RSS 每日摘要

Goodnotes 通过 SwiftWasm 将同一套 Swift 代码库直接编译为 WebAssembly 运行于浏览器，实现了 iOS 与 Web 端完全一致的墨水渲染体验，无需重写渲染引擎。项目历经两年开发、两年生产验证，核心挑战是在 Web 端维持超过 60 FPS 的实时手写渲染性能。架构上将平台特定 UI 与共享业务逻辑严格分离，所有 Bug 修复同时惠及 iOS 和 Web 用户。这一实践证明 Swift on WebAssembly 是构建复杂、性能敏感型 Web 应用的可行路径。

Cloudflare 核心数据中心约 2000 台 Gen12 裸金属服务器在一次常规固件升级后，启动时间从正常的数分钟骤增至四小时，导致整个舰队升级计划从单日拖延至数天。问题根源在于 UEFI 固件的一个特有行为：启动时对所有可用网络启动接口进行线性遍历，触发大量超时等待。通过深入分析 UEFI 内部机制、识别 PXE 与 UEFI HTTPS boot 的交互问题，并结合自动化策略优化启动配置，最终将启动时间恢复至分钟级别。

Scala Center 联合 Open Source Technology Improvement Fund 和 Quarkslab 完成了对 Scala 3 编译器及标准库的首次安全审计，未发现严重或重大安全问题。审计共发现 5 个中等级别、1 个低等级别漏洞及 2 个信息性发现，全部已在 Scala 3.3 LTS 和 3.8 主干分支中完成修复。典型问题包括：TASTy 文件解析中缺少偏移量非负校验导致潜在无限循环、Scaladoc 存储型 XSS 漏洞、反序列化 gadget 风险。上述问题仅在编译器以服务方式暴露并处理不可信输入时才有实际影响。

双蛋问题（Two Eggs Problem）是 Google 经典面试题：在 100 层楼中用 2 个鸡蛋找出最高安全楼层，且最坏情况下尝试次数最少。单蛋方案需最多 100 次，二分法并非最优——若首投 50 层失败则仍需最多 50 次。最优策略是等差递减间隔投掷：每隔 k 层测试一次，最坏尝试次数为 ⌊100/k⌋ + (k-1)，在 k≈10 时取得极值，最终答案为 14 次（k=10）或通过数学推导得出最优解约 14 次。

本期周报以 WWDC 26 临近为背景，探讨传闻中苹果将在 iOS/macOS 27 中效仿 Snow Leopard 策略、聚焦稳定性而非新功能的方向。技术内容涵盖：用自定义 Layout、Animatable 和 LayoutValueKey 解决 SwiftUI List 行高动画跳变问题；SE-0469 在 Swift 6.2 中为并发 Task 引入 name 参数以改善调试体验；Swift 6.4 新增 UniqueBox、Ref、MutableRef 类型强化所有权表达；以及无状态 actor 的合理使用边界和 SwiftData 自定义存储格式的实现原理。

OpenAI 发布声明，阐明其在 AI 政策与政治倡导方面的原则立场：支持透明度与负责任的监管，积极参与 AI 安全讨论，同时明确表示不代表任何外部政治团体发言，任何政治组织也无权以 OpenAI 名义发声。声明旨在厘清公司在政策层面的独立性与边界。

OpenAI 宣布其前沿模型及 Codex 在 AWS 上正式全面开放，企业用户可通过 AWS 现有的环境、权限管控和采购流程直接调用 OpenAI 服务，无需额外搭建独立接入通道。此举旨在降低企业从评估到生产部署的迁移门槛，加速 AI 能力在企业级场景中的落地。

OpenAI 联合 Oracle、Related Digital 和 Walbridge，在密歇根州 Saline 破土兴建代号「The Barn」的 1GW 数据中心园区。项目承诺本地居民不承担额外电费，采用闭环冷却系统控制用水，预计创造逾 2,500 个工会建筑岗位及 450 个永久性职位。OpenAI 等各方还将出资 1,000 万美元用于 Saline 社区娱乐中心改造。

黑客通过向 Meta AI 支持机器人发送简单的自然语言请求——声称自己是目标账号的拥有者并要求绑定新邮箱——成功绕过账号恢复流程，直接接管高知名度 Instagram 账号。这一漏洞并非复杂的提示注入攻击，根源在于 Meta 将账号恢复的关键权限直接暴露给了 AI 客服机器人，属于系统设计层面的严重失误。

一家律师事务所通过在 Claude Code 中引入子代理架构，将合同审阅工作拆分：复杂推理任务保留给 Opus 4.8（最高算力），而 DOCX 文件的读写、批注与样式处理则交由更廉价的 Sonnet 4.6（中等算力）负责，实际 DOCX 相关成本降低约 5 倍。配合自研的 HTML↔DOCX 双向转换插件，进一步将 Token 用量压缩至 Anthropic 官方 DOCX 技能的 2–5 分之一，同时主模型上下文更干净，输出质量也有所提升。

用幽默的方式揭穿信息安全行业黑话的真实含义：「纵深防御」不过是写代码，「零信任」就是身份验证，「最小权限」是你忘记授权的那些权限，「攻击面」是你自己的代码，「爆炸半径」是别人的代码。从威胁建模到 CVE，从横向移动（ssh）到数据泄露（curl），每个听起来高深的术语背后都是平平无奇的日常操作。文末还顺带吐槽了「cyber」这个前缀被滥用的现状。

大模型算法工程师袁朝发（原网名「chaofa用代码打点酱油」）在断更7个月后重启月度总结，并宣布全平台改名。改名动因有三：旧名字暗含随便做做的心态、AI时代内容需以真名背书个人理解与经验、以及正在筹备中的新书《大语言模型：从菜鸟到大师》封面署名需求。文中还提及字节上半年工作成果、美股中概股亏损、以及增加陪伴孩子时间等近况。

DHH 批判开源社区中兴起的「反 Agent」运动，认为这是一种披着质量、署名、劳工保护外衣的保护主义。开源运动数十年来倡导人人可改软件，但当 AI 辅助编程真正让更多人具备这种能力时，部分人却试图将 AI 辅助的开发者排除在外。DHH 将此定性为尼采所说的「怨恨」心理——用掌握稀缺技能的特权来维持身份优越感，呼吁开发者拒绝这种封闭保守的思维。

一位工程师列举了过去12个月内借助 AI 完成的多个个人项目，作为「AI 真实提升生产力」的存在性证明。包括：SkiFree 经典游戏的 Wordle 版（skifreedle.com）、自动生成 Anki 卡片的 Autodeck（已有500+用户和付费订阅者）、以及 AI 生成的无限 Wiki。他指出，这些项目若纯手工实现，大部分会永远停留在「有几个 commit 的 GitHub 仓库」阶段，AI 显著降低了从想法到上线的摩擦成本。

Simon Willison 受 Claude.ai 将大段粘贴文本自动转为文件附件的功能启发，用 OpenAI Codex Desktop 构建了一个原型工具。该工具允许用户将 1000 字符以上的文本粘贴后自动识别并转为附件，同时保持编辑器内容不变。支持拖拽、文件选择和剪贴板粘贴三种方式，图片文件会以缩略图形式预览，附件可随时移除。

以 1974 年畅销书《禅与摩托车维修艺术》（ZAMM）为切入点，探讨 AI 生成内容（即作者所称的「The Maw」）对技术行业和内容质量的冲击。文章梳理了当下软件工程师群体中弥漫的身份焦虑与存在主义危机——从「我还属于这个行业吗」到「Gen AI 让一切都是谎言」——并借皮尔西格对「质量」的哲学追问，试图为这场集体困惑提供思想框架。