日报

Performance improvements in libffi

这篇在讲 libffi 通过 “预计算参数传递方案（plan）” 把每次调用都重复做的参数布局计算缓存下来，从而显著降低 FFI 调用开销（在特定 x86-64 场景下从约 16 倍降到约 3 倍）。

libffi 给每签名预编译 plan，纯 GP64 调用快 6 倍，GNOME Shell 真实压力下 90% 调用受益

Improvements to std::format in C++26

C++26 对 std::format 做了一系列增强，包括更方便的输出方式、指针与路径格式化支持、以及部分 constexpr 化能力扩展。

C++26 std::format 直接支持指针和路径打印，constexpr 校验可行，动态格式取代 runtime 格式

Mark-of-the-web and pinning installers to sites

作者展示了一个利用 Windows Mark-of-the-Web（MoTW）元数据，让同一个安装包因下载来源网站不同而表现不同的 PoC，并讨论其作为软件分发防滥用机制的价值。

装个工具读自身 MoTW，就能把装包来源锁死，比 Signature 更难被镜像攻击

Building reliable agentic AI systems

这篇文章讲了 Bayer 如何构建一个面向药物研发的多智能体 RAG 系统 PRINCE，以及其在可靠性、可观测性和工程架构上的设计方法。

LangGraph 多代理 RAG 靠上下文分层 + fallback 就能稳定生产用，避开盲目多步 Agent 坑

Epoll vs. io_uring in Linux

作者结合自研 reverse proxy（TinyGate）从阻塞/worker 模型迁移到 epoll，再重写为 io_uring 的过程，解释 Linux 异步 I/O 两种机制的差异、系统调用开销来源，以及为什么 io_uring 在现代内核上更有优势。

io_uring 比 epoll 省掉每事件两 syscall，TinyGate 重写后性能直接起飞

Alice is impatient

用 “检查悖论” 解释：为什么服务端看到的平均延迟 / MTTR 很低，但用户实际感受到的等待时间和故障时长却明显更长，本质是长尾被放大了。

服务 MTTR 和 p99 数据低估了客户实际等待时间，Alice 和 Alex 的 1 秒均等待或 1 小时故障感知才是真相

Reverse Engineering the Qualcomm NPU Compiler

通过逆向 Qualcomm NPU 编译器，揭示 VTCM 置换、调度策略、溢出/填充判定，以及基于 MILP/HiGHS 和隐藏模拟器 Hextimate 的编译决策机制。

spillFillBufferSize = 0 直接告诉你 Qwen 0.8B 在 SM8350 上无需量化

Lighthouse agentic browsing scoring

Lighthouse 新增的 agentic browsing 评估不再给 0-100 分，而是用通过率和具体审计信号来衡量网站对 AI 代理的可交互性。

Lighthouse Agentic Browsing 评分是过时谷歌公关稿，无任何可迁移方法或洞见

Managing types across Dropshot API versions (Oxide RFD 619)

讲的是 Oxide Dropshot API 的类型版本管理重构：通过引入 versions crate 作为唯一事实源、types crate 作为最新版本门面，并规范版本模块与转换方式来降低多版本维护成本；偏基础设施 / 架构设计内容，只有在维护 Rust API 演进时值得细读。

RFD 619 教你给 Rust types crate 加 -versions 后，只 re-export 最新版，旧版本模块零影响

There Are No Instances in atproto

解释 atproto 中为什么不存在 “实例”，以及它与 Mastodon 式分布式社交模型的结构差异，适合想理解去中心化社交架构的人阅读。

atproto 彻底拆开 hosting 和聚合，作者亲测换 Hosting 自动完成，无需实例烦恼

What has (can) the EU Cyber Resilience Act done (do) for you?

这篇文章解释欧盟《Cyber Resilience Act》在 2027 全面生效后，对开源开发者、维护组织和软件厂商分别意味着什么，以及为什么它不会 “终结开源”。

CRA 法案让开源开发者无需义务承担义务，证明其仍值得你投身 AI 创业

Safe SIMD in Rust, even on the inside

Rust SIMD 从 “到处 unsafe 包 intrinsic” 进化到用 CPU feature token + 泛型做出几乎安全的 SIMD 抽象，但 “真正像 a + b 一样无感使用” 仍受编译器 inline/target feature 限制。

用 fearless_simd 把 Rust SIMD a + b 写得无 unsafe 又零开销，完美迁移你的 AI 工程项目

Hey, n00b, we didn't hire you to complete tasks

这篇讲的是：职场新人不看 “做了多少任务”，而是通过行为信号被判断是 A/B/C 哪一类工程师。

老工程师内部职场建议教你包装任务完成量成学习信号，不值得小圈子开发者浪费时间

Timesharing on the MIT Weather Radar PDP-8/IX

回忆 MIT 气象雷达实验室中一台退役 PDP-8/I 如何被接入雷达系统，并由一名 19 岁学生逐步完成实时多任务分时系统与 CPU/接口改造的技术故事引子与铺垫。

PDP-8 I / O 和 TTL 板拼雷达数字数据，19 岁学生写出完整多线程系统

Bevy 0.19

Bevy 0.19 发布，大幅升级场景系统（BSN）并集中优化渲染性能，同时补齐 UI、文本输入、后处理、编辑器工具链等大量引擎能力。

bsn! 宏 + SceneComponent 直接在 Rust 里写出带 Children、Asset Templates 的完整场景，实体引用和事件观察器全静态解决

Surprising economics of load-balanced systems

讨论负载均衡的 M/M/c 排队系统中，在每服务器负载固定时，随着服务器数量 c 增加，排队概率与延迟反而下降的反直觉结果。

负载均衡服务器越多，同负载下排队延迟越低，中位数和高分位也跟上，你误解了经典模型

Is AI ruining our skills? Early results are in – and they're not good

AI 工具可能让专业人员在脱离 AI 时出现能力下降的早期证据，但相关研究仍在持续验证中。

AI 辅助使用后医生内镜腺瘤检测率从 28.4% 降至 22.4%，工程师实验也显示 AI 辅助者与非辅助者差异，说明依赖可能侵蚀专业能力

Better Graph Database Ball

AURpocalypse now: a look at the recent AUR attacks

Arch Linux 的 AUR 最近遭遇大规模账号接管与恶意包投毒攻击，影响范围可能超过 1500 个包，官方已临时限制注册但修复方案仍未确定。

Arch AUR 遭大规模恶意包攻击，1,500+ 包受影响，注册停了但没解决根本，赶紧关页面

Hyundai buys Boston Dynamics

现代汽车完成收购 Boston Dynamics 剩余股份，实现全资控制，核心看点是其将把 Atlas 人形机器人推进到真实工厂落地而非展示阶段。

Hyundai 斥 8800 万美金全收 Boston Dynamics，Atlas 2028 年直接进自家工厂落地

I can haz smoller NixOS ISOs?

作者逐步裁剪 NixOS 安装 ISO 的功能与依赖，把镜像体积从 458MiB 压缩到约 183MiB，并分析每一块占用来源与可删空间。

这篇不值一读的 NixOS 精简 ISO 笔记没给任何直接方法、洞见或信号

Project Valhalla, Explained: How a Decade of Work Arrives in JDK 28

Java 的 Project Valhalla 经过十多年推进，JEP 401 以 JDK 28 预览形式进入主线，核心是在 “类的表达能力” 和 “接近原始类型的性能” 之间引入 value class，但仍处于第一阶段且功能受限。

价值类直接来 JDK28，scalarization 让数据像 int 一样挤进 CPU 缓存，AI 模型不再靠逃逸分析赌性能

So You Want To Define a Well-Known URI

Rethinking modularity in Ruby applications

Rails 全局类与隐式依赖的痛点，以及 Syntropy 文件夹映射路由 + import / 显式模块的替代方案，适合想解决 Ruby 应用模块化复杂性或打破 OOP 框架束缚的人

Syntropy 闭包控制器零副作用模块化，依赖全显式后测试和重载都轻松

Godot 4.7: Lights, Camera, Action

Godot 4.7 发布说明：一次以 HDR、灯光系统与编辑器体验增强为核心的大版本更新，包含多项 3D / 2D、UI 和工作流改进。

Godot4.7 矩形灯光 + Control 偏移 + 纹理绘制 API，游戏光影动画直接抄，3 年老引擎突然亮起来

Show your hands honor for the strange power they bring you

这是一篇关于 “手指友好交互设计” 的长文，用键盘与计算机交互的历史讲 UI 延迟、缓冲与即时反馈为何会影响体验。

手指独立时间旅行！重学重叠打字和 UI 并行线程，赶上 AI 交互速度

Zero-Touch OAuth for MCP

这篇讲 MCP（Model Context Protocol）新增 “企业统一授权” 扩展，让企业通过身份提供商（IdP）实现一次登录自动接入所有 MCP 服务器，基本消除每个应用单独 OAuth 授权流程。

IdP 一次授权，MCP 服务器全自动接入，无需每 App 手动授权

I discovered a large-scale malware distribution on GitHub

GitHub 存在 10,000 个独立仓库循环推送 README 链接到含 Trojan 的 zip 包，作者发现并编写脚本检测，提醒 GitHub 未自动删除

GitHub 上 1 万仓库藏木马，作者重写过滤脚本后又删得精光

Updating Stacked Pull Requests with git rebase --onto

处理 Stacked PR 父提交替换场景，详解 git rebase --onto 命令用法

git rebase --onto 命令直接修正拆分 PR 的子 commit 指向，省掉你手动 rebase 手动修复的麻烦

The Token Compression Illusion: Why I'm Skeptical of RTK