2026年7月13日 Hacker News 首页精选
七篇报道得分超过200分。安全和隐私问题占据主导地位。
GhostLock：一个藏了15年的栈-UAF漏洞
381分 · nebusec.ai
CVE-2026-43499，由Nebula Security命名为GhostLock，是一个存在于Linux内核rtmutex代码中的使用后释放漏洞，该漏洞自2.6.39版本（2011年）引入，直到今年4月才被修复到7.1版本。该漏洞允许未授权的本地攻击者获取悬空的内核栈指针，写入几乎任意地址，劫持函数表，并提升权限——无需特殊内核配置，只需CONFIG_FUTEX_PI=y，该配置在所有主要发行版中默认启用。
研究人员将此漏洞转化为一个97%稳定的权限提升和容器逃逸，从Google的kernelCTF项目中获得了92,337美元。该漏洞链非常复杂：预取ASLR泄露，CEA喷洒以绕过随机化，通过PR_SET_MM_MAP伪造等待者结构，通过inet6_protos[IPPROTO_UDP]进行偏移，最后使用DirtyMode完成。完整的分析是一堂内核利用的高级课程。
十五年。每个Linux发行版。一个如此基础的漏洞在优先级继承futex代码中存在了十多年，这表明内核安全审查的速度是多么缓慢。修复补丁（3bfdc63936dd）只是一行代码。请更新你的内核。
洛杉矶警察局终止与监控巨头Flock Safety的合作
340分 · TechCrunch
洛杉矶警察局正在终止与Flock Safety为期三年的合同，原因是“严重关注公民自由和隐私问题，特别是关于收集的数据”。Flock在全美运营着超过80,000个车牌摄像头，洛杉矶是其最大的客户之一。
这不是第一次弃用。Mountain View和South Portland已经弃用了Flock，主要是因为担心联邦移民局可能利用这些摄像头规避庇护城市政策。该公司还因安全漏洞频发而备受困扰——404 Media发现了公开暴露的实时摄像头流，DEA未经授权使用当地警员的凭证搜索非法移民嫌疑人。研究人员还记录了因车牌识别错误而被枪击的案例。
Flock表示对此感到“意外”，并声称可以“澄清当前的误解”。当你的摄像头被居民拆除，而你的安全措施无法阻止记者实时观看时，很难认真对待。更大的问题是：洛杉矶警察局是否会真正停止记录，还是Flock的基础设施将在没有正式合同的情况下继续运行？
苹果的新语音分析API，与Whisper的基准测试
294分 · get-inscribe.com
Inscribe对苹果的新语音分析API（随iOS/macOS 26一起发布）进行了基准测试，与Whisper和遗留的SFSpeechRecognizer进行了对比，使用了5,559个LibriSpeech语音片段。结果非常明确：语音分析API在干净语音上的单词错误率为2.12%，在嘈杂语音上的单词错误率为4.56%，分别击败了Whisper Small（3.74% / 7.95%）并快了大约3倍。遗留的SFSpeechRecognizer表现最差，错误率为9.02%——甚至不如Whisper Tiny，一个40MB的模型。
基准测试有两个值得信赖的依据。首先，Inscribe的Whisper数据与OpenAI发布的数据一致（有轻微的偏差，因为OpenAI采用了更严格的文本规范化和CoreML量化）。其次，他们根据测试结果调整了自己的产品——Inscribe的Auto引擎现在更倾向于使用语音分析API支持的语言。发布基准测试并忽视它在自己产品中的应用将是一个糟糕的选择。
对于开发者来说：立即从SFSpeechRecognizer迁移到语音分析API。对于英语用户来说，苹果设备上的内置引擎现在是最好的选择，而且它是免费的。
与东京同步的voxel空间——乘坐山手线学习日语
289分 · jivx.com/densha
Densha是一个沉浸式浏览器体验，将voxel艺术东京与日本的实际时间、天气和季节同步。你乘坐东京的标志性环线——山手线，同时播放N5级别的日语句子，以漂浮的字幕形式出现——就像按下播放键进入的一个低分辨率的学习室。
这是一个精美的项目。无需安装应用，无需订阅，也无需游戏化。只是一个氛围。任何学习过日语的人都能感受到它的吸引力：无需努力的沉浸式学习，通过实际语境中的句子模式和词汇进行背景暴露。背景音乐帮助营造氛围。
更广泛的趋势是“沉浸式学习环境”——这些工具不需要主动参与，但能创造一个有意义的被动暴露环境。虽然这种学习方式是否优于结构化学习仍是一个开放的问题，但作为辅助工具，它在氛围上几乎无可挑剔。
无回溯草书：重新设计笔迹以永不提起笔
230分 · mmapped.blog
一篇深度技术文章，做了件不寻常的事：量化了问题。作者分析了陀思妥耶夫斯基的《罪与罚》（俄文和英文版本），测量了草书书写中需要回溯的频率——即在已经部分书写的字母上添加笔画（点i，横t）。英文中51%的单词需要回溯（0.68次/单词）。俄文：6.4%（0.066/单词）。
解决方案是一个基于SmithHand的自定义草书字体，进行了修改：一个单笔画的t，灵感来自瑞士标志，i和j重新设计为融合了圆和茎的循环结构，消除了提笔，以及一个tt连字，先堆叠两个垂直笔画再交叉。设计哲学非常严格：每个小写字母必须在一笔中连接到下一个字母。
这是一类Hacker News喜欢的极客工艺文章。分析非常有趣——观察到英语草书本质上对连续书写是敌对的，因为它的点和横笔画。是否有人会实际采用这种自定义字体并不重要；思考本身才是产品。
Show HN：超级达里奥
232分 · superdario.pawb.de
一个基于浏览器的平台游戏——“帕斯卡尔·舒斯特制作的一个简单的游戏”——名为《超级达里奥：再加一周》。直接在浏览器中运行，使用箭头键和空格键。名字是关于范围蔓延的笑话（“再加一周”的开发），整个游戏充满了一款周末项目实际发布的活力。
浏览器游戏在Hacker News上爆红是一个可靠的趋势。参与门槛为零——你点击，你玩，你点赞。无需安装，无需配置。232分在两小时内表明这款游戏确实有趣，而不仅仅是新颖。
问HN：你在做什么？（2026年7月）
226分 · Hacker News
每月一次的帖子。有几个值得关注的项目：有人使用Qwen3.6-27b在Zork-Bench上得分约50（与Claude Opus 4.5的报告性能相当），另有人正在使用模拟击球散布数据构建高尔夫球场建筑设计模型，还有Beacon——一个“一对一电话”应用，你发出信号，第一个接电话的人将被连接。此外：一份儿童报纸（印刷版，每月一次，无屏幕），一个从健身视频生成的视频拼接生成器，以及视频中心应用迎来了它的第8个年头。
Zork-Bench条目是最具技术意义的——27B模型与Opus 4.5在互动小说任务上的差距正在迅速缩小，而使其正常运行所需的框架工程相当复杂。
通过线
今天的首页报道主要围绕两个主题：安全债务和隐私反思。GhostLock是一个十五年前的内核漏洞，最终只得到了一行代码的修复——证明关键基础设施代码在异常长的时间内未被审查。洛杉矶警察局终止与Flock Safety的合作是警察部门终于承认其监控供应商的安全状况和数据处理方式无法接受，即使对于执法部门也是如此。这两者并非无关：它们都是关于系统在无声地积累风险，直到证据变得无法忽视的故事。
苹果的语音分析结果是一个无声的炸弹——这种基准测试将整个生态系统默认设置改变了。Whisper在设备端转录上的主导地位一直是苹果预期要填补的空白，但以40%的WER差距和3倍的运行速度超越它是一个声明。关于沉浸式学习和笔迹设计的帖子是味觉清新剂，但它们展示了在日益饱和的AI生成内容平台上，工艺和精细的关注仍然能找到受众。