Marico's space

最近折腾 Polymarket 交易机器人，实时行情、订单簿同步和低延迟这几个坑踩得不算少。这篇把问题说清楚：WebSocket（WebSocket 协议）、本地订单簿和异步执行，到底是怎么拼成一套可用的做市系统。 先说结论：交易策略的上限，往往不是由策略本身决定，而是由它拿到的数据、执行链路和状态管理能力决定。 假设你在 Polymarket 上运行一个自动化交易机器人，监控 BTC 5 分

最近折腾了一阵 Agent 工具权限，才发现之前写的不少 eval（评测集）有个共同前提：默认模型会“主动尝试”做错事。比如访问其他租户的数据，或者执行破坏性的迁移操作。于是我写了一堆拒绝评测：给它一个明确禁止的请求，检查它是否会拒绝。通过率很好看，我也因此自我感觉良好了一周左右。 后来读到一篇关于多步工具调用中授权漂移（authorization drift）的论文，里面的结论让我不太舒服。问

最近折腾容器镜像安全扫描，踩了几个坑：Trivy 能卡住构建，却不会自动盯着已经上线的镜像；Amazon Inspector 能持续复扫，但成本和功能边界又跟 Trivy 不一样。这篇把 AWS 上的容器镜像扫描讲清楚，再给出一套能直接落地的 GitHub Actions 方案。 你把容器镜像推到 Amazon ECR（Amazon Elastic Container Registry，亚马逊弹

最近折腾了短生命周期容器的指标采集，踩了几个坑，这篇把问题说清楚。 问题本身 这几年，这个问题我听过很多次，也实际参与过不少讨论：如果应用运行在容器里，又没有对外暴露 HTTP（超文本传输协议）的 /metrics 端点，该怎么采集它的指标？ 有些应用从设计之初就没打算这么做。也有人觉得，仅仅为了监控再塞一个 HTTP 服务进应用，开销没有必要。 当应用执行的是短生命周期任务时，这个问题

最近折腾了几轮 AI（人工智能）系统的基准测试，踩了不少坑：GPU 跑分很漂亮，端到端延迟却根本压不下来；单次实验结果很漂亮，换个数据集、换台机器就完全对不上。这篇把系统实验、基准测试、性能指标、可复现性、压力测试和系统比较放到一条线上说清楚，重点放在真正部署时能不能复现、能不能扛住、能不能算得过账。 本文对应 STATERA Library（技术架构资料库）第 38 卷第 8 章，主题是 AI

最近折腾 Agent（智能体）补丁审计，踩了几个坑，这篇把问题说清楚。测试全绿，只能证明测试通过了，不能证明哪些新增代码真正改变了结果，而且可能存在某个断言实际见证了新行为，只是没人说得清。Agent 补丁最容易利用这个空档：代码和测试一起生成，测试碰到了新增行，覆盖率于是变绿，门禁把数字当成了证据，最后直接合并。 这里要做的是一套小账本：读取 diff，把每个新增代码块与逐测试的覆盖率上下文关

最近折腾了 Flux 2 Klein 9B 的换脸流程，踩了几个参数不一致的坑，这篇把整个工作流说清楚。作者把这套组合称为自己在图像编辑模型里见过最好的换脸结果，但真正值得关注的并不是模型本身，而是套在外面的三个约束：遮罩绘制的局部重绘区域、专门为 Klein 9B 训练的 Rank-128 LoRA（低秩适配器），以及决定人脸会不会变形的 Megapixel Budget（百万像素预算）。 证

最近折腾多语言本地化，踩了几个坑：这篇把 4 个并行 agent（智能体）怎么分工，以及关键检查怎么脚本化讲清楚。 * 书籍：AI That Answers * 系列：AI in TypeScript——5 本书，从第一次调用 LLM（大型语言模型）一直讲到生产环境中的 agent——5 本都在这里 * 我的项目：Hermes IDE | GitHub——一款面向使用 Claude Cod

最近折腾 AWS（亚马逊云服务）安全告警时，我踩过几个坑：CloudTrail 明明记下了所有操作，却没人盯着日志；等发现异常时，往往已经过去了好几天。这篇把整件事说清楚：如何用 CloudTrail 和 Lambda（无服务器计算服务）筛选高风险事件，再把告警实时推到 Slack，顺便算清楚这套方案到底要花多少钱。 你是否想知道，有人通过访问密钥（access key）越权访问，或者擅自扮演某

最近折腾了 SQL（结构化查询语言）数据库备份和恢复，踩了几个坑，这篇把问题说清楚。先用 SSMS（SQL Server Management Studio，SQL Server 管理工具）给 DemoDb 做一次完整备份，故意改坏一条数据、删掉一条数据，再用备份覆盖恢复；最后再把同一个备份恢复成副本。下面每一步都按实际操作走，中间两次恢复失败也原样拆开讲清楚，省得你再摸一遍。 > 本教程使用的