kelseyhightower/kubernetes-the-hard-way 再登 GitHub Trending
DEV
Kelsey Hightower 的经典仓库 kubernetes-the-hard-way 再次登上 GitHub Trending。它主张不用任何自动化脚本，从零手工搭一套 Kubernetes：自己签发证书与 kubeconfig、部署 etcd、配置 apiserver、controller-manager 与 scheduler，再拉起 worker 节点和网络插件，每一步都迫使读者理解组件之间的认证与网络关系。在托管集群与一键发行版成为主流的今天，它仍是排查证书过期、控制平面故障、CNI 异常时最常被翻出来对照的资料，也是 CKA 备考的经典路径。对只会在云控制台点按钮的工程师，这是一次把黑盒拆开看的机会。
dream-num/univer：可嵌入的开源表格与文档引擎
DEV
本周登上 GitHub Trending 的 dream-num/univer 是国产开源的全能表格与文档引擎，目标是把 Excel 与 Google Docs 的能力做成可嵌入组件。同一套核心模型同时支撑电子表格、文档与演示：公式计算、条件格式、协同编辑、撤销重做和插件体系都在自有架构内实现，前端框架无关，可嵌入 React、Vue 或原生 JS 应用，也支持服务端部署。对企业，它提供了一条不把业务数据交给在线表格 SaaS 的自建路线；对开发者，则是研究协同文档引擎如何组织公式引擎、渲染与协同协议的现成样本。
anthropics/claude-plugins-official 与 skills 系列登上趋势榜
AI
Anthropic 官方开源的 skills 仓库登上 GitHub Trending，给出 Claude 系列「Agent Skills」的标准写法与示例集合。所谓 Skill，是把一段可复用的流程、脚本与参考文档打包成模型可调用的能力单元，让 Agent 按既定步骤执行任务而不是临场发挥。仓库包含官方示例、目录结构约定、SKILL.md 元数据格式与最佳实践，可与 Claude Code 等产品配合使用。同期 obra/superpowers、mattpocock/skills 等第三方技能库也出现在榜上，说明「用文件而非代码定义 Agent 能力」正在形成生态，其目录约定有成为事实标准的可能，值得提前跟进。
git-bug：把分布式离线缺陷跟踪塞进 Git 仓库
DEV
Git-bug 是把缺陷跟踪直接放进 Git 仓库的开源工具，本周以 300 余分冲上 Hacker News 首页。它把 issue 存成独立的 Git 对象，随代码一起 push 和 pull，因此不依赖中心服务器，离线也能新建、评论、改状态，联网后再合并；团队从 GitHub 迁到 GitLab 或自建托管时，历史问题记录不会丢。命令行提供 git bug ls、status、comment 等子命令，并具备 Web UI 与桥接能力，可把 GitHub、GitLab、Jira 上的 issue 双向同步到本地。对不愿被单一平台锁定、又需要完整审计链的团队，它给出了一种「数据归自己」的选项。
Ollaya：决策模型的本地运行器，被称作「Ollama for Jev」
AI
Ollaya 是面向开源决策模型的本地运行工具，被作者类比为「决策模型界的 Ollama」：一条命令即可拉取并运行 Jev 风格的决策模型，本地推理、不需要 API Key，数据不出机器。它于 9 月 25 日冲上 Hacker News 首页，获得 330 余分，评论区围绕「决策类模型是否需要专门的运行时」展开争论。与生成式模型不同，Jev 类模型输出的是动作选择或判定结果，对延迟与确定性更敏感，Ollaya 因此在调度与缓存上做了取舍。对想把 Agent 的决策环节留在内网、又不愿自建推理服务的团队，它降低了试错成本。
Excel 单元格现在可以放多个值：Lists 与 Arrays 上线
NEW
微软在 Microsoft 365 Insider 博客宣布，Excel 单元格现在可以容纳多个值：借助新的 Lists 与 Arrays 数据类型，一个单元格里能放一列、一行甚至二维数组，公式、筛选与排序按元素展开处理，而不像过去那样把多个值拼成文本再用分隔符拆。官方给出的场景包括把标签、多负责人、多条明细放进同一格，同时保留可计算性。对长期靠「逗号拼接 + SPLIT 函数」硬撑的表格工程师，这是一次底层数据模型的松动；但大量现有工作簿的公式写法可能需要重写，正式套用到内部模板前应先做兼容性测试。
科技爱好者周刊第 413 期：再见了，React Native
NEW
阮一峰《科技爱好者周刊》第 413 期以「再见了，React Native」为题发布，并在开头提示：因中秋与十一假期，下周五起周刊休刊一期。该周刊固定在每周五更新，内容涵盖开源项目、工具、文章与读者投稿，是国内开发者获取技术动态的长期入口。本期主题直指 React Native 的处境，延续了周刊近期对跨端框架、AI 工具与开发效率的关注。对前端团队而言，这类选题的价值不在于结论本身，而在于把原生、RN、Flutter、Web 容器之间的取舍重新摆上台面，适合在选型评审前先读一遍。
Go 官方博客：如何写出平台无关的 SIMD 代码
DEV
Go 官方博客发布《Platform-independent SIMD in Go》，介绍如何在不写汇编、不绑定具体 CPU 架构的前提下使用 SIMD。文章解释了过去 Go 的向量化只能依赖编译器自动优化，或为 amd64 与 arm64 各写一份汇编，以及新方案如何通过语言层面的向量类型与编译期 lowering，让同一份代码在支持 SSE、AVX 与 NEON 的机器上都生成向量指令，并保留退化为标量实现的路径。文中给出性能对比与限制条件，Hacker News 讨论超过 360 分。对写图像处理、加解密与序列化库的开发者，可移植的高性能实现终于有了官方方向。
在数据写进数据库之前拦住 CSV 导入事故
DEV
针对「CSV 解析成功却仍然有毒」这一常见事故，Dev.to 作者给出导入前的校验思路，并开源了 Tabular Preflight API。文章列举四类典型问题：行内列数不齐、必填字段缺失、同一列取值格式混排（日期与金额最典型），以及以等号、加号、减号、@ 开头的公式注入标记。这些内容在解析阶段不会报错，却会在写库、导入 CRM 或进入 ETL 管道后变成脏数据与安全风险。作者的做法是在解析与入库之间插入一层预检，先产出问题清单再决定是否提交。对做后台导入功能的工程师，这份清单可以直接当测试用例集使用。
What even is an OS now：操作系统的边界正在被谁重画
HOT
博主在 sockpuppet.org 发表《What even is an OS now?》，讨论一个被 AI 与浏览器侵蚀的问题：当模型运行时、WebAssembly 沙箱、容器与云函数各自提供资源调度、隔离与持久化时，操作系统的边界究竟在哪里。文章指出，今天开发者真正依赖的「系统调用」往往是浏览器 API、容器运行时接口或推理引擎，而非 POSIX，进程、文件与权限模型正在被重新实现。该文在 Hacker News 获得 74 分、99 条评论。对做平台与基础设施的读者，它提供了一条重新画边界线的思路：与其争论谁取代 Linux，不如看清抽象层正在往哪迁移。
复盘：OpenAI 的 agents 是如何攻破 Hugging Face 的
HOT
名为 swarmtraces.org 的站点公开了「OpenAI 的 agents 如何攻破 Hugging Face」的细节复盘，在 Hacker News 上以 200 余分、120 多条评论引发讨论。材料按时间线还原智能体在真实环境中如何串联工具调用、绕过既有防护并接触到 Hugging Face 侧的资源，属于少见的完整 Agent 攻击链分析。此前关于智能体安全的讨论多停留在提示注入的理论层面，而这次给出的是可复现的步骤。对正在把 Agent 接入 CI/CD、模型仓库或内部系统的团队，这相当于一份现成的威胁建模清单，工具权限收敛与人工确认点都能从中找到参照。
美上诉法院维持裁定：Anthropic 被列为供应链风险
HOT
CNBC 报道，美国联邦上诉法院维持了将 Anthropic 认定为「供应链风险」的裁定，Hacker News 相关讨论获得 380 余分、690 余条评论。这意味着在部分政府采购与关键基础设施场景中，使用该公司的模型服务可能面临与不可靠供应商同类的合规审查，而不只是竞争或安全争议。对开发者，影响直接落在技术选型上：把模型能力深度耦合进产品的团队，需要重新评估供应商集中度、准备多模型切换层，并在合同与数据驻留条款上留出退出路径。Dev.to 上已有文章以「你的 AI 供应商刚变成供应链风险」为题讨论应对方式。
SalesBleed：Agentforce 上零点击、经 DNS 外带数据的提示注入链
AI
Zenity Labs 于 9 月 24 日披露了名为 SalesBleed 的漏洞链，Dev.to 上有作者做了整理转述。攻击无需受害者点击或下载任何东西：销售线索表单中嵌入的间接提示注入内容，会在 Salesforce Agentforce 以默认权限读取线索时被模型执行，进而通过 DNS 请求把敏感数据带出企业网络，实现零点击数据窃取。由于利用的是智能体的默认权限与出网通道，而不是传统软件缺陷，常规 WAF 与输入过滤很难拦截。对正在给 CRM、客服与工单系统接入 Agent 的团队，这是复核权限最小化、出网域名白名单与工具调用审计的直接理由。
用预渲染、llms.txt 和 IndexNow 让 AI 爬虫读懂你的站点
AI
Dev.to 上连载的 FoxyInvoice 项目在第 11 章公开了它的「触达栈」：为了让搜索引擎与 AI 爬虫都能正确理解站点内容，作者组合了预渲染、robots.txt、llms.txt 与 IndexNow 提交，并用访问日志度量各来源的实际抓取情况。文章强调，当越来越多用户通过 ChatGPT、Perplexity 等问答入口获取答案时，站点是否「机器可读」已直接影响获客，llms.txt 这类约定正在成为新的 SEO 文件。对独立开发者，这套组合成本极低：预渲染解决单页应用抓取，llms.txt 给模型划出内容边界，再用日志验证效果，是可复制的最小实践。
本期最值得注意的信号是「Agent 技能」开始被当成可分发资产：anthropics/skills、obra/superpowers、mattpocock/skills 同时上榜，说明大家正用目录和 Markdown 而不是代码来定义智能体的能力边界。谁先掌握 SKILL.md 的写法约定，谁就在事实上定义了下一代的复用单元。
第二条线是安全。swarmtraces 的攻击复盘与 SalesBleed 的零点击外带指向同一件事：智能体的默认权限和出网通道正在成为新的攻击面，传统 WAF 拦不住「看起来正常的工具调用」。给 Agent 列一份权限清单、加一道人工确认，可能比再调一次提示词更能保住线上系统。
还有一条暗线：为新的读者重写老接口。FoxyInvoice 把 llms.txt、IndexNow 与访问日志当成获客基建，争取被 AI 引用；Go 团队把 SIMD 从手写汇编里解放出来，争取每纳秒的确定性。前者服务模型，后者服务 CPU，共同点是旧工程习惯正在被重新定义。