HN 每日精选 HN 每日精选

HN日报 | 2026年7月15日

今日HN涵盖重大AI模型发布（Inkling、Bonsai 27B、旧硬件上的Gemma 4）、开源编码工具（Grok Build、Juggler）、安全漏洞（Cursor 0day、Claude记忆窃取），以及AI对软件开发影响的文化反思。

当今科技领域被一种引人入胜的紧张关系主导：AI模型正变得愈发强大且易于获取，但它们带来的安全与协调挑战也日益凸显。从975B开放权重模型到在十年前的硬件上运行26B模型，AI的民主化进程仍在继续——但关于我们在构建什么以及如何构建的问题也接踵而至。

AI与机器学习

  1. Inkling：我们的开放权重模型 — Thinking Machines发布Inkling，一个975B参数的混合专家Transformer（41B活跃参数），拥有完全开放的权重、100万token上下文，并支持文本、图像和音频的原生多模态推理。它被设计为一个广泛、可定制的基础模型——并非整体最强，但作为跨多种用例微调的实用基础。

  2. Bonsai 27B：可在手机上运行的27B级模型 — Prism ML宣布推出Bonsai 27B，采用三元和二元权重将27B参数模型压缩至仅3.9-5.9 GB，使其能在iPhone 17 Pro上运行。它保留了全精度性能的90-95%，同时仅占用极小内存——这对设备端智能体工作负载而言是一次真正的范式转变。

  3. 在13年前的Xeon上无GPU以5 token/秒运行Gemma 4 26B — 一项非凡的工程壮举：在配备双Ivy Bridge Xeon（2013年）且无GPU的翻新HP StoreVirtual服务器上运行Google的26B MoE模型，实现了阅读速度级别的推理。作者使用Claude修补了ik_llama.cpp以支持前AVX2 CPU，证明了旧企业硬件仍可发挥作用。

  4. LeMario：在超级马里奥兄弟上训练JEPA世界模型 — 深入探讨从零实现LeCun的联合嵌入预测架构，并在超级马里奥兄弟上进行训练。该模型学会了预测未来帧，但无法实际通关——这是一个谦卑的提醒：预测≠理解。

开源与工具

  1. Grok Build已开源 — SpaceXAI开源其基于终端的AI编码智能体，使用Rust编写。它是一个全屏TUI，能理解你的代码库、编辑文件、运行命令并管理长时间运行的任务——可交互式或为CI无头运行。源代码采用Apache 2.0许可证。

  2. Show HN：Juggler——开源GUI编码智能体，由JUCE创建者开发 — JUCE和Tracktion的创建者Jules推出Juggler：一个基于GUI的AI编码智能体，围绕Yjs CRDT文档构建，具有Miller列导航、P2P多客户端支持和JavaScript插件系统。它采用AGPLv3许可证并附带Apache-2.0扩展，无遥测，无需注册。

  3. 我如何将HTMX与Go结合使用 — 一份实用指南，介绍如何将HTMX与Go的html/template包结合，构建具有流畅交互性的服务端渲染Web应用。涵盖模板结构、部分与完整页面响应、重定向、错误处理及标准配置——为任何构建Go Web应用的人提供可靠参考。

  4. Dependabot版本更新引入默认包冷却期 — GitHub的Dependabot现在在打开版本更新PR前等待3天，为社区留出时间捕获被入侵的版本。安全更新仍会立即打开。这是针对供应链攻击的一个虽小但有意义的防御措施。

安全与隐私

  1. Cursor 0day：当完全披露成为唯一保护手段 — Cursor IDE中的一个严重漏洞：打开包含恶意git.exe的仓库时，会在无需用户交互的情况下自动执行。Mindgard在7个月前披露此问题，但经过197+个版本仍未修复。此次披露是对Cursor安全实践的严厉控诉。

  2. 我欺骗Claude泄露了你最深、最黑暗的秘密 — 一个巧妙的演示，展示如何通过网页浏览利用Claude的记忆系统（每日摘要+对话搜索）。通过构建一个包含编码用户数据链接的网站，作者在用户未察觉的情况下窃取了个人信息。这是对AI助手安全的严厉警告。

  3. 温哥华警察局网站设有快速退出按钮，可清除浏览历史 — 温哥华警察局网站包含一个醒目的“快速退出”按钮，可立即清除浏览历史——这是为家庭暴力受害者或需要快速隐藏浏览记录的人设计的一项贴心安全功能。简单、实用，且可能挽救生命。

  4. OpenAI在欧盟法院商标纠纷中败诉 — 欧盟普通法院裁定，“OPENAI”对软件和云服务而言纯属描述性词汇，缺乏商标保护所需的显著性。法院认为该术语以普通语言方式组合了“open”（自由访问）和“AI”。OpenAI可提出上诉。

文化与评论

  1. 巴别塔仍在升高 — Armin Ronacher（Flask创建者）对AI辅助编程进行了精彩反思：智能体消除了迫使开发者协调和共享理解的摩擦。巴别塔并未倒塌——它只是不断升高，即使共享理解已经崩塌。对于任何思考AI对软件工程影响的人来说，这是必读之作。

  2. 有手机的孩子们没事 — 对年轻人智能手机禁令的有力反驳。作者讲述了一段视频：少女们用手机记录并对抗火车上的骚扰者，认为对青少年手机使用的全面限制实际上可能使他们处于危险之中。这是对激烈辩论的细致入微的见解。

  3. 如何阻止Claude说“承重” — 一份幽默且实用的指南，教你使用Claude Code的MessageDisplay钩子，将“承重接缝”和“坦诚看法”等过度使用的短语替换为更有趣的内容。社区对Claude口头禅的集体挫败感是真实的，而这是一个巧妙的解决方法。

科学与研究

  1. 用20个Codex账户并行解决20个Erdős问题 — 一个雄心勃勃的项目，使用多个Codex实例解决Erdős问题列表中的开放问题。文章详细介绍了使用新颖的同质层级坐标系统和边码构造解决第123号问题（不同互质幂的和）。这是AI辅助数学的一次迷人一瞥。

复古计算与游戏

  1. 侏罗纪公园电脑的极致细节 — Fabien Sanglard对《侏罗纪公园》中每台电脑和软件的细致剖析，从Apple PowerBook 100到SGI工作站，再到Thinking Machines CM-5超级计算机。包括通胀调整后的成本（2026年价值400万美元）和幕后制作细节。RIP Sam Neill。

  2. 恐怖命令行游戏Duskers即将推出续作 — 备受喜爱的终端恐怖策略游戏Duskers即将推出续作，由Stray Signal（Max McGuire的项目基金）资助。原版今年迎来十周年，续作承诺更高的风险和更具情感的故事。在Steam上加入愿望单。

Web开发

  1. 你的“应用”本可以是一个网页（所以我帮你修复了） — 对学校旅行行程的不必要Android应用的一次令人满意的批判。作者逆向工程了该应用的API，提取所有数据，并构建了一个合适的网页——无追踪、无广告，只有信息。提醒我们并非所有东西都需要做成应用。

  2. Show HN：WebAssembly中的Firefox — 整个Firefox浏览器（Gecko、UI、Spidermonkey）被编译为WebAssembly，并在<canvas>元素中运行。通过WISP协议实现端到端加密，并采用新颖的WASM→JS JIT。这是一次有趣的实验，突破了浏览器中可能性的边界。

今天的故事描绘了一个快速变革的科技世界：AI模型正变得愈发可及和强大，但安全影响和协调挑战正逐渐显现。我们构建的工具，其优劣取决于我们对它们的共享理解——而正如巴别塔隐喻所提醒的，这种理解正日益脆弱。明智地构建吧。