阿刚

claude + codex 科学打狗

[空空道人 @Kongkongda5882]

财务自由的门槛真的特别简单，我只示范一次，你看好了，1，年轻的时候用各种方法迅速攒够至少100万，2，去香港开汇丰，众安，3，开通嘉信理财或者盈透证券，4，买利息高于5%的30年期美债，拿手里任何时候不要抛售，5，回老家宅基地，安个28元每月的500兆移动无线网，买个二手13代以上苹果手机，做自媒体，6，把农村老保医保交上，一年也就5000元子，7，多吃牛肉，西红柿，少吃米饭馒头，8，睡到自然醒，9，找个农村初中大胖媳妇，生个仔，不要办美签（有拒签史就麻烦了），把仔生在塞班岛（免签），拿美籍。自此，你就是神，你全家都是神，后来如果又攒到钱了，继续买高息美债，就这么玩，你就是神。

[阿刚 @0xAGang]

@xulijian1994 这个实在是太刚需了，我现在大部分的任务都会让 AI 开发完成之后自己实盘长时间运行，同时自己挂个定时任务，每隔一段时间去检查运行产生的数据是否有问题，有异常的话直接修复，这一招可以让 95% 的任务不用再返工了

[lifcc @mylifcc]

给 PostgreSQL 做实时同步，终于不用在「装第三方插件污染源库」和「搭一套吃掉几 GB 内存的 Debezium 集群」之间二选一了。
PGRun 团队刚用 Rust 开源了 pgsync——一个把内存控制到极致的单二进制 PostgreSQL 实时逻辑复制（CDC）引擎。实测将 1GB 数据库做全量一致性快照时，峰值内存（RSS）仅 33MB；日常增量流式同步稳态仅 15MB，单机跑 20 个并发任务每进程才 9.5MB。
它最狠的不是快，而是死磕「绝对正确性（Correct before fast）」的三个架构设计：
1️⃣ 零侵入全量 + 增量无缝切换：基于 PG 原生 pgoutput 协议（源库无需装 wal2json 等任何扩展），先通过导出快照（Exported Snapshot）完成一致性全量拷贝，再精准从对应 LSN 位点切入实时 CDC 流。
2️⃣ 1:1 事务边界与原子 Checkpoint：源库每个事务在目标库严格作为唯一事务按序提交，且同步位点（pgsync.job）直接包在目标库同一个事务里落盘。哪怕遭遇 15 轮连续随机 SIGKILL 强杀，重启后依靠 LSN 幂等去重，数据 Hash 依然 100% 严丝合缝。
3️⃣ 22 项前置体检与零静默丢数：启动前一句 pgsync check 自动排查 22 项权限与配置隐患；同步中途一旦遇到目标库缺列或异常，立即显式停机报错，绝不静默丢弃一行数据。
你们目前在生产或测试环境做 PG 实时同步，主要用哪套方案？踩过最深的一个坑是什么？

[良竹 @liangzhu_AI]

很多用 AI 几天搓出来的网站在 Google 搜不到，根本不是内容差，而是上线前漏了这 7 项。

Vibe Coding 确实快，但大部分人写完前端往 Vercel 一挂就以为万事大吉，
一个月过去后台展现量还是鸭蛋。

我给你整理了一份出海网站上线前必须打勾的 SEO 救命清单：
1. 检查是不是纯客户端渲染：必须配置 SSR（服务端渲染），确保爬虫抓到的是完整 HTML；
2. 生成动态 Sitemap.xml 并主动提交到 Google Search Console；
3. 检查 robots.txt：千万别手滑把 Googlebot 给拒之门外；
4. 全站全局搜一下 noindex 标签，很多脚手架测试环境默认带这个，上线前必须干掉；
5. 清除多重重定向死链，把 404 页面做优雅降级。

这 7 项自查加起来不到半小时，但决定了你几个月的心血能不能被搜索引擎正常索引。
建议做独立开发的朋友先收藏，每次新站上线前照着逐项对一遍。

[阿刚 @0xAGang]

codex 小胜 claude

[阿刚 @0xAGang]

4meme agent 专属内盘战绩

[阿刚 @0xAGang]

4meme agent 专属内盘战绩

[摆烂程序媛 @wanerfu]

用 AI 写代码的朋友，求你们了，
一定要在 `AGENTS.md` 文件里加上这两条规则：

1. 删掉多余的标语、说明文字和次要标签。如果删完界面就看不懂，说明布局本身就有问题，直接重新设计。

2. 每次修改都要兼顾用户体验、开发体验和 AI Agent 的使用体验。三个都要变好，而且不能破坏现有功能。

[阿刚 @0xAGang]

@Stargridcompass 只有中转站会每次用满，你天天用满显然是高风险对象，而且老外普遍都不会用满，因为老外没有加班习惯

[阿刚 @0xAGang]

@0xldb 这里我不理解的是为什么庄家要提币到链上进行控筹？

[陈大黄 @realchendahuang]

梳理一下当前主流的牛逼的TTS（文字转语音）方案，供大家参考：

CosyVoice 2：工业级低延迟与流式交互，阿里通义出品。核心优势在于首包音频延迟低，只有 150 毫秒左右，支持文字边生成边发声。覆盖中英日韩和多地方言，适合配合大模型做全双工实时语音 Agent 和数字人。

GPT-SoVITS：专属音色定制与像真度，花儿不哭等团队开源。虽然支持几秒快速克隆，但它最强的是用 1 分钟左右音频进行小样本微调。微调后的音色相似度、口音细节和语气习惯极其逼真，配有人声分离和切片打标的全套 WebUI，是自媒体配音和角色专属声库的首选。

ChatTTS，拟人口语与对话松弛感，专为闲聊对话设计。首创将笑声、叹气和语气词自然融入生成过程，大幅消除了传统语音合成刻板的播音腔。中英混读非常顺畅，很适合做 AI 播客或陪伴型助手。缺点是随机性较强，长文本偶尔有吞字。

F5-TTS 与 Breeze-TTS 2，流匹配免对齐克隆，以交大团队开源的 F5-TTS 为代表，丢掉了繁琐的音素强制对齐和时长预测。只需 5 到 10 秒提示音频，就能维持极高的音色一致性，长文本朗读稳定性好，在海外社区同样被当作主力工具。

Fish Audio Drama 3，全功能戏剧表现力，各维度能力非常均衡，具备丰富的细粒度情绪标签、停顿和多说话人控制，在各类开源评测榜名列前茅。代价是模型体积偏大、推理较慢，对本地算力要求较高。

MaskGCT，学术前沿与极端发音，港中文深修与趣丸团队研发。在 10 万小时真实场景语音上训练，两阶段非自回归结构鲁棒性极高，连传统模型很难处理的气声、耳语和绕口令都能稳定复刻。

KittenTTS 2，端侧极低资源运行主打轻量化的三值化结构，体积只有几十兆。普通 CPU 甚至嵌入式设备就能实时跑通，适合极低资源环境下的离线小工具，代价是语气平淡、表现力有限。

[Blake Young @YohoYoung6810]

建议所有用 AI 写代码的人，在项目提示词里加一条规则：

“修改现有功能前，先检查相关模块的调用关系和依赖。列出可能受影响的文件，优先做最小范围修改，不要为了修复一个问题顺手重构无关代码。”

Vibe Coding 最让人崩溃的，不是 AI 写不出来。

是修好了一个 Bug，又送你三个。

[发呆 @0xfadai]

要不说是 AI 时代呢。8 点的时候 AI 告诉我换新合约了，这个新合约才是符合白皮书的。我马上挂上了 Sigma 的狙击，本来只是想当个开盘提醒。结果加池开盘的时候 Sigma响了，我赶紧手动又塞了10个BNB。然后买完发现居然狙进去了翻了个倍，逻辑其实很简单：刚开盘的时候大家都才刚开始挖，没人持有代币，就算挖也没那么快，应该能炒一波。但没有想象中的推背感，不过矿币也正常。我目前合了 44 个矿机，接下来就天天领低保了@Ptahtrade $PTAH

[Blake Young @YohoYoung6810]

建议所有用 AI 写代码的人，在项目提示词里加一条规则：

“遇到不熟悉的功能，不要立即从零实现。先检索 GitHub 上维护活跃、许可证明确的同类开源项目，比较实现思路、依赖和已知问题。优先借鉴经过验证的设计，不要直接复制不兼容或来源不明的代码。”

这条规则帮我省了不少反复返工的时间。

Vibe Coding 不只是让 AI 会写代码。

还得让它知道什么时候应该先查资料。

[Xudong Han @Xudong07452910]

Anthropic 最近开始建议企业「少用点 Subagent」，甚至把一些专家 Agent 重新合并回主 Agent Loop。

他们在多个企业项目中发现，单 Agent + Skills 的效果经常比复杂的多 Agent 架构更好。有个客户改成单 Loop 后，运行速度甚至快了约 2 倍。

原因很容易理解。

多个 Agent 之间反复交接任务，每次都要传递和总结 Context，信息容易丢失，延迟和成本也跟着增加。

Anthropic 现在更推荐让一个主 Agent 负责规划和执行，需要时再动态加载 Skills 和 Tools，把业务流程和领域知识留在可复用的组件里。

不过文章里有个细节值得关注。

他们曾把客服系统里的 Subagent 合并，延迟确实降低了，却让一个原本能完成的任务失败了，因为主 Agent 漏掉了向物流专家确认送达时间这一步。

所以作者强调，每合并一个 Subagent，都要用端到端 Eval 验证，尤其要检查哪些原本通过的任务突然失败了。

当然，并行研究、独立验证、Context 隔离这些场景，Subagent 依然有价值。

这样看来以后设计 Multi-Agent，可能得先问问自己，每个 Subagent 真的需要独立的 Context 和执行循环吗？

Anthropic 还开源了一套迁移工具，可以帮你分析现有架构，逐步合并 Subagent，并比较改动前后的质量、成本和延迟。很推荐做 Agent 工程的朋友试试。

原文：https://t.co/0CPabUlmF7

[LetITFly @imLetITFly]

印度公司 emudhra 的 emsign 系列证书在私钥里只用了 1 字节的有效熵，攻击者只需要猜 255 次就能猜中私钥，可以用来签任意域名的 HTTPS 证书——给 https://t.co/zf1dVsTguF 签、给 https://t.co/2SSOXvtjzF 签、给银行签、给公司内网签、给代码签名签；而且这条链的顶端是系统里自带信任的根 AAA Certificate Services

抓包好时代来临力，这下一堆旧客户端，安卓 APP 全部随心抓了😅 换句话说就是一堆地方的 HTTPS 全部变成不安全了

印度人才是真的能创造历史的人，感谢阿三，我们能够一瞥曾经怎么都不可能碰到的证书（们）

图：用 Reqable 在非 Root Android 15 机器上抓包到 https://t.co/oD8J8yOWge 的请求

有一些地方说你可以通过 https://t.co/uLOOJvj2u3 测试你的环境是否已屏蔽受影响 rootCA，但是必须要注意的是，各类浏览器是更新 CA 吊销最勤快的，而有非常多的东西不吃吊销，这可能包括——

1. OpenSSL / BoringSSL（默认不查吊销）
- curl（未加 --crlfile / --cert-status）
- wget
- Python ssl / requests / urllib3 / httpx / aiohttp
- pip
- Ruby Net::HTTP / OpenSSL
- PHP curl / openssl
- Perl LWP / IO::Socket::SSL
- git（Windows 版自带 OpenSSL + ca-bundle）
- psql / libpq（未配 sslcrl）
- mysql client / libmysqlclient
- redis-cli / mongosh
- Ansible

2. Go crypto/x509（不实现吊销检查）
- 所有 Go 写的程序，尤其静态编译的 CLI
- Docker / containerd
- kubectl / kubelet / apiserver
- Terraform / Helm / etcd / cfssl
- gRPC-Go

3. .NET（SslStream / HttpClient，默认 CheckCertificateRevocation=false）
- PowerShell 5.1 / 7 的 Invoke-WebRequest
- 各类 .NET 桌面端与服务端程序

4. JVM（https://t.co/eXXuBrVNej.ssl.checkRevocation 默认 false）
- OpenJDK / Oracle JDK 默认 TrustManager
- Jenkins
- Gradle / Maven 的 HTTPS 下载
- JetBrains IDE 内置 HTTP client
- JVM 系服务端（Elasticsearch 等）

5. Android Conscrypt（未接收到 10/19 OTA 的设备）
- 绝大多数安卓 App 的默认 TrustManager
- OkHttp（默认配置）
- HttpURLConnection
- 例外：WebView 走 Chrome 内核

6. Node.js（OpenSSL，不查吊销；emSign 链需版本 < 24.22.1 / < 22.23.4 / < 26.12.1）
- npm / pnpm / yarn
- Electron
- Postman / Insomnia
- VS Code 内部网络请求

7. Rust（rustls / webpki 不实现吊销；native-tls 走 OpenSSL 也不查）
- cargo
- Deno
- 各类 Rust CLI

8. 嵌入式 / IoT TLS 栈
- mbedTLS
- wolfSSL
- BearSSL
- lwIP
- 设备固件、设备管理 SDK、打印机 / 摄像头 / NAS / 工控

9. 其他原生 GUI 栈
- Qt QNetworkAccessManager
- GTK / glib-networking（GnuTLS，默认不查）
- 所有基于 libcurl 的程序

source: https://t.co/2VrlV0Lusm

[赛博永生/vct @vctbtc]

孙宇晨 x 金明访谈【下集】，本期看点：小学就在深入研究特朗普；自己是宾大三巨头合体，但他们互相瞧不上；出事后没有理过景甜，但白月光的杀伤力真的很强；最信任的人是Claude；自己的薄肌明年一定超越CZ ...

开源了人生打法：融合宾大三巨头的 Hybrid 策略。
从巴菲特身上学习风险控制与价值投资的基本面逻辑，并将这套底层框架应用到加密货币等新兴领域。
从马斯克身上学习对高科技趋势与技术叙事（Narrative）的判断，解决投资中的未来预期与成长性问题。
从特朗普身上学习个人品牌塑造与公众传播技巧，小学就知道Trump，通过观看《学徒》（The Apprentice）节目学习英语及其沟通方式。

巴菲特瞧不上马斯克。在与巴菲特共进午餐时，曾建议巴菲特收购当时资金困难的特斯拉，但被巴菲特拒绝；巴菲特当时解释其投资原则是绝不投资会带来“惊奇（Surprise）”或过于颠覆性的公司，比如会上报纸头版头条的。

出事后没有联系过景甜，但白月光对男生的杀伤力很强。
文章发表后虽有共同好友等中间人联系他，但他认为过去的事情就过去了，再没联系过。发文章之前已提起法律诉讼，而诉讼进入法院后信息必然会公开，所以只是提前从自己角度解释。以后无论是在情感处理还是重大商业决策上，都跟Claude商量。

自己的薄肌会超越CZ。
练薄肌是为了保证自己在 80 岁时仍能像 30 岁一样高效生活与学习 AI。宾大三巨头自己不是薄肌，所以打压薄肌。目标用一年时间将体脂率从 26.8% 降至 20% 以下，并计划一年后公布无修图照片接受公众监督。

@justinsuntron @sunyuchentron @williamjoy93

[阿刚 @0xAGang]

@VerseDev6 @0xEcho99 直接跟客服说，客服72小时内就给你解封了，很简单

[Karuboniru et al. @Karuboniru]

https://t.co/XDHWDcAhVo

居然集成进了mitmproxy，感谢 eMudhra 开源！

[Roland @ChainEpic]

Roland 看到php 漏洞这件事，
第一时间想到的不是如何去修复漏洞，
而是去爬取一些年代非常久远，
但是权重非常高的PHP站点，

也不要做什么伤天害理的事情
加一加你网站的链接就行了。

这种机会可能十年难得一遇。

[KC @ScarletKc]

卧槽 LiteLLM 又被投毒了，今天 PyPI 上的 1.107.0 是恶意版本

最离谱的是它往 site-packages 里塞了个 cook.pth，机器上只要启动 Python 就会跑，你的代码连 import litellm 都不用

偷的基本是 AI 开发者全家桶，~/.claude 的凭证、Codex 的 auth.json、Cursor 和 Copilot 的 token、SSH key、云凭证、浏览器 cookie。要是你跑的是 LiteLLM proxy，它还会把数据库里存的各家 provider API key 整张表导出去
装上以后还会每小时去远程拉一段代码来执行
拿来统一管 key 的代理，反手把所有 key 打包送走了

PyPI 上挂了一个多小时就撤了，但 ghcr 上 Docker 镜像的 latest 和 main-stable 标签也指向过这个版本。今天升级过或者拉过镜像的赶紧查。先别在那台机器上跑 Python（pip 本身也是 Python），直接去 site-packages 里找有没有 cook.pth 和 https://t.co/XuhLIRqMPu。中招了别只是降级，要当整台机器已经被入侵来处理，所有 key 全部换掉，再回退到 1.106.2