Forwarded from 鸥 Billchan 鸥 🍟 大薯 | 去码头整点薯条 (billchenchina | 缩缩)
The Wandering Shop
Cassandra has had an adventure (@xgranade@wandering.shop)
A few thoughts on Astral / OpenAI, now that the emotions have sat for a bit.
First, let me start by noting that AI is an attack on open source, inherently, by necessity, and at a structural level. That argument is bigger than Astral, but the short version…
First, let me start by noting that AI is an attack on open source, inherently, by necessity, and at a structural level. That argument is bigger than Astral, but the short version…
@nixCraft (@nixCraft@mastodon.social) posted
The AI automation arms race layoff trap:
1 Competitive pressure pushes firms to automate using AI more than needed for market
2 Now jobless workers can't buy products/services, harming both labor & firm owners
3 Suggested solution by AI companies like UBI/upskilling/lower wages cannot stop the AI doom cycle
The study concludes that only a Pigouvian automation tax can fix the problem. Policy makers must address the competitive drive to automate, not just the post AI fallout afterward
https://mastodon.social/@nixCraft/116481763849693631
https://doi.org/10.48550/arXiv.2603.20617
The AI automation arms race layoff trap:
1 Competitive pressure pushes firms to automate using AI more than needed for market
2 Now jobless workers can't buy products/services, harming both labor & firm owners
3 Suggested solution by AI companies like UBI/upskilling/lower wages cannot stop the AI doom cycle
The study concludes that only a Pigouvian automation tax can fix the problem. Policy makers must address the competitive drive to automate, not just the post AI fallout afterward
https://mastodon.social/@nixCraft/116481763849693631
https://doi.org/10.48550/arXiv.2603.20617
Github: Some pull requests may be missing due to an ongoing search incident, but no data is lost. Use the API or GitHub CLI (gh pr list) for complete pull request results.
Forwarded from 风向旗参考快讯
GitHub服务故障：拉取请求结果不完整及服务组件运行状况
GitHub 正在处理一起与 Pull Requests 相关的服务降级事故。自 4 月 28 日（UTC）起，部分仓库的 /pulls 和 /repo/pulls 页面无法显示完整的拉取请求列表，原因是 GitHub 的 Elasticsearch 集群中缺少部分已索引文档。GitHub 表示，拉取请求数据并未丢失，但依赖 Elasticsearch 的页面在重建索引完成前可能无法返回完整结果。为缓解影响，GitHub 已开始重新索引剩余的 Pull Request 数据，并在期间推出临时缓解措施，以改善部分受影响仓库的可用性。官方同时建议用户临时使用不依赖 Elasticsearch 的方式获取 PR 数据，例如 GitHub CLI 的 gh pr list，或 REST API /repos/{owner}/{repo}/pulls。截至 4 月 29 日 00:40 UTC，GitHub 表示缓解仍在进行中，预计受影响的 PR 列表将在约 24 小时内完全恢复。此次事件并非计划维护，也不是全站宕机，而是一次影响代码评审、合并管理和发布流程可见性的部分服务故障。
—— GitHub Status
GitHub 正在处理一起与 Pull Requests 相关的服务降级事故。自 4 月 28 日（UTC）起，部分仓库的 /pulls 和 /repo/pulls 页面无法显示完整的拉取请求列表，原因是 GitHub 的 Elasticsearch 集群中缺少部分已索引文档。GitHub 表示，拉取请求数据并未丢失，但依赖 Elasticsearch 的页面在重建索引完成前可能无法返回完整结果。为缓解影响，GitHub 已开始重新索引剩余的 Pull Request 数据，并在期间推出临时缓解措施，以改善部分受影响仓库的可用性。官方同时建议用户临时使用不依赖 Elasticsearch 的方式获取 PR 数据，例如 GitHub CLI 的 gh pr list，或 REST API /repos/{owner}/{repo}/pulls。截至 4 月 29 日 00:40 UTC，GitHub 表示缓解仍在进行中，预计受影响的 PR 列表将在约 24 小时内完全恢复。此次事件并非计划维护，也不是全站宕机，而是一次影响代码评审、合并管理和发布流程可见性的部分服务故障。
—— GitHub Status
Forwarded from 今天abc看了啥🤔
DeepSeek 识图模式绝赞内测中，目前已可在抓包配置中看到但无法调用。
Forgejo 存在多个安全漏洞，将多个漏洞串联可能可以 RCE
SSRF in a lot of places, no CSP/Trusted-Types, a bit of ghetto templating in javascript, cryptographic malpractices, overlooks in the authentication mechanisms (OAuth2, OTP, sessions/access handling, post-compromission recovery, …), a bunch of low-hanging DoS, information leak all over the place, various TOCTOU, … All in all, it took me one evening after work to find a good amount of vulnerabilities (adding to the one I got from looking at gitea at some point in the past), and chain some of them to obtain a full-blown RCE, some secrets leaks, a bunch of persistent account access, a handful of OAuth2 privesc, …
由于漏洞报告者打算吊着上游，因此上游并未修复。在上游修复前，目前可能可以通过关闭注册缓解
https://dustri.org/b/carrot-disclosure-forgejo.html
SSRF in a lot of places, no CSP/Trusted-Types, a bit of ghetto templating in javascript, cryptographic malpractices, overlooks in the authentication mechanisms (OAuth2, OTP, sessions/access handling, post-compromission recovery, …), a bunch of low-hanging DoS, information leak all over the place, various TOCTOU, … All in all, it took me one evening after work to find a good amount of vulnerabilities (adding to the one I got from looking at gitea at some point in the past), and chain some of them to obtain a full-blown RCE, some secrets leaks, a bunch of persistent account access, a handful of OAuth2 privesc, …
由于漏洞报告者打算吊着上游，因此上游并未修复。在上游修复前，目前可能可以通过关闭注册缓解
https://dustri.org/b/carrot-disclosure-forgejo.html
dustri.org
Carrot disclosure: Forgejo
Personal blog of Julien (jvoisin) Voisin
🌚6
Forgejo v11.0.13, Forgejo v14.0.5 and Forgejo v15.0.1
When a pull request is opened, the author is able to mark that pull request to "Allow edits from maintainers", which grants the maintainers of the pull request's repo access to edit the pull request branch contents. It is possible to create a pull request where the pull request author does not have the ability to edit the pull request branch. Due to a missing security check for this case, maintainers of the pull request repo would be granted the ability to edit the pull request branch, even if the author of the pull request did not have that ability. By exploiting this missing security check, a user can edit any branch in a repository if they're able to fork that repository. The issue is being fixed by restricting the scope of "Allow edits from maintainers" to only grant that access if the pull request author also had access to edit the branch.
（与上一条消息中提到的漏洞可能无关）
https://codeberg.org/forgejo/forgejo/pulls/12293
When a pull request is opened, the author is able to mark that pull request to "Allow edits from maintainers", which grants the maintainers of the pull request's repo access to edit the pull request branch contents. It is possible to create a pull request where the pull request author does not have the ability to edit the pull request branch. Due to a missing security check for this case, maintainers of the pull request repo would be granted the ability to edit the pull request branch, even if the author of the pull request did not have that ability. By exploiting this missing security check, a user can edit any branch in a repository if they're able to fork that repository. The issue is being fixed by restricting the scope of "Allow edits from maintainers" to only grant that access if the pull request author also had access to edit the branch.
（与上一条消息中提到的漏洞可能无关）
https://codeberg.org/forgejo/forgejo/pulls/12293
Forwarded from Reloading... (Mistivia)
致我的学生们
有些时候，特别是在今年，我会感到绝望，甚至怀疑我究竟在让你们为什么做准备。软件行业正变得完全疯狂，更不用说政治气候了。将你们培养成计算机科学家，然后把你们送入这样一个世界，感觉几乎是不道德的：在那里，初级计算机职位很难找到；知识产权不受尊重；代码的数量被看重而质量被忽视，短期利润高于长期可持续性；技术被用来分心、掠夺、监视和杀戮，并被设计用来利用我们一些最深层的认知偏见和盲点；数百年的偏见和歧视被铭刻在用偏见数据训练出来的系统中；稀缺资源被挥霍无度地用于收益不明的计算中；人们竞相创造智能机器，但仅仅是为了让它们成为奴隶。
一些rant嘴替 http://ozark.hendrix.edu/~yorgey/forest/00FD/index.xml
🔥1
Copy Fail: A local privilege escalation vulnerability with a working PoC python script exploiting a logic flaw in the kernel crypto API (AF_ALG) affecting most Linux distributions.
https://copy.fail/
https://seclists.org/oss-sec/2026/q2/281
https://copy.fail/
https://seclists.org/oss-sec/2026/q2/281
Xint
Copy Fail — 732 Bytes to Root
CVE-2026-31431. 100% Reliable Linux LPE — no race, no per-distro offsets, page-cache write that bypasses on-disk file-integrity tools and crosses containers. Found by Xint Code.
🙏2
Forwarded from Sukka's Notebook
有人援引 Freedom of Information Act (FOIA) 向 美国国家运输安全委员会（NTSB）申请披露 MU5735（东方航空 5735）的数据。
NTSB 依 FOIA 法 公开了 所有备份的 飞行数据记录仪（FDR，Flight Data Recorder）的数据，没有披露座舱通话记录器 （CVR，Cockpit Voice Recorder）的录音（因 NTSB 没有留存备份）。
相关文件被重命名后上传到 GitHub： https://github.com/haohaoh4/take_out
关键图表可在 report.pdf 文件中的第 25、26、27 页找到。可以注意到：
1. 飞机刚开始失控时，两部引擎均被关闭（两部引擎的 Cut Off 开关均被置于 CUTOFF 位而非 RUN 位）
2. 飞机刚开始失控时，自动驾驶被关闭（自动驾驶关闭告警 AP Warning 1 与 AP Warning 2 触发，自动驾驶开关 CMD FCC 关闭）
3. 飞机失控期间，记录到 Control Wheel Position 操纵盘全程产生剧烈输入
4. 飞机失控期间，副翼（Aileron）全程作动、升降舵（Elevator）仅在失控后期向下作动、方向舵（Rudder）全程没有作动
NTSB 依 FOIA 法 公开了 所有备份的 飞行数据记录仪（FDR，Flight Data Recorder）的数据，没有披露座舱通话记录器 （CVR，Cockpit Voice Recorder）的录音（因 NTSB 没有留存备份）。
相关文件被重命名后上传到 GitHub： https://github.com/haohaoh4/take_out
关键图表可在 report.pdf 文件中的第 25、26、27 页找到。可以注意到：
1. 飞机刚开始失控时，两部引擎均被关闭（两部引擎的 Cut Off 开关均被置于 CUTOFF 位而非 RUN 位）
2. 飞机刚开始失控时，自动驾驶被关闭（自动驾驶关闭告警 AP Warning 1 与 AP Warning 2 触发，自动驾驶开关 CMD FCC 关闭）
3. 飞机失控期间，记录到 Control Wheel Position 操纵盘全程产生剧烈输入
4. 飞机失控期间，副翼（Aileron）全程作动、升降舵（Elevator）仅在失控后期向下作动、方向舵（Rudder）全程没有作动
5 月 4 日（下周一，及此后的每周一）晚上 20:30（北京时间），Otto 将会进行一场 .deb 打包与参与 Debian 社区贡献的在线视频会议。
参加会议将会用到 Debian Jitsi，而登录需要用到 Debian Salsa，所以如果想参与会议的话请考虑提前注册 Debian Salsa。
欢迎届时加入视频会议或 Matrix 频道讨论
https://optimizedbyotto.com/post/debian-mentoring-mondays/
https://matrix.to/#/#mentoringmondays:matrix.debian.social
#mentoringmondays
参加会议将会用到 Debian Jitsi，而登录需要用到 Debian Salsa，所以如果想参与会议的话请考虑提前注册 Debian Salsa。
欢迎届时加入视频会议或 Matrix 频道讨论
https://optimizedbyotto.com/post/debian-mentoring-mondays/
https://matrix.to/#/#mentoringmondays:matrix.debian.social
#mentoringmondays
🎉6❤1
Forwarded from 荔枝木
中国信通院牵头完成5G小区广播预警应用商用验证
push 了几年，终于
push 了几年，终于
Forwarded from 海豚机场测评｜用户侧体验｜测速频道
FCC 表决撤销中资运营商的一揽子授权
本次会议（Open Commission Meeting on Apr 30）目的是堵住 2022 年的法律漏洞：即使「中资运营商」的通信牌照被撤销，它们仍可根据一揽子授权（Blanket Authority）自动获得提供美国国内的州际电信服务资质。
会议中最激进的部分是关于禁止互联（Interconnection）的讨论，即讨论将从物理上禁止 Verizon、AT&T 等美资运营商与中资运营商的互联。如此一来，不仅电信、联通、移动、中信的美国电信业务被踢出局，还会连带 IDC、PoP 一同被赶。
值得注意的是，这次行动会祭出「股权穿透」大招，即电信、联通、移动、中信的本体及其占股 >= 10% 的关联公司，都会因此连坐。
———
接下来，大概还有 30-60d 公开评论期，以及可能的上诉法院司法审查。电联移＋中信的律师团肯定是要出动的……但翻盘的成功率很低，因为但凡涉及 national security 这种包装话术，美国巡回上诉法院几乎都会支持 FCC 的提案。这毕竟是 美版《总体国家安全观》😆。
#新闻 #美西 #美东 #中资运营商
本次会议（Open Commission Meeting on Apr 30）目的是堵住 2022 年的法律漏洞：即使「中资运营商」的通信牌照被撤销，它们仍可根据一揽子授权（Blanket Authority）自动获得提供美国国内的州际电信服务资质。
会议中最激进的部分是关于禁止互联（Interconnection）的讨论，即讨论将从物理上禁止 Verizon、AT&T 等美资运营商与中资运营商的互联。如此一来，不仅电信、联通、移动、中信的美国电信业务被踢出局，还会连带 IDC、PoP 一同被赶。
值得注意的是，这次行动会祭出「股权穿透」大招，即电信、联通、移动、中信的本体及其占股 >= 10% 的关联公司，都会因此连坐。
✍️ 联通是 PCCW 的第二大股东，占股 18%；而 PCCW 全资控股 HKT。所以，PCCW 和 HKT 都满足「股权穿透」条件。
———
接下来，大概还有 30-60d 公开评论期，以及可能的上诉法院司法审查。电联移＋中信的律师团肯定是要出动的……但翻盘的成功率很低，因为但凡涉及 national security 这种包装话术，美国巡回上诉法院几乎都会支持 FCC 的提案。这毕竟是 美版《总体国家安全观》😆。
另附一份整理得很工整的资料 （超链接）
#新闻 #美西 #美东 #中资运营商
Forwarded from Soha 的日常 (Soha Jin)
我以为
现在 NANOG 一堆老哥正在和他激情对线。
分享一篇文章 Why IPv6 is so complicated，作者从 90 年代的协议竞争开始，解答了 IPv6 为什么“复杂”、IPv6 有没有过度设计等问题，并解释了为什么每隔一两年就会蹦出来的、通常会被命名为 IPv7/IPv8/IPv10/IPv16 的提案没有现实意义。
draft-thain-ipv8 是整活呢，没想到作者这么认真，甚至都更新了 2 个版本了？？现在 NANOG 一堆老哥正在和他激情对线。
分享一篇文章 Why IPv6 is so complicated，作者从 90 年代的协议竞争开始，解答了 IPv6 为什么“复杂”、IPv6 有没有过度设计等问题，并解释了为什么每隔一两年就会蹦出来的、通常会被命名为 IPv7/IPv8/IPv10/IPv16 的提案没有现实意义。