码农早餐 · Claude Code 提交信息默认附会话链接引争议，官方已加关闭开关

Claude Code 默认把会话链接写进 commit message，issue #66504 吵上了 Hacker News——但链接只有本人能打开，官方也已在 v2.1.183 加了关闭开关。与其恐慌，不如花三十秒把 settings.json 配上。

🥣 今天这碗一件事 + 主厨的判断

Claude Code 提交信息默认附会话链接引争议，官方已加关闭开关

Claude Code 会在 commit message 和 PR 描述末尾默认追加 claude.ai 会话链接，GitHub issue #66504 要求改为 opt-in，讨论还上了 Hacker News。先澄清传播中被夸大的一点：这个链接默认 Private，只有会话所属账号本人能打开，公开仓库里的陌生人点开看不到你的 prompt 上下文，实际影响是会话标识进了 git 历史、提交被打上 AI 痕迹，而非对话内容直接公开。但有一个例外：Claude Code 会话的官方分享功能分享的就是同一条链接——一旦你把会话设为 Public（Pro/Max，任何登录 claude.ai 的用户可看）或 Team（企业版全组织可见，Slack 发起的会话自动按 Team 分享），git 历史里这条 URL 就成了真实入口，分享过的记得先 unshare。开关也已经有了：v2.1.183 起 settings.json 支持 "attribution": { "sessionUrl": false }，即可不附会话链接（该行为主要出现在 claude.ai 云端与 Remote Control 会话的提交，本地 CLI 默认不加）；把 commit、pr 子项设为空串还能一并去掉 Co-Authored-By 尾注。已经入库的历史提交没有补救开关，介意就得改写历史。

来源：

🥢 配菜 · 另外 7 条

QubesOS 曝复制到 VM 漏洞：错误报告通道可致任意代码执行

QubesOS 发布安全公告 QSB-118，披露了一个通过 copy-to-VM 错误报告回传通道（backchannel）触发的任意代码执行漏洞。攻击者可利用该通道在目标 VM 中执行恶意代码，影响使用复制粘贴功能的用户。建议尽快更新至修复版本，并留意官方公告中的补丁细节。

来源：

QubesOS 安全公告 QSB-118

Omarchy 漏洞：任意进程可提权至 root，修复前别用

安全研究员 trap0xcc 披露了 Omarchy 的一个高危漏洞：任何用户进程都能直接提权到 root，无需额外条件。这意味着一旦攻击者能在系统上执行任意代码，就能完全控制机器。Omarchy 用户应尽快检查是否有补丁或临时缓解措施，在修复前避免在敏感环境部署。漏洞细节已公开，PoC 可能很快出现，别等被利用才动手。

来源：

hackernews · trap0xcc

vLLM v0.28.0 发布：推理引擎又刷了一版

vLLM 团队发布了 v0.28.0，这是 LLM 推理引擎的一次常规迭代。版本号本身没带什么惊天动地的数字，但作为生产环境里部署最广的推理框架之一，每次更新都值得扫一眼 release notes——尤其是如果你正在用 vLLM 跑服务，升级前最好确认下有没有 breaking changes，别让一个 pip install -U 把线上服务搞挂。具体改了什么，直接去 GitHub 看 changelog 最靠谱。

来源：

vLLM v0.28.0 Release Notes

加州全票通过：Linux 豁免年龄验证法

加州立法者全票通过一项法案，将 GPL、MIT、BSD 和 Apache 许可下分发的软件从年龄验证要求中豁免。这意味着开发者分发开源代码时无需像商业平台那样接入年龄验证机制，直接降低了合规成本。但注意，豁免仅限开源许可的软件，闭源或商业分发仍受约束。对做开源项目的团队来说，这是个实际利好，不用再为年龄验证折腾身份认证流程了。

来源： California lawmakers unanimously pass Linux exemption from age-verification law

ODS 开源项目：把闲置 PC 变成 AI 服务器，自带 RAG 和图像生成

Osmantic 团队在 GitHub 上开源了 ODS，目标是把 PC、Mac 或 Linux 机器直接改造成 AI 服务器。它整合了 LLM 推理、聊天界面、语音、Agent、工作流、RAG 和图像生成，相当于一个本地版 AI 全家桶。对开发者来说，这意味着不用再为每个功能单独搭环境，一台普通机器就能跑起完整的 AI 服务栈。目前项目在 GitHub Trending 上热度上升，值得关注的是它如何平衡功能完整性和资源占用——毕竟本地跑 RAG 和图像生成，对硬件配置的要求不会低。

来源：

github_trending · Osmantic

Rust 论文：用 Typestate 把状态机错误挡在编译期

一篇题为《Functional State Machines in Rust: Typestate and Newtype Patterns》的论文登上 ACM 数字图书馆，讲的是用 Rust 的类型系统在编译期强制状态机合法转换。简单说，Typestate 模式把每个状态编码成不同类型，非法操作直接编译报错，运行时根本走不到出错那一步。这对写网络协议、支付流程、设备驱动这类状态繁多的代码很有参考价值，值得点开看看。论文还顺带对比了 Newtype 模式，两者结合能减少不少运行时 panic 和防御式检查。

来源： Functional State Machines in Rust: Typestate and Newtype Patterns - ACM

模型路由器：50ms 决策，成本降 40-70%

GitHub 上出现了一个叫 workweave 的模型路由器，号称能在 50ms 内为每个 prompt 决策该发给哪个模型，只需改一个 endpoint 就能把成本砍掉 40-70%。对跑 Agent 系统的团队来说，这思路确实对路——不同任务用不同模型，比全上旗舰模型省钱得多。但「40-70%」这个区间拉得太大，实际能省多少取决于你的任务分布：如果大部分请求本来就用小模型能搞定，省不了这么多；如果全是复杂推理，路由器也变不出钱来。另外 50ms 的决策延迟在交互式场景里不算小开销，得算进总延迟里。建议先拿真实流量跑个 benchmark 再决定要不要接。