以下是今日 Hacker News 热门内容精选，覆盖 AI 开发工具、开源生态、模型架构与硬件安全等领域。
今日看点
- Claude Code 原生读取 AGENTS.md —— 没有 CLAUDE.md 时自动 fallback，Shopify 老板曾放话"不改就禁用"
- Android 17 成为首个新 API 不开源进 AOSP 的版本 —— GrapheneOS 再发长文控诉 Google 闭源化
- Cloudflare Quick Tunnels 瞄准 Agent 时代 —— 一条命令给 localhost 一个公网 URL，新增长 JSON 输出方便编程 agent 调用
- OpenAI 用自家 LLM 设计 Jalapeño 芯片 —— IEEE Spectrum 深度报道 LLM 辅助芯片设计
- Cloudflare 用数学再省 100TB 内存 —— 一致哈希库 pingora-ketama 的存储结构优化
- RP2350 被激光故障注入攻破安全调试 —— Ledger Donjon 用光子发射显微镜 + 激光脉冲恢复 Secure 世界调试权限
- OpenJev：浏览器里跑 Jev 决策模型 —— 对比"直接读 logits"与"生成 JSON"两条路径，纯本地无后端
- Cactus Needle 3：8-29MB 端侧自动化模型 —— 微调一个 epoch 即可匹敌 DeepSeek V4 Flash
- 如何用 LLM 写作 —— sockpuppet.org 两条铁律：绝不用 LLM 建议的词、警惕它的鼓励
- 百年首个新猫种被发现 —— 玻利维亚的 tilcayo 虎猫，连 Wikipedia 都还没有词条
1. Claude Code 原生支持 AGENTS.md
Claude Code 2.1.277 更新：项目中没有 CLAUDE.md 时，自动读取 AGENTS.md 作为项目指令（尚未覆盖 Bedrock/Vertex/Foundry）。同版本还修复了一大堆边界 bug：空文本块导致的请求失败、代理环境下 update 检查报错、Edit 工具对非 ASCII 字符的转义处理等。
💡 核心评论:
- 高赞评论自嘲：“这条’小改动’冲上 HN 榜首本身，就说明了当下 AI 时代的精神状态”
- 另一评论直说：“这就像苹果换 USB-C —— 只是做了显而易见的、不蠢的事”
- 有人翻出 Shopify CEO Tobi Lütke 此前的表态：“不改读 AGENTS.md，我就在 Shopify 禁用 Claude Code” —— 看来施压奏效了
- 也有用户分享：Claude 甚至会主动创建 AGENTS.md 并给 CLAUDE.md 做符号链接，“也许它推断出我同时用 Codex，礼貌地两头兼顾”
解读：AGENTS.md 正在成为 AI 编码工具的"事实标准配置文件"，谁先兼容谁就能少劝退一批团队。一条 symlink 之争背后，是各家 agent 工具对"项目指令入口"这一稀缺心智位置的争夺。
2. Android 17：首个新 API 不开源进 AOSP 的版本
GrapheneOS 指出：Android 17 QPR1 是自 Android 3.x 以来第一个添加新 API 却未同步发布到 AOSP（Android 开源项目）的版本。Google 每半年给 OEM 和公众发布一次"真"源码，但 Pixel 每季度都有带文档和 SDK 的更新，如今新 API 只进 Pixel 专属 SDK。
💡 核心评论:
- 热评开炮：“Google 给 GrapheneOS 设置的障碍简直荒谬——延迟上游补丁、禁运、认证问题……他们分明就是后悔把 Android 开源了”
- bri3d 梳理了实质：Pixel 成了"季度尝鲜机"，新 API 三个月后才会流向普通设备，“是种奇怪的商业模式”
- 有人畅想去 Google 化：“有了可启动的 AOSP + Google 替代设备支持，再加个 Play Services 等价物，能不能拉 Valve 来做 Play Store 的替代品？”
解读：当"开源"的发布节奏落后闭源分支整整一个季度，开源就只剩品牌意义了。对 GrapheneOS 这类依赖及时源码的下游来说，这不仅是商业问题，更是生存问题。
3. Cloudflare Quick Tunnels：为 Agent 时代重做的内网穿透
一条命令把本机服务变成公网加密 URL：cloudflared tunnel --url http://localhost:8000。无需账号、无需 DNS、无需开端口，约 3 秒出 URL，覆盖 335+ 边缘城市。此次更新重点是为 coding agent 优化：stdout 直接输出结构化 JSON（hostname、edge、健康状态），隧道随进程退出自动销毁。
💡 核心评论:
- 有人泼冷水：“Quick Tunnels 已经存在 5 年多了，2021 年的页面还在 archive.org 里。一个新 landing page 就配上首页？标题至少该标 [2021]”
- 也有用户吐槽 Zero Trust 仪表盘体验：“全家用手机 Tailscale 私有分享小应用，想换成 Cloudflare Tunnel 结果根本配不通，太企业向了”
- 还有人翻旧账：“cloudflared service install 在 macOS 上从 2021 年坏到现在”（附 GitHub issue 链接）
- 页面设计也被吐槽：“现在还有人会打开自己生成的产品页看一眼吗？副标题字体颜色和背景几乎一样”
解读：官方文案把"Agent needs a URL, not a laptop"写在了首页——隧道类产品正在从"开发者玩具"转向"agent 基础设施"。不过对一个 5 年老产品换皮重推，HN 社区显然不买账。
4. OpenAI 用自家 LLM 设计 Jalapeño 芯片
IEEE Spectrum 报道 OpenAI 如何使用自家大模型参与设计 Jalapeño 芯片，展示 LLM 在芯片设计流程中的实际作用。
💡 核心评论:
- 最高赞歪楼：“我自己种 Jalapeño（墨西哥辣椒）。AI 和真辣椒的混用让我恼火” 😂
- 有人展望：“迟早有人用 LLM 设计出 Apple M 系列竞品”
- 也有评论建议 OpenAI 去搞光刻机，“别让 ASML 垄断了”
解读：热度不高但意义重大——当 LLM 开始参与芯片设计，“用 AI 造跑 AI 的芯片"这条飞轮就闭合了。评论区的插科打诨反而说明大众还没意识到这件事的分量。
5. Cloudflare 用数学（和 Rust）再省 100TB 内存
Cloudflare 性能团队发现内部负载均衡服务 PBR 使用的开源一致哈希库 pingora-ketama 内存占用异常，通过对哈希存储结构的数学优化（附完整微积分推导），在全球范围内回收超过 100TB RAM——上个月 DNS 团队刚省出 100TB。
💡 核心评论:
- 有开发者感激：“Cloudflare 让我主攻的 side project 以负担得起的价格运转，我不在乎文章是不是 AI 写的”
- ricardobeat 提出隐忧：“这种优化令人印象深刻，但什么时候公司会变成一群密不透风的筒仓？也许现在 AI 时代探索代码库变快了，问题会小一些”
- 也有人替推理业务算账：“大概是有人需要几百 TB 跑推理，于是去地毯下面翻了翻……”
解读：上一次听到"省 100TB 内存"还是云厂商买内存条的时候。算法层面的优化在超大规模下依然是最便宜的扩容方式——这对当下算力紧张的行业是个 reminder：先去优化，再谈加机器。
6. 激光故障注入攻破 RP2350 安全调试
Ledger Donjon 团队用光子发射显微镜定位到 RP2350（树莓派双核微控制器）上负责启用调试功能的寄存器，通过两处激光脉冲恢复了已被永久禁用的 Secure 世界调试访问，并利用 rescue reset 的时序窗口从一次性可编程内存（OTP）中恢复出密钥。攻击需要物理接触 + 约 25 万美元实验设备。
💡 核心评论:
- 硬件黑客社区兴奋：“实验室设备 25 万美元是首次发现/复现的成本，家庭实验室 1 万美元以内、甚至 5000 美元就能干。我用 50 美元的 PicoEMP 复现过 Colin O’Flynn 需要 5000 美元 ChipShouter 的攻击”
- 有人提醒：“RP2350 的安全飞地让它一度是 YubiKey 替代的热门选择——开保险箱的人和造保险箱的人之间永远有军备竞赛”
- 经典收尾：“总有对应的 XKCD……"（xkcd.com/538）
解读：这是对"永久"调试禁用的一次物理降维打击。攻击成本决定了它威胁的是高价值目标（硬件钱包、安全密钥），但方法论本身会逐步平民化——芯片安全评估又多了一个必查项。
7. OpenJev：浏览器里跑 Jev 决策模型
独立研究项目 SemIf（原 OpenJev）：在浏览器本地加载小模型（Qwen3 0.6B / MiniCPM5 2B / Qwen3.5 4B），对比 Jev 式"直接读选项 logits"与传统"生成 JSON 概率"两种决策路径的速度与准确率差异。模型权重来自 HuggingFace 并缓存在浏览器，输入永不离页。
💡 核心评论:
- vLLM 贡献者 mmastrac 带来硬货：“我在 DGX Spark 上用 vLLM 补丁把 DiffusionGemma 变成了 Jev，延迟数字与官方相当。在我的评测里 Qwen36 明显输给两者——小模型会同时丢掉知识和直觉推理”
- 有人质疑与 OpenAI structured output 的区别：“大家不是早就试过然后放弃了吗？”
- 设计吐槽照旧：“这些 one-shot vibecoded 网站总是视觉灾难——无尽的杂乱、到处都是填充文字”
- 也有社区成员贴了另一个开源 Jev 架构（DeepMos 系列）的论文和模型链接
解读：TypeSafe 的 Jev 把"决策"从"生成"里拆出来做成独立能力，正在催生一批复现和对比实验。“小模型做本地结构化决策"这个赛道，因为 Jev 被彻底点燃了。
8. Cactus Needle 3：8-29MB 模型微调后可匹敌 DeepSeek V4 Flash
Show HN：29-121M 参数的"智能阶梯"模型，从 2 层到 20 层每层都是独立子网络，CQ2 量化后仅 8-29MB。专注三件事：工具调用（按 app 暴露的函数自动选择和填充参数）、结构化抽取（decode grammar 保证输出可解析）、文本嵌入。树莓派 5 上可达 400-4000 tokens/s。下游任务微调一个 epoch 后，4L 版本可匹敌 DeepSeek V4 Flash。
💡 核心评论:
- 欢乐的实测评论：“我想让它开厕所灯——‘I need a wee’→ 因为 wee 是音乐流派而播放音乐；‘I need a wee wee’→ 启动浴室吸尘器” 😂
- 也有人认真评测后给出基准数据：在其 Runescape 数据库工具调用任务上，FunctionGemma 微调后正确率 90.9%，Needle 3 只有 32.2%——“概念不错，但暂时还不敢让它控制烤箱”
- 有用户拿它做标注任务效果很差，“MNLI 都更好”——29MB 的模型必须非常精准地匹配使用场景
- 另一条洞察：“Jev 把猫放进鸽群后，突然所有人又开始研究分类器和纯编码器模型了。我理想的模型是：每次分类都在蒸馏出一个编码器，分类越多越便宜”
解读：端侧小模型正在从"演示玩具"走向"产品组件”。Needle 3 的价值不在通用智能，而在"几十 MB 内把工具调用和结构化抽取做到可用”——这正是手机、穿戴、车载助手最需要的原子能力。
9. 如何用 LLM 写作
sockpuppet.org（Filippo Valsorda 的博客域名）的长文：读者能以 PPT 级精度识别出 LLM 文字——它读起来不是写作，是输出。两条铁律：一、绝不用 LLM 建议的任何一个词（frontier 模型的措辞全是"杂志标题风”，连用几十个就露馅）；二、警惕 LLM 的鼓励（你初稿的大部分段落都是坏的，但模型只会说"太棒了 Jerry"）。正确用法是把它当文字编辑：自己写完，让它找毛病。
💡 核心评论:
- 激进派：“给人类心智读的东西，LLM 就是毒药”
- 也有程序员现身说法：“我最近开始坚持手写 commit message 和 PR 描述，只让 agent 核对事实。速度稍慢但极好地加深了我对 agent 生成代码的理解——agent 全包时太容易’略读’ diff 了”
- 更深的质疑：“这条建议其实循环论证——能分辨 LLM 建议好坏、再用自己的话改写，你本身就得会写作、得有品味”
- 疲惫的声音：“我亲手敲的每个字，只换来机器人用 bot 回复。我累了。”
解读：这是今年关于 AI 写作讨论里最锋利的一篇。它把"AI 辅助写作"的争议从"用不用"精确化为"用哪个环节"——找茬可以，代笔不行。258 条评论的撕裂度，正是这个话题全民性的证明。
10. 百年以来首个新猫种被发现
国家地理报道：2017 年玻利维亚一家野生动物庇护所收到一只"奇怪的猫"，首席科学家 Nogales-Ascarrunz 拍下百张照片。数年后基因组分析确认这是全新物种——tilcayo 虎猫（Leopardus tilcayo），一个多世纪以来首个被科学界确认的猫科新种，研究发表于 Current Biology。
💡 核心评论:
- 命名故事很有趣：“我们问当地人这叫什么，他们说’不知道！我爷爷叫它 tilcayo，我就叫它 tilcayo’"——本地人的俗名直接成了学名
- 有生物爱好者发现：“连 Wikipedia 都还没有它的专属词条”（外加三张萌图链接）
- “体型真小。真让人好奇外面还藏着什么。”
- 也有认真的辨析：这不是"老物种被重新确认"或"亚种升级为种”，而是"科学完全不知道的新物种"
解读：在 2026 年还能发现新哺乳动物物种，是分类学和基因组学双重进步的证明——老地图上的"同一物种"正在被基因数据不断拆分。顺便，tilcayo 真的很可爱。
参考来源
- Claude Code now reads AGENTS.md if there is no Claude.md
- Android 17 is the first since 3.x to add new APIs without releasing to the AOSP
- Cloudflare Quick Tunnels
- How OpenAI Used Its Own LLMs to Design Its Jalapeño Chip
- Saving another 100TB of RAM
- Photon-Emission-Guided Laser Fault Injection Enables RP2350 Secure Debug
- OpenJev
- Show HN: Cactus Needle 3
- How to Write with an LLM
- The first new cat species discovered in 100 years