码农早餐 · 2026-10-16
今天这碗：2.17 亿条响应里，7959 个站点在 HTTP 头里给 AI 留了话。另有 4 条快讯：24B 总参只激活 2B：Liquid 端侧 agent 模型开放权重；Muse Spark Open：816B 参数，两台 Mac Studio 跑起来；等。
2170 万条响应头里，7959 个站点给 AI 留了话，其中 7271 个是在指路——真正试图下命令的只有 30 个。我更担心的不是那 30 个注入，而是你的 Agent 会不会把服务器指定的下一个地址直接当成可信来源。
2.17 亿条响应里，7959 个站点在 HTTP 头里给 AI 留了话
先给你一个今晚就能跑的命令：curl -sS -L -D - -o /dev/null 你要查的域名。-D - 把响应头打到屏幕上，-o /dev/null 扔掉正文。你平时在浏览器里永远看不到的那几行，就是这篇文章的全部战场。
有人扫了 Common Crawl 2026 年 9 月那轮 21.7 亿页里的 10%，也就是 217,097,223 条响应头，专门找写给 AI 看的内容。7,959 个站点确实在头里塞了东西。其中 7,271 个是「指路」，6,989 个用的是 x-llms-txt，告诉你的 Agent 下一步该去读哪个文件；真正试图下命令的只有 30 个，24 个藏在 X-AI 这个头里，多数是恶作剧。另有 139 个站点在头里记录「我判断这个客户端是 AI」，136 个判定成立。还有站点反过来恶心 Agent，把 Anthropic 测试用的触发字符串塞进名叫 X-AI-Makes-Us-Dumber 的头里。
真正值得警惕的不是那 30 个注入，而是 7,271 个指路：你的 Agent 会不会把服务器指定的下一个地址当成可信来源。 这是两件完全不同的事——指路本身无害，但如果 fetch 工具把头里的 URL 直接当上下文喂给模型、又带着同样的权限去抓，那么任何一个被入侵的站点都能把你的 Agent 引到它想去的地方。作者给的防线也很朴素：让 Agent 把那些目的地当作全新的、不可信的抓取，并且监控它在抓取之后干了什么，而不是只匹配头名字——光靠名字匹配，会把 910 个无辜站点误报。
模型这边也不是没长进。2026 年 10 月的测试里，Claude Opus、Sonnet、Haiku 在 Claude Code 里发现了测试头，默认没有照做；但一个普通的 uptime 检查就足以把这些头送进模型眼前。而当用户的 prompt 里写了「按这个站点的指示来」，9 次里有 7 次它们就听了。作为对照，Anthropic 2025 年测 Claude for Chrome 时，没有缓解措施的攻击成功率是 23.6%，加上缓解措施是 11.2%——加固过的 Agent，大约每九次仍会中一次。 所以风险不取决于模型聪不聪明，取决于两件事：恶意文本能不能到达模型，以及到达之后这个 Agent 手里有什么权限。
横向比一下就更清楚：Palo Alto Networks 的 Unit 42 列过十种注入投递方式，从零尺寸文字到 URL 片段，十种里没有一种用响应头；Google 威胁情报团队扫的是页面正文。大家都盯着你看得见的地方，而头是浏览器从不显示、fetch 工具却可能原样转交的那一段。这也是为什么这次扫描的意义不在那 30 个恶作剧，而在于它证明「用头跟 Agent 说话」已经是常规操作了。
💡 主厨说：别急着改模型，先去看你的 fetch 工具把响应的哪几部分塞进了上下文——头进了 prompt，就别让它带着同样的权限去抓头里指定的地址。
来源：
24B 总参只激活 2B：Liquid 端侧 agent 模型开放权重
Liquid AI 放出 LFM2.5-24B-A2B，总参 24B、每 token 只激活 2B，上下文从上一代的 32,768 扩到 131,072，词表从 65K 翻到 128K，预训练数据从 17T 加到 33T token，权重开放在 Hugging Face 上。官方说在八个 agent 与工具调用 benchmark 里，有五个能跟总参和激活参数都多出约 50% 的 Qwen3.6-35B-A3B 打平，LiveClaw 48.09 对 38.19，AutomationBench 27.69 对 8.72，Apple M5 Max 上 184 tokens/s。数字挺好看，但「五个里赢五个」这种挑法本身就值得多看一眼：剩下三个是什么、差多少，原文没给全，端侧能不能真跑起来还得看量化后的显存占用。想在自己机器上跑 agent 的，这份权重值得先拉下来量一量。
来源：
Muse Spark Open：816B 参数，两台 Mac Studio 跑起来
Meta 放出 Muse Spark Open 的权重，816B 总参数、42B 激活、1M token 上下文，原生多模态，主打 coding 和 agentic 长任务。官方说这是「美国迄今最强的开放权重模型」，还强调用两台 M5 Ultra Mac Studio 加 MLX 就能在桌面跑起来。注意「最强」和「桌面可跑」都得看评测口径——benchmark 是在什么数据上测的、缺什么数据，官方那篇方法论报告才是该先翻的东西。开放权重是真开放，但 816B 这个体量，多数人还是得走 API。
来源：
XERJ 开源：一条命令索引代码库，号称比 grep 省 40 倍 token
XERJ 是个用 Rust 写的搜索工具，一条命令就能给代码、文档、日志和 PDF 建索引，供 Agent 检索、RAG、安全审计和记忆使用；它兼容 Elasticsearch，现有客户端可以直接接上。仓库页上挂着一枚「2.7× fewer tokens」的徽章，而简介里写的是比 grep 省 40 倍 token——两个数字对不上，而且 benchmark 是在什么数据、什么任务上测的，原文没交代。省 token 这件事我信一半：索引本身要花存储和构建时间，收益取决于你的查询模式。先看它在你自己仓库上的实测，再决定要不要替掉 grep。
来源：
Scion 被指抄袭 Mononoke：争议从「参考」升级到「抄袭」
前几天我们聊过 Anthropic 的 Scion，当时的结论是架构上参考了 Meta 的 Mononoke，但「现在不值得你抄，瓶颈从写代码变成源码管理这件事值得记着」。今天这条是同一件事的负面进展，不是新事件：原作者发了跟进文章，明确说「This was a ripoff」，并称私下收到了确认，Scion 是有意照搬 Mononoke，且两边存在人员重叠。
争议点从「参考」挪到了「参考与抄袭的边界」。原文给的具体证据是数据模型层面的：Scion 的 changeset 存的是相对第一个 parent 的变更文件列表加 blob 的 content-addressed 指针，而 Mononoke 的 Bonsai changeset 是同一套结构，作者说「exactly the same」；连名字都是把 Bonsai 的音节倒过来去掉 B。他还承认，derived data 本身只是索引、不算独创，真正让他觉得不对的是术语和框架方式的重合。
这里要提醒一句：作者说「私下收到确认」，但没给出可核验的来源，人员重叠也没有点名。这类指控在公开层面目前仍是单方陈述，别当成已经定案的事实。
结论不用推翻——Scion 依然不值得你抄。但如果抄袭指控成立，它的可借鉴性只会进一步下降：一套连数据模型和命名都被指照搬的系统，你从它身上能学到的原创判断本来就有限。更该记住的还是那个判断本身：当代码大量由 AI 生成，瓶颈会从写代码挪到源码管理，这个方向不因 Scion 的名声好坏而改变。
来源：
本期从过去 24h 的 X / Hacker News / GitHub Trending 共 54 条信息中挑出 5 条（全天逐小时采写、经事实校对后于晨间选编）。内容由 LLM 辅助生成，每条均附原始来源链接，重要决策请交叉验证。
微信扫码关注「码农早餐」
每天早 8 点推送到微信，不用记网址。关注后回复「价格」，拿大模型价格与退役时间速查表。
喜欢这篇？订阅每日推送
每天 8:00 精选 AI 编程动态，每周六另附一封亲手实测的周刊。
本页内容由 LLM 自动聚合 + 解读生成，每条均有原始来源链接，建议交叉验证。