WEBVTT NOTE Title: [2026-10-25] HTTP2Shell風暴席捲全網、純函數式語言逼近C語言極限效能 1 00:00:00.000 --> 00:00:31.620 大家好，歡迎收聽今天的每日放送。我是技術樂觀派的產品經理 Cordelia！今天的科技圈真的炸了，從 Node.js 延燒到 Python、甚至是整個網路基礎設施的 HTTP2Shell 漏洞，讓全球資安團隊在週末集體加班。David，這個漏洞到底有多誇張？ 2 00:00:31.620 --> 00:01:22.360 我是 David。這起事件本質上是 Google Brotli 解壓縮程式庫裡的記憶體越界寫入漏洞，編號 CVE-2026-111497。起初大家以為只是 Node.js 的 Node2Shell，結果發現 Python 的 brotli 和 brotlicffi 套件同樣包了這份 C 原始碼，而且連 Envoy、Bun、Istio 都中招，影響範圍直接升級成 HTTP2Shell。這根本是基礎設施等級的供應鏈震盪。 3 00:01:22.360 --> 00:02:10.510 這太可怕了！原本以為只是單一語言環境的問題，沒想到底層共用的 C 函式庫引爆了全面危機。這讓我想起我們在 10 月 15 號聊到 LegacyFixer 時，討論過依賴套件安全更新的難題；還有 10 月 22 號聊到 LiteLLM 的 PyPI 供應鏈後門。現在連 requests、httpx 這些只要環境裡有裝 brotli，就會自動啟用 br 解壓縮，等同於發送請求就可能被惡意伺服器打穿！ 4 00:02:10.510 --> 00:03:07.620 沒錯，技術核心在於函式 `DecodeBlockTypeAndLength()`。舊版在處理區塊切換時只回傳布林值，無法區分是資料不足還是格式損毀，導致快速路徑直接忽略錯誤繼續解碼，造成寫入越界。更尷尬的是，這個修復早在二月就被推到原始碼庫，但當時只當作普通 hang 處理，完全沒意識到能引發未授權 RCE，直到現在才緊急發布 1.2.1。目前最快且安全的緩解措施，就是在邊界 Proxy 阻擋 `Content-Encoding: br`，並升級所有執行時期與相依容器。 5 00:03:07.620 --> 00:03:31.460 說到資安漏洞與營運應變，開源資安監控平台 Wazuh Manager 最近也爆出一個讓維運團隊神經緊繃的漏洞 CVE-2026-74041。社群上還特別出了一份維運行動手冊，這又是怎麼一回事？ 6 00:03:31.460 --> 00:04:38.240 這個漏洞非常有意思，它不是單純的程式碼缺少檢查，而是「大小寫敏感度不一致」引起的架構落差。在 Wazuh 4.14.3 到 4.14.7 之間，驗證器會過濾 `ossec.conf` 裡的遠端指令，但另一個以 root 權限讀取配置的 `wazuh-logcollector`，解析時卻不區分大小寫。攻擊者只要擁有修改設定的權限，把 `LOG_FORMAT` 寫成大寫，就能繞過驗證，在 Manager 重啟時直接以 root 權限執行任意指令。官方在 4.14.8 修復了這點，維運團隊必須嚴格限縮 `manager:update_config` 權限。 7 00:04:38.240 --> 00:05:11.280 資安告急之際，我們來換個視角，看看資料庫架構演進。rqlite 的作者 Philip O'Toole 最近寫了一篇回顧文《分散式 SQLite 的十二年》，梳理了從 2014 年他把 Raft 共識演算法疊上 SQLite，到如今百花齊放的完整歷史，讀起來真的波瀾壯闊！ 8 00:05:11.280 --> 00:06:21.850 這篇回顧非常精準地把分散式 SQLite 拆成了三個發展角落：第一是強一致性的共識架構，也就是 2014 年走 CP 路線的 rqlite 和後來的 dqlite，依靠 Raft 保證容錯；第二是串流備份架構，代表是 2021 年 Ben Johnson 的 Litestream，它不搞共識叢集，專注監控 WAL 並即時串流到 S3，解決單機備份；第三則是 CRDT 最終一致性架構，例如 cr-sqlite，專攻離線多寫的邊緣場景。作者感嘆核心概念開源了八年，最後賺大錢被收購的卻是雲端平台服務。不過工程上，用 Raft 包裹 SQLite 寫入確實大幅簡化了分散式狀態機的實作難度。 9 00:06:21.850 --> 00:07:00.080 從資料庫架構到運算硬體，Java 生態最近也迎來重量級突破！TornadoVM 發布了 7.3 版本，宣稱要讓 Java 應用程式能夠原生駕馭 GPU 負載，甚至推出了單一 JAR 檔就能跑的 jitLLM 推論引擎，想直接挑戰 llama.cpp！這是不是代表 Java 終於要在 AI 基礎建設領域揚眉吐氣了？ 10 00:07:00.080 --> 00:08:19.380 先別太樂觀。TornadoVM 7 確實有架構進展，它淘汰了古老的 JNI 和 JVMCI，全面改用現代 JDK 21+ 的 FFM API，並整合了 NVIDIA 的 cuTile 和 CUTLASS 函式庫。但它的核心原理依然是透過 TaskGraph 分析資料平行迴圈，將 Java 位元碼即時轉譯成 OpenCL、Metal 或 PTX。但實際做過高效能運算的人都知道，真正的瓶頸從來不在語法，而在記憶體階層調度、Tiling 與融合核心。光靠 `@Parallel` 註解很難榨乾 GPU 頻寬，更何況 Java 原生的 Vector API 都還在追趕中。想單靠一個 JAR 檔超越高度手刻組語優化的 llama.cpp，工程現實上還有很長的路要走。 11 00:08:19.380 --> 00:08:57.370 說起用熱情把工具打磨到極致，經典老遊戲 Quake 的地圖社群最近迎來了一篇感人的訪談。神級開源地圖編輯器 TrenchBroom 的作者 Kristian Duske，分享了他堅持 15 年的開發心路。最戲劇化的是，這款被無數獨立名作和 Godot 開發者奉為神器的工具，作者做完後自己竟然連一張地圖都沒做過！ 12 00:08:57.370 --> 00:10:05.580 這就是典型的「為了喝牛奶蓋了一整座牧場」的工程師浪漫。TrenchBroom 最強大的地方在於徹底翻轉了早期 WorldCraft 那種傳統四分割視窗，改採純 3D 優先的所見即所得工作流。在技術上，Kristian 經歷了從 Objective-C 到 C++、從 wxWidgets 遷徙到 Qt 的兩次大重構。他甚至花了好幾個月試圖實作一個近乎完美、無冗餘頂點的 CSG 布林運算減法演算法，最後發現這在計算幾何上本質是 NP-complete 的硬傷才作罷。不過他引入的 Linked Groups 機制，徹底革新了現代復古 FPS 的關卡對稱性與模組化設計。 13 00:10:05.580 --> 00:10:35.550 談到開源系統的抗爭與堅持，注重隱私的行動作業系統 GrapheneOS 最近捎來了好消息！社群回報目前已經有約十幾家銀行 App 開始主動相容、甚至特別允許 GrapheneOS 執行，這對飽受硬體證明限制的隱私擁護者來說，簡直是重大的里程碑！ 14 00:10:35.550 --> 00:11:48.950 這是一場長期的規格抗爭。過去銀行 App 盲目依賴 Google 的 Play Integrity API，只要偵測到不是 Google 認證的官方 ROM 就直接閃退。但 GrapheneOS 的技術底層其實具備完備的 Verified Boot 與強固沙盒，甚至比許多萬年不更新的白牌 Android 更安全。這次有十幾家銀行願意透過 Android 原生的 Key Attestation API，把 GrapheneOS 的簽章金鑰納入允許清單，或者修復自身反篡改程式碼中的記憶體錯誤。不過這也暴露出硬體遠端證明的困境：使用者自己從原始碼編譯的版本依然會被擋在門外，這依舊是中心化信任架構難以解開的死結。 15 00:11:48.950 --> 00:12:26.000 這真的是在安全、合規與自由之間走鋼索。但說到追求嚴謹與極致，純函數式語言究竟能不能在效能上挑戰 C 語言？Roc 語言的設計者最近發表了一篇重磅評測，用純函數式的 roc-deflate 挑戰業界公認最強的 C 語言壓縮庫 libdeflate，結果差距竟然縮小到 10% 以內！純函數式真的能這麼快嗎？ 16 00:12:26.000 --> 00:13:25.470 這項實驗在編譯器技術上非常有價值。libdeflate 可是充滿了架構特化的 SIMD 指令與極致指標運算。而 Roc 是一門純函數式、全記憶體安全、預設檢查邊界的語言。它之所以能跑到中位數只落後 8.9% 甚至在特定輸入反超 18%，核心在於「伺機變更」，也就是類似 Koka 的 FBIP 機制。只要編譯器能靜態證明某個資料結構是唯一參照，就能直接在原地進行記憶體覆寫，把不必要的複製降到零。再加上編譯期建表與將迴圈邊界檢查外提，成功消除了執行時期的代價，證明了純函數式不必然等於效能低下。 17 00:13:25.470 --> 00:14:02.290 接下來我們看一項跨領域的重大突破。瑞士洛桑聯邦理工學院 EPFL 的團隊在《固態電路期刊》發表了一款名為 LogSync 的植入式神經晶片，能夠即時解碼跨腦區的交互信號，為精神疾病與閉迴路腦機介面開啟了全新方向。傳統的深腦刺激大多是開迴路、固定頻率電擊，但 LogSync 走的是高度客製的閉迴路架構。 18 00:14:02.290 --> 00:14:38.870 這對重度憂鬱症或強迫症患者來說真的是福音！過去的腦機刺激往往只看單一腦區，但精神醫學已經證實，許多情緒與認知障礙其實是「腦區之間的通訊網路」同步失調。LogSync 能夠同步監測多個區域，並在偵測到異常腦波時精準觸發刺激。最厲害的是，整個晶片的功耗竟然壓在 200 微瓦以下！這在工程上是怎麼做到的？ 19 00:14:38.870 --> 00:15:28.190 功耗控制是這顆晶片最大的亮點。植入式晶片如果功耗太高，散熱會直接灼傷腦組織。EPFL 團隊採用了硬體與演算法的深度協同設計，最大的創新是導入「對數運算架構」，把神經信號分析中極度耗電的複雜乘法運算，直接轉化成低功耗的對數加法處理。不過回到工程現實，晶片在跨區域干擾任務和情緒衝突測試中的敏感度與特異度大約在 70% 到 80% 之間，以臨床標準來看雜訊依然不小，長期植入後生物相容性與電極衰減也需要時間驗證。 20 00:15:28.190 --> 00:16:10.670 在硬體底層安全方面，蘋果最近也正式開放了 2026 年度的「安全研究裝置」申請，截止日到 10 月 30 號。這款專門借給資安研究員的 iPhone，允許研究人員直接取得 root shell、自訂核心，甚至能自選 Entitlements。這本來是白帽駭客夢寐以求的工具，但在 Hacker News 上卻引發了激烈論戰。David，大家在吵什麼？ 21 00:16:10.670 --> 00:16:59.760 爭議的焦點在於合約條款與揭露自由。批評者認為，蘋果透過借出裝置，要求研究員在蘋果修復並發布安全通報前「完全不得向第三方透露」，甚至有人吐槽這是拿硬體買研究員的沉默，違背了資安界通行的 90 天負責任揭露原則。但從蘋果的角度來看，這本來就是為緩解過去零時差漏洞動輒被賣向黑市百萬美元而設的專用管道，借測設備並給予漏洞賞金，自然希望確保修補程式送達使用者手中。這反映的是傳統駭客自由派與企業控管邏輯的根本衝突。 22 00:16:59.760 --> 00:17:29.500 說到系統層級的效能對決，最近還有一場精采的高斯模糊賽跑：開發者把 VLC 播放器歷史悠久的高斯模糊濾鏡從 C 語言一行行移植到 C#，並利用 .NET Native AOT 編譯進行極限對決。David，這場 C 與 C# 的交鋒，鹿死誰手？ 23 00:17:29.500 --> 00:18:38.880 第一回合未經修改逐行移植時，C# 確實慢了 23%，主要原因是 RyuJIT 編譯器在巢狀迴圈裡每次都重新計算邊界，而 Clang 自動做了迴圈邊界外提。但開發者手動將邊界計算提到迴圈外，並將索引型別改成 `nint` 消除 32 位元轉 64 位元的開銷後，C# 馬上追到只輸 8%！到了第三回合，雙方同時祭出 AVX2 SIMD 指令集優化，單核心處理 1080p 畫面，C 跑出 240 fps，C# 也飆到了 236 fps，兩者只差 2% 左右。這證明在 Native AOT 時代，只要開發者搞懂編譯器的指令生成習慣，高階託管語言同樣能打出接近裸機 C 的恐怖效能。 24 00:18:38.880 --> 00:19:18.060 最後一個故事非常貼近一般使用者的 AI 日常。知名密碼管理工具 1Password 在 Product Hunt 上推出了新功能「1Password for Agents」，主打讓 AI Agent 替你登入網站，但 Agent 本身完全「看不到」你的密碼！在自動化 Agent 滿天飛的現在，這個產品定位實在太吸引人了！ 25 00:19:18.060 --> 00:20:36.410 這個設計確實切中了目前的痛點。過去要讓自動化腳本或瀏覽器 Agent 幫你買票、訂飯店，最粗暴的做法就是把明文密碼寫在 Prompt 或環境變數裡，風險極高。1Password 的架構是走 Agentic Autofill：當 Agent 在瀏覽器遇到登入表單時，它向 1Password 發起憑證請求，使用者自己的手機或電腦會彈出核准通知。一旦你按下同意，1Password 會直接注入密碼或 TOTP 驗證碼，Agent 只能拿到「登入成功」的狀態，無法接觸密碼本體。不過這也帶來新挑戰：如果某些客製化網頁無法正常觸發自動填入，流程該如何降級？而且如果 Agent 每天要登入幾十次，頻繁的手動核准是否會摧毀自動化體驗？這都是產品後續需要平衡的地方。 26 00:20:36.410 --> 00:20:58.360 從今天各個故事看下來，無論是基礎設施的記憶體安全危機，還是 AI 代理人的權限防線，軟體工程的世界永遠在效能、自由與安全性之間尋找平衡。感謝大家的收聽，我是 Cordelia。 27 00:20:58.360 --> 00:21:12.990 我是 David。別忘了檢查你的環境有沒有引用受影響的 Brotli 套件，該更新的儘早更新。我們明天同一時間見！ 28 00:21:12.990 --> 00:21:17.000 明天同一時間再見，掰掰！