标签：自动化

前沿哨所

• 开源项目逆向苹果Find My：破解全球最大众包定位追踪网络

  FindMyWeb 是一个对苹果 Find My 网络进行逆向工程的开源项目，揭示了这套全球规模最大的众包定位网络的底层工作原理。苹果 Find My 网络依托全球数以亿计的活跃苹果设备实现物品追踪：AirTag 等追踪器持续发送蓝牙低功耗（BLE）加密广播，附近的 iPhone、iPad、Mac 在用户无感知的情况下接收信号，并将加密位置信息上传至苹果服务器，物品所有者凭借私钥即可解密并获取位置。逆向工程的核心难点在于协议的加密设计——苹果采用非对称加密确保只有所有者能读取位置数据，中继设备无法获知被追踪物品的身份，从而在提供海量中继的同时保护隐私。该项目通过分析协议细节，使第三方设备无需经过苹果 MFi 认证即可接入 Find My 网络，开发者可以自制兼容追踪器或构建基于该网络的定位服务。此前德国达姆施塔特大学 SEEMOO 实验室发布的 OpenHaystack 项目已证明此类逆向可行，FindMyWeb 进一步降低了接入门槛，将完整协议实现以更开放的形式呈现。此类工作同时引发了隐私边界的讨论：苹果官方通过未知追踪器检测、反骚扰提示等机制限制滥用，而非官方接入的设备则游离于这些保护机制之外。

  事件分析

  从技术角度看，Find My 网络的离线查找协议采用椭圆曲线加密与公钥轮换机制，中继设备上传的位置数据对所有者之外的参与者均不可读，这种”公开中继、私密解密”的架构是逆向工程的主要研究对象。此项目的价值在于验证并公开了非官方设备接入该网络的完整链路，绕开了苹果 MFi 认证体系的封闭性。产业层面，这类逆向工程直接冲击苹果在物品追踪领域的生态壁垒——三星 SmartThings Find、华为”查找设备”等竞品网络同样封闭，协议公开后，低成本第三方追踪硬件有望大量涌现。Google 与苹果此前已联合推出未知追踪器检测标准（RTS），正是为应对跨生态追踪器滥用而设。后续苹果可能收紧服务器端校验以限制非官方设备，形成协议攻防；开源社区也可能基于该实现构建独立的位置服务基础设施。

  核心观点：Find My协议被逆向意味着封闭生态的技术护城河难挡开源渗透，追踪网络的便利与滥用之间的攻防才刚刚开始。

  原文链接：Hacker News

  刚刚

• 开源智能体安全运营平台Argus：AI Agent自动接管告警调查与响应

  Argus是一个免费开源的智能体安全运营平台，近日在Hacker News上引发社区讨论。该项目将AI智能体技术引入安全运营中心（SOC）工作流，旨在帮助安全团队自动化处理告警分诊、威胁调查与事件响应等一线任务。传统安全运营长期面临告警数量庞大、误报率高、安全人才短缺等痛点，分析师需在多类安全工具间反复切换、手动排查海量告警。Argus采用智能体架构，尝试让AI代理承担重复性调查工作：接收告警后自主调用工具收集上下文、关联多源数据、执行预设分析流程，并输出调查结论供人工复核，以缩短平均响应时间、降低一线分析师负担。作为开源项目，Argus代码公开，企业可自行部署、审计与二次开发，这与Dropzone AI、Prophet Security等商业智能体安全产品形成差异化路线。开源模式便于社区审查系统自身安全性、贡献集成能力，也降低了中小团队试用智能体安全运营方案的门槛。该项目发布后，开发者讨论多围绕智能体在安全场景下的可靠性、误判风险与落地边界展开，反映出社区对AI代理进入高敏感度运维领域的谨慎态度。项目详细功能与架构信息以其官方仓库为准。

  事件分析

  智能体安全运营是近期安全行业的重要方向，Dropzone AI等商业公司已获多轮融资，Argus选择开源路线切入，代表性较强。技术层面，此类平台的核心挑战在于执行的确定性与可审计性：安全场景对误判容忍度低，智能体调用查询工具、关联日志、输出结论的每一步都需留下可追溯轨迹，这与通用对话场景要求截然不同。产业层面，开源方案可能改变SOC工具的采购逻辑——中小安全团队无需高额订阅即可试用智能体分诊，商业厂商的差异化压力将转向集成深度、判断准确率与误报责任界定。后续值得关注其与主流SIEM/SOAR生态的连接器完善程度、社区活跃度，以及能否建立衡量智能体安全调查准确率的公开评测基准。

  核心观点：智能体正从编程助手渗透到安全运营，开源路线大幅降低SOC自动化门槛，安全行业的人力结构或将重塑。

  原文链接：Hacker News

  刚刚

• Rust 开源 2D CAD 项目 CADCraft：支持 MCP 协议，AI Agent 可自动绘图

  CADCraft 是一款使用 Rust 语言构建的免费开源 2D CAD 应用，开发者在技术社区 V2EX 分享了这一项目。软件支持 Windows、macOS、Linux、FreeBSD 和 WebAssembly 多平台运行。功能方面，CADCraft 提供直线、圆、圆弧、偏移、修剪、填充、尺寸标注等常见绘图工具，同时支持图层管理和 DWG/DXF 文件格式工作流，并可将设计成果导出为 PDF、SVG、PNG 等格式。该项目的最大特色在于提供 MCP、JSON 控制和无头 CLI 三种程序化接口，脚本或 AI Agent 可以通过这些接口创建图纸、检查实体、渲染截图、转换文件并验证结果，从而实现自动化绘图工作流。这一设计使其不仅面向传统设计人员，也为 AI 辅助设计场景提供了基础设施。项目目前仍在积极开发中，采用 MIT 或 Apache-2.0 双许可证开源，开发者欢迎社区在实际工作流中试用并反馈使用体验。对于关注开源 CAD、精确 2D 制图或 AI 辅助设计的开发者而言，该项目提供了一个可参与、可定制的开源选择。

  事件分析

  CADCraft 的技术看点集中在两方面：一是选用 Rust 实现跨平台一致性，并通过 WebAssembly 支持浏览器端运行，降低了部署门槛；二是将 MCP 协议引入 CAD 领域，使 AI Agent 能以标准化方式操作专业制图软件，这在开源 CAD 项目中较为少见。从产业视角看，2D CAD 市场长期由 AutoCAD 等商业软件主导，DWG 格式兼容性是开源方案的核心难点，CADCraft 对 DWG/DXF 工作流的支持程度值得持续观察。随着 MCP 生态向垂直专业工具扩展，工程制图有望成为 AI 自动化落地的新场景，此类项目也可能推动更多传统专业软件适配 Agent 交互接口，形成开发工具之外的第二波 MCP 适配潮。

  核心观点：MCP 正把 AI Agent 从对话工具推向专业软件操作者，CAD 制图或成自动化工程工作流的下一个入口。

  原文链接：V2EX 分享发现

  刚刚

• 实测拆解 Kimi 699 元套餐计费规则：一周满载折算 API 价值超 1400 元

  一位 Linux.do 用户对 Kimi 老版会员计划 Allegro 套餐（699 元/月）的 Code 额度计费制度进行了定量黑盒实测。作者通过调用配额接口获取保留 4 位小数的用量比例，采用控制变量实验结合线性规划拟合，反推出套餐内 6 个模型的完整计费方程。核心结论包括：7 天额度封顶为 5 小时限额的 5 倍；套餐内缓存读取权重约为未命中输入的 1/200，远低于官方 API 的 1/10，且无缓存写入溢价；K3/K3.1 系列输出权重约为输入的 8 倍，K2 系列为 10 倍。测试期间 K3.1 系列权重在一天内下调了 35%，消除了与 K3 的价格倒挂。实测还确认 K3 与 K3-256k 共享同一缓存池，当输入加输出的实际总长超过 256K 时，整段输出按 2 倍计费，触发条件为实际总长而非 max_tokens 声明上限。以典型长文编码场景（缓存命中率 97.5%）折算，K3.1 Pro 单周满额度等效官方 API 约 1102 元，K3 约 1423 元，均超过 699 元月费。吞吐测试显示 K3.1 系列预填充速度最快，但缓存命中后的首包响应反而慢于 K2 系列。文末附带可复用的快速测算脚本，供其他订阅用户参考验证。

  事件分析

  订阅制与按量计费的价值换算已成为 AI 编程工具竞争的核心议题，该文展示的黑盒逆向方法——利用接口高精度读数、控制变量实验与线性规划求解权重可行区间——具备完整的方法论价值，可迁移至其他大模型订阅产品的成本测算。测算结果揭示了订阅产品与官方 API 之间复杂的定价结构：套餐内缓存读取成本仅为 API 的约二十分之一，对高频长上下文用户存在明显让利，但输出权重偏高，重输出场景性价比下降。值得注意的是 K3.1 权重在两轮测试间下调 35%，说明厂商上线新模型后会动态校准订阅内部扣费系数，订阅额度背后的隐性汇率并非固定，用户实际所得随官方策略波动。随着各家厂商推出订阅制编码套餐，计费透明度、权重调整机制与 256K 这类隐性阈值规则，或将成为开发者社区持续监测与讨论的对象。

  核心观点：大模型订阅套餐本质是一套官方可随时调整的内部汇率，回本价值并无契约保障，用户需自行量化监测。

  原文链接：Linux.do

  刚刚

• 人类设计、AI实现：新语言Goose宣称性能超越C++与Rust

  Goose是一种新的内存安全系统级编程语言，由Lobster语言的作者Wouter van Oortmerssen设计。其核心特点是没有堆分配器、垃圾回收器和生命周期标注：所有动态数据内联存储在编译器管理的栈上，作用域结束时自动释放。根据项目自测的16项基准测试，Goose运行速度达到惯用C++的3.3倍、手工优化C++的1.16倍、最佳安全Rust的1.12倍，内存占用也相应减少。语言特性包括：引用在数组增长时保持有效、嵌套数据完全内联存储、变长枚举按实际变体大小分配、1-4字节的相对引用使数据结构天然成为文件格式、跨帧静态检查的错误返回机制、无共享内存的线程模型等。Goose编译器约3万行C++代码，输出单个C文件，可在任何有C编译器的平台运行，附带VS Code扩展及图形、音频、UI、物理引擎标准库。该项目最具话题性的一点是几乎完全由AI实现：作者负责语言设计，名为Fable的AI（基于Claude）完成了编译器实现、基准测试和文档编写，作者称这是一次用AI实现全新语言的实验，而非复刻现有语言。项目采用Apache 2.0许可证在GitHub开源，支持Windows、Linux和macOS平台。

  事件分析

  技术层面，Goose的内存模型是语言设计上的一次大胆尝试：它绕开了Rust的所有权与借用检查路线，由编译器静态推断引用根实现内存安全，代价是放弃了闭包逃逸、动态分发等灵活性，且变长数据数组只能顺序遍历。其性能数据来自作者自建基准测试，尚待第三方独立验证，新语言的稳定性与生态成熟度也需时间检验。产业层面，这个项目更具标志意义的是开发模式：一名设计师提供语言构想与约束，AI完成约3万行编译器代码、测试与文档的全部工程实现，展示了大模型在高复杂度、长周期软件工程中的落地能力。后续走向上，Goose能否吸引真实用户取决于工具链与社区；而人类设计加AI实现的范式，可能被更多独立开发者复用于DSL和编译器类项目。

  核心观点：当AI能独立写出整个编译器，编程语言创新的瓶颈正从工程实现能力转向人类的设计判断力。

  原文链接：Hacker News

  刚刚

• 阿波罗研究：科技行业之外难觅AI投资回报迹象

  投资管理公司阿波罗（Apollo）发布分析指出，尽管AI资本开支持续攀升、企业采用率不断提高，但在科技行业之外，几乎找不到AI带来实际回报的证据。报告显示，当前AI相关投资高度集中于少数科技巨头，这些公司在数据中心、芯片和算力基础设施上投入巨额资金；然而从宏观数据看，非科技行业的劳动生产率、企业盈利和就业结构并未出现与AI投入相匹配的改善迹象。分析将这一现象与2000年互联网泡沫时期进行类比：当年电信与互联网公司同样进行了大规模基础设施投资，最终大量资本未能转化为可持续收益。报告进一步指出，企业对AI的宣传热度与实际落地效果之间存在明显落差，多数传统行业公司虽宣称在部署AI工具，但其财报与运营数据中尚未体现可量化的效率提升或成本节约。作者强调，判断AI投资价值的关键，在于能否在科技板块之外产生广泛的生产率红利，而目前的数据并不支持这一乐观预期。该分析为当前火热的AI投资周期提供了谨慎视角，提示市场关注资本回报与估值之间的潜在失衡，其观点与近期多位经济学家对AI资本开支过热的警告形成呼应。

  事件分析

  从技术周期角度看，AI回报验证滞后于资本投入并不罕见——通用技术的生产率扩散通常依赖组织流程重构与配套工具成熟，往往滞后数年。但本轮周期的特殊性在于资本开支规模空前且高度集中于数据中心等重资产环节，若下游收益迟迟无法兑现，算力供给过剩与估值回调的风险将上升。产业层面，企业级AI落地效果的可量化缺口，正推动市场关注点从”模型能力竞赛”转向”ROI证明”阶段，具备明确降本增效场景的AI应用与智能体类产品或成为下一轮竞争焦点。后续可跟踪非科技行业的生产率数据、云厂商资本开支指引以及AI订阅收入的增长质量，以判断当前缺口究竟属于技术扩散的正常时滞，还是结构性泡沫的早期信号。

  核心观点：资本开支的狂热与生产率数据的沉默形成鲜明反差，AI能否走出科技圈，正成为决定这轮周期成色的关键试金石。

  原文链接：Hacker News

  刚刚