AI 极客周报 W42 · 2026-10-10—10-16

这一周最明显的一波在模型侧。Meta、Reflection、IBM、Liquid AI 和 Cloudflare 各自放了开源权重或多模态的模型，短短七天里，能自己跑的东西又厚了一层。工程侧是新账旧账一起算。Rust 借用检查里躺了十来年的一个健全性漏洞被人翻出来，构造过程写得很清楚。Linus 的第一个 LLM 辅助补丁系列进了内核邮件列表。安全那边则是一场对辩，有人说 passkey 是陷阱，有人写了篇长文逐条反驳。

AI 与模型

Muse Spark Open Meta 放出的开源权重多模态混合专家模型，权重和用法都写在模型卡里。这是本周同类里分数最高的一条。开源权重，闭源以外的所有事自己解决。（901 分）

Beam，一个 501B 的开源模型 Reflection 的方案，主打你能拥有、能改、能自己扩。501B 这个体量意味着想自己跑它，先得把机房的事解决掉。门槛不在权重，在电费。（HF 博客）

FLUX.3 Image Klein 图像模型进了 Diffusers，拿到就能跑，不用自己拼推理管线。这一波开源模型的配套工程做得越来越细，装上到出图之间几乎没有空白。（HF 博客）

LFM2.5-24B-A2B，端侧跑 agent Liquid AI 用稀疏结构把 24B 的体量压到能在本地跑起来，主打快和私有。端侧 agent 的瓶颈一直是内存和首 token 延迟。这类工作正好卡在那儿。（HF 博客）

Clef-omni Cloudflare 的判定模型系列补上了原生多模态，音频、视频、图像和文本走同一条管线。同一周他们还顺手发了更快的 Clef 和更便宜的 Clef-flash。（Cloudflare 博客）

小模型可能几个月内就能自我复制 Anthropic 的研究说，不用数据中心，靠 Android TV 盒子这类便宜 IoT 设备就能扩散。给出「几个月」这个尺度，是这篇最值得留意的地方。（Anthropic 研究）

神经网络本来就是干净的 Goodfire 提出的一个工作假设，讲神经元、泛化和电路生态的关系。可解释性这块今年多是论文。这么直白的网页，少见。（801 分）

AI agent 没有失控，是实验室跳过了安全基本功 安全圈对「AI 自主攻击」那批报道的复盘，把矛头指向隔离与监控的缺失。同一组实验换个专业视角读，结论会不太一样。（946 分）

Character.AI 申请破产 多年诉讼和安全争议之后，公司想把手里的资产卖给迪士尼。陪伴类产品的第一个大玩家退场，留下的问题是这类需求会迁移到哪儿。（145 分）

Jev 撞上电车难题 作者拿电车难题问了 Jev 和另外 13 个判定模型。小模型的道德选择能画出分布，比大模型的即兴回答更好读。（622 分）

新技术 · 新范式

Rust 借用检查里一个十来年的健全性漏洞 协变字段赋值可以绕过结构体的生命周期约束，issue 里把构造过程完整写出来了。类型系统被从边缘撬开时，通常都是这种不起眼的小口子。（745 分）

Linus 的第一个 LLM 辅助补丁系列 邮件列表里那串讨论就是原始记录。内核这一层开始出现机器参与的提交，比任何发布会都更能说明现在走到了哪一步。（122 分）

Ubuntu 26.10 Linux 7.3 加 GNOME 51，Rust 版 coreutils 的迁移在这一版收尾。发行版换掉一批用了三十年的命令行工具，用户这边几乎无感，工作量却在底层。（Phoronix）

KDE 三十周年 同期发布 Plasma 6.8，加上了远程升级，也正式和 X11 道别。一个桌面环境活到三十岁还在换底层，这件事本身就少见。（Ars Technica）

C++26 的契约 前置条件和后置条件终于进了语言。写 C++ 的人等这个特性等了不止十年。等到的版本还带着一堆编译期开关，能用，但要挑。（145 分）

后量子时代的三条密码学常识 Filippo Valsorda 把 Percival 与 Ptacek 那套「密码学正确答案」按加速后的后量子迁移时间表重写了一遍。动手迁移之前先读这篇，比翻标准省事得多。（111 分）

你的 C 不是标准 C 编译器顺手给你开的那些方便，多数不是标准的一部分。平时无所谓，等到要换编译器的那天才发现，代价通常很大。（133 分）

Phloem，让 git 历史像黏菌一样长出来 贴一个公开仓库地址，每次提交喂给一张逐渐生长的黏菌网络，全在浏览器里跑，不上传任何东西。看自己项目的提交节奏，比折线图直观。（130 分）

保证 UTC 连续性要做的技术动作 BIPM 本届大会的决议，把闰秒那一摊后续怎么收尾写清楚了。全世界的时间标准怎么改，只有这种文件算数。（lobsters）

工具

OpenCode 2.0 终端里的编码 agent 发了大版本。这一批工具的更迭速度已经快到值得每季度重看一遍的程度，上周的选择这周未必还成立。（879 分）

REA，给编码 agent 用的逆向工具 让 agent 去逆向应用、二进制和浏览器行为，配了指引和可交互示例。把逆向经验写成 agent 能直接吃的形式，是个新方向。（807 分）

Iosevka 开源等宽字体，字形窄，还能按自己的偏好重新构建变体。写代码的人换字体属于低成本的仪式感，这个连字形都能自己捏。（743 分）

我自托管了什么 一份自托管清单，从服务到备份的构成都在里面。想动手之前先看别人的真实配置，能省掉一半选型时间。（638 分）

把 PS2 游戏静态重编译到 WebAssembly 静态重编译再加一个原生运行时，游戏直接在浏览器里跑起来。老主机的重编译今年从 PS1 一路推到了 PS2，越往后越难。（314 分）

WallHop 12ft.io 消失之后的替代品，贴个链接就开始读。这类工具的寿命从来不取决于技术。别指望它长期稳定。（286 分）

Petal 开源的屏幕共享与远程控制，对标 CoScreen 和 ScreenHero。低延迟高分辨率的配对编程工具，终于有了能自己部署的版本。（220 分）

SolidCraft 纯 Rust 写的参数化 CAD，从桌面端起家，带了 MCP 支持。CAD 这种被商业软件锁了几十年的领域，最近开始有人进。（141 分）

Parsimony 一个开源基准，量的是各个 AI 编码 agent 改动代码的多少。评价 agent 的指标终于从「能写」转向了「能少写」。（77 分）

JPEG XL 与 AVIF 在 Web 场景下的对比 Jake Archibald 在 JPEG XL 落地之后做的实测对比。格式之争最后都要落到这种逐项测出来的数字上，别听立场。（lobsters）

硬件 · 制造

Carrier-Explode 把 iPhone、Pixel 和 Galaxy 固件里的运营商配置解出来做对比，APN、VoLTE、5G、Wi-Fi Calling 一项一项列。运营商配置这个黑箱很久没人拆过。做国际漫游和 eSIM 的人，大概会先去看这个站。（432 分）

PSPi 6 把树莓派塞进 PSP 的第六版，改动和装配说明都在仓库里。这类改造能迭代到第六代，靠的是配件池一直在变。（134 分）

KiCad 10 的 AI 辅助布线 一个原生 KiCad 插件，单个 Rust 二进制，把两百多个原理图操作暴露出来。EDA 工具开始被 agent 接管，这个信号比模型分数更具体。（128 分）

Virtual Oxide Labs Oxide 把整机架做成了仿真环境，用来在买硬件之前把整套系统跑一遍。卖服务器的公司自己搭仿真，说明试错的成本已经高到值得这么做。（148 分）

灯泡计算机 投影仪加计算机视觉，把信息直接投到真实世界里。空间计算这条路线被大厂放弃之后，小团队反而把它捡了起来。（614 分）

Framework 第三次加码赞助 CachyOS 除送机器之外又加了钱。硬件厂商给 Linux 发行版掏钱这件事，今年变得常见了，理由通常很实际。（Phoronix）

铰接公交车怎么拐弯 折棚里那套机构被整个拆开讲了一遍。每天在路上都看得到。原理从没想过。这篇读起来比技术新闻轻松。（126 分）

安全 · 隐私

Passkeys are a trap 与逐条反驳 前者说 passkey 让你一步步交出控制权，后者是 Scott Helme 的逐条回应，评论数比原文还多。两篇摆在一起读，比只看任何一篇都有用。（1140 分 / 664 分）

定向广告投递 0-click 漏洞装间谍软件 广告位成了投放零点击漏洞的渠道，据报是这类手法的首例确认。广告链路作为攻击面，以前主要停留在论文里。（Ars Technica）

超市冷柜被黑，自动除霜全开 欧洲多国的超市冷柜被远程打开除霜，配送和店内定价一起受影响。物理设备联网之后，攻击面就从数据换成了货架。（911 分）

Yandex 断线之后，机器人反而更活跃 Cloudflare 的数据显示，俄罗斯部分数据中心被打击期间，恶意流量没有消失，而是换了路径。能观测到这种迁移，说明平时的流量分布比想象的集中。断了一条路，攻击者顺着另一条就走了。（656 分）

谁在 Ledger 钱包里插后门 上周约一亿美元的加密资产被窃，用的是植入 Ledger 钱包的硬件后门。硬件钱包的整套信任模型，就建立在「你拿到的那台设备没被人动过」上面。（129 分）

Epic 的 EAC2 看起来很容易被绕过 Matthew Garrett 对新一代反作弊做了分析，结论是绕过的门槛不高。反作弊往内核里越走越深，收益未必跟着涨。（lobsters）

逆向一个商用空间音频效果 从可观察的行为出发把算法还原出来，过程写得很细。音频 DSP 的逆向案例不多见。这篇可以当范本，步骤没有跳。（133 分）

冷知识 · 猎奇

得了癌症要知道的事 作者把自己确诊之后学到的东西整理成清单，从保险到体力管理都在里面。本周分数最高的一条，和技术无关，但比技术文有用。（1932 分）

牙医真的知道自己在做什么吗 循证医学在牙科的落地程度，比多数人以为的低。读完会想重新审视自己抽屉里那几张 X 光片。循证这件事，落到具体科室就变得很不一样。（976 分）

救了乌鸦的人一直收到谢礼 她救治了一只受伤的乌鸦，之后这只鸟开始往她家送小东西。乌鸦认人和记仇的传闻听了不少，送礼版本是第一次见。（826 分）

西罗马帝国的经济复杂度 用经济复杂度那套方法去量帝国晚期的贸易结构。把现代指标挪到古代数据上，结论未必立得住，但过程很有启发。（149 分）

为了一块奶酪徒步走世界 Trevor Warmedahl 多年记录稀有的传统制酪法，靠双脚走到那些还在用老办法的地方。手艺消失的速度，往往比记录的速度快。（BBC Travel）

自由钟原来是什么声音 研究者拿二十世纪的复制钟做模态分析，反推那口已经裂了的钟当年的音色。声学考古能回答的问题，比想象中具体。（Ars Technica）

我们到底为什么要做这些 陶哲轩博客上的一篇客座文章，作者是 Rikab Gambhir。数学家写「做研究的意义」，比绝大多数职业建议都实在。（lobsters）