NSA 开源逆向工程框架 Ghidra 重回 GitHub Trending
DEV
美国国家安全局（NSA）开源的软件逆向工程框架 Ghidra 今日出现在 GitHub Trending 榜单。Ghidra 于 2019 年 RSA 大会首次公开，用 Java 编写，提供反汇编、反编译（Decompiler）、P-Code 仿真与图形化代码分析能力，覆盖 x86、ARM、MIPS 等多种指令集，并可通过 Java/Python 脚本与插件扩展。它长期被安全研究者用于漏洞挖掘、恶意样本分析和固件审计，也是 IDA Pro 最常见的免费替代品。对开发者而言，价值在于不必购买商业许可，就能在本地对闭源二进制与 IoT 固件做静态审计。
anthropics/claude-plugins-official 登上 Trending：Anthropic 官方插件仓库
DEV
Anthropic 官方仓库 anthropics/claude-plugins-official 进入今日 GitHub Trending。从仓库定位看，这是 Anthropic 为 Claude 生态集中维护的官方插件目录，把技能（Skills）、斜杠命令与外部系统连接等扩展能力打包，供 Claude Code 与桌面端用户统一安装和管理。官方集中维护的意义在于来源可信、版本可控，避免开发者到处收集零散配置、拼凑来源不明的第三方能力。对正在把 Claude 接入日常研发流程的团队，这里值得作为插件选型的第一站，也提示插件生态正成为 AI 编码工具竞争的新战场。
johnrash/bebox：用 Haiku 写成的 BeBox 模拟器
DEV
开发者 johnrash 在 GitHub 发布 bebox，一个运行在 Haiku 操作系统上、用于模拟 Be Inc. 经典硬件 BeBox 的应用。BeBox 是 Be 公司 1995 年推出的双 PowerPC 处理器桌面机，其 BeOS 以多媒体与多任务性能著称，也是如今 Haiku 开源系统的精神源头。这个项目让早已停产的老硬件行为可以在现代开源系统里复现，适合对上世纪操作系统史、PowerPC 平台和仿真技术感兴趣的开发者研究。它也说明 Haiku 生态里仍有活跃的怀旧与实验性项目在持续产出。
Libreboot 26.10「Ominous Olive」发布：首次支持 UEFI 与 Chromebook
NEW
开源固件项目 Libreboot 发布 26.10 版本，代号「Ominous Olive」，最大变化是加入 UEFI 支持并适配 Chromebook 机型。Libreboot 基于 coreboot，目标是用完全自由的固件替换主板原厂 BIOS/UEFI、剥离 Intel ME 等专有组件，长期被视为自由软件运动在固件层的代表项目。此前它主要面向旧款 ThinkPad 等设备，UEFI 与 Chromebook 的加入意味着可覆盖更现代的硬件。对在意固件可信、可审计与长期可维护性的用户，这是可玩性明显提升的一次更新。
DEsk：为 Linux 打造拟物化设计的 Wayland 桌面环境
DEV
GitHub 项目 fyzugx/DEsk 提供一套运行在 Wayland 显示协议之上的 Linux 桌面环境，主打拟物化（skeuomorphic）设计语言，在扁平化审美主导多年后重新引入纹理、光影与实体感控件。Wayland 已逐步取代 X11 成为主流 Linux 桌面基础，但多数桌面环境在视觉与交互上高度相似，DEsk 的差异点正是把设计风格本身当作卖点，因此在 Hacker News 上获得约 500 点讨论。对关注 Linux 桌面体验、Wayland 合成器实现与复古 UI 的开发者，这是一个可以本地编译试用的实验性项目。
Web3 开发者的智能合约安全检查清单
安全厂商 Panda Security 发布面向 Web3 开发者的智能合约安全检查清单，出发点是一个现实：编辑器里看着简单的合约，可能托管着数百万美元的用户资金，二十行的函数也会因一处疏忽被掏空。清单围绕重入、权限与访问控制、外部调用、金额与记账精度、初始化与升级等常见风险面逐项列出，主张上线前按流程核对，而不是把全部希望押在一次审计上。对正在写 DeFi、金库类合约的团队，它的价值是把行业里已经付出代价的教训固化成可执行的检查项。
Uniswap v4 Hooks 如何工作、又在哪里出问题
DEV
Uniswap v4 于 2025 年 1 月 31 日正式上线，核心与周边合约经过九次独立审计，之上还叠加了最高 1550 万美元的漏洞赏金。Panda Security 的这篇分析追问：为什么四个月后，一个构建在 v4 Hooks 之上的协议仍然被盗？文章拆解 Hooks 的机制——允许在池初始化、交换前后等关键节点插入自定义逻辑，由此衍生动态费率、限价单等玩法，同时也把攻击面从被反复审计的核心合约转移到第三方实现。结论很直接：审计覆盖不到你的 Hook，风险就由你承担。
Lovable 每月到底要花多少钱？
一篇拆解 Lovable 真实成本的实践文章指出，定价页上的 25 美元/月 Pro 方案只是起点。免费额度够做一个落地页，但一旦要绑定自有域名就进入 Pro；而如果做的是用户需要登录的应用，订阅费只是账单的第一行——数据库、认证、函数调用、第三方 API 与超额用量都会叠加。作者的结论是，选型时应按「登录用户数 × 调用量」估算边际成本，而不是比较月费数字。对打算用 AI 建站工具做正式产品的团队，这是一份务实的成本预警。
科技爱好者周刊第 415 期：3D 版《看不见的城市》
NEW
阮一峰《科技爱好者周刊》第 415 期于周五发布，本期主题是 3D 版《看不见的城市》。这份周刊长期以「一周值得分享的科技内容」为定位，混合开源项目、工具推荐、行业观察与个人随笔，在中文技术社区有稳定读者群，也是不少人了解海外技术动态与独立开发作品的入口。对时间有限又想保持信息广度的开发者，这类精选周刊的价值在于筛选与串联：它不追热点标题，而是把工具、文章和作品放进一个可读的上下文里。
Meta 发布 Muse Spark Open：816B 参数、A42B 激活的开源模型
HOT
Meta 研究博客发布 Muse Spark Open，从其 Hugging Face 模型卡命名 Muse-Spark-Open-816B-A42B 可以读出关键规格：总参数约 816B、每个 token 激活约 42B，属于典型的大规模稀疏（MoE 类）架构。这条消息在 Hacker News 上累计 600 余点讨论，是当天热度最高的技术话题之一。对开发者而言，重点不在参数数字，而在于权重是否真正开放、许可是否允许商用，以及 42B 激活意味着什么样的显存与推理成本门槛——这决定了它能不能被个人开发者和中小团队真正跑起来。
AdFection：定向广告如何被变成零点击间谍软件投放管道
HOT
公民实验室（Citizen Lab）披露代号 AdFection 的攻击链：广告投放系统被滥用为投递管道，定向广告把零点击（zero-click）间谍软件送到目标设备上，用户无需点击任何链接即可被感染，目标疑似包括记者与民间社会人士，The Guardian 与 The Verge 随后跟进报道，Hacker News 讨论接近 400 点。研究揭示的是一个结构性风险：广告生态的定向与实时竞价机制本身缺乏对投放者意图的审查，一旦被雇佣式 spyware 供应商利用，合规的广告网络就会变成攻击基础设施。做广告技术、浏览器与移动安全的团队都该读一手材料。
What I Self-Host：一台服务器上到底能自托管多少东西
HOT
博客文章《What I Self-Host》逐项列出作者自己托管了哪些服务以及取舍理由，在 Hacker News 上获得 259 点、160 余条评论，是当天讨论最热烈的实践类文章之一。自托管热度近两年持续上升：订阅涨价、服务突然关停与数据主权顾虑，让越来越多开发者把网盘、密码管理、RSS 阅读器和媒体库搬回自己的机器或 VPS。文章的价值不在推荐某个具体工具，而在于呈现一套可复制的决策框架——哪些服务值得自己维护，哪些维护成本高到不如继续付费，备份与暴露面又该怎么处理。
早上 9 点的工作流在凌晨 1 点跑了：只在生产环境出现的时区 Bug
AI
一篇 build-in-public 系列文章记录了在 n8n 中运行 LLM 工作流的真实故障：设定每天早上 9 点发送的摘要邮件，实际在凌晨 1 点触发，给用户推了没人要的内容。作者指出根因在时区处理——本机与服务器/容器时区不一致，调度器与业务逻辑对「9 点」的理解不同，而测试环境因时区配置与生产一致，根本复现不出来。文章给出的经验是：时间统一以 UTC 存储、只在展示层转换，并给定时任务补上可观测的日志与告警。用 n8n、Airflow 做自动化的团队都值得对照排查。
tipsofday：用本地 Gemma 模型在笔记本上生成每日加密简报
AI
这是 Hacktoberfest 开源 AI 挑战赛第二周「副业」赛道的参赛项目：tipsofday 用本地运行的 Gemma 模型，在开发者自己的笔记本上每天生成一份加密货币简报，不依赖任何云端 API。项目看点是「本地优先」——数据不出机器、没有按 token 计费、断网也能跑；代价是要自行配置模型权重与推理环境，输出质量受硬件和模型规模限制。对想把 LLM 嵌进个人自动化流程、又不愿把数据交给第三方的开发者，这类小项目提供了可直接借鉴的架构：定时抓取数据、本地推理、生成成品再推送。
用 AI 辅助硬件逆向工程：一位 GNOME 开发者的实验
AI
GNOME 开发者 Christian Schaller（博客署名 uraeus）撰文记录用 AI 辅助硬件逆向工程的实践，文章在 Hacker News 上获得约 110 点、百余条评论。硬件逆向通常要读数据手册、比对寄存器、猜测协议，门槛与耗时都高；作者的落脚点不是让模型直接给出答案，而是把它当作并行的「研究员」，用于理解器件行为、解释代码片段、快速生成待验证的假设。这个方向值得跟踪：当模型能读懂汇编、时序与协议片段，固件分析、老设备驱动移植与安全审计的成本都会被重估。
今天的热榜上，Anthropic 官方插件仓库与一批技能类项目同时出现，信号很清楚：AI 编码工具的竞争已经从模型参数转向插件与技能生态。谁的扩展能被更多人写、被更多人装，谁就掌握工作流的入口。开发者该关注的不是榜单名次，而是这些插件背后有没有形成可迁移的标准。
安全条目今天格外扎眼：Uniswap v4 的 Hooks、广告投放链、合约检查清单，讲的其实是同一件事——攻击面正在从核心代码转移到集成层。核心合约有九次审计和上千万美元赏金，第三方 Hook 却常常裸奔。写扩展的人，得把审计预算算进产品预算里。
另一端是回归：本地 Gemma 跑简报、自托管清单、时区 Bug 复盘，都是「把控制权拿回来」的实践。订阅涨价、服务关停之后，开发者重新计算云与本地的成本边界。AI 没有消灭这类工程判断，反而让边界成本的算法变得更值得琢磨。