最近看到 Starryblu 暴雷的消息，只能说一点都不意外。当初他们先后有两个商务来找我投广子，我最后直接拒了，因为无论是沟通态度还是给出的报价方案都离谱得很。 九月初第一个商务找过来，说是熊猫速汇的姐妹产品，主推多币种账户和虚拟卡，还拿 IBAN 收 X 收益当卖点。我当时本着负责的态度去问合作细节，结果对方报出来的价格是 200 元基础稿费加 100 元拉新佣金，而且这笔钱还不直接结算，必须打进他们的 Starryblu 账户里。我顺嘴追问了一句佣金的具体达标条件，对方直接消失了将近一个月，直到十月初才冒出来回了一句刚在线。 更逗的是九月底他们另一位运营又跑来私信我，上来先夸一通创作风格契合。我指出他们前一位同事聊一半人间蒸发的事，问这次具体是什么方案，结果新运营给出的报价是 300 元基础稿费加效果付费。 他们那个 100 元的拉新奖励，条件苛刻到让人看乐了：新用户注册后，要么掏 19.9 美金开一个月星球卡，要么掏 9.9 美金开两个月星空卡，要么半年内往账户里充值一万元人民币，满足其中一条才算有效转化。 给博主两三百块钱的基础稿费，却指望博主去引导粉丝花十几二十美金开卡，甚至往里充一万块钱。当时 X 中文区已经到处都是他们的刷屏推广，风评也不太好，接这种广子纯属拿自己的账号信誉和粉丝信任去换三百块钱，掉粉又招黑，我当场就回绝了。现在回头看，对于这种疯狂铺量又毫无诚意的金融产品，当初没碰真是省了不少麻烦。

这太夸张了 Anthropic 一个还没发布的模型，自己写出了一个 Linux 内核的远程 root 漏洞利用。不用账号，不用你点任何东西，只要服务器开着 MPTCP 监听，隔着网络就能拿到 root。 漏洞是 CVE-2026-98432，9.8 分，TCP 握手里的一个竞态，从 Linux 4.4 就在了，藏了十年。它先花 48 分钟泄露内核地址，再 5 分钟拿到 shell，失败了机器也不会崩，可以一直试。 以前这种远程拿内核 root 的完整利用链，是极少数顶尖团队才做得出来的。现在模型给点提示就能做，同一份报告里还有 Chrome、Safari、Windows 的。 更离谱的是上游早就修了，补丁谁都能看，可到现在 Ubuntu 和 RHEL 还没发修复内核。以后补丁已经公开，但你还没打上的这段时间，大概就是最危险的时候。 有服务器的先 uname -r 看一下。Debian、SUSE、Oracle、Amazon Linux 2023 已经有新内核了，升完记得重启。Ubuntu 和 RHEL 暂时只能先把用不到的端口关掉，盯着官方公告等更新。

我一直觉得，随便给别人的 GitHub 账号打分，再分个三六九等，是一件挺不礼貌的事情。 现在是什么都要卷吗？连写开源项目都得像做题一样，最后拿个分数证明自己？ ghfind 甚至把开发者分成「夯」「顶级」「人上人」「NPC」「拉完了」。 我知道它的算法是开源的，但公开算法就代表算法合理吗？ 谁决定 PR、Stars、Issue、项目规模各自应该占多少权重？这些标准经过什么验证？凭什么用一套人为设计的评分规则，来定义一个开发者的实力和价值？ 一个人可能长期维护私有项目，可能擅长架构设计、定位复杂问题，也可能只是根本不喜欢经营 GitHub。 这些东西一个分数能体现出来多少？ 更让我难受的是，真的有人会拿着这种第三方评分去评价别人。 甚至还有 GitHub App 可以根据这个分数给别人的 Issue 和 PR 打等级标签。 我不反对做数据分析，但我很反感把一个活生生的开发者压缩成 0 到 100 的数字，然后拿着分数给别人排座次。 如果以后连公司招人都开始参考这种东西，那跟应试教育有什么区别？ 我说这些不是因为自己分数低，也不是在乎自己得了多少分。 哪怕今天给我打 100 分，我也一样觉得这种风气很荒谬。 写代码已经够累了，能不能别什么都搞成排行榜？

之前和 Yifan 聊 Multi-Agent Harness，听到了一个很有意思的设计。 他想让多个 Coding Agent 基于同一份项目状态协作，但不依赖 Git Worktree 来隔离每个 Agent。 他的思路是把沙箱隔离粒度缩小到每次 Tool Call。 每次工具调用都有独立的临时 Workspace，执行完可以保存为 Commit，也可以直接丢弃。底层通过 Zero-copy fork、COW 和内容去重，让不同 Agent 共享已有文件状态。 我第一反应是：你干脆重新发明 Git 吧。 但看完他的 LayerFS 设计文档，发现还真有点东西。 现在常见的 Agent 沙箱主要按 Task 隔离，而他希望做到 Tool Call 级别，让每一步操作都能独立执行、追溯、回滚和分叉。 这样不仅能支持更细粒度的多 Agent 协作，还能让 Agent 从任意保留的中间状态继续探索其他方案。 更有意思的是，他说这个想法半年前就写进 README 了。

有人拿 Opus 5.5、Sonnet 5.5、GPT-6 Astra 和 GPT-6.1 Sol 做了一轮游戏开发对比。测的是 Blender 建模、Unity 按参考图搭关卡、IK 机甲走路，最后让它们各自做一个完整的大逃杀游戏。全部开最高推理，每项只跑一次。 结果跟我自己用下来的感觉差不多，Opus 5.5 基本每项都是最好的。最后那个大逃杀，作者用 Opus 做的那版还真打赢了一局。Sol 做出来能玩，但离参考差得很远。 不过成本差得有点离谱。同一个关卡，Opus 花了大概 190 刀，Sonnet 反而更贵，要 270 刀，Astra 110 刀，Sol 只要 2.5 刀，效果还跟 Astra 差不多。 我现在做游戏基本都用 Opus 5.5，Claude 在游戏这块确实比 GPT 强一截。但看到 190 对 2.5，也能理解作者为什么说日常更愿意用 Sol。对我来说没必要二选一，把规划、review 和实现拆开分给两家，比死磕一个模型划算多了。

看到有人用 Claude 用出优越感了，把 GPT 贬得一文不值，好像用 GPT 就低人一等。至于吗，这话他要是拿去说豆包我觉得倒没什么问题，GPT 是绝对不差的。 还有人说牛的人用豆包一样能出活。我觉得何必浪费这个时间，效率太低了。真正厉害的人不会去用豆包，他会选自己最趁手的工具。 反正有好的肯定用好的，真不理解这种人。

Hatoba 0.4.2 发了。之前在 Hatoba 里用 New API 这类中转站接 Claude、GPT，其实挺吃亏的。中转只返回模型 id，Hatoba 拿不到上下文窗口和思考档位，上下文用量看不到占了多少，长对话也不会自动压缩，Opus 4.8 走中转甚至哪个档位都不思考。 现在 Hatoba 自带一张常见模型的表，Claude、GPT、Gemini、DeepSeek、Qwen 都在里面，中转没给的上下文窗口和输出上限会自动补上。如果中转走的是厂商自己的协议，比如 Claude 走 Anthropic 的，思考档位和自适应思考也会一起补。自己手动填过的还是优先。 另外标签页终于能拖着排序了。AI 现在也能按顺序按好几个键，Ctrl+X 再按 N 就是不保存退出 nano，Esc、:wq、回车就是保存退出 vim。记忆也会带上最后保存的日期，两条说法冲突的时候 AI 能看出哪条更新。

刷到 .tech 域名可以免费注册，顺手扫了一圈短域名，结果 .com .net 的单词和三字母基本全没了，.io .ai .org 的三字符也被注册完了 不过新一点的后缀还有不少好名字，下面这些都是正常价，不是溢价域名： .moe 三字母，一年 $16 左右 jet ode kin wit vow elm sly spy wax rho row gig old vim npm quo .run 三字母，首年 $7 左右（续费贵一些） ame aoi yui kyu oke pea sip yew hat 单词 .dev：dulcet rosehip marimba gyroscope moorland oakmoss castanet .app：seafoam moorland oakmoss maraca .me：gossamer sundew thicket zither everglade .cc：swanky spunky dewdrop tamarind sorrel dapple seafoam crumpet scone .xyz：castanet glockenspiel .org：glockenspiel 还有 有喜欢的赶紧去抢

云辰的 answer-me-with-html 是一个让 agent 用一页 HTML 回答复杂问题的 skill，已经 4k star 了 项目一大，review Issue 和 PR 就成了最花时间的活。很想看看 Devin 在这种真实的开源项目上做得怎么样，到时候效果好不好都可以说出来

刷到 .tech 域名可以免费注册，顺手扫了一圈短域名，结果 .com .net 的单词和三字母基本全没了，.io .ai .org 的三字符也被注册完了 不过新一点的后缀还有不少好名字，下面这些都是正常价，不是溢价域名： .moe 三字母，一年 $16 左右 jet ode kin wit vow elm sly spy wax rho row gig old vim npm quo .run 三字母，首年 $7 左右（续费贵一些） ame aoi yui kyu oke pea sip yew hat 单词 .dev：dulcet rosehip marimba gyroscope moorland oakmoss castanet .app：seafoam moorland oakmoss maraca .me：gossamer sundew thicket zither everglade .cc：swanky spunky dewdrop tamarind sorrel dapple seafoam crumpet scone .xyz：castanet glockenspiel .org：glockenspiel 还有 有喜欢的赶紧去抢

Devin Review 的 auto review 用下来感觉比 CodeRabbit 和 Codex review 好用多了，速度快，找出来的问题也准 PR 一开 bot 就自动 review，找到的 bug 再交给 auto-fix 修，省事很多 Codex review 太吃额度了，CodeRabbit 免费的次数又太少，而且感觉找的问题也不太准

没有 Mac 真的让 Hatoba 的开发处处受阻，证书签名、各个平台的特殊情况，全都只能盲人摸象地处理 好在现在 Devin Cloud 有 macOS 虚拟机了，至少能让 Devin 在上面 build 和测一下。签名还是得有 Apple Developer 账号，这个我是一定要买一个的 但我还是买不起 Mac 呜呜，开发太不方便了，现在只能靠朋友帮忙测试和提 PR

我宣布： 我成为 Devin 官方大使啦！🎉 到现在还有点不敢相信，竟然真的通过了 Devin Ambassador Program 的申请。 收到录取邮件的时候特别开心，有种被认可了的感觉。 以后大家用 Devin 遇到什么问题，或者有什么希望加入的功能，都可以在评论区告诉我，我会尽力帮大家反馈给 @cognition！

塑料碗真的很可爱，做的 bot 我也一直很喜欢，很期待碗用 Devin 推进的过程 Max 订阅手上没有太多，所以这次送的是 Pro，不要嫌弃哈哈，SWE-2 在 Pro 上一样可以无限用 用下来有好用的地方或者想吐槽的，随时跟我说

Perplexity Computer 现在可以直接逆向 app 了。它把 @morluto 开源的 REA（Reverse Engineer Anything）做成了内置 skill，你给它一个 app，它在没有源码的情况下分析这个 app 怎么运作，然后自己做出一个能用的版本。官方拿 Figma 演示了一下，图层、auto-layout、登录、多端同步和多人协作都做出来了。 想免费试的话，在 Computer 里用 /reverse-engineer 发起任务，写上你想逆向的 app 就行。10 月 31 日之前这类任务免费，每人最多 10000 credits，差不多是 100 美元的额度。 不想用 Perplexity 也可以，REA 本身是 MIT 开源的，npx rea-agents setup 就能装进 Claude Code 或 Codex，只是模型的钱要自己出。 只拿自己有权限的 app 玩，官方的 skill 说明里也写了只用于授权的应用。

Yifan 是我认识的开发者里很强的一位，Max 给他用正合适 很期待他用 Devin 做出来的 LayerFS，用下来有什么感受也欢迎直接说，好的坏的我都会反馈给官方

Cursor 前几天并入了 X 订阅，新套餐的额度只包含 Grok，Claude 和 GPT 要按 API 价格单独付费 想继续用 Claude 写代码的话可以试试 Devin，我自己一直在用，现在也是 Devin 大使 有开发者朋友想切换的，可以私信我聊聊

手上的 API 太多了，各种 IP 直接去请求也太不方便，所以一直走 gateway，之前用的是 LiteLLM。早就想换了，bug 太几把多了，提 PR 也不合并。 而且它今年安全上接连出事，3 月 PyPI 上的包被投毒，4 月爆了个不用认证就能打的 SQL 注入，6 月又来一条 RCE 链。gateway 里存的又是所有上游的 key。 准备换成 New API 了，直接部署在自己的 VPS 上。各家的 API 都能直接加成渠道，常用的客户端也基本都能直接接。 本来还在看更轻的 Bifrost，最后选 New API，主要是作者 @Ion_Mio_ 关注我了

我宣布： 我成为 Devin 官方大使啦！🎉 到现在还有点不敢相信，竟然真的通过了 Devin Ambassador Program 的申请。 收到录取邮件的时候特别开心，有种被认可了的感觉。 以后大家用 Devin 遇到什么问题，或者有什么希望加入的功能，都可以在评论区告诉我，我会尽力帮大家反馈给 @cognition！

Anthropic 发了一篇很好玩的文章。NIST P-256 这些椭圆曲线的 seed 到底是怎么来的，密码学圈猜了二十多年，结果 Claude 不到半小时就算出来了。答案是用 Unix 时间戳初始化 C 库自带的随机数生成器跑出来的。更好玩的是它算出来之后的第一反应，居然是怀疑自己是不是在测试环境里。 2000 年 NIST 把这几条曲线写进 ECDSA 标准，曲线的系数由一个 seed 哈希得到，而 seed 是 NSA 给的，没有任何说明。所以一直有人怀疑里面藏了后门，Filippo Valsorda 还专门挂了悬赏。唯一的线索来自 NSA 的 Jerry Solinas，他说 seed 好像是一句玩笑话的哈希，类似 Give Bob and Jerry a raise，但细节他自己也记不清了。他 2023 年去世之后，这事基本就没人能问了。 Anthropic 有好几个员工照着这条线索找过，都没找到，因为线索本身就是错的。这次有人直接问内部的研究模型能不能查出来，也没提这条线索。Claude 换了个思路，去猜 90 年代生成曲线的程序是怎么写的，判断它大概用了当时 C 库自带的 PRNG。这种老 PRNG 很弱，输出能被认出来。 它先注意到 4 个 binary 曲线的 seed 按 32 位切开后，每一段的最高位都是 0。这正是 lrand48 的特征。lrand48 每次只输出 48 位内部状态里的高 31 位，所以最高位永远是 0。剩下 17 位直接暴力枚举，内部状态就恢复出来了。prime 曲线的 seed 每次只取 lrand48 输出的一个字节，能看到的位更少，就当成格问题用 LLL 解出来。 lrand48 往回推跟往前推一样容易。Claude 把状态一路倒推回 srand48 刚初始化时的样子。NIST 和 ANSI X9.62 里一共 10 个 prime 曲线 seed，初始值全是 1997 年 5 月到 1998 年 4 月之间的 Unix 时间戳。比如 P-256，就是从 1997-08-16 01:52:34（UTC）开始跑，取的第 1842 个候选。 4 条 binary 曲线更好笑，倒推出来的时间是 1984 年 2 月。把时间戳乘以 2，就变成 1998 年 4 月 17 日，刚好在 P-224 那次运行的两周后。所以当年的程序很可能是先把时间除以 2，再拿去当种子。 我觉得最有意思的是 Claude 接下来的思考。它先是很激动，觉得自己解开了一个 25 年的悬案，然后马上停下来怀疑，自己是不是在某种模拟或测试环境里。 于是它开始找证据。算出来的 seed 跟它记忆里的真实值对得上，在它的知识里这个悬赏一直没人解开。而且 20 个最高位全是 0 这种事，碰巧发生的概率大概百万分之一。到这里它才确认这是真实世界，说了句哇，这是真的发现。 然后它又怀疑了一次，这么明显的东西 25 年都没人发现，是不是有点可疑？最后还是靠直接计算说服了自己。一个 32 位的时间戳加一个很小的序号，就能完整算出 160 位的 seed。10 条曲线全部对上，不可能是巧合。 这件事对 ECDSA 的安全性没有影响，反而让后门的说法可信度低了很多。seed 就是普通随机数生成器拿时钟初始化跑出来的，现在谁都能复现，能动手脚的空间很小。悬赏的 36864 美元会捐给 Let’s Encrypt 背后的 ISRG。 原文还附了能直接复现所有 seed 的 Python 代码，感兴趣可以自己跑一下