Soha 的日常

赛博群友！ @CyberGroupmate 该开源项目由热爱机娘的蚊子大佬（一个精通前后端的全栈工程师、什么网络都会配的高级网络工程师、无论任何问题都能解决的专业运维工程师、所有系统都能捅穿的世界顶尖黑客）倾力打造。这个项目经过一两年迭代（你小时候我还抱过你呢）、经历了 LLM 的飞速发展，当前版本已经非常不错了。 我在隔壁群一直有和该项目的某个实例——阿miu——进行交互，偶尔会有种人机感，但大部分时候确实注意不到有 LLM 加入群聊的感觉，活人感挺强的。有时候遇到问题也会搜索互联网确认了再说。他除了正…

有没有大手子有推荐的多模态模型，目前在用的 MiMo V2.5 好像一直撞到限速墙，失败率太高了......

关于 Clash Verge Rev 项目中关于 CVD 的情况梳理与边缘影响

在当前时间（日期），有关 issue 被关闭，同时项目方移除了部分评论（内容上不可确定），在审慎阅读了有关代码以及大部分言论后，我们对此事做一次完整总结，以尝试还原全貌，此次总结主要是基于现有内容进行分析，加之篇幅长度限制难免疏漏，欢迎各位补充与纠正。我们仅尝试还原事件全貌，无意发表任何评论。

事件脉络与冲突节点

时间：6 月 2 日 凌晨
事件节点：功能合并

贡献者 wonfen 合并了 commit 2cb9c13，引入 CVD 协议。涉及 44 个文件，净增约 1900 行代码，在 Rust 后端新建了独立的 cvd 模块。同时，同步更新了 13 种语言的本地化字符串，并发布了面向用户的介绍文档与面向服务商的集成文档。

时间：6 月 2 日 上午
事件节点：社区质疑

用户 ojibk 在 GitHub 提交了 Issue #7187，指出 CVD 工作原理中存在收集硬件指纹的嫌疑，对用户隐私构成严重威胁。

时间：6 月 2 日 09:09
事件节点：冲突升级

协作者 Dragon1573 迅速关闭了该 Issue 并标记为 "Invalid"（无效/超出范围），试图压制争议。

时间：6 月 2 日 11:00
事件节点：内部分歧

另一核心维护者 Tunglies 介入，公开表态：“对隐私收集不感兴趣，这由其他贡献者私自上传。我尝试交涉下。”随后重新打开该 Issue，并执行了 commit fa27d3e，彻底回滚了 CVD 相关的全部代码。

时间：6 月 3 日 - 6 月 4 日
事件节点：生态反击

内核项目 mihomo 核心开发者 wwqgtxx 加入论战，并在 mihomo 项目中提交了基于标准 age 协议的配置文件加密功能，以此作为 CVD 的替代方案，同时在官方推荐列表中移除了数个涉事或关联客户端。

时间：6 月 4 日 中午
事件节点：事件定格

wonfen 将其辩护言论置顶，并删除了部分反对者的评论，最终关闭并锁定了 Issue #7187 的讨论。

隐私争议

在 Issue #7187 中，双方就“是否收集了机器指纹”展开了激烈的技术辩论：

・社区部分人员观点：CVD 的设计要求提取主板 UUID、网卡 MAC 哈希等硬件特征。在代理客户端这类对隐私极其敏感的工具中，收集此类硬件指纹是不可接受的，且一旦泄露将导致用户身份与物理设备的精确关联。
- wonfen 的辩护：在实际的代码实现中，CVD 并没有直接提取硬件指纹，而是使用系统随机数生成了 X25519 密钥对。公钥通过 X-CVD-Pub 请求头发送，私钥则保存在系统钥匙串（Keyring）中，且在删除配置文件（Profile）时会自动销毁。他认为这只是一种“设备槽位限制”，而非“隐私收集”。
- 技术反驳（kmod-midori / BeiyanYunyi）：即使目前的代码仅使用了随机数密钥，由于该密钥被设计为“不可导出”，其本质依然是利用系统钥匙串来强行锚定单台物理设备。此外，在主流桌面平台上，系统钥匙串并非不可攻破，攻击者或审查者只需通过简单的 Hook 即可捞出私钥。这种设计“防君子不防小人”，不仅无法真正提高审查成本，反而给用户制造了安全的假象。

关联性内容：age 加密

作为对 CVD 的回应，上游内核项目 mihomo 迅速合并了由 wwqgtxx 提交的代码，引入了基于 RFC 9180(age-encryption)标准的配置文件解密功能。
mihomo 团队强调，密钥应该由用户自行生成，且必须允许自由导入和导出。用户可以使用标准工具在多个设备间同步同一个私钥。这与 CVD “限制密钥导出、锁定设备槽位”的设计有着本质的区别。

GitHub - clash-verge-rev/clash-verge-rev Issue #7187
GitHub - clash-verge-rev/clash-verge-rev commit 2cb9c13
GitHub - clash-verge-rev/clash-verge-rev commit fa27d3e
GitHub - MetaCubeX/mihomo commit 358fa5e
GitHub - MetaCubeX/Meta-Docs commit da03412

🌸 在花频道 · 备用频道 · 投稿通道

AOSCC 2026：杭电见！

经过杭州电子科技大学网络与计算协会 (ICU) 同学、社团指导老师一个多月的努力，以及信息技术中心的大力支持下，今年的 AOSCC 活动有着落了！

今年 AOSCC 将于 8 月 15-16 日举办，在此之前，我们将积极与杭电 ICU 的同学们一同协作，确保本年度线下聚会的顺利举办，敬请期待！

笨蛋三月七的日常

省流：漏洞叫 HTTP/2 bomb，只需要 100 Mbps 的带宽即可让 Web 服务器吃掉巨量内存。 除 Caddy 外所有 Web 服务器全部中招，速速更新。

这就是我使用 Caddy 的原因 😆😆🥰

codex 重置了！

我发现一个很有趣的现象：当高考和塔菲直播冲突时，高中生往往放弃看塔菲直播而选择高考，而大学生往往会放弃高考而选择看塔菲直播，这是否意味着高学历人群往往更倾向于看塔菲直播

现在距离2026年普通高等学校招生全国统一考试还有3天

Google 于三小时前偷偷发布 Gemma4 系列的 12B-Dense 新模型，与 E2B, E4B 同底座

https://huggingface.co/google/gemma-4-12B-it

huggingface.co

google/gemma-4-12B-it · Hugging Face

We’re on a journey to advance and democratize artificial intelligence through open source and open science.

HTTP/2 Bomb 漏洞
针对 HTTP/2 服务器的远程拒绝服务攻击，结合了 HPACK 索引引用炸弹和流量控制窗口阻塞。网络传输的一个字节会在服务器上占用一个完整的头部空间，每个请求重复数千次，而零字节的 INITIAL_WINDOW_SIZE 则阻止服务器释放任何占用的空间。
目前 nginx 和 Apache 已修复该漏洞，记得更新；其余暂未修复。

Related Links
https://thehackernews.com/2026/06/new-http2-bomb-vulnerability-allows.html
https://blog.calif.io/p/codex-discovered-a-hidden-http2-bomb
https://github.com/califio/publications/tree/main/MADBugs/http2-bomb

blog.calif.io

Codex Discovered a Hidden HTTP/2 Bomb

14 years ago, I helped break HTTP header compression, then was asked to review the fix, which became part of HTTP/2. Life has come full circle: today we're releasing an attack I missed.

林晓风

转发的消息记录 shenjack: [CQ:image,… shenjack: wait what ElePrC: ber shenjack: 但我怎么感觉像是…… 共 25 条消息记录

省流：漏洞叫 HTTP/2 bomb，只需要 100 Mbps 的带宽即可让 Web 服务器吃掉巨量内存。
除 Caddy 外所有 Web 服务器全部中招，速速更新。

转发的消息记录
shenjack: [CQ:image,…
shenjack: wait what
ElePrC: ber
shenjack: 但我怎么感觉像是……
共 25 条消息记录

member

Big_Cake

via my nbkls

黄仁勋研究芯片，马斯克研究起飞
而我又研究新片又研究起飞，我比他们加起来都牛逼

tips：张雪峰老婆抖音视频评论区

HTTP/2 Bomb 可远程拖垮多款主流服务器

研究人员披露名为 HTTP/2 Bomb 的远程拒绝服务攻击，影响 NGINX、Apache HTTPD、Microsoft IIS、Envoy 和 Cloudflare Pingora 的默认 HTTP/2 配置。攻击把 HPACK 压缩放大与类似 Slowloris 的连接占用结合起来，可持续占住服务器内存。

文中称，100 Mbps 家用网络可在数秒内让部分服务器不可用，Apache httpd 和 Envoy 单个客户端约 20 秒可占住 32 GB 内存。nginx 已在 1.29.8+ 加入修复，Apache 修复在 mod_http2 v2.0.41，IIS、Envoy 和 Pingora 暂无补丁。

Calif | The Hacker News

🌸 在花频道 · 备用频道 · 投稿通道

笨蛋三月七的日常

内频：有审核

审核考虑时长延长至 7 日。
如果一个共同群都没有的话，大概是不会过了。

另外，如果在隔壁步梦群的话，可以 @ 一下直接过审。❤️

频道主 @bakabakabing 审，我不介入。

今年 6 月 1 日起，新版《中国国家铁路集团有限公司铁路旅客运输规程》正式施行，学生票优惠政策迎来重要调整

省流速看：

1. 从今年 6 月 1 日起，所有铁路线路学生优惠票全面覆盖动车组一等座和卧铺，统一按执行票价打 7.5 折，最低不低于公布票价的四折。


2. 从 6 月 1 日起，学生的家庭居住地可在 12306 App 内自行修改，无需学校盖章，修改次数不限，方便学生灵活安排行程。


3. 只要是同一行程的分段联程，且首段至末段发车时间间隔在 5 天（120 小时）以内，系统只核减一次优惠次数。

祝各位学子毕业顺利，一路顺风！


原文及其他变更：
https://news.cctv.com/2026/05/29/ARTIN7AArZ0yJ7me40v0UxyV260529.shtml