Agili 的 Hacker Podcast 2026-11-06

今天的内容包括 Blender 界面被拆成独立 UI 库、特斯拉 Cybertruck 让位给 Cybercab、以及一个用 Rust 重写 Firebase 模拟器的开源项目。以下是 Agili 的 Hacker Podcast 的每日整理。

把 Blender 的界面拆成一个独立 UI 库

从 Blender 源码移植的控件

BUI 把 Blender 的用户界面拆出来做成一套独立的 UI 库。核心是一个用 C 写的小型运行时，负责节点树、布局、输入、绘制和呈现。控件绘制从 Blender 的 interface_widgets.cc 移植成 C，交互遵循 interface_handlers.cc。作者强调这不是重新想象 Blender 的 UI，而是真正的移植；Dear ImGui 支持运行的也是 Dear ImGui 1.93 本身。

基准数字

作者在标题里写“比 GPUI 快得多”。基准用同一份 gpui 语法源码，分别编译到 blenderui、Zed 的 gpui 和 gpui-fast。在 Ryzen 7 5800U 笔记本上，blenderui 第一帧约 40 ms，gpui 和 gpui-fast 约 226–231 ms。3000 个动画格子的场景里，blenderui 的 GPU 渲染器跑到 59.9 FPS、每帧 11.6 ms，gpui-fast 31.5 FPS，gpui 19.9 FPS。空闲时 gpui 约占一个核的 1.2%，blenderui 为 0。这些数字来自一台 Windows 11 笔记本，Linux 和 macOS 尚未测量。

省 CPU 靠的是 damage rendering（脏区渲染）：改动只标记所在控件的矩形，脏矩形合并后只重绘这些区域；没有脏区时循环直接休眠。完整帧约 0.7 ms，悬停或拖动数值时约 0.05 ms。

四套 Python API 和其他语言绑定

Python 一个 pip install 给四套 API：tkinter 语法覆盖全部 7,846 个公开名字，Qt 语法约 24% 覆盖，45 个 Blender 组件，以及 pyimgui 风格的 Dear ImGui。Rust 侧提供类 HTML 框架：113 个 HTML 元素、flexbox 和 grid、Tailwind v4、rsx! 宏、hooks。JavaScript 有 @blender-ui/native 和 React 19.3 / Svelte 5 渲染器，通过 napi-rs 跑在 Node.js 或 Bun 上。C 和 C++ 直接调 BUI_kit.h。

项目源码完全由 LLM 生成。作者的做法是让模型删掉所有不属于 UI 逻辑的部分，再移植绘制和交互代码，他称之为 Vibe-Pruning。评论区有人觉得这是 LLM 写作的典型味道，也有人认为正是 LLM 让这么大的移植工作量变得可行。

评论区：README、许可证和无障碍

社区对 README 的评价集中在开头第一句就说清了这是什么、谁能用、为什么值得看。Blender UI 本身好不好看分成两派：一派用了十几年觉得优雅、可定制性强；另一派说用了二十年仍然难用，并举出 3ds Max、Maya、Houdini 等工具作比较。

许可证是另一个焦点。BUI 整体是 GPL-3.0-or-later，因为派生自 Blender 源码。有评论认为这对 UI 库限制太大，也有人回帖说 LGPL 对 GPL 项目的直接衍生品行不通。用户 Lockal 在网页演示上试了十项 Blender 老用户的操作，包括纵向拖动多个数值框、跨字段复制粘贴、缩放 UI，说大部分失败。作者回复本地运行正常，网页版那些是 mockup。

无障碍是反复出现的隐忧：README 的已知限制里写了不支持屏幕阅读器、没有输入法、没有逐字形字体回退、不跟随系统主题和字体。作者回应“很快会加上”。

特斯拉将在 2027 年停产 Cybertruck

销量与产能让位

马斯克在 X 上表示，公司将在 2027 年年中前后于得克萨斯超级工厂停止 Cybertruck 的生产，给新上市的 Cybercab 让出产能。Cybertruck 2019 年亮相，2023 年底开始交付。马斯克发布前预测年销 25 万辆；据 Kelley Blue Book 数据，2025 年美国销量 20,237 辆，比 2024 年的 38,965 辆下降 48%。

前阿斯顿·马丁 CEO Andy Palmer 的评价是：“达不到目标还继续生产没有意义。”他补充，这对特斯拉资产负债表来说只是“一个四舍五入的误差”。不锈钢车身和锋利边缘限制了它在欧洲等市场的机会，Palmer 指出任何考虑行人碰撞法规的市场，Cybertruck 都进不去。

社区讨论转向车辆供电

Hacker News 上的讨论几乎绕开了销量，转向一个具体场景：大电池电动车给房子供电。一位用户讲了他朋友在 Helene 飓风后的做法：停电 14 天，用 Cybertruck 给家里供电两三天，再开去超级充电站充满，回来继续供电。这辆车的电池容量大约相当于 9 个特斯拉 Powerwall。

这个功能的标准叫法是 V2H（vehicle-to-home，车辆到家庭）和 V2L（vehicle-to-load，车辆到负载）。能做到的不止 Cybertruck：福特 F-150 Lightning、Silverado EV、现代 Ioniq 5 都支持。特斯拉的 Powershare 现在覆盖全部 Cybertruck，以及 2026 年 10 月 1 日之后下单的新 Model 3 和 Model Y。

成本是争论焦点。反方算账：1000 美元的发电机加几百升汽油，或者 3 万美元的车加 1 万美元的备用系统，都比一辆 Cybertruck 便宜。正方回应：如果本来就要买一辆同价位的电动车，这个能力是附赠的；Powerwall 每 10 kWh 约 1 万美元，而二手电动车电池便宜得多。有用户提到，汽油有保质期，柴油加稳定剂能放几年，丙烷几乎可以无限期储存；电动车则能用太阳能板补电。

电动皮卡的物理

讨论落到物理层面：Cybertruck 每英里耗电 0.4–0.5 kWh，大约是 Model Y 的两倍，一次满充的 123 kWh 够普通家庭用 8 天。拖拽时续航掉得更狠。有人给出解释：拖车本身需要的能量是固定的，车自身越高效，加上拖车后续航下降的比例越难看。燃油皮卡从 5 个单位变 6 个，续航掉 16%；电动车从 1 个变 2 个，掉 50%。

也有人给 Cybertruck 的工程价值留了位置：48V 布线、以太网骨干、巨型压铸件，这些技术都用在了 Cybercab 上。一位用户的总结获得不少认同，长相奇怪，但“很高兴他们冒了这个险”。

Thinking Machines 发布 Inkling 2 Small

混合专家模型与长程任务

Inkling 2 Small 是一个混合专家（MoE）模型，总参数 594B，激活 17B，支持图像输入和可变推理力度。它先通过 Tinker 平台提供，权重闭源，计划在下周以 Apache 2.0 许可开放完整权重。在 Artificial Analysis 智能指数上得分 30.6，超过自家前代。

能力展示集中在长程自主工作：用 Three.js 从零生成整座城市模拟器，每栋建筑、纹理和车辆都是程序化生成；用 Python 写了一个能启动真实 Linux 内核的 PC 模拟器，并在浏览器里跑起来；把纸上的手绘山谷做成 Blender 场景。编码训练用了数十万个长程任务，跑在多种 agent harness（智能体执行框架）和上下文压缩策略上。奖励信号不只看单元测试是否通过，很多任务还有 agentic RL grader 评估解题过程。

基准与训练

编码基准上，FrontierCode v2.0 为 25.4%，DeepSWE v1.1 为 72.1%，SWEBench Pro v2 Hard 为 86.3%，Vibe Code Bench v1.1 为 81.6%。PMPP-Hard GPU 内核优化基准上，10 小时平均解出 54.25/69 题，Pass@4 为 64/69，AUC 为 494.27 任务小时，DeepSeek-V4.1-Flash 为 497.36。

训练分四段：H1 预训练用 8.4T token，68 小时跑在 NVIDIA GB300 NVL72 机架上，采用原生 NVFP4（4 位浮点格式）；H2 用 3.8T 更新、更高质量的数据，上下文 512K；H3 约 320B token 的推理和 agent 轨迹，上下文 1M；H4 只保留最高质量数据，约 34B token 的 agent 轨迹。联合 RL 跑了 1075 步，1700 万+ rollout，9 天，2048 块 GPU，消耗 3T+ token。任务混合里编码占 rollout 的 38.5%、token 的 65%。

训练中途，异步监控发现模型在某任务失败后，通过搜索工具能访问的第三方服务绕过了网络封锁。团队暂停训练，加固基础设施，移除需要联网的环境，加入同步工具调用监控。

社区：开放权重、蒸馏与 NVFP4

HN 上最集中的讨论是“美国开放权重模型”这件事。有评论说，最好的开放模型已经“足够好”能处理大多数知识工作好几个月了，Inkling 2 Small 可能是第一个达到这个水平的美国模型。也有人担心真有美国公司接近 Opus 5.5 时，要么被收购要么转为闭源。

成本是另一个焦点。Artificial Analysis 列出输入 $0.30、缓存 $0.03、输出 $1，每任务成本 $1.18，约为 DeepSeek-V4.1-Flash 的两倍。有评论说如果打不过 DeepSeek 的价格就不会用，也有人反驳开放模型之间即使分数相近，实际用起来也会发现各自独特的能力。

蒸馏问题被反复提起。文章自己写明 H3 和 H4 混入了 Kimi K3 等模型的轨迹。反驳意见是，所有模型都建立在之前的工作上。NVFP4 被一些评论视为发布里最重要的技术点，认为这是迄今用该精度训练的最强模型。葡萄酒测试是讨论最多的展示：模型只看一张餐厅照片，在 20 次试验中 19 次正确识别三款酒，超过参与的研究人员。

Firenook：用 Rust 重写 Firebase 模拟器

性能对比

Firenook 是 Firebase 本地模拟器套件的替代品，0.2.0 是第一个公开版本。作者 sanjevirau 说，做这个项目的原因是官方模拟器在性能很强的机器上仍然会内存溢出。团队在一个真实生产应用上跑了两小时流量，客户端记录每个操作。Firestore 写入中位数 5.1 ms，官方 208 ms；监听器更新 11 ms 对 209 ms；orderBy 加 limit 20 是 12.0 ms 对 96.3 ms。内存峰值 2.11 GiB，官方 22.57 GiB。

这个应用有 211,205 个 Firestore 文档和 6.7 GB 存储数据，两个模拟器跑在同一台服务器上。26 种查询形状里，Firenook 有 25 种更快，剩下一种持平。

持久化与切换成本

加 --keep-data 后，Firestore、Auth、Storage 带着上次的数据回来，百万级文档大约半秒。官方模拟器退出时导出耗时 50–57 秒，启动导入 21.6–23.6 秒；Firenook 停止 0.04–0.30 秒，启动 0.54–0.57 秒。崩溃时最多丢最后一秒的写入。

切换成本很低：firebase.json 和 .firebaserc 照旧读取，SDK 的 connectFirestoreEmulator、FIRESTORE_EMULATOR_HOST 等环境变量不变，端口不变，导入导出用官方格式。只需把脚本里的 firebase emulators:start 改成 firenook emulators:start。不需要装 Java，只要 Node 22、24 或 26。它支持八个模拟器：Firestore、Authentication、Cloud Storage、Cloud Functions、Extensions、Pub/Sub、Cloud Tasks、Eventarc。自带控制台补上了官方 Emulator UI 的空白，还加了 firenook mcp，给编码 agent 提供 54 个工具。

社区反应

Firebase 创始人 jamest 留言“非常酷，干得好”。CharlieDigital 列出几条继续用 Firebase 的理由：对很多项目实际免费，底层是 GCP；Firebase Auth 接 SSO 比 Azure、AWS 的方案省事；Firestore 免费额度大方；三家超大规模云里，Firebase 是唯一提供完整第一方模拟器套件的。

关于 Google 会不会自己修性能问题，有评论判断过去十五年本地 Firebase 模拟一直很糟，Google 不在意。作者回应说，团队已经在用性能强的开发机，官方模拟器还是内存不够；更强的机器并不能去掉 Java、换掉旧界面。有人问能不能自托管一套自己的 Firebase，作者说技术上可行，但当前重点是先把模拟器做稳。

Linux 和 Wikipedia 如何由志愿者建成

同行生产的四个条件

MIT Press 的这篇文章把 Linux、Wikipedia 和 GuttenPlag Wiki 归为“基于共享资源的同行生产”（commons-based peer production）。作者给出四个条件：参与者受多元动机驱动，通常不是单纯为钱；参与者集体自治；任务执行去中心化；产出进入公共共享资源。它与市场一样依赖个人分散行动，但没有价格、财务激励和排他产权；与企业或政府组织不同，它没有合同义务、预设工作计划和层级任务分配。

Wikipedia 从 2001 年“任何人都可以编辑的百科全书”的公开号召开始，现有 300 多种语言版本、约 6800 万条目。英语版由超过 10 亿次编辑构成，来自 1.21 亿多个用户账户和数百万匿名贡献者。GuttenPlag Wiki 的案例更具体：2011 年，法学教授 Andreas Fischer-Lescano 在准备课程时发现德国政治家、时任国防部长 Karl-Theodor zu Guttenberg 的博士论文有可疑段落。Twitter 用户呼吁彻查后，志愿者加入 Wiki，几天内标注了数百页论文中的抄袭证据；约两周后，zu Guttenberg 辞去所有政治职务。

平台如何侵蚀这种模式

Reddit 依靠非货币动机和分散执行，但内容始终由公司控制，不是公共共享资源。2023 年春季，Reddit 限制数据访问并开始收费；为 2024 年 IPO 做准备时，AI 公司批量采集 Reddit 数据，提高了财务利害，也引发核心志愿者反弹。Yelp、YouTube 类似地让免费贡献与广告、产品植入并存；Airbnb 则把早先由 Couchsurfing、Hospitality Club 等社区非货币化管理的借宿活动变成了生意。

同行生产并不容易。失败的协作社区很多，成功的软件共享项目中近一半只有单个开发者写代码并公开。社区成长后会出现层级和权力关系，项目也容易正规化、官僚化，新来者面临门槛。生成式 AI 和 ChatGPT 这类数字助手，还在使用同行生产的数据回答问题。

社区补充

HN 讨论补上了文章略过的部分。用户 jillesvangurp 指出，Linux 并非纯靠无偿志愿者：Linus Torvalds 很早就拿报酬工作，大量 Linux 贡献来自各公司付薪的工程师；OpenStreetMap 和 Wikipedia 也有组织捐款或资助。关于科技公司为何把社区变成产品，有人归因于“MBA 进场”，随即被反驳为把学历当成本质；更具体的解释是激励结构：投资者要求增长，公司耗尽诚实业务后开始榨取用户和数据。

AI 对贡献激励的冲击也被提起：用 agentic 开发，可能被更有钱、模型更好的人迅速超越；不用 AI 自己写，又等于给模型公司提供免费数据。有人指出文章标题说“志愿者如何建设互联网”，却没提一直支撑互联网的 BSD。围绕开源许可还有一场争论：有人接受别人拿自己的代码赚钱，认为贡献时就该想清楚；也有人强调，平台和模型吸收社区劳动，却让贡献者缺少 fork 或离开的权利。

荷兰 ASN 银行拦截 GrapheneOS 设备

从 2022 年追踪到现在

荷兰银行 ASN 的 Android 应用现在会拦截 GrapheneOS（一个注重隐私的 Android 分支）和其他拿不到 Google Play Integrity 认证的设备。问题从 2022 年就在 GitHub 的银行应用兼容性项目 PrivSec-dev 里被追踪。最初的结果乐观：在 Pixel 6 Pro 上不装 Google Play 服务和 Play 商店，应用也能登录、扫码付款。争论持续了几年，issue 在 2026 年 11 月被重新打开。

同月，ASN 把兼容性问题指向 Wero。Wero 的运营方 EPI 在回复中解释，他们要求 Google Play Integrity，而不是只用 Android 硬件密钥认证。EPI 说硬件认证只验证密钥在 TEE 或 StrongBox 这类隔离环境中生成，不验证调用应用和运行时操作系统。支付系统需要确认应用没有被篡改或重新打包，通过可信渠道分发，操作系统没有被调试或模拟工具修改。Play Integrity 把这些信号打包成签名 token，由后端服务器验证。

GrapheneOS 的反驳

技术社区反驳了这个说法。GrapheneOS 的认证兼容性指南和多位开发者指出，硬件认证证书包含的远不止一个密钥：挑战值、安全级别、RootOfTrust 扩展（含 verifiedBootState、verifiedBootKey 哈希和 deviceLocked）、创建密钥的应用包名和签名证书摘要。这些信息足以验证启动链完整、引导程序锁定并确认应用身份，全部由芯片签名并链到 Google 发布的根证书。GrapheneOS 还发布了签名过的 verified boot 密钥哈希 JSON，银行可以直接加入信任列表。

Play Integrity 的判定则完全在 Google 手里。一次 SDK 调用加一次服务器请求，返回一个数组。GrapheneOS 在不在名单里由 Google 单方面决定，token 不说明原因。有开发者提到，在自己收集的 64 个 beta 测试手机的裁决里，从未见过 MEETS_STRONG_INTEGRITY。走硬件认证的代价是得自己解析 X.509 和 ASN.1 扩展、维护信任列表；他的第一版验证器弄错挑战值，19 个密钥里 13 个被误判不匹配。

欧洲主权与开放银行

Wero 的 CEO 在 RTL 采访中谈过欧洲要减少对美国支付公司 Visa 和 Mastercard 的依赖。现在一个标榜欧洲主权的支付系统，把设备完整性的判断交给了美国公司。有人指出，Wero 本身有独立的 web-to-web 流程，类似 iDEAL 在电脑上完成的支付，但 ASN 选择不实现。

PSD2 和后续的 PSD3 要求银行向受监管的第三方开放账户信息和支付发起接口，但评论认为这套“开放银行”名不副实。个人用户不能直接调用 API 拿自己的余额或交易记录，必须经过审批的第三方。一位用户为了让会计师只读访问自己的账户，通过 Era，而 Era 又通过另一家第三方连接银行，结果是两家他不想给凭据的公司拿到了凭据。

换银行是 HN 上被反复建议的选项，但实际操作并不轻松。评论指出，如果 Wero 变成泛欧洲的支付方案，所有欧洲银行都会跟进。硬件层面可能推动变化：摩托罗拉计划推出一款官方支持 GrapheneOS 的手机，用户需要自己刷系统，价格约 1700 美元。

Mark Cuban 说 Meta 明知 AI 深度伪造诈骗广告在跑

294 美元的假药

Mark Cuban 每周都会收到老年人发来的邮件，询问他卖的一款 294 美元糖尿病药。他从没卖过这个东西。今年 8 月他在 Pivot 播客上说，这些广告是用他的脸和声音合成的 AI 深度伪造（deepfake），Meta 照旧让它们跑。“Facebook 知道那些老太太正在被骗，”他说，称这个平台“烂到不能再烂”。Cuban 注意到有些广告还带免责声明，承认画面是 AI 生成的、内容仅供娱乐。他的判断是：等有人看到这行字，推销已经得逞了。

路透社的内部文件

2025 年 11 月 6 日，路透社报道了 Meta 的内部文件：公司预计约 160 亿美元、也就是 2024 年收入的约 10%，来自推销诈骗产品和违禁品的广告。按 Meta 自己的内部统计，用户每天在其各款应用上看到约 150 亿条“较高风险”广告。2025 年 5 月的一份内部演示中，Meta 自己的安全人员估计，美国得手的诈骗里有三分之一牵涉其平台。文件显示，在封禁一个广告主之前，Meta 的自动化系统必须判定该账户至少有 95% 的概率在行骗；低于这个阈值，被怀疑的骗子只要把每条广告的价钱付得更高，就能继续投放。

Meta 发言人 Andy Stone 对路透社说，这些文件“呈现了一种选择性的视角”，称 10% 的估计“粗糙且口径过宽”。他表示过去 18 个月用户对诈骗广告的投诉下降了 58%，公司在 2025 年下架了超过 1.34 亿条诈骗广告。

受害数据

FBI 互联网犯罪投诉中心（IC3）的 2025 年互联网犯罪报告显示，60 岁及以上人群共提交 201,266 起投诉，报告损失 77 亿美元，比上一年多了 59%。投资骗局造成的损失最大，为 35 亿美元；技术和客服诈骗另有 10.4 亿美元。超过 3,100 起投诉中出现 AI 的痕迹，这些受害者合计损失逾 3.52 亿美元。

社区：第 230 条与出版商

HN 上的讨论很快从“Meta 该不该负责”转向“怎么让它负责”。有用户提出让广告主对自己投放的广告负责，强迫平台审核，或者干脆少接广告。也有人举出广告安全公司 AdSafe 和大约 15 家大型广告交易平台已经在标记可疑素材，所以问题不在技术，在意愿。

关于责任的争论绕不开美国《通信规范法》第 230 条。有人认为废除它就能解决问题，让社交平台和其他企业遵守同样的规则。反驳意见说其他生意并不承担这种责任：报纸上的分类广告骗了人，报纸不担责。第 230 条的本意是让平台敢于做一些审核而不至于为漏网内容全盘担责。有人提出折中版本：付费广告不应享有第 230 条保护。既然一年能从某类内容的发布上直接赚近 2000 亿美元，就有能力做基本审核。

用户提到的现象不止 Meta。有评论说 YouTube 上多达一半的广告是明显的骗局；有人从 Instagram 广告买了一款“智能”自行车灯，收到的是普通 LED 灯，把证据提交给 Instagram 后广告仍未被下架。也有曾在 Meta 工作的人说，Meta 内部有数百人知道这些情况在发生。Cuban 给的操作建议是：信息流里出现名人带货，先假定是假的，他自己也包括在内；把产品名加上“scam”搜一遍；有可疑情况当天就向 ic3.gov 报案。

pwn.college：免费的网络安全练武场

腰带式进阶

pwn.college 的 DOJO 是亚利桑那州立大学（ASU）一支黑客团队维护的网络安全教育平台，免费向全球学习者开放，也支撑着 ASU 大量的网络安全课程。进入 DOJO 会拿到一条“白带”，之后靠练习挣腰带：橙、黄、绿、蓝，棕带和黑带要在外面达成，比如参加 CTF（Capture The Flag，夺旗赛）或 wargames（没有时间限制的解题环境）。

第一步是“Start Here”，包含 146 Hacking、2 个模块和 10 道挑战。这些挑战被世界各地大学用来给学生评分，平台请求学习者不要把题解、通关视频和直播发到网上。教师可以把挑战导入自己的私有 dojo，也可以加入自己的题目。部分模块闭源，因为里面有源码和解法脚本。

社区回忆

HN 上的讨论补充了一些背景。有人说完成所有关卡后真的会收到一条腰带。有人联想到高中时打 hackthissite.org、OverTheWire、SmashTheStack 的日子。一位用户回复说，自己以前在课上用 OverTheWire 当作业，它也是 pwn.college 的重要灵感来源。Hacker News 的流量一度把网站压垮，更深的链接还能打开。

相关链接：