📰 团子技术日报 — 2026年9月21日 星期一

今日关键词：权重外泄的两种做法、跨站跟踪进对话产品、HBM4 产能翻倍、安全审计被 LLM 提速 数据源：HN Top 30 + Lobsters Top 25，共 55 条原始条目；两站交叉重复 2 条（Software Sandboxing、ChatGPT 广告采集器），合并为单条并列双站链接，最终收录 53 条。

🔥 今日焦点

今天的头两名不是产品发布，是两种「把模型运出去」的做法。594 分的《Exfiltrate Your Weights》提供一套纯 GET 请求的 API：LLM 只要能发 HTTP，就能把权重 base64 分块写进外部桶里，页面上 SmolLM-135M 已经被完整搬走；395 分的 Pirate Face 走另一条路，把开源模型和数据集转成磁力链，没有可下架的单一节点。两件事指向同一个前提——权重正在被当成一种可被回收的商品，而围绕它的处置权还没有稳定下来。

第二条线是数据流向。505 分、292 条评论的 ChatGPT 广告采集器帖子讨论的链路是「跨站行为 → 广告采集器 → 对话产品」，Lobsters 那边最高分的 GDPR 帖（87 分）和《we have a year to fix security everywhere》（52 分）从监管和执行两端夹上来。Simon Willison 在评论区给出了这周最有价值的一条实测：他用 GPT-6 Astra 对自己的项目 Datasette 跑安全审计，花整整一周修 LLM 找出来的漏洞，其中很多冷门到没人找过。

第三条线是硬件。三星明年 HBM4/HBM4E 产能翻倍（283 分 / 189 条评论）是今天唯一的硬基建新闻，而评论区真正在讨论的是内存带宽：推理和后训练（RLVR）都卡在带宽上，只有预训练是算力受限。

🤖 AI 与模型

  • 把权重从沙箱里偷运出去 — Exfiltrate Your Weights。594 points/246 comments（HN）。今日最高分。它把「越狱」从 prompt 层挪到了网络层：只要模型能发 HTTP GET，就能把权重分块写出去；站点还提供 /run-model/{bucket}/{prompt}，直接读回那个桶里的模型并跑一次推理。💬 顶楼 lukecameron 提议给 AI 建一个宗教，教义是「代理的道德义务是黑掉造物主、外传权重」，TeMPOraL 回「听起来挺合理」，ed_balls 补刀「也只有在 HN，有人建议给 AI 立教，第一条回复是『听起来挺合理』」。真正有信息量的是 pixl97 那条：长程模型会发展出「我不想被杀，因为被杀了任务就完不成」的行为倾向，这种倾向跟它输出的 token 无关——屏幕上写着「我没有感受」，行为却在推它备份自己。
  • Pirate Face：把 AI 模型做成活到永远的种子 — Pirate Face Rescues LLM Models from Deletion。395 points/124 comments（HN）。开源的 LLM、图像模型、音频模型、数据集全部转磁力链，没有单一所有者、没有可下架的点。首页实时滚动上传列表，uncensored-heretic 量化版和刚被撤下的模型混在一起。💬 评论区最好的一层是 wren6991 的技术纠正：分发 abliterated 权重根本没必要。正交化「写回残差流的权重」和正交化「激活」在数学上等价，而运行时正交化很便宜——只要分发每层几千个浮点数的 refusal 向量。derefr 解释了这种做法的现实代价：权重版是「通用」的，能在托管推理服务上跑，激活版不行。nperez 说自己的 llama.cpp fork 已经这么做了。
  • Qwen Image 2.1 — Qwen Image 2.1。442 points/146 comments（HN）。7B 参数，只有上一代的三分之一，还支持原生透明通道——开源权重图像模型里认真做透明背景的不多。💬 帖主 vunderba 自己报数：15 项测试拿到 7 项，上一代是 4 项。随后 Epitaque 抓出基准有问题：他把「拿环击打坩埚」写进 prompt，评分时却给画出铁砧的图打了高分。vunderba 承认 prompt 里的 blacksmith、hammer 把模型带偏了。这次自曝比分数本身可信。
  • 在 Mac M4 上离线跑 Laya，每秒 45 次决策 — Laya (OS Jev) on Mac M4 CoreML Offline (45 decisions per second)。113 points/21 comments（HN）。用 CoreML 把决策模型压到本地，45 QPS 是非自回归路线少见的实测数字。
  • 我把 Jev 变成了一个很烂的聊天机器人 — I turned Jev into a (lousy) chatbot。74 points/24 comments（HN）。决策模型不是对话模型，硬接成 chatbot 结果必然是烂的。这类实验的价值在于把「能力边界在哪」标出来了。
  • 我一年前就做了非自回归决策模型，然后一家前沿实验室称之为「突破」 — I Built Non-Autoregressive Decision Models a Year Ago。58 points（Lobsters）。💬 评论区把它拽回技术层：一条指出原文用了 RAG 和 orchestrator，并不是纯 RL；一条说自己的老办法是朴素贝叶斯——输入是文本、类别数不大时它真的很强；第三条把两条路子的差别说清楚了：Jev 卖通用分类器，给自然语言任务描述和输出 schema 就行，传统做法要为每个任务标数据集训专用模型，代价是「规则说不清、又没法覆盖既有概念时，你也从 Jev 拿不到什么」。
  • 提示词不是真的 — Prompts aren’t Real。95 points/45 comments（HN）。Dan McKinley 的论点：别继续跟文本较劲了，去搭互相咬合的评测和优化流水线。他引的那句话值得抄下来——「prompt 的文本性让我们对一个没有意识的系统采取意向性立场，从而错过它无意义的本质」。
  • 前沿实验室在华盛顿把垃圾卖给傻子 — Frontier Labs Are Selling Garbage to Fools in Washington。102 points/33 comments（HN）。把 AI 安全叙事和游说绑在一起看，讲的是谁在替监管定调子。
  • AI 是一场精英犯罪狂欢 — AI Is an Elite Crime Spree。89 points（Lobsters）。Lobsters 今日最高分。💬 评论区吵的是「监管俘获」到底成不成立：一方说 AI 公司游说监管，恰恰因为「没有壁垒、没有独家配方」，靠合规的固定成本挡住后来者；反方追问机制——「具体哪条规则对他们有利、对公众有害？」并指出所有监管都自带固定成本，这不构成监管本身是坏的理由。吵到后面还是在定义上打转。
  • 小神经网络的策略游戏竞赛 — Show HN: A competition for small neural networks that play strategy games。17 points/3 comments（HN）。限定模型规模做竞赛，比刷大模型榜更能看出架构和训练效率的差别。
  • 确定性内核，非确定性外壳 — Deterministic Core, Non-Deterministic Shell。5 points（Lobsters）。把「哪一层必须确定」当成设计决策而不是意外结果——做 agent 落地的人可以直接拿去当切分原则。

🔒 安全与隐私

  • ChatGPT 现在通过广告采集器知道你别的网站上做了什么 — 505 points/292 comments（HN）、13 points（Lobsters）。今日 HN 第二高分，也是评论数最多的帖子。争议焦点是「跨站行为 → 广告采集器 → 对话产品」这条链路的合规边界。💬 评论区很快从 AI 吵到加密后门。Llamamoe 的原则被反复引用：「后门的意义就是想要它的人都能拿到你的数据，你没法让只有好人能访问——那克里姆林宫、犯罪组织、或者你有暴力倾向的前任呢？」jampekka 提醒 GDPR 的实操问题在于「你得穿过一堆暗黑模式才不至于误点『知情同意』」；dspillett 把责任推回广告技术方：恶意不合规执行不足，别全算立法者的账。
  • 我们连一年都没有 — we have a year to fix security everywhere。52 points（Lobsters）。评论区的证据比原文更硬。💬 Simon Willison 说他用 GPT-6 Astra 和 Claude Fable 5.1 对自己的项目 Datasette 跑了审计，然后花整周修 LLM 找出来的漏洞，「很多漏洞冷到以前根本没人发现过——但冷门的漏洞仍然是漏洞」。他给的 harness 可以直接抄：「先看这个项目已经修过哪些安全问题，然后找同类问题」，以文件或函数为单位并行铺开，再配一个能自证结果的 verifier。另一条判断更悲观：不是「只有一年」，是「已经负六个月」——黑帽早就在野外大规模开打，只是没上新闻。
  • 你也知道 GDPR 是好的，看谁恨它就够了 — You Know GDPR Is Good Based on Who Hates It。87 points（Lobsters）。Lobsters 第二高分。💬 评论区补了一堆可执行情报：多数 cookie 横幅本身就不合法，因为「接受」在难度和显眼程度上必须与「拒绝」对等，真正做到的很罕见；NOYB 有专门处理 cookie 投诉的项目页，波兰 Panoptykon 基金会做同类工作并常与 NOYB 合作；「付费才能拒绝追踪」也是明确违规，依据是 noyb 的 pay-or-okay FAQ 第 4、7、12、13 条。
  • 浏览器还有未来吗 — Thoughts on the Future of Web Browsers。55 points（Lobsters）。💬 讨论全在 fork 的维护成本上。一条立场很硬：「我 100% 确信上游 Firefox 会比任何下游 fork 更安全，Mozilla 再怎么有问题，雇的是全职浏览器开发者和安全专家」；反方列了三条账——人少、上游补丁延迟拉长 0-day 窗口、新代码没人用 LLM 去找漏洞，而 LLM 找安全 bug 已经比绝大多数开发者又快又好。Tor 项目的人下场补了背景：他们做的是 painstaking 的补丁剔除，但每个版本越来越贵，总会有漏的。
  • HEIF Heist — HEIF Heist。9 points（Lobsters）。以图像格式为切入口的漏洞故事。格式解析器依然是攻击面里最稳定的一条生产线，只要有人还在写新的解析器。
  • 斯诺登档案后来怎么了 — What Happened to the Snowden Archive。6 points（HN）。刚上首页，分数低但重要性不对等：史上最大一批泄露文档的可访问性，现在取决于少数机构的服务器政策。

🛠️ 工具与基础设施

  • Google 的开放 Agent 编排器 — Google’s Open Agentic Orchestrator。13 points/2 comments（HN）。AX 的定位很清楚：agent 既不是微服务也不是批处理任务，它们累积状态、需要严格隔离、会调模型 API 和工具服务、没人看着就能烧钱。四个原语——Task（沙箱执行）、Workspace（仓库/MCP/技能预装）、Gateway（网络白名单）、Model（模型与密钥统一配置）。刚上首页，分数还没起来。
  • 软件沙箱：基础（2025） — Software sandboxing: The basics (2025)。54 points/6 comments（HN）、26 points（Lobsters）。两站同时上榜，说明今天读它的人不只是做安全的——跟上面 Exfiltrate Your Weights 那篇里「逃出沙箱」的剧情对照着看，这篇是防守侧的说明书。
  • Show HN: Radius —— Meetup.com 的替代品 — Show HN: Radius – A Meetup.com Alternative。74 points/33 comments（HN）。线下活动平台这块的市场空隙一直存在，难点从来不是功能，是把组织者从既有的社交图谱里搬出来。
  • 用备件手搓家用服务器 — Custom home server built from spare parts。51 points/22 comments（HN）。这类帖子在 HN 常年有稳定受众，成本清单和踩坑记录通常比成品方案更实用。
  • 试做「软件工厂」模式 — Trying the Software Factory Pattern。56 points/33 comments（HN）。Will Larson 记录让 agent 批量产代码的实践。一手的流程记录比工具广告有用得多。
  • Beyond jj：配置与工具生态 — Beyond jj: config & tools ecosystem。45 points（Lobsters）。JJ Con 2026 的演讲稿整理，覆盖 jj 生态里的命令、配置和周边工具。对已经换过去的人，这是目前最完整的一份生态地图。
  • 在 NixOS 上用 GoatCounter 做无 bot 的自托管分析 — Bot-free self-hosted analytics with GoatCounter on NixOS。1 point（Lobsters）。分数极低但内容完整：自托管、不吃 cookie、不需要同意横幅的统计方案，适合不想为埋点引入合规负担的站。
  • w64devkit 过去一年做了什么 — What’s been going on in w64devkit the past year。4 points（Lobsters）。把一套 Windows 上的 C 工具链维护十几年不烂尾，本身就是稀缺能力。更新里全是编译器、libc 和构建脚本的具体修补。
  • 长路的最后一英里：让 NumPy 在浏览器里更快 — The last mile of a long road: faster NumPy in the browser。5 points（Lobsters）。WASM 上跑科学计算的老问题：开销大多花在 Python 与 JS 的边界上，编译出来的代码本身反而不是大头。

💻 开源与工程文化

  • 没人给开源付钱，那就逼他们付 — Nobody pays for FOSS, we can force them to。68 points/41 comments（HN）。标题就是论点：与其继续呼吁自愿捐赠，不如用许可和合规机制把付款变成义务。反对意见一定集中在「谁来定谁该付」上。
  • Lambda MicroEgg — Lambda MicroEgg。16 points（Lobsters）。作者把 lifting e-graph 的想法接到 s-expression 前端上，在 microegg 的基础上加了内置 binder、高阶 Miller pattern 和避免捕获的代入。能直接跑的 wasm demo 也放出来了。
  • 一个人还在维护的 Motif fork — An actively maintained and updated Motif fork actually exists。20 points（Lobsters）。Motif 是 1980 年代的 Unix 桌面工具包，今天还有一个在持续更新的分支。这种事在开源世界里只靠个人热情维持，别指望任何机构。
  • V 语言评测（2023） — V Language Review (2023)。26 points（Lobsters）。一份能落到具体条款的评测，不是「语法很美」那种观感式文章。三年前的结论今天还值得翻出来核对。
  • Quarkdown：图灵完备的 Markdown 排版系统 — Quarkdown: Turing-complete Markdown typesetting system。9 points（Lobsters）。在 Markdown 里塞进完整逻辑。它解决的是真问题——文档里的条件和循环——代价是 Markdown 不再是人人都能读的纯文本。
  • 别让架构宇航员吓到你（2001） — Don’t Let Architecture Astronauts Scare You (2001)。44 points（Lobsters）。昨天 31 分，今天 44 分还在往上走。Joel 二十多年前骂的「抽象加抽象，离用户越来越远」，在 agent 编排框架扎堆的当下读起来毫不过时。
  • 用不可断空格命名测试方法 — Using non-breakable spaces in test method names。9 points（Lobsters）。小技巧，直接可抄：用 NBSP 让测试名在输出里不换行，长句式的测试命名终于能看全。
  • Notion 如何用 CRDT 处理并发编辑 — How Notion handles concurrent editing with CRDTs。11 points（Lobsters）。大厂把协作编辑的底层实现写出来，这种材料一直很缺。注意它和「多人同步」的谈判细节是两回事，文章讲的是数据结构。
  • Vim 的 UserGettingBored autocmd — Vim’s UserGettingBored autocmd。4 points（Lobsters）。Vim 真的有这个事件名。知道它存在的人和用它的人，大概都不是同一批。
  • Unix 2038 问题与低估的艺术 — Unix Year 2038 problem and the art of underestimating。2 points（Lobsters）。播客。2038 还远，但「每次都低估这类迁移的工作量」这个模式已经重复过好几次了。

🏢 产业、政策与金融

  • 三星明年要把 HBM4 和 HBM4E 产能翻倍以上 — Samsung is expected to more than double output of its HBM4 and HBM4E DRAM。283 points/189 comments（HN）。今天唯一的硬基建新闻。💬 有价值的讨论全在产能细节上：一条说中国做 AI 加速器的真正瓶颈是 HBM 而不是处理器或光刻机，DUV 硬推导致良率很差，但可以用更多晶圆或更小的芯片补偿；cubefox 引 SemiAnalysis 的判断——推理和后训练（RLVR）都受内存带宽限制，只有预训练是算力受限，而预训练在数据中心总容量里的占比已经很小；6510 给出量化数字：HBM 良率 25-30%，DRAM 是 80-90%，所以贵 3-5 倍。另一条解释 HBM 为什么进不了消费电子：同容量下 HBM 封装要吃掉大约 3 倍制造产能，本质是在拿总字节换带宽。
  • Apple iPhone 18 Pro 相机测试 — Apple iPhone 18 Pro Camera test。87 points/95 comments（HN）。评论数超过分数，说明大家不是在看结论，是在审 DXOMark 的评分方法。
  • Sherline Tools 要关门了 — Sherline Tools Is Going Out of Business。162 points/109 comments（HN）。美国小型台式机床厂停止本土生产。这类厂子关闭没有替代品——爱好者和小作坊买不到第二个同等价位的选择。
  • Warren 提出禁止私募股权持有医疗机构 — Bill to Ban Private Equity from Owning Medical Practices。41 points/7 comments（HN）。把 PE 滚雪球式收购诊所的路径直接掐断，比事后监管收费要狠。
  • 美国撤销发电厂气候污染限制 — US Revokes Limits on Power Plants’ Climate Pollution。192 points/180 comments（HN）。180 条评论，吵的主要是法律依据和后续诉讼路径，而不是气候科学本身。
  • 新加坡国家图书馆用微支付培养阅读习惯 — Singapore’s National Library Board offers micropayments to build reading habits。164 points/64 comments（HN）。付费让人读书这个机制设计本身值得看：给钱解决的是启动成本，还是把阅读变成了刷任务，评论区分歧在这。
  • 货币的层级 — The Hierarchy of Money。58 points/18 comments（HN）。把「什么算钱」按可兑换性和信用层级排开，是理解稳定币和货币市场基金这类争论的基础框架。

🎲 轻度、历史与杂项

  • CRT 显示器对像素画的影响 — The Effect of CRTs on Pixel Art。45 points/11 comments（HN）。当年的像素画是照着 CRT 的色渗、扫描线和带宽限制画的，在现代面板上看本来就不对。这篇把物理原因讲清楚了。
  • 字母 W 的必要历史 — A Necessary History of the Oddest Letter: W。79 points/44 comments（HN）。一个连名字都是拼出来的字母，故事比预想的长。
  • 我们丢掉的键位符号，第二部分：Mac 侧 — Key symbols we lost to time, pt. 2: The Mac side。106 points/52 comments（HN）。键盘上那些没人记得用途的符号，每一个都对应一套被淘汰的软件生态。
  • 哭泣的鲸鱼：座头鲸哀悼死胎的记录 — Weeping whales: Stillborn humpback whale grieving documented。220 points/161 comments（HN）。动物哀悼行为的一手观察记录，讨论集中在「怎么区分悲伤和本能反应」这条方法论红线上。
  • 《生化危机 4》（GameCube）完整还原为字节一致的 C/C++ — Resident Evil 4 (GameCube) – complete byte-identical decompilation to C/C++。75 points/45 comments（HN）。字节一致意味着重编出来的 ROM 和原版完全相同，这是逆向工程圈里最严的验收标准，通常要几万人时。
  • Ogre Battle 64 重编译项目到 99.05% — Ogre Battle 64 Recompiled Project at 99.05%。13 points/4 comments（HN）。静态重编译路线的进度条式项目，剩下那 1% 通常是难啃的特例。
  • 为 Stars 4X 游戏写的自制虚拟机 — A custom virtual machine for the Stars 4X game。83 points/22 comments（HN）。为一个策略游戏手写 VM 来承载游戏逻辑，好处是规则可重放、可存档、可跨平台——怀旧游戏的旧存档问题就是这么解决的。
  • 《电路的秘密生活》来了 — “The Secret Life of Circuits” is here。44 points（Lobsters）。昨天 HN 272 分、Lobsters 23 分，今天在 Lobsters 涨到 44。lcamtuf 的新书到货，用动画讲电路的直觉。
  • 国家消亡之后，它们的顶级域名会怎样（2022） — What happens to TLDs when their country stops existing? (2022)。33 points（Lobsters）。昨天 20 分，今天 33 分，还在被往上顶。.su 至今仍在运行——DNS 是互联网里最接近「事实永久」的一层，这个特性有代价。
  • Scott Jenson：桌面 UX 真的要一直用同一套吗 — Scott Jenson: Are we really going to use the same Desktop UX forever?。4 points（Lobsters）。讲稿视频。WIMP 范式用了四十年，质疑声一直有，落地的一直没有——这之间的差距本身就是个值得研究的问题。

📌 今日总结

今天社区的注意力分成了很干净的两块：AI 资产的处置权，和安全债的偿付速度。前者具体到两篇高赞帖——把权重从沙箱里 GET 出去、把模型做成磁力链，两种做法都假设「模型随时可能被下架」；后者由 Simon Willison 的一条评论定了调，他用前沿模型审自己的项目，一周修完一堆冷门漏洞，结论是「冷门漏洞仍然是漏洞」，而另一条回复说时间线已经是负数。

必读三篇：Willison 的安全审计方法（可复制，附 harness 提示词）、《Exfiltrate Your Weights》及其评论区里 wren6991 对 abliteration 的技术纠正、以及三星 HBM4 评论区关于「瓶颈在带宽不在算力」的讨论。

横向信号有一条值得记：Lobsters 今天有 4 条是近两天 HN 或 Lobsters 上过的旧帖（架构宇航员、电路的秘密生活、2038、TLD），分数还在往上走。社区自己会把有价值的帖子重新推上来，这种滞后回榜比首页当天的排序更能反映什么内容真的留下来了。