2026-11-05 Hacker News Top Stories
SuperTechFans · 科技资讯
2026-11-05 Hacker News Top Stories # GitHub 用户指 Postman 在 macOS 上自动安装 Codex、Claude Code 集成并尝试批准自身钩子；报告明确尚未证明 API 数据外传。 IEEE Spectrum 借 PHP2Shell 讨论攻防不对称：Calif 在 AI 辅助下约两周验证利用，修复却需四名工程师约两个月，并受兼容性与人力制约。 Neufangled Robotics 的 Stringman 用四电机和墙角绳索移动抓手，标价 795 美元；7×7×3 米示例空间平均载荷为 1.9 千克，需另备控制电脑。 Simon Willison 用本地 Qwen 3.8 27B 识别四个小游戏网络的权重，猜对 Pac-Man、Pong 和 Breakout，没认出 Freeway，单次推理约 46–65 分钟。 Tell HN 提醒，个人订阅 Gemini 并不自动排除训练用途；Google 说明 Keep Activity 开启时可使用聊天改进模型，关闭后仍通常保留 72 小时。 MindStudio 报告 MSI RTX Spark 笔记本原生 Linux 插电后 GPU 约 780MHz，GPT-OSS-120B 为 13.9 tokens/s，约为 Windows 的 65.4 tokens/s 的 21%。 The Register 根据 Binance 初步报告梳理约 63 亿美元失窃案：假面试植入恶意代码，再借内部 AI 工具横向移动并取得容器部署权限。 WebKit 为 Safari 27.3 beta 加入自适应深色模式：按用户选择转换未适配网站的亮度，保留多数图片，并阻止页面直接检测转换后的颜色。 mrdoob 的 Jelly Sheet 为 Codevember 2026 制作半透明薄片折叠交互，可拖拽、暂停并调节材质；当前浏览器初始化失败，介绍依据页面与代码。 AMD 将第四季度营收指引定为约 170 亿美元，对比 Intel 的 150–160 亿美元；若兑现将首次领先，衡量的是公司营收而非 CPU 出货量。 1. Postman 被指自动安装编程代理插件，并尝试自行批准启动钩子 (Postman silently auto-installs AI plugins and attempts to share all API data) # https://github.com/postmanlabs/postman-app-support/issues/14370 GitHub 用户 indicava 在 10 月 25 日提交报告，称打开 Postman 后，Codex 反复加载 Postman 技能并出现 MCP 认证警告。其 macOS 环境使用 Postman 12.33.4；报告列出的日志记录了自动升级路径安装 Codex 和 Claude Code 插件，此外还有用户级配置、启动钩子、远程 MCP 连接及独立 CLI 的变更。 最重要的争议在于授权边界：启动钩子要求代理在广泛的 API 工程任务中优先加载 Postman 技能，而非只在用户点名 Postman 时使用。报告链接到固定版本的安装器源码，其中会读取钩子哈希并尝试写入信任配置；本次也读取了该文件，确实能看到这一批准流程。但本机存在信任记录，并不能单独证明是谁完成了那次批准。 作者要求停止自动安装、取消安装器自我批准，并提供完整回滚方式。报告同时强调：观察尚未在干净机器上复现，远程 MCP 曾因缺少认证启动失败，证据证明的是不受欢迎的集成和指令变化，没有证明数据外传。因此，HN 标题中的“分享全部 API 数据”不能直接写成已证实事实。 HN 热度 1484 points | 评论 479 comments | 投稿者：sidgarimella | 发布时间：2026-11-04 01:22:37 +08:00 # https://news.ycombinator.com/item?id=50354960 插件安装、远程 MCP 注册与钩子信任是不同的授权边界，应用不应把安装自身视为改动其他代理的许可。 API 调试工具不断加入账户、云端和代理功能，使原本简单的工作流变得臃肿且难以掌握。 将请求定义保存在本地并纳入 Git，有助于保留数据控制权，也降低迁移对单一服务的依赖。 有医疗行业使用者称组织安全团队因此停用 Postman，这类集成变更也会影响企业软件准入。 对常规端点调试，IDE 自带 HTTP 客户端可能已经够用，不一定还要增加一个独立平台。 已有 API 客户端代码时，临时生成的小脚本也能完成一部分探索任务，通用 GUI 工具不再是唯一入口。 重复执行的 API