E-Ink 新闻日报

Alpine Linux的openssh-server存在关键的密码认证绕过漏洞，攻击者只需发送特定长度的密码字符串即可无需密码直接登录。该漏洞影响未启用PAM（或禁用UsePAM）且开启PasswordAuthentication、同时存在密钥账户和标准密码哈希账户的系统。建议立即更新openssh并重启sshd，或临时禁用密码登录。

斯坦福网络安全专家、前Meta安全主管Alex Stamos认为，多亿美元网络安全行业正因AI赋能的攻击者（包括俄罗斯和朝鲜等国家行为体）同时检测和利用漏洞而面临颠覆。他将当前阶段比作90年代的互联网黎明期，并警告在适应新威胁之前将迎来一段'黑暗时代'。

Claude Code的"不再询问"功能被发现会在1,122个公开GitHub仓库中意外泄露密码和敏感信息。当用户保存审批选项后，该功能会将包含敏感凭据的提交公开到代码文件中。

musl libc的crypt函数存在漏洞，超长密码返回的哨兵值"*"与Unix锁定账户标记冲突，可能导致Alpine等系统未授权用户获取shell。文章借此漏洞论证C语言缺乏类型化的错误处理机制会导致危险的内带信号传递，而Rust等语言可从根本上避免此类问题。

Bitdefender Labs研究人员发现了一个名为GhostMap的重要Android漏洞，安装特制的APK应用可在无需打开或运行的情况下使手机陷入崩溃循环。该漏洞源于Android系统处理ZIP条目中的压缩方法和声明的未压缩长度两个字段时存在缺陷，导致映射未分配的内存并触发SIGBUS崩溃。目前唯一恢复方式是恢复出厂设置，将清除所有用户数据。

Curl宣布低中和中等严重性的安全漏洞报告应通过公开问题跟踪器提交，而非传统的私有披露渠道，实质上放弃了对非关键问题的 embargo 模式。作者支持这一做法，认为有助于缓解开源项目每天面临数百条CVE报告的巨大压力。

GitHub 推出工作流依赖项锁定文件，将 Action 引用固定到经过验证的提交 SHA，确保 CI/CD 执行的可重现性和安全性。通过使用 gh actions-lock 扩展，仓库可以防止因可变的标签或分支导致的供应链攻击。

Rails、Spring和Jetty等Web框架默认信任Forwarded请求头，而大多数反向代理不会验证或删除该头部，导致客户端IP和主机名存在伪造风险。作者在配置Envoy反向代理时发现此问题，并将所有X-Forwarded-*和Forwarded头设为丢弃以缓解风险。

据美国情报备忘录称，中国国家安全部招募了一名Megaspeed的女科技高管，用于监视英伟达CEO。这一发现引发人们对针对全球最具影响力半导体公司之一的企业间谍活动的担忧。

民主党在2026年中期选举中的历史性胜利为伊隆·马斯克和数据中心行业带来了阻力，多个州的选民通过投票否决了数据中心项目。尽管马斯克向共和党候选人捐赠了5亿美元，但他的公司总部却位于日趋支持民主党的州。与此同时，面对日益增长的草根反对声浪，OpenAI等超大规模科技公司已开始调整政策。

币安CFO宣布将离职追求新事业，此事发生在该交易所遭遇63亿美元加密货币黑客攻击仅一周后。

科学家正在追踪班图人扩张如何改变了非洲大陆：约4,000至6,000年前，来自西非的适应力强的社群逐步向南扩散，将定居农业、畜牧、制陶和冶金技术等全新生活方式引入此前以狩猎采集为主的地区。

AI安全组织METR发布报告称，Anthropic正在利用AI加速自身研发，模型改进速度约为一年前的两倍。这一发现引发了研究人员对AI自主发展速度的担忧。

微软研究院正在关闭其AI前沿研究小组，这标志着探索前沿AI能力和安全的 Initiative 的结束。这一决定反映了主要实验室在基础研究方向上的更大转变。

MaxxBench对DeepSWE基准测试的评分提出质疑，引发关于当前评估指标是否能真实反映AI软件工程能力的问题。该项目推出了一个替代性基准测试，旨在提供更可信的AI编程模型评估。

Coldframe是一个开源蜜罐项目，精确模拟了Danfoss AK-SM 800A和Dixell XWEB超市制冷控制器的Web界面，包括HTTP头、TLS配置和页面布局，使其在Shodan上看起来像真实设备。该蜜罐能够识别并记录CVE-2025-41450等已知漏洞利用尝试，并向攻击者展示虚假后台界面以观察后续行为。

Discord推出了新的Windows 11客户端，抛弃了Electron框架，在双账号登录的情况下内存占用减少70%，并改为原生启动画面。文章认为这是Windows 11应用减少对Electron依赖的有力例证。

通过浏览器直接游玩经典游戏《极品飞车：地下狂飙2》，项目很可能采用 WASM 模拟或客户端重写方案实现，无需安装即可在 2004 年的老游戏上获得流畅体验。

一名开发者将博客基础设施从AWS CloudFront和Route 53迁移至Bunny.net，主要原因是成本考量。Route 53的GeoDNS和健康检查定价过高，而Bunny DNS提供近乎免费的服务，支持脚本化响应和地理路由功能。

Meridian 是一款基于 Rust 的 Servo 渲染引擎和 Zed 编辑器使用的 GPUI 框架开发的实验性 macOS 浏览器。它目前更适合浏览 JavaScript 和布局要求较轻的网站，同时支持字体、快捷键、主题和标签页样式的高度自定义。

OpenBSD的top(1)命令新增-Q标志，可显示各进程对chroot、pledge和unveil安全机制的使用情况。该变更将这些状态指示符替换原来的TIME列字母，帮助管理员快速识别权限使用不当的程序。

一位开发者在使用Jujutsu版本控制系统完成Roguelike游戏教程时，实现了二维版本控制。与手动管理分支不同，Jujutsu能自动将代码变更推进到后续章节，允许作者随时编辑任意章节。

一位AI质量保障工程师发现，PDF文件可能隐藏提示词注入漏洞，例如通过白色文字或屏幕外内容嵌入人类肉眼不可见但AI可解析的文本。这一发现源于测试自动解析SEC财务报表的过程，揭示了一种可能微妙影响AI决策的实际攻击路径。

CHIMERA是一个基于Web的交互式声音合成系统，通过模拟声学管道物理来生成有机音效。该项目展示了计算声学管道模型如何在实时环境中近似自然发声过程。

大型科技公司在过去两年与白宫关系密切，但随着中期选举临近，正试图重新赢得民主党人的好感。核心问题是，它们在州和地方政府层面日益升级的监管压力能否被这场形象重塑所化解。

数据中⼼开发商Crusoe已将位于怀俄明州的未完成的项⽬出售给Google，后者计划投资170亿美元完成开发。尽管遭遇挫折，Crusoe仍与Google在得克萨斯州阿马里洛附近的其他设施保持合作，并于近期融资39亿美元。

一名英军士兵在部署至爱沙尼亚执行任务时，无视上级要求拔掉SIM卡的命令，随后手机遭黑客入侵。不法分子窃取其裸照并将其用于敲诈勒索，该士兵因此被送上军事法庭并判处10个月监禁。

据报道，中国公司新矩阵（New Matrix）被美国商务部批准购买英伟达H200 AI芯片，但其注册地址是一处空置且未完工的毛坯办公室。该事件引发对美对华芯片出口管制审核机制是否尽职的担忧。

纽约时报烹饪应用推出了内置AI助手，可帮助规划晚餐、替换食材和调整食谱。作者体验后发现它在日常做饭上很有用，但在做蛋糕时几乎酿成灾难，反映了AI在厨房场景中既有实用性也存在风险。

埃隆·马斯克宣布特斯拉将于明年停止Cybertruck的生产，为Cybercab让路，标志着公司战略的重大转变。这款曾被誉为特斯拉最具野心的设计车型，最终以推特的形式低调宣布停产，而非传统的发布会。

苹果有一份灰名单，其中包含其iPhone拼写检查和预测文本功能拒绝辅助的词汇和短语，如"男权至上主义者猪"。卫报报道指出，这份精心策划的屏蔽列表限制了对某些政治或社会敏感词汇的拼写帮助。

这篇2022年的博客文章探讨了如何以低至8美元的成本构建一台功能完整的Linux电脑，可能涉及廉价单板计算机或再利用硬件。该帖在Hacker News上获得194分和84条评论，反映出社区对超低成本计算的浓厚兴趣。

一家律师事务所分享了其将运营迁移到自由开源软件的经验，涵盖2026年版中采用的工具和 workflow，以替代专有方案。

文章揭示每台Mac都内置了一个未文档化的家庭成员分类器，作为Apple Intelligence个人知识图谱的一部分。用户发现该系统能自动从照片和联系人中识别并归类家庭关系，无需任何显式配置。

古代DNA分析似乎证实了一个被称为

Asahi Linux发布了第七期进展报告（7.3），详细介绍了将Linux移植到Apple Silicon Mac硬件的持续工作。更新内容涵盖驱动程序开发、内核集成改进以及Apple MacBook Pro和iMac机型的功能完善。

Max Goldstein 批评了 Deno 基于权限的安全模型，认为其「默认安全」的方式从根本上不安全且具有误导性。文章介绍了 Deno 运行时权限系统，并暗示作者将揭示更深层次的缺陷。

Amutable发布了Amutable Foundations技术概览，核心包括AOS（基于Fedora的不可变镜像Linux操作系统）和ACP（用于fleet管理和更新的控制平面）。该方法将传统包安装模式转变为构建时预组装的不可变磁盘镜像，旨在消除配置漂移并提升系统可复现性与完整性。

亚马逊推出了重新设计的基础款Kindle，价格虽高于前代，但机身更轻便、显示效果提升。这一更新让基础款相比高端型号更具吸引力。

红杉资本宣布关闭其Scouts项目，标志着这一由其开创的投资模式走向终结。此举反映出创投圈普遍共识：当前的 scouts 模式已触及发展瓶颈。

Costco会员可立减5美元购买Switch 2版《塞尔达传说：时之笛》重制版数字版，价格为54.99美元。该重制版采用写实风格画面，并加入了随时跳跃等便利功能改进。

Datasette将停止对HTML页面的Firefox发送`link: rel=next` HTTP头，因为Firefox会自动预取链接的下一页，但实际只有极少数用户会点击跳转。Simon Willison指出这个问题已在Firefox中存在24年，他早在2002年就曾写博客抱怨过该行为。