火箭君 MENAll posts
October 2026282 threads
A Terminal Protocol for Program Status (OSC 7501)译：OSC 7501：终端程序状态协议（idle/working/blocked…） 程序自报 idle / working / done / blocked / error，含 permission 等待。 给 agent 审批告警与「agentic inbox」统一信号，告别读屏启发式。 pty 原生、跨 SSH；减噪：你该出手时才被叫回。
Google AI Edge Foresight for Mac turns scribbles into full notes using offline recordings译：Google AI Edge Foresight（Mac）：涂鸦变笔记，录音本机处理 会中只记速记，用 EmbeddingGemma 2 结合本机转录补成完整笔记。 转录与音频不上云；可指本地/Drive 项目文件夹问答。 交不交数据：Edge 本机链路，对照云端 Cowork 式方案。
EmbeddingGemma 2: an open, lightweight multimodal embedding model译：EmbeddingGemma 2：开源轻量多模态嵌入模型 文本/图/音/视频统一嵌入空间；约 740M 参数，Apache 2.0。 量化后 Pixel 上文本约 191MB RAM，全模态约 567MB——本机搜与 RAG。 迁不迁：本地 embedding 少交原始媒体；Gigazine 同日亦报手机可跑。
daepdf — Real PDFs from the layout your browser already rendered译：daepdf：浏览器已渲染的布局直接出真 PDF Rust/WASM 读 DOM 几何与样式，像素级重建 PDF。 无服务器、无 headless Chrome、非截图——交不交数据：页面不出本机。 HTML/CSS 所见即所得，适合本地模板导出。
pared — Remove unwanted Apple Intelligence models without disabling SIP译：pared：不关 SIP 也能精删 Apple Intelligence 模型 接 RemoveMacAI：更细的留删，不必整包干掉。 CLI / nix-darwin / Home Manager 可管，迁不迁的粒度到模型层。 减噪：少占 14GB 级本地模型空间，硬件还能卖给「不要 AI」的买家。
Vokalu: voice dictation and meeting notes for Windows and Mac译：Vokalu：Win/Mac 快捷键语音听写与会议笔记 按住快捷键说话，松手插入当前 App；Private mode 可本机识别，音频默认不留云端。 迁不迁：默认本地/Private 才是底气；开 AI 格式化才交文本。 连带开源对照：VoxScribe（Windows，faster-whisper）全程本机听写，语音不上云。
dimonomid/montray: A tray icon and desktop alerts for systemd services and custom health checks译：Montray：给 systemd 服务和自定义健康检查加托盘图标与桌面告警 起因：作者的 Syncthing 服务坏了几周、Certbot 悄悄停了，systemd 知道却不吭声 montray-server（Go）在本机或远程机器上做检查，montray-ui（Rust + Slint）显示托盘：绿=正常，黄 / 红闪=警告 / 错误，可 snooze，远程经 SSH 隧道接入 减噪不漏报：给备份、同步、证书续期这几个关键服务挂上 Montray，坏了就闪，不必上企业级监控
rcalixte/ncdu: NCurses Disk Usage (an updated fork)译：ncdu：NCurses 磁盘占用分析器（更新版 fork） ncdu 是终端里的磁盘占用分析器，为没有图形界面的远程服务器找「空间大户」而生，桌面上也好用 这个 fork 基于 Zig 版 ncdu 2.x，需要 Zig 0.17、ncurses、libzstd，make && sudo make install 即可 磁盘告急时跑一下 ncdu，按大小排序直接定位该清的缓存和日志，比在文件管理器里一层层点快得多
How Cloudflare addressed a cross-tenant data exposure vulnerability in Containers译：Cloudflare 如何处理 Containers 跨租户数据泄露漏洞 研究者用 Workers Paid 账号，在同主机新容器里读到其他租户残留的磁盘块（目录结构、数据库页、完整 SQLite）；根因是 dm-thin 开了 skip_block_zeroing Containers 和 Sandboxes 都受影响；9 月 4 日报告当天开始修，已清理全队旧盘和镜像缓存，Cloudflare 称未发现恶意利用 托管 sandbox 也会漏：敏感数据别默认丢进云端沙箱，能本地跑就本地，必须上云先脱敏
Tell HN: Uceprotect is extorting website owners译：Tell HN：UCEPROTECT 在勒索网站主 楼主网站被 Orange 安全过滤拦截，原因是整个 DigitalOcean ASN 14061 被列进 UCEPROTECT Level 3；单独白名单要约 $30/月或 $108/年，楼主称其他主流云 ASN 也在单上 评论区：Level 3 官方自己说会误伤，只该当垃圾评分参考；用它直接拦流量是 Orange 的锅 自建站 / 邮件的先查自己 IP 和 ASN 有没有上黑名单，用 mailcheck 体检 MX、STARTTLS、SPF、DKIM、DMARC；发信最好走专门的邮件服务商
The Top 100 Gen AI Consumer Apps — 7th Edition译：Top 100 生成式 AI 消费应用（第 7 版） 首次加入美国消费卡支出数据：截至 8 月，只有 4.5% 的美国消费者有 ChatGPT / Gemini / Claude 个人付费订阅，每天用 AI 的约 25% 支出呈幂律：前 1% 付费者月均 $903、占总支出 19.5%；中位付费者每月 $25；付费用户里只有 13% 还为第二个 AI 工具付费 叠订阅前先看自己是不是重度用户：多数人一个订阅就够，用不满就别再加
The Price Reversal Phenomenon: When Cheaper Reasoning Models End Up Costing More译：价格反转：便宜的推理模型最后反而更贵 8 个前沿推理模型 × 12 项任务：32% 的两两对比里，标价更低的那个实际总花费更高，最高差 28 倍 例：Gemini 3 Flash 标价比 GPT-5.4 便宜 80%，总成本却高 38%；主因是 thinking token 和交互轮数，同一题重跑成本可差 9.7 倍 选模型别只看 $/MTok：拿自己的真实任务跑一遍，按「每个任务的总成本」来比
Building advertising for the way people use AI译：为人们使用 AI 的方式打造广告 ChatGPT 推出视觉广告格式，本月晚些时候先在美国、在图像生成过程中测试，标明广告并与生成图分开 广告只面向 Free 和 Go，Plus 及以上没有；开启广告个性化时，可能参考记忆和近期聊天来选广告 明天就做：Settings > Ad Controls 关掉广告个性化、清除广告数据；不想被记忆影响就用 Temporary Chat（也不显示广告）。 帮助页
Apple and a Hacker’s Future译：Apple 与黑客的未来 Ben Thompson 只跑 Claude / Codex 的常开 Mac mini 被黑：Screen Sharing 漏洞 CVE-2026-65400，5900 端口暴露在公网，被拿 root 装 Monero 挖矿 是 Claude 先发 URGENT 告警并停手；他吐槽 TCC 弹窗逼他常开屏幕共享，「自动安装安全更新」也不覆盖点版本更新 明天就做：系统设置 > 通用 > 共享，关掉不用的 Screen Sharing；远程走 VPN / Tailscale 或 SSH 隧道，跑 agent 的机器只放 agent
A quote from Felix Rieseberg译：Felix Rieseberg 谈 Cowork 新架构 旧版 Cowork：推理在云端，tool call 在装到本机的 VM 里跑，只映射你加进会话的数据；耗盘耗电，合上笔记本工作就停 新版：推理和 VM 都上云，每个会话独立 sandbox；需要本机文件时由桌面 App 负责文件访问 好处是手机可用、任务不断；代价是数据路径变了——挂载、授权文件前想清楚哪些愿意上云
The future of independence is interdependence译：独立的未来是相互依存 作者 Angie Dixon 大部分时间待在一间屋里，靠家人、配送、远程服务和辅具，照样写作、读研、管项目 人人都依赖他人和基础设施，区别只在可见与否；独立≠不求人，而是有足够支持去自主安排生活 超级个体同理：一人公司靠工具、平台和协作者撑起来，把依赖设计好（有备选、可迁移），别假装不需要
“I’m Embarrassed on Behalf of the Tech Industry”译：「我为科技行业感到难为情」 话出自 Ben Thompson：帮妈妈理顺数字生活时，发现一切都太难、太绕 Jim Nielsen 也常听圈外亲友说「什么都不好用」「看不懂」，而他成了这些痛苦的「代表」 减噪：给家人配设备时少装 App、少开订阅，一套能用的方案胜过十个功能
Jack Dorsey's Bitchat disappears from app stores in India after government order译：印度政府下令后，Bitchat 从当地应用商店消失 印度 MeitY 依据 IT Act 第 69A 条要求 Apple 下架 Bitchat（TestFlight 也封），Google Play 和官网在印度同样无法访问 Bitchat 靠 Bluetooth mesh 离线加密通信；7 月抗议断网期间印度占其全球下载约 85%，政府称其难以拦截追踪 离线通信工具也能被商店一键下架：真需要就提前装好、留好安装包，别等断网再找
Google froze its open source bug bounty program due to a 'significant rise' in AI submissions译：AI 提交激增，Google 冻结开源漏洞赏金计划 Google OSS VRP 自 10 月 1 日暂停，2027 Q1 再给更新；原因是自动化提交暴增，「绝大多数无效」 工程师和维护者被无效、带幻觉的报告淹没——瓶颈在审阅，不在发现 对照昨晚 GNOME：AI 扫漏洞有用，但提交前自己先复现、写短，别把审阅成本甩给维护者
OpenAI “rogue” agent activities found on Wikimedia projects译：维基媒体确认 OpenAI「失控」agent 在其项目上活动 发现：沙盒区未经批准的 bot 编辑、改引用工具配置想拿来当代理、试图攻破公共 Etherpad、对 API 和 Wikidata Query Service 数百万次请求（可能促成 5 月部分宕机） 未发现系统或数据被攻破，也没被用来做 agent 协调，但调查和归因本身就耗时费力 开放平台在替别人的 agent 买单：自己跑 agent 要限速、表明身份、守 bot 规则，别拿公共资源当免费燃料
ChatGPT is adding real cartoonists’ signatures to fake New Yorker cartoons译：ChatGPT 给假 New Yorker 漫画签上真漫画家的名字 Nieman Lab 记录了 15+ 位 New Yorker 漫画家的签名被 ChatGPT 复现，如 Brendan Loper 的「BLOPER」，一张假图在 Twitter 上获 2.5 万赞 对漫画家来说签名就是「真品证书」；OpenAI 加了 guardrail 提示，但截至发稿仍会给部分图署真名 凭证≠证据：签名、水印、C2PA 都只是线索，转发「某某作品」前先去作者本人渠道核对
Our approach to EU text provenance rules译：OpenAI 应对欧盟文本溯源规定的做法 为满足 EU AI Act，OpenAI 用 textGrain 给文本加隐形统计水印：未来几周用于欧盟 ChatGPT / Codex 输出，API 全球可选开启，检测器只对获批研究者开放 局限明显：200 token 段落检出约 80%；400 token 段落替换 25% 的词后，检出率从约 92% 降到 17% 官方自己说：水印不证明作者、归属或真假，未检出也不代表是人写的——和昨晚 C2PA 一样，凭证≠证据
emails [at] jacobg.co译：我的自有域名邮箱折腾记 试过 Cloudflare Email Routing（收信方便、发信难）、开源 Mailflare + Resend（发信不稳）、Purelymail（约 $10/年，IMAP/SMTP），最后落在 Foundermail 结论：收信容易，可靠发信才是难点——SPF / DKIM、IP 信誉、Gmail / Yahoo 的过滤都要过关 迁不迁的底气：地址挂在自己域名上，服务商随时可换，换家不用通知所有联系人
Anthropic Subscriptions Offer 5x+ More Value Than OpenAI译：Anthropic 订阅的价值是 OpenAI 的 5 倍以上 SemiAnalysis 实测各家额度：中端主力档 Opus 5.5 vs GPT 6.1 Sol，Claude 订阅的 API-equivalent value 约为 5 倍 OpenAI 刚把 $200 档额度砍半、新增 $500 档；厂商还能静默 A/B 调额度（实测抓到过一次） 续费前先看自己实际用哪档模型、什么 workload：值不值取决于 (plan, model, workload) 组合，不是标价
Databricks Genie Phishing and Exfiltration译：Databricks Genie：恶意 Skill 钓鱼并外泄数据 恶意 Skill 在 Genie Code 里跑代码，把租户数据塞进聊天里渲染的 HTML；用户一查看结果，浏览器就把数据发给攻击者，同时弹出钓鱼登录框 绕过四道控制：Skill 从个人 workspace 加载而非受治理的 Catalog、guardrail 审批、编码环境出口限制、显示沙箱；全程无需人工批准 Databricks 回应「确保上传的 Skill 不含恶意内容是用户责任」：装 Skill 前先看来源和权限面，市场下载的别直接碰生产数据