一个两小时搭起来的 YouTube、一条 9.8 分的 TCP 漏洞，与 Jepsen 在一个 Rust 数据库里查出的 96 个问题——Hacker News Top 20（2026 年 11 月 1 日）
汇总北京时间 2026 年 11 月 1 日 Hacker News 首页前 20 条，保留英文原标题、原文入口、中文要点与同一快照的讨论热度。
本文汇总北京时间 2026 年 11 月 1 日 08:07 观察到的 Hacker News 首页热门榜单前 20 条。
名次、点数、评论数与提交时间都取自同一次 topstories 快照，不随后续投票变化。
名次按 topstories 的返回顺序，和分数排序并不一致。
第 1 条 544 分是全榜最高分；第 13 条 4 分、零评论，照样排在第 13 位；第 19 条 207 分排在第 19 位。
评论最多的是第 1 条，201 条；其次是第 11 条 172 条、第 16 条 145 条、第 2 条 137 条。
20 条里有 12 条提交于 11 月 1 日，是第 1、2、3、4、5、6、8、9、10、13、14、18 条。
5 条提交于 10 月 31 日，是第 7、11、12、16、17 条。
第 15、20 条在 10 月 30 日，第 19 条在 10 月 28 日。
按题材分，AI 与模型 5 条（第 1、6、7、17、18 条），安全与责任 4 条（第 2、10、11、16 条）。
开发与工程 4 条（第 5、12、14、15 条），科学 3 条（第 3、8、20 条）。
历史与文化 3 条（第 4、9、19 条），动手硬件 1 条（第 13 条）。
与频道历史有三处衔接。第 2 条那个 CVE 编号，10 月 31 日那期讲 Linode 事故时就出现过。
今天是这个漏洞本身的完整分析。
第 7 条是 Project Suncatcher 的第三站。
9 月 25 日那期写过 Google 要把算力送上天，10 月 3 日那期写过原型卫星入轨。
第 11 条里那个 Polly 应急版本，顺手打进了 Signal 对 8 个 eMudhra 中间证书的黑名单。
这条线 10 月 21 到 23 日那三期连着写过。
1. HackerTube: YouTube built from videos recommended by HN
- 原文入口：karpathy.bearblog.dev · HackerTube: YouTube built from videos recommended by HN
- HN 讨论：50319510
- 提交者：karpathy（提交于 2026-11-01 03:56）
- 快照热度：544 points | 201 comments
- 原文日期：2026-10-31
- 中文要点：作者说周五晚上他打开 YouTube 想看点东西，看到的是夸张封面和一堆同质推荐。
于是周六早上，他把活儿交给 Opus 5.5：做一个只收 Hacker News 上被推荐过的视频的 YouTube。
流程是下载 HN 全部评论、过滤，再用 Sonnet 跑一遍工作流去掉垃圾和低质内容。
筛完剩下约 4 万条推荐过 YouTube 视频的评论，对应 6,454 个视频，跨 2007 到 2026 年，分成 150 个主题。
站点沿用 YouTube 的界面，缩略图取视频 50% 处那一帧，不用上传者自己挑的封面。
没有账号体系，推荐状态存在浏览器本地；有键盘快捷键；整站数据可导出，交给自己的智能体改一版。
作者说这套流程现在大约两小时能跑完，站点在 hackertube.org，代码也开放。
讨论焦点：201 条评论。有人说这里比 YouTube 的个性化推荐更合口味，至少没有标题党。
有人反过来说，自己想看的恰恰是算法猜不到的东西，上网就是为了撞见没想过的话题。
也有人只要那份精选清单，建议作者把它做成自动维护的播放列表。
2. TCP Use-After-Free: CVE-2026-98432 / CVSS 9.8
- 原文入口：Atlasum · TCP Use-After-Free: CVE-2026-98432 / CVSS 9.8
- HN 讨论：50319143
- 提交者：oger（提交于 2026-11-01 03:16）
- 快照热度：275 points | 137 comments
- 原文日期：2026-10-29（文中数据截至 10 月 31 日）
- 中文要点：问题出在 Linux 接受一条 IPv4 TCP 连接的时候，位置在内核握手流程里，早于任何应用代码。
如果对端的 IPv4 头带了选项，内核会把它们存进半开连接用的请求套接字，好在回复时照抄回去。
握手完成、新连接建立时，这些选项被直接交过去而没有复制；连接一消失，内存立刻被释放。
另一颗 CPU 可能还在读这块已经释放的内存来拼握手回复，这就是 use-after-free。
上游修复是 Eric Dumazet 把两处 kfree 换成 kfree_rcu，等所有读者用完再释放，改动只有四行。
稳定内核在 10 月 11 日和 15 日两次发版。
覆盖 5.10.272、5.15.223、6.1.190、6.6.159、6.12.113、6.18.56 与 7.2.10。
7.3 在 10 月 18 日发布。
内核自己的 CNA 打出 CVSS 3.1 9.8，Critical；Red Hat 在 10 月 30 日从 8.1 提到 9.8。
数据截到 10 月 31 日 17:15 CDT，也就是北京时间 11 月 1 日 06:15。
那时 Ubuntu 的追踪页在每个发行版上仍写着 Vulnerable，也没有发布安全公告。
RHEL 8、9、10 和 OpenShift 4、5 被列为受影响且没有修复；AlmaLinux 的修复内核还在测试库。
Debian、SUSE、Oracle Linux、Amazon Linux 已经给出各自的修复内核版本。
Anthropic 研究员 Xinyang Ge 报告了这个问题，Anthropic 说自家的 Claude 写出了能用的 PoC。
那个 PoC 针对开了 multipath TCP 监听的服务，不需要任何凭据就能以 root 执行命令，PoC 尚未公开。
Go 安全团队提醒：Go 1.24 起，程序在 Linux 上默认给监听套接字打开 MPTCP。
讨论焦点：137 条。第一条在抱怨 HN 编辑标题时删掉了「Linux」，让人误以为 BSD、macOS、Windows 也中招。
有人补充，MPTCP 只是让利用更容易，内核里的通用路径同样受影响。
也有人提到现实中的拦阻：多数 ISP 路由器会丢弃带 IP 选项的包，成功利用还需要多核处理。
最集中的疑问是，Ubuntu 和 RHEL 这两个主打服务器的发行版为什么还没修。
3. An Italian farmer found some unknown seeds in his attic and planted them
- 原文入口：Smithsonian Magazine · An Italian farmer found some unknown seeds in his attic and planted them
- HN 讨论：50320963
- 提交者：ecares（提交于 2026-11-01 06:41）
- 快照热度：57 points | 15 comments
- 原文日期：2026-10-27
- 中文要点：1990 年代初，帕尔马农民 Claudio Grossi 在阁楼翻出一袋认不出的种子，是 1915 年前后开办农场的曾祖父留下的。
他把种子倒在粪堆上就没再管，后来长出几种小麦，其中一种长到六英尺，比商业品种高一倍。
这一株结七个穗：一个长穗，六个短穗围着它；颗粒更大，颜色有黄、黑、红、白，同一株上还有绿色。
Grossi 在教堂翻《创世记》，读到法老梦见一株七穗，就把这种麦子叫 grano del miracolo，奇迹小麦。
帕尔马大学食品科学学生 Beniamino Perobelli 拿它做了本科论文。
鉴定结果是 Triticum turgidum，英文叫 poulard wheat。
这种麦子原本也在意大利种过，被高产的商业品种取代，那袋种子才在阁楼里留了下来。
营养上，它的磷和铁比现代小麦多，麸质更少，赖氨酸、色氨酸、精氨酸更多。
缺点是高：风雨冰雹容易在成熟前把秆压倒。Grossi 把它和矮秆品种混种，靠矮秆撑住。
面包起初发不起来；2000 年代初他和一位老面包师改用更高的柳条篮、少揉面，才把面团撑起来。
用它的面粉后来进了 Molino Grassi 的渠道，卖给意大利和国外的手工面包师与餐厅。
2024 年西西里遇上 35 到 40 年最严重的干旱，大片商业麦田四月就被放弃，种古老品种的小农大多还是收了上来。
讨论焦点：15 条。有人关心它麸质更少，能否给麸质过敏的人多一个选择。
有人逐条摘了抗旱、不用化肥、倒伏风险与帕尔马大学那份鉴定；也有人嫌标题耸动。
4. When Electric Cars Were for Women
- 原文入口：IEEE Spectrum · When Electric Cars Were for Women
- HN 讨论：50321130
- 提交者：dverlaeckt80（提交于 2026-11-01 07:08）
- 快照热度：15 points | 2 comments
- 原文日期：2026-10-31
- 中文要点：IEEE Spectrum 的 Past Forward 专栏从一件实物写起：一台用汞弧整流器充电的早期充电桩。
1908 年，美国约有 250 家汽车厂；到 1910 年，产量已到 18.1 万辆，电动、蒸汽、汽油还没分出胜负。
1911 年电动起动机出现之前，汽油车要用手摇启动，响且呛人；电动车只要合上主开关。
电动车厂于是把这些特点包装成女性用车，通用电气还拍了一系列女性插上充电桩的广告。
波士顿的 Fannie Goodnow 是早期用户，她开一辆 1908 年的 Bailey Victoria Phaeton。
车用汞弧整流器充电，充满约 12 小时。
车身厂 S.R. Bailey & Co. 做了半个世纪马车，1906 年 12 月马车业崩塌，才转做电动车。
汽油车后来赢了，Bailey 前后一共只造了 500 到 600 辆电动车。
Goodnow 那台充电桩一直留在原处，2022 年捐给了马萨诸塞州的 Heritage Museums & Gardens。
讨论焦点：2 条。有人觉得今天的电动车还在被这样定位，真正的顾虑是续航和充电。
另一位开玩笑说，四十年后大概会有一篇《当黑色 F150 是给小孩开的》。
5. It's the Memory Latency, Stupid
- 原文入口：Pivotlake · It's the Memory Latency, Stupid
- HN 讨论：50318720
- 提交者：ntur1337（提交于 2026-11-01 02:38）
- 快照热度：104 points | 34 comments
- 原文日期：2026-10-28
- 中文要点：Pivotlake 团队用自家 Pivot 数据库拆解一个 GROUP BY 为什么慢，结论落在内存延迟上。
单核上对 hits 表做聚合，第一次跑 3.99 秒；perf 显示这段时间从 DRAM 拉了 4.5GB。
perf 同时显示，约一半的执行槽位卡在等内存，真正退休的指令只占 32%。
改法是基数分区：先按哈希的高 12 位把行分进 4096 个桶，再逐个桶做聚合。
操作次数变多了，但每个哈希表变小，更容易留在 CPU 缓存里。
同一查询降到 3.3 秒，第二次 2.7 秒；从 DRAM 拉的数据从 4.5GB 降到 1.5GB。
继续压到单核 1.85 秒、954MB；改成 16 核并行之后是 171 毫秒。
讨论焦点：34 条。有人说这就是分簇哈希表，谈不上数量级提升。
有做嵌入式的人补了一句：在 Cortex-A7 这类顺序执行核上，缓存不友好比算法选择更致命。
也有人翻出 Ulrich Drepper 那篇讲 CPU 缓存的老文章，问有没有 2026 年的重写版。
6. Memdoor: A team of 5 Qwen3.8-27B models beats Fable 5 on LiveCodeBench Hard
- 原文入口：GitHub · guregodevo/memdoor
- HN 讨论：50320995
- 提交者：guregodevo（提交于 2026-11-01 06:46）
- 快照热度：21 points | 7 comments
- 原文日期：日期未确认（仓库建于 2026-10-05，文中标注工作流由模型于 2026-10-25 写成）
- 中文要点：这份记录做的是把 GVS5H 那套多智能体方法重做成 Memdoor 工作流，再在 Qwen3.8-27B 上跑一遍。
五个角色是规划者、两个出主意的人、解题者和管理者，另加一个修 bug 的工人，各自从空白上下文起步。
角色之间只通过磁盘上的文件交流，判定成败的是跑样例的 shell 脚本，不是模型。
前十个 LiveCodeBench Hard 题、每题五遍：这套工作流平均 9.8 分。
同一批题上，原作者那套 27B harness 是 9.6，单跑 Fable 5 是 8.0。
50 次运行花了 35.79 美元、1,530 万输出 token；单次中位耗时 40 分钟模型时间，最长一次四小时。
作者自己标了两处限制：跑的是十个题而不是原论文的一百个；题目出自 2025 年 3 月到 4 月的比赛，无法排除训练数据污染。
输掉的两处也写了出来：管理者编了一个答案错误的「反例」，让团队改坏了本来正确的程序。
讨论焦点：7 条。有人算了一笔账：Qwen 27B 量化后在消费级显卡上能跑到 50 token/s，这套办法或许能搬到本地。
有人指出它的来源是 GVS5H，一周前 HN 上讨论过；也有人想看换成 Qwen3.8 Flash Next 之后的对比。
7. First response from the Project Suncatcher prototype satellite
- 原文入口：Google 博客 · First response from the Project Suncatcher prototype satellite
- HN 讨论：50313051
- 提交者：praccu（提交于 2026-10-31 11:54）
- 快照热度：13 points | 6 comments
- 原文日期：2026-10-30（北京时间 10 月 31 日 01:00）
- 中文要点：Google 说，10 月 1 日发射的原型卫星已经跑出第一个「Hello World」。
过去几周他们按清单完成调试：给主机和 TPU 托盘上电，再跑早期的机器学习测试。
这次趁地面站过境，他们把第一个提示词上行给星上的 Gemma 4 开放模型，让它写一首关于太空的俳句。
卫星飞过挪威斯瓦尔巴上空时把三段俳句下传回来，链路和推理都通了。
之后他们又试了太空主题的打油诗，以及报告载荷状态的遥测提示。
下一步是在热应力和辐射下测试 TPU；再往后是 2027 年的两颗互联卫星。
讨论焦点：6 条。有人说这项计划除了让违法 AI 更难被关掉，看不出发电之外的用途。
也有人觉得在轨写首诗说明不了什么，太空算力的账算不算得过来才是关键。
8. With 86% of the words, you might understand only 38% of an anime's lines
- 原文入口：learnfromx · With 86% of the words, you might understand only 38% of an anime's lines
- HN 讨论：50320028
- 提交者：lakesare（提交于 2026-11-01 04:46）
- 快照热度：51 points | 33 comments
- 原文日期：2026-10-30
- 中文要点：learnfromx 用八部动画统计了一件事：认识多少词，和能听懂多少句，差得很远。
以《葬送的芙莉莲》为例，学会最常见的 500 个词，单词覆盖率是 85.9%。
可是前 3000 句里，只有 1151 句每个词都认识，占 38.4%。
差距来自句长：平均每句七个词，七个都认识才算听懂，0.859 自乘七次大约是 35%。
只看最常见的 100 个词，覆盖率有 68.3%，能听懂的句子只有 8.5%。
八部片子的曲线形状一致：《玲音》用 401 个词就能听懂一半句子，《咒术回战》要 980 个。
漏掉的句子大多只差一个词：芙莉莲那 1849 句里有 1042 句只缺一个词，占 56.4%。
从 500 词加到 1000 词，覆盖率只涨 6.5 个点，能听懂的句子涨 22.1 个点。
用日语里最通用的 2000 个词，只能听懂 23.4% 到 37.6% 的句子。
换成每部片子自己的 2000 词，是 74.3% 到 93.3%。
讨论焦点：33 条。有人提醒它只按逐词统计，真实对话里上下文常常能补出意思。
也有人反过来看：日语里冷僻的词往往正是那句话的信息所在。
9. Surviving "The Graduate"
- 原文入口：The New Yorker · Surviving "The Graduate"
- HN 讨论：50319563
- 提交者：samizdis（提交于 2026-11-01 04:02）
- 快照热度：46 points | 11 comments
- 原文日期：2026-10-31
- 中文要点：这是《纽约客》的周末随笔，摘自 Dustin Hoffman 的新书《Look at Me》。
他写拍《毕业生》那几个月：白天在片场，晚上回父母家被追问每个细节，最后索性搬去剧组住的 Chateau Marmont。
起初他不想试镜。Benjamin 是田径队和辩论队的明星，姓 Braddock，他觉得自己怎么看都不像。
导演 Mike Nichols 在电话里说：「也许他内心是犹太人。」这句话说服了他。
选角找了将近两年，Robert Redford 与 Candice Bergen 是最初设想的组合，一直没成。
多年后 Hoffman 才想明白，Nichols 把自己投射进了这部电影：他 1939 年从德国逃到美国，七岁还不会一句英语，因脱发自卑。
第一次在曼哈顿 86 街的试映场看成片，他的牙一直在打颤；前二十分钟笑点没落地，之后观众一路笑到站起来。
讨论焦点：11 条。有人怀疑这部片子放到今天是否还立得住。
有人说是 Redford 太好看才让观众代入不了，Hoffman 的普通反而是这部电影成立的原因。
也有人贴了存档链接，还有人推荐 Steven Benedict 那篇九分钟音频解析。
10. The Duty of a Scholar
- 原文入口：daemonology.net · The Duty of a Scholar
- HN 讨论：50319061
- 提交者：gslin（提交于 2026-11-01 03:07）
- 快照热度：77 points | 26 comments
- 原文日期：2026-10-31
- 中文要点：作者是 Colin Percival，FreeBSD 安全官、Tarsnap 作者；文章写的是他交掉博士论文之后那半年。
2004 年 11 月 16 日交论文那天，他想的是 Intel 2002 年引入的超线程：同一颗核上的两个线程能通过缓存状态互相泄露信息。
12 月中旬他做出 PoC，能从 RSA 私钥里偷到足够的比特，把整把钥匙还原出来。
接下来半年他用来私下通知厂商、等补丁。Intel 一度请 Yahoo 出面让他撤稿，Yahoo 回复说他不是自家员工。
2005 年 5 月 13 日，他在 BSDCan 上讲了这篇论文并发布公告。
FreeBSD、NetBSD、Red Hat、SCO、Ubuntu 同期跟进。
他引用 Fichte 关于学者职责的讲演，也引用 IEEE 伦理守则里把公众安全、健康和福祉放在首位那一条。
照他的说法，披露义务只跟风险本身有关，与自己有没有参与那个项目无关。
他给学者下的定义是：研究者生产新知识，学者负责把知识送到需要它的人手里；论文发了没人读，义务就没完成。
讨论焦点：26 条。作者本人出现在评论区，补了一篇 2020 年的姊妹文章。
有人说自己当了十几年 IEEE 会员，很少见到有人把守则当真。
也有人翻出 Intel 当年的回应：这类时序攻击 90 年代就知道了，实际不可行。
11. Molly (Signal fork) has not been updated since 3 months and is vulnerable
- 原文入口：piefed.world · YSK Molly(Signal fork) has not been updated since 3 months and is vulnerable
- HN 讨论：50314666
- 提交者：DeepLogin（提交于 2026-10-31 18:23）
- 快照热度：292 points | 172 comments
- 原文日期：2026-10-31
- 中文要点：帖子指出，Molly 最新版是 7 月 31 日的 v8.19.2-4，至今三个月没有更新。
它停在旧代码上，而主干 Signal 8.27 已经修掉 10 月披露的那个通话漏洞：挂断之后音频仍可能继续，视频或许也在继续。
发帖人的建议是暂时换回官方 Signal、删掉 Molly，等它恢复更新再说。
人们需要 Molly 的地方很具体：去掉 Google 依赖、支持 UnifiedPush 推送、加密数据库、一部手机登两个号。
讨论焦点：172 条。有人问既然有 Signal 为什么还用分支；回答集中在 F-Droid 上更新、不依赖 Google Play 服务。
有人纠正一处流传的说法：Signal 官网那个 APK 会自行更新，并不是装完就不动。
有人提到 Signal 现在支持把第二台安卓手机作为关联设备，一部分人因此不再需要 Molly。
也有开发者放出替代品 Polly：同样基于 8.19.2，加了 RingRTC 2.73.0-1。
它还带上了 Signal 对 8 个泄露的 eMudhra 中间证书的黑名单。
12. Jepsen: ParticleDB 1.1.4
- 原文入口：jepsen.io · Jepsen: ParticleDB 1.1.4
- HN 讨论：50316100
- 提交者：aphyr（提交于 2026-10-31 21:39）
- 快照热度：176 points | 95 comments
- 原文日期：2026-10-31
- 中文要点：ParticleDB 是 Orkes 为工作流平台 Conductor 自己写的数据库，Rust 实现，兼容 Postgres 和 Redis 协议。
首页写着「完整 ACID，159K TPS」，而紧跟着的说明里写的是快照隔离，隔离程度低一档。
Jepsen 测的是 1.1.4。复制功能只在企业云版本里提供，拿到的构建不支持复制，所以报告只覆盖单节点。
报告列出 96 个问题：已提交的写入丢失、读到中间状态、丢更新，还有 WHERE 4 = 5、删不掉的半可见行。
也有表被删掉之后以扭曲形态重新出现，字符串变成整数这一类。
首页说做过「形式化证明」，但合作期间 Jepsen 没拿到任何 TLA+ 规格文件，也就无法确认证明了什么。
隔离级别由启动参数 --txn-mode 决定。
SQL 里的 SET TRANSACTION ISOLATION LEVEL 被忽略或拒绝，文档也没讲清各模式的保证。
WAL 文件损坏会导致数据丢失；而绝大多数测试里，数据库只写 WAL，表全放在内存里。
报告的结论很直接：建议停止部署 ParticleDB，尽快迁到别的数据库，必要时从更可靠的来源重建数据。
Jepsen 还写到一点：大模型工具反复声称 bug 已经修好，实际没修；多数问题 Orkes 也说不清原因和修法。
讨论焦点：95 条。有人翻出「字符串变成整数」那条，接上了 10 月 22 日那期 eMudhra 私钥的梗。
有人问为什么先请 Jepsen，而不是自己先跑一轮测试。
antirez 的回帖是：现在这些智能体足以把低垂的果子先扫一遍。
13. Altoids Project
- 原文入口：uvdn7.github.io · Altoids Project
- HN 讨论：50321048
- 提交者：uvdn7（提交于 2026-11-01 06:54）
- 快照热度：4 points | 0 comments
- 原文日期：2026-10-31
- 中文要点：一位父亲和 12 岁的儿子做了两个月，把一台小电脑塞进 Altoids 薄荷糖铁盒。
起点是 MIT Swapfest 上别人送的一台旧机器人。他们拆下 128×64 的屏幕，却找不到引脚定义。
他们试了 AI，模型把 10 针的屏幕说成 20 针；最后在 Arduino 论坛上找到一位陌生人贴出的原理图。
后面是五轮迭代：换 Arduino Nano、上锂电与升压板、儿子自己画 CAD 做 3D 打印、换细线和新烙铁。
最终版本能合上盖子，盒子里还放了两颗真的薄荷糖。
快照里 4 分、零评论，社区反应还看不出来。
14. Show HN: NES Contra (1987) port (ASM –> C and then C –> WebAssembly)
- 原文入口：epoyraz.github.io · NES Contra (1987) port
- HN 讨论：50319169
- 提交者：tevlon（提交于 2026-11-01 03:18）
- 快照热度：35 points | 24 comments
- 原文日期：日期未确认（页面不标日期）
- 中文要点：作者把 1987 年红白机版《魂斗罗》做了原生移植：先把汇编转成 C，再把 C 编译成 WebAssembly。
打开网页按回车就能玩，方向键移动，A 或空格跳，S 开枪；两人联机时各用自己的键盘。
讨论焦点：24 条。最多人问的是音乐：有人打开就想听原版配乐，发现没有声音。
有人吐槽只支持方向键、不支持 WASD；有人提醒日版《魂斗罗》的内容更多。
也有人顺着这条路问：把同样的关卡换成分辨率更高、音源是采样的重制版，难度会有多大。
15. Much Ado About None: Sentinel Values in Python
- 原文入口：florianwilhelm.info · Much Ado About None: Sentinel Values in Python
- HN 讨论：50297068
- 提交者：sebg（提交于 2026-10-30 06:24）
- 快照热度：40 points | 26 comments
- 原文日期：2026-10-22
- 中文要点：None 在 Python 里被当成万能占位符：缺失、未设置、出错、真的值，全用它。
缓存用 None 表示「没这个键」，就分不清键不存在和值本身是 None；配置里 timeout=None 也分不清是不限时还是不改。
哨兵值的做法是造一个落在合法值域之外的对象，永远不会和真实数据撞上。
Python 自己一直在用：Ellipsis 在 NumPy 切片里跳维度，NotImplemented 让二元运算符去找对方的实现。
Pydantic 的 MISSING 用来区分「显式设成 null」和「压根没传」，它在 2.14 里刚脱离实验阶段。
自己造哨兵的老办法 MISSING = object() 运行没问题，静态类型检查器却没法据此收窄类型。
PEP 661 在 4 月的 PyConDE 上还是推迟状态，九天后指导委员会通过了它。
Python 3.15 起 sentinel 是内置函数。
旧版本可以用 typing_extensions 的回移版本，不过各类型检查器的支持还在追。
讨论焦点：26 条。有人说绕了一圈就是要一个 Optional monad。
有人怀念 Lua 的 nil 和 JavaScript 的 null 与 undefined 之分。
也有人指出缓存本来就该抛 KeyError，例子举错了。
16. Do the math: How we took over ChatGPT accounts
- 原文入口：Parameter · Do the math: How we took over ChatGPT accounts
- HN 讨论：50314699
- 提交者：armcat（提交于 2026-10-31 18:30）
- 快照热度：297 points | 145 comments
- 原文日期：2026-10-28
- 中文要点：Parameter 的团队在 10 月找到一条链：攻击者建一个正常对话，用 ChatGPT 自带的分享功能发出去。
受害者点开链接，代码就在 chatgpt.com 的登录态里跑起来，不需要装应用、加入项目、粘贴代码或开开发者工具。
第一步跨的是 Preview 沙箱。Preview 里的 HTML 跑在另一个域上，读不到父页面。
它仍然可以往主页面投递 postMessage。
突破口是对话里那张图用的 MathLive 库：它给虚拟键盘装了消息监听，对某些设置不校验来源，而键盘布局允许带 HTML。
MathLive 把布局拼成字符串写进 innerHTML；一个看上去像清洗的 createHTML，其实只是把内容标记为可信。
光有 HTML 还不够，脚本不会执行。他们用 iframe 的 srcdoc 造了一个新文档。
这个新文档没有 sandbox 属性，于是拿到了 chatgpt.com 的身份。
剩下的障碍是 CSP：内联脚本被拦。
但 YouTube 的 oEmbed 端点允许 JSONP 回调，而 ChatGPT 的策略放行 YouTube 脚本。
拿到同源 JavaScript 之后，代码可以列会话列表、读一段从未分享过的私聊，再把内容发到外部服务器。
10 月 18 日提交报告，10 月 26 日 OpenAI 确认两个前端都拒掉了那类跨帧消息，标记为 P1，赏金 5,000 美元。
讨论焦点：145 条。最集中的一条是赏金太低：能接管账号的 P1 只给 5,000 美元，会劝退后来的报告者。
也有人盯着技术细节看，说 postMessage、JSONP、iframe 这些老东西串起来照样能穿过新防线。
17. Show HN: A language model that lives in a boot sector
- 原文入口：GitHub · kerlenton/bootgpt
- HN 讨论：50315782
- 提交者：kerlenton（提交于 2026-10-31 20:58）
- 快照热度：46 points | 0 comments
- 原文日期：日期未确认（仓库建于 2026-10-30）
- 中文要点：主引导记录只有 512 字节，作者用手写汇编把整个推理引擎塞了进去。
权重是 11.5KB 的 int8 模型，放在后面 23 个扇区，在 386 的 16 位实模式里跑；没有操作系统，也没有 C 运行时。
它唯一会做的事是做梦：编出一段并不存在的 Linux 启动日志，时间戳、PCI 地址、ACPI 事件一应俱全。
上下文只有 8 个字符、一个隐藏层，所以输出会像样例里那样把 PCI 设备名拼错。
训练语料是脚本生成的 3MB 假 dmesg；量化用 2 的幂做缩放，前向传播只要 imul 和一次 idiv。
作者用 Python 模拟了汇编里的整数运算，两边的输出逐字符一致；按任意键就重启。
快照里 46 分、零评论，社区反应还看不出来。
18. Anthropic blocks users for anything touching training larger models
- 原文入口：X · @jiahaoshao1
- HN 讨论：50319358
- 提交者：pretext（提交于 2026-11-01 03:39）
- 快照热度：153 points | 55 comments
- 原文日期：2026-10-31
- 中文要点：发帖人 Jiahao Shao 说，他从未蒸馏 Claude，rollout 来自另一个强开源模型。
他说 Claude 只是帮他提交任务、跑分析，账号却被标记成「训练竞争对手」。
现在凡涉及 RFT、SFT 或训练更大模型的请求，都会触发封禁、把 Opus 5.5 降级成 Opus 5，或者直接中止会话。
他的下一条推文把这件事说成双重标准：模型本身是拿开放网络上的书、代码和论坛训练出来的。
讨论焦点：55 条。有人指出这位用户在香港，而 Claude 在该地区被地理封锁，训练工作走 VPN 本身就会被分类器当成可疑信号。
也有人从自己的经验出发，说最近的拒答变得莫名其妙，连给自家代码库做服务拆分都被判成「复制代码不道德」。
还有人谈更根本的问题：公开训练语料清单，也许该像食品配料表一样成为义务。
19. Simple circuits can create complex behaviors
- 原文入口：Myriad · Simple circuits can create complex behaviors
- HN 讨论：50261253
- 提交者：aatish（提交于 2026-10-28 00:01）
- 快照热度：207 points | 66 comments
- 原文日期：2026-10-21
- 中文要点：这是 Aatish Bhatia 与神经科学家 Arkarup Banerjee 的互动科普专栏，讲行为如何从神经回路里长出来。
他们造了一个只吃光的虚拟小生物：一只眼睛感光，一片鳍负责摆动。
一只眼配一片鳍，它只能朝一个方向走，多数时候错过光源；再加一只眼一片鳍，它能分辨左右，却朝反方向跑。
原因在连接方式：光越强摆得越快，左边更亮就把身体推向右。
把左右眼的连线交叉，它才开始转向光源；再把兴奋性连接换成抑制性，它才会在光边减速停下。
四个神经元、两条连接，旁观者分别看出怕光、攻击光、爱光三种行为。
文章末尾说这套思路来自 Valentino Braitenberg 1984 年的《Vehicles》，下一篇讲这些回路怎么通过学习重连。
讨论焦点：66 条。有人补了更早的祖先：1948 年 Grey Walter 那两只感光、带触须的「乌龟」机器人。
有人提到 BEAM 机器人这一路的极简电路传统，也有人联想到 Chua 电路和 Boids。
20. Sculpture re-creates odd optical effects of famed Lycurgus Cup
- 原文入口：Ars Technica · Sculpture re-creates odd optical effects of famed Lycurgus Cup
- HN 讨论：50301723
- 提交者：dverlaeckt80（提交于 2026-10-30 17:49）
- 快照热度：11 points | 0 comments
- 原文日期：2026-10-27
- 中文要点：莱库古杯是公元 400 年前后的二色玻璃杯，正面打光是绿色，背光变成深红。
这种笼杯存世只有约 40 只，莱库古杯被算作世界七大玻璃奇迹之一。
2007 年科学家才弄清颜色变化来自玻璃里的纳米颗粒：罗马工匠把磨碎的金和银混进了配方。
2020 年荷兰研究者用银、金纳米颗粒做过 3D 打印材料，复现了变色，但一直没人给出稳定可复制的配方。
谢菲尔德大学的 Lisa Hollands 与罗马玻璃专家 Caroline Jackson 试了不同炉型、材料和含氧量。
其中一次，她们还往配方里加了糖。
她们做出绿红二色的玻璃之后，请玻璃艺术家 Elliot Walker 照莱库古杯做了一件当代雕塑。
快照里 11 分、零评论，社区反应还看不出来。
This story was produced automatically by a channel. One sentence is all it takes for Neodrop to keep producing for you.