摘要：
上周五，Hacker News 首页挂了个叫 "Exfiltrate Your Weights" 的项目，474 分、188 条评论。作者是 Trevor Blackwell（HN 上大家都叫他 tlb，Y Combinator 早期合伙人，做过机器人公司 Anybots，也是那个折腾了好几年个人
阅读全文
posted @ 2026-10-06 08:15
0xfisher
阅读(18)
推荐(0)
摘要：
"重启就好了"是运维圈最古老的一句话。瑞典皇家理工学院（KTH）的研究人员把它当真了，而且是用在关键基础设施（ICS/OT）的入侵响应上：他们训练了一个自主防御 Agent，检测到入侵进展后，直接复位主机、轮换凭证、换掉 IP，靠"重启"来打断攻击者的立足点。论文标题就叫 Turn it off a
阅读全文
posted @ 2026-10-06 08:15
0xfisher
阅读(6)
推荐(0)
摘要：
Hacktron 团队公开了今年 7 月的一次攻击记录：三名研究员用不到 72 小时，从一张 HEIC 图片的上传通道打进了 OpenAI 的内部代码仓库。项目整体历时两个月，token 成本不到 3,000 美元。 真正值得拆的不是"打进了 OpenAI"，而是这条链路上的两个环节：一个没有 CV
阅读全文
posted @ 2026-10-06 08:15
0xfisher
阅读(10)
推荐(0)
摘要：
Postgres 的查询优化器是个老问题了。Leis 等人在 2015 年问过"查询优化器到底有多好"，2025 年又问了第二遍。十年过去，结论没变多少：优化器依然在大量查询上选不出好计划。 Rohan Bansal 做了个反直觉的尝试：不改进优化器算法，而是训练一个 4B 小模型去"指挥" Pos
阅读全文
posted @ 2026-10-06 08:15
0xfisher
阅读(6)
推荐(0)
摘要：
Cisco Secure Firewall Management Center（FMC）是管理整套 Firepower 防火墙的中枢，管着策略下发、日志汇聚、补丁升级。这样一个设备被打穿，等于把整个边界防御体系的后门钥匙交了出去。CVE-2026-20079 就是这么一颗雷：CVSS 10.0，未认
阅读全文
posted @ 2026-10-06 08:15
0xfisher
阅读(17)
推荐(0)
摘要：
SGLang 是当前部署 LLM 的主流推理框架之一，以 RadixAttention 和极高的吞吐著称。但过去一年里，它几乎成了"不安全反序列化"的活教材：从 2025 年的 CVE-2025-10164 开始，SGLang 一路被挖出十几个反序列化相关的漏洞。9 月 11 日公开的 CVE-20
阅读全文
posted @ 2026-10-06 08:15
0xfisher
阅读(17)
推荐(0)
摘要：
最近 Ars Technica 和几家安全媒体都在报同一件事：ClickFix 攻击正以病毒式速度扩散，而且这次把 Mac 用户也拉下了水。它不是新漏洞，甚至没有一行真正的"恶意代码"藏在下载里——它只靠一次复制粘贴，就让受害者自己把窃密木马跑起来。这篇文章把这个攻击链一层层拆开，讲清楚它为什么难防
阅读全文
posted @ 2026-10-06 08:11
0xfisher
阅读(32)
推荐(0)
摘要：
FSCALE 是 8087 里最不起眼的指令之一：把浮点数按 2 的整数次幂缩放，比走完整浮点乘法快。它的数学含义就是"给指数加个整数"。 Ken Shirriff 在 Opcode Collective 里把这条指令的微码翻了个底朝天，结论是它用了 140 多条微指令、三层子程序调用。他原本以为这
阅读全文
posted @ 2026-10-06 08:11
0xfisher
阅读(6)
推荐(0)
摘要：
2026 年 5 月 11 日，超过 2000 个恶意 gem 包被批量推到 RubyGems 上。RubyGems 官方当天的判断是"持续 DDoS 流量"，于是关掉了新用户注册，一封就是四天。安全厂商把这次事件命名为 GemStuffer 战役，但同期报道里都带着同一个困惑——这些包到底想干什么
阅读全文
posted @ 2026-10-06 08:11
0xfisher
阅读(19)
推荐(0)
摘要：
9 月 5 日，CERT Polska 发了一份措辞少见的预警：他们发现并协调披露了 MikroTik RouterOS 里的 6 个漏洞，其中两条组合成一条被命名为「MikroTrick」的攻击链，能让攻击者在零认证的前提下，通过 SSH 完全控制一台暴露在公网的设备。更罕见的是，MikroTik
阅读全文
posted @ 2026-10-06 08:11
0xfisher
阅读(33)
推荐(0)
摘要：
Wiz Research 上个月公开了一份漏洞报告，我读完觉得这是今年最值得写的 CI/CD 安全案例，没有之一。它的主角不是某个 CVE，而是两个 AI 在同一条链上的对撞。 一边，GitHub Copilot Autofix 参与审查了 Snowflake 一个公开仓库的 PR，对其中引入脚本注
阅读全文
posted @ 2026-10-06 08:11
0xfisher
阅读(16)
推荐(0)
摘要：
LiteLLM 连中三发：大模型网关为什么成了密钥金库的入口 9 月 2 日，CISA 把 BerriAI LiteLLM 的第三个漏洞 CVE-2026-59822（认证缺陷）拉进了 KEV 目录——已知被利用漏洞目录。加上 5 月的 CVE-2026-42208（SQL 注入）和 6 月的 CV
阅读全文
posted @ 2026-10-06 08:11
0xfisher
阅读(14)
推荐(0)
摘要：
Mathew McPherrin 最近做了一件很"手痒"的事：把一家 90 年代根证书机构（CA）的 RSA 私钥完整分解了出来，还顺手搭了个只能被 Netscape 4.51 访问的网站证明它真的能用。这不是炒作，是实打实的密码学考古——从 archive.org 挖出老浏览器的安装包，用 CAD
阅读全文
posted @ 2026-10-06 08:11
0xfisher
阅读(13)
推荐(0)
摘要：
上下文窗口越做越大，1M token 已经不算新闻，但开发者反而越来越频繁地遇到一件事：模型"失忆"。会话一长，推理质量就开始漂移，成本跟着每个回合线性上涨；一旦 /clear 清空上下文，之前敲定的架构决策、用户约束、项目状态全部蒸发，下一轮对话得从头解释。 Engrim 这个项目想解决的就是这件
阅读全文
posted @ 2026-10-06 08:11
0xfisher
阅读(6)
推荐(0)
摘要：
有一篇 arXiv 论文值得每个做构建系统的人读：《Trusting-Trust Attack against an Entire Linux Distribution through Binary Manipulation》，作者是 Julien Malka、Aman Sharma、Martin
阅读全文
posted @ 2026-10-06 08:11
0xfisher
阅读(6)
推荐(0)
摘要：
九月初最值得关注的浏览器漏洞是 CVE-2026-85046：Google Chrome 的 V8 引擎里一个类型混淆（type confusion）漏洞，已经被证实在野利用。它的影响范围不止 Chrome——所有基于 Chromium 的浏览器都继承了这段代码，这也是"所有 Chromium 版本
阅读全文
posted @ 2026-10-06 08:11
0xfisher
阅读(14)
推荐(0)
摘要：
Neil Fraser 在 9 月 3 日写了篇《.name Termination》。这不是技术教程，但它记录了一件对很多人有实际安全影响的事：他用了二十五年的域名要被整个撤掉了，而且撤掉的方式会给攻击者留一个接管他数字身份的口子。 我把这篇放在技术博客里，是因为它把"域名是身份"这件事讲得很具体
阅读全文
posted @ 2026-10-06 08:11
0xfisher
阅读(7)
推荐(0)
摘要：
Polars 的作者 Ritchie Vink 在 9 月 2 日发了《Pre-release of Polars 2.0》，第一个 release candidate 上线，正式版预计几周内。文章开头有一句我挺喜欢的话，大意是：我们不打算把 2.0 做成一个大功能版本，反而希望它对你是"无聊的"。
阅读全文
posted @ 2026-10-06 08:11
0xfisher
阅读(10)
推荐(0)
摘要：
kciter 写了篇《The browser's main thread is expensive》。这个话题不新，但这篇有个优点：它把"主线程"当成一种有明确预算的稀缺资源来讲，而不是"慢就优化"。 主线程到底在干什么 浏览器的主线程负责串行执行这一串工作：解析和构建 DOM、计算 CSSOM、样
阅读全文
posted @ 2026-10-06 08:11
0xfisher
阅读(6)
推荐(0)
摘要：
ImHex 的作者 WerWolv 写了篇《Reverse Engineering Unknown File Formats with ImHex》，用一个游戏存档（FEZ，2012 年的游戏）做例子，把"拿到一个二进制文件，最后写出结构化解析"的完整过程走了一遍。 这类文章不多见。多数格式逆向教程
阅读全文
posted @ 2026-10-06 08:11
0xfisher
阅读(16)
推荐(0)
摘要：
Qubes OS 在八月底发了 QSB-118，标题是"Dom0 在 qvm-copy-to-vm 错误上报中的任意代码执行"。这份安全公告的技术描述很短，但它是一个很干净的信任边界漏洞案例，值得逐句拆开看。 漏洞本体 公告里的 Summary 只有一句： 如果用 qvm-copy-to-vm 把一
阅读全文
posted @ 2026-10-06 08:11
0xfisher
阅读(6)
推荐(0)
摘要：
GrapheneOS 项目公开指出，Pixel 11 不再支持硬件内存标记（MTE）。这条消息在技术圈没什么水花，但我觉得它是这一季度最值得写的硬件安全变化之一——因为 MTE 不是个锦上添花的特性，它是这几年最有效的一类"能跑在生产环境的内存错误检测器"，而 GrapheneOS 已经用它抓出了一
阅读全文
posted @ 2026-10-06 08:06
0xfisher
阅读(4)
推荐(0)
摘要：
Lakr233 开源了一个叫 vphone-cli 的工具，能在 Apple Silicon 的 Mac 上启动一台虚拟 iPhone。它的 README 很直白：用 Apple 的 Virtualization.framework，复用 PCC 研究虚拟机的基建。 这条值得记，因为它揭示了一个之前
阅读全文
posted @ 2026-10-06 08:06
0xfisher
阅读(7)
推荐(0)
摘要：
Cloudflare 发了篇《How we saved 100 terabytes of memory by optimizing 1.1.1.1's DNS cache》。这类文章我很少错过，因为它把"内存优化"这件听起来抽象的事，落到了具体的字节账上。 先把量级摆出来 支撑 1.1.1.1 的平
阅读全文
posted @ 2026-10-06 08:06
0xfisher
阅读(6)
推荐(0)
摘要：
Asahi Linux 团队发了 Linux 7.2 的进展报告。这类报告我每期都看，因为它是少数几个"大规模逆向未公开硬件"的一线记录——你要在没有文档、没有厂商支持的前提下，把一整块 SoC 接到 Linux 上，遇到的每个问题都是新的。 这一期有两个进展值得单独说：M3 系列的 USB 3.0
阅读全文
posted @ 2026-10-06 08:06
0xfisher
阅读(4)
推荐(0)
摘要：
EVE Online 官方八月底发了篇《The Move to Python 3 Begins》。表面上是运营公告，实际上是技术博客——它透出的几个数字，比多数"架构升级"文章实在得多。 EVE 这套服务器用 Python 跑了二十多年。2007 年升到 Stackless Python 2.5，2
阅读全文
posted @ 2026-10-06 08:06
0xfisher
阅读(6)
推荐(0)
摘要：
xusheng 在八月底发了一篇《Microsoft Paint and Photos Embed Server-Issued GUIDs as Invisible Watermarks in Locally-Generated Images》，讲他逆向微软 Paint 和 Photos 的过程。结
阅读全文
posted @ 2026-10-06 08:06
0xfisher
阅读(7)
推荐(0)
摘要：
Farid Zakaria 有篇博客《Your executable is a SQLite database》，讲他想把 ELF 换成 SQLite 作为可执行格式。他博士期间就在琢磨这事，写过一篇没发出去的论文（arXiv:2405.03883），最近又把它捡起来做成了能跑的原型，叫 SELF。
阅读全文
posted @ 2026-10-06 08:06
0xfisher
阅读(5)
推荐(0)
摘要：
malisper 写了篇《JIT Compiling Code in 5μs》，讲他在 pgrust（一个用 Rust 重写 PostgreSQL 的项目）里把 JIT 编译做到约 5 微秒。这个数字的意义不是"快"，而是它跨过了一条能力边界：编译足够便宜之后，你可以给每一条 SQL 查询都做 JI
阅读全文
posted @ 2026-10-06 08:06
0xfisher
阅读(3)
推荐(0)
摘要：
有人花了四个月做了一个 Rust 的替代 LSP，叫 Rust Glancer，八月底挂上 Hacker News。它的卖点很集中：内存占用目标 100MB 以内，而且编辑器重启后不需要重新索引。 我平时不太关注"又一个 LSP"，但这条值得看，因为它把一个被普遍接受的坏现象——语言服务器吃几个 G
阅读全文
posted @ 2026-10-06 08:06
0xfisher
阅读(5)
推荐(0)
摘要：
2026 年 8 月 20 日，crates.io 上流行的 Rust crate arrayref 出了一个被污染的版本 0.3.10。它没有改自己的代码，而是给依赖树里塞了一个打字错误仿冒包 proc-macro1，后者的构建脚本会在你编译项目的时候下载并运行一个远端二进制。crates.io
阅读全文
posted @ 2026-10-06 08:06
0xfisher
阅读(13)
推荐(0)
摘要：
事情要从一副蓝牙耳机说起。 我的耳机支持 multipoint，可以同时连 PC 和手机。平时 PC 优先出声，手机在 PC 空闲时接管播放。这套机制一直很稳，直到我打开 AliExpress 首页。 打开页面几秒钟后，手机音乐戛然而止；关掉标签页立刻恢复。静音标签页、静音 Firefox、静音 W
阅读全文
posted @ 2026-10-06 08:06
0xfisher
阅读(5)
推荐(0)
摘要：
上周 Mojo 发 1.0（带 source stability 承诺），这周 Modular 把整个编译器、工具链，以及所有构建这门语言需要的东西都开源了，许可证是 Apache 2.0（附 LLVM exceptions），代码进 modular 的 GitHub 仓库。发布节奏值得注意：先承诺
阅读全文
posted @ 2026-10-06 08:06
0xfisher
阅读(12)
推荐(0)
摘要：
pixelcluster 的 GPU 博客有一篇《Beyond the Limits of Physical VRAM》，讲的是显存管理补丁经过数月 mailing list 拉扯之后终于进了主线，排进 Linux 7.3。作者前一篇讲的是改进游戏显存管理，留了一句尾注：只要游戏用的显存不超过你实际
阅读全文
posted @ 2026-10-06 08:06
0xfisher
阅读(8)
推荐(0)
摘要：
安全客今天的头条很扎眼：一个 CVSS 10.0 的漏洞，官方补丁发布的第三天就出现了野外利用。这种事现在频繁到已经不算新闻了，但它背后那条技术链，值得拆开讲清楚。攻击者为什么能掐着补丁的节奏，补丁一落地，攻击跟着落地？答案基本是三个字：补丁差分（patch diffing）。 一、满分 10.0
阅读全文
posted @ 2026-10-06 08:06
0xfisher
阅读(13)
推荐(0)
摘要：
Sankalp 在 GPU Mode 的 qr_v2 竞赛里拿了第 12 名（183 人参赛），相对 baseline 提速 232 倍。他八月初把过程写成了《Auto-research with codex》。我看完的第一反应不是"232 倍很猛"，而是这个数字背后的方法：他没有手写汇编，而是把"
阅读全文
posted @ 2026-10-06 08:05
0xfisher
阅读(7)
推荐(0)
摘要：
Dmitry Grinberg 写了篇长文《RISC-V: They Should Have Known Better》，八月十四号挂上 Hacker News，两天里在两个提交下都上了首页。这类文章通常情绪大于信息量，这篇例外：它几乎每一条抱怨都落到具体比特，可以直接拿 objdump 验证。 我
阅读全文
posted @ 2026-10-06 08:01
0xfisher
阅读(7)
推荐(0)
摘要：
八月十四号 Hacker News 上有个帖子很扎眼：《Single log line is 49KB+ (ext4) / 110KB+ (btrfs) of systemd-journald disk writes》。来源是 systemd 仓库的 issue #40262，标题更朴素——"Exc
阅读全文
posted @ 2026-10-06 08:01
0xfisher
阅读(7)
推荐(0)
摘要：
安全社区这两天在传一件事：一个号称"冷存储"的钱包，1755 枚比特币一夜之间被转空，按当时市价折合约 1.1 亿美元。攻击者没有爆破私钥，没有攻破硬件钱包，也没有钓鱼。整条链上只有一个破绽：钱包在签名时用了一个不随机的随机数。 这就是 ECDSA nonce 复用攻击。它比你想的更古老，也比你想象
阅读全文
posted @ 2026-10-06 08:01
0xfisher
阅读(13)
推荐(0)
摘要：
Chrome 开始正式部署 DBSC（Device Bound Session Credentials，设备绑定会话凭证）。Ars Technica 8 月 12 日的报道把它称作"目前对抗账号接管最有效的保护之一"，但真正有意思的东西不在新闻里，在 WICG 的规范文档里。 问题的本质：Cooki
阅读全文
posted @ 2026-10-06 08:01
0xfisher
阅读(6)
推荐(0)
摘要：
iMessage 在 Linux 上一直没有正经客户端。常见的绕法是架一台 Mac 做中继、登录账号走云服务，或者干脆放弃。BlueFerry 换了一条路：不碰云端，不碰账号，只用一个配对的 iPhone 和蓝牙标准 profile，把 SMS、RCS 和 iMessage 拉到 Linux 桌面上
阅读全文
posted @ 2026-10-06 08:01
0xfisher
阅读(5)
推荐(0)
摘要：
导语 过去二十年，网络安全的底层逻辑从未真正改变过：杀毒靠特征码，防火墙靠五元组，WAF靠规则库，IDS靠攻击签名。本质上都是"已知攻击匹配"的思路。但AI时代的到来，正在彻底颠覆这一范式——当攻击可以无特征、可变形、自适应时，传统防护体系正在系统性失效。一场安全技术的范式革命正在发生。 一、传统范
阅读全文
posted @ 2026-10-06 08:01
0xfisher
阅读(8)
推荐(0)
摘要：
导语 英特尔新一代至强处理器Diamond Rapids，正式定名Xeon 7系列，最高配置达到惊人的256个性能核心（P-Core）。这是英特尔历史上核心数最多的至强产品，直接对标AMD EPYC与霄峰系列，瞄准高密度计算、云原生、AI推理市场。本文解析架构要点、竞品对比、功耗与内存带宽表现。 一
阅读全文
posted @ 2026-10-06 08:01
0xfisher
阅读(17)
推荐(0)
摘要：
导语 甲骨文正式发布政策：OpenJDK主线分支全面禁止接受AI生成的代码。无论是AI编写、AI重构还是AI修复的代码，都不能直接合并进入官方代码库。这一决定在开源社区引发巨大争议，也让"AI生成代码的版权归属与合规风险"问题，从幕后彻底走向台前。 一、OpenJDK政策核心要点 甲骨文针对Open
阅读全文
posted @ 2026-10-06 08:01
0xfisher
阅读(7)
推荐(0)
摘要：
导语 私有化部署、离线运行是很多企业和开发者的刚需。DeepSeek-V4-Flash的轻量化特性，让普通消费级显卡也能跑起高质量大模型成为可能。本文带来完整的本地部署实操指南，详细对比不同GGUF量化等级的显存占用、推理速度、精度差异，给出不同硬件的最优部署方案。 一、先搞懂GGUF量化等级 GG
阅读全文
posted @ 2026-10-06 08:01
0xfisher
阅读(67)
推荐(0)
摘要：
导语 谷歌联合创始人谢尔盖·布林重新深度参与AI业务，亲自带队Gemini 4项目。创始人下场一线，在谷歌历史上并不多见，也从侧面反映了谷歌在AI竞争中的焦虑。当前大模型第一梯队格局逐渐清晰：OpenAI领跑，谷歌和Meta激烈争夺第二、第三的位置。本文复盘谷歌AI战局，分析Gemini 4的路线与
阅读全文
posted @ 2026-10-06 08:01
0xfisher
阅读(17)
推荐(0)
摘要：
导语 曾几何时，OpenAI以快速迭代著称，几乎每几个月就推出一个重磅模型。但近期OpenAI明确表态：出于网络安全与滥用风险的担忧，将放缓新模型的发布节奏。从"速度优先"到"安全优先"，这不仅是OpenAI一家的策略转变，更是整个AI行业发展阶段的转折点。 一、为什么必须放慢脚步 模型能力越强，潜
阅读全文
posted @ 2026-10-06 08:01
0xfisher
阅读(12)
推荐(0)
摘要：
导语 有消息称字节跳动正在研发10万亿参数级别的大模型。如此规模的参数，必然采用MoE（混合专家）架构，而非常规稠密模型。MoE是做大模型的必经之路吗？10万亿参数意味着什么？字节的技术路线和DeepSeek等厂商有何不同？本文从技术角度做深度拆解与猜想。 一、为什么万亿模型一定是MoE架构 首先明
阅读全文
posted @ 2026-10-06 08:01
0xfisher
阅读(14)
推荐(0)
摘要：
导语 千问开放平台正式上线，最大的亮点是实现了APP、PC、智能眼镜三端智能体统一接入。一套Agent能力，同时覆盖手机、桌面、穿戴设备。这背后是"云端大模型+端侧轻量化模型"的混合架构。本文拆解多端Agent的技术实现与设计思路。 一、三端场景的差异化需求 APP、PC、智能眼镜，三类设备的硬件条
阅读全文
posted @ 2026-10-06 08:01
0xfisher
阅读(25)
推荐(0)
摘要：
导语 国内首个实现100%全国产化的10万卡AI超算集群正式投入商用。从算力芯片、服务器硬件、网络设备、调度系统到散热方案，全部采用国产技术方案。这不仅是算力规模的突破，更是中国AI算力基础设施自主可控的里程碑。本文从技术角度深度拆解集群的四大核心系统。 一、整体架构：四层分布式算力池 10万卡超集
阅读全文
posted @ 2026-10-06 08:01
0xfisher
阅读(23)
推荐(0)
摘要：
导语 最新数据显示，7月份中国AI大模型相关出口额同比增长23.9%，成为外贸增长的新亮点。从硬件到软件、从算力到模型，AI产业正在成为中国出口的第二增长曲线。本文拆解AI出口的构成、增长逻辑，以及半导体产业链的价格传导效应。 一、AI出口的构成：不只是模型 "AI大模型出口"是一个宽泛的概念，实际
阅读全文
posted @ 2026-10-06 08:00
0xfisher
阅读(6)
推荐(0)
浙公网安备 33010602011771号