今日速览

2026年9月25日 · 星期五

• 开源分发承压：F-Droid 十年最大改版上线（Kotlin Compose），同时提醒 Google 侧装政策收紧；Sourcehut 构建日志 XSS 可蠕虫式接管账号。
• 加密与政策双轨：英国对 Apple Advanced Data Protection 形成「先开/后开」两档；加州亿万富翁税上选票，评论转向土地税与 Prop 13。
• Agent 工具链：YC W26 Whiteboard 把架构图画布接到 Claude Code/Codex；Trail of Bits 用 agent 先造 LSP/反编译/Lean 模型再审计。
• 基础设施叙事：Google Project Suncatcher 把 TPU 送上 SpaceX 共乘验证轨道算力；Fearless SIMD 1.0 把安全可移植向量化推到稳定 Rust。
• 市场与职业：丰田把 Corolla 平台改成全动力总成（含纯电）；DHH Rails World 开场称开发者更像「造物者」，现场并不悲观。
• 边角：肝脏为何独能再生、东京街景漫游、诅咒字体生成器、GitLab 宕机、Haskell 写 Parquet。

F-Droid 2.0：十年最大改版

官方客户端全面重做：Material/Kotlin Compose、更好发现与搜索；Privileged Extension 暂不支持，改走 session installer 做后台更新。

旁路应用商店要活下去，产品体验与政策游说得一起做——改 UI 是入场券，keepandroidopen 才是存亡题。

英国加密两档：你开没开 ADP 是命运

同款 iPhone、同价 iCloud：Alice 在 2025 年 2 月前开了 Advanced Data Protection，Bill 错过窗口后永远开不了。

政府不需要后门——只要逼厂商下架「最强加密」选项，就会长出永久的两档公民。

丰田要把 Corolla 做成「全动力」平台

下一代 Corolla 概念车亮相：同一 TNGA-C 改造平台覆盖纯电、插混、混动与燃油；预计 2027 年登场、2028 款。

这不是「Corolla 变特斯拉」，是把最畅销车名贴到可插电的动力矩阵上——规模逻辑压过纯电原教旨。

加州在追「长了脚的财富」

作者：土地值约 $8.14 万亿却盯着亿万富翁；选票上的 5% 一次性富人税，逃得掉，地税逃不掉。

税基选「会搬家的资本」还是「搬不走的地」——这是财政产品设计，不是道德口号。

DHH：开发者会变成「造物者」

Rails World 2026 开场：用家族肖像→摄影类比技术变迁；称未来更像做东西而非写码，也坦言会怀念心流。

框架作者若从「用户侧」拥抱 agent，信号比又发一个生成器更重——约定优于配置，反而更吃香。

Google：把 ML 基建送上天试一试

Project Suncatcher 原型星搭 TPU，随 SpaceX Transporter-18 与 Planet 合作上天，测辐射、振动与真空散热；瞄 2027 下一里程碑。

轨道算力是「近乎持续日照」的能源故事——先证明芯片能活，再谈比肩地面机房。

Whiteboard：给人与 Agent 共用的架构画布

YC W26 开源桌面应用：接 Claude Code/Codex，让 agent 在画布上画图；语义 diff、决策日志、点图跳代码。

Agent 时代缺的不是再一个聊天框，是「架构层可来回改、可追溯决策」的工作面。

安全审计：AI 够用之后先造工具

Trail of Bits：审 Miden zkVM 前，用 agent 花约半年造 LSP、反编译器、静态分析与 Lean 模型——不止让 agent 扫代码。

「好用的 AI」改变的是审计准备阶段：定制工具与形式化模型，而不只是多开几个找 bug 的对话。

诅咒字体工厂：每隔几个字换一种

Bastardica：把两种字体按字混排、拉伸错位，导出普通 OpenType；专门生产设计师噩梦。

OpenType 连字规则能做的恶趣味，比你想的多——工具越正规，整蛊越可分发。

肝脏为什么特别能长回来？

dynomight 思辨文：身体大多「修不好」，肝脏受伤常无疤、可捐半肝数月长回——或许脆弱才是多数组织的合理设计。

「为什么只有肝这么强」可能问反了：多数组织不再生，也许是演化压力不够或再生也防不住致死伤。

Fearless SIMD 1.0：把 unsafe 赶出向量化

Linebender：可移植 SIMD / 多版本 / 安全访问 intrinsics；强调不牺牲性能，边角行为提供精确与快速两套。

稳定 Rust 上能安心写 SIMD，比再多一个「更快 2%」的宏更重要。

2D 永不灭：可点的像素博物馆

2dwillneverdie.com：可交互像素站，致敬有限色数时代的 2D 游戏美术；站点可追溯到约 2010。

限制本身是风格——用手做的可玩网页，比又一个生成画廊耐看。

新爱好：在谷歌地图里逛东京

作者街景闲逛：窄巷里一辆 350Z 从 2009 年到现在每张图都在——像从没离开，其实有人开了又停回原位。

街景是时间胶囊：平台存的是采样瞬间，人脑补的是连续故事。

背肩手术常常还不如不做

《经济学人》社论：影像上的「异常」不等于该开刀；费用按项目计酬会推高无益手术。（正文抓取失败，依评论与标题）

按次收费 + 病人不直接感价格 → 「看起来能刀」就会被刀。

用 LLM 追炼金术知识、解 17 世纪信

历史学者：GPT-6 / Opus 5.5 级别模型让文献串联与密码信可读性上了一个台阶，呼吁 AI 实验室资助历史研究。

模型当下最稳的人文用途，仍是「超级文献检索 + 假设生成」，不是自动写定论。

Koi.rest：看会儿鱼，缓一缓

失业开发者做的虚拟锦鲤池：白噪音、定时器、他人化身鱼；自称不会 JS，AI 硬上。

数字「第三人空间」只要低社交压力，就能卖安静——但 HN 流量会先把帧率打穿。

书评：并行编程到底难在哪

Andrew Helwer 评免费教材《Is Parallel Programming Hard…》；评论提醒并行 ≠ 并发。

教材若把 parallelism 与 concurrency 混为一谈，读者会用错武器。

GitLab.com 又挂了

状态页报部分中断：网站/API/Git/包与容器仓库/CI 等多组件 503；有人自建实例同日遭遇大规模撞库。

云 Git 的便利账单，就是偶发全球停工；镜像与自托管是保险，不是情怀。

外交棋：阿尔法书呆的桌面战争（2014）

Grantland 老文重上：在《Diplomacy》国际赛里，谈判与背叛重新定义什么叫极客（与朋友）。

规则简单、社交残酷的游戏，是观察联盟与背刺的压缩实验。

Stable（YC W20）招产品工程师

虚拟地址/邮箱与邮件工作流自动化公司招 Product Engineer；Whoishiring 帖，分数低、无讨论。

招聘帖也是信号：邮件数字化与合规地址仍是小而稳的 B 端切口。

Sourcehut：构建日志 XSS 可接管账号

ansi2html 解析 OSC 8 超链接不严，恶意构建输出可在看日志者浏览器执行；CVE-2026-92973，可蠕虫化。

「日志是可信文本」是假的——任何把终端转义渲成 HTML 的地方都是攻击面。

小跑机器人电机怎么选型（2016）

拆解并表征一堆廉价无刷电机，看适不适合小型奔跑机器人；结论在文末。

消费级航模供应链，是低成本足式机器人的隐藏零件库。

在接近 SNFS 的时间内伪造 1024 位 RSA 签名

IACR 预印本：实现级结果；评论强调前提是曾能访问原始 RSA 预言机（可直接做私钥运算的 API）。

论文很强，但威胁模型不是「网上捡到公钥就能伪造」——先搞清有没有用过裸 RSA 预言机。

被遗忘的东兰辛之战（1937）

地方史：密歇根州大学生与汽车工会组织者在东兰辛冲突；餐厅主权与罢工叙事缠在一起。

劳工史不只在工厂门口——校园餐饮与「谁的地盘」也会变成战场。

用 Haskell 写 Parquet 文件

DataHaskell/Dataframe 增加 writeParquet：数据框一行管道即可写出，并保留行列组/页大小旋钮。

数据框库若不能读写 Parquet，在现代数据栈里就不完整。