欢迎收看 Hacker News 每日播报，今天我们将探讨一次性邮件验证码的安全性、GPT-5 的神秘面纱、富兰克林的古老智慧、HashiCorp Vault 的高危漏洞、AI 在 CI/CD 中的应用、9 位字节的奇妙世界、大模型推理速度的突破、宇宙邻居的新发现、CSS 的无限像素之谜，以及 MPEG 创始人的深刻反思。

一个看似简化登录流程的设计——通过邮件发送一次性验证码（Email OTP），正引发一场关于其安全性的激烈辩论。有观点尖锐地指出，这种方式实际上比传统密码更糟糕。

文章认为，邮件验证码引入了新的、甚至更严重的安全隐患：

这场讨论揭示了安全与便利之间永恒的张力。

一方面，许多技术专家对此表示认同，强调邮箱作为“万能钥匙”的脆弱性，以及它并非真正意义上的“第二因子”。他们认为，对于高价值账户，邮件验证码的安全性远远不够。

但另一方面，也有观点认为这种方式并非一无是处。对于那些习惯使用弱密码、且在多个网站复用密码的普通用户来说，邮件验证码至少能有效防止撞库攻击，强制每次登录都使用唯一凭证。它降低了安全措施的采用门槛，在某些低风险场景下，是一种“足够好”的折中方案。

最终，大家普遍认为，最佳实践是提供多样化的认证选项。开发者应根据应用场景和用户群体的不同，鼓励用户采用更强的安全措施（如 TOTP 或 WebAuthn），同时将邮件验证码作为一种备用或低门槛的选择。

一个简洁却充满分量的标题——“GPT-5”，足以点燃整个科技社区的热情。尽管 OpenAI 的页面并未透露具体细节，但这预示着下一代大型语言模型的到来，引发了人们对人工智能未来的无限遐想与激烈讨论。

人们普遍预测，GPT-5 将不仅仅是现有模型的迭代升级，更可能在多个维度实现质的飞跃：

社区对此的反应呈现出鲜明的两面性。

许多开发者和技术爱好者对此感到极度兴奋，认为 GPT-5 将是真正的“游戏规则改变者”，能够解锁目前难以想象的应用场景，甚至加速通用人工智能（AGI）的到来。

然而，也有不少声音持谨慎甚至怀疑的态度。他们指出，每一次模型发布都伴随着巨大的炒作，但实际应用中仍面临成本高昂、部署复杂和可靠性等挑战。一些人质疑 GPT-5 是否能真正解决当前大模型的根本性限制，例如对事实的准确把握和避免偏见的能力。

此外，关于伦理和社会影响的讨论也占据了重要位置。人们担忧其强大能力可能带来的潜在风险，如对就业市场的冲击、信息茧房的加剧以及被滥用于制造虚假信息。技术进步与社会责任之间的平衡，再次成为人们关注的焦点。

近三百年前，本杰明·富兰克林写下了一篇辛辣的讽刺文章《一个大帝国如何沦为小帝国的规则》。他以反向操作的方式，列举了一系列导致组织衰落的“黄金法则”，其深刻的洞察力至今仍引人深思。

富兰克林假装在提供“建议”，实则揭示了傲慢、无知和压迫如何侵蚀一个组织的根基：

这篇文章在科技社区引发了广泛讨论，大家普遍认为富兰克林的智慧是跨时代的。

许多人指出，这些“规则”不仅适用于历史上的帝国，也惊人地适用于现代的大型企业、政府机构，甚至是开源项目。科技巨头在收购小型创新公司后，往往会不自觉地遵循这些“规则”：忽视被收购团队的文化，强行推行官僚流程，最终导致人才流失和创新停滞。

这篇古老的文章成为给所有管理者的一面镜子。一个优秀的领导者应该反其道而行之：积极倾听、赋能团队、鼓励创新、建立信任。当一个组织开始变得傲慢、封闭、不愿倾听用户或员工的声音时，它就已经走上了“自我缩小”的道路。

安全研究团队 Cyata 最近发布了一篇重磅报告，揭示了在广泛使用的秘密管理工具 HashiCorp Vault 中发现的九个此前未知的零日漏洞。Vault 作为许多组织数字基础设施的信任核心，其安全性至关重要，而这次的发现无疑敲响了警钟。

与常见的内存安全漏洞不同，这次发现的漏洞大多是潜藏在认证、身份和策略执行层面的微妙逻辑缺陷，其后果同样是灾难性的。

这次事件再次强调，即使是内存安全的软件，也可能在逻辑层面存在严重缺陷。对于开发者和安全专家而言，这提醒我们不能仅仅依赖自动化工具，必须通过深入的代码审查和攻击者思维，对核心基础设施进行持续、深入的审查，才能真正保护数字资产的安全。幸运的是，HashiCorp 团队在收到报告后迅速响应并发布了补丁，体现了负责任的厂商协作典范。

将人工智能的力量直接融入持续集成与持续部署（CI/CD）流程，正从一个未来概念变为现实。Google 新推出的“Gemini CLI GitHub Actions”提供了一个开箱即用的解决方案，让开发者能轻松地在自动化工作流中调用 Gemini 的强大能力。

通过简单的几行 YAML 配置，开发者就可以将 AI 集成到代码提交、拉取请求或部署过程中，实现多种自动化任务：

这一工具在开发者社区中引起了热烈反响，既有兴奋，也有审慎的思考。

许多开发者认为这是将 AI 从“玩具”带入实际工作流的重要一步，能显著提升效率，将他们从“枯燥但必要”的任务中解放出来。

然而，合理的担忧也随之而来。代码隐私和数据安全是最大的顾虑——将专有代码发送给第三方 AI 服务处理，是否存在数据泄露风险？此外，AI 输出的可靠性（幻觉问题）、API 调用的成本以及对特定平台的供应商锁定，都是在实际应用前必须仔细考量的问题。

总而言之，Gemini CLI GitHub Actions 展示了 AI 赋能开发者工作流的巨大潜力。但在拥抱这项技术的同时，我们必须审慎地在效率与风险之间找到平衡。

历史的一个微小分叉，是否能创造一个截然不同的技术世界？一篇文章提出了一个引人深思的“如果”：假如计算机历史选择了 9 位字节（9-bit byte）而非 8 位作为标准，我们的计算世界会变得更好吗？

作者认为，虽然 8 位作为 2 的幂次看起来更“整齐”，但一系列历史巧合表明，9 位字节反而能巧妙地规避掉我们今天面临的许多技术瓶颈。

这个有趣的“平行宇宙”设想在技术社区引起了热烈反响。大家普遍认为，一个 9 位字节的世界，可能会让早期的计算时代少一些“数字命理学”的束缚，减少许多我们今天习以为常的“恼人限制”和“蹩脚补丁”。

在本地设备上流畅运行超大型语言模型，曾被认为是遥不可及的梦想。然而，一篇技术文章展示了惊人的突破：在 Nvidia GPU 上，一个拥有 1200 亿参数的庞大模型 GPT-OSS-120B，实现了每秒 500 Token 的惊人推理速度。

这一成就的背后，是多项优化技术的结合：

这一技术突破让社区感到无比兴奋。许多开发者认为，这意味着大型 AI 模型将不再是云端巨头的专属，有望在本地设备上实现更低成本、更低延迟的部署，从而催生更多创新应用。

但兴奋之余，理性的审视也必不可少。大家普遍关心几个核心问题：

总的来说，这项技术为大模型的普及化和实时化应用打开了新的大门，但如何在速度、质量和成本之间找到最佳平衡点，仍是未来探索的重点。

一篇发表在 arXiv 上的重磅论文，可能揭示了我们“隔壁”宇宙邻居的一个惊人秘密。天文学家利用詹姆斯·韦伯空间望远镜（JWST），在离我们最近的类太阳恒星——半人马座阿尔法星 A 的宜居带内，首次直接成像了一个巨行星候选体。

这项研究利用 JWST 强大的 MIRI 仪器，取得了多项突破性成果：

尽管这一发现令人振奋，但科学界仍保持着谨慎的态度。由于该候选体 S1 只在一次观测中被发现，后续观测并未再次捕捉到它，因此其身份尚未完全坐实。研究人员推测，由于其轨道运动，后续观测有超过 50% 的概率会错过它。

这一发现无疑是天文学领域的重大进展，再次点燃了我们对宇宙深处生命探索的激情。它不仅展示了 JWST 的非凡能力，也让我们对发现“另一个地球”或拥有宜居卫星的“超级木星”充满了期待。然而，在下定论之前，还需要更多确凿的证据和持续的科学探索来验证这一发现。

如果给浏览器一个理论上无限大的值，它会如何应对？著名的 CSS 专家 Eric Meyer 进行了一系列有趣的实验，试图探索现代浏览器在处理“无限”CSS 值时的极限和行为。

他利用了 CSS Values Level 4 规范中引入的新关键字 infinity，并将其用于 calc() 函数，例如 width: calc(infinity * 1px);。结果出人意料，并揭示了不同浏览器内核的内部秘密。

这个谜题在技术社区得到了解答。一位开发者指出，Chromium 和 WebKit 内部使用有符号的 32 位定点数值来表示像素，其中有 6 位用于小数部分。因此，其能表示的最大正整数值恰好是 2^25 - 1。这个解释完美地揭示了这两个浏览器为何会收敛到这个特定的极限值。

这次有趣的探索不仅让我们学到了一个冷门的 CSS 知识，更重要的是，它像一次“CT 扫描”，让我们窥见了浏览器底层渲染引擎和数据结构的隐式限制，展现了技术社区通过集体智慧解决问题的魅力。

Leonardo Chiariglione，这位数字媒体领域的传奇人物、MPEG（运动图像专家组）的联合创始人，通过他的个人主页回顾了自己辉煌而充满挑战的职业生涯，并分享了他对技术标准未来的深刻见解。

在 Chiariglione 的领导下，MPEG 制定了超过 200 项标准，深刻地改变了世界。从开启数字音乐时代的 MP3，到定义数字电视和 DVD 的 MPEG-2，再到为互联网流媒体铺平道路的 MPEG-4，MPEG 的贡献无处不在。

然而，他也坦率地揭示了 MPEG 后期的困境。他认为，该组织最终“被不明势力劫持”，过时且复杂的知识产权许可模式束缚了技术发展，使得 MPEG 标准从最初的机遇促进者，最终变成了行业发展的“路障”。这种僵局促使他于 2020 年离开了自己亲手创立的组织。

为了打破僵局，Chiariglione 成立了一个新的标准化组织——MPAI（基于人工智能的运动图像、音频和数据编码组织）。MPAI 旨在开发基于强大 AI 技术的新标准，为行业注入新的活力。目前，该组织已在 AI 应用执行、音频增强、多模态对话等领域发布了多项标准。

社区对此反响复杂。一方面，人们对 MPEG 的历史贡献表达了崇高的敬意，并认同其后期因专利和利益博弈而陷入困境的观点，认为这恰好解释了为何 AV1 等开源免费编解码器能够崛起。另一方面，对于 MPAI 的未来，人们既有期待，也存有疑虑，担心这个新组织能否真正避免重蹈覆辙，尤其是在技术和利益更为复杂的 AI 领域。Chiariglione 的故事，不仅是对一位技术巨匠的致敬，更是对技术、商业和组织治理之间复杂关系的深刻反思。

相关链接：

• Emailing a one-time code is worse than passwords
• GPT-5
• Rules by which a great empire may be reduced to a small one (1773)
• Zero-day flaws in authentication, identity, authorization in HashiCorp Vault
• Gemini CLI GitHub Actions
• We'd be better off with 9-bit bytes
• Running GPT-OSS-120B at 500 tokens per second on Nvidia GPUs
• A candidate giant planet imaged in the habitable zone of α Cen A
• Infinite Pixels
• Leonardo Chiariglione – Co-founder of MPEG