2026.10.23 —— 今日 10 則
TODAY'S THREAD 今天有三條線：GitHub、Cloudflare 與 Meta 各自交出基礎設施與成本的帳目；eMudhra 的 CA 私鑰、QPACK 的解碼上限與 PHP 的記憶體處理，則是各自最基本的一道防線沒守住；DuckDB 2.0、tsrs 與 passkey 的 attestation 之爭，講的是升級或採用之前該先看清楚的代價。
Cloudflare 把 AI 程式碼審查的成本降了 68%
Cloudflare 內部 AI 程式碼審查器的平均單次成本，從 4 月的 1.19 美元漲到 8 月底約 2.46 美元；團隊靠共用快取前綴、減少多餘呼叫，以及調整模型與推理強度，把最貴兩週平均 2.43 美元的單次成本壓到 0.77 美元，降幅 68%。作者說明歸因來自前後比較而非對照實驗，且中等強度下效能審查的重要發現約少了 64%。
Meta 的 Thin Orchestrator：讓路由器少做事
Meta 把資料欄位上線的 AI 代理，從單一大 agent 改成一個不做領域推理的確定性路由器，加上 14 個各管一塊知識的子代理。設定準備從手動的三到四天縮到一小時內，約三分之二的變更不需大幅手改；但文章只有單一內部系統的證據，沒有給準確率基準。
tsrs：Cloudflare 參與的 TypeScript 到 Rust 移植
tsrs 是 Cloudflare 參與的 TypeScript 移植，文章強調不是分叉。它對照的是 TypeScript 7.0，在 type check worker 數相同的條件下，最高快 8 倍、記憶體少約 70%；選 Rust 的理由之一，是編成 Wasm 時不必像 Go 那樣把垃圾回收器一起帶上。引用倍數前，先看清楚這些量測條件。
物件 shape 與 inline cache：屬性存取為何能快
文章用簡短的 Python 草圖說明物件 shape（map）：屬性佈局相同的物件共用一張不可變的 map，屬性存取點只需比對 map 指標並直接讀 storage[idx]，作者估計命中與否在熱路徑上可差 2 倍以上。屬性加入順序不同會產生不同的 shape，可能造成快取未命中。
GitHub 為代理規模的 Git 流量重建儲存層
GitHub 說已把幾乎所有儲存庫的一份副本搬到 Azure，文章指出，每筆寫入都要持有整個 repository 的鎖直到提交，成為吞吐量的上限，而且最慢的健康副本決定每次寫入的延遲。下一步是把 quorum 縮到單一 reference，讓不同 reference 的寫入不必互相排隊，並用物件儲存讓讀取獨立擴充。
QPACK 動態表放大：十個 HTTP/3 實作有七個中招
一篇研究測了十個 HTTP/3 實作，七個會被 QPACK 動態表的放大攻擊拖垮：攻擊者先放一筆約 4 KiB 的大條目，再送數千個 1 位元組的索引參照，每個參照都讓伺服器重新配置並複製整筆條目。文章報告 lsquic 約放大 600 到 1800 倍、Bun 約 4000 倍；截至 10 月 20 日，quic-go、Cloudflare quiche 與 lsquic 已有修補版本，Bun 1.4.3 與 aioquic 尚未修補。
PHP 兩個 CVSS 9.2 漏洞：先更新 PHP，再談 WAF
PHP 在 10 月 21 日釋出修補，處理兩個 CVSS v4.0 評為 9.2 的重大漏洞，CVE-2026-109618 與 CVE-2026-109619，成因在請求出錯時的記憶體處理。Cloudflare 稱在公開前約 9 小時上線預設 WAF 規則，但文章強調修法是更新 PHP 本身；修補版本為 8.5.12、8.4.27、8.3.36 與 8.2.35。
Passkey 的 attestation 之爭：控制權會被收走嗎
Michael Tsai 整理了「passkey 是陷阱」一文引發的討論：疑慮在於 WebAuthn attestation 可能讓網站逐步限制使用者能用哪些 passkey 管理器，較小或獨立的 passkey 管理器可能被擋在外面。Scott Helme 與 Ricky Mondello 等人反駁，認為消費級網站要求 attestation 會擋掉幾乎所有使用者；Tsai 自己的看法是，若 Apple 或 Google 與網站配合，風險會在多數人採用之後放大。
eMudhra 八張中繼 CA 的私鑰是單一位元組
研究者指出 eMudhra 八張中繼 CA 憑證的 P-384 私鑰其實是 47 個零位元組加一個位元組，最多 255 步就能還原，在筆電上不到一秒。Chrome 與 Mozilla 已在 10 月 17 日起以 CRLSet 與 OneCRL 封鎖；多數非瀏覽器客戶端預設不檢查撤銷與憑證透明度，仍需更新 CA 套件。
DuckDB 2.0 LTS：升級前要知道的破壞性變更
DuckDB 2.0.0 LTS 在 10 月 21 日釋出，至少支援到 2027 年 10 月。升級要留意：2.0 建立的資料庫檔無法被 2.0 以前的版本讀取，預設 SQL 解析器換成 PEG 版，單箭頭 lambda 語法預設停用；官方建議關鍵工作負載等 11 月的首個修補版。