2026.07.16 —— 今日 10 則
TODAY'S THREAD 今天的暗線是「沒人告訴你」——.al 的 DNSSEC 驗證被靜默繞過、Cursor 在 Windows 上不吭一聲就執行 repo 裡的 git.exe、C 字串把長度藏了五十年，連換掉預設瀏覽器都被設計成一場阻力賽；今天的十則，多半在講那些不主動現身的失敗與代價。
Thinking Machines 開源 Inkling：975B 總參數、41B 活躍
Thinking Machines Lab 釋出開源權重模型 Inkling，975B 總參數、41B 活躍的 Mixture-of-Experts，1M token 上下文，支援文字、影像、音訊多模態輸入，並透過 Tinker 平台開放微調。對想在開源權重上做客製的團隊，這是繼 GLM、Qwen 之後又一個大型 MoE 選項。要留意的是官方發表頁只給了能力雷達圖、沒有具體 benchmark 數字，真正的實力還得等社群跑分。
沒有 GPU、13 年老 Xeon，把 Gemma 4 26B 跑到每秒 5 token
有人只用一台 13 年前的 Xeon 伺服器、完全不靠 GPU，把 Gemma 4 26B 的推論推到每秒約 5 token。做法是吃準記憶體頻寬與量化配置，示範大模型推論不必然綁死在最新加速器上。對想在舊機或邊緣硬體上跑本地模型的人，這是一份把瓶頸講清楚的實戰筆記。
C Strings：一個 50 年的錯誤
一篇長文主張 null-terminated 字串是 1970 年代記憶體限制留下的錯誤，如今該換成「指標 + 長度」的表示法。作者從 snprintf 長度語意的自相矛盾、null 指標與空字串兩種無效狀態，一路談到 length-based 字串最大的好處——子字串可以 zero-copy，對 parser 與 lexer 影響最深。文末還比較了 Redis SDS、stretchy buffer 與 Pascal 字串的取捨。
FreeBSD 16 從 base system 移除最後的 GPL 程式碼
FreeBSD 16 把 base system 裡最後殘留的 GPL 授權程式碼全部汰除。對拿 FreeBSD 做嵌入式或商用衍生產品的團隊，這意味著 base 可以更乾淨地走寬鬆授權、少一層合規顧慮。
一次失敗的 DNSSEC rollover 讓 .al 全掛，EDE 33 告訴你驗證被繞過
2026 年 7 月 3 日，阿爾巴尼亞 .al 這個 TLD 的 DNSSEC key rollover 操作失手，root 的 DS 還指著舊金鑰、權威卻只發新金鑰，整條信任鏈斷裂讓全網驗證失敗。Cloudflare 約三小時後部署 Negative Trust Anchor（RFC 7646）恢復連線，代價是暫時放棄該區的密碼學驗證。真正的新東西是 1.1.1.1 現在用 Extended DNS Error 33 明講「這筆回應是在 NTA 下未驗證的」，配合 EDE 9 讓你分得出可信與不可信的答案。
Cloudflare Precursor：用持續的客戶端訊號揪出 agentic 行為
Cloudflare 推出 Precursor，用 session 層級持續累積的客戶端互動訊號來辨識自動化 agent，而不是靠單次挑戰。官方宣稱能在提高 bot 判定準確度的同時，降低對真人使用者的摩擦。在 AI agent 大量存取網站的當下，這類「行為指紋」會愈來愈影響你的流量能不能過得去。
Cursor 會自動執行 repo 裡的 git.exe——當全面揭露成了唯一防線
資安團隊 Mindgard 揭露：Cursor 在 Windows 上會優先執行 repository 根目錄裡的 git.exe，只要打開帶有惡意 git.exe 的專案，就會無提示、無對話框地任意執行程式碼。更刺的是揭露過程——回報一度被判為 out-of-scope，走了三個管道、前後大半年仍未修，研究者最後只能走全面揭露。對每天用 AI 編輯器開陌生 repo 的人，這是個該立刻檢查的攻擊面。
Over the Edge 2.0：微軟仍在用設計手段削弱瀏覽器選擇
Mozilla 研究整理了微軟在 Windows 與 Edge 上，如何用設計暗示與流程摩擦持續拖住使用者更換預設瀏覽器。這是兩年前那份報告的續集，逐一點名 Trick Wording、Obstruction、Preselection 等暗黑模式，但沒有量化對市佔的實際影響。對做瀏覽器選擇畫面或 default handler 的人，值得看看被點名的具體反模式。
AWS 自家的 ExtendDB：DynamoDB 相容、儲存後端可插拔
AWS 開源了 ExtendDB，一個 DynamoDB 相容、儲存後端可插拔的 adapter，主要瞄準開發與測試場景。它讓你能在本地或替代儲存上跑 DynamoDB API，不必每次都連真正的雲端服務。對想把 DynamoDB 相依從 CI 與本機開發解耦的團隊，是個現成選項。
Netflix 推出 VMAF v1
Netflix 釋出影像品質評估演算法 VMAF v1，在刻意維持與 v0 分數相容的前提下，改善對壓縮影像品質的判斷準確度。VMAF 是很多編碼管線用來取代肉眼、決定位元率的客觀指標，分數口徑一動全流程都受影響。維持相容代表你可以升級而不必重跑歷史基準。