阴影爬虫 — 553 点

Konstantin Ryabitsev（kernel.org 基础设施）发布了关于 AI 爬虫对 Linux 内核网络基础设施造成的影响的详细数据。主要数据令人震惊：在五个地理分布的节点上，14 个 CPU 核心全部用于将 git 提交渲染为 HTML 供爬虫抓取。这些用于喂养爬虫的 CPU 周期比所有合法访问的总和还要多——包括 git 克隆。

真正的指责在于这种做法的愚蠢。整个 Linux 内核的历史只需一个 git clone 命令就能获取。任何真正的智能都会直接克隆仓库并在本地解析。然而，这些所谓的“AI”爬虫不断地敲击网页接口，持续产生系统负载的背景辐射。这相当于复印图书馆里的每一页而不是只借书。文章没有点名具体公司，但可以清楚地看出：正在构建“超级智能”系统的公司连 git clone 都搞不定。

来源： people.kernel.org/monsieuricon/creepy-crawlies

缺陷盲视 — 374 点

Dan Luu 最新的文章是对为什么大多数人没有注意到对他来说显而易见的缺陷的思考。他每周观察到数百到数千个缺陷，并且多年来一直在思考为什么其他人没有注意到。他的结论是：这与你如何使用计算机无关——而是感知问题。人们会遇到相同的缺陷，但只是没有注意到。

更有趣的论点是关于机构性的缺陷盲视。他描述了评估产品的情况，内部反馈普遍是正面的（“运行得很好”），但当他实际打开产品时，却发现需要一堆不直观的解决方案才能正常工作。一个普通用户会有如此糟糕的体验，以至于会告诉朋友。这强烈地批评了企业软件的发布方式——内部团队开发出的解决方案导致了“ Stockholm 综合症”，从而失去了看到新用户会遇到什么的能力。对于任何在受监管行业（GxP、CSV）工作的人来说，这应该引起共鸣：验证团队经常发现所谓的“正常工作”的系统实际上依赖于未记录的部落知识。

来源： danluu.com/bug-blind

Hy4 预览 — 368 点

腾讯发布了并开源了 Hy4 预览版，这是一个总参数量为 770B 的 MoE 模型，活跃参数量为 49B，上下文窗口为 1M+ 个标记。基准测试显示它“处于开源模型的第一梯队”，腾讯的内部盲测（163 名专家，203 项工程任务）得分为 2.99/4.00——略高于 GLM-5.3 和 Kimi K3。

通常需要谨慎对待。内部基准测试是营销手段。“处于第一梯队”做了很多工作。真正的信号是它开源并可在 OpenRouter 上使用，这意味着社区将在几天内对其进行压力测试。生产力重点——编码、办公工作、财务分析——将其定位为 Claude/GPT 企业方案的直接竞争对手。49B 活跃参数是否能在生产延迟下真正实现这些承诺还有待观察。在 WorkBuddy 和 CodeBuddy 上提供两周的免费访问是明智之举，以在其他人发布独立评估之前推动采用。

来源： tencent.com — Hy4 预览

CPython 支持 RISC-V — 287 点

CPython 现在正式支持 RISC-V 作为第三级平台。这意味着它已加入 PEP 11 并有 buildbot 覆盖，但第三级不保证提供预构建二进制文件或与第一级（Linux x86-64、macOS ARM64）相同的 CI 测试水平。这是一个里程碑，而不是终点。

真正的故事是生态系统信号。RISC-V 预计到 2032 年其生态系统将扩大四倍，Python 在 RISC-V 上可靠运行消除了重要的采用障碍。RISE 项目提供了用于 buildbot 的硬件，主权技术机构资助了奖学金工作。这是基础设施投资的回报——开放指令集获得了主导脚本语言的一级支持。如果你正在构建针对 RISC-V 嵌入式或边缘设备的任何东西，这很重要。

来源： blog.python.org — RISC-V 支持

Casey Muratori — 《更好的软件大会》2026 — 252 点

Casey Muratori 在 Better Software Conference 的演讲（包括与 gingerBill 的问答环节，时长超过 2 小时）重新审视了 Knuth 的“过早优化是万恶之源”——但更深入地探讨了这个“根”的真正来源是什么。Muratori 以 Handmade Hero 和对软件膨胀的批判而闻名，这次演讲继续了这一主题。222K 的观看量和 501 条评论在 4 天内表明它触动了人们的神经。

没有转录很难总结具体的论点，但 Muratori 的总体论点一直很一致：行业对性能问题的本能轻视（“扔硬件解决”）导致了累积成本，最终成为架构问题。“过早优化”的引语被用来证明完全不优化是合理的。如果你关心真正能有效工作的软件，这值得投资 2 个小时。

来源： YouTube — Casey Muratori BSC 2026

Omarchy：任何用户进程都可以提升到 root 权限 — 252 点

一篇干净、负责任的披露文章。Omarchy（DHH 的 Arch Linux 个性化配置）默认用户被配置为 docker 组的成员。Docker 明确警告这授予了 root 级别的权限，但 Omarchy 仍然将其作为默认设置。概念证明非常简单：docker run --rm -v /:/hostroot alpine cat /hostroot/etc/shadow——用户会话中的任何进程都可以在无需 sudo 的情况下读取 /etc/shadow。

这是一个典型的便利性凌驾于安全性的例子。docker 组成员身份多年来一直是一个已知的陷阱，将其作为面向开发者的发行版的默认设置是不负责任的。已在 4.0.1 版本中修复。更广泛的教训是：如果你的设置工具将你的用户添加到 docker 组，应将该机器视为等同于 root。每个浏览器标签、每个 Electron 应用、每个随机的 npm postinstall 脚本都有 root 权限。

来源： 0xcc.io — Omarchy root 资格

欧洲委员会重启加密后门推动 — 240 点

欧盟的 ProtectEU 内部安全战略重新开启了加密后门的辩论，这次用“法律和有效访问数据以供执法使用”的委婉语来包装。该战略尚未提出具体的政策建议——它是一个“愿景和工作计划”，跨越数年——但方向是明确的。

框架是熟悉的：来自敌对国家的威胁、在线运营的犯罪集团、激增的网络犯罪。从这些前提出发，结论是端到端加密需要后门。技术现实没有改变：你无法构建只能被好人使用的后门。每个密码学家都说过这一点。欧盟仍然在问。这是关于 Chat Control 现在是 ProtectEU 的第三次或第四次推动，持续性表明他们会继续尝试直到找到突破口。对于在欧盟构建通信工具或处理敏感数据的人来说，这是需要关注的监管风险。

来源： reclaimthenet.org — 欧盟 ProtectEU 加密后门

改造宜家家具 — 210 点

一篇实用的 DIY 文章，介绍如何使用宜家 Kallax 橱柜单元构建办公家具。作者想要的是工作台深度（60cm）且不显得像车库里的家具。定制家具报价约为每件 1000 欧元。厨房橱柜有合适的深度但外观不佳。解决方案：在顶部使用一个重新利用的桌面板改造 Kallax 单元。

这是一篇简单的构建文章，但有趣的背景是“ChatGPT 建议使用厨房橱柜”这一细节——AI 作为物理问题的头脑风暴工具。结果看起来干净利落，总成本远低于定制家具。这并非世界改变之举，但确实提醒我们最好的解决方案往往来自于以非显而易见的方式组合现成的部件。

来源： greenlightning.eu — 改造宜家家具

通篇

今天首页的三个主题分别是：AI 基础设施的代价：kernel.org 为了喂养爬虫消耗了 14 个 CPU 核心，而腾讯发布了一个 770B 参数的模型，行业仍在争论这是否能可持续。其次，安全被忽视：Omarchy 默认将用户添加到 docker 组，而欧盟试图强制推行最终的安全弱点（加密后门），并将其包装为一种力量。第三，表面与实际的差距：Dan Luu 的缺陷盲视文章，Casey Muratori 对优化是万恶之源的批判，以及 RISC-V 的里程碑，其意义更多在于它对开放硬件轨迹的信号，而不是今天对 Python 兼容性的意义。

共同的线索是机构性盲视——对缺陷、安全权衡和便利成本的忽视。注意到这些事情的人总是被视为例外，直到账单到来。

来源： 无