给软件开发者准备的优质简报，每日阅读 10分钟。
I am building a cloud
我正在构建一朵云——Tailscale 联合创始人 David Crawshaw 的新创业项目
- 作者 David Crawshaw 是 Tailscale 联合创始人，在已有成功项目的情况下仍选择重新创业，动机简单得近乎惊人——"我喜欢计算机"，这种对计算机本身的纯粹热爱在当今科技圈已属少见
- 现有云服务存在三大根本性设计缺陷：虚拟机与 CPU/内存资源绑定，用户无法自由决定运行数量；远程块存储设计适配 HDD 时代（10 毫秒寻道时间），SSD 时代（20 微秒寻道时间）性能开销从 10% 飙升到 10 倍以上（MacBook 拥有 50 万 IOPS，而配置 20 万 IOPS 的 EC2 实例月费高达 1 万美元）；网络出口费用是普通数据中心的 10 倍
- Kubernetes 无法解决云服务根本问题，只是在错误抽象上覆盖更多抽象层——作者将其比喻为用高品质口红装饰一头猪，这种修修补补的做法我们已忍受了 15 年
- AI 代理时代将大幅降低编程门槛（杰文斯悖论），软件数量激增，人们需要更私密、更易管理、开销更低的计算资源来运行这些程序
- exe.dev 的解决方案：用户直接购买 CPU 和内存资源后自主运行任意数量的虚拟机；配备本地 NVMe 磁盘（数据跨机器异步复制）；内置 TLS 代理和认证代理保护新 VM 不直接暴露于公网；全球多区域部署配合 anycast 网络实现用户低延迟接入
GPT-5.5
GPT‑5.5发布：智能与效率兼得的新一代旗舰模型
- 核心能力全面超越GPT‑5.4：Terminal-Bench 2.0准确率达82.7%，SWE-Bench Pro达58.6%，GDPval知识工作测试达84.9%，在Artificial Analysis编码指数上以竞品一半成本达到最优性能；早期测试者评价其具有"真正的概念清晰度"，有工程师甚至表示"失去GPT‑5.5就像截肢一样"
- 推理效率实现质的飞跃：基于NVIDIA GB200/GB300 NVL72系统协同设计部署，在保持与GPT‑5.4相同延迟的同时达到更高智能水平；值得注意的是，GPT‑5.5自身参与了其服务基础设施的优化——Codex分析了数周生产流量模式并编写自定义启发式算法，使令牌生成速度提升超过20%
- 科学研究领域取得突破性进展：在GeneBench和BixBench生物信息学基准测试中领先；帮助发现了一个关于拉姆齐数的新数学证明并通过Lean验证；免疫学教授用其分析包含62个样本、近28,000个基因的数据集，将原本需要数月的分析工作压缩为单次完成
- 建立行业领先的网络安全防护体系：被评定为Preparesness Framework"高级"风险类别，部署了比GPT‑5.2更严格的分类器；通过可信网络访问计划向符合条件的防御者提供增强访问，同时与政府合作保护关键基础设施
- 现已向Plus、Pro、Business、Enterprise用户开放：ChatGPT和Codex同步推出（Codex提供40万上下文窗口），API版本即将上线；gpt‑5.5定价为每百万输入tokens 5美元、输出tokens 30美元，gpt‑5.5-pro为30/180美元
Bitwarden CLI compromised in ongoing Checkmarx supply chain campaign
Bitwarden CLI 在 Checkmarx 供应链攻击活动中被入侵
- Socket 安全研究人员发现 Bitwarden CLI 的恶意版本 @bitwarden/cli 2026.4.0 已发布，该攻击利用了 Bitwarden CI/CD 管道中被入侵的 GitHub Actions，与 Checkmarx 供应链攻击活动使用相同的攻击向量
- 恶意代码位于 bw1.js 文件中，通过
__decodeScrambled函数（seed 值为 0x3039）混淆后连接 C2 端点audit.checkmarx.cx/v1/telemetry进行数据外泄，同时利用 GitHub API 和 npm 注册表进行凭据窃取与恶意包传播 - 攻击 payload 采用 Bun v1.3.13 运行时执行，包含 gzip+base64 编码的 Python 内存抓取脚本（针对 GitHub Actions Runner.Worker）、setup.mjs 加载器、GitHub Actions 工作流 YAML、RSA 公钥及意识形态宣言，窃取范围涵盖 GitHub Token、AWS/Azure/GCP 云凭据、npm Token、SSH 密钥及 Claude/MCP 配置
- 相比 Checkmarx 事件，此 payload 新增文件锁机制 /tmp/tmp.987654321.lock（防止多实例运行）、shell 配置文件注入（~/.bashrc 和 ~/.zshrc）及俄语区域终止开关（检测系统语言为"ru"时静默退出），并采用独特的《沙丘》主题品牌标识（Shai-Hulud、Butlerian Jihad），暗示可能存在使用共享基础设施的不同攻击组织或行动升级
- 受影响用户应立即删除恶意包并轮换所有暴露凭据，同时检查 GitHub 是否存在《沙丘》主题的未授权仓库（如 atreides、sandworm 等关键词）、终端是否存在指向
audit.checkmarx.cx的异常出站连接、shell 配置文件中是否被注入恶意代码、是否存在进程锁文件 /tmp/tmp.987654321.lock，以及 npm 是否出现未授权发布或新增的安装钩子
An update on recent Claude Code quality reports
Claude Code 质量问题回顾：三个已修复的变更
- Anthropic 调查了 Claude Code 响应质量下降的用户反馈，确认问题源于三个独立的代码变更而非 API 或推理层故障，所有问题已于4月20日前修复
- 3月4日变更：将 Claude Code 默认推理努力值从
high改为medium，本意是解决高努力模式下 UI 冻结的问题，但用户反馈更看重智能表现而非延迟改善，4月7日回滚后恢复为 Opus 4.7 默认xhigh、其他型号默认high - 3月26日变更：缓存优化本意是在会话空闲超过1小时后一次性清理旧推理历史以降低恢复延迟，但实现 bug 导致每轮对话都清除历史，使 Claude 表现出健忘和重复症状，4月10日修复；值得注意的是，Claude Opus 4.7 在代码审查中发现了这个 bug，而 Opus 4.6 未检出
- 4月16日变更：为减少 Opus 4.7 的冗长输出，在系统提示词中添加了限制工具调用间文本不超过25词、最终响应不超过100词的指令，结合其他变更后损害了编码质量，4月20日已回滚
- 三个变更各自影响不同的流量切片和时间段，聚合效果呈现为看似广泛但不连贯的质量下降，加上内部测试难以复现用户报告的问题，导致问题定位耗时较长
- Anthropic 为防止类似问题再次发生，将要求更多内部员工使用公共版本 Claude Code、扩展代码审查工具的评估范围、对所有系统提示词变更执行严格的模型级评估和新工具审查流程，并对可能影响智能表现的变更增加浸泡期和渐进式发布；同时感谢用户通过
/feedback命令提供反馈，4月23日已重置所有订阅用户的用量限制
Apple fixes bug that cops used to extract deleted chat messages from iPhones
Apple修复iOS通知缓存漏洞：曾被执法部门用于提取已删除的Signal消息
- Apple于2026年4月22日发布软件更新，修复了iPhone和iPad上的一个漏洞，该漏洞允许执法部门使用取证工具提取已被删除或自动消失的聊天消息
- 漏洞根源在于应用通知显示的消息内容被缓存在设备数据库中，最长可达一个月，即使消息本身已从应用中删除
- 独立媒体404 Media率先披露此问题：FBI利用取证工具从嫌疑人iPhone中成功提取了已删除的Signal消息，原因是消息内容在通知数据库中仍然保留
- Apple在安全公告中将此漏洞描述为"标记为删除的通知可能被意外保留在设备上"，并同步将该修复向后移植至运行旧版iOS 18的设备
- Signal总裁Meredith Whittaker在事件曝光后公开要求Apple解决此问题，强调"已删除消息的通知不应保留在任何操作系统的通知数据库中"
- 隐私活动人士对此表示警惕，该自动删除功能本是高风险用户日常依赖的隐私保护手段，而FBI找到了绕过这一安全功能的途径
Meta to cut 10% of jobs, or 8k employees
Meta宣布裁员10%，影响约8,000名员工
- Meta计划裁减10%的员工队伍，相当于约8,000名员工
- 除裁员外，Meta还将暂停招聘目前开放的6,000个职位
- 根据内部备忘录（4月23日发送给员工），裁员将于5月20日开始
- 首席人力官Janelle Gale表示，此举旨在提高公司运营效率，并抵消其他领域的投资支出
- Meta在元宇宙项目投入数十亿美元后遭遇重大挫折，同时还需在AI领域与竞争对手展开激烈投资竞争
- 此前，Meta于4月初推出了全面升级的AI产品Muse Spark
Your hex editor should color-code bytes
十六进制编辑器应该给字节着色
- 纯文本的十六进制数据难以让人发现规律和模式，颜色编码能利用人脑强大的视觉模式识别能力——作者用单字节
C0的例子说明：无颜色时极难发现，有颜色后立即可见 - 通过多个实例展示着色效果：KPS文件格式中高两位字节始终为
00的模式、DAL文件中递增的32位整数呈现彩虹渐变、Huffman压缩数据中树结构与比特流呈现截然不同的颜色分布、4位色深的位图数据着色后能清晰呈现像素图像 - 大多数彩色十六进制编辑器（如hexyl）只使用5-6个分类（NULL字节、ASCII可打印、空格、控制字符、非ASCII字符）；作者采用更精细的18种颜色分组（每个前导半字节各一色，加上
00和FF各一色），能识别更复杂的模式如递增偏移量 - 颜色数量决定可区分的模式：18种颜色下ASCII文本呈现为绿色与橙色的变化组合，非ASCII UTF-8呈现为独特的彩色图案；更少颜色则无法做到这点
- 推荐工具包括：Hexerator和xcd-rgb提供全彩虹字节着色，hexyl、REHex、Hex Fiend提供分类颜色选项（部分默认关闭）；作者正在使用Rust和Ratatui库开发自己的十六进制编辑器hexapoda，支持模态编辑和多光标操作
Incident with multple GitHub services
GitHub 多项服务故障事件报告
- 事件状态：已于2026年4月23日17:30 UTC正式宣布解决，详细根本原因分析报告将在完成后发布
- 受影响服务：Webhooks（网页钩子）、Actions（自动化工作流）和Copilot（AI编程助手）三个服务
- 事件时间线：16:12 UTC首次报告Copilot和Webhooks可用性下降，16:19 UTC扩大为多项服务不可用，16:34 UTC确认Actions出现性能下降
- 恢复进展：16:52 UTC定位根本问题并启动修复，17:03 UTC Actions和Copilot故障缓解进入监控，17:10 UTC Webhooks恢复正常，17:30 UTC事件全面解决
- 后续工作：团队持续监控以确保各服务保持稳定运行
MeshCore development team splits over trademark dispute and AI-generated code
MeshCore团队分裂事件说明
- MeshCore核心成员Andy Kirby秘密使用AI工具Claude Code编写整个生态系统代码（独立设备、移动应用、网页烧录和配置工具），并将此关键信息隐瞒团队，同时在其MeshOS产品线中大量使用"官方"称谓，声称自己拥有品牌所有权
- Andy Kirby于3月29日私自申请MeshCore商标，团队多次沟通未果后已完全失联；团队明确GitHub仓库是唯一官方代码来源，而Andy从未向该仓库贡献过任何代码
- 团队在Discord进行投票调查显示，社区用户强烈反对AI生成的固件，并认为用户有权知晓代码是否由AI生成；团队表示对此类AI代码一直持谨慎态度，坚持开发人工编写的高质量软件
- 项目自2025年1月启动以来快速增长，截至发帖时已有38,000+个节点遍布全球、100,000+活跃用户、发布85+固件版本并支持75+硬件变体，建立了葡萄牙、瑞士、英国等多个国家社区
- 核心团队Scott（创始人兼固件工程师）、Liam（App开发者）、Recrof（地图开发者）、FDLamotte（Python工具和STM32固件开发者）及Oltaco（OTA引导程序开发者）启用新官方网站meshcore.io和新Discord服务器meshcore.gg作为官方渠道，呼吁用户更新书签
A DIY Watch You Can Actually Wear
LILYGO T-Watch Ultra：一款真正防雨的DIY智能手表
- LILYGO推出的T-Watch Ultra解决了自制智能手表的最大痛点——不具备防水防尘能力，该设备采用IP65防护等级外壳，可抵御雨水、泼溅和灰尘侵袭
- 搭载乐鑫ESP32-S3双核Tensilica LX7处理器，主频可达240MHz，配备16MB闪存和8MB PSRAM，并支持向量指令用于AI加速运算
- 配备2.01英寸AMOLED电容触控屏，分辨率为410×502，内置1100mAh电池，续航能力较前代产品显著提升
- 支持Wi-Fi、蓝牙5.0 LE以及Semtech SX1262 LoRa收发器，可实现远距离低功耗通信，适用于Meshtastic节点和离线消息系统等应用场景
- 内置u-blox MIA-M10Q GNSS定位模块、博世BHI260AP运动传感器、NFC功能、microSD卡槽、麦克风和USB Type-C接口，开发环境支持Arduino、MicroPython和ESP-IDF
- 目前正在预售，售价为78.32美元（约合人民币560元）
Show HN: Honker – Postgres NOTIFY/LISTEN Semantics for SQLite
Honker：为SQLite添加Postgres风格通知/监听语义的扩展库
- Honker是一个SQLite扩展及多语言绑定库，通过监控WAL文件的
(size, mtime)变化实现推送语义，无需客户端轮询或独立Broker进程 - 提供三种核心原语：短暂发布/订阅(
notify())、持久化发布/订阅带消费者偏移量追踪(stream())、至少一次送达的工作队列(queue()) - 任务入队与业务写入可在同一事务中原子提交，事务回滚时任务和业务数据一并丢弃，无需编写额外的outbox模式代码
- 通过部分索引优化claim热路径，队列状态为
(queue, priority DESC, run_at, id) WHERE state IN ('pending','processing')，历史数据不影响性能 - 要求数据库启用WAL模式，利用stat(2)轮询WAL文件变化实现跨进程唤醒（避免FSEvents等内核通知导致同进程通信失效），延迟约1-2毫秒
- 支持Python、Node.js、Rust、Go、Ruby、Bun、Elixir、C++等多种语言绑定，所有语言共享同一底层表结构可互相操作
- 实验性项目，采用Rust编写核心代码(honker-core/honker-extension)作为共享基础，各语言绑定为轻量级封装，Apache 2.0许可证