程序员新声

如果你的 GitHub 私有仓库里突然多出一个陌生的 Action，你会多久发现？ 过去半年，光毅的 GitHub 账号先后出现四次异常：私人仓库被加入伪装成安全扫描的恶意 GitHub Action，账号里凭空多出陌生仓库，多个项目的 package.json 被植入恶意 postinstall 脚本，最后连 GitHub 账号和一个云端项目也因为凭证泄露相继被停用。 最让人不安的不是损失，而是找不到攻击入口。电脑扫描没有异常，代码提交里看不到可疑痕迹，轮换 Token 后问题仍然发生。那些过去能够被感知的病毒和木马，正在变成一次性的、自动化的窃密行动：拿到 Token、API key 或 SSH key，完成任务后迅速消失。 这期节目，我们从这四次真实经历聊起，试着拆开 AI 时代的供应链攻击：一个被污染的依赖包如何借 postinstall 脚本完成窃密，小众工具如何借搜索与 AI 推荐进入项目，社会工程学又如何用一场高度仿真的在线会议骗过高权限开发者。AI 不只在帮程序员写代码，也在让攻击脚本更自然、更有针对性、更难被察觉。 但这并不是一期制造恐慌的节目。我们也认真梳理了普通开发者今天就能做的事：为账号启用 2FA、Passkey 或物理安全密钥；给 SSH key 设置 passphrase；按需申请权限并设置过期时间；不在私有仓库中明文保存 Secret；为依赖升级设置观察期；给云服务账单加上限；把高风险操作放进隔离环境。 安全工具可以替你扫描，却不能替你判断。真正的第一道防线，仍然是开发者自己的安全意识。 ⏱️ 时间轴 * 00:10 半年四次 GitHub 账号异常：从恶意 Action 到云端项目被停用 * 05:10 什么是供应链攻击？为什么攻击入口如此难以追踪 * 07:51 AI 让窃密攻击变得自动化、短暂而隐蔽 * 12:10 npm 依赖的风险：一次更新如何踩中恶意版本窗口 * 16:51 与其执着寻找入口，不如先止损并重建安全边界 * 17:59 高仿工作区、在线会议与安装包：社会工程学如何攻破开发者 * 20:17 AI 编程工具会保护你的 Token 和 API key 吗？ * 23:20 “私有仓库”不等于“可以提交 Secret” * 25:03 当 AI 开始参与生成更像正常代码的恶意提交 * 27:37 安全工具给出评分之后，最终由谁做判断？ * 30:03 三位主播各自经历过哪些账号安全事件 * 32:44 开发者安全清单：2FA、Passkey、最小权限与账单上限 📚 光毅的文章 * 在GitHub账号在被盗四次之后，这是我的补救和反思 🔐 本期提到的安全清单 * 为重要账号启用 2FA、Passkey 或物理安全密钥 * 为 SSH key 设置 passphrase，并定期检查已授权的 Key、应用与会话 * Token 和 API key 遵循最小权限原则，并设置合理的过期时间 * 不要因为仓库是私有的，就把 Secret 明文提交进源码 * 锁定依赖版本；可在 .npmrc 中用 min-release-age 为新版本设置观察期 * 谨慎执行来源不明的一键安装命令，尤其是要求输入系统密码的脚本 * 为云服务设置用量和账单上限，发现异常后立即轮换凭证并联系平台 * 在沙箱或隔离环境中运行权限高、行为不确定的 AI Agent 提醒：min-release-age 也可能暂时拦住刚发布的安全修复，使用时仍需结合安全公告和依赖审计做判断。 🎙️ 本期主播 李光毅，张凯峰，陈锋 👤 主播简介 * 李光毅，咨询师、全栈开发工程师，个人主页：技术圆桌。拥有丰富的软件开发经验，专注于技术创新和系统架构设计，同时活跃于技术社区，分享技术见解和实践经验。 * 张凯峰，技术圈策展人，公众号「张凯峰Impact」作者。专注于技术品牌建设和个人影响力研究，曾在多家知名科技公司领导技术影响力团队，帮助技术专家建立个人品牌和行业影响力。 * 陈锋，资深技术专家。近期专注于 Data 和 AI 相关的技术方案与海外项目交付，对构建企业级 AI Agent 有着丰富的实战经验与深刻思考。 「程序员新声」节目由「声湃 WavPub」提供内容托管和数据服务支持。

Harness Engineering、AI Psychosis……最近 AI 圈的新词越来越多，让人目不暇接。但剥开这些时髦术语，我们发现它们指向了同一个核心问题：人和 AI 之间的关系，正在发生某种微妙的反转。 这期节目从 Harness Engineering 聊起——这个最近在技术社区频繁出现的概念，本质上是对 AI 行为的一种”约束工程”。从最初的 Prompt Engineering，到后来的 Context Engineering，再到如今的 Harness Engineering，每一次演进的背后，都是 AI 能力的跃升和人类控制需求的升级。光毅用 DevOps 做类比，陈锋把它拆解为一个”约束不断收紧”的过程，凯峰则从敏捷方法论的视角找到了某种历史的对应物。三个人都同意：这不完全是旧瓶装新酒，但也绝非凭空冒出来的新东西。 聊着聊着，话题自然滑向了另一面——AI Psychosis。当 AI 让你一天做完过去一周的工作，当你觉得自己无所不能，当你每分钟都害怕错过什么新工具新模型……这些”症状”，你中了几条？能力幻觉、Build 上瘾、FOMO 焦虑、认知脑雾——我们坦诚地聊了各自的真实感受。有人深有体会，有人冷静旁观，但没有人能完全置身事外。 所以这期节目的底色，其实是一个我们都在面对的问题：AI 越来越强，你还能做什么？ ⏱️ 时间轴 * 00:59 Harness Engineering 是什么？一个”什么都能往里装”的新框架 * 05:35 AI 能力进化与人的角色退位：从写代码到驾驭代码 * 09:03 AI 落地的真实挑战：敏捷方法论的一面镜子 * 14:44 实战分享：我们各自做了哪些 Harness 相关的尝试 * 18:30 Harness 的核心不是做了什么，而是 Tuning * 22:31 AI Psychosis：能力幻觉、成瘾循环与认知脑雾 * 28:41 你真的变强了吗？一场关于”能力归属”的诚实对话 * 34:05 FOMO、炒作与红海：如何在 AI 时代保持清醒 * 37:40 当你在驾驭 AI 的时候，AI 也在驾驭你 🎙️ 本期主播 李光毅，张凯峰，陈锋 👤 主播简介 * 李光毅，咨询师，全栈开发工程师，个人主页：技术圆桌。拥有丰富的软件开发经验，专注于技术创新和系统架构设计，同时活跃于技术社区，分享技术见解和实践经验。 * 张凯峰，技术圈策展人，公众号”张凯峰Impact”作者。专注于技术品牌建设和个人影响力研究，曾在多家知名科技公司领导技术影响力团队，帮助技术专家建立个人品牌和行业影响力。 * 陈锋，资深技术专家。近期专注于 Data 和 AI 相关的技术方案与海外项目交付，对构建企业级 AI Agent 有着丰富的实战经验与深刻思考。 「程序员新声」节目由「声湃 WavPub」提供内容托管和数据服务支持。

说实话，在 2026 年录一期关于面试的播客，我是有些犹豫的。AI 正在改变一切，行业格局也在不断洗牌，聊面试这件事似乎有点”过时”。但转念一想，不管技术怎么变，人和人之间的判断与选择从未消失——面试这件事，反而因为 AI 的介入变得更加微妙了。 最近光毅和陈锋因为各种原因密集参与了不少面试，站在面试官这一侧之后，他最大的感受是：面试远比想象的主观。过去作为求职者，总以为面试像考试——答对了就过，答错了就挂。但当他真正坐在另一边，才发现决定一个人去留的，往往不是他回答了什么，而是你跟他聊了一个小时之后的那种说不清道不明的感觉。 所以这期节目，我们三个”面试官”坐下来聊了聊各自的真实体验：从简历筛选到现场编程，从讲故事的技巧到年龄偏见，从面试的表演性到它的双向性。如果你正在准备面试，或者你也在面别人，希望这些坦诚的分享能给你一些不一样的视角。 ⏱️ 时间轴 * 00:13 面试是客观的吗？一个面试官的困惑 * 08:30 简历、推荐与求职策略：怎样的准备才有效 * 16:04 AI 时代的面试变化与不同公司的选人标准 * 22:28 面试的双向性：你也在面试这家公司 * 30:43 面试是流程加偶然性——给求职者的一点鼓励 🎙️ 本期主播 李光毅，张凯峰，陈锋 👤 主播简介 * 李光毅，咨询师，全栈开发工程师，个人主页：技术圆桌。拥有丰富的软件开发经验，专注于技术创新和系统架构设计，同时活跃于技术社区，分享技术见解和实践经验。 * 张凯峰，技术圈策展人，公众号”张凯峰Impact”作者。不写代码，但让写代码的人坐下来好好聊一次。《程序员新声》播客主理人。做的事情只有一件：在人、想法和场景之间，建立本来不存在的通路。 * 陈锋，资深技术专家，来自 Thoughtworks。近期专注于 Data 和 AI 相关的技术方案与海外项目交付，对构建企业级 AI Agent 有着丰富的实战经验与深刻思考。 「程序员新声」节目由「声湃 WavPub」提供内容托管和数据服务支持。

Claude Code 这个让 AI 帮你写代码的工具正在掀起一场关于成本、效率和职业未来的激烈讨论。我们三位主播——张凯峰、李光毅、陈锋——坐下来聊了聊各自的使用体验。有趣的是，大家的共识出奇一致：Claude Code 改变的，远不止写代码的速度。 Claude Code 的真正价值不在于提效，而在于改变了程序员的思维方式。过去，程序员从头到尾自己设计和实现；现在，他们思考的是如何驾驭 AI 工具来完成任务。AI 不再是简单的代码生成器，而是一个需要上下文沟通、能进行方案讨论、甚至会坚持观点的”协作伙伴”。陈锋分享了他的工作模式：与 Claude Code 交互讨论，让它生成计划并 review，然后独立完成功能，他负责验证和调整——这种新的交互模式，正在重塑开发流程。 但我们也发现了一个核心矛盾：效率与成长的两难。AI 让你写代码更快，但可能让你思考更”浅”。”AI 能提高代码生成效率，但并不总能提升工作质量，特别是在代码审查和系统性学习方面。”更令人担忧的是，初级程序员可能陷入”成长陷阱”——依赖 AI 完成任务，但失去了深度学习的机会。陈锋提到的”unknown风险”更是警钟：程序员可能在不充分理解技术细节的情况下完成工作，埋下技术债的种子。 一个更尖锐的问题：当 AI 能直接完成初级程序员的工作，传统的从 junior 到 senior 的职业路径，还存在吗？ 所以，程序员们，当 Claude Code 让你效率翻倍的时候，你是否也在思考，自己的成长是否在”退化”？ 时间轴 * 02:43 AI写代码成本与策略调整 * 10:10 AI辅助编程与个人技能提升的辩证思考 * 21:46 Claude Code改变程序员思维：从效率到辅助视角的转变 * 39:48 AI发展与人类角色的未来展望 * 48:35 AI模型在方案讨论中的创新与合作表现 本期主播 * 张凯峰:技术品牌和影响力专家,公众号「张凯峰Impact」作者 * 李光毅:咨询师、全栈开发工程师,个人主页 技术圆桌 * 陈锋:企业级 AI 应用专家 「程序员新声」节目由「声湃 WavPub」提供内容托管和数据服务支持。