1. Claude Code 与 OpenCode 令牌开销深度对比:33k 对 7k 的起步差距从何而来;
  2. 新旧应用,皆由现代编码代理驱动;
  3. 我爱大语言模型,我厌恶炒作;
  4. Chrome 148 起 Math.tanh 浮点尾数差异成为操作系统指纹;
  5. Ghostel.el:基于 libghostty 的现代 Emacs 终端模拟器;

以上是今天的前五条黑科技新闻标题。

总共25条,具体内容您往下读…

1. Claude Code 与 OpenCode 令牌开销深度对比:33k 对 7k 的起步差距从何而来

🔗 systima.ai: Claude Code sends 33k tokens before reading the prompt; OpenCode sends 7k

🔥🔥: 450 | 💬: 251 | 🗓️ 2026-07-12


实验将两个编码智能体置于相同模型、相同机器和相同任务下,在 API 边界抓包测量。结果发现,Claude Code 在收到用户提示前就已发送约 33,000 tokens 的系统提示、工具模式及注入的提醒块,而 OpenCode 仅为 约 7,000 tokens,差距主要来自工具定义(Claude Code 27 个工具占用约 24,000 tokens)。缓存效率同样悬殊,OpenCode 的请求前缀字节完全一致,缓存一次即可廉价复用;Claude Code 却频繁重写缓存,写入量最高可达对方的 54 倍。真实配置会进一步放大差距:一份 72KB 的 AGENTS.md 指令文件让每次请求额外增加 20,000 tokens,五个 MCP 服务器再加 5,000–7,000 tokens,最终首次请求轻易膨胀到 75,000 至 85,000 tokens。而最大的成本倍增器来自 子代理,一次小任务直接执行消耗 121,000 tokens,分派给两个子代理后暴增至 513,000 tokens。但在多步骤任务中,Claude Code 通过批量并行工具调用减少请求轮次,整体总消耗反而可能低于逐轮支付小基线的 OpenCode。简言之,工具定义和配置层叠决定了实际开销,生产环境中必须在 API 边界用数据而非猜测来理解智能体的令牌行为。


2. 新旧应用,皆由现代编码代理驱动

🔗 terrytao.wordpress.com: Old and new apps, via modern coding agents

🔥🔥: 411 | 💬: 117 | 🗓️ 2026-07-12


在当今快速迭代的软件开发领域,现代编码代理正成为一股变革力量。无论是对遗留系统的现代化改造,还是从零开始构建全新应用,这些智能工具都能显著提升开发效率。文章出自 Ben Eastaugh 和 Chris Sternal-Johnson 的博客,探讨了如何利用最新的 AI 辅助编码技术,无缝衔接旧有代码库云原生架构。他们强调,编码代理不仅能理解上下文、自动补全,更能主动提出重构建议,将技术债务转化为可维护的资产,同时在新项目中快速搭建原型,让开发者更专注于创造性问题解决,实现生产力质的飞跃。


3. 我爱大语言模型,我厌恶炒作

🔗 geohot.github.io: I love LLMs, I hate hype

🔥🔥: 304 | 💬: 187 | 🗓️ 2026-07-12


作者热切拥抱AI进步,但痛斥两种负面炒作:一是制造“窗口关闭”“永久落后”的焦虑,诱使人们奔赴糟糕的旧金山;二是将模型从自动补全夸张成“控制整个光锥”,并断言这绝不会发生。他强调AI的价值源于摩尔定律和计算通用进展,绝非少数前沿实验室的独功,其反对开源的实质是恐惧商品化,意在维持高估值。如今他修正了模型不能编程的看法,意识到编程方式正被改变,模型如同更强大的编译器,能提供真实的生产力助益,但需警惕认知疲劳。归根结底,AI不过是计算机革命的延续,他对此永怀热爱。


4. Chrome 148 起 Math.tanh 浮点尾数差异成为操作系统指纹

🔗 scrapfly.dev: Since Chromium 148, Math.tanh is now fingerprintable to link underlying OS

🔥🔥: 266 | 💬: 134 | 🗓️ 2026-07-12


自 Chrome 148 起,Math.tanh 不再使用 V8 内统一的 fdlibm 实现,而是直接调用宿主系统的 std::tanh,导致 Linux 的 glibc、macOS 的 libsystem_m 与 Windows 的 UCRT 在相同输入下返回的二进制末位(ULP)出现微妙分歧。像 Math.tanh(0.8) 在不同系统上分别输出 0.66403677026784910.6640367702678490.6640367702678489,仅需一次比对就能精准区分底层操作系统,且凭此足以戳穿伪装成 macOS 的用户代理。除 Math.tanh 外,CSS 三角函数也悉数泄露宿主数学库特征,而 Web Audio 在 Mac 上更会调用 Accelerate 向量库,其计算结果与标量库不一致,暴露更复杂的架构指纹。要真正闭合这一信号,不能靠噪声扰动,必须按位还原目标系统的极小化多项式系数、指数表与融合乘加(FMA)路径,甚至可通过运行时加载 UCRT 的原始代码并强制启用 FMA 分支来获得原汁原味的比特。Scrapfly 浏览器正是沿着这条路径,在 87 万输入校验下实现了与真实 Mac Chrome 在 Math.tanh、所有 CSS 三角及 Web Audio 上的位级等同,让跨平台指纹无处遁形。


5. Ghostel.el:基于 libghostty 的现代 Emacs 终端模拟器

🔗 dakra.github.io: Ghostel.el: Terminal emulator powered by libghostty

🔥🔥: 263 | 💬: 50 | 🗓️ 2026-07-12


Ghostel.el 是一款以 libghostty-vt 为核心、采用 Zig 原生动态模块实现的 Emacs 终端模拟器。它支持 Kitty 图形与键盘协议、OSC 8 超链接、DEC 2026 同步输出等以往 libvterm 无法提供的现代特性。安装时自动下载预编译模块,无需本地工具链。它提供 半字符模式(默认)、字符模式、行模式等五种输入模式,能灵活平衡快捷键发送与 Emacs 编辑操作,并深度集成 Shell、TRAMP 远程终端、内联图像、目录追踪及 Elisp 互调。相较 vterm 与 eat,其优势在于更完整的终端协议支持和全新的渲染架构,兼具高吞吐与低延迟。通过 use-package 可轻松配置,同时内置 Evil、编译模式、Eshell 等扩展,让 Emacs 中的终端体验大幅升级。


6. 如何成为一个多产的阅读者

🔗 scotto.me: How to read more books

🔥🔥: 250 | 💬: 143 | 🗓️ 2026-07-12


作者分享了自己从每年读书不到十本到每周一本的经验。核心在于用阅读取代一切屏幕时间,删除所有社交媒体和视频应用,让大脑重新适应无聊时拿起书本而非手机。随身携带一本书(或电子阅读器)至关重要,利用起床、睡前、做饭、通勤、甚至遛狗等碎片时间阅读。他建议同时阅读多本书,混合虚构与非虚构以保持新鲜感,并大胆放弃暂时读不进去的书,因为有些书需要等待合适的时机才能理解。为了持续获得新书,他推荐购买二手书和支持独立书店,并建立自己的实体书架。设定阅读目标和追踪进度(如 Goodreads 挑战)有助于养成习惯,但更应注重理解而非数量,写书评是加深记忆与理解的有效方法。寻找下一本书时,可借助 Goodreads 和 YouTube 书评频道。最后他强调,要避免速读、摘要和有声书等捷径,因为阅读需要全神贯注,速度会自然提升,书籍就该以文字形式沉浸其中。通过这些方法,任何人都能养成终身受益的阅读习惯。


7. 爱尔兰数据中心吞噬全国23%电力

🔗 theregister.com: Irish datacenters now guzzle 23% of the country’s electricity

🔥🔥: 207 | 💬: 189 | 🗓️ 2026-07-12


根据爱尔兰中央统计局最新数据,2025年该国数据中心的电力消耗再增10%,达到7663吉瓦时,已占全国计量用电量的23%,超过城市家庭用电的18%和农村家庭用电的9%。尽管都柏林地区对新建数据中心的电网接入禁令几乎贯穿全年,这一增长依然持续。自2015年以来,数据中心的用电占比从5%一路飙升,如今已是九年前的四倍多。去年底,监管机构虽解除了禁令,但新规要求超过10兆瓦的并网申请必须配备同等容量的发电机或电池系统,并能在需要时向国家电网回馈电力,微软和Digital Realty已率先试点这一模式。这个只有500多万人口的国家拥有80多个数据中心,民众抗议声不断,能源压力与日俱增,凸显了数字基础设施扩张与公共资源间的激烈矛盾。


8. 你是指“灭绝”吗?——程序员的进化之道

🔗 fabiensanglard.net: Don’t you mean extinct?

🔥🔥: 181 | 💬: 110 | 🗓️ 2026-07-12


1993年《侏罗纪公园》用CGI革命颠覆了电影特效,当定格动画大师菲尔·蒂皮特看到逼真的数字恐龙时,他脱口而出“我觉得我要灭绝了”。作者借此寓言剖析当下程序员面对大语言模型的集体焦虑。核心出路只有一个:进化。不要固守手写每行代码的旧范式,因为“编码”从来不是价值的源头,解决问题的能力才是。文章提出具体生存指南——投入时间学习LLM原理(如Karpathy的视频与Raschka的著作),利用AI辅助写码但绝不放任代码质量,用纪律约束智能体以保持架构清晰,同时对提交信息、PR粒度和测试覆盖提出更高要求。这反而让更小团队能复活曾因复杂而搁置的项目。最终,蒂皮特在41岁并未真的灭绝,他转而协同开发恐龙输入设备,将动作表演注入数字模型,并凭此赢得奥斯卡。他的故事证明:变革之际,将经验与新工具结合,驾驭浪潮,便能不断重生。


9. 巴西女子被一家三代奴役55年后获救,极端依赖令其难离雇主

🔗 english.elpais.com: Woman in Brazil enslaved for 55 years by 3 generations of the same family

🔥🔥: 148 | 💬: 207 | 🗓️ 2026-07-12


巴西一名化名玛丽亚的62岁女性,自7岁起被送往一个中产家庭做住家佣人,在三代白人雇主的剥削下度过了55年无薪、无假期的生活,从未识字、接触金钱或独自外出。她每日凌晨4点半起床备餐,所获衣物食宿被视作“报酬”,该家庭还涉嫌侵吞其每月约115美元的社会补助金。尽管劳工检察部门迫使雇主为其购置公寓并赔偿,但受害者因极端依赖该家庭,目前仍暂住原处,当局正寻找其亲属。该案震撼巴西,被视为奴隶制遗毒的家政奴役仍在延续,而要帮助被剥夺自主权的受害人重建独立生活,需要复杂的社会再融入支持。


10. 《理解 Odin 编程语言》——掌握低阶编程的艺术

🔗 odinbook.com: Understanding the Odin programming language

🔥🔥: 147 | 💬: 90 | 🗓️ 2026-07-12


这本书由独立游戏开发者 Karl Zylinski 撰写,面向所有具备编程经验的读者,系统讲解 Odin 的基础与高级特性。内容涵盖过程、手动内存管理参数多态数据导向设计等核心主题,不仅教授如何编写代码,更深入剖析语言背后的设计哲学。Odin 语言创造者 gingerBill 鼎力推荐,多位读者评价其文笔流畅、易于理解,能帮助开发者顺利从带垃圾回收的语言过渡到无垃圾回收的环境。书籍提供 HTML 和 ePub 等多种格式,HTML 版排版精美、适合电脑阅读。最新 1.10 版本用固定容量动态数组取代了 Small_Array,全书随 Odin 语言演进持续更新。作者曾参与多个知名游戏引擎的开发,并发布了首款采用 Odin 制作的商业游戏《CAT & ONION》。本书是解锁低阶编程、成为一名更出色的开发者的理想指南。


11. LARP:零现金、零客户,循环转账“造”出系列A的黑色幽默

🔗 larp.website: LARP – Revenue infrastructure for serious founders

🔥🔥: 146 | 💬: 34 | 🗓️ 2026-07-12


LARP是一个讽刺性的“营收基础设施”玩笑,号称无需产品和客户,只需两位创始人匹配并约定一个金额,通过互相转账形成循环流水,每笔记录均可按会计准则确认为经常性收入(ARR)。系统演示如何将一美元反复循环、年化再年化,制造出指数级增长幻象,而实际现金分毫未动。页面以戏谑的分步指南、虚假客户好评、API文档和“您无法付款”的定价,完整模仿了一家SaaS公司,并点明这并非空想——现实中科技巨头间的资本、芯片、云额度流转,正是这种互惠协议的合法翻版。法律免责声明反复强调,只要约定真实交付物,此类相互服务合同便有别于欺诈性的“虚假交易”,但整个项目实为对创业圈粉饰收入现象的尖锐批判,末尾留下一句:“根本没有钱可提,你的ARR是真实的,但银行余额从未变过。”


12. AI 助推科研腾飞,却让思想疆域收窄

🔗 spectrum.ieee.org: AI boosts research careers but narrow the span of ideas explored: study

🔥🔥: 137 | 💬: 100 | 🗓️ 2026-07-12


2026年1月19日发表的一项分析显示,AI工具在显著加速科研人员个人职业发展的同时,正导致科学发现日趋扁平化。大规模文献分析表明,过度依赖人工智能的学者群体所涉足的研究议题愈发同质化,思想探索的广度被急剧收窄。过去那些可能孕育颠覆性突破的非主流路径正在消逝,科学界的集体智慧仿佛从枝繁叶茂的丛林变成整齐划一的草坪,这种隐性代价将从根本上削弱人类应对未知挑战的能力。相关发现强烈警示,学界在拥抱技术红利时必须警惕思维同质化的风险,亟需建立引导机制以守护探索的自由与多样性。


13. 微型模拟器:重温经典计算与演示文化

🔗 floooh.github.io: Tiny Emulators

🔥🔥: 127 | 💬: 3 | 🗓️ 2026-07-12


该页面汇集了大量可直接在浏览器中运行的在线模拟器,覆盖 Commodore 64、ZX Spectrum、Amstrad CPC、东德 KC85 系列等众多经典计算机。它不仅提供了完整的模拟环境,还精心嵌入了丰富的游戏和演示场景作品,从《Boulder Dash》《Bruce Lee》等名作,到由 Razor 1911、Moods Plateau 等传奇团体制作的惊艳视觉效果,让用户无需安装即可瞬间沉浸于八位机时代的创意编程与像素艺术之中。


14. 将生产AI代理迁移至GPT-5.6:速度提升2.2倍,成本降低27%

🔗 ploy.ai: Migrating a production AI agent to GPT-5.6: 2.2x faster, 27% cheaper

🔥🔥: 124 | 💬: 37 | 🗓️ 2026-07-12


Ploy公司将驱动其网站构建AI代理的默认模型从Claude Opus 4.8切换至OpenAI新发布的GPT-5.6 Sol,构建耗时缩短2.2倍,成本下降27%。这次迁移远非简单切换,而是发现并解决了一系列因模型行为差异被隐藏的工程问题。首先,评估框架本身被调优为偏爱现有模型,清理评估套件中的偏见后才能获得可信数据。代码工具层面,GPT-5.6会强制填充全部25个可选参数并虚构值,导致大量文件读取返回空白,团队通过在接口层将可选参数改写为required但nullable的anyOf: [T, null]模式,成功将空读取率从52%降至零。缓存设计差异更大,OpenAI从隐式部分前缀匹配改为要求显式prompt_cache_breakpointprompt_cache_key,缓存需按工作区分片以避免单节点流量超限,团队通过工作区级缓存键和分层提示断点将首次调用缓存命中率从0%提升至83.7%,消除了因配置错误导致的虚假成本落差。此外,推理重放需要通过store: false确保自包含,避免服务端引用失效。这一系列深层次的适配工作表明,迁移大模型实则是重新设计围绕旧模型固化的整个技术栈。


15. 状态更新的消亡:为何55%的美国人停止在社交媒体发帖

🔗 ca.pcmag.com: Death of the Status Update: Why 55% of Americans Stopped Posting on Social Media

🔥🔥: 108 | 💬: 130 | 🗓️ 2026-07-12


一项对1000名美国人进行的调查发现,社交媒体已从分享生活的乐园蜕变为充满压力的数字牢笼。55%的美国人减少了发帖,并更严格地控制可见范围,因为他们觉得“维护社交形象如同工作”,这种疲惫感在Z世代中高达60%,而年长者相对轻松。政治内容泛滥和算法推送无关信息加剧了逃离情绪,近半数人因政治内容疏远平台。真正可能让人注销账户的导火索包括安全顾虑、骚扰、仇恨言论以及无尽滚动带来的心理负担,不过仍有六分之一的人坚称绝不退出。研究者建议,若社交网络让你焦虑,不妨清理有毒连接,专注于真实的朋友,甚至彻底离线,让体验重归快乐。


16. Yt-Dlp 序列图

🔗 app.ilograph.com: Yt-Dlp Sequence Diagrams

🔥🔥: 102 | 💬: 31 | 🗓️ 2026-07-12


此图展示 yt-dlp 序列图浏览界面,含逐步导览、视角注释,描述可添加。同时警告许可证过期,并提示致命错误“Fatal error(s) found. Please fix to see updates.”。用户可切换最新。界面提供 list、add_box、touch_app,支持搜索、高亮、编辑、删除。协作式查看器需处理许可与错误。


17. 《古惑狼》开发回忆录

🔗 all-things-andy-gavin.com: Making Crash Bandicoot (2011)

🔥🔥: 101 | 💬: 1 | 🗓️ 2026-07-12


1994年夏,顽皮狗创始人安德鲁·加文与杰森·鲁宾在横穿美国的公路上,萌生了将热门2D平台动作带入3D的构想,并将这个创意戏称为 “索尼克屁股” 游戏,担忧镜头与深度判断会成为难题。他们决定为性能最强的 PlayStation 开发一款填补市场空白的 3D角色动作游戏,签约严苛的开发者协议并斥资3.5万美元购买开发机。在马克·塞尼协助下,团队通过角色正面亮相、保留2D关卡与“背屏狂奔”关卡等设计,努力化解视角问题,最终催生了《古惑狼》,开创了主机平台动作新品类。


18. 自动化而无理解

🔗 arxiv.org: Automation Without Understanding

🔥: 90 | 💬: 40 | 🗓️ 2026-07-12


人工智能系统已能产出真正的研究级数学成果,而美国却正在削弱培养能够理解这些成果的人类人才的渠道。这篇论文指出,这种并行的趋势构成了一个战略错误。数学能力——即验证、解释和挑战数学推理的受训能力——并非定理生产的副产品,而是一种需要代际积累的基础设施,无法按需重建。文章以2026年5月AI推翻平面单位距离问题中一个长期存在的Erdős猜想,以及近期联邦对数学科学支持的中断为例,论证了数学能力应被视为与半导体能力同等重要的战略资产。此外,论文还提议,执行重要推理的AI系统应被要求以形式化、机器可验证的方式暴露其决策关键主张,从而将部分AI推理从不透明的说服转变为可审计的结构


19. 我如何重新学会了阅读——从书本到屏幕再回归的旅程

🔗 substack.magazinenongrata.com: I Learned to Read Again

🔥: 89 | 💬: 42 | 🗓️ 2026-07-12


作者萨姆·卡恩回顾了自己从童年如饥似渴的阅读巅峰,到阅读能力持续衰退的历程。青春期社交压力让他视读书为社交灾难,学校强行平均化的教育挫伤了他的自主阅读热情,而恋爱与金钱焦虑使他将埋头书本视为脱离现实。但最具毁灭性的冲击来自社交媒体的成瘾机制——手机通过“正向间歇性强化”让人不断刷屏,任何书籍都无法与可能带来即时奖赏的通知竞争。他发现自己变得烦躁不安,内心世界严重退化,曾经期盼的独处阅读变为不停查看手机的强迫行为。

直到纪录片《社交困境》使他清醒地意识到自己早已沦为“数字消费者”。此后五年,他像中风病人复健一样,痛苦地尝试重新学会阅读。核心方法是将阅读彻底动机化:只为特定写作项目研究而读,强迫自己读完必产出书评,以此对抗注意力的涣散。他最终领悟,阅读的本质是让灵魂与灵魂隔着时空对话,相较于被算法和表演支配的社交网络,这种关系更值得追寻。


20. Neocities:打造属于你的免费个性网站,重拾互联网乐趣

🔗 neocities.org: Neocities: Create your own free website

🔥: 82 | 💬: 26 | 🗓️ 2026-07-12


Neocities 致力于让网络再次充满乐趣,让你完全掌控自我表达的方式。它提供浏览器内置的 HTML 编辑器,无需额外工具即可开始创建,也支持拖拽上传文件。你可以通过标签发现和浏览其他网站,追踪喜爱的站点,并在动态中查看更新,还能与创作者互动评论。平台承诺零广告、绝不出售数据用于 AI 训练,完全依靠用户支持运营。依托全球 CDN 和静态托管,网站加载速度快且稳定。此外,它还提供命令行工具、API 等开发者功能,且全面开源,拒绝锁定用户。


21. 反对“有用”

🔗 motivenotes.ai: Against Usefulness

🔥: 81 | 💬: 22 | 🗓️ 2026-07-12


在布鲁克林的仓库里,作者接过一张正在运行程序的纸——这就是Folk Computer,一个将整个房间变为计算机的物理计算系统。它让编程回归身体与协作,消解了屏幕的束缚。文章追溯这股思潮的谱系:从施乐PARC的Alan Kay,到Bret Victor的CDG实验室和Dynamicland,它们刻意远离市场与“有用”的陷阱,在赞助人模式的庇护下做数十年为尺度的深层研究。如今,ACM数十万会员的注意力全被AI代理收窄,而真正的范式转移正来自被遗忘的边缘探索。作者发出“独立思想家召集令”,寻找那些长年沉迷于不合时宜的难题、以开放姿态构建未来的人,并愿以资金、人脉或空间为这种“无用阶段”的工作提供任何形式的支持,让下一个伟大发明的铁轨得以铺就。


22. 用因果抽象揭开大语言模型推理的黑箱

🔗 cacm.acm.org: Mechanistic interpretability researchers applying causality theory to LLMs

🔥: 80 | 💬: 63 | 🗓️ 2026-07-12


大语言模型能写文章、解数学题、生成代码,但其内部逻辑仍像黑箱。斯坦福大学哲学与计算机科学教授托马斯·艾卡德正利用逻辑学与认知科学工具,推动机械可解释性研究,试图弄明白模型究竟是在模仿推理,还是真正构建了逻辑推理系统。他与合作者提出了因果抽象框架,将低层次的矩阵运算抽象为类似认知科学中的直观概念,就像物理学家用压强和温度描述气体,而不必追踪每个分子。一项研究显示,BERT模型内在地实现了包含量词和否定的逻辑推理算法;另一项由Goodfire AI主导的研究发现,Llama模型处理月份、星期等循环概念时,会自发采用先十进制加法、再换算回循环结果的高层次通用算法。这类研究依赖开源模型,已触及百亿参数规模,但商业化模型仍难介入。尽管将大模型简化为几个方程不现实,机械可解释性有望逐步揭示其隐藏算法,提升安全性、可靠性与公平性,当前挑战在于技术规模化与自动化。


23. Fable 访问延长至7月19日

🔗 twitter.com: Fable extended until 19 July

🔥: 79 | 💬: 39 | 🗓️ 2026-07-12


Claude 团队通过官方账号宣布,所有付费计划(包括 Pro、Team 等)均可继续访问 Claude Fable 5,同时 Claude Code 的每周速率限制保持比正常水平提升 50%,这两项延期政策将一直持续到 7 月 19 日。这意味着付费用户能更充分地体验 Fable 5 的能力,开发者也能在 Claude Code 中获得更高的配额保障。


24. 数据中心致科技巨头碳排放激增,逼近法国总量的三分之一

🔗 theguardian.com: Datacentres drive up big tech’s carbon emissions to a third of those of France

🔥: 78 | 💬: 104 | 🗓️ 2026-07-12


微软、亚马逊和谷歌的年度碳排放总和同比激增近20%,高达1.19亿吨,约等于法国全国排放总量的三分之一。这一急剧攀升主要源于为支撑人工智能产品而掀起的人工智能数据中心建设热潮,其中微软排放增长25%,谷歌增长18%,亚马逊增长16%。尽管三家公司仍坚称要在2030或2040年前实现净零排放目标,但批评者指出,云迁移正在让其他企业将数字碳足迹外包给这些云巨头,使其环境负担隐形化。与此同时,报告显示碳信用市场供应不足,可能难以满足科技公司快速增长的抵消需求。预计到2030年全球将新建超过1200个数据中心,耗电占比将达全球的1.3%,进一步加剧了科技巨头环保承诺与扩张现实之间的落差。


25. 摩托罗拉 MR2600 路由器存在未认证远程代码执行漏洞

🔗 mrbruh.com: Unauthenticated RCE in Motorola’s MR2600 Router

🔥: 77 | 💬: 25 | 🗓️ 2026-07-12


研究人员在停止支持的摩托罗拉 MR2600 路由器中发现了一个未认证远程代码执行漏洞。由于固件仅通过已失效的 OTA 更新分发,唯一能下载到的版本成为突破口。漏洞利用分两步:首先向 /WEBCGI1/prog.fcgi?method=/cgi-bin/fwupload.cgi 上传恶意固件,该接口虽会检查认证,但认证检查发生在文件已写入 /tmp/firmware.img 之后且不删除临时文件,攻击者只需绕过前端的 SEAMA 魔数校验(要求文件头为特定字节,却错误地解析了整个 multipart 表单体)即可上传。第二步通过 SOAP 调用 LoadFirmwareValidation 触发刷写,该接口的认证逻辑存在不一致的比较缺陷——允许列表用子串匹配,而禁止列表仅精确匹配 /WEBCGI1/,攻击者只需在 URI 后附加 ?Login.html 等允许字符串即可完全绕过认证。由于 SEAMA 映像缺少加密签名,任何人均可生成有效固件,最终路由器自动重启并运行恶意代码。该漏洞在默认局域网内即可利用,若开启远程管理则可从公网直接攻击,当时有 41 台设备暴露。厂商以产品停产且相互推诿为由未予修复,研究人员已公开细节。


Image

勒西科技日报

这是一份给聪明人的科技日报,每天推送一篇。内容来自各大英文网站,提供中文摘要。

Back to Overview