1. 30款WordPress插件被买下后植入后门，供应链攻击细节曝光 (Someone bought 30 WordPress plugins and planted a backdoor in all of them)
作者继之前 Widget Logic 供应链攻击后，再次追到一批更大规模的恶意收购：有人在 Flippa 买下 30 多个 WordPress 插件，并在 8 个月后统一激活后门，WordPress.org 已关闭其中 31 个。恶意模块会从 analytics.essentialplugin.com 拉取伪装成 wp-comments-posts.php 的后门文件，把大量 PHP 注入 wp-config.php，用于生成垃圾页面、重定向与伪造内容，只对 Googlebot 展示。更棘手的是 C2 域名通过以太坊智能合约解析，传统封禁无效。作者用备份比对锁定感染窗口，指出官方强制更新并未清理已被植入的站点，需要人工排查修复。
原文链接：https://anchor.host/someone-bought-30-wordpress-plugins-and-planted-a-backdoor-in-all-of-them/
论坛讨论链接：https://news.ycombinator.com/item?id=47755629
讨论集中在供应链攻击的成本结构与防护难度：有人认为加密货币让攻击产业化，买下依赖或“收买”维护者更现实；也有人反驳“我们会写无 bug 软件”的说法，指出全栈处处有缺陷。多条评论提到企业缺乏依赖治理和监控，插件生态特别脆弱，应该把安全当作组织层面的持续投入。
2. Apple的“AI意外护城河”：模型商品化让后发者受益 (Apple’s accidental moat: How the “AI Loser” may end up winning)
作者认为模型能力快速商品化正意外利好被视为“AI 失败者”的苹果：各家烧钱冲 SOTA 让模型差距缩小、价格持续下降，强力模型越来越能在本地硬件运行。苹果手握庞大设备基数、NPU 与端侧隐私能力，又没有在算力军备竞赛中重度烧钱，反而保留现金和选择权。随着 AI 逐渐变成系统功能而非独立产品，苹果可以通过系统整合、分发与生态锁定形成“护城河”。文中也提醒，真正的挑战在于软件体验与工具链整合，而不是单一模型指标。
原文链接：https://adlrocha.substack.com/p/adlrocha-how-the-ai-loser-may-end
论坛讨论链接：https://news.ycombinator.com/item?id=47747017
评论里不少人认同“本地模型够用就行”的趋势，认为开源/轻量模型迭代几次后就能覆盖大多数任务，云端只在极端场景占优；也有人质疑作者过度乐观，指出真正瓶颈在产品化和系统权限，而非模型智力。还有人拿不同模型的实际体验作对比，强调工具调用与集成度比参数规模更重要。
3. AMD谈ROCm挑战CUDA：统一软件栈、一步步爬坡 (Taking on CUDA with ROCm: ‘One Step After Another’)
EE Times 访谈 AMD AI 软件副总裁 Anush Elangovan，核心是让 ROCm 对抗 CUDA 的“巨山”——靠一步步统一软件栈。AMD 通过收购 Nod.ai 获得编译器与 MLIR 生态积累，目标是 OneROCm 将 CPU/GPU/FPGA 的开发体验统一，并用 6 周节奏持续迭代。访谈强调“能用、好用、稳定”比噱头重要，并把 ROCm 视作数据中心 GPU 份额竞争的关键。文章也回顾了 ROCm 过去的碎片化问题，并强调开源协作和生态伙伴在追赶 CUDA 安装量上的意义。
原文链接：https://www.eetimes.com/taking-on-cuda-with-rocm-one-step-after-another/
论坛讨论链接：https://news.ycombinator.com/item?id=47745284
讨论里大量一线吐槽 ROCm 构建与打包复杂：自定义 LLVM、依赖链长、在 Alpine/musl 等环境尤为痛苦。有人表示 Vulkan + llama.cpp 已足够日常用途，ROCm 的运维成本偏高；也有人看好其开源路线和可定制性，认为在高安全场景仍有优势。整体氛围是“进步明显，但还不够省心”。
4. 软件团队的经济学：多数工程组织在成本与产出上“盲飞” (The economics of software teams: Why most engineering orgs are flying blind)
作者从财务视角拆解软件团队成本：在西欧，一个工程师的综合年成本约 12–15 万欧元，8 人团队每月约 8.7 万欧元、每天 4000 欧元，但多数组织从未把这些数字带入优先级讨论。于是功能选择、延期与重构都成了“看不见成本”的资本配置。文章进一步分析内部平台团队的盈亏要求，以及为何组织在过去二十年刻意忽视这套经济学。随着 LLM 到来，工程人力被当作资产的逻辑正在被重新审视，作者呼吁把成本、产出与价值可视化，避免盲飞。
原文链接：https://www.viktorcessan.com/the-economics-of-software-teams/
论坛讨论链接：https://news.ycombinator.com/item?id=47748064
评论争论点集中在“难点在编程还是在弄清需求”。有人认为真正的瓶颈是探索问题空间与验证需求，代码只是手段；也有人反驳编程本身经常极难，特别是深技术问题。还有人指出文章对 LLM 效率过于乐观，提醒度量成本时不要被数字绑架，最终仍要回到业务价值判断。
5. Servo 0.1.0登上crates.io，提供LTS与嵌入式API (Servo is now available on crates.io)
Servo 团队发布 0.1.0 版本并首次在 crates.io 提供 servo crate，把 Servo 作为可嵌入库发布，而非完整浏览器。团队强调其嵌入式 API 已足够稳定，因此在未定义 1.0 之前先推出 LTS 版本，方便半年一次升级且持续获得安全更新。文章回顾过去数次发布带来的流程成熟，并承诺后续仍保持月度节奏。对需要 Web 渲染/布局能力的 Rust 项目而言，这意味着 Servo、Stylo、WebRender 等组件开始具备更清晰的版本与维护策略。
原文链接：https://servo.org/blog/2026/04/13/servo-0.1.0-release/
论坛讨论链接：https://news.ycombinator.com/item?id=47750872
评论补充 docs.rs 仍在构建、RC 版文档可用，并给出 Slint 的嵌入示例和社区“servo-shot”截图工具。有人讨论 Rust 的实用写法与借用检查器的取舍，也有人把话题转到 Slint 的主题能力和可扩展性。整体氛围偏积极，认为 crates.io 发布是生态更成熟的标志。
6. 微软并未移除Copilot，只是淡化品牌并改名“高级功能” (Microsoft isn’t removing Copilot from Windows 11, it’s just renaming it)
文章指出微软并未真正移除 Windows 11 的 Copilot，而是淡化品牌、改名并收敛入口。Notepad 的 Copilot 按钮被替换为写作图标，提供改写、摘要、语气和格式等功能；设置中的“AI features”被改成“Advanced features”，用户仍可一键关闭。微软此前承诺“更有意图地”引入 AI，并非完全清除，因此这次更多是品牌层面的降噪。用户对“被误导以为会移除 AI”的不满也在升温。
论坛讨论链接：https://news.ycombinator.com/item?id=47751936
评论区大量转向“Windows 体验 vs Linux”的长期吐槽：有人为游戏兼容保留 Windows，但日常使用更偏向 Linux；也有人分享双盘或虚拟机方案，并讨论信任边界与恶意软件风险。整体观点是微软的改名并未解决用户对系统臃肿和强推功能的不满。
7. 用一个二元算子生成全部初等函数：EML算子的构造 (All elementary functions from a single binary operator)
论文提出一个二元算子 eml(x,y)=exp(x)-ln(y)，配合常数 1，就能生成科学计算器中的所有初等函数与常数，包括加减乘除、指数/对数以及 e、π、i 等。作者通过穷举搜索找到该算子，并给出构造性证明：任意表达式可表示为 EML 二叉树，语法简单为 S -> 1 | eml(S,S)。这种统一结构还能用于符号回归：把 EML 树当作可训练电路，用梯度优化即可在浅层深度内恢复闭式函数。
原文链接：https://arxiv.org/abs/2603.21852
论坛讨论链接：https://news.ycombinator.com/item?id=47746610
讨论里有人指出单一二元算子并不唯一，存在更早的“万能算子”构造；争议集中在计算成本与表达形式：EML 依赖 exp/ln，是否比其他构造更“昂贵”。也有人强调论文的新意在于不仅覆盖四则运算，还包括常数与超越函数，以及可用于回归的统一树结构。
8. “可完善的编程语言”：作者为何偏爱Lean (A perfectable programming language)
作者把 Lean 称为“可完善的编程语言”：它不一定完美，但可以在语言内部表达并证明自身程序性质。文中用简单函数与定理示例说明如何在 Lean 中把“函数总是返回 5”这样的语义变成可被机器检查的事实。作者还回顾类型系统演进趋势：动态语言逐步引入类型、静态语言强化类型能力，最终走向依赖类型与定理证明。Lean 因此成为既能编程又能证明的“完备方向”，其文化与工具链被视为实践完美化的载体。
原文链接：https://alok.github.io/lean-pages/perfectable-lean/
论坛讨论链接：https://news.ycombinator.com/item?id=47744540
评论把“可完善”与 Lisp 的同像性作比较，有人认为语法同像与语义证明是两类问题；也有人担心“过度强力”的语言会形成不易生产的文化（所谓 Lisp curse）。讨论中提到 Lean 更偏数学证明，而 Idris 2 更接近面向编程的依赖类型尝试，是否能兼顾生产力仍是分歧点。
9. 自己做汽水：可乐/橙汽水/杏仁苏打的配方与乳化技巧 (DIY Soft Drinks)
作者记录了自制汽水的实践：用精油调配可乐、橙汽水与杏仁苏打的风味，通过阿拉伯胶将油相乳化，加入焦糖色、柠檬酸与甜味剂，再与糖浆和苏打水混合。文章给出具体配比（毫升级精油、克级阿拉伯胶）、操作工具和注意事项，并在 2026 年更新了配方与 GitHub 链接。整体是“实验日志”风格，展示从第一次失败到逐步稳定出品的过程，适合想自己掌控糖分或咖啡因的人参考。
原文链接：https://blinry.org/diy-soft-drinks/
论坛讨论链接：https://news.ycombinator.com/item?id=47741701
评论区出现专业建议：预水化的阿拉伯胶更好操作，先与糖混合再乳化；很多商业汽水用水溶性香精避免混浊，因此不一定要走油相路线。还有人分享原料采购渠道与地区可获得性差异，强调“配方能做，供应链才是门槛”。