2024-10-27 Hacker News Top Stories #

美国版权办公室最近做出了一个重要的裁决，允许用户修复商业食品加工设备，包括麦当劳的冰淇淋机。

购买域名之前，先检查是否有“历史问题”，以避免域名被搜索引擎删除或被公司防火墙屏蔽。

杰夫·贝佐斯阻止了《华盛顿邮报》对卡玛拉·哈里斯的背书，可能是出于个人利益冲突或避免政府合同被取消。

印度法院封锁维基百科文章，维基媒体基金会暂停访问该页面，正在寻求法律选择，致力于维护获取知识的权利。

公司名称包含计算机代码被要求更改，因为可能被用于黑客攻击网站，英国公司注册局要求公司更改名称。

再生农业在美国需要“忘记”过去的建议，转变农业生产方式，注重恢复土壤健康，减少化学投入，通过自然方式进行耕作。

使用 Entropix 改善大语言模型的推理能力，通过在模型不确定时更智能地进行采样，使用熵和方熵来度量模型的不确定性。

新发现的 Windows 驱动签名绕过漏洞允许内核 rootkit 安装，安全研究人员 Alon Leviev 发现了一种新的方法，可以绕过 Windows 的驱动签名强制（DSE）机制。

机器人静态精度达到 0.05 毫米的秘密在于使用 servo 电机，并结合 maths 来移动，视频中展示了这款机器人的测试过程。

理解 Round Robin DNS 的工作原理和客户端行为，通过实验测试了不同客户端的行为，包括服务器在线和离线的情况。

We can now fix McDonald’s ice cream machines #

https://www.ifixit.com/News/102368/victory-is-sweet-we-can-now-fix-mcdonalds-ice-cream-machines

美国版权办公室最近做出了一个重要的裁决，允许用户修复商业食品加工设备，包括麦当劳的冰淇淋机。这是维修权利运动的一个重要胜利。

图片[1]-2024 10 27 HackerNews-极资源

之前，麦当劳的冰淇淋机经常出现故障，无法修复，因为制造商泰勒公司使用数字锁阻止用户访问修复信息。这种做法导致许多麦当劳冰淇淋机无法正常使用，给消费者带来了不便。

现在，美国版权办公室的裁决允许用户绕过数字锁，修复商业食品加工设备。这意味着麦当劳的冰淇淋机可以被修复，消费者可以更容易地享受到冰淇淋。

虽然这是一个重要的胜利，但维修权利运动仍然存在许多挑战。例如，裁决并不允许用户共享或销售修复工具，这意味着许多用户仍然无法修复自己的设备。

此外，裁决也不适用于其他类型的商业设备，例如重型机械和工厂设备。这意味着许多企业仍然无法修复自己的设备，必须依赖制造商提供的服务。

维修权利运动将继续努力，争取用户的权利，推动制造商提供更好的维修服务。

HN 热度 1035 points | 评论 278 comments | 作者：LorenDB | 1 day ago #

https://news.ycombinator.com/item?id=41949098

麦当劳冰激凌机故障多因缺乏维护和清洁，员工培训不足
机器故障时，清洁周期无效，需重新进行 4 小时清洁
麦当劳依赖制造商的技术人员进行维修，费用高昂且维修不便
第三方已开发简化维修工具，但因法律限制无法销售
麦当劳和制造商维持现状以获取维修利润
麦当劳的运营系统设计使得员工无需做决策，反而更高效
其他品牌如 Dairy Queen、Wendy’s 及麦当劳海外分店未遇到类似问题
维修权法案允许设备所有者自行维修，但需证明维修资格
一些顾客对低薪员工态度恶劣，应尊重他们
低薪服务工作经历有助于培养对他人的理解与尊重
部分人认为低薪员工应得其所得，这种观念导致了对员工的虐待

Before you buy a domain name, first check to see if it’s haunted #

https://www.bryanbraun.com/2024/10/25/before-you-buy-a-domain-name-first-check-to-see-if-its-haunted/

购买域名之前，先检查是否有“历史问题”

图片[2]-2024 10 27 HackerNews-极资源

2022 年中，我购买了一个新域名 musicbox.fun，用于我的一个副项目——一个交互式的在线音乐盒。这个域名比我之前的域名 musicboxfun.com 更短更有趣。但是，我后来发现这个域名有一个不好的历史。

在 2018 年 6 月到 2021 年 2 月之间，musicbox.fun 被用来托管盗版音乐，导致谷歌和其他搜索引擎删除了超过 20,000 个 URL。虽然我不知道这些历史，但当我将 musicboxfun.com 的流量重定向到 musicbox.fun 时，我注意到我的搜索引擎流量突然下降到零。

我最初以为这是暂时的，但等待了一段时间后，流量并没有恢复。直到一年后，我才发现了域名的历史问题。我的妻子形容这个情况为“域名被诅咒”。

域名被诅咒的定义：

域名过去发生了不好的事情。
表面上看，域名似乎没有问题。
但是，会有一些迹象表明域名有问题。
当你发现域名的历史时，会有一个令人震惊的时刻。
你会犹豫是否要放弃这个域名，还是试图解决问题。

如何检查域名是否被诅咒

使用 Wayback Machine（archive.org）查看域名的历史存档。
检查 DMCA 投诉记录（谷歌透明度报告和 lumendatabase.org）。
检查历史 SEO 数据（使用工具如 ahrefs.com）。

如果域名被诅咒，如何解决

与搜索引擎沟通（设置 Google Search Console 和 Bing Webmaster Tools）。
双倍努力做好 SEO 基础工作（高质量内容、结构化数据、可访问性、快速加载）。
等待一段时间（可能需要几年才能恢复信誉）。

HN 热度 833 points | 评论 164 comments | 作者：bryanbraun | 1 day ago #

https://news.ycombinator.com/item?id=41951131

作者购买了有价值的高级域名来展示个人艺术收藏，但因之前该域名被用于成人内容而被公司防火墙和搜索引擎屏蔽
作者联系了多个网络过滤器提供商，成功将域名重新分类为艺术而非色情，但 Bing 仍存在问题
有评论者对作者的艺术收藏表示兴趣，并感谢作者在线分享
有人提到该域名在英国 ISP 的成人内容过滤中也被屏蔽
评论者回忆起该域名过去曾是成人内容网站，直到 2018-2019 年才停止运营
有人询问除了 eBay 之外购买动画赛璐珞的地方，其他评论者提供了资源链接和建议
评论者认为员工在工作中帮助解决个人问题是可以接受的，特别是当这些问题是紧急的或需要少量时间时
有人认为 CISO 帮助解决个人项目的问题可以视为一种建立公司内部良好关系的机会
评论者提到，社会中很多问题的解决仍然依赖于个人关系网络，这被视为社会的一个缺陷
有人认为，通过个人关系解决问题并不是特权，而是因为大多数系统本身存在缺陷，需要内部人士的帮助才能解决

Jeff Bezos killed Washington Post endorsement of Kamala Harris #

https://www.cnbc.com/2024/10/25/jeff-bezos-killed-washington-post-endorsement-of-kamala-harris-.html

华盛顿邮报（The Washington Post）在 2024 年美国总统大选中决定不支持任何候选人，这是该报自 1976 年以来首次不对总统候选人进行背书。

图片[3]-2024 10 27 HackerNews-极资源

邮报的所有者杰夫·贝佐斯（Jeff Bezos）被指与这一决定有关。邮报的编辑们曾起草了一份支持民主党候选人卡玛拉·哈里斯（Kamala Harris）的背书草案，但贝佐斯否决了这一决定。邮报的出版商威尔·刘易斯（Will Lewis）否认贝佐斯干预了这一决定，称这一决定是邮报的独立决定。

邮报的意见栏作家们对这一决定表示遗憾，认为这是对报纸基本编辑原则的背离。

HN 热度 751 points | 评论 869 comments | 作者：donsupreme | 1 day ago #

https://news.ycombinator.com/item?id=41949297

报纸发表意见是为了满足读者需求，但贝索斯的决定可能出于个人利益冲突
不支持候选人可能对《华盛顿邮报》有利，提高其公正性
贝索斯可能为了避免政府合同被取消和其他形式的报复
贝索斯不缺钱，但可能出于对更多财富的追求而做出任何决定
特朗普可能攻击政治对手，即使他们非常富有，贝索斯可能因此避免支持特定候选人
最高法院的判例并非绝对，当前法院可能推翻以往的先例
贝索斯可能担心特朗普会利用军队对付他的对手，影响投票
特朗普在多数民调中落后于哈里斯，但因选举人团制度仍有可能赢得总统职位
赌注显示特朗普有较大概率赢得选举人团，但哈里斯赢得普选的几率更高

Wikipedia article blocked worldwide by Delhi high court #

https://en.wikipedia.org/wiki/Asian_News_International_vs._Wikimedia_Foundation

维基媒体基金会已经暂停了对该页面的访问，因为德里高等法院的命令没有损害基金会的权利。我们正在寻求所有可用的法律选择。

我们仍然致力于将获取知识作为一种人权。我们正在努力确保每个人都可以访问和分享维基百科上的免费知识。

这涉及到活跃的诉讼，我们将在能够分享更多信息时更新此页面。

维基媒体基金会已经暂停了对该页面的访问，因为德里高等法院的命令没有损害基金会的权利。我们正在寻求所有可用的法律选择。

我们仍然致力于将获取知识作为一种人权。我们正在努力确保每个人都可以访问和分享维基百科上的免费知识。

这涉及到活跃的诉讼，我们将在能够分享更多信息时更新此页面。

HN 热度 662 points | 评论 404 comments | 作者：intunderflow | 1 day ago #

https://news.ycombinator.com/item?id=41950392

档案网站可以作为被封锁文章的替代来源
如果上诉失败，维基百科应全面封锁印度，这将使问题引起更多关注
政府应自行封锁维基百科，以避免将责任推给维基百科
俄罗斯政府曾将 YouTube 封锁归咎于技术问题，政府不介意推卸责任
谷歌可能继续在俄罗斯运营以保持市场份额，尽管广告收入有限
维基百科可以在被封锁的文章页面上显示明显的警告，但仍允许其他国家访问
如果印度法院的裁决对维基百科过于苛刻，全面退出印度是合法的选择
印度公民如果不喜欢这种结果，应该自己采取行动来改变
维基百科全面封锁印度是过度反应，不应采取这种做法

Company named HTTPS://MJT.XSS.HT forced to change it (2020) #

https://www.theguardian.com/uk-news/2020/nov/06/companies-house-forces-business-name-change-to-prevent-security-risk

英国公司注册局（Companies House）被迫要求一家公司更改其名称，因为该名称可能被用于黑客攻击网站。该公司原名为

““><SCRIPT SRC=HTTPS://MJT.XSS.HT> LTD”

其中包含 HTML 代码，可能被用于跨站脚本攻击（XSS）。

图片[4]-2024 10 27 HackerNews-极资源

公司负责人表示，他之所以选择这个名称，是因为他觉得它“很有趣，很有趣”，并没有意识到它可能会造成安全风险。公司注册局已经采取措施防止类似事件的发生，并表示其服务仍然安全。

HN 热度 522 points | 评论 233 comments | 作者：jakey_bakey | 1 day ago #

https://news.ycombinator.com/item?id=41948666

有人利用 EICAR 测试字符串生成 QR 码，导致停车场终端的防病毒软件弹出警告，使终端无法使用
EICAR 测试文件是一种可打印的 ASCII 字符串，同时也是自修改的可执行文件
DEF CON 29 会议中，Richard Henderson 展示了一个关于条形码的有趣案例
英国政府通过法律禁止公司名称包含计算机代码，以防止滥用
政府应该提供检测服务，而不是简单地阻止某些数据
通过随机打乱 CSV 文件的列顺序，迫使消费者按列名读取数据，而不是按索引
处理字符串时，假设其由零个或多个字节组成是最安全的
假设所有消费者都不会出错是不切实际的，输入验证是常见的做法
2024 年，SQL 注入和其他形式的恶意数据输入仍然是常见的攻击手段
通过法律禁止某些公司名称，可以确保这些名称不会导致系统错误
使用库来处理 SQL 和 HTML 字符串，而不是自己手动处理，是常见的建议
在官方数据库中添加 EICAR-like 记录，作为生产系统的测试案例，可以提高系统的安全性
通过法律手段禁止某些公司名称，实际上是在保护那些不严谨处理输入的系统
处理字符串的难度在于识别输出语言与字符串值语言之间的不匹配
通过法律禁止某些公司名称，可以避免因名称问题导致的随机错误
通过法律禁止某些公司名称，可以确保这些名称不会被误用，从而提高系统的整体安全性

In the US, regenerative farming practices require unlearning past advice #

https://investigatemidwest.org/2024/10/11/regenerative-farming-practices-require-unlearning-past-advice/

美国中西部的农民们正在经历着农业生产方式的转变。像查尔斯·佩恩这样的老一辈农民曾经遵循着政府和行业领导者的建议，大面积种植农作物，以增加产量。然而，这种方式也带来了环境问题，如土壤退化、水质恶化和生物多样性丧失。

图片[5]-2024 10 27 HackerNews-极资源

现在，查尔斯的孙子乔希·佩恩正在尝试新的农业方式——再生农业。这种方式注重恢复土壤健康，减少化学投入，通过自然方式进行耕作。乔希希望通过这种方式，减少对化学品的依赖，改善环境。

乔希的爷爷查尔斯最初并不支持他的想法，认为这种方式会降低产量，增加成本。然而，乔希坚持自己的信念，开始尝试新的耕作方式。他种植了 800 棵栗子树，采用轮作放牧的方式，放牧 1000 只羊。这种方式不仅提高了土壤健康，也增加了农场的收入。

大学教授玛丽·亨德里克森认为，老一辈农民的思想观念是由当时的政策、研究和行业推广形成的。他们认为化学品是提高产量的“奇迹”。然而，如今人们已经意识到化学品的负面影响，再生农业成为了一种新的趋势。

乔希的故事表明，再生农业不仅可以改善环境，也可以带来经济效益。这种方式需要农民们改变自己的思想观念，尝试新的耕作方式。

HN 热度 274 points | 评论 137 comments | 作者：PaulHoule | 1 day ago #

https://news.ycombinator.com/item?id=41949108

农业方法的改变需要很长时间，部分原因是缺乏意识，另一部分原因是停止耕作后土壤需要时间积累分解物质，可能导致短期内产量下降
政府应该提供更多的激励措施来加速向再生农业的转变
人类对风险的厌恶可能是再生农业推广缓慢的原因，农民不愿意为了长期利益而短期内牺牲经济收益
再生农业已经在一些小规模的农场中成功实施，初期产量可能会下降，但长期来看产量会增加且对环境有益
农业是低利润行业，农民可能无法承受再生农业初期的经济压力
再生农业可以恢复土壤的活力，即使土壤中的矿物质已经流失，也可以通过微生物的作用重新提供给植物
再生农业中的氮主要来自空气，通过固氮细菌的作用，而不是土壤
农业中使用化肥的成本虽然高，但目前仍然是相对便宜的选择，再生农业需要解决替代方案的成本问题
再生农业在某些方面已经被农民采用，但经济激励不足导致其未能广泛推广
再生农业可以形成封闭的循环系统，例如通过施用牲畜粪便来补充土壤中的矿物质

Detecting when LLMs are uncertain #

https://www.thariq.io/blog/entropix/

这篇文章深入探讨了一种名为 “Entropix” 的新推理技术，由 XJDR 开发。Entropix 旨在通过在模型不确定时更智能地进行采样，从而改善大语言模型（LLM）的推理能力。尽管尚未对 Entropix 进行大规模评估，因此目前尚不清楚其实际效果，但其引入的一些技术和思维模型对于推理具有潜在的前景。

不确定性概述 #

在 LLM 中，采样是从可能的 token 分布（logits）中选择下一个 token 的过程。通过查看这些分布，可以判断模型对其预测的信心。在某些情况下，模型的预测可能会表现出高度的不确定性，这可能由以下原因引起：

token 之间是同义词或等价词（例如 “好” 与 “极好”）。
存在多条可能的输出路径（例如，AI 可以用 Java 或 C 编写程序）。
AI 可能确实不知道该怎么做，因为它处于 “超出分布” 的状态，未见过相应的训练数据。

Entropix 建议根据模型的不确定性采取不同的 token 选择方法。

熵与方熵 #

Entropix 使用两个度量不确定性的关键工具：熵（Entropy）和方熵（Varentropy）。

** 熵 **：衡量预测 logits 之间的差异性，即我们对最可能结果的不确定程度。低熵意味着对少数几个 logits 相当确定；高熵则表示 logits 的分布更加均匀，导致更高的不确定性。
** 方熵 **：提供关于不确定性 “形状” 的信息。高方熵表示某些值与其他值差异很大。

结合这两种度量，可以形成四种可能的状态：

低熵、低方熵：一个高度集中且单一的预测结果。
低熵、高方熵：几个高度预测的选项，可能表示新的输出分支或同义词。
高熵、低方熵：模型可能处于低信心状态，所有选项相互可替代。
高熵、高方熵：没有明确的选择，但在某些输出上更为确定。

基于熵与方熵的自适应采样 #

根据不确定性的不同状态，可以采取不同的采样策略：

** 低熵、低方熵 **：这是理想情况，建议使用标准的 argmax 采样，即选择概率最高的 token。
** 低熵、高方熵 **：可能代表新的输出分支或同义词。此时，可以考虑 “分支” 处理，预测多个 logits，并比较它们的结果。
** 高熵、低方熵 **：模型可能对所见内容不熟悉，建议使用 “思考” token，例如 “等一下”。插入思考 token 使得模型意识到需要更多的计算时间来得出正确答案。
** 高熵、高方熵 **：模型对多个选项都有较高的信心，建议随机选择一个，或进行分支，或插入思考 token。

分支与思考 token 的对比 #

分支与思考 token 是处理不确定状态的两种不同方式。分支预测涉及跟随多个 logits 以观察它们所导致的其他 token，这种方法常被称为蒙特卡洛树搜索（MCTS），在 LLM 中尝试过多次，但效果一般。思考 token 则通过插入 “等一下” 来促使模型意识到可能犯了错误，从而进行更多的思考。

注意力熵 #

值得注意的是，Entropix 还考虑了其他熵的测量，如注意力熵和注意力一致性。注意力熵衡量注意力头对特定 token 的关注程度，而注意力一致性衡量注意力头之间关注相同 token 的程度。这些指标可以提供额外的信心信号，帮助确定是否进行自信的采样或分支。

结论 #

尽管 Entropix 的见解在理解上似乎比较直观，并不完全新颖，但其在推理时间的技术实验相对容易，可能为开源开发者提供了在没有庞大预算的情况下改善推理能力的方向。虽然尚未有大规模评估显示出显著的益处，但这一研究领域仍值得关注和探索。

HN 热度 266 points | 评论 155 comments | 作者：trq_ | 1 day ago #

https://news.ycombinator.com/item?id=41947566

查尔斯·巴贝奇的问题反映了对机械计算器功能的误解，即认为机器能纠正输入的错误数据。
自动更正和生成式 AI 可能会选择上下文中更常见的词，导致科学和技术文本中出现错误。
在机器学习中，即使输入错误，模型也可能给出正确答案，因为它基于大量数据训练。
机器学习模型的内在限制与经典逻辑的假设不同，例如无法预测未知事件或解决非递归可枚举问题。
人们期望 AI 按预期工作，当 AI 表现不符合预期时，常被认为是故障。
评估不同采样技术的效果需要严谨的基准测试，而不仅仅是个人主观判断。
在诗歌或散文等特定领域，个人主观判断是评估模型效果的唯一标准，尽管这可能有偏见。

New Windows driver signature bypass allows kernel rootkit installs #

https://www.bleepingcomputer.com/news/security/new-windows-driver-signature-bypass-allows-kernel-rootkit-installs/

新发现的 Windows 驱动签名绕过漏洞允许内核 rootkit 安装

图片[6]-2024 10 27 HackerNews-极资源

安全研究人员 Alon Leviev 发现了一种新的方法，可以绕过 Windows 的驱动签名强制（DSE）机制，允许攻击者在完全更新的 Windows 系统上安装内核 rootkit。这种方法利用 Windows Update 过程中的一个漏洞，可以降级 Windows 内核组件，从而绕过安全特性。

攻击方法

攻击者可以通过控制 Windows Update 过程，引入旧版本的、易受攻击的软件组件，甚至在系统完全更新的情况下。研究人员开发了一个名为 Windows Downdate 的工具，可以创建自定义的降级版本，暴露一个看似完全更新的目标系统的已知漏洞。

ItsNotASecurityBoundary DSE 绕过

Leviev 将其利用方法称为 ItsNotASecurityBoundary DSE 绕过，因为它是 false file immutablity 漏洞的一部分。这种漏洞允许攻击者在内核中执行任意代码。研究人员还描述了如何禁用或绕过 Microsoft 的 Virtualization-based Security（VBS）机制，创建一个隔离环境以保护 Windows 的安全资源和资产。

结论

Leviev 的研究表明，即使在完全更新的系统上，降级攻击仍然是可能的。研究人员强调了端点安全工具需要密切监视降级过程的必要性，即使它们没有跨越关键的安全边界。

HN 热度 256 points | 评论 190 comments | 作者：sandwichsphinx | 11 hours ago #

https://news.ycombinator.com/item?id=41954825

UAC 不是从普通用户到管理员的边界，而是管理员用户自身的权限确认机制
驱动程序签名强制执行是一项安全功能，但此次被绕过并不被视为跨越安全边界
现代 Windows 系统中，日常使用大多不需要管理员权限，只有少数设置和安装新软件时需要
使用两个账户（一个标准账户和一个管理员账户）可以更好地保护 Windows 系统，类似于 Linux 的 sudo 机制
创建新用户时需要通过 Microsoft 账户流程，这可能对普通用户造成不便
将软件安装在 Program Files 之外的目录可能带来安全风险，因为用户对这些可执行文件有写权限
即使可执行文件被破坏，它也只能在当前用户上下文中运行，不会自动获得更高权限
Windows 系统默认有许多沙箱和检查机制，可以防止被破坏的应用程序访问不应访问的内容
大多数 Windows 安全事件是由于未能及时更新安全补丁导致的，而不是系统本身的安全问题
个人使用中，非管理员账户可以满足大部分需求，偶尔需要提供管理员账户的凭证
软件开发等专业工作可能更频繁地需要管理员权限，但整个会话不需要一直以管理员身份运行

How can this 6 axis robot have a static accuracy of 0.05 mm? (2021) #

https://www.youtube.com/watch?v=SioCwvR_PYY

这个网页是一段关于机器人技术的视频，视频标题是"This robot has a static accuracy of +-0.05 mm! How?"，视频发布于 2021 年 5 月 8 日，观看次数为 23,795 次。视频描述中提到了一款名为 EEZYbotARM MK3 的机器人，视频展示了这款机器人的测试过程。

图片[7]-2024 10 27 HackerNews-极资源