假如把我的 AI Coding 经验沉淀成一些最佳实践规则,可以给到大伙复用,会是怎么样的,于是乎,今天一下午我就在琢磨这个事情,手写反复调整后给到大伙,可以让你和你的 Agent 一起去学习。
需求
1. 从技术实现细节编程转变成许愿式编程,现在模型能力已经住足够强大,你只需要大胆把自己想法说出来,给它提足够高的要求和任务,不要担心 AI 实现不了。
2. 多给你的 Agent 讲做这件事情的背景和目标,少替他考虑技术细节,告诉它为什么要做,是给谁用的,做成什么样子你认为是最好的,具体的技术细节让它自己去判断,学会放手。
3. 优先用业界最好的模型,用差模型浪费的时候,一来回让你很不高兴的干活,二来也浪费了很多时间。
4. 要不要做一个新功能以及加一个新配置、开关的时候,让 Agent 来先问你找你确定,没有人用的功能、开关、文案都不要让他去加,慢慢把这一套你的产品规范让他沉淀起来。
5. 你的想法可以很大,但是让 Agent 干活的时候,尽量让他每次拆分成最小的可用功能版本,不要一次写非常多的代码,即使提交,这样出问题了你可以随时撤回。
规则
6. 让你的 Agent 了解你的说话风格,比如说看看、分析一下这个问题的时候,它只需要去读代码分析问题不要去改代码,你说修复、修改的时候才去动手,每次提交、发布和删除的时候都找你确定。
7. Agent md、CLAUDE md 里面除去重点的项目型要求外,只写代码里面看不出来的那种规则,以及之前被否决过的方案也可以分流进去。对你而言密钥和 token 不要贴给 Agent,贴了就当已经泄露了,立马去更换一个。
8. 对于Agent必须遵守的规则不要完全信 prompt,可能会拦不住,一定要用规则脚本去限制,让它真实跑一遍通过后才算完成了。
编码
9. 开始写代码之前,先让 Agent 讲清楚要改什么地方,会影响到什么功能和效果,这样是为了补充你的上下文,方便后面更好判断决策做什么。
10. 一定要让 Agent 基于项目补充一个能够让自己验证各种结果的脚本,每次特定的时候需要去跑一下验证效果,完成功能后需要检查,让他输出结果给你看,并基于此逐步沉淀你的项目 Agent 测试功能集。
11. 假如有多个 Agent 同时干活的时候,让他们各自用一份独立的 worktree 代码目录,同时提交的时候只提交自己改的代码,不要碰他人的代码,等到各自改完合到一起,再完整跑一遍测试。
排查
12. 修 Bug 的时候先找到原因再去动手,假如两次都没有修好,就去加一些日志看真实的数据以及运行效果,不要盲目去猜问题在哪儿。
13. 假如尝试修复了3次还不对,直接清空上下文重新写清楚你的问题、诉求,以及尝试过的解法让 Agent 重新开始。
审查
14. 让写代码的 Agent 和 Review 审查代码的 Agent 分开,保持解耦,这样一方不会被另一方带偏。
15. Review 代码的时候最多让 Agent 跑 3轮,防止跑着停不下来,第二轮开始只看新改动的地方,不要再把之前 Review 的再看一遍。
16. 对于你和 Agent 判断危险的改动,越危险让他查得越深,特别对于删除、付费、发布这种单向门改动你都需要自己去看一遍,点一下,看实际效果。
发布
17. 每次提交的时候,让Agent 写清楚做了什么,怎么去验证这个改动,除了问题怎么来回滚,用于给到后面开发过程中 git 记录本身就是 Agent 的一个非常好的上下文。
18. 需要对外的功能,可以先给自己用,或者给一批愿意尝鲜的用户使用,不要一上来就全量,可以在你的软件里面假如 beta 更新的开关,防止全量有问题,也是对用户负责。
18. 先给自己和愿意尝鲜的人用,没问题再发给所有人。
复盘
19. Agent 需要对每一个线上 Bug 和用户反馈的问题都留一个测试案例,每次上线前都来跑一遍,防止继续踩坑,包括你换模型的时候也可以把这些旧问题全部都跑一遍,看看模型是否还行。
20. 修复问题的时候,让 Agent 学会举一反三,把同类的问题一起修复掉。优化功能的功能,完善视觉的时候也是一样,防止只改一个地方,忘记了其他的地方。
Jingchao retweeted
作为 政和量化团队,我们将向 10位幸运粉丝赠送 10台 iPhone Duo 设备!🎁(手机已备好)
无规则或条件。只需点赞此帖,转载此帖,并在下方评论“已关注”。
获奖者将于明天凌晨 12:00 公布。祝好运!☘️❤️
最近并发运行的 Agent 多了起来,我个人购买的海外代理流量也因此用完了。之前,我的套餐从每月 30 GB 升级到了 55 GB。(公司里我会使用公司的代理,不用个人代理)但我实在不想再升级到每月 100 GB 的套餐。考虑之后,我决定自己搭建一套。
我让 Codex 在 AWS 日本区域搭建了服务,最后完成了部署。起初我以为费用会高一些:每月大约 5-7 美元,还要额外支付流量费。
没想到用了几周后发现,套餐赠送的每月 1 TB 上下行流量已经完全够用,这让我挺意外。照这个用量算,服务商的利润空间大约有十倍。
如果你还在使用外部代理套餐,我建议尽早让 AI 帮你搭建一套自己的方案,省钱又够用。
Jingchao retweeted
非常推荐!
这个地球上,唯三的最好的,关于构建推理模型的课程。
Building Reasoning Models from the Ground Up
The complete reasoning-from-scratch video series is now up (and linked) here: magazine.sebastianraschka.co…
(Taking a short break but will be back with LLM model and research updates in November!)
又到薅阿里云 99 元服务器的时间点了。
aliyun.com/activity/ecs/99pr…
确实很巧妙,像是回到以前 no ssl 的 hack 时代。
如果你看了这个说明
还没懂他究竟是怎么用那个私钥是4的证书 root 了他的智能音响的,我来简单给你讲一下怎么个事
这个音箱有个和手机类似的云控策略,这个云控策略是是 yandex 相关域名发出的,音箱会请求域名下的某个接口获取策略
因为 ca 泄露,所以你可以在被你控制的网络下实行 dns 劫持,之后用 ca 对云控相关域名做中间人攻击,下发一个开启 adb 的配置
然后好玩的来了,这 adb 开了之后,进去就是 root
我找到了相关的博客,在这里
iamtsunde.re/blog/yamini2adv…
Jingchao retweeted
The PHP security team is giving advance notice: Upcoming security release Wed, Oct 21st 2026, 14:00UTC, two critical vulnerabilities, both rated CVSSv4 9.2.
PHP users are encouraged to prepare to update. Earlier release if details become public or active exploit evidence.
目前泄漏信息看,不是管控面(更可怕),而是 PingCAP 内部的经营管理系统。
静观后续。
pingcap数据泄露还是被暴露出来了(破折号 后是我的点评):
在 57 个月的统计周期内,PingCAP 的 AWS 总支出高达 $107,195,238.42 美元(约 1.07 亿美元)——就是pingcap购买AWS云服务器等然后部署tidb后卖给第三方客户使用
仅 us-east-1 区域的跨可用区传输费用(cross-AZ transfer)一项就高达 $16,509,714.87 美元。——天杀的AWS 流量费用,不只是跨AZ、跨可用区也是收费的,而且很贵
EDP 折扣(企业折扣计划):减免了 $10,362,705.51 美元——看起来pingcap 谈了一个很给力的折扣
涉及到的主要大客户,如图
总结:
这令人悲哀地成为了常态:他们会花数百万美元购买花哨的 EDR(终端检测与响应),却任由半千个 S3 存储桶大摇大摆地流失。但这家公司是一家云服务提供商。连对他们各个云服务(AWS、GCP、Atlassian / Jira、Azure)遭受的大规模、毫不掩饰的入侵和数据外泄都似乎毫无察觉,这简直是可怕且极度不负责任的
How far are we from 24/7 automated code writing going live? How far from 2,000 PRs? How do we step into stage 8? Sharing my thoughts and practices.
🧠 Attention / ✈️ preflight / 🧑✈️ logbook / 💉 Mutation testing / 🤔 Humans and AI: arti and fact
一句话,让 Codex 和 Claude Code 都用上 Matt Pocock 的 Skills。⚡
换台电脑、开个新环境,Agent 装好了,Skills 还得重新配。好不容易攒了一套,换个工具又要确认目录、重新安装。初始化环境的时候,这些零碎事还挺打断节奏的。😅
📦 这部分可以交给 skm 管。把 Skills 收进自己的本地库,再安装到需要的 Agent,后面导入新 Skills、查看安装状态、批量更新,也都有统一的入口。新环境拿 Matt 这套起步,一条命令就能把工具和 Skills 一起装上。
👇 下面命令会安装 skm,并先初始化本地库,再把 Matt 的 Skills 链接到 Codex 和 Claude Code:
curl -fsSL raw.githubusercontent.com/al… | sh
# (重新打开一个新 shell)
skm init ./skm && skm deploy --repo github.com/mattpocock/skills… --root ./skm --target codex,claude
🔌 适配也不只这两个:skm 还支持 pi、dsh 等安装目标;Skills 可以从 GitHub、GitLab、Skills.sh 或本地目录导入。工具用的是自定义目录,也可以通过 skm target add 接进来。
Agent 可以换,自己积累的 Skills 接着用。经常折腾新环境的朋友,可以试试 👉 github.com/alswl/skm
今天看到 Zebur 关停的消息,想起来我在上面还有服务在跑,赶紧研究一下对我有什么影响。
Zeabur 宣布将于 2026 年底停止运营。短短两个月,两次严重安全事故,最终击垮了一家开发者熟悉的云部署平台。
整个过程很值得做基础设施的工程师警醒。
第一次:8 月 27 日,一款用户部署的 NextChat 应用成为突破口。黑客利用 CVE-2026-7644 漏洞进入容器,随后发现共享集群内部网络隔离不足,一路横向移动:
用户应用 → K8s 共享集群 → 内部管理服务 → AWS Root Key → 生产数据库。
最终,大量用户环境变量和 API Key 泄露,部分 OpenAI、Anthropic 用户遭遇密钥盗刷。
最离谱的是,一个普通用户部署的应用漏洞,最终竟然能拿到整个云平台的 Root 权限。
第二次:10 月 15 日,防线再次失守。
距离第一次事故不到两个月,旧共享集群再次出现未授权访问,攻击甚至波及 GCP 专用服务器和平台数据库。
虽然第二次攻击的完整技术路径尚未公布,但此前的整改显然没能彻底消除风险。
最终:10 月 17 日,Zeabur 宣布逐步关停,12 月 31 日全面停止服务。
这件事让我想到三个问题:
多租户隔离是 PaaS 的生命线。 必须假设每个租户的容器随时可能被攻破。
凭证管理不能靠信任。 Root Key、长期静态凭证、过大的内部服务权限,任何一个都可能成为灾难的放大器。
安全债不会因为系统被标记为 Legacy 就自动消失。 旧集群只要还在线,就仍然是攻击面。
做 PaaS 的人都知道,真正难的不是把应用部署起来,而是让成千上万个互不可信的应用安全地运行在同一个平台上。
PaaS 卖的是替用户管理复杂性的能力,也承担了集中化的安全责任。
一次应用漏洞不该演变成平台级灾难。而两次事故,也足以让一家创业公司多年积累的信任归零。
#Zeabur #PaaS #Kubernetes #网络安全




















