Matrix 首页推荐 

Matrix 是少数派的写作社区,我们主张分享真实的产品体验,有实用价值的经验与思考。我们会不定期挑选 Matrix 最优质的文章,展示来自用户的最真实的体验和观点。 
文章代表作者个人观点,少数派仅对标题和排版略作修改。


引言

春节是农历新年的开始,小长假,是回家团聚的时刻,也是制定「新年计划」的高峰期。你过往是否会在这段时间里制定计划呢?如果是的话,这些计划通常关乎哪些生活领域、哪些个人议题?作为曾经的注册心理师、目前正在受训的运动心理学工作者,我想在这里先和各位聊聊「健康」这个领域内的计划。这些计划即使还没浮现,也与我们相距不远。

图片转自 Wikimedia Commons

毕竟,在若干天的聚会、饮酒、投喂和吹牛之后,在回到正常工作、生活之前,照照镜子、低头看看,我们对身体的焦虑和愧疚很容易达到一个高峰。于是新一年的健康计划也就陆续浮出水面:增加运动时间,健康饮食,降低体重,增加肌肉,戒烟戒酒……——作为印证,春节之后的一段时间,往往也是健身办卡和购买私教课的旺季。不过,这个高峰能够持续多久,各位的「健康计划」能够持续多长时间?在下一个「健康计划季」来临之前,回顾过去一年的健康计划,其中又有多少得以实现?

人类在这方面的悲欢(以及无力)是共通的。根据 Statista 上的一组数据,2025 年,德国人的新年「立志(Resolution)」比例是这样的:

美国人,是这样的:

只看与健康相关的项目,除了「吃素」,其他的内容,是否让你感到似曾相识?这不就是许多人年复一年立志、年复一年失败的小计划、小目标吗?

无独有偶,我的老师在课上提到,德国的健身房在新年前后,通常也会迎来一个办卡和锻炼的高峰,但这个高峰到一月份的第三个周末,就会戛然而止。

这到底是为什么?我们有什么办法,能够令自己在新的一年里,更有把握地完成自己在健康方面的计划?——或者说,我们如何才能摆脱那个已经被用了很多年的烂梗,即「这一年的计划是完成若干年前计划了但没完成的计划」?

基本概念:区分计划与目标

在讨论这一串问题之前,我们需要先区分四个不同的概念。

第一个是愿望(Wish)。它是来自大脑「想要」回路的声音。一个愿望可能相对明确,例如「减重十斤」,也可能相对模糊,例如「我要瘦下去」。但愿望不必然有现实依据,也不必然有基于行动的计划和反思。也就是说,愿望可以只停留在想象中。

第二个是目标(Goal)。目标是一个相对确定的、不同于当下处境的「状态」。改变现状、达到这个状态,能够满足我们的一些需求。也即,为了制定目标,你至少已经意识到现状令人不满,开始思考如何改变。

第三个是计划(Plan)。计划是从现状出发、达到目标所需的路径和时间。路径代表我达成目标所用的手段。时间节点对应了计划中的主要阶段。根据每个人的实际情况,可能的路径往往不止一条,而且在实践过程中可以随时调整。

第四个是日程(Schedule),也即具体的「任务」和「时间点」的对应关系。有一些日程是提前确定、很难变动的,例如奥运会和高考。另一些日程是相对自由的,可以在一定的范围内调整。

A goal without a plan is just a wish
没有计划的目标只是愿望,那么没有合理目标的计划是不是扯淡?

如果你所谓的「年度计划」只停留在愿望层面上,那么完成是随机的,完不成是必然的,严肃讨论也是没有太大意义的。另一方面,如果你已经越过愿望,开始认真构思自己新的一年想做什么,就不应该跳过中间的目标、直奔计划和日程。

以我自己为例。2023 年年底,我为 2024 年的自己设定了三个首要的年度目标:

(1)拿到德国大学的运动心理学硕士入学资格(最好是科隆体育大学)

(2)通过国际马伽术联盟(IKMF)G5 级别的考试

(3)完成三个新的桌游设计案

 

基于这些目标,我进一步制定了具体的计划。实际执行的结果就是前两个目标顺利达成、第三个目标超额完成,总体计划完成度超过 100%。我认为这里的关键不在于计划,而在于目标。很多计划之所以难以实现,就是因为我们没有清晰的、可行的、自己深刻认同的目标。如果目标是模糊的、实际不可行的、自己不够认同的,那么无论用什么「管理工具」、用怎样的「精神原子弹」死磕,结果都未必有保证。

只要你还对「新年计划」或「新年目标」有想法,请牢记下面这句话:

目标就是用来实现的。计划就是用来完成的。

如果憧憬目标、制定计划,只为了在三周之后就放弃,并在一年之后感到懊悔,这样的目标和计划不如没有。到了那个时候,再说「计划完不成,可能是好事」,就约等于「吃不着葡萄说葡萄酸」。

与其如此,不如在看到葡萄之初,就扪心自问:

吃葡萄能给我带来什么好处?

我为什么那么想吃葡萄?

我真正想要的,只是「吃到葡萄」那一瞬间的满足吗?

……

也即,在讨论计划之前,我们应该先妥善解决目标设定(Goal Setting)的问题。

出发点:人的基本需要

自主意味着我们对自己的行为有足够的掌控和认同。例如,我们主动选择加入一个拳击俱乐部,每周定期参与三次训练,报名参加一次业余比赛,这些行为有助于满足自主需要。自主需要得不到满足或受挫,我们就会感到自己不像是一个「独立个体」,而是被外在力量或强迫性的要求所控制。

胜任意味着我们增进自身的能力、获得展示和实践能力的机会,并通过自己的行动获得想要的结果。例如,我们充分理解并掌握壶铃抓举(Snatch)的技术,完成了 5 分钟 100 个 Snatch 的挑战,这些行为有助于满足胜任需要。胜任需要如果得不到满足,或者也叫受挫(frustration),我们就会体验到失败,并对自身的效能感产生怀疑。

归属意味着我们充分感受到自身与他人的关系,以及与所处社会环境的关系。例如,我们得到了教练的赞许,受到了训练伙伴的尊重和欢迎,在训练和比赛中与其他人友好互动,这些行为有助于满足归属需要。归属需要得不到满足或受挫,我们就容易体验到孤独,或者感觉受了排斥。

在设定一个目标之初,我们可以首先思考,这个目标有助于满足上述哪一个(或哪些)基本的心理需要。你为什么想要减重、增肌、塑身或强化体能?你也许想要在「打工」之外找到一些自己喜欢做的事,并乐在其中,这就是自主需要。你也许想要自我挑战、变得更强,这就是胜任需要。你也许希望得到周遭人的好评,或者赢得伴侣的喜爱,这就是归属需要。

基本心理需要理论给我们的重要启发有两个。首先,一个目标与自身需要的关联越是广泛、越是深入、越是重要,这个目标的价值相应地也就越高,实现它的可能性也就越大。如果你只是产生了一个想法,经过仔细地思考,发现它和自己的需要相去甚远,那么不做也罢。

其次,我们要为自己创造一个更有利于探索、反思和追求这些基本需要的环境。仍然以运动为例。为了满足胜任需要,我们要找到合理的训练方式,学习正确的知识,促成进步,避免受伤。为了满足自主需要,我们要发展出自己内在的动机,明白自己为什么要运动。为了满足归属需要,我们最好找到志同道合的训练伙伴,以及具备支持性的、通情达理的教练。

谈目标,动机很重要

训练环境、训练知识和人际关系都是外部因素,以后另文再谈。本文接下来要讨论的,是刚刚提到的「内在动机」。根据 SDT 的另一个子理论,「有机整合理论」,我们做一件事的动机强度,从弱到强,可以划分为六个不同的水平。

最低的水平是「没有动机」或「去动机」。最典型的去动机状态就是「我不知道我为什么需要运动」。去动机的个体会随机选择做或不做特定行为。如果你在运动、饮食、生活方式调整等议题上处在这个动机水平,你需要的就不是「制定计划」或「时间管理」,而是一个刺激你产生动机的契机。

显然,我们不能代替他管理自己的体型和健康

这个契机可能是特定的外部要求。例如,某人由于严重肥胖,被医生勒令戒掉含糖饮料并开始运动。这种「我并不想运动,只是因为别人的要求才去运动」的心态,代表了次低的动机水平,即单纯的「外力驱动」。

如果我们对这样的外部要求多一些认同,就可能会因为达不到要求感到痛苦或内疚。为了避免这些负面的体验,我们从事了一些相应的行为。例如,某人受到社交媒体的影响,努力控制自己的体重和体型,以符合「双开门」或「白幼瘦」等特定的审美标准。这是第三个动机水平,即「内摄驱动」。

如果外部的要求变成了外在的威胁,我们的动机水平或许会进一步提高。例如,某中年男子经历心梗发作,为了避免自己死后无人养家,开始积极锻炼。此时特定的健康行为对个体而言有了某种重要的意义。这是第四个动机水平,基于认同(identification)的驱动。

漫画转引自 https://sproutsschools.com/self-determination-theory-3-basic-needs-that-drive-our-behavior/

你是否发自内心地认为,某种运动、饮食或生活习惯是自己的一部分?你是否认定「理想中的我,应该就是那种样子」?如果你能基于这样的心态从事某种活动,那么你就会进入更高的动机水平,基于整合(integration)的驱动。从这个阶段开始,你就逐渐脱离了外部动机的影响,脱离了所谓的「低级趣味」,逐渐进入以内部动机为主的状态。

但这还不是终点。如果你只是觉得「为了符合理想中的自我形象,我应该多吃蔬菜、每周训练两次」,说明你还在一定程度上忍受着痛苦——只是程度没那么高而已。若你这样做是因为自己真的喜欢,能够乐在其中,甚至因此感到骄傲和满足,那才是最高的动机水平,也即充分的内部动机。

六个动机水平从低到高,代表了我们行为的自主性水平逐渐增高。动机水平和自主性的增高意味着什么呢?一项针对肥胖患者的研究表明,2在出院 6 个月之后,大部分患者都不再保持运动习惯。也即,即使生命健康受到威胁,即使有外部动机驱使,人们仍然很难长期追求「健康」的生活目标。不过,具有高自主性的患者,保持运动习惯的比例显著更高——或者说,那些仍然保持运动习惯的患者,大部分都保持着高自主性的动机水平。

另外一项针对行为改变的荟萃分析发现了类似的趋势3。随着时间的推移,人们保持运动行为的趋势总是会减弱。也即,人类的天性让我们倾向于偷懒。不过,个体的动机水平越高、自主性越强,保持甚至增加运动行为的比例也相应提高。这个结果符合我们在本文开头看到的数据和现象。

绿色:行为增加;黄色:维持不变;红色:下降

确认动机,你需要好好想想

健康行为的目标,包括但不限于维持体重、控制体脂、增肌、改善体态、增加体能、维系健康……统统都是长期目标,很难在短时间内实现。如果你真的想要达到这些目标,势必需要一个长期的计划。为了能够真的长期执行一个计划,我们需要给自己打造一个有利的环境,那么最好确保和提升自主动机的水平。如果你只追求三分钟热度,打算年后办张卡、上几次课,在两三周之后回归常态,那么你此刻的动机水平和自主性高低,就一点都不重要——反正很快就会放弃的!但,如果你发自内心地想要实现这些目标,从一开始就得做些不一样的事。

必须承认,从不知道自己为什么要「追求健康」,到半被迫地运动和注意饮食,再到形成自我认同的、乐在其中的生活方式,是一个长期的过程,并不是我们在思考目标之初就可以一蹴而就的。也即,我们不可能拍脑门就马上进入一个很高的动机水平、获得很高的自主性。不过,在考虑一个健康相关的目标之前,我们可以想象自己追求这个目标的过程,以及实现目标之后可能的体验。这个练习可以视为一种对动机和自主性的探索。

你可以尝试闭上眼睛,尽可能充分地视觉化(visualize)这个场景,并静下心来感受;你可以把它画下来或者写出来;你也可以联想文学作品、影视剧、动漫、纪录片……等媒介中的相似案例、进行类比。

YARN | If I can't win, I won't run. | Chariots of Fire | Video clips by  quotes | e5a9deab | 紗
"If you don't run, you can't win!"

这样的想象训练,可以帮助我们确定这个目标的长期意义,并有助于找到我们可能达到的最高动机水平。更高的动机水平和更高的自主性不仅更有利于长期执行计划、养成习惯,更有利于真实心理需要的满足。

为目标找到更持久的动力

除了与需要和动机水平的关联,我们还可以再次回到目标本身,思考这些目标的本质。SDT 的最后一个子理论,「成就目标理论」,将目标的本质分为三类:掌握型目标,表现型目标,以及结果型目标。

主要取决于你和谁(什么)比较

掌握型目标(Mastery Goal),也称为学习目标。这类目标的着眼点在于自身能力水平与特定任务要求或能力标准之间的比较。

结果型目标(Outcome Goal),也称为结果目标或自我(ego)目标。这类目标的着眼点是外在的能力展示,即与他人水平或他人评价标准之间的比较。

过程型目标(Process Goal)介于掌握型目标和结果型目标之间,关注自己在追求结果的途中是否完成了具体的、可控的任务或行为。

每一个目标可能都包含上述三种类型的要素。那么你的健康目标主要属于哪种类型呢?单纯以结果或自我为导向,我们就更容易在实践中偷懒、放弃或给自己找台阶,做出所谓的自我设限行为(self-handicapping)。这也许是很多人的「年度计划」屡立屡弃的一个重要原因。

一个最常见的例子莫过于许多人心心念念的「减肥」:从一开始,着眼点就是掉秤、照镜子/穿衣服好看、得到他人的认可、与他人比较;随着时间的推移,当节食、运动、改变生活方式造成的心理压力逐渐累积,当最初的外部动力逐渐消退,行为日益难以维系,数字量化的结果也越来越不如人意,终于以一次或多次的暴饮暴食和体重反弹收尾……直到下一次重来,或者干脆走上吃减肥代餐、把自己饿瘦的歧路。

 

 

一个目标中并非不能包含结果的成分,但是我们没必要也不应该仅仅着眼于结果。我们完全可以换一种方式思考:一个健康领域的结果,总是可以经由能力提升(掌握)随着时间累积(过程)得以实现。既然如此,我们完全可以向一个结果型为主的目标加入掌握型和过程型的成分,把控制点(即心理学上所谓的 locus of control)从单纯的外控转变为部分的内控。

简称「二十项全能」,需要至少通过十九项才算合格

例如,为了满足科隆体育大学的本科生入学要求,申请人必须在入学测试中表现出对应的运动能力,包括但不限于(男子要求) 100 米 13.4 秒,跳高 1.40 米,铅球 7.60 米,3000 米跑 13 分钟,100 米蛙泳 110 秒。这些数值是结果型目标,但对应的运动能力是掌握型目标,而且无法通过投机取巧的方式实现。为了提升运动能力、达到预期的要求,我们势必需要参与各项运动的技术训练和基础体能训练,这些参与就是过程型目标。因此,你当然可以把目标定为「通过考试」,但同时也可以将其本质重新界定为「在长时间内进行训练」「提高运动能力」。或者说,正是由于不断训练、提升了能力,你最终不但收获了考试通过的结果,而且增强了自己的效能感、有了更多积极的经验和感受。

在构思目标、制定计划的时候,你想要的也一定是这样多管齐下的「结果」罢?

结论

制定计划,是一个关于自我探索的过程,而不仅仅是一次简单的愿望表达。既然是自我探索,我们可以容忍「失败」,但不应该在开始之前就用「失败也是好事」自我安慰。计划是用来完成的。目标是用来实现的。计划不能完成,一个重要原因是目标设置出了问题。若如此,我们需要的不是放弃计划,也不是自我安慰,而是重新思考自己的目标是否合理。

健康相关的目标或其他长期目标,都无法在短期内轻易实现。它们需要的,是一种既明确又灵活的规划,基于现实的调整,以及一颗始终向前的心。在新一年到来之际,不妨从一次对内心深处需求的认真思考开始,为真正可持续的改变奠定基础。

至于如何从目标发展到计划,从计划过渡到时间表,从时间表前进到执行……这是几个更大的话题。我会在之后的文章里继续讨论。这里就先祝大家新年能确定出新的目标来吧!

笔者目前就读于德国科隆体育大学运动心理学硕士项目。

> 关注 少数派小红书,感受精彩数字生活 🍃

> 实用、好用的 正版软件,少数派为你呈现 🚀

    Matrix 首页推荐

    Matrix 是少数派的写作社区,我们主张分享真实的产品体验,有实用价值的经验与思考。我们会不定期挑选 Matrix 最优质的文章,展示来自用户的最真实的体验和观点。

    文章代表作者个人观点,少数派仅对标题和排版略作修改。


    工作原因,我读过上百部讲「学习」或「认知」的书,既有哲学经典,也有网红畅销书。我把这些书分为大致四类:

    1. 垃圾书。翻遍全书,你只能看到一堆陈词滥调,包括大量已被证实为误传或过时的认知观点。作者往往只基于自己的学习成功经验(XX 学霸、XX 大学毕业生),分享的案例中既没有展现出任何反思、再创造的能力,也没有理论储备作为支撑。这种书大概占到市场出版物的七八成,极容易踩雷。
    2. 质量过关的通俗作品。这类书的作者不仅有个体经验,往往还伴有教育从业经验,或拥有强大的反思能力和信息甄别能力。作者用的一般是二手数据,但会用自己的思路理出一个整体框架,书中案例和分析也经过设计,具备启发性,可操作性强。作为大众学习读物,这类书相对容易入门,可能有错误观点,但整体有一定的质量保障。前两年特别畅销的《认知觉醒》,加拿大斯科特·扬的《如何高效学习》《超级学习法》都是这类书籍的代表。
    3. 通俗易懂的学术书、科普书。这类书的作者通常是认知领域的专家,常年接触大量一手实验数据,处于科技前沿,给出的观点高度可信,并且具备一定原创能力。这类作品值得反复阅读,尤其是非科班出身的普通读者,直接看论文难度太高,这类书可以说是最可靠的信源了。偏前沿新知类的,像法兰西学院实验认知心理学教授,斯坦尼斯拉斯·迪昂的系列著作《精准学习》《脑与意识》《脑与阅读》《脑与数学》;偏科普教育类的,像美国工程学教授芭芭拉·奥克利和神经科学家谢诺夫斯基合作的《学会如何学习》,东京大学药学研究所教授、专攻脑海马体与大脑皮层的池谷裕二《考试脑科学》等。
    4. 经典著作。科学类作品看新不看旧。但在人类历史上有很多关于认知的经典作品,比如启蒙时期的哲学著作笛卡尔《谈谈方法》、洛克《人类理解论》、康德《纯粹理性批判》,包括维特根斯坦对语言哲学的论著等,这类作品的价值主要体现在思想深度上,并不适合作为科学或学习指导书来使用。

    讲完这些,我们就来看看学习类书籍里有哪些以讹传讹的错误观点。囿于篇幅,我会提供一些参考书籍,感兴趣的朋友可以自行找书来看。

    一万小时定律

    前几年,「一万小时定律」的说法特别火,简直到了每本学习畅销书都要提一嘴的地步。这几年,有反思能力的作者都知道了这个说法源于误传,禁不住推敲。所以,如果有新出版的书还在提这个说法,可以直接一票否决。

    这个讹传的源头,来自畅销书《异类》的作者格拉德威尔。他在写于 2008 年的书中讲到:「人们眼中的天才之所以卓越非凡,并非天资超人一等,而是付出了持续不断的努力。只要经过 1 万小时的锤炼,任何人都能从平凡变成超凡。」

    实际上这个数字并无论据支持。心理学家艾利克森的《刻意练习》中文版推荐序里,详细介绍了这个观点的讹传路径:最早在 1973 年,后来的诺奖得主赫伯特·西蒙写了一篇关于国际象棋大师与新手的比较论文。西蒙推测,国际象棋大师能够在长时记忆系统中存储 5-10 万个棋局组块,获得这些专业知识大概需要 10 年。后来艾利克森参考西蒙论文的 10 年定律,积累了更多关于专业技能训练的数据。1993 年,艾利克森发表的一篇音乐学院学生的论文中提到一组数据,说到 20 岁的时候,卓越的演奏者已经平均练习了 1 万小时。就是这个数据,被格拉德威尔拿到书里误用,变成了一个通用的规则,还导致人家艾利克森为此背锅,备受心理学界的诟病。

    「一万小时定律」的错误非常明显:它本身就是一个基于个例编造出来的学习规律,没有其他任何论据。而且它也是反学习规律的——不是凑够一万个小时,奇迹就会发生,这样只会导致无效重复。这就跟念一万遍 abandon、abandon 一样,是学不好英语的。

    真正有价值的概念是艾利克森的「刻意练习」。这个理论强调,任何一个领域都需要持续反馈、不断纠错、建立心理表征1,这样才有可能取得杰出的成绩。

    多说一句,《刻意练习》这本书值得一读,且一定要读原书。我读过好几遍,它是一本比较严谨的学术作品,里面让人觉得啰嗦的表述,大多是必要的科学论证。尤其是讲心理表征的章节,很有启发,值得反复阅读。

    21 天习惯养成

    与「一万小时」同样有名的,恐怕要数「21 天养成一个新习惯」的说法了。

    21 天这个数字,最早来自 1960 年一位整形外科医生,麦克斯韦·马尔茨的超级畅销书《心理控制术》。马尔茨医生在工作中观察到,截肢患者大约需要 21 天来消除幻肢感;整形患者大约需要 21 天来习惯镜子里那张新脸。后来各种励志演讲家、成功学作者进一步加工这个概念,大刀阔斧地把一个经验数据,变成了一个精准的规律:「只要 21 天,你就能养成任何习惯」。

    因为 21 天听起来既不长,让人有盼头,又不短,显得有点挑战性,完美符合营销心理学

    2009 年,伦敦大学学院 (UCL) 的健康心理学家菲利帕·拉利做了一项关于习惯养成的研究。研究追踪了 96 名志愿者养成一个新习惯(比如午餐喝水、饭前跑步 15 分钟)的过程。结论是:平均时间是 66 天,而且个体差异巨大:最快的人用了 18 天,最慢的人用了 254 天,取决于习惯的难度和人的特质。我个人觉得,这个结论更符合生活的直觉:习惯这件事嘛,因人而异、可长可短,不是一个特定的数字能决定的。

    所以,未来再去培养一个习惯,只要按照《掌控习惯》(AtomicHabits)或《福格行为模型》书中讲的方法,好好去实践,没有必要追求是 21 天还是 66 天。

    重要的是培养习惯的过程,而不是追求数字、用打卡等手段感动自己

    左脑开发/右脑开发

    所谓 XX 脑开发,是一个比较古早的说法,这几年说得少了。它基于一种简单粗暴的分类:「你是左脑型人(右撇子),擅长数学和逻辑;他是右脑型人(左撇子),擅长艺术和直觉。」

    这种说法最早之所以流行,是因为它有诺贝尔生理学得主罗杰·斯佩里的实验背书。斯佩里研究的是「裂脑人」,这些患者为了治疗严重的癫痫,切断了连接左右大脑的桥梁,也就是一个叫胼胝体的地方。实验表明,如果把图像只投射给左眼(右脑负责处理),他们无法用语言(左脑负责处理)描述看到的东西,但能画出来。这证明了大脑确实存在功能上的划分,左半球确实主导语言,右半球确实在空间认知上更优势。

    斯佩里的实验本身是很经典的,但它的对象是胼胝体被切断的病人。但对绝大多数人来说,左右脑之间有无数根神经连接,它们时刻在进行信息交换,前提就不成立

    其次,虽然左脑确实侧重语言,右脑侧重空间,但这并不意味着左脑不懂情感,或者右脑没有任何逻辑功能。脑成像技术早就表明:几乎所有复杂的认知活动,都是全脑协同的结果。很多个案发现,左脑(或右脑)严重受损的患者,通过后期训练,其他脑区可以接管原先属于受损脑区的部分功能,这说明人类的大脑是高度可塑的,并没有左右脑区分这么独断。

    关于大脑功能区域的知识,强烈推荐看斯坦尼斯拉斯·迪昂的系列著作《精准学习》《脑与意识》《脑与阅读》《脑与数学》这几本书。尤其是后两本,就是在专题探讨阅读、数学这种复杂综合、高度文明化(原始人不用学)的知识,我们的大脑是如何习得的,非常权威。缺点是内容太扎实了,不太容易读,可以看看有没有可靠的讲书稿,或者让 AI 帮你一点点理清观点,慢慢研读。

    至于如今还在打着「XX 脑开发」旗号的商家或文章,我个人认为基本可以视为营销号,就是想找个幌子招生、收割家长智商税的。毕竟左右脑开发这件事,我们普通人又摸不着、又控制不了,哪里擅长哪里不擅长,照样该学还是得学,对不对?与其花时间研究这些东西,不如让孩子多运动、多动脑,基于个人先天禀赋,只要健康成长,左右脑的发展都不会差的。

    学习风格理论 (VARK)

    有一个教育学界特别流行的理论,叫:学习风格理论。它把学生分为 Visual(视觉型)、Auditory(听觉型)、Read/Write(读写型)、Kinesthetic(动觉型)四种不同的学习类型,每个人都各有所长、各有所短,简称 VARK 模型,类似的还有 VAR 模型等。

    比如某学生不擅长读书,因为他是听觉型学习者,听课对他更有效;或者某某学生是动觉型的,别让他坐着看书,让他去动手操作。

    这个理论不太出圈。起码我在进教育圈前根本没听过,但在教育行业,尤其是培训老师几乎人人在讲。它乍听起来很符合直觉,且相当有魅力:如果能优化教学方式,匹配学生的特定风格,学习效果就会突飞猛进。

    遗憾的是,这又是一个听起来很美、实际上并无证据支持的伪科学

    最早提出 VARK 的是新西兰教师尼尔·弗莱明。上世纪八十年代,他为了设计一个问卷,帮助学生了解自己的偏好,提出了这几种学习风格。随后,这个分类被过度传播,逐渐演化成了一个「经典」的学习理论,影响力越来越大。

    2008 年,四位顶级认知心理学家受美国心理科学协会委托,对「学习风格」进行了大量的文献审查。结论是几乎没有证据证明,根据学生的学习风格调整教学方式能提高学习成绩

    简单点说,一个自认为是听觉型的人,并不代表给他听录音就比让他看书学得更好。他可能只是更喜欢听录音而已。甚至还有研究得出了相反的结论:如果强行用学生偏好的方式教学,比如只给视觉型看图、看文字,反而可能害了他们,因为他们失去了锻炼短板,比如动手能力的机会。

    关于这一点,欢迎大家去看认知科学家丹尼尔·威林厄姆的书《为什么学生不喜欢上学》。这本书里有专门的章节(第 7 章)在讨论学习风格的内容,并且非常明确地否定了 VARK 的科学性。

    我觉得书里有一点讲的很对:教师的目的不是为了迎合孩子的学习风格,而是为了帮助孩子找出他们的学习能力(天赋、特长)所在,并且强化它们,变成孩子的独特优势。这或许才是教育更要关注的东西

    学习金字塔模型

    学习金字塔模型这几年比较出圈。尤其在「得到」风格的文章和书籍中,这个说法很常见。上述这个图就摘自周岭的《认知觉醒》,这本书里也推荐了金字塔模型。

    最早提出这个模型的,是美国教育家埃德加·戴尔。1946 年,他提出了「经验之塔」,初衷是从抽象到具体,对不同的教学手段进行分类。比如说阅读最抽象,实地考察最具体。但是戴尔原本的图里,没有任何数字,也没有提到留存率或学习效率。

    那么,这组看起来非常「科学」的数字是怎么来的呢?1960 年代,美国国家训练实验室 (NTL)在戴尔的原型图上强行加上了这组数字。很多年后,当研究人员向 NTL 索要数据的原始报告时,NTL 的回复是「原始数据已经丢失了。」所以,至今为止,没有任何人能找到这组数据背后的实证研究。

    讲实话,这个图之前我也用过,因为它还挺符合直觉的。而且这个实验用脑子想想,其实不难设计。只要控制好变量,比如固定的学习时长、固定的时间间隔、标准的测试内容和评价标准,找几组被试,应该是比较好做出来的。但后来了解了背后的轶事后,我也觉得,NTL 有可能当年就没好好做这个实验,而是某个多事的研究者给了一个直观的数据,把一个经验性的思考模型,一下子变成了一个有理有据的学习规律,后来就跟上面所有的错误说法一样,越来越火,变成一个「经典理论」了。

    关于学习金字塔模型(不带数字),我觉得它还是有启发性的。至于上面标的那些留存率,讲实话,当时研究者可能就没认真写,好在大多数人也不会认真追究——属于那种作者写上去,感觉很高大上;读者说出来,感觉自己懂很多的「社交谈资」,不必过度计较。

    How to Have a More Engaged Audience in Office Meetings Using the ICAP Framework

    对学习效率感兴趣的朋友,建议参考认知科学家季清华提出的 ICAP 框架,这是 2014 年发表在顶级心理学期刊上的论文,也是目前学习科学界公认的标准。文章把学习分为四种类型:

    • I (Interactive) 互动式,两个人一来一往辩论;
    • C (Constructive) 建构式,自己画思维导图、记笔记、提问;
    • A (Active) 主动式,比如划线、复述;
    • P (Passive) 被动式,比如纯听、纯看。

    从效果上看,I > C > A > P,也就是互动式最高效,建构式次之,主动和被动相对较差。比如书上画得花花绿绿,觉得自己很努力,但这种效果是最差的。而现在提得很多的「费曼学习法」,是一种互动式的学习方式,把知识讲出来,要求我们必须充分了解知识,并且对知识进行整合,还要用自己的语言表达出来,和对方互动交流,所以这种方法是最好的。


    以上就是一些比较有趣的学习理论中的经典迷思。其中有一些是错误的,甚至是违背真正学习规律的,比如「一万小时理论」「学习风格理论」,有些则是以讹传讹,以偏概全,把一些具体的个体数据当成了绝对规律,比如「21 天习惯养成」。还有一些则是对经典实验或模型的不当延展,比如「全脑学习法」「学习金字塔模型」。

    学习是一个很大的话题,我一直想写一个系列的主题,讲清楚和学习有关的迷思和经典观点。这篇文章主要在于破除错误认知,帮助大家避坑一些看似流行的说法。至于学习相关的认知科学、有效方法,如果有朋友感兴趣,以后再写文章做深入交流。

    > 下载 少数派 2.0 客户端、关注 少数派公众号,解锁全新阅读体验 📰

    > 实用、好用的 正版软件,少数派为你呈现 🚀

      IT 之家 1 月 4 日消息,半导体与 AI 行业研究分析公司 SemiAnalysis 北京时间昨日表示,AI 企业 Anthropic 将直接从博通采购近 100 万颗 TPU v7p “Ironwood” AI 芯片,本地部署在其控制的数据中心中。

      换句话说,博通将直接向 Anthropic 供应基于 TPU v7p 的机架级 AI 系统,“绕过” TPU 芯片的另一开发参与方谷歌。不过谷歌预计仍可从 Anthropic 同博通的交易中取得 IP 授权收入。


      博通 CEO 陈福阳此前在 2025 年 12 月确认,Anthropic 已累计向博通下达了价值 210 亿美元的 AI 系统订单。

      在 Anthropic 的自有 TPU 算力系统中,TeraWulf 等三家企业供应基础设施,Fluidstack 则将负责现场部署服务。


      📌 转载信息
      原作者:
      BunnHack
      转载时间:
      2026/1/4 18:32:29

      先上插件吧
      ace-sidebar-0.1.0.zip
      安装步骤

      1. 解压获得 vsix 文件

      2. ctrl+shift+p>install extension from vsix 选择插件安装

      3. 点击侧边栏上的整了一个 VSCode 插件 Ace-Sidebar, 最后薅一下 Augment 的 ACE 和提示词增强,Augment 太贵了,已充 cursor 年费1

      4. 首次使用需要配置 augment 的 api 地址 例如:


        以及 token 可通过 atm 获得

        站里好像有佬提供的有转发 我还没试过不晓得能不能用
      5. 还有 mcp 端口提供给其他工具的 sse mcp (只在当前打开窗口有效 多开窗口会出现冲突)

      然后就可以使用了

      当前项目的提示词增强的上下文只支持以下

      1. 当前打开文件
      2. 当前选中的代码块
      3. 原始提示词

      mcp 的话启动插件之后 可以在编辑器配置 sse 的 mcp 工具这个就不细讲了

      整了一个 VSCode 插件 Ace-Sidebar, 最后薅一下 Augment 的 ACE 和提示词增强,Augment 太贵了,已充 cursor 年费7

      代码自动索引,启动插件索引一次 保存代码也自动索引 添加了防抖机制

      贴下 github 感兴趣的佬可以 fork 继续扩展

      当前项目部分代码参考 ace-tool
      https://linux.do/t/topic/1344562

      感谢佬友 MistRipple 的无私分享


      📌 转载信息
      转载时间:
      2026/1/4 18:32:00

      一、

      最近,我写了好几篇 AI 教程,就收到留言,要我谈谈我自己的 AI 编程。

      今天就来分享我的 AI 编程,也就是大家说的"氛围编程"(vibe coding)。

      声明一下,我只是 AI 初级用户,不是高手。除了不想藏私,更多是为了抛砖引玉,跟大家交流。

      二、

      平时,我很少用 AI 生成新项目。因为每次看 AI 产出的代码,我总觉得那是别人的代码,不是我的。

      如果整个项目都用 AI 生成,潜意识里,我感觉不到那是自己的项目。我的习惯是,更愿意自己写新项目的主体代码。

      我主要把 AI 用在别人的项目和历史遗留代码,这可以避免读懂他人代码的巨大时间成本。

      就拿历史遗留代码为例,(1)很多时候没有足够的文档,也没有作者的说明,(2)技术栈和工具库都过时了,读懂代码还要翻找以前的标准,(3)最极端的情况下,只有构建产物,没有源代码,根本无法着手。

      AI 简直就是这类代码的救星,再古老的代码,它都能读懂和修改,甚至还能对构建产物进行逆向工程。

      下面就是我怎么用 AI 处理历史遗留代码,平时我基本就是这样来 AI 编程。

      三、

      我的 AI 编程工具是 Claude Code。因为命令行对我更方便,也容易跟其他工具集成。

      我使用的 AI 模型,大部分时间是国产的 MiniMax M2。我测过它的功能,相当不错,能够满足需要,它的排名也很靠前。

      另外,它有包月价(29元人民币),属于最便宜的编程模型之一,可以放心大量使用,反复试错。要是改用大家都趋之若鹜的 Claude 系列模型,20美元的 Pro 套餐不够用,200美元的 Max 套餐又太贵。

      MiniMax 接入 Claude Code 的方法,参考我的这篇教程

      四、

      就在我写这篇文章的时候,MiniMax 本周进行了一次大升级,M2 模型升级到了 M2.1

      因为跟自己相关,我特别关注这次升级。

      根据官方的发布声明,这次升级特别加强了"多语言编程能力",对于常用编程语言(Rust、Java、Golang、C++、Kotlin、Objective-C、TypeScript、JavaScript 等)有专门强化。

      它的 WebDev 与 AppDev 开发能力因此有大幅提升,可以用来开发复杂的 Web 应用和 Android/iOS 的原生 App。

      "在软件工程相关场景的核心榜单上,MiniMax M2.1 相比于 M2 有了显著的提升,尤其是在多语言场景上,超过 Claude Sonnet 4.5 和 Gemini 3 Pro,并接近 Claude Opus 4.5。"

      根据上面这段介绍,它的编程能力,超出或接近了国外旗舰模型。

      这个模型已经上线了,现在就能用。那么,这篇文章正好测一下,官方的介绍是否准确,它的 Web 开发能力到底有没有变强。

      至于价格,跟原来一样。但是,官方表示"响应速度显著提升,Token 消耗明显下降",也算变相降价了。

      M2.1 接入 Claude Code,我的参数如下。

      五、

      我这次选择的历史遗留项目是 wechat-format,一个 Web 应用,将 Markdown 文本转为微信公众号的样式。

      上图左侧的文本框输入 Markdown 文本,右侧立刻显示自动渲染的结果,可以直接复制到微信公众号的编辑器。

      它非常好用,大家可以去试试看。我的公众号现在就用它做排版,效果不错(下图)。

      问题是,原作者六年前就放弃了,这个项目不再更新了。我看过源码,它用的是老版本的 Vue.js 和 CodeMirror 编辑器,没有任何文档和说明,还经过了编译工具的处理,注释都删掉了。

      如果不熟悉它的技术栈,想要修改这些代码是很困难的,可能要投入大量时间。

      那么废话少说,直接让 AI 上场,把这些代码交给 MiniMax M2.1 模型。

      六、

      接手老项目的第一步,是对项目进行一个总体的了解。

      我首先会让 AI 生成项目概述。大家可以跟着一起做,跟我的结果相对照。

      
      # 克隆代码库
      $ git clone [email protected]:ruanyf/wechat-format.git
      
      # 进入项目目录
      $ cd wechat-format
      
      # 启动 Claude Code
      $ claude-minimax
      

      上面的claude-minimax是我的自定义命令,用来在 Claude Code 里面调用 MiniMax 模型(参见教程)。

      输入"生成这个仓库的概述"。

      AI 很快就给出了详细说明,包括项目的总体介绍、核心功能、技术栈和文件结构(下图)。

      有了总体了解以后,我会让 AI 解释主要脚本文件的代码。

      【提示词】解释 index.html 文件的代码

      它会给出代码结构和页面布局(上图),然后是 JS 脚本加载顺序和 Vue 应用逻辑,甚至包括了流程图(下图),这可是我没想到的。

      做完这一步,代码库的大致情况应该就相当了解了,而 AI 花费的时间不到一分钟。

      七、

      既然这个模型号称有"多语言编程能力",我就让它把项目语言从 JavaScript 改成 TypeScript。

      对于很多老项目来说,这也是常见需求,难度不低。

      它先制定了迁移计划,然后生成了 tsconfig.json 和 types.d.ts,并逐个将 JS 文件转为对应的 TS 文件(下图)。

      修改完成后,它试着运行这个应用,发现有报错(下图),于是又逐个解决错误。

      最终,迁移完成,它给出了任务总结(下图)。

      我在浏览器运行这个应用,遇到了两个报错:CodeMirror 和 FuriganaMD 未定义。

      我把报错信息提交给模型,它很快修改了代码,这次就顺利在浏览器跑起来了。

      至此,这个多年前的 JavaScript 应用就成功改成了 TypeScript 应用,并且所有内部对象都有了完整的类型定义。

      你还可以接着添加单元测试,这里就省略了。

      八、

      简单的测试就到此为止,我目前的 AI 编程大概就到这个程度,用 AI 来解释和修改代码。我也建议大家,以后遇到历史遗留代码,一律先交给 AI。

      虽然这个测试比较简单,不足以考验 MiniMax M2.1 的能力上限,但如果人工来做上面这些事情,可能一个工作日还搞不定,但是它只需要十几分钟。

      总体上,我对它的表现比较满意。大家都看到了,我的提示词很简单,就是一句话,但是它正确理解了意图,如果一次没有成功,最多再修改一两次就正确了。

      而且,就像发布说明说的一样,它运行速度很快,思考过程和生成过程最多也就两三分钟,不像有的模型要等很久。

      另外,不管什么操作,它都会给出详细的讲解和代码注释。

      总之,就我测试的情况来看,这个模型的 Web 开发能力确实很不错,可以用于实际工作。

      最后,说一点题外话。著名开发者 Simon Willison 最近说,评测大模型越来越困难,"我识别不出两个模型之间的实质性差异",因为主流的新模型都已经足够强大,足以解决常见任务,只有不断升级评测的难度,才能测出它们的强弱。

      这意味着,对于普通程序员的常见编程任务,不同模型不会构成重大差异,没必要迷信国外的旗舰模型,国产模型就很好用。

      (完)

      据台媒《经济日报》及供应链消息透露,OpenAI 正在加速推进其首款个人 AI 硬件设备的研发进程。该项目在公司内部被称为 “Project Gumdrop”,标志着 OpenAI 正正式从纯软件服务向硬件领域跨界。

      目前,该设备仍处于设计阶段,其具体形态尚未最终敲定,但大概率将以 “智能笔” 或 “便携式音频设备” 的形式呈现。

      功能方面,该设备预计将配备麦克风与摄像头,核心卖点是能够让用户直接将手写笔记内容传输至 ChatGPT 进行处理。为了确保全球供应链的稳定性并避开特定地区的制造风险,OpenAI 已决定将代工订单从立讯精密转交给富士康,生产线预计将落地越南或美国。该专案最初计画由立讯代工,现已转向鸿海,主要考量制造地点,OpenAI 不希望新的 AI 装置在中国制造。

      不过此前有报道指出,Project Gumdrop 曾面临软件漏洞、隐私合规以及云端基础设施不完善等技术挑战。

      目前 OpenAI 的目标是在 2026 年或 2027 年正式发布该产品。届时,富士康不仅将负责终端设备的生产,还可能接手 OpenAI 相关的云端基础设施订单,双方的合作将覆盖从算力底座到消费电子的全产业链。而 Foxconn 将负责处理从云端基础设施到终端设备的全面生产。


      📌 转载信息
      原作者:
      BunnHack
      转载时间:
      2026/1/4 18:29:29

      直接导航——即在浏览器中手动输入域名访问网站的行为——正面临前所未有的风险:一项新研究发现,绝大多数"停放"域名(主要是过期或闲置域名,以及热门网站的常见拼写错误)现在都被配置为重定向访问者至传播诈骗和恶意软件的网站。

      2025年10月,模仿FBI网络犯罪投诉中心网站的相似域名曾显示无威胁的停放页面(左图),而移动用户则被立即导向欺诈内容(右图)。图片来源:Infoblox。

      当互联网用户尝试访问过期域名或意外导航至相似的"域名抢注"网站时,通常会被导向域名停放公司的占位页面。这些公司通过展示付费第三方网站的链接,试图从错误流量中获利。

      十年前,访问这些停放域名后被重定向至恶意网站的概率相对较低:2014年研究人员发现(PDF),无论访问者是否点击停放页面上的链接,停放域名将用户重定向至恶意网站的概率不足5%。

      但在过去几个月的系列实验中,安全公司Infoblox的研究人员表示,他们发现情况现已完全逆转,恶意内容目前已成为停放网站的常态。

      "在大规模实验中,我们发现超过90%的情况下,停放域名的访问者会被导向非法内容、诈骗、恐吓软件和杀毒软件订阅服务或恶意软件。这是因为停放公司将'点击'出售给广告商,而广告商又经常将这些流量转售给第三方。"Infoblox研究人员在今日发布的论文中写道。

      Infoblox发现,如果访问者使用虚拟专用网络(VPN)或非住宅IP地址访问停放网站,这些网站会显示正常内容。例如,Scotiabank.com客户若将域名误输为scotaibank[.]com,使用VPN时会看到正常停放页面,但使用住宅IP地址访问则会被重定向至试图传播诈骗、恶意软件或其他不良内容的网站。需要强调的是,仅需使用住宅IP地址的移动设备或台式电脑访问拼写错误的域名,就会触发这种重定向。

      据Infoblox调查,scotaibank[.]com的所有者拥有近3000个仿冒域名组合,包括gmail[.]com——该域名已被证实配置了用于接收邮件的独立邮件服务器。这意味着如果您在发送邮件给Gmail用户时不小心遗漏了"gmail.com"中的字母"l",这封邮件不会消失或退回,而是直接落入诈骗者手中。报告指出,该域名近期还被用于多起商业邮件入侵攻击,通过附带木马恶意软件的"付款失败"诱饵进行欺诈。

      Infoblox发现该特定域名持有者(通过公共DNS服务器torresdns[.]com暴露)针对数十个顶级网站建立了域名抢注页面,包括Craigslist、YouTube、Google、Wikipedia、Netflix、TripAdvisor、Yahoo、eBay和Microsoft。这些抢注域名的无害化列表可在此处查看(所列域名中的点号已替换为逗号)。

      Infoblox威胁研究员David Brunsdon表示,停放页面会让访问者经历一系列重定向链,同时通过IP地理位置、设备指纹识别和Cookie持续分析用户系统,以确定最终重定向目标。

      "通常在威胁到达前会存在重定向链——涉及停放公司外部的一到两个域名,"Brunsdon说。"每次交接时设备都会被反复分析,然后被传递到恶意域名,或者如果判定不值得攻击,则转向Amazon.com或Alibaba.com等诱饵页面。"

      访问scotaibank.com时的重定向路径样本。每个分支包含观察到的系列域名,包括颜色编码的着陆页。图片来源:Infoblox。

      Infoblox指出,另一个控制domaincntrol[.]com的威胁行为体(该域名与GoDaddy名称服务器仅差一个字符)长期利用DNS配置中的拼写错误将用户导向恶意网站。但最近几个月发现,这种恶意重定向仅发生在访问者使用Cloudflare DNS解析器(1.1.1.1)查询错误配置域名时,其他所有访问者只会收到拒绝加载的页面。

      研究人员发现,甚至知名政府域名的变体也已成为恶意广告网络的目标。

      "当我们有研究人员尝试向FBI网络犯罪投诉中心(IC3)举报犯罪时,他们意外访问了ic3[.]org而非ic3[.]gov,"报告指出。"他们的手机很快被重定向到虚假的'Drive订阅已过期'页面。他们还算幸运只遇到诈骗;根据我们的研究,他们同样可能轻易遭遇信息窃取程序或木马病毒。"

      Infoblox报告强调,他们追踪的恶意活动无法归因于任何已知方,研究中提及的域名停放或广告平台与其记录的恶意广告行为无关。

      但报告最终指出,尽管停放公司声称只与顶级广告商合作,但这些域名的流量经常被转售给联盟网络,经过多次倒手后,最终广告商与停放公司已不存在直接业务关系。

      Google 负责 Gemini API 的首席工程师 Jaana Dogan 在社交平台 X 上公开盛赞 Anthropic 推出的新工具 Claude Code。她透露,自己曾向该工具描述了一个困扰团队一年的复杂难题 —— 分布式代理编排系统,结果 Claude Code 仅用 1 小时就生成了可运行的系统框架。

      尽管 Google 团队此前曾尝试过多种方案,但始终未能达成共识。令人意外的是,Dogan 提供给 Claude Code 的提示词仅有短短三段话。虽然她坦言生成的代码并非完美,仍需后续打磨,但其完成度已足以与团队耗时一年打磨出的成果相媲美。

      Dogan 回顾道,2022 年的 AI 只能补全单行代码,而到了 2025 年,AI 已经能够重构甚至从零创建整个代码库。这种超越预期的进化速度,让原本认为 “自动化编程还需五年才能普及” 的专家们纷纷改变了看法。

      目前,出于安全考虑,Google 内部仅允许在开源项目中使用 Claude Code。

      𝕏 x.com
      I'm not joking and this isn't funny. We have been trying to build distributed agent orchestrators at Google since last year. There are various options, not everyone is aligned... I gave Claude Code a description of the problem, it generated what we built last year in an hour.
      11:57 PM - 2 Jan 2026 21K🔁 2.1K

      📌 转载信息
      原作者:
      BunnHack
      转载时间:
      2026/1/4 18:26:56

      每次使用 kelivo 后想要复制黏贴出来的效果都不太理想,需要打开 snip 转格式太麻烦了,所以自己用 claude 大模型弄了一个油猴脚本。


      可以改样式

      期待各位佬友能够一起优化一下。
      Markdown 转 Word 工具 - Linux.do 专用(高级版)-3.0.txt


      📌 转载信息
      原作者:
      910417099
      转载时间:
      2026/1/4 18:26:25

      您正在阅读的报道是一系列独家新闻,它们嵌套在一份更为紧迫的全互联网安全通告之中。所讨论的漏洞已被利用数月之久,现在是时候让更多人意识到这一威胁了。简而言之,您过去对互联网路由器后方内部网络安全性的认知,如今很可能已经过时,并带来了危险。

      安全公司Synthient目前监测到全球有超过200万台设备感染了Kimwolf,其中越南、巴西、印度、沙特阿拉伯、俄罗斯和美国是重灾区。Synthient发现,三分之二的Kimwolf感染设备是内置无安全措施或身份验证的Android电视盒子。

      过去几个月,一个名为Kimwolf的新型僵尸网络经历了爆炸性增长。专家称其已感染全球超过200万台设备。Kimwolf恶意软件会迫使受感染系统转发恶意和滥用的互联网流量——例如广告欺诈、账户接管尝试和大规模内容抓取——并参与足以使几乎任何网站连续数天瘫痪的毁灭性分布式拒绝服务(DDoS)攻击。

      然而,比Kimwolf的惊人规模更重要的是它用来快速传播的邪恶方法:它有效地通过多种“住宅代理”网络隧道回连,进入代理端点的本地网络,并进一步感染那些隐藏在用户防火墙和互联网路由器假定保护之下的设备。

      住宅代理网络作为一种服务出售,旨在帮助客户匿名化其网络流量并将其定位到特定区域。其中最大的服务允许客户通过全球几乎任何国家或城市的设备来路由其流量。

      将终端用户的互联网连接转变为代理节点的恶意软件,通常与可疑的移动应用和游戏捆绑在一起。这些住宅代理程序也常通过非官方Android电视盒子安装,这些电视盒子由第三方商家在诸如AmazonBestBuy、NeweggWalmart等热门电商网站上销售。

      这些电视盒子的价格从40美元到400美元不等,以令人眼花缭乱的无名品牌和型号进行销售,并且经常被宣传为可以免费流式传输某些类型的订阅视频内容。但这项交易存在隐性成本:正如我们稍后将探讨的,这些电视盒子构成了目前估计200万感染Kimwolf系统中相当大的一部分。

      一些预装了住宅代理恶意软件的非官方Android电视盒子。图片来源:Synthient。

      Kimwolf也非常擅长感染一系列联网数码相框,这些相框在各大电商网站上也大量存在。2025年11月,Quokka的研究人员发布了一份报告(PDF),详细说明了运行Uhale应用的基于Android的数码相框存在的严重安全问题——包括截至2025年3月亚马逊最畅销的数码相框。

      这些数码相框和非官方Android电视盒子的第二个重大安全噩梦是,它们依赖于少数几款联网微电脑板,这些板子没有内置明显的安全或身份验证要求。换句话说,如果您与一个或多个此类设备处于同一网络,您很可能可以通过在网络中发送一条命令同时攻陷它们。

      没有地方比得上127.0.0.1

      这两种安全现实的结合在2025年10月凸显出来,当时罗切斯特理工学院的一名计算机科学本科生开始密切跟踪Kimwolf的增长,并每天与其明显的创建者直接互动。

      Benjamin Brundage是安全公司Synthient的22岁创始人,这家初创公司帮助企业检测代理网络并了解这些网络如何被滥用。Brundage在准备期末考试期间进行了大量关于Kimwolf的研究,他在2025年10月下旬告诉KrebsOnSecurity,他怀疑Kimwolf是Aisuru僵尸网络的一个新的基于Android的变种。Aisuru在去年秋天曾被错误地指责为多起破纪录DDoS攻击的元凶。

      Brundage表示,Kimwolf通过利用全球许多大型住宅代理服务中的一个明显漏洞而迅速增长。他解释说,这个弱点的关键在于,这些代理服务未能充分阻止其客户将请求转发到单个代理端点的内部服务器。

      大多数代理服务会采取基本措施,通过明确拒绝针对RFC-1918中指定的本地地址(包括众所周知的网络地址转换(NAT)范围10.0.0.0/8、192.168.0.0/16和172.16.0.0/12)的请求,来防止其付费客户“向上游”进入代理端点的本地网络。这些范围允许私有网络中的多个设备使用单个公共IP地址访问互联网,如果您运行任何家庭或办公室网络,您的内部地址空间就在一个或多个这些NAT范围内运行。

      然而,Brundage发现,操作Kimwolf的人已经找到了如何直接与数百万住宅代理端点的内部网络上的设备通信的方法,只需将其域名系统(DNS)设置更改为与RFC-1918地址范围相匹配即可。

      “通过使用指向192.168.0.1或0.0.0.0的DNS记录,可以绕过现有的域名限制,”Brundage在2025年12月中旬发送给近十二家住宅代理提供商的首份此类安全通告中写道。“这使攻击者能够向当前设备或本地网络上的设备发送精心构造的请求。这正被积极利用,攻击者利用此功能投放恶意软件。”

      谷歌正在测试一款名为"Nano Banana 2 Flash"的新型图像AI模型,其速度将超越Nano Banana Pro。

      该模型属于Gemini Flash系列产品线,这是该公司速度最快的生成式AI(大语言模型)。

      我们预计Flash系列的图像模型将比前代产品速度更快,同时价格也更加亲民。

      然而,Nano Banana 2 Flash的性能将不及Nano Banana Pro强大。

      这款新型Nano Banana 2 Flash模型是由MarsForTech在X平台上发现的,该账号曾多次准确泄露Gemini系列模型信息。

      目前,Nano Banana Pro(Gemini 3 Pro Image)是谷歌顶级的图像生成与编辑模型。

      该模型专为需要更高精确度、更强语义理解能力和更清晰输出效果的"高难度"创意工作而设计。

      它采用更强大的推理能力和更广泛的现实世界知识,能够将文本或参考内容转化为更清晰的视觉呈现,例如原型图、示意图、故事板、信息图表,甚至食谱或天气风格快照(当结合搜索功能时还可包含实时信息)。

      我们预计Nano Banana 2 Flash将具备类似功能,但其性能不会达到Banana Pro的水平。

      超万台Fortinet防火墙暴露于正被积极利用的双因素认证绕过漏洞

      超过10,000台Fortinet防火墙目前仍暴露在互联网上,易受利用一个已存在五年的关键双因素认证(2FA)绕过漏洞的持续攻击。

      Fortinet于2020年7月发布了FortiOS版本6.4.1、6.2.4和6.0.10以修复此漏洞(追踪编号为CVE-2020-12812),并建议无法立即打补丁的管理员关闭用户名大小写敏感功能,以阻止针对其设备的2FA绕过尝试。

      这个不当身份验证安全漏洞(严重性评分为9.8/10)存在于FortiGate SSL VPN中,当用户名大小写改变时,允许攻击者在无需输入第二因素认证(FortiToken)的情况下登录未打补丁的防火墙。

      上周,Fortinet警告客户,攻击者仍在利用CVE-2020-12812,针对那些需要启用LDAP(轻量级目录访问协议)的、存在漏洞配置的防火墙。

      "Fortinet观察到,基于特定配置,2020年7月的漏洞FG-IR-19-283 / CVE-2020-12812近期在野外被滥用,"该公司表示。

      上周五,互联网安全监督机构Shadowserver透露,其目前追踪到超过10,000台Fortinet防火墙仍暴露在互联网上,这些设备未针对CVE-2020-12812打补丁,易受这些持续攻击,其中超过1,300个IP地址位于美国。

      暴露于CVE-2020-12812攻击的Fortinet防火墙(Shadowserver)

      CISA和FBI在2021年4月曾警告,国家资助的黑客组织正在利用多个漏洞(包括一个滥用CVE-2020-12812来绕过2FA的漏洞)攻击Fortinet FortiOS实例。

      七个月后,CISA将CVE-2020-12812添加到其已知被利用漏洞列表中,将其标记为在勒索软件攻击中被利用,并命令美国联邦机构在2022年5月前保护其系统。

      Fortinet漏洞在攻击中经常被利用(通常作为零日漏洞)。例如,网络安全公司Arctic Wolf在12月警告,威胁行为者已经在滥用一个关键的身份验证绕过漏洞(CVE-2025-59718),通过恶意单点登录(SSO)来劫持管理员账户。

      此前一个月,Fortinet警告了一个正被积极利用的FortiWeb零日漏洞(CVE-2025-58034),一周后,它确认已静默修补了第二个在广泛攻击中被滥用的FortiWeb零日漏洞(CVE-2025-64446)。

      2025年2月,它还披露,中国黑客组织"伏特台风"(Volt Typhoon)利用了两个FortiOS漏洞(CVE-2023-27997和CVE-2022-42475),使用定制的Coathanger远程访问木马恶意软件,在荷兰国防部的一个军事网络中植入后门。

      区块链调查公司TRM Labs表示,近期持续的加密货币盗窃事件已被溯源至2022年LastPass数据泄露事件。攻击者在加密保险库被盗数年后清空用户钱包,并通过俄罗斯交易所清洗赃款。

      2022年,LastPass披露攻击者通过入侵开发环境侵入其系统,窃取了公司部分源代码和专有技术信息。

      尽管保险库经过加密,但使用弱主密码或重复密码的用户仍易遭受离线破解攻击。据信这种破解自数据泄露以来持续进行。

      LastPass在披露漏洞时警告称:"根据您的主密码长度、复杂度和迭代计数设置,您可能需要重置主密码。"

      美国特勤局进一步证实了LastPass数据泄露与加密货币盗窃之间的关联。该机构在2025年查获了超过2300万美元的加密货币,并表示攻击者通过解密从密码管理器泄露中窃取的保险库数据获得了受害者的私钥。

      在法庭文件中,探员表示没有证据表明受害者的设备是通过钓鱼或恶意软件入侵的,并认为盗窃行为与失窃的密码保险库有关。

      与LastPass漏洞相关的加密货币盗窃

      TRM在上周发布的报告中指出,近期持续的加密货币盗窃攻击已被溯源至2022年失窃的加密LastPass密码保险库遭滥用事件。

      与漏洞发生后立即清空钱包不同,这些盗窃行为发生在数月或数年之后,呈现出波浪式攻击特征,表明攻击者逐步解密保险库并提取存储的凭证。

      受影响钱包均通过类似的交易方式被清空,且未有新攻击手法报告,表明攻击者在盗窃前已掌握私钥。

      TRM向BleepingComputer表示:"报告中的关联性并非基于对单个LastPass账户的直接归因,而是通过将下游链上活动与2022年漏洞的已知影响模式进行关联分析。这导致钱包清空行为在原漏洞发生相当长时间后才出现,而非立即发生,且呈现明显的波浪式特征。"

      TRM透露其调查最初基于少量报告,包括提交至Chainabuse平台的案例,其中用户确认LastPass漏洞是其钱包被盗的途径。

      研究人员通过识别其他案例中的加密货币交易行为扩展调查,将这些盗窃事件与LastPass数据窃取活动相关联。

      TRM表示其研究最重要的突破是能够追踪通过Wasabi钱包CoinJoin功能混币后的被盗资金。

      CoinJoin是一种比特币隐私技术,将多个用户的交易合并为单笔交易,使得追踪资金流向变得困难。Wasabi钱包内置该功能,允许用户自动混合比特币以模糊交易记录,无需依赖混币服务。

      攻击者在清空钱包后将赃款转换为比特币,通过Wasabi钱包路由,并尝试使用CoinJoin交易掩盖踪迹。

      但TRM表示,通过分析交易结构、时间点和钱包配置选择等行为特征,能够对CoinJoin交易发送的加密货币进行"反混币"追踪。

      "TRM分析师未孤立地对单个盗窃事件进行反混币分析,而是将活动作为协同攻击活动整体研究,识别出随时间推移形成的Wasabi存款与取款集群。通过专有的反混币技术,分析师将黑客存款与特定取款集群匹配,这些集群在总价值和时间点上与资金流入高度吻合,统计学上不可能是巧合。

      混币前观察到的区块链指纹,结合混币后与钱包关联的情报,持续指向俄罗斯境内的操作控制。混币前后阶段的连续性增强了我们的信心——洗钱活动是由在俄罗斯网络犯罪生态内运作或与之紧密关联的行为者实施的。"

      通过将盗窃事件视为协同攻击活动而非独立事件,TRM成功将Wasabi存款集群与通过LastPass漏洞进行加密货币盗窃的取款模式相匹配。

      钱包清空后立即发生的取款行为进一步表明,混币活动背后正是窃取资金的同一威胁行为者。

      运用该技术,TRM估计在2024年末至2025年初,超过2800万美元的加密货币通过Wasabi钱包被窃取并清洗。另有700万美元与2025年9月后续攻击波次相关。

      TRM指出这些资金反复通过相同的俄罗斯关联交易所(包括Cryptex和Audi6)套现,进一步证实这些漏洞背后是同一批威胁行为者。

      Covenant Health组织已将去年五月发现的数据泄露事件受影响人数修正至近50万。

      该医疗实体最初于七月报告称有7,864人的数据遭泄露,但进一步分析显示实际影响范围更大。

      在完成"大部分数据分析工作"后,Covenant Health目前确认受影响人数达478,188人。

      Covenant Health是位于马萨诸塞州安多弗的天主教医疗保健机构,在新英格兰地区和宾夕法尼亚州部分区域经营医院、护理康复中心、辅助生活居住区和老年护理组织。

      Qilin勒索软件攻击
      Covenant Health于2025年5月26日发现攻击者早在八天前(5月18日)已入侵其系统,并获取了患者数据访问权限。

      六月下旬,Qilin勒索软件组织宣称发动了此次攻击,声称窃取了852GB数据,包含近135万份文件。

      Qilin勒索软件在其数据泄露网站列出Covenant Health
      来源:BleepingComputer

      该机构表示泄露信息可能包含姓名、地址、出生日期、病历号、社会安全号码、健康保险信息及治疗详情(如诊断结果、治疗日期、治疗类型)。

      通知副本中,Covenant Health称已聘请第三方取证专家确定受影响的数据范围及人数。

      "审查工作仍在进行中",该机构未提供调查完成时间表及影响评估。Covenant Health表示已加强系统安全防护,以防未来发生类似事件。

      医疗实体Covenant Health正为受影响个人提供12个月免费身份保护服务,以帮助监测其信息可能遭到的非法使用。

      自12月31日起,该机构开始向可能在五月入侵事件中信息受损的患者邮寄数据泄露通知函。

      黑客声称入侵Resecurity,公司称实为蜜罐陷阱

                              作者
      

      03:34 PM

      更新:本文已更新,反映ShinyHunters声称未参与此活动。我们已更新报道和标题。

      与"Scattered Lapsus$ Hunters"(SLH)相关的威胁行为者声称已入侵网络安全公司Resecurity的系统并窃取内部数据,而Resecurity表示攻击者仅访问了一个故意部署的、包含用于监控其活动的虚假信息的蜜罐。

      今日,威胁行为者在Telegram上发布了据称是入侵证据的截图,声称窃取了员工数据、内部通信、威胁情报报告和客户信息。

      威胁行为者在Telegram上发布的部分帖子内容

      来源:BleepingComputer

      为证明其说法,威胁行为者发布了据称从Resecurity窃取的截图,包括一个似乎是Mattermost协作平台的界面,显示了Resecurity员工与Pastebin人员之间关于该文本共享平台上托管恶意内容的通信。

      这些自称"Scattered Lapsus$ Hunters"的威胁行为者(据称与ShinyHunters、Lapsus$和Scattered Spider威胁组织存在重叠)表示,此次攻击是对Resecurity持续尝试通过社会工程手段渗透该组织并了解其运作的报复。

      威胁行为者称,Resecurity员工在据称的越南金融系统数据库销售过程中冒充买家,试图获取免费样本和额外信息。

      在本文发布后,ShinyHunters发言人向BleepingComputer表示他们未参与此活动。尽管ShinyHunters一直声称是Scattered Lapsus$ Hunters的一部分,但他们声明未参与此次攻击。

      我们已根据此信息更新文章。

      如果您有此事件或其他未公开攻击的相关信息,可通过Signal(646-961-3731)或邮箱tips@bleepingcomputer.com与我们保密联系。

      Resecurity称其为蜜罐

      Resecurity反驳了威胁行为者的说法,称所谓被入侵的系统并非其合法生产基础设施的一部分,而是为吸引和监控威胁行为者而设计的蜜罐。

      在BleepingComputer就此事联系Resecurity后,该公司分享了其于2025年12月24日发布的
      一份报告
      ,其中称首次检测到威胁行为者于2025年11月21日探测其公开暴露的系统。

      该公司表示,其数字取证与事件响应(DFIR)团队早期识别了侦察迹象,并记录了与该行为者相关的多个IP地址,包括来自埃及和Mullvad VPN服务的地址。

      Resecurity称,其响应措施是在隔离环境中部署了一个"蜜罐"账户,允许威胁行为者登录并访问包含虚假员工、客户和支付数据的系统,同时研究人员对其进行监控。

      蜜罐是一种故意暴露的受监控系统或账户,旨在诱捕攻击者,允许观察和分析其行为,并在不危及真实数据或基础设施的情况下收集其活动情报。

      该公司表示,蜜罐中填充了模拟真实业务数据的合成数据集,包括超过28,000条合成消费者记录和190,000多条合成支付交易记录,均基于Stripe官方API格式生成。

      据Resecurity称,威胁行为者于12月开始尝试自动化数据外泄,在12月12日至24日期间使用大量住宅代理IP地址生成了超过188,000次请求。

      在此活动期间,该公司表示收集了关于攻击者战术、技术和基础设施的遥测数据。

      Resecurity对蜜罐活动的监控

      来源:Resecurity

      Resecurity声称,由于代理连接故障,攻击者多次短暂暴露了确认的IP地址,相关情报已报告给执法部门。

      在观察到更多活动后,Resecurity表示添加了更多虚假数据集以研究攻击者行为,这导致攻击者出现更多操作安全(OPSEC)失误,有助于缩小其基础设施范围。

      该公司称后来识别了通过住宅代理自动化攻击的服务器,并将情报也分享给了执法部门。

      Resecurity表示:"一旦通过可用网络情报和时间戳定位到攻击者,Resecurity的合作伙伴——一家外国执法组织——就发出了关于该威胁行为者的传票请求。"

      截至发稿时,威胁行为者未提供进一步证据,仅在Telegram上发布新帖子称更多信息即将公布。

      Telegram帖子写道:"Resecurity的损害控制做得不错。更多信息即将公布!"

      之前用的 input source pro ,mac 更新到 26 之后,总是出现输入法提示进程无响应,导致系统变得一卡一卡的,我不想动系统文件,所以也没屏蔽这个进程。

      后来我干脆把 input source pro 关了,暂时不用了,又尝试把自动切换文稿的输入法打开,我发现它可以记住每个 app 的输入法了,终端一直都是英文,wps 进去默认就是中文,这已经解决了 99%的我问题了,完全不需要输入法自动切换软件了

      如果对于自动输入法切换要求不是很多的话,系统自带完全满足要求了,大家可以试试

      回想起来 manjaro 已经用了快 10 年,工作生活都一直在使用

      其实自己一直都不是那种爱折腾的人,所以我对各种发行版有什么好坏根本没什么感知,包括对各种 ui 美化啥的更是无感,只是觉得不要折腾开箱即用,能支持软件齐全就行

      前两天把好久没滚的 manjaro 更新了,应该是 plasma6 默认上 wayland 有点问题,导致屏幕各种撕裂、斑块,其实只要安装一下 X11 模块就好,但感觉风评越来越差的 manjaro 还会这或那的问题,所以索性打算换 mint 了

      刻录、安装一共花费约半小时,进到里面有种很“稳”的感觉,虽然整体没有 kde 那种丝滑和设计美感,但也还能接受。
      我唯一的要求是各处的 UI 的字体必须同一 必须是:默认无衬线且组合为思源黑体+思源宋体+source code pro
      然而 mint 的字体设置偏偏没法去设置衬线/无衬线,等宽设了也没用,一番 debug 下来也不知道是哪个优先级最高的文件生效了,自己手工定义的也没用

      随后折腾了下下拉终端 Guake ,它快捷键设置居然没法对切分的窗口做切换和单独关闭,只能关闭整个当前标签页,而 github 上有个关联 issue 已经提了 4 年

      后来发现默认的 bash 没有太多预定义样式和插件,而自己手工安装的 zsh 怎么都配不成习惯的样子

      至此对该系统的试用已经结束了(中间省略其他不顺手)当然我非常清楚这我对 mint 感觉不佳是因为 我的“不习惯”产生,并不是系统本身存在什么问题 考虑到要把一切弄成“习惯”的样子所花费的时间成本,那为什么我不直接换回去呢,所以至此还是决定换回更熟悉的 manjaro ,直接解决遇到的问题

      就在如此短暂的试用中我还是能感受到 mint 的优点的,比如其包管理机制安全性是显著高于 manjaro 的,还有桌面的稳定性也比 kde 高,其 shell 默认是干净的在一些人看来也是优点

      总结下现在知道了自己对操作系统的要求是生产力工具,在各种场景下“熟悉感”是第一决定因素。
      至于 manjaro 自身的问题,只能说以后多滚吧😂另外祈祷下维护团队多做些测试

      前情提要,由于目前市面上的抓包工具都不是很适配的我的使用习惯,于是乎自己 ai coding 了一款

      主要功能:
      多过滤器分目录过滤
      url 过滤
      白名单-可以放行请求
      黑名单-可以阻断请求
      重写功能-请求,响应
      http&https 流量分析

      工具箱:
      Http Test
      正则调试
      Url 编码
      文本工具
      Base64/ Hash
      时间戳工具

      部分使用截图:


      如果您对该应用感兴趣,评论即可参与

      最终结果根据总楼层随机抽取 6 位小伙伴,送出终身兑换码,今晚 8 点开奖



      如何获取 App:
      App Store 搜索:PacketPro

      最近奇思妙想群里最热的讨论,莫过于华为鸿蒙的亿元激励活动。

      活动介绍:开发者成功报名本计划,且在 2025 年 7 月 23 日至 2025 年 12 月 31 日完成鸿蒙应用、游戏、元服务开发,并正式上架至华为应用市场,将有机会获得现金激励( 1 万元一款)。

      群里成果:有刚开始不信后面看大家出结算单然后通宵开发上架十几款,也有在宿舍连夜奋战上架 20 款的学生,还有拿到激励要辞职 all in 的,更有找准赛道连上 100 款的,大部分开发者上架十几款。
      群里都是在相互鼓励、相互刺激,大家松懈时,就会有群友发出一个审核上架通知,全体都提起精神开发。

      对于鸿蒙活动,很多人会有两种截然不同的反应:

      一种是:“xx 你都信,这么天真。”

      另一种是:“先相信,干就完了。”

      具体可看站内的历史鸿蒙帖子的评论区...

      这两种反应的背后,折射出的正是人与人之间赚钱能力的本质差异——认知差。

      借着鸿蒙激励活动,来聊聊“认知与赚钱”。

      一、 所有的暴利,都源于“供需失衡”的窗口期

      为什么华为要发钱?因为它急需在短时间内,把应用商店的货架填满。

      这就造成了一个短期的、剧烈的供需失衡

      • 需求端: 华为希望拉升纯血鸿蒙应用的数量。
      • 供给端: 参与鸿蒙开发的开发者很少,市面上的应用极度匮乏。

      现在的鸿蒙生态,就是一片“荒地”。在成熟的安卓或 iOS 生态里,你做一个记账软件,可能连水花都砸不出来,因为竞争者有几万个。但在现在的纯血鸿蒙里,你做一个记账软件,可能就是“官方推荐”,因为根本没几个好用的竞品。

      赚钱的第一层认知是:识别红利。
      红利就是平台为了活下去,不得不让渡出的超额利润。当年的淘宝店、后来的微信公众号、前几年的抖音直播,以及现在的鸿蒙开发,逻辑如出一辙。

      那些赚到大钱的人,往往不是因为技术最牛,而是因为他们在平台最饥渴的时候,递了一瓶水。

      顺势而为,还是看笑话?

      二、 认知的诅咒:为什么聪明人反而赚不到“第一桶金”?

      在鸿蒙激励活动出来后,我观察到一个有趣的现象:
      很多资深的程序员、技术大牛在冷嘲热讽,他们分析鸿蒙的底层架构,分析生态的各种困难,得出的结论是“这么天真,可操作的地方太多了,赚不到的”。

      反而是很多技术一般的“草根开发者”,甚至是一些只会套壳、只会做简单工具的业余程序员,第一时间冲了进去。他们不管架构完不完美,先把 App 上架,接着就是相信鸿蒙打钱。

      这就引出了赚钱的第二层认知:执行力往往大于完美主义。

      许多“聪明人陷入了“认知的诅咒”。他们想得太多,看得太远,总想等到局势明朗、风险为零的时候再出手。
      但商业规律是残酷的:当一件事变得没有任何风险时,它也就没有任何超额收益了。

      鸿蒙现在确生态确实不成熟,文档也不完善。但正是因为这些“门槛”和“麻烦”,才挡住了大厂的标准化倾轧,给个体和小团队留出了套利的空间。

      真正的高认知,不是预判困难并止步,而是预判了困难,并计算出即使算上解决困难的成本,收益依然可观,然后果断入局。

      结语

      这世界上最遥远的距离,不是生与死,而是你就站在风口上,却觉得那是阵乱吹的风。

      对于程序员来说,鸿蒙不仅是一个技术生态,更是一面镜子。它照出了我们面对新生事物时的态度:
      是习惯性地质疑、观望?
      还是敏锐地拆解、试错?

      你所赚的每一分钱,都是你对这个世界认知的变现;你所亏的每一分钱,都是因为对这个世界认知有缺陷。

      所以,先相信

      -

      有其他想法讨论欢迎进奇思妙想群(一个可能会让你赚钱的群),v 站上最大最久的程序员群:

      网址: https://cinema.gaoliang.me

      1. 收录了国内大部分 IMAX 和杜比影院的屏幕尺寸数据
      2. 支持屏幕平铺、列表和地图模式,直观地比较屏幕尺寸信息
      3. 支持按照城市和影厅类型进行查询

      目前数据主要来源于网上公开数据,可能存在部分不准确或更新不及时的情况,欢迎大家反馈建议,希望对大家有用。






      网址: https://cinema.gaoliang.me

      在经过前一段时间的邀请测试后(原贴见 https://www.v2ex.com/t/1172542)
      公益服基本达到能用的程度,使用本服有几点注意事项需提前知悉:

      公益服资源来源为天翼网盘,故某些地区及网络运营商可能存在晚高峰连接性问题,该问题无法解决,请慎用
      本公益服无需保号,支持自助求片,注册及求片地址: https://etflix.entertang.work/
      v2ex 专属邀请码:26QHYWFHNK(有效次数 100 次)
      另外欢迎 v 友进 TG 群提建议:@ETFLIXEmby