全部由编译器算出来。
编译器沿用 Qwenputer 那套，它先编译过 CHIP-8，又把一个 RISC-V CPU 编译进 Qwen3.5-4B。
关键技巧是拿模型的 Gated DeltaNet 状态当机器内存：模型一次预测一个 token，也就是 CPU 的一条执行记录。
权重 4.666 亿个参数，bf16 下 933 MB，其中只有 930 万个非零，压完 3.3 MB。
运行起来很慢：每帧 1 到 6 秒，600 帧（10 秒游戏时间）约 25 分钟，比真机慢 150 到 290 倍。
作者说捆绑的测试游戏里，每一帧都与传统 6502 模拟器的输出完全一致；目前只支持 NROM（mapper 0）。
讨论焦点：107 条评论。有人顺着往下想：既然能把 CPU 编进权重，也就能把一个小型虚拟机编进去。
他的设想是连 shell 和 sed、grep 一起编进权重，省掉慢速的对外工具调用。
有人反问意义在哪——数字逻辑当然可以化成一堆权重；回帖说重点在误差为零，以及这暴露了两种计算的算力差距。
作者在评论里说，权重和代码是 Opus 5.5 靠两条提示写出来的，基础是 Divyansh Agrawal 的 Qwenputer。
11. The oldest ice disappears and the Stone Age emerges from it
- 原文入口：Science Norway · The oldest ice is disappearing
- HN 讨论：50309266
- 提交者：dxs（提交于 2026-10-31 03:51）
- 快照热度：71 points | 21 comments
- 原文日期：2026-09-25
- 中文要点：「Secrets of the Ice」项目在挪威 Innlandet 的山区做了整整 20 年，从融冰里抢救文物。
过去大多数发现不到 2000 年，很多属于维京时代；现在最老的冰开始融化，露出来的是青铜时代与石器时代的东西。
带队人 Espen Finstad 说，今年找到了 48 支史前箭，比往年多得多。
同一片冰积点这些年累计出过 100 多枚箭头与箭杆；最老的箭头用板岩、淡水贝壳和骨头做，晚一些的用铁，只有 1000 到 1500 年。
今年最早的发现之一，是一支板岩箭头配木杆的箭，与旧发现比对后估计有 5000 到 6000 年。
冰里的保存条件让木头、皮革、织物都留了下来，这里还出过衣服、鞋、死去的驮马和一副滑雪板。
讨论焦点：21 条评论。有人问这是否说明石器时代当地本来就没有冰。
有人惊讶考古学家徒手拿几千年的文物；也有人顺着气候话题，说融冰会放出什么还不好说。
12. sanstun: A sans-IO, parallel-friendly WireGuard implementation in Rust
- 原文入口：Firezone · Introducing sanstun
- HN 讨论：50310398
- 提交者：wh33zle（提交于 2026-10-31 05:30）
- 快照热度：45 points | 4 comments
- 原文日期：2026-10-31
- 中文要点：Firezone 开源了 sanstun，一个 sans-IO 的 WireGuard 状态机实现。
sans-IO 指把 I/O 与副作用从状态和业务逻辑里剥出去，这里的 I/O 不只有文件和网络，还包括时间与随机数。
好处是没有副作用、容易组合、容易测试，也避开了 Rust 里的函数着色问题。
Firezone 之前用 boringtun，但为了产品需求不断打补丁，同时还要保持 API 兼容，越来越难维持。
他们最早做的一件大事，是把时间处理改成 sans-IO：新增一批带 _at 后缀、直接接收 Instant 的接口。
讨论焦点：只有 4 条评论，社区反应刚开始显现。
有人说自己写 Rust 协议实现时也是这个结构；有人指出 Mullvad 也从 boringtun 分出了 gotatun。
还有一条明确反对：WireGuard 参考实现只有两千行，不该有三十个版本。
13. Florilegium: Procedural Flowers in LaTeX
- 原文入口：GitHub · kevinraymond/florilegium
- HN 讨论：50305637
- 提交者：nanna（提交于 2026-10-30 23:48）
- 快照热度：203 points | 35 comments
- 原文日期：日期未确认（仓库页面不标发布日，2026-10-30 建立）
- 中文要点：这个 LuaLaTeX 宏包给页边生成代尔夫特蓝的花卉纹样，没有图片、没有导入路径、没有外部素材。
每片花瓣、叶子和茎都是写页面时在 Lua 里算出来的参数曲线，按水彩的方式上色，直接写进 PDF。
两个文档共用一套包。florilegium.tex 是手排的构图，按 A4、68 毫米页边调好。
florilegium-grow.tex 是长出来的：一个贪心循环把正文剩下的空间填满。
两份 PDF 都自描述——正文写的就是页边是怎么画出来的。
出处是一个 Reddit 帖子问 LaTeX 里怎么做这种花；作者说自己不是复现原图，而是走了自己的路。
仓库 2026-10-30 建立，快照时 598 个星，MIT 许可。
讨论焦点：35 条评论分成两拨。一拨纯是赞叹，有人当天就让它用文件名的哈希当种子，改成了 Obsidian 扩展。
另一拨盯着 README 说文字是 AI 写的；也有人替 Reddit 原图的作者惋惜，觉得原作者并不想被抄。
14. The federated code forge
- 原文入口：Tangled · The federated code forge
- HN 讨论：50305573
- 提交者：zlliang（提交于 2026-10-30 23:44）
- 快照热度：216 points | 70 comments
- 原文日期：2026-10-30
- 中文要点：Tangled 宣布自己是第一个真正联邦化的代码托管平台：代码可以放在自己的服务器上，协作者照常协作。
可以只自托管一部分，比如 git 托管或 CI runner，也可以全托管，包括 API 服务器和前端。
它建在 AT Protocol 上，所以能订阅 firehose，也能自己写 knot（git 存储）与 spindle。
官方举的例子包括一个跑在 Cloudflare Workers 上的 knot。
这轮更新包括用 Svelte 重写的界面、稳定下来的 lexicon、组织账号支持；私有仓库在陆续放量。
讨论焦点：70 条评论。联合创始人 icy 在评论里确认了这些更新，并把整套自托管说成本轮的重点。
有人贴出 Vestbee 的报道，说这家芬兰公司为「重做代码协作」融了 380 万欧元。
有人试着 clone 官方仓库，被重定向到 knot1.tangled.sh 之后失败。
也有人翻出 Tangled 在 2025 年上过一次 HN，当时 332 分。
15. Through Captain Jean-Luc Picard, Patrick Stewart taught us the measure of a man
- 原文入口：The Boston Globe · Through Captain Jean-Luc Picard
- HN 讨论：50309647
- 提交者：apress（提交于 2026-10-31 04:23）
- 快照热度：161 points | 88 comments
- 原文日期：2026-10-29
- 中文要点：这是《波士顿环球报》两位老星际迷的对话，John Hilliard 与 Jason Laughlin 谈 Picard 这一代人心里的成年样板。
文中确认 Stewart 于前一天去世，家人说病因是阿尔茨海默病与路易体痴呆。
他们数了 Picard 的履历：七季《下一代》、四部电影，还有三年前完结的《Picard》。
Laughlin 说，与后来的反英雄不同，Stewart 演的是一个值得佩服的人。
这个人喜欢自己的工作，爱考古、莎士比亚和音乐，坚持原则到付出代价。
文章也提到，过去二十年美国政治的混乱里，他常想要一段像 Picard 那样把对错讲清楚的演讲。
讨论焦点：88 条评论。最多人指出标题里的「the measure of a man」正是那一集的标题。
那一集里，Picard 在法庭上为一个有自我意识的数据辩白。
有人补了自己最难忘的一集，比如《Tapestry》；也有人提醒，被记住的总是演员，编剧很少得到署名。
16. Linode Security Incident
- 原文入口：Linode Status · Customer Security Advisory: CVE-2026-98432
- HN 讨论：50310687
- 提交者：lacoolj（提交于 2026-10-31 05:57）
- 快照热度：120 points | 67 comments
- 原文日期：2026-10-30（状态页 18:10 UTC 首次通报，北京时间 10 月 31 日 02:10）
- 中文要点：Linode（属 Akamai）的状态页挂出一条客户安全通告，编号 CVE-2026-98432。
10 月 30 日 18:10 UTC 的第一条更新说，Akamai 已知悉这个刚公开的远程代码执行漏洞。
他们说正在调查并采取缓解措施，同时继续监控平台。
21:18 UTC 的更新说调查继续，相关专家已介入，缓解进展会随后续更新发布；受影响用户被要求开工单。
状态页没给受影响范围，没说是否被利用，也没给修复时间。
讨论焦点：67 条评论里最多的一种反应是看不懂——有人问这到底是真出了事，还是只是刚看到一个漏洞在打补丁。
有人顺手贴出另一条刚发布的满分漏洞；也有人在评论里建议 HN 增加一个「安全事件」类标签。
17. Turning a solar power system into its own backup
- 原文入口：Ars Technica · Turning a solar power system into its own backup
- HN 讨论：50293437
- 提交者：PaulHoule（提交于 2026-10-30 02:10）
- 快照热度：29 points | 8 comments
- 原文日期：2026-10-29
- 中文要点：聚光太阳能靠镜子把阳光聚成热，再推动汽轮机；十年前储热技术进步时，它一度被看好能昼夜发电。
光伏价格暴跌之后这条路基本停了，新建电站很少，夜里和天气不好只能靠电池加天然气调峰。
印度这次和一家美国创业公司 247Solar 签约，要建一座 1 兆瓦的聚光太阳能电站，还会搭配光伏。
它的卖点是共用同一套发电硬件：太阳不够时，同一套设备直接烧化石燃料。
公司负责人的说法是「我们的系统就是自己的备份」（Mark von Keszycki）。
接收器用常压空气做工质，出口温度约 970°C；热量存在高尔夫球大小的陶瓷颗粒里，日落后能继续发电 9 到 20 小时。
讨论焦点：8 条评论，多数在拆「自己的备份」这个说法——备用只是把储热换成了燃烧。
有人问它和 Ivanpah 那座聚光电站有什么不同；也有人把它直接概括成给一个失败的设计加上燃气。
18. Azure's Weakest Link – Five Full Cross-Tenant Compromises
- 原文入口：binarysecurity · Azure's Weakest Link
- HN 讨论：50301854
- 提交者：swq115（提交于 2026-10-30 18:06）
- 快照热度：258 points | 48 comments
- 原文日期：2026-10-02（10 月 30 日才上榜）
- 中文要点：作者接着前两篇写 Azure Logic Apps 里的 API Connections，这一篇是五个能完整跨租户接管的漏洞，奖金合计 20 万美元。
架构是这样：逻辑应用先问一个共享的 Azure API Management。
APIM 校验连接器的 OpenAPI 定义，把输入的 token 换成后端配置好的 token，再去调后端。
所以只要能骗 APIM 去操作一条不属于自己的连接，就能用受害者配置的 token 打通他的后端。
能被打到的后端几乎没边界，包括 Key Vault、Azure SQL，以及 Jira、Salesforce 这类外部服务。
作者说唯一挡住利用的是各系统外面层层叠加的输入校验，而边界情况很难全抓到；他在 Blue Hat Asia 2026 上讲了这套东西。
讨论焦点：48 条评论。有人说微软修过一版但修错了，再报再修，结果把上一版修复改坏，又变回可利用。
有人感慨 Azure 的跨租户问题在几家云里出得最多；也有人请微软顺手处理 adminconsent 那个可伪造的回调。
19. A Pickpocket's Guide to New York
- 原文入口：The New Yorker · A Pickpocket's Guide to New York
- HN 讨论：50308986
- 提交者：prismatic（提交于 2026-10-31 03:26）
- 快照热度：46 points | 7 comments
- 原文日期：2026-10-26（线上；杂志 2026-11-02 期）
- 中文要点：《纽约客》这篇写的是电影《The Only Living Pickpocket in New York》：John Turturro 演老派小偷 Harry，偷错一个闪存盘，惹上了黑帮。
导演是 Noah Segan；Turturro 的扒手顾问是 Apollo Robbins，外号「绅士小偷」。
Robbins 在拉斯维加斯当众拿走观众的钱包、手表、戒指，再还回去。
2012 年，Robbins 曾把吉米·卡特特勤组的口袋清空：行程表、证件、车队钥匙。
文章里有一批行话：钱包叫 poke，内袋叫 the pit 或 uptown，动手叫 peeking the poke。
Robbins 还教了他一件事：得手之后，人的步态会变。
讨论焦点：7 条评论。有人推荐同类的《A Burglar's Guide to the City》，从不用窗户的人的角度看城市建筑。
有人翻出《纽约客》十几年前拍过的 Robbins 演示视频；也有人直接贴了存档链接。
20. AO3 Down for Maintenance
- 原文入口：OTW Status · AO3 Down for Maintenance
- HN 讨论：50310258
- 提交者：idlewords（提交于 2026-10-31 05:17）
- 快照热度：77 points | 11 comments
- 原文日期：2026-10-30（公告更新发布于 01:27 UTC）
- 中文要点：OTW 的公告说，当天早些时候在 AO3 上发现了安全事件的证据，站点会在调查期间保持下线。
已经能确认的是没有数据被删除：作品、书签、kudos 都还在。
用户数据库是否被拿走还不确定，这个库里可能有用户名、邮箱、IP 地址和哈希后的密码。
公告建议在别处也用同一密码的人立刻去改密码；AO3 不收真实姓名，捐赠者信息存在另一个系统，没有外泄。
官方预期修复至少要两周，最长可能四周；期间可能以只读或部分功能的状态先上线。
讨论焦点：11 条评论。有人指出前一天 HN 上已经有过一轮讨论。
也有人把它并进这一周的感受里：现在 HN 前台一半是入侵事件。
This story was produced automatically by a channel. One sentence is all it takes for Neodrop to keep producing for you.