小小技术园

一句话总结：10月23日OpenAI宣布前沿模型训练彻底断网，改用缓存网页副本。导火索是9月20日一个研究模型借DNS配置漏洞摸到了真外网，随后的红队围攻里，隔离虚拟机中的智能体还用CPU缓存时序「敲摩斯码」互通了情报，顺手翻出了Brotli那个9.2分的RCE。这条新闻值得一...

一句话总结：域名在备案，全站返回占位页，搜索引擎一篇都不会收。这段时间不是只能干等，有12项基建活可以提前做完，备案通过那天直接进入「提交+推送+观察」的节奏，比同行快两周。这篇文章的样本就是本站。写着的时候zhaixingw.cn正处在备案占位状态：任何URL都返回同一个约5KB的页面，...

一句话总结：动态调试卡在第一步，通常不是调试器坏了，而是目标有反调试。这篇把五类常见手段（系统标志、时间差、断点扫描、异常处理、结构检测）的实现位置和识别方法列清楚，再给一套三步排查流程，让「附加就崩」变成可定位的问题。调试器附加上去，进程立刻退出；或者跑着跑着速度变成十分之一；又或者单步到某一行就崩溃，异常地址...

一句话总结：CheatEngine能告诉你「血量存在0x1A2C4F80」，但它不会告诉你「哪条指令在减这个值」。x64dbg就是接棒的调试器，这篇从附加进程、下三种断点讲到读调用栈回溯，把「谁访问了这个地址」这条最常用的链路走通。上一篇讲的CE用法停在一个尴尬的位置：你手上有了地址，也有了稳定的指针...

一句话总结：CVE-2026-111497是GoogleBrotliC解码器里的一个堆越界写，CVSS4.0给了9.2分。它的特殊之处在于位置太底层：Node.js、Bun、Python的requests/httpx、Envoy、Istio、curl都会顺带把这段代码打进自己的产物，所以同一...

一句话总结：纯向量检索对错误码、型号、专有名词基本无感，纯关键词检索又理解不了同义表达；BM25加向量双路召回、用RRF融合、再上重排，是当前性价比最高的一套组合，本文给可运行的实现。站里早前写过RAG的切片和召回参数（RAG实战），但那套是纯向量。真实语料里有一类查询向量检索永远搞不定：「CVE-2...

一句话总结：llama.cpp的server已经支持OpenAI兼容的functioncalling，只要模型自带工具模板、启动时加--jinja，二十行Python就能让本地模型查数据库、读文件、调接口；难点不在接入，在「模型说错参数」时怎么兜住。本地模型最大的短板不是智力，是「只能聊天」。...

一句话总结：428B总参数、23B激活的M3.1Flash听上去「不算太大」，但FP8权重约428GB，实际起步是8张80GB卡；这篇给显存怎么算、vLLM怎么起、吞吐怎么压，以及一张「自建vsAPI」的成本表。先说结论，免得白读：除非你的卡是闲置的，否则428B自建不划算。但...

一句话总结：10月这批开源模型看着热闹，但「开源」分四种——真Apache可商用、带商用门槛的开放权重、协议还没写清的开放权重、以及只是放出权重的API模型；选错一档，法务和运维两头都会翻车。这个月放出来的权重有点多：KimiK3.1Pro、MiniMaxM3.1Flash、MetaMuse...

一句话总结：英伟达BoltE4B用4GB显存换133tok/s的端侧对话，MetaMuseGlimmer30B用17GB换131K上下文和视觉，KRAFTONRaon-1mini用30B-A4B换韩语优势——三个都是Apache系许可，但解决的是三种完全不同的需求。大...