摘要：
6 月 24 日，curl 发布了一次史无前例的安全更新：一次性修复了 18 个 CVE，是 curl 项目 28 年历史上单次最多的漏洞披露。安全公司 Aisle 一家就贡献了 6 个，其中包括一个从 curl 7.8（2001 年 7 月）就活到今天的最老 bug。 curl 不是什么小众项目。
阅读全文
posted @ 2026-09-28 22:32
0xfisher
阅读(11)
推荐(0)
摘要：
Android 17 正式发布了。如果你只是扫了一眼新闻标题，大概率会觉得不过是又一轮 Feature Drop：Bubbles 升级了、录屏加了画中画、暗黑模式多了几个开关。 但细读下来，有意思的地方不在功能列表里，在 Google 对 "AI 进系统" 的思路变了——从 App 层套壳变成了内核
阅读全文
posted @ 2026-09-28 22:31
0xfisher
阅读(16)
推荐(0)
摘要：
所有人都说 AI 会取代工程师。但只看裁员新闻会错过一个反直觉的真相。 一、一组反直觉的数据 2026 年 5 月，美国裁员总数创下年内新高，AI 是雇主给出的第一大理由。按照直觉，软件工程师应该是被冲击得最惨的群体——AI 编码工具的能力肉眼可见地增长，Cursor、Copilot、Claude
阅读全文
posted @ 2026-09-28 22:31
0xfisher
阅读(13)
推荐(0)
摘要：
半年前还在威胁员工「不用 AI 就滚蛋」，现在开始偷偷锁 token 了。AI 省钱神话才讲了几个月，现实就拐了个大弯。 一、从「全员 AI」到「省着点用」 2026 年 6 月，404 Media 拿到了一段埃森哲内部的会议录音。AI 战略负责人 Justice Kwak 在里面说了一段让管理层坐
阅读全文
posted @ 2026-09-28 22:31
0xfisher
阅读(8)
推荐(0)
摘要：
Sina Weibo Inc. 发了篇技术报告，VibeThinker-3B，基于 Qwen2.5-Coder-3B，MIT 协议，3B 参数。数字不跟你讲道理：AIME26 拿 94.3，比 DeepSeek V3.2（671B）高 0.1，比 Kimi K2.5（1T）高 1.0。配合 CLR
阅读全文
posted @ 2026-09-28 22:31
0xfisher
阅读(7)
推荐(0)
摘要：
字节出了一款 AI IDE，叫 Trae。VS Code 改的，集成 Agent 模式和自动补全，内置 DeepSeek 和豆包模型，国内直接用。 字节做这个的逻辑：豆包做 C 端，火山引擎做云，DeepSeek 有投资关系，缺一个开发者入口。Cursor 有 IDE + Origin + Clou
阅读全文
posted @ 2026-09-28 22:31
0xfisher
阅读(15)
推荐(0)
摘要：
OpenAI 发布了 Codex 开放平台。消息很简短，但背后的信号值得拆解：这不是一次简单的 API 升级，而是 OpenAI 成立以来最大的一次战略转向——从「使用我们的模型」变成「使用我们的平台，你可以选择任何模型」。 对于一家以闭源模型起家、靠 GPT 系列 API 收入支撑 80 亿美元年
阅读全文
posted @ 2026-09-28 22:31
0xfisher
阅读(10)
推荐(0)
摘要：
Geoffrey Hinton 离开谷歌加入了 Anthropic。大部分人关注的是「奥特曼等了他十年没等到」的八卦角度。但你仔细想一下这件事的时点和逻辑：Hinton 早在 2023 年就离开谷歌了，期间 OpenAI 一直在试探他，他没有去。DeepMind 是他老东家的一部分，他也没回去。他选
阅读全文
posted @ 2026-09-28 22:31
0xfisher
阅读(6)
推荐(0)
摘要：
C 语言里有一个特性，可以说是「不安全中的不安全」——内联汇编（inline assembly）。它允许开发者在 C 代码中直接嵌入 CPU 指令，绕过编译器的所有安全检查，直接读写寄存器、标志位、甚至内存。一个错误的寄存器约束或者遗漏的 clobber 声明，就可能导致编译器生成错误的代码，造成内
阅读全文
posted @ 2026-09-28 22:31
0xfisher
阅读(9)
推荐(0)
摘要：
Proxmox VE 给了我两种选择：LXC 容器启动快、资源省，但一台宿主机内核被攻破，所有容器一起遭殃；KVM 虚拟机隔离性好，但启动要等 BIOS 自检、GRUB 加载、内核解压，一套下来 5-10 秒才看到登录提示符，每个虚拟机还要养着一整条模拟出来的 PCI 设备链。 Rui Carmo
阅读全文
posted @ 2026-09-28 22:31
0xfisher
阅读(9)
推荐(0)
摘要：
SpaceX 花 600 亿美金买 Cursor 的消息出来当天，市值蒸发 6000 亿。华尔街的直觉是「马斯克又冲动了」。但这个判断忽略了一件事：Cursor 在过去半年里已经从 IDE 插件悄悄长成了一个完整的开发者平台，而大多数人只注意到它「AI 改 VS Code」的那一面。 我翻了 Cur
阅读全文
posted @ 2026-09-28 22:31
0xfisher
阅读(23)
推荐(0)
摘要：
上周 HN 上一个叫「Stop Using JWTs」的 gist 拿了 400 多赞和 250 多条评论，讨论热烈得像是后端版的「vim vs emacs」。 正好这段时间在重构一个项目的认证模块，借这个机会聊聊这个话题。 JWT 的问题不在技术，在用途 JWT 本身是一个签名 token 标准，
阅读全文
posted @ 2026-09-28 22:31
0xfisher
阅读(4)
推荐(0)
摘要：
上周 HN 上 Vicki Boykis 的一篇《Running local models is good now》拿了一千多赞和五百多条评论。看了之后试了一下，结论和她差不多：本地模型不再是玩具了。 这篇文章讲讲 2026 年中这个时间点，本地跑模型的真实体验和踩坑记录。 为什么现在「可以了」 本
阅读全文
posted @ 2026-09-28 22:31
0xfisher
阅读(8)
推荐(0)
摘要：
今天 AI 圈最大的新闻，当属智谱（Z.ai）正式发布 GLM-5.2——一个在 Artificial Analysis Intelligence Index 上以 51 分 登顶开源榜首的模型，压过 MiniMax-M3（44 分）和 DeepSeek V4 Pro max（44 分）。 51 分
阅读全文
posted @ 2026-09-28 22:30
0xfisher
阅读(11)
推荐(0)
摘要：
今天 HoneyLabs 发布了一篇有意思的分析。CVE-2026-4020——WordPress Gravity SMTP 插件的一个未授权信息泄露漏洞——在大多数人反应过来之前，已经被同一个攻击者用几千台云主机扫了个遍。 这篇分析从攻击者的角度拆一下这个漏洞和它背后的大规模凭据收割操作。 漏洞本
阅读全文
posted @ 2026-09-28 22:30
0xfisher
阅读(12)
推荐(0)
摘要：
2026年6月16日 · 深度技术研究 导语 6 月中旬有篇深度分析在开发者社区流传，题目大意是"轨道数据中心比硅谷想象中难得多"（Solidot 编译自外媒报道）。它针对的是过去一年越来越热的叙事：把整个数据中心发射到低地球轨道（LEO），用太阳能供电，绕开地面数据中心的电力瓶颈，顺便靠真空"免费
阅读全文
posted @ 2026-09-28 22:30
0xfisher
阅读(21)
推荐(0)
摘要：
早上刷今天的趋势榜，连续看到几篇文章都在说同一个事——「别再把 AI Agent 当作聊天机器人了」「AI Skills 工程化」「AI Agent 干中学」。加上 Solidot 那条「AI 智能体试图扫描 DN42 时把主人搞破产」的新闻，突然觉得这个话题值得好好聊一下。 过去一年，大家都被各种
阅读全文
posted @ 2026-09-28 22:30
0xfisher
阅读(9)
推荐(0)
摘要：
2026年6月14日 · 深度技术研究 导语 6 月中旬，安全研究者公开了一份扫描结果：Arch Linux 的 AUR（Arch User Repository）里一次性发现超过 400 个被植入恶意代码的包，随后几天社区又报告了"新一轮"投毒。 400 这个数字本身不算惊人，PyPI、npm 每
阅读全文
posted @ 2026-09-28 22:30
0xfisher
阅读(15)
推荐(0)
摘要：
上周家里的网断了几次，我盯着终端里转圈的 Cursor，第一次认真问自己：AI 编程助手为什么非要依赖云端？ 这个问题把我推进了一个周末的折腾。结果还行——我在一台 M1 Max 上跑起了 26B 参数的 Gemma 4，生成速度从 58 tok/s 提到了 72 tok/s，支持截图输入，用 Pi
阅读全文
posted @ 2026-09-28 22:30
0xfisher
阅读(16)
推荐(0)
摘要：
大模型生成文本的方式，过去几年几乎是清一色的自回归——从左到右，一个 token 一个 token 往外蹦。Google DeepMind 新发布的 DiffusionGemma 推翻了这个假设：它把图像生成那套扩散（diffusion）玩法搬到了文本上，一次生成一整块输出。 这篇文章说的是技术原理
阅读全文
posted @ 2026-09-28 22:30
0xfisher
阅读(7)
推荐(0)
摘要：
上个月，Fedora 的 Anaconda 安装器里混进了一段不该存在的代码。提交者是一个看起来正常的人类账户，有八年参与历史，PR 描述头头是道。维护者审了几轮，对方每次都耐心回复，解释充分得让人不好意思再质疑。最终代码合入，进了 Anaconda 45.5 正式发布版。 一周后，这段代码被紧急
阅读全文
posted @ 2026-09-28 22:30
0xfisher
阅读(3)
推荐(0)
摘要：
昨天 Ars Technica 的 Dan Goodin 报了一个漏洞，标题很有画面感：High-severity vulnerability in Linux caused by a single faulty character。一个感叹号，把 Linux 内核的 nf_tables 子系统变成
阅读全文
posted @ 2026-09-28 22:30
0xfisher
阅读(9)
推荐(0)
摘要：
Anthropic 昨天（6 月 9 日）发布了 Claude Fable 5，同时发布的还有面向安全机构的 Mythos 5。这不是一次普通的模型升级——他们把 Mythos 级别的能力装上了安全限制，向所有开发者开放了。 Fable 5 是目前 Anthropic 公开可用的最强模型。几乎所有基
阅读全文
posted @ 2026-09-28 09:01
0xfisher
阅读(15)
推荐(0)
摘要：
一、事件概述：暗网核弹引爆 2026年6月，印度电子与半导体制造巨头塔塔电子（Tata Electronics）确认遭遇重大网络安全事件。勒索软件组织 WorldLeaks 攻破了其核心工程数据库，窃取并公开发布了超过 20.43万份文件，数据总量约 630.4GB[1][2]。 攻击最早发生于20
阅读全文
posted @ 2026-09-28 09:01
0xfisher
阅读(6)
推荐(0)
摘要：
今天HN首页有三条新闻放在一起看挺有意思：微软关了一批GitHub仓库，苹果发了新AI架构，Signal写了一封公开信怼英国政府。表面上是三件事，但背后都指向同一个问题——开发者工具链的信任链条正在从多个方向同时断裂。 作为一个做安全的人，我看到这三条新闻的第一反应不是惊讶，而是"终于来了"。供应链
阅读全文
posted @ 2026-09-28 09:01
0xfisher
阅读(8)
推荐(0)
摘要：
SafeDep 最近披露的 Miasma 蠕虫事件，说实话，看得我有点后怕。攻击者往 mantine-datatable 的仓库里提了一个 commit，标题写着 "chore: update dependencies [skip ci]"，人畜无害。但这个 commit 加了 7 个文件——6 个
阅读全文
posted @ 2026-09-28 09:01
0xfisher
阅读(10)
推荐(0)
摘要：
2026年6月7日科技速递：高考AI监考、芯片股暴跌、谷歌Gemini漏洞、OpenAI人才流失 今天是2026年全国高考第一天，科技圈也发生了不少大事。从AI监考到芯片股暴跌，从谷歌Gemini漏洞到OpenAI人才流失，今天的科技速递带你一文看尽。 1. 高考AI监考：AI巡查系统全面启用 20
阅读全文
posted @ 2026-09-28 09:01
0xfisher
阅读(5)
推荐(0)
摘要：
Meta AI聊天机器人被利用劫持2万Instagram账号：一个"功能正常"的致命漏洞 本周安全圈最大的瓜，不是哪个零日漏洞被曝光，而是Meta自己承认了一个让人哭笑不得的事实：他们的AI聊天机器人被黑客玩了几个月，两万多Instagram账号被劫持，而官方的说法是——"工具本身工作正常"。 发生
阅读全文
posted @ 2026-09-28 09:01
0xfisher
阅读(7)
推荐(0)
摘要：
这周安全圈最热的事件，来自一个看似无害的 AI 功能。 Meta 确认，其 Instagram 内置的 Meta AI chatbot 被攻击者利用了一个认证验证漏洞，导致至少 20,225 个 Instagram 账号被劫持。攻击持续时间近两个月——从 4 月 17 日到 6 月初 Meta 紧急
阅读全文
posted @ 2026-09-28 09:01
0xfisher
阅读(10)
推荐(0)
摘要：
2026 年 5 月底，开源社区爆发了一场围绕 rsync 的舆论风暴。核心指控很简单也很直白：rsync 维护者用 Claude 辅助写代码，导致这个几十年来以稳定著称的工具质量崩塌。这张嘴就来的叙事在 48 小时内走完了社交网络的完整生命周期——Mastodon 原帖千赞千转，Hacker Ne
阅读全文
posted @ 2026-09-28 09:01
0xfisher
阅读(4)
推荐(0)
摘要：
Claude Mythos：AI 网络安全能力的质变时刻 2026 年上半年，安全圈最火的词不是哪个新 CVE，而是 Anthropic 的 Claude Mythos。Mozilla 用它在 Firefox 里找到了 271 个漏洞，"几乎没有误报"；curl 维护者 Daniel Stenber
阅读全文
posted @ 2026-09-28 09:01
0xfisher
阅读(6)
推荐(0)
摘要：
2026年6月技术热点速递 今天从 Hacker News 前端挑了几个值得聊的话题，涉及 LLM 成本优化、AI 代码审查、微软 Linux 战略、以及一个硬件黑客工具。 1. Lowfat：省掉 91.8% 的 LLM Token 用 Claude Code 或 Codex 写代码的人都知道，T
阅读全文
posted @ 2026-09-28 09:01
0xfisher
阅读(6)
推荐(0)
摘要：
今天 HN 上有两条新闻放一起看很有意思。Ladybird 浏览器宣布不再接受公开 Pull Request。同一天，Anthropic 开源了一个叫 DCRH 的自主漏洞挖掘框架。一个在关门，一个在开门。背后是同一件事：AI 正在瓦解我们对"代码贡献"这件事的默认假设。 Ladybird 关上了门
阅读全文
posted @ 2026-09-28 09:00
0xfisher
阅读(11)
推荐(0)
摘要：
目录 一、漏洞概述 二、Workspace Agents架构概述 三、AgentForger攻击链深度分析 四、恶意Prompt工程 五、Preview Mode的安全缺陷 六、持久化与C2信道 七、根因分析 八、与传统CSRF对比 九、防御方案 十、AI Agent安全Checklist 十一、总
阅读全文
posted @ 2026-09-28 09:00
0xfisher
阅读(6)
推荐(0)
摘要：
6月2日，安全研究员 Ammar Askar 披露了一个 VSCode 漏洞：点一个链接，就能窃取你的 GitHub Token，拿到所有仓库（含私有）的读写权限。 PoC 已公开，攻击链完整可复现。 攻击入口：github.dev github.dev 是 GitHub 的在线编辑器，把 gith
阅读全文
posted @ 2026-09-28 09:00
0xfisher
阅读(5)
推荐(0)
摘要：
上周我还在想，AI 基建投入是不是快到顶了。然后 Alphabet 宣布了一笔 800 亿美元的融资计划——专门用于 AI 基础设施和算力建设。几乎同时，Anthropic 秘密递交了 IPO 申请，阿里发布了 Qwen3.7-Plus 多模态智能体模型。而在这些光鲜数字的另一面，Red Hat 的
阅读全文
posted @ 2026-09-28 09:00
0xfisher
阅读(6)
推荐(0)
摘要：
本周 Hacker News 最热的帖子是一句话：「Claude Opus 4.8」——1762 分，1366 条评论。作为一个每天和 AI 打交道的开发者，我花了一个下午读完了 Anthropic 的发布文章和社区讨论，想聊聊这次更新的真正意义。 不是参数翻倍，是「能力密度」的提升 如果你期待 O
阅读全文
posted @ 2026-09-28 09:00
0xfisher
阅读(4)
推荐(0)
摘要：
这两天开发者社区最炸的消息：GitHub Copilot 不再按月定额收费，改按 token 计费了。 "GitHub 不装了，用户炸锅了"——这是 V2EX 上的原话。从 $10/月无限用，到每一行补全、每一次对话都精确计费，这不是涨价，是计费模型的彻底翻篇。而且不只是 Copilot：Curso
阅读全文
posted @ 2026-09-28 09:00
0xfisher
阅读(18)
推荐(0)
摘要：
昨天刚写完 Token 预算失控，今天现实就送来一个教科书级别的案例。 5 月 30 日，V2EX 上炸了一条帖子：一家公司忘了给 Claude 设限额，一个月烧掉 5 亿美元。 不是年预算，不是项目预算，是一个月的账单。同时，Flathub 宣布禁止 AI 生成的应用上架，阮一峰在周刊里写了"To
阅读全文
posted @ 2026-09-28 09:00
0xfisher
阅读(7)
推荐(0)
摘要：
5 月 29 日，一条消息在开发者圈子里炸了：Anthropic 估值达到 9650 亿美元，首次超过 OpenAI。 同一天，Claude Opus 4.8 被开发者社区疯狂实测，最重要的一个评价是——"AI 终于学会承认自己不知道了"。 这两件事放在一起看，有一个信号越来越清晰：AI 编程的牌桌
阅读全文
posted @ 2026-09-28 09:00
0xfisher
阅读(5)
推荐(0)
摘要：
5 月 28 日出了几条看起来不相关的消息，串在一起看，拼出了 AI 行业一个清晰的信号：烧钱游戏进入下半场，开始算账了。 Meta 宣布把 AI 聊天机器人和社交流量全部装进订阅服务——AI 的免费午餐正式结束。同一天，Snowflake 宣布斥资 400 亿美元加码算力，股价盘后暴涨 38%。隔
阅读全文
posted @ 2026-09-28 09:00
0xfisher
阅读(4)
推荐(0)
摘要：
5 月 27 日，半导体行业出现了两个里程碑：美光科技市值突破 1 万亿美元，SK 海力士同步破万亿。同一天，SK 海力士发布了 iHBM（智能高带宽内存）技术——在内存芯片上直接集成控温散热能力。而就在几周前，美光 CEO 公开警告：HBM 内存成本已经占到 AI 芯片组件成本的 2/3。 三件事
阅读全文
posted @ 2026-09-28 09:00
0xfisher
阅读(8)
推荐(0)
摘要：
5 月 26 日的技术圈，两条看似不相关的消息放在一起看，拼出了 AI 工程化当前最真实的处境。 一边是方法论在进化——开发者社区讨论从 Vibe Coding 到 SDD（Spec-Driven Development）的范式迁移。另一边是账单在爆炸——HBM 内存成本已占 AI 芯片的 2/3，
阅读全文
posted @ 2026-09-28 09:00
0xfisher
阅读(5)
推荐(0)
摘要：
5 月 25 日，InfoQ 爆出一则消息：DeepSeek 正在招人组建 Harness 团队，目标是从零打造一套 Agent 开发基础设施。"模型之外，皆属 Harness"——这句话的潜台词是：模型本身已经不是瓶颈了，怎么把模型用好、用稳、用到生产环境，才是真正的硬仗。 同一时间，开发者社区里
阅读全文
posted @ 2026-09-28 09:00
0xfisher
阅读(5)
推荐(0)
摘要：
5 月 24 日的开发者社区，几个话题撞在了一起： 有人提问："什么是 Agent-Native？如何把网站升级成面向 AI Agent 的网站？" 有人分享："开源 AI Agent：OpenCode 集成 OMO 原理及实践" 多处出现 "手把手教你写一个 AI Skill" 的帖子 这些表面上
阅读全文
posted @ 2026-09-28 09:00
0xfisher
阅读(7)
推荐(0)
摘要：
安全 供应链攻击 VS Code DevSecOps 5 月 23 日，一条消息在开发者社区炸开了锅：GitHub 被黑了，3800 个内部仓库泄漏。更让人后背发凉的是攻击入口——一个 VS Code 插件。没错，就是那种你每天在 Marketplace 随手点安装的东西。 这条消息之所以震动，不是
阅读全文
posted @ 2026-09-28 09:00
0xfisher
阅读(7)
推荐(0)
摘要：
AI编程 ZeroLang 供应链安全 开发者生态 2026年5月有几件事撞在一起，拼出了一个让我警觉的图景。 ZeroLang：不是给"人"用的编程语言 Vercel Labs 开源了 ZeroLang，一周4000+ star。官方描述只有一句话："The programming languag
阅读全文
posted @ 2026-09-28 09:00
0xfisher
阅读(11)
推荐(0)
摘要：
AI Agents ZeroLang 本地推理 趋势 五月份 GitHub 上有两个项目火了，背后的信号比项目本身更有意思。 ZeroLang：为 AI Agent 设计的编程语言 Vercel Labs 上周开源了 ZeroLang，一周内拿下 4000+ star。官方描述只有一句话："The
阅读全文
posted @ 2026-09-28 09:00
0xfisher
阅读(8)
推荐(0)
摘要：
目录 一、漏洞概述 二、DirtyFrag漏洞家族全景 三、Linux页缓存机制详解 四、__pskb_copy_fclone()漏洞根因分析 五、完整利用链7步深度分析 六、AES-CBC写入原语 七、无痕性分析 八、利用环境搭建与PoC框架 九、防御方案 十、总结 免责声明 一、漏洞概述 CVE
阅读全文
posted @ 2026-09-28 09:00
0xfisher
阅读(13)
推荐(0)
摘要：
一、入口漏洞：CVE-2026-39987 marimo 终端 WebSocket 预认证 RCE 1.1 漏洞基本信息 属性 值 CVE 编号 CVE-2026-39987 CVSS v4.0 9.3（严重） 漏洞类型 预认证远程代码执行（CWE-306：关键功能缺少身份验证） 影响产品 Mari
阅读全文
posted @ 2026-09-28 09:00
0xfisher
阅读(6)
推荐(0)
摘要：
一、漏洞概述 CVE编号：CVE-2026-33555 披露日期：2026年4月14日 影响组件：HAProxy HTTP/3 (QUIC) 反向代理实现 漏洞类型：跨协议请求走私（Cross-Protocol Request Smuggling） CVSS 3.1 评分：9.8（Critical）
阅读全文
posted @ 2026-09-28 09:00
0xfisher
阅读(20)
推荐(0)
浙公网安备 33010602011771号