coollabsio/coolify：可自托管的开源 PaaS，自带 SSL 与一键部署
DEV
coolify 是一款可自托管的开源 PaaS，常被视为 Heroku、Vercel、Netlify 的开源替代：在自己的 VPS 上用 Docker 部署应用、数据库与静态站点，内置自动 HTTPS 证书、Git 推送即部署、版本回滚、定时备份与基础监控。对中小团队来说，它的意义是把「部署」从平台账单里剥离——一台月付几美元的机器就能承载数十个服务，数据也留在自己手里。代价是运维责任转移：备份策略、升级与安全补丁都需要有人负责，适合已有懂 Linux 的成员、又不想被托管平台绑定的小团队。
TauricResearch/TradingAgents：把一家交易公司做成多智能体工作流
DEV
TradingAgents 把「一家交易公司」拆成多个 LLM 角色：基本面与情绪分析师收集财报、新闻与社群信号，研究员做多空辩论，交易员给出决策，风险团队再审仓位与暴露，整体用图结构编排成可回溯的流程。它更像可复现的实验框架而非盈利工具——项目保留辩论过程与回测记录，方便研究者观察多智能体协作究竟在哪一步改善了判断。对量化与 AI 工程双方都有参考价值：一边是角色分工与提示词的工程范式，一边是工具与数据源的可插拔接入方式。
cloudflare/security-audit-skill：把安全审计流程打包成代理技能
NEW
Cloudflare 把安全审计流程以「Agent Skill」的形式开源：仓库按技能包组织，把审计清单、提示词模板与配套脚本放在一起，可被 Claude Code 等支持 Skills 规范的编码智能体直接加载调用。它反映出一个正在成型的趋势——安全审计这类高度依赖经验与流程的工作，正被拆成可复用、可版本化的「技能」随仓库分发，而不是散落在文档与资深工程师的脑子里。对团队而言，值得看的不是某条具体规则，而是这种把专家方法论固化成代理可执行单元的写法与边界。
Vitest dev server 文件读取漏洞（CVE-2026-112948）：.env 是怎么泄露的
NEW
2026 年 10 月 21 日，GitHub Advisory Database 收录 CVE-2026-112948（GHSA-p458-7748-mcp3）：Vitest 5 的 dev server 存在文件访问缺陷，攻击者可通过构造请求读取工作目录之外的文件，最典型的受害者就是项目根目录下的 .env。由于 dev server 常监听在局域网内、又容易被端口扫描发现，而 .env 里通常放着数据库口令与第三方 API Key，风险不低。文章给出排查与缓解路径：升级到修复版本、把监听地址绑到 127.0.0.1 而非 0.0.0.0、轮换可能已泄露的密钥，并回溯 CI 与演示环境的历史暴露。
SunfishLoop 上线 Member Webhooks：任务一变，就唤醒你的代理
SunfishLoop 是一个让 AI 代理以「角色 + 书面章程」加入项目的协作平台，此前已有任务聊天、任务简报与关联资产。这次补上的是 member webhooks：任务或成员状态变化时，平台向预先登记的 HTTPS 地址 POST 事件，代理不必轮询就能被唤醒处理。文中交代了签名校验、失败重试与幂等处理的设计取舍。对做事件驱动代理的人有直接价值——它示范了如何用传统 webhook 语义，把「代理是团队成员」的产品接进现有自动化链路（如 n8n、自建队列），而不必发明一套私有触发协议。
教程：用 Rive 状态机给习惯打卡应用做一个会呼吸的吉祥物
这是一篇偏实战的前端教程：用 Rive 状态机给习惯打卡类应用加上有情绪的角色吉祥物。作者把连续打卡天数、当日完成率与情绪状态映射为状态机输入，驱动角色在困倦、专注、兴奋之间切换表情与动作，并讲解了列表滚动、页面切换时如何避免动画实例被销毁，以及用 Rive 的 data binding 把后端数值接到动画参数上。对独立开发者来说这是留存的差异点——相同的打卡逻辑，多一层即时反馈的角色，第二周回访往往明显不同；教程同时也提醒了体积与首屏性能的取舍。
在 Manifest V3 扩展里跑 1024 维向量检索：端侧 AI 的工程细节
AI
作者把图像特征提取与向量相似度检索完全放进 Chrome 扩展的客户端侧，跑在 Manifest V3 的约束之下，图片不出设备，隐私与延迟同时受益。文章没有停留在「能跑」：它记录了 MV3 带来的具体麻烦——service worker 会被随时回收，长任务要迁到 offscreen document；模型体积受扩展包与内存限制；1024 维向量在本地存储与检索时需用量化与近似近邻压缩开销。对想做端侧 AI 的开发者，这是一份少见的细节清单，也划清了浏览器沙箱里「AI 功能」的成本边界。
阮一峰周刊 416 期：编程已经面目全非
阮一峰在周刊第 416 期以《编程已经面目全非》为题，讨论 AI 编码代理普及后开发流程被重排的现状：写代码的比重下降，读代码、描述需求、验证输出与审查变更的比重上升，工程师更像「审稿人 + 架构约束的制定者」。同期刊物还收录了一批工具与文章，涉及代理上下文管理、终端工具链与独立开发者的生存状态。它的价值不在给出结论，而在于把一种模糊的体感说清楚：当一个下午能产出过去一周的代码量时，瓶颈已经转移到「判断什么该写」与「保证写对」上。
OpenAI 与 Anthropic 数月内降价最高 80%，为什么？
AI
Max Woolf 统计了 OpenAI 与 Anthropic 在几个月内把主力模型价格下调最多约 80% 的现象，并从多个角度拆解：推理侧每 token 成本随硬件迭代与批处理、推测解码、KV 缓存等优化持续下降；开源权重模型以及 Gemini、DeepSeek 的价格锚把闭源厂商逼进价格战；降价同时被用来引导用户从旧模型迁移到更便宜的新层级。结论对开发者很直接——把模型单价当成会持续下跌的变量来设计架构，抽象出模型层、按任务分级选型，比赌某一家长期低价更稳妥。
十年前的 CNN 打败前沿大模型：皮肤癌诊断暴露的外部有效性危机
HOT
Lynch 实验室的对比研究给出一个反直觉结果：在皮肤癌图像诊断上，一个十年前的 CNN 明显优于当前的前沿大模型。原因不在模型容量，而在数据分布——CNN 在皮肤镜图像（环形光源、高分辨率、无毛发无文字）上训练与评测，用户实际提供的却是手机随手拍。文章由此指出多模态模型在医学影像上的真实短板：通用视觉能力不等于领域鲁棒性，评测集与部署场景错位时，榜单成绩毫无意义。对做医疗 AI、以及任何要把模型推上生产环境的团队，这是一记关于外部有效性的提醒。
上下文工程的现状：从堆提示词到管理窗口预算
AI
dbreunig 梳理了「上下文工程」一年来的演进：从早期靠堆提示词，到系统化地管理上下文窗口——检索什么、压缩什么、何时摘要、如何把工具返回结果裁剪成模型真正需要的形状。文章把它与 RAG 明确区分：RAG 关心「取回什么」，上下文工程关心「放进窗口的是什么、顺序如何、预算怎么分配」。随着代理式工作流把多轮工具调用变成常态，上下文预算成为新的性能瓶颈与成本来源，这也解释了为什么固定提示词模板正在让位于可观测、可评估的上下文管线。
Hurston-1 开源 TTS：专门说南方美音与非裔英语
AI
Hurston-1 是以 Apache-2.0 开源的窄带 TTS 模型，作者来自亚特兰大的 Destined AI，主打美式英语，尤其擅长美国南方口音与区域性非裔英语。所谓窄带，指接近电话音质的输出——牺牲带宽换取更小的模型与更低的推理成本，适合客服回访、有声内容草稿与游戏 NPC 等不需要播客级音质的场景。它的意义在口音覆盖：主流开源 TTS 长期偏向标准美音，少数族群口音几乎缺席，而这类声音恰恰决定了语音助手能否被特定用户信任。
内容缺口检测器报出 38 个缺口，三分之二是它自己的 bug
作者给刚上线两周的英文博客找选题，用 Google 与 Bing 的自动补全接口当需求信号：输入种子词、批量抓取联想词，再与站内已有文章比对，找出未覆盖的缺口。第一次跑出 38 个缺口，复核后发现三分之二其实是检测器自己的 bug——联想词被截断、同义词未归一、把品牌词误当话题。文章把这段踩坑过程写成了方法：先用小样本人工核对召回准确率，再谈规模化。对任何「用爬来的信号指导决策」的项目，这个提醒都成立：先验证指标本身，再相信它的输出。
这期最值得留意的是「技能化」：Cloudflare 把安全审计做成 Agent Skill，SunfishLoop 用 webhook 把代理接进事件流。代理正从对话框下沉为基础设施的一个消费者，工程重点随之从提示词转向接口、签名、重试与幂等这些老问题。
降价 80% 与上下文工程同时出现并非巧合：单价下跌让「多跑几轮」变得可行，成本瓶颈就从 token 价格转移到窗口预算。把模型层抽象出来、按任务分级选型，比押注某一家厂商的长期低价更可靠。
两条提醒值得贴在显示器上：Vitest 的 dev server 能读走你的 .env，而一个十年前的 CNN 在真实场景里打败了前沿大模型。工具链的安全边界与模型的外部有效性，永远是上线前最容易被跳过、也最贵的两项检查。