归档
时光荏苒，文字留痕
共 129 篇文章
Rust 借阅检查器里藏了 11 年的漏洞：一段本该编译失败的代码，能读出已经销毁的变量
Rust #164250：要求 'static 的泛型结构体，因自定义析构搬值到全局容器，再通过协变字段接受短生命周期引用，绕过借用检查并编译通过；销毁后 downcast 会读到失效内存，ASan 报栈使用后作用域错误。根因是协变与析构组合，稳定版回溯到 1.85.0。官方定级 P-high，称这是十一年老漏洞，利用需恶意析构。启示：安全承诺应按已知漏洞与修复优先级管理，自定义析构和搬值到全局须评审，公开承认与排期修复更能维持信任。
纽约「一键退订」新规 10 月 1 日生效：把取消入口藏起来，开始按次罚钱
纽约市“Click to Cancel”规则10月1日生效，核心是把不提供清晰、显眼、精简的取消方式定性为欺骗性、不合理商业行为。罚则首次525美元、第二次1050美元、第三次及以后3500美元，并退还消费者首次尝试取消后继续被扣金额。长期订阅、试用或赠品超一个月、条款价格重大变更均须提前通知并说明取消方式，挽留优惠不禁止。2025年逾100起投诉及Equinox 60万美元和解等推动执法，估算每年为纽约成年消费者省最多1.625亿美元和至少60万小时。产品团队应让取消入口与开通同样显眼，续费前明确提示，靠价值挽留，并将取消退款路径纳入验收。
陶哲轩《Math 2.0》：数学正从「证明稀缺」走向「证明过剩」，瓶颈不是技术
陶哲轩在《Math 2.0》提出，数学已从“证明稀缺”转向“证明过剩”，但前沿绝大多数问题仍未解决。数学因可客观验证、可数字化、有大规模高质量数据，成为AI最易突破的领域，AI能力呈“锯齿状”。解题只是长期目标的代理指标，证明过剩时代继续盲目优化解题有害；开放问题是灯塔，过早抵达会让其他路径无人问津。企业可用这三属性筛选AI场景，主动纠正报告偏差，让AI加速到达而非替你理解。实现Math 2.0的瓶颈不是技术，而是想象力。
6000 亿 token 之后：让 AI 智能体反编译一款老游戏，最贵的教训是没定义什么叫「正确」
Maurice带AI智能体耗时数月，将流行FPS游戏反编译为C++，追求准确完整重建，总耗约6000亿至7000亿token。首月80%函数完成，但代码可读而语义错误，因缺少机器可判定的正确标准。转折是字节级匹配：OBJ与EXE/PDB逐字节比对，重定位校验同符号同偏移，并做CI回归；禁止内联汇编，用哈希和密钥托管防篡改。最终99%函数进入源码，83%字节一致。启发：先定验收标准，验收工具须防篡改，规范定期重注入；有精确反馈后便宜模型也可用，正确性远比产出量重要。
740M 的本地嵌入模型：让图片、音频、视频落进同一个向量空间
Google DeepMind 10月6日发布 EmbeddingGemma 2，Apache 2.0、740M 参数，把初代文本嵌入扩展至代码、图像、视频、音频，统一映射到同一向量空间。纯文本最低 270M，视觉与音频编码器按需加载；MRL 可将 768 维向量截断至 128 维，本地存储和内存最多降至六分之一。8K 上下文可一次处理约 5.5 分钟音频、29 张图片或 58 帧视频；代码 MTEB 从 68.76 升至 78.68。企业可把敏感素材检索放在端侧，只将命中片段送云端推理，并按需选择向量维度；但嵌入只负责找到，不负责答对。
Polars 2.0：把 SQL 扶正，顺手在基准里压过 DuckDB 和 DataFusion
Polars 2.0 发布，核心是 LazyFrame 调 collect 默认走流式引擎，多数查询内存与耗时下降；但 join、group_by、unpivot 不再保证行序，依赖行序需显式 maintain_order=True。溢写磁盘默认开启，内存约80%落盘，默认磁盘预算64GB。SQL 成为一等公民，优化器重做；基准领先 DuckDB 与 DataFusion，但192线程有固定开销，小数据吃亏，32核时最快。中小团队单机处理几千万行更可行，升级前检查依赖行序，选型按真实数据量测试。
一万亿参数的欧洲反击：Mistral Large 4 先把权重留在自己手里
10月6日，Mistral 发布 Mistral Large 4 预览：1万亿参数多模态 MoE，激活490亿；开放权重月底放出，先供 API，定价输入1.36、输出4.18美元/百万词元。模型在自有欧洲数据中心用3800张英伟达显卡从零训练，覆盖160多种语言。安全评测中，Cyber Index 全球前五，漏洞复现打补丁82%，Cybench 解出93%；部分闭源模型因拒绝执行得分近零。企业可关注其开源、可自部署和多语言，并按任务是否被拒评估，但当前仅预览，权重与细节待补，验证前不宜写入交付。
用方框指定画面：FLUX 3 Image 把出图变成一件排版的活
FLUX 3 Image是Black Forest Labs推出的图像生成与编辑模型。核心变化是把提示词变成可编程布局表：在0到1000网格画布上为元素画框并配语义id，再由全局caption与JSON元素表引用，智能体可根据一句话和画幅自动规划布局。已生成图可逐框改描述、替换或移动，未动区域保持原样；最多10张参考图，原生支持2K/4K。它适合排字、拼贴、分格漫画、杂志跨页和密集人群等部件多、关系严格的构图，不适合单纯风光。对小团队而言，元素可寻址利于批量生产，配图、海报、电商主图可脚本化，但商用素材与肖像授权仍需人负责。
2B token 之后：一个开源团队用一个月算清了 AI 的钱花在哪
Wagtail团队九月实验只用便宜模型GLM 5.3 Flash，共2B token。上半月达标，约68美元；下半月1B token转向其他模型。一次“氛围编程”原型烧掉450M token、150美元，超过目标模型半月开销，复盘认为本可用五分之一成本完成。因供应商容量不足，GLM性能退化，需切换同档模型。14模型评测中，DeepSeek V4.1 Flash以95%准确率、每任务0.09美元、14.9 Wh居首；整月能耗35 kWh，高于计划10 kWh。团队建议自动度量花费、单列试错预算、训练提示词与多智能体分工，并按成本或能耗而非token数选日常主力。
Redis 作者写了个本地推理引擎：128GB 的 Mac 上跑 284B 的模型
antirez 新项目 DwarfStar 4（ds4）并非通用 GGUF 播放器，而是用 C 写的窄口径推理引擎，仅支持 DeepSeek V4/V4.1 Flash、GLM 5.x、Qwen3.8 Flash Next，覆盖 Metal、CUDA、ROCm，文本与视觉均可。它面向高内存机器，以非对称 2-bit 量化压缩 MoE 路由专家、保留共享路径，并把 KV 缓存落到 SSD，借 prompt 哈希续长前缀。ds4、ds4-server、ds4-agent 共享模型与缓存，兼容 OpenAI/Anthropic 接口。128GB Mac、DGX Spark 可跑部分模型，普通笔记本仍难承载；窄口径使工程可控，但换模型约等于换适配，2-bit 质量需业务实测。团队可把敏感、高频、模型固定的请求低成本迁到本地，强推理仍交云端。