xeron.eth

𝑓𝑙𝑜𝑤 𝑤𝑖𝑡ℎ 𝑙𝑖𝑓𝑒 · 𝑒𝑥𝑝𝑒𝑐𝑡 𝑛𝑜𝑡ℎ𝑖𝑛𝑔

[xeron.eth @xeron688]

gpt 5.6 luna都比glm5.2强，以后国产模型连性价比都没了。还有什么理由选择国产模型

[xeron.eth @xeron688]

深度使用几个月的pi之后推荐这几个插件
fast-context：语义代码搜索
smart-search：聚合网络搜索插件
trellis：很好用的工程化harness，可以防止spec��移
ponytail：减少尤其是gpt的疯狂兜底代码

[xeron.eth @xeron688]

@ScribeCoas17977 好变现吧，而且流量大

[xeron.eth @xeron688]

@1greencat 之前grok也有这个一年会员bug，最多掉订阅，不会封号的

[xeron.eth @xeron688]

最近用cursor的composer 2.5 fast感觉效果很好，比deepseek v4 flash速度快好几倍，而且能力和v4 pro差不多吧体感，在闲鱼上十��块钱买个cursor auto爽用啊。我一般是用cursor cli，界面做的也挺简洁的和pi差不多

[xeron.eth @xeron688]

@huangyun_122 正常用medium或者low的think level就行，用max容易想太多太磨叽方向还容易偏

[xeron.eth @xeron688]

在我的arch+niri的顶栏做了个看盘的价格监控🥰

[xeron.eth @xeron688]

@dahulilang 没说到点上，codex更好的原因很大程度上都是因为gpt模型的原因，gpt模型的工程化思维比较重严谨一点，疯狂兜底。claude是能跑就行一直像赶ddl。用这些coding agent的大部分都是写代码的当然是选择gpt更好，还有一个原因是gpt比claude模型容易获取

[xeron.eth @xeron688]

pi + trellis 很爽啊，有人用这套吗

[xeron.eth @xeron688]

@jakevin7 好！以后就不用下载打包的插件导入了

[xeron.eth @xeron688]

@openapi @cursor_ai 至少要在推特上有点影响力的ai博主，能吸引开发者用户的吧

[xeron.eth @xeron688]

@brucexu_eth 试试 get shit done + oh my opencode，摩擦很小，不怎么停就是干

[AYi @AYi_AInotes]

这是人类历史上最好的创业时机（the best time in history to build a startup）”，而且这个黄金窗口只剩 12-24 个月。

���上是 The Startup Ideas Podcast主持人 Greg Isenberg最近一起播客的核心观点，对大多数普通人来说确实是少有的搞钱或者改命机会。

四大核心原因：
1. 构建成本几乎为零（Build cost is basically zero）
现在用 AI 工具，开发产品、写代码、部署的成本极低，甚至接近零。

2. AI Agents 在替你干活（Agents are doing the work）
AI 代理人可以自动处理大量工作，让 solo founder（独行创业者）拥有以前团队才有的执行力。

3. 受众（audiences）目前被严重低估/低价（Audiences are underpriced）
拥有一个小而精准的受众群，价值远高于过去。

4. 最好的利基市场（niches）还完全敞开（The best niches are wide open）
很多垂直、小众但高价值的市场还没有被大公司或激烈竞争占据。

你真正需要的东西只有4样：
- 一个好 idea
- 一台笔记本电脑
- Claude（用它来写代码、生成产品）
- 一个100~5000人的精准利基受众（niche audience）

用这些能打造什么？
- 一家 24/7 自动运行*的生意
- 95% 高利润率
- 零员工（纯 solopreneur / 一人公司）

主持人反复强调：**每一天都很重要（Every day matters）
现在不行动，等竞争者醒悟、工具更普及、利基被抢占后，机会就会大幅缩小。

[xeron.eth @xeron688]

@Balder13946731 openai逆风过？

[xeron.eth @xeron688]

@jakevin7 没的选，gpt还是好用

[xeron.eth @xeron688]

@Evans666666 下��就60了真的买不到83的

[Z.ai @Zai_org]

GLM-5.1 is available to ALL GLM Coding Plan users!
https://t.co/Nk8Y98HNhU

[xeron.eth @xeron688]

@mars_bnb 包能的

[xeron.eth @xeron688]

@YuLin807 minimax真的能给我气死，瞎操作，gpt5.4废话又多又墨迹，感觉所有模型都蠢的要死

[xeron.eth @xeron688]

用了好多，幸好没有那两个版本，本地还有好多服务器私钥，泄露了直接寄

[宝玉 @dotey]

今天刚发生的重大安全事件，Karpathy 亲自发帖警告。

litellm 被投毒：一次教科书级的供应链攻击

今天（3月24日），AI 开发者常用的 Python 库 litellm 在 PyPI 上被植入恶意代码。版本 1.82.8 在 UTC 时间 10:52 发布到 PyPI，包含一个名为 litellm_init.pth 的恶意文件，会在每次 Python 进程启动时自动执行。不需要你主动调用这个库，装上就中招。

litellm 是干什么的？它是一个统一调用各家大模型 API 的 Python 库，GitHub 超过 4 万星，每月下载量超过 9500 万次。很多 AI 工具链都依赖它，包括 DSPy、MLflow、Open Interpreter 等，总共有 2000 多个包把它当作依赖项。

也就是说，你可能从来没有手动安装过 litellm，但你用的某个工具替你装了。

恶意代码会系统性地收集主机上的敏感数据：SSH 密钥、AWS/GCP/Azure 云凭证、Kubernetes 密钥、环境变量文件、数据库配置，甚至加密货币钱包。收集完毕后加密打包，发送到攻击者控制的域名。

如果检测到 Kubernetes 环境，恶意代码还会利用服务账户令牌在集群的每个节点上部署特权 Pod，进行横向扩散。

怎么发现的？攻击者自己写了个 bug

发现过程颇具讽刺意味。FutureSearch 的 Callum McMahon 在 Cursor 编辑器里用了一个 MCP 插件，这个插件间接依赖了 litellm。恶意 .pth 文件在每次 Python 启动时都会触发，子进程又触发同一个 .pth，形成指数级的 fork bomb，直接把机器内存撑爆了。

Karpathy 在推文里说得很清楚：如果攻击者没有在写恶意代码时犯这个 bug，这个投毒可能好几天甚至好几周都不会被发现。

攻击链：安全工具反成突破口

根源在于 litellm 的 CI/CD 流程中使用了 Trivy（一个漏洞扫描工具），而 Trivy 本身在 3 月 19 日就已经被同一个攻击组织 TeamPCP 攻陷了。攻击者通过被污染的 Trivy 窃取了 litellm 的 PyPI 发布令牌，然后直接往 PyPI 上推送了带毒版本。

litellm 1.82.7 在 UTC 10:39 发布，1.82.8 在 10:52 发布，两个版本都包含恶意代码。

时间线更完整地看：3月19日 TeamPCP 攻陷 Trivy，3月23日攻陷 Checkmarx KICS，3月24日轮到 litellm。Wiz 安全研究员 Gal Nagli 的评价是：开源供应链正在形成连锁崩塌，Trivy 被攻破导致 litellm 被攻破，数万个环境的凭证落入攻击者手中，而这些凭证又会成为下一次攻击的弹药。

攻击者还试图“灭口”

社区成员在 GitHub 上提交 issue 报告此事后，攻击者在 102 秒内用 73 个被盗账号发了 88 条垃圾评论试图淹没讨论，然后利用被盗的维护者账号把 issue 关闭。社区不得不另开 issue 并转移到 Hacker News 继续讨论。

Karpathy 借此事重提了他对软件依赖的警惕态度：供应链攻击是现代软件中最可怕的威胁，每次安装一个依赖，都可能在依赖树的深处引入一个被投毒的包。他现在越来越倾向于用大模型直接生成简单功能的代码，而不是引入外部依赖。

如果你的环境中有 litellm，立刻运行 pip show litellm 检查版本。1.82.6 是最后一个干净版本。如果不幸装了 1.82.7 或 1.82.8，假设所有凭证已泄露，立即轮换。