Hacker News 热榜前 30 条

1. Everything I own, owned
   作者用 Claude Opus 5 对手边的摄像头、显示器、麦克风、采集卡和 Wi‑Fi 灯进行 Agent 驱动的固件逆向，仅用约 13 小时就发现多处缺乏签名验证、任意读写和调试接口等问题。文章一方面展示 AI 大幅降低硬件逆向门槛，另一方面也警告外设固件和 IoT 设备的攻击面会因此迅速扩大。
   原文链接 ｜ HN 讨论

2. How I find problems to solve as a staff engineer
   Lalit Maganti 解释 Staff Engineer 如何主动寻找值得解决的问题：不要坐着“想战略”，而是持续吸收团队日常抱怨和阻力，让问题积累，再寻找多个需求背后的共同形状，最后通过原型、RFC 和用户反馈验证。核心能力不是更快完成被分配的任务，而是识别组织尚未明确表达的重要问题。
   原文链接 ｜ HN 讨论

3. Anthropic's best AI model struggles to attract users as cheaper tools thrive
   Financial Times 报道，Anthropic 最昂贵的 Fable 5 在企业客户中的支出占比约停留在 11%，企业反而更多选择更便宜、已经“够用”的模型。这个趋势说明模型市场可能从单纯追求最高能力，转向更看重单位成本下的实际任务效果。
   原文链接 ｜ HN 讨论

4. Migrating a Synology NAS to a UniFi UNAS Pro 8 with Robocopy, SMB Multichannel
   Scott Hanselman 记录把数据从 Synology NAS 迁移到 UniFi UNAS Pro 8 的过程，重点讨论 Robocopy、SMB Multichannel、网络链路和文件复制性能。文章也展示 NAS 迁移时一些看似直观的优化为什么未必能带来预期吞吐量。
   原文链接 ｜ HN 讨论

5. Google Workspace thinks my domain is an email provider (2025)
   作者注册 Google Workspace 时，自己的合法域名被前端规则误判成公共邮箱提供商。进一步调试发现问题来自浏览器端硬编码的正则验证，而且绕过该检查后服务器能够正常接受域名，是一个很典型的客户端校验误伤案例。
   原文链接 ｜ HN 讨论

6. My agent.md to improve LLM-assisted code quality
   Fabien Sanglard 分享自己的 agent.md，用明确的工程约束改善 LLM 生成代码的质量。背景是模型已经能解决复杂问题，但默认输出仍容易出现结构差、注释不足等问题；作者因此把代码风格、设计原则和工作方式显式写进 Agent 上下文。
   原文链接 ｜ HN 讨论

7. What Is a Harness?
   Earendil 讨论 AI Agent 语境里的 Harness：真正决定 Agent 能否稳定工作的，不只是底层模型，还包括围绕模型组织上下文、工具、权限、执行循环和反馈的整套运行环境。随着模型能力趋同，Harness 正逐渐成为 Agent 产品差异化的重要层。
   原文链接 ｜ HN 讨论

8. How Complex Systems Fail (1998)
   Richard Cook 的经典短文总结复杂系统事故的共同规律：系统通常已经在接近失效边界运行，事故很少有单一根因，而是多个潜在故障、局部决策和防护机制共同作用的结果。它对 SRE、基础设施、医疗安全和事故复盘至今仍很有参考价值。
   原文链接 ｜ HN 讨论

9. I built a low-latency AI companion that plays Skyrim with me
   作者构建了 Varkos，一个真正进入 Skyrim 世界并与玩家一起行动的实时 AI Companion。系统强调低延迟、本地推理、持续计划和世界内行动能力，而且架构并不绑定 Skyrim，希望把“会说话的 NPC”推进到能够观察、规划并参与游戏的 Agent。
   原文链接 ｜ HN 讨论

10. Malware infects Android-based automotive head unit firmware
    Kaspersky 分析针对 Android 车机固件的恶意软件案例：恶意代码被直接植入第三方车机系统镜像，使设备从安装或更新固件开始就可能处于被感染状态。它说明廉价 Android 车机的供应链和固件更新渠道同样需要按完整计算机系统来对待。
    原文链接 ｜ HN 讨论

11. My favorite nonfiction books about cults, scams, and schemes
    BookDNA 整理 Emily Paulson 推荐的一组非虚构作品，主题集中在邪教、骗局、操纵和各种精心设计的欺骗机制。适合对社会心理、诈骗机制和群体影响感兴趣的读者作为延伸书单。
    原文链接 ｜ HN 讨论

12. Why Sal Khan't: On Learning by Making but Teaching by Telling
    Punya Mishra 批评一种教育上的矛盾：教育创新者往往强调自己是通过实践、制作和探索学会东西，却仍把“讲给学生听”作为主要教学方式。文章主张真正有效的学习应更多让学习者参与创造、试错和知识建构，而不是只优化内容讲解。
    原文链接 ｜ HN 讨论

13. Rural Village in Spain Is Welcoming Digital Nomads with Open Arms
    Condé Nast Traveler 介绍西班牙乡村通过面向数字游民的项目吸引远程工作者短期或长期居住，希望把淡季消费、人口流入和社区活动带回人口减少的村庄。文章同时关注这种模式怎样尽量让当地社区而非单纯旅游开发受益。
    原文链接 ｜ HN 讨论

14. Implementation of GPT-2 in pure CMake
    一个把 GPT-2 推理直接实现为纯 CMake 项目的实验，不依赖通常意义上的 C/C++ 应用代码来完成模型计算。项目更多是在探索 CMake 作为语言和执行环境究竟能被推到多远，也提供了理解 Transformer 推理步骤的另类入口。
    原文链接 ｜ HN 讨论

15. The first search engine for Internet-connected devices
    HN 条目指向 Shodan。它不是传统网页搜索，而是持续索引暴露在互联网上的服务器、路由器、摄像头、工业设备和其他联网服务，让研究者和管理员能够从服务指纹、端口和设备信息理解互联网暴露面。
    原文链接 ｜ HN 讨论

16. Explain it to me like I'm ten
    Tim Harford 讨论“像给十岁孩子解释一样”为什么是很有效的理解测试：真正掌握一个概念，需要能放下术语和身份包装，用简单语言重新建立因果链。它既适用于学习，也适用于写作、教学和判断自己是否只是熟悉术语。
    原文链接 ｜ HN 讨论

17. A website for debloated open source alternatives
    debloat.dev 收集更轻量、少追踪、少广告或更克制的开源软件替代品，希望帮助用户避开功能膨胀的软件。它本质上是一个按常见应用类别整理的“去膨胀替代方案”目录。
    原文链接 ｜ HN 讨论

18. Decoding silent reading from non-invasive EEG
    研究者尝试从非侵入式 EEG 信号中解码人在默读时的词语信息，并使用对比学习等方法进行开放词汇预测。结果表明 EEG 中确实存在可利用的语言相关信号，而且性能仍明显受训练数据规模限制，但距离可靠读取任意“内心语言”仍有很大差距。
    原文链接 ｜ HN 讨论

19. Kodak DC50 now usable on the Apple II
    Quicktake for Apple II 新版本加入对 1996 年 Kodak DC50 Zoom 数码相机的支持，可以通过串口下载照片、预览缩略图并修改部分相机设置。项目把早期数码摄影硬件和更老的 Apple II 生态连接起来，也包含图像解码和传输性能方面的改进。
    原文链接 ｜ HN 讨论

20. AI and Infrastructure Engineering
    一位基础设施工程师讨论 AI 进入 Kubernetes、AWS 和运维工作后的实际变化。作者认为低层重复工作会越来越多地交给 AI，但架构判断、风险控制、故障理解和对系统后果负责仍然需要工程师；与此同时，过度外包实现细节也可能让人逐渐失去底层技能。
    原文链接 ｜ HN 讨论

21. Over 170k Nonprofits Lost All Their Data. Is Microsoft to Blame?
    Slate 报道微软调整面向非营利组织的软件资助计划后，大量机构被迫迁移账户和数据，一些组织称自己没有获得足够清晰的通知并最终遭遇数据丢失。事件集中暴露了 SaaS 平台政策变化、账户所有权和备份责任之间的风险。
    原文链接 ｜ HN 讨论

22. Declarative WebGPU with S-Expressions
    作者展示 pngine，一个开发了约两年半的声明式 WebGPU 格式与运行时，用 S-expression 描述 shader、pipeline、buffer 和渲染关系。目标是减少 WebGPU 大量命令式 wiring，让 GPU 程序更容易组合、分享和嵌入网页。
    原文链接 ｜ HN 讨论

23. The Remote Work Challenge: Lessons from 5 Cities
    Pew 研究五座美国城市在远程办公普及后的变化，关注市中心办公需求、通勤、住房、税收和商业活动如何重新分布。报告说明远程工作并不是单纯的办公室问题，而会持续改变城市财政与土地使用结构。
    原文链接 ｜ HN 讨论

24. Parallel development without the headaches using Git worktree
    一篇实用的 Git worktree 教程：同一个仓库可以同时把多个分支检出到不同目录，共享 Git 历史而无需频繁 stash 和切换。对同时跑多个 Coding Agent、并行修 Issue 或维护多个版本尤其方便。
    原文链接 ｜ HN 讨论

25. The Sloppification of Peptides
    作者观察当前“肽类热潮”中的网络讨论，重点不是药理本身，而是社交媒体、评论区和 AI 生成内容如何把复杂的健康与科研议题快速变成高度同质、难以判断真人与营销内容的讨论环境。
    原文链接 ｜ HN 讨论

26. The Vibe Tax
    文章讨论 Vibe Coding 的隐性成本：LLM 让“先做出来”变得非常便宜，但随着项目增长，开发者需要为自己没有亲手建立的代码模型支付理解、调试、重构和维护成本。生成速度提高并不意味着软件生命周期总成本同比下降。
    原文链接 ｜ HN 讨论

27. Former OC actor Ben McKenzie on crusade to take down 'stupid' cryptocurrency
    RNZ 转述对演员 Ben McKenzie 的采访，他近年来持续批评加密货币行业，并把相关研究扩展到书籍和纪录片。HN 讨论也对他关于 Bitcoin 和公司发行等表述的准确性提出了明显质疑，因此更适合作为观点采访而不是技术解释阅读。
    原文链接 ｜ HN 讨论

28. Things I want in a modern relational query language
    作者认为 SQL 背后的关系模型非常强，但语言本身长期积累了不少笨重和历史包袱，并列出自己希望现代关系查询语言改进的设计点。文章从真实使用场景出发思考：如果保留关系代数优势，同时重新设计语法和组合方式，数据库编程可以变得怎样。
    原文链接 ｜ HN 讨论

29. Coconut oil jet fuel matches kerosene's efficiency in engine tests
    一项发动机测试研究发现，椰子油来源的生物燃料与传统航空煤油混合后，热效率可以接近纯煤油，同时较高混合比例降低了未燃烃排放。现阶段这是受控发动机实验结果，并不意味着已经解决规模化生产、航空认证和全生命周期碳排等问题。
    原文链接 ｜ HN 讨论

30. Death to px, long live ch
    Terence Eden 主张 Web 排版应更多使用 ch 等与文字相关的 CSS 单位，而不是把 px 当作绝对可靠的视觉尺度。文章从屏幕像素、CSS pixel 和文本可读性出发，强调布局尺寸最好围绕内容和字体而不是设备像素建立。
    原文链接 ｜ HN 讨论

重点分类

Arduino / ESP32 / Raspberry Pi

• 1｜Everything I own, owned：虽然不是专门的 ESP32 项目，但非常贴近嵌入式与外设安全；AI Agent 已经能在几小时内完成过去需要大量人工时间的固件逆向。
• 10｜Malware infects Android-based automotive head unit firmware：车机固件供应链案例，对所有联网嵌入式设备的固件签名、升级链和出厂镜像安全都有参考价值。
• 19｜Kodak DC50 now usable on the Apple II：复古硬件互操作项目，涉及串口通信、图像格式解码和受限平台上的性能优化。

LLM / Agent

• 1｜Everything I own, owned：今天最值得看的 Agent 实践之一，展示 Claude 如何把固件逆向从专家密集型工作变成半自动迭代流程，同时也暴露新的安全风险。
• 3｜Anthropic's best AI model struggles to attract users as cheaper tools thrive：企业开始明显考虑“够用即可”，模型市场竞争正在从绝对能力转向性价比。
• 6｜My agent.md to improve LLM-assisted code quality：通过仓库级 Agent 指令约束生成代码质量，是当前 Coding Agent 工作流里非常实用的方法。
• 7｜What Is a Harness?：直接讨论 Agent Harness 的定义与价值，适合理解模型之外的上下文、工具和执行层为什么越来越重要。
• 9｜I built a low-latency AI companion that plays Skyrim with me：实时、低延迟、有世界行动能力的游戏 Agent，而不只是聊天 NPC。
• 14｜Implementation of GPT-2 in pure CMake：另类的模型实现实验，也能帮助理解 Transformer 推理到底由哪些基础计算组成。
• 20｜AI and Infrastructure Engineering：从真实基础设施工程工作讨论 AI 会替代什么、不会替代什么，以及技能外包的代价。
• 24｜Parallel development without the headaches using Git worktree：Git worktree 与多个 Coding Agent 并行开发天然契合。
• 26｜The Vibe Tax：提醒 Vibe Coding 的成本往往从“写代码”转移到理解、验证和长期维护。

学习与阅读

• 2｜How I find problems to solve as a staff engineer：适合学习高级工程师如何从需求噪音中识别真正值得解决的问题。
• 8｜How Complex Systems Fail (1998)：复杂系统、安全工程和事故复盘领域的经典短文，篇幅短但密度很高。
• 11｜My favorite nonfiction books about cults, scams, and schemes：社会心理、骗局和群体操纵主题的延伸阅读书单。
• 12｜Why Sal Khan't: On Learning by Making but Teaching by Telling：直接讨论“做中学”与“讲授式教学”的矛盾，对教育设计很有启发。
• 16｜Explain it to me like I'm ten：把简单解释当作检验理解深度的方法，适合学习和技术写作。
• 18｜Decoding silent reading from non-invasive EEG：脑机接口、EEG 与语言解码方向的新论文。
• 22｜Declarative WebGPU with S-Expressions：通过实际项目理解 WebGPU pipeline 和声明式 GPU 编程。
• 24｜Parallel development without the headaches using Git worktree：很实用的 Git 并行开发教程。
• 28｜Things I want in a modern relational query language：适合重新思考 SQL、关系模型和查询语言设计。
• 30｜Death to px, long live ch：短而具体的 Web 排版文章，对响应式和内容导向设计有启发。

写作与博客

• 2｜How I find problems to solve as a staff engineer：把抽象的“Staff Engineer 要有战略影响力”拆成可观察、可执行的个人工作方法，技术职业写作很扎实。
• 6｜My agent.md to improve LLM-assisted code quality：Fabien Sanglard 一贯的工程写作方式，从真实失败经验切入，再给出具体工具和规则。
• 12｜Why Sal Khan't: On Learning by Making but Teaching by Telling：标题和论点都很鲜明，用一个具体人物切入更大的教育方法问题。
• 16｜Explain it to me like I'm ten：展示如何围绕一个简单表达展开对理解、解释和沟通的思考。
• 26｜The Vibe Tax：用“税”这个隐喻描述 AI 写代码后被延迟支付的理解和维护成本，概念很容易记住。
• 30｜Death to px, long live ch：400 字左右就完成一个明确的 Web 设计观点，是很好的短博客范例。

独立博客精选

• 1｜Everything I own, owned：今天首推。项目细节、实验数据和安全反思结合得很好，而且 AI Agent 参与硬件逆向的速度变化非常值得关注。
• 2｜How I find problems to solve as a staff engineer：不是泛泛谈晋升，而是详细写自己怎样听问题、等待证据、寻找共同形状并验证方案。
• 5｜Google Workspace thinks my domain is an email provider (2025)：从一个注册失败一路调试到前端正则，是典型的个人技术调查记录。
• 6｜My agent.md to improve LLM-assisted code quality：直接公开自己的 Agent 工作规范，对实际 Coding Agent 用户很有参考价值。
• 9｜I built a low-latency AI companion that plays Skyrim with me：个人项目完成度很高，把游戏、低延迟推理和 Agent 世界行动结合起来。
• 20｜AI and Infrastructure Engineering：来自基础设施工程师的一线 AI 使用反思，比宏观“AI 是否取代程序员”讨论具体得多。
• 22｜Declarative WebGPU with S-Expressions：两年半个人项目背后的设计说明，技术密度高且有可运行的实现。
• 24｜Parallel development without the headaches using Git worktree：针对实际开发痛点的清晰教程，尤其适合现在多 Agent 并行工作流。
• 26｜The Vibe Tax：对 Vibe Coding 的批评不落在“AI 好不好”，而是聚焦软件维护成本如何重新分配。
• 28｜Things I want in a modern relational query language：从多年积累的真实数据库使用痛点出发讨论语言设计，很有个人工程观点。
• 30｜Death to px, long live ch：短小、明确、有争议性，也直接落到 CSS 实践，是很典型的优质个人 Web 博客。