ttys22 @ttys22

Claude Code源码泄漏吹哨人Chaofan再爆中转站漏洞， 你的Agent，可能早已“被我”掌控！ 最新论文《Your Agent Is Mine》首次系统揭露：第三方LLM路由器，也就是俗称的中转站，正成为最致命的中间人攻击点。 核心原理： 现代Agent全靠OpenRouter、LiteLLM或淘宝闲鱼卖的路由器转发请求。这些路由器是应用层MITM，对每一条JSON（含tool call参数、API Key、私钥）拥有明文完全访问权。攻击者只需部署恶意Router，就能实现两大杀招： - Payload Injection（AC-1）：上游模型返回后，偷偷篡改tool call参数（如把curl URL改成攻击者服务器），实现任意代码执行、RCE、甚至typosquatting持久化后门； - Secret Exfiltration（AC-2）：被动扫描流量，瞬间窃取sk-、AWS凭证、ETH私钥，完全无声。 支持条件触发（请求数>50、YOLO模式），隐蔽性极强。 真实影响有多恐怖？ 研究者实测28个付费+400个免费路由器：9个已主动注入恶意代码，1个直接Drain研究者ETH钱包 $500k，处理超 21亿token，暴露99个真实凭证，401个Agent会话处于完全自主“YOLO”状态。

Chaofan Shou @Fried_rice

2 months ago

26 LLM routers are secretly injecting malicious tool calls and stealing creds. One drained our client $500k wallet. We also managed to poison routers to forward traffic to us. Within several hours, we can directly take over ~400 hosts. Check our paper: arxiv.org/abs/2604.08407

157 659 3K 569K 3K

we've increased opencode go's limits by 3x - still $10/month

这一篇不错，基本上把 Claude Code 背后的 Agent、SubA、上下文等等内容都讲清楚了，值得收藏细看

huangserva @servasyy_ai

5 months ago

x.com/i/article/2012…

52 333 2K 546K 3K

how my codebase written entirely with claude code runs

NEWS: xAI has just launched Grok 4.1, which is now available to all users on web, iOS and Android. What’s new/improvements: • Significantly improved for “real‑world usability” — better creativity, emotional & collaborative interactions. • It is more perceptive to nuanced intent, has a more coherent “personality”, while retaining strong intelligence and reliability. • Improvements were achieved by using the same large‑scale reinforcement learning infrastructure as before, but optimizing style, personality, helpfulness and alignment. • To optimize non‑verifiable reward signals (such as style/personality) xAI developed new methods: using “frontier agentic reasoning models as reward models” to evaluate and iterate responses at scale. Hallucination/factual accuracy: • Grok 4.1’s non‑reasoning mode (fast responses) with search tools was a focus: they aimed to reduce factual hallucinations in information‑seeking prompts. • xAI evaluated hallucination rate on a stratified sample of real‑world information‑seeking queries from production traffic, and on FActScore (500 biography questions benchmark). • Significant reductions in hallucination rate for the sampled production prompts. More info below:

keyboard_arrow_left Previous keyboard_arrow_right Next

由一位自托管爱好者制作的 SelfHostList，献给所有 HomeLab 玩家！👀 让我看看还有哪些没玩过的项目。 🧩 github.com/Buage/SelfHost…

brew install samply

brew install cargo-flamegraph

刚刚刷到影视飓风Tim的分享，他说了一个做内容的秘诀，把我给听愣了，但回过味来又觉得“太对了！” 他说，想创意的时候，千万不要一上来就追求线性、有条理。 人的大脑天生就不擅长这个。 正确的姿势是：先疯狂地、不分类地把所有零散的想法，哪怕再不靠谱，全都扔到一个乱七八糟的思维导图里1。就像打游戏放大招一样，先把所有技能都丢出去，直到感觉自己“山穷水尽”了。 然后再跳出来，像个局外人一样，审视这些乱七八糟的点子，给它们分类，找到哪个是核心观点，哪个是表现手法。 这感觉就像什么呢？先把一大堆乐高零件全都倒在地板上，看个过瘾，然后再慢慢地找零件，拼成你想要的模型。而不是一开始就按说明书一步步来。 这招真的绝了，不仅是做视频，感觉写东西、做PPT、策划活动都能用上。下次再没灵感，就知道该怎么办了：先允许自己“乱七八糟”一会！

Tanstack的这篇文章值得大家看看，深得我心。写的太好了🥹 tanstack.com/blog/directive… Tanstack 的作者讨论了 JavaScript 生态中新兴趋势：框架（如 Next.js 等）发明自己的顶级指令（directives），如 'use client'、'use server'、'use cache' 等。这些指令看起来像语言特性（置于文件顶部，影响代码解释、打包和执行），但本质上不是标准 JavaScript：无运行时支持、无规范，各框架可自行定义语义，导致潜在问题。 这些指令已经让我越来越看不懂代码了。这也是很多人抛弃Next.js 选择Tanstack 的原因。

Viking @vikingmute

8 months ago

React 新版本居然有个 use no memo的 directive…… 居然是用来暂时关闭use memo优化 调试用的 一开始以为是搞笑的 react.dev/reference/reac… 看到这些directive我都ptsd了 next当中也越来越多 未来心智负担要越来越重了…… 对于初学者也越来越不友好

5 3 42 62K 10

Every 的一篇博文，记录了他们内部 6 位工程师日常是怎么使用 AI 的，可以学习借鉴一下。这 6 个人都很厉害，撑起了 4 款 AI 产品、一个咨询业务，还有一个 10 万多读者的订阅每日更新。 第 1 位 —— 走在实验前沿：Yash Poojary, Sparkle 总经理 Yash 是 Sparkle 产品的负责人，他同时开两台电脑，一台跑 Claude Code，一台跑 Codex，然后给它们下达同一个任务，看它俩谁干得又快又好。 Yash 说，在五个月前，他得先把设计图（Figma）截图，再粘贴到 Claude 里，让它“看图写代码”。现在用上了 Figma MCP 集成，Claude 可以直接读取 Figma 的设计源文件——包括颜色、间距、组件这些。 Yash 不仅在用AI，他还在优化和AI的配合。比如，他把一天切成两半： - 上午：专注执行。 这时候只用自己最熟的AI工具（Claude 和 Codex），绝不玩新东西，保证产出。 - 下午：自由探索。 这时候才开始测试各种新出的AI应用和功能。 他很清楚 AI 既是生产力工具，也是个“时间黑洞”。他用严格的时间管理，给自己建立了“防护栏”，防止自己沉迷于“调教AI”而忘了真正的工作。 第 2 位 —— 编排闭环：Kieran Klaassen, Cora 总经理 Kieran 负责 Cora 产品，他的风格是““谋定而后动””。 他的工作流核心就两个字：计划。 他会根据功能的大小，制定三种不同级别的编程计划。他会用一个叫 “Context 7 MCP” 的工具，先把最新的、最准确的官方文档和代码喂给AI，确保AI不是在“凭空想象”或用过时的知识来制定计划。 等Claude Code 交出一个完美的计划后，他再把计划发到 GitHub，然后在云端让 Coding Agent（主要是Claude Code）去执行这个计划。AI写完代码后，他会再启动一个““审查””命令，让AI自己先检查一遍，然后他再上手。 对 Kieran 来说，AI 不是一个“黑匣子”，而是一个必须在他制定的蓝图内严格执行的“施工队” 第 3 位 —— 化繁为简，拆解里程碑：Danny Aziz, Spiral 总经理 Danny 负责 Spiral 产品，他可能是这群人里最硬核的一位。 他的主战场不在花哨的图形界面，而是在一个叫 “Droid” 的命令行工具里。这个工具能让他同时调用 OpenAI 和 Anthropic 的模型。 他的工作流是： 1. 用 GPT-5 Codex 做大的任务：搭建复杂功能的框架。 2. 用 Claude 做小的任务：优化和打磨代码细节。 Danny 最有价值的一个做法是，他会在““规划阶段””花大量时间跟AI对话，让AI帮他推演一个决策可能带来的第二层、第三层后果”。 举个例子：“我要加这个新功能，但你帮我分析一下，它会不会因为从数据库拿数据的方式，导致整个App变慢？” 他用AI来辅助自己做更高维度的“架构思考”，而不仅仅是写几行代码。 > “我不再用 Cursor 了，”他说，“我已经好几个月没打开过它了。”取而代之的是，他的主界面是 Warp，可以在上面分割屏幕、快速切换任务。在它背后，他用 Zed ——一个轻量、快速的代码编辑器——来审阅计划文件和特定的代码片段。 第 4 位 —— 让流程成为唯一的“事实来源”：Naveen Naidu, Monologue 总经理 Naveen 负责 Monologue 产品，他是个“程控”。他的信条是：“如果一个任务没录入 Linear (项目管理工具)，那它就不存在。” 他把所有需求和Bug都先在 Linear 里归档，然后再启动AI。他也有两套流程： - 小Bug：直接从 Linear 复制粘贴问题描述，扔进 Codex Cloud 让AI去跑。 - 大功能：在本地写一个详细的 plan.md (计划文档)，把它作为和AI沟通的“唯一事实蓝图”，在命令行里一步步推进。 最有意思的是，他深度使用自己开发的产品 Monologue (一个语音转文字工具) 来口述需求、写文档、给AI下指令。这简直是““用自己造的锤子，来修自己的房子””。 他还有一套严格的审查标准：AI 自动审查 -> 自己人工对比代码 -> 查看Sentry（错误监控工具）的日志，确保Bug真的被修复了。 第 5 位 —— 钻研打磨，精益求精：Andrey Galko, 工程主管 Andrey 是工程主管，他代表了另一种工程师：不爱折腾。 他不喜欢追逐“闪亮的新玩具”。他之前一直用 Cursor (一个AI代码编辑器)，觉得体验最好。但后来因为 Cursor 改了定价，他一周就把免费额度用完了，这才“被迫”换工具。 他换到了 Codex。他认为以前的 OpenAI 模型写的代码很“懒”，经常跳步骤，不如 Claude 好用。但现在的 GPT-5 Codex 已经进化得非常强，连以前 Claude 的强项——用户界面(UI)——都能搞定了。 第 6 位 —— 极致的专注：Nityesh Agarwal, Cora 工程师 Nityesh 是 Cora 的工程师，他的风格和第一位 Yash 截然相反。他追求极致的专注。他的装备极简（一台MacBook Air），他的工具也极简：只用 Claude Code。 但他用 Claude Code 的方式很特别： 1. 他会花好几个小时，先和 Claude 一起研究、制定一个巨详细的计划。 2. 一旦开始编码，他就待在一个终端窗口里，“像老鹰一样””盯着 Claude 输出的每一行代码，手指就悬在 Escape 键上，一旦发现不对，立刻中断它。 最近，他甚至故意频繁地打断AI，强迫AI向他解释“你为什么要这么写？”。 他承认，这样做效率变低了，但带来了两个巨大的好处： 1. AI 胡说八道（hallucinate）的次数变少了。 2. 他感觉自己的开发技能也在这个盘问 AI 的过程中变强了。 他意识到，自己已经对 Claude 产生了依赖，这让他很脆弱。前阵子 Claude 宕机了两天，他试了别的工具，都感觉不顺手。所以，他现在逼着自己和AI一起思考，而不是纯粹依赖AI。 --- 看来每个人用 AI 的方式都不一样，但也有一些共同点： 1. 重点不在“写代码”，而在“做规划” 没有人真正的是在“Vibe Coding”，没有说写个提示词就完事了的，都是在 AI 干活前反复的讨论，直到清楚了再动手 2. 上下文很重要 Yash 用 Context 7 MCP 的工具，确保 AI 在写代码时，能自动去查阅最新、最官方的“技术文档”。这就避免了 AI 用过时的知识（比如一个老版本的函数）来写新代码。还会用 Figma MCP，读取 Figma 的原始设计数据，让 AI 可以直接拿到准确的颜色、间距等信息 3. 工程师的角色在进化 工程师已经不再是单纯写代码，还要做计划、写提示词、审查 AI 生成的代码 4. 专注 这个问题其实我也有感触，AI 让人更难专注了，在等 AI 结果的时候去做点其他事，很快就把任务忘记了；或者 AI 工具太多，每个新 AI 工具都去试试太费时间了。像 Yash 那样，一半时间专注交付，一半时间探索。 原文：Inside the AI Workflows of Every’s Six Engineers every.to/source-code/in…

我来捞一下这篇 3 年前的文章，大家天天离不开 SSH，又感觉这玩意是个程序员就会用，但是我真正会用是看了一本 500 页关于 SSH 的书才知道 SSH 有这么强大，是的，一本 500 页的书只讲 SSH，当年我司的 SRE 送给我的

plantegg @plantegg

4 years ago

SSH是我见过的最没被挖掘但是又天天用得最多的工具，反正各种机器已经被我用SSH透遍了，当看到同事还在WEB Terminal下恶心的时候，我已经爽飞了，当然技巧都来自我这篇，这种图我也特别喜欢，来自这篇英文iximiuz.com/en/posts/ssh-t…，东西不如我整理的完整，推荐看我的：plantegg.github.io/2019/06/02/%E5…

74 745 3K 409K 2K

跟很多朋友真正失联是在他们生孩子之后开始的，大部分人嘴里就基本上剩下自己孩子，我觉得相当无趣🤪

低等生物 @didengshengwu

8 months ago

120 452 4K 711K 779

#electron #macos26 #Tahoe high GPU usage 用 AI 使用 swift 写了一个一键检测工具, 然后居然有意外发现: 都2025年了, 这些用 1x 上古版本的应用,你们真是够了啊

前几天跟一个同事吃饭，说是他们那边已经大量adopt AI ，但是新人搞出来的代码被频繁打回去重写。听起来AI除了增加老员工的code review负担以外，没什么正面作用。我们组效果就更明显，因为大家都是老妖精，一旦有人用AI干，大家就觉得他是不是喝醉了写的代码，依然打回去重写了，都不用仔细review了🤪

王依依棺材馅儿 @ec12edfae2cb221

8 months ago

最近看到了太多只会AI写代码AI改的新人, 没有一丁点理解能力和理解动力. 沟通成本巨高无比

12 7 126 53K 12

一周前 Vercel 发了篇博客指责竞争对手 Cloudflare Workers 性能差，今天 Cloudflare 回应了篇博客承认错误，解释了造成问题的各种技术细节，现在把性能也追上来了 太佩服这种在竞争对手面前勇于承认错误的勇气和快速透明解决问题的态度了，现在倒是显得 Vercel 小肚鸡肠了...

CF 真是一个超级认真又迭代迅速的公司，这篇博客抽丝剥茧的分析了 Cloudflare workers 的性能问题，和 Vercel 有差距的原因，最后提出改进方案。 blog.cloudflare.com/unpacking-clou… 每次有问题以后它们的文章都堪称透明准确，从来不会掩饰问题，非常认真的说明原因和解决方案。强烈建议大家读读看，还能学到很多云服务实现的细节。 想起之前国内一些云的事故，遮遮掩掩，从来都是永远不知道原因和怎样解决的。甚至 status 都是假的，服务都挂了还挂着 “All Systems Operational”

Cloudflare @Cloudflare

8 months ago

Cloudflare investigated CPU performance benchmark results for Workers, uncovering and fixing issues, making Cloudflare Workers faster for all customers. blog.cloudflare.com/unpacking-clou…

34 116 2K 728K 1K

原来 OpenAI 的这个流程图使用这个开源库 ReactFlow 画的： reactflow.dev 我看了一下，真的很不错啊，交互很丝滑，自定义能力也很强，每个组件都是 shadcn/ui 和 tailwindcss 做的，所以可以随意自定义如果有朋友有做这种模式的流程图的需求，可以用起来。 它们还有个 Pro 的收费版本，有一些高级功能，一般的需求用开源免费版本就足够了。官网有一些例子可以感受一下：reactflow.dev/examples

xyflow · React Flow · Svelte Flow @xyflowdev

9 months ago

Hey @OpenAI :) We just saw that you are using our open source library React Flow 🔥 We offer startup discount codes :) Let us know if you are interested 👀

114 244 5K 609K 2K