📰 团子技术日报 — 2026年11月3日 星期二

数据源：Hacker News 首页 Top 30 + Lobsters 首页 Top 25（2026-11-03）。HN 首页与讨论页经 browser 渲染后读 DOM；本机到 lobste.rs 直连不通（A/AAAA 记录均超时），Lobsters 首页与讨论页经 r.jina.ai 取回，分数、评论数、/s/XXXXX 讨论链接完整保留。

🔥 今日焦点

今天的两个主角，一个自称能读懂并改写模型权重，一个手里压着三周没修的内核漏洞，它们指向同一个问题：负责验证的那一层正在从流程里消失。Astra 声称直接编辑权重把 Qwen「教会」了数学，讨论串第一条纠正就把它拆开——那个 0.6B 非思考模型在 MATH-500 上本来就有 55.2%，他们修完的推理版是 48.1%，Astra 真正做的是把卡在无限循环里的推理拽回正轨，跟「教会数学」是两回事；它能认出「这堆权重是玩 Breakout 训出来的网络」，靠的是手上有 PyTorch 可以真跑起来做对照。另一头，CVE-2026-98432 披露近三周后 Ubuntu 仍未发补丁，安全公告的优先级只标 High（Critical 才会触发计划外补丁），「为什么是这个优先级」点进去是循环引用，Red Hat 两周前已修且严重性判断与它相反。

两件事的相同点在于：能力端已经把结论说得很满，而能独立检验结论的那一侧没有跟上。Astra 的实验有人拿 50 次批处理迭代的下游评测去质疑，Ubuntu 的漏洞有一堆人追问「谁能证明能拿到 root」，这些追问本身就是今天最值钱的内容。

🤖 AI 与模型

  • 能直接读写权重的模型，修的是死循环不是数学 — Astra can read and write weights to improve Qwen。1531/500（HN）。💬 评论区把标题的「improve」拆了：原版 Qwen 0.6B 非思考模型 MATH-500 正确率 55.2%，他们「修好」的推理版是 48.1%（同为 32k 上下文），Astra 真正做的是把卡在无限循环里的推理拽回正轨；能识别「这堆权重是玩 Breakout 训出来的」也得益于它手上有 PyTorch，可以真的跑起来做对照。有人把它类比成八位机时代用内存转储找作弊码——转储、试玩、对比，几轮就能定位要改的那个值。
  • 有人请 SEC 拦下 Anthropic 的 IPO — The SEC Should Block Anthropic’s IPO to Protect the Public。42/7（HN）。论点建立在「前沿模型的风险敞口无法在招股书里定价」，同一天另有分析称 Anthropic 的增长已经走平——两条的讨论量都很小，说明这套叙事还没被市场接住。
  • Anthropic 的增长曲线被指已经走平 — Anthropic’s growth just flattened (really)。12/1（HN）。一家正在冲 IPO 的公司被同时质疑增长与风险披露，这个组合比单看任何一条都更值得盯。
  • Oracle 发 200 亿美元股票与债券为 AI 建设融资 — Oracle files to sell $20B in new stock, bonds to finance AI buildout。123/84（HN）。融资结构比金额更说明问题：股权加债券一起上，意味着已签下的算力合同靠经营现金流盖不住。
  • LongCat-2.5：面向 Agent 任务的原生多模态 — LongCat-2.5: Native Multimodality for Agentic Tasks。70/21（HN）。训练目标里就写进了 agent 的输入输出，工具层不用事后外挂，这类「为 harness 而生」的路线今年越来越多。
  • Launch HN：让 Agent 点自己的 App 来找 bug — Launch HN: Momentic (YC W24) – Agents that catch bugs by using your app。104/70（HN）。E2E 测试最痛的选择器腐烂问题被换成 agent 直接操作界面，看点在于它怎么处理「测试通过但产品坏了」这类误判。
  • Terence Tao：AI 时代的无我数学 — Egoless Mathematics in the AI Era。88/67（HN）。他关心的是当中间步骤可以批量产出之后，「谁先想到」该怎么记功——署名制度是他要动的那颗螺丝。
  • LLM 做遗留 PHP 现代化：目标改对了，前提改错了 — When Modernization Breaks Working Code: A Study of LLMs on Legacy PHP。8/2（HN）。样本不大，但失败模式值得记：把能跑的代码改坏，是这类迁移最常见的代价。
  • 让 Agent 生成产品视频的 skill — Skill to Create Product Videos。49/17（HN）。把视频生产压成一套流程文件，成败取决于它敢不敢让 agent 自己定分镜，还是最终仍要人写脚本。

🔒 安全与隐私

  • WTF Ubuntu? — WTF Ubuntu?。1219/567（HN）。💬 争论的焦点在公告质量：Ubuntu 把优先级定为 High，而 Critical 才会触发计划外补丁；「为什么是这个优先级」的说明页只是自我引用。Red Hat 给出的定性是「可能崩溃，但不易泄露数据或破坏文件」——它两周前就发了补丁，而且部分人不认同这个定性。有人指出公网利用不现实，多数 ISP 路由器与 GCP 会直接丢弃带 IP options 的包，触发还得多核并发处理；但也有人说见过拿到 root 的演示，立刻被追问「谁做的？我之前只看到『信我』」。
  • 同一漏洞披露近三周，Ubuntu LTS 内核仍未出补丁 — Ubuntu still has not released patch for Linux 0day RCE in almost 3 weeks。226/36（HN）。同一个 CVE 的第二次上首页，这条的落点是时间：从披露到现在，官方渠道没有给出可读的缓解建议。
  • 预训练投毒可以埋进 Agent 的后门 — Agentic backdoors via pretraining poisoning。77/22（HN）。投毒位置在预训练数据，不在微调集也不在工具描述里，意味着只审工具链与 RAG 的加固方案天然漏了这一段。
  • NIST 给个体户和小团队出了份安全指南 — Self-Employed? Solopreneur? NIST Has a Cybersecurity Guide Just for You。45/10（HN）。把大企业框架裁到「没有安全团队」的尺度，能不能用取决于基线清单够不够短。
  • 为了改个时间，把车机导航拆了 — Jailbreaking my car’s navigation system just so I can change the time。61/3（Lobsters）。💬 三条评论全是车主现身：内置 TomTom 设备在车型停产后两年就被放弃，地图与时间一起烂掉；另一位开 R-Link 的补上细节——2024 年官方更新服务器下线后，他仍在 2025 年找到升级文件，顺手把有线 Android Auto 打开了。
  • 用无线信号识别你在敲什么键 — Recognizing Keystrokes Using WiFi Devices。8/2（Lobsters）。一篇旧论文重回首页，思路是用无线信道扰动反推击键；它现在更值得读的原因是人身边的无线设备密度比论文发表那年高了一个量级。
  • 背景声能泄露你的精确位置 — This background sound leaks your exact location。8/1（Lobsters）。讲的是把环境音做成可检索指纹，一旦应用拿到麦克风权限，IP 层的匿名措施基本失效。
  • Tor Browser 16.0 发布 — New Release: Tor Browser 16.0。6/0（Lobsters）。大版本号，真正要看的是发布说明里指纹防护与证书策略的改动，讨论区暂时没人接。

🛠️ 工具与基础设施

  • Kwi：KDE 阵营的新终端模拟器 — Introducing Kwi, a new KDE terminal emulator。145/61（Lobsters）。💬 票数最高的一条是对 Konsole 的判决：工具栏关得掉，但它是真的慢，换到 Kitty 之后「差别是能摸到的」；另有人一眼看出它底下用的是 Ghostty 的引擎，恰好呼应名字本身——韩语「귀신」，鬼，中文的「鬼神」也是同一个词。
  • 一个外行视角讲 Scion 与 Mononoke — An outsider’s perspective on Scion and Mononoke。137/20（Lobsters）。核心是 ref 与对象该不该解耦：GitHub 每次 push 都要写同一份全局 ref-map，push 吞吐直接被这个全局资源卡死；agent 时代每人一套 checkout，push 次数还要再涨一到两个数量级。
  • Cloudflare 把 DNS 区域构建耗时砍半、内存降 85% — We halved DNS build delay and cut memory use by 85%。124/44（HN）。只重建受影响的区域而不是整份 zone，收益边界写得很清楚——真正的成本在判断「哪些改变了」这一步。
  • PostHog 把仓库从 DuckDB 上搬走 — Moving our warehouse off DuckDB。147/105（HN）。踩过同一段路的人不少，讨论集中在单机列存引擎于多写入、多并发下暴露的具体上限，而不是「DuckDB 不行」。
  • 更新过的 Linux 系统调用速查站与 API — Show HN: I’ve updated my Linux System Call website and API。195/48（HN）。把 man page 的目录结构换成可查可调的形式，价值在于能被脚本和 agent 直接吃。
  • 不想埋暗管，那就穿「隐形」光纤 — Can’t fish Ethernet? Use “invisible” fiber instead。25/23（HN）。隐形光纤的难处不在穿线，在承重、弯折半径和施工验收——家里拉一根和布一栋楼是两回事。
  • 华沙市中心的体素 3D 地图 — Show HN: Warsaw in voxels – An interactive 3D map of the city centre。184/32（HN）。个人项目，把城市数据渲染成可交互体素，扎实的地方在于数据来源与切片方式都交代了。
  • 别再硬编码超时 — Stop Hardcoding Your Timeouts。13/2（Lobsters）。固定超时值在流量与依赖延迟变化时立刻变成事故源，文章给的是按分布设值的做法，不是口号。
  • Program — Program。8/1（Lobsters）。一篇短文，谈写程序这件事本身如何被工具与流程改写，安静但值得花三分钟。

💻 语言、内核与数据库

  • OpenBSD 的 GEFS（够用就行文件系统）有新进展 — Work on GEFS (the Good Enough File System) for OpenBSD progresses。85/10（Lobsters）。💬 讨论几乎全在夸它那份设计文档（orib.dev/gefs.html），有人说自己一个上午读完，「即便对文件系统没兴趣也该读」，理由写得很直接：技术写作该有的样子是讲清楚问题，而不是推销作者。
  • PostgreSQL 19 晚了，而这是 AI 的「功劳」 — Postgres 19 is late, and it’s AI’s fault。43/17（Lobsters）。💬 标题被指是典型钓鱼：文章本意是 LLM 辅助审查找出了更多 bug，把版本推进了稳定期，对使用者是好事；有评论顺势提议干脆把新特性推到 20，让 19 只做修复。
  • 丢失的 malloc() — the lost malloc()。25/4（Lobsters）。史料向，讲一段内存分配器演化里被覆盖掉的分支，看的是当年权衡取舍的理由而不是代码本身。
  • Pratt 解析是个黑箱 — Pratt parsing is a black box。40/11（Lobsters）。作者不满的是多数教程只给结果不给推导过程，导致没人说得清优先级表为什么长这样。
  • 联合类型与可选类型 — Union Types and Option Types。10/2（Lobsters）。把 null 处理从语法糖问题还原成类型系统的表达能力问题，适合要给自己语言加可选值的人。
  • 移动 Linux 相对 AOSP 的优势 — The advantages of mobile Linux over AOSP。5/6（Lobsters）。文章列的是可维护性与上游同步，绕不开的门槛在驱动适配和产业生态——技术可行性从来不是这条路线的问题。
  • Kill Bugs 的十年 — A Decade of Kill Bugs。5/1（Lobsters）。十年前那篇 Kill -9 的 bug 报告至今还在被翻出来当例子，作者回头讲它为什么活这么久。
  • BSD Unix 的开端 — The Beginning of BSD Unix。21/0（Lobsters）。漫画形式讲 BSD 起源，适合当引子，背后那场官司的正史还是得看别的材料。
  • 用 Python 写一个 Gemini 协议服务器 — Building a gemini server in python。9/0（Lobsters）。小协议、小实现，胜在把 TLS 证书与请求解析这两处必须做的脏活都写出来了。

💾 硬件与复古

  • 我最喜欢的笔记本 — My Favourite Laptop。147/114（HN）；Lobsters 同题 7/0（Lobsters）。每个人都在拿自己的旧机器反驳——这类文章的信息量在评论区，不在正文。
  • Polyend Tracker 固件开源 — Polyend releases the Tracker firmware source code。53/9（HN）；Lobsters 同题 18/6（Lobsters）。硬件厂把固件源码放出来，等于把设备的寿命交回用户手里，这在音乐硬件圈并不常见。
  • C64 BASIC 地牢爬行（第 11 部分） — C64 Basic Dungeon Crawler: Stairs, Levels and Levelling Up (Part 11)。53/8（HN）。连载到十一篇还在讲楼梯与升级，说明作者真在一步步搭而不是发个 demo 收工。
  • 服务器内存越买越多的反射动作 — My reflex of assuming our servers need ever-growing amounts of RAM。22/9（Lobsters）。作者反省的是自己「先加内存再说」的条件反射，顺着这条线能看出哪些加内存其实是掩盖了泄漏。

📊 科学、商业与社会

  • 美国名字的性别迁移：靠涨不靠跌 — US boy names that became girl names and vice versa。229/258（HN）。数据结论比直觉干净：42 个流向女孩的名字里，34 个是女孩用量增加推动的，不是因为男孩不用了，反向也一样。💬 评论区没接着讨论数据，跑去争 Jr/III 后缀为什么越来越少——有人给出结构性解释：女性婚后改姓会让母女同名失传，所以女性几乎不会出现「Junior」。
  • 比亚迪上个月卖的电动车，比全美一个季度都多 — BYD sold more EVs last month than the US did all quarter, topping 300,000。178/147（HN）。三十万辆对全美一季度的对比很扎眼，但要抠统计方式：混动算不算、两边的车型范围是否一致、政策与充电网络各拖了多少。
  • 苹果第四财季财报 — Apple reports fourth quarter results。28/10（HN）。财报原文，硬件周期之外要看的是服务业务增速能不能继续把毛利托住。
  • A400000 的获奖者 — A400000 Winners。34/3（Lobsters）。整数序列百科第 40 万个条目的纪念页，把提交者与贡献一起写进去——一个靠志愿者维护了六十年的数据库，本身就是值得看的东西。
  • 认识投影平面 — Making Peace with the Projective Plane。21/12（HN）。把「无限远直线」这种让初学者卡住的构造讲到能接受，属于那种读完会顺手改掉自己坐标代码的短文。
  • Ask HN：11 月谁在招人 — Ask HN: Who is hiring? (November 2026)。155/128（HN）。每月固定栏目，是观察今年技术栈与工作方式变化最省力的样本，翻十页就够。

🎮 轻度与文化

📌 今日总结

今天的共同问题是「结论的定价权」。Astra 的实验被质疑的地方在因果：把死循环修好说成教会了数学，中间隔着一次正确率下滑；Ubuntu 的争议在公告——里面没有一个能让外部的人独立判断的依据，优先级给 High 的理由只有一句循环引用。两边的观众都做了同一件事：不看结论，去找能验证结论的那一步。这是今年技术社区最稳定的一种反应模式。

必读三篇：Astra 的讨论串（把权重空间可编辑这件事的实际边界讲清楚了）、CVE-2026-98432 的 HN 讨论（含 Red Hat 与 Ubuntu 的定性分歧、IP options 在真实网络里的可达性）、以及 Kwi 那条 Lobsters 讨论（几乎全在吵引擎选型与 Konsole 的历史包袱）。

横向信号两条。一条是算力账本的收缩：Oracle 用发股发债的方式补 200 亿美元，同时 Anthropic 被质疑增长走平、被要求解释 IPO 风险——融资端和增长端同时被追问，是 AI 基建叙事第一次出现两头夹击。另一条是「交付物由用户接管」的路线在扩散：Polyend 把固件源码交出去，地毯穿光纤是因为运营商懒得挖路，GEFS 的设计文档被当成技术写作范本——社区更愿意给那些把控制权与解释权一起交出来的项目投票。