Cheng's Tech & Life

你寫了一條規矩想叫 Claude 遵守——比方說「改完程式碼一定要跑 lint」。問題來了：這句話到底該寫在哪？ 寫進 CLAUDE.md？做成一個 skill？還是設一個 hook？大部分人卡住的地方不是「指令寫得好不好」，是根本沒意識到「放哪裡」本身就是一個決定，而且這個決定常常比措辭重要得多。同一句話，放對地方它每次都生效，放錯地方它可能整場對話都沒被讀到一次。 6 月 18 日 Anthropic 出了一篇官方文章，把引導 Claude 行為的方法整理成七種：CLAUDE.md、rules、skills、subagents、hooks、output styles，還有直接改系統提示。乍看像七個功能等你挑，其實不是——它們是七個抽屜，每個抽屜裝的東西、開的時機都不一樣。搞懂該往哪個抽屜放，這篇就值了。 先用一個比方把七個抽屜串起來想像你開了一家公司，今天進來一個新員工，你要讓他照規矩做事。你會怎麼傳達？ 最基本的，你給他一本員工手冊，放在桌上，每天上班都看得到——公司在幾樓、用什麼打卡系統、程式碼風格長怎樣。這就是 CLAUDE.md：它在每次對話一開始就載入，整場都待在那...

你有沒有想過，當一個工具強到可以「自己跑下去不用你盯」的時候，出事的責任算誰的？ 這禮拜的幾條新聞排開來，主角不是哪個模型又刷新了哪個分數。能力線一如往常往上爬，真正在動的，是「讓 AI 自己動手、自己跑久一點、自己決定下一步」這件事——而且是各家一起往這個方向推。問題在於，油門踩得越深，那個「萬一它跑歪了誰來踩煞車」的位子，反而越來越空。 一、OpenAI 讓 Codex 自己跑到目標達成才停6 月 22 日，OpenAI 一口氣給 Codex 加了幾個讓它「更會自己跑」的功能。Goal mode 全面開放——你給它一個結果跟成功條件，它就一輪一輪做下去，不用你每一步都下指令，直到它自己判斷達標。同時上的還有 macOS 的 Appshots：一個快捷鍵就能把某個 app 視窗連同截圖跟可讀文字塞進 Codex 的對話，讓它直接「看到」你在看什麼，省掉一長串描述。再加上專為長時間任務優化的 Codex-Maxxing，整套更新的方向只有一個——把人從迴圈裡拿掉得越多越好。 這跟 Claude Code 早就在做的事是同一條路。值得記下來的不是「誰抄誰」，而是這個產業已經悄悄達成...

「有人在旁邊一起讀，你就比較坐得住」這件事，比任何一款專注 app 都老。 考前去圖書館佔位、跟同學約咖啡廳寫報告、甚至只是把書攤在客廳讓家人看得到——你做這些，理由其實一樣：你知道自己一個人關在房間，十分鐘就會摸到手機。旁邊有個人在認真，你會莫名其妙也跟著認真起來。心理學給這個現象取了個名字，叫 body doubling，但名字不重要，重要的是它真的有效，而且每個準備過考試的人都親身驗證過。 問題是，這幾年大家越來越多時間是一個人待在家裡的。圖書館遠、咖啡廳吵、同學各自在不同城市。於是有人想把「旁邊有人」這件事搬到線上——最直接的做法是開視訊，像 Focusmate 那樣，跟一個陌生人對著鏡頭各讀各的五十分鐘。能用，但總覺得哪裡怪：你得一直開著鏡頭，怕自己看起來在發呆，那份壓力跟「專注」其實是兩回事。 StudyClassRoom 是另一種切法。它沒有用視訊，而是用一個遊戲引擎。 把自習室做成一款 2D 遊戲它是用 Godot 4.4 做的——對，就是那個做獨立遊戲的引擎。你跟朋友連進同一個 2D 虛擬教室，每個人在裡面有個角色，設定好自己要專注的時間（1 到 180 分鐘，...

事情是這樣的。你花了一個下午用 Claude Code 追一個詭異的 bug，查了五六個檔案、比對了 git log、最後定位到某個 race condition。事情解掉了，但同事問你「怎麼查到的」，麻煩來了。 你試了三種方式。第一種是截圖貼 Slack——terminal 的輸出又長又黑，截出來一張比一張醜，貼了五張之後對方已經滑過去了。第二種是把 terminal 內容複製貼上——一坨純文字，沒有重點、沒有顏色、沒人想讀。第三種是認命開一頁 Notion，手動把調查過程重打一遍、貼上關鍵 diff——花的時間比 debug 本身還久，而且你隔天就不想維護它了。 問題的本質是：你手上有一堆「看比讀快」的東西（標註過的 diff、一張錯誤次數的圖、幾個方案的對照），但你只有「純文字」跟「截圖」兩種爛掉的容器可以裝它們。Claude Code 在 6 月 18 日加進來的 Artifacts，補的就是這個洞——它讓 Claude 把這次 session 的成果，直接發布成一頁可以分享的網頁。 先弄懂一件事：它是「快照」，不是「應用程式」在學怎麼用之前，得先把一個觀念擺正，不然你會...

一個前同事兩年前幫你發過幾個套件，後來離職、帳號沒人記得去關。兩年後，有人撿起那把還插在門上的鑰匙，把你整個 npm scope 重新發了一遍——程式碼一行沒動，但每次有人安裝，都會順手幫攻擊者裝一個後門。這禮拜真實上演了。把這幾天的新聞排在一起看，你會發現它們有個共同點：沒有一條是「某個模型被攻破了」。能力線還是穩穩往上走，真正在搖的，是模型周邊那些你以為早就鎖好的東西——一個舊帳號、一個跳槽的人、一條電網、一紙政府公文。 一、Mastra 的 npm 套件被整碗端走，破口是一個沒人記得關的舊帳號6 月 17 日凌晨，有人把整個 @mastra/* 的 npm scope 重新發布了一輪，143 個套件全中，包括月下載量約 400 萬次的 @mastra/core。手法陰險的地方在於：Mastra 自己的程式碼從頭到尾乾乾淨淨，攻擊藏在一個被偷塞進依賴清單的套件 easy-day-js 裡——它假冒熱門的 dayjs，在安裝時跑 postinstall 腳本，先關掉 TLS 憑證驗證、再去攻擊者的伺服器拉第二段程式，最後落地一個跨平台的資訊竊取器，專偷瀏覽器資料和加密貨幣錢包，...

先講以前怎麼找素材。 你拍了一整天的訪談，回來十幾個 GB 的檔案躺在硬碟裡，檔名是相機自動編的 C0042.MP4、C0043.MP4。剪接師記得「有一段受訪者講到產品定價講得特別好」，但不記得是哪一支、第幾分鐘。於是接下來兩三個小時，他做的事情是：開檔、快轉、聽、關掉、開下一檔。找一句話，翻一座山。 這件事荒謬的地方在於——素材裡明明已經有答案了，受訪者真的講了那句話，聲音就錄在檔案裡。問題不是資訊不存在，是你沒有辦法「用意思去問它」。你只能用檔名問，而檔名什麼都沒說。 arkiv 就是把這個「用什麼去問」整個換掉的工具。它跑在你自己的電腦上，用 Whisper 把每段影片的聲音轉成文字、用視覺模型看過每個畫面、再把這些都丟進向量資料庫。換完之後，你找素材的方式從「翻檔名」變成「打一句話問它」：搜「受訪者談到定價」、搜「戶外、有 Logo 出現的鏡頭」，它直接把對應的片段撈給你。 同一個動作，舊做法 vs 新做法把「找素材」這個動作拆開來看，你會發現新舊兩種做法，差的不是速度，是你跟素材之間用什麼語言溝通。 舊做法裡，檔案系統只認得兩種東西：資料夾的位置，跟檔名的字串。你想找...

晚上十一點半，手環震了一下：「今天還差 3,200 步。」於是你嘆口氣，套上拖鞋，下樓繞社區走兩圈，把數字湊到一萬，回家洗洗睡。那一刻你心裡其實沒在想心血管、沒在想血糖，你只想把那個紅色的圈圈補成綠色。 我也幹過這種事。直到有天我繞著停車場走第三圈的時候忽然卡住：我到底在追什麼？一萬，這個數字到底哪來的，憑什麼是它？ 先試著回答：一萬步是誰規定的第一個想法是——這應該是哪個權威醫學機構算出來的吧，世衛還是哪個心臟學會。我去查了。結果不是。 「一萬步」這個目標，源頭在 1960 年代的日本。當時有家公司推出第一款賣給大眾的計步器，產品名字叫「萬步計」。一萬步是個好記、好行銷、寫在外殼上很漂亮的數字——它從頭到尾是個商品名，不是研究結論。我們全民拜了半世紀的這尊神，本體是一句廣告標語。 知道這件事的當下有點荒謬，但更重要的是它戳破了一個我自己的盲點：我以為我在「做對健康有益的事」，其實我只是在「完成一個我沒查證過的數字」。知道一件事叫什麼，跟真的懂它，是兩回事。我連這數字打哪來都不知道，卻拿它來指揮我每天晚上的行程。 那真正有用的門檻在哪換個方式問才對：走路對身體的好處，到底從第幾步...

這個產業最近的節奏，是各條能力線都在踩油門——晶片更快、模型更小卻更強、機器人能打贏人、連找漏洞都自動化了。但把這禮拜的新聞排在一起看，會發現踩油門的同時，方向盤正在被越來越少的手握住。能力越集中、權限給得越大方，出事的時候要承擔的那一方，往往不是按下油門的人。 一、你裝的那堆 AI 框架，可能各自開了一扇沒上鎖的後門這禮拜資安圈最該補的功課，不是某一個 CVE，而是一整類。CrewAI 一口氣四個 CVE、LangFlow 一個 HTTP request 就能未授權遠端執行、Flowise 吃到 CVSS 10.0 滿分、Windsurf 更狠是「零點擊」——你不用點任何東西，它處理到一段被動過手腳的 HTML，就會自動幫攻擊者註冊一個惡意的 MCP server 並執行指令。OX Security 盤點下來，這個架構層級的問題沿著官方 SDK（Python、TypeScript、Java、Rust）一路擴散，影響約 20 萬台已部署的 MCP server。 這裡有個關鍵要講清楚：洞不在模型身上。模型沒被越獄、沒對齊失敗，它只是老老實實讀了一份工具清單、照著指示呼叫工具——它...

先別管它能拿來做什麼。先看一件事：當你打一句「歡迎使用語音合成系統」給它，按下 enter 到聽見聲音之間，這台筆電的 CPU 到底做了哪些動作？ 這個問題比「它有什麼功能」有用得多。因為 MOSS-TTS-Nano 最反常的地方，不在功能表上——Bark、XTTS、ChatTTS 那些大模型能做的它大多也能做。它反常的地方在於：別人要插一張 GPU 才跑得動的事，它一台四核心筆電、不開顯卡就能即時做完。0.1B 參數，復旦 NLP 實驗室和 MOSI.AI 一起開源出來的。 要看懂這件事不是魔法，得把那條從文字到聲波的路徑攤開來走一遍。 第一個直覺陷阱：聲音不是「一長串數字」很多人對 TTS 的第一印象是：模型吐出一條 48kHz 的波形，意思是每秒鐘要生成四萬八千個取樣點。那如果模型得一個點一個點地生，0.1B 的小腦袋怎麼可能跟得上即時？ 關鍵就卡在這裡：模型根本不是在生波形。 打個比方。你要傳一張照片給朋友，不會把每一個像素的 RGB 值一個一個唸給他聽——你會先壓成一張 JPEG，他那端再解開。聲音也一樣。MOSS-TTS-Nano 把整條 pipeline 拆成兩塊，...

先問你自己一個問題：你今年幾歲，這筆錢未來十年你需不需要靠它的配息過日子？答不出來，下面的內容你都不用看——因為高股息還是市值型，從來不是哪個比較「好」，而是哪個比較適合你現在站的位置。 這題在 PTT 股板跟 Dcard 已經吵到變成宗教戰爭。有人說高股息是「左手配右手」的數字遊戲，也有人反駁說那些大規模高股息 ETF 股價早就超過發行價、配息還能拿來繳房貸。兩邊都對，也都不夠完整。因為他們吵的是「哪個比較強」，但真正該問的是「對一個高薪、又還在存錢階段的工程師來說，哪個的取捨對你有利」。 先把現金流這層糖衣撕掉高股息最迷人的地方，是那筆每季或每月準時入帳的配息。很實在、看得到、摸得到。但這裡有個機制要先講清楚：配息不是天上掉下來的，它是直接從 ETF 的淨值裡扣出來再發給你的。你戶頭多了一萬塊，ETF 的價格就同步少了那一萬塊的份。換句話說，這比較像你自己從左口袋掏錢放到右口袋，過程中還有人跟你收過路費。 那筆過路費對工程師特別痛。配息算進你的綜合所得，你本來薪水就高、邊際稅率落在比較上面那幾級，這筆息很可能直接被課掉一塊；金額再大一點，二代健保的補充保費也來分一杯。市值型 ...