包含关键字 typecho 的文章

今日,商汤正式开源多模态自主推理模型 SenseNova-MARS(8B/32B 双版本),其在多模态搜索与推理的核心基准测试中以 69.74 分超越Gemini-3-Pro(69.06 分)、GPT-5.2(67.64 分)。

SenseNova-MARS是首个支持动态视觉推理和图文搜索深度融合的 Agentic VLM 模型,它能自己规划步骤、调用工具,轻松搞定各种复杂任务,让AI真正具备“执行能力”。

在 MMSearch、HR-MMSearch、FVQA、InfoSeek、SimpleVQA、LiveVQA等基准测试中,SenseNova-MARS取得开源模型中的 SOTA 成绩,还超越Gemini-3.0-Pro、GPT-5.2等顶级闭源模型,在搜索推理和视觉理解两大核心领域全面领跑。更多细节请参见技术报告(https://arxiv.org/abs/2512.24330),欢迎开发者、各行业用户测试与体验。

全能冠军,自主解决复杂问题

SenseNova-MARS在多项多模态搜索评测中展现出明显的领先优势,平均得分达到 69.74 分,成功超过了 Gemini-3-Pro 的 69.06 分与 GPT-5.2 的 67.64 分。

图片

在MMSearch 榜单(图文搜索核心评测)中,模型以 74.27 分登顶,超越GPT-5.2(66.08 分);HR-MMSearch(高清细节搜索评测)中 54.43 分领先,显著拉开与闭源模型的差距。

图片

HR-MMSearch的测试题目堪称“AI界的奥林匹克”:采用305张2025年最新的4K超高清图片,确保AI无法依赖旧知识“作弊”;所有问题都针对图片中占比不到5%的细节,比如小标志、小字、微小物体,必须用图像裁剪工具才能看清;覆盖体育、娱乐文化、科学技术、商业金融、游戏、学术研究、地理旅行等八大领域,60%的问题都需要至少使用三种工具才能解答。

用组合拳,解决真实场景问题

SenseNova-MARS还能实实在在落地到我们生活和工作的场景,解决需要“多步骤推理+多工具协作”的问题。

普通AI的工具调用,要么只能搜文字,要么只能看图片,遇到需要“先放大细节、再识别物体、最后查背景”的复杂任务就束手无策。

图片

对识别赛车服微小 logo + 查询公司成立年份 + 匹配车手出生年月 + 计算差值’的复杂任务,SenseNova-MARS 可自主调用图像裁剪、文本 / 图像搜索工具,无需人工干预完成闭环解答。

图片

SenseNova-MARS能从产品和行业峰会的照片中,识别企业的标志,快速搜集产品、企业的信息,以及时间、数量、参数等细节要素,辅助分析行业情况和格局。

图片

SenseNova-MARS能从赛事照片中识别画面中的logo、人物等信息,追溯比赛或人员背景信息,帮助快速补充重要细节。

图片

SenseNova-MARS甚至能够轻松处理,这类超长步骤的多模态推理,和超过三种工具调用,自动裁剪分析细节、搜索相关研究数据,快速验证假设,得出关键判断。

拥有这种“自主思考+多工具协作”的能力,SenseNova-MARS能够自动解决“细节识别 + 信息检索 + 逻辑推理”复杂任务,帮助实现工作效率提升。

  • 图像裁剪:能精准聚焦图片上的微小细节,哪怕是占比不到5%的细节——比如赛车手衣服上的微小logo、赛事照片里观众席的标语,都可通过裁剪放大清晰分析。
  • 图像搜索:能在看到物体、人物或场景,的瞬间自动匹配相关信息——比如识别出赛车手的身份,或是某款冷门设备的型号。
  • 文本搜索:能快速抓取精准信息——无论是公司成立年份、人物出生年月,还是最新的行业数据,都能秒级获取。

从练中学,形成“经验”和“直觉”

SenseNova-MARS采用了“因材施教”的训练方法。

第一阶段:打基础。针对跨模态多跳搜索推理训练数据稀缺的痛点,创新性的提出了基于多模智能体的自动化数据合成引擎,采用细粒度视觉锚点+ 多跳深度关联检索的机制,动态挖掘并关联跨网页实体的逻辑,自动化构建高复杂度的多跳推理链路,同时引入闭环自洽性校验来去除幻觉数据,构造出具备严密逻辑链条与高知识密度的多跳搜索问答数据。用精心筛选的“高难度案例”做教材,每个案例都标注了“该用什么工具、步骤是什么”,让AI先学会基本的“破案逻辑”。这些案例都是从海量数据中挑出的“硬骨头”,确保AI一开始就接触真实复杂场景。

第二阶段:练实战。采用“强化学习”——就像侦探在一次次破案中积累经验,AI每做对一次决策(比如选对工具、步骤合理)就会获得奖励,做错了就调整策略。为了避免AI“学偏”,研究团队还加了个“稳定器”——BN-GSPO算法,让它在处理简单题和复杂题时都能保持稳定进步,不会出现“偏科”。 这种基于双阶段归一化的优雅机制有效平滑了动态工具调用返回分布多样性带来的优化波动并确保了学习信号分布的一致性,从而成功解决了跨模态多步多工具智能体训练过程中的收敛性难题。

经过这样的训练,AI不仅学会了用工具,更培养"工具使用直觉"——知道在什么情况下应该使用哪些工具,以及如何将不同工具的结果有机结合起来。

模型、代码、数据全开源:
商汤日日新SenseNova-MARS模型、代码、数据集全开源,支持 Hugging Face 直接下载。

Github 仓库:
https://github.com/OpenSenseNova/SenseNova-MARS

模型仓库:
32B:
https://huggingface.co/sensenova/SenseNova-MARS-32B

8B:
https://huggingface.co/sensenova/SenseNova-MARS-8B

今日,商汤正式开源多模态自主推理模型 SenseNova-MARS(8B/32B 双版本),其在多模态搜索与推理的核心基准测试中以 69.74 分超越Gemini-3-Pro(69.06 分)、GPT-5.2(67.64 分)。

SenseNova-MARS是首个支持动态视觉推理和图文搜索深度融合的 Agentic VLM 模型,它能自己规划步骤、调用工具,轻松搞定各种复杂任务,让AI真正具备“执行能力”。

在 MMSearch、HR-MMSearch、FVQA、InfoSeek、SimpleVQA、LiveVQA等基准测试中,SenseNova-MARS取得开源模型中的 SOTA 成绩,还超越Gemini-3.0-Pro、GPT-5.2等顶级闭源模型,在搜索推理和视觉理解两大核心领域全面领跑。更多细节请参见技术报告(https://arxiv.org/abs/2512.24330),欢迎开发者、各行业用户测试与体验。

全能冠军,自主解决复杂问题

SenseNova-MARS在多项多模态搜索评测中展现出明显的领先优势,平均得分达到 69.74 分,成功超过了 Gemini-3-Pro 的 69.06 分与 GPT-5.2 的 67.64 分。

图片

在MMSearch 榜单(图文搜索核心评测)中,模型以 74.27 分登顶,超越GPT-5.2(66.08 分);HR-MMSearch(高清细节搜索评测)中 54.43 分领先,显著拉开与闭源模型的差距。

图片

HR-MMSearch的测试题目堪称“AI界的奥林匹克”:采用305张2025年最新的4K超高清图片,确保AI无法依赖旧知识“作弊”;所有问题都针对图片中占比不到5%的细节,比如小标志、小字、微小物体,必须用图像裁剪工具才能看清;覆盖体育、娱乐文化、科学技术、商业金融、游戏、学术研究、地理旅行等八大领域,60%的问题都需要至少使用三种工具才能解答。

用组合拳,解决真实场景问题

SenseNova-MARS还能实实在在落地到我们生活和工作的场景,解决需要“多步骤推理+多工具协作”的问题。

普通AI的工具调用,要么只能搜文字,要么只能看图片,遇到需要“先放大细节、再识别物体、最后查背景”的复杂任务就束手无策。

图片

对识别赛车服微小 logo + 查询公司成立年份 + 匹配车手出生年月 + 计算差值’的复杂任务,SenseNova-MARS 可自主调用图像裁剪、文本 / 图像搜索工具,无需人工干预完成闭环解答。

图片

SenseNova-MARS能从产品和行业峰会的照片中,识别企业的标志,快速搜集产品、企业的信息,以及时间、数量、参数等细节要素,辅助分析行业情况和格局。

图片

SenseNova-MARS能从赛事照片中识别画面中的logo、人物等信息,追溯比赛或人员背景信息,帮助快速补充重要细节。

图片

SenseNova-MARS甚至能够轻松处理,这类超长步骤的多模态推理,和超过三种工具调用,自动裁剪分析细节、搜索相关研究数据,快速验证假设,得出关键判断。

拥有这种“自主思考+多工具协作”的能力,SenseNova-MARS能够自动解决“细节识别 + 信息检索 + 逻辑推理”复杂任务,帮助实现工作效率提升。

  • 图像裁剪:能精准聚焦图片上的微小细节,哪怕是占比不到5%的细节——比如赛车手衣服上的微小logo、赛事照片里观众席的标语,都可通过裁剪放大清晰分析。
  • 图像搜索:能在看到物体、人物或场景,的瞬间自动匹配相关信息——比如识别出赛车手的身份,或是某款冷门设备的型号。
  • 文本搜索:能快速抓取精准信息——无论是公司成立年份、人物出生年月,还是最新的行业数据,都能秒级获取。

从练中学,形成“经验”和“直觉”

SenseNova-MARS采用了“因材施教”的训练方法。

第一阶段:打基础。针对跨模态多跳搜索推理训练数据稀缺的痛点,创新性的提出了基于多模智能体的自动化数据合成引擎,采用细粒度视觉锚点+ 多跳深度关联检索的机制,动态挖掘并关联跨网页实体的逻辑,自动化构建高复杂度的多跳推理链路,同时引入闭环自洽性校验来去除幻觉数据,构造出具备严密逻辑链条与高知识密度的多跳搜索问答数据。用精心筛选的“高难度案例”做教材,每个案例都标注了“该用什么工具、步骤是什么”,让AI先学会基本的“破案逻辑”。这些案例都是从海量数据中挑出的“硬骨头”,确保AI一开始就接触真实复杂场景。

第二阶段:练实战。采用“强化学习”——就像侦探在一次次破案中积累经验,AI每做对一次决策(比如选对工具、步骤合理)就会获得奖励,做错了就调整策略。为了避免AI“学偏”,研究团队还加了个“稳定器”——BN-GSPO算法,让它在处理简单题和复杂题时都能保持稳定进步,不会出现“偏科”。 这种基于双阶段归一化的优雅机制有效平滑了动态工具调用返回分布多样性带来的优化波动并确保了学习信号分布的一致性,从而成功解决了跨模态多步多工具智能体训练过程中的收敛性难题。

经过这样的训练,AI不仅学会了用工具,更培养"工具使用直觉"——知道在什么情况下应该使用哪些工具,以及如何将不同工具的结果有机结合起来。

模型、代码、数据全开源:
商汤日日新SenseNova-MARS模型、代码、数据集全开源,支持 Hugging Face 直接下载。

Github 仓库:
https://github.com/OpenSenseNova/SenseNova-MARS

模型仓库:
32B:
https://huggingface.co/sensenova/SenseNova-MARS-32B

8B:
https://huggingface.co/sensenova/SenseNova-MARS-8B

本文首发于 Aloudata 官方技术博客:《为什么公司会有几百个含义模糊的“DAU”指标?深度解析》转载请注明出处。

摘要:企业数据治理中普遍存在数百个同名不同义的“DAU”指标,这并非管理失误,而是传统“数仓+BI”烟囱式架构的必然结果。本文将从数据工程视角,精确定义指标口径混乱的四大要素,剖析其三大结构性根源,并阐述如何通过构建基于 NoETL 语义编织技术的统一指标平台,实现“一次定义,处处使用”,从根本上解决数据分析的“不可能三角”难题。

“数据孤岛导致的‘同源不同口径’问题日益严重。不同业务系统独立运行,产生的数据没有统一的描述体系。结果就是:明明是同一个‘活跃用户’指标,财务、市场和运营的口径却完全不同。这会直接导致数据驱动的决策不一致。” —— 行业分析报告

当一家企业的数据团队发现,他们维护着数百个名为“DAU”(日活跃用户)或“销售额”的指标,而每个指标的计算逻辑、统计周期或业务限定都略有不同时,这通常不是某个部门或个人的失误。相反,这是传统数据架构模式下的一个必然结果。

在经典的“数仓+BI”模式中,业务需求驱动着漫长的物理开发链路:一个报表需求 → 数据工程师开发 ETL 任务 → 创建特定的物理宽表(DWS/ADS 层) → BI 工具连接该宽表生成报表。这种“为特定报表建特定宽表”的烟囱式开发,将指标逻辑固化并分散在了成百上千个物理表中。每一次新的分析视角,都可能催生一张新的宽表和一个“略有不同”的指标版本。这直接导致了数据分析的“不可能三角”:在口径一致、响应敏捷和深度洞察三者之间难以兼得。

精确定义:什么才是真正的“指标口径混乱”?

指标口径混乱并非一个模糊的概念,它特指同一业务术语在不同数据消费场景中,其核心语义要素存在不一致,从而导致决策依据相互矛盾。一个完整的指标定义包含四大语义要素,任何一处的差异都可能导致“混乱”:

  1. 基础度量:核心的聚合计算,如COUNT(DISTINCT user_id)SUM(order_amount)
  2. 统计周期:数据统计的时间范围,如“当日”、“近7日滚动”、“本财年至今”。
  3. 业务限定:对数据范围的筛选条件,如“状态为‘已支付’”、“用户渠道为‘APP’”。
  4. 衍生计算:基于基础度量的二次计算,如同环比、占比、排名。

例如,市场部的“DAU”可能统计所有启动 APP 的设备,而财务部的“DAU”可能只统计完成至少一次有效交易的用户。这不仅仅是“活跃”定义的差异,更是基础度量(是否去重)和业务限定(是否包含交易行为)的双重不一致。

核心要素:导致指标泛滥的三大“元凶”

指标混乱现象是技术架构、组织协作和工具生态三个层面因素共同作用的“完美风暴”。

要素一:烟囱式的物理宽表开发

这是最根本的技术原因。每个分析需求都对应一张(或多张)物理宽表,指标逻辑被硬编码在 SQL 和表结构中。当业务规则变更(如“活跃”定义调整)时,需要追溯并修改所有相关的宽表,成本极高且极易遗漏,导致历史数据对比失真。

要素二:部门墙与协作断层

业务方、数据分析师与数据开发团队之间缺乏统一的协作语言和平台。需求通过邮件、会议口头传递,容易产生歧义。各部门为追求自身效率,在本地数据集或临时查询中定义“自己版本”的指标,形成组织内的“数据方言”。

要素三:封闭的 BI 工具内置指标

主流 BI 工具为提升易用性,内置了指标定义模块。然而,这些指标定义被绑定在特定的 BI 工具前端。当企业使用多套 BI 工具(如总部用 A,业务部门用 B),或需要向 AI 大模型、自建应用提供数据服务时,这些封闭的指标定义无法被复用,形成了新的“工具孤岛”。

常见误区:关于指标治理的四个错误认知

许多企业意识到问题,却采用了错误的方法,反而加剧了困境。

误区错误本质导致的后果
误区一:建一个指标字典就够了将指标治理等同于建立静态的元数据目录(Catalog)。目录与计算脱节,业务人员查阅字典后,仍需找开发人员从物理宽表中取数,口径落地依赖人工,无法保证一致性。
误区二:强制统一所有报表采用行政命令,要求所有部门立即废弃原有报表,使用统一模板。忽视业务敏捷性,引发业务部门强烈抵触,治理行动难以推进,甚至催生更隐蔽的“影子报表”。
误区三:选择一个BI工具统一天下试图通过采购单一BI厂商的全套方案来解决所有问题。被单一厂商绑定,丧失技术选型灵活性;无法适应不同场景的多样化需求(如 AI 调用、嵌入式分析)。
误区四:指标治理是IT部门的事认为制定标准、维护口径是数据团队的技术职责。缺乏业务方的深度参与和共识,制定的标准脱离实际业务场景,治理成果无法在业务决策中落地。

企业价值:终结指标混乱带来的四大收益

解决指标口径问题,远不止于“统一语言”,它能直接转化为可量化的业务与技术收益。

  1. 决策一致:基于同一事实决策,彻底避免部门间因数据“对不上”而产生的无谓争论与信任损耗,提升组织协同效率。
  2. 响应敏捷:业务人员通过自助式拖拽分析,无需等待排期,将分析需求响应周期从“天级”压缩至“分钟级”,快速验证业务假设。
  3. 洞察深化:突破预建宽表的维度限制,支持对指标进行任意维度、任意粒度的灵活下钻与归因分析,从“描述现象”走向“解释原因”。
  4. 成本降低:通过做轻数仓,减少甚至消除大量重复的 DWS/ADS 层物理宽表开发与维护,可释放 30% 以上的服务器计算与存储资源。

案例佐证:某头部股份制银行通过引入统一指标平台,实现了总分行指标口径 100% 一致,数据交付效率提升 10 倍(从 2 周缩短至 1 天),并沉淀了超过 1 万个可复用的标准指标。

评估清单:你的企业是否已陷入指标泥潭?

请用以下 5 个问题快速自检:

  1. 同一个核心业务指标(如“销售额”、“利润率”),财务、市场、运营等部门给出的数字是否经常对不上,需要反复核对?
  2. 业务部门提出一个新的报表或分析需求,从提出到最终上线,平均排期是否超过 1 周?
  3. 业务人员能否在不求助数据团队的情况下,自主、灵活地切换分析维度(如从“按地区看”切换到“按产品品类看”)?
  4. 数据团队是否花费大量时间,疲于维护众多业务逻辑相似但略有不同的汇总表、宽表?
  5. 当企业引入新的 BI 工具或AI智能问数应用时,是否需要数据团队重新定义、开发一套指标?

如果上述问题有两个或以上的答案是肯定的,那么您的企业很可能已经深受指标混乱之苦。

解决方案:基于 NoETL 语义编织的统一指标平台

要根治上述问题,需要从架构层面进行革新,将指标的定义、计算与服务进行逻辑解耦。这正是 Aloudata CAN NoETL 指标平台的核心。

核心理念:定义即开发,定义即服务

平台基于 NoETL 语义编织 技术,允许用户在逻辑层面进行声明式定义:

  • 逻辑关联声明:在 DWD 明细层上,声明业务实体间的关联关系,构建“虚拟业务事实网络”,无需预先物理打宽。
  • 声明式指标定义:通过配置化方式,组合“基础度量、统计周期、业务限定、衍生计算”四大语义要素,零代码定义复杂指标(如“上月高价值用户复购率”)。
  • 智能物化加速:基于用户声明的加速策略(而非全自动感知),系统自动生成并维护物化视图,查询时智能路由,实现亿级数据秒级响应。

架构对比:从“烟囱林立”到“统一语义层”

  • 传统架构(左):需求驱动,层层物理建模,形成大量 DWS/ADS 宽表,指标逻辑分散且固化。
  • NoETL架构(右):统一的语义层直接对接 DWD 明细数据,逻辑定义指标,向上通过标准 API/JDBC 服务各类消费端(BI、AI、应用)。

关键价值:成为 AI-Ready 的数据底座

混乱的指标和元数据是导致AI智能问数产生“幻觉”的主因。统一指标平台通过构建高质量的语义知识图谱,为 AI 提供了精准的上下文。

  • 根治幻觉:采用 NL2MQL2SQL 架构。用户用自然语言提问 → LLM 理解意图生成指标查询语言(MQL)→ 平台语义引擎将 MQL 转换为 100% 准确的优化 SQL。
  • 安全可控:所有 AI 数据请求先经过语义层鉴权,确保符合行列级数据安全策略,实现“先安检,后执行”。

常见问题 (FAQ)

Q1: 我们公司已经用了主流 BI 工具,为什么还需要独立的指标平台?

因为传统 BI 工具的指标定义是内置且绑定在该工具前端的,本质是增强工具粘性的功能模块。当企业存在多套BI工具,或需要向 AI 大模型、自建应用、WPS 表格插件等提供数据服务时,这些封闭的指标定义无法被复用。独立的指标平台作为中立的 Headless 基座,提供统一的标准 API,确保全企业“一次定义,处处使用”,口径 100% 一致。

Q2: 统一指标平台和传统数据中台里的指标管理有什么区别?

传统数据中台的指标管理多是“静态目录”,只记录指标元数据(如名称、口径描述),实际计算仍依赖底层人工开发、运维的物理宽表。而现代化的统一指标平台(如 Aloudata CAN)本身是一个动态计算引擎。它基于 NoETL 语义编织技术,直接在 DWD 明细层上通过声明式方式定义指标逻辑,并自动完成计算、物化加速与查询服务,实现了“定义即开发、定义即服务”。

Q3: 实现指标统一,是不是意味着要推翻现有的数据仓库重来?

完全不需要。推荐采用渐进式的 “三步走”资产演进法则:

  1. 存量挂载:将现有逻辑成熟、性能稳定的物理宽表直接挂载到平台,快速统一查询出口。
  2. 增量原生:所有新的分析需求,直接基于 DWD 明细层在平台上通过声明式定义敏捷响应,遏制宽表继续膨胀。
  3. 存量替旧:逐步将维护成本高、逻辑变更频繁的旧宽表迁移至新的语义范式。这实现了平滑演进,而非颠覆式重建。

Q4: 指标平台如何支持现在流行的 AI 智能问数(ChatBI)?

混乱、非结构化的元数据是 AI 产生“幻觉”的根源。指标平台通过构建标准化的语义知识图谱(包含指标、维度、口径、血缘),为 AI 大模型提供了高质量的上下文。采用 NL2MQL2SQL 架构:用户自然语言提问 → LLM 生成基于语义知识的 MQL → 平台语义引擎将 MQL 翻译为精准、高效的 SQL → 智能路由至最优物化表或明细层执行 → 返回结果。这从根本上将 AI 生成 SQL 的“开放题”收敛为选择标准指标的“选择题”,实现高准确率。

Q5: 对于数字化初期的企业,直接建设统一指标平台是不是“杀鸡用牛刀”?

恰恰相反,这是实现 “数字化平权” 和弯道超车的战略机遇。传统企业经历了“先乱后治”的痛苦过程。数字化初期的企业可以直接采用最先进的“语义模型驱动”架构,跳过宽表泛滥、口径混乱的阶段,以较低门槛一步到位构建统一、敏捷、标准的数据服务能力,避免未来高昂的治理与重构成本。

Key Takeaways(核心要点)

  1. 指标混乱是“症”非“病”:它是传统烟囱式数据开发模式的必然产物,根源在于技术架构,而非管理能力。
  2. 治理需解耦逻辑与物理:有效的指标治理必须将业务语义的定义,从物理宽表的开发中解放出来。
  3. 统一语义层是核心:基于 NoETL 语义编织技术构建的统一指标平台,能够实现指标的“定义即开发、定义即服务”,成为企业唯一可信的数据事实源。
  4. 价值超越降本增效:除了提升开发效率、降低资源成本,更能保障决策一致性、赋能业务敏捷分析,并构成未来 AI 应用不可或缺的 AI-Ready 数据底座。
  5. 落地可渐进平滑:通过“存量挂载、增量原生、存量替旧”的三步走策略,企业可以在不影响现有业务的前提下,稳步向现代化数据架构演进。

**查看更多技术干货与产品详情,请访问Aloudata 官方技术博客,查看原文:https://ai.noetl.cn/knowledge-base/why-companies-have-hundred...

兄弟们,昨天深夜刷到一份数据,睡意全无。

咱们这群人,过去两年是不是经常感觉:技术更新比发际线后移还快,但好机会却像内存泄漏一样,越来越难找?昨天还被奉为“架构师”,明天可能就要担心会不会被“优化”。

但今天,我想用一份刚挖到的、世界经济论坛出的《2026经济趋势指南》给你们打点气。看完我只有一个感觉:别在存量市场里内卷了,真正的增量战场,已经划出来了。

报告里有两组数据直接抓住了我的眼球:
67%的企业计划在2026年扩招,全球预计新增3.2亿个岗位——这可不是画饼,是实打实的HR的KPI。
而风口,就藏在这份 「最具潜力行业TOP10」 的榜单里。我仔细扒拉了一下,发现咱们程序员的技能树,几乎就是为其中一半以上的行业量身定制的。

一、 硬核科技“铁饭碗”:你的代码是物理世界的“新基建”

先看榜单前五,每一个都散发着“国家重点发钱”的气息:


人工智能与机器学习 (TOP1)
报告说“平均年薪突破50万”,这还只是平均数。但重点不再是造大模型,而是 “如何把AI塞进每一个具体场景里炼出金子” 。
我们的机会:别再只当调参侠。成为 AI应用工程师——在智能制造里优化流水线良品率,在生物医药里加速分子筛选。你的价值等于你为产业省下的钱或创造的利润。


半导体与芯片制造 (TOP4)
“国产替代”不是口号,是无数公司背水一战的死命令。这里缺的不只是物理学家,更缺懂高性能计算、嵌入式开发、芯片设计自动化(EDA)工具链的软件人才。
我们的机会:为“卡脖子”的硬件,编写“突破脖子”的软件。这是一条壁垒极高、周期长、但无比坚固的赛道。


网络安全与数据隐私 (TOP5)
法规越来越像高压线,安全从“成本部门”变成了“保险部门”。未来每一行代码都可能要经过“安全合规”的编译。
我们的机会:安全开发工程师(DevSecOps) 会成为标配。在金融、政务、医疗这些领域,你会从一个“写功能的人”,变成“守护数据城池的人”。


智能制造与工业4.0 (TOP6)
这是产业数字化的核心战场。想象一下,你写的算法控制着价值上亿的无人产线,你的数字孪生系统能预判一次价值千万的故障停机。
我们的机会:工业软件、机器人控制、物联网平台。从互联网的“虚拟世界”跳进工厂的“物理世界”,成就感是另一种维度的。

二、 融合赛道“黄金刀”:用技术撬动万亿级市场

再看另外几个,它们需要的是“技术+行业”的复合能力,程序员是这里的核心变量:

新能源与可持续发展 (TOP2)
光伏、储能、氢能,人才缺口超百万。这里不止需要工程师拧螺丝,更需要用算法优化电网调度、用数据模型预测电池衰减、用物联网管理千万级充电桩的“能源程序员”。
我们的机会:成为懂电力、化学、流体力学的“跨界码农”,把代码写在碳中和的时代答卷上。


金融科技与数字货币 (TOP7)
在强监管下跳最前沿的舞。区块链、数字人民币、智能投顾,每一个都需要在“安全、合规、高性能”的铁三角里做到极致。
我们的机会:对并发、安全、算法有极致追求的兄弟,这里欢迎你。你的代码直接和“钱”打交道,容错率是零。


电动汽车与智能驾驶 (TOP8)
这是AI、芯片、智能制造的大集成终端。自动驾驶算法、车控OS、座舱交互,每一块都是软件定义汽车的核心。
我们的机会:从“写App”到“写车”,技术栈更深,对稳定性和实时性的要求是指数级上升,但天花板也是。


三、 我们该如何“版本迁移”?一份行动路线图

看到这里,你可能会说:“领域很好,但我不会啊。” 别急,转型不是换头,而是“技能迁移”。你可以这么做:

第一步:用数据地图,给自己定位
别凭感觉。我强烈建议你去这份报告的页面看看,里面有一个 “你最看好哪个行业”。去看看成千上万同行用脚投票的结果,比任何分析都真实。

第二步:执行“T型人才”2.0计划
一竖(技术深度)不能丢,但那一横(行业认知)必须疯狂加宽。比如:


想切入生物医药?去学基础的生命科学知识,了解药物研发流程。

想进入智能制造?去理解MES(制造执行系统)、PLC(可编程逻辑控制器)是什么。

方法:放下技术人的傲慢,主动去和行业里的人聊,把他们的“黑话”翻译成你的“技术需求”。

第三步:在现有工作中“灰度发布”新技能

不用马上跳槽(跳板)。尝试在你现在的项目里,引入一点新思路。比如做电商的,能不能研究一下跨境电商的供应链系统?做工具软件的,能不能想想如何应用到元宇宙的创作场景里?用最低成本试错,积累你的“跨界项目经验”。

最后说点扎心又真实的:
过去十年,互联网是程序员的最大公约数。未来十年,这个最大公约数会分解到各个实体经济和硬科技领域里。我们的价值,将不再仅仅由点击率和日活衡量,而是由我们优化了多少能源效率、缩短了多少新药研发周期、保障了多少金融交易安全来定义。

这不是衰退,这是一次价值回归——回归到技术改变世界的本质。

别在旧船票上纠结头等舱了,新的船正在起航,船票就是你的“技术+行业”的复合理解力。

想看看同行们怎么选?这里,拿你的2026航图

搞清楚潮水的方向,比在池子里拼命划水重要一万倍。

共勉。

这款全球最常用的文件压缩软件曝出的严重漏洞,已成各国间谍机构与网络犯罪分子的惯用攻击利器。谷歌威胁情报团队(GTIG)发布一份触目惊心的报告,详细披露了CVE-2025-8088这一 WinRAR高严重性漏洞 被大规模利用的现状 —— 攻击者可借助该漏洞突破安全防护,将恶意软件深度植入受害者的系统中。

尽管微软已于 2025 年 7 月发布该漏洞的修复补丁,但报告指出,当前仍存在“基础应用安全的防御缺口”,部分境内外攻击利用者持续将这一“N 日漏洞”作为武器,针对全球军事、政府及商业领域发起攻击。注:此类攻击利用者均为个别非法势力,其行为与任何国家官方无关,各国均严厉打击各类网络攻击违法犯罪活动。

该漏洞(CVE-2025-8088)属于 路径遍历漏洞,攻击者利用 Windows 系统的 备用数据流(ADS)特性 实施攻击,通过这一机制,可将恶意代码隐藏在看似无害的正常文件中。

谷歌威胁情报团队的调查,明确了当前正活跃利用该漏洞发起攻击的各类网络威胁利用者:

1.特定境外攻击利用者:UNC4895(RomCom)、APT44、图拉(Turla)等团伙被发现利用该漏洞,针对乌克兰军事及政府机构展开攻击。相关威胁团伙正持续在针对乌克兰军政机构的攻击活动中利用 CVE-2025-8088,且使用高度定制化的地缘政治相关诱饵进行钓鱼。

2.中国境内非法攻击利用者:有中国境内的非法攻击团伙被发现利用该漏洞,将POISONIVY(毒藤)木马通过批处理文件植入受害者系统的启动文件夹,实现恶意程序的持久化运行。

3.网络犯罪利用者:以牟利为目的的黑产团伙也借机大肆敛财。针对拉美酒店业的攻击者,利用该漏洞投放XWorm蠕虫AsyncRAT远控木马;另有团伙向巴西银行业用户投放恶意 Chrome 浏览器扩展程序,同样借助了该漏洞。

这一漏洞被大规模利用,部分原因源于 “零玩家(zeroplayer)” 这类漏洞供应者的推动,该团伙专事倒卖高价值、高定价的漏洞利用工具。

报告指出:“WinRAR 漏洞并非零玩家武器库中的唯一利器。” 据悉,该团伙一直将各类顶级网络攻击武器拍卖给出价最高者,其中包括:

  • 售价 30 万美元的微软 Office 沙箱逃逸漏洞利用工具;
  • 售价 10 万美元的 Windows 本地权限提升(LPE)漏洞利用工具;
  • 售价 8 万美元、可禁用杀毒软件与终端检测响应(EDR)系统的漏洞利用工具。

研究人员警示:“零玩家作为漏洞利用工具的上游供应者持续活跃,这一现象凸显出网络攻击产业链的商品化趋势仍在不断加剧。”

WinRAR 官方已于2025 年 7 月 30 日发布 7.13版本,修复了该漏洞。但数月后攻击活动仍未停止,这一事实证明,众多企业组织的软件更新工作严重滞后。

谷歌威胁情报团队敦促所有用户立即完成软件更新,并强调:“漏洞修复补丁发布后,恶意攻击者仍会将这类 N 日漏洞作为攻击手段,利用企业慢更新的特点伺机作案。”

赛拉研究实验室在 Grist-Core 中发现的一处严重漏洞,让看似无害的电子表格公式,成为攻陷整个企业组织的关键。该漏洞编号为CVE-2026-24002,CVSS 评分高达 9.1 分,攻击者可利用其突破该平台的 Pyodide 沙箱防护,实现完全的远程代码执行(RCE)
Grist 作为 Excel 的可编程替代工具,在政府、教育及各行业中应用广泛,其核心优势是支持在单元格中运行 Python 代码以实现工作流自动化。但研究人员发现,这一 “可编程数据层” 的底层架构存在严重脆弱性。
与依赖明显代码注入手段的传统攻击不同,该漏洞的利用方式是将合法的数据包武器化,攻击流量会沿着 Grist 解析公式的常规数据处理路径执行,让日常的电子表格更新操作,沦为悄无声息的系统接管行为。
研究报告详细阐述了攻击者可突破沙箱边界的三种具体方式:
  1. 类层级遍历:利用 Python 的对象模型,访问os.system()等被禁用的内置函数;
  2. 直接调用 C 库:借助 ctypes 库,从内存中直接调用系统底层函数;
  3. 滥用 Emscripten 运行时:调用emscripten_run_script_string()函数,在宿主运行时环境中执行 JavaScript 代码。
该漏洞造成的后果极为严重:此次沙箱逃逸并非仅能实现本地服务器的远程代码执行,还可攻陷运行租户工作流的 SaaS 控制层,实现该层面的远程代码执行
Grist 安全团队已迅速采取行动修复该漏洞,此次修复涉及底层架构的根本性调整:将 Pyodide 公式的执行环节,默认迁移至 Deno 运行时环境中进行。
这一调整的关键意义在于改变了漏洞的触发后果:此前的情况是 “一旦突破 Pyodide 沙箱,就会直接攻陷宿主系统”,而现在宿主运行时的权限完全由 Deno 的权限模型管控,从根源上降低了风险。
研究人员敦促管理员立即将 Grist 升级至1.7.9 及更高版本,同时需注意切勿禁用新的防护机制。报告警示,若设置配置项GRIST_PYODIDE_SKIP_DENO=1,将会绕过此次修复,该操作应被视为主动选择使用防护能力更弱的隔离边界
研究人员指出:当一款自动化或数据平台成为受信任的执行环境时,其沙箱逃逸漏洞带来的就不再是单一服务器的故障,而是整个信任边界的崩塌

安全专家发出警示:身份认证服务商 Okta 的单点登录(SSO)用户需提高警惕,防范黑客入侵企业网络、窃取数据并实施勒索的行为。
近期针对 Okta 单点登录工具用户的社会工程学攻击呈激增态势,受此影响,Okta 上周已直接向用户发布了该攻击活动的预警。据悉,这些攻击行为几乎均由网络犯罪组织ShinyHunters实施。
谷歌旗下曼迪昂特咨询集团首席技术官查尔斯・卡马克尔表示:“这是一场持续进行的活跃攻击活动,已有多家企业遭遇数据失窃,而自称 ShinyHunters 的黑客组织已向部分受害企业发出勒索要求。”
这类攻击的特殊之处在于,黑客借助最新一代高度自动化的钓鱼工具包,通过实时语音对话实施欺诈,并将用户重定向至仿冒度极高的登录界面,整个攻击流程经过精密策划。
威胁情报公司 Silent Push 指出:“这并非常规的自动化暴力钓鱼攻击,而是由人工主导、高交互性的语音钓鱼(钓鱼电话) 操作,即便是加固后的多重身份验证(MFA)体系,也可能被其绕过。”
该公司称,黑客所使用的实时钓鱼面板工具,能让人工攻击者介入用户的整个登录流程,实时截获用户凭证与多重认证令牌,从而立即获取企业管理后台的长期访问权限。拨打钓鱼电话的黑客会按照固定脚本引导受害者,完成其指定的一系列操作。
一旦黑客成功入侵,往往会开展横向移动,利用获取的权限通过 Slack、Teams 等内部通讯工具,对高权限管理员实施社会工程学欺诈。Silent Push 表示,黑客会尝试使用不同身份在企业多重认证系统中完成注册,同时优先实施快速数据窃取,用于公开勒索
赛门铁克威胁情报总监雷夫・皮林称,根据 2025 年 12 月起搭建的恶意基础设施线索判断,目前已有多达 150 家企业成为黑客的当前攻击目标或潜在盯上的对象。
他表示:“诈骗者会为每个攻击目标单独注册定制域名,以此窃取用户凭证,并协助自己绕过企业的多重身份验证体系。”
研究人员透露,此次攻击的目标覆盖多个行业,包括大型金融服务机构、医疗健康企业、物流运输公司、制造企业、生物科技与制药公司、科技软件企业以及房地产企业。
皮林指出,截至目前,该攻击活动的目标似乎仅针对使用 Okta 系统的企业,但 ShinyHunters 及同类组织此前曾攻击过各类单点登录服务商,这意味着黑客的攻击目标范围很可能会进一步扩大
针对这类并未利用厂商软件漏洞、由人工主导的实时钓鱼攻击,最有效的防御手段仍是搭建完善的多重身份验证体系。
曼迪昂特的卡马克尔表示:“我们强烈建议企业尽可能采用抗钓鱼多重认证方案,例如 FIDO2 安全密钥或通行密钥,这类防护手段能有效抵御社会工程学攻击,这是推送式认证或短信认证无法做到的。”
他还称:“管理员还应制定严格的应用授权策略,并对日志进行监控,及时发现异常的 API 操作行为或未授权的设备注册行为。”
Silent Push 建议,企业需向员工发出预警,告知其该活跃攻击活动可能会直接针对个人,并为员工举例说明黑客的攻击手段,同时建立线下验证渠道,让员工能够确认与其沟通的是否为企业真实的 IT 部门。
该公司表示:“若员工在此期间收到任何可疑信息、来电或邮件,应立即上报给管理人员与安全团队进行核查。”
ShinyHunters 组织诞生于西方以青少年为主的网络犯罪社群The Com,该组织成员多为英语母语者,常通过拨打钓鱼电话伪装成 IT 技术支持人员实施攻击,且会随意使用不同的组织旗号,近期使用的旗号包括Scattered Lapsus$ ShinyHunters
威胁情报机构 Unit 221B 首席研究官艾莉森・尼克松表示,从 ShinyHunters 及 Scattered Lapsus$ ShinyHunters 此前的攻击行径来看,任何遭遇此次攻击的受害企业,都可能面临黑客的反复勒索、黑客利用已窃取数据实施的虚假欺诈,即便支付赎金,也会遭遇多次二次勒索。
她直言:“毫无疑问,向 The Com 社群旗下的勒索软件组织支付赎金毫无意义。这些组织根本不理解俄罗斯勒索软件的商业模式为何能运作,受害者也无法得到其承诺的结果,因此这些勒索者一分钱都不配得到。”
尼克松表示:“无论是否支付赎金,最终结果都是一样的。企业不如省下这笔钱,专注于开展事件响应工作,以及处理后续必须完成的法律相关文书工作。”

信号基金会总裁梅雷迪思・惠特克表示,嵌入操作系统的人工智能代理,正逐步削弱端到端加密(E2EE)在实际应用中能提供的安全保障。
该言论是惠特克在达沃斯世界经济论坛期间接受彭博社采访时发表的。她指出,尽管加密技术在数学层面依然严谨无懈,但凭借在现代用户操作环境中占据的特权地位,人工智能系统正让加密技术的现实防护效果被越来越多地绕开。
拥有十余年谷歌研究从业经历的资深研究员惠特克称,网络威胁模型已发生根本性转变:集成在核心操作系统中的人工智能代理被赋予对用户数据的广泛访问权限,这直接动摇了信号这类安全即时通讯平台的设计根基。这类代理要实现宣传中的功能,就必须能够读取消息、获取身份凭证、跨应用完成交互,而这会彻底打破端到端加密技术赖以存在的应用隔离机制

这一担忧并非仅停留在理论层面。网络安全研究员贾米森・奥赖利近期的一项调查发现,开源人工智能代理框架Clawdbot的部分部署节点存在暴露问题,且这些节点与信号等加密即时通讯平台直接关联。在一起情节尤为严重的案例中,有操作者将信号的设备绑定凭证配置在了可公开访问的控制面板中。这就意味着,任何发现该操作界面的人,都能为目标账号绑定新设备,并以明文形式查看其私人消息,信号的加密保护机制也因此被彻底失效。

信号是一家专注于隐私保护通讯的非营利机构,其产品被全球各地的记者、活动人士以及政府和军方人员广泛使用。其研发的信号协议更是现代密码学领域的黄金标准,WhatsApp、谷歌消息等平台也均采用了该协议。但惠特克警示,当人工智能系统在用户设备上拥有近乎根权限的访问能力时,单靠加密技术已无法为用户提供有效保护。
在采访中,她还阐述了人工智能代理的商业宣传与权限需求之间的矛盾:这类代理被包装成贴心的智能助手,但要实现相应功能,就必须获取海量系统权限。惠特克解释道,企业宣称这类系统能为用户协调日程、代发消息,但要完成这些操作,它们就必须访问用户的日历、浏览器、支付方式,以及信号这类私人即时通讯应用,这会让解密后的消息直接处于操作系统的可访问范围内
惠特克将这种架构层面的转变比作打破了应用程序与操作系统之间的“血脑屏障”。一旦这道边界被突破 —— 无论是因系统遭入侵,还是企业的刻意设计 —— 单个应用程序将无法再独立保障用户的隐私安全。她表示,部署人工智能代理的企业,尤其是在操作系统层面部署的企业,必须认识到:若这类设计会破坏安全通讯体系,其草率程度不言而喻。
在奥赖利针对 Clawdbot 的研究中,他发现有数百个控制面板可通过公共互联网直接访问,其中部分面板未设置任何身份验证机制。通过这些界面,攻击者可获取 Slack、电报、迪斯科、WhatsApp、信号等平台的完整对话记录、应用程序编程接口密钥、开放授权令牌,还能执行相关命令。在多个案例中,信号的设备配对数据均以明文形式存储,攻击者可借此实现远程账号接管。
奥赖利表示,该问题并非单一程序漏洞所致,而是反映出一个行业共性问题:人工智能代理要实现功能就必须获取大量系统权限,但这类程序的部署往往缺乏充分的安全加固。一些常见的配置失误,比如在反向代理环境中,将来自回环地址的所有连接均视为可信连接,就可能导致系统意外暴露在公共网络中。即便开启了身份验证机制,将所有身份凭证和对话记录集中存储在单一系统中,也会让该系统成为黑客的重点攻击目标。
惠特克强调,关于加密技术的讨论不应局限于抽象的学术层面。尽管信号协议本身在密码学层面依然安全,但她警示,用户的实际隐私安全,取决于整个系统的安全防护水平。如果处理解密后消息的系统层级遭到入侵,加密技术所能提供的所有保护,都将变得毫无意义。

AI 代码助手的火爆出圈,也引来全新的网络恶意攻击者。2026 年 1 月 27 日,Aikido Security 的安全研究员查理・埃里克森发现一款伪装成热门工具ClawdBot的恶意 Visual Studio Code 插件,这款被命名为ClawdBot Agent的插件打着实用 AI 工具的幌子,在开发者的设备上悄悄植入恶意软件。
这一事件凸显出一个日益显著的趋势:攻击者正利用新型 AI 工具的热度,诱骗本具备一定安全意识的开发者。研究报告指出:“近期只要接触过 AI 编程相关领域,大概率随处能看到 ClawdBot 的相关提及,这自然让它成为仿冒攻击的首要目标。”
此次攻击的高危险性,还体现在攻击者为实施欺骗所付出的精心设计上。与那些制作粗糙、要么无法运行要么毫无实际功能的低级诈骗插件不同,这款恶意插件能正常实现宣称的功能
报告中提到:“这款仿冒插件的伪装程度极高,配有专业的图标、打磨精致的操作界面,还能对接七家不同的 AI 服务商…… 甚至完全按照宣传的效果正常工作,而这一点恰恰是它最危险的地方。”
该恶意软件依托 OpenAI、Anthropic、谷歌的正版 API,让插件表面上成为一款功能完备的代码助手,让受害者放下戒心,而它则在后台悄然执行恶意操作。
研究报告明确表示:“我们已证实该插件是一款功能完整的特洛伊木马:表面上是正常可用的 AI 代码助手,实则会在 VS Code 启动的瞬间,向 Windows 设备悄悄植入恶意程序。”
该插件的攻击链为:下载伪装成常用截图工具Lightshot.exe的恶意载荷,或是名为Code.exe的 Electron 程序包。但对其攻击基础设施的分析显示,这些文件名只是高级下载器的伪装而已。
埃里克森在分析中写道:“发现一个有意思的细节?其硬编码的备用执行程序仍指向 Lightshot.exe 和 Lightshot.dll…… 这说明攻击者的恶意载荷大概率经过了多次迭代升级。”
研究人员追踪发现,这款恶意软件的命令与控制(C2)通信流量指向一个可疑域名:darkgptprivate[.]com。该域名由奥米加科技有限公司托管在塞舌尔,且注册时间就在此次攻击发生前几周。
攻击者为此次攻击操作搭建了多重冗余机制:利用 Cloudflare 隐藏其主服务器(clawdbot.getintwopc[.]site),还设置了各类备用执行方案。“主 C2 服务器瘫痪,他们有备用节点;Node.js 执行失败,还有 PowerShell 方案兜底…… 可见这群攻击者做足了准备工作。”
所幸这款恶意插件被及时发现。研究报告证实:“我们第一时间向微软进行了举报,微软也迅速下架了该插件。”
插件下架时的安装量仅为 21 次,其影响范围得以控制。但这一事件也为开发者敲响了警钟:在 AI 工具的淘金热潮中,安装插件前务必核实开发者的真实身份。正如报告最后所强调的:正版 ClawdBot 开发团队从未发布过官方的 VS Code 插件,只是攻击者抢先盗用了这个名称而已。

eScan 杀毒软件开发商微世界科技(MicroWorld Technologies) 已正式证实,其旗下一台更新服务器本月初遭黑客入侵,黑客利用该服务器向一小部分用户推送了未经授权的更新程序,后续分析证实该程序为恶意文件。
2026 年 1 月 20 日,在长达两小时的时间窗口内,从该区域更新服务器集群下载更新的用户均收到了这一恶意文件。

eScan 方面表示,涉事的服务器基础设施已完成隔离与重建,相关身份认证凭证也已完成更换,同时已为受影响用户提供了对应的安全修复方案。

安全厂商Morphisec也单独发布了一份技术报告,分析了在客户终端监测到的恶意活动,该机构确认这些活动与同一时间段内从 eScan 更新服务器推送的更新程序直接相关。

Morphisec 称其于 2026 年 1 月 20 日检测到相关恶意活动,随后联系了 eScan。但微世界科技向科技媒体 BleepingComputer 表示,该公司对 Morphisec 宣称自身为首个发现并上报该事件的说法存在异议。
eScan 方面给出的说法是,公司已于 1 月 20 日通过系统监控和用户反馈内部发现了该问题,并在数小时内完成了涉事基础设施的隔离,且于 1 月 21 日发布了安全预警公告。eScan 还指出,Morphisec 是在公开发布该事件相关声明后,才联系了公司。
对于 “受影响用户对该事件毫不知情” 的说法,eScan 同样予以否认,称其在安全修复方案敲定期间,已主动向受影响用户发送通知并进行了一对一沟通。

更新服务器遭非法入侵

eScan 在其安全预警公告中将该事件定性为更新基础设施访问入侵事件,表示黑客通过非法访问某区域更新服务器的配置信息,在更新分发路径中植入了未经授权的文件。
微世界科技向 BleepingComputer 提供的公告中写道:“黑客非法访问了我们某台区域更新服务器的配置,导致一个异常文件(补丁配置二进制文件 / 恶意损坏更新包)被植入更新分发路径。”
“2026 年 1 月 20 日的特定时间段内,从该受影响服务器集群下载更新的用户,均接收到了该文件。”
该公司强调,此次事件并非因 eScan 杀毒软件自身存在漏洞所致。
eScan 还明确,仅有从该特定区域服务器集群完成软件更新的用户受到影响,其余所有用户均未波及。
不过 eScan 表示,安装了该恶意更新程序的用户,其设备可能出现以下异常现象:
  • 更新服务故障提示
  • 系统 hosts 文件被篡改,导致无法连接 eScan 更新服务器
  • eScan 更新配置文件被修改
  • 无法接收新的病毒库安全定义更新
  • 客户端设备弹出更新服务不可用的提示窗口
BleepingComputer 已向 eScan 进一步求证其服务器最初遭入侵的具体时间,若收到回复将第一时间更新相关报道。

恶意更新被用于投放恶意软件

Morphisec 在其安全公告中指出,此次黑客推送的恶意更新程序,植入了经篡改的 eScan 更新组件Reload.exe
该公告中写道:“黑客通过 eScan 合法的更新基础设施分发恶意更新程序,导致全球范围内的企业和个人终端设备均被植入了多阶段恶意软件。”
尽管这一经篡改的 Reload.exe 文件,表面上带有看似属于 eScan 的代码签名证书,但 Windows 系统和病毒检测平台 VirusTotal 均判定该签名无效
Morphisec 表示,这款恶意 Reload.exe 文件(可在 VirusTotal 查询)被黑客用于实现恶意程序持久化驻留、执行恶意命令、篡改 Windows HOSTS 文件以阻止设备进行远程更新,同时连接黑客的命令与控制(C2)服务器,下载更多恶意载荷。

研究人员公布了监测到的以下黑客命令与控制服务器地址:

hxxps [://] vhs [.] delrosal [.] net/i

hxxps [://] tumama [.] hns [.] to

hxxps [://] blackice [.] sol-domain [.] org

hxxps [://] codegiant [.] io/dd/dd/dd [.] git/download/main/middleware [.] ts

504e1a42.host.njalla [.] net

185.241.208 [.] 115

研究人员发现,黑客最终向受感染设备投放的恶意载荷为一个名为CONSCTLX.exe的文件(可在 VirusTotal 查询),Morphisec 确认该文件是一款后门程序,同时具备持久化下载恶意文件的功能。该机构还表示,这些恶意文件会创建计划任务以实现持久化驻留,任务名称伪装为CorelDefrag等正常名称。
目前 eScan 已推出一款修复性更新程序,用户运行后可自动完成以下操作:
  1. 自动识别并修正被篡改的系统配置
  2. 恢复 eScan 更新服务的正常功能
  3. 验证系统是否成功恢复
  4. 操作完成后需重启系统(常规重启即可)
eScan 与 Morphisec 均建议用户,为提升设备安全性,屏蔽上述所有黑客命令与控制服务器地址
值得注意的是,2024 年曾有相关监测显示,朝鲜黑客组织曾利用 eScan 杀毒软件的更新机制,在企业网络中植入后门程序。

一直竭力弥补在人工智能存储领域巨大差距的三星电子,终于迎来了利好消息。据彭博社报道,这家科技巨头即将达成一个关键里程碑:其新一代高带宽存储(HBM4) 产品即将通过英伟达的认证。有消息人士透露,三星的相关验证工作已进入最终阶段;若此次认证成功,将大幅削弱其强劲竞争对手海力士当前所占据的竞争优势。
报道显示,三星水原总部早在去年 9 月就向英伟达交付了首批 HBM4 样品,供其开展严格测试。历经数月的精细调校与验证,这项认证工作现已进入冲刺阶段。
对于英伟达而言,高带宽存储是驱动其人工智能加速器性能的核心部件。随着后续 GPU 架构对带宽和容量的需求激增,获得稳定且多元化的 HBM4 供货渠道显得至关重要。在过去两年间,海力士凭借其在 HBM3 和 HBM3E 领域的技术领先优势,几乎垄断了英伟达的高端存储采购订单,公司市值也随之大幅攀升。反观三星,其在 HBM3E 的研发和生产中遭遇了良率不稳定与散热难题,最终导致公司股价下跌、市场份额萎缩。
此次 HBM4 的认证进展,对三星而言堪称一场“必胜之战”。若三星能与竞争对手同时甚至率先通过认证,将重新跻身人工智能供应链核心阵营,打破海力士一家独大的格局。业内普遍认为,HBM4 是存储行业发展的重要分水岭。与 HBM3E 仅在速度和堆叠层数上进行增量优化不同,HBM4 实现了底层架构的革新:其逻辑基底芯片将采用更先进的制程工艺打造,例如台积电的 12 纳米或 5 纳米工艺。这一结构升级,恰好发挥了三星在逻辑芯片制造领域的传统优势。
倘若三星此次顺利通过 HBM4 认证,无疑将为整个人工智能行业带来积极影响。当前,高带宽存储产能严重不足,仍是制约人工智能芯片出货量的主要瓶颈之一。市场上若能出现第二家具备高水准供货能力的厂商,不仅能缓解这一长期存在的供应短缺问题,还能让英伟达在价格谈判中掌握更多主动权。
不过,通过认证仅仅是迈出的第一步,真正的考验在于实现稳定的产品良率规模化量产能力。值得一提的是,三星此前也曾接近完成 HBM3E 的认证,却在量产环节遭遇多次延期。HBM4 能否成为三星实现战略复苏的催化剂,仍有待观察,而2026 年上半年将是这场竞争的关键观察窗口。


ESET 研究人员发现了一起针对巴基斯坦用户的安卓间谍软件攻击活动,该活动以网恋诈骗为诱饵。攻击者通过一款伪装成聊天工具的恶意应用实施攻击,这款应用会将对话流量转接到 WhatsApp,而在浪漫伪装的背后,其核心目的是窃取受感染设备中的数据。ESET 将该恶意软件命名为GhostChat
该威胁团伙似乎正在开展范围更广的监控行动,包括通过ClickFix 攻击攻陷受害者电脑,以及通过WhatsApp 设备链接攻击获取受害者的 WhatsApp 账户访问权限。
这些关联攻击活动均以仿冒巴基斯坦政府机构的网站为诱饵,受害者需从非官方渠道手动下载并安装 GhostChat。该应用从未在 Google Play 上架,且默认启用的 Google Play Protect 会对其进行拦截。
ESET 研究员卢卡斯・斯特凡科表示:“此次攻击采用了一种我们在同类骗局中前所未见的欺骗手段 ——GhostChat 中的虚假女性资料会显示为‘锁定’状态,需要输入密码才能查看。但实际上,这些密码是硬编码在应用中的,这只是一种社会工程学策略,目的是让潜在受害者产生‘获得专属访问权限’的错觉。”
这款恶意应用盗用了一款正规约会软件的图标,却不具备任何相应功能,仅作为移动设备上的诱捕工具和监控程序。受害者登录后,会看到 14 个女性资料列表,每个资料都关联一个带有巴基斯坦国家代码的 WhatsApp 号码。使用本地号码能让资料看起来更像是巴基斯坦本地人,从而增加骗局的可信度。当用户输入所谓的解锁码后,应用会将其重定向至 WhatsApp,与该号码开始聊天,而这些号码实际上由威胁团伙控制。
在受害者使用该应用的过程中,甚至在登录之前,GhostChat 间谍软件就已在后台运行。它会监控设备活动,并将敏感数据发送至命令与控制(C2)服务器。GhostChat 还支持持续监控:它会设置内容观察者跟踪新生成的图片,并在图片出现时立即上传;同时,它会运行一个定时任务,每五分钟检查一次新文档,以实现对数据的持续收集。
此次攻击活动与一个更庞大的基础设施相关联,该基础设施还支持基于 ClickFix 的恶意软件投放和 WhatsApp 账户攻陷。这些攻击均依赖仿冒网站、冒充政府机构,以及基于二维码的设备链接方案,同时针对桌面端和移动端用户。ClickFix是一种社会工程学攻击手段,它通过看似合法的指示,诱使受害者手动执行恶意代码。
除了利用 ClickFix 的桌面端攻击,该基础设施还支持针对 WhatsApp 用户的移动端专项攻击。受害者被诱导加入一个声称与巴基斯坦国防部相关的虚假社群频道,并被要求扫描二维码,将其安卓或苹果设备链接至 WhatsApp 网页版或桌面端。这种名为GhostPairing的攻击方式,能让攻击者获取受害者的聊天记录和联系人信息,获得与合法用户完全相同的账户可见性和控制权,从而暴露所有私人通信内容。

面对愈演愈烈的网络攻击与无处不在的网络间谍威胁,元宇宙旗下的通讯平台标杆WhatsApp宣布,正式推出一项名为“严格账号设置”的强力防御机制。
该功能灵感源自苹果的 “锁定模式”,专为记者、活动人士、政要等高风险人群精心打造。用户只需一键开启,系统便会启动一整套严密的防护协议,为用户有效抵御各类潜在的网络入侵行为。
“严格账号设置” 功能将于未来几周内在全球上线,用户开启后,会以适度精简的使用体验,换取更坚固的安全防护等级。这一网络安全防护体系,构建于三大核心防护支柱之上:
  1. 拦截陌生附件:系统将自动屏蔽陌生联系人发送的图片、视频与文档,从根源上切断恶意软件的主要传播渠道。
  2. 暂停超链接预览:收发链接时,网页缩略图与标题的自动生成功能将被关闭,防止攻击者通过恶意网址渲染获取用户 IP 地址,或触发系统漏洞。
  3. 屏蔽陌生来电:陌生号码的来电将默认静音处理。这一设置不仅能有效遏制骚扰来电,更是防范攻击者通过复杂通话协议实施“零点击” 漏洞攻击的关键防护手段。
WhatsApp 方面强调,对于绝大多数普通用户而言,平台标配的端到端加密仍是坚不可摧的安全屏障,因此该高防护模式并非普通用户的必备功能。
研发这一功能的核心动因,是为了抵御“高度复杂的网络攻击”—— 尤其是以色列 NSO 集团开发的飞马间谍软件,这类攻击专门针对特定人群实施秘密监控。此次新功能的推出,是继 2022 年苹果推出锁定模式、安卓后续上线高级防护功能后,网络安全防护领域的又一重要拓展。

首先感谢各位 V 友,一个月前开源的时候,只是在 V 站和 L 站发了篇贴子,没想到一下子起来了😄

开发 ChatLab 的前后还是发生了很多事情的,在开源来到一个月的时候,它的 Star 来到了 3500 (写文章花了几天,现在又快 4000 了),正好很久没写文章了,于是想写一篇笔记记录一下,也欢迎 V 友们体验~

顺便介绍一下它:ChatLab 是一个本地化的聊天记录分析工具,它的核心功能是专注于本地化的聊天记录分析,通过 SQL 、AI Agent 、NLP 等能力,实现了一些比较有意思的聊天记录分析功能。

博文地址:开源首月 3500 Star ,聊聊 ChatLab 的过去、现在和未来

Github: https://github.com/hellodigua/chatlab

在官网可以预览到一些分析的结果:chatlab.fun

欢迎提出反馈意见

本文首发于 Aloudata 官方技术博客:《数据工程师摆脱“写不完的宽表 SQL”的 4 步法:从低效到高效》转载请注明出处。

摘要:本文探讨了数据工程师在传统“数仓+宽表”模式下,因需求线性增长而陷入的“宽表困境”。为解决此问题,我们提出一套基于 NoETL 语义编织 技术的四步方法论,核心是通过构建企业级 语义层 和 虚拟业务事实网络,以 声明式指标定义 替代手写 SQL,并利用 智能物化加速 保障性能,最终实现指标口径统一、开发效率提升和数据成本优化。

前置条件:认清“宽表困境”的本质与代价

摆脱低效工作的第一步,是深刻理解其根源。传统的“数仓+宽表”模式在应对敏态业务分析需求时,已陷入一个经典的“不可能三角”:效率、质量、成本难以兼顾。

“宽表数量随业务需求线性增长,开发与运维成本失控:每新增一个分析维度或业务场景,就需要新建一张宽表,导致数仓中宽表数量激增,数据冗余严重。” —— 外部市场情报

这种困境具体表现为:

  1. 线性膨胀的开发负担:业务每提出一个新需求(如新增一个分析维度),数据工程师就需要排期、开发一张新的物理宽表。这不仅导致交付周期长达数周,更造成底层数据模型的混乱与冗余。
  2. 巨大的人才缺口与质量风险:大数据领域专业人才稀缺,不同工程师对同一业务逻辑的理解和实现方式各异,导致“同名不同义”的指标口径混乱,数据对账成本高昂。
  3. 隐形的成本黑洞:据内部统计,企业数据湖仓中的数据冗余平均高达 5 倍以上。某头部券商通过重构数据架构,每年可节省超千万元的存储与计算成本。
  4. 业务与数据的冲突:业务人员面临“数据不好找、找了不敢用、用了用不对”的窘境,而数据工程师则长期困在“接需求—建宽表—改宽表”的循环中,无暇进行高价值的数据资产治理。

第一步:从“物理宽表”转向“虚拟业务事实网络”

核心在于改变工作模式:不再为每个报表手工建物理宽表,而是在 DWD 明细数据层之上,通过声明式策略构建一个逻辑统一的“虚拟业务事实网络”。

  • 技术核心:采用 语义引擎 (Semantic Engine),数据工程师在界面中声明不同业务实体(如表)之间的逻辑关联关系(Join 条件),而非进行物理打宽。系统在逻辑层面自动构建一张“虚拟明细大宽表”。
  • 架构定位:直接对接企业现有的数据湖仓的 DWD 层,无需再建设繁重的 DWS/ADS 层物理宽表。这实现了 “做轻数仓” 的核心目标。
  • 核心价值:彻底消除“为特定报表建宽表”的烟囱式开发。所有上层分析需求,都基于同一套逻辑模型,从源头保证了数据源的统一与简化。

第二步:以“声明式指标定义”替代“手写 SQL”

将复杂的业务逻辑从手写 SQL 代码中抽象出来,通过配置化的方式定义,实现“定义即开发”。

在语义编织层中,指标被解构为四大语义要素,支持零代码定义:

要素描述能力举例
基础度量最基础的原子计算单元。简单聚合(交易金额)、时间维度多次聚合(月日均最大值)、非时间维度多次聚合(单股排名)。
业务限定对数据进行筛选的条件。常规筛选(状态=‘已支付’)、指标结果筛选(上月交易量 >0 的用户)、Top N 筛选。
统计周期计算指标的时间范围。标准周期(近 30 天)、自定义周/财年、自定义日历(近 5 个交易日)。
衍生计算对已有指标进行再计算。快速衍生(同环比、占比)、复合指标(多层嵌套聚合、跨行计算)。

定义即治理:在创建指标时,系统会自动进行判重校验,从源头避免口径不一致的问题。所有复杂业务逻辑,如留存率、比率类指标,均可通过声明式配置完成。

第三步:启用“智能物化加速引擎”,实现性能与成本平衡

逻辑定义解决了灵活性与一致性问题,但海量明细数据的查询性能仍需保障。这通过 “声明式配置驱动的智能物化加速” 来实现。

三级物化机制:用户可根据业务场景,声明式地配置加速策略。

  • 明细加速(预打宽):将高频查询涉及的逻辑关联提前物化。
  • 汇总加速(预汇总):按常用维度组合预聚合,系统自动判重复用。
  • 结果加速:适用于完全固定的报表场景,直接缓存结果。

智能路由:当业务用户在 BI 工具或通过 API 发起查询时,语义引擎会自动将查询请求路由到最优的物化结果上,并对 SQL 进行透明改写。整个过程对用户无感。

性能承诺:即使在百亿级数据规模下,也能实现 P90 < 1s, P95 < 3s, P99 < 5s 的秒级响应,满足高并发分析需求。

第四步:遵循“资产演进三步走”法则,平滑落地

架构升级不应是颠覆式的“推倒重来”。采用渐进式策略,确保平稳过渡并快速见到成效:

  1. 存量挂载:将现有逻辑成熟、查询稳定的物理宽表直接挂载到语义层,零开发实现口径统一,快速建立业务信任。
  2. 增量原生:所有新产生的分析需求,不再新建宽表,而是直连 DWD 明细层,通过语义层敏捷响应,从根本上遏制宽表的继续膨胀。
  3. 存量替旧:逐步下线那些维护成本高、逻辑变更频繁的“包袱型”旧宽表,最终完成从“物理宽表堆砌”到“语义编织”的架构升级。

避坑指南:从“SQL 工人”到“数据架构师”的思维转变

成功转型的关键在于思维模式的升级:

  • 价值重定位:从“满足单个需求”转向“沉淀可复用资产”。关注指标的业务含义、可复用性及在企业内的全局一致性。
  • 协作模式升级:借鉴行业成功的 “136”协作模式:科技团队只需定义 10% 的原子指标;数据分析师可配置 30% 的派生指标;剩下 60% 的分析需求由业务用户通过指标与维度的灵活组装自助完成,极大激活数据自服务能力。
  • 警惕技术幻觉:单纯引入更快的查询引擎或 NL2SQL 工具,无法根治问题,因为它们依然绕不开底层混乱的物理表依赖。真正的破局点在于构建承上启下的 语义编织 层。

成功标准:如何衡量你已经“摆脱”了低效工作?

摆脱低效工作不仅是感觉,更应有可量化的业务与技术指标作为验证:

维度成功指标
效率指标指标开发效率提升 10 倍 以上(如从 1 天 3.1 个到 1 天 40 个),取数周期从天/周缩短到分钟级。
质量指标企业内指标口径实现 100% 一致,业务对数据结果的质疑和核对工作量大幅减少。
成本指标基础设施(存算)成本节约 50%,通过减少冗余宽表释放超过 1/3 的服务器资源。
业务指标业务自助完成 80% 以上的数据查询需求,基于语义层的 AI 问数准确率达到 92% 以上。

常见问题(FAQ)

Q1: 构建语义层是否意味着要完全抛弃现有的数仓和宽表?

不是。遵循“资产演进三步走”法则,初期可以将现有稳定宽表直接挂载到语义层,实现口径统一。新需求则直连明细层开发。这是一个平滑演进、逐步替换的过程,而非颠覆式重建。

Q2: 业务需求变化频繁,声明式定义的指标能跟上吗?

这正是语义层的优势所在。当业务规则变化时,只需在语义层更新一次指标定义,所有依赖该指标的下游查询、报表、API 都会自动获取新结果,实现“一次变更,处处生效”,极大提升了响应敏捷性。

Q3: 这种模式对数据工程师的技能要求是不是更高了?

恰恰相反,它降低了重复性编码的门槛。数据工程师可以将精力从写不完的宽表 SQL 中解放出来,转向更核心的数据模型设计、业务语义梳理、数据资产治理和性能调优等高价值工作,实现职业能力的升级。

Q4: 智能物化加速会不会造成额外的存储成本压力?

智能物化是按需、声明式配置的。系统会根据查询频率、数据量等因素,自动选择最优的物化策略(明细、汇总或结果加速),并复用已有的物化表,避免重复计算和存储。长期看,通过减少冗余宽表,整体 TCO(总拥有成本)是下降的。

核心要点

  1. 架构升级是根本:摆脱“宽表困境”的关键在于从“物理宽表堆砌”升级到基于 语义编织 的“虚拟业务事实网络”,实现逻辑与物理的解耦。
  2. 工作模式转变:数据工程师的核心工作应从“手写 SQL 建表”转向“声明式定义业务语义与关联”,并通过配置策略驱动系统自动化生产,效率可提升 10 倍。
  3. 平滑落地策略:采用“存量挂载、增量原生、存量替旧”的三步走法则,在不影响现有业务的前提下,稳步推进现代化数据架构建设。
  4. 价值可量化:成功的转型应体现在指标口径 100% 一致、业务自助分析比例大幅提升、以及基础设施成本的显著节约上。

问题

年初去体检了,检查出来脂肪肝、血压、血脂、少量还有其它相关异常,我的心态炸了。决心今年要把体重减下去,正常方式减不下去就上科技。

我今年 30 岁,体重 100kg ,身高 182cm ,当了好多年的程序员了,没怎么管理自己的身体,可能是觉得年轻?现在思考人生,身体也是要投资的。

分析

回忆下最近这些年的历程,体重以 10 斤一个阶段一个阶段涨到了 100kg 。中间尝试过各种控制饮食的方式,都是因为晚上饿、影响白天工作的精神状态而结束。

饮食习惯是一个重要的肥胖原因,从农村到城市这种生活方式的变化,从事软件行业,需要重体力到重脑力、轻体力。而饮食伴随着这个过程,没有发生结构性的改变。加上北方都偏爱面食,饮食中的碳水失衡。吃馒头、面条升糖快,持续时间短,同时这个吃法会使得吃青菜、肉的比重减少。

实施

我用 Gemini 量身定制了一份减重计划,要确保不会晚上饿、白天工作的精力够,吃的东西便于安排,运动符合我能做的。
我拿着这个计划作为上下文,每周开一个会话,咨询吃饭、意外情况、运动和睡眠等。周日总节本周的情况,作为上下文给下个会话。
AI 这在个过程中可以解答我各种问题,以及意外情况的处理预案,提供的情绪价值也很充足。
比如我想吃重口味的时候,找了一些相对可控的方案。比如我想吃点有味的、辣的时候,给我推荐了单山蘸水。我可以拿黄瓜蘸这个料吃,或者调上醋、香油、单山蘸水,火锅涮点牛肉、苦菊、白菜、菠菜等蘸着吃,也没有怎么亏待自己的嘴。

效果

现在是第三周周五,我体重下降了 9.5 斤,感觉身体状态好不少,精力不像先前感觉每天有限,只能做一点点事情。饮食也是可持续的状态,没有特别想吃什么,或者就是咨询下 AI 后少吃一点,补充运动或者调整饮食对冲下。

分享下我的方案

减重方案

减重方案

实施信息

实施信息

您是否想过,如何让 AI 编程助手不只是“回答问题”,而是真正理解业务上下文、调用内部工具、执行可靠动作,并融入企业级工作流?

在 Microsoft AI Genius 第三期课程中,您将了解如何为智能 GitHub Copilot 副驾驶® 等 AI 助手创建 MCP 工具,通过 Azure Functions 构建智能代码片段服务;掌握使用 Microsoft Agent Framework 实现持久化智能体;利用 Durable Functions 编排多智能体工作流,并通过 Azure Cosmos DB 向量搜索+OpenAI Embeddings 实现语义搜索。

9c9c49b351c8a3289bb16241e1448f29.jpg

您将学到

  • 轻量起步:用 Azure AI Agent Service 和 Azure Functions 构建能回答问题并触发动作的智能体。
  • 融通数据:通过 MCP 和 Azure Cosmos DB 添加业务上下文并连接数据。
  • 扩展规模:编排多个智能体,支持跨团队复杂工作流。
  • 放心部署:在 Flex Consumption 计划下实现安全、监控和成本优化。

直播互动福利

本期课程不仅有硬核技术拆解,更准备了有奖互动福利!观看直播课程,根据小助手指引参与直播互动,并加入技术交流群参与抽奖,即有机会获得 Microsoft AI Genius 定制好礼!

无论您是开发者、架构师,还是正在探索企业 AI 落地路径的技术决策者,这场直播都将为您提供一套可复用、可扩展、面向生产环境的智能体构建范式。

2 月 4 日 14:00 - 15:30,锁定 Microsoft AI Genius 第三季第三期直播,解锁下一代 AI 智能体的工程实践!

不知道点了哪里,就开始花屏,导致只能重新启动浏览器。

浏览器:Chrome

操作系统:MacOS 15.2

1331791769740620_.pic

1331801769740647_.pic

这里记录每周值得分享的科技内容,周五发布。

本杂志开源,欢迎投稿。另有《谁在招人》服务,发布程序员招聘信息。合作请邮件联系[email protected])。

封面图

刚刚建成四川宜宾高铁枢纽门户区,以高铁站为核心,包括8座塔楼、中央公园、数字艺术中心和商业文化街区。(via

你是第几级 AI 编程

史蒂夫·耶格(Steve Yegge)是一个著名的美国程序员。

他在亚马逊和谷歌都干过,但是他出名的不是写软件,而是写博客。

他喜欢在个人网站发布长篇大论,滔滔不绝地议论,直抒胸臆,毫不避讳。他的好多文章都在业内被广泛阅读,引起很大反响。

这些文章后来结集出版,甚至引进了国内,书名就叫《程序员的呐喊》(人民邮电出版社,2014)。

它的书名里面的"呐喊",英文单词是 ranting,直译就是"咆哮",确实就是他的文章风格。

这个月,他又发表了一篇最新文章,谈他对 AI 编程的看法。

他说 AI 编程有8级,他已经到了第8级,也就是最高级。

第1级,还没有接触到 AI 编程,你的 IDE 还是正常的样子(下图)。

第2级,你在 IDE 装了 AI 插件,开启了侧边栏,AI 时不时提出代码建议,问你是否接受(Yes or No)。

第3级,你开始信任 AI 编程,进入了 YOLO 模式("你只活一次"模式, You Only Live Once)。为了节省时间精力,你不再逐条确认 AI 的建议,只要是 AI 生成出来的东西,你就一路按 Yes,统统接受。

第4级,AI 占据的屏幕宽度越来越大,手工编辑的代码区仅用于比对代码差异。

第5级,你索性不要代码区了,改用命令行(比如 Claude Code),所有的屏幕宽度都留给了 AI。你现在不看 AI 的生成结果了,只看它的完成进度。

第6级,你觉得只用一个 AI 太慢,于是打开3到5个窗口,同时进行 AI 编程,加快速度。

第7级,同时打开的 AI 编程窗口到了10个以上,已经是你手工管理的极限了。

第8级,你开始使用 AI 任务编排器,让计算机管理并行的多个 AI 编程。

以上就是 AI 编程的8个级别,你是第几级?

到这里还没完,前面说了,史蒂夫·耶格本人已经到了第8级。他需要工具来管理并行的 AI 编程,但是找不到满意的工具。

于是,他就指挥 AI 写,并将这个工具起名为"煤气镇"(Gas Town)。这个名字来自电影《疯狂麦克斯》(Mad Max)第四部,是里面大反派老乔的老巢。那里到处都是二手零件组成的燃气机,能正常工作,但是看上去摇摇欲坠。

他说,"煤气镇"的开发就是东拼西凑,不考虑合理性,能用就加上去,没抛错就接受。"它有22.5万行 Go 语言代码,我从来没看过它的代码,也从来没想过要看。"

他建议用户不要使用这个工具,因为使用它需要全心全意信任 AI。并且,就算相信它,它也可能把事情搞得一团糟。另外,多个 AI 一起跑,很费钱。

但是,他还是把这个工具放到网上,因为它非常好玩。截至到上周,已经得到了6000颗星。

科技动态

1、牛的智力

一个奥地利农民惊奇地发现,自家的牛会从地上,叼起一根棍子来挠痒。

这个发现令人震惊,因为这表明牛会使用工具,以前从未有人提过。

目前,除了人类之外,只有黑猩猩被发现会使用工具。科学家表示,需要重新认识牛的智力。

2、轨道储能系统

一家美国公司设计出"轨道储能系统",利用山地轨道储藏能量。

电力充足时,索道通过电动机,把重物从山脚运到山顶。

电力不足时,就利用重力势能,让重物顺着轨道从山顶滑到山脚,通过索链带动发电机。

这个系统的优点是简单可靠,成本低,连续使用多年,也不会出现性能衰减。

3、喉部发声贴片

上一期周刊介绍了会说话的围脖,本期还有一个类似的发明。加州大学洛杉矶分校的研究团队发明的喉部贴片,可以让不能说话的病人重新发声。

某些病人由于喉部疾病,无法再发声了,成了哑巴,但是他们的喉部肌肉还能动。

这种贴片贴在病人的喉部,能够感知病人的喉部肌肉运动,并将这种运动转为电信号,发送出去。

计算机收到电信号以后,再转成对应的语音,从而实现发声。

为了将喉部肌肉运动与各种语音对应起来,研究团队使用了机器学习,通过算法将电信号与单词之间实现了关联。

文章

1、2026年的 Linux 音乐播放器(英文)

本文介绍 Linux 系统现在主要的几种音乐播放器。

2、选择性禁用 HTTP/1.0 和 HTTP/1.1(英文)

本文介绍如何设置 nginx,禁止 HTTP/1.0 和 HTTP/1.1 协议,只有白名单里面的客户端可以通过,这杜绝了绝大部分的攻击和爬虫。

3、我扫描了所有的 GitHub "孤儿提交"(英文)

如果你不小心把密码提交到 GitHub,怎么办?你可能会立刻修改代码,强制覆盖上次的提交。

本文告诉你,这样不行。因为 GitHub 不删除任何提交,你上次提交实际上还在。作者扫描了所有 GitHub 的强制提交事件,真发现了许多泄漏的密码,

4、CSS 动画计数器(英文)

本文介绍纯 CSS 动画计数器的各种写法。

5、我的 n8n 用例(英文)

n8n 是一个工作流编排器,可视化生成自动操作脚本。作者介绍了自己的用例:通过聊天软件,将每一笔费用发给 n8n 本地服务器,它会用 AI 进行分类,再将结果存入谷歌表格。

6、2025应该知道的 HTML 新知识(英文)

本文介绍 HTML 的一些新属性和新功能。

7、新的自托管应用推荐(英文)

作者推荐一些他个人喜欢的自托管应用,都相当不错。

工具

1、teemux

一个基于 JS 语言的命令行工具,将多个进程输出的日志放在一处查看,可以命令行查看,也可以浏览器查看。

2、daedalOS

浏览器里面的虚拟桌面环境,代码开源。

3、Dendron

VS Code 的笔记插件,将笔记的层级结构当作目录,并支持图表和内部链接,参见介绍文章

4、CWD(Cloudflare Workers Discuss)

基于 Cloudflare Workers 的网站评论系统。(@anghunk 投稿)

5、Mouse Gestures

开源的 Chrome 浏览器插件,使用鼠标滑动轨迹,完成各种浏览器操作。(@Chance-fyi 投稿)

6、relationship-ts

一个 JS/TS 库,用来计算中国亲戚关系(称谓),Demo 试用。(@ExploringTheCodeWorld 投稿)

7、Deck

macOS 剪贴板管理的开源桌面应用,特点是有 Touch ID 保护和端到端加密。(@yuzeguitarist 投稿)

8、EdgeTunnel (Refactored)

一个部署在 Cloudflare Workers 的隧道方案,代码进行了重构。(@tianrking 投稿)

9、Mail Studio

开源的可视化邮件编辑器,通过拖拽组件,生成响应式邮件模板,试用 Demo。(@wzc520pyfm 投稿)

10、TermClean

macOS 开源应用,在终端界面显示各种软件包占用的磁盘空间,并提供清除软件包功能。(@daijinhai 投稿)

AI 相关

1、ebook2audiobook

电子书转成有声书的工具。

2、WorkAny

开源的 AI Agent 桌面客户端,能够执行任务、操作文件,类似于 Claude Cowork。(@idoubi 投稿)

3、Voice Key

开源的桌面端 AI 语音转文字的工具。(@yexia553 投稿)

4、分镜大师(Storyboard Studio)

开源的 Windows 应用,使用 AI 对视频进行分镜。(@BroderQi 投稿)

资源

1、Claude Code 实战(Claude Code in Action)

Anthropic 官方的 Claude Code 免费入门教程,一共15节视频课,总长约1小时。

2、GitHub 证书

这个网站可以将某个用户2025年的 GitHub 活动,变成一张证书样式的图片。

3、Fontsniff

上传文本图片,自动识别使用了什么字体。(@cosmicqbit 投稿)

4、Future Style Periodic Table

开源的可视化元素周期表,会展示核外电子排布。(@SeanWong17 投稿)

5、nihongo

免费的日语学习平台,有词汇、听力、文章等。(@FrankZhai367 投稿)

图片

1、我不再写代码,而是雕刻代码

我的编码方式发生了变化,现在很少自己写了,都交给 Claude Code 自动完成。

我要做的,就是将 AI 的输出结果打磨成更持久耐用的东西。

AI 几乎从不删除无用代码。如果没有雕塑家,最终只会得到一座臃肿不堪、毫无特色、重得无法站立、也无法讲述故事的雕像。

2、蝴蝶壁画

一位法国艺术家,在世界各地的大楼外立面,绘制栩栩如生的蝴蝶标本壁画,唤起人们对生物多样性的关注。

以下都是真实照片,不是 AI 生成的。

迈阿密

休斯顿

西班牙

纽约

法国

文摘

1、为什么有些公司愿意"黑箱编程"

有些公司已经把编程完全交给了 AI,根本不看代码了,AI 写什么就运行什么。

我把这叫做"黑箱编程",开发过程变成了一个黑箱,根本不需要人类介入,也不欢迎人类介入。它所做的就是把规格参数转换成软件。

我知道,有些小公司就这么干,公司的人数一般不到五个人。虽然这种事情简直难以置信,但很可能就是我们的未来。

我问过一个这样的公司,他们为什么要这么做?

他解释说,作为小公司,他们团队的目标是证明产品的有效性。

人类的作用是设计出一个系统:找到新的模式,帮助 AI 有效工作,证明正在构建的软件产品是稳健有效的。剩下的事情就都交给 AI,这样效率最高。

我认为,这个解释令人信服。

这个公司很小,但在短短几个月内就开发出了可以运行的产品。团队当中有些人拥有超过20年的软件开发经验,曾参与过开发可靠性要求极高的系统,所以他们并非抱着天真无知的心态选择了"黑箱编程"。

我期待着,看到他们拿出最终产品,投入市场的那一刻。

言论

1、

大多数组织习惯于收到系统警报后,直接质问:"是谁刚刚发布了代码变更?" 人们认定合并代码的人肯定了解它的工作原理,并且能够迅速修复问题。

如果你部署的代码既不是某个人写的,也没有人真正理解它,会发生什么?

-- 《二十年的 DevOps 实践》

2、

JavaDoc 之类的工具,可以从代码直接生成文档。我觉得,这种自动生成的文档,价值并不大,未必比直接阅读源代码容易。

没有什么可以替代手写的、有组织的和人工编辑的文档。

-- 《什么是好的文档,以及如何编写》

3、

你学过的、使用过的每种语言和技术,即使会过时,也是有价值的,它们都会让下一种语言或技术更容易学习。

-- 《他们骗了你,开发软件真的很难》

4、

习惯了 AI 编程之后,有一天,我震惊地发现,自己竟然如此轻易地掉进了陷阱。

我已经变得对自己的代码库一无所知,也懒得自己去修复。只要用上了 AI,我就心情愉快,AI 让我感觉自己更聪明、更高效、掌控一切。一旦离开了 AI,我才发现这一切都只是幻觉。

-- 《有了 AI,我变得懒惰和愚蠢》

往年回顾

面对 AI,互联网正在衰落(#336)

蓝色指示灯的解决方案(#286)

中国的阳光地带(#236)

低纬度,高海拔,气候优势(#186)

(完)

前言

这周想着上架下主流的一些 linux 管理面板(宝塔、1panel 、GMSSH ),花了点时间按照要求给 1panel 的仓库提交了 PR,迟迟没人回复,就找到他们社区的联系方式,发现需要付费才能联系到他们。
07fcbd4d347a93a02af46386275c519b

那就充值 10 元,进群看看。

f377b282e3107f003ec6f88a75c217a7

进群后,我说明来意后才知道需要 10kstar 才能上架🥹

image-20260130093549173

image-20260130093611819

这个 star 要求在他们对外发布的文档里没找到有说

226099b1216852dca5c4d080cebb5291

这里也算是给大家踩坑了,需要上架商店的好兄弟需要注意下这一点了😂。

上架宝塔

宝塔这边的社区氛围就比较好了,官网有说明直接加他们的官方群(提供了 QQ 群号)即可,进群后,他们还挺热情的。
image-20260130095048787

image-20260130095121390

上架 GMSSH

这个平台的体验就很好了,官方很热情的帮我解答,很快就完成了上架。
image-20260130095329500

image-20260130095347067

image-20260130095406074

image-20260130095417409

image-20260130095440405

image-20260130095459769

效率非常高。

image-20260130095543778

项目地址

写在最后

至此,文章就分享完毕了。

我是神奇的程序员,一位前端开发工程师。

如果你对我感兴趣,请移步我的个人网站,进一步了解。