2024-10-13 Hacker News Top Stories #
- 15 岁的程序员 Daniel 发现 Zendesk 的一个严重漏洞，影响了超过一半的财富 500 强公司，导致 Zendesk 支付了 5 万美元的赏金。
- Ben Sparks 为 3Blue1Brown 频道制作动画的过程，包括使用 Python 库 Manim 进行动画创作的细节。
- 远程工作不仅能提高员工的工作满意度，还能吸引更多边缘劳动力进入市场，例如有照顾责任的人员和残疾人士。
- GLP-1 类药物（如 Ozempic）对减肥和改善心理健康有显著效果，帮助人们改变了生活方式，减少了抑郁和焦虑。
- 迷幻药物裸盖菇素在治疗中度至重度抑郁症方面的效果优于选择性血清素再摄取抑制剂（SSRI）艾司西酞普兰。
- 德国的 49 欧元“德国票”政策导致了交通模式的显著转变，从公路交通转向铁路交通。
- AMD 的第五代 EPYC 处理器“Turin”基于 Zen 5 架构，主要面向企业、人工智能和云计算应用。
- Gunnar Wolf 撰写的文章介绍了他在 Python 中编写 FUSE（用户空间文件系统）文件系统的经验和指导。
- Swarm 是 OpenAI 开发的一个新的多智能体框架，用于探索轻量级的多智能体编排。
- Steam 平台最近提醒用户，他们购买的游戏实际上是许可证，而非永久拥有的游戏副本。
1 bug, $50k in bounties, a Zendesk backdoor #
https://gist.github.com/hackermondev/68ec8ed145fcee49d2f5e2b9d2cf2e52
这篇文章讲述了一位名叫 Daniel 的 15 岁程序员如何发现 Zendesk 的一个严重漏洞，该漏洞影响了超过一半的财富 500 强公司。
Zendesk 是一种客户服务工具，许多大型公司依赖它来管理支持请求。Daniel 发现，Zendesk 在处理支持请求时缺乏对电子邮件伪造的有效保护，攻击者可以利用这一点访问其他公司的支持票据。具体来说，攻击者只需发送伪造的电子邮件到 Zendesk 的支持邮箱，并通过抄送自己的邮箱来获取访问权限。
尽管 Daniel 通过 Zendesk 的漏洞赏金计划报告了这一漏洞，但最初却遭到拒绝，理由是该漏洞被认为超出了他们的处理范围。Daniel 决定采取更激进的措施，利用这一漏洞进一步攻击使用 Zendesk 的公司，最终成功地通过 Apple 的 OAuth 登录系统入侵了多个公司的 Slack 工作区。
经过一系列的报告和跟进，Daniel 获得了超过 50,000 美元的漏洞赏金，而 Zendesk 则在两个月后才确认修复了该漏洞，但并未给予 Daniel 任何赏金。文章总结了漏洞狩猎的艰辛与挑战，强调了安全性的重要性。
HN 热度 913 points | 评论 282 comments | 作者：mmsc | 13 hours ago #
https://news.ycombinator.com/item?id=41818459
- 有人指出 Zendesk 在处理安全漏洞报告时缺乏透明度和责任感，认为他们并没有诚意支付赏金。
- 评论者提到，非目录单点登录（SSO）在实现上存在广泛问题，许多大公司在这方面的实施不当，导致信任模型设计不合理。
- 有人批评 HackerOne 的中介过程，认为其未能有效传达漏洞的严重性，导致 Zendesk 未能及时响应。
- Zendesk 的市场营销策略显得有些操控和不诚实，甚至有人认为其创建虚假品牌以干扰搜索结果。
- 对大公司的安全文化表示失望，认为他们在处理安全问题时过于保守和短视，未能充分利用外部安全研究者的反馈。
How I animate 3Blue1Brown [video] #
https://www.youtube.com/watch?v=rbu7Zu5X1zI
本视频由 Ben Sparks 主讲，展示了他如何为 3Blue1Brown 频道制作动画。视频的开头介绍了制作动画的基本流程，接着深入探讨了使用 Python 库 Manim 进行动画创作的细节。
视频的时间戳部分详细列出了各个环节，从“Hello World”示例开始，到编写洛伦兹吸引子的代码，再到添加跟踪点和最终渲染场景。Ben 还分享了一个技巧，即使用 globals().update(locals())来简化代码的管理。视频中还展示了如何为动画添加方程式，以及如何开始使用 Manim 进行动画制作。
Ben 强调，所有的动画都是通过 Manim 这个自定义的 Python 库制作的，并提供了相关的代码链接，供观众参考和学习。此外，视频中提到的音乐由 Vincent Rubinetti 创作，增加了动画的趣味性和吸引力。最后，Ben 鼓励观众订阅频道，以便获取更多数学动画的更新。
HN 热度 592 points | 评论 114 comments | 作者：Tomte | 11 hours ago #
https://news.ycombinator.com/item?id=41818779
- 3Blue1Brown 的教学方式受到许多人的赞赏，认为这种方法能激发学生对数学的兴趣。
- 传统的教学方式虽然有其价值，但也存在改进的空间，尤其是通过视觉化和互动来提升学习体验。
- 有人认为，传统讲座的教学方式并不适合所有学生，可能需要更多创新的方法来适应不同的学习需求。
- 对于内容创作者的表现，许多人表示欣赏，认为他们在教育领域做出了重要贡献。
- 有评论提到，YouTube 的算法对视频的曝光率影响很大，许多优秀的视频可能因为缺乏初始观众而被埋没。
- 一些人讨论了教育机构对传统教学方法的坚持，认为这可能是由于过于保守的管理体制。
- 还有人提到，视频内容的制作过程非常耗时，且在平台上的曝光机会有限。
- 对于如何利用 Manim 等工具进行数学教学，评论中有不同的看法，有人认为这可能会分散学生的注意力。
Working from home is powering productivity #
在新冠疫情之后，远程工作的比例增加了五倍，这可能会推动经济增长并带来更广泛的好处。
斯坦福大学的经济学教授尼古拉斯·布鲁姆指出，尽管经济学通常被视为悲观的科学，但由于远程工作带来的生产力提升，他对未来持乐观态度。根据布鲁姆的分析，远程工作不仅能提高员工的工作满意度，还能吸引更多边缘劳动力进入市场，例如有照顾责任的人员和残疾人士。
研究表明，混合工作模式（即每周有几天在家工作）能使员工的工资提高约 8%。此外，远程工作还可能提高生育率，因为它使得父母能够更好地平衡工作与家庭责任。br/br/从资本的角度来看，远程工作减少了对办公空间的需求，这些空间可以被重新利用于住宅或零售等其他用途。
随着员工在家工作的时间增加，城市中心的办公空间需求下降，可能会导致住房更加可负担。br/br/在生产力方面，混合工作模式对生产力的影响相对中性，但扩大劳动力市场的包容性可能会带来整体的积极影响。
远程工作使得企业能够从更广泛的候选人中挑选员工，从而提高匹配效率。此外，远程工作还减少了通勤造成的污染，改善了生活质量。br/br/布鲁姆总结道，尽管城市中心的商业地产价值下降，但这为中低收入工人提供了更可负担的居住选择。
总体而言，远程工作在抵消疫情前的生产力放缓方面发挥了重要作用，并有望推动未来的经济增长。
HN 热度 556 points | 评论 420 comments | 作者：rwmj | 1 day ago #
https://news.ycombinator.com/item?id=41813304
- 远程工作在需要较少协作的独立工作中通常更高效，但在需要频繁互动和深入讨论的工作中，效率会显著下降。
- 许多人在讨论中缺乏共识，往往只关注自己的工作方式，而忽视了不同任务对工作模式的影响。
- 远程工作改善了许多员工的生活质量，尽管可能导致公司效率下降，但员工的幸福感更为重要。
- 公司需要适应员工的需求，提供灵活的工作选择，以吸引和留住优秀人才。
- 远程工作可能导致某些行业的公司面临竞争压力，尤其是那些不愿意灵活调整的公司。
- 许多公司在疫情后仍在探索混合工作模式，以平衡专注工作和协作的需求。
- 远程工作可能加剧住房危机，尤其是在高薪地区，导致房价上涨。
- 有效的远程协作工具和沟通能力是成功远程工作的关键，但许多人在这方面仍需提高。
- 远程工作并不适合所有人，特别是对于需要面对面互动的团队合作任务。
- 许多员工在远程工作中感到孤独，缺乏社交互动可能影响工作动力和团队凝聚力。
How long til we’re all on Ozempic? #
https://asteriskmag.com/issues/07/how-long-til-were-all-on-ozempic
《如何才能让我们都能使用 Ozempic？》一文探讨了 GLP-1 类药物（如 Ozempic）在美国的使用现状及未来前景。
文章指出，超过 1 亿美国人可能会受益于这些药物，尤其是在肥胖和糖尿病患者中。尽管 GLP-1 药物在减重方面显示出显著效果，能够减少至少 15% 的体重，但目前的供应短缺问题严重，导致许多患者无法获得这些药物。
根据预测，预计到 2030 年，GLP-1 药物的供应将从目前的 800 万人年增长到大约 2300 万人年，但这仍然仅能满足 147 万美国肥胖或糖尿病患者中的一小部分。文章还分析了影响 GLP-1 药物市场增长的因素，包括生产能力的限制、保险覆盖的不足、患者的依从性以及新药的研发进展。
尽管市场需求巨大，但由于生产设施的扩建需要时间，且保险公司对减肥药物的覆盖限制，预计在短期内，许多需要这些药物的患者仍将面临获取困难。
HN 热度 413 points | 评论 1435 comments | 作者：thehoff | 1 day ago #
https://news.ycombinator.com/item?id=41811263
- 有人认为 GLP-1 类药物（如 Ozempic）对减肥和改善心理健康有显著效果，帮助他们改变了生活方式，减少了抑郁和焦虑。
- 也有人担心依赖药物可能导致生活方式的改变不持久，认为药物只是暂时的“拐杖”，而真正的改变需要个人的自律和生活方式的根本转变。
- 讨论中提到，药物的使用可能会导致肌肉质量的损失，尤其是在没有适当锻炼和饮食控制的情况下。
- 一些评论者指出，饮食和运动的改变并不容易，许多人在生活中面临着经济和环境的限制，导致健康饮食和锻炼的机会减少。
- 还有人提到，社会对肥胖的偏见和羞耻感可能会影响人们的心理健康，认为药物治疗应被视为一种有效的医疗手段，而不是简单的生活方式选择。
- 讨论中也提到，药物的长期使用可能会带来未知的副作用，尤其是在没有足够的长期研究支持的情况下。
- 最后，有人认为，药物的使用应该与健康的生活方式相结合，以确保长期的健康效果。
Psilocybin bests SSRI for major depression in first long-term comparison #
在米兰进行的一项研究表明，迷幻药物裸盖菇素（psilocybin）在治疗中度至重度抑郁症（MDD）方面的效果优于选择性血清素再摄取抑制剂（SSRI）艾司西酞普兰（escitalopram）。
这是首次对这两种治疗方法进行长期比较的研究，结果显示裸盖菇素在整体幸福感、生活意义、工作和社交功能等多个方面表现更佳。研究的主要作者之一，帝国理工学院的博士生汤玛索·巴尔巴（Tommaso Barba）表示，精神科医生往往关注抑郁症的负面症状，而患者更关心生活的意义和与他人的联系。研究结果显示，裸盖菇素治疗可能为抑郁症提供更全面的治疗选择。
该研究包括 59 名 MDD 患者，随机分为接受裸盖菇素或艾司西酞普兰的两组，经过 6 周的治疗后，裸盖菇素组在幸福感、社交功能等方面的改善显著优于艾司西酞普兰组。6 个月的随访结果进一步证实了这一点，裸盖菇素组在生活意义和社交适应能力上有更大的改善。尽管两组在抑郁症评分上变化相似，但裸盖菇素组在多个次要结果上表现更好，且副作用较少。
研究者指出，虽然 SSRIs 结合心理支持可能足以产生持续的抗抑郁效果，但裸盖菇素在整体功能和生活意义方面的改善更为显著。研究还强调了迷幻药物在心理治疗中的潜力，尽管许多治疗师对其不太熟悉，但掌握这一技能并不困难。
HN 热度 405 points | 评论 281 comments | 作者：Thomvis | 13 hours ago #
https://news.ycombinator.com/item?id=41818420
- 在关于迷幻药物的讨论中，许多评论者对研究方法和样本大小表示质疑，认为样本量过小可能影响结果的可靠性。
- 有人指出，迷幻药组接受了更多的心理支持，这可能影响了结果的解读。
- 还有人提到，药物研究的样本通常较小，可能是因为寻找合适的志愿者困难。
- 部分评论者分享了个人经历，认为迷幻药在治疗抑郁症和焦虑方面有效，但也有人警告使用时需谨慎，强调环境和剂量的重要性。
- 对于 SSRIs 的效果，评论者意见不一，有人认为其效果有限，甚至不如安慰剂，
- 而另一些人则表示 SSRIs 对他们的生活质量有显著改善。
Germany’s 49-euro ticket resulted in significant shift from road to rail #
德国的 49 欧元“德国票”是一项国家补贴的交通票证，允许用户在一个月内无限制地乘坐德国的地方和区域公共交通，包括公交和火车。
根据柏林气候研究所 MCC 的分析，这项政策导致了交通模式的显著转变，从公路交通转向铁路交通。研究显示，自 2023 年 5 月 1 日“德国票”推出以来，超过 30 公里的火车旅行增加了 30.4%。与此同时，个人汽车出行的里程减少了 7.6%。这意味着火车出行的比例从约 10% 上升到 12%，相应地减少了约 670 万吨的二氧化碳排放，占德国总交通排放的 4.7%。
然而，研究也指出，计划中的票价上涨至 58 欧元将对这一成果产生负面影响，预计火车出行可能减少 14%，而汽车出行将增加 3.5%。因此，票价的提高可能会几乎抵消 49 欧元票在第一年内所带来的减排效果。研究团队的详细分析结果可以通过互动式的“Ariadne D-Ticket Impact Tracker”进行查看。
HN 热度 323 points | 评论 288 comments | 作者：mpweiher | 10 hours ago #
https://news.ycombinator.com/item?id=41819481
- 德国 49 欧元票的实施导致了从公路到铁路的显著转变，虽然其每年需要约 30 亿欧元的补贴
- 但支持者认为铁路不仅仅是减少碳排放的工具，还能促进日常通勤、扩大就业机会并推动经济发展。
- 反对者则指出，铁路的碳减排成本过高，且与汽车相比，汽车在某些情况下也能提供类似的便利。
- 许多评论者提到，铁路的规模效应在高密度地区更为明显，且良好的铁路基础设施是大城市的重要组成部分。
- 还有人强调，汽车的使用也伴随着巨额的补贴和环境成本，整体上铁路的使用可能更具经济效益。
- 尽管铁路系统面临维护和投资不足的问题，铁路的潜在好处远超其成本，尤其是在促进可持续发展和减少交通拥堵方面。
AMD’s Turin: 5th Gen EPYC Launched #
https://chipsandcheese.com/p/amds-turin-5th-gen-epyc-launched
AMD 最近推出了其第五代 EPYC 处理器，代号为“Turin”。这款处理器基于 Zen 5 架构，主要面向企业、人工智能和云计算应用。
Turin 系列的 EPYC 9575F 处理器在内存带宽方面表现出色，单个核心的内存读取带宽可达 52 GB/s，写入带宽为 48 GB/s，而内存添加带宽则高达 95 GB/s。与桌面版 Zen 5 处理器相比，9575F 在内存带宽方面有显著提升，这得益于其采用了 GMI3-W 架构，提供了两个 GMI 链接，而桌面版仅有一个。
Turin 支持 12 个内存通道，最高可达 DDR5-6400MT/s，但大多数系统在单通道配置下支持 DDR5-6000MT/s。通过测试，9575F 的内存读取带宽几乎达到了 576 GB/s 的理论值，写入和添加带宽分别为 435 GB/s 和 453 GB/s。内存延迟方面，Turin 的未加载内存延迟与 Genoa 相似，而在完全加载时，延迟增加约 31 纳秒。
总的来说，Turin 的推出标志着 AMD 在高核心数和高频率处理器市场的进一步发展，尽管它并不是一次革命性的飞跃，但在内存带宽和核心数上都有显著提升，预计将吸引众多用户的关注。
HN 热度 298 points | 评论 147 comments | 作者：zdw | 1 day ago #
https://news.ycombinator.com/item?id=41815268
- AMD EPYC 9175F 的设计似乎是为了满足特定的许可需求，尤其是在软件按核心计费的情况下。
- 许多应用程序仍然是单线程的，使用高性能的 CPU 来提升性能比重写代码更具成本效益。
- 512MB 的 L3 缓存引发了对其实际用途的讨论，尤其是在高频交易等低延迟需求的场景中。
- 现代 CPU 的设计使得在特定工作负载下，单机性能可能优于分布式集群。
- 许多企业软件的许可政策促使 CPU 制造商设计出特定的 CPU，以优化性能和许可成本之间的平衡。
- 随着服务器 CPU 的发展，市场上出现了更多选择，AMD 在性能和功耗方面表现出色。
- 讨论中提到的 NUMA 架构和缓存使用的复杂性，影响了多核 CPU 的性能表现。
- 现代 CPU 的高功耗和散热问题在数据中心的运营成本中占据重要地位。
Started a guide to writing FUSE filesystems in Python #
https://gwolf.org/2024/10/started-a-guide-to-writing-fuse-filesystems-in-python.html
这篇文章由 Gunnar Wolf 撰写，主要介绍了他在 Python 中编写 FUSE（用户空间文件系统）文件系统的经验和指导。文章开头提到，Gunnar 在 DebConf22 会议上与 Eeveelweezel 讨论时，受邀为芝加哥 Python 用户组准备一个演讲。尽管他自认为不是 Python 专家，但他决定探索一个主题。
经过两年的思考，他决定利用自己在课堂上设计的一个简单文件系统 FIUnamFS 作为项目，鼓励学生们实现更专业的接口。FIUnamFS 是一个玩具文件系统，具有许多局限性，但易于实现。Gunnar 指出，尽管他在课堂上使用这个项目已有六个学期，但只有一位学生实现了 FUSE 版本，这可能是因为从高层语言如 Python 构建 FUSE 文件系统并不容易。br 为了帮助学生，Gunnar 开始创建一个逐步指导的项目，旨在提供 Python 中 FUSE 文件系统的实现。
他在 GitLab 上注册了一个项目，展示了多个工作中的 FUSE 文件系统实现，包括基于 RAM 和透传的文件系统。他已经添加了五个逐步的实现，从最基本的空文件系统开始，逐步增加系统调用和功能，最终实现了一个具有基本读写功能的 RAM 文件系统或只读透传文件系统。
此外，他还提出了一些有趣的文件系统示例，如 DNS 文件系统、实时 Markdown 编译文件系统、解压文件系统和去注释文件系统，以激发学生的兴趣。Gunnar 计划在多个会议上分享他的项目，并希望能吸引更多学生参与 FUSE 在 Python 中的实现。
HN 热度 245 points | 评论 62 comments | 作者：levlaz | 1 day ago #
https://news.ycombinator.com/item?id=41811983
- 许多评论者分享了他们在使用 FUSE 文件系统时的经验和项目，强调了 FUSE 的灵活性和多样性。
- 有人提到，虽然 FUSE 很有趣，但并不是唯一的选择，9P 协议也值得探索。
- 一些评论者讨论了 FUSE 与其他文件系统（如 NFS）的比较，认为 NFS 在某些情况下可能更合适。
- 有人提到在实现 FUSE 时遇到的性能问题，尤其是在处理大文件时的延迟。
- 讨论中提到了一些具体的 FUSE 项目和库，提供了有用的链接和资源。
- 一些用户分享了他们在特定用例中使用 FUSE 的想法，例如将 JIRA 作为文件系统来处理问题。
- 还有人提到在 Windows 上使用 9P 的挑战，认为 FUSE 在跨平台支持上更具优势。
- 评论中提到的代码示例和项目为学习 FUSE 提供了很好的参考。
Swarm, a new agent framework by OpenAI #
https://github.com/openai/swarm
OpenAI 的 Swarm 是一个教育框架，旨在探索轻量级的多智能体编排。该项目目前处于实验阶段，主要用于展示在《编排智能体：交接与例程》一书中探讨的模式。
Swarm 并不适合用于生产环境，因此没有官方支持。其核心目标是通过两个基本抽象——智能体（Agent）和交接（handoff），来实现智能体之间的协调与执行。智能体可以包含指令和工具，并在任何时候选择将对话交接给另一个智能体。Swarm 的设计旨在提供轻量级、可扩展且高度可定制的解决方案，适合处理大量独立能力和指令的场景。
使用 Swarm 的开发者可以通过 Python 3.10 及以上版本来安装和使用该框架。Swarm 的运行方式与 Chat Completions API 相似，但它能够处理智能体的功能执行、交接、上下文变量的引用，并支持多轮对话。
Swarm 的智能体可以直接调用 Python 函数，并在需要时进行交接，允许开发者构建复杂的工作流和任务。该项目还提供了多个示例，帮助开发者理解如何使用 Swarm 进行多智能体编排。
HN 热度 210 points | 评论 84 comments | 作者：mnk47 | 1 day ago #
https://news.ycombinator.com/item?id=41815173
- 有人认为 AI 代理在生产环境中仍然存在速度慢、成本高和不可靠的问题。
- 一些用户分享了他们在特定应用中成功使用 AI 代理的经验，强调了其在处理复杂信息时的优势。
- 讨论中提到，AI 代理的分歧问题可能导致难以保持一致性，影响其有效性。
- 有观点认为，当前的 AI 代理框架并没有解决根本问题，尤其是在可靠性方面。
- 一些评论者对现有的多代理架构的市场需求表示怀疑，认为用户并不一定会为此付费。
- 还有人提到，AI 代理的开发和使用需要更好的文档和支持，以便于开发者理解和应用。
- 有人指出，AI 代理的设计应更注重特定用例的工作流程，而不是追求通用性。
- 讨论中提到的技术进步可能会改变 AI 代理的使用方式，但目前仍需解决许多实际问题。
Valve says Steam users don’t own a thing, GOG says its games can’t be taken away #
最近，Steam 平台对其购物体验进行了微调，提醒用户他们购买的实际上是游戏许可证，而非永久拥有的游戏副本。新的提示信息指出：“购买数字产品仅授予 Steam 上的许可证。”这一变化似乎与即将生效的加州法律有关，该法律要求数字商店在涉及游戏许可证时，必须明确告知消费者他们实际拥有的内容。
此举引发了广泛关注，甚至引起了竞争对手 GOG 的注意。GOG 以无数字版权管理（DRM）而闻名，提供离线安装程序，用户可以将游戏下载到个人电脑上，确保游戏不会被撤回。GOG 在其官方推特上表示，可能会推出类似的提示，强调其购买的数字产品附带的离线安装程序是用户永远拥有的。
尽管 GOG 也出售游戏许可证，但它强调用户可以在任何情况下（如商店关闭或网络中断）继续游玩其游戏，确保用户的游戏遗产掌握在自己手中。这种做法被认为比 Steam 的服务更具吸引力，许多玩家对此表示赞同。
HN 热度 199 points | 评论 133 comments | 作者：josephcsible | 1 day ago #
https://news.ycombinator.com/item?id=41812813
- 这篇帖子讨论了 Steam 和 GOG 在数字游戏所有权方面的不同立场。
- Valve 强调用户并不真正拥有他们在 Steam 上购买的游戏，而 GOG 则主张其用户的游戏不会被夺走，因为他们提供离线安装程序。
- 加州的新法律要求数字商店明确用户购买的是许可而非所有权，这引发了对数字内容所有权的广泛讨论。
- 许多用户分享了他们在 Steam 上遇到的问题，包括账户被锁定和地区限制，表达了对数字游戏所有权的担忧。
- 虽然 GOG 提供更好的用户体验，但仍然存在法律和技术上的限制，用户对数字内容的真正拥有权仍然模糊不清。
- 整体来看，数字游戏的购买行为更像是租赁而非真正的所有权，这引发了对未来数字内容管理和用户权益的思考。