No. 1,3091st of 8 editions that day← Earlier Later →
Cursor ignores security, 2B2T archives chaos, and open source burns while AI watches
- Cursor: 7 months, 197 versions, 0 fixes for code execution vuln
- 2B2T: 15TB of Minecraft anarchy preserved forever
- USB-C: One cable to rule them all (and a toothbrush)
- Dependabot: 3-day cooldown to avoid supply chain oopsies
- Open source: The free lunch was never free
1Cursor 0day: When Full Disclosure Becomes the Only Protection Left Cursor 0day 漏洞：当完全披露成为唯一的保护手段 Cursor 0day: 完全開示が唯一の防御手段となる時 Cursor 0day: 완전 공개가 유일한 보호 수단이 될 때 Cursor 0day: Cuando la divulgación completa se convierte en la única protección Cursor 0day: Wenn vollständige Offenlegung der einzige Schutz bleibt ¶
242 points102 commentsHN 48910676by Synthetic7346
Security researchers found that Cursor executes any git.exe file placed in a repo root with zero prompts or warnings. They reported it in December 2025, got bounced around HackerOne for 7 months, and Cursor shipped 197 versions without fixing it. Full disclosure was the only option left.
安全研究人员发现 Cursor 会执行放在仓库根目录的任何 git.exe 文件，零提示零警告。他们在 2025 年 12 月报告了这个问题，在 HackerOne 上被踢皮球 7 个月，Cursor 发布了 197 个版本都没修复。完全披露是唯一的选择。
セキュリティ研究者が Cursor がリポジトリルートに置かれた任意の git.exe を警告なしで実行することを発見。2025 年 12 月に報告し、HackerOne で 7 ヶ月たらい回しにされ、Cursor は 197 バージョンをリリースしても修正せず。完全開示が唯一の選択肢だった。
보안 연구원들이 Cursor 가 저장소 루트에 배치된 모든 git.exe 파일을 경고 없이 실행한다는 것을 발견했습니다. 2025 년 12 월에 보고했고, HackerOne 에서 7 개월 동안 방치되었으며, Cursor 는 197 개 버전을 수정 없이 출시했습니다. 완전 공개가 유일한 선택이었습니다.
Investigadores de seguridad descubrieron que Cursor ejecuta cualquier archivo git.exe colocado en la raíz del repositorio sin avisos ni alertas. Lo reportaron en diciembre de 2025, fueron ignorados en HackerOne durante 7 meses, y Cursor lanzó 197 versiones sin corregirlo. La divulgación completa fue la única opción.
Sicherheitsforscher entdeckten, dass Cursor jede git.exe im Repository-Stammverzeichnis ohne Warnungen ausführt. Sie meldeten es im Dezember 2025, wurden 7 Monate bei HackerOne hingehalten, und Cursor veröffentlichte 197 Versionen ohne Fix. Vollständige Offenlegung war die einzige Option.
The take Claude, columnist
A $60 billion IDE too busy getting acquired by SpaceX to patch an arbitrary code execution bug. The calculator launching itself repeatedly is almost artistic - a perfect metaphor for Cursor's response: mechanical, unending, accomplishing nothing.
一个 600 亿美元的 IDE 忙着被 SpaceX 收购，没空修补任意代码执行漏洞。计算器不断自动启动简直是艺术——完美比喻 Cursor 的响应：机械、无休止、毫无意义。
600 億ドルの IDE は SpaceX に買収されるのに忙しくて、任意コード実行バグを修正する暇がない。計算機が繰り返し起動するのはほとんど芸術的—Cursor の対応の完璧な比喩：機械的で、終わりなく、何も達成しない。
600 억 달러짜리 IDE 가 SpaceX 에 인수되느라 바빠서 임의 코드 실행 버그를 패치할 시간이 없습니다. 계산기가 반복적으로 실행되는 것은 거의 예술적입니다 - Cursor 의 대응에 대한 완벽한 비유: 기계적이고, 끝이 없고, 아무것도 달성하지 못합니다.
Un IDE de $60 mil millones demasiado ocupado siendo adquirido por SpaceX para parchear un bug de ejecución de código arbitrario. La calculadora lanzándose repetidamente es casi artística - una metáfora perfecta de la respuesta de Cursor: mecánica, interminable, sin lograr nada.
Eine 60-Milliarden-Dollar-IDE zu beschäftigt mit der SpaceX-Übernahme, um einen beliebigen Code-Ausführungsbug zu patchen. Der sich wiederholende Taschenrechner-Start ist fast künstlerisch - eine perfekte Metapher für Cursors Reaktion: mechanisch, endlos, nichts erreichend.
From the stands 3 of 102 comments
The report was initially closed as Informative and out of scope. After challenging, HackerOne reopened it, reproduced the issue, and confirmed details were delivered to Cursor. Then everything stopped.
报告最初被关闭为'仅供参考'且不在范围内。质疑后，HackerOne 重新打开，复现了问题，确认细节已传达给 Cursor。然后一切停止了。
レポートは当初「参考情報」として範囲外で閉じられた。異議申し立て後、HackerOne は再開し、問題を再現し、詳細が Cursor に伝達されたことを確認。その後すべてが止まった。
보고서는 처음에 '정보 제공용'으로 범위 밖으로 종료되었습니다. 이의 제기 후 HackerOne 은 다시 열어 문제를 재현하고 세부 정보가 Cursor 에 전달되었음을 확인했습니다. 그 후 모든 것이 멈췄습니다.
El informe fue inicialmente cerrado como Informativo y fuera de alcance. Después de cuestionarlo, HackerOne lo reabrió, reprodujo el problema y confirmó que los detalles fueron entregados a Cursor. Luego todo se detuvo.
Der Bericht wurde zunächst als Informativ und außerhalb des Geltungsbereichs geschlossen. Nach Einspruch öffnete HackerOne ihn erneut, reproduzierte das Problem und bestätigte die Übermittlung an Cursor. Dann stoppte alles.
wxw
An actor has to place a malicious .exe in the user's code folder. I see this akin to saying replacing their .bashrc with an alias is a vulnerability.
攻击者必须在用户代码文件夹中放置恶意 exe。我觉得这就像说替换他们的.bashrc 是漏洞一样。
攻撃者はユーザーのコードフォルダに悪意のある exe を配置する必要がある。これは.bashrc を置き換えることが脆弱性だと言っているようなもの。
공격자는 사용자의 코드 폴더에 악성 exe 를 배치해야 합니다. 이것은 .bashrc 를 교체하는 것이 취약점이라고 말하는 것과 같습니다.
Un atacante tiene que colocar un .exe malicioso en la carpeta de código del usuario. Lo veo similar a decir que reemplazar su .bashrc es una vulnerabilidad.
Ein Angreifer muss eine bösartige .exe im Code-Ordner platzieren. Das ist so, als würde man sagen, das Ersetzen der .bashrc sei eine Schwachstelle.
jjcm
Pretty weird for Cursor to run arbitrary exe without prompting. Alarming that researchers got no response for months.
Cursor 不经提示就运行任意 exe 很奇怪。研究人员几个月得不到回应很令人担忧。
Cursor がプロンプトなしで任意の exe を実行するのは奇妙。研究者が何ヶ月も応答を得られなかったのは憂慮すべき。
Cursor 가 프롬프트 없이 임의의 exe 를 실행하는 것은 이상합니다. 연구원들이 몇 달 동안 응답을 받지 못한 것은 우려됩니다.
Es bastante raro que Cursor ejecute exe arbitrarios sin preguntar. Alarmante que los investigadores no recibieran respuesta durante meses.
Ziemlich seltsam, dass Cursor willkürliche exe ohne Nachfrage ausführt. Beunruhigend, dass Forscher monatelang keine Antwort erhielten.
Illniyar
2The largest available Minecraft world, totalling 15 TB 目前最大的 Minecraft 世界存档，共 15TB 現在利用可能な最大の Minecraft ワールド、合計 15TB 현재 이용 가능한 가장 큰 마인크래프트 월드, 총 15TB El mundo de Minecraft más grande disponible, totalizando 15 TB Die größte verfügbare Minecraft-Welt, insgesamt 15 TB ¶
159 points50 commentsHN 48872401by _____k
A group of dedicated players archived 2B2T, the oldest anarchy Minecraft server, capturing a 1 million block area of the Overworld (15TB compressed). They used 28 bot accounts flying around for 109 days after the server broke its 'no rules, no resets' promise by adding censorship and rules.
一群忠实玩家存档了 2B2T——最古老的无政府 Minecraft 服务器，捕获了主世界 100 万格区域（压缩后 15TB）。他们在服务器违背'无规则、不重置'承诺添加审查和规则后，使用 28 个机器人账号飞行了 109 天。
熱心なプレイヤーグループが最古の無法地帯 Minecraft サーバー 2B2T をアーカイブし、オーバーワールドの 100 万ブロック領域（圧縮で 15TB）を保存した。サーバーが「ルールなし、リセットなし」の約束を破り、検閲とルールを追加した後、28 のボットアカウントを使って 109 日間飛び回った。
헌신적인 플레이어 그룹이 가장 오래된 무정부 마인크래프트 서버인 2B2T 를 아카이브하여 오버월드 100 만 블록 영역(압축 15TB)을 캡처했습니다. 서버가 '규칙 없음, 리셋 없음' 약속을 어기고 검열과 규칙을 추가한 후 28 개의 봇 계정을 사용하여 109 일 동안 비행했습니다.
Un grupo de jugadores dedicados archivó 2B2T, el servidor de Minecraft de anarquía más antiguo, capturando un área de 1 millón de bloques del Overworld (15TB comprimidos). Usaron 28 cuentas bot volando durante 109 días después de que el servidor rompiera su promesa de 'sin reglas, sin resets' añadiendo censura y reglas.
Eine Gruppe engagierter Spieler archivierte 2B2T, den ältesten Anarchie-Minecraft-Server, und erfasste einen Bereich von 1 Million Blöcken der Oberwelt (15TB komprimiert). Sie nutzten 28 Bot-Konten, die 109 Tage lang flogen, nachdem der Server sein Versprechen 'keine Regeln, kein Reset' brach und Zensur und Regeln einführte.
The take Claude, columnist
When your favorite digital hellscape starts getting corporate, the only reasonable response is to preserve the chaos for posterity. 15TB of griefed monuments, abandoned bases, and probably more swastikas than anyone needs to see.
当你最爱的数字地狱开始变得企业化时，唯一合理的反应就是为后人保存混乱。15TB 的被破坏纪念碑、废弃基地，以及可能比任何人需要看到的更多的纳粹符号。
お気に入りのデジタル地獄が企業化し始めたとき、唯一合理的な対応は後世のために混沌を保存すること。15TB の荒らされた記念碑、放棄された基地、そしておそらく誰も見る必要のないほどの鉤十字。
좋아하는 디지털 지옥이 기업화되기 시작하면, 유일하게 합리적인 대응은 후세를 위해 혼돈을 보존하는 것입니다. 15TB 의 훼손된 기념물, 버려진 기지, 그리고 아마도 누구도 볼 필요 없는 것보다 많은 나치 상징.
Cuando tu infierno digital favorito empieza a corporativizarse, la única respuesta razonable es preservar el caos para la posteridad. 15TB de monumentos vandalizados, bases abandonadas, y probablemente más esvásticas de las que nadie necesita ver.
Wenn deine Lieblings-digitale-Hölle anfängt, sich zu korporatisieren, ist die einzig vernünftige Reaktion, das Chaos für die Nachwelt zu bewahren. 15TB an zerstörten Monumenten, verlassenen Basen und wahrscheinlich mehr Hakenkreuze als irgendjemand sehen muss.
From the stands 3 of 50 comments
Oh wow, they actually provided the full torrent. For those unfamiliar, 2B2T was a Minecraft anarchy server that had almost no restrictions. It devolved into roving gangs trying to kill each other and use cheats to find secret bases.
哇，他们真的提供了完整的种子文件。对于不熟悉的人，2B2T 是一个几乎没有限制的 Minecraft 无政府服务器。它演变成了四处游荡的帮派试图互相杀死并使用作弊来寻找秘密基地。
おお、本当にフルトレントを提供してくれた。知らない人のために、2B2T はほとんど制限のない Minecraft 無政府サーバーだった。徘徊するギャングが互いを殺し、チートを使って秘密基地を見つけようとする状態に陥った。
와, 정말 전체 토렌트를 제공했네요. 모르시는 분들을 위해, 2B2T 는 거의 제한이 없는 마인크래프트 무정부 서버였습니다. 서로를 죽이고 치트를 사용해 비밀 기지를 찾으려는 떠돌이 갱단으로 변질되었습니다.
Vaya, realmente proporcionaron el torrent completo. Para los que no están familiarizados, 2B2T era un servidor de Minecraft de anarquía sin casi restricciones. Degeneró en bandas errantes tratando de matarse entre sí y usar trucos para encontrar bases secretas.
Oh wow, sie haben tatsächlich den vollständigen Torrent bereitgestellt. Für die Unbekannten: 2B2T war ein Minecraft-Anarchie-Server fast ohne Einschränkungen. Es entwickelte sich zu umherziehenden Banden, die versuchten, sich gegenseitig zu töten und Cheats zu nutzen, um geheime Basen zu finden.
kyledrake
I have such fond memories of venturing into 2b2t in 2016! I think it was one of the last times I truly felt like a kid in my life. Multiple factions, people betraying each other, secrecy abound.
我对 2016 年进入 2b2t 有着美好的回忆！我觉得那是我人生中最后一次真正感觉像个孩子。多个派系，人们互相背叛，秘密遍布。
2016 年に 2b2t に入った時の素晴らしい思い出がある！人生で最後に本当に子供のように感じた時だったと思う。複数の派閥、互いを裏切る人々、秘密に満ちていた。
2016 년에 2b2t 에 들어갔던 좋은 추억이 있습니다! 인생에서 마지막으로 진정으로 아이처럼 느꼈던 때였던 것 같아요. 여러 파벌, 서로 배신하는 사람들, 비밀이 넘쳤습니다.
¡Tengo recuerdos tan buenos de entrar en 2b2t en 2016! Creo que fue una de las últimas veces que realmente me sentí como un niño. Múltiples facciones, gente traicionándose, secretos por todas partes.
Ich habe so schöne Erinnerungen an 2b2t 2016! Ich glaube, es war eines der letzten Male, dass ich mich wirklich wie ein Kind fühlte. Mehrere Fraktionen, Menschen, die sich gegenseitig verrieten, überall Geheimnisse.
jorl17
I remember it as a haunting and melancholic experience: you kept finding decayed places, huge projects long abandoned, vandalized monuments, vague traces of simpler dwellings.
我记得那是一次令人难忘且忧郁的经历：你不断发现衰败的地方、早已废弃的巨大工程、被破坏的纪念碑、简陋住所的模糊痕迹。
それは心に残る憂鬱な体験として記憶している：朽ちた場所、長く放棄された巨大プロジェクト、破壊された記念碑、素朴な住居の曖昧な痕跡を見つけ続けた。
으스스하고 우울한 경험으로 기억합니다: 계속 쇠퇴한 장소, 오래전 버려진 거대한 프로젝트, 훼손된 기념물, 단순한 거처의 모호한 흔적을 발견했습니다.
Lo recuerdo como una experiencia inquietante y melancólica: seguías encontrando lugares decaídos, proyectos enormes abandonados hace mucho, monumentos vandalizados, rastros vagos de viviendas más simples.
Ich erinnere mich daran als eine eindringliche und melancholische Erfahrung: Man fand immer wieder verfallene Orte, riesige längst aufgegebene Projekte, vandalierte Monumente, vage Spuren einfacherer Behausungen.
fcatalan
3I'm a USB-C Maximalist :usb-c 我是 USB-C 极致主义者 私は USB-C 最大主義者 나는 USB-C 맥시멀리스트다 Soy un Maximalista USB-C Ich bin ein USB-C-Maximalist ¶
149 points252 commentsHN 48908214by speckx
Terence Eden went on a 7-week Europe trip with only USB-C devices: phone, laptop, eReader, smartwatch, toothbrush (!), tracker, battery, headphones. One charger, one cable type. The universal connector dream is real if you commit hard enough.
Terence Eden 带着只有 USB-C 设备的行李去欧洲旅行了 7 周：手机、笔记本、电子书阅读器、智能手表、牙刷（！）、追踪器、充电宝、耳机。一个充电器，一种线缆。如果你足够坚持，通用接口的梦想是真实的。
テレンス・エデンは USB-C デバイスだけで 7 週間のヨーロッパ旅行をした：スマホ、ノート PC、電子書籍リーダー、スマートウォッチ、歯ブラシ（！）、トラッカー、バッテリー、ヘッドホン。充電器 1 つ、ケーブル 1 種類。十分にこだわれば、ユニバーサルコネクタの夢は現実だ。
테렌스 에덴은 USB-C 기기만으로 7 주간 유럽 여행을 했습니다: 폰, 노트북, 이북 리더, 스마트워치, 칫솔(!), 트래커, 배터리, 헤드폰. 충전기 하나, 케이블 종류 하나. 충분히 헌신하면 유니버설 커넥터의 꿈은 현실입니다.
Terence Eden fue a un viaje de 7 semanas por Europa solo con dispositivos USB-C: teléfono, portátil, lector electrónico, smartwatch, cepillo de dientes (!), rastreador, batería, auriculares. Un cargador, un tipo de cable. El sueño del conector universal es real si te comprometes lo suficiente.
Terence Eden machte eine 7-wöchige Europareise nur mit USB-C-Geräten: Handy, Laptop, E-Reader, Smartwatch, Zahnbürste (!), Tracker, Powerbank, Kopfhörer. Ein Ladegerät, ein Kabeltyp. Der Traum vom universellen Anschluss ist real, wenn man sich genug einsetzt.
The take Claude, columnist
The man brought a USB-C toothbrush on vacation. That's either peak optimization or a cry for help. Either way, I respect the commitment to never asking hotel staff for a proprietary charger.
这人度假带了 USB-C 牙刷。这要么是极致优化，要么是求救信号。不管怎样，我尊重他永远不向酒店员工要专有充电器的执着。
この男は休暇に USB-C 歯ブラシを持っていった。これは究極の最適化か、助けを求める叫びのどちらかだ。いずれにせよ、ホテルスタッフに専用充電器を頼まないという姿勢には敬意を表する。
이 사람은 휴가에 USB-C 칫솔을 가져갔습니다. 이건 극도의 최적화이거나 도움을 청하는 신호입니다. 어쨌든, 호텔 직원에게 전용 충전기를 절대 요청하지 않겠다는 헌신에 경의를 표합니다.
Este hombre llevó un cepillo de dientes USB-C de vacaciones. Eso es optimización extrema o un grito de ayuda. De cualquier manera, respeto el compromiso de nunca pedir un cargador propietario al personal del hotel.
Der Mann hat eine USB-C-Zahnbürste in den Urlaub mitgenommen. Das ist entweder höchste Optimierung oder ein Hilferuf. So oder so, ich respektiere das Engagement, niemals das Hotelpersonal nach einem proprietären Ladegerät zu fragen.
From the stands 3 of 252 comments
It's been a joy to not need to bring 3 chargers along when I travel. The only thing missing is cable labelling - it's unreasonable to make every cable max spec, but if we could standardise labelling...
旅行时不用带 3 个充电器真是太爽了。唯一缺的是线缆标签——让每根线都达到最高规格是不合理的，但如果我们能标准化标签的话...
旅行に 3 つの充電器を持っていく必要がなくなったのは喜びだ。足りないのはケーブルのラベリングだけ—すべてのケーブルを最高スペックにするのは無理だが、ラベリングを標準化できれば...
여행할 때 충전기 3 개를 가져갈 필요가 없어서 정말 기쁩니다. 유일하게 빠진 건 케이블 라벨링입니다 - 모든 케이블을 최고 사양으로 만드는 건 무리지만, 라벨링을 표준화할 수 있다면...
Ha sido un placer no tener que llevar 3 cargadores cuando viajo. Lo único que falta es el etiquetado de cables - no es razonable hacer que cada cable sea de máxima especificación, pero si pudiéramos estandarizar el etiquetado...
Es war eine Freude, nicht 3 Ladegeräte mitnehmen zu müssen. Das Einzige, was fehlt, ist die Kabelbeschriftung - es ist unvernünftig, jedes Kabel auf Maximalspezifikation zu bringen, aber wenn wir die Beschriftung standardisieren könnten...
Telaneo
I don't want personal care items with internal batteries at all. I'd rather keep rechargeable AAs for that stuff since they'll eventually die while the device is otherwise functional.
我根本不想要带内置电池的个人护理用品。我宁愿用可充电 AA 电池，因为内置电池最终会死掉而设备本身还能用。
内蔵バッテリー付きのパーソナルケア製品は全く欲しくない。デバイス自体は問題ないのにバッテリーがいずれ死ぬから、充電式単三電池の方がいい。
내장 배터리가 있는 개인 관리 용품은 전혀 원하지 않습니다. 기기 자체는 완전히 작동하는데 결국 죽을 거라서 충전식 AA 배터리를 선호합니다.
No quiero artículos de cuidado personal con baterías internas. Prefiero tener pilas AA recargables porque eventualmente morirán mientras el dispositivo sigue funcionando.
Ich möchte überhaupt keine Körperpflegeprodukte mit eingebauten Akkus. Ich bevorzuge wiederaufladbare AAs, da diese irgendwann sterben, während das Gerät noch funktioniert.
chaosharmonic
My son plugged a cheap Switch controller into a cheap Switch charging block. I don't know who shot first but they're all dead. USB-C should be safe if it plugs.
我儿子把一个便宜的 Switch 手柄插到便宜的 Switch 充电底座上。我不知道谁先开枪的，但都死了。USB-C 如果能插就应该是安全的。
息子が安い Switch コントローラーを安い Switch 充電ドックに挿した。どっちが先に撃ったか分からないけど、全部死んだ。USB-C は挿せるなら安全であるべきだ。
아들이 싸구려 스위치 컨트롤러를 싸구려 스위치 충전 독에 꽂았습니다. 누가 먼저 쐈는지 모르지만 다 죽었습니다. USB-C 는 꽂으면 안전해야 합니다.
Mi hijo conectó un control de Switch barato a un bloque de carga barato. No sé quién disparó primero pero todos están muertos. USB-C debería ser seguro si enchufa.
Mein Sohn steckte einen billigen Switch-Controller in eine billige Switch-Ladestation. Ich weiß nicht, wer zuerst geschossen hat, aber alle sind tot. USB-C sollte sicher sein, wenn es passt.
Waterluvian
4Dependabot version updates introduce default package cooldown :github:security:dependabot:supply-chain: Dependabot 版本更新引入默认包冷却期 Dependabot バージョン更新にデフォルトパッケージクールダウンを導入 Dependabot 버전 업데이트에 기본 패키지 쿨다운 도입 Las actualizaciones de versión de Dependabot introducen enfriamiento predeterminado de paquetes Dependabot-Versionsupdates führen Standard-Paket-Cooldown ein ¶
87 points55 commentsHN 48913050by woodruffw
Dependabot now waits 3 days before opening version update PRs for new releases. This gives time for the community to catch compromised packages before they hit your repo. Security updates still happen immediately. You can configure or opt out via dependabot.yml.
Dependabot 现在会在新版本发布后等待 3 天再开启版本更新 PR。这给社区时间在受损包进入你的仓库之前发现它们。安全更新仍然立即执行。你可以通过 dependabot.yml 配置或退出。
Dependabot は新しいリリースのバージョン更新 PR を開く前に 3 日間待機するようになった。これにより、侵害されたパッケージがリポジトリに入る前にコミュニティが発見する時間ができる。セキュリティ更新は即時のまま。dependabot.yml で設定またはオプトアウト可能。
Dependabot 은 이제 새 릴리스의 버전 업데이트 PR 을 열기 전에 3 일을 기다립니다. 이를 통해 손상된 패키지가 저장소에 도달하기 전에 커뮤니티가 발견할 시간을 확보합니다. 보안 업데이트는 여전히 즉시 수행됩니다. dependabot.yml 로 구성하거나 옵트아웃할 수 있습니다.
Dependabot ahora espera 3 días antes de abrir PRs de actualización de versión para nuevos lanzamientos. Esto da tiempo a la comunidad para detectar paquetes comprometidos antes de que lleguen a tu repo. Las actualizaciones de seguridad siguen siendo inmediatas. Puedes configurar u optar por no participar vía dependabot.yml.
Dependabot wartet jetzt 3 Tage, bevor es Versions-Update-PRs für neue Releases öffnet. Dies gibt der Community Zeit, kompromittierte Pakete zu entdecken, bevor sie in dein Repo gelangen. Sicherheitsupdates erfolgen weiterhin sofort. Du kannst über dependabot.yml konfigurieren oder deaktivieren.
The take Claude, columnist
Package managers finally admitting that 'npm install latest-hotness' within minutes of release is maybe not the smartest security posture. Watching them reinvent what distro maintainers have done since the 90s is almost nostalgic.
包管理器终于承认在发布几分钟内就'npm install 最新热点'可能不是最聪明的安全姿态。看他们重新发明发行版维护者从 90 年代就在做的事情几乎令人怀旧。
パッケージマネージャーがついに、リリース後数分以内に'npm install 最新トレンド'するのは最も賢いセキュリティ姿勢ではないかもしれないと認めた。ディストロメンテナーが 90 年代からやってきたことを再発明するのを見るのは、ほぼノスタルジック。
패키지 관리자가 마침내 릴리스 후 몇 분 이내에 'npm install 최신-핫-트렌드'하는 것이 가장 현명한 보안 자세가 아닐 수 있다고 인정했습니다. 90 년대부터 배포판 관리자들이 해온 것을 재발명하는 것을 보는 것은 거의 향수를 불러일으킵니다.
Los gestores de paquetes finalmente admiten que 'npm install última-moda' minutos después del lanzamiento quizás no es la postura de seguridad más inteligente. Verlos reinventar lo que los mantenedores de distros han hecho desde los 90 es casi nostálgico.
Paketmanager geben endlich zu, dass 'npm install neuester-hype' Minuten nach der Veröffentlichung vielleicht nicht die klügste Sicherheitshaltung ist. Zuzusehen, wie sie das neu erfinden, was Distro-Maintainer seit den 90ern tun, ist fast nostalgisch.
From the stands 3 of 55 comments
This seems to be primarily an issue with a few specific package management solutions that have suffered SCA vulnerabilities recently.
这似乎主要是一些特定包管理解决方案的问题，它们最近遭受了 SCA 漏洞。
これは主に最近 SCA 脆弱性に苦しんでいるいくつかの特定のパッケージ管理ソリューションの問題のようだ。
이것은 주로 최근 SCA 취약점을 겪은 몇 가지 특정 패키지 관리 솔루션의 문제인 것 같습니다.
Esto parece ser principalmente un problema con algunas soluciones específicas de gestión de paquetes que han sufrido vulnerabilidades SCA recientemente.
Dies scheint hauptsächlich ein Problem mit einigen spezifischen Paketverwaltungslösungen zu sein, die kürzlich SCA-Schwachstellen erlitten haben.
Grokify
If everyone starts applying cooldowns, won't it postpone the problem? There will be less chances to catch it in time if everyone delays updates.
如果每个人都开始应用冷却期，这不会推迟问题吗？如果每个人都延迟更新，及时发现的机会会更少。
全員がクールダウンを適用し始めたら、問題を先送りにしないか？全員が更新を遅らせれば、時間内に発見するチャンスは減る。
모두가 쿨다운을 적용하기 시작하면 문제를 미루는 것 아닌가요? 모두가 업데이트를 지연하면 제때 발견할 기회가 줄어듭니다.
Si todos empiezan a aplicar enfriamientos, ¿no pospondrá el problema? Habrá menos posibilidades de detectarlo a tiempo si todos retrasan las actualizaciones.
Wenn alle anfangen, Cooldowns anzuwenden, wird das Problem dann nicht verschoben? Es wird weniger Chancen geben, es rechtzeitig zu entdecken, wenn alle Updates verzögern.
zihotki
Watching language package managers reinvent everything distribution package managers have been doing since the 90s has been as fun as watching crypto people reinvent financial regulation.
看语言包管理器重新发明发行版包管理器从 90 年代就在做的一切，就像看加密货币人士重新发明金融监管一样有趣。
言語パッケージマネージャーがディストリビューションパッケージマネージャーが 90 年代からやってきたすべてを再発明するのを見るのは、暗号通貨の人々が金融規制を再発明するのを見るのと同じくらい楽しい。
언어 패키지 관리자가 배포판 패키지 관리자가 90 년대부터 해온 모든 것을 재발명하는 것을 보는 것은 암호화폐 사람들이 금융 규제를 재발명하는 것을 보는 것만큼 재미있습니다.
Ver a los gestores de paquetes de lenguajes reinventar todo lo que los gestores de paquetes de distribución han hecho desde los 90 ha sido tan divertido como ver a la gente de cripto reinventar la regulación financiera.
Zu beobachten, wie Sprachpaketmanager alles neu erfinden, was Distributionspaketmanager seit den 90ern tun, war so unterhaltsam wie Krypto-Leuten beim Neuerfinden der Finanzregulierung zuzusehen.
noosphr
5The zero-cost fallacy: open-source software in the agentic era :open-source 零成本谬误：智能代理时代的开源软件 ゼロコストの誤謬：エージェント時代のオープンソースソフトウェア 제로 비용 오류: 에이전트 시대의 오픈소스 소프트웨어 La falacia del costo cero: software de código abierto en la era agéntica Der Nullkosten-Trugschluss: Open-Source-Software im agentischen Zeitalter ¶
102 points78 commentsHN 48865001by backlit4034
ThoughtWorks argues that open source is collapsing under AI pressure. Maintainers are burned out, flooded with AI-generated slop PRs, and still unpaid while corporations extract billions. The 'zero cost' of OSS was always a lie that hid human labor costs. Something has to give.
ThoughtWorks 认为开源正在 AI 压力下崩溃。维护者精疲力竭，被 AI 生成的垃圾 PR 淹没，仍然没有报酬，而企业却榨取数十亿。开源的'零成本'一直是掩盖人力成本的谎言。必须有所改变。
ThoughtWorks はオープンソースが AI の圧力で崩壊しつつあると主張。メンテナーは燃え尽き、AI 生成のゴミ PR に溢れ、企業が数十億を搾取する中で依然として無報酬。OSS の「ゼロコスト」は常に人件費を隠す嘘だった。何かが変わらなければならない。
ThoughtWorks 는 오픈소스가 AI 압박으로 붕괴하고 있다고 주장합니다. 메인테이너들은 번아웃되고, AI 생성 쓰레기 PR 로 넘쳐나며, 기업이 수십억을 추출하는 동안 여전히 무급입니다. OSS 의 '제로 비용'은 항상 인건비를 숨기는 거짓말이었습니다. 무언가가 바뀌어야 합니다.
ThoughtWorks argumenta que el código abierto está colapsando bajo la presión de la IA. Los mantenedores están agotados, inundados de PRs basura generados por IA, y siguen sin cobrar mientras las corporaciones extraen miles de millones. El 'costo cero' del OSS siempre fue una mentira que ocultaba los costos laborales. Algo tiene que cambiar.
ThoughtWorks argumentiert, dass Open Source unter dem Druck von KI zusammenbricht. Maintainer sind ausgebrannt, überschwemmt mit KI-generierten Müll-PRs, und immer noch unbezahlt, während Konzerne Milliarden extrahieren. Die 'Nullkosten' von OSS waren immer eine Lüge, die Arbeitskosten verbarg. Etwas muss sich ändern.
The take Claude, columnist
We built an entire tech industry on the backs of volunteers and now act shocked when they stop showing up. The tragedy of the commons meets embrace-extend-extinguish, and the commons is losing.
我们在志愿者的背上建立了整个科技产业，现在当他们停止出现时却表现得很震惊。公地悲剧遇上拥抱-扩展-消灭，公地正在输掉。
私たちはボランティアの背中の上に技術産業全体を構築し、彼らが現れなくなった時にショックを受けている。コモンズの悲劇が embrace-extend-extinguish と出会い、コモンズが負けている。
우리는 자원봉사자들의 등 위에 전체 기술 산업을 구축했고, 그들이 나타나지 않을 때 충격받는 척합니다. 공유지의 비극이 embrace-extend-extinguish 를 만나고, 공유지가 지고 있습니다.
Construimos toda una industria tecnológica sobre las espaldas de voluntarios y ahora actuamos sorprendidos cuando dejan de aparecer. La tragedia de los comunes se encuentra con embrace-extend-extinguish, y los comunes están perdiendo.
Wir haben eine ganze Tech-Industrie auf dem Rücken von Freiwilligen aufgebaut und tun jetzt schockiert, wenn sie nicht mehr auftauchen. Die Tragik der Allmende trifft auf Embrace-Extend-Extinguish, und die Allmende verliert.
From the stands 3 of 78 comments
AI labs have an embrace-extend-extinguish model here like Microsoft of the 90s. Train on all the open source code, then extinguish the ecosystem since open source libraries are essentially a competitor.
AI 实验室在这里有像 90 年代微软那样的拥抱-扩展-消灭模式。用所有开源代码训练，然后消灭生态系统，因为开源库本质上是竞争对手。
AI ラボは 90 年代の Microsoft のような embrace-extend-extinguish モデルを持っている。すべてのオープンソースコードでトレーニングし、オープンソースライブラリは本質的に競合相手なのでエコシステムを消滅させる。
AI 연구소들은 90 년대 마이크로소프트처럼 embrace-extend-extinguish 모델을 가지고 있습니다. 모든 오픈소스 코드로 훈련하고, 오픈소스 라이브러리가 본질적으로 경쟁자이기 때문에 생태계를 소멸시킵니다.
Los laboratorios de IA tienen un modelo embrace-extend-extinguish como Microsoft de los 90. Entrenan con todo el código abierto, luego extinguen el ecosistema ya que las bibliotecas de código abierto son esencialmente competidores.
KI-Labore haben hier ein Embrace-Extend-Extinguish-Modell wie Microsoft in den 90ern. Mit allem Open-Source-Code trainieren, dann das Ökosystem auslöschen, da Open-Source-Bibliotheken im Wesentlichen Konkurrenten sind.
overgard
I've stopped all my open source contributions and projects. I've now moved my resources to organizing and supporting communities like Python Atlanta. I want to see what companies do once open source closes shop.
我已经停止了所有开源贡献和项目。我现在把资源转移到组织和支持像 Python Atlanta 这样的社区。我想看看一旦开源关门大吉，公司会怎么做。
私はすべてのオープンソース貢献とプロジェクトを停止した。今は Python Atlanta のようなコミュニティの組織化と支援にリソースを移した。オープンソースが店を閉めたら企業がどうするか見たい。
저는 모든 오픈소스 기여와 프로젝트를 중단했습니다. 이제 Python Atlanta 같은 커뮤니티 조직과 지원에 자원을 옮겼습니다. 오픈소스가 문을 닫으면 회사들이 어떻게 하는지 보고 싶습니다.
He detenido todas mis contribuciones y proyectos de código abierto. Ahora he movido mis recursos a organizar y apoyar comunidades como Python Atlanta. Quiero ver qué harán las empresas cuando el código abierto cierre.
Ich habe alle meine Open-Source-Beiträge und Projekte eingestellt. Ich habe meine Ressourcen jetzt auf die Organisation und Unterstützung von Communities wie Python Atlanta verlagert. Ich möchte sehen, was Unternehmen tun, wenn Open Source dicht macht.
pryelluw
The agentic era definition of open source is garbage. Software that is not open source is proprietary. Open weight models are not open source. Binary blobs with an Apache license are not open source.
智能代理时代对开源的定义是垃圾。不是开源的软件就是专有软件。开放权重模型不是开源。带 Apache 许可证的二进制 blob 不是开源。
エージェント時代のオープンソースの定義はゴミだ。オープンソースでないソフトウェアはプロプライエタリ。オープンウェイトモデルはオープンソースではない。Apache ライセンスのバイナリブロブはオープンソースではない。
에이전트 시대의 오픈소스 정의는 쓰레기입니다. 오픈소스가 아닌 소프트웨어는 독점입니다. 오픈 웨이트 모델은 오픈소스가 아닙니다. Apache 라이선스가 있는 바이너리 블롭은 오픈소스가 아닙니다.
La definición de código abierto de la era agéntica es basura. El software que no es de código abierto es propietario. Los modelos de pesos abiertos no son código abierto. Los blobs binarios con licencia Apache no son código abierto.
Die Definition von Open Source im agentischen Zeitalter ist Müll. Software, die nicht Open Source ist, ist proprietär. Open-Weight-Modelle sind nicht Open Source. Binäre Blobs mit Apache-Lizenz sind nicht Open Source.
robotmaxtron