[安全周报] 币安 63 亿被盗;Brotli 静态链接遍地; top1000 高危 IP（2026-11-01）
面向个人站长的网络安全周报：币安热钱包被盗 63 亿美元（史上最大，终端失陷），Linux 内核 TCP UAF 漏洞微步已复现（CVE-2026-98432，CVSS 9.8），Brotli RCE 静态链接独立副本遍布各语言栈（CVE-2026-111497，KEV 在野），PHP OOM 与 WordPress …
来自这个博客的文章
[安全周报]PHP2Shell 在野利用， 蜜罐捕获武器化探测与活体攻击
PHP2Shell 双 9.2 分漏洞已现野外活体攻击，补丁发布 24 小时内自部署蜜罐即捕获武器化探测；Rank Math 供应链投毒后门未清、GitLab 10 分 RCE 等本周站长必处置清单，附蜜罐实测 WAF 特征。 Source
PHP 安全更新捕获的第一波扫描器实况
PHP 安全更新发布当晚，作者临时部署双节点蜜罐蹲守第一波 PoC 利用。D1 捕获 911 条 Web 请求，发现`php2shell-109618` 武器化探测在漏洞披露不到 24 小时即已上线，借 PHPUnit 装载新 CVE 利用。扫描器以`libredtail-http` 为主力，覆盖 CGI 注入 5 种…
[通知] 本站计划内维护及蜜罐测试站点上线
由于 PHP 升级，本站将于今明两天（10月21-22日）期间进行不定期计划内维护，可能无法正常访问。 —— […] Source
9.9永久VPS？还是太拥挤了点
闲来手痒入手了一台 9.9 元的永久香港 VPS，标称 2 核 2G 10G SSD 200M 带宽。实测真港机、真 CN2 去程，国内电信晚高峰延迟仅 39ms，硬盘还反向超给到 20G。但 CPU 严重超卖，steal 高达 82%，有效算力仅标称 1/10；磁盘 4K 约 500 IOPS 实为机械盘水平；带宽约…
[安全周报] GitLab 满分 RCE 与两起在野利用，nginx 五连修（2026-10-18）
GitLab CE/EE 爆 CVSS 10.0 未授权 RCE，尽快升级；AhsayCBS 与 BeyondTrust RS 漏洞均已在野利用，须立即处置；nginx 五连修、Ubuntu 26.10 发布。附 ZCode 高速模式体验。 Source
给 AI 做调试：LLM 可解释性入门指南
大模型是黑盒，但可以调试。本文用程序员熟悉的 Debug 视角串起 LLM 可解释性七层工具：attention 可视化、activation patching、ACDC 自动电路发现、SAE 特征分解、激活干预、J-lens 读脑器与评估基准。含 Qwen3-8B 真实测量数据与 50+ 论文出处链接。 Source
开源 OCR 数据集盘点：文字、表格、文档识别的可商用清单
OCR 领域开源数据集很多，但许可两极分化：SynthText、PubTables-1M、PubTabNet、DocBank、HierText 等合成与表格文档系全线可商用；ICDAR、LSVT 等真实街拍系几乎全部研究限用。本文覆盖文字检测、表格识别、文档版面、电商属性四方向 12 个数据集，附官方样图、标注格式详解…
图像分割与抠图开源数据集清单：从 DUTS 到 S3OD
训练抠图模型最容易踩的坑不是精度，而是数据许可。本文整理图像分割与抠图方向 10 个开源数据集：S3OD、anime-segmentation、DIS5K、P3M-10K、MaskFactory 五家可商用，DUTS、COD10K 等五个经典集实为研究限用。每个都附原图与 Mask 拼接样例、标注格式、实测规模与下载入…
把邻居的新文搬进自己家 BlogsClub 新挂件体验
BlogsClub 新推出的「友圈挂件」能把关注博主的文章聚合进自己的博客，Shadow DOM 样式隔离、零依赖、主题色可定制。本文记录把它适配进本站报纸风主题的部署过程，以及一次挂件静默空白的排错：旧写法标签无法挂载 Shadow DOM，换成标准自定义元素即修复。 Source
从 DeepSeek 宕机说起：为什么你的 AI 应用需要好架构
从26年10月15日 DeepSeek 宕机四小时的真实事件切入，讨论了 AI 时代 SaaS 应用的架构挑战。文章分析了大模型普及后多数 SaaS 公司依赖第三方 API 的现状，指出系统鲁棒性与可扩展性成为核心需求。面向初级 Python 程序员，用 mermaid 图和代码示例讲解了错误分类学、重试机制、故障转移…
3DGS 效果实测展示：从手机视频到3D模型
同一段手机环绕视频，走两条 3D 重建管线：传统摄影测量 33 分钟得到一片破碎点云，3DGS 训练 10 分钟产出浏览器里 60fps 的自由视角场景。本文记录 RTX 5090 容器上的完整实测——四个视频场景、三张单图、一次 12% 配准率的失败复盘、同一地球仪开灯与关灯的采集对照，附两份可复现的部署指南。 So…
超越想象——掉san的AI生图结果
在国产 S60 加速卡上部署 FLUX 生图模型时，中文提示词生成出城市街景和丛林人形等诡异图像。经 tokenizer 取证发现，中文在 CLIP 和 T5 词表中坍缩为乱码或 ，模型根本读不懂“猫”，只能从训练先验中随机采样，恐怖画面实为条件真空下的可复现随机抽样。 Source
我被WordPress气飞咯——等待与英语
两周前同时提交了一个 WordPress 主题和一个开源项目 PR。前者排队一周后被粗暴拒绝，审核意见暴露出英语霸权与规则解释权的问题；后者虽未被合并，却收到了陌生用户的确认。在 AI 让提交成本趋近于零、开源审核队列爆炸的背景下，开发者除了学好英语、接受规则，似乎别无选择。 Source
AI写的测试到底有多水？
本文记录了一次完整的单人变异测试实战：在一个万行代码的 Python 后端项目上，三天内从零搭建 CI + 变异测试两条管线，跑完 10197 个变异体测出 47% 基线杀死率，通过四分类分诊 + 多 Agent 协作 + 核验循环，将杀死率提升至 77.6%，补了 248 个测试零回归。文章同时讨论了代价：功能停滞、…
One-Person Quality Pipeline
梳理了AI编程时代无CI单人开发的质量管理方案：从pre-commit钩子论战、变异测试成本被AI打穿、到AI生成测试的可信度分歧，最终合成一条最小管线——凭证扫描与格式化进提交钩子、快速测试进推送钩子、全量检查手动跑、变异测试每周AI分诊，并提醒验收工具自身也需验收。 Source
天才只待两周：一次 AOCI 双臂对照实测
AI 编码代理读代码比人快，但上下文有限，且每次会话都“从头入职”。我用同任务、同模型的双臂对照实测 AOCI：成本几乎持平（+0.7%），真实工具错误率从 8.0% 降到 3.2%，错误从“已执行的破坏”变成“被拦截的意图”。当 agent 干得比人审得快，只有审计执行轨迹才能发现测试假绿。 Source
VibeCoding中AI测试全绿之后,谁在测谎？
我的 PR 还没一个人看过,流水线上已经站了一排机器人。AI 写代码,也写测试,而它写的测试常常只是看起来够了:弱断言、重言式、mock 自证,覆盖率拉满,真 bug 抓不住。本文记录单人 VibeCoding 场景下的一套自查方案:用变异分数替代覆盖率做真实性校验,拆成 AI 写完即时反馈、commit 秒级守门、每…
让 Agent 清理磁盘:工具选型、安全边界与实测结果
C 盘可用 7GB、E 盘可用 11.7GB,使用率 99%,连浏览器更新包都装不下。本文记录一次完整的 Agent 清理实战:工具怎么选、安全边界怎么划、两个 CLI 各自踩了什么坑、最终释放了多少空间、哪些空间不能碰。 Source
Jev 是谁带火的:System 1 决策模型考证与实测
TypeSafe AI 发布 Jev--一个不生成文本、只输出判断和概率的「System One Model」,随后一周刷屏,开源复现接连出现。本文考证官方宣传与第三方实测的差距、复现项目的谱系、中文报道的转述质量,并在两台设备上实测了开源复现 Laya 的三个 checkpoint,补充第三台设备的局域网远程调用、生…