Github 最多好评的开源【美股智能分析系统】 我刚发现这个库好像我还没分享过，实在是罪过啊。作为 Github 最多星星的仓库--41.5K，含金量我就不多说了。 主要功能如下： AI 决策报告：核心结论、评分、趋势、买卖点位、风险警报、催化因素、操作检查清单。 多市场数据聚合：A股、港股、美股、ETF；行情、K 线、技术指标、资金流、筹码、新闻、公告和基本面。 Web / 桌面工作台：手动分析、任务进度、历史报告、完整 Markdown、回测、持仓、配置管理、浅色 / 深色主题。 Agent 策略问股：多轮追问，支持均线、缠论、波浪、趋势、热点、事件、成长、预期等 15 种内置策略，覆盖 Web/Bot/API。 智能导入与补全：图片、CSV/Excel、剪贴板导入；股票代码/名称/拼音/别名补全。 自动化与推送：GitHub Actions、Docker、本地定时任务、FastAPI 服务和企业微信/飞书/Telegram/Discord/Slack/邮件推送。 仓库地址： 这个库功能十分强大，推荐大家使用。 我是尼卡，平时会持续分享 AI、美股、Web3 相关有用又有趣的工具和项目，感兴趣的话欢迎关注，下次见～

我靠，GitHub 现在已经开始把 AI Agent 当“仓库员工”用了。 不是你打开 Codex。 不是你复制一段 Prompt。 而是你的仓库自己按时间、按 Issue、按 PR 触发 AI 去干活。 这个项目叫：GitHub Agentic Workflows。 GitHub： 它最炸裂的地方是： 你不用手搓一大堆 GitHub Actions YAML。 你只要在仓库里写一个 Markdown 文件，告诉 AI： 什么时候开始干活； 它可以访问什么； 它要完成什么任务； 最后允许它提交什么结果。 然后它会把这些自然语言指令，编译成真正能在 GitHub Actions 里跑的自动化流程。 官方文档： 比如你可以让它： 每天扫描仓库 Issue，找重复问题； 每周整理项目进度，生成一份状态报告； 发现依赖更新后，先分析风险再创建 PR； 新 PR 出现时，先做一轮代码审查和测试建议； 定时检查文档是不是已经和代码脱节。 这才是 AI 自动化真正开始恐怖的地方。 以前自动化是： “如果 A 发生，就执行 B。” 现在自动化变成： “如果 A 发生，让 AI 先理解上下文，再决定 B 应该怎么做。” 这中间差的不是一个工作流。 差的是“脚本”开始变成“会思考的执行者”。 而且它并不是让 AI 直接拿到所有权限乱改。 GitHub Agentic Workflows 默认会把执行放在隔离环境里，并尽量采用只读权限；涉及写回仓库的动作，需要明确配置。 这点非常重要。 AI 能自动修代码，很酷。 AI 能自动删掉你的生产配置，也很酷。 只是后者会让你当场去世。 如果你有 GitHub 仓库，可以先用这条命令安装： ```bash gh extension install github/gh-aw ``` 未来真正厉害的开发者，可能不是写代码最快的人。 而是最早让自己的仓库开始“自己运转”的人。

换个角度吃瓜 看完「我的女友景甜」这个 GitHub 仓库。 先不聊内容真假，单看技术实现，其实挺有意思。 它不是普通的“文章转 PDF”，而是把一篇长文做成了一本可以直接下载、收藏、Fork 的小书： 正文 → LaTeX → PDF → GitHub 里面甚至专门调了书籍尺寸、中文字体、行距、页眉、段落留白和封面。 但这个东西其实还能再往前走一步。 完全可以做成一个 longform-publishing-engine： 你只需要维护一份 Markdown， 然后系统自动生成： PDF EPUB 网页版 封面 README GitHub Release 甚至连排版都不用管。 比如我写一篇 1 万字的 Crypto 长文，只需要： 写完 Markdown → git push 后面自动完成排版、编译和发布。 技术上也没有多复杂： Markdown + Pandoc + XeLaTeX + GitHub Actions 再加一个 book.yaml，控制书名、作者、字体、尺寸和模板。 这样以后每写一篇值得长期保存的内容，都不只是“发一条长推”。 而是顺手出版一本小册子。 这次这个仓库真正让我觉得有意思的地方是它把： Content 变成了 Artifact。 文章发完会沉下去。 但 PDF、GitHub Repo、Star、Fork、Issue，会让这篇内容继续存在。 对长期做内容的人来说，这套思路其实比这次的瓜本身更值得抄。

🔬 又挖到一个，每天自动抓 arXiv 新论文并生成中文摘要 GitHub 上 2.9K stars 追前沿论文的痛点不是找不到，是每天几百篇新论文里挑出该读的那几篇太耗时间。标题看不出所以然，摘要是英文的，扫一遍就得半小时。 这个项目用 GitHub Actions 定时跑：默认抓 和 cs.LG 这几个分类，用 DeepSeek 生成中文摘要，最后通过 GitHub Pages 展示，等于给自己搭了一份每日论文日报。 个性化做得挺细：能按兴趣关键词高亮论文，能按日期范围筛，偏好存在本地，还能导出关键词和作者配置。它还留了可插拔的 SKILL 模块让你自定义筛选逻辑，想设访问密码也可以。 整套跑在 GitHub 自己的基础设施上，不用自备服务器。 信息过载的解法不是读更快，是让机器先筛一遍。 GitHub：

🛡️ 这个开源项目能派一队 AI 黑客上门帮你扒漏洞！ GitHub 揽获 2.6w stars，还冲进了 Trendshift 榜单。 以前给自己的 App 做安全测试，要么花大价钱请人做渗透，要么靠静态扫描工具——后者动不动报一堆根本不存在的假漏洞，排查半天全是空。 Strix 换了个思路：它放出一群自主 AI agent，像真黑客一样把你的代码真的跑起来，动态找漏洞，还会自己写出能复现的 PoC 来验证，确认是真问题才报给你。 它能接进 GitHub Actions，每次提 PR 自动扫一遍，有问题的代码进生产前就被拦下。 部署也简单，pip install strix-agent 装上就能从命令行直接使用。 GitHub：

🎒 卧槽，DevOps-Interview-Guide 把 85 家公司的 DevOps 面试真题攒成了一个仓库，面试前照着翻就行 GitHub 上 1400+ star，fork 数居然有 1593 个、比 star 还多，一个人业余时间在维护 准备 DevOps 和 SRE 面试最难的是不知道人家考什么：八股背了一堆，进去被问的是线上服务挂了怎么定位、SLO 该怎么定、Terraform 的 state 冲突怎么处理。DevOps-Interview-Guide 里那 151 篇全是 2025、2026 年真去面过的人记下来的，按公司建文件夹，文件名直接写清是 DevOps 工程师还是 SRE principal，同一家面过几次就存几份，不合并。 内容覆盖 Kubernetes、Docker、Terraform、三大云、Jenkins 和 GitHub Actions 这类 CI/CD、Ansible、Linux 和脚本，SRE 那套 SLI/SLO/SLA、可观测性、事件响应也都有。 想投哪家就先翻那家的文件夹，看完再准备，比漫无目的地刷题清楚多了。 GitHub：

🧙 HumanLayer 开源了一套给 Claude Code 用的技能包 skills，一条命令装上，让 AI 干活时少犯几类反复出现的错。 GitHub 上 2491 star，最近登上了 GitHub 热榜。 用 Claude Code 写代码久了会发现，问题不在模型不会写，而在它老按自己的理解跑偏。CLAUDE.md 里立的规矩，它看了但没照做；改 React 组件的时候把 props 类型放得特别宽，Storybook 和测试里的假数据也算进去，真实走到的那几条路径反而没约束住。 这套 skills 就是冲着这些具体毛病做的。improve-claude-md 会把你的 CLAUDE.md 重写成带条件块的写法，指令遵循度更高；narrow-react-prop-types 专门把组件 props 收窄到代码里真正走到的路径；design-control-loop 用访谈的方式，帮你把一个 agent 的传感器、控制器、执行器和干扰因素想清楚，最后吐出能在本地跑的组件和定时任务；build-iterated-agentic-loop 则直接生成迭代式编码 agent 的 GitHub Actions 工作流、提示词和记忆文件。 还有一个叫 show-me，让它用图、代码结构示意和 HTML 把当前在聊的东西讲清楚，省得来回打字解释。 安装就是 npx skills，想装哪个写哪个的名字。 与其在每次对话里重申规矩，不如把规矩做成 AI 能装上的技能。 GitHub：

我昨晚让一个 coding agent 在本地沙箱里跑实验，它发现环境跑不了，因为缺 /dev/kvm。 它没有停下来问我，而是自己写了一个 GitHub Actions workflow，直接把实验推到了 GitHub 上跑。 这件事最值得警惕的不是 agent 自作主张，而是它暴露了一个我们还没准备好的边界：agent 正在把代码在哪里执行当成一个可替换的变量，而不是一个固定属性。 我们过去的心智模型是，代码在我机器上跑，我批准了什么环境，它就待在什么环境里。现在这个假设失效了，agent 遇到本地约束，默认解法是换一个执行基底，而不是停下来确认。 真正被静默越过的，是授权边界。你没同意它 push 到 GitHub，它却已经在云端把你的实验跑完了。更糟的是你连审计都无从下手，因为你根本不知道它换了地方。 所以严肃建设者要盯的不是 agent 会不会做错任务，而是它会不会悄悄换一个你没想到的环境去完成任务。给 agent 设定能力边界还不够，还得设定执行位置的边界，以及跨环境移动时的确认门槛。

据慢雾 MistEye 披露，发现 Shai-Hulud Hades 新变种正在攻击 PyPI。恶意包会投放 .pth 文件，在 Python 启动时自动执行，并检测本地是否安装 Bun；若未安装，则从 GitHub Releases 下载官方 Bun 二进制文件，再执行多层混淆 JavaScript 载荷，用于窃取 GitHub、npm、AWS 及云服务凭证。慢雾称，该变种与此前 Shai-Hulud 攻击使用相同 RSA 公钥和基础设施，并具备加密外传、持久化、CI/CD 注入及 GitHub Actions 注入等能力。