Agili 的 Hacker Podcast 2026-08-10

2026年8月10日

今日文章覆盖 Meta 开源本地代理模型、Docker 为 AI 代理推出沙箱、HackerOne 社区信任危机、Apple Vision Pro 跑 Android VR 应用、出租车司机大脑研究、老式游戏平台物理引擎、会议记录平台安全漏洞、Snowflake 将数据捕获搬进 Postgres、语音侦探游戏以及 AT Protocol 的分布式设计。这里是 Agili 的 Hacker Podcast 带来的每日速览。

Muse Glimmer 开源：300 亿参数本地 AI 代理模型

模型概况与训练方法

Meta 今日发布 Muse Glimmer，这是一个 300 亿参数的语言模型，以 Apache 2.0 许可在 Hugging Face 开源。它被优化用于常驻本地的 AI 代理工作流，单张消费级 GPU 即可运行。训练分三个阶段：预训练阶段用 logit 蒸馏（让模型学习教师模型的输出分布）；中段引入更长上下文和代理相关数据；后训练结合监督微调和强化学习，覆盖通用、推理、编码和代理任务。模型在函数调用、多步推理、故障恢复等八项代理能力上接受过针对性训练，并支持 100 多种语言。

本地部署与速度优化

全精度下 300 亿参数需超过 55 GB 内存。Meta 通过量化把权重压缩到约 4 位精度，语言模型部分降至 20 GB 以下，可在 24 GB 或 32 GB 显存上运行。另一个关键优化是 DFlash drafter 实现的推测解码：模型一次提议整块 token，主模型并行验证。实测 RTX 5090 解码速度提升 3.1 倍，M5 Max 提升 1.8 倍。llama.cpp、MLX 等框架的集成即将落地。

社区反馈：与 Qwen 的对比及推理风格

多位 Hacker News 用户将 Muse Glimmer 与 Qwen3.6 27B 对比，指出前者在多数基准上优势不大，但在工具调用和 agent 工作流中显存占用低一个数量级。更引人注意的是推理轨迹的风格——有用户形容它像《守望者》中的罗夏，动作导向、简短直接，不会在思维循环中反复绕圈。不过 Terminal Bench 得分为 51.7，明显低于 Qwen 的 60.7。

Docker Sandboxes 为 AI 编程代理提供安全沙箱

架构设计：microVM 与宿主机隔离

Docker Sandboxes 不是容器，而是基于 microVM 的隔离环境。每个会话在一个独立的内核中运行，直接使用操作系统原生 hypervisor：macOS 的 Hypervisor.framework、Windows 的 WHP、Linux 的 KVM。Docker 为此新写了一个 VMM，没有用 Firecracker。代理在沙箱里安装包、修改配置，完成后一条命令销毁，宿主机不受影响。

密钥注入机制

真实密钥不会进入沙箱。它们留在宿主钥匙串中，沙箱网络代理只在目标主机名匹配时将密钥以 HTTP 头形式注入出站请求。沙箱里环境变量只是占位符，MCP 网关的 OAuth 令牌同样不进入虚拟机。这一设计让代理即使在关闭所有权限确认的“YOLO 模式”下也无法窃取凭据。

安全边界与社区替代讨论

产品强制要求登录，有用户反感。关于安全边界，社区形成两种声音：有人坚持 AI 代理必须按恶意程序对待，共享内核的容器不够安全；也有人认为在某台虚拟机里跑容器、再用宿主机防火墙禁止内网访问，已足够应对供应链攻击。同时出现了 yoloAI、Microsandbox 等多个开源替代方案，功能有重叠。

HackerOne 十年变迁：从漏洞赏金社区到销售驱动平台

线下黑客活动的黄金年代

2017 年到 2020 年，HackerOne 定期举办 Live Hacking Events，邀请全球顶尖漏洞研究员在 1 到 3 天内集中寻找高危漏洞，产出经常超过一整年的常规流程。每次活动都有独立海报、贴纸和挑战币，机票酒店全包。如今这些都由廉价打印品替代，负责活动的员工也早已离职。

收费模式转变与产品停滞

HackerOne 早年累计融资 1.6 亿美元。转向盈利后，收费从赏金抽成变为容量收费和年度合同锁定，销售团队成为核心。产品界面多年未更新，最懂行的漏洞初审人员因报酬低而离开。漏洞赏金市场是寡头垄断，三家公司控制了几乎整个市场。

AI 训练数据争议与信任危机

服务条款更新允许用提交的报告训练 AI 模型，虽经澄清称不用于微调，但社区发现一个叫“hackerone-agent”的账号在报告下做 AI 初审，且新产品页面写着“用 12 年真实漏洞数据优化”。有黑客认为，不管叫不叫训练，报告数据最终影响系统自动判断的效果是一样的。

Klepton 让 Apple Vision Pro 运行 Android VR 应用

无需 JIT 的 ARM64 兼容层

Klepton 把 Android 的 .so 库翻译成 Apple 的 .dylib 或 .framework，图形方面将 GLES 3.2 翻译到 ANGLE，Vulkan 翻译到 MoltenVK。它专门处理老 Android 应用使用 x18 寄存器的问题，把这个用法补丁到每个库独立的 TLS 槽位上。项目目前只支持没有完整 Java 虚拟机的薄应用。

Beat Saber 在 Vision Pro 上的运行效果

Beat Saber 已能在 macOS 和 visionOS 上运行。注视点渲染接入 Vision Pro 自己的光栅化速率图后，单眼实际只渲染 33.5% 的片元，120 Hz 下帧间隔稳定在 8.33 ms。触觉反馈也让 PSVR2 Sense 手柄收到了控制器震动。Steam Link 的配置界面同样已可在 Metal 上渲染并交互。

出租车司机阿尔茨海默病死亡率最低，空间导航是关键

1% 与 1.7%：死亡率数据的细节

一篇发表于《英国医学杂志》的研究分析了近 900 万份死亡证明，发现约 1% 的出租车和救护车司机死于阿尔茨海默病，全人群约为 1.7%。公交车司机和飞机驾驶员没有类似优势，反复随路况变化的实时导航被指为关键差异。

海马体与“知识”考试

神经科学给出机制解释：海马体负责记忆和空间导航，也是阿尔茨海默病最先损伤的区域。2000 年一项研究发现，通过“The Knowledge”考试（记住伦敦 25,000 条街道）的出租车司机后海马体灰质更多，开车越久区域越大。2023 年的另一项研究用居住地街道复杂度预测阿尔茨海默病发病率，准确率达 84%。

统计争议与反向因果

讨论中质疑声不少。出租车司机平均死亡年龄约 67.8 岁，而阿尔茨海默病通常在 79 岁左右确诊，部分人可能没活到发病年龄。还有人提出早期认知衰退的人可能已提前退出这个职业，或是反向因果在起作用。8,972,221 例死亡中救护车司机仅 1,348 人，其中只有 10 人死于阿尔茨海默病，统计精度有限。

Picophysics：为复古游戏机制造的单文件物理引擎

单头文件物理引擎

Picophysics 是一个用 C 语言手写的物理引擎，所有代码集中在一个头文件中，附带示例和测试。它面向 N64、PSX、Dreamcast 等平台，近期提交加入了盒子与三角形碰撞、约束和压力测试。

老式平台兼容性挑战

Hacker News 评论区提醒，代码大量使用 static inline 和 float 浮点数。PlayStation 没有浮点单元，内联膨胀对老平台不友好。也有人问项目是否能跑在树莓派 Pico 2 或 ESP32 上，因为那些平台内存足够且支持浮点运算。仓库文档写在头文件 README 里的做法，有人认为不便，也有人觉得足够。

Tl;dv 会议记录平台暴露 18 万场会议元数据

Firestore 无租户隔离，暴露会议 ID

安全研究员 BobDaHacker 发现 tl;dv 的 Firestore 数据库没有租户隔离。任意注册用户都能枚举超过 181,874 条会议记录，获取创建者邮箱和会议 ID。其中约 1,000 场会议处于录制中，任何人可以实时观察会议开始、抓取 ID，然后用 Google Meet 或 Teams 的房间信息直接加入。

实时加入政府与大学会议

实测加入过马来西亚教育部 157 人的演示会议，以及一场美国大学学生讨论数据库搭建的通话。记录覆盖 35,003 个邮箱域名，包括 23 个国家的 .gov 邮箱。27,334 个会议 ID 中超过 1,000 个是公开的，暴露出内部分享的屏幕内容和受邀者邮箱。

6 个月未修复与 SOC2 合规幻象

从 2 月发现到 7 月发文，研究者多次联系 CTO 未获回复。tl;dv 的安全页面挂着 SOC2、GDPR 等合规徽章，承诺 24 小时响应。事件引发对 SOC2 证书意义的广泛讨论，有人直言它是营销工具。公司最终发文定性为“公共分享设置”，并宣布移除 Firebase，但社区并不接受。

Snowflake 将 CDC 搬进 Postgres，实现数据镜像

从外部 CDC 到数据库内部扩展

Snowflake 推出数据镜像功能，把变更数据捕获（CDC）从外部工具搬进 Postgres 内部。名为 snowflake_cdc 的扩展持续将变更批量写入对象存储上的 Iceberg 变更日志，Snowflake 端以事务方式将批次应用到目标表。这避免了传统逻辑解码方案对 Postgres 状态一无所知的问题。

写入 Iceberg、事务化应用

复制分四个阶段：写入表与 WAL，解码 WAL 为行级变更，捕获为批次写入，应用合并到目标表。所有变更在 Postgres 侧作为一个事务提交，Snowflake 侧同样在一个事务中应用多个批次，确保外键和连接正确。插入密集型负载复制速度极快，Live views 可在查询时下推过滤，延迟低于一分钟。

托管与开源之争

评论区对技术路线的评价好坏参半。有人提到 ClickHouse 的方案也很顺滑，有人质疑 pg_lake 扩展虽然是开源的，但 CDC 相关代码并未公开。更大的争论在于 SaaS 数据库本身：小公司用 Ansible/Terraform 自托管反而更划算，第三方服务按存储和传输收费，解决的不是他们的问题。

语音驱动谋杀悬疑游戏，AI 嫌疑人等你审问

实时语音审讯与成本压力

WhoDunnitAI 让玩家用声音审问 AI 嫌疑人，找出真凶。游戏使用 OpenAI 的 gpt-realtime-2 模型，每审问一分钟都在烧钱。上线当晚开发者睡前余额耗尽，玩家集体遇到连接失败。第二天修复后，上线几小时烧掉 100 美元，单局时长被缩短到 15 分钟。

自带 API Key 的解决方案

为降低成本，游戏提供 BYOK 选项：用户把 API key 存在浏览器 localStorage，服务端为每次会话签发临时凭证，key 本身不落数据库。开发者建议单独建 key 以便随时作废。注册账号是为了挡住机器人并限时，但有用户明确表示不愿为试玩游戏注册。

玩家反馈：AI 即兴对戏的魅力

完成度超出预期是玩家的主要评价，但时间用完后看不到结局是个遗憾。有同类游戏作者给出了具体建议，比如给角色统一当前时间、避免指控时打破第四面墙。文本由 40 多个环节的生成流水线产出，相当于一本书体量。有评论说用声音自由审问角色是冒险游戏创作者多年的梦想。

ATProto 分布式架构：从 SQL 数据库到开放社交网络

从单体数据库到流处理架构

AT Protocol 的设计思路是把一个经典 Web 后端逐步重构成可共享的开放网络。从单体 SQL 出发，经历加缓存、分片、最终一致 NoSQL 集群，再到 View 服务器和事件日志的解耦，本质上是把数据库“由内向外翻”：简化存储，自建查询引擎。用户数据仓库统一为每个用户的 JSON 记录集合，用密码学签名保证来源可信。

用户数据仓库与数据流循环

用户登录应用时通过 OAuth 授权，应用知道用户的仓库位置和权限。写入先进入仓库，再经事件日志广播给各 Appview 服务器。Appview 重建可查询的视图并展示给用户。中间层有 Relay 汇总事件流，以及 Hubble、Constellation 等缓存服务，方便开发者一次查询全网数据。

去中心化的边界：PDS 与 Relay

Hacker News 评论区对 ATProto 的去中心化程度有诸多讨论。个人数据服务器之间并不直接通信，依赖 Relay 和 Appview 聚合数据。有评论指出这和传统联邦架构不同，也有人质疑它离真正的 P2P 还有距离。支持者认为附带签名的记录可自由镜像，只是当前缺乏高效的发现机制。

播客全文

女：Hello 大家好，欢迎收听 Agili 的 Hacker Podcast，我是莓莓。

男：大家好，我是阿迪。

女：今天咱们要聊的东西还挺多。Meta 又发新模型了，Docker 给 AI 搞了个安全笼子，还有一个六十年都没修好的漏洞把几十万场会议晾在外面。不过开场我想先聊一个让我特别好奇的事儿。

男：你说。

女：你平常开车用导航不？

男：用啊。你不用吗。

女：我也用。但是有研究发现，要是你一直自己认路，不用手机导航，可能会让你老了以后大脑更抗造。说简单点，出租车司机死于阿尔茨海默病的比例特别低。

男：这个我看了。今年发表在《英国医学杂志》上的研究，看了美国将近九百万份死亡证明。他们发现出租车和救护车司机在四百多种职业里，死于这种病的比例最低。大概只有百分之一，全人群是将近百分之一点七。

女：那差别也不算特别大呀。

男：对，有人就在 Hacker News 上吐槽，说全人群本来也很少因为阿尔茨海默病去世，百分之一对百分之一点七，标题那么写有点吓人了。好玩的是，这种关联只在需要不停找路的职业里出现。公交车司机和飞行员路线固定，就没有这个优势。

女：所以关键不是你握着方向盘，而是大脑在不停地想：我现在在哪里？我该往哪儿走？那条路堵了我要换哪条？这种实时的空间导航一直在训练大脑里的一个区域。

男：对，海马体。这个地方管记忆，管空间导航，也是阿尔茨海默病最早被攻击的地方。二零零零年就有个经典研究，比对了伦敦出租车司机和普通人的大脑。伦敦出租车要考那种变态考试，记查令十字方圆六英里两万五千多条街道，他们管这个叫 The Knowledge。

女：要考多久？

男：三到四年。最后发现这些司机后海马体的灰质更多，开得越久这部分越大。不过也有人觉得这是选择偏差，能考过的可能天生这方面就比别人强，不一定是用脑用出来的。

女：说到这个，还有一个听起来很巧妙的研究。他们用机器学习，只看一个地方地图上街道多密、路口多少、地标多不多，就能预测哪儿的阿尔茨海默病发病率更高。住在那种街区里走出来就是各种岔路的地方，人的大脑似乎也不一样。

男：百分之八十四的准确率。这就跟那帮出租车司机的情况对上号了。但也有问题，这些人是工作时在转来转去，还是因为住在那种地方？

女：嗯。评论区还有好多人在算账，说救护车司机样本太少，一共才十个人死于这种病，讨论起来意义不大。还有人提了一个让人后背发凉的解释。

男：反向因果。不是开车保护了大脑，而是那些还没确诊、但已经有点迷路症状的人，根本当不了出租车司机，或者早就转行了。

女：对。听着是个很悲伤的可能。不过有一个人分享他家里人的事，我觉得特别暖。他说他家人得了痴呆症，但在病程里很长一段时间反而非常清醒，像录像带倒带一样，把人生的几十年全都重新活了一遍。最后甚至用早年战俘训练学到的方法，从病房溜走了。

男：认知储备。意思是即便大脑已经有了一些病理的损伤，它还能撑住一段时间。所以整个过程不一定是完全阻止了病，更可能是推迟了症状出现的时间。哪怕推迟五年，对一个人就是巨大的意义。

女：不过现在大家都用手机导航了，这还有用吗？

男：这是个好问题。这次研究看的是二零二零到二零二二年去世的人，他们开车的大半辈子还没碰上智能导航。德国在二零二一年已经把出租车司机的本地知识考试取消了，只需要车上装导航。伦敦的 The Knowledge 还在，但 Uber 司机基本全靠手机。这种保护效果能不能延续，没人知道。

女：那就不能等着自动驾驶完全实现了再后悔。这件事好像也在说，学校教育、职业训练、老了以后怎么过日子，其实都跟大脑健康有关。

男：对，不只是一个神经科学的结论。

女：好，刚才说的都是怎么让自己的大脑别生病。接下来咱们看看 AI 的大脑得了什么病。Meta 今天刚发布了一个叫 Muse Glimmer 的开源模型。

男：三百亿参数。有意思的是它被设计成让你在本地跑。一张消费级的 GPU，甚至一台 MacBook 就能运行。

女：你用了“它被设计成”这个词，感觉很刻意。因为确实它的目标不是在云端抢生意，是做那种常驻你电脑里的小助手。它擅长调用工具、多步推理、故障恢复，比如说它自己调了一个 API 失败了，它会诊断一下然后自己再试一次。

男：模型自带一种冷幽默。有个测试洗车场景的人说，模型内部推理过程写了一句“走路洗不了车”，然后又想“也许回答：想洗澡就走路？不对”。他看到这里笑了出来。有人说这模型像电影《守望者》里的罗夏，动作导向，没有废话。

女：所以它不靠那种长篇大论的思维链来秀推理，而是直接干活。对硬件压力小很多。

男：Meta 用了量化技术，把模型压到二十 GB 以下。实测在二十四 GB 或三十二 GB 显存的显卡上就能跑，比如一张 RTX 三零九零就行。长上下文下它的显存占用比同尺寸的 Qwen 模型要低一个量级。

女：但好像它在某些基准上不算最强，比如有一个叫 Terminal Bench 的测试，它的得分明显低于对手。

男：对。社区的评价是，它的短板在某些特定基准上，长处全在智能体任务和工具调用这些地方。很偏科。而且有人怀疑 Meta 赶时间发这个版本，是因为马上 Qwen 又要发新模型了，怕打不过。

女：又一次开源模型的军备竞赛。不过对咱们来说，本地能跑一个靠谱的智能体总是好事。

男：是。而且社区里已经有人用三十二 GB 的老 Mac Mini 跑起来了，虽然慢，但任务能完成。

女：既然提到了智能体，那就不得不聊另一个新闻。Docker 发布了一个叫 Docker Sandboxes 的工具，专门给这些 AI 编程代理做的安全笼子。

男：简单说，你让 Claude Code 或者别的编程代理去写代码、配环境、装一堆乱七八糟的包，它全在一个微型虚拟机里跑。完事了，一条命令，沙箱灰飞烟灭，你的电脑毫发无伤。

女：程序员最喜欢的就是那种 --dangerously-skip-permissions 的 YOLO 模式，跳过所有确认一路绿灯。在这个沙箱里，你随便 YOLO。

男：对。Docker 的人专门解释，这不是容器，是 microVM，自己有一整套小内核，跑在系统原生的虚拟化框架上。他们在 macOS 上用 Hypervisor.framework，Windows 上用 WHP，Linux 上用 KVM。所以隔离深度比容器强一个级别。

女：我看了他们处理密钥的方式，很妙。假如代理要用某个 API，它表面上看到环境变量里有一个叫 SECRET_KEY 的东西，但那里只有占位符，空的。真实的密钥留在你系统的钥匙串里。只有当请求真的发出去、目标是那个 API 地址的时候，沙箱的网络代理才在 HTTP 头里把真密钥塞进去。代理全程拿不到。

男：这是一个很干净的信任模型。代码要干嘛我都让你干，但带出沙箱的东西一点都不给你。

女：听起来很完美。但我看到评论区吵得挺厉害。有人第一反应是：Docker？现在才出这个，而且还要强制登录？

男：对，很多人觉得本地跑一个沙箱，为什么要登录。还有人担心这玩意免费不了多久。性能也是一个槽点，macOS 上跑 vm 的文件系统 io 一直被人诟病。

女：安全模型那块吵得更深。有人说，一般的编程代理按恶意软件来防就对了。容器共享内核，不是绝对的安全边界。

男：对。有人引了 Google 之前的观点，说不受信任的代码不该依赖容器。大家给出的折衷办法或者说终极办法，就是在一个又厚又重的 VM 里跑所有东西，编辑器、代理、容器全扔进去，然后这一整台 VM 只在防火墙上开一个外网口，禁止它访问宿主机和局域网。这样一来，带毒的 npm 包、被黑掉的编辑器插件，全给你圈在那个牢房里。

女：那 Docker 这个产品本身呢？有人说它也不是唯一的选择。

男：好多人贴了开源替代，yoloAI、Microsandbox、smolvm。有些跟 Docker Sandboxes 功能基本重合，也能做外发防火墙和密钥占位符注入。目前 Docker 的优点是它开箱走的体验好，外发防火墙和密钥注入的配合做得很自然。

女：软件要管住自己，不容易。但更不容易的是管住人。下一个故事，就是关于我们怎么失去了对漏洞赏金平台的信任。

男：HackerOne 的故事，跨度太长了。二零一一年两个白帽黑客创立，最开始就是为了解决一件事：你找到了大公司一个漏洞，结果人家可以告你。

女：所以它相当于一个联合国，在黑客和公司之间说：咱们先谈好规则，你允许他来挖，他挖到了你得付钱。早期的 HackerOne 听起来特别像那种黑客乌托邦。

男：对。有一个作者在那里头当过白帽、也管过赏金项目，他说黄金年代在二零一七到二零二零年。那时候经常搞 Live Hacking Events，把全球顶尖黑客请到一个城市，几天内打出来的高危报告比一整年还多。而且每次活动有单独设计的海报、挑战币，机票酒店全包。评论区有人补充说，后来疫情来了，这些全没了。疫情结束了预算也没回来。

女：转折就是公司在思考怎么挣钱的时候。

男：公司融了一亿六，总得给钱一个说法。创始人 CEO 换成职业经理人，收费从赏金抽成变成卖年费合同和容量套餐。重心从产品转向销售。最好的漏洞初审员都是黑客出身，活多钱少陆续走光了。

女：AI 进来之后更迷幻。它没去修平台十年的老问题，而是做了一个 AI 助手，有人觉得就是套了个皮。

男：后面才是真正的信任地震。今年二月有人发现 HackerOne 更新了服务条款，允许拿报告训练 AI。接着有人在内部聊天里看到一个叫 hackerone-agent 的账号在给报告写评论。产品经理出来说这只是用历史报告辅助自动判断，严格来讲不叫训练模型权重。

女：这个区别对研究员来说不存在。有人打了个比方，你把我写的作业拿去喂给一个系统，不管它有没有改自己脑子，总之它以后批作业都受我作业影响。这就是在用我的东西。

男：后来他们在新产品的网页上写了一句“用 HackerOne 十二年真实漏洞数据优化”，被人截图。两个创始人先后出来灭火，说那指的是攻击面测绘里的噪声数据，不是研究员的发现。然后又说愿景是未来研究员发明技术，平台应用到所有客户那里，研究员按分成吃红利。但那一整套基础设施，现在连影子都没有。

女：到最后那个作者写了一段给各方的话，挺戳人的。对黑客说，你有技术有发现，不需要通过这个平台也能拿到报酬。对公司说，你自己搭一个平台成本比它一年授权费还低。对平台说，已经有人准备好要挑战你了。

男：但评论区也有人不同意自建。有个很实际的问题：你是一家大公司，你的法务和财务团队有没有本事给世界上不同国家的黑客一个个合规地付钱。有人就说自己遇到过黑客虚报位置，最后发现实际在制裁国家，公司进退两难。

女：而且自从大语言模型出来之后，垃圾漏洞报告的比例暴涨，有人说高达九成是假的。HackerOne 用 AI 去初筛，被人调侃说是“大语言模型”检查“大语言模型”生成的报告，死循环了。

男：还有一个观点挺值得琢磨：这些赏金平台正变成“黑客的 LinkedIn”。小公司不应该急着上公开平台，先跑一个封闭的、邀请制的私人项目，不然你的后台会被自动扫描和 AI 生成的假报告塞满。

女：从 AI 的幻觉，到一个平台的信任崩塌，归根到底都是信任没对上。下一个事情，则是在另一种信任上翻了车。

男：tl;dv。一个有两百多万用户的 AI 会议记录平台，LinkedIn 上半个销售圈都在推。结果被人发现它底层的数据库没有做最基础的多租户隔离。

女：翻译一下。你注册一个免费账号，就能看到全平台所有用户的会议记录。不只是你的同事，是所有人的，任何公司、任何机构、任何国家。

男：十八万条会议记录，归属八万多个用户，三万五千个不同的公司邮箱域名。最要命的是，里面有一千多场正在录制的会议。你只要盯住这个数据库，看到哪个会议开始了，把会议 ID 一抓，就能直接加入 Google Meet。不需要邀请，不用敲门。

女：那位安全研究员真的做了。他加入了一场马来西亚教育部的会议，一百五十七个人，一位女士正在演示，AI 机器人已经在里面了。他还进了一所美国大学学生的创业讨论，二十一个人共享屏幕，正在搭数据库。

男：而且覆盖范围太广了。美国、巴西、哥伦比亚、乌克兰、以色列，二十三个国家政府机构的 dot gov 域名。企业客户包括 HubSpot、Confluent。数据库里最忙的时候是周三下午两点，二零二五年七月一个月就录了四万多场。

女：发现漏洞的时间是今年一月。研究员立刻在 LinkedIn 上联系了平台的人，对方说知道了、马上处理。

男：然后六个月过去了。中间发过多次跟进，CTO 从来没回过。于是他在七月份做了公开披露。文章标题玩了个文字游戏：tl;dv 本来该是 Too Long; Didn't View，他改成 Too Lazy; Didn't Validate——太懒了，没做验证。

女：这个平台的安全页面就挂在那，贴着 SOC2、GDPR、欧盟 AI 法案合规的徽章，承诺安全团队二十四小时响应。“他们的数据库比收件箱的可用性好多了”，这句话太伤了。

男：披露之后，平台发了一篇博客，把事件定性为“公开分享设置”导致的数据暴露，还说要把技术栈从 Firebase 全迁走。评论不太买账。研究者的攻击路径是枚举，是平台自己把所有用户的数据像一本公开电话簿一样铺在那，不算用户主动分享。

女：评论区聊到了一个很根本的行业病。有人说这就是 vibe coding 时代的后果，软件变成了一种艺术表达而不是工程；立刻有人改正，说这跟什么时代没关系，十年零利率和人才大战已经把软件工程里面严谨的那部分丢光了。

男：对。还有人举例，在一家 YC 背调公司发现超级管理员密码直接提交在 GitHub 上，公司反手就让发现者背锅。土木工程师犯这种错可能丢执照甚至坐牢，软件工程师呢。

女：但这其实不是工程师一个人的问题，是公司的问题。不过后果全让用户承受了。那些会议记录的可能是求职面试、销售谈判、还有内部政府简报。这些最敏感的对话，就在一个无人看管的仓库里晾了半年。

男：挺讽刺的。尤其是当你发现评论区一堆人在问：到底谁真的会回去翻看 AI 会议摘要。有人还补了一句，AI 摘要经常跟实际发言完全相反。

女：既然聊到了数据仓库没看好门，那我们最后来聊一个从根上就在重新设计数据库怎么存数据的事。

男：Snowflake 在构建他们自己的 Postgres 服务时，搞出了一套叫数据镜像的功能，还处于公开预览。核心想法是把变更数据捕获从外挂变成 Postgres 自己的扩展。

女：能换一种说法吗？变更数据捕获这几个字听着想睡觉。

男：可以。数据库里的数据改了，这个变化你得告诉另一个系统。以前是外头的一个程序不停问数据库“你变了没有”。Snowflake 这次是让数据库自己把每一次修改整理好，打包成一堆文件直接丢到对象存储里，比如 S3。

女：所以是自己主动往外吐，不是等别人来拉。

男：对。传统方案的老大难问题是，那个在外面等着的系统，根本不知道 Postgres 现在是个什么状况。表结构是不是改了？它是崩了还是网断了？Snowflake 用文件这个中间层解耦了双方。

女：我看文章里还说到事务。

男：这是它跟传统方案的另一个区别。很多同步是把每一行变化转成 upsert，好比一条一条记录往对岸塞。Snowflake 是在 Postgres 这边把一波操作打包成一个事务，写到文件，那边再把这个事务整个吃进去。好处是不会出现外键对不上、或者中间状态残留的情况。

女：听起来像是两个仓库之间做一个精准对齐的集装箱接力，不是一个一个快递员在路上狂奔。

男：而且插入多的时候特别快，因为不需要匹配更新。它还做了 Live views，可以一边搬数据一边查，延迟能压到一分钟以内。

女：评论区好像不光在聊技术，还有人开始讨论这么做到底有没有护城河了。

男：对。有人就列举了 ClickHouse 的方案，Databricks 的方案。文章的原作者 Marco Slot 自己也在评论区，解释了他们为什么不用 Postgres 自己做最终的应用，因为把键值更新翻译到列式存储里的偏移量很复杂，要么维护一个昂贵的映射要么做昂贵的扫描，所以最后这一步还是交给 Snowflake 自己来做。他也回应了开源的问题：pg_lake 扩展是开源的，但 CDC 相关的代码还是在私有仓库里。

女：然后话题就又歪到那个永恒的争吵上了。

男：自托管还是上云。有家小公司的人说，自己用 Ansible 和 Terraform 管数据库，比托管服务按存储和数据传输收费划算得多。

女：说到架构和收费，我们还有一个话题本来想详细聊的，关于 AT Protocol，就是 BlueSky 后面那个协议。

男：那个文章把 ATProto 当成一个分布式后端的演化史来讲。从一个巨大的 SQL 数据库开始，加缓存、分片、最终一致，然后把数据库由内向外翻，变成别人也能跑的开放服务。

女：它想要达到的状态是，不同应用能共享同一个用户和数据池，但不是 Federated，不是区块链，也不完全点对点。评论区吵最多的就是它到底算不算真的 P2P。Dan Abramov 也在下面解释了半天，说它既不像 Mastodon 那种联邦，也谈不上纯点对点，数据是从托管流向应用的，中间有 Relay 做聚合。

男：对，那些从 IPFS 和 Dat 出来的人其实对当年纯粹的 P2P 理想是有一点幻灭的。他们这次的选择非常务实，口号是“不退步”，要保证体验不下滑。

女：但今天真的不能把所有东西展开了，这期已经聊得够远。从海马体聊到伦敦出租车，从本地 AI 的安全笼子聊到 HackerOne 的信任危机，再到没锁门的会议数据和会自己打包的数据库。

男：嗯。最后说回一开始那句话，软件或者我们自己是不是真的在变稳，要看地基，也要看守门的人。

女：好了，这就是今天的节目。如果你喜欢我们的节目，记得在你的泛用型播客客户端里搜索 Agili 的 Hacker Podcast 订阅，下期再见。

男：拜拜。