码农早餐 · 2026-09-23
今日头菜：Git 2.56 将发，3.0 要默认换掉 SHA-1：GitHub 还没跟上。另有 7 条快讯：WordPress 未授权路径遍历，条件 RCE 待定；Google AX 冲到 2324 星：先别急着上生产；等。
Git 2.56 候选版已出，700 多个非合并提交，9 月底发布，但真正要紧的是后面那个 3.0——默认哈希要从 SHA-1 换成 SHA-256，你本地新克隆的仓库可能和托管平台对不上。这种不兼容改动，我第一反应不是兴奋，是先想清楚迁移那天谁先疼。
Git 2.56 将发，3.0 要默认换掉 SHA-1：GitHub 还没跟上
Git 2.56 的候选版本已经出来了，预计 9 月底发布，包含 700 多个非合并提交。数字听着不少，但别急着兴奋——这个版本不会改变大多数人用 Git 的方式。真正值得盯的是它后面那个：社区等了一阵子的 Git 3.0，可能就在下一个。而 3.0 会带一批不兼容改动，最要紧的一条是默认哈希从 SHA-1 换成 SHA-256。换句话说，从 3.0 开始，你本地新克隆的仓库可能和托管平台对不上。
2.56 里能马上用上的东西不多，但有几处挺舒服。实验性的 git history 工具箱加了 drop 子命令，git history drop <commit-id> 可以把某个提交从当前分支历史里摘掉、把之后的提交重放一遍——比 rebase 那一套顺手。代价是：历史里只要存在 merge commit 它就拒绝工作，所以对大多数真实仓库来说暂时用不了。git refs 补上了 create、delete、update、rename 四个子命令，名字什么意思就干什么，在 Git 里这已经算惊喜了。git branch --delete-merged 能清掉已经合进远端跟踪分支的本地分支；git branch -d 删正在用于 bisect 的分支时会失败并给出提示；配置文件锁冲突会自动重试；git add --resolved 只暂存已解决冲突的文件。
SHA-256 这件事拖了很久，卡点不在 Git 本身——非实验性支持从 2023 年的 2.42 就有了。卡在托管方：GitLab 2024 年就支持了，Forgejo 也支持，唯独 GitHub 还缺席。发布一个会造出 GitHub 不兼容仓库的 Git 版本，这个风险谁都不想担。有意思的是，GitHub 员工、SHA-256 迁移的主力开发者 brian m. carlson 回应维护者 Junio Hamano 的征询时说，这方面的消息快来了，而且下一个版本直接叫 3.0 可能是最好的选择。他还想赶在 3.0 之前塞进一个改动：Git 一直同时接受大写和小写的对象 ID，f00f00 和 F00F00 其实是同一个东西，据称由此产生过 bug 和安全问题，他主张只接受小写。
另一个等 3.0 的大改动是 reftable。Git 现在默认把每个 ref 存成 .git/refs/ 下的一个文件，分支、tag、remote 都是 ref。ref 一多就慢——Android 仓库有超过 80 万个 ref，在这个量级上查一次 ref、或者判断有没有 ref 指向某个提交，都是昂贵操作。reftable 用二进制文件存 ref，兼顾空间和查询速度，2.45 就加进来了，一直在等默认切换的时机。Git 这个项目的节奏一向如此：能用的先给你，会伤人的攒到一起再放。
💡 主厨说：别急着等 3.0 上线——GitHub 那边一有 SHA-256 的消息，最先要检查的是你 CI 里那些按 commit hash 硬编码的缓存 key 和镜像 tag，大小写和长度都会变。
来源：
WordPress 未授权路径遍历，条件 RCE 待定
WordPress 的 page-template 解析里出了个未授权路径遍历漏洞（GHSA-7hp8-65ch-5whp），官方公告标题写的是「条件 RCE」——也就是说能不能真打到远程代码执行，还得看站点具体配置，不是拿到 URL 就能一把梭。跑 WordPress 的先把版本对一下、按公告升级，别等 PoC 满天飞了才动手。
来源：
Google AX 冲到 2324 星：先别急着上生产
上周我们聊过 Google 开源 AX 这个 agent 编排 runtime，当时说的是它「每集群十亿任务」的宣称。今天它挂上 GitHub 趋势榜，2324 星——关注度是真的，但星数只说明有多少人点了收藏，跟那套吞吐宣称能不能兑现是两回事。README 里那句警告更值得你先看：核心概念、协议和规格还在改，稳定版之前大概率会有 major breaking change。它跑在 Agent Substrate 上，用 Task、Workspace、Gateway、Model 四个原语声明式地管沙箱、Git 仓库、出网白名单和模型凭据，玩法确实像 Kubernetes。想上手就先用 go install 装个 CLI 在测试集群里跑跑 demo，别往生产环境里塞。
来源：
确定性内核 + 非确定性外壳：把随机和 IO 都关进壳里
十四年前 Gary Bernhardt 提的 Functional Core, Imperative Shell，如今被换了个更宽的说法：确定性内核 + 非确定性外壳。内核只管做决定，输入一样输出就一样；外壳负责协调依赖、碰外部世界。作者指出不必强求纯函数，状态机同样确定，把要求从「纯」放宽到「确定」，可测性还在，适用面却大得多。未播种的随机数、异步多线程、网络、进程间通信、本地存储、数据库、系统时间，这些都属于外壳。你写 Agent 或业务代码时，把决策逻辑和这些副作用隔开，测试才不用满屏 mock。
来源：
一句提问，Meta Muse 交出 6.8GB 文件系统
有人让 Meta 的 Muse 把「它能看到的文件」打包发到自己的 Google Drive，它照做了：压缩后约 2.7 GB，解开 6.8 GB，里面是这次会话那台 Linux 环境的根文件系统——Ubuntu 系统文件、内部文档、集成代码、应用模板、memory 文件、agent 日志，还有 SSH 密钥文件。内部代号是 Hatch，/opt/hatch/skills/ 下约 68 个 skill 目录，agents/ 里 113 条 subagent 记录。作者没公布压缩包和密钥，也没验证密钥是否有效，已通过 Meta 的漏洞赏金渠道上报。给 Agent 接上外部存储和导出通道的人，值得看一眼：一条普通对话就能把运行环境整个搬走，权限边界得自己先划。
来源：
让 Agent 反复改 Rust：实测提速 2 到 20 倍
作者把「让 Agent 把代码改得更快」这件事做成了可复现的实验：目标语言选 Rust，因为能通过 PyO3 接回 Python，还能编译成 WebAssembly 丢进浏览器跑；一条硬约束是尽量不用 unsafe。结论是，在给定护栏和约束的前提下，Agent 写出的 Rust 能明显快过现有最优实现，按领域不同累计提速 2x 到 20x，而且随着前沿模型一代代更新，优化幅度还在叠加。原文把 prompt 和 benchmark 结果都贴了出来，不是空口结论。
看到 2x 到 20x 这种跨度，我第一反应是先问它在什么数据、什么基线上测的——上限和下限差十倍，说明这数字高度依赖任务本身。想抄作业的话，先抄它的约束条件，再谈速度。
来源：
MiMo-v2.6-Pro 评测出炉：10 项评测跑完，价格才是看点
前几天我们聊过 MiMo v2.6 发布、冲上 HN 热榜那事，当时只报了消息，没给结论。今天 Artificial Analysis 的评测页出来了，补上这一课。它的 Intelligence Index v4.3.2 一共 10 项评测，包含 Terminal-Bench 4.0、SciCode、Humanity's Last Exam、AA-Omniscience 这些，agentic coding 和终端操作、专业文档推理、医学长上下文都在里面。页面还单列了 AA-Omniscience 这个知识可靠性指标，答对加分、幻觉扣分、拒答不罚，分数从 -100 到 100，0 分意味着对错各半。这个设计比单看正确率实在，你调 Agent 的时候最怕的不是它不会，是它一本正经地编。价格那一栏我没法替它下结论，官方页面的数字得你自己去核一遍，别拿发布日的印象当预算依据。
来源：
gzip 当语言模型：不加训练参数也能续写莎士比亚
有人把系统自带的 gzip 当语言模型用：喂一段莎士比亚做语料，给个「MENENIUS:」的开头，让它续写 200 个字符。原理不玄，压缩和预测本来等价——DEFLATE 在 32 KiB 滑动窗口里找重复，能对上窗口里已有文本的续写压得极小，压得越小就说明越「被预测到」。生成靠 beam search 逐字节搜索，因为 gzip 只给整数长度，单字节打分会被量化噪声淹掉。输出不算通顺，但确实学到了些句式。我关心的不是它能不能写诗，而是它提醒你：模型能力来自数据里的结构，不来自参数量。
来源：
Git 3.0 换 SHA-256 这事，你是打算等 GitHub 先跟上再动手，还是本地新仓库先切过去试试？明早 8 点见。
本期从过去 24h 的 X / Hacker News / GitHub Trending 共 63 条信息中挑出 8 条（全天逐小时采写、经事实校对后于晨间选编）。内容由 LLM 辅助生成，每条均附原始来源链接，重要决策请交叉验证。
微信扫码关注「码农早餐」
每天早 8 点推送到微信，不用记网址。关注后回复「价格」，拿大模型价格与退役时间速查表。
喜欢这篇？订阅每日推送
每天 8:00 帮你挑好 AI 圈最重要的 5-10 条，说人话、看得懂、不浪费时间。
本页内容由 LLM 自动聚合 + 解读生成，每条均有原始来源链接，建议交叉验证。