安仔

👨‍💻 Entrepreneur & Full-stack-engineer
☁️ AI | Web3 | Cloud Native Researcher

[安仔 @geekshellio]

鉴于之前自己的书在国内销量还不错，现在海外英文版的也在这周也要上架亚马逊了！

海外版的还针对海外的 AI 工具改了不少内容，改得都差点想放弃了🤣

[安仔 @geekshellio]

我人生的第一本有关 AI 编程的总算发售了，没想到在还没开始推广的情况下，这几天已经售出了 300 多本了，真的意料之外...

如果是小白、AI 爱好者想通过氛围编程系统化去开发自己的应用并出海的，极度推荐看看，书里浓缩了我老程序员多年的技术心得，以及结合 AI 的最佳实践。

当然这本书的发布还得多亏 @XCaptaincc 的背后支持，如果不是他突然心血来潮问了下我有没兴趣出书，还有背后各种强大资源推动，估计现在也没这回事了哈哈...

对了，这次我们这本书也有幸给海外出版社 Packt @PacktPublishing 翻译为英文出售给全球海外读者，也可以期待一下。

[安仔 @geekshellio]

@Alex06425829 都是 AI 直接生成的…

[安仔 @geekshellio]

Opus 5.5 太牛逼了！

我就给了下我公司一个5G/卫星/卫星聚合加速产品推广方案的简介文本给它，叫它生成一个视频...

出来的效果直接可以商用了，太强了...

[安仔 @geekshellio]

后续来了，在大半个月每天催进度下，抵消的 credits 总算下来了。

中间还是逼着我开了个 business+ support plan 进度才快起来...不过相对于这次的欺诈费用，真的九牛一毛了。

[安仔 @geekshellio]

平时每月 500 多美金的 AWS 账单，9 月才过 7 天，直接被刷到 6,600 多美金。

凌晨收到邮件，账号被停用了。元凶是两台完全不认识的 c5.2xlarge，一周跑了 70TB 出站流量，典型的被人拿去当代理节点卖带宽。

顺着 CloudTrail 一查，实锤了：

我的 IAM 密钥泄露，攻击者用脚本连开五波实例，来源 IP 全是美国住宅宽带。

最细思极恐的是，账号停用前几分钟，他还创建了一个叫 bedrock-console-4 的 IAM 用户，名字伪装成 AWS 官方服务，就差一步做成持久化后门了。

泄露源查到最后，挺无奈的：

我平时会用一些第三方模型 API 中转站，key 大概率是对话的时候带出去的。（建议大家一定要用官方 AI 做这些安全敏感的事情）

这种事真的防不胜防，自己本地做得再规范，也堵不住别人那里的口子。

说实话，干了这么多年 DevOps，攻防演练做过，安全审计也做过，自以为底线意识足够强了。

结果栽在这样一个“新型 AI 诈骗”上。

不过这次止损全程是多亏了 AI 陪我做完的：

取证、画时间线、删后门、终止实例、轮换密钥、起草欺诈申诉，一环扣一环。

换以前自己一个人查，光 CloudTrail 就得啃一整天。

几个血泪教训：

1. 密钥当成消耗品，定期轮换，别指望一把 key 用一辈子。

2. 给第三方服务的 key 权限最小化，能用只读就别给写，能用单桶就别给全账号。

3. MFA 管的是控制台，Access Key 泄露等于门钥匙被人复制，第一时间禁用。

4. AWS 对密钥泄露产生的欺诈账单是可以申诉减免的，证据链一定留好。

最后要专门夸一下 AWS 官方。

提交证据申诉之后，他们确认了属于密钥泄露盗刷，这 6,600 多美金的费用愿意撤销，账号也在走解封流程。

没有跟我扯皮，处理得干脆利落，这点真的值得点赞。

有惊无险，上了最贵的一课，但也算遇到了最体面的处理。

[安仔 @geekshellio]

@AndreaRuss81g8 非常有道理

[安仔 @geekshellio]

glm 5.3 模型是个好东西，但是 zcode 偷偷上传用户本地核心代码，用户不知情，也解锁不了上传的代码，这就有点过分了。

幸好我只是一直用智谱的 API…作为上市的国产大模型标杆公司，又落下人家的话柄，真的有点失望

[安仔 @geekshellio]

现在同时交给 AI 的任务越来越多，这个聊完切那个，回头一看一堆对话窗口，哪件事做完了、哪件还待定，全靠脑子硬记。

我自己的做法特别简单：在对话名称前面加前缀。

WIP：进行中
DONE：已完成
PENDING：待定

一眼扫过去，跟进状态清清楚楚。

一两条对话无所谓，任务一多，这个方法能帮你管好一两个星期的活儿。

方法土是土了点，但真的管用。

[小墨同学 @xiaomovps]

GPT 充值优惠，美区正版 Pro x20 最低价🔥

正规渠道苹果礼品卡，100USD 只需 640RMB

步骤：

1、下载AliPay HK （+86 手机号注册）
2、打开 A+ Rewards
3、搜索 apple usd
4、选择 100~200 USD购买，750HKD

如果搭配港卡 比如众安 消费返现1.5%，还可以更便宜
开通 Pro x20 只需要 1260 RMB

[安仔 @geekshellio]

感谢牙医的无私奉献！太有用了

[karminski-牙医 @karminski3]

同步一波大模型写后端代码排行榜

GPT6-Astra 和 Fable-5.1 没来得及做视频, 直接给大家同步图文了.

就结论来说, 单纯后端 AgenticCoding 场景(注意我只说我这个测试, 用大模型从0实现向量数据库, 使用数据库性能计分. 别的我不知道). 目前Fable-5.1 还是SOTA. 写出来的向量数据库直接是第二名的2x.

不过Fable的表现反而跟GPT 完全反过来了, 之前测Anthropic的模型(opus/sonnet) 系列, 反而是最稳的, 三次测试中最高分和最低分差距不超过10%. 而这次 GPT6-Astra 三次得分反而很接近(12985.28, 12134.83, 10676.74), 这证明这个模型的后训练极其稳定, 而 Fable-5.1 则是 21191.51, 11915.19, 7998.93. Δ超过50%.

所以从省token的角度, 其实更推荐使用 GPT6-Astra. 因为发挥稳定, 不需要重复抽卡. 而 Fable-5.1 更适合经验丰富的工程师好好写提示词后再使用.

国产模型正好也是这个局面, Hy4-dev 虽然分数高, 但是三次得分差距巨大, 10778.51, 6011.78, 4915.22. 而 Kimi-K3 则相对稳定. 另外最具性价比无疑是 DeepSeek-V4.1-Flash. 得分几乎跟 kimi-k3没区别了. 而且Δ<20%. 所以只要不是复杂的代码任务, 直接无脑 DeepSeek-V4.1-Flash最划算. 而复杂的尝试使用GPT6-Astra 和 Fable-5.1.

> #gpt6astra #fable51 #deepseekv41flash

[安仔 @geekshellio]

@VersunPan 说真的，这个真的防不胜防

[安仔 @geekshellio]

@likefeiwu 那是，只是有时候上下文不方便跨设备快速同步到，看看有没什么好的实现方式。

[安仔 @geekshellio]

这事困扰了我很久。

现在越来越多人在用「会操作电脑」的 AI 干活，Claude Code、各种 Agent，任务一开就是几十个小时。

平时还好：MacBook 放在家里或公司，只要连着网，人在外面也能远程操控它继续干活。

但有些时候要连设备，电脑得跟着人一起走，这招就用不上了。

总不能路上抱着个亮屏的笔记本吧？合盖吧，AI 任务全断；回到家，还得从头再来。

其实一条命令就能解决，合盖也不休眠：

sudo pmset -a disablesleep 1

执行完再合盖，机器照常跑。

连上手机热点，再用 UU 远程这类 App，手机上就能接着操控电脑干活。

当然，AI 工具有原生手机端的更好，但很多活儿终究得回电脑上干。

有两个注意点：

一是合盖后屏幕其实还在后台亮着，电量掉得比想象中快，所以最好提前充好电再出门；

二是回家后记得执行 `sudo pmset -a disablesleep 0` 把休眠还回去，不然扔包里它会一直发热，下次拿出来烫手。

我自己测下来，CC、Codex、TRAE、Kimi Code 各种 Agent 任务全程不中断，体验是真的爽。

想让 AI 一直陪在身边干活的同学，可以试下。

[安仔 @geekshellio]

Great advice! One nuance though:

most LLM API keys don't support permission scoping (like read-only), only budget limits — so I now issue separate keys per service to isolate blast radius.

AWS keys can be properly locked down with IAM policies. Expensive lesson learned. Thanks!

[安仔 @geekshellio]

Partially agree — accountability does drive investment.

But it's not just govt shutdowns:

AWS froze my account within days, reversed the fraudulent charges, and the whole cleanup cost me a week.

Market forces (chargebacks, insurance, enterprise audits) punish slop faster than bureaucracies in many cases.

Bureaucracy is slow everywhere though, that part I get lol

[安仔 @geekshellio]

@kevinma_dev_zh 是的，就是偷懒疏忽了，侥幸心理，真想不到在自己身上应验了🥲，以后都不敢贪方便用中转站了

[安仔 @geekshellio]

@enzohikar 有没啥最佳实践学习下？

[安仔 @geekshellio]

@something2520 别骂了，脸已经被打肿了。

[安仔 @geekshellio]

@bitbiz_bruce 是，没有绝对安全，但用官方至少口子少一个。

[安仔 @geekshellio]

@a995b305d8df67f 骂得对，这回是真翻车了，认栽。

[安仔 @geekshellio]

@42PuppetMaster 这个说法到位，就是明晃晃的中间人。

[安仔 @geekshellio]

@liulangshanghai 不好说，不过 AWS 这条申诉通道是真的香。