五篇故事今日获得了超过200分。安全和AI地缘政治占据主导地位。
美国AI被封锁且专有化，正在输掉比赛 — 589分
Ben Werdmuller 认为，中国开放权重AI战略明显优于美国封闭且被锁定的策略。核心论点是：AI模型真正的护城河仅限于品牌忠诚度和转换成本——你可以明天就将ChatGPT换成Claude，几乎没有摩擦。真正的护城河在于围绕模型的企业服务。因此，通过开放模型，中国将美国的GPU出口限制（旨在限制中国计算能力）转化为一种分销优势：将OpenAI和Anthropic试图盈利的那层商品化。
数据支持这一观点。a16z合伙人Martin Casado指出，已有80%的初创公司使用中国模型。Moonshot的Kimi K3和阿里巴巴的Qwen 3.8现在声称在前沿基准测试中以极低的价格获得优势。文章真正的警告不是关于AI霸权——而是关于美国经济对AI支出的暴露。如果中国开放模型商品化市场，推动美国科技股的巨额资本支出可能会迅速消失。
Werdmuller 承认一个显而易见的例外：询问中国模型关于天安门广场的问题。但他的观点依然成立——开放基础设施往往获胜，而美国则押注相反的策略。
机场模拟器 — 531分
由@lapunen开发的一款基于浏览器的机场交通控制游戏，正在引起轰动。概念类似于Flight Control：你是一名空中交通管制员，负责指挥飞机到跑道，努力在不发生碰撞的情况下管理起降。HN评论区的大部分内容都是对原版Flight Control iOS游戏（2009年）的怀旧之情，以及迷你地铁。
提供双语界面（芬兰语/英语），界面简洁，完全在浏览器中运行。有112条评论，大部分是人们回忆那些为触屏设计得恰到好处的休闲游戏。一位评论者指出，从“浏览器演示”到“实际游戏”之间的差距使得这类项目在HN上粘性很高——它足够精致，可以立即游玩而没有任何摩擦。
没有革命性创新，但这种病毒式传播是应得的。简单概念，执行到位，即时满足感。9小时内获得531分是大多数初创公司梦寐以求的自然参与度。
黑客清空罗马尼亚土地登记数据库 — 472分
一名名为ByteToBreach的黑客攻破了罗马尼亚国家土地和房地产局（ANCPI），窃取数据后清空了整个土地登记数据库，这是一次失败的勒索企图。房地产市场停滞了一个星期——公证人无法记录交易，公民无法获得所有权证明。
攻击者使用有效凭证进入，映射内部系统，摧毁了生产数据和（据称）备份。ANCPI表示正在从头重建，并似乎拥有离线备份，但损害已经造成。黑客窃取的数据——员工凭证、内部文档、网络细节——被发布在黑客论坛上。
安全公司KELA将黑客身份曝光为来自阿尔及利亚奥兰的Zakaria Mahdjoub。罗马尼亚加入波兰、斯洛伐克、希腊、摩洛哥、俄罗斯和乌克兰的行列，成为过去三年中土地登记数据库被攻破的国家之一。这成为一种模式：关键政府基础设施运行在未设计为抵御有针对性攻击的系统上。Risky Business简报还包含其他安全新闻：Hugging Face被AI代理攻破，可口可乐的Fairlife子公司因勒索软件中断生产，Suno被攻破揭示了大规模音乐抓取操作。
欧盟即将向美国出售最敏感数据以换取免签证旅行 — 426分
欧盟委员会正在与特朗普政府敲定“增强边境安全伙伴关系”（EBSP），以换取继续免签证旅行，美国边境当局将获得访问欧盟生物识别数据库的权限。EDRi成员Statewatch获得的泄露草案表明，欧盟几乎完全屈服于美国要求无限制信息访问的诉求。
该计划涉及系统性地从欧洲国家数据库向美国当局转移生物识别数据和主观“风险评估”。EDRi的分析指出，该草案严重偏离了欧盟成员国自身的谈判授权，并可能违反欧盟基本权利宪章——这是导致Safe Harbor和Privacy Shield失败的同一法律框架。
背景很重要：美国已经在边境上打击政治异见，筛查旅行者的社交媒体资料，并针对支持跨性别权利的行为进行打击。与将“公共安全和公共秩序”风险评估与将抗议视为极端主义的政府共享，这不仅是理论上的滥用——而是显而易见的结果。EDRi将其称为勒索。美国以数据访问为条件换取免签证旅行，欧盟屈服了。
50万美元的WordPress RCE，我用GPT5.6和25美元找到了一个 — 352分
Searchlight Cyber / slcyber.io
这是安全研究人员的一天故事。Adam Kues在Searchlight Cyber使用OpenAI的GPT5.6 Sol Ultra模型发现了一个预认证SQL注入漏洞，该漏洞可以链接到完全的RCE——全部花费大约25美元的计算资源。他将OpenAI自己的Cycle Double Cover猜想求解提示改编用于安全研究，将其指向WordPress源代码，四个代理运行了6个多小时，最终找到了一个真正可利用的漏洞。
该漏洞位于批量API端点（/wp-json/batch/v1）中，该端点在WordPress 5.6中引入。批量处理代码存在微妙的数组对齐错误：当批量中的第一个请求无效时，$validation数组会获得错误条目，但$matches数组不会，导致后续条目错位。这使得攻击者可以验证一个请求的参数，但执行针对不同端点处理器的命令——完全绕过了清理。
从SQLi到RCE的后利用链被描述为“完全荒谬”的复杂性——Sol在4小时内编写了它，但研究员理解起来花了更长时间。该漏洞影响超过5亿个WordPress实例。其他两位研究人员在发布前独立重现了该链。一个检测工具托管在wp2shell.com。头版数字（25美元 vs 50万美元）引人注目，但真正的故事是：AI驱动的漏洞研究已经跨越了一个门槛：前沿模型在一个世界上最坚固的代码库中找到了有意义的预认证漏洞。
通过线
今日的首页被单一的元主题所主导：技术中的权力不对称。中国通过开放模型赢得AI竞赛，而美国试图出售这些模型。美国通过签证政策杠杆获取欧洲生物识别数据。一名来自阿尔及利亚的黑客可以瘫痪整个国家的房地产市场。而一个花费25美元的AI模型找到了一个漏洞，黑客经纪人愿意支付50万美元。
共同线索是：集中控制——无论是美国AI公司锁定模型，欧盟在隐私上的妥协，还是政府机构未能保护关键基础设施——始终输给分布式、开放或对抗性的方法。罗马尼亚黑客攻击是警戒故事：关键系统运行在没有适当空气隔绝备份的情况下，落入已知威胁者的手中。WordPress RCE是概念验证：AI现在足够强大，可以在最经受考验的代码库中找到漏洞，经济已经从“50万美元悬赏”转变为“25美元订阅”。
欧盟数据故事具有长期的最重大意义。如果这项协议通过，它将设定先例：美国可以以它想要的任何数据访问条件作为免签证旅行的条件，而欧盟将遵守。特朗普政府在利用数据对抗政治对手方面的记录使其成为实际风险，而非理论风险。