给软件开发者准备的优质简报，每日阅读 10分钟。
Hardware Attestation as Monopoly Enabler
硬件认证机制：科技巨头实施平台垄断的工具
- Apple 和 Google 正通过 Play Integrity API、App Attest API 及 Privacy Pass 大规模推广硬件认证，将其伪装成安全功能，实则目的是排挤未经其批准的硬件和操作系统参与市场竞争
- Google 允许长达 10 年未打安全补丁的设备通过 Play Integrity 认证，却封禁安全性远高于授权系统的 GrapheneOS，这种自相矛盾的做法证明所谓安全理由完全是借口——真正原因是 GMS 许可协议
- GrapheneOS 本身完全可以通过硬件认证验证，Google 封禁它并非技术问题，而是拒绝向不遵守其垄断规则的系统授权 GMS 服务
- reCAPTCHA Mobile Verification 正将硬件认证扩展至网页和桌面平台，用户可能需要持有经过认证的 iOS 或 Android 设备扫描 QR 码才能访问部分网站，这将波及 Windows、Linux、FreeBSD、OpenBSD 等非移动设备用户
- 银行和政府部门是采纳硬件认证的主要领域，欧盟更是走在前列，将此要求扩展至数字支付、电子身份认证和年龄验证等各类政府服务，巴西政府应用 gov.br 也强制要求 Play Integrity
- Android 的硬件认证 API 技术上支持替代根信任和操作系统，但 Google 和欧洲企业推出的统一认证（Unified Attestation）等新系统均选择将其用于创建集中化控制机构，进一步加剧对用户硬件和软件选择权的限制
I'm going back to writing code by hand
重返手工写代码：Vibe Coding 七个月的五大教训
- 作者历时约 7 个月（30 个周末、234 次提交），以 vibe coding 方式开发 GPU 监控 Kubernetes TUI 工具 k10s，最终因代码库失控而决定从零重写
- 教训一：AI 构建功能，不构建架构——每个提示只解决当下需求，无法感知代码模式随时间的累积腐化，最终 1690 行的
Model结构体和 500 行、110 个分支的Update()方法成为所有视图状态的混乱交汇点 - 教训二：速度幻觉是最大的心理陷阱——AI 让每个功能看起来"免费"，作者从 GPU 专用工具扩张为通用 k9s，功能看似免费实则每增一个功能就多一个 if 分支，复杂度在无声中积累直至架构崩溃
- 教训三："上帝对象"是 AI 的默认产物——单一结构体塞入 UI 组件、K8s 客户端、各视图状态等，导致同一文件散布 9 处手动 nil 清理代码，新视图必须修改所有现有处理器
- 教训四：位置索引数据是定时炸弹——所有数据被扁平化为
[]string，row[3]代表哪列仅靠注释约定，添加列后所有硬编码索引的排序和渲染逻辑都会静默出错，编译器无法检测 - 教训五：AI 不拥有状态转换——后台 goroutine 直接修改 UI 状态而缺少锁保护，看似"99% 工作正常"实为教科书式数据竞态，正确做法是后台任务只发送消息，由主循环原子性应用状态变更
Gmail registration now requires scanning a QR code and sending a text message
Google账户注册验证方式变更：二维码触发手机主动发送短信以完成验证
- Google将新账户注册流程中的短信验证从"接收验证码"改为"扫描二维码触发手机主动发送短信"，扫描时手机会向Google发送短信以验证号码
- 此变更明确阻止了SMSpool等临时接收短信服务的使用，使匿名注册Google账户变得更加困难
- 社区成员指出该措施仅能阻挡普通用户，批量注册的Google账户仍在各种市场上被出售，但购买二手账户存在历史关联风险
- 有用户提出在要求实名制的国家购买本地SIM卡完成注册后，立即启用认证应用和YubiKey替代验证，随后不再使用该号码的可能性
- 讨论焦点在于Google是否仍能通过已回收并重新分配的电话号码追溯用户真实身份，以及运营商和政府是否会保留号码使用记录
- 有用户预测随着时间推移，将会有人开发出能够向Google发送短信的新服务来应对这一变化
Mythos Finds a Curl Vulnerability
Mythos对curl代码库的扫描：发现1个低危漏洞，炒作成分居多
- Anthropic的AI模型Mythos因被宣传为"危险地擅长"发现源代码安全缺陷而引发媒体热议，其通过Linux Foundation的Alpha Omega项目向curl项目提供扫描访问，最终在17.8万行代码中报告5个"确认漏洞"，经团队核实仅确认1个低危漏洞，其余为误报或普通缺陷
- curl此前已使用AISLE、Zeropath、OpenAI Codex Security等AI工具进行扫描，在近8-10个月内据此修复了200-300个问题并公开了十余个CVE；此外还通过OSS-Fuzz持续模糊测试、Coverity和CodeQL静态分析、挑剔的编译器选项等多种手段保障安全
- curl项目拥有业界领先的防御基础设施，包括动态缓冲区限制、数字解析显式上限、溢出防护、CURL_PRINTF格式字符串强制检查等，Mythos未在代码库中发现任何内存安全漏洞，这与curl作为"被最充分模糊测试和审计的C代码库之一"的地位相符
- curl目前包含17.6万行C代码（不含空行），由573位贡献者编写，已发布188个CVE，安装于超过200亿台设备，运行在110多个操作系统和28种CPU架构上
- 该低危漏洞计划在2026年6月底随curl 8.21.0版本发布时同步披露CVE详情；作者Daniel Stenberg认为Mythos的炒作主要是营销手段，其实用效果并未明显优于其他AI代码分析工具，但AI驱动分析器整体上确实显著优于传统静态分析工具
Ratty – A terminal emulator with inline 3D graphics
Ratty — GPU 渲染的终端模拟器，支持内嵌 3D 图形
- Ratty 是一款基于 GPU 渲染的终端模拟器，支持在终端界面中直接显示内嵌 3D 图形
- 项目拥有动画形式的 logo，采用老鼠与奶酪主题（🐀🧀）
- 项目作者为 Orhun Parmaksız，版权年份标注为 2026 年
- 当前最新发行版本为 v0.2.0，托管于 GitHub
- 官网提供博客文章、下载页面和源代码仓库的访问入口
Running local models on an M4 with 24GB memory
在24GB内存M4 Mac上运行本地大语言模型的实践
- 推荐Qwen 3.5-9B Q4_K_S量化模型：通过LM Studio运行可实现约40 tokens/秒的推理速度，支持128K上下文窗口和thinking模式，是24GB内存MacBook Pro上的最优选择；更大参数的模型（Qwen 3.6 Q3、GPT-OSS 20B、Devstral Small 24B）在该内存配置下实际不可用
- 本地模型运行工具对比：主流选择包括Ollama、llama.cpp和LM Studio三种，各有局限和适配模型差异；作者通过LM Studio配合Pi和OpenCode两款工具使用
- thinking模式配置：需在LM Studio的Prompt Template中添加
{%- set enable_thinking = true %}，精确编码任务推荐temperature=0.6、top_p=0.95、top_k=20、min_p=0.0、presence_penalty=0.0、repetition_penalty=1.0参数 - 交互式工作方式：本地模型无法像SOTA模型独立解决复杂问题，需用户逐步指导、主动把控方向；更适合充当研究助手、代码审查和即时Recall工具，可促使开发者保持更深入的认知参与
- 优势与局限：离线可用、无订阅费用（仅耗电）、减少数据中心环境依赖，但无法达到AI公司宣称的10倍生产力提升，调优配置本身是乐趣所在
- 实用场景示例：成功处理Elixir linter credo警告的批量修复；git rebase冲突解决中虽能识别最优策略但有时执行不完整，需用户持续监督
An AI coding agent, used to write code, needs to reduce your maintenance costs
AI编码代理必须降低维护成本
- 维护成本随时间侵蚀生产力：每编写一个月代码，首年需10天维护、之后每年5天；项目开始约31个月后，维护工作超过全部时间的50%，10年后几乎全是维护工作
- 产出翻倍若成本同步翻倍则适得其反：AI若使代码产量翻倍但维护成本也翻倍，约5个月后生产力收益即被完全抵消，之后持续低于未使用AI的基准水平
- 即使维护成本维持不变也难以持久：即使AI仅提升编码速度而未增加代码维护难度，生产效率提升也将在19个月内消失
- 停止使用AI并非解脱：一旦停用，所有生产力提升立即消失，但已在系统中的代码产生的额外维护成本将永久拖累团队
- AI必须按产出增加的反比例降低维护成本：产出翻倍则维护成本需减半，产出三倍则需降至三分之一，否则就是用短期速度换取长期困局
- 当前AI普遍背离需求：现有编码代理实际上大多增加了而非降低了维护成本，这是实现长期成功的核心障碍
CUDA-oxide: Nvidia's official Rust to CUDA compiler
cuda-oxide：NVIDIA实验性Rust-to-CUDA编译器
- cuda-oxide是NVIDIA开发的实验性Rust-to-CUDA编译器，通过自定义rustc codegen后端将标准Rust代码直接编译为PTX（并行线程执行），无需DSL或外部语言绑定，支持编写SIMT GPU内核
- v0.1.0版本处于早期alpha阶段，存在bug、功能不完整和API可能变更等问题，需要读者熟悉Rust所有权、trait、泛型以及async/.await和tokio等运行时知识
- 安全性是核心设计目标，支持使用Rust类型系统和所有权模型编写GPU内核，通过
#[cuda_module]宏嵌入设备代码并生成类型安全的加载函数 - 提供DeviceOperation异步执行模型，支持将GPU工作组合为懒加载操作图，通过流池调度并使用
.await等待结果 - 文档结构完整，涵盖入门指南、GPU执行模型、内存管理、安全模型、异步编程、高级特性（Warp级编程、TMA、矩阵乘法加速器、集群编程）及编译器内部架构（Pliron IR、rustc-codegen-cuda、lowering pipeline等）
AMÁLIA and the future of European Portuguese LLMs
AMÁLIA与欧洲葡萄牙语大语言模型的未来
- 葡萄牙政府于2024年12月宣布投资550万欧元开发AMÁLIA，目标是将欧洲葡萄牙语打造为"一等公民"的完全开源大语言模型，由NOVA、IST、IT和FCT等顶尖高校与研究机构联合开发，意大利此前曾以Minerva项目实现类似目标
- AMÁLIA基于EuroLLM继续预训练而非从零构建，沿用其架构设计并仅对上下文长度和RoPE扩展做小幅调整；在训练各阶段通过Arquivo.pt语料、合成数据和偏好学习子采样等策略逐步提升葡萄牙语数据占比
- 预训练107B tokens中，明确的欧洲葡萄牙语数据仅约5.5%（5.8B tokens），监督微调阶段提升至17-18%，整体占比仍然偏低；开源透明度与"完全开源"承诺存在差距——目前仅公开了Arquivo.pt数据处理脚本，模型权重、训练数据、训练日志及ALBA等新基准测试均未公开
- AMÁLIA在多数欧洲葡萄牙语基准上超越Qwen 3-8B，但Qwen 3-8B在ALBA上仍优于AMÁLIA；更关键的是现有基准未能衡量模型对葡萄牙本土知识的内在理解（如"阿威罗最著名的甜点是什么？"），作者质疑是否优化对了方向
- 作者认为这是良好开端但提出合理批评：鉴于国家投资巨大，整个国家都是受益者，有权追问关键问题；小国小语种做LLM确实困难重重，但数据有限但并非不存在，未来应尽快公开权重、数据和评估标准，开放才是小型语言发展的关键
Building a web server in aarch64 assembly to give my life (a lack of) meaning
AArch64汇编编写的静态HTTP服务器项目：ymawky
- ymawky是完全使用AArch64汇编编写的静态HTTP服务器，专为macOS/Darwin系统开发，仅使用原生系统调用（open #5、getpid #20、getdirentries64 #344等）且不依赖任何libc封装或外部库；采用fork-per-request模型处理并发，项目约束包括纯AArch64汇编、静态文件服务、无预构建解析器
- 支持GET、HEAD、PUT、OPTIONS、DELETE等HTTP方法，同时具备字节范围请求（Range header）、目录列表、自定义错误页面；请求解析是最困难的挑战，需手动逐字节解析：判断请求类型、提取路径（检测前一字节是否为空格以区分
GET /与HTTP/1.0中的斜杠）、CRLF合法性检查、百分号解码（约需200行汇编代码，Python仅需text.split("GET /")[1].split(" ")[0]） - PUT方法实现原子性写入：先将内容写入
.ymawky_tmp_<pid>临时文件，请求完成后重命名覆盖原文件，异常时unlink临时文件；Content-Length超过1GB（MAX_BODY_SIZE）返回413；目录列表需对文件名进行双重编码：href属性中URL编码（如&.-~><foo→%26.-~%3E%3Cfoo），可见文本中HTML实体编码（如&.-~><foo→&.-~><foo）以防止XSS攻击 - 文件系统安全措施：docroot限制（默认
www/）、路径解析后拒绝恰好等于".."的路径段（需在百分号解码后检测以避免绕过）、使用O_NOFOLLOW_ANY阻止任何路径组件中的符号链接逃逸；GET/HEAD方法直接对打开的文件描述符执行fstat64以避免stat64+open间的TOCTOU竞态条件 - Slowloris攻击防护：超时时间=
grace_period + content_length / min_bps（默认16KB/s），防止恶意客户端发送大Content-Length后每数秒仅发送1字节（如发送1GB内容每10秒1字节需超过300年）；Darwin特有实现包括proc_info()（#336）统计子进程数以控制最大连接数（超限返回503），以及sigaction()的sa_tramp字段可跳过sa_handler和sigreturn直接跳转至超时响应代码