Hacker News

Telegram Desktop vulnerability allowed any user's file to be stolen

安全研究者披露 Telegram Desktop 7.2.8 及更早版本存在漏洞（CVE-2026-107181）：点击特制群聊链接即可触发命令注入并滥用内部 interpret: 协议，实现任意本地文件读取并外泄，进而窃取会话授权完成账号接管；官方已在 7.2.9 修复。

研究者通过个人博客披露 CVE-2026-107181：Telegram Desktop 通过本地 socket 以自研文本格式传递待打开链接，命令间用分号分隔且未对 URL 中的分号转义，构造带分号的 tg:// 链接可注入多条指令。其中 OPEN: 指令不过滤 URI scheme，可触达仅存在于 Telegram 内部的 interpret: 协议，该协议读取指令文件并按 channel 与 file 字段把指定文件发送到聊天，全程没有任何授权或确认检查。攻击者只需向受害者所在群组发送指令文件（默认配置下 8 MiB 内自动下载到固定路径），再配合相对路径让受害者点击一次链接即可完成任意文件读取。由于 Telegram Desktop 默认不设本地密码，密钥派生仅依赖明文存储的 salt，读取 tdata/key_datas 即可解出 DEK 并解密 MTProto 会话授权，从而实现账号接管。该漏洞影响 7.2.8 及更早版本并在 Windows 6.9.3 上确认，7.2.9（commit db3405699f）修复，CVSS 3.1 评分 8.1。

REA Reverse – Engineer Anything

REA 是一款面向编码智能体的逆向工程工具，通过 `npx rea-agents@latest setup` 安装后，智能体可检查运行中的程序、读取其脚本与配置并解释其运作规则。文章以 Chrome 恐龙游戏和 Windows 计算器为例演示该工具如何辅助分析程序逻辑。

REA（rea.tools）发布了一款面向编码智能体（coding agent）的逆向工程工具，用户可通过在智能体中运行 `npx rea-agents@latest setup` 完成安装与连接。该工具让智能体检查程序本身以理解其功能，文章展示了两个示例：一是分析 Chrome 恐龙游戏，通过本地调试连接读取正在运行的 index.js，得出速度规则（起始速度 6、每次更新增加 0.001、上限 13）；二是分析 Windows Calculator 的百分号按钮，恢复其在加法和乘法下不同的计算规则。工具支持对原生二进制文件检查函数、字符串、引用与调用关系。

YouTuber Says Cops Visited Him After He Built a Flock-Style Camera to Track Cops

加拿大软件工程师兼 YouTuber Anthony Sistilli 自制了一台车牌识别（ALPR）摄像头用于追踪警车，随后据称有两名 Peel Regional Police 警员登门询问其数据用途。他借此在视频中讨论了 ALPR 技术的滥用、Flock 的营销手法以及数据透明度问题。

加拿大安大略省布兰普顿市的软件工程师兼 YouTuber Anthony Sistilli 自建了一台自动车牌识别（ALPR）摄像头，用于追踪当地警车的行踪，并在 TikTok 上发布多段视频介绍其搭建方式与运作原理。布兰普顿市此前刚花费 200 万加元采购高清摄像头与自动车牌识别技术。据 Sistilli 本周发布的 YouTube 视频，两名 Peel Regional Police 警员据称登门拜访，询问他收集这些数据的“意图”，其中一名警员特别提到此类信息若被用于追踪警察本人会带来人身风险。Sistilli 借此展开对 ALPR 技术的讨论，涵盖 Flock 等公司向市政机构推销产品的方式、该技术是否真正降低犯罪率，以及数据收集与留存缺乏透明度等问题。Peel Regional Police 未立即回应 Gizmodo 的置评请求。

Show HN: Carrier-Explode: iPhone, Pixel and Galaxy carrier settings decoded

Show HN 项目 Carrier-Explode 将 iPhone、Pixel 和 Galaxy 固件中的运营商设置解码并做比对，按运营商展示 APN、VoLTE、5G 与 Wi-Fi Calling 配置，并说明每次固件构建带来的变更。

开发者 Alec Dusheck 在 Hacker News 的 Show HN 板块发布了 Carrier-Explode 项目，官网为 carrierexplode.com，源码托管于 GitHub 仓库 AlecDusheck/carrier-explode。该项目从 iPhone、Pixel 和 Galaxy 固件中提取并解码运营商设置，按运营商维度呈现 APN、VoLTE、5G 和 Wi-Fi Calling 等配置项，并对比不同固件构建之间的差异。网站提供 Carriers、Countries、Features、Builds 和 Compare 等导航入口，用于按运营商、国家和地区及构建版本检索和比较运营商数据。

What mathematicians should know about the Lean Theorem Prover: reliability & AI

数学家 Thomas Hales 在 Terry Tao 博客撰文，讨论 Lean 定理证明器的可靠性及 AI 自动形式化（autoformalization）在 2026 年的实用化进程，并复盘 2026 年夏季暴露的多个内核可靠性（soundness）漏洞。

Thomas Hales 于 2026 年 10 月 9 日在 Terry Tao 博客发表客座文章，介绍 Lean 定理证明器并论证其可靠性。文章指出 Lean 由 Leo de Moura 于 2013 年在微软开发并开源，其数学库 mathlib 含近 30 万条定理、约 250 万行代码。文章列举了 2025 至 2026 年间 AI 自动形式化的多个里程碑（Math Inc.、Meta ATLAS、Anthropic 证明费马大定理、OpenAI 形式化 Navier-Stokes 等），并复盘 2026 年夏季发现的多个 Lean 内核可靠性漏洞，认为这些漏洞由前沿 AI 与安全研究者发现并被迅速修复，反而是积极进展。

Show HN: The rarest tech books and docs you've probably never read

Show HN 项目 readrare.com 上线，收录 54 份来自 Apple、Intel、Google、Netflix、Facebook 等公司内部备忘录、泄露手册与被遗忘的书籍，全部可免费阅读或借阅。

readrare.com 通过 Show HN 发布，是一个收录稀有技术文档与书籍的在线阅读站点。该站点汇集了 54 份来自 Apple、Intel、Google、Netflix 和 Facebook 等公司建设者的内部备忘录、泄露手册与被遗忘的书籍，用户可从中挑选并免费阅读或借阅。文章未披露站点背后的运营方、文档获取方式及具体书单细节。

Scam American companies are using to manipulate ingredient lists

美国企业被指利用"原料拆分"（ingredient splitting）手法操纵食品配料表排序：把甜味剂拆成三种不同成分，使各自重量下降，从而让"草莓"等成分占据配料表首位，掩盖糖分才是主要成分的事实。该做法合法且获 FDA 允许，Smuckers 草莓酱被作为典型案例。

X 平台账号 WallStreetApes 发布视频称，美国食品企业使用名为"原料拆分"（ingredient splitting）的配方手法操纵产品配料表排序。以 Smuckers 草莓酱为例，厂商将甜味剂拆分为三种不同成分分别标注，使每种成分的单独重量降低，从而让"草莓"出现在配料表首位，让消费者误以为产品以草莓为主，实际上主要成分是糖。该帖称原料拆分是真实存在的标签策略，合法且获 FDA 允许，并在视频结尾列出另外 10 种使用同类手法的美国食品。

Typesafe AI raises $870M at $7.5B

TypeSafe AI 完成 8.7 亿美元 A 轮融资，估值 75 亿美元，由 Andreessen Horowitz 领投，Sequoia Capital、DCVC 及多位天使投资人参投，Martin Casado 加入董事会。公司计划围绕其 Jev 产品扩展 machine-native 模型与面向企业的智能软件基础设施。

TypeSafe AI 通过博客宣布完成 A 轮融资，金额为 8.7 亿美元，投后估值 75 亿美元，本轮由 Andreessen Horowitz 领投，Sequoia Capital、现有投资方 DCVC 以及多位天使投资人参与，Martin Casado 加入公司董事会。公司表示资金将用于扩展其 Jev 产品线、推出更多 machine-native 模型，并打造用于构建智能软件的基础设施，同时补充企业所需功能。公司称已有三分之一的 Fortune 500 企业在使用 Jev，并已为客户在生产环境中节省数百万美元。

Triple-A Minesweeper

Mike Lacher 发布了网页游戏 Triple-A Minesweeper，将经典扫雷以“动作化 AAA 重启”的夸张包装重新实现，采用 Windows 95 复古界面风格，在浏览器中直接运行。

网页开发者 Mike Lacher 在 https://minesweeper.mikelacher.com/ 上线了名为 Triple-A Minesweeper 的浏览器游戏，将经典扫雷重新包装为所谓的“动作化 AAA 重启”，宣传语为 Sweep to survive。该页面采用 Windows 95 桌面快捷方式与液晶计数器等复古视觉元素，使用自托管字体并以 SVG 绘制雷数显示和笑脸重置按钮，通过静态 HTML/CSS/JavaScript 在浏览器中运行，并接入 Umami 做访问统计。页面还配置了完整的 Open Graph 与 Twitter 分享卡片、favicon 及规范链接。

'Wallace and Gromit,' 90% Alone

文章回顾了 Nick Park 在 1980 年代独自完成首部《Wallace and Gromit》短片《A Grand Day Out》的漫长历程，他自称独立完成了约 90% 的工作，该片 1989 年在布里斯托动画节首映后为他赢得 BAFTA 并开启其动画生涯。

1989 年 11 月，Nick Park 在布里斯托动画节首映了停格动画短片《Creature Comforts》与《A Grand Day Out》。后者始于 1982 年他在 National Film and Television School 就读期间的毕业作品，因预算与人力有限，Park 独自承担了约 90% 的制作，历时多年才完成。该片最终获得 BAFTA，《Creature Comforts》则拿下奥斯卡，随后 Aardman 将 Park 纳入麾下，他接着创作了《The Wrong Trousers》等作品。文章还提及制片人 Lexie Chu 推动的 Asians in Animation 教育项目及其学习影片《Unboxed》。

Our $445M Series D

Oxide Computer 完成 4.45 亿美元 D 轮融资，由 Eclipse 领投，现有投资者 USIT、Riot Ventures、Jane Street 等跟投，并引入 Atreides Management 与 AMD 作为新投资者。公司已实现盈利并缴纳所得税，订单积压远超产能，此轮资金用于满足订单、扩张制造产能。

硬件初创公司 Oxide Computer 宣布完成 4.45 亿美元 D 轮融资，由现有投资者 Eclipse 领投，USIT、Riot Ventures、Jane Street、Friends and Family Capital、Counterpart 等老股东跟投。公司同时引入两个新投资者：Atreides Management 和战略投资者 AMD。文章称 Oxide 已实现盈利并开始缴纳所得税，且订单积压规模庞大，本轮资金将用于满足现有订单、接受新增需求并扩张制造产能。

Cloudflare acquires Deno

Deno 团队整体加入 Cloudflare。Deno 运行时将再支持一年（每月发布 bug 修复与安全更新）后停止开发，Deno Deploy 将在六个月内关停，JSR 继续运营并将基础设施迁移至 Cloudflare。

Deno 官方宣布整个 Deno 团队加入 Cloudflare，未来开发重心转向基于 Cloudflare Workers 编程模型的共享平台 celld。具体安排为：Deno 运行时继续提供一年支持（含每月 bug 修复与安全更新），之后停止开发但保持开源；Deno Deploy 继续运营六个月后关停，并为付费客户提供迁移到 Cloudflare Workers 的支持；JSR 继续运营，其基础设施迁往 Cloudflare；rusty_v8 继续维护并推进集成进 workerd。团队表示将结合 Workers 与 Durable Objects 的能力，目标是把该编程模型作为构建服务器的默认方式。

Pointing AI at archives found a forgotten meteorite, lost rhinos, and more

软件工程师 Jesse Waites 搭建了一套 AI 研究流水线，用语义检索与多模型过滤对荷兰东印度公司等数百年历史档案进行大规模扫描，发现了一份未被收录的 1812 年陨石坠落记录、三头死在海运途中的爪哇犀牛等此前无人读过的史料。

2026 年，软件工程师 Jesse Waites 受历史学家 Benjamin Breen 用 AI 在荷兰东印度公司档案中发现渡渡鸟新目击记录的启发，在自建的家庭 AI 实验室中搭建了一套历史研究流水线。该流水线以 GLOBALISE 荷兰东印度公司档案转录文本（435 万页）、荷兰国家图书馆数字报纸和两百年美国报纸为语料，先将 570 万段文本转化为语义向量指纹以支持按含义检索，再用低成本快速决策模型 Jev 做首轮筛选，交由 Claude Haiku 精读翻译并提取时间地点，最后用 Claude Code 调取原始手写页扫描件核对转录。在通过已知事件（如 Breen 的渡渡鸟、1783 年 Laki 火山喷发、1815 年 Tambora 喷发）作为对照测试后，流水线发现了一份 1812 年《Java Government Gazette》转载的印度陨石坠落报道，以及 1738 至 1740 年间多封记录爪哇犀牛在运往斯里兰卡康提国王途中死亡的档案。作者强调整个过程由人工主导，AI 负责规模化搜索与阅读。

Sorry, I'm in a meeting

一个名为 Fleeting 的网站提供约十二分钟长、由合成语音和 AI 生成人脸构成的虚构会议录音，用户可播放作为背景音，让旁人误以为其正在开会，以此抵御他人对自己时间的占用。

Fleeting（域名为 iminafleeting.com）由 John Carroll 制作，是一个以“抱歉，我正在开会”为卖点的网站。用户可从列表中选择一场虚构会议并播放约十二分钟长的录音，每段录音会从随机位置开始以避免开头重复，并可勾选“连续会议”选项在结束后自动切换下一场。所有声音均为合成语音，人脸来自 AI 生成或授权素材，除制作者 John Carroll 外的所有姓名均为虚构，网站未录制任何真实会议。该工具还支持生成虚假日程邀请，并可通过全屏或“添加到主屏幕”方式隐藏浏览器地址栏。

Programming Isn't Special

作者主张编程本质上是艺术，因此程序员不应像其他创意行业那样轻易接受用 AI 编程。他借艺术'神秘化'理论论证日常功能性创作同样属于艺术，并警告用 AI 抹除琐碎创作实践会断送技艺成长与伟大作品诞生的机会。

软件工程师兼博客作者 Glyph Lefkowitz 于 2026 年 10 月发表文章《Programming Isn't Special》，论证编程是一种艺术而非纯粹功能性劳动。他引用 John Berger《Ways of Seeing》中的'神秘化'概念，指出艺术并不因功能性而丧失艺术性，并以自己发明异步编程组件 Deferred 的经历说明代码可以是有意的美学表达。作者进一步警告，若用 AI 抹除所有琐碎的创作实践，将剥夺人们通过练习与思考提升技艺的机会，从而把成就伟大作品的概率从'偶尔出现'降为'永不'。他最终主张，编程并不特殊，它只是艺术，因此应当像其他创意媒介一样抵制 AI 的侵蚀。

Eye of Sauron: Long-Range Hidden Spy Camera Detection

USENIX Security 2024 论文提出 ESauron，首个可检测无线、有线与离线等多样形态间谍摄像头并快速定位的概念验证系统。它通过主动刺激场景变化、感知摄像头内存处理视频时辐射的电磁信号（EMR）骤增来检测，在 50 款产品上 4 次刺激即达 100% 准确率，探测距离超 20 米。

湖南大学、加州大学圣地亚哥分校与密歇根州立大学的研究者在 USENIX Security 2024 发表论文《Eye of Sauron: Long-Range Hidden Spy Camera Detection》，提出概念验证系统 ESauron。该系统基于一个关键观察：所有间谍摄像头捕获的原始图像都必须先在设备内置读写内存中完成编码与压缩等处理，而内存时钟会依据工作负载驱动不同数量的开关稳压器活动，产生波动电流并在时钟频率上辐射电磁信号（EMR）。当视觉场景变化时，视频编码等处理突发会加剧内存负载，形成可响应的 EMR 模式。ESauron 通过主动刺激场景变化并感知 EMR 骤增来检测摄像头并定位。在 50 款摄像头产品上的实验显示，仅 4 次刺激即可 100% 检测所有间谍摄像头，即使存在遮挡探测距离仍可超过 20 米，且能准确定位全部摄像头。

Mistral Large 4

Sharing AI progress in mathematics

JetBrains reports revenue growth, net financial loss for 2025

JetBrains 2025 年营收达 160.08 亿捷克克朗，同比增长 6.3%，创历史新高，但全年净亏损 3.15 亿捷克克朗，净资产收益率降至 -11.1%，为 2021 年以来首次由盈转亏。

根据捷克商业登记处（Sbírka listin）提交的独立法定财报，JetBrains s.r.o. 2025 年实现总营收 160.08 亿捷克克朗，同比增长 6.3%，为其历史最高营收水平，在捷克 15 家媒体公司中规模排名第一。同年公司净亏损 3.15 亿捷克克朗，净利润率为 -1.97%，净资产收益率（ROE）为 -11.1%，较上年下降 107 个百分点。EBITDA 降至 9.18 亿捷克克朗，利润率为 5.73%；毛利率由 2024 年的 18.8% 降至 10.7%。数据由 Helgi Library 依据公司备案整理，覆盖 2005 至 2025 年的 731 项指标，公司方面未给出评论。

Nobel Prize in Physics 2026: Francis Halzen

2026年诺贝尔物理学奖授予 Francis Halzen，表彰其对 IceCube Neutrino Observatory 的决策性贡献，以及发现来自天体物理源的高能中微子。

诺贝尔奖官方于2026年宣布，将2026年诺贝尔物理学奖授予 Francis Halzen，获奖理由是其对 IceCube Neutrino Observatory 的决策性贡献，以及发现来自天体物理源的高能中微子。官方同时预告，2026年诺贝尔奖各奖项将于10月5日至12日公布，并在 nobelprize.org 全程直播。