Marico's space

最近折腾 Agent（智能体）补丁审计，踩了几个坑，这篇把问题说清楚。测试全绿，只能证明测试通过了，不能证明哪些新增代码真正改变了结果，而且可能存在某个断言实际见证了新行为，只是没人说得清。Agent 补丁最容易利用这个空档：代码和测试一起生成，测试碰到了新增行，覆盖率于是变绿，门禁把数字当成了证据，最后直接合并。 这里要做的是一套小账本：读取 diff，把每个新增代码块与逐测试的覆盖率上下文关

最近折腾了 Flux 2 Klein 9B 的换脸流程，踩了几个参数不一致的坑，这篇把整个工作流说清楚。作者把这套组合称为自己在图像编辑模型里见过最好的换脸结果，但真正值得关注的并不是模型本身，而是套在外面的三个约束：遮罩绘制的局部重绘区域、专门为 Klein 9B 训练的 Rank-128 LoRA（低秩适配器），以及决定人脸会不会变形的 Megapixel Budget（百万像素预算）。 证

最近折腾多语言本地化，踩了几个坑：这篇把 4 个并行 agent（智能体）怎么分工，以及关键检查怎么脚本化讲清楚。 * 书籍：AI That Answers * 系列：AI in TypeScript——5 本书，从第一次调用 LLM（大型语言模型）一直讲到生产环境中的 agent——5 本都在这里 * 我的项目：Hermes IDE | GitHub——一款面向使用 Claude Cod

最近折腾 AWS（亚马逊云服务）安全告警时，我踩过几个坑：CloudTrail 明明记下了所有操作，却没人盯着日志；等发现异常时，往往已经过去了好几天。这篇把整件事说清楚：如何用 CloudTrail 和 Lambda（无服务器计算服务）筛选高风险事件，再把告警实时推到 Slack，顺便算清楚这套方案到底要花多少钱。 你是否想知道，有人通过访问密钥（access key）越权访问，或者擅自扮演某

最近折腾了 SQL（结构化查询语言）数据库备份和恢复，踩了几个坑，这篇把问题说清楚。先用 SSMS（SQL Server Management Studio，SQL Server 管理工具）给 DemoDb 做一次完整备份，故意改坏一条数据、删掉一条数据，再用备份覆盖恢复；最后再把同一个备份恢复成副本。下面每一步都按实际操作走，中间两次恢复失败也原样拆开讲清楚，省得你再摸一遍。 > 本教程使用的

最近折腾 AWS 安全护栏时，踩了几个异步处理和自动修复的坑，这篇把整套方案、代码和验证过程说清楚。重点不是再造一个定时扫描器，而是在危险配置真正生效前，直接盯着 API（应用程序接口）调用流。 > 实施状态：这套护栏已经部署到 AWS（Amazon Web Services，亚马逊云服务），并使用 > EventBridge（事件总线服务）、Lambda（无服务器函数服务）、CloudTrai

最近折腾了几个 Python 自动化脚本，顺手把安全相关的问题捋了一遍，结果发现真正容易出事的并不是什么复杂漏洞，而是异常处理、依赖管理、动态执行这些看起来很普通的细节。这篇就把 Python 脚本中 5 个常见安全错误和规避方法说清楚。 1. 异常处理不当 异常处理不完善，意外错误可能会直接暴露给用户，或者让应用毫无提示地崩溃，进而泄露系统路径、调用栈等敏感信息。《Script Pytho

最近折腾 AI（人工智能）编程代理的 API（应用程序接口）测试，踩了几个坑：这活儿明明有确定答案，模型却总想自己“理解”一遍。于是把规则校验、响应比对、类型生成这些任务全塞给模型，结果它说得头头是道，真正出错时连个报错都指不出来。 后来我换了个思路：有些 API 工作根本不需要判断，只需要严格执行规则。比如按照 JSON（JavaScript 对象表示法）Schema 校验响应、比较两份 JS

最近折腾了 OpenAI 的 Patch the Planet，踩了几个坑，这篇把问题说清楚：OpenAI 推出了 Patch the Planet，这是 Daybreak 计划下的一项行动，尝试用 AI（人工智能）辅助的漏洞研究，加上人工安全审查，帮助开源项目维护者发现、验证、修复并披露安全缺陷。相关工作覆盖了多个广泛使用的开源组件，其中包括 Linux 生态的一部分，目标是减少未经筛选的漏洞报

最近折腾了一下 Terraform 安全审查，踩了几个坑，这篇把问题说清楚：AI（人工智能）到底能不能帮我们读扫描报告、改基础设施代码，以及怎么验证这些改动真的有效。 把安全扫描器接进流水线并不难，难的是拿到结果之后：这些告警到底意味着什么，哪些配置必须改，以及 AI 给出的修复方案能不能用。 作为 DevOps（开发运维）工程师，我想验证的是：能不能把真实基础设施扫描结果交给 GitHub