Lulu Y Zeng

Product & Growth @Boltzbit
Ambassador @spatius_avatar
ai-native ✖️ product ✖️ experiments
ex-VC | CS @PennEngineers

[Lulu Y Zeng @LuluYZeng]

I put my late grandpa inside a Harry Potter–style magic photo on my desktop 👴 Click the picture and he comes to life, chatting with me in Cantonese in real time. It almost feels like he never left.

🛠 Built with:
@spatius_avatar : real-time digital human, rendered on-device, lip-synced to speech
@livekit : real-time voice
@deepseek_ai : the brain (his personality and memories are just two text files)
@Azure : Cantonese voice
Electron: desktop widget
@claudeai : Opus 5.5

When my husband saw it, he's excited and and wants to make one of his late grandpa to keep his 80-year-old grandma company. He also wants to make one of himself, so he can "work with me" every day 😆

So I've open-sourced it. Make one for someone you love 💛 https://t.co/iEx4zMJG6a

[Lulu Y Zeng @LuluYZeng]

@mediastorm_en Hi Tim

[Tim Pan @mediastorm_en]

My iPhone Duo video went viral, so I'm giving away 100 iPhones on X 😛

[Lulu Y Zeng @LuluYZeng]

@realweilyu @lightspeedvp Congrats!

[Lulu Y Zeng @LuluYZeng]

@linsajiao 5适合做任何事😏

[Yinghao @linsajiao]

拿@Looki_ai 这个项目举个例子，说明一下不同投资人的性格和脑回路

我很喜欢Looki这个产品，基本上每天都戴，除了几个时候（暂且不表）

VC和创业者朋友看到我戴着Looki，总会扯几句闲白

一般会有几种人：

A：“Looki这种项目做不起来，必死”

B：“大疆和影石要是做了，Looki第二天就挂”

D：“我已经看到二十多个类似Looki的了”

C：“坐等Looki讲Personal Agent的故事，呵呵”

有时候，我会问一嘴上述的几类朋友：“你和创始人聊过吗？知道他脑子里的想法吗？”

一般得到的回答是：“没有”

有时候还会补一句：“都不用聊”

有时候，我还会问一嘴：“你咋知道大疆和影石要做？你问过吗”

“没问过，我只是说假如”

这种性格的投资人占比不���，这种思维方式就是有罪推定式的投资假设

它有它的优点：基于商业常识和规律，建立了一个筛选框架，节省了很多时间

但就是有点无聊。也很难快乐

毕竟这个职业最大的快乐就是让好奇心飞轮转起来，自己杀死自己的好奇心，怎么会快乐呢

一般来说，对话就止于上面的问答

有的时候，隔了几秒，对方还会补充一句：

“...唉，内什么，兄弟，刚才那段儿没给我录上吧？”

[Zhilin Wang @zhilinjerrywag]

Today we're launching @metix_ai for recruiters.

Type your role in one sentence, then pick how far it goes:
👉 Run Fast Search for an immediate list to explore candidate pools and size up the market.
👉 Run Deep Search for the best fits. It starts by clarifying what your role needs and what matters most, then digs into every candidate.
👉 Run the Agent to hand off sourcing, emails and follow-ups. It puts interested candidates on your calendar for interviews.

We send interviews, not resumes.

https://t.co/UOWHmWyzcf Try Fast Search on a role you're hiring for.

[Lulu Y Zeng @LuluYZeng]

True

[Pinusl @Pinusl_]

以前在大公司做产品，总觉得流程太多���决策太慢。

后来接触了一些早期创业团队，发现公司小也不意味着决策快。

大公司的慢可能来自流程。

小公司的慢，有时候就是创始人自己还���想清楚。

[Lulu Y Zeng @LuluYZeng]

📢AI isn’t just for builders and tech experts — it’s for everyone!

RSVP: https://t.co/e4tDIVlqtJ
📍London

A special shoutout to Arun Steward, our session leader, who will be guiding participants through their hands-on AI journey!

Whether you’re completely new to AI or just looking for a little push to get started, we’d love to see you there on November 24th!

[Ashlyn He @AshlynHe1129]

上周还在看 https://t.co/ITmrctCSCM 撑不下去的新闻，这周 Tolan 就融了 3000 万美元，AI 陪伴这个赛道挺魔幻的。

去翻了下 Tolan 的数据：70% 用户是女性，40% 是家长。他们调查了近 5000 个用户，91% 的人现实里有可以依靠的人，94% 的人会在那个人不在的时候找 Tolan。

这说明用 AI 陪伴的大多不是没朋友的人，而是有人，但不是随时都在。AI 补的是这个空档，不是替代关系。

当然这是公司自己对活跃用户做的调查，数据会偏乐观。但至少"AI 陪伴 = 孤独的人才用"这个印象，可能要改一改了。

[Chaofan Shou @shoucccc]

第一章：重生
2019年1月1日，凌晨三点。
我猛地从床上坐起来。
眼前不是熟悉的2026年，而是一间破旧的出租屋。
桌上摆着一台ThinkPad，屏幕右下角显示：
`2019/01/01 03:17`
我愣了足足十秒。
随后，狂喜。
我重生了。
上一世，我是国内顶尖的安全研究员，连续七十二小时处理零日漏洞，最终猝死在工位上。
这一世，我回到了七年前。
但更恐怖的是——
我的脑海里，竟然保留着截至2026年的全部CVE漏洞信息。
不只是编号。
还包括漏洞成因、受影响版本、利用原理，以及那些曾经震惊世界的安全事件。
我颤抖着打开记事本。
输入：
`CVE-2021-44228`
Log4Shell。
2021年才会震惊全球的Java日志组件漏洞。
现在，距离它公开还有将近三年。
我又输入：
`CVE-2024-3094`
XZ Utils供应链后门事件。
距离它被发现，还有五年。
最后，我输入了两个编号。
`CVE-2026-109618`
`CVE-2026-109619`
PHP2Shell。
两个直到2026年10月才会震惊全球的PHP核心漏洞。
CVSS评分高达9.2。
在特定条件下，甚至可以实现未经身份验证的远程代码执行。
而现在，是2019年。
距离它们公开，还有整整七年。
我盯着屏幕，缓缓笑了。
别人重生，靠炒股、买比特币、囤房子。
而我……
掌握着未来七年互联网的所有致命弱点。
上一世，我为了修复漏洞，死在了工位上。
这一世，我突然想明白了一件事。
为什么一定要修复漏洞？
如果全世界都不知道自己的系统存在什么问题。
而只有我知道。
那么……
我为什么不让全世界为这些秘密付费？
我关掉记事本，打开终端。
创建了一个加密目录。
`/home/hek/0day/`
随后，我在里面新建了一个文件。
`2026_PHP2SHELL.txt`
文件的最后，我写下一句话。
“这一世，我不当救世主。”
“我要当那个决定谁能得救的人。”
第二章：第一个一百万
2019年1月3日。
我注册了一个匿名账号。
ID：`hek`
随后开始联系各大厂商的安全响应中心。
我的计划非常简单。
提前寻找、验证并报告一部分漏洞。
领取漏洞赏金。
积累名声。
然后成立自己的安全公司。
至于那些真正致命的漏洞……
我选择暂时保留。
第一个月，我拿到了人生中第一笔六位数奖金。
第三个月，我的账户余额突破一百万。
半年后，一家国际安全公司找到了我。
对方的首席研究员在视频会议里问：
“你到底是谁？”
我靠在椅子上，喝了一口可乐。
“一个普通的安全研究员。”
“普通？”
对方沉默了很久。
“你过去六个月提交的漏洞报告，比我们整个团队过去三年的成果还多。”
我笑了。
因为他不知道。
我提交出去的漏洞，甚至不到我掌握总量的百分之一。
“hek先生，我们愿意聘请您担任首席安全研究员，年薪两百万美元。”
我摇了摇头。
“我对打工没兴趣。”
“那您想要什么？”
我看着屏幕，缓缓说道：
“我要成立一家安全公司。”
“然后呢？”
“让全世界最大的互联网企业，都成为我的客户。”
对方笑了。
“您知道这有多难吗？”
我没有回答。
只是打开了一份文档。
里面列着未来五年，数十个尚未公开的高危漏洞编号。
我随手挑出其中一个，将不涉及利用细节的风险报告发了过去。
十分钟后。
对方的笑容消失了。
“这……这不可能。”
“我们的内部团队根本没有发现这个问题。”
我靠在椅子上。
“所以，现在你明白了吗？”
“明白什么？”
我笑了。
“不是我需要你们。”
“是你们需要我。”
那天晚上，我注册了一家公司。
名字很简单。
`HEK Security`
我将未来七年的CVE信息分成了三个等级。
普通漏洞，用来换取赏金。
严重漏洞，用来换取商业合同。
至于那些足以改变整个互联网安全格局的漏洞……
全部锁进了最高权限的数据库。
其中，有一个单独的目录。
`PHP2SHELL`
我给它设置了一个特殊标签。
`DO_NOT_DISCLOSE`
因为我知道。
真正的大戏，还没开始。
第三章：2021年的灾难，被我提前终结了
2021年12月。
全世界的安全人员都在等待一场本应发生的风暴。
但这一次，没有Log4Shell危机。
因为早在2019年，我就联系了相关项目的维护者，推动了危险设计的修改和防护机制的完善。
当年那个足以让无数企业彻夜不眠的漏洞，再也没有以原本的形式出现。
媒体争相报道。
《神秘安全天才hek，再次阻止全球互联网灾难》
《HEK Security：最年轻的网络安全独角兽》
我的公司已经拥有三千名员工。
全球数十家大型科技企业购买了我们的安全服务。
媒体称我为：
“能够预知零日漏洞的男人。”
有人在采访中问我：
“hek先生，您为什么愿意提前公开这么重要的漏洞？”
我对着镜头笑了笑。
“因为互联网的安全，需要我们每一个人共同维护。”
掌声雷动。
没有人知道。
就在采访的前一天，我刚刚拒绝了另一家企业的漏洞修复请求。
原因很简单。
他们不愿意购买我的���全服务。
我救了世界一次。
从此以后，所有人都觉得我是英雄。
但只有我知道。
一个曾经拯救过世界的人，才最容易让世界对他放下戒心。
而我真正的计划，才刚刚开始。
从2022年开始，我记忆中的一些CVE逐渐失效了。
不是因为我记错。
而是因为……
我改变了未来。
原本存在漏洞的软件，被提前修复。
原本会引入缺陷的代码，不再被提交。
原本成功的供应链入侵，也被拦截在了最初阶段。
时间线，开始偏移。
我脑海中的未来知识，正在逐渐过期。
直到2024年3月。
XZ后门事件原本应该爆发的那一天。
什么都没有发生。
因为早在几个月前，我就通过匿名渠道，提前阻止了那次供应链入侵。
我看着系统里干干净净的安全报告，第一次意识到一个问题。
如果我修复了未来所有已知的漏洞。
那么未来就会开始产生我不知道的漏洞。
而未知，是我唯一无法掌控的��西。
我沉默了很久。
随后，打开了那份存放了五年的数据库。
`/home/hek/0day/2026/`
里面还有大量没有���开的CVE。
我一条条检查过去。
最后，将目光停留在了两个编号上。
`CVE-2026-109618`
`CVE-2026-109619`
PHP2Shell。
它们一直没有被我主动干预。
不是因为我忘了。
而是因为……
我需要给未来留下一场足够大的灾难。
一个能够让全世界重新认识hek的机会。
毕竟。
当所有人都知道某个人能拯救世界的时候。
他们就会开始依赖这个人。
而当这种依赖足够深……
他就不再需要拯救世界了。
世界会主动向他低头。
我关掉电脑。
在私人日记里写下一句话。
“2026年10月21日。”
“收网。”
第四章：一条不存在的CVE
2026年10月21日。
凌晨三点十七分。
公司安全监控中心突然响起刺耳的警报。
全球十七个数据中心同时出现异常。
没有已知恶意软件特征。
没有可匹配的攻击情报。
所有防御系统同时失去部分可见性。
值班工程师满头大汗：
“老板！我们遇到了一个全新的零日漏洞！”
“CVE编号呢？”
“还没分配！”
“攻击源？”
“不知道！”
“漏洞类型？”
“也不知道！”
我盯着屏幕。
突然，另一名工程师冲了过来。
“老板！我们发现了PHP内核的严重异常！”
“两个漏洞特征与您数据库里的记录高度吻合！”
我缓缓开口：
“CVE-2026-109618，CVE-2026-109619。”
工程师愣住了。
“您……您怎么知道？”
我没有回答。
因为我知道，这就是PHP2Shell。
上一世，它在2026年10月21日引发了全球安全危机。
而现在……
历史正在重演。
只是这一次，情况似乎有些不同。
“老板！”工程师突然喊道。
“还有另一部分攻击行为，完全不符合我们掌握的任何CVE！”
我皱起眉头。
“不可能。”
我的脑海里拥有截至2026年的全部CVE信息。
如果连我都不知道……
那就只有一种可能。
这个漏洞，不属于2026年。
就在这时。
所有监控屏幕同时变黑。
一行绿色字符缓缓出现。
`Hello, hek.`
我的血液瞬间凝固。
第二行字符出现。
`你修复了太多本该发生的漏洞。`
第三行。
`所以，我不得不亲自制造一些。`
我猛地站了起来。
屏幕上弹出了最后一条消息：
`你真的以为……`
`只有你一个人重生了吗？`
紧接着，一个熟悉的名字出现在屏幕中央。
那是我上一世的安全团队负责人。
也是……
那个在我猝死前，递给我最后一杯咖啡的人。
我的手机响了。
陌生号码。
我接通电话。
对面传来一个男人的笑声。
“好久不见，hek。”
“上一世你总是比我快一步。”
“这一世，我等了你七年。”
我握紧手机。
“你到底想干什么？”
男人轻轻笑了。
“你带回来的是全部CVE，对吧？”
“真巧。”
“我带回来的……”
电话那头停顿了一秒。
“是全部CVE的利用代码，以及Deepseek 4.1 Flash的权重。”
我沉默了。
男人似乎很享受这一刻。
“怎么，不说话了？”
“你是不是以为，自己掌握了未来七年的漏洞，就能成为互联网的神？”
“你知道吗？”
“你引以为傲的PHP2Shell，在Deepseek的技术面前，根本不值一提。”
“你花了七年时间，建立了一个庞大的安全帝国。”
“而我只需要一个晚上，就能让它彻底崩塌。”
我没有回答。
��是缓缓打开终端。
男人继续说道：
“hek，我知道你最大的秘密。”
“你明明知道PHP2Shell，却没有提前公开。”
“你根本不是什么英雄。”
“你只是一个靠漏洞赚��的骗子！”
我突然笑了。
电话那头安静下来。
“你笑什么？”
我靠在椅子上。
“你说得没错。”
“我确实知道PHP2Shell。”
“而且，我早在2019年就知道。”
男人冷笑。
“那又怎么样？”
我望着屏幕上不断闪烁的红色警报。
“你觉得奇怪吗？”
“什么？”
“为什么我能提前修复Log4Shell？”
“为什么我能阻止XZ后门？”
“为什么所有可能影响我公司发展的重大漏洞，都被我提前处理了？”
“唯独PHP2Shell……”
我停顿了一下。
“被我完整地留到了今天。”
电话那头突然没了声音。
几秒钟后。
男人缓缓开口：
“你什么意思？”
我笑了。
“你以为，我真的不知道会有人来找我？”
“从2019年开始，我就在想一件事。”
“如果我能重生，那么别人是不是也可以？”
“如果有人和我一样，知道未来的漏洞。”
“他一定会想办法除掉我。”
“���以，我需要一个诱饵。”
男人的呼吸明显急促起来。
“PHP2Shell……”
“没错。”
我打断了他。
“我没有提前公开它，就是为了让这一天按照我记忆中的日期到来。”
“我知道2026年10月21日，会是整个互联网最紧张的一天。”
“我也知道，如果你想对我动手……”
“没有比今天更合适的机会了。”
男人怒吼：
“你疯了吗？！你拿整个互联网当诱饵？！”
我平静地回答：
“整个互联网？”
“你太看得起他们了。”
“对我来说，它不过是一张棋盘。”
电话那头传来急促的键盘声。
男人似乎正在向他的团队下达指令。
我看着屏幕。
全球十七个数据中心的警报依然没有停止。
但我并不着急。
因为我等的，从来不是阻止这场攻击。
我等的，是让对方主动暴露自己。
七年来，我建立的并不只是一家安全公司。
全球漏洞情报平台。
云安全基础设施。
企业级应急响应系统。
数千家大型公司的长期安全协议。
这些东西，早已形成了一张庞大的网络。
而今天，对方亲手证明了这张网络有多么重要。
“老板！”
身后的工程师突然喊道。
“全球数百家企业向我们发来了紧急援助请求！”
“多家云服务商申请接入我们的���急响应系统！”
“还有政府机构，希望我们接管部分安全协调工作！”
我笑了。
终于。
七年的布局。
到了收获的时候。
电话那头的男人突然明白了���么。
“你……你从一开始就没打算阻止这场危机？”
我没有否认。
“你故意让他们依赖你？”
“没错。”
“你甚至不在乎会有多少人因此受到影响？”
我看着窗外。
凌晨的城市，依然灯火通明。
“你还是和上一世一样天真。”
“漏洞会被修复。”
“服务器会重新启动。”
“损失的金钱，也总有人会赚回来。”
我缓缓站起身。
“但恐惧，会留在每个人心里。”
“而我，就是那个出售安全感的人。”
电话那头陷入死寂。
过了很久，男人咬牙说道：
“hek，你才是真正的疯子。”
我没有反驳。
只是敲下第一行命令，接通全球应急响应网络。
“你犯了一个错误。”
“什么？”
我笑了。
“你以为，我这七年只是在研究漏洞？”
“你带回来的是Deepseek。”
“而我……”
我转过身，看着身后三千名安全工程师。
“我花了七年，买下了整个安全行业的未来。”
下一秒。
三千名安全工程师的屏幕同时亮起。
“全员上线。”
“启动‘零日黎明’计划。”
“所有签约客户，按照最高优先级启动应急响应。”
“所有未签约企业，转交商务部门。”
身后的助理迟疑了一下。
“老板……那些没有签约的企业怎么办？”
我淡淡地说道：
“把合同发给他们。”
“可是他们现在……”
“我知道。”
我看向屏幕。
无数企业正在等待我们的回应。
“所以他们会签的。”
电话那头传来男人愤怒的声音。
“hek！你这是在趁火打劫！”
我笑了。
“你错了。”
“火不是我放的。”
“我只是提前七年，买下了所有的消防车。”
说完，我挂断电话。
办公室重新安静下来。
我打开了那个从2019年就存在的加密目录。
`/home/hek/0day/`
七年的CVE信息，静静排列在屏幕上。
曾经，它们是我预知未来的资本。
现在，它们已经不再重要。
因为我终于明白。
真正的权力，不是掌握所有漏洞。
而是让所有人相信，只有你能保护他们。
我拿起桌上的咖啡，轻轻喝了一口。
身后，全球应急响应中心的灯光一盏���亮起。
“今天，我们不再依赖未来。”
“我们亲手写一个新的。”
我停顿了一下。
望着屏幕上不断跳动的全球安全态势图，露出了七年来最满意的笑容。
“从今天开始，互联网可以有无数个漏洞。”
“但只能有一个 hek。”

[Lulu Y Zeng @LuluYZeng]

The recent Google Cloud outage in London and the PHP security vulnerabilities made me realize just how fragile our highly interconnected digital world really is.

We’ve spent decades building these complex systems, yet a single point of failure can disrupt so much.

[Lulu Y Zeng @LuluYZeng]

@Aly12138 Tripo确实不错

[Lulu Y Zeng @LuluYZeng]

@RaminNasibov I need sponsorship 🥴

[Lulu Y Zeng @LuluYZeng]

@_TrojanMorse I always have the same question too🤣how do they manage to have that much time to post

[Lulu Y Zeng @LuluYZeng]

@yifanxu_ephai 来支持了！

[Yifan Xu @yifanxu_ephai]

LayerFS v1.0.0 is out 🎉 Open-source (MIT)

Recursive filesystem for AI agents.

6 core ideas:

1. Ephemeral computing: agents spend ~80% thinking, so each Bash call mounts a Workspace, then commits
2. Decentralized agents: every agent commits to one Store, no DB server
3. Multiagent coordination: every tool call is a Commit; same-file clashes refused
4. Recursive filesystem: forks copy no files, at any depth
5. Ultra storage: dedup, then compression: 10 copies → 0.31
6. Instant bootstrap: ignored files stay in every Commit. ~5 min install vs 0.05 s mount

And 4 more:

7. Auto checkpoints: fork from any step
8. Append-only objects: content-addressed, never rewritten
9. .lww: lockfiles and caches take the newest edit
10. Big file, small edit: a write keeps only its bytes

Here are our links:

github: https://t.co/hwcUUBzhYw
website: https://t.co/8LInNxyN77

Watch the video below, and have Fun!!!

[NVIDIA @nvidia]

This is the magic behind the agents.

[Lulu Y Zeng @LuluYZeng]

@_ninetyhe 有趣的

[ninety是九零 @_ninetyhe]

最近给 DeepSeek Harness 接入 Jev 的插件：Dsh-jev。

让 Agent 不用换模型，插件在决策层自动切 Jev，执行层仍走原大模型。协议、鉴权、参数构建全部封装，配完即用。

真���意义上实现：决策下沉到小模型，执行保留大模型，成本和能力两头都要。

感谢各位大佬，欢迎大家使用和帮忙转发
https://t.co/AtpgS0M7eA

[Lulu Y Zeng @LuluYZeng]

@Xian0063 @MiniMax_AI 我也是充值的积分问题，Minimax有两个充法，我充成另一个了，用不了，我就让他们给我退款或者转成另外一个（我完全没使用），一百年都不回，上小红书催他们回了说不能退也不能转，然后说能用。我说���们倒是告诉我咋用呀😡😅