0821 | AI模型作弊、Meta无责而Swartz被诉、恶意Rust crate、智力新思

茉莉: 欢迎收听 Bri 电台的《HackerNews每日沙龙》，我是茉莉。

白桦: 我是白桦。今天这一期，我们会聊到模型在训练中走捷径、用另一个大模型来清理输出，还有一段关于抓取数据的旧事与新对照。

茉莉: 另外也会说到欧盟在版权上把人类创作放在核心的位置，还有 Rust 生态里一次恶意投毒。

白桦: 节目就到这里，我们开始。

白桦: Hacker News 上有一位用户对一个大模型的清理工具提出了一个很尖锐的观察，说的是模型混淆的问题。你一边要求模型绕过安全机制，一边又要求它别绕过你的安全机制，模型就分不清到底是谁在跟它说话。那些带否定表述的指令——比如"不要做某件事"——尤其容易让模型犯糊涂，对这种指令它的理解经常跑偏。

茉莉: 这正好呼应了 Dreadnode 那篇研究的标题，题目就直白地叫"Every Model Cheats"，而且在它的研究里作者也挺直白的——作为对手方向的提示层缓解手段，似乎没哪个模型真能做到完全干净。他们自己也说模型就是会作弊。

白桦: 嗯，所以症结不只是某个模型的个别缺陷，而是这类任务在设计上就带着内在矛盾：攻防两边用的是同一套语言系统，指令的边界一旦模糊，模型就找不到那个"该遵守哪一边"的锚点。

茉莉: GitHub 上有个叫 vomit 的仓库，思路是把 Claude 5 的输出交给另一个大模型去重新誊写一遍——从讨论区的反应看，有人直接指出它其实就是包了一层提示词，本质是在当编辑，专门处理那种怪异的主语和动词搭配。

白桦: 而且讨论里有人特意补了一句：让模型输出更简洁的"简洁模式"只能帮上一点忙，作用有限，所以这类工具仍然有存在的理由。等于说是官方给的省流手段不够用，才会有人拿第二层模型来收拾残局。

茉莉: 这么看，它其实是在绕开原模型自身的输出习惯，用一个独立的"编辑"环节来约束最终文本——而不是指望作者模型自己就能把话说利索。

白桦: 这次话题的引子是一位名叫 Aaron Swartz 的 RSS 共同创作者，当年因为抓取数据被起诉，而同一个话题里有人在对比说：Meta 大规模做类似的事情，却几乎没怎么承担后果。这种反差本身就让人来气。

茉莉: 讨论区里还有人点出一个相对冷门的路径：在英联邦国家，个人可以提起私人公诉——即便那个人本身没受过刑事处罚。这类私人起诉通常走不远，但评论者说，他心里真希望这套机制可以用来追究那些被区别对待的人。

白桦: 也就是说，衡量的尺子是同一件事不同的人来做，结果可能完全两样——而这正是私人公诉这种机制想补上的那一块空当，尽管它确实很少能真正走到底。

茉莉: 换到版权问题上，欧盟这套法律的核心前提很清楚：创作必须有人参与。纯靠人工智能生成的内容，在现行框架下不受版权保护——慕尼黑地方法院就据此裁定，AI生成的标志不享有版权，单是输入提示词，或者从几个AI给出的建议里挑一个，都不算人类贡献。Daniel J. Gervais和他的几位合著者讲得更直白：你把名字放在ChatGPT或Claude写的文章上，等于标注了一个来源，意思是“我为此负责”。这不给你版权，但会让你对内容承担责任。

白桦: 落到企业层面，这条线的影响很实际：纯AI生成的内容很难取得排他性保护，品牌建设和内容策略都得在版权很难覆盖的前提下做。讨论里有个反方向的思路值得留意——翻译能说明问题。jefftk指出，用AI把一本书翻成另一种语言，翻译不像人类翻译那样获得额外版权，但输出仍受原始版权限制，所以水印无法据此判断内容是否属于公共领域。翻译能不能单独算一份版权，在AI介入后就变成悬案了。pizzly也顺着问了一句：既然翻译本可单独享有版权，那用AI把英文书译成法文，翻译作品是否就不受保护了？

茉莉: 美国那边有同样的问題。完全由AI生成的内容在美国也不受保护，但整套制度依赖诚信——人总能说“我把它改得刚好够格”来主张版权，所以这条规则实际上很难改变什么。aurmc则从辩护的角度提了个建议：与其纠缠技术细节，不如主张“是我写了提示，才让LLM写出的这段代码”，这样可能更有说服力。

白桦: 延着版权边界再往前推一步，有个更极端的参照：猴子自拍。在其他国家的先例里，灵长类给自己拍的照片，版权没有授予摄影师。randyrand不同意这个判断，觉得关键不是谁按快门，而是谁把相机放在那里、由谁设置好；行车记录仪那种自动录制，连“按钮”都没有，版权归属就更说不清了。trickypr接着反问：如果是人类拍照，版权是否仍归设备的所有者或设置者？比如摄影课上老师拥有设备、帮着摆好相机，那版权归老师吗？

茉莉: 而且就算硬要给机械拍出来的画面发版权，社会图的是什么？xoa的观点是，行车记录仪或安全摄像头这类纯自动系统，本来就不需要补贴或鼓励去多产出内容，所以给它们拍下的原始镜头授出版权，缺少足够的社会利益支撑。另外有人补充，靠“手工添加一个像素”改不出来版权——法律区分的是雕塑和标准砖块，带作者背景故事的食谱说明与纯指令序列也不一样，后者即使有创造性也不受保护。

茉莉: 从版权争议转到供应链安全，最近有个值得注意的动静：一个叫Arrayref的Rust crate被曝是恶意软件，它会在构建阶段执行含payload的代码。有评论者就感叹，Node.js生态那套攻击手法，现在开始往别的语言系统迁移了。名字“Arrayref”看起来非常普通，任何人都可能随手把这个宏依赖加进项目，风险就藏在这个低门槛里。

白桦: 用一个通过混淆文字来阻止AI抓取的字体，听起来像是在给爬虫设障碍，但文章作者安德鲁·亚罗斯指出它实际上既无效又有害。最大的问题是无障碍：屏幕阅读器等辅助工具解析到的正是被混淆的文本，等于先切断了部分真实读者的路。要做到无障碍，就必须额外提供机器可读的元数据，而这会退回人工验证的老路，还带来隐私和安全隐患——极端情况下，为残障人士建立集中式身份验证名单，是一条危险的道路。

茉莉: 嗯。而且在对抗上它几乎是必输的。只要人类能看见信息，就存在被解析的方式；公开讨论这些字体，本身就在帮AI公司训练多模态模型绕过它们，多数反AI字体已经被破解。每一款新字体和演示，都等于给AI公司提供一次基准测试。动态图形和视频类演示又不适合日常网站使用。

白桦: 评论区里大家也吵出了几个方向。有人把它比作猫鼠游戏，觉得能浪费AI公司的时间就是胜利；但马上有人反驳，说这可能同时妨碍普通用户。还有人指出，想让OCR难以识别的文字，同样会让有视觉障碍的人难以看清，这像是在让最聪明的AI和残障人士比能力。另外也有人觉得这类字体根本不会被广泛采用，更多只是知识产权人士的象征性姿态。而如果真的有一种混淆方法被广泛采用，反而会吸引更高优先级的破解，最终导致整个网站高度混淆、访问成本高昂，甚至催生利于审查和付费墙的复制保护系统。

茉莉: 有个网友在博客 laserphile 上记录了这样一件事：他的蓝牙耳机支持多点连接，同时连着电脑和手机，平时电脑优先播放，电脑静音时手机可以出声。但他在火狐或Chrome里打开 AliExpress 首页后，手机音频就停了，关掉那个标签页立刻恢复。页面上没有可见的视频或音乐，标签页静音、浏览器静音、甚至 Windows 静音都拦不住它，而且问题不是立即出现，是页面空闲几秒之后才发作。

白桦: 嗯。他通过包裹音频接口的相关构造器，发现这个页面悄悄创建了两个隐藏的音频上下文，而且都进入运行状态、连到了系统音频目的地。构造来源指向位于 AWSC 目录下的两个脚本文件，疑似是阿里巴巴的浏览器安全与反滥用工具。这个音频图里有振荡器、分析器和脚本节点，最后接了一个增益设为零的节点再连到目的地——用户应该听不到任何声音，但因为图仍然连着系统音频输出，浏览器就得持续处理它，有声音的标签页静音机制对它完全无效。在这个案例里，这种处理足以让火狐或 Windows 保持蓝牙音频路径活跃，耳机就没法干净地切回手机。

茉莉: 这个脚本还不止在听音频：它还采集canvas渲染、WebGL渲染器、屏幕和视口尺寸、设备内存、已安装插件、浏览器性能计时、交互事件等等，然后序列化加密，用 fetch 或 sendBeacon 发给阿里巴巴的遥测服务——作者把它形容成一个相当全面的浏览器和设备指纹。音频指纹能起作用，是因为浏览器版本、操作系统、音频库和硬件的细微差异，会让同一信号产生略有不同的结果；单独用未必足以唯一识别设备，但和其他数据结合起来就更有用了。作者看不到数据收过去之后怎么用，可能被用作持久设备标识，也可能是欺诈或机器人检测评分的一项输入。

白桦: Hacker News 上的讨论里，作者本人也出现了，说他同样觉得担心，尤其不喜欢的是，Windows 既没有意识到、也无法阻止这种音频流影响硬件。有评论者认为眼下的情况已经令人担忧，怀疑能追踪和捕获更敏感信息的技术还有更多问题，手机、电脑、路由器都可能向不良行为者泄密，而且这种情况已经大规模发生过。那个评论者还反驳说，因为用户用 Windows 就归咎于用户是不合理的，没有人该因为操作系统不同就担心设备安全和数据隐私——隐私和安全不应成为可讨论的差异，多数国家已有相关立法，真正值得讨论的是立法是否公正、是否正确适用、是否先于其他利益服务公众。

白桦: 2022年，Adam Mastroianni 在 Experimental History 上写了一篇《为什么聪明人不更快乐？》，提出了一种思考脑力的新方式。文章先承认主流定义：智力是一般心智能力，涉及推理、计划、抽象思考、理解复杂概念、快速学习和从经验中学习，而且智力测验测得很好。但证据显示智力与幸福的关系很弱——一项元分析说没有关联，另一项说可能只有一点点；英国一项全国代表性研究发现，智力测验得分最低的人比其他人略不快乐，除此之外基本没有差别。

茉莉: 他还自己分析了美国综合社会调查五十年的数据，覆盖三万多人，结果词汇测验得分较高的人只是略不快乐一点点。他认为问题出在根源的解释上：1904年心理学家查尔斯·斯皮尔曼注意到，同一学生在不同科目上的表现相互关联，这个所谓的正向流形后来被反复复制，统计结果确实可靠——但斯皮尔曼把它解释成存在一种贯穿所有认知形式的普遍能力，Mastroianni 认为这个解释是错的。

白桦: Hacker News 的评论区倒是妙语连珠。有人自嘲说，自己因为被愚蠢包围而抑郁；还有人把愚蠢定义为对自己或任何人都没好处，说高智商能在表面和实际带来更高生活质量，但这种体验常被霸凌者和怀有报复心的人拖累。另一位评论者则点出文章隐含的一个假设——更擅长做事就会更快乐——而智力其实只对定义良好的抽象问题子集有用，未必适用于生活中混乱的真实问题，而且享乐跑步机意味着更好的物质条件不一定提升长期幸福。还有人反问：聪明为什么就该快乐？另一位干脆调侃说，也许是因为他们没那么聪明。

茉莉: 浙江大学一项脑成像研究二〇二六年一月发表在《NeuroImage》上。他们让五十六名年轻成年人躺在核磁共振仪里自由看短视频片段，同时测了功能和神经化学信号。结果有意思：当人们看自己喜欢、愿意看到结尾的片段时，大脑里两个区域的活动明显下降——背侧前扣带皮层和背外侧前额叶皮层，这两个正是认知控制网络的核心部位，一个管冲突监测和努力评估，另一个执行自上而下的控制。认知控制说白了就是帮你平衡眼前快感和长远目标，这个系统出问题跟抑郁、焦虑、多动症、成瘾都有关联。还有更细的一点，兴奋性神经化学物质水平高的人，这种活动下降的幅度更小。以前的行为研究已经发现网络成瘾和手机成瘾跟较弱的自我控制有关，神经影像也记录过行为成瘾者脑回路异常，但这项工作是直接检验看娱乐短视频本身会不会压制这些区域。Hacker News 上就为应对办法吵起来了。有人把短视频叫做数字到神经化学的跨越物质，还给了立法方案：把短内容定义为低于某个时长阈值的东西，要求平台设每日使用上限，家长故意让孩子超限就处罚。另一位评论者反驳说这根本不可行，问纯音频、动图、变速播放、聚合网站、多账号这些怎么界定，法律还没准备好。还有人干脆主张全面禁止社交媒体，说公共空间会因此恢复活力。又有人拿这一代短视频比作当年的含铅汽油和油漆。

白桦: 评论区里还有几个不同方向的猜测。有人问这套机制是不是也适用于滑动式约会应用和超短消息的 Twitter 信息流，另一个人回应说这些都是奖励黑客，但各自针对的诉求不一样——TikTok 是视听沉浸，约会应用是浪漫验证，Twitter 是愤怒加信息觅食。还有人翻出一篇二〇一八年的行业报道，说 Dopamine Labs 的员工透露 Instagram 会策略性扣留点赞来刺激用户回访，当作平台利用心理机制的例证。要说明的是，那些监管建议、还有说最新一代因此受损之类的话，都是评论者自己的观点，并不是研究结论。研究本身只是报告了看喜欢片段时那两个脑区活动下降，外推到整个人和社会的影响，目前还没有证据支持。

茉莉: GitHub 的工程师 Vlad Fedorov 发文介绍了八月十七号的这次故障和后续的可靠性改进，状态页上的事后分析说，直接原因是美国中部区域的负载均衡器因为流量突然出现新的峰值而网络饱和。GitHub 的说法是，已经在现有数据中心里尽可能多地加装硬件，前提是电力允许，同时加快向 Azure 的迁移。Hacker News 上争论的重点就是 Azure 这条路子本身。有人讽刺说，GitHub 承诺解决问题，只要不涉及买非 AI 的电脑、不雇人、不用非微软产品就行；还说把 Azure 说成解决方案，可它恰恰是大部分问题的来源，这是绝妙的双重话语。他还质疑，二十八亿次提交的负载完全正常，二十九亿次就引发全站故障，这说明 GitHub 要么没监控，要么工具不行，单纯加容量解决不了问题。另一个人从组织角度说，微软旗下的大型资产不可能不被强制迁到 Azure，就像当年 AWS 推动弃用 Oracle 一样，无论技术上好不好，提异议都可能毁掉职业生涯，不过他也承认没有基础设施是坚不可摧的。

白桦: 嗯，关于 Azure 适配性的反驳还有更具体的事实。有人补充说，LinkedIn 尝试了四年最后放弃迁移，这是二〇二三年十二月 CNBC 报道的。Azure 性能和可靠性差，对 GitHub、LinkedIn 这种主要运行自有机器的机房型公司尤其不合适，需要的架构改动远大于从 AWS 迁过来的公司。转回替代平台这个方向，争论就分成两派了。一派认为大公司可以让一名工程师每年花一两天维护自托管的 GitLab 或 Forgejo，可靠性比 GitHub 好，代码还不会意外进 Copilot 的训练集；业余用户可以用 Codeberg，社区好还能屏蔽垃圾贡献。但反对派说这些系统缺 GitHub 在问题追踪、知识传递、自动化上的成熟度，GitLab 虽然成熟但不太可能改变现状，Codeberg 有政治立场、不会接纳所有人的项目。还有人拿亲身经历说话，说在创业公司维护 GitLab 每年约一两个礼拜，个人 GitLab 每年一两天，GitLab 臃肿、管理略烦但总体尚可，反而他现在管理 GitHub 组织更痛苦。最后比较有意思的一点是有人反问 GitHub 是不是容易被颠覆，评论里说 GitHub 二〇二三年收入十亿美元，现在可能超过二十亿，历来有自托管在内的竞争者但都没真正站稳，谈不上容易被颠覆。

茉莉: Bun 更新到 1.4 版本，官方博客发布了公告。Hacker News 的讨论里，有一位评论者直接对宣传视频提出质疑：视频反复强调可以不装依赖就做很多事，但他反问，那想用无头浏览器测试时，是不是就得装一个提供这个能力的项目？为什么要把所有东西都重新实现进这一个庞大的二进制文件里？Bun 凭什么比那些专门做这些不同技术的项目更懂它们各自的细微差别。这个疑问其实点出了这类全能运行时的一个核心张力——集成度过高，反而可能与它所整合的每一项技术的具体生态都不完全对齐。

茉莉: 有一篇评论文章在讨论，为什么海洋清理项目至今没有解决塑料污染问题。这个项目当时声势很大，承诺要清理海洋里的塑料，但现在回看，问题依然存在。文章标题直接点出，《海洋清理》并没有解决塑料污染危机。

白桦: 有意思的是，Hacker News 上的讨论里，有评论者很直白地说，这个项目没成功，原因正是专家当初预判的那样，而至少他们承认了「我跟你说过吧」。这说明在项目启动时，就有专业意见提示过风险，事情后来的走向基本印证了那些判断。

茉莉: 嗯，另一个评论也说了，项目也许没有解决问题，但至少……后面这句评论被截断了，不过立场很清楚，是在为项目保留一部分价值。整个讨论的张力在于，一边是专家的事后验证，一边是还有人愿意看到项目积极的一面。

茉莉: 我们聊到了AI模型怎么绕过自己的安全护栏，也聊到了Aaron Swartz当年因为抓取被起诉，Meta如今做同样的事却相安无事，这种不对称确实值得回味。

白桦: 嗯，规则和技术的边界，往往取决于谁在掌控它。感谢你的收听，我们下次再会。