原标题：《CVE-2026-111943: Compromised Intermediate Certificate Authority》 评分: 310 | 作者: keks24 💭 CA 把私钥设成 4，谁还需要黑客？ 🎯 讨论背景 CVE-2026-111943 是围绕 eMudhra（签发 TLS 证书的 CA）中间证书被攻破的 Go 生态补救条目，而更大的事件是该 CA 的多个中间签名私钥因弱密钥生成而可被恢复。持有这些私钥的人可签发任意域名的伪造证书，从而对仍信任相应证书链的客户端实施 MITM（中间人攻击）。Go（编译型编程语言）的 crypto/x509（TLS 证书验证库）加入了内置 deny list（显式拒绝名单），但应用需重新编译才会携带它；Python 的 certifi（CA 证书包）、uv（Python 包与环境管理工具）及部分 JDK、容器镜像也可能各自携带独立证书库。系统 CA bundle（受信任证书集合）更新能保护许多应用，但嵌入式设备、旧容器和隔离运行环境往往不会自动继承该修复。 📌 讨论焦点 影响范围与补丁滞后 eMudhra 的八个中间
原标题：《WorldTUI: I trained a 360M model to pretend to be a terminal》 评分: 356 | 作者: alphax314 💭 连 mkdir 后 ls 都不可信，还要用 GPU 取代终端？ 🎯 讨论背景 WorldTUI 是一个将终端当作可学习环境的实验：作者把约 360M 参数模型训练成接收按键、窗口尺寸和时间信息后，预测下一帧终端屏幕，而非调用真实 shell、文件系统或程序。它建立在 Qwen2.5-Coder-0.5B（面向代码与命令行任务的语言模型）之上，借助 fine-tuning 学会模拟命令、TUI 程序和部分状态延续。该项目延续了“提示 LLM 扮演终端”、虚拟机模拟，以及 World model（预测交互环境演化的模型）研究路线；Microsoft 的 Quake II 模拟模型和 Google DeepMind 的 Genie（生成式交互世界模型）都是相邻案例。争议核心在于：逼真的预测界面能否承担真实软件功能，以及它应作为安全蜜罐、评估沙盒和压缩器，还是只应保留为有趣但不可靠的演示。 📌 讨论焦点
原标题：《The recently proposed O(n log n) integer multiplication algorithm [pdf]》 评分: 244 | 作者: craigcitro 💭 AI 替 AI 验完证明，人类还负责点头吗？ 🎯 讨论背景 整数乘法的位复杂度长期是算法理论核心问题：FFT（快速傅里叶变换）使其达到 O(n log n)，而 2019 年的工作给出了严格意义上的该界。此次讨论围绕一组由 OpenAI 相关模型产出的论文，它们声称把复杂度进一步降为 o(n log n)，即相对 n log n 存在会随规模增长而显现的严格改进。David Harvey（整数乘法算法研究者、此前关键结果的共同作者）撰写长文评估该结果，坦言新论文的表述极难消化，并借助 Fable（用于解释技术文本的 frontier LLM）理解论证。与此同时，Lean（形式化定理证明器）中的独立形式化工作被用作可验证性证据，讨论因而扩展为：机器可检查的正确性、可供人类学习的解释，以及由少数公司掌握模型能力之间是否存在冲突。 📌 讨论焦点 复杂度突破的真实含义与实用性 讨论
原标题：《eMudhra to Exit Global SSL/TLS Certificate Business;》 评分: 37 | 作者: parimm 💭 连基础质询都答不上，凭什么继续卖“信任”？ 🎯 讨论背景 eMudhra 是一家曾参与公开 Web PKI（网页公钥基础设施）的证书颁发机构，现宣布退出全球 SSL/TLS 证书业务，转而关注其他信任服务。公开受信任的 CA（Certificate Authority，证书颁发机构）可为网站签发证书，而 Chrome、Firefox 等浏览器会通过根证书信任库决定是否接受这些证书。CA/Browser Forum（制定公开信任证书实践标准的行业论坛）以及 Apple、Google、Mozilla 的根证书计划，因而对 CA 的准入、审计和事故处置具有关键影响。评论所指的 Chrome 公开提问，反映该公司的合规与解释能力已受到浏览器生态的严厉审查。 📌 讨论焦点 证书颁发机构准入与问责 评论认为，CA/Browser Forum、Apple、Google 和 Mozilla 等参与浏览器信任生态的机构，不应轻易给予缺乏安
原标题：《Meta ordered to pay $25B penalty in New Mexico Cambridge Analytica case》 评分: 612 | 作者: cbg0 💭 罚款打折后，隐私侵权就成广告预算了？ 🎯 讨论背景 Cambridge Analytica 丑闻源于 2010 年代 Facebook 的第三方 app 和 API 机制：用户安装测验等 app 后，开发者可取得用户及其好友的个人资料，Cambridge Analytica（已破产的政治咨询公司）再将数据用于政治画像和广告。新墨西哥州依据《Unfair Practices Act》（该州消费者保护法）起诉 Meta，陪审团认定其存在逾 4300 万项违法，按法定上限计算原可达约 2190 亿美元，法官最终降为 250 亿美元。该案与 Meta 此前支付的 FTC 50 亿美元罚款、SEC 1 亿美元和解、私人 class action 的 7.25 亿美元和解以及多州未成年人安全和解并行；后者曾以 4.59 亿美元换取 47 州放弃部分 Cambridge Analytica 相关州级索
原标题：《Beyond the &》 评分: 25 | 作者: PaulHoule 💭 为了少写一行，真要把点号变成魔法吗？ 🎯 讨论背景 《Beyond the &》围绕 Rust（一种强调内存安全与所有权的系统编程语言）如何扩展 `& ` 引用之外的可借用、可赋值位置语义展开。核心概念是 place（编译期位置表达式）与 pointer（运行期指针表示）的分离：现行编译器对 `& ` 和 Box（Rust 标准库的堆分配智能指针）有若干内建便利，而自定义 smart pointer 往往要手动转换借用。争论涉及 Rust 的 borrow checker（静态检查所有权和借用规则的编译器机制）应保持规则显式可预测，还是通过 traits 让抽象指针获得更自然的操作体验。LWN.net（关注自由软件开发的新闻站点）刊载此话题也与 Rust 进入 Linux kernel 有关：内核中的资源抽象及不能总依赖 alloc 的约束，使替代 Box 的指针类型更受关注。 📌 讨论焦点 将 place 一等化以统一指针语义 支持者认为，问题不只是某段 MutexGuard 代码报错，而是
原标题：《Using LLM for confidence scoring is a bad idea》 评分: 122 | 作者: jimauthors 💭 没标注数据，也敢让模型报精确置信度？ 🎯 讨论背景 原文质疑直接让 LLM（Large Language Model，大语言模型）以数字形式自报答案置信度的做法，并以天气预测式的概率判断作比较。统计学中的校准要求概率与某个明确任务、带标签的样本总体上的实际频率相符，不能只看一次生成结果。评论讨论了把输出限制为类别并读取 log probabilities（模型对 token 的条件概率）、重复采样，以及采用结构化 rubric（评分准则）等替代办法，但都需要独立验证。JEV（评论中指面向决策或置信度训练的模型）和 RL（Reinforcement Learning，利用反馈信号优化行为的强化学习）被视为可能改善置信度的路径，而闭源 API 模型更新会使已有校准失效。 📌 讨论焦点 置信度必须由任务数据校准 评论者强调，置信度不是模型对单个回答随口报出的数字，而是针对特定任务、带标签样本群体上验证出来的频率属性。例如某人长期
原标题：《OpenAI models are coming to Google Cloud》 评分: 304 | 作者: armcat 💭 模型彼此托管、互相蒸馏，竞争演给谁看？ 🎯 讨论背景 OpenAI 正把其模型接入 Google Cloud（GCP，Google 的公有云平台），让企业能在既有 GCP 环境中采购和调用模型，并可在一定条件下使用原有云承诺额度结算。此举发生在 OpenAI 长期依赖 Microsoft Azure（微软公有云）作为主要云合作伙伴、同时开始通过 AWS Bedrock（Amazon 的托管基础模型平台）等渠道分发的背景下；GCP 此前也已托管 Anthropic 的 Claude 模型。Google 一面以 Gemini（Google 自研大模型系列）支撑 Search 的 AI Overview 和面向用户的产品，一面把 GCP 建成多模型市场，以争夺企业的 AI 推理支出。讨论的核心矛盾是：模型公司需要更多云渠道和算力，云公司则希望从所有模型的计算消费获利，但托管直接竞争者也会引发数据隔离、模型蒸馏与市场集中问题。 📌 讨论焦点 多云分发
原标题：《Google's Rust Style Guide》 评分: 333 | 作者: kaycebasques 💭 把漏处理新状态留到线上，真叫兼容吗？ 🎯 讨论背景 Google 发布了覆盖 API 设计、实现组织、命名和格式规则的 Rust Style Guide，并含 Chromium（大型开源浏览器项目）等特定环境的变体建议。争议最集中于公开 API enum 是否默认使用 `#[non_exhaustive] `：Google 式大型多团队、分布式服务环境希望允许生产者先演进，消费者自行安排更新；传统 Rust 使用者则更重视穷尽匹配带来的编译期变更检查。Chromium 的小 crate 建议建立在 Blaze/Bazel（Google 系的大规模、远程缓存构建系统）按 crate 编译的现实上，而不是单纯要求把函数或抽象无限切碎。讨论还投射到 Rust 替代 C/C ++、LLM 生成代码能否减少人工规范与审查等更广泛的工程治理问题。 📌 讨论焦点 `#[non_exhaustive] `：兼容性优先还是编译期安全优先 争论焦点是公开 enum 新增 vari
原标题：《Tiny possum and glider thought extinct for 6000 years found in remote West Papua》 评分: 231 | 作者: bryanrasmussen 💭 动物重现了，森林何时才能不被开发商灭绝？ 🎯 讨论背景 报道所称的小型 possum（负鼠类）和 glider（滑翔有袋类）此前依据化石或长期缺乏记录，被认为已灭绝约 6000 年，如今在偏远的西巴布亚重新发现。西巴布亚位于新几内亚岛西部并由印度尼西亚管辖；相邻东部则是独立国家 Papua New Guinea（巴布亚新几内亚），两地不能与 Borneo（婆罗洲）混为一谈。评论的核心前提是，这片调查不足的热带山地雨林可能仍保存未知物种，但伐木、烧林和 palm oil（棕榈油）种植园扩张正在压缩栖息地。当地还叠加 Papua conflict（围绕印尼统治、原住民权利与独立诉求的长期冲突）及 Grasberg Mine（大型金铜矿）的资源利益争议，使科研准入、媒体报道和保护行动都带有政治风险。 📌 讨论焦点 偏远雨林蕴藏物种，但栖地正被棕榈油侵蚀
