好的，作为 Hacker News 中文博客的编辑，我将对您提供的内容进行总结和改写，以符合搜索引擎收录要求。
自由软件基金会启动“Librephone”项目，旨在实现移动设备完全软件自由
自由软件基金会（FSF）宣布启动“Librephone”项目，旨在将完整的软件自由带入移动计算环境。该项目将建立在现有移动自由工作的基础上，致力于弥合当前 Android 操作系统发行版与完全软件自由之间的差距，让用户能够自由地学习、修改、分享和重新分发他们日常依赖的手机程序。
项目目标与技术路径
Librephone 项目的核心目标是实现移动设备的完全软件自由。FSF 已聘请经验丰富的开发者 Rob Savoye 领导技术工作。项目初期将调查现有设备固件和二进制 blob 的状况，并优先处理 LineageOS 等“不完全自由”的移动操作系统中已完成的自由软件工作。
初步资金来自 FSF 董事会成员 John Gilmore，他希望通过逆向工程替换 LineageOS 中包含的专有二进制模块。项目的第一步是筛选现有软件包和设备兼容性，以找到一个具有最少且最易修复自由问题的手机。随后，FSF 和 Savoye 将着手逆向工程并替换剩余的非自由软件。Librephone 将支持致力于构建完全自由且功能齐全的 Android 兼容操作系统的现有开发者和项目。
社区讨论与挑战
Hacker News 社区对 Librephone 项目的讨论呈现出多种观点。许多人赞赏 FSF 终于将重心转向移动领域，认为这是在当前移动设备主导的时代至关重要的一步，并对 Rob Savoye 的加入感到乐观。
然而，不少评论者对项目的可行性表示担忧，指出现代手机中存在大量难以替代的专有二进制 blob，尤其是在基带、GPU 和 Wi-Fi 驱动等方面，认为这几乎是一个不可能完成的任务。一些人质疑 FSF 是否应该将精力投入到如此艰巨的逆向工程任务中，而不是专注于更广泛的倡导或支持现有的小众自由硬件项目。但支持者反驳说，即使只能让一款现代手机实现完全自由，也具有巨大的象征意义和实际价值，为未来的自由硬件发展铺平道路，并强调 FSF 长期以来在“打持久战”方面的经验。
苹果发布 M5 芯片：AI 性能再飞跃，赋能 Mac、iPad 和 Vision Pro
苹果公司近日发布了 M5 芯片，这是其 Apple Silicon 系列在 AI 性能上的又一次重大飞跃。这款芯片采用第三代 3 纳米技术打造，旨在为 MacBook Pro、iPad Pro 和 Apple Vision Pro 带来更强大的智能处理能力，并在 GPU、CPU、神经网络引擎和统一内存带宽方面都实现了显著提升。
M5 芯片的核心亮点
M5 芯片的核心亮点在于其全新的 10 核 GPU 架构，每个核心都集成了专用的神经网络加速器，使得 GPU 的 AI 计算峰值性能比 M4 提升了 4 倍以上，相较于 M1 更是高达 6 倍。这意味着在运行扩散模型或本地大型语言模型等 AI 驱动的工作流时，用户将体验到显著加速。
除了 AI，M5 的 GPU 还带来了更强的图形处理能力，比 M4 快 30%，并支持第三代光线追踪，在相关应用中图形性能提升高达 45%。CPU 方面，M5 配备了全球最快的性能核心，其 10 核 CPU 在多线程性能上比 M4 快 15%。此外，改进的 16 核神经网络引擎也进一步提升了 AI 性能，特别是在 Apple Vision Pro 的空间照片转换和 Persona 生成等功能上，以及 Apple Intelligence 的设备端 AI 工具和 Foundation Models 框架的性能。M5 的统一内存带宽也大幅增加到 153GB/s，比 M4 高出近 30%，这使得设备能够运行更大的 AI 模型，并同时处理多任务。
社区对 M5 的看法
Hacker News 社区对 M5 的发布议论纷纷，普遍关注的焦点在于苹果在 AI 领域的持续投入以及其自研芯片的性能优势。一些开发者对 GPU 中集成神经网络加速器感到兴奋，认为这为设备端 AI 应用提供了强大的硬件基础。也有评论指出，苹果的统一内存架构对于 AI 工作负载的效率提升至关重要。
然而，也有不少人持谨慎态度，认为苹果的性能数据往往是“峰值”或“对比上一代”的宣传，实际日常使用中的提升可能没有那么夸张。大家也好奇 M5 在实际 AI 基准测试中与 Nvidia 等专业 AI 硬件的差距，以及苹果的封闭生态系统是否会限制开发者充分利用这些新硬件能力。此外，关于“AI”这个词在营销中的滥用也引发了一些讨论。
“Pixnapping”：Android 平台新型攻击，无需权限窃取敏感信息
一项名为“Pixnapping”的全新攻击类型被揭露，它能让恶意 Android 应用在用户不知情的情况下，窃取其他应用或网站上显示的敏感信息。这项攻击利用了 Android API 和一个影响几乎所有现代 Android 设备的硬件侧信道漏洞，其危害性不容小觑。
Pixnapping 攻击原理与危害
Pixnapping 攻击的核心在于，恶意应用可以在无需任何 Android 权限的情况下，悄无声息地窃取屏幕上可见的任何数据。研究人员已在 Google Pixel 和三星 Galaxy 系列手机上成功演示了这种攻击，能够端到端地恢复来自 Gmail、Google 账户、Signal、Google Authenticator、Venmo 和 Google Maps 等应用和网站的敏感数据。尤其令人担忧的是，它能在 30 秒内窃取 Google Authenticator 的 2FA 验证码，并且用户完全无法察觉。
攻击原理是恶意应用通过 Android Intents 强制目标应用的敏感像素进入渲染管道，然后利用 Android 的窗口模糊 API 在这些像素上诱导图形操作，最后通过 GPU.zip 硬件侧信道逐个像素地窃取这些信息，再进行 OCR 识别。尽管 Google 已经尝试通过限制应用调用模糊操作的数量来修补此漏洞，但研究人员已经发现了一个有效的规避方法。此外，研究还揭示了一个“应用列表绕过”漏洞，允许恶意应用在不声明任何权限的情况下，检测手机上安装了哪些其他应用，而 Google 对此的回复是“无法修复”。
社区对 Pixnapping 的担忧
在 Hacker News 社区，大家对 Pixnapping 的讨论非常热烈，普遍认为这是一个极其严重的漏洞，因为它能在没有权限的情况下窃取 2FA 验证码，这简直是移动安全的噩梦。许多开发者对 Google 尝试修补但被绕过，以及 GPU 厂商尚未承诺修复 GPU.zip 硬件侧信道表示担忧，认为这暴露了 Android 渲染管道和底层硬件架构的深层问题。
大家普遍认为，对于普通用户而言，除了及时安装系统补丁外，几乎没有其他有效的防御措施，而应用开发者更是束手无策。社区也对 Google 将“应用列表绕过”漏洞标记为“无法修复”感到不满。总的来说，Pixnapping 攻击引发了大家对 Android 平台安全模型、硬件侧信道漏洞的普遍性和修复难度，以及厂商响应速度的深刻反思。
警惕！开发者险遭“工作面试”钓鱼攻击，恶意代码伪装成编程挑战
一篇博文揭露了一个开发者差点通过一次看似正常的“工作面试”被黑客攻击的惊险经历。骗子利用高度专业的伪装，通过一个常见的编程挑战来植入恶意软件，差点导致作者的系统被完全攻陷。
伪装精密的攻击过程
故事始于作者收到一封来自一家真实区块链公司“Symfa”的 LinkedIn 消息，发件人是其“首席区块链官”，拥有看似真实的个人资料和大量联系人。一切都显得非常专业，包括使用 Calendly 安排面试，以及一个标准的“居家编程测试”作为面试前评估。
骗子提供了一个托管在 Bitbucket 上的 React/Node 项目，代码库看起来干净、专业，甚至有标准的 README 和文档。作者因为时间紧迫，差点直接在本地机器上运行了这份代码。幸好在最后一刻，他产生了一丝疑虑，决定用 Cursor AI 代理扫描一下代码。结果令人震惊：在 server/controllers/userController.js 文件中，隐藏着一段经过混淆的 JavaScript 代码，它会从一个远程 URL 下载并执行恶意负载。这段恶意代码一旦运行，将拥有 Node.js 的全部权限，能够窃取加密货币钱包、文件、密码等所有敏感信息。更令人警惕的是，恶意负载的 URL 在 24 小时后就失效了，显示出攻击者高度的专业性和销毁证据的能力。
社区讨论与安全建议
评论区对这篇文章反响热烈，许多开发者都对这种日益复杂的社会工程攻击表示担忧。大家普遍强调了“永远沙盒化未知代码”的重要性，认为 Docker 容器或虚拟机是运行任何外部代码的最低安全要求。
同时，关于 AI 在安全领域的应用也引发了讨论，一些人认为作者利用 AI 扫描代码是未来安全实践的一个亮点；但也有人提醒，AI 并非万能，它只是一个辅助工具。此外，不少评论指出，这种攻击利用了开发者的日常工作流程和对“编程挑战”的熟悉感，使得防范难度大大增加。大家一致认为，面对这种高水平的伪装，开发者必须保持高度警惕，对任何要求运行外部代码的请求都要三思而后行，并对 LinkedIn 等平台上的招聘信息进行更严格的验证。
美国司法部查获 150 亿美元比特币，揭露柬埔寨“杀猪盘”诈骗集团
美国司法部（DOJ）宣布了一项历史性的行动：他们从一个位于柬埔寨的“杀猪盘”诈骗集团手中，查获了价值高达 150 亿美元的比特币。这不仅是 DOJ 有史以来最大规模的资产没收行动，也再次揭示了加密货币世界中隐藏的巨大犯罪网络。
“杀猪盘”诈骗集团的运作模式
这个巨大的诈骗案由一个名叫陈志（Chen Zhi），又名“Vincent”的 38 岁华裔移民主导。他被指控是“太子集团”（Prince Holding Group）的创始人和主席，这个跨国企业集团表面上在柬埔寨经营着各种业务，但实际上，检察官称它秘密发展成“亚洲最大的跨国犯罪组织之一”。
太子集团在柬埔寨运营着至少 10 个诈骗园区，这些园区里的人员被强迫劳动，通过社交媒体和消息应用联系受害者，诱骗他们将加密货币转入诈骗集团控制的账户，承诺高额投资回报。但实际上，这些资金都被盗取并用于犯罪分子的利益。这些骗子会花时间与受害者建立信任关系，然后才实施诈骗，这就是所谓的“杀猪盘”骗局。更令人震惊的是，这些诈骗园区里有数百人是被贩卖并强迫工作的，他们常常面临暴力威胁。美国财政部也同步采取行动，将太子集团列为跨国犯罪组织，并对陈志及 100 多个相关个人和实体实施了制裁。检察官指出，陈志和他的高管网络还利用政治影响力，向多国官员行贿，以保护他们的犯罪企业免受执法部门的打击。
社区对案件的关注与反思
在 Hacker News 的讨论中，大家对这起案件的规模和其背后的技术及社会问题表现出浓厚兴趣。许多人对 150 亿美元的比特币被查获感到震惊，这再次引发了关于加密货币在犯罪活动中扮演角色的讨论。一些评论者认为，虽然加密货币的匿名性为犯罪提供了便利，但这次大规模的查获也证明了执法机构追踪和没收数字资产的能力正在增强。
另一方面，大家对“杀猪盘”这种复杂的社会工程学骗局感到担忧，特别是其中涉及的强迫劳动和人口贩卖，这远超出了单纯的金融诈骗范畴，触及了更深层次的人权问题。也有人质疑柬埔寨政府在此类犯罪活动中的角色，以及国际合作在打击这类跨国犯罪中的挑战。大家普遍认为，这起案件凸显了在数字时代，个人在网络上保持警惕的重要性，并呼吁加强对这类新型诈骗的教育和防范。
Cloudflare 优化 Workers 平台，解决 CPU 性能基准测试瓶颈
Cloudflare 近日发布文章，详细解释了他们如何解决 Workers 平台在 CPU 性能基准测试中表现不佳的问题。通过深入调查，他们发现了一系列基础设施调优、JavaScript 库差异以及测试方法论导致的问题，并已采取多项改进措施。
性能问题根源与平台改进
一位独立开发者 Theo Browne 的基准测试显示，Cloudflare Workers 在 CPU 密集型 JavaScript 任务上比 Vercel（基于 AWS Lambda）慢了高达 3.5 倍。Cloudflare 团队经过调查发现，问题主要源于基础设施的调优不当、不同平台使用的 JavaScript 库差异，以及测试本身的一些问题。值得注意的是，这些问题并未影响到大多数典型的 Workers 工作负载，主要还是基准测试方法论导致的。
Cloudflare 迅速采取行动，进行了两方面的平台改进。首先，他们优化了分片和热隔离路由算法，使其能更早地检测到 CPU 密集型工作，并更快地启动新的隔离环境来处理。其次，他们调整了 V8 垃圾回收器的配置，放宽了对“年轻代”内存空间的限制，这为基准测试带来了约 25% 的性能提升。
针对 Next.js 的进一步优化
针对 Next.js 基准测试中仍然存在的差距，Cloudflare 深入研究了 OpenNext 项目。他们发现 OpenNext、Next.js 甚至 React 本身存在不必要的内存分配和数据复制，例如在渲染管道中创建大量 Buffer 实例，或者为了获取数据长度而进行不必要的 Buffer 拼接。他们也发现 Node.js 和 Web Streams API 之间的转换效率低下，导致了额外的缓冲和复制。
Cloudflare 正在积极向 OpenNext 提交一系列拉取请求，以解决这些问题，并承诺将继续优化，让 Next.js 在任何平台上都能运行得更快。
电商网站虚假流量泛滥：机器人扭曲数据，耗尽广告预算
一篇博文深入探讨了电商网站上虚假流量和复杂机器人（bot）的惊人普遍性，揭示了它们如何模仿人类行为来扭曲分析数据并耗尽广告预算。作者认为，很大一部分互联网流量并非来自真实用户，而是旨在欺骗的自动化系统。
虚假流量的普遍性与类型
作为一家数字营销机构的负责人，作者最初注意到一位客户的电商网站访问量很高，但销售额却异常低，这促使他进行了深入调查。通过开发一个自定义脚本来跟踪鼠标移动、滚动模式和交互时间等细微的人类行为，他发现该客户 68% 的流量是非人类流量。将这项研究扩展到 200 多家电商网站后，作者发现虚假流量的平均比例高达 73%，这表明这是一个普遍存在的系统性问题。
文章将这些复杂的机器人分为几类：“互动机器人”以令人不安的完美和一致的时间进行滚动和点击；“购物车放弃机器人”反复将特定商品添加到购物车然后放弃，可能是为了操纵指标；以及“幽灵社交媒体访客”在从社交媒体引流后几乎立即跳出，从而夸大虚荣指标以进行广告欺诈。尽管文章承认存在用于竞争分析和价格监控等合法目的的数据抓取机器人，但核心问题在于恶意机器人。财务影响是显而易见的：一位客户在过滤掉机器人流量后，流量下降了 71%，但销售额却增长了 34%，这证明他们的营销努力是有效的，但被虚假点击所掩盖。作者认为，广告平台由于利益冲突而同谋，因为过滤掉虚假流量会大幅减少他们的收入。
社区对虚假流量的讨论与反思
作者总结说，大部分互联网是一个“数字纸牌屋”，广告平台向机器人销售展示，企业夸大指标，分析公司报告这些虚假活动。在评论区，许多开发者和科技爱好者对此深有同感，分享了他们对夸大分析数据和糟糕广告活动表现的沮丧。一些人对 73% 这个确切数字表示怀疑，而另一些人则证实了类似的经历，强调了区分复杂机器人和真实用户的难度。
讨论经常转向整个数字经济的伦理影响，质疑建立在如此普遍欺骗基础上的系统是否可持续。人们还高度关注广告平台扭曲的经济激励，许多人认为其商业模式本身就不鼓励积极的机器人过滤。关于服务器端机器人检测和需要更透明的广告指标的实用建议是常见的主题，这突显了在一个日益自动化的网络中，人们普遍渴望获得更可靠的数据。
爱尔兰将艺术家基本收入计划永久化，探索 UBI 在创意领域的应用
爱尔兰政府宣布将艺术家基本收入计划（Basic Income for Artists）永久化，标志着该国在直接财政支持创意产业方面迈出了重要一步。这项计划旨在为艺术家提供稳定的经济保障，让他们能够专注于创作，从而促进文化繁荣。
艺术家基本收入计划的细节与成效
该计划的核心内容是为选定的艺术家提供每周约 375 美元（每月约 1500 美元）的付款。目前计划提供 2000 个名额，申请将于 2026 年 9 月开放，具体资格标准待公布。这项倡议最初于 2022 年作为试点项目启动，旨在帮助艺术行业从疫情中恢复，当时许多艺术家因活动取消而面临收入锐减。
在试点阶段，该计划涵盖了视觉艺术、戏剧、音乐、舞蹈乃至建筑等广泛的艺术门类。申请者需要提供艺术品销售收入或专业团体会员资格等证据来证明其专业身份。试点项目吸引了超过 9000 人申请，其中 2000 人被随机选中获得资助，另有 1000 人作为对照组。Alma Economics 的外部报告显示，尽管试点项目耗资 7200 万欧元，但为爱尔兰经济带来了近 8000 万欧元的总收益。参与者的艺术相关收入