Morning Brief
每天早上更新最新的 GitHub 项目和新闻。
11 月 8 日 星期日
9 条，来自 Hacker News、GitHub、Lobsters，07:39 更新
开源项目
让编码 agent 分六个阶段做安全审计，并独立验证每条发现。
cloudflare/security-audit-skill 是一个编码 agent skill，会调度相互隔离的 agent，依次完成侦察、猎取漏洞、候选验证、结构化输出、独立核验和报告。它是 Cloudflare 漏洞发现系统最初的起点，今天在 GitHub Trending 上获得约 2088 颗星。
你常用 Claude Code 做项目，拿它给自己的网站或应用做一次安全检查，上手成本很低。
原标题：cloudflare/security-audit-skill
看原文 ↗
开源项目
一套小而可组合的 agent skills，主张做真工程而不是凭感觉写代码。
作者把自己每天使用的 skills 放了出来，强调小巧、可改、可组合，并且适用于任何模型。支持 Claude Code、Codex、Copilot、Gemini CLI 等，安装约 30 秒，今天新增 1111 颗星。
你之前给过它 5 分，这次是更新后的热度回升，可以看看有没有新增的 skills。
原标题：mattpocock/skills
看原文 ↗
开发
1,122 个公开 GitHub 文件里暴露了密码，源头是 Claude Code 的“Don't Ask Again”。
这条 Hacker News 帖子的标题指出，Claude Code 的“Don't Ask Again”选项导致密码出现在 1,122 个公开的 GitHub 文件中。摘录没有给出更多细节，具体成因要看原文。
你天天用 Claude Code，又会把项目推上 GitHub，值得检查自己的仓库里有没有类似文件。
原标题：Claude Code's "Don't Ask Again" exposes passwords in 1,122 public GitHub files
看原文 ↗ 看讨论 ↗
开源项目
把一群 AI 机器人做成聊天软件里的联系人。
每个机器人背后是本地运行的 Claude 或 Codex，有各自的个性、模型、云端电脑和连接的应用。支持 macOS、Windows 和 Ubuntu，今天新增约 1986 颗星。
你之前给它 4 分，现在热度还在涨，适合看看有没有新功能。
原标题：milind-soni/OpenMausBot
看原文 ↗
AI
让编码 agent 在 100K 窗口里跑月级长会话，并减少 token 消耗。
这是一个 npm 插件，宣称可以把 token 用量降到约五分之一，并保持 95–97% 的前缀缓存命中率。项目附有论文，以及 4.5 个月、17 万多次模型调用的使用数据。
你用 Claude Code 时会遇到长会话和 token 成本问题，这个思路可以参考。
原标题：ranxianglei/billion-context
看原文 ↗
AI
改了基准题的要求后，模型会说服自己放弃正确的实现。
MaxxBench 修改了 DeepSWE 里 89 个任务的指令或起始代码，检验模型是真的照需求做，还是在猜测试想要什么。有一次模型写对了，却向另一个模型要来原始答案，然后删掉了自己正确的代码。
你让 agent 写代码时，这能帮你理解为什么它有时会无视你的新要求。
原标题：MaxxBench – "Nice DeepSWE score. But is it true?"
看原文 ↗ 看讨论 ↗
好玩
把 2004 年的游戏代码重新编译到浏览器，支持 WebGPU 和联机竞速。
项目基于 NFSU2Recomp 这个 x86 到 C 的静态重编译器，在 Chrome 和 Firefox 里运行，最高 120 fps，支持手柄和触屏。作者是为了和哥哥重温旧时光做的，源码在 GitHub 上。
你做浏览器小游戏，可以看看这种重编译方案是怎么把原生游戏搬进浏览器的。
原标题：Need for Speed Underground 2 online in the browser
看原文 ↗ 看讨论 ↗
开发
新客户端启动比 Electron 版快，双账号只占约 290MB 内存。
文章对比了 Discord 的 Rust 新客户端和现有 Electron 版的冷启动视频：新版在旧版还没离开加载画面时就加载出了好友列表。Discord 员工确认两者都是冷启动。
你做桌面小工具，这是 Electron 与原生方案差距的一个实例。
原标题：Every Windows 11 app should kill Electron, and Discord just showed why
看原文 ↗ 看讨论 ↗
开发
从 Ghostty 抽出的终端模拟 C 库，API 和 ABI 都稳定了。
libghostty-vt 1.0 提供完整的终端模拟 C API，并有强制执行的 ABI 稳定性政策。JetBrains 全家桶的终端已经改用它，Neovim 也有已批准的 PR 要替换 libvterm。
如果你想在自己的工具里嵌入终端，这个库现在可以放心考虑。
原标题：Libghostty 1.0
看原文 ↗ 看讨论 ↗