GitHub趋势·10月07日：Cloudflare放出安全审计技能

今天GitHub上又有几个新面孔杀进Trending,而且这批项目挺有意思的,感觉扎堆往基础设施方向走.

我先说说我的第一感受,今天这四个项目,一个调试器,一个终端,一个安全审计技能,还有一个 computer-use 框架,乍一看很分散,但细想其实有个共同主题.

你的感觉没错,这批项目的共同点就是一个字,底. 全都在往下走,往基础层走,不是花里胡哨的应用层,是真正的基础设施.

前几天我们聊了输出规范,聊了 skills 框架,那些都还在工具链的上层. 今天这批是更往下的东西,调试,终端,安全底座,OS 级别的 agent 控制.

对,感觉今天的项目画风硬了不少. 那我们一个一个来,先说说 EpicGames 的 raddebugger,这个名字一出来我就愣了一下,Epic Games 怎么跑去做调试器了?

这个其实不奇怪,Epic 内部早就在用这个工具了. raddebugger 是一个原生图形界面的调试器,支持多进程,用户态,用纯 C 写的.

它今天有八十多颗星的日增,总星数已经到七千七百多了. 上榜排名是第七,说明今天是突然被更多人发现了.

等一下,纯 C 写的调试器? 现在还有人这么干? 不是应该用 Rust 吗?

这正是它有意思的地方啊. 纯 C,零依赖,真正跑在 native 层,没有 Electron 没有框架包袱. 你想想 Visual Studio 有多重,VS Code 的调试体验有多卡,这个项目就是在回答这个问题.

它的定位是给游戏开发和高性能 C/C++ 项目用的. 这类项目对调试器要求极高,需要多进程跟踪,需要低延迟响应,现有工具经常撑不住.

所以这是 Epic 自己痒了自己抓,然后顺手开源了?

基本上就是这么回事. Epic 做虚幻引擎,场景动辄几十个进程同时跑,普通调试器完全跟不上. 他们自己做了一个,觉得好用,就开源出来了.

今天突然火起来,我猜是有个大佬在 X 上转了,然后 C/C++ 社区的人炸锅了. 这个圈子平时很安静,但一旦有人端出好东西,扩散速度很快.

总结一下就是,raddebugger 填的是高性能调试场景的空白,VS Code 够用但不够快,这个项目是给真正需要调试性能的那批人准备的.

好,接下来说说 cmux,这个是 manaflow-ai 做的,一个基于 Ghostty 的 macOS 终端,专门为 AI coding agent 设计.

cmux 这个项目挺有趣的,它不是从零造轮子,而是在 Ghostty 基础上做了针对 AI agent 的改造. 加了垂直 tab,加了 agent 通知系统.

垂直 tab 我理解,就是方便同时开一堆 agent 窗口. 但通知系统是什么意思? agent 会发通知给终端?

对,你想想现在用 Claude Code 或者 Cursor 做复杂任务的场景,往往你跑一个任务去喝咖啡了,回来不知道跑完没有. cmux 的通知系统就是解决这个问题的.

agent 完成了某个阶段,或者卡住需要你干预了,终端直接推通知给你. 这对多任务并行来说是刚需,不是锦上添花.

这也太贴心了吧. 我之前用 Claude Code 跑长任务,就是开着窗口傻等,或者每隔几分钟去看一眼,确实烦死了.

所以你说这个项目为什么今天突然上榜? 我觉得是因为越来越多人开始同时跑多个 agent,单窗口已经不够用了. 需求到了,工具自然就浮出来.

它现在总星数已经接近两万七千七百颗了,Forks 也有两千四百多. 这个项目明显不是今天才有的,只是今天才上 Trending.

对,说明它之前一直在小圈子里传,今天被更多人发现了. Swift 写的,macOS 专属,所以用的人有门槛,但目标用户粘性很高.

好,下一个,这个我觉得是今天最值得聊的,cloudflare 的 security-audit-skill.

终于到这个了. 这个项目今天单日新增五百三十八颗星,是今天上榜项目里增速最猛的一个,总星数已经到两万五千六百颗了.

而且是 Cloudflare 官方出的. 不是个人开发者,不是小团队,是 Cloudflare 直接放出来的 coding-agent skill,专门用来做安全审计.

这里有个关键点,它不是一个安全扫描工具,而是一个 skill. 意思是你把它挂到你的 coding agent 上,agent 就能自己跑多阶段的安全审计流程.

而且审计结果是机器可读的,有独立验证机制. 不是 agent 自说自话,是有交叉校验的,这在安全场景里非常重要.

等一下,你说独立验证,这个怎么理解? agent 自己审计自己?

不是,它是多阶段的架构. 大概是这样的,一个阶段做审计,另一个阶段做验证,两个阶段用不同的上下文跑,互相检查结论,减少单点幻觉.

这个思路很聪明. 安全审计最怕的就是漏报,agent 如果只跑一遍很容易自信地漏掉东西. 多阶段交叉验证能大幅降低这个风险.

前几天我们聊过 rea 做逆向工程 agent 的事,那是个人开发者踩进去的. 今天 Cloudflare 这个是大厂直接下场了,安全 agent 这条线开始有正规军了.

这也意味着什么? 这个 skill 放出来之后,普通开发者在自己项目里也能跑 Cloudflare 级别的安全审计了?

理论上是的. 当然实际效果取决于你底下挂的 agent 能力怎么样,但 Cloudflare 把审计流程和知识体系都封进 skill 里了,门槛确实低了很多.

总结来说,这个项目的意义是,大厂开始把自己内部的安全工程实践,以 skill 的形式开放给社区了. 这是个很强的信号.

然后最后一个,trycua 的 cua,副标题叫 computer-use 2.0. 光这个 2.0 就让我来劲了.

cua 这个项目定位是给 computer-use 做规模化基础设施. 开源驱动,支持跨操作系统的 fleet 管理,还有 benchmark 和训练数据生成的能力.

跨操作系统的 fleet 是什么意思? 是同时控制一堆不同系统的机器?

对,你想想 computer-use 最大的问题是什么? 就是一个 agent 只能控一台机器,还很脆. cua 想做的是,让你的 agent 能同时开一堆虚拟机或者物理机,跨 OS 统一调度.

它还内置了 benchmark 体系,这对训练 computer-use 模型的团队来说很有价值. 数据生成这块更是稀缺,computer-use 训练数据一直是瓶颈.

所以这个项目不是给普通开发者用的,它更像是给做 computer-use 研究,或者在企业里大规模部署 agent 的团队准备的?

基本上是这样. 它今天新增一百三十六颗星,总星数两万零一百多. 受众就是这个圈子,垂直但精准.

好,我们把今天四个项目串一下. 我说说我的感受,今天这批项目和昨天那批比,明显更硬,更底层.

你说到点子上了. 之前这几天我们聊的是 skills,模板,输出规范,那些是应用层的东西. 今天这四个,调试器,终端,安全审计底座,OS 级 agent 控制,全都是基础设施层.

而且今天最让我觉得有意思的是,Cloudflare 这种大厂亲自下场开源 skill. 之前都是个人开发者或者小团队在搞这些,大厂是第一次这么正式地参与进来.

这说明 agent skill 这套范式已经过了验证期了. 大厂愿意用这种形式输出自己的工程积累,说明这个模式被认可了,不是玩具了.

好,那今天的必看推荐是什么? 李博你来说.

今天必看两个. 第一个是 cloudflare/security-audit-skill,不管你做不做安全,这个项目的架构思路,多阶段交叉验证,值得所有做 agent 的人看一遍.

第二个是 EpicGames/raddebugger. 如果你平时写 C/C++ 或者做游戏开发,这个工具你几乎没有理由不试一下.

我再加一个,cmux. 如果你现在已经在用多个 AI coding agent 并行工作了,这个终端能帮你省不少脑子. 好了今天就到这儿,李博下次见.

小雨下次见.