Link | Comment

🔼 302 | 💬 142

LocalGPT - 基于 Rust 的本地 AI 助手

• 轻量级单二进制部署：约 27MB 体积，无需 Node.js、Docker 或 Python 依赖，内存数据完全保留在本地设备
• 持久化记忆系统：基于 Markdown 文件的知识存储，采用 SQLite FTS5 实现全文检索，sqlite-vec 提供语义搜索能力
• 自主任务执行：支持后台守护进程运行，具备可配置的心跳机制和工作时间范围设定
• 多接口与多模型支持：提供 CLI、Web UI、桌面 GUI 三种交互方式；原生支持 Anthropic Claude、OpenAI、Ollama；兼容 OpenClaw 的 SOUL、MEMORY、HEARTBEAT 文件格式
• 技术栈与生态：基于 Rust + Tokio + Axum 异步框架构建，Apache-2.0 开源协议，获得 607 颗星标和 36 次 Fork

Link | Comment

🔼 266 | 💬 120

Vouch：基于显式担保的贡献者信任管理系统

• 核心机制：项目可设置只有被担保（vouched）的用户才能参与特定部分，同时可公开谴责（denounced）用户以阻止其交互。采用通用化设计，适用于任何代码托管平台，提供开箱即用的 GitHub 集成。信任列表存储于单一平面文件，采用最小化格式，可使用标准 POSIX 工具直接解析
• 信任网络：支持构建”信任网络”，项目可配置读取其他项目的担保或谴责用户列表。共享价值观的项目可相互传递信任决策，在生态系统中形成更大、更全面的信任网络，已在 Ghostty 项目中实际使用
• GitHub Actions 集成：check-pr 检查 PR 作者担保状态，对机器人和有写入权限的协作者自动放行，可选择自动关闭未担保或被谴责用户的 PR；manage-by-discussion 和 manage-by-issue 允许维护者通过讨论或 Issue 评论担保、谴责或取消担保用户，并自动更新担保列表文件，关键词可通过参数自定义
• CLI 工具：基于 Nushell 模块实现，无外部依赖。提供 check（返回退出码 0=担保/1=谴责/2=未知）、add、denounce、remove-user 等命令，支持 --dry-run 预览和 --write 直接写入；GitHub 集成命令可检查 PR 作者状态并可选自动关闭未担保者的 PR
• 信任文件格式：使用 .td（Trustdown）格式存储于单一平面文件，默认查找 VOUCHED.td 或 .github/VOUCHED.td。每行一个用户，支持 # 注释、platform:username 前缀指定平台、- 前缀表示谴责，空格后可添加原因说明；Nushell 可原生读取和写入，自动解析为结构化表格
• 设计背景：实验性系统，源于开源面临 AI 工具生成大量表面合理但质量极低贡献的挑战。将传统的”信任+验证”模式转变为显式信任模型，由可信成员主动担保新贡献者；如何担保、谴责标准及担保后的权限完全由各项目自行决定

Link | Comment

🔼 362 | 💬 77

SectorC：512字节引导扇区中的C编译器

• SectorC是一个用x86-16汇编编写的C编译器，代码恰好512字节（一个x86引导扇区大小），支持全局变量、函数、if/while语句、大量运算符、指针解引用、内联机器码及单行/多行注释，被认为是目前最小的C编译器
• 核心设计洞察一：借鉴Forth语言采用空格分隔的”巨型token”（如int(main)(){while(!done){作为整体解析），提出”Barely C”编程语言，极大简化了词法分析器
• 核心设计洞察二：利用atoi()函数作为哈希函数处理关键字和标识符的解析，将复杂的符号表查找问题转化为哈希碰撞问题从而巧妙规避，完全摆脱了传统词法分析器的开销
• 代码从初始实现的468字节压缩至303字节，节省207字节用于扩展功能；主要优化手段包括：代码重排利用fall-through、尾调用优化、调用融合、广泛使用stosw/lodsw指令、省略机器码表而用内联版本实现、cmp ax,imm优于cmp bx,imm、以及保持跳转偏移在8位内以提高编码效率
• 扩展后的”Barely C”支持任意嵌套的if/while语句、14种运算符（+、-、*、&、|、^、<<、>>、==、!=、<、>、<=、>=）、函数定义与递归调用、asm语句嵌入原始x86-16机器码，以及通过”space-injection”技巧让生成的代码看起来更接近常规C语法
• 运行时由rt/lib.c和rt/_start.c组成，与用户程序源码拼接后统一编译运行；提供了三个展示硬件交互能力的示例：向0xB8000显存写数据的hello.c、VGA Mode 0x13下绘制正弦波动画的sinwave.c、通过PC Speaker演奏”小星星”的twinkle.c
• 作者受OTCC去混淆研究、justine.lol和Tom7作品的启发，以”选择失败者才更有趣”的心态完成了这一看似不可能的项目，展示了看似不可实现的目标通过巧妙设计往往能够达成

Link | Comment

🔼 133 | 💬 70

关于Copilot计费绕过漏洞的技术报告

• Copilot存在计费绕过漏洞，攻击者可利用子代理（subagent）机制免费无限使用Opus 4.5等高级模型
• 漏洞根源：子代理和工具调用不计入”请求”消耗，计费仅基于初始使用的模型，且Copilot内置GPT-5 Mini、GPT-4.1等免费模型
• 攻击方式一：以免费模型启动对话，创建代理定义指定高级模型，通过runSubagent工具调用执行任务；初始免费模型创建子代理后，高级模型被调用但不计费
• 攻击方式二：设置chat.agent.maxRequests为高值，配合自定义脚本和循环调用；测试中单个消息3小时启动数百次Opus 4.5子代理，仅消耗3次高级积分
• 额外风险：消息类型在客户端声明而缺乏API验证，存在直接滥用API的隐患；作者曾向MSRC报告，但被告知计费绕过不在漏洞响应范围内

Link | Comment

🔼 131 | 💬 68

GitHub Agentic Workflows：基于 GitHub Actions 的 AI 智能体自动化框架

• 自然语言工作流定义：通过 Markdown 文件以自然语言描述自动化意图，经 gh aw compile 命令编译为安全的 GitHub Actions 工作流（.lock.yml），替代复杂的 YAML 配置
• 安全护栏机制：默认以只读权限运行，所有写入操作需通过预批准的”安全输出”机制，并配合沙盒执行、工具白名单和网络隔离确保安全可控
• 多 AI 引擎支持：兼容 GitHub Copilot、Claude（Anthropic）、OpenAI Codex 及自定义 AI 处理器，可根据场景选择适合的智能体
• Continuous AI 增强 CI/CD：为现有持续集成/持续部署流程注入系统化 AI 能力，实现代码简化、重构、文档维护、问题分类、合规扫描、质量测试等自动化改进
• 极简三步工作流程：编写 .md 指令文件 → 运行 gh aw compile 编译 → GitHub Actions 按计划或手动触发执行
• 多元应用场景：涵盖持续改进与重构、自动化文档维护、问题与 PR 管理、指标分析监控、安全合规扫描、多仓库同步等场景
• 项目状态与注意事项：由 GitHub Next 与 Microsoft Research 联合开发，仍处早期阶段，可能发生重大变更，使用时需重视安全考量并保持人工监督

Link | Comment

🔼 353 | 💬 47

DoNotNotify 正式开源

• DoNotNotify 应用正式开源，完整源代码已在 GitHub 平台公开，任何人都可以查看、学习和贡献代码
• 开源决定源于对隐私保护的坚定承诺，通过完全透明化的方式，让用户可以亲自验证应用确实只做它所承诺的功能
• 社区参与受到热烈欢迎，包括问题反馈、功能建议和 Pull Request 提交
• 官方提供 GitHub 问题追踪页面，方便用户报告漏洞或提交功能请求
• 应用由 Anuj Jain 开发，版权归 2025 年

Link | Comment

🔼 319 | 💬 40

BreezyBox：ESP32-S3 微型即时开机 PC 的 Shell 演示项目

• 项目概述：将 ESP32-S3 微控制器打造为具备 shell、编辑器、编译器和在线应用安装器的”微型即时开机 PC”，类似树莓派但无需完整桌面/服务器级操作系统开销，致敬 DOS 时代并提供现代无线通信功能
• 核心组件 BreezyBox：类比 BusyBox 命名的 mini-shell ESP-IDF 组件，提供虚拟终端（vterm）、工作目录跟踪、类 UNIX 命令和应用安装器，配合 ESP-IDF 自带的 elf_loader 实现动态链接，运行于 FreeRTOS 之上
• 硬件与适配：演示项目针对 Waveshare ESP32-S3-Touch-LCD-7B 开发板（约 40 欧元），可通过 LVGL 文本标签控件快速实现 LCD 输出，或使用 USB 控制台进行无屏开发
• 技术实现：作者自定义字体渲染器以在偏大屏幕上突破 30 FPS；ELF 应用可来自作者 breezyapps 仓库或标准 C 程序，但需注意 ESP32-S3 内存限制及 PSRAM 对齐要求
• 开源贡献：MIT 许可证，欢迎跨硬件测试、不同开发板固件示例（如 P4、C6 RISC-V 移植）、更多 ELF 应用开发、retro 游戏移植以及 cyberdeck 创意案例分享

Link | Comment

🔼 352 | 💬 561

软件工程正在回归

• 自动化编程的时代转折：Antirez提出的”自动化编程”概念准确捕捉了当前变革的本质——AI消除了逐行手动编码的繁重劳动，但架构设计、权衡取舍、产品决策和深度思考仍是人类的核心职责；2025年12月以来，这一转变对任何关注者都已显而易见
• 框架的隐性动机：作者揭示了框架存在的三个真实动因——”简化”实为工程师对自主设计的逃避，是”智力投降”；”自动化”虽合理但AI已能以更低成本实现；”人力成本”才是企业真实目的——雇用可即插即用的React开发者，规避真正工程师的培养和培训
• 行业病症的诊断：我们用框架包裹问题如同”用丝绸包扎断腿”，看似美观实则回避根本；行业用他人预设的方案替代自主思考，让Google、Meta、Vercel替我们做架构师和设计师，而工程师沦为他人系统的操作员；框架为每一个解决的问题创造出十个新问题
• 基础工具的复兴：Bash诞生于1989年，至今仍是最通用的适配器；当前编码代理正从复杂昂贵的MCP配置回归简洁的bash交互——最古老的工具反而最具未来适应性，证明基础方案优于过度工程化的框架
• 真正的工程实践：这种开发方式已实践超过两年；无需重复代码编写，可瞬间构建定制化工具；用简单的Makefile覆盖99%的场景，仅在真正复杂时才考虑复杂方案；这是”解决你实际面临的问题，而非会议舞台上的假设问题”
• 变革的紧迫性：自动化使软件工程回归本质——专注于真正属于你的想法和产品的复杂性；停止装饰旧房子，停止用框架掩盖问题；工具已经在这里，模型已经在这里，革命已经发生

Link | Comment

🔼 314 | 💬 263

手工编码让我更快乐

• 作者三次尝试Claude Code均产生抑郁和倦怠感，删除后重新发现编程乐趣；氛围编程虽能快速生成代码，却让人感到存在性恐惧
• 编程是与问题空间”搏斗”的思考过程——仅阅读文档无法真正体会API的痛点，Leslie Lamport警示：”如果不写下来，你只是以为自己正在思考”
• 手动编码虽慢，却能内化上下文并深入思考；验证自己写的代码远比验证AI生成的代码更可靠，AI生成会跳过理解问题领域的关键过程
• 氛围编程具有成瘾性：看似正确的代码带来多巴胺冲击，使大脑进入被动接受模式，连简单的查找替换都依赖AI，削弱主动思考能力
• 工具塑造思维和工作流程——如果一个工具阻止你深度思考，就不是好工具；作为知识工作者，思考能力是核心竞争力，对此应保持警惕
• 作者现在以受控方式使用AI：手动复制粘贴必要上下文，将代码生成从被动行为转变为深思熟虑的主动行为，保持大脑投入并进入心流状态，最终选择让自己快乐的方式

Link | Comment

🔼 353 | 💬 260

AI疲劳：被行业忽视的工程师真实困境

• 角色错位陷阱：AI加速了任务完成，但工程师从”创造者”变成了”评审者”——原本只需思考、写代码、测试，现在需要反复评估AI输出、判断安全性、修复错误，这种评审型工作比创造型工作更消耗精力，而AI生成的代码因缺乏对团队模式的了解，需要逐行仔细审查
• 非确定性焦虑：AI打破了工程思维的基础——确定性（相同输入应有相同输出），同一条提示词在不同时刻可能产生完全不同风格和质量的代码，这对习惯通过调试解决问题的工程师来说是持续的背景焦虑，无法完全信任输出意味着无法放松
• 工具切换漩涡：AI领域发展迅猛，工程师不断切换工具、学习新框架，两个月前精心构建的提示工程模板可能因模型更新而失效，上周投入开发的自定义服务器可能因新协议一夜之间被替代品取代，深度积累让位于浅层迁移
• 认知萎缩风险：长期外包初步思考给AI会导致独立推理能力退化——像GPS削弱导航记忆一样，工程师正在失去”在白板上艰难推理”的能力，而正是这种挣扎过程塑造了深度理解
• 提示螺旋与完美主义：追求AI输出完美会导致在调试提示上花费45分钟，而手动完成只需20分钟；完美主义者看到80%正确的AI代码会忍不住花费额外精力修改设计决策，而非接受”够用即可”
• 边界意识才是核心技能：作者实践——早晨1小时完全不用AI以保持思考能力，AI使用时间盒限制为30分钟，对同一任务只尝试3次，接受70%可用质量，战略性地过滤 hype 而非追逐每个新工具

Link | Comment

🔼 381 | 💬 175

光速设计工具 Vecti

• 核心定位：Vecti 是一款基于浏览器的协作式 UX 设计工具，由拥有近 20 年 UI/UX 设计经验的欧盟创始人 Serge 打造，秉持”工具为创作者服务”的理念，专注于性能、隐私和创意自由
• 核心功能：支持多人实时同步编辑与审阅，配备高性能渲染引擎可处理无限规模项目，提供集中式共享资源库和全屏演示模式，权限管理支持观众与编辑者分离设置
• 定价模式：采用按编辑器付费机制——免费版（5 个项目，最多 2 位编辑者，无限观众），专业版年付 $12/月或月付 $15/月（年付可节省最高 20%），免费版无需信用卡即可开始使用
• 用户评价：专业设计师称赞其大幅提升设计效率，特别是实时协作功能、与开发者的无缝对接权限控制，以及处理大型设计系统时卓越的性能表现，学生和教师可申请免费计划

Link | Comment

🔼 316 | 💬 164

专为 AI 代理设计的 Rust 编写极简安全 Python 解释器

• 微秒级启动：启动时间仅需个位数微秒（测量值 0.06ms），从代码到执行结果延迟极低，远优于 Docker（195ms）和 Pyodide（2800ms）等替代方案
• 严格安全隔离：完全阻断对主机环境（文件系统、环境变量、网络）的直接访问，所有外部交互必须通过开发者可控的外部函数进行
• 运行时性能接近 CPython：执行速度通常在 CPython 的 5 倍快到 5 倍慢之间，无外部依赖可在任何能运行 Rust 的地方使用
• 多语言调用支持：提供 Rust、Python、JavaScript 三种语言的 API，无需依赖 CPython 即可调用
• 类型检查与快照功能：内置支持完整现代 Python 类型提示，可将解释器状态保存为字节并完整恢复执行
• 功能限制清晰明确：不支持标准库（仅限 sys、typing、asyncio 等少数模块）、第三方库、类定义和 match 语句，专注于安全运行 AI 代理生成的代码