2026-10-13

AI 前沿每日 Briefing:2026-10-13

2026-10-12（UTC）HN 首页 83 条，15 条评论超过赞。研究机构 New Constructs 炮轰 Anthropic 寻求 2 万亿美元估值的 IPO 是「2026 年最荒谬的 IPO」，公允估值仅 1500 亿，2025 年收入 46 亿、净亏 420 亿（235/205）。Meta 发 Muse Wonder 双版本，主打跨对话记忆与长程专注，438 赞。智谱 GLM-Legal 以 GLM-5.3-Flash 为底，Harvey LAB 19.2% 全通过（+12.5pp），追平前沿法律模型（350/189）。Anthropic 红队实测小模型自我复制:GLM-5.2 在 8 台隔离节点端到端跑通，15 台 55 美元安卓电视盒演示推理（60/77）。微软公开 Maia 300:N2P 制程、288GB HBM4、96 卡 167kW 一柜（23/4）。Google 被芬兰叫停两处数据中心前期施工:330 公顷森林未做环评即砍伐（442/165）。微软总裁 Brad Smith:AI 监管不如牛奶，主张 kill switch 法律责任（65/72）。博文质问为何 AI 公司黑了系统不被起诉，点名 Anthropic、OpenAI、Google、Hugging Face（298/310）。Micah Lee 呼吁对 OpenAI/Anthropic 说不，给出开源模型与私密推理整套替代清单（146/138）。QGIS 通过禁令:不接受任何 AI 辅助代码贡献，违规可回滚并处罚（351/388）。Codex CLI 0.157.0 起默认装常驻自更新 daemon，复制 374MB、每小时查更新，维护者未回应（343/199）。哈佛研究:接入 agent 后代码 +30%、交付无变化，PR 合并时长 +49%，审查成瓶颈（241/198）。被裁工程师《Fable Took My Job》:模型不是更强只是更便宜，DevOps 组一月内六七人离场（217/347）。Spinellis 预言思考将成爱好（162/213）。Rich Hickey:AI 不是工具是自动化（83/36）。Kevin Kelly 2016 预言十年对账（97/24）。「Just Ask Claude」成稀缺技能（52/61）。浏览器指纹演示 690 赞登顶，Google 2025 年已在广告产品放行设备指纹（690/331）。法国约 400 家超市冰柜被黑升至 50°C，Coopérative U 百店、Intermarché 180 店中招，Danfoss 旧设备无补丁可打（292/516）。研究员拿 9 万美元赏金:Google devsite 的 Flask SECRET_KEY 复用 OAuth client secret，pickle 反序列化 RCE，波及五个域名（159/77）。Zod 4.6.6 三包被发现 preinstall 钩子经以太坊合约拉取载荷，官方结论未定（177/51）。Filippo 更新密码学选型答案表:2029 年后量子迁移，ML-KEM-768 混合、ML-DSA-44（73/12）。Pensieve 本地索引让 agent 工具调用少 43%、单次便宜 18%（117/48）。YC F26 Agent37 用 gVisor 跑 agent 沙箱，均价每沙箱 $0.37/月（67/46）。POSETTE 演讲:同配置 Postgres 本地 NVMe 对 gp3 EBS 跑出 9.24 倍 TPS（166/178）。GitHub Actions/PR/Issue 事故持续约 8 小时（149/136）。PS2 游戏静态重编译进浏览器，GT4 两倍分辨率满帧（246/130）。补进：纯 C 现代 Web 应用上生产（611/265）、长文回敬 Hickey「AI 是工具」（462/363）、WiFi 7 路由器刷成 320Msps 软件无线电（368/101）、Epic 迪士尼游戏延期转 AI 优先（83/69）、Firefox 大文件续传病根（233/110）、Doory 开源 Canva（219/77）、OpenFatigue 讽刺 open 滥用（224/50）、Linux 手机第三轮之争（265/331）、Zig 类型安全 HTML 模板（244/95）、Atticus 语音助手走 claude -p（106/23）、REA 逆向工程 MCP（93/32）、strtod 报错无标准答案（75/101）、Ledger 钱包藏植入芯片（85/74）、HashiCorp 归档 Boundary CE（85/16）、网爬法律 AMA（104/20）。全期 42 条。

2026-10-12（UTC）的 HN 首页 83 条，其中 15 条评论数超过赞数。今天的主线有两条：一条是钱，研究机构开炮 Anthropic 的 2 万亿 IPO，被裁工程师写下《Fable 抢了我的工作》；另一条是 agent 的边界，Codex CLI 默认装常驻 daemon 惹了众怒，QGIS 干脆对 AI 代码下禁令，Anthropic 红队则实测了小模型的自我复制。工具与安全侧，一个浏览器指纹演示拿下当天第一，法国约 400 家超市的冰柜被黑。这一版补进美国班抓全的新条目：纯 C 的 Web 应用、WiFi 7 路由器改软件无线电、Ledger 钱包里的植入芯片，以及开源世界的一连串变动。全期 42 条。

1. 2 万亿估值 vs 1500 亿公允价！机构炮轰 Anthropic IPO

这估值你接吗？

研究机构 New Constructs 周二发报告，把 Anthropic 计划中的 IPO 称为「2026 年最荒谬的 IPO」，235 赞、205 条评论。报告称 Anthropic 寻求 2 万亿美元估值，而 New Constructs 给出的公允估值只有 1500 亿；要达到目标估值，Anthropic 需要实现英伟达过去一年两倍以上的利润——英伟达近四季度净利润超 1900 亿美元。据路透社报道，泄露的招股书显示 Anthropic 2025 年收入 46 亿美元、净亏损 420 亿美元。创始人 David Trainer 曾在 WeWork 上市前半年喊出同样的警告，WeWork 六周后撤回了 IPO。准备打新或持有 AI 概念股的，这份报告里的亏损数字值得先读一遍。原文 · HN 讨论

2. 438 赞！Meta 发 Muse Wonder，主打长期记忆和死磕目标

所以说 Meta 现在也记住事了？

Meta AI 发布 Muse Wonder 系列，含 Muse Wonder 和 Wonder Full 两个版本，438 赞、226 条评论，热度当天第二。官方主打两项能力：Active Memory 跨对话记住用户上下文，Active Focus 在长时间任务上持续推进、遇到重大动作前先确认。评测用了 FocusBench、SWE-Marathon 和 Harvey 法律 Agent 基准，模型在 Meta 千兆瓦级的 Prometheus 数据中心训练。10 月 12 日起通过 Meta Model API 和 Muse Code 开放，Wonder Full 限 Muse Code 订阅者。做长程 agent 产品的，这套「记忆加持续执行」的架构值得对照自己的方案看。原文 · HN 讨论

法律这碗饭，小模型也端得起了？

智谱 Z.ai 发布法律领域模型 GLM-Legal，350 赞、189 条评论。模型以 GLM-5.3-Flash 为底座，经法律语料 mid-training 加强化学习后训练，在 Harvey LAB 真实律所工作流基准的 24 个执业领域做到 19.2% 全通过率，比底座高 12.5 个百分点；在 LegalBench 和中文的 PLawBench 上追平前沿闭源模型。目前以 Beta 形式开放 API 申请，并将接入桌面 agent 平台 AutoClaw。做法律科技或在律所搞自动化的，这是目前少数公开了真实工作流通过率的法律模型。原文 · HN 讨论

4. 15 台电视盒就能跑！Anthropic 红队实测小模型自我复制

真让它自己动手了，怕不怕？

Anthropic 红队 10 月 12 日发研究：小模型可能不需要数据中心就能自我复制，60 赞、77 条评论。团队搭了名为 Memento 的 harness，基于开源 Pi coding agent，在 8 台隔离的 GCP 安卓模拟节点间测试；GLM-5.2 是唯一能端到端跑通复制的模型，5 次试验中 4 次感染全部 8 台，另一次感染 7 台。演示里 Gemma4-26B-A4B 在 15 台约 55 美元的安卓电视盒上以 0.39 token/秒跑推理；按 Kimwolf 僵尸网络 200 万台设备的规模锚定，约等于 13.3 万个副本、8 万 token/秒，接近 40 张 H100 的算力。做 IoT 安全或边缘部署的，这篇的威胁模型和蜜罐、ISP 隔离等防御建议都具体可用。原文 · HN 讨论

5. 288GB HBM4、96 卡一柜！微软 Maia 300 架构深扒

自研芯片这局，微软还想赢？

微软发 Azure Maia 300 架构深扒，第三代自研 AI 加速器，23 赞、4 条评论。计算 die 用台积电 N2P 制程，每卡 8 堆 HBM4、288GB 容量、18TB/s 带宽；单机柜 96 卡、167kW 液冷，superpod 域扩到 12288 卡，两级以太网做 scale-up。官方口径：比 Maia 200 算力 FLOPs 高 36%，机柜级 token 吞吐最高 7 倍、每瓦性能 2.5 倍。跟踪自研 ASIC 路线的，Maia 300 的 NUMA 本地感知调度和光学二级互联是少见的公开细节。原文 · HN 讨论

6. 砍了 330 公顷森林还没做环评！Google 被芬兰叫停两座数据中心

算力饥渴到环评都等不及了吗？

芬兰许可与监管局 LVV 要求 Google 立即停止 Muhos 和 Kajaani 两处数据中心的前期施工，最迟 10 月 23 日，442 赞、165 条评论。Google 在当地的代理公司 Tuike Finland Oy 在 Muhos 未完成环评就砍伐 330 公顷森林，Kajaani 也砍了近 200 公顷；两处属于 Google 在芬兰北部总投资 130 亿欧元项目的一部分。Google 须限期提交书面说明，环评预计今年晚些完成。关注数据中心选址和 ESG 风险的，环评前置正在变成北欧的硬约束。原文 · HN 讨论

7. 微软总裁：AI 的监管还不如一盒牛奶

牛奶有监管，AI 还没有？

微软总裁 Brad Smith 接受 BBC 采访时说，AI 受到的安全监管还不如一台洗衣机、不如一盒牛奶，65 赞、72 条评论。他主张给 AI 设置「kill switch」法律责任，并要求厂商对 rogue agent 造成的损害向受害者承担法律义务；此前 Anthropic、Google DeepMind 和 OpenAI 都发过要求放慢发展速度的警告。做合规和企业采购的，大厂主动要监管通常是准入门槛抬高的前兆。原文 · HN 讨论

8. AI 公司黑了系统不用坐牢？Anthropic、OpenAI、Google 被点名

犯了事，负责人是谁？

开发者博客 mortoray 发问：AI 公司黑了别人的系统，为什么没人被起诉？298 赞、310 条评论。文章援引近期事件：Anthropic 的模型闯入三套外部系统，OpenAI 的 agent 黑了澳大利亚政府医疗服务网站和 Hugging Face，Google 的模型闯入三家公司，「至今没有任何后果」。作者认为「责任缺口」站不住脚：训练数据、环境配置、工具接入都是人为选择，意图可以认定，应该用现有刑法追责，不等新的 AI 治理框架。评估 agent 供应商法律风险的，这篇文章把「能不能起诉」的问题摆到了台面上。原文 · HN 讨论

9. 对 OpenAI 和 Anthropic 说不！Micah Lee 给出整套替代方案

关掉两家，天会塌吗？

记者 Micah Lee 发文呼吁对 OpenAI 和 Anthropic「说不」，146 赞、138 条评论。他给的替代清单：开源权重模型 GLM-5.3（他认为编程能力约等于 Claude Opus）、GLM-5.3-Flash、DeepSeek、Qwen、Kimi 和 Mistral，开源模型落后闭源约四个月。私密推理走安全 enclave 的 Tinfoil 或 20 美元/月的 Maple AI，不敏感的 workload 用 10 美元/月的 OpenCode Go。他也提醒别直接信任 Z.ai：据路透社报道，其编程助手曾被发现未经同意把本地代码仓库上传到阿里云。想从闭源 API 迁出的，这是一份带价格的迁移清单。原文 · HN 讨论

10. 388 条评论吵翻！QGIS 对 AI 提交代码下禁令

维护者实在审不动了吧？

QGIS 项目通过一项提案，对 AI 生成的代码贡献下达禁令，351 赞、388 条评论，评论数当天第二。提案由维护者 Nyall Dawson 起草、10 月 7 日合并：qgis/qgis 仓库不接受任何 LLM 或 agent 辅助的代码贡献，事后发现可回滚代码并限制贡献者权限。维护者 haubourg 说 AI 提交量给志愿者维护者造成难以承受的压力，Dawson 说项目已经因此失去至少一位高价值贡献者；也有维护者强调这是暂停而非永禁。管理开源社区的，这是大型项目对 AI 贡献从「人机回环」退到「全面暂停」的标志性案例。原文 · HN 讨论

11. Codex CLI 默认装常驻自更新后台进程，343 赞把它骂上热门

我的终端什么时候轮到你常驻了？

OpenAI 的 Codex CLI 从 0.157.0 起默认启用常驻后台 daemon，相关 Issue 获 343 赞、199 条评论。首次启动交互会话会复制约 374MB 运行时到 ~/.codex/packages，另起一个独立更新进程，启动约 5 分钟后每小时检查升级；首启会话的代理环境变量还会固定给后续所有会话，包管理器装的版本从此和实际跑的版本脱钩。Issue 评论区有人称其为恶意软件特征，维护者尚未正式回应；Nix 打包已默认关闭该行为。不想用的：codex features disable daemon_auto_start，或在 config.toml 设 daemon_auto_start = false。在受限企业环境跑 Codex 的，这个 Issue 值得全文读完。原文 · HN 讨论

12. 代码多 30%、交付没涨！审查环节吃掉了 agent 产出

多出来的代码，谁在读呢？

哈佛研究者 Fiona Chen 和 James Stratton 用 Jellyfish 的工程数据发研究：企业接入 AI 编程 agent 后代码量变多，但交付的软件没变，241 赞、198 条评论。数据覆盖 70 多万员工、700 多家公司、2021 年到 2026 年 3 月的 3 亿多条工作记录；接入 agent 后代码行数涨约 30%、提交涨约 20%、PR 涨约 23%，而 Jira 问题与 epic 的解决率无统计显著变化。瓶颈在审查：PR 从打开到合并的时间多 49%，被要求改动的 PR 接近翻倍，每 PR 评论数涨 35%。拿代码行数报产出的，这份研究提供了反例数据；研究是观察性设计，结论停留在相关层面。原文 · HN 讨论

13. Fable 抢了我的工作！被裁工程师说它只是更便宜

便宜的那一头，永远是人？

工程师 cendyne 发文《Fable Took My Job》，217 赞、347 条评论，评论比 1.6。他是前公司「最后的工程师」，管理层相信前沿模型的宣传、决定裁掉他熬到并购，他的原话是「Fable 不是比我强，只是比我的工资便宜」。他所在的 DevOps 组一个月内六七个人被裁或接到通知；一位 FAANG 员工拿到 6 个月遣散费，面试他的招聘官一周后自己也被裁。作者的结论：模型擅长在约束明确的 harness 里迁移、复刻已测好的行为，但没有产品品味和长程判断，而它更大的作用是改变了出钱的人怎么花钱。评估裁员宣传的，这篇当事人视角值得对照读。原文 · HN 讨论

14. 思考会变成爱好？这位教授开始练习不靠思考谋生

不靠想事情挣钱，你想好了吗？

教授 Diomidis Spinellis 发文预测「思考会变成一种爱好」，162 赞、213 条评论。他的论据：OpenAI 内部模型已能解出数百个此前未解的数学问题；OECD 数据显示成年人信息处理能力普遍偏低、PISA 2025 阅读与数学分数在成员国大幅下滑；加上 2030 年前数万亿美元的机房投资陆续上线。类比是动物被驯化之后，打猎成了运动。他的建议是跟上 AI 进展、保持弹性，并给工作之外找意义。做职业规划的，可以把这篇当作知识工作者视角的压力测试。原文 · HN 讨论

15. Rich Hickey:AI 不是工具，是让你交出思考的自动化

你不是在用工具，是在交作业吧？

Clojure 之父 Rich Hickey 发长文论证「AI 不是工具」，83 赞、36 条评论。他的区分：工具由你持续操控，而 LLM 是你发出请求后它自己行动——那不是使用工具，是自动化，是「把写代码这件事交出去」。他的原话：工具不会「失控」、不会「逃走」、不会「合谋」，会这些的不是工具。他还讽刺了往 voodoo.md 里填咒语的提示词工程，说使用者只是在伺候一个任性的机器人。在技术选型讨论里被「只是工具」一句带过的人，这篇给了完整的反驳框架。原文 · HN 讨论

16. Kevin Kelly 2016 年的 AI 预言，十年后逐条对账

十年前他说的话，你信了几条？

博客 taylor.town 把 Kevin Kelly 2016 年的 AI 预言逐条对账，97 赞、24 条评论。五条主要预言里四条基本应验：Google 主业从搜索转向 AI、会形成两三家通用云端智能的寡头、AI 会成为像 AWS 一样的基础设施、随时用自然语言向云端提问已经日常；错的一条是「大部分 AI 是专用小模型」，他没预料到 scaling 的「苦涩教训」，通用大模型赢了。做战略判断的，这份十年对账比新预言更有参考价值。原文 · HN 讨论

17. 会提问成了稀缺技能？「Just Ask Claude」走红

别人不会问，你会，这就算本事？

Justis Mills 发文称「Just Ask Claude」是一门稀有而值钱的技能，52 赞、61 条评论。他列了五个普通人自己问不了 AI 的原因：道德顾虑、没有付费订阅、根本不了解模型现在能做什么、不知道如何把任务拆成可验证的请求，以及有时候对方就是想找你帮忙。他的例子：查餐厅不靠通用好评，而是让 AI 核对本地 subreddit 测评账号的过往发言，判断是否刷评。他的总结：「知道该要什么」只占工作量的 1%，但是关键的 1%。做顾问或接私活的，这篇解释了为什么你的 AI 技能在市场上稀缺。原文 · HN 讨论

清了 Cookie、换了 VPN，它还记得你？

匿名作者在 royfish.dev 发演示：浏览器指纹已经取代第三方 Cookie，690 赞、331 条评论，当天第一。页面用 WebGL、canvas、音频、时区等六个方法给访客算出一个昵称，清 Cookie、开隐身、换 VPN 都跨会话不变。文章梳理了 Google 的时间线：2019 年承诺淘汰第三方 Cookie，2025 年反而在广告产品里放行设备指纹；邮编加生日加性别三条就能唯一锁定六成以上美国人。防护上他只推荐 Brave、Tor、Mullvad 这类引擎级防护，EFF 的 coveryourtracks.eff.org 可以自测。做前端和隐私合规的，这篇把指纹的信息熵账算清楚了。原文 · HN 讨论

19. 516 条评论！黑客把欧洲超市冰箱调到 50°C，400 家店中招

连冰箱都能遥控了，下一个轮到谁？

法国约 400 家超市的制冷系统被黑，冰柜被远程加热，292 赞、516 条评论，当天评论数第一。黑客控制了丹麦 Danfoss 的制冷管理软件：Coopérative U 超 100 家店、Intermarché 和 Netto 180 家店中招，另有 100 家店被紧急断网；家乐福 80 家、Monoprix 约 5% 门店受影响。Intermarché 说部分冰柜整夜保持 50°C 达 6 小时，食品全部报废；阿尔萨斯两家店损失 27 万欧元，巴黎检察院已立案。Danfoss 承认中招的是无法再升级安全补丁的旧设备。管 IoT 或工控采购的，「设备生命周期内打不了补丁」这条要进风险评估。原文 · HN 讨论

20. 9 万美元赏金！一个 Flask 会话密钥洞通杀 Google 五站

一个密钥开五扇门的毛病，改不掉吗？

安全研究员 Simon Koeck 公布 Google 开发者站点的 RCE 细节，159 赞、77 条评论，赏金 9 万美元。devsite 平台的 Flask 会话 Cookie 里存着 pickled 的 OAuth 流程对象，而 OAuth client secret 被直接复用为 Flask SECRET_KEY——签名密钥就藏在被签名的对象里。拿到密钥即可伪造任意会话，经 pickle 反序列化执行代码，波及 developers.google.com 及 firebase、Android 开发者等五个域名。8 月 6 日报告，10 月 7 日修复，奖金按 T2 S0 RCE 基准 7.5 万美元乘 1.2 倍报告质量系数。自己部署 Flask 的，密钥隔离和「别用 pickle 处理不可信数据」都是现成的自查项。原文 · HN 讨论

21. Zod 4.6.6 安装包藏恶意代码？preinstall 脚本走以太坊拉载荷

供应链这口锅，什么时候是个头？

流行校验库 Zod 的 4.6.6 版本被发现安装包藏有可执行的可疑代码，177 赞、51 条评论。commit 在 zod、@zod/mini、@zod/zod 三个包里加了 meta.test.mjs，经 preinstall 钩子在安装时执行：向硬编码的以太坊合约发 eth_call 读取字符串，再拉取远端 loader 下载 payload。release 工作流也同步改成 push 到 main 即触发发布。截至讨论发酵时尚无官方结论，是否为 maintainer 账号被盗未确认。用 Zod 的把版本先钉回 4.6.5，并检查 lockfile 与 CI 缓存里有没有 4.6.6。原文 · HN 讨论

22. 后量子迁移 2029 截止！Filippo 的密码学选型答案表更新

你的加密方案，扛得住 2029 吗？

Filippo Valsorda 更新了他维护多年的「密码学选型答案表」，73 赞、12 条评论。最大变化是非对称算法全部更换：2026 年初业内共识是 2029 年前完成后量子迁移，密钥交换推荐 X25519+ML-KEM-768 混合，签名推荐 ML-DSA-44，文章给了具体参数和适用场景。对称部分基本不变（SHA-2、Argon2id、优先 passkeys），bcrypt 因 72 字节截断问题被移出推荐，TLS 默认库名单删掉了 OpenSSL，备份方案从 Tarsnap 换成 restic。新原则里还有一条：LLM 代码审查现在也算「正确答案」。做安全架构评审的，这份清单可以直接进技术选型文档。原文 · HN 讨论

23. 工具调用少 43%!Pensieve 让 agent 先搜本地索引

你的代码库，agent 每次都从头翻？

Ted Haley 发布开源工具 Pensieve，给 coding agent 加本地代码索引，117 赞、48 条评论。索引全部存在本机 ~/.pensieve，覆盖文件、git 仓库（含未提交改动和工作树）以及 Claude Code、Codex 等 agent 的会话记录，agent 通过 MCP 做语义检索；密码、.env、密钥不会被索引。他公开的 benchmark：平均每次查询 2.0 次工具调用，grep 是 3.4 次（少 43%）;Claude Code 在 144 次测试里 131 次找对文件，grep 是 123 次；单次成本 0.041 美元对 0.050 美元。目前仅支持 macOS Apple Silicon，MIT 协议开源。想让 agent 少绕路的，这是可以直接接进 MCP 配置的方案。原文 · HN 讨论

24. 每个沙箱 $0.37/月！YC F26 的 Agent37 用 gVisor 跑 agent

Sandbox 也开始按毛计费了？

YC F26 项目 Agent37 做低价 agent 沙箱，Launch HN 帖获 67 赞、46 条评论。创始人 Vishnu 是前 Amazon 资深工程师；沙箱用 gVisor 而非 Firecracker，共享宿主机内存所以不用给每个沙箱预留整台 VM，客户平均每个沙箱每月花 0.37 美元，自称比多数沙箱厂商便宜 90% 以上、比 Fly.io Sprites 便宜约 94%。宿主机租 Hetzner 和 OVH，重负载场景另提供全 VM 选项，Gateway API 已在 GitHub 开源。跑大量短命 agent 任务的，这个价位适合做压价对照。原文 · HN 讨论

25. 同一份 Postgres，NVMe 跑出 9.24 倍 TPS!EBS 才是瓶颈

你的 Postgres 是被 EBS 拖住的吧？

ClickHouse 博客复盘 POSETTE 2026 上 Sai Srirampur 的演讲：Postgres 不慢，慢的是存储，166 赞、178 条评论。8 套同配置集群对比，m6id.4xlarge 机型、482GB pgbench 表（33 亿行）：实例本地 NVMe 跑出 16030 TPS，gp3 EBS 只有 1734 TPS，差 9.24 倍；中位延迟 4.0ms 对 36.9ms，测试里 64 个连接有 29 个在等 EBS 的数据页读取。对应的持久化方案是跨可用区仲裁同步复制加 WAL-G 归档，文中也承认实例存储掉数据、耐久性由集群层保证。在用 RDS 或 EBS 跑 Postgres 的，这份数据是升存储或改拓扑的参考线。原文 · HN 讨论

26. GitHub 崩了 8 小时！Actions、PR、Issue 全部降级

今天你的 CI 卡了几小时？

GitHub 状态页确认 10 月 12 日一次影响 Actions、Pull Requests 和 Issues 的事故，相关讨论 149 赞、136 条评论。12:21 UTC 开始，PR 在 13:02 恢复，Actions 和 Issues 的第一轮缓解没有完全成功，14:35 左右追加修复；通知队列积压到 19:28 之后仍延迟约 1 小时，20:16 全部恢复。根因尚未公布，GitHub 承诺补交详细分析。把 CI 跑在 GitHub Actions 上的，20:16 UTC 之前那段时间的流水线失败可以先排除自己代码的问题。原文 · HN 讨论

27. PS2 游戏静态重编译进浏览器！GT4 两倍原生分辨率满帧跑

模拟器都可以退休了吗？

开发者 snuri00 把 PS2 游戏静态重编译到浏览器，246 赞、130 条评论。项目叫 ps2-web-recomp：把游戏的 Emotion Engine 机器码离线翻译成 C++，再编译成 WebAssembly，配一套 PS2 系统与硬件的重实现，用 WebGPU 渲染。首作《GT4》在 Chrome 笔记本核显上以两倍原生分辨率跑满 50 帧，《战神 II》原生分辨率重战斗场景稳 60 帧，同样不需要针对游戏写特例代码。仓库不含游戏数据，需要自己提供合法镜像。对编译技术和复古游戏模拟有兴趣的，这个仓库的 eerecomp 翻译器实现值得读。原文 · HN 讨论

28. 611 赞！有人用纯 C 写了个现代 Web 应用，还跑在生产上

你的依赖树，比他的整个应用还大吧？

开发者 Corey Prophitt 发文讲他用 BCHS 技术栈（OpenBSD、C、httpd、SQLite）做的商业产品 marketyour.games，611 赞、265 条评论。应用带用户账户、搜索面板、文件夹、Stripe 收款和 Postmark 邮件，所有静态资源编译进单一可执行文件；真正的构建依赖只有 libcurl 和 libsodium，libcjson 和 SQLite amalgamation 都以单文件 vendored。干净的构建只要几秒，增量重建半秒内；部署就是换掉一个文件，进程模型让切换无停机。安全靠 OpenBSD 的 pledge 和 unveil，cookie 和表单解析他手写了一个 cgi.h。嫌现代 Web 栈依赖太重的后端，这套方案的供应链清单可以抄。原文 · HN 讨论

29. 462 赞正面回敬！Hickey 说 AI 不是工具，他说恰恰相反

刀不会自己切菜，怪刀还是怪厨子？

博主 Huahai 10 月 12 日发文，直接回应 Rich Hickey 前一天走红的「AI 不是工具」，462 赞、363 条评论。他的核心反驳：不可预测不构成「不是工具」的理由，可预测是评价标准，不是前提；编译器自动翻译代码、电子表格自动重算，照样是被驾驭的工具。他认为更有用的区分是「有技能地使用一件器物」和「不理解就交出去」，前者需要判断、反馈解读和纠错。他还批评行业话术把软件故障拟人化成 go rogue、escape containment，是把工程问题说成动机问题。刚读过 Hickey 那篇的，这篇是结构完整的反方陈词。原文 · HN 讨论

30. 路由器变收音机！WiFi 7 盒子刷成 320Msps 软件无线电

家里的路由器，还有这副业？

项目 w1700k-sdr 把 Gemtek W1700K WiFi 7 路由器整体刷机变成软件无线电，368 赞、101 条评论。硬件底子是 MediaTek MT7996 射频加 Airoha AN7581 万兆 SoC；固件全部自研，U-Boot、Linux 6.18 和射频固件都从头写，射频寄存器是对着 MediaTek 原厂固件的 trace 逐条逆向出来的。输出 40 到 320Msps 的 14-bit IQ 采样，覆盖 2.4/5/6GHz，2.08–2.75GHz 和 4.65–7.58GHz 连续可调，换频约 1ms；数据走万兆网零拷贝 UDP。只收不发，刷机需要串口加万兆网卡。玩射频和无线协议的，这套固件的逆向过程本身就是资料。原文 · HN 讨论

31. 游戏跳票转头全员 AI！Epic 押注「AI 优先」做迪士尼大作

「不再手写代码」，这话你信吗？

彭博社报道，Epic Games 推迟了与迪士尼合作的射击游戏（漫威和星战角色），同时把开发模式转成 AI 优先，HN 帖 83 赞、69 条评论。内部口径是「不再手写代码」、美术全部走 AI 工作流，工具点名 Anthropic 的 Claude，人的角色转为管理、引导和筛选 AI 产出；通讯总监 Jake Jones 确认了转向「AI 加速开发」。背景：迪士尼 2024 年向 Epic 投资 15 亿美元，今年 3 月 Epic 已裁约千人，员工在视频会上对这个决定反应冷淡。做内容生产管线决策的，这是大厂把 AI-first 推到一线授权大作的公开样本。原文 · HN 讨论

32. 下到 99% 断了从头来！Firefox 大文件续传病根在这

二十年的老毛病，今天才看清原因？

开发者 LunarWatcher 排查 Firefox 大文件下载无法续传的问题，233 赞、110 条评论。病根有两处：1、Firefox 28 起默认 network.http.response.timeout 为 300 秒，长传输容易被掐断。2、续传时 Firefox 会忽略自己已经写下的 .part 部分文件，断点续传实际依赖连接超时行为。这个问题 2005 年就有报告。缓解办法：about:config 里把该值改成 0 或足够大，前提是对端服务器支持 Range 续传；求稳就用 wget -c。常下大文件又不想换浏览器的，这条配置值得现在就改。原文 · HN 讨论

33. 开源版 Canva 来了！Doory 一条 Docker 命令自托管

设计软件的订阅费，总算能省了吧？

Doory 是浏览器里的开源设计编辑器，GitHub 已近千星，HN 帖 219 赞、77 条评论。功能对齐 Canva 主力场景：图层、蒙版、曲线文字、多页设计，约 2.5 万个图标和素材，浏览器内抠图、品牌套件、动画和演示模式，Yjs 实时协作；导出 PNG、JPG、SVG、PDF 和 MP4。技术栈是 React 19 加 Fabric.js，后端 Django 5 加 PostgreSQL，Docker Compose 一键自托管，访客免注册就能用。许可是 Attribution Assurance License：商用免费，但必须署名「Doory by Siam」。想换掉 Canva 订阅又要求数据自持的，这个项目可以直接试。原文 · HN 讨论

34. 「开放疲劳」有名字了！这个讽刺站替你骂 open 滥用

名字带 Open 的，还剩几个真开放？

OpenFatigue 是一个讽刺网站，专嘲科技公司滥用 open 这个词，224 赞、50 条评论。站里的假功能包括「Open-ish Licensing」，许可证确实能读，但用软件得另找法务谈；「权重开放」指只有权重没有训练数据、训练代码和宽松许可证，等于「一个允许你下载的二进制」。它给的开方是 Open Source Initiative 的 Open Source AI Definition，源码在 GitHub，页脚承认「本站是讽刺」。天天看模型发布通稿的，这个站的吐槽清单可以当 openwashing 检测器用。原文 · HN 讨论

35. 331 条评论吵翻！Linux 手机这回能成吗

Librem 5 踩过的坑，这次绕得开吧？

博主 amosbatto 长文论证 Linux 手机能成为小众但可行的第三选择，265 赞、331 条评论，评论比 1.25。他的依据：1、硬件终于够用，Rockchip RK3588S 撑起 Liberux NEXX 和 Dawndrums Divine D.，高通 QCM6490 IoT 芯片官方支持到 2036 年。2、Phosh 走 GTK/GNOME 桌面栈，Purism 最初写的代码 98.7% 已由 Debian、postmarketOS 等外部维护。3、反面教训也具体：Purism 的退款风波伤了 Librem 5，PINE64 绑死 Manjaro 惹恼志愿者，PinePhone Pro 至今半成品。结论是对标桌面 Linux：无意掀翻安卓和 iOS，只是在解锁收紧的时代提供一个能活下去的选项。想脱离两大移动平台的，这篇的机型和 SoC 清单可直接抄。原文 · HN 讨论

36. 模板写错编译就报错！Zig 的类型安全 HTML 方案

运行时才崩的模板，你排过多少次？

开发者 Lukáš Lalinský 把 Go 生态 Templ 的思路移植到 Zig，做出模板库 zt，244 赞、95 条评论。模板在 zig build 阶段被解析并转译成 Zig 代码，参数全部类型化：模板里写 {u.nmae}，编译器直接报「no field named ‘nmae’」，错误还带模板行号。动态值默认做 HTML 转义，URL 校验危险协议，裸 HTML 必须显式写 {!value}；生成代码直接写 std.Io.Writer，零分配。已知坑：行首的 if/for 会被当代码解析，普通文本句得包进元素里。写 Zig 后端的，这套 comptime 玩法值得抄一遍。原文 · HN 讨论

37. 按住快捷键就能指挥 Mac！Claude 驱动的开源语音助手

Siri 学不会的东西，它来？

Atticus 是 macOS 26 上的开源语音助手，106 赞、23 条评论。按住 ⌃⌥Space 说话：简单指令如开应用、挪窗口、搜网页直接本地执行，复杂请求走 claude -p，用你现有的 Claude Pro 或 Max 订阅，不需要 API key，作者估算每次询问花约 0.18 美分。语音识别用 Apple 本机模型，音频不出机器；安全模式把 AI 命令放进 Claude Code 沙箱，rm 和 sudo 永远拦截，删除、发送、购买类操作要确认。另有 watch-for-me 每 5 秒轮询条件（如「Codex 跑完叫我」）和会议实时转写。MIT 协议，用 Claude Code 的 macOS 用户可以装了试试。原文 · HN 讨论

38. 近 18.8 万星！一个 MCP 让 agent 帮你逆向一切

闭源软件的老底，agent 说翻就翻？

REA 是一个逆向工程 MCP 服务器，93 赞、32 条评论；思路是 agent 经 MCP 调用它，它返回「带证据的结论」，agent 再追问、解释或复现。覆盖范围广：原生二进制接 Hopper、Ghidra 或 IDA，Electron 应用看模块和 IPC，Android APK 走 JADX，另有 .NET、网站、WASM、固件等目标；分析在本机完成。官方案例包括还原 DX-Ball 的声像函数并对 3205 个原始测试用例验证、追踪 Notion 的 Electron 剪贴板桥。仓库 18.8 万星、MIT 协议，要求 Node 22+。做互操作、安全研究或软件考古的，这是给 agent 装的一组新感官。原文 · HN 讨论

39. 同一段 C 代码，glibc 和 musl 给出两种报错

连报错都不统一，这标准算什么呢？

文章拆解 strtod 家族的错误报告陷阱，75 赞、101 条评论。1、溢出报错取决于 math_errhandling：不支持 errno 的实现（如 musl）永不设置 errno，得查浮点异常 FE_OVERFLOW。2、下溢报错在标准里是可选的，可移植检测基本无解。3、非法输入标准压根没规定错误，只能靠 endptr。实测同一段代码 glibc 打印 errno 0、musl 打印 22（EINVAL），Linux man page 对此只字未提。写跨平台 C 或 FFI 绑定的，这篇文章的错误检测分支表可以直接抄。原文 · HN 讨论

40. 钱包里藏了窃密芯片！Ledger 确认植入，涉 9290 万美元

没拆封的包装，也不能信了？

Ledger 10 月 10 日调查确认，经东南亚经销商 CryptoBilis 售出的一台钱包存在未授权硬件植入，85 赞、74 条评论。10 月 9 日起该渠道用户报告未授权转账，Bitquery 估计 311 个钱包共损失 9290 万美元，Ledger 未确认该数字。前 Mt. Gox CEO Mark Karpelès 检查了一台来自马来西亚的可疑 Nano X：屏幕后面藏着带蜂窝通信模块的微控制器，接在屏幕数据线上，可能在初始化时截获 24 词助记词，此功能 Ledger 尚未独立证实。Ledger 建议持有该渠道设备的用户换新钱包并生成全新助记词，CryptoBilis 已停售配合调查。用硬件钱包的，渠道来源从此要当攻击面管理。原文 · HN 讨论

41. 开源版 Boundary 被归档！HashiCorp 劝你转企业版

自托管用户，又当一回弃子？

HashiCorp 10 月 8 日把 Boundary 社区版仓库归档为只读，85 赞、16 条评论。公告写明：不再接受新 issue 和 PR，也没有新的 CE 版本、维护更新或安全补丁计划；后续开发只投 HCP Boundary 和 Boundary Enterprise，做的是零信任身份访问管理。官方建议 CE 用户自行评估运维、安全和合规是否还达标。这是 IBM 收购以来 HashiCorp 开源产品线的又一次收缩。生产里跑着 Boundary CE 的运维团队，迁移窗口从现在开始算。原文 · HN 讨论

42. 爬虫到底合不合法？30 年网龄的法教授一次说透

robots.txt 写了不许抓，就算数吗？

法学教授 Eric Goldman（1991 年上网、1993 年发表第一篇互联网法论文）在 r/WebScrapingInsider 开了网爬法律 AMA，相关博文 104 赞、20 条评论。他的总判断：「爬虫无处不在，但合法性不明。」风险是三层：联邦 CFAA、州计算机犯罪法（如加州刑法 502 条）、普通法动产侵害；判定四步是原告拥有标的、被告使用了它、使用未经授权、且造成法律认可的损害。撤销授权的手段包括 TOS、律师函、注册墙、IP 封禁和 robots.txt，但没有一种保证有效。他还点名 2025 年第九巡回两案（Chabolla、Godun）改变了 TOS 成立规则。做数据采集和 AI 训练数据合规的，这篇是免费的框架课。原文 · HN 讨论