Janas：把专家权重放到 SSD 上流式加载，让大模型跑在内存之外
AI
Janas 是 GitHub 上的开源项目，思路是打破「模型必须全部装进内存」这个前提：把 MoE 模型的专家权重留在 SSD 上，推理时按需把命中的专家流式读入内存，从而在一台普通机器上运行参数量远超 RAM 的大模型。该项目以「Run LLMs larger than RAM by streaming experts from SSD」在 Hacker News 获得 25 分、10 条讨论，属于典型的本地推理工程化尝试。对个人开发者而言，不必再为大显存租云卡也能试跑大 MoE；代价是 SSD 带宽与随机读延迟直接决定 tokens/s，更适合离线批处理而不是高并发在线服务。
blokkily：一个支持 MCP 的实验性「模式优先」DAW
NEW
blokkily 是 Show HN 上出现的一个实验性数字音频工作站（DAW）。与 Ableton、FL Studio 那类「轨道＋时间线」范式不同，它把 pattern（音型）放在第一位，用重复与叠加快速拼出曲子，并且支持 MCP，让 AI 代理可以读取和操作工程内容。帖子在 Hacker News 获得 11 分、6 条评论，属于小众但方向明确的探索。真正值得留意的是 MCP 正从 IDE 和终端向外扩散到创意软件：当音乐工程的内部结构能被代理理解，作曲就可能变成「写提示＋调参数」。对开发者来说，这是一个观察 MCP 生态外溢的好样本。
Codex CLI 被指默认安装常驻自更新的后台守护进程
HOT
OpenAI 的 codex 仓库 issue #48195 指出，Codex CLI 在安装时会默认写入一个常驻、可自更新的后台守护进程，用户没有做任何显式选择，就得到了一个开机后长期运行的进程。该 issue 在 Hacker News 上拿到 453 分、237 条评论，是当天最热的开发者话题之一。争议集中在两点：一是「默认即常驻」违背了开发者工具的最小惊讶原则；二是自更新通道带来的供应链与审计风险。对企业内网、CI 与受管设备上使用 AI 编码 CLI 的团队，这直接关系到安全策略与部署方式，升级前应确认安装脚本与开机项行为。
Launch HN：Agent37（YC F26）做低价 AI Agent 沙箱，单沙箱月均 0.37 美元
NEW
Agent37 在 Launch HN 亮相，是 YC 2026 冬季批次的项目。创始人 Vishnu 称其沙箱价格不到多数沙箱供应商的 10%，客户平均每个沙箱每月花费约 0.37 美元，官方同时提供了产品演示视频。它瞄准的是 AI Agent 运行环境这一成本敏感却常被忽视的基础设施层：Agent 需要可创建、可销毁、彼此隔离的执行环境，而传统 VM 与容器方案又贵又慢。如果低价与隔离强度能同时成立，独立开发者和小团队就能以更低成本并行跑多 Agent 任务。需要留意的是低价背后的资源上限、隔离水平与冷启动表现，上线前仍需实测。
Phreak.ing：把电话交换能力搬进浏览器的互联网电话工具
NEW
Phreak.ing 是一个把电话交换能力搬到浏览器里的互联网电话服务，名字致敬上世纪七十年代的 phone phreaking（电话飞客）文化，在 Hacker News 上获得 68 分、22 条评论。它把过去需要硬件、专有线路知识和运营商接口才能完成的通话控制，变成网页上可以直接操作的功能。这类项目的意义有两层：一方面 VoIP 与 SIP 的门槛持续下降，个人开发者用它做呼叫通知、语音验证或客服原型，比申请号码、对接运营商快得多；另一方面，电话网与互联网的边界模糊之后，滥用与合规风险随之上升，接入前必须弄清号码来源和当地监管要求。
CORS 详解：为什么浏览器要拦下跨域 API 请求
这篇 Dev.to 文章从最常见的场景切入：服务端明明返回了响应，控制台却报「已被 CORS 策略阻止」，因为拦截发生在浏览器把响应交给脚本之前，服务器根本没做错什么。文章沿同源策略、预检请求（OPTIONS）与 Access-Control-Allow-Origin 等响应头逐层展开，说明简单请求与复杂请求的差别，以及带凭证（cookie）时为何不能使用通配符。对前后端分离、微服务和多域名部署的团队来说，CORS 报错几乎每周都会出现，弄清浏览器侧的判定顺序，可以把「改成 * 试试」的盲试变成一次改对，也能避免写出宽松到危险的跨域配置。
实用技巧：让 Firefox 的大文件下载可断点续传
这是一篇 TIL 风格的短文，解决一个非常具体的问题：在 Firefox 里下载大文件，一旦中断往往只能从头再来。作者记录了让大文件下载变为可续传的排查路径，核心在于服务端是否正确支持 HTTP Range 请求，是否返回 Accept-Ranges 与 Content-Length，以及在 206 部分内容响应中保持字节区间与校验一致。文章提到这类问题在镜像站、模型权重和数据集下载中尤其常见。对经常拉取数 GB 模型或系统镜像的开发者，这份检查清单能省下大量重下时间；自己提供下载服务的团队也可以把它当成最小验收标准。
在 ZX Spectrum 上写一个 Demoscene 开场：极限约束下的编程课
作者完整记录了自己为 8 位机 ZX Spectrum 编写 demoscene 开场（intro）的过程。这类作品要在极小内存、3.5MHz 的 Z80 处理器和固定调色板下做出动画与音效，因此必须逐帧计算 CPU 周期、用查表替代乘法、靠光栅同步在屏幕边界之外抢时间，甚至把代码压缩到极致。文章在 Hacker News 上获得 76 分、6 条评论。它的价值并不只是怀旧：当日常算力严重过剩时，这种「每一帧都算得清」的思维会反向训练性能直觉，对做嵌入式、图形渲染、游戏引擎和实时音频的人都是一次很好的补课。
用 C 写一个现代 Web 应用：389 分的反潮流实验
HOT
作者完整记录了用 C 语言构建一个现代 Web 应用的过程：不借力 Go、Node 或 Python 生态，自己处理 HTTP 解析、路由、模板渲染、数据库访问与部署，并坦率讨论 C 在字符串处理、内存管理和错误传播上的真实痛点，以及为什么在 2026 年仍有人愿意这样做。文章在 Hacker News 上获得 389 分、160 条评论。对绝大多数团队来说，这不是一份迁移建议，而是一次难得的对照实验：把框架拿掉之后，你才能看清现代 Web 栈究竟替你做了哪些事，又在哪些地方收走了透明度与可预测性。
Rich Hickey：「AI」不是工具
HOT
Clojure 作者 Rich Hickey 发表《"AI" Is Not a Tool》，反驳「AI 只是又一件工具」的流行说法，认为把大模型类比成锤子或编译器，会掩盖它在确定性、可解释性与责任归属上的根本差别。文章在 Hacker News 上获得 214 分、106 条评论，讨论从软件工程延伸到「系统出错时谁来负责」。这场争论对工程团队并不抽象：它直接决定你把模型放在流程的哪一环——是只产出候选、必须人工复核的助手，还是能够直接写入生产、触发部署的执行者。在把 Agent 接进流水线之前，这类讨论正在成为必要前提。
CVE-2026-40281：Gotenberg 参数注入漏洞，CVSS 10.0
NEW
文章解析了 Docker 化 PDF 转换 API Gotenberg（thecodingmachine/gotenberg）的严重漏洞 CVE-2026-40281：8.30.1 及更早版本受影响，8.31.0 修复，CVSS 3.1 评分 10.0（Critical），类型为 CWE-88 参数注入叠加 CWE-20 输入校验不当，属于无需认证、无需交互即可远程利用的一类。作者的重点落在修复方式本身：上一版补丁只在参数的一侧校验了「=」，另一侧仍可被绕过，说明黑名单式修补的脆弱。任何把 Gotenberg 暴露在公网、用它把用户上传的 HTML 或 Markdown 转成 PDF 的服务，都应尽快升级并复查网络暴露面。
阮一峰科技周刊第 414 期：Jev 决策模型有什么用
科技爱好者周刊第 414 期发布，本期的主打话题是「Jev 决策模型有什么用」，其余仍是每周固定的资源合集：值得一读的文章、能立刻上手的工具、新开源项目与读者留言。它延续了这份刊物一贯的定位——不做新闻播报，而是从技术、经济与人的角度挑出有长期价值的内容。对读者的直接价值是筛选成本：一周里散落在 Hacker News、GitHub 与各家博客的素材被压缩成一份一小时内可读完的清单，适合通勤或周末当作输入源。想系统补齐视野又不想被信息流牵着走的人，可以从这一期开始订阅。
用 GPT-6 Astra 把旧 Kindle 改造成 AI 相框
AI
作者分享了一次硬件再利用改造：把闲置的 Kindle 电子墨水屏设备刷成照片相框，并让 GPT-6 Astra 参与整个流程——从分析设备固件与可行的越狱路径、生成可用脚本，到把照片转换成适合墨水屏的灰度与对比度参数。文章在 Hacker News 上获得 88 分、46 条评论，讨论集中在「让模型替你读设备代码」这条新路径上。它的启发在于：电子墨水屏功耗极低、常亮不刺眼，配合模型生成的胶水代码，很多旧硬件都能被重新利用。这种「模型当翻译、人来动手」的方式，正在明显拉低硬件折腾的门槛。
教程：给开发者做一个 AI 压力检测器
AI
这是一篇动手教程，作者用语音作为信号源，搭出一个面向开发者的压力检测工具：采集说话音频，提取音高、语速、停顿与能量等特征，再交给模型判断是否处于高压或倦怠状态，并在指标越界时给出提醒。开篇那句「开发者的『我没事』常常是在求救」，点出了凌晨部署与无休止同步会累积的消耗。它的价值有两层：一是给出了从音频特征到模型判定的完整实现路径，可迁移到会议分析、客服质检等场景；二是提醒团队，把倦怠当作可观测指标来对待，比事后补救划算得多。
今天两篇热文都在争同一件事：AI 到底算不算「工具」。Rich Hickey 说不算，因为它不满足确定性、可解释与责任可归属；反驳者说算，只是用好它需要技能。对工程师而言这不是哲学消遣，它决定你把模型放在流程的哪一格——只出候选的助手，还是能直接改生产的执行者。
另一条线索是基础设施在往下沉：Janas 把模型专家放到 SSD 上流式读取，Agent37 把 Agent 沙箱压到每月三毛七。两者指向同一个判断——推理的成本瓶颈正从芯片转向存储与调度。谁能把「跑得起」变成「随便跑」，谁就握住下一批 AI 应用的入口。
还有一类内容值得留意：用 C 写 Web 应用、在 48KB 内存的 ZX Spectrum 上做动画、拿旧 Kindle 当相框。约束越硬，人对抽象代价的感知越清晰。当 AI 把写代码的边际成本压到接近零，这种「知道每一帧花在哪」的能力，反而会成为区分工程师水平的分水岭。