原标题：《Passkeys are a trap. Do not use them》 评分: 989 | 作者: laurex 💭 防钓鱼的钥匙，何时变成平台的电子镣铐？ 🎯 讨论背景 争议围绕 Passkeys（基于 WebAuthn 的公钥登录方式）展开：它以每个网站独立的密钥对替代密码，私钥不上传服务器，并把签名绑定到网站域名，从而显著降低密码库泄露和钓鱼风险。文章担心 WebAuthn 中的 attestation（认证器与设备安全属性的远程证明）会让依赖方逐渐只接受获认可的硬件、操作系统和密码管理器，进而压缩 FOSS、Linux 与自托管工具的使用空间。支持者则认为消费级 Apple 设备目前不支持同步 Passkey 的此类证明，强制实施会损害兼容性；attestation 更适合企业受管设备而非大众网站。争论也涉及银行和监管：日本券商的强制 Passkey、Android Play Integrity（Google 的设备完整性验证服务）与 EU PSD2（欧盟支付服务监管框架）被视为安全、反欺诈与终端控制相互拉扯的现实背景。 📌 讨论焦点 远程证明可能成为平台准
原标题：《Muse Wonder》 评分: 380 | 作者: meetpateltech 💭 基准第二的助手，为何连明天航班都搞错？ 🎯 讨论背景 Muse Wonder 是 Meta（拥有 Facebook、Instagram 和 WhatsApp 的互联网公司）推出的 Muse 模型家族新成员，其中 Wonder Full 被宣传为高端版本，基础 Wonder 则面向 API 和后续助手功能。讨论发生在大模型厂商以编程、视觉和 agent 基准争夺“frontier”地位的背景下，参照对象包括 Anthropic 的 Claude、OpenAI 的模型及中国的开放模型。Meta 过去以 Llama（开放权重语言模型系列）著称，但评论所述的 Spark 权重承诺尚未兑现，Wonder Full 也受订阅和自有 Muse Code（Meta 的 AI 编程工具）限制。其竞争力被联系到大规模数据中心投资、Prometheus（Meta 位于俄亥俄州的数据中心）训练资源，以及可向数十亿既有社交产品用户分发 AI 助手的能力。 📌 讨论焦点 基准成绩与真实能力的落差 评论者认可 Mu
原标题：《AI models may be capable of self-replicating without access to a datacenter》 评分: 23 | 作者: artninja1988 💭 能跑命令的已攻陷主机，何时成了 AI 觉醒？ 🎯 讨论背景 争议围绕一项被评论者归于 Anthropic（开发 Claude 的 AI 公司）的安全研究：研究称 GLM-5.2（一种语言模型）可协助把 Llama 3.1-8B（Meta 发布的约 80 亿参数开放权重模型）部署到其他机器，步骤包括网络枚举、payload 传送及推理服务启动。这里的“无数据中心”不是模型脱离硬件运行，而是指可将较小模型的 weights 与 harness（代理运行框架）复制到本地电脑或潜在联网设备上。批评者认为，研究前提包含已获得 reverse shell（远程命令执行入口）的脆弱主机，因此核心安全问题仍是传统入侵权限与硬件资源，而非模型自行突破防线。讨论也连接到开放权重模型是否应受限制、闭源 AI 公司能否借灾难风险叙事塑造监管，以及美中技术竞争是否妨碍国际安全合作的长期争论。
原标题：《Ask HN: Do you want a router that has DD-WRT pre-installed?》 评分: 123 | 作者: Ixander 💭 连刷机费都不肯付，靠什么卖路由器？ 🎯 讨论背景 提问者考虑销售预装 DD-WRT（第三方路由器固件）的路由器，并询问是否存在足够需求。讨论的前提是，家用路由器长期受 ISP 提供的网关设备、成熟 mesh 产品和芯片厂商闭源无线驱动限制；刷第三方固件可获得 VPN、VLAN、ad-blocking 等高级控制，但也带来兼容、更新和支持成本。OpenWrt（嵌入式网络设备开源 Linux 发行版）目前被普遍视为更活跃的方案，GL.iNet（一家销售基于 OpenWrt 路由器的厂商）、Ubiquiti（网络设备厂商）和 OPNsense（开源防火墙平台）已分别覆盖易用设备、商用品质和自建网络需求。争论的核心不是能否预装固件，而是小厂能否把开源网络能力包装为可信、长期维护且普通人愿意付费的产品。 📌 讨论焦点 DD-WRT 已非首选，偏好原生 OpenWrt 多数技术用户认为 OpenWrt 已取代 DD
原标题：《Just say no to OpenAI and Anthropic》 评分: 22 | 作者: DeepLogin 💭 把模型换个国籍，垄断和监控就自动消失？ 🎯 讨论背景 原文主张用户拒用 OpenAI 和 Anthropic（两家提供闭源前沿大语言模型的美国公司），转向可自行运行的 open weights，以避免数据、算力和模型控制权集中在少数企业手中。讨论的直接背景是 ChatGPT、Claude 等聊天产品及 API 主要以云服务方式交付，而 Amazon Bedrock（AWS 的模型托管平台）和 Google Vertex（Google Cloud 的机器学习平台）等企业渠道可提供 zero data retention 选项。支持者把这一选择连接到 Big Tech、社交媒体垄断、政治游说与 data center 环境成本等既有争议；反对者则强调，开源模型在复杂软件工程任务中的能力、价格和部署门槛仍未普遍追平 Claude Opus 等前沿闭源模型。GLM、DeepSeek 和 Mistral 分别代表中国、法国等非美国模型供应方，因而也引出竞争多元
原标题：《Incident with Actions, Pull Requests and Issues》 评分: 131 | 作者: dkpk 💭 既然 AI 写代码无所不能，为何连 GitHub 都救不了？ 🎯 讨论背景 该事故涉及 GitHub（Microsoft 旗下代码托管平台）的 Actions、Pull Requests 和 Issues 等协作功能不可用或受影响，且评论者认为类似故障已相当频繁。GitHub Actions（托管式 CI/CD 自动化服务）会在代码提交、PR 更新等事件后调度 runner 执行测试和部署；LLM 驱动的 agentic coding 使单个用户能快速生成大量项目、提交和工作流触发。讨论以 GitHub 所称的高成本操作量从每日约 5000 万升至 20 亿为前提，同时质疑其指标、架构和 Azure（Microsoft 云计算平台）资源调度是否足以解释反复故障。争议也触及 GitHub 的免费层战略：免费跨平台 CI 曾帮助其成为软件开发的默认协作中心，但如今可能让少量自动化用户把共享基础设施当作廉价计算后端。 📌 讨论焦点 AI
原标题：《Fingerprints Are the New Cookies》 评分: 644 | 作者: royfish 💭 同意按钮点麻了，谁还记得自己拒绝了什么？ 🎯 讨论背景 原文以一个浏览器指纹演示说明：即使没有传统 Cookies，网站仍可从 HTTP headers、字体、屏幕参数、Canvas、WebGL、音频处理和网络特征拼出访问者的概率性身份。Cookies 本身是 HTTP（无状态网络协议）维持登录和偏好的常用机制，而浏览器指纹更难由用户查看、删除或按站点隔离；“指纹是新 Cookies”的说法因此强调的是追踪手段的迁移，而非该技术刚出现。Fingerprint.com（商业设备识别服务）和 JSCreep（浏览器指纹演示项目）被用作能力与局限的实例，评论者尤其争论其跨 IP 的稳定性是否足以支撑大规模广告追踪。欧盟的 GDPR（通用数据保护条例）与 ePrivacy Directive（电子通信隐私规则）理论上已能覆盖许多指纹追踪行为，但不透明脚本、误导性同意横幅和有限执法使实际保护明显不足。 📌 讨论焦点 指纹能力强，但持久性和规模效果存争议 浏览器指纹会
原标题：《QGIS bans AI assisted contributions》 评分: 333 | 作者: bwnkl 💭 十万行 AI PR，究竟该让谁免费审？ 🎯 讨论背景 QGIS（一个开源桌面 Geographic Information System，GIS）用于处理地图、遥感、基础设施和空间分析数据，主程序是跨平台的 Python/C ++/Qt 应用，并依赖 GDAL、GEOS、PROJ 等地理数据格式、几何运算与投影基础库。其社区此前采用“human in the loop”方针，即允许使用工具但要求贡献者理解并能解释代码；在大量 AI 生成的 Issue 和 PR 增加审查负担后，项目改为暂时禁止 LLM、AI 或 agent-assisted 代码贡献，并保留未来调整的可能。讨论的焦点不是 QGIS 能否使用 AI，而是生成能力使代码供给远超志愿维护者的验证能力，尤其空间计算中的 CRS、投影和精度错误可能隐蔽且后果严重。QGIS 也依赖长期积累的用户、维护者及商业支持网络，因此提交政策同时触及代码质量、社区培养、信任和开源治理模式。 📌 讨论焦点 维护者
原标题：《Fridges in French supermarkets hit by cyber attack》 评分: 35 | 作者: cataflam 💭 冷柜都直连公网了，燃气管道还会远吗？ 🎯 讨论背景 Danfoss（丹麦制冷与工业控制设备制造商）的冷柜控制系统被指出存在已披露的安全漏洞，法国超市冷藏设备遭攻击后，食品损失与设备停摆成为可见后果。此类设备属于 OT（Operational Technology，控制现实物理设备的运营技术）范畴，远程管理可用于监测温度、故障和维护，但若控制接口直接暴露于公网，攻击者也可能改变设备状态。评论者将它与 SCADA（用于监控和控制工业流程的系统）长期缺乏更新、防护薄弱的问题相联系，担忧同类漏洞未来波及能源、水利等更关键基础设施。美国军事基地的类似传闻及俄欧冲突背景被提出作为可能线索，但讨论中尚无证据证明存在同一攻击者或明确政治动机。 📌 讨论焦点 攻击来源与动机仍属猜测 评论者联想到 2026 年 8 月底美国军事基地发生的疑似 Danfoss 相关事件，怀疑两起事故可能来自同一团伙，也可能只是模仿公开报道，或完全无关。有人认
原标题：《French supermarkets suffer fridge shutdown after 'unprecedented' cyberattack》 评分: 25 | 作者: thinkcontext 💭 监测温度，何必顺手授权黑客烤熟牛奶？ 🎯 讨论背景 报道所称事件是法国超市的冷柜在一次被称为“前所未有”的网络攻击后停摆；评论补充称，设备可能被远程切至 defrost（制冷设备的升温化霜模式），而不只是失去供电。商用冷链通常需要持续记录保存温度，以满足食品安全和防止货品变质的要求，因此厂商会部署联网监测与集中维护系统。争论集中在 operational technology（OT，控制实体设备的运营技术）中“可观测性”和“可远程操作”不应被混为一谈：前者有明确效益，后者若缺少网络隔离、权限限制和本地人工兜底，便会把网络入侵转化为现实世界损害。LLM（大语言模型）降低获取技术信息的门槛，也令一些评论者担忧低门槛攻击者更容易利用暴露的 IoT（物联网）设备。 📌 讨论焦点 联网监控有运维价值，但控制权限应隔离 评论者认为，冷柜联网可用于集中维护和温度监测，及时发现
