AI 极客周报 W43 · 2026-10-17—10-23

这一周 AI 侧的动静集中在 DeepSeek，推理框架和 V4.1-Flash 前后脚放出来，Mistral 补上了语音和时序两条线。工程侧是内核的例行热闹，7.3 发了，7.4 的合并窗口里性能和安全的补丁一起进。安全那边最戏剧性的一幕不在漏洞本身，而在一个提前把漏洞捅到 HN 的人公开道歉。

AI 与模型

DeepInfer DeepSeek 把支撑自家线上服务的推理框架开源了，目前只支持一个模型，就是这周发的 V4.1-Flash。并行上做了 attention 的 DP、MoE 的 EP 加 EPLB，调度器号称零开销，还保证 batch 不变性，同一个请求换个批大小结果不变。（2341 分）

DeepSeek-V4.1-Flash-1017 权重放上 Hugging Face。七天五万七千次下载。第三方推理服务当天就接上了，Together 那条报的吞吐是每秒 335 token。框架和模型同周放出，能自己跑的那一档又厚了一点。（959 分）

Voxtral 3 Mistral 的语音模型和 agent SDK，实时多轮对话覆盖 50 多种语言。演示里它接起法语电话，读出一封转诊信，把医生、科室和地址翻成英文，顺手把号约了，全程没转人工。走欧盟托管的 API 或者自己部署。（768 分）

Timestral Mistral 第一个时序基础模型系列，四档从 5M 到 209M 参数。最大的那个在 GIFT-Eval、TIME、fev-bench 三个公开榜上都排第一，参数只有前 SOTA 的三分之二，CPU 上跑得动。（621 分）

会不会到黄金时代，还是黑暗时代 Francesco Maggi 在 Tao 博客上的客座文章，把 LLM 进入数学的两种走向摊开写。一种是把工具交到新一代研究者手里，一种是科学生态被少数机构围起来。（149 分）

把 AI 腔从 Qwen3-4B 里训掉 有人在 MacBook Air 上微调了一个 4B 小模型，训练目标就是破折号、「not X but Y」、三连排比这些英文里的 AI 腔，用的时候不需要 system prompt。40 条留出提示的原模型与成品对照都能看。（158 分）

美国经济的基准地图 Mercor 把 29 个公开基准映射到 O*NET 的 923 个职业、18797 个任务上，只有 208 个职业、924 个任务至少有一条提示覆盖。计算机与数学是 29/36，销售 6/22，科学 15/60。（630 分）

Claude 设计的蝎毒抗体 给了五轮提示，让内部模型针对蝎子神经毒素设计 minibinder。Adaptyv 和 Twist 实测了 211 个设计，17 个达标，序列和数据整套放出来。（117 分）

词表按成本改，推理便宜 77% 他们把 tokenizer 从「按词频切」换成「按每个 token 的成本切」，用在一套跑在生产上的葡萄牙语作文评分系统里，推理成本降了 77%，底座模型一行没改。（HF 博客）

新技术 · 新范式

Linux 7.3 一个版本里 18765 个非合并提交、3021 位开发者。其中 807 位是第一次给内核提交。新增 failfs 这个所有操作都失败的伪文件系统，还有 fchroot() 系统调用。（634 分）

7.4 的 workqueue 快了 10 到 100 倍 flush 一个 workqueue 时只访问上次 flush 之后用过的队列，不再按可能的 CPU 一个个看。大机器上空闲 flush 快 10 到 100 倍，XFS 每次 log force 都会走到这条路径。（Phoronix）

内核也要 shadow stack 了 Intel 的 Dave Hansen 发了 RFC，把用户态用了好几年的 shadow stack 搬进内核态。原话是这大概是芯片里最重要的、Linux 还没用上的内核缓解手段。补丁自己承认有些部分还是废的，得重写。（Phoronix）

Linus 删掉 __get_user() 和 __put_user() 这对函数是 get_user()/put_user() 的快但不安全的版本，不做地址范围检查。合并说明里 Linus 写它们的每个用例都是误用。不只是慢，而且不安全。（Phoronix）

倒着走的借用检查 Valen 的借用检查器从函数末尾往前推。作者说优化 pass 里反向遍历很常见，拿来做内存安全检查还没见过。写出来自己也觉得怪。（132 分）

UUIDv7 没有你以为的那些性质 RFC 9562 允许实现改写时间戳字段，所以 ID 里的时间不一定等于创建时间，单调递增也不是硬性要求。能保证的只有唯一性，Postgres 的文档自己也提醒了这点。（Lobsters）

Tov 的「比 Rust 快十倍」是怎么来的 Tov 号称把 TypeScript 编译成原生二进制还能跑赢 Rust。Fyra Labs 查了三个基准，发现是刻意把 Rust 那边写慢，换成正常的写法重测，性能持平甚至更好。（Lobsters）

Chrome 和 Edge 要移除 XSLT 了 Chrome 158 在 11 月 17 日进稳定版，浏览器端 XSLT 停止工作。作者拿自己站的 sitemap 做了前后对比，爬虫不受影响，人直接打开 XML 时看到的那层样式没了。（122 分）

CSS 的未来，明年要投的十件事 Josh Comeau 从 Interop 2027 的候选里挑了十个，拿 subgrid 举例说明进了 Interop 之后一年内就铺满所有浏览器。Mozilla 开了个排行榜让开发者投票，票数会影响明年的名单。（625 分）

工具

Permit Pending 模拟城市的底子，这回你坐在民选市长的位子上。想盖十二层公寓，第七个月变成六层，加个税务减免，第九个月又被住房倡导者骂，一年多以后租金还在涨。经济模型是真的，邻居不一定讲道理。（936 分）

llmspeed 挑一块硬件和一个模型，用社区实测的 token/s 和首 token 延迟让你先感受一下再下单。列表从 3090 到 Mac Studio M5 Ultra，也有纯 CPU 那一档，数字标明哪些是实测、哪些是按规格推的。（331 分）

Sphinx 一个 git hook，push 之前拿 diff 生成一道「这段代码出错时会怎样」的题，答错就追问，答对才放行。用你现有的 coding agent 或者任何 OpenAI 兼容端点跑，token 开销很小。（253 分）

OnKey 作者唱歌跑调，就写了个 Mac 上的开源练唱工具。它听着你放的音乐，指出你哪一句偏了。给想学唱自己爱听的歌的人。（214 分）

esp32sim Rust 写的 ESP32 模拟器，从芯片自己的 mask ROM 和第二级 bootloader 起，跑没改过的固件。屏幕、触摸、LED、按键、音频、摄像头和 WiFi 都建模了，浏览器里直接开，不用装东西。（211 分）

Uberblok 把 ZFS 的源码拆成一间间展厅。第一间讲 uberblock，可以按 Next txg 一个个提交事务组，看环形槽位怎么轮转，以及为什么掉电时还能剩一份能用的。（118 分）

Death Plan Switch 独立开发者的自托管 dead man's switch，PHP 写的，不要数据库。每周一封签到邮件，72 小时没人应就去问你指定的亲属，144 小时把写好的话发给每个联系人。打开链接不算签到，因为邮件扫描器会点。（110 分）

硬件 · 制造

8087 的浮点加减法是怎么实现的 Ken Shirriff 用凿子掀开芯片盖子，在显微镜下把 1648 条微指令和数据通路画出来，无穷大和特殊值那些分支一个不落。当年它比自己写软件算浮点快将近一百倍。（127 分）

海底火山口的地热样机 Endurance Energy 在东北太平洋 Axial Seamount 近一英里的水下，放了一台三吨重的样机，跑了三周，净发电不到十秒。目标客户是太平洋岛国。（Ars Technica）

Snapdragon X2 在 Linux 上的首测 Ubuntu 26.10 的 X1E 概念 ISO，ASUS Zenbook A16，由读者提供远程机器。有些测试没跑通，也没有功耗数据。但初测结果超出了预期。（Phoronix）

太阳能发电量第一次超过核电 WNISR 2026 报告说 2025 年 4 月是第一个全球月度太阳能发电量超过核电的月份。2025 年全球光伏装机涨了 27%，核电装机只多了 1.5 GW。（697 分）

ZX Spectrum Next 笔记本第二版 有人用 3D 打印给 Spectrum Next 开发板做了台笔记本。第二版换成既能接 HDMI 也能接 VGA 的屏，铰链从旧笔记本上拆，键盘用的是 Next 原装配件。（131 分）

安全 · 隐私

PHP 的两个满分 RCE 10 月 21 日补上 CVE-2026-109618 与 CVE-2026-109619，两个都是 CVSS 10.0。随后又追加了一处和 session.upload_progress 有关的口子，官方建议先把这个开关关掉，等下个常规版本。（1554 分）

捅破披露禁运的那个人道歉了 petecooper 在 HN 上公开道歉，说自己在不知情的情况下提前说出了 PHP 那两个 RCE，打乱了协同披露的时间表。他的消息来源说没有禁运，消息来源的消息来源也是这么说的。（713 分）

Quad9 退出法国 法国法院判 Quad9 必须为 beIN 屏蔽一批域名。罚款从 58 万欧元降到每天 1000 欧元。Quad9 说这不是钱的问题。11 月 24 日起，法国用户拿不到它的递归解析。（1338 分）

别人用她的名字开 CashApp，她面临刑事指控 骗子拿她的社会安全号和生日注册账户，收了一千美元赃款。逮捕令从阿肯色州发到宾夕法尼亚，她被关了三个晚上。想自证清白得先拿到账户信息，CashApp 说她证明不了自己是账户主人。（658 分）

警局的 Flock 账号给了在 ICE 上班的丈夫 萨凡纳一名警察把车牌识别系统的用户名和密码给了丈夫，他用这个账号做了几百次跨州查询。按规定他本该有自己的 DHS 账号，实际上没有。（649 分）

本该私发到安全列表的漏洞报告进了公开列表 Trend Micro 旗下的 ZDI 把几份未修复的内核漏洞报告发到公开的 LKML，最高 CVSS 9.0，其中 SMB Direct 的整数下溢可以远程执行代码。Greg Kroah-Hartman 一封封回邮件，问为什么发在公开列表。（Phoronix）

Go 开始拒绝八张中间证书 crypto/x509 会在校验时过滤掉含这八张中间证书的链路，理由写的是「对这些证书运营方式的特定安全顾虑」。名单硬编码在源码里，跟着 Go 版本走。（138 分）

冷知识 · 猎奇

Local Wikipedia 把维基百科按坐标筛一遍，只留半小时脚程内的条目，不够 25 条就取六英里内最近的 25 条，最多 500 条。位置只存在浏览器里，分享出去的链接不带坐标。（1230 分）

DNS 博物馆 专门收 DNS 的奇葩用法，51 个条目。有人用 PTR 记录让 traceroute 一路拼出《American Pie》的歌词，也有让它画出圣诞树、画出一只手的。（135 分）

三万种被人命名的颜色 31993 种颜色，每一种都由某个人起名，按颜色本身的位置摆着让人逛。MIT 协议，有 npm 包和 API，花 5 美元还能认领一种，名字跟着你的名字挂着。（107 分）

奥黑尔挖出一块 50 吨的石头 扩建下水设施时在停机坪下三十英尺挖出来的。市里收了近三千个名字，挑出六个让公众投票，现在这块石头算有机场官方名字了。（128 分）

Sonic 06 被砍掉的东西大多还在盘里 Marathon Recompiled 的作者在逆向渲染时发现，当年为帧率关掉的特效基本都留着，只是没启用。Kingdom Valley 的完整凹凸贴图、Castle Town 更复杂的几何都在。（Lobsters）

周末写代码还是可以很开心 Chris Kiehl 写给被 HN 氛围压住的自己。工作里手写代码的经济账确实变了，但他周末还在手写一个碰撞检测很烂的打砖块，Claude 能一发做出来也不影响这件事。（705 分）