🔥 今日焦点

周日的 HN 主线是「AI 编程的真实成本」。Cursor 从 usage 页面和 CSV 导出里移除成本信息（286 分），评论区立刻有人甩出实测数据：同一批 agentic 任务、同一个模型，不同 harness 的 token 消耗差 29 倍——smol 只烧 17 万 token，Claude Code 烧了 507 万。工具商在模糊计价，用户连自己到底花了多少都测不准，这两件事撞在同一天不是巧合。第二条线是老牌系统项目的治理：NetBSD 11.0 正式发布（HN 180 分 + Lobsters 首页第一），Arch Linux 停用 AUR 包采纳机制，加上 Ruby Central 的 FBI 举报争议在 Lobsters 上吵到 88 分——「基金会如何治理」成了比新功能更热的话题。第三条线值得单独记一笔：RipGrep 的 musl segfault bug 报告里附了一份 AI 生成的长篇分析，被内核开发者直接点名「studious but pretty bad」，方向对了但没找到真问题——社区对 AI 内容的接受度正在从好奇转向审查。

🤖 AI 与模型

  • Seedance 2.5：一键生成与灵活引用 — Seedance 2.5。60 分 / 19 评论（HN）。字节的视频生成模型更新，主打 one-take 创作和灵活引用——国内视频模型迭代速度已经快到 HN 每周都能见到新品。
  • Flint：AI 时代的可视化语言 — Flint: A Visualization Language for the AI Era。243 分 / 66 评论（HN）。微软给 agent 造图表 DSL，目标是让模型稳定产出图表而不是瞎编 SVG。💬 akst 直言「就算在 AI 时代，ggplot 的 API 依然是最好的图表 API」；williamcotton 纠正——Wilkinson 的《Grammar of Graphics》启发了 ggplot，那本教科书根本没提 ggplot，微软想重造轮子先得读原著。
  • MIT：AI 理财建议出奇地好 — From MIT: AI financial advice is surprisingly good。24 分 / 16 评论（HN）。前提是「问对问题」——金融建议的质量瓶颈从模型转移到了提问者。
  • 探索式建模：在 K 个猜测中训练最好的那个 — Explorative modeling: Train on the best of K guesses。69 分 / 21 评论（HN）。训练时对每个样本生成 K 个猜测、只回传最好的一个做梯度——用探索成本换训练效率的思路。
  • LLM 不会攻破对称密码 — LLMs won’t break symmetric crypto。△7 / 0 评论（Lobsters）。给「AI 能破解 AES」的民科降温的科普——算力差距是天文数字，不是模型能力问题。

🛠️ 开发工具与基础设施

  • Cursor 从 usage 页面和 CSV 导出移除了成本信息 — Cursor removed cost information from the usage page and CSV export。286 分 / 123 评论（HN）。用户发现用量页只剩 token 数、看不到对应金额，质疑声直接炸了。💬 tosh 贴出实测：同一个模型跑同一批任务，不同 harness 的 token 消耗从 smol 的 17.3 万到 Claude Code 的 507 万，差 29 倍——「流行 harness 在疯狂灌上下文窗口」；kelnos 反问 token 烧得少的那几个，任务结果质量一样吗，没人答得上来。
  • RipGrep musl 二进制在大规模搜索时偶发段错误 — RipGrep musl binaries occasionally segfault during very-large searches。235 分 / 160 评论（HN）。160 条评论的 bug 帖，问题比想象中深。💬 ndesaulniers 引内核邮件列表：有人给这个 bug 写了份「勤奋但相当糟糕的 AI 生成分析」，方向大致对、没定位到真问题；gruntled-worker 感慨两年前这种分析会被当成社区馈赠，现在大家知道它只值 6 美分的 token；Orphis 和 masklinn 则在争论 musl 的 mallocng 分配器争用问题——ripgrep 64 位 musl 构建其实已经全局换成了 jemalloc。
  • Pgtestdb 的模板克隆式测试方法 — Pgtestdb’s template cloning approach to testing is fast。57 分 / 35 评论（HN）。作者本人发帖：用 Postgres 模板数据库克隆替代逐条迁移，测试库初始化从分钟级压到秒级。
  • Linux 跑在 ESP32 上 — Linux on ESP32。86 分 / 32 评论（HN）。给 ESP32-S3 移植 Linux——没有 MMU 的芯片跑完整内核，靠的是软件模拟，性能可想而知，但「能跑」本身就是成就。
  • 寄存器匮乏：强制稀缺下的 spill 与运行时开销 — Register deprivation: spills and runtime under forced register scarcity。22 分 / 4 评论（HN）。人为限制可用寄存器数量，观察 spill 对运行时的影响——编译器后端教学级实验，数据扎实。
  • wiff：Wez 的 git 工作流新工具 — wiff。△28 / 7 评论（Lobsters）。Wez Furlong（wezterm 作者）做的新 VCS 工具，标签挂着 practices/vcs/vibecoding——git 工作流工具还在被持续发明，说明现状远没到终局。
  • Guix shell 现在可以跑在 Emacs 里 — Guix shell now inside Emacs。△23 / 5 评论（Lobsters）。在 Emacs 里直接开 Guix shell 环境——声明式环境的最后一公里是编辑器集成。
  • 开发管线本身就是生产系统 — The development pipeline is a production system。△10 / 0 评论（Lobsters）。把 CI、构建、部署链路当生产系统对待——监控、告警、SLO 一样都不能少，观点不新但执行到位的人少。

💻 系统与语言

  • NetBSD 11.0 发布 — NetBSD 11.0 released。180 分 / 80 评论（HN）+ △45 / 5 评论（Lobsters）。双平台同时登顶的老牌 BSD 大版本。💬 mvanveen 说 NetBSD 的座右铭是「of course it runs NetBSD」，pkgsrc 是唯一同时支持 macOS/Linux/BSD 的包生态；mghackerlady 概括三家定位：OpenBSD 最安全、FreeBSD 最健壮、NetBSD 的 niche 是「GCC 支持的平台它都跑」。
  • Arch Linux 停用 AUR 包采纳机制 — Arch Linux disables AUR package adoption。△32 / 7 评论（Lobsters）。AUR 的「采纳」入口被关——治理收缩的信号，社区维护者生态的经典难题：入口越开放，审核负担越重。
  • 从 Arch Linux 辞职 — Resigning from Arch Linux。△3 / 0 评论（Lobsters）。与上一条同一天出现，维护者出走和机制收紧放在一起看，就是 Arch 治理压力的两面。
  • Rust 参数解析的新旧之争 — An old-new take on argument parsing in Rust。△16 / 2 评论（Lobsters）。jmmv 给 Rust 写参数解析库，主张回到 getopt 式的老派设计——Rust 生态里 clap 一家独大之后的反思帖。
  • 为什么我 fork 了 rand — Why I forked rand。△64 / 22 评论（Lobsters）。对 Rust 官方 rand crate 的 trait 过载不满，自己 fork 了一个精简版。💬 matklad 同意问题陈述但反对 Random<impl Rng + Clone> 的泛型设计——整个应用被类型参数污染，编译时间灾难，建议具体类型加默认参数；elihunter173 吐槽 Rust 的「trait soup」文化，自己数据库的核心数据类型要 15 个 trait。
  • Lean 内核健全性 Bug #14576 的事后分析 — Postmortem for Kernel Soundness Bug #14576。97 分 / 34 评论（HN）。Lean 定理证明器内核的健全性漏洞复盘——证明器自己的内核出了 soundness bug，这比普通软件 bug 严重一个量级。
  • 64 位汇编的艺术（第二版） — The Art of 64-bit Assembly。168 分 / 79 评论（HN）。No Starch 经典教材出 v2——79 条评论说明「从汇编重新理解计算机」在 AI 时代反而成了稀缺技能。

🔒 安全与政策

  • 加拿大签署联合国网络犯罪公约：披着外衣的监控条约 — A Surveillance Treaty in Disguise: Canada Signs UN Cybercrime Convention。247 分 / 133 评论（HN）。Geist 长文警告 UN Cybercrime Convention 的跨境取证条款会变成监控工具。💬 miki123211 一句点破：「HN 的政治和普通政治没区别，只是把『夺走我们的枪』换成『夺走我们的 root 权限』」。
  • Apple 屏幕共享的预认证 RCE — Apple Screen Sharing Pre-Auth RCE。△13 / 2 评论（Lobsters）。macOS 屏幕共享服务的预认证远程代码执行——Apple 的远程管理面一直是攻防研究的富矿。
  • CISA 警报：水务部门 PLC 遭针对性攻击 — CISA Alert: Water Sector PLC Targeting。40 分 / 22 评论（HN）。Censys 配合 CISA 披露针对水塔 PLC 的攻击——关键基础设施的 OT 攻击面，评论区照例吵「这算不算国家级行动」。
  • 扫描 7.6 PB HuggingFace 训练数据找密钥 — Scanning 7.6 Petabytes of HuggingFace Training Data for Secrets。29 分 / 8 评论（HN）。Truffle Security 扫了 HF 上 7.6 PB 数据集找泄露的密钥——训练数据里埋着多少生产环境的秘密，这个数字本身就是答案。
  • 用 origin trial 测试 Email Verification Protocol — Test the Email Verification Protocol with an origin trial。△17 / 14 评论（Lobsters）。Chrome 给邮件验证协议开 origin trial——浏览器要动邮件的身份验证层，14 条评论在吵「这会不会变成又一个反垃圾邮件的中心化后门」。

🏢 公司与社区

  • Ruby Central 的破坏性遗产 — Ruby Central’s Destructive Legacy。△88 / 32 评论（Lobsters）。Andre Arko 长文批评 Ruby Central 的治理，Lobsters 今日最高分。💬 schneems 澄清关键事实：FBI 举报不是 Ruby Central 主动发起的，是其聘用的 Linux Foundation 律师独立做出的判断；steveklabnik 立刻追问「律师怎么会了解情况——不就是因为你们雇了他做法律工作」；yorickpeterse 直说「律师不告诉客户就举报，这客户怕是留不住」。当事人下场对线，信息量比原文还大。
  • 硅谷创始人的绞肉机 — The Silicon Valley Founder Meat Grinder。179 分 / 111 评论（HN）。VC 生态把创始人当耗材的机制分析——111 条评论，一半共鸣一半反驳「幸存者叙事」。
  • RamenHaus — RamenHaus。212 分 / 103 评论（HN）。212 分的神秘新站，103 条评论在猜它是什么——能靠一个域名和一碗拉面触发这么多讨论，这波营销是成功的。
  • 死软件还在走：relayd(8) 和 httpd(8) 的演化 — Dead Software Walking: The ongoing evolution of relayd(8) and httpd(8)。△37 / 11 评论（Lobsters）。OpenBSD 的「死软件」其实一直在小步演化——被宣判死刑的项目还在维护，本身就是对「软件生命周期」叙事的最好反驳。

📚 轻度与好玩

  • 电梯调度算法交互式科普 — Elevators。△52 / 6 评论（Lobsters）。昨天 HN 登顶的交互式电梯科普在 Lobsters 继续热。💬 vbernat 指出 destination dispatch 的实操坑：必须每个人都选楼层，系统才知道要调度多大的轿厢；luchs 说配门禁卡体验很好但下行永远要等；mitsuhiko 补刀「复杂 kiosk 派梯系统在现实中用户体验一塌糊涂，上错电梯的比坐对的还多」。
  • Google 如何毁掉了 RSS 的普及（2023） — How Google helped destroy adoption of RSS feeds (2023)。295 分 / 90 评论（HN）。今日 HN 最高分，2023 年的老文重登首页。评论区照例分成两派：怀念开放网络 vs 指出 2000 年的互联网内容只有今天的 0.001%。mathieudombrock 的观察最实用：「大部分 RSS 源只给标题摘要，想读全文还是得点进页面——RSS 承载不了广告的论点根本不成立」。
  • Manual：标点符号的排版艺术 — Manual: •.,:;…!?·。108 分 / 23 评论（HN）。type.today 讲标点排版的细节——108 分说明排版细节党的规模比想象中大。
  • 辫群 Burau 表示在 n=4 时是忠实的 — The Burau representation of the braid group is faithful for n = 4。35 分 / 17 评论（HN）。纯数学证明上了 HN 首页——35 分对数学论文来说已经算热门。
  • Macy’s 中间的钉子户小楼重见天日 — The tiny holdout building in the middle of Macy’s is back in view。193 分 / 58 评论（HN）。被广告牌遮了 100 多年的纽约钉子户小楼，因为广告牌拆除重见天日——城市史爱好者狂喜，58 条评论都在讲曼哈顿地产的奇闻。
  • Lewis Carroll 的夜写密码 Nyctography — Nyctography: A substituton cypher by Lewis Carroll。33 分 / 2 评论（HN）。《爱丽丝漫游奇境》作者发明的夜间书写密码——黑暗中用模板写信的维多利亚时代加密术。
  • Kenji 的 30 分钟高压锅越南河粉 — Kenji/Serious Eats – 30-Min Pressure Cooker Pho Ga。65 分 / 48 评论（HN）。Serious Eats 的食谱上 HN——48 条评论在争论高压锅河粉能不能替代慢熬 8 小时，美食工程学永远有流量。
  • 挪威最早的一批冒险游戏 — Norway’s first adventure games。△15 / 0 评论（Lobsters）。挪威本土冒险游戏史考据——游戏考古的小众快乐。
  • 游戏在光盘上不代表未来还能玩 — Just because a game is on disc doesn’t mean it will work in the future。67 分 / 58 评论（HN）。实体版游戏越来越多「盘只是启动器」——58 条评论在吵数字时代的收藏意义。
  • 第一个幂等键 — The First Idempotency Key。△1 / 2 评论（Lobsters）。Hatchet 考据幂等键的历史源头——支付系统工程师的寻根问祖。

📝 今日总结

今日必读 Top 3：Cursor 移除成本信息 + tosh 的 harness token 消耗对比（AI 编程的真实成本第一次有了可量化的横切面，29 倍差距比任何价格表都有冲击力）、NetBSD 11.0（双平台登顶的罕见待遇，老牌系统项目用大版本证明自己还活着）、Ruby Central 争议（当事人下场对线，基金会治理的透明度问题比技术问题更难解）。横向信号：RipGrep 的 AI 分析被内核开发者点名、Go 1.27 导览被怀疑是 LLM 写的、Flint 评论区吵「ggplot 才是最好的图表 API」——三件事指向同一个趋势，社区对 AI 生成内容的态度已经从「哇」变成「查」，审查成本正在成为新的默认开销。周日整体偏系统与治理，模型层的新闻（Seedance 2.5）反而退居二线。