一次"领养"孤儿包的操作，差点掀翻整个 Arch 生态
一、900 个 AUR 包同时沦陷
6 月 12 日下午，Arch Linux 社区炸了。
AUR-general 邮件列表上有人发了封紧急报告，用 git log 翻了过去 10 小时的提交记录，发现将近 879 个 AUR 包被人注入了恶意代码。infostealer 和 rootkit，双管齐下。
攻击手法说白了挺简单，但执行得相当精准。这个人伪装成可信维护者的身份，在 AUR 上"领养"了大量无人维护的孤儿包（orphaned packages）。AUR 允许任何用户提交 PKGBUILD，"领养"功能本来是让社区成员接手停滞的包，结果被他拿去当跳板了。他不是从零开始搞破坏，是直接继承了别人积累的信任。
被感染的包名单长得吓人：mkdocs-bootswatch、keepassx2、codeclimate、cardano-node、python2-cffi、homeassistant-osagent……什么领域的都有，属于地毯式投毒。
邮件列表回复的时候，数量已经从最初的 400 多涨到接近 900 了。维护者们在紧急清理，但真正的问题是：那些已经装了这些包的用户怎么办？
AUR 的老毛病这次被放大了。它的便利性和开放性全靠社区信任撑着，一旦信任被钻空子，没有自动化沙箱能兜底，也没有签名验证流程——AUR 不是官方仓库，不走 pacman 那套签名验证。每个用户装一个包，本质上就是在赌 PKGBUILD 作者的代码没问题。哪怕这个作者只是三个月前"领养"了这个包，你也得赌。
AUR 有已知风险这事大家都知道，但之前没人在意过。900 个包，infostealer 加 rootkit，可不是谁闲得无聊改了个 echo 命令。这是一次有组织的供应链攻击，目标很明确：偷开发者的凭据和密钥、环境变量。
如果你正在用 Arch，现在就该跑一遍 git log --all --since="24 hours ago" -p -S js-digest --decorate=full | grep -Po '(?<=origin/).*(?=\))'，检查自己的 AUR 安装有没有中招。
二、AI 自己搞研究，GPU 内核优化提了 7.8%
同一天，另一条消息在技术圈炸开了。
AI 研究公司 Recursive 结束隐身状态，发布了他们的自动化 AI 研究系统的第一批成果。三个基准测试，全部刷新了 SOTA：
- • NanoChat 5 分钟预训练：BPB 从 0.9372 降到 0.9109，比社区长期保持的纪录低 2.8%
- • NanoGPT SpeedRun：训练时间从 79.7 秒压到 77.5 秒
- • GPU 内核优化（NVIDIA SOL-ExecBench）：整体性能比现有 SOTA 高 7.8%
对搞 Linux 内核的人来说，第三个结果最值得留意。GPU 内核优化直接影响 CUDA kernel 的执行效率，而这些优化是系统自己跑出来的，不是工程师一行行调出来的。
Recursive 干的事说起来简单，做起来极难：把研究过程本身变成了一个可以自动化运转的循环。提假设、写代码、跑实验、看结果、用学到的东西选下一个实验。你可能会说这不就是科学方法吗？没错，但关键是这个循环能同时跑好几条线程，跑好几天，并且每次都记得之前实验的结果。
NanoChat 基准上，系统从一个朴素的 Transformer + AdamW 开始，自己摸索出了一堆改进：bigram/trigram 哈希嵌入表（思路类似 DeepSeek Engram）、通过学习门控混合到注意力路径中的值嵌入、动态权重衰减调度、编译器设置优化……每一项都不算突破，但几十个改动叠在一起，效果就很可观了。
Recursive 选择了把系统产出的 artifacts 开源。任何人都能拿到这些优化后的代码，自己验证系统到底干了什么。在 AI 研究社区普遍"发论文不开源"的大环境下，这个选择挺实在的。
对 Linux 内核来说，更有意思的问题是：这类自动化研究系统能不能用来优化调度器、文件系统、网络栈？GPU kernel 优化已经证明了这条路走得通，下一步就是把这些方法用到更通用的内核子系统上。长远来看，这比任何单个补丁的影响都大。
三、口袋里的 Linux 和内核找虫指南
硬件方面，piBrick PocketCM5 是本周最让人眼馋的开源设备。印尼开发者 Ahmad Amarullah（amarullz）搞了一款手机大小的 Linux 手持设备，基于 Raspberry Pi CM5，带 BlackBerry 风格的物理 QWERTY 键盘和 3.92 英寸 AMOLED 触摸屏。套件 240 美元，但 CM5 模块得自己另买。
别看它小，东西挺全。M.2 NVMe 插槽、USB 3.0、HDMI 输出、前置摄像头接口、内置加速计……配置读起来跟一台迷你工作站差不多。键盘部分用 RP2040 做辅助 MCU，模拟标准 USB HID，不需要定制驱动，插上就能用。
内核调试方面，安全研究员 Slava Moskvin 发了一组三篇系列文章，讲怎么用 KASAN 和 Syzkaller 在 Linux 内核里找 bug。他的经历也挺传奇——经历了一次脑外科手术后回家休养，开始钻内核安全，结果真让他发现了一个内存越界读漏洞。文章从 KASAN 的使用讲起，到 Syzkaller 驱动漏洞触发，再到实际的内核 fuzzing，挺硬核的。
Phoronix 还盘点了 Linux 7.1 的亮点：Intel FRED（Flexible Return and Event Delivery）架构支持、改进的 NTFS 驱动（现在能处理 Windows 原生符号链接了）、多项性能优化。NTFS 驱动一直在改进，对 WSL 和双启动用户来说是实打实的好消息。
一句话
供应链攻击的门槛低到离谱，AI 自动研究的上限高到吓人，开源硬件社区依然在造着没人开口要、但谁看了都想买的小玩具。
参考来源
- • Arch Linux AUR 供应链攻击事件通报（AUR-general 邮件列表）
https://lists.archlinux.org/archives/list/aur-general@lists.archlinux.org/message/5FDTMKA54RMWNRHJFUAKXEBAFV5WPDUL/ - • Recursive 自动化 AI 研究系统首批成果发布
https://www.recursive.com/articles/first-steps-toward-automated-ai-research - • piBrick PocketCM5 开源手持 Linux 电脑
https://www.cnx-software.com/2026/06/11/pibrick-pocketcm5-an-open-source-handheld-linux-computer-kit-for-raspberry-pi-cm5/ - • Linux 内核漏洞猎杀三部曲：KASAN、Syzkaller 与 Fuzzing
https://slavamoskvin.com/hunting-bugs-in-linux-kernel-with-kasan-how-to-use-it-whats-the-benefit/ - • Linux 7.1 最佳特性盘点
https://www.phoronix.com/news/Linux-7.1-Best-Features - • LACT：开源 AMD/Nvidia/Intel GPU 控制工具
https://github.com/ilya-zlobintsev/LACT
10个月宝宝每天需要喝多少奶粉？
