1. SSH 星号漏洞：长密码如何绕过锁定账户；
2. Kagi 搜索全面开放，人人可试；
3. 摩托罗拉 Signature 27 发布：支持 GrapheneOS 的影像旗舰；
4. Discord 弃用 Electron，新应用内存占用大降；
5. 告别 Salon：31 年数字新闻先锋落幕；

以上是今天的前五条黑科技新闻标题。

总共25条，具体内容您往下读…

1. SSH 星号漏洞：长密码如何绕过锁定账户

🔗 sshhole.com: sshole

文章从 Unix 用 * 作为不可匹配的密码占位符讲起，回顾 crypt() 失败返回 NULL、musl 的 crypt() 为避免崩溃改为返回 “” 的历史；三周后 musl 的 SHA-512 crypt 又因超过 256 字节的密码失败而返回 ““。最终问题出在 无 PAM 的 OpenSSH 搭配 musl：长密码触发 crypt() 返回 ““，恰好匹配 /etc/shadow 中锁定账户的 ““，使本应禁止登录的账户被放行。文中还穿插了 SSH 计时攻击、Alpine 用 !/* 锁定 root、Debian 和 musl 的近似修复等背景，作者用约 1.76 万次异常登录测试才在 2026 年发现该差异。

相关报道：alpinelinux.org (HN) · openssh.org (HN) · hachyderm.io (HN)

2. Kagi 搜索全面开放，人人可试

🔗 kagi.com: Search for everyone

Kagi 宣布 无需账号即可免费搜索 50 次，注册后再获 100 次，并鼓励用户向亲友推荐；同时批评 Google 计划在校园账号默认关闭 AI 并连带关闭搜索，呼吁学校选择替代方案。文章还汇总了 Android 应用与 Kagi Assistant 更新，包括新首页、语音搜索、共享线程和更清晰的临时会话提示，以及 Kagi News 获 Google Play 推荐、Kagi Translate 的校对与翻译改进和 Small Web 新增主题等功能与修复。Kagi News、Translate 与 Small Web 均有体验优化。

3. 摩托罗拉 Signature 27 发布：支持 GrapheneOS 的影像旗舰

🔗 motorolanews.com: Motorola Signature 27 with GrapheneOS support

摩托罗拉推出迄今最先进旗舰 Signature 27，主打 DXOMARK 金标影像、最高 12000 尼特的 Extreme AMOLED Duo 显示屏，以及首批搭载 Snapdragon 8 Elite Extreme Gen 6 的平台。新机支持 Gemini Intelligence、B&O 调音、7000mAh 电池和 90W 快充，并成为摩托罗拉首款支持 GrapheneOS 的设备，强化隐私与安全。其起售价为 1599 美元，将在未来数月于全球上市。

4. Discord 弃用 Electron，新应用内存占用大降

🔗 theverge.com: Discord is ditching Electron and its new app uses less RAM

Discord 宣布桌面应用将从 Electron 全面迁移到 Rust，以降低资源占用。CTO 称公司自 2018 年起已用 Rust，语音、基础设施和部分客户端已有 Rust 代码，目标是整个客户端都基于 Rust；届时 Electron 与 React Native 将被移除，移动端保留原生 UI，并通过 Rust 与桌面端共享代码。新 Windows 客户端仅占 290MB 内存，而现版本加入多个服务器后常超 1GB。全面切换时间未定，但希望很快进入用户测试。

5. 告别 Salon：31 年数字新闻先锋落幕

🔗 salon.com: Goodbye from Salon

Salon 宣布在创立 31 年后停刊，称独立数字新闻的商业现实已深刻变化，出版模式不再可持续。它于 1995 年上线，以鲜明声音和对互联网连接作者读者的信念成为 数字新闻先锋，长期融合政治、文化与思想评论。Salon 感谢创始人、编辑记者、校友和读者共同塑造其社区与遗产，并希望其影响在停刊后继续留存；但最终因 商业模式难以为继 而告别。

6. 别光监视，科技公司请先更懂我

🔗 rakhim.exotext.com: I wish tech companies knew more about me

作者质疑“科技公司无所不知”的论调：广告反复推销刚买过的商品，推荐系统多年都没发现他总跳过带人声电子乐，语言与地域设置还会因位置或旅行切错；银行、航司、流媒体、运营商和商店的推送也常不匹配，甚至推荐无法观看或无货的内容。作者相信数据确实被追踪、存储和出售，但更希望企业改善个性化推荐，真正利用已有数据来理解用户。

7. Claude Code 被曝向第三方网站泄露用户邮箱

🔗 github.com: Claude Code sends your email address to websites

有用户报告 Claude Code 在未经许可进行网页搜索时，将邮箱地址放入 User-Agent 请求头发送给任意第三方，导致大量诈骗邮件；其认为这不应提供 opt-in/opt-out 选项，而应彻底移除，并因隐私担忧将公司迁移到 Pi 与 OpenRouter。环境为 macOS/tmux，版本 2.1.318。官方回应称已从 v2.1.317 起引入内置 cc-plugin-privacy 模组以确定性阻止该行为，且默认启用，可通过 /plugins 关闭，并呼吁发现检查漏洞尽快反馈。评论区多为讽刺和不信任。

8. Awesome 仓库不再“Awesome”

🔗 erikgahner.github.io: Awesome repositories are no longer awesome

如今许多 GitHub 上的“awesome”精选仓库正变得不再有用，原因主要与 AI 有关。一方面，长期未维护的仓库充斥过时内容，例如 awesome-R 最后更新已超过一年，仍把 2016 年 R 包下载前 50 作为入口，用户不如直接询问 AI。另一方面，大量由 AI 生成的通用工具正以 PR 形式涌入，形成AI 灌水，如一个仅 13 星的仓库有 91 个待处理 PR，甚至有用户为多个 vibe-coded 网站提交 100 多个 PR。尽管仍有仓库保持优质，但作为寻找资源的通用方式，awesome 列表的相关性下降，未来可能主要对代理筛选资源有用。

9. 别再让喜爱的YouTube视频消失：立即下载归档

🔗 criminallyvulgar.dev: Download your favourite YouTube videos

文章呼吁把重要的YouTube视频下载并归档，因为企业化平台对艺术不友好，收藏夹中早期视频常已失效。普通用户用 yt-dlp 或封装工具即可保存到硬盘/NAS。作者以Many a True Nerd视频助眠为例，介绍用Jellyfin的TV Shows模式建库、用 ytdl-sub 按播放列表维护数百视频，并处理Jellyfin播放列表层级与重复归类问题；还用Tdarr把媒体转成HEVC/H.265省空间，但其界面复杂、易出问题，仅适合有折腾能力者。

10. MS Paint远程代码执行漏洞

🔗 cve.org: MS Paint Remote Code Execution Vulnerability

该CVE页面因未启用JavaScript而无法正常显示，导致漏洞详情不可见，用户需启用JavaScript才能访问完整信息。

11. MCP 详解：AI 连接工具与数据的开放标准

🔗 mcp-explained.com: MCP Explained

MCP 是连接 AI 应用与工具、数据的开放标准：服务器声明自己能做什么，应用把能力展示给模型，模型决定调用后由应用请求服务器并回传结果。其 Host/Server/Model 分工是：Host 为用户使用的 AI 应用，Server 暴露工具、数据或提示词，Model 只做决策且不直接连接服务器。MCP 采用 JSON-RPC 信封，可走 stdin/stdout 或单一 HTTP 端点，并支持服务器回话；它还定义方法、能力协商、传输与认证，因此不是 REST，也不只是 JSON-RPC。

12. 给 macOS 窗口织毛衣：Window Sweaters

🔗 github.com: Window Sweaters

Window Sweaters 是一款为 macOS 窗口针织边框的趣味应用，用灵感来自常用 App 的配色营造更温馨的桌面效果。它提供 37 款应用专属毛衣与约 40 种手工配色，也支持 Zigzag 等共享图案；可从 GitHub、Homebrew 或 ZIP 安装，未公证时需在隐私与安全性中允许打开，并可能需开启辅助功能权限。通过菜单栏毛线图标可调整样式、图案、边框宽度与针脚大小，也可暂停、退出，或 按应用单独开关，让不想装饰的窗口保持裸露。应用面向 macOS 13 及以上，基于私有窗口 API，仍属开发中项目；支持配置文件与自定义图案，卸载时需同时移除偏好设置和辅助功能权限。项目基于 JankyBorders，采用 GPL-3.0 许可。

13. 纳斯达克暴跌5.5%陷入回调，AI与芯片股遭全面抛售

🔗 cnbc.com: Nasdaq plummets 4% into correction territory

受民主党中期选举大胜后市场担忧AI数据中心建设放缓影响，美股周四大幅下挫，回吐选后涨幅。纳斯达克跌5.52%至24,315点，较近期高点回落逾10%进入回调；标普500跌4.36%，道指跌1833点或3.44%，三大股指均创2025年4月以来最差单日。芯片股领跌，博通、英伟达、高通分别大跌约10%、9%、9%，半导体ETF跌逾12%，为2020年3月以来最差；Mag7市值合计蒸发近9000亿美元，VIX升至3月以来高位。市场担心监管与数据中心暂停呼声升温，抛售扩散至工业、金融等板块，并削弱美联储12月加息预期。

相关报道：wsj.com (HN) · finlaws.substack.com (HN)

14. 冷门音频编解码器为何完美适配 N64

🔗 phoboslab.org: Obscure audio codec is a perfect fit for the N64

N64 卡带空间与 CPU 时间都很紧张：Libdragon 的 ADPCM 太占空间，Opus 解码又太慢。作者发现 GBA 上的 ULC 变换编解码器，它基于 MDCT、采用半字节打包且无需熵解码，复杂度极低。将 IMDCT 以 16 位定点移植到 RSP 后，44100 Hz 立体声仅耗约 4% CPU 和 5% RSP 时间，音质与码率接近 Opus。该解码器已并入 Libdragon，并帮助 Half-Life N64 移植把 2500 个音效和 27 首音乐塞进 64MB 卡带。

15. Servo 九月更新：progress 元素、圆角矩形与 WebGL2 改进

🔗 servo.org: September in Servo: , rounded rectangles, and more</small>

Servo 0.7.0 汇总九月 527 次提交，新增 <progress>、:checked、user-select、CSS 类型化算术、alpha() 与 font-width，并补齐多项 DOM API 和 Canvas roundRect()。开发工具控制台可即时求值 JS，WebGL2、无障碍树与可编辑区域继续完善，IndexedDB、字幕、嵌入式 API、性能稳定性和内存优化也有大量进展。文章还介绍安全升级、跨平台构建、WebDriver 改进及社区捐赠情况。

16. 百度发布 ERNIE 5.5 Flash Base：开放高效预训练底座

🔗 ernie.baidu.com: Baidu released ERNIE 5.5 Flash Base

百度发布 ERNIE-5.5-Flash-Base，这是 280B 总参数/14B 激活的稀疏 MoE 语言模型，基于 33.5T token 从零预训练，训练上下文 128K，微调与推理支持 1M。发布权重为预训练结束检查点，未经中训或后训，便于领域适配、指令微调和强化学习研究。模型采用 MLA+HCA 混合稀疏注意力、多路由 Latent MoE、mHC、MultiMax 输出头与 ECHO 等设计，兼顾长上下文效率及后续训练和推理成本，并强化代码与长文本等能力。

17. AI 重燃 Hackintosh 之火

🔗 naut.ca: The Hackintosh Reborn

随着 macOS 27 不再兼容 x86，传统 Hackintosh 一度被认为将退场。作者却用 ThinkPad T490 安装 macOS 26 与 Xcode 26，借助 Claude Code、OpenAI Codex 等 AI 辅助，在几乎不手写代码的情况下一天内做出可运行的 iOS 应用。近来社区在 AI 与 Ghidra 等工具推动下快速爆发，已实现 Snapdragon 笔记本运行 macOS 27、RK3588 ARM SBC 运行 macOS 27.2 Beta、Switch OLED 运行 iOS 17、支持 50 系 Nvidia GPU 等进展，并在 AirDrop、视频硬解和 x86 翻译运行 macOS 27 上继续突破。尽管 AI 成本犹存，这也让自主硬件与 Hackintosh 看到新希望。

18. 匈牙利公开共产党时期秘密警察档案：多达6万名线人身份曝光

🔗 euronews.com: Hungary: Communist-era files released, up to 60k former agents revealed

匈牙利首次向公众开放共产党时期秘密警察档案，预计公开多达6万名线人身份，涉及政治家、神职人员、电视人物及大量普通告密者。新法允许民众通过网站按姓名、出生信息和代号检索记录，二月还将公布约9000名线人的更详细文件。历史学家提醒，档案并不完整可靠，仅因名字在册不能证明有罪；冷战时期约15万名线人中只有约三分之一姓名可考。政府称这是迟来的清算，并设立热线为受影响家庭提供心理支持。

19. 被卫星淹没的夜空：一张震撼合成照

🔗 kottke.org: Image of our satellite-choked night skies

摄影师 Brendan Larsen 用两小时拍下578张夜空照片，再花约45小时手动叠合，呈现出约14,450条卫星轨迹、代表约1,400颗卫星的震撼画面，并强调这并非AI生成。《卫报》介绍了制作过程，同行 Vincent Laforet 称其为“重要的照片”，也引发人们对卫星过度占据夜空与光污染的担忧。

20. 别再逐行刷新：用截止时间缓冲更快输出

🔗 nullprogram.com: We can do better than line-buffered output

文章指出终端应用常因行缓冲瓶颈在每个换行符触发写入，像 Info-ZIP unzip 输出文件名会拖慢大量小文件解压；glibc 甚至会拆分字符串写入，CPython 也在缓冲含换行时刷新。作者主张不按换行刷新，而采用类似 Nagle 的截止时间刷新：缓冲数据后仅在空闲约100ms时 flush，并在工作循环间隙检查，无需线程。这样既及时呈现给用户，又保留接近全缓冲速度，避免逐行写入开销。

21. Keychron F4 HE 8K：四键 AI 编程快捷键盘

🔗 keychron.com: Vibe Coding Keypad

Keychron F4 HE 8K 是一款面向 AI 工作流 的紧凑四键小键盘，售价 34.99 美元，2 个工作日内发货。它把发送提示词、语音输入、接受或拒绝修改等高频动作变成单键操作，也可用于复制粘贴、静音、窗口切换、宏命令和游戏控制。通过 Keychron Launcher 网页端可免驱动配置，提供 codex 与 claude 预设，并支持键位重映射、宏录制、按压力度触发与 0.2–3.3 mm 可调触发点；配置保存在板载内存中。产品采用 Ultra-Fast Lime 磁轴、8K 有线轮询率（需支持 8K 的 USB-C 线）、热插拔、PBT 键帽、15 种图标键帽与 RGB 灯效。另预告 Keychron T1 HE 无线轨迹球鼠标，主打 34 mm 可调轨迹球和 3 轴调节。

22. 为躲开健身房社交信息流，我逆向出了签到二维码

🔗 shayon.work: My gym forced a social media down my throat. So I reverse-engineered its app

作者为避免被健身房 App 的强制社交信息流分心，决定逆向其 Flutter 应用。他发现签到二维码是包含账号、加密过期时间、随机数和校验和的 URL，并用 AES-128-CTR、本地密钥和 WebCrypto 复现生成逻辑。借助 blutter、jadx 和 root 安卓手机日志，他提取密钥，做出本地生成二维码的 SvelteKit 网页，并在健身房成功完成进出。故事核心是用户对 不可控信息流 的反抗，以及用工程手段夺回注意力。

23. 加州州长将全部548名死囚减为终身监禁

🔗 bbc.com: California Gov Newsom commutes death sentences for all 548 people on death row

加州州长纽森宣布，将州内548名死囚的死刑全部减为终身监禁且不得假释。此举在该州自2006年以来未执行死刑的背景下更具象征性，并可能节省每年数百万美元司法成本。纽森称州政府无权杀人，加州死刑制度失败且无法公平适用；他任期将尽，也被视为2028年总统潜在人选。支持者称赞其勇气，反对者则强调只有州议会或选民才能废除死刑。美国目前27州保留死刑，联邦层面政策仍反复。

24. 腾讯发布开源大模型Hy4：性能跻身全球前列

🔗 tencent.com: Tencent Launches Hy4, One of the Leading Open-Source AI Models

腾讯发布新一代开源大语言模型Tencent Hy4，称其性能已跻身全球领先开源模型之列，并计划近期公布模型权重与系统卡。Hy4首次加入视觉理解与computer-use能力，在指令遵循、长上下文理解、长程智能体任务、图像与图表分析、专业软件操作等方面显著提升，并优化办公协作、金融分析、前端与游戏开发及科研工作流。官方称其在金融盲测中表现领先，幻觉率由12.95%降至7.2%。该模型强调网络安全与生物安全防护，已在腾讯云TokenHub、WorkBuddy、CodeBuddy、元宝、企业微信AI助手等上线，API也将接入第三方平台，价格维持约每百万输入token 0.90美元、输出2.70美元，Hy4 Flash将推出。

25. Rivet：用 S3 高速扩展与编排智能体

🔗 github.com: Launch HN: Rivet (YC W23) – Scale and Orchestrate Agents on S3

Rivet 提供基于 Rivet Actors 的轻量编排：每个 Actor 是带内存状态、SQLite、WebSocket 和调度的长生命周期进程，可按智能体、用户、会话或租户创建。它实现 72 KB 内存占用、4.99 ms p99 冷启动，空闲休眠、按需唤醒，数据存于 S3 并可扩展到数十亿 Actor；SQLite-on-S3 的持久读写接近 SSD 速度。其核心思路是把智能体循环放在沙箱外，以 “头手分离” 降低资源消耗和信任边界，适用于持久多人在线智能体、工作流、AI 生成应用和协同编辑。Rivet 可本地自托管、Rivet Cloud 或 BYOC 部署，Apache 2.0 开源，且对象存储是唯一依赖。