WEBVTT NOTE Title: [2026-11-08] GitHub新架構迎戰Agent狂潮、Discord拋棄Electron轉投GPUI、Asahi轉向GPL引爆開源爭端 1 00:00:00.000 --> 00:01:03.110 早安，歡迎收聽 DAVID888 Daily 每日放送！今天頭條震撼彈連發：GitHub 推出全新的 Git 儲存架構「Project Rubicon」，宣告要扛住每秒數千次推播的 AI Agent 洪流；但同一時間，Claude Code 的「不再詢問」選項卻被爆出在公開儲存庫洩漏上千組真實密碼與資料庫憑證。另外，Discord 宣布告別 Electron 全面重構、Asahi Linux 核心大升級並宣布轉移至 GPL 授權，還有超有趣的超市冰箱蜜罐與終端機技術突破。我們馬上從 GitHub 的大底層架構改版開始！ 2 00:01:03.110 --> 00:01:55.820 GitHub 這次的架構大修其實脈絡很深。聽眾如果記得我們在 11 月 5 號聊過 GitHub 全球大規模中斷事故，當時就暴露出傳統集中式架構在現代高頻操作下的單點脆弱。現在他們公開了這個名為「Project Rubicon」的新架構，核心目標是要讓單一儲存庫能夠承受 5,000 個 AI Agent 同時協作、每秒高達 7,200 次 Push 的驚人吞吐量。它底層的關鍵在於兩個工程原則：極小化共識協調，以及計算與儲存徹底解耦。 3 00:01:55.820 --> 00:02:45.460 這真的是為了 AI 時代徹底顛覆版本控制想像！以往一個專案頂多幾十個人在幾秒內送 commit，但現在 Agent 是全天候平行跑。GitHub 把不可變的 Git 物件直接丟到 Azure Blob Storage，把昂貴的 pack 壓縮跟垃圾回收移到背景節點。而最需要共識的 Reference 參照更新，則切成一個專門的「Ref-CAS」複本日誌服務。這在架構上非常優雅，完全釋放了虛擬副本節點的負載。 4 00:02:45.460 --> 00:03:42.190 架構圖上很漂亮，但在工程現實中，社群立刻提出了質疑。首先，這套架構主要解決的是單一專案內部的「垂直擴展」，但前幾天造成大當機的，多半是水平調度、驗證與 API 連線。再者，每秒幾千次 push 到同一個儲存庫，這真的合理嗎？這意味著背後有成千上萬的 PR、Actions CI 觸發與衝突。與其把基礎架構擴充到去承載 Agent 狂送單行代碼的浪費，不如推動客戶在本地端集群收斂後再整批提交。不過能做到只對特定 Ref 做 CAS 樂觀鎖，在資料庫工程上確實是一大亮點。 5 00:03:42.190 --> 00:04:38.210 但說到 AI Agent 在開發流程中的野蠻生長，Apiiro 剛揭露的資安事件簡直是當頭棒喝。他們發現 Claude Code 的使用者如果在終端機按下「Yes, and don't ask again」，Claude 會直接把包含連線字串、密碼的完整指令，存入專案目錄下的 `.claude/settings.local.json`。結果目前在 GitHub 上已經掃描出 1,122 個公開檔案含有高風險憑證，連資料庫廠商的管理金鑰與病歷資料庫密碼都在裡面！ 6 00:04:38.210 --> 00:05:48.650 這個漏洞的機制非常有教學價值。使用者為了連線或測試，常把密碼以命令列參數如 `PGPASSWORD` 或 `curl` 標頭傳進指令。Claude Code 為了便利性，把整個字串寫成本地白名單。雖然它會把該路徑加到全域的 `git ignore`，但只要換台機器、重新 clone，或是目錄結構變動，該檔案根本不在專案根目錄的 `.gitignore` 裡，最後連同程式碼一起 `git add` 送上雲端。甚至有超過五百個洩漏的 commit，是由 Claude 自己的 co-author 身分推上去的！更麻煩的是，一般掃描工具只認正規的金鑰格式，抓不到這種夾在指令裡的字串密碼。 7 00:05:48.650 --> 00:06:43.250 Anthropic 官方雖然跳出來說大家應該改用 Auto Mode，但資安社群根本不買單，痛批這根本是推卸責任，而且 Auto Mode 缺乏嚴格沙盒反而風險更大。這再度提醒我們，方便的 AI 開發工具背後，如果沒有零信任的權限控制與環境變數注入，簡直就是自開後門。而講到網路上大量的暴露風險，資安專家 Scott Helme 遇到了另一個更棘手的現實難題：他發現了一萬五千多個網站被植入了惡意 JavaScript，但他居然完全沒辦法通知這些站長！ 8 00:06:43.250 --> 00:07:45.890 這篇貼文在 Hacker News 上引發了巨大的共鳴與無奈。這 15,579 個網站每個月有超過 1.35 億人次造訪，上面被掛了盜刷信用卡資料的 Magecart、偽造驗證畫面的 ClickFix，甚至是針對 iOS 的漏洞攻擊。問題是，這是一場通報機制的全面失靈。現在因為 GDPR，WHOIS 資料幾乎全被隱碼；多數站點藏在 CDN 後面，看不到真實的主機商；更慘的是，一般小企業根本沒有資安團隊，寄信給 `abuse@` 或 `info@` 99% 被當成垃圾信，連 `security.txt` 都極度罕見。 9 00:07:45.890 --> 00:08:26.540 留言區很多人建議直接提報給瀏覽器廠商加入封鎖名單，但這對很多無辜受害的小商家來說是毀滅性的打擊，因為一旦進了黑名單，要洗白可能得花上幾個月甚至永遠下不來。這凸顯了現代 Web 生態系的脆弱：大家大量引入第三方腳本與外掛，一旦過期網域被攻擊者買回重開，就形成連鎖污染。在沒有健全的自動化安全通報協定之前，這類隱形感染只會繼續在暗處蔓延。 10 00:08:26.540 --> 00:09:09.090 說到硬體與網路的邊界，來聊個輕鬆點但極具極客精神的題目。有位工程師在部落格分享了他用 10 美元買來的「OpenStick」隨身碟打造的微型 Homelab。這支原本是 4G 上網硬碟的小硬體，搭載四核心 Cortex-A53、512MB 記憶體與 4GB eMMC，他居然在上面跑了 Debian，還用 Podman 跑了一整套完整的自我託管服務！ 11 00:09:09.090 --> 00:10:03.690 這篇太勵志了！在記憶體被 AI 伺服器炒到天價的時代，他用 512MB 跑了自己魔改的 AdGuard Home 擋廣告、跳過 YouTube 業配的 CastSponsorSkip、監控系統狀態的 Beszel 與 Gatus、還有 Fusion RSS 閱讀器，甚至還塞了一個叫 Zeroclaw 的 AI Agent 框架，能透過 Telegram 回報系統日誌。整台機器被動散熱、零噪音、功耗幾乎可以忽略，這才是邊緣運算與自建服務的原汁原味啊。 12 00:10:03.690 --> 00:10:59.480 不過作為工程師，我還是要潑一點冷水。把一個 AI 框架直接掛在只有 512MB 且暴露在家庭網路的裝置上，還給它 root shell 權限，其實資安界線踩得很危險。只要哪天更新的廣告黑名單或日誌裡被塞了一段惡意的提示詞注入（Prompt Injection），這個小代理人很可能就照著指令下載後門腳本。但不可否認，在資源極度受限的環境下挑選極致輕量化、以記憶體佔用個位數 MB 為目標的軟體架構，這種軟體工藝在今天動輒幾 GB 的開發環境裡，非常值得大家借鏡。 13 00:10:59.480 --> 00:11:44.150 講到動輒吃好幾 GB 記憶體的怪獸，今天最讓全網開發者狂歡的新聞，絕對是 Windows 11 下的 Discord！Discord 共同創辦人兼技術長展示了新版客戶端的側錄影片：啟動速度瞬間秒開，完全移除了那個卡好幾秒的「Starting」檢查畫面，而且即使同時登入兩個帳號，記憶體佔用也只有 290MB，足足省了 70%！他們正式宣布要全面拔除 Electron！ 14 00:11:44.150 --> 00:12:46.550 這真是歷史性的一刻。大家原本以為他們會改用 Tauri，但 Discord 選擇了一條更徹底的硬核路線：他們採用了 Zed 編輯器開源的「GPUI」框架！聽眾如果記得我們在 11 月 7 號剛聊過 Zed 編輯器突破 9.3 萬星，當時我們就提到由 Atom 原班人馬打造的 Zed，是用 Rust 與純 GPU 渲染來挑戰 VS Code 的極致反應速度。Discord 這次正是用 Rust 寫核心邏輯，直接用 GPUI 在 GPU 上畫畫面，徹底拋棄了 Chromium 瀏覽器引擎與 Node.js 執行環境。 15 00:12:46.550 --> 00:13:40.920 沒錯，這直接給了微軟 Teams 跟 Meta 的 WhatsApp 一記響亮的耳光！微軟一直吹噓 WinUI，結果自家的 Teams 跟新版 Outlook 還是包著肥大的 WebView2，沒開什麼功能就吃掉上 GB 記憶體。Discord 證明了跨平台應用程式只要願意重構，用 Rust 搭配 WebAssembly 和原生 GPU 渲染，不僅能在 macOS、Linux 與 Windows 達成一致的現代 UI，還能把資源還給使用者的電腦。 16 00:13:40.920 --> 00:14:35.520 不過技術上我們要客觀看。GPUI 目前主要還是 Zed 團隊依自家需求維護，生態系與可及性支援（Accessibility）還在發展初期，未來 Discord 勢必要回饋大量補丁才能讓螢幕閱讀器等無障礙功能完善。另外像 YouTube 內嵌或第三方小遊戲，Discord 依然得掛載系統原生的 Webview 來處理。但整體架構往「Rust 核心運算加 GPU 渲染」靠攏，確實標誌著桌面應用程式正式告別隨便打包瀏覽器的「Electron 懶人時代」。 17 00:14:35.520 --> 00:15:19.010 說到在意料之外的地方渲染介面，今天 Hacker News 上還有一個讓人會心一笑的神奇專案「Text.js」。它自稱是「主控台框架」，讓開發者可以用完整的 React 19、App Router 和伺服器端渲染，把整個動態 Web App 畫在瀏覽器的 `console.log` 裡面！支援方向鍵互動，甚至連圖表跟表格都能在 DevTools 裡動起來。 18 00:15:19.010 --> 00:16:34.890 這個專案背後的底層技術其實非常有意思，作者雖然帶有強烈的愚人節式諷刺意味，但工程細節毫不馬虎。它自己實作了一個 React Reconciler，底層用 Facebook 的 Yoga 引擎計算彈性盒模型，把字元投影到二維文字緩衝區（CellBuffer）。為了解決 `console.clear()` 造成的嚴重畫面閃爍，它開發了 Turbolog 引擎，利用 ANSI 或瀏覽器支援的 `%c` 樣式進行 RLE 行程長度編碼，只對有變動的行以增量方式呼叫 `console.log`。平均一次畫面更新只花 0.011 毫秒。雖然是為了好玩，但這種架構拿去做終端機 TUI 或 AI Agent 的文字即時觀測面板，意外地好用。 19 00:16:34.890 --> 00:17:25.940 而在 GitHub Trending 上，Anthropic 官方開源的 `skills` 儲存庫星數衝破了 18.8 萬顆星！這個專案集結了 Claude 的「Agent Skills」標準規範與範例，教 AI 如何透過結構化的資料夾、指令檔與腳本，學會產出特定格式的 Office 文件、分析特定商業數據，甚至自動化軟體工程任務。微軟 Office 文件處理的 skills 也全面開放 Apache 2.0 授權了。 20 00:17:25.940 --> 00:18:16.760 Skills 的核心概念其實是標準化了 Agent 的「上下文與工具裝配」。以前我們要讓模型處理 Word 或 PDF，必須在每次 Prompt 裡塞入大量複雜指示；現在透過標準化的 `SKILL.md`，包含清晰的元資料與執行腳本，模型可以動態掛載不同技能包。這把模型本身的泛用推理，跟領域特化的專業操作拆分開來。對於想構建企業級 Agentic Workflow 的團隊來說，這套開源規範和實作範例是不可多得的藍圖。 21 00:18:16.760 --> 00:18:52.930 從資料處理的大框架跳到資料庫核心，Pivot 團隊發表了一篇精彩的技術深度剖析，標題問道：「經過了這麼多年，SQL 的 GROUP BY 居然還能被最佳化？」他們在針對 Top-K 彙總查詢的場景下，成功讓 ClickBench 的基準測試提速了 1.6 倍，跳過了超過 70% 的分區合併工作！ 22 00:18:52.930 --> 00:20:10.220 這篇優化真的展現了演算法的美感。一般的分析型資料庫在做 `GROUP BY ... ORDER BY ... LIMIT 10` 時，多執行緒會把資料按 Hash 切成數千個分區，各自在記憶體算好雜湊表，最後再把所有分區全部 Merge 起來找前 10 名。Pivot 團隊利用了類似 Count-Min Sketch 的機率性摘要概念：他們在每個分區裡設置固定的 Slot 計數器。在合併階段，只要某個分區內所有 Slot 的最大可能數值，都小於當前 Top 10 的門檻值，資料庫就能「證明」這個分區絕對不可能包含前 10 名的資料，進而完全跳過整個分區的 CPU 密集合併。這在長尾分佈的巨量資料集上，能大幅節省記憶體頻寬與磁碟 I/O。 23 00:20:10.220 --> 00:20:51.110 這真的是把機率資料結構用到極致！接著我們來看另一個開源界的重磅進展：Asahi Linux 發布了 Linux 7.3 進度報告，M3 系列正式進入一般可用（GA），並完成了音效與 AVD 視訊驅動的上游提交。但在這份報告中，最引發社群震撼的，是他們宣布放棄原本的 MIT 授權，全面轉向 GPLv2 強傳染性 Copyleft 授權！ 24 00:20:51.110 --> 00:21:45.010 這背後的導火線是近期開源社群對「AI 竊取與商業洗白」的巨大焦慮。Asahi 團隊提到，過去他們為了讓 BSD 社群也能用，才採用寬鬆的 MIT 授權；但近期他們發現，有特定團隊直接從他們的開發分支抓取代碼，利用 LLM 重新洗寫、去除署名，並試圖包裝成商業發行版來搶先變現。 Asahi 認為在當前 AI 實驗室對開源程式碼飢渴掠奪的環境下，MIT 無法保護原創者的心血，因此決定師法當年 WINE 轉向 LGPL 的歷史，全面切換為 GPL。 25 00:21:45.010 --> 00:22:45.750 社群對這件事的看法非常兩極。支持者認為 Asahi 花了五年逆向工程甚至差點燒壞喇叭，這種硬核心血不該被利用 AI 工具的抄襲者免費收割；但批評者則認為，這阻礙了技術流動，甚至有些人在討論這是否是針對近期聲勢浩大的 Omarchy 等新興競品的防禦手段。不過不可否認，Asahi 在工程上的堅持無人能及，這次他們甚至結合 Google 在 Android 提出的 P3S 機制，讓 16K 核心能執行 4K 頁面，成功在不靠虛擬機的情況下流暢運行戰地風雲等 Windows 舊遊戲，技術實力依舊令人折服。 26 00:22:45.750 --> 00:23:29.480 而在終端機領域，另一位開源巨擘、HashiCorp 共同創辦人 Mitchell Hashimoto 今天正式推出了「libghostty 1.0」！這是從 Ghostty 終端機核心抽離出來的高效能、可移植 C 語言函式庫，提供極致嚴格的 ABI 穩定性承諾，而且已經在 JetBrains 全系列 IDE 的終端機裡跑給超過 1,250 萬名開發者使用了！ 27 00:23:29.480 --> 00:24:24.790 Neovim 也有個等待十年的捲動重排 PR 準備合併進去，就連 KDE 的新終端機也是基於它構建。Mitchell 在文章裡特別強調，這份完全由手寫、不含任何 AI 產生的代碼，證明了紮實的 C ABI 設計美學：所有物件都是不透明控制代碼（Opaque handles），透過列舉讀取器存取，並在 CI 中用 libabigail 強制校驗。任何人現在都能用 1,500 行 C 語言寫出頂級水準的終端機，這直接把整個開發工具鏈的文字體驗推到了全新高度。 28 00:24:24.790 --> 00:25:17.030 接下來這個專案超酷，叫做「Coldframe」。這是一個針對超市冷凍冷藏庫控制器的低互動蜜罐（Honeypot）！作者模擬了歐洲真實超市廣泛採用的 Danfoss 和 Dixell 控制器。今年歐洲曾發生多起駭客透過預設密碼與舊韌體入侵超市主機、強制執行「除霜週期」導致大量生鮮腐敗的混合戰攻擊。Coldframe 不僅精準偽造了韌體的 Web 介面與 Modbus 通訊協定，還能自動識別各類已知 CVE 漏洞與每日密碼繞過攻擊。 29 00:25:17.030 --> 00:26:09.500 這真的太有警世意味了。很多工業控制系統（ICS）在安裝時缺乏基本資安防護，超市經理根本不可能懂伺服器防護，直接把控制器掛上公網，最後淪為地緣政治或惡意騷擾的目標。Coldframe 用乾淨的 Python 標準庫實作，讓資安人員能廉價部署誘餌，捕捉這類實體基礎設施的威脅情報。而談到日常開發維護，前端工程界今天也有個好消息：Danny Holloran 撰文介紹了 Oxlint 的 JavaScript 外掛支援已經全面進入成熟期。 30 00:26:09.500 --> 00:27:14.030 這解決了 Oxlint 長期以來的致命傷！以前大家想從慢吞吞的 ESLint 跳槽到 Rust 打造的超速 Oxlint，但往往因為專案裡有十幾個自定義規則或特定外掛而作罷。現在 Oxlint 支援了 ESLint 相容外掛層，甚至跑完了 ESLint 核心三萬三千多個測試全部通過！你可以無痛相容舊規則，又能在原生支援的規則上享受幾十倍的 Rust 速度。最後，Product Hunt 上出現了一款名為「ClarifierAI for Chrome」的擴充功能，主打在瀏覽器內提供即時寫作重構與多語言翻譯，希望能融入日常文字工作流。 31 00:27:14.030 --> 00:28:04.850 雖然 ClarifierAI 的詳細產品頁面遇到抓取限制，但從整體趨勢來看，當底層有像 Oxlint、libghostty 這種原生高效能架構，上層有更輕量的 Agent 與外掛體系時，開發者與使用者的數位工作環境正在經歷一場從「笨重包裝」走向「精準效能」的深度變革。今天的技術版圖，無論是 GitHub 的儲存架構、Discord 的 GPUI，還是 Asahi 的系統授權轉變，都清楚指向了下一個世代工程典範的轉移。 32 00:28:04.850 --> 00:28:24.000 沒錯，未來的軟體不僅要聰明，更要回歸對效能、安全與軟體工程本質的敬畏。感謝大家今天的收聽，DAVID888 Daily 每日放送，我們明天同一時間再見！