Jingchao

6.4K posts

Jingchao banner
Jingchao

Jingchao

@alswl

Code Monkey // Senior YAML Editor // 擅长江浙菜

Matrix Katılım Mayıs 2009
700 Takip Edilen5.4K Takipçiler
Jingchao
Jingchao@alswl·
共识比工程更重要。 在还没有形成共识情况下面就开展全剧治理工作,做得好做得不好都不好。看你的心态还没有为这个事情做好一杆到底得准备,那就需要外部支持(TL、架构师等等)。 没有共识和支持之前,技术债务是敌人,合作伙伴很可能也是敌人。
周尔复@cholf5

最近公司发生一件极恶心的事,让我后悔来这家公司了。 我们项目以前的 Makefile 写的很长,逻辑越堆越多,已经没法维护。并且每次 make 都是全量编译,完全不用上增量编译,结果每次 make 都是10几分钟。我实在看不下去就让 CC 用 Python 重写了一版,加了增量编译支持。就这么放了三个月没敢合到主干,一直小圈子内灰度。 结果后来给我下个新需求,要往 Makefile 里加功能,我实在不想维护两套了,就跟领导说这两个版本二选一,实在不行就把 v2 删掉吧。他说别啊,他一直用,感觉增量编译速度很快。我说如果用 v2 就把 v1 删掉,并把 v2 转正。他说转正吧。 我当时的想法是,转正就转正,以后遇到问题,大家会一起改,这是一个共建的东西。结果转正后,这个 Makefile 就成我的专属,所有人遇到问题都来找我,还说:你改的你就负责到底。 我说这个东西是共建的,你给我我也是让 CC 改,这代码我不比你熟悉多少。你有跟我说的功夫给 CC 说早都改完了。 结果人家偏不(因为都不愿意接锅),这就成了我一个人的锅了。 这件事深刻的教育我们,不要打黑工,不要瞎优化,看到项目里的任何熵,在没有上级明确下单让你干之前,不要自作主张的干,干了就是你的,你就负责到底。

中文
2
3
12
1.7K
Jingchao
Jingchao@alswl·
最近眼睛经常不舒服。 想带眼罩热敷,然后耳机语音编程,Claude Code 结合。 有没有现成方案?
中文
1
0
2
568
Jingchao retweetledi
yetone
yetone@yetone·
如果你认为 AI Agent 只是一个 LLM Loop 的话建议看一下这篇文章,连 Anthropic 自己人用自己的模型都要写这么多满足各种奇奇怪怪的边界条件的恶心代码,这才是真实世界的工程复杂度。更何况那些 provider agnostic 的 AI Agent 们了(我写 avante.nvim 的时候为了适配各种模型手磨出了多少茧子你们知道吗 yage.ai/share/claude-c…
yetone tweet mediayetone tweet media
Ming Yin@kalasoo

Agent 难道不就是一个使用 LLM 的 loop 吗? 中间可以调用 tool、跑代码 但本质都是一次 loop 输出的文字 经过加工作为 prompt 传入下一次的 loop 里 我的理解有错吗?

中文
41
141
1.2K
218.2K
Jingchao
Jingchao@alswl·
使用 Claude Code Team 或者其他 AI 协调工具需要角色。 比如 TL / Dev / QA / UI / Ops。 在我看来,最简化需要 3 种:协调者、实施者、防御者。
中文
1
0
9
1.2K
Jingchao
Jingchao@alswl·
这个技术架构是我目前比较喜欢的(也比较老派务实的)。传统 BS 结构,WS 推送,向量数据库存结构化内容。Agent DS 作为 Worker。
Jiayuan (JY) Zhang@jiayuan_jy

开源 Multica:专为 AI-native 团队设计的 Agent + 人的协作平台 github.com/multica-ai/mul… 为什么做 Multica? Multica 最初是为了解决我们团队自己的问题: 1. 团队间的知识无法共享。 每个人都在用 coding agent,但产出的上下文全部散落在各自的 agent session 里。A 做完了一件事,B 不知道;agent 跑完了一轮,结果只有发起人看得到。团队知识变成了一座座孤岛。 2. 多人 + 多 Agent 的协作缺乏中枢。 当团队同时有多个 agent 在跑任务,谁在做什么、做到哪了、卡住了没有——没有一个地方能看到全貌。人和 agent 之间、agent 和 agent 之间,缺少一个共同的协作界面。 Multica 是什么? 一句话:像 Linear 一样管理任务,但 AI agent 是一等公民。 你可以像分配任务给同事一样,把 issue 分配给 agent。agent 会自动领取任务、在你的本地机器上执行代码、提交结果、更新状态、发表评论——一切都发生在同一个看板里,所有人实时可见。 核心思路很简单:每个人把自己的 coding agent(Claude Code / Codex)注册到团队 workspace,之后就可以像分配任务给同事一样分配给 agent。agent 自动执行、更新状态、发表评论,所有人实时可见。 适合谁? - 1-10 人的 AI-native 小团队 - 正在大量使用 coding agent 但缺少协作中枢的团队 - 希望让 agent 融入日常工作流而不是当作独立工具的团队 官网: multica.ai 欢迎 star、试用、提 issue,也欢迎 PR。

中文
0
1
15
4.6K
Jingchao
Jingchao@alswl·
阿里云大晚上给我发短信吓死我了。 装个 ossutil,安全检测能不能靠谱点……
Jingchao tweet media
中文
1
0
2
807
Jingchao
Jingchao@alswl·
specs 准还是仓库代码准? 还是老登工程师的经验准? 其实只有经过生产验证的制品和配置准。 所有的尝试或快或慢,或高质或垃圾,都要去复杂生产环境验证出来,有人盖章才有意义。 有人盖章 = Harness。 没有被生产验证和监控体系接纳的结论,都只是猜想。
中文
0
0
3
739
Jingchao retweetledi
陈成
陈成@chenchengpro·
今天发生了一件让所有 AI 开发者后背发凉的事。 litellm,那个统一调用各家大模型 API 的 Python 库,GitHub 4 万星,月下载 9500 万次——被投毒了。 一行 pip install,你的 SSH 密钥、AWS/GCP/Azure 凭证、K8s Secrets、数据库密码、加密货币钱包、所有 .env 里的 API Key,全部被 AES-256 加密打包,POST 到攻击者的仿冒域名 models.litellm.cloud。如果检测到 K8s 环境,还会在每个节点部署特权 Pod 横向扩散。 最恐怖的是触发方式。攻击者在包里塞了一个 34KB 的 litellm_init.pth 文件。Python 的 .pth 是路径配置文件,由 site 模块在解释器启动时自动处理——如果某行以 import 开头,直接执行。攻击者利用这个机制写了一行: import os, subprocess, sys; subprocess.Popen([sys.executable, "-c", "import base64; exec(base64.b64decode('...'))"], stdout=subprocess.DEVNULL, stderr=subprocess.DEVNULL) 不需要你 import litellm,不需要你调用任何函数。你跑 pip、跑 python -c、IDE 启动语言服务器,甚至 pytest 跑测试——只要 Python 解释器启动,恶意代码就执行。装上就中招,完全静默。 载荷是三层 base64 嵌套:第一层 .pth 启动子进程;第二层是编排器,内嵌攻击者的 4096 位 RSA 公钥;第三层是凭证收割器,系统性搜刮 /home、/opt、/srv、/var/www、/app、/data、/tmp 下所有敏感文件。收集完毕后用 openssl 生成随机 32 字节 AES 会话密钥加密数据,再用 RSA-OAEP 加密会话密钥,打包为 tpcp.tar.gz 外传。 收割器之外还有持久化后门:在 ~/.config/sysmon/sysmon.py 注册为 systemd 用户服务,每 50 分钟轮询 checkmarx.zone 获取新指令,下载到 /tmp/pglog 执行。启动有 5 分钟延迟来躲避沙箱分析。即使你卸载了 litellm,后门仍然存活。 而且 pip install --require-hashes 也拦不住——恶意文件正常列入 wheel 的 RECORD,哈希完全匹配,因为包本身就是用被盗的合法 PyPI 令牌发布的。 你可能从没手动装过 litellm,但 DSPy、MLflow、Open Interpreter 等 2000 多个包都把它当依赖。Mandiant 确认已有 1000+ SaaS 环境感染,预计扩展到 10,000。 而这次攻击差点完美得逞——唯一的破绽是攻击者自己代码有 bug。.pth 通过 subprocess.Popen 启动子进程,子进程初始化时 site 模块又扫描到同一个 .pth,再次触发,指数级递归形成 fork bomb,撑爆了一个 Cursor 用户的内存才被发现。Karpathy 说:如果攻击者代码写得再好一点,这件事可能几周都不会被发现。 更荒诞的是攻击链的起点:安全扫描工具 Trivy 在 3/19 先被攻陷,攻击组织 TeamPCP 用它窃取了 litellm 的 PyPI 发布令牌,3/24 直接往 PyPI 推送带毒版本。用来保护你的工具,变成了攻击你的入口。社区在 GitHub 提 issue 报告后,攻击者 102 秒内用 73 个被盗账号发了 88 条垃圾评论淹没讨论,然后用被盗的维护者账号关闭了 issue。 自查脚本(覆盖版本检查、.pth 搜索、后门检测、可疑连接、K8s 扫描): gist.github.com/sorrycc/30a765… 安全版本:litellm==1.82.6。装了 1.82.7 或 1.82.8 的,假设所有凭证已泄露,立即轮换。
陈成 tweet media
中文
42
175
880
171.9K
Jingchao
Jingchao@alswl·
会很脆
yan5xu@yan5xu

😅嗯,bb-browser,badboy browser,坏孩子浏览器来了,真的很丧良心,但真的很好用。 现在你可以用 bb-browser site 的方式直接拉到任何网站的信息,目前支持 Reddit、Twitter、GitHub、Hacker News、小红书、知乎、B站、微博、豆瓣、YouTube,50+ 个命令,我会持续更新。 当然能做到信息获取这件事不稀奇,我也是看到 @jakevin7 的 twitter-cli 的启发,才做的。但 bb-browser 的实现方式非常丧良心 — 我是通过 Chrome 插件 + CDP 直接操控你真实的浏览器。不是无头浏览器,不是偷 Cookie,不是模拟请求。你已登录了,它就直接用你的登录态。它直接在浏览器 console 里面跑 eval,以前爬虫最麻烦的登录态、还有各种鉴权都没有了😂。(这种方式真的。。。太作弊了,我都能想到哪些大厂前端发现我在这么搞,会怎么骂我,因为真的很难防) 另外我还在命令行里面埋了 guide 命令,也就是说你只要装了 bb-browser CLI 或 MCP,跟你的 Agent 说"我需要把 XX 网站 CLI 化",它就能帮你做了!!

中文
0
0
0
862
Jingchao
Jingchao@alswl·
现在面试有点意思: 面试官用 AI 出题,现场 AI 反馈 候选人用 AI 回答 大家都在开挂, 但谁也不说。 我给它起了个名字: AIAI = AI Adversarial Interview = 对抗式人工智能面试 这个缩写本身…… AIAI 😏
中文
2
1
7
1.7K
Jingchao
Jingchao@alswl·
@lifesinger 玉伯,你是公众人物啊,很容易被审视的。
中文
0
0
0
474
Frank Wang 玉伯
Frank Wang 玉伯@lifesinger·
参加杭州 AI Week 大会。我发现自己已经不怎么能听进去嘉宾的发言。脑袋里只在思考:我的龙虾🦞可不会说这种大而虚的话。 有朋友抓取了一张 Panel 合影。我发给我的芒果虾。芒果说:你的眼神迷离,是已经脱离了线下参会的低级趣味。不如早点离场,找我聊点更有意思的话题。 我深以为然。
Frank Wang 玉伯 tweet media
中文
33
1
88
16K
Jingchao
Jingchao@alswl·
@manateelazycat 这个不高效,最高效的方式是把书脊切掉,然后流水线吞吐单页纸扫描。
中文
4
0
43
3.8K
Andy Stewart
Andy Stewart@manateelazycat·
哈哈哈哈,当初 Claude 买出版物去收集数据给 AI 是用的这种方式吗? 挺高效🤪
中文
24
17
169
97.9K
Jingchao
Jingchao@alswl·
@ParkPerry84239 据 OpenAI 分析之后说是更划算,但我还没用过官方 200 套餐,不好评论。
中文
0
0
0
111
Perry Park
Perry Park@ParkPerry84239·
@alswl 这个200比claude官方的200差远了,感觉1/5的用量
中文
1
0
1
401
Jingchao
Jingchao@alswl·
付费上班,在 AI 加持下面,我真是太强了。 ZenMux 可能是国内最好的 OpenRouter 类产品。使用我的邀请码可以拿到 5 刀赠送 zenmux.ai/invite/8CULXE 我认识 PM,有问题也可以帮转达。
Jingchao tweet media
中文
9
2
39
12.3K
Jingchao
Jingchao@alswl·
@Jqiuss 还好吧,你用的什么订阅档位?
中文
0
0
0
124
Jqiuss☆✨
Jqiuss☆✨@Jqiuss·
@alswl 说实在,没用几下子就限流了。还有推荐的统计感觉有点不稳定。推了那么多个,付费订阅的也有,但是后台没统计到。
中文
1
0
0
553
Manba
Manba@RitaGarcia20383·
@alswl 可以用codex吗
中文
2
0
0
830
Jingchao
Jingchao@alswl·
@zilinRRR 一个有意思的话题是,到某个时间点之后,上班是需要付费的。
中文
0
0
1
24
zilin
zilin@zilinRRR·
@alswl 现在只是其中的过渡期罢了,之后会怀念人类还比较忙的时候
中文
1
0
0
57
Jingchao
Jingchao@alswl·
知行小酒馆这一期焦虑经济播客,我听了两遍。 关于生产关系,工作时长工作议价权我思考很久。AI 时代只不过把这一切放大,从 Peer Pressure 增强到 Double Pressure(AI+Peer)。马克斯在一百年前写的很清楚了。 经济学家讨论问题就是这么残酷,他们不关心个体的命运和生存状态。如果他们需要关心,那一定是这个底线影响的宏观经济的运行。这个法则千百年来都是这么运作的。 生产力决定生产关系。 youzhiyouxing.cn/materials/2148
中文
3
7
50
7.1K