1. Lovable 应用大规模泄露敏感数据：超20万私信与护照信息暴露；
2. SpaceX成功接住星舰，Flight 15收官；
3. 科技公司再度改写隐私：便利由谁买单？；
4. KDE 纪录片视频；
5. 意大利因Meta未经同意访问安卓用户照片视频而开出8.87亿美元罚单；

以上是今天的前五条黑科技新闻标题。

总共25条，具体内容您往下读…

1. Lovable 应用大规模泄露敏感数据：超20万私信与护照信息暴露

🔗 crissyfield.de: Lovable apps expose passport details and more than 200K private messages

一项与《Handelsblatt》合作的研究分析了 159,041 个 Lovable 项目，其中 24,664 个网站在未登录情况下就返回 Supabase 数据库记录；进一步只读请求发现大量个人信息，包括逾8万份含姓名、邮箱、生日和性别的资料、20多万条聊天消息、票务与支付数据，甚至 护照号码等身份文件信息。尽管部分数据可能本就公开，30%比例也不是确认泄露率且样本不具代表性，但案例显示许多应用存在访问控制缺失。Lovable 条款把安全责任交给用户，而低门槛建站和重复集成模式让此类错误更易被批量发现；处理真实敏感数据前仍需专业安全审查。

2. SpaceX成功接住星舰，Flight 15收官

🔗 spacex.com: SpaceX catches the Starship to end Flight 15

根据标题与Hacker News讨论（原文未获取）总结：SpaceX在星舰第十五飞中完成星舰回收，评论称其像“做对了的航天飞机”，因完全可复用且上面级置于顶部、无固体助推器，规避挑战者号与哥伦比亚号式风险；流水线产能约每4周一枚助推器、每2周一艘飞船。若隔热瓦经受住再入，下一步是双回收与重复使用，将显著降低入轨成本并开启新航天时代；有人在天文馆直播观看回收，感叹历史性时刻，也有人致敬工程团队并提到箭体“dont panic”字样。

3. 科技公司再度改写隐私：便利由谁买单？

🔗 eff.org: Tech companies are trying to shift the concept of privacy again

科技公司正把隐私从“个人选择”推向环境监控设备：Meta、Google的智能眼镜，Apple Watch的转录功能，Amazon Bee等产品可全天记录、转写和总结对话。文章指出，旁观者无法真正选择退出，用户也难以理解并告知周围人设备能力，因此把责任推给个人并不等于同意。技术隔离和法律承诺主要保护设备使用者，无法解决执法索取数据、秘密记录常态化对私人谈话和社会规范的侵蚀。Google也承认仅提醒旁人作用有限。对此，应要求明确提示、取得同意，并用反馈、公开质疑和举报滥用产品的方式施压，避免被“不可逆”叙事牵着走。

4. KDE 纪录片视频

🔗 tube.kockatoo.org: KDE: The documentary [video]

该页面实际显示的是播放错误提示：由于 JavaScript 被禁用或拦截，页面无法正常工作；同时提示 PeerTube 与浏览器不兼容，建议使用最新版 Mozilla Firefox，或允许 JavaScript、改用第三方应用浏览、查看 GitHub/Framasoft GitLab 源码并联系实例所有者调整。因此当前 无法观看纪录片内容，只能根据提示排查浏览器或实例设置。

5. 意大利因Meta未经同意访问安卓用户照片视频而开出8.87亿美元罚单

🔗 reuters.com: Italy fines Meta $887M over Android users’ data access

意大利数据保护机构称，Meta Platforms因通过Facebook应用功能访问安卓用户个人相册中的照片和视频，未获同意也未充分告知，被处以8.87亿美元罚款。监管机构要求Meta在60天内将该功能默认关闭并单独征得同意，估计约2000万意大利安卓用户受影响；罚款约为集团全球营收的0.47%。Meta表示将提起上诉，称处罚不成比例，并强调用户须在设备上授权且可随时更改设置。调查始于2025年，未涵盖用内容训练AI模型；监管机构保留对2026年推出的云端处理相册内容新功能另行评估的权利。

相关报道：rapporteur.com (HN) · bbc.com (HN)

6. PyPI 项目页改版上线：安全信号更清晰

🔗 blog.pypi.org: PyPI’s redesigned project pages with clearer security signals are now live

PyPI 已完成项目页面改版并正式上线，重点是让用户更容易理解包的安全信息。新增的安全标签页集中展示发布文件的来源证明，并说明完整来源、无来源及不完整、不一致、来源变更、来源丢失等警告；来源证明状态也会出现在侧栏和发布历史中。重新设计项目详情页还优化了元数据排序、文件搜索筛选、迟交文件提示和发布状态展示，并补充安全文档以帮助用户评估包来源、完整性与风险。

7. 软件职位家谱：从“计算员”到“AI代理工程师”

🔗 zwischenzugs.com: A family tree of software job titles

作者梳理1940年代至今的104个软件职位标题，按开发、运维、数据与AI等七大类绘成家族树，展示职位如何演化、分支与合流。文中指出：编码最初被视为低阶文书工作，后来却成为核心创造性工作；Webmaster、全栈、提示工程师等体现职位不断拆分又合并；系统工程师、配置管理等名称被回收再用，FDE也像旧式驻场工程师。DevOps、SRE与平台工程的争论本质仍是开发与运维如何协作，只是不断换名。

8. 领英与Monster下架逾千条虚假招聘：求职者被引流至多层营销项目

🔗 cbc.ca: LinkedIn, Monster take down over 1000 fake job postings after CBC investigation

CBC视觉调查发现，领英和Monster上曾有超1,500条误导性招聘广告，以远程工作、无需经验、年薪最高7.5万美元为诱饵，实际将求职者引向美国公司Evolution Travel的多层营销（MLM）项目；申请人不仅没有工作和薪水，还被要求先支付数百美元并缴纳月费，且项目鼓励发展下线抽佣。CBC将线索反馈后，领英下架近900条、Monster下架600条，合计约1,500条广告被移除。前美国联邦贸易委员会主席认为这些广告具有误导性，可能引发执法调查；Evolution Travel方面则称已要求独立代理人不得在平台发布招聘广告。

9. Antigravity /teamwork：多智能体加速科学与工程发现

🔗 research.google: Advancing science and engineering with Antigravity’s /teamwork

Antigravity 的 /teamwork 多智能体系统与 Gemini 4 系列模型及人类专家协作，在数学、化学、系统软件和机器学习工程中推进开放问题求解。该系统通过并行探索、独立验证器、上下文分区和声明式工作流，提升长时程推理与结果可靠性，并在 Courtade–Kumar 猜想证明、Lean 4 形式化验证、分子结构解析、Deep Review 论文评审及内核优化等任务中取得进展。相关工具正逐步向外部研究者开放，以支持可验证的 科学发现 与人机协作研究。

10. 纯 JAX 190 行复现 DeepSeek V3：MacBook Air 上从零训练

🔗 github.com: Show HN: DeepSeek V3 in ~200 lines of pure Jax

该项目用 190 行纯 JAX 实现 DeepSeek-V3 架构，无 Flax、Equinox 或 PyTorch，并在 MacBook Air 上从零训练于公有领域侦探小说。模型约 3620 万参数、每 token 激活 1360 万，训练约 2.6 小时、9800 万 token，验证损失从 5.02 降至 3.51。重点展示 MLA、Decoupled RoPE、DeepSeekMoE、多 token 预测，以及 辅助损失无关的专家平衡：偏置使专家负载更均匀且不损验证损失。文末提供 checkpoint、数据与复现步骤，并说明简化点如稠密 MoE 计算和规模远小于原模型。

11. 克劳德的错觉：技术精英为何自封为神

🔗 netmeister.org: The Claude Delusion

文章批评科技圈成功者把运气和编程能力误当成普遍智慧，陷入成功者的过度自信与邓宁-克鲁格效应。以比尔·盖茨为例：他凭业余生物学兴趣自拟难题评估AI，又把Claude编程能力接近自己视为“超人”，暴露出“接近我者即超人”的傲慢。作者认为，这种心态催生了AI末日论与乌托邦叙事，也让自主智能体成为推卸责任的借口；技术精英由此幻想自己决定人类未来，却缺乏对他人的同理心。

12. 美国IRS Direct File 2025开源代码库：免费联邦报税与Fact Graph

🔗 github.com: US IRS free online tax filing open source repo (2025)

美国IRS的Direct File是免费联邦电子报税服务，采用问答式流程，适配手机与桌面，支持英语和西班牙语；它把美国税法解释为通俗问题，生成标准税表后经Modernized e-File API提交。该2025开源库包含相关问答逻辑、测试场景及Fact Graph知识图谱；后者用Scala编写，可在JVM和Scala.js运行，用于推理未完成税表等不完整信息。State API可将联邦报税数据以MeF XML和增强JSON传给第三方州/地方报税工具。代码库由IRS内部团队联合USDS、GSA及供应商开发，但因含敏感信息而删减部分功能；目前已归档、不再维护，仅供历史参考，可能含未修复漏洞，不应生产使用。

13. Project Zero 收紧漏洞披露：90 天逐步缩至 30 天

🔗 projectzero.google: Project Zero will disclose vulnerabilities 90 days after reporting

Project Zero 宣布以 “Full X” 取代 “90+30”政策：漏洞报告后 X 天公开，现为 Full 90，2027 年 2 月 2 日转 Full 60，2028 年 1 月 3 日转 Full 30。主因是 AI 辅助漏洞发现与利用 加速攻击、补丁逆向和漏洞发现量，原有修复窗口已不足；逐步缩短是为给厂商改进修复流程留出时间。新政策取消宽限期、变体政策等特殊处理，仅保留在野利用、已公开、厂商请求例外；仍跟踪修复但不作为披露决定点，严重性也不作披露依据，硬件等极少数情况可例外。

14. 用 Lean 形式化美国税法：猎漏洞、抓错误

🔗 lexifina.com: Formalizing US Tax Code (Using Lean)

作者用 Lean 将美国《国内税收法典》形式化，把法条交叉引用、2025 年个人所得税计算和报税表规则写成可机器检验的模型。交叉引用检查发现 138 处起草错误，包括失效引用、错引、重复编号和括号未闭合。其 2025 年税模 经 IRS 表格和三家独立税务软件对 5000 户样本交叉验证，既暴露其他工具的逻辑缺陷，也修正自身两处错误。随后用模型搜索税务选择，复现既有筹划手法，并发现 三个新漏洞；结论是单年度个人所得税规则虽多悬崖和阈值，但未出现类似“后门 Roth”的大漏洞。

15. Rust 与 ratatui 打造的终端原生放置工厂游戏

🔗 gitlab.com: Show HN: A terminal-native idle factory game, written in Rust with ratatui

该项目是一个终端原生的放置工厂游戏，采用 Rust 语言与 ratatui 库开发，项目编号为 88858732，创建于 2026 年 11 月 12 日，并采用 Apache License 2.0 许可，附有 README 与 CHANGELOG。当前提供的信息主要聚焦项目定位与技术栈，未展开具体玩法、系统机制或安装运行方式，适合关注终端界面、Rust 生态和放置类游戏开发的读者进一步查看。

16. 双机 DGX 撑起 753B 大模型：GLM-5.3 实测 607.8 tok/s

🔗 developer.nvidia.com: Serving GLM-5.3 at 607.8 tok/s across two Nvidia DGX stations with vLLM

GLM-5.3 NVFP4 是 7530 亿参数 MoE 模型，每 token 激活 400 亿参数，约 464 GB 权重超出单张 GB300 的 252 GB HBM3e。教程通过 ConnectX-8 RDMA 连接两台 NVIDIA DGX Station，用 vLLM 的张量并行（TP=2）让两块 GPU 分担权重与计算，并以一个 OpenAI 兼容端点提供服务，同时启用多 token 预测、FP8 KV-cache 和前缀缓存提升并发吞吐。AIPerf 在 SPEED-Bench Coding 数据集上测得并发 16 时输出吞吐峰值 607.8 tokens/s，并发 32 时降至 385.0 tokens/s，平均请求延迟 453.5 秒。后续可按 Connect Two DGX Stations 手册完成连接验证，参考 NVIDIA Local AI recipe 仓库，并用自定义提示重跑 AIPerf 以寻找最佳并发度。

17. 视觉解释：强化学习如何让简单大脑学会趋光

🔗 aatishb.com: A visual explanation of reinforcement learning

本文用只有四个神经元和三个可调参数的“火花”生物，直观展示强化学习：它通过不断试错，随机微调大脑连接，再依据奖励与惩罚强化更优变化，最终从不会动的新手变成会追光的专家。改变奖励目标后，它还能学会逃离、冻结、冲撞或追随光，说明行为由环境反馈塑造；这与生物大脑依靠多巴胺等反馈学习类似，也揭示了学习是在庞大“大脑可能空间”中借反馈导航的过程。

18. Agweb：不抢焦点的编码代理浏览器

🔗 github.com: Show HN: Agweb – a browser for agents that stays out of your way

Agweb 是面向 macOS 编码代理的浏览器，基于 WebKit 构建。它不抢焦点，代理可通过命令行驱动，用户能实时查看所有标签页；空闲标签会自动限流并挂起，显著降低 CPU 与内存占用。它支持 多代理工作区、共享登录配置、快照差异、操作结果回报、密码命令注入、广告拦截和演示录制。相较 playwright-cli，它保留相似命令，减少每步截图与令牌消耗，并能等待请求、把登录或 MFA 交给人处理。限制是仅支持 WebKit，缺少 Chrome DevTools 与扩展能力，部分广告脚本无法拦截；不支持时可改用 Playwright。需 macOS 26 或更高版本，并安装命令行工具与代理技能。

19. 英伟达疑用“循环融资”维持GPU高价

🔗 techspot.com: Nvidia deliberately kept GPU prices high through circular financing deals

报道称，英伟达被指通过循环融资支持购买其芯片的客户，并在2026年中后期推动更多交易，以消化台积电晶圆过剩并维持GPU价格高位。临时CEO Colette Kress曾担忧与云厂商及OpenAI等交易规模，黄仁勋据称斥其“像被车灯照住的鹿”，随后公司放缓、缩减并暂停部分融资，包括OpenAI原含2500亿美元兜底的数据中心项目。融资退潮后黄仁勋担忧估值，并用日本汤摊故事暗示维持多元客户与高价。消费级GeForce价格常超MSRP 160%，旗舰RTX 5090难购，因显存与半导体被优先投向数据中心GPU。黄仁勋后因多起婚外情曝光辞职，其中Alice Huang相关公司Megaspeed被美情报部门怀疑违规转口英伟达到中国，但是否间谍身份未定。

相关报道：tomshardware.com (HN) · interconnects.ai (HN) · cnbc.com (HN)

20. 揭秘手机解锁工具：取证攻击的技术底层

🔗 osservatorionessuno.org: Demystifying phone unlocking tools: A technical overview

该文指出商业手机解锁工具并非魔法，其核心是系统化商业化的漏洞利用：针对不同硬件与系统组合获取或开发漏洞，并封装成低门槛自动化流程。文章以 Android 为主、iOS 概念类似，梳理 Boot ROM、预加载器、可信执行环境（TEE）、安全元件与内核驱动等攻击面，说明 Gatekeeper、Keymaster 及加密密钥派生如何保护设备数据。无安全元件的设备若在关机或首次解锁前（BFU）被攻破 Boot ROM/预加载器，攻击者可篡改 TEE、绕过凭据校验并提取材料进行离线暴力破解；带 Secure Element（安全元件） 的设备则通过 Weaver 独立限速提高门槛，但多数中低端机缺少该硬件，抗取证解锁能力显著更弱。

21. Fursoy Slice-1：可启动 Linux 的 RV64 乱序超标量核心

🔗 github.com: Show HN: Fursoy – Out-of-order RV64IMAFDV core in SystemVerilog (Linux 6.6)

Fursoy Slice-1 是用 SystemVerilog 实现的 64 位 乱序超标量 RISC-V 处理器，支持 RV64IMAFDV+Zba+Zbb+Zicsr+Zifencei、Sv39 虚拟内存、M/S/U 权限和精确异常。它已在 Verilator 中无内核崩溃启动主线 Linux 6.6.50 与 BusyBox 用户态，并提供逐周期 CPI 分类遥测。Nangate 45nm 综合在 500 MHz 下 8 个核心模块全部满足时序；项目还包含 Sail 差分协同仿真、回归测试、SoC 外设验证脚本，采用 Apache 2.0 许可。

22. 达特茅斯Guarini学院暂停数学博士招生

🔗 thedartmouth.com: Dartmouth (Guarini) will not admit math PhD cohort this year

达特茅斯Guarini研究生院宣布暂停2027-2028学年数学博士项目招生，并未说明何时恢复，称此举是为配合文理学院开展院系审查。学院表示，在读学生的资助、保险与五年资助保证不变，将保障其至毕业。此举引发师生对透明度和影响的担忧：可能削弱研究生社群、本科高阶课程供给及跨学科项目，也正值全国博士录取下降和学校削减开支之际。教师称仍在与校方沟通，希望未来恢复招生。

23. “欧洲穷鬼”嘲讽，暴露的是美国的不安

🔗 davekeating.substack.com: The ‘europoors’ rants reflect an American insecurity

文章认为，近期美英网民吹嘘美国经济、嘲讽“欧洲穷鬼”，并非欧洲主动挑起，而是“欧洲穷鬼”嘲讽折射出美国的不安全感。作者以从美国移居欧洲的经历指出，欧洲的带薪假期、低成本教育、医疗与社会保障正被更多人看见；而英美面对民主危机、脱欧创伤和相对衰落，借贬低欧洲来维护自身选择。所谓美国高薪也需扣除医保、学贷、汽车等成本，实际可支配收入未必更高。这场论战更多是英美心理危机的投射，而非欧洲的问题。

24. 构建去中心化即时通讯协议：从联邦发现到端到端加密

🔗 karboosx.net: How to Create Your Own Decentralized Messenger Protocol

文章介绍如何设计一个类似 SMTP 的联邦架构即时通讯协议：用户身份采用 nickname@domain，服务器通过 .well-known/lnchat.json 暴露版本和端点，并用 resolve_users 批量解析用户公钥及 key_id。为保障端到端加密，私钥仅留在客户端，公钥由服务器发布；消息体在客户端加密，采用类似 HPKE 的封装机制发送 encapsulated_key 与 ciphertext。服务器负责校验请求、生成含 sender 和 message_id 的联邦信封并投递，接收端存储后由用户解密；协议还强调对服务器消息签名验证，防止伪造来源域。

25. 太空数据中心：AI算力的下一站还是炒作？

🔗 forethought.org: Will we put data centers in space?

该文评估轨道数据中心（ODC）的技术与经济可行性，认为其核心经济性几乎取决于发射成本：若Starship实现类似Falcon的可复用性，太空太阳能可在约250美元/千克达到陆上离网电力平价，约50美元/千克时更具优势。曾被视作致命障碍的散热经轻质碳纤维散热器等方案后可能可控且成本不高。但芯片维护与星间带宽是主要约束：无法维修导致芯片失效需超配非计算硬件，星间带宽限制使其早期更适合推理负载。作者判断，若无变革性AI，ODC在2030年前难成重要算力来源，但若Starship进展顺利，3—5年内可能具备与当前地面数据中心竞争的成本。