2026-05-23

https://www.nytimes.com/2026/05/22/us/politics/green-card-changes-trump.html

yt-dlp 对 Bun 支持的限制和弃用通知 (yt-dlp Limits and Deprecation of Bun Support Announcement)

以下是关于 yt-dlp 对 Bun 支持调整的重要信息总结：

核心内容:

• Bun 支持范围限制: 在下一次 yt-dlp 和/或 ejs 发布后，yt-dlp 将仅支持 Bun 的 1.2.11 到 1.3.14 版本。
• 支持范围下限提升: 最低支持版本从 1.0.31 提升至 1.2.11。 原因是：
  • 早期 Bun 版本（低于 1.2.0）在构建 ejs 包时会忽略 lockfile，存在安全风险，尤其考虑到最近的 npm 供应链攻击事件。
  • ejs 测试套件无法在低于 1.2.11 的 Bun 版本上运行。
• 支持范围上限设定: 最高支持版本设定为 1.3.14，这是最后一个基于原始 Zig 代码库构建的版本。
• Bun 支持将逐步弃用: 虽然 yt-dlp 会在一段时间内继续支持上述范围内版本的 Bun，但保留随时完全停止 Bun 支持的权利，如果维护成本过高。
• 更多信息: 更多关于 yt-dlp 支持的 JavaScript 运行时的信息，请参考 EJS Wiki，但请注意，该文档尚未更新以反映此公告中的更改。

总结: yt-dlp 为了安全性和长期维护的考虑，对 Bun 的支持范围进行了限制，并计划逐步弃用，仅支持 1.2.11 到 1.3.14 之间的特定 Bun 版本。

https://www.science.org/content/article/u-s-researchers-face-new-restrictions-publishing-foreign-collaborators

<dl> 元素详解：语义化列表的强大之处

本文介绍了 HTML 中经常被忽视的 <dl>（描述列表）元素。<dl> 元素用于表示 名称-值对列表，这是一种常见的 UI 模式，且具有极强的灵活性。 许多网站中都存在这种模式，例如住宿设施列表、月度账单明细、技术术语表等，都可以使用 <dl> 元素来表示。

描述列表的组成

描述列表由三个元素组成：<dl>、<dt> 和 <dd>。

• <dl>: 描述列表的容器，类似于 <ul> (无序列表) 或 <ol> (有序列表)。
• <dt>: 描述项，表示名称。
• <dd>: 描述细节，表示值。

一个简单的例子：

<dl>
	<dt>Title</dt>
	<dd>Designing with Web Standards</dd>
</dl>

一个描述项可以对应多个描述细节：

<dl>
	<dt>Author</dt>
	<dd>Jeffrey Zeldman</dd>
	<dd>Ethan Marcotte</dd>
</dl>

为了样式控制，<dt> 和 <dd> 可以被 <div> 元素包裹：

<dl>
	<div>
		<dt>Title</dt>
		<dd>Designing with Web Standards</dd>
	</div>
</dl>

为什么需要语义化的描述列表？

过去，开发者经常使用嵌套的 <div> 元素来模拟名称-值对列表。虽然也能实现展示，但缺乏语义化。 使用语义化元素 <dl> 的好处在于，它允许计算机（例如屏幕阅读器）识别这种模式，从而提供更好的用户体验。例如，屏幕阅读器可以：

1. 告知用户列表中包含的名称-值对的数量。
2. 告知用户当前位于列表的哪个位置。
3. 将整个列表作为一个整体处理，允许用户跳过。

虽然目前对 <dl> 元素的支持尚未完全普及，但其潜在优势依然值得关注。

示例：龙与地下城 (D&D) 角色属性

《龙与地下城》中的角色属性面板（statblock）提供了一个绝佳的示例，其中包含大量的名称-值对。 可以使用多个 <dl> 元素来组织这些属性，例如：

• 盔甲等级
• 生命值
• 速度
• 属性值 (STR, DEX, CON 等)
• 感知
• 语言
• 挑战等级
• 动作

总结

名称-值对列表是 Web 上常见的模式。HTML 提供了 <dl>、<dt> 和 <dd> 元素，方便我们语义化地表示这种模式。 使用这些元素可以使用户设备更好地理解页面内容，从而提供更好的用户体验。

想要了解更多信息，请参考 MDN 文档 或 HTML 规范。

脚注

1. 在 HTML5 之前，该元素被称为 定义列表。最初，<dl> 仅用于表示术语及其定义的词汇表。
2. 之前分别称为 定义项 和 定义细节 元素。

Project Glasswing：AI助力软件安全，应对新型网络安全挑战 (Project Glasswing: AI-Powered Software Security to Address New Cybersecurity Challenges)

Anthropic 上个月启动了 Project Glasswing，旨在通过协作方式，在更强大的 AI 模型被恶意利用之前，保护全球关键软件的安全。

主要发现与进展：

• 漏洞发现数量激增： 自启动以来，Anthropic 与约 50 个合作伙伴利用 Claude Mythos Preview 发现了超过 10,000 个高危或关键级别的软件漏洞，显著提高了漏洞发现速度。 瓶颈已经从发现漏洞转变为验证、披露和修补漏洞的速度。
• Mythos Preview 性能显著：
  • 合作伙伴反馈： 合作伙伴的漏洞发现率提高了十倍以上。例如，Cloudflare 在其关键系统上发现了 2,000 个漏洞（其中 400 个为高危或关键），且误报率优于人工测试者。
  • 外部评估：
    • 英国 AI 安全研究所报告 Mythos Preview 是第一个成功解决其所有网络攻击模拟的 AI 模型。
    • Mozilla 在测试 Firefox 150 时，利用 Mythos Preview 发现了 271 个漏洞，是使用 Claude Opus 4.6 测试 Firefox 148 的十倍以上。
    • XBOW 平台评估 Mythos Preview 在网络攻击测试中表现优于现有模型，并具有“前所未有的精度”。
    • ExploitBench 和 ExploitGym 等学术基准测试显示 Mythos Preview 表现最佳。
• 软件补丁速度加快： Palo Alto Networks 的最新版本包含平时数量的五倍补丁，Microsoft 报告称将继续发布更多补丁，Oracle 的漏洞检测和修复速度也显著提升。
• 其他安全应用： Mythos Preview 还被用于检测和阻止了银行的欺诈性 150 万美元电汇转账。
• 开源软件扫描： Anthropic 使用 Mythos Preview 扫描了超过 1,000 个开源项目，发现 6,202 个高危或关键级别的漏洞（总计 23,019 个）。经过安全研究机构的评估，其中 90.6% (1,587) 被证实为真实漏洞，62.4% (1,094) 被确认为高危或关键级别。

挑战与应对：

• 漏洞修复成为瓶颈： 漏洞发现速度加快，但修复速度跟不上，导致漏洞窗口期延长。
• 维护者压力： 大量 AI 生成的漏洞报告给开源软件维护者带来了巨大压力，一些维护者甚至请求降低报告频率。
• 工具支持： Anthropic 正在开发和发布工具，帮助安全团队更好地利用 AI 模型进行漏洞扫描和修复，并发布了 Claude Security 公测版，为企业客户提供代码漏洞扫描和修复建议。

未来展望：

• 扩大合作： Project Glasswing 将扩大合作范围，包括与美国及盟友政府合作。
• 谨慎发布： Anthropic 将在开发出更强大的安全措施后，谨慎发布 Mythos 级模型。
• 强化网络防御： 建议软件开发者缩短补丁周期，用户及时更新软件；网络防御者缩短补丁测试和部署时间，加强网络安全基础措施。
• 持续投入： Anthropic 将继续发布研究，支持网络安全防御者，并为开源安全提供支持。

Project Glasswing 的目标是帮助构建更安全的软件生态系统，应对 AI 驱动的网络安全挑战。

艰难的旅程：一台二手MacBook的国际运输经历 (Nánjī de lǚchéng: Yí tái shǔyòng MacBook de guójì yùnshū jīnglì) - A Difficult Journey: The International Shipping of a Used MacBook

This account details the arduous process of shipping a used MacBook from Australia to a Congolese refugee, Django, living in a Ugandan refugee camp. Django is pursuing a Computer Science degree remotely, facing significant challenges including limited electricity, internet access, and financial constraints.

The Need and Initial Attempt: Django’s laptop malfunctioned, requiring a replacement. The author, possessing spare MacBooks, offered to send one. The initial attempt involved packaging the laptop and sending it via Australia Post. However, the package was returned due to Australia Post's restrictions on shipping devices containing lithium batteries internationally via air.

Seeking a Freight Service: The author then turned to a freight service, Pack & Send, which quoted $213 AUD. The packaging was professionally handled, and the author prepared for potential delays due to the Strait of Hormuz crisis. Django was also advised to expect customs fees and taxes, for which the author pre-emptively sent $50-$100 via WorldRemit.

Ugandan Customs Challenges: Upon arrival in Uganda, the package faced several hurdles. Django was initially required to pay an agency fee (UGX 95,000, ~$35 AUD) and register with the Uganda Revenue Authority (URA). Critically, Django, as a refugee, lacked a Tax Identification Number (TIN). Obtaining one proved incredibly difficult, requiring a lengthy and frustrating journey to a URA office, including a two-hour walk, a motorcycle ride, and a taxi journey. He faced bureaucratic obstacles, indirect requests for unofficial payments, and inconsistent service. He ultimately obtained the TIN after a grueling two-day ordeal.

Customs Taxes and Fees: With the TIN secured, Django paid UGX 127,657.76 (~$47 AUD) in taxes. The total expenses at this point reached approximately $407 AUD.

Delivery Restrictions and Seizure: Further complications arose when FedEx flagged the shipment for "delivery restrictions." The package was rerouted through multiple countries, adding to the delay. Ugandan regulations prohibit importing used laptops without an original purchase receipt. Customs temporarily seized the laptop.

Unexpected Storage: After a series of miscommunications and unreliable tracking, the laptop was ultimately found stored within a hardware shop, amongst welding equipment.

Final Cost and Conclusion: The final tally of expenses reached approximately $426 AUD, including the failed Australia Post attempt, courier fees, agency fees, taxes, and a top-up payment. The laptop finally arrived after 42 days and a journey spanning 36,000 km across 12 countries, highlighting the significant logistical and bureaucratic challenges involved in international shipping, particularly to remote locations with complex regulations. Django expressed immense gratitude for the support and the arrival of his first Apple device.

Oura 戒指数据安全与隐私问题：总结

本文探讨了健康追踪设备制造商 Oura 的数据安全和隐私问题，特别关注其与美国国防部和 Palantir 合作引发的争议，以及该公司在处理用户健康数据方面的做法。

核心要点：

• Oura 戒指收集大量敏感数据： Oura 戒指收集用户的心率、睡眠模式、月经周期、位置等大量健康数据，并将其存储在 Oura 的服务器上。
• 数据并非端到端加密： Oura 数据并非端到端加密，这意味着数据在从戒指、手机应用、互联网传输到 Oura 服务器的过程中，存在被解密的风险。Oura 确认其员工可以访问用户数据，这也意味着其他潜在的访问者，如持有搜查令的检察官、窃取密钥的黑客或心怀不满的内部人员，也可能访问这些数据。
• 政府数据请求： Oura 承认收到政府的“不时请求”，并声称会评估这些请求的合法性、范围和必要性，并在必要时拒绝。但公司拒绝透露收到请求的具体数量、数据交接频率以及请求的数据类型。
• 缺乏透明度报告： 尽管 Oura 曾表示正在考虑发布透明度报告，但至今未采取行动，也未回复作者的询问。这使得公众无法了解 Oura 拒绝政府数据请求的频率。
• 公司规模与责任： Oura 的估值超过 110 亿美元，并计划公开上市，成为健康科技可穿戴设备市场的领导者。作者认为，Oura 有责任确保用户数据无法被未经授权的访问，并且应该公开政府数据请求的数量，以赢得并保持用户的信任。
• 用户基数庞大： Oura 已售出超过 550 万枚戒指，拥有庞大的用户群体，这进一步强调了数据安全和隐私保护的重要性。

总结：

Oura 的数据安全措施存在漏洞，缺乏透明度，引发了对其用户数据隐私的担忧。作者呼吁 Oura 发布透明度报告，公开政府数据请求的数量，以增强用户信任并展现其对数据安全的承诺。

特朗普移动确认客户个人信息泄露至公开网络

摘要：

特朗普品牌手机制造商特朗普移动 (Trump Mobile) 已确认，其客户的姓名、电子邮件地址、邮寄地址、电话号码和订单标识符等个人信息暴露于公开互联网。

主要内容：

• **信息泄露：**特朗普移动的客户个人信息，包括姓名、电子邮件地址、邮寄地址、电话号码和订单标识符，未经授权地暴露于互联网上。
• 公司回应： 特朗普移动发言人克里斯·沃克表示，公司正在调查此次信息暴露，尚未发现内容或财务信息泄露的证据。 他强调，特朗普移动的网络、系统和基础设施本身并未受到入侵。
• 第三方平台原因： 沃克表示，此次暴露与支持“特朗普移动某些运营的第三方平台提供商”有关，但未透露该提供商的名称。
• 事件经过： 此前的本周已有报告指出特朗普移动的客户数据可以从网络上公开访问。 两位YouTube用户（Coffeezilla和penguinz0）在订购特朗普移动手机后，收到研究人员的警告，指出他们的个人信息已暴露在网上。 他们曾试图通知特朗普移动，但未获得回应。
• 后续行动： 特朗普移动正在评估是否需要通知客户，告知他们个人信息暴露的情况。
• 时间： 该事件发生于2026年5月22日，最初报告于2026年5月20日。

关键词： 特朗普移动 (Trump Mobile), 个人信息泄露, 数据安全, 第三方平台, 客户数据。

80386 微码反汇编项目总结

本文总结了对 80386 微码 ROM 的反汇编项目，该项目历时多年，并涉及图像处理、神经网络和人工辅助自动化等技术。

项目背景与挑战:

• 最初，作者获取了 80386 微码 ROM 的高分辨率图像，但由于其规模远大于 8086 微码，且缺乏公开的文档支持，直接反汇编和验证难度极大。
• 随后，在 Discord 社区的帮助下，作者得以将图像转换为二进制数据，并最终成功提取了二进制 blob。
• 反汇编过程依然充满挑战，需要对微码指令的排列、读取顺序、以及各个字段进行分析和推断，并借助 Ken Shirriff 对 80386 芯片逻辑的分析来辅助理解。

关键发现与成果:

• 指令数量： 80386 微码拥有 215 个入口点，远超 8086 的 60 个，部分原因是新增指令，也部分原因是根据操作数类型、CPU 模式和 REP 前缀等因素采用不同的处理流程。
• 微码覆盖范围： 80386 的微码覆盖了所有指令，没有例外，每个指令都对应着一段微码。
• “无用”代码： 从 0x849 到 0x856 的一段微码似乎没有入口点，但结构与 PAGE_FAULT 异常处理程序相似，可能涉及分页单元的错误处理。
• 潜在安全漏洞： 作者发现了一个潜在的 IO 权限位图处理漏洞，在 4 字节端口访问中，微码可能只检查前 3 个地址的权限位，导致超出权限的访问。该漏洞可能存在于某些版本的 80386 芯片中，但仍需进一步验证。
• 硬件加速： 80386 在单周期内的执行速度比 8086 快得多，这得益于其使用了更多的晶体管来实现硬件加速。微码主要负责设置这些加速器，而不仅仅是直接实现算法。

技术细节:

• 项目使用了图像处理、神经网络和人工辅助自动化技术来提取微码。
• 反汇编过程中，作者通过分析微码指令的排列、读取顺序、以及各个字段，逐步理解了微码的结构和功能。
• 借助对 80386 芯片逻辑的分析，作者能够将微码指令与 CPU 指令关联起来，从而更好地理解微码的含义。

资源获取:

• 80386 微码反汇编项目代码和数据可在 x86 微码仓库 上获取。
• 建议从 parts.txt 文件开始，了解各个文件包含的内容，或直接从 microcode_10.txt 文件开始阅读反汇编代码。

鸣谢:

感谢 Daniel Balsom (gloriouscow), Smartest Blob, nand2mario 以及 Ken Shirriff 的贡献。

人工智能应用成本超支：企业面临的悖论

主要内容：

当前，许多企业都在积极推动员工尽可能多地使用人工智能，以期获得生产力提升。然而，这种高压政策却导致了一些问题，甚至可能造成不可逆转的裂痕。

具体情况：

• 微软缩减 Claude Code 应用： 微软已开始取消大部分直接的 Claude Code 许可证，转而鼓励工程师使用 GitHub Copilot CLI。此前，微软曾大力推广 Claude Code，吸引了数千名员工进行实验。这是因为员工对 Claude Code 的使用量过大，导致成本压力。值得注意的是，此次调整不会影响微软与 Anthropic 的 Foundry 协议，该协议包括对 Anthropic 的投资以及微软 Azure 云计算的使用。
• 优步 AI 预算超支： 优步的 CTO Praveen Neppalli Naga 表示，该公司仅用四个月就超出了 2026 年人工智能编码工具的预算。此前，优步曾通过内部排行榜激励员工使用 AI 工具。
• 英伟达高管的警告： 英伟达深度学习副总裁 Bryan Catanzaro 提到，对于他的团队而言，计算成本已经超过了雇佣员工的成本。
• “Tokenmaxxing” 现象： 类似地，Meta 的员工创建了名为“Claudeonomics”的排行榜，用于跟踪员工使用 AI 工具的程度。亚马逊则鼓励员工进行“Tokenmaxxing”，即尽可能多地使用 AI tokens。
• AI 成本悖论： 尽管单个 AI token 的价格预计会大幅下降，但随着 AI agent 的应用普及，token 消耗量预计将呈指数级增长（Goldman Sachs 预测到 2030 年每月将达到 120 万亿个 tokens）。 这种消耗量激增可能超过单位成本的下降幅度，导致企业 AI 成本整体上升。Gartner 预计，到 2030 年，运行一个拥有万亿参数的大型 AI 模型将比 2025 年便宜 90%，但由于 AI agent 对 tokens 的需求更高，企业 AI 成本可能不会因此降低。
• 对 AI 部署计划的影响： Nvidia CEO Jensen Huang 曾预言，未来每位员工都将与 100 个 AI agent 一起工作。 然而，如果 token 消耗速度超过单位成本下降速度，这一愿景的实现成本可能会超出预期。

总结：

企业在追求 AI 驱动的生产力提升时，面临着一个悖论：单个 token 价格下降，但整体 AI 应用成本却可能因为消耗量激增而上升。 这对企业部署 AI agent 的计划提出了挑战，并表明用 AI 替代或增强人力成本可能比最初预期的更为复杂。

NBC News NOW 新闻摘要 (2026年5月)

以下是NBC News NOW节目中报道的主要新闻内容：

太空探索与航天

• 星舰 (Starship) 成功发射: SpaceX成功发射了星舰火箭的V3原型机。此前，星舰火箭曾因技术问题被推迟发射。
• Artemis II任务回顾: Artemis II任务的宇航员返回地球后，进行了回顾和分享。任务期间，Reid Wiseman 拍摄了“地球落日”的壮观景象。宇航员们在返回地球后，乘坐直升机从溅落地点转移，并被安全地从 Orion 飞船中取出。 NASA 强调 Artemis II 任务的成功并非偶然。
• Artemis III 任务新细节: NASA公布了关于Artemis III任务的新细节。
• 特朗普会见 Artemis II 宇航员: 前总统特朗普会见了完成历史性任务的 Artemis II 宇航员。
• Vast 建设首个商业空间站: Vast 公司正在建设第一个商业空间站。
• 哈勃望远镜 36 周年: 哈勃望远镜庆祝了成立 36 周年。
• “宇航员为美国”非营利组织: “宇航员为美国”非营利组织的创始人分享了该组织的使命。
• Ed Buckbee逝世: 美国太空与火箭中心创始人 Ed Buckbee 逝世，享年 89 岁。

其他新闻

• 五角大楼发布解密UFO文件: 五角大楼发布了数十年来的解密UFO文件，包括单独的批次和文件集。
• 宇航员分享“宇航员为美国”非营利组织的使命
• 宇航员分享任务中的情感时刻

总而言之，本月新闻主要关注太空探索和航天领域，特别是 SpaceX 的星舰火箭发射、NASA 的 Artemis 任务以及五角大楼对 UFO 文件的解密。

书评 #210：致富的艺术 (P.T. Barnum 的致富金科玉律)

这篇文章总结了 P.T. Barnum 撰写的《致富的艺术》一书，这本书是他 70 岁时将他最受欢迎的演讲整理成的书。Barnum 本人的人生经历丰富，包括建立纽约最著名的博物馆、推广汤姆·拇指、担任布里奇波特市市长、因投资钟表公司破产，以及最终东山再起。 他60岁时与他人共同创立了后来发展成为巴努姆和贝利马戏团的巡回演出。 这本书浓缩了他一生的奋斗经验，总结了 20 条朴实无华的致富法则。

核心原则：

• 1. 明确你的职业 (Don’t Mistake Your Vocation): 选择你擅长的职业，并努力做到最好。 很多人倒过来思考，先选择薪水高的工作，然后花费一生在逆水行舟中挣扎。 成功人士通常具有擅长某事的才能，找到你的天赋是第一步。
• 2. 避免债务 (Avoid Debt Like the Plague): 债务会损害一个人的自尊。特别是年轻人，应该避免债务。一旦欠别人钱，就等于出卖了一部分自由。 关键在于保持收入高于支出。
• 3. 竭尽全力去做 (Whatever You Do, Do It With All Your Might): 敷衍了事是昂贵的。Barnum 观察到，许多人穷一生是因为他们只是勉强地工作，而另一些人通过彻底地完成同样的工作而变得富有。 全力以赴的人会超越那些不投入的人。
• 4. 维护你的信誉 (Preserve Your Integrity): 没人会从不值得信任的人那里购买商品。 即使你是在镇上最友好的商人，如果顾客怀疑你欺骗他们，他们也会去另一家商店。 欺骗可能在短期内带来收益，但会让你在人生的漫长道路上付出代价。 信誉是真正的资产。

行动建议：

1. 评估你的工作： 你的当前工作是否符合你的天賦？ 如果没有，你理想的工作是什么？ 制定一个行动计划，朝着理想的目标前进。
2. 列出你的债务： 制定一个明确的计划来消除你的债务，从最小的开始。 避免承担任何新的债务，本月不要负债。
3. 专注于一项任务： 选择你已经半心半意地完成的一项任务。 本周，全力以赴地完成它，不遗余力。

名言：

“金钱在某些方面，既是非常好的仆人，也是可怕的主人。” (Money is, in some respects, like fire. It is a very excellent servant, but a terrible master.)

这篇文章由 Cool Tools Lab 撰写，Cool Tools Lab 是一家由三个人组成的创业公司。他们还运营着 Recomendo、Cool Tools 网站、YouTube 频道和播客，以及其他新闻通讯，包括 Recomendo Deals、Gar’s Tips & Tools、Nomadico、What’s in my NOW?、Tools for Possibilities、Books That Belong On Paper 和 Book Freak。

Bambu Studio, 开源协议侵权与中国法律框架分析 (Bambu Studio, Open Source License Violation and Analysis of Chinese Legal Framework)

This text details concerns regarding Bambu Studio's violation of the PrusaSlicer AGPL license, and links this issue to a broader context of Chinese national security and data control laws. Here's a summary:

核心问题 (Core Issue): Bambu Studio, a 3D printer slicer software, has been accused of violating the AGPL-3.0 license of PrusaSlicer since its fork. The primary point of contention is a closed-source "networking plugin" within Bambu Studio, which facilitates communication with their cloud services. This plugin is considered a violation of the AGPL, as it doesn't adhere to the requirement that derivative works remain open source.

法律框架 (Legal Framework): The author argues that Bambu Studio's actions are likely influenced by a series of Chinese laws designed to exert control over data and technology:

1. 国家情报法 (National Intelligence Law, 2017): Requires all organizations and citizens to support and cooperate with intelligence work, with mandatory silence about such cooperation.
2. 密码法 (Cryptography Law, 2020): Mandates state approval and review of commercial encryption and requires companies to provide decryption keys when requested by authorities.
3. 数据安全法 (Data Security Law, 2021): Grants Chinese jurisdiction over data impacting national security and public interests, regardless of data hosting location.
4. 反间谍法修订 (Counter-Espionage Law Revision, 2023): Broadens the definition of espionage to include data and materials related to national security, including industrial data.
5. 网络产品安全漏洞报告规定 (Network Product Security Vulnerability Regulation, 2021): Requires companies to report software vulnerabilities to the Ministry of State Security within 48 hours.

背景 (Background):

• 中国制造2025 (Made in China 2025): 3D printing was designated a strategic technology and incorporated into this plan in 2020.
• Bambu Studio's networking plugin is updated dynamically and cannot be audited.
• PrusaSlicer initially detected Bambu Studio's existence through accidental telemetry data sent to PrusaSlicer servers.
• PrusaSlicer considered legal action but deemed it impractical due to jurisdictional challenges in China.

风险 (Risks):

• The combination of these laws creates a system with limited oversight and potential for data access by Chinese authorities.
• 3D printing is strategically important as it involves creation of new intellectual property, and printers are often located near R&D departments and sensitive areas.
• This issue extends beyond 3D printing, affecting other technologies like cameras, cars, and AI models.
• The author highlights the dwindling number of Western 3D printer manufacturers, suggesting potential implications of Chinese government subsidies.

The author concludes by expressing concern about the erosion of the open-source social contract and the potential for data collection and control by Chinese entities.

Kanbots 总结 (Summary of Kanbots)

Kanbots 是一个开源看板工具 (MIT 许可，可在 GitHub 上找到)，旨在利用并行代理 (parallel agents) 提升软件开发效率。它将看板概念与 AI 代理技术相结合，特别针对 Claude Code 和 Codex 代理。

核心理念：

• 并行代理： 在每个卡片上运行多个代理，每个代理在独立的 Git 工作树 (worktree) 中运行。
• 本地优先： 所有数据存储在本地 .kanbots/ 目录下，无需云账户或服务器，确保代码安全。
• 为代理开发量身定制： 不仅仅是 CLI 的包装，而是提供完整的 UI，用于调度、审查、拆分和发布代理工作。

主要功能：

• 看板 (Board): 核心界面，显示代理执行状态和决策。
• 自动驾驶 (Autopilot): 通过定义角色 (personas) 和并行度，实现自动化的工作流程。角色包括产品经理、工程师、审查员、测试员等，可以自动拆分父级问题为子任务，并持续迭代。
• 可审查的决策： 代理在需要决策时暂停，并提供选项供用户选择，避免无声的更改。支持快捷键、编辑提交和斜杠命令（例如 /spec, /review, /split）。
• 支持自定义 CLI： 支持 Claude Code 和 Codex，通过统一的 AgentCliAdapter 接口。
• 成本分析： 实时跟踪每个运行、每个卡片、每个项目的成本，并设置运行和会话预算。
• GitHub 集成： 可以将工作树提交为 Git 提交，或者一键创建草稿 PR。
• MCP 服务器： 暴露看板，允许 Cursor、Claude Desktop 等支持 Model Context Protocol (MCP) 的工具驱动看板。
• QA 模式： 自动运行类型检查、测试、代码风格检查、构建和端到端测试，并在出现失败时自动派发修复任务。

产品定位：

Kanbots 提供了两种产品：

• Solo: 适用于单人开发者，在本地笔记本电脑上使用。
• Team: 适用于团队协作，提供更高的协作能力。

技术栈：

• Electron: 构建桌面应用程序的框架。
• SQLite: 本地存储数据库。

核心优势：

• 无需服务器： 本地运行，数据安全。
• 成本可控： 实时成本分析和预算设置。
• 灵活集成： 支持 Claude Code、Codex 和其他 MCP 兼容工具。
• 自动化流程： 自动驾驶功能可以简化重复性任务。

睡眠呼吸道研究：从基础科学到临床治疗

本文讲述了睡眠呼吸道研究，特别是针对睡眠呼吸暂停症的研究，以及由此衍生出的新治疗方法AD109的故事。

研究背景与起源

• Horner教授的研究历程: Horner教授的睡眠研究始于20世纪90年代，最初在英国伦敦大学的睡眠实验室工作。为了进一步研究睡眠和呼吸，他于1997年回到多伦多大学，并建立了自己的实验室。
• 研究目标: Horner实验室致力于开发新的工具和模型，以更有效地研究睡眠和呼吸，并着重于探索控制呼吸肌肉活动的神经回路。此前，大多数模型仅模拟睡眠状态，而Horner实验室的目标是研究自然睡眠状态。

关键发现

• 去甲肾上腺素的作用 (2006): Horner实验室率先发现去甲肾上腺素在清醒和睡眠的某些阶段激活舌头肌肉中发挥重要作用。由于舌头是影响肺部气流的关键上呼吸道肌肉，这一发现意义重大。在快速眼动（REM）睡眠期间，去甲肾上腺素水平下降，导致舌头肌肉松弛，部分患者出现呼吸困难。
• 乙酰胆碱受体的抑制作用 (2013): 研究人员进一步发现，一种称为乙酰胆碱受体的蛋白家族在REM睡眠期间抑制舌头运动。通过药物阻断这些受体，可以激活舌头肌肉。

睡眠呼吸暂停症的机制

• Horner实验室的研究揭示了睡眠呼吸暂停症的两个关键驱动因素：去甲肾上腺素信号的缺失（“启动”信号）和乙酰胆碱受体介导的抑制信号（“停止”信号），两者共同作用导致睡眠期间舌头运动受阻，呼吸受扰。

新治疗方法AD109

• 基于研究成果的药物开发: Horner实验室对神经回路的绘制为AD109的开发奠定了基础。AD109是一种由波士顿研究人员开发的口服药物，旨在针对睡眠呼吸暂停症的两个关键途径。
• 药物成分: AD109包含两种药物：一种增加去甲肾上腺素水平，另一种阻断乙酰胆碱受体。
• 临床试验结果: 最近的一项III期随机临床试验显示，接受AD109治疗的轻度至重度睡眠呼吸暂停症患者，气道阻塞减少，血氧水平升高。平均每小时睡眠，AD109组患者呼吸停止或呼吸非常浅的事件减少了四个。

临床意义与展望

• 替代治疗方案: 目前最常见的治疗方法是持续气道正压通气（CPAP）疗法，但许多患者因其不适和笨重而难以坚持。如果AD109获得监管部门批准，将为无法耐受CPAP的患者提供宝贵的替代方案。
• 基础科学研究的价值: Horner教授表示，他很高兴并对自己的基础研究成果扩展到临床治疗感到惊讶。
• 持续支持: Horner教授的研究自1998年以来一直得到加拿大卫生研究所的持续资助。

Okay, I'm ready. Please provide the content you want me to summarize. I will do my best to generate a concise, accurate summary in markdown format and Chinese language, adhering to your specifications (less than 800 words, no personal opinions, focus on core information, and using markdown). Just paste the content here.

科技新闻周报：数据安全、隐私及法律新动向 (Weekly Tech News Roundup: Data Security, Privacy, and Legal Developments)

以下是对本周科技新闻的总结，主要关注数据安全、隐私保护以及相关法律的最新进展：

1. 执法与安全问题 (Law Enforcement and Security Issues)

• 前警察开办枪械培训公司引发争议: 亚利桑那州前警察开设的公司为美国移民及海关执法局 (ICE) 提供枪械培训。调查显示，该警察曾参与六起枪击事件，其中四起造成人员死亡，引发了对其行为的质疑。
• 纽约警察律师被禁止进入麦迪逊广场花园: 由于该律师代表一名在麦迪逊广场花园拳击比赛中受伤的纽约警察提起诉讼，其被禁止进入该花园。
• 联邦调查局计划购买全国车牌识别数据: 尽管美国国会议员试图禁止使用自动车牌识别器 (ALPR)，但联邦调查局计划购买全国范围内的车牌识别数据，并以“近乎实时”的方式访问车辆行驶信息。这包括车牌号码、位置、时间和数据等，引发了对隐私的担忧。
• GitHub 遭遇数据泄露: 微软旗下的代码托管平台 GitHub 遭到 TeamPCP 黑客组织的攻击，成为一系列新型软件供应链攻击事件中的一员。

2. 隐私与数据保护 (Privacy and Data Protection)

• “移除令”法案生效: 美国“移除令”法案正式生效，允许个人要求网站和平台移除其未经同意的裸照。WIRED 提供了行动指南，帮助用户采取措施。
• 数据经纪公司使用操纵性策略阻碍用户退出: 研究表明，许多大型公司使用操纵性手段，阻止用户退出数据收集。
• 联邦贸易委员会起诉营销公司： 联邦贸易委员会起诉三家营销公司，并非因为其销售“主动倾听”技术进行定向广告投放，而是因为该技术实际上并不起作用。

3. 法律与法规 (Laws and Regulations)

• 欧盟寻求摆脱与大型科技公司的联系: 鉴于特朗普政府与美国科技公司之间的关系日益密切，欧洲各国正在寻找摆脱美国影响的替代方案，法国在其中发挥主导作用。
• 起诉深伪色情内容制造者: 美国联邦检察官逮捕了两名男子，他们被指控分享了数千张 AI 生成的色情图片和视频，这些图片和视频在色情网站和视频分享平台上被浏览了数百万次。 执法部门也开始执行“移除令”法案，并对提供深伪服务的公司发出警告。
• 前检察官被指控盗窃斯密报告: 一名前美国助理检察官因涉嫌盗窃斯密关于特朗普处理机密文件案件的密封报告而遭到指控。

4. 软件漏洞 (Software Vulnerabilities)

• Google 公布 Chromium 漏洞利用代码: Google 公布了 Chromium 漏洞的运行证明代码，该漏洞影响 Chrome、Microsoft Edge、Brave、Opera、Vivaldi 和 Arc 等浏览器。该漏洞源于 Browser Fetch API，攻击者可以利用它监控浏览活动、路由流量或将设备纳入 DDoS 网络。Firefox 和 Safari 未受影响。Google 正在努力修复该漏洞。

声明: 本总结仅基于原文信息，不包含个人意见或超出原文范围的信息。

Rubish: 一款纯 Ruby 实现的 Shell 总结

Rubish 是一款用纯 Ruby 编写的 UNIX shell，旨在提供与 Bash 兼容且深度集成的 Ruby 体验。它通过解析和编译 shell 语法为 Ruby 代码，然后在 Ruby VM 中执行来实现。

核心概念:

• 完全 Bash 兼容: Rubish 致力于完全兼容 Bash，用户可以直接运行现有的 Bash 脚本。
• 深度 Ruby 集成: Rubish 不仅仅是一个用 Ruby 实现的 shell，更是一个深度集成了 Ruby 的 shell，允许在 shell 脚本中无缝混合 shell 命令和 Ruby 代码，并利用 Ruby 的强大功能，如块、迭代器和库。

安装:

• Homebrew (macOS):

  brew tap amatsuda/rubish
  brew install --HEAD rubish
  

• 从源代码:

  git clone https://github.com/amatsuda/rubish.git
  cd rubish
  bundle install
  bundle exec exe/rubish
  

  bin/rubish 是一个辅助脚本，用于在各种环境下找到可用的 Ruby 解释器。

使用:

• 启动交互式 shell: rubish
• 运行单个命令: rubish -c 'echo hello'
• 运行脚本: rubish script.sh
• 设置为登录 shell: 通过修改 /etc/shells 和 chsh -s "$(which rubish)"

超越 Bash 的特性:

• Ruby 条件: 使用 if { count.to_i > 3 } 这样的 Ruby 表达式作为条件。
• Ruby 方法调用风格: 可以使用 ls('-la') 或 cat(file.txt) 这样的 Ruby 方法调用语法。
• 方法链: 支持类似管道的命令链，例如 ls().sort.uniq 或 cat(file.txt).grep(/error/)。
• Ruby 迭代器块: 使用 .each, .map, .select 等方法，配合 Ruby 块来处理命令输出。
• 内联 Ruby 评估: 行首以大写字母开头的代码会被直接作为 Ruby 代码执行, 例如 Time.now 或 Dir.glob('*.rb')。
• Ruby 数组和正则表达式字面量: 允许直接在 shell 环境中使用 Ruby 数组字面量。
• Lambda 表达式: 使用 -> { } 执行 Ruby 代码。
• Ruby 风格函数定义: 支持 def...end 风格的函数定义。
• 自定义 Ruby 提示符: 允许使用 Ruby 函数自定义提示符，支持动态内容。
• 延迟加载: 允许将慢速的 shell 初始化（例如 rbenv init）推迟到后台线程执行。
• 受限模式: 通过 rubish -r 禁用 Ruby 集成，提高安全性。
• Zsh 兼容性: 除了 Bash 兼容性外，还支持 Zsh 的一些特性。

配置:

Rubish 从以下文件加载配置 (依次加载):

• 登录 Shell: /etc/profile, ~/.config/rubish/profile, ~/.rubish_profile, ~/.bash_profile 等
• 交互式 Shell: ~/.config/rubish/config, ~/.rubishrc, ./.rubishrc

嵌入到 Ruby 程序:

Rubish 提供了公共 API，允许其他 Ruby 程序驱动 Rubish 会话。

内置命令:

提供了丰富的内置命令，涵盖目录、I/O、变量、进程、作业控制、函数、别名、历史、执行、测试、控制、补全、配置、信息和其他类别。

开发:

使用 bundle install 和 bundle exec rake test 进行开发。

贡献:

欢迎提交 bug 报告和 pull requests。

许可证:

MIT 许可证。

The FBI director's Based Apparel site has been spotted hosting a 'ClickFix' attack, which involves duping users into running a seemingly benign, but malicious command.

微软调整 AI 策略：放弃 Claude Code，聚焦 Copilot CLI

本文主要讲述了微软在 AI 编码工具上的战略调整，以及由此引发的一系列变化。

主要内容：

• 放弃 Claude Code： 微软最初曾向内部员工开放 Anthropic 的 Claude Code，旨在鼓励非编码人员参与项目。然而，由于 Claude Code 影响了微软自家 GitHub Copilot CLI 的推广，微软计划在 6 月底停止大部分 Claude Code 授权，鼓励员工转向 Copilot CLI。
• 财务因素： 此次调整也与财务考量有关，取消 Claude Code 授权是降低新财年运营成本的一种方式。
• Copilot CLI 成为重点： 微软将 Copilot CLI 作为其主要的命令行工具，并计划加大投资，使其与内部工程流程深度集成。
• Anthropic 仍有合作： 尽管停止了 Claude Code 的使用，微软仍将继续使用 Anthropic 的模型，并通过 Copilot CLI 提供。Anthropic 的模型也会继续在 Microsoft 365 应用中使用。
• 微软对 Claude 的重视： 微软曾是 Anthropic 的顶级客户，并将其销售 Anthropic AI 模型计入 Azure 销售额。双方在 Microsoft 365 Copilot 中也有合作，引入了 Claude Cowork 技术。
• GitHub 团队的压力： 微软现在希望 GitHub 团队能够改进 Copilot CLI，使其超越 Claude Code。
• 其他新闻简讯：
  • Windows 11 速度提升： 微软正在测试“低延迟配置文件”，旨在提升 Windows 11 的应用程序启动速度。
  • 微软以色列负责人离职： 微软以色列负责人因内部调查而离职，调查与以色列国防部合作有关。
  • Discord 推出 Xbox Game Pass “入门版”： Discord Nitro 订阅者可以免费获得 Xbox Game Pass 的入门版。
  • 《极限竞速》6 泄露： 《极限竞速》6 提前泄露并被破解。
  • 微软对 OpenAI 早期担忧： 微软曾担心 OpenAI 会转投亚马逊，并“诋毁” Azure。
  • 新的 Xbox UI 界面： 微软展示了新的 Xbox UI 界面，将应用于主机、PC 和云游戏。
  • Project Helix： 微软将稍晚时候分享关于下一代 Xbox 的 Project Helix 的更多信息。
  • LinkedIn 裁员： 微软对 LinkedIn 进行了裁员，约 875 个职位被裁撤。
  • AI 发现漏洞： 微软利用自己的 AI 模型 MDASH 发现了产品中的安全漏洞。
  • Windows Update 自动回滚驱动： Windows Update 将推出自动回滚故障驱动程序的功能。
  • Edge Copilot 集成： Edge Copilot 现在可以从所有打开的标签页中提取信息。

总而言之，微软正在调整其 AI 策略，将重点放在自家 GitHub Copilot CLI 上，同时继续与 Anthropic 保持合作。

意外之爱的家庭：一个关于领养的故事 (Yìwài zhī ài de jiātíng: yī ge guānyú lǐngyǎng de gùshì)

这是一篇讲述了丹尼·斯图尔特（Danny Stewart）和彼特·墨丘里（Pete Mercuri）意外领养并抚养儿子凯文（Kevin）的故事。

事件经过:

2000年夏天，丹尼在纽约市工作，与伴侣彼特交往三年，但尚未同居。某一天晚上，在结束工作后，丹尼在联合广场地铁站发现了一个被遗弃的新生儿，其脐带还未剪断。 丹尼立即报警，并在警察到来之前照顾了婴儿。

在法庭听证会上，丹尼被要求作证，并出人意料地被法官询问是否愿意收养该婴儿。尽管彼特对此并不赞同，认为他们面临经济压力等诸多问题，但丹尼强烈希望能够领养。经过一番讨论，彼特最终同意了。

家庭建立:

丹尼和彼特在12月20日被法庭授予了监护权，并被允许在圣诞节期间照顾凯文。他们迅速阅读了育儿书籍，并为凯文准备了住所。他们给孩子取名为凯文，以纪念彼特的夭折的哥哥。

成长与挑战:

最初的几个星期，丹尼和彼特轮流照顾凯文，确保他安全。为了让他感受到被爱和被需要，他们为凯文编写了一个关于他们如何组成家庭的故事，凯文非常喜欢这个故事并经常要求他们读。

当凯文11岁时，纽约州合法化了同性婚姻，他们向凯文表达了结婚的意愿。凯文建议由当初询问他们是否要领养他的法官来主持婚礼，他们的愿望最终实现了。

随着凯文的成长，他开始对生母产生疑问，甚至曾试图在地铁里寻找与他相似的人。 经过一段时间的探索，凯文最终接受了现实。

幸福的结局:

彼特写了一本回忆录，他们也把为凯文编写的故事改编成儿童读物并制作成动画短片，旨在让孩子们了解家庭形式的多样性。如今，凯文已经成长为一个优秀的软件开发者，虽然他工作在州外，但仍然经常回来与他的两位父亲相聚。 丹尼和彼特深感幸运，能够被赋予成为凯文生命中一部分的特权。

总而言之，这是一个关于意外、爱和家庭的故事，展示了同性伴侣如何通过领养建立一个充满爱和幸福的家庭，并帮助其他孩子理解家庭形式的多样性。

深度学习模型性能优化：从基础原理出发

本文探讨了如何提升深度学习模型性能，指出许多用户采用试错法，缺乏系统性思考。作者建议从基础原理出发，分析性能瓶颈，从而更有针对性地进行优化。

性能组成：

深度学习模型的效率可以分解为三个关键组成部分：

1. 计算 (Compute): GPU执行浮点运算的时间 (FLOPS)。
2. 内存 (Memory): 在GPU内部传输张量的时间。
3. 开销 (Overhead): 除以上两点之外的所有其他时间，例如Python解释器、PyTorch框架等。

瓶颈分析：

• 内存带宽受限 (Memory-bandwidth bound): 如果大部分时间花在内存传输上，增加GPU的计算能力（FLOPS）将无效。
• 计算受限 (Compute-bound): 如果大部分时间花在执行大规模矩阵运算上，优化模型逻辑或使用C++等低级语言来减少开销将无效。
• 开销受限 (Overhead-bound): 如果大部分时间花在Python解释器或PyTorch框架等开销上，增加数据规模可以帮助减少开销的影响。

优化策略：

• 最大化计算利用率： 理想情况下，尽可能让GPU充分利用其计算能力 (例如，A100的312 teraflops)。
• 减少内存带宽成本： 重点优化数据传输。
  • 操作符融合 (Operator Fusion): 将多个操作合并为一个，减少中间数据的读写，例如将 x.cos().cos() 融合为 x.cos().cos()，减少全局内存访问次数。
• 降低开销： 减少Python解释器和PyTorch框架等带来的开销。
  • Tracing: 将模型转换为追踪版本，例如使用 jit.trace 或 FX。
  • 使用更高效的语言: 例如CUDA Graphs。

重要概念：

• 计算强度 (Compute Intensity): 衡量计算量与数据传输量的比率。 增加计算强度可以提高计算利用率。
• Tensor Cores: Nvidia GPU中专门用于加速矩阵乘法的硬件单元。
• 激活函数: 通常情况下，激活函数消耗的 FLOPS 远低于矩阵乘法，但由于频繁的内存访问，它们可能成为性能瓶颈。

总结：

理解深度学习系统的瓶颈是提升性能的关键。 用户应避免盲目尝试各种优化技巧，而是应该从基础原理出发，分析自身模型的特点，选择最合适的优化策略。 作者强调，框架的优化也至关重要，未来的发展方向是编写更高效的 JIT 编译器，以减少开销并提高整体性能。

美国网络安全与基础设施安全局 (CISA) 数据泄露事件总结

近期，美国网络安全与基础设施安全局 (CISA) 发生了一起严重数据泄露事件，引发国会两院立法者关注，并导致对 CISA 内部安全政策和程序的质疑。

事件经过:

• 泄露内容: 一名拥有 CISA 代码开发平台管理权限的承包商在 GitHub 上创建了一个名为 “Private-CISA” 的公共账户，其中包含大量 CISA 机构的敏感信息，包括数十个内部系统的明文凭证，以及 AWS GovCloud 密钥。
• 泄露时间: 该账户于 2025 年 11 月创建，承包商似乎将该仓库用作临时工作区。
• CISA 回应: CISA 承认了此次泄露，但尚未公开说明数据暴露的具体时长。CISA 声称目前没有证据表明敏感数据已受损，但这一说法受到质疑。
• 后续问题: 安全公司 GitGuardian 于 5 月 18 日通知 CISA 泄露事件。即使在被通知一周后，CISA 仍在努力使泄露的密钥失效并进行更换。
• RSA 密钥问题: 安全专家 Dylan Ayrey (TruffleHog 的创建者) 发现，CISA 仍未失效一个 RSA 私钥，该密钥允许攻击者访问 CISA 企业账户拥有的 GitHub 应用，并可访问 CISA-IT GitHub 组织内的所有代码仓库，包括私有仓库。该密钥还可用于劫持 CI/CD 管道，访问仓库密钥，以及修改仓库管理设置。
• 持续风险: Ayrey 强调，网络犯罪者和外国对手也在监控 GitHub 公开数据流，并可能已经获取了这些泄露的 CISA 密钥，泄露发生在 2026 年 4 月底。CISA 已经失效了该 RSA 私钥，但仍未轮换其他关键安全技术相关的泄露凭证。

国会反应:

• 参议院: 参议院参议员 Maggie Hassan (D-NH) 向 CISA 署名了一封信函，对此次安全漏洞表示担忧，并提出了十二个问题。
• 众议院: 众议院国土安全委员会的排名议员 Bennie Thompson (D-MS) 和 Delia Ramirez (D-Ill) 也向 CISA 署名了一封信函，表达了对 CISA 安全文化和合同支持管理的担忧。他们认为此次泄露为中国、俄罗斯和伊朗等对手提供了访问和控制联邦网络的途径。

根本原因分析:

• 人员流失: CISA 内部经历了一系列人员变动，包括超过三分之一的员工离职以及大部分高级领导层的流失，这可能导致了安全文化的下降。
• 人为因素: 专家指出，技术控制难以阻止员工在个人 GitHub 账户上存储敏感信息。这反映出 CISA 内部存在管理和培训方面的不足。

总结:

CISA 数据泄露事件凸显了美国政府机构在安全管理和合同管理方面存在的挑战。事件不仅暴露了 CISA 内部安全漏洞，也引发了对机构在应对日益增长的网络安全威胁能力和内部稳定性的质疑。

内容摘要 (Summary)

这段文字探讨了在使用人工智能聊天机器人回答问题时，人们常犯的错误，并提出了更有效的沟通方法。

核心观点：

• 不要成为人工智能的简单代理。 很多人使用AI，直接复制粘贴答案，却忽略了提问者希望得到你的个人见解、经验和判断。
• AI应作为辅助工具。 AI可以作为优秀的起草伙伴，但重要的是要仔细阅读AI生成的答案，并在此基础上撰写自己的观点。

建议：

1. 充分利用AI： 积极使用AI进行初稿撰写。
2. 精简内容： 提取AI答案中真正回答问题的部分，舍弃其余内容。三句话的个人观点就足够了。
3. 引用并解释： 如果AI的某些答案确实有用，可以引用并说明其价值，例如：“我用Claude核实过，这一部分是正确的。”
4. 坦诚表达： 如果没有可以补充的观点，可以直接说明：“对此没有强烈的意见。”

目的：

这段文字旨在提醒人们，在使用AI工具时，保持独立思考和表达能力，避免沦为AI的简单复制粘贴者，从而提供更有价值的回复。 同时提供了一种方便的链接，可以分享给那些习惯直接粘贴AI输出结果的人，以引导他们改进沟通方式。

附加信息：

• 提供了一个“愤怒版”链接，但警告用户不要发送给上级。

Okay, I'm ready. Please provide the content you want me to summarize. I will do my best to generate a concise, accurate summary in markdown format and Chinese language, adhering to your specifications (less than 800 words, no personal opinions, focus on core information, and using markdown). Just paste the content here.

Google 新搜索体验的早期问题：AI 摘要的缺陷

摘要：

谷歌于本周推出了全新的搜索体验，将人工智能 (AI) 摘要置于首位，显著减少了传统“10 个蓝色链接”的显示。然而，由于 Google 搜索的庞大规模，该公司似乎并未充分考虑到所有潜在的边缘情况。

主要发现：

• AI 摘要的缺陷： 在搜索词 "disregard" (漠视) 时，谷歌的 AI 摘要产生了不具实用价值的回复，并导致页面上出现大段空白区域，使得用户很难找到其他相关信息，如 Merriam-Webster 词典链接。
• Bing 搜索的对比： 相比之下，Bing 的搜索结果提供了更有用的信息，即使其 AI 摘要并非完美。 这标志着作者在 15 年的职业生涯中首次认为 Bing 搜索结果比 Google 更有价值。
• 社交媒体反馈： 谷歌因其新搜索体验的缺陷而受到社交媒体的批评。
• 整体影响： 新的搜索体验虽然旨在提升用户体验，但在某些情况下却产生了相反的效果，突显了在全面推广 AI 摘要之前需要进行更广泛测试和改进的重要性。

关键词： Google 搜索, AI 摘要, Bing, 搜索体验, 边缘情况, 用户反馈.

西班牙法院驳回对 NordVPN 的强制罚款请求，但 IP 封锁命令仍然有效

主要内容：

西班牙科尔多瓦商业法院拒绝了 LaLiga（西班牙职业足球联赛）对 NordVPN 的强制罚款请求，原因是 NordVPN 未完全执行此前法院下达的封锁非法 LaLiga 比赛直播的 VPN IP 地址的命令。

背景：

• 法院命令： 今年 2 月，科尔多瓦商业法院一号法庭将 VPN 服务定义为“技术中介”，并下令 NordVPN 和 ProtonVPN 积极屏蔽托管非法 LaLiga 比赛的 IP 地址。该命令在未充分听取公司意见的情况下发布，且缺乏立即上诉的权利。
• VPN 公司的质疑： NordVPN 和 ProtonVPN 均质疑西班牙法院管辖权，理由是两家公司均在欧盟境外注册。NordVPN 警告称，这种做法可能导致过度屏蔽。
• LaLiga 的诉求： LaLiga 指出 NordVPN 未完全执行法院的临时命令，并要求法院对 NordVPN 处以罚款。

法院裁决：

法院认为 NordVPN 提出的技术证据具有相关性，但未直接判定 NordVPN 的专家正确，而 LaLiga 错误。法院认为双方的报告应给予同等考虑，并得出了相反的结论。

NordVPN 提出的技术理由：

1. IP 地址动态变化： 被标记的 IP 地址变化频繁，通常在数小时内，导致提供的 IP 地址列表在屏蔽生效前已失效。
2. 过度屏蔽风险： 采用 IP 级别的全面屏蔽会导致过度屏蔽，使西班牙及其他地区的数千个合法网站无法访问。

后续发展：

• 并非最终裁决： NordVPN 强调，该裁决只是初步阶段的程序性裁决，而非对案件实质内容的判决。主要诉讼仍在进行中。
• 更广泛的反对： 西班牙的 IP 屏蔽措施引发了更广泛的反对，导致 Cloudflare、Vercel、GitHub、Docker 等平台出现合法网站和服务的过度屏蔽。
• 议会动议： 西班牙国会委员会通过了一项非约束力动议，呼吁政府改革《数字服务法》，引入“技术比例原则”，以解决和限制过度屏蔽问题。
• LaLiga 的声明： LaLiga 确认该裁决仅推迟了强制罚款，并未免除 NordVPN 在 LaLiga 能够证明存在盗版的情况下执行 IP 封锁的义务。

总结：

西班牙法院暂时驳回了对 NordVPN 的罚款请求，但 IP 封锁命令仍然有效。案件的实质性内容仍在审理中，而西班牙的 IP 屏蔽措施及其造成的过度屏蔽问题也引发了更广泛的关注和反对。

总结：特里·普拉切特与阅读的魔力

这篇文章回忆了作者与英国奇幻作家特里·普拉切特作品的阅读经历，并探讨了普拉切特作品对青少年读者的影响。

核心观点：

• 记忆的比喻： 普拉切特用家具的比喻来描述记忆，好的记忆是舒适的扶手椅，痛苦的记忆是塞满东西的档案柜，而那些突然出现的记忆则像踢翻家具的恶作剧。
• 青少年阅读的特殊性： 作者回忆了在课堂后排等不该阅读的地方偷偷阅读普拉切特的经历，强调了青少年阅读的特殊性，这种阅读往往伴随着隐藏和逃避。
• 普拉切特作品的独特魅力： 普拉切特作品以其幽默、讽刺和对人类的深刻洞察力而著称。他将宏大的宇宙观融入小小的书籍中，并以平等和尊重的态度对待读者，这深深吸引了青少年。
• 经典角色： 文章提到了普拉切特作品中的经典角色，如懦弱的巫师林斯温德、逐渐成为城市道德支柱的维姆斯警长，以及其他令人难忘的城市守望者角色。作者承认自己未能完全沉浸在女巫系列作品中。
• 普拉切特的晚年： 文章描述了普拉切特与阿尔茨海默症作斗争的经历，以及他为自己编写的结局，包括使用一台蒸汽压路机和硬盘。
• 失去与缺席： 作者表达了对普拉切特逝去的惋惜，以及对如今青少年群体中缺乏类似普拉切特作品的缺憾感到遗憾。他认为，普拉切特的书籍曾是青少年进入阅读世界的入口，但如今已经很难在教室后排看到它们。

总结：

文章以个人经历为出发点，赞扬了特里·普拉切特作品的独特性和对青少年读者的重要意义。 它强调了普拉切特作品在青少年阅读过程中扮演的角色，以及失去这位作家和他的作品所带来的遗憾。 普拉切特的作品不仅仅是娱乐，更像是一种启迪，帮助青少年在学习和成长中保持思考和质疑的精神。

总结（中文）：

这篇文章讲述了作者在青少年时期阅读特里·普拉切特作品的经历，并探讨了普拉切特的作品对年轻读者的独特魅力。普拉切特将记忆比作家具，用幽默的方式描述了不同类型的记忆。作者回忆了在课堂后排偷偷阅读普拉切特书籍的经历，强调了青少年阅读的特殊性。普拉切特的作品以其幽默、讽刺和对人类的深刻洞察力而著称，他平等地对待读者，这深深吸引了青少年。文章提到了林斯温德、维姆斯警长等经典角色，并表达了对普拉切特逝去的惋惜，以及对如今青少年群体中缺乏类似普拉切特作品的缺憾的遗憾。普拉切特的书籍曾是青少年进入阅读世界的入口，但如今已经很难在教室后排看到它们。

模拟器出售信息摘要 (Simulators for Sale - Summary)

以下是关于出售三台全尺寸、全运动模拟器的摘要：

模拟器信息：

• 数量： 三台
• 型号：
  • 西南航空第一架737-200模拟器 (Southwest's first 737-200 simulator) - 由西南航空捐赠
  • 比奇 King Air 200 (Beechcraft King Air 200) - 由FlightSafety捐赠
  • 霍克 700 (Hawker 700) - 由FlightSafety捐赠
• 包含内容： 每台模拟器均包含运行所需的全部计算机机柜。FlightSafety表示，其两台模拟器可能缺少一些专有硬件或软件，具体细节未知。
• 地点： 位于休斯顿 8323 Travelair Street 的机库内。
• 价格： 每台模拟器 20,000 美元 (USD)。

重要注意事项：

• 状态： 模拟器均已从实际运行中退役并捐赠。2010年接收时可能运行良好，但自那时以来从未启动过，且出于空间限制，可能无法启用运动功能。
• 危险提示： 强烈建议在接通电源前进行充分的尽职调查。由于长时间未使用，接通电源很可能导致设备损坏。
• 移除顺序： 737模拟器体积最大，阻碍了其他两台模拟器的移除。移除King Air或Hawker之前，必须先移除737。
• 运输： 买家需自行负责运输和物流，包括租赁足够大型的起重机 (至少CAP22700LBS 或更大)。之前使用的起重机来自联合航空公司（原Continental Airlines），不再在霍比机场可用。
• 时间限制： 必须在 6 月底之前搬离该建筑。
• 免责声明： 所有销售均属最终，不提供任何形式的保证或保修。买家将购买硬件，其功能状态未知。
• 车辆护送： 所有搬运操作都需要车辆护送进入霍比机场的活动区 (AOA)，博物馆工作人员将协调此部分。

购买协议：

• 支付每台模拟器 20,000 美元，以及所有相关机柜、文件等。
• 自行负责移除模拟器及其所有相关物品的物流。
• 移除临时的墙面，并在搬运后重新安装。

联系方式：

• 电子邮件: info@1940airterminal.org
• 联系表单: https://www.1940airterminal.org/contact
• 请勿电话联系。

照片链接：

• 尺寸: https://www.flickr.com/photos/blairmc99/55275903692/
• 总览: https://www.flickr.com/photos/blairmc99/albums/72177720333702598
• 霍克 700: https://www.flickr.com/photos/blairmc99/albums/72177720333714599
• King Air 200: https://www.flickr.com/photos/blairmc99/albums/72177720333686062
• 西南航空 737: https://www.flickr.com/photos/blairmc99/albums/72177720333685867
• 初始交付/墙面设置: https://www.flickr.com/photos/blairmc99/albums/72177720333583039/

**参观须知：**由于目前没有保险，参观者需要签署免责声明。 可以安排视频通话。

摘要：关于X.com隐私扩展问题

这段内容指出在使用X.com（原Twitter）时可能出现问题。问题的根本原因是某些隐私相关的浏览器扩展程序可能与X.com存在冲突。

主要内容：

• 问题描述： 用户在使用X.com时可能遇到问题。
• 原因： 某些隐私扩展程序可能导致兼容性问题。
• 解决方案： 建议用户禁用这些隐私扩展程序，然后再次尝试。

总结： 如果在使用X.com时遇到问题，请检查并禁用可能存在的隐私扩展程序，这可能是解决问题的关键。

TikTok 推荐系统存在政治内容偏向：一项研究总结

近期发表在《自然》杂志上的一项研究表明，TikTok 的推荐系统倾向于向用户推送更多保守派和反民主党政治内容，而非自由派内容。这种意识形态失衡无论用户最初的政治倾向如何都存在，表明自动化在现代信息获取中扮演着重要角色。

研究背景与方法:

• 研究目的: 探索自动化互联网系统如何影响公众所接触的政治新闻。研究旨在厘清互联网极化是由于用户主动寻找自己偏好的观点，还是由于算法推送极端内容以提高用户参与度。
• 研究团队: 纽约阿布扎比大学 AI and Society Lab。
• 研究方法: 研究人员创建了 323 个自动化账户（又称“sock puppet audit”），模拟用户在 2024 年 4 月 30 日至 11 月 11 日期间的行为。
  • 账户设置: 账户被设定为 22-24 岁年龄段，并使用带有地理位置伪装的安卓手机。 手机每周重置为出厂设置，以避免追踪。
  • 训练阶段: 部分账户观看 400 个来自共和党创作者的视频，另一部分观看 400 个来自民主党创作者的视频，作为政治倾向的“训练”。 位于佐治亚州的“中立”账户跳过此阶段。
  • 数据收集: 账户在训练后切换到主推荐页面，观看每个推荐视频的前 10 秒。研究人员收集了超过 28 万个推荐视频，并下载了 40,264 个视频的文本转录。

研究发现:

• 内容偏向: 训练观看共和党视频的账户比训练观看民主党视频的账户，收到更多与自身党派一致的内容（11.5% vs. 7.5%）。 更重要的是，民主党账户比共和党账户接收到的跨党派内容更多，表明偏向并非简单的“更多共和党内容”，而是更具体地向民主党账户推送反民主党内容。
• 主题集中: 推荐视频的主题集中在特定的政策领域，例如对民主党账户而言是移民、犯罪和外交政策，对共和党账户而言是堕胎。
• 用户感知: 对 1008 名美国 TikTok 用户进行的调查显示，共和党用户比民主党用户更有可能报告看到与其观点一致的积极政治内容。保守派用户经常提到在日常推送中看到越来越多的乐观、支持特朗普的帖子。
• 统计显著性: 研究人员强调，这些差异是在数百次实验、六个月的时间跨度、三个州以及 48 次严谨性检查后得出的，证明了这一模式的可靠性。

研究限制与未来方向:

• 暴露 vs. 影响: 研究测量的是内容暴露，而非说服力，无法确定是否改变了用户的投票意向。
• 非故意偏向: 研究人员强调，该研究记录的是结果模式，而非公司故意偏袒保守派的意图。
• 其他因素: 内容偏向可能源于政治创作者上传视频类型的差异，或者研究仅限于英语视频，未能涵盖其他语言社区的使用者体验。
• 未来研究: 研究团队计划结合真实用户数据、捕捉视觉和音频政治信息，并进行跨平台比较，最终目标是将内容暴露模式与态度和行为的下游影响联系起来。

总结:

这项研究揭示了 TikTok 推荐系统存在政治内容偏向，特别是在向民主党用户推送反民主党内容方面。 研究结果强调了算法在塑造政治信息获取方面的影响，并提出了进一步研究的必要性，以了解这种暴露模式对用户态度和行为的潜在影响。

z386 FPGA CPU 项目总结

本文是 80386 系列 的第五篇，介绍了基于原始 Intel 微码的 386 级 CPU z386 的工作原理。z386 项目的灵感来源于 z8086 项目。目前 z386 已经能够运行真实的软件，包括 DOS 6 和 DOS 7，以及 DOS/4GW, DOS/32A 等保护模式程序，甚至可以运行 Doom 和 Cannon Fodder 等游戏。

性能对比 (与 ao486 相比):

当前 z386 的性能类似于一个快速（约 70MHz）的带缓存的 386 级机器，或者低端的 486。虽然时钟频率高于历史上的 386 CPU，但每条指令的周期数 (CPI) 略低。 z386 使用了一个 16KB, 4 路集关联的统一 L1 缓存，部分原因是为了保持较高的时钟频率。

设计概览:

z386 遵循 Intel 原始的 80386 模块化设计，主要由八个单元组成：

1. 预取单元 (Prefetch unit): 填充 16 字节的代码队列。
2. 解码器 (Decoder): 解析指令字节，识别前缀、ModR/M 和 SIB 形式，收集立即数和偏移量。
3. 微码排序器 (Microcode sequencer): 获取扩展微码字，处理跳转、延迟槽、故障和下一条指令行为。
4. ALU 和移位器 (ALU and shifter): 执行算术、逻辑、位操作、移位、旋转、乘法和除法。
5. 分段单元 (Segmentation unit): 计算逻辑到线性地址，应用段基址和限制。
6. 保护单元 (Protection unit): 模拟 386 保护 PLA 行为，验证选择器和描述符。
7. 分页单元 (Paging unit): 处理 TLB 查找、页表遍历、访问/脏位更新、页错误。
8. BIU/缓存/内存路径 (BIU/cache/memory path): 连接 CPU 内存操作到分页、缓存、SDRAM、ROM、I/O 以及周围的 PC 系统。

从 z8086 到 z386:

z386 项目的灵感来源于 z8086 (基于 8086)，z8086 使用了恢复的微码驱动 CPU。 386 比 8086 复杂得多，指令集更大，内部状态更丰富，需要执行保护、分页、特权检查和精确故障处理。 386 的微操作也更加密集和上下文相关。

关键技术:

• 指令预取: 使用 16 字节的代码队列，利用 32 位总线进行 burst 读。
• 指令解码: 通过控制 PLA 和入口 PLA 两个 PLA 表进行指令结构解析，将指令映射到微码入口点。
• 微码排序器: 基于 Intel 提供的 37 位微码 ROM 控制硬件，实现指令执行流程。
• 缓存: 采用 16KB, 4 路集关联的统一 L1 缓存，提高核心时钟频率。

与 ao486 的区别:

z386 采用粗粒度的单元配合设计，而 ao486 使用更细粒度的流水线。

当前状态:

z386 已经能够运行真实的软件，并支持多种 FPGA 平台。 项目开发阶段包括

荷兰新闻摘要：美国科技公司泄露荷兰官员名单引发担忧

根据《自由荷兰》周五的报道，微软和Meta等公司向美国参议院委员会分享了与欧洲科技法规相关的荷兰公务员和学者的名单，该委员会正在调查“技术审查”或“施压”行为。

主要内容：

• 名单泄露： 微软和Meta向美国参议院委员会提供了荷兰公务员和学者的名单，他们正在参与欧洲科技法规的制定。名单中包含竞争监管机构ACM和隐私监管机构AP的雇员，以及研究虚假信息的学者Claes de Vreese。
• 荷兰政府反应： 荷兰政府对此表示“非常担忧”，认为这些官员可能面临旅行禁令甚至制裁。数字经济部长Willemijn Aerdts批评这种做法，强调政策讨论应直接进行，而非通过公务员进行。
• 外交渠道： 荷兰政府已就此事与美国驻荷兰大使沟通，表达了强烈不满，并表示将与美国方面进行对话。
• 短期合作不可避免： 虽然情况令人担忧，但荷兰经济事务副部长Eric van der Burg表示，短期内停止与微软等美国科技公司合作并非选项。
• 云服务依赖： 荷兰政府正面临与荷兰云服务提供商Solvinity的合同问题，该公司即将被一家美国公司收购。美国《云法案》允许美国政府要求美国公司提供其存储的所有信息，即使这些信息存储在国外。
• 对微软系统的依赖： 荷兰税务局目前正在转向微软系统，尽管议员对此表示担忧。
• 普遍的美国云服务依赖： 公共广播公司NOS的调查显示，67%的政府机构、医院、学校和其他重要组织使用的16,500个网站与至少一个美国云服务相关联。

总结：

美国科技公司泄露荷兰官员名单引发了荷兰政府的强烈担忧，尤其是在荷兰政府已经高度依赖美国云服务的情况下。此事突显了荷兰在科技自主性和数据安全方面面临的挑战。荷兰政府正试图通过外交途径解决问题，并评估泄露信息的范围和影响。

Manhattanhenge 与 Hengefinder 项目总结 (Manhattanhenge and the Hengefinder Project Summary)

本文讲述了作者如何构建一个名为 Hengefinder 的工具，用于查找全球任何地点可能出现的“henge”现象，即太阳在地平线上与城市街道完美对齐的景象，类似于纽约曼哈顿的“Manhattanhenge”。

核心概念：

• henge: 太阳在地平线上与城市街道完美对齐的景象。
• bearing (方位角): 道路相对于真北的角度。
• azimuth (天顶角): 太阳在地平线上相对于北方的角度。

项目目标：

• 构建一个工具，用于查找全球任何地点可能出现的henge。
• 理解天文现象背后的计算原理。

Hengefinder 的工作流程：

1. 计算道路 bearing: 通过两点坐标计算道路的方位角。需要考虑地球并非平坦的事实，经纬度线在不同纬度的长度不同，因此需要对经度坐标进行修正 (scale longitude by cos(latitude))。
2. 计算太阳 azimuth: 使用 Astral 库计算每天日落时太阳的天顶角。作者发现 Astral 的日落定义与实际需要的“太阳刚好在地平线上”略有不同，因此需要通过二分查找来确定精确的日落时间。
3. 寻找 bearing 和 azimuth 匹配的日期: 通过比较道路 bearing 和太阳 azimuth，找到两者相等的时间点，即henge发生的日期。作者采用两阶段搜索策略，先进行粗略搜索确定可能存在的henge时间窗口，再进行精细搜索确定精确日期。

主要挑战与解决方案：

• 地球并非平坦: 计算道路 bearing 时，需要对经度坐标进行修正，以考虑地球曲率的影响。
• 日落定义: 需要通过二分查找来确定太阳刚好在地平线上的精确时间。
• 寻找 bearing = azimuth: 采用两阶段搜索策略，先进行粗略搜索确定可能存在的henge时间窗口，再进行精细搜索确定精确日期。

技术细节：

• 编程语言: Python
• 库: Astral
• 数学原理: 三角函数、球面几何学、二分查找、中间值定理

项目成果：

• Hengefinder 网站: https://hengefinder.rcdis.co/
• Hengefinder 源代码: https://github.com/vritvo/henge%5Ffinder
• Hengefinder 移动应用: https://hengefinder.com/

结论：

作者通过构建 Hengefinder 项目，不仅解决了寻找henge的实际问题，还深入了解了天文计算背后的原理，并对现实世界的假设进行了修正。 项目展示了如何将复杂的数学问题转化为可操作的工具，并鼓励人们去探索和发现隐藏在日常生活中发生的自然现象。 John Pribyl 进一步开发了该项目，并创建了移动应用，扩展了其功能，包括寻找“Sauron Henge”等。

Models.dev 项目总结 (Models.dev 项目概要)

Models.dev 是一个开源数据库，旨在汇集关于 AI 模型的信息，包括模型规范、定价和功能。由于目前缺乏一个全面的 AI 模型数据库，Models.dev 项目应运而生，并由社区共同维护，同时也被 opencode 内部使用。

主要特点和功能：

• API 访问: 通过 API (curl https://models.dev/api.json) 访问模型数据。使用 Model ID 进行模型查找，该 ID 也被 AI SDK 使用。
• Logo 获取: 可以通过 API 获取提供商的 Logo (curl https://models.dev/logos/{provider}.svg)，其中 {provider} 为 Provider ID (例如：anthropic, openai, google)。
• 数据存储: 数据以 TOML 文件的形式存储在仓库中，按提供商和模型进行组织，Logo 以 SVG 格式存储。
• 社区贡献: 欢迎社区成员贡献和更新数据，以保持数据库的准确性和时效性。

贡献指南：

• 添加新模型:
  1. 创建提供商目录: 如果提供商不存在，在 providers/ 目录下创建一个新文件夹，命名为提供商 ID。
  2. 创建 provider.toml: 包含提供商的详细信息，如名称、AI SDK 包名、认证所需的环境变量、文档链接等。对于使用 OpenAI 兼容 API 的提供商，需要指定 npm 为 @ai-sdk/openai-compatible 并提供 API 基址。
  3. 添加 Logo (可选): 在提供商目录下添加 logo.svg 文件，使用 currentColor 作为填充和描边颜色。
  4. 创建模型定义文件: 在提供商的 models/ 目录下创建一个 TOML 文件，文件名是 Model ID。如果 Model ID 包含 /，则使用子文件夹。
  5. 模型定义内容: 包括模型名称、是否支持文件附件、推理、工具调用、结构化输出、温度控制、知识截止日期、发布日期、更新日期、是否开源权重等信息，以及成本、限制、模态支持和 interleaved 字段等详细配置。
• 复用现有模型 (extends): 对于包装模型，优先复用原始模型的定义，避免重复定义。 extends 只能用于非第一方包装和镜像，不适用于原始提供商的目录。
• 提交 Pull Request: 完成修改后，提交 Pull Request。

数据验证:

• GitHub Action 验证: 提交的代码将通过 GitHub Action 自动验证，确保数据符合预定义的 schema，包括字段完整性、数据类型和值范围。
• 迁移比较: 在使用 extends 时，可以使用 bun run compare:migrations 命令比较修改前后的 JSON 输出，以确保更改仅限于预期范围。

Schema 参考：

提供了 Provider Schema 和 Model Schema 的详细描述，包括所有字段的名称、数据类型和可选属性。

示例：

提供了几个示例目录，包括 providers/anthropic/, providers/openai/, providers/google/，供参考。

前端开发:

• 需要安装 Bun
• 运行 bun install 和 bun run dev 可以在本地启动前端服务。

其他:

• 可以通过 opencode 手动测试提供商的更改。
• 如有疑问，可以提交 issue。

Models.dev 由 SST 的维护者创建，并鼓励社区参与 Discord、YouTube 和 X.com。

苹果发布量子安全密码库 corecrypto 的形式化验证成果

苹果安全工程与架构 (SEAR) 和硬件技术形式化验证团队发布了其量子安全密码库 corecrypto 的形式化验证成果，标志着苹果用户抵御未来量子计算机威胁的重要安全转型。为了在所有 Apple 平台上大规模部署这种新一代算法，需要高度可靠的保证，因此苹果开发了严格的新形式化验证方法来证明其实现方案的数学正确性。

核心内容：

• 量子安全算法部署: 苹果已将量子安全 ML-KEM 和 ML-DSA 算法（符合 FIPS 203 和 FIPS 204 标准）部署到 corecrypto 中，并公开了相应的数学证明，供专家进行独立评估。
• 形式化验证方法: 苹果开发了定制的形式化验证方法，结合工具和新库，用于证明算法的正确性。该方法涵盖了从 C 代码到 ARM64 汇编代码的整个实现过程。
• 工具和库的开源: 为了推进软件保障领域的技术，苹果还开源了用于实现最强已知正确性结果的工具和库。
• corecrypto 的重要性: corecrypto 是 Apple 操作系统中的基础密码库，在 25 亿台设备上持续使用，提供加密解密、哈希、随机数生成和数字签名功能。

核心技术细节：

• 算法选择: 苹果选择了 ML-KEM 和 ML-DSA 算法，因为它们符合其性能和安全要求，并已由 NIST 标准化。
• 开发流程:
  • 核心算法实现用可移植的 C 代码编写，以确保在不同 Apple 设备上运行的正确性和安全性。
  • 对 C 代码进行翻译至 Cryptol 语言，并使用 SAW 工具进行验证。
  • 使用 Apple 和 Galois 共同开发的转换工具，将 Cryptol 模型翻译为 Isabelle 的公式。
  • 手动将 FIPS 规范翻译成 Isabelle。
  • 使用 Isabelle 进行验证，并构建可重复使用的 Isabelle 库来简化验证过程。
  • ARM64 汇编代码通过与 C 代码进行比较的方式进行验证。
• 成果: 通过形式化验证，苹果发现了传统测试难以发现的问题，例如 ML-DSA 实现中的一个关键步骤缺失，这可能导致输出错误。

形式化验证的要求：

• 完整性: 能够验证整个算法实现，包括子程序。
• 平台支持: 支持在可移植 C 代码和 ARM64 汇编语言中运行的算法实现。
• 快速演进: 支持快速代码演进，并减少维护正确性证明的工作量。

开源资源：

• 技术概述: https://github.com/apple/corecrypto/blob/2026-05/corecrypto%5Fverify/technical%5Foverview/formal-verification-for-apple-corecrypto.md
• Cryptol-to-Isabelle 转换器: https://github.com/GaloisInc/saw-script/releases/tag/v1.5.1
• Isabelle 库: https://github.com/apple/corecrypto/tree/2026-05/corecrypto%5Fverify/isabelle/Apple%5FIsabelle%5FLibraries

总结:

苹果通过在 corecrypto 中应用形式化验证，实现了对 ML-KEM 和 ML-DSA 算法实现方案的最高可靠性保证。该项目的开源成果有望推动密码学领域的进步，并为其他公司提供参考。苹果认为，将形式化验证与传统测试相结合是确保软件安全性的最佳方法。

LLM驱动软件开发：组织层面的变革与新严谨

本文探讨了在大型语言模型(LLM)广泛应用于软件开发时，软件工程师的角色转变以及如何建立新的工程实践。核心观点是，如果组织层面对降低编码时间有明确要求，那么工程师需要适应这种约束，并重新定义“良好工程”的含义。

主要论点：

• LLM时代的代码审查挑战： LLM生成代码的速度远超人工阅读速度，传统代码审查模式难以维持。这意味着工程师不可能逐行审查LLM生成的每一段代码，类似于我们不需要阅读汇编代码或字节码。
• 组织层面的决策： 采用LLM驱动开发模式必须是组织层面的战略决策，而非团队或个人的选择。这不仅关乎风险管理和责任追溯，更受阿姆达尔定律的制约。单纯提高代码生成速度，而不调整组织结构和流程，无法带来实际的生产力提升。
• 工作单元的重塑： 现有的工作模式（如“添加新的RESTful API端点”）不适用于LLM驱动开发。需要转变工作单元，减少人工干预，降低协调成本，消除官僚主义和审批流程。工程师应扮演“伪产品设计师”的角色，拥有更大权限，自主决策，并负责整个工作流。
• 拥抱重构： LLM驱动开发下，重构成本大幅降低，因此不应过度预防错误，允许并鼓励快速迭代。
• 严谨性的转移： 传统的代码审查将不再是核心，严谨性需要转移到其他方面。作者建议将重点放在：
  • 规范 (Specifications): 采用标准化的Markdown规范作为项目知识库，取代代码本身。规范由产品负责人和工程师共同编写，并与测试用例一同纳入代码仓库。
  • 测试 (Tests): 测试用例用于强制执行业务规则。
• 新的审查流程： 自动化Pull Request检查，不仅验证测试用例通过，还要确保代码符合规范。团队需要理解、审查和负责规范，而非代码。

总结：

文章认为，LLM驱动的软件开发需要组织层面的战略调整，工作单元的重塑，以及对工程实践的重新定义。 核心在于将严谨性从代码审查转移到规范和测试，并以规范为核心进行审查和责任追溯。 这种模式的成功依赖于组织对风险的接受、对流程的优化以及对规范的重视。