📰 团子技术日报 — 2026年10月5日 星期一

今日关键词：安全软件的信任赤字、125B 模型塞进一张消费卡、数据中心的资源账目 数据源：HN Top 30 + Lobsters Top 25。跨站重复一条（Why don’t more developers use the platform）合并并附两处讨论链接；Lobsters 侧 11 条为 10 月 2—4 日续榜条目（git post-checkout 钩子、C2PA 时间戳、Android 广告拦截、Kolibri、gVisor 捐赠、Zig 0.17.0、Rust In Sickness & Health、Thoreau BASIC、软件质量时代、Orion、Renovate），仍列出并标注。HN 招聘帖不计入，最终收录 51 条。

🔥 今日焦点

今天最该读的是 Xray-core 那条。维护者长期公开嘲讽 allowInsecure 用户”裸奔”，同时他们自己的 pinnedPeerCertSha256 存在一个能让中间人往证书链任意位置插叶证书的校验绕过；1 月 13 日随版本放出，1 月 16 日改成永远跳过常规校验，2 月 6 日被私下报告当天静默修复，commit 写的是”简化代码”，发版说明一个字没提。安全软件的公信力靠的是行为一致，这次是把自己的说辞一次性兑掉了。

算力和成本的账今天同时出现在三个尺度上：Strata 让 125B 的 Qwen3.8-Flash-Next 在 12–24GB 显存加 64GB 内存的机器上跑起来，评论区贴的实测里 IQ3 量化反而压过 4-bit 方案；内布拉斯加一家地方媒体的报道因为涂黑不当，把 Google 数据中心真实的水耗和电耗摊在页面上；Simon Willison 在呼吁各类 API 把”花到 X 就断”的硬上限做成默认值。三条并排看，AI 的边际成本已经落进个人显卡、市政水务和公司账单这三种账本里。

内容凭证这条”防伪”链今天又被敲了一记：C2PA 的时间戳可以被伪造到开奖前几小时。它和 Xray 那条同属一类问题——用来证明别的东西可信的机制，自己没有人验。

🔒 安全与隐私

  • Xray-core 把证书校验绕过漏洞掩盖了半年 — Popular proxy software Xray-core covered up a certification verification bypass vulnerability for half a year。24 points/discuss（HN）。报告人自己写的复盘，时间线精确到天：1 月 13 日漏洞随版本发布，1 月 16 日改成 pinnedPeerCertSha256 永远跳过常规校验，2 月 6 日私下报告当天静默修复。最刺眼的是同日 Telegram 频道还在发”安全必须内建于设计、消除人为因素”的声明。往坏处想一步：那些按官方建议从 allowInsecure 迁移过来的用户，是被文档推进坑里的。
  • 不当涂黑暴露了 Google 数据中心的用水量与用电量 — Improper redaction reveals Google Data Center water and electricity usage。166 points/233 comments（HN）。地方政府拿着涂黑过的文件回答质询，结果黑块没盖住数字。这类事故的规律很稳定：涂黑改的是 PDF 覆盖层，文字本身还在文件里躺着。
  • 在 macOS 27 上关掉 Apple Intelligence 并收回磁盘空间 — Turn off Apple Intelligence on macOS 27 and get its disk space back。247 points/139 comments（HN）。系统里已经没有单一开关，模型文件在功能关闭后仍然留在盘上，这个工具负责关功能、删权重、并且阻止重新下载。苹果把”关掉”和”卸载”拆成两件事，用户得自己补上第二件。
  • 我被盯上了：用 git post-checkout 钩子偷凭据 — I got targeted: Trying to get your credentials via a git post-checkout hook。129 points/39 comments（Lobsters）。续榜条目。💬 评论区补了更省事的路子：.git/config 里设 core.fsmonitor 指向任意命令，git status 就会执行，而 IDE、go build 和 shell 提示符插件都在后台偷偷跑它。有人提议全局 core.hooksPath /dev/null，当场被证明可被仓库自带 config 覆写；克隆是安全的，从 Dropbox 下载解压不是。
  • 用 C2PA 篡改时间 — How to Hack Time, With C2PA。25 points/2 comments（Lobsters）。续榜条目。作者用一份”签名时间早于开奖时间”的彩票图演示：时间戳的信任根不自证，凭证体系把这块下放给了签名方的时钟。
  • Android 上的系统级广告拦截 — System-level ad-blocking in Android。26 points/16 comments（Lobsters）。续榜条目。不动应用、不起代理，直接在系统层截断，对系统版本挑剔，思路可以先收着。

🤖 AI 与模型

  • 在一张 RTX 4090 上跑 125B 的 Qwen 3.8 Flash Next — Run Qwen 3.8 Flash Next (125B) on consumer hardware (RTX 4090)。541 points/268 comments（HN）。项目给自己的定位是 12–24GB 显存加 64GB 内存就能跑，靠 MoE 稀疏激活和省显存的 KV 方案撑住。💬 讨论区质量比标题高：一位用户实测 IQ3_XXS 版本的代码任务通过率 89.1%，高于 4–5bit 混合方案的 71.9%，说明”降精度必然掉点”在 MoE 加 n-gram 推测解码的架构上不成立；另一位租 RTX Pro 6000 按小时计费，插 4000 万 token、出 120 万 token，把推理预算讲成了具体数字。
  • Kolibri：一个主权开放权重模型 — Kolibri: A Sovereign Open-Weight Model。31 points/4 comments（Lobsters）。续榜条目。78B 总参数、3B 激活的英德 MoE，1M 上下文，Apache 2.0，选在德国统一日发布，指向公共行政、工业和航空航天这类受监管场景。
  • Homa：AI 集群里 TCP 的终结？ — Homa: The end of TCP for AI clusters [video]。42 points/8 comments（HN）。讲的是为数据中心内部短消息设计的传输层协议，替代的对象是 TCP 在集群内的拥塞控制与建连开销。
  • 怎么用 AI 放大意图、质量和手艺 — How to scale intent, quality, and artistry with AI [video]。38 points/12 comments（HN）。标题里三个词各对应一类失败案例：意图丢失、质量回归、手艺被抹平。视频本身不新，但把这三件事并列起来的框架有意思。
  • Show HN: 给 macOS 上每张照片、每一帧视频做 AI 搜索 — Show HN: AI search for every photo and every frame of video on macOS。132 points/62 comments（HN）。本地索引视频帧是这类工具的门槛，磁盘占用和索引速度决定了它能不能长期挂着跑。
  • agent 不需要记忆，需要文档 — Agents don’t need memory, they need documentation。336 points/203 comments（HN）。续榜条目。作者主张把小上下文做对，比堆记忆系统有效。💬 评论区两派都很硬：一派说代码本身就是文档，各种 AGENTS.md 和决策记录放久了只会互相矛盾、污染上下文；另一派指出代码只写清 what 和 how，why 和外部约束都在代码之外，agent 缺的正是这块。有人给了个折中——只对反直觉的架构决策写文档，其余交给测试。
  • 我们需要给几乎所有东西配默认硬性预算上限 — We’re going to need default hard budget caps on pretty much everything。31 points/15 comments（Lobsters）。论点直给：按量计费的服务必须默认提供”花到 X 就报错”的硬切断，软性告警邮件不足以拦住睡梦中烧掉几千美元的 agent。

🛠️ 工具与基础设施

  • 自己用 SSH 和 nginx 搭 HTTP 隧道 — Self-hosted HTTP tunnels with SSH and nginx。7 points/1 comment（Lobsters）。用现成组件替掉 ngrok 一类的付费隧道，适合把内网服务临时挂出去又不想装新依赖的场景。
  • Flatpak 的命令行体验很糟 — Flatpak from the CLI sucks。21 points/0 comments（Lobsters）。吐槽集中在包名、远程仓库权限和更新语义上，这类抱怨通常最后会变成对 CLI 设计的一致性要求。
  • ncdu：NCurses 磁盘占用分析（更新过的 fork） — ncdu: NCurses Disk Usage (an updated fork)。8 points/6 comments（Lobsters）。原版多年没动静，fork 接了上来。清理磁盘时最省事的工具之一，重新有人维护是好事。
  • grubby：用 Ruby 写的 git 仓库静态站点生成器 — grubby: static site generator for git repos written in Ruby。14 points/8 comments（Lobsters）。把仓库本身当内容源，适合文档和笔记这类本来就在 git 里的材料。
  • Iroh 的全局内容发现 — Iroh global content discovery。10 points/2 comments（Lobsters）。在点对点网络里做可寻址的内容发现，绕开中心化索引，难点一直在怎么防止索引本身变成审查点。
  • gVisor 被捐赠给 CNCF — gVisor is being donated to CNCF。50 points/13 comments（Lobsters）。续榜条目。💬 评论区把技术中立的表象撕开了：有人回忆 Google 曾尝试上游化改进 gVisor 性能的内核补丁，被以”只接受服务多方利益相关者的改动”为由拒绝，于是捐赠看起来像解套动作；另一人补刀说那批补丁连内核缩进规范都没遵守。
  • 在 NetBSD 上改进并稳定 racoon2 IKE 守护进程 — Improving and Stabilizing the racoon2 IKE Daemon in NetBSD。4 points/no comments（Lobsters）。GSoC 2026 的成果记录。IPsec 的密钥协商实现常年缺人维护，这类补课比新功能有价值。
  • 把我的 35mm 胶片扫描流程自动化 — Automating my 35mm film scanning pipeline。57 points/38 comments（HN）。从显影到裁切到色彩校准整条链自己搭，省下的钱不多，可控性提升得多。

💻 语言与编译器

  • Rust 的 derive 常常隐含 inline — Rust’s derive often implies inline。58 points/13 comments（Lobsters）。一条小发现引出了真问题。💬 作者说，#[inline] 除了提示编译器，还打开了跨 crate 内联这个非泛型函数默认拿不到的能力，把两者混在一个属性里是历史包袱；有编译器贡献者确认，2023 年加上这个属性时基准测试反而变好了，而”只给 5 个字段以内的结构体加”的实验版本出现了性能回归；还有人按”Debug 实现通常根本没被调用”解释这个结论，顺便建议 fmt 该标 #[cold]。
  • Zig 0.17.0 发布说明 — Zig 0.17.0 Release Notes。127 points/15 comments（Lobsters）。续榜条目。💬 讨论落在两处：SafeAllocator 为保证不出现 use-after-free 而不复用已释放内存，有人担心长跑服务吃光地址空间，回答是 64 位地址空间足够、且按页归还；另一处是关于把构建服务器协议做成类似 LSP 的行业标准，以及这一版被核心开发者自己定性为”可以当作候选版”，有人因此选择跳过。
  • 提前输出元数据，让 Rust 的构建与检查快近一倍 — Emitting metadata early makes building/checking Rust up to twice as fast。121 points/30 comments（HN）。改的是元数据产出时机，不动编译逻辑，收益却直接落在开发者最常做的那个动作上。
  • cp：-r 还是 -R？ — cp: -r or -R?。78 points/89 comments（HN）。两个不区分大小写的参数在语义上有差别，争论本身就说明这套参数设计需要一次整理。
  • 改 Go 编译器，把 IPv4 到 IPv6 的映射做快 — Hacking the Go compiler to efficiently map IPv4 to IPv6。8 points/no comments（Lobsters）。netip.Addr 的热点路径上，一次场景特化的编译器改动换掉的是一整类重复开销。
  • 我们的 RISC-V 模拟器 PasRISCV — Our RISC-V emulator PasRISCV。15 points/no comments（Lobsters）。游戏团队自研模拟器，动机通常是要在旧平台上跑新代码，效能约束下的实现取舍比通用模拟器更有参考价值。
  • Thoreau BASIC — Thoreau BASIC。2 points/5 comments（Lobsters）。续榜条目。行号、GOTO、立即执行一样不缺，价值在于让人重新体会”语法即界面”这件事。
  • 浏览器里的经典 VB6 IDE — A browser-native classic Visual Basic VB6 IDE。23 points/7 comments（HN）。表单拖拽、事件绑定、.frm 语义都还原了，这类怀旧项目的工程量通常被严重低估。
  • Rust：健康与病态 — Rust, In Sickness & In Health。24 points/no comments（Lobsters）。续榜条目。讲的是大型代码库里这门语言的实际负担，不是入门内容。

🌐 Web 与平台

  • 为什么开发者不去”用平台”？ — Why don’t more developers “use the platform”?。271 points/279 comments（HN、Lobsters 62 points/30 comments）。作者自己承认是”平台派”，这次替对面把理由列全：浏览器长期落后、团队惯性、以及平台 API 常常是全有或全无。💬 Lobsters 那条的最高票回复说得更直接——多数人根本不知道平台能做什么，就算知道也顶不住”其他人怎么办”这一问；他举的例子是一个纯 HTML 表单点赞，自己在楼里被一群人质疑这根本做不到。另一位把原因归到不可定制上：<select> 和日期选择器一旦差一点，开发者只能从零重做。
  • Orion 在 Linux 和 Windows 上的进展：停更并开源 — An Update on Orion for Linux and Windows。25 points/8 comments（Lobsters）。续榜条目。Kagi 结束这两个平台的直接开发，代码开源交给社区接手，团队收缩回 macOS 和 iOS。不 fork Chromium 的独立引擎路线，在人力有限时最先被砍。
  • 软件质量的时代，还是鸵鸟的时代？ — The Era of Software Quality, or the Era of Ostriches?。40 points/59 comments（Lobsters）。续榜条目。作者是 GNOME 开发者，论点是把 Rust 引入之后风险残留在 Cargo 依赖图上。💬 评论区分两处纠正：Rust 与 Cargo 没有绑定，cargo vendor 加直接调 rustc 能把依赖钉死；衡量供应链攻击面该数唯一包维护者的人数，而不是代码行数。
  • 真值的补集还是真，除非它是假 — The complement of true is true, except when it’s false。26 points/2 comments（Lobsters）。布尔代数里那些看起来自相矛盾的恒等式，动手推一遍会发现都站得住。

🎓 理论与学习

  • 页表的内存开销 — Page Table Memory Consumption。34 points/2 comments（HN）。把多级页表在大内存机器上的实际占用算了出来——内存越大，页表本身吃掉的越多，这个开销在容量规划里经常被漏掉。
  • 共识存储的协议感知恢复（2018） — Protocol-aware recovery for consensus-based storage (2018)。4 points/1 comment（Lobsters）。FAST 的老论文重新上榜，讲的是把恢复策略和共识协议的状态机绑在一起，而不是当成通用的日志重放。
  • ASIC 谜题的结果 — Results from the ASIC puzzle。66 points/27 comments（HN）。Jane Street 放出的硬件设计题解。这类题目的实际作用是展示他们怎么筛人，答案本身反而次要。
  • 两栈滑动窗口聚合 — Two-Stack Sliding-Window Aggregation。28 points/5 comments（Lobsters）。用两个单调栈把窗口查询摊到 O(1)，适合拿来当单调栈的进阶练习题。

🏢 公司、人与研究

  • Tell HN：Bob Cringely 去世了 — Tell HN: Bob Cringely has died。787 points/168 comments。90 年代的硅谷专栏作家，写过《Accidental Empires》，也是 PBS 那档 30 天造飞机的纪录片主角。💬 评论区有一条不太好读的补充：有人贴出长文，认为他近几年自述的失明、失房等经历中有不实成分，背后是那个始终没交付的 Mineserver 众筹；也有人只记得他 1978 年就在 SAIL 做架构，读他的文章读了十年。追悼现场，两种记忆同时存在。
  • Bill Draper 去世 — Bill Draper has died。59 points/13 comments（HN）。风险投资这门生意的早期建制者，他留下的机构比他的名字更常被提起。
  • 学术研究里的激励错位 — Incentives in Academic Research。25 points/11 comments（HN）。作者是 SAT 求解器领域的工程师，讲的是评价体系如何塑造研究方向，把”为什么没人做这件显然有用的事”落到可追责的规则上。
  • 有效利他主义是怎么征服世界的 — The evolution of effective altruism。49 points/86 comments（HN）。一个从牛津哲学系出发的运动进入主流慈善、再被 AI 安全议题改写的过程，评论区的分歧不在事实而在责任归属。
  • 《我们之中的尼安德特人》书评 — ‘Neanderthals Among Us’ review。50 points/43 comments（HN）。把古人类学的新证据接回人类自我理解的争论，书评作者对结论的保留比结论本身更有信息量。
  • 宣布一种鸟灭绝，中位数是最后一次目击后 36 年 — Declaring a bird extinct: The median wait is 36 years after the last sighting。14 points/7 comments（HN）。保护名录的更新速度慢于物种消失速度，36 年这个数字把其中的取舍摆出来了。
  • 一个听鲸鱼的人 — A man who listens to whales。10 points/2 comments（HN）。声学监测的长期实践者，做的事介于海洋生物学和信号处理之间。

🎮 轻度与趣味

  • Infidel Goes Wild — Infidel Goes Wild。26 points/discuss（HN）。Infocom 老文字冒险复活后的续作记录，作者把设计笔记也写进正文，读起来比游戏本身更像考古。
  • 全世界灯塔地图 — A map of every lighthouse。153 points/70 comments（HN）。工程价值不在数据本身，而在于它承认了自己的数据是脏的、不全的，让贡献者直接改。
  • 吊扇到底怎么回事 — What is going on with ceiling fans。167 points/146 comments（HN）。从建筑审美的角度审判吊扇，火力集中在安装方式毁掉整个房间这件事上。
  • Show HN：Glashütte Trash Clock——用垃圾做的三十分钟摆钟 — Show HN: Glashütte Trash Clock – A 30-minute pendulum clock made from trash。155 points/20 comments（HN）。30 分钟走一格，精度不是重点，重点是从废料里长出来的机械结构每一处都能看懂。
  • 罗丹博物馆 3D 扫描案的判决 — Treachery in the Rodin Museum 3D scan verdict。307 points/184 comments（HN）。博物馆用公共资金扫描公共藏品，再主张别人不能看。💬 作者本人在楼里纠正了评论区的常识：被扫的几件是石膏模，按当时的铸造生产流程，石膏比任何一件青铜复制品都更接近艺术家的手；另有评论指出法国知识产权法把首次浇铸的 12 件铜像视为原作，而这条规定只在一个司法辖区有效。
  • 你们的垃圾桶上确实也装了超宽带无线电吧？ — Surely you have ultra-wideband radios on your bins too?。125 points/67 comments（HN）。作者发现自家垃圾桶用了 UWB，顺手估了它能测多准——“家里的东西比我以为的聪明得多”正在变成一类固定题材。

今日总结

今天的情绪偏紧：一条安全软件的信任账被翻出来，一条”防伪标准”自己可被伪造，读者拿到的是两个坏消息加一堆需要自查的清单。必读三篇按顺序是 Xray-core 的报告原文（含时间线与那封同日 Telegram 声明）、Strata 的评论区实测（量化与质量的关系被具体数据改写）、以及”用平台”那条里 Lobsters 的高票回复（平台能力与团队现实的落差）。横向信号有两条：一是成本与资源开始被逐项摊开——本地推理按小时算钱、数据中心按加仑和千瓦算钱、API 按硬上限算钱，三个尺度在同一天出现；二是”验证机制本身没人验证”这件事，在证书校验、内容凭证、以及页表开销这类底层账目上分别重演了一遍，共同点是事后才有人去核对。