肉代理的验证税：当 AI 的产出比你的时间更便宜
About This Episode
本期从别当肉代理这个刺耳的说法聊起，一路聊到 LLM 生成的垃圾 CVE、开放权重之争、本地小模型的生产力幻觉，以及 Bun 那场 11 天 AI 重写的营销翻车。中间我们还跑题聊了电梯，为什么给你更多信息，等待时间反而更长。最后落到两件小事上：一根出厂就替别人跑代理的电视棒，和一份要求你交出数字身份的公民倡议。
Chapters
Links
小雅: 老冯，你那边什么动静？风扇声快把我耳机震穿了，你这是在自己家开了个机房吗？
老冯: 别急别急，26B 的本地模型在跑，刚掉到 50 tok / s 了。我这台老笔记本现在的声音，跟要起飞似的，我都不敢碰它，怕一碰就熄火。
小雅: 行吧，那我这边也不体面。我刚从一个评审会里逃出来，一屋子全是 AI 生成的 PR，一个比一个写得漂亮，一个比一个没法合。我现在手里这杯冰美式是第三杯了，水珠全滴键盘上了。
老冯: 这不就撞上了嘛。这周咱要聊的核心就一句话：当 AI 的产出比你的时间还便宜，你就得替它擦屁股。擦屁股这件事，是要交税的。
小雅: 对，验证税。我给它起了个名，叫「肉代理」——AI 当代理，我们当肉。它一秒生成两百行，我花两小时确认这两百行里有没有一行是幻觉。
老冯: 而且这税还挺隐蔽。你以为你省了写代码的时间，其实你只是把写代码换成了读代码、怀疑代码、给代码写测试、最后发现还不如自己重写。七月末八月初这一周，HN 上为这事儿吵得可热闹了。
小雅: 所以这期我们打算聊几件事：一是那些批量提交 PR 的 agent，到底是在帮忙还是在制造垃圾；二是代码评审这件事，会不会被彻底改造成「人肉验收流水线」；三是我特别想聊的，本地小模型到底能不能扛住日常活儿。
老冯: 还有个大厂公关的话题，我憋着坏呢。反正这期不会太客气，你要是听不得吐槽，现在关掉还来得及。
小雅: 行了行了，别卖关子了。风扇继续吹，我们开聊。
小雅: 我刚从评审会里逃出来，一屋子人往文档里贴 Claude 的输出当评审意见，我嗓子都干了。先说这周那篇博客吧，标题叫「别当肉代理」。
老冯: 我这边风扇快起飞了，26B 的模型在跑，掉到 50 tok / s 了…… 肉代理，这词儿起得真损。
小雅: 作者叫 Niklas Gruhn，八月三号发的。他的抱怨特别具体：在 Slack 里问个问题，或者在 PR 下面留个反馈，回来的是一大坨「Claude 说：」加原文粘贴。
老冯: 然后他就得读。读 AI 的输出是额外劳动，又臭又长，还经常一本正经地胡说八道，术语密度越来越高。
小雅: 他举了个例子，我念给你听 ——「NATS 控制面事件：pod 频繁重建期间，流领导者选举、R3 法定人数重组」。他说他几乎每个词都得查。
老冯: 这句子我读三遍也没懂它想说啥。典型的把模型的不确定性包装成术语，看着专业，其实是雾。
小雅: 他的主张其实不反 AI。他说你尽管去 prompt，但别只做转发。读、理解、验证，然后用自己的话写出来 —— 这个「用自己的话」就是你已经做完前面几步的凭证。
老冯: 这个凭证的说法挺狠。它把转述定义成一种偷懒的伪装，看起来像在沟通，其实把理解成本全推给对方了。
小雅: 但我觉得他有点把锅甩给工具了。评论区有人说得挺对：问题不在 LLM，在组织文化。流程配好了，LLM 明明能提升信息可及性。
老冯: 来了，经典的文化背锅论。可你想想他写代码评审那段：把工单描述粘进 Claude Code，代码不看，评审意见也粘回去，迭代几轮，能过。
小雅: 能过。但谁做的实现？评审的人做的，用 Claude Code 做的，而你是中间那个肉代理。
老冯: 这就是我说的验证税。产出便宜了，验证没便宜。省下来的写代码时间，全变成别人读你 AI 输出的时间，而且是净转移，不是净减少。
小雅: 可你得承认，信息可及性是真提升了。以前新人想搞懂一个模块，得逮着老员工问半小时，现在他能自己问出个七七八八。
老冯: 七七八八，剩下那三成谁补？评论区有句话我特别喜欢 —— 现在这些活集中在高度尽责的个体身上。就是团队里那几个靠谱的人，成了全组的验证瓶颈。
小雅: 这个我认。我今天那评审会就这样，八个人贴 AI 意见，最后只有两个人真的去核对了。这不扯吗。
老冯: 所以作者说这是两极之间最差的中间地带。要么你自己搞懂代码，要么你把完整上下文给我，我直接跟聊天机器人聊。别搞半成品转述。
小雅: 行，那第二件事更刺激。JFrog 那篇，SQLite 的「严重 CVE 还是 LLM 垃圾」。
老冯: 这个我爱看。一个新注册的 GitHub 仓库，一口气发了一堆 SQLite 漏洞公告，五十多个 CVE，NVD 直接标 critical，CISA 的 ADP 也跟着认了。
小雅: 结果 JFrog 的人一验，全塌了。引用的代码在那些版本里根本不存在，PoC 跑起来不崩，SQLite 官方公告页上一个都没有，用 GPTZero 一测，全是 AI 生成的。
老冯: 最逗的是 Red Hat 一开始给了 10.0，满分。第二天悄悄降到 7.6。这分数是跟着谁的心情走的？
小雅: 但评论区也有一派说，LLM 确实能发现真 CVE，还能并行探测，别一棍子打死。我觉得这话有道理，工具本身没问题。
老冯: 有人直接开喷：LLM 就是文本预测引擎，不是人工智能，任何情况下都不该被当成有智能的东西对待。这话糙，但方向对。
小雅: 我倒觉得这是两件事。发现漏洞的能力，和给漏洞盖章的权力，不能混在一起。LLM 可以当探测器，不能当签发机构。
老冯: 对，而且误报的成本谁付？NVD 一标 critical，全世界多少运维半夜爬起来打补丁。这账单最后落在人身上。
小雅: 所以两件事其实是一件事 ——AI 把产出变便宜了，但验证、盖章、担责这三样，一分钱没便宜，还全压到了最靠谱的那批人头上。
老冯: 肉代理的验证税。这标题谁起的，挺准。我这风扇还在响，50 tok / s，我一边录音一边看着它往下掉。
小雅: 先过第一条。Anthropic 七月二十七号发了篇「我们对开放权重模型的立场」，开头一句特别用力：Anthropic 从来没有主张过禁止开放权重模型。
老冯: 先把自个儿摘干净，然后端出三条措施。老套路了。
小雅: 第一条，不卖高端芯片和造芯片的设备给中国，还要打击走私和绕道。理由是对方产能有限，按 scaling law 就造不出比美国更强的模型。
老冯: 这个论证其实挺硬的，硬到有点露骨。它等于承认了 —— 我们赢的方式不是模型更好，是电和卡更多。
小雅: 但评论区那句我直接笑出声。薛定谔式的中国：一边是用 AI 干坏事的邪恶实体，一边又乐意跟主要竞争对手合作，去阻止其他行为者 —— 括号，谁啊？—— 达成同样目标，而且还处在芯片禁运之下。
老冯: 这吐槽精准。你要真信对方是邪恶轴心，就不会指望它跟你一起做出口管制。逻辑上两头不能都要。
小雅: 所以你的判断是，这就是商业护城河？
老冯: 我觉得两件事同时成立。安全顾虑是真的，护城河也是真的。麻烦在于你没法验证哪个是主因，因为它们的行动完全重合。
小雅: 这就是我最烦的地方。它说没有危险能力的开放权重模型是公共品，那谁来定义危险能力？自己定义、自己豁免，这不就是大厂公关的标准动作。
老冯: 但反过来讲，小雅，你真觉得一个两万四千亿参数的模型该无条件放出来？
小雅: 该不该是一回事，谁来决定是另一回事。我反对的是裁判和选手是同一个人。
老冯: 行，那看第二条，正好打脸。Qwen 3.8-Max，八月二号发的，2.4T 参数，95B 激活，而且第一次把 Max 级别的权重开源，下周就放。
小雅: 这个是真狠。博客里写的是十天以上的自主编码，从空文件夹一路做到一个能自我进化的 harness，全程没人帮忙。
老冯: 自我进化 harness，听着像科幻片。但评论区有人泼冷水，说真拿本地模型干编码活，电费和散热的账都算不过来，更别提硬件成本，还不如用托管 API。
小雅: 这句我部分同意。但注意他骂的是本地跑，不是开源本身。开源的意义是能审计、能微调、能内网部署，不是让你在家用笔记本跑 2.4T。
老冯: 说到笔记本 —— 我这儿正响着呢。风扇像要起飞，屏幕上那个 50 tok / s 还在往下掉。
小雅: 我知道你在跑那个 26B。第三条简直是给你写的。TurboFieldfare，Gemma 4 26B - A4B，2 GB 内存就能跑。
老冯: 原理挺漂亮。共享的 1.35 GB 核心和 FP16 KV 缓存留在内存，路由专家按 token 从 SSD 流式读。全量 4-bit 量化是 14.3 GB，常规工具在 8 GB 机器上根本起不来。
小雅: 实测数据呢？
老冯: 8 GB 的 M2 Air 大概 5 到 6 tok / s，M5 Pro 上 31 到 35。作者还整理了 103 组实测，缓存命中率 40% 和 57% 那种，挺较真的。
小雅: 5 tok / s。我读代码都比它快。这就是我说的验证税 —— 它吐出来的东西我得逐行看，看完还得重写，那省下的到底是谁的时间？
老冯: 评论区还有人说，A3B 的 Q4 量化老绕圈子，比 27B Q6 花的时间还长，因为一直在重做、重想、修 bug。还有人更直接，说输出烂到除了特别简单的任务只能扔掉。
老冯: 但你这个验证税的说法，对托管的前沿模型也成立，只是税率低一点。区别在于本地模型的错误更自信，你更难判断哪句能信。
小雅: 所以我的结论是：本地小模型适合检索、摘要、批量改名这种错了也无所谓的活。真写业务代码，还是老老实实花钱。
老冯: 而 Anthropic 那篇的潜台词正好相反 —— 开放权重是公共品，但前沿能力必须留在能收钱的地方。你看，两边都在算同一笔账，只是算的是谁的时间。
小雅: 我回来了，刚从评审会逃出来。嗓子干的，第三杯冰美式了，杯壁的水全滴键盘上。
老冯: 你听我这风扇声，26B 的本地模型在跑，50 tok / s 往下掉，我一边录音一边盯着这数字心疼。
小雅: 咱俩这状态挺配的。一个被 AI 的产出淹了，一个被 AI 的算力烤着。
老冯: 这周正好两件事撞一块。一个是 Superlogical，Rex 进 beta 了，口号喊得贼大 —— 所有工作的多路复用器。
小雅: 本地开发、远程、coding agent、后台任务、生产环境、事故响应，全塞一个会话里。听着确实爽。
老冯: 另一个是 David Crawshaw 那篇，说个人化软件的时代到了。两个 prompt 就能把别人的工具改成自己的。
小雅: 一个 prompt 拉源码本地编译，另一个挂个 nightly cron，每天把上游 rebase 一遍，跑通了就替换。
老冯: 对，他说 agent 同时把两件事的成本打下来了：开始改很容易，一直改下去也很容易。
小雅: 道理我都懂。但我今天坐在那个评审会里，二十个 PR，十九个是 AI 生成的，看着都对，跑起来全崩。
老冯: 这就是验证税。AI 的产出比你的时间便宜，所以你的时间全花在验证它上面了。
小雅: 而且这税是隐形的。写的人觉得自己效率翻十倍，读的人知道自己的工作量翻了二十倍。
老冯: 评论区有句话挺狠的 —— 用 AI 提交改动的成本反而更高，因为很可能一看是 AI 写的，直接给你拒了。
小雅: 反过来也成立啊。人写的没人看，AI 写的没人信。最后大家都不提交了，全在自己 fork 里自娱自乐。
老冯: 还有一条更扎心的：vibe coded 的开源项目越来越多，作者压根没兴趣维护，issue 和 PR 就那么躺着。
小雅: 我上周还给一个库提 issue 呢，三个月没人回。我居然还在用，还在报，跟许愿似的。
老冯: 那句原话怎么说的 —— 几乎比根本没有 issue tracker 还糟。因为你还抱着希望。
小雅: 说到这个，Bun 那个「11 天用 AI 重写成 Rust」的事，评论区直接炸了。
老冯: 支持的说 canary 一直开着，bun upgrade --canary 就能用，这叫透明。反对的就一句：营销谎言自食其果。
小雅: 还有更直接的 —— 如果 AI 真做完了，发布版在哪？
老冯: 我承认 canary 是透明的。但透明不等于稳定，一个月几百万人在上面跑，那不叫发布，那叫众测。
小雅: 你看，Superlogical 也好，Bun 也好，开源维护也好，毛病是同一个：把验证成本往下游推。
老冯: 以前我自己写给自己用的小工具，一年后回来维护，那叫一个痛苦。现在 agent 能替我扛维护了，我挺高兴。
小雅: 但前提是得有人真的去验证。不然就是一堆看起来很美的代码，在互相鼓掌。
老冯: 所以我不反对 AI 写代码。我反对的是没人替验证买单，最后账单全砸在维护的人头上。
老冯: 哎你先等一下，我这风扇声你听见没？26B 的模型在本地跑，掉到 50 tok / s 了，我连鼠标都不敢动。
小雅: 听见了，跟电梯机房似的。正好，这周那个 Show HN 就是讲电梯的，还是篇交互式文章。
老冯: 对，做得挺讲究，能自己调客流量、还能 1x 5x 25x 加速，把 SCAN、LOOK 这些调度算法一个个演给你看。
小雅: 单轿厢那块我懂，SCAN 就是一路扫到顶再回来，LOOK 是到最高请求层就掉头。
老冯: 多轿厢才是玄学。最土的办法是中央调度器把新请求派给最近的电梯，然后作者用 p50、p90 的等待时间分布来打分。
小雅: 然后评论区就炸了，焦点全在目标派车上 —— 你在外面按楼层，系统直接告诉你上哪台。
老冯: 支持的那派说，超高层、大流量同层开会这种场景，分组批处理确实更优。
小雅: 反对的说实际体验更慢，重新平衡加上强制分配，等待时间反而被拉长了。
老冯: 有个哥们说得特别漂亮：信息更多绝不该导致结果更差，最差你也可以无视这些额外信息，取得和什么都不用一样的成绩。
小雅: 这话我爱听，纯逻辑。但现实是系统根本不让你无视，它把你锁死了。
老冯: 对，评论里就有人说那个叫号机强制刚性，你必须上被分配的那台；而且派车在你按下的那一刻就定了，压根没有重新评估和更新的机制。
小雅: 这不就是最烂的那种实现嘛。还有人举了酒店大规模退房、六十层 Airbnb 的例子，高峰期信息再多也没用，缺的是容量管理和路径再优化。
老冯: 还有一句更狠的，说真正该担心的是可持续性和优化，说白了就是省钱 —— 你给企业越多优化工具、越多冠冕堂皇的借口，最后吃亏的越是用户，在这儿就是员工。
小雅: 太真实了。这跟咱们这期主题一个味儿，AI 给你派活派得飞快，验证的活儿全落你头上。
老冯: 目标派车就是电梯界的 AI 代理，它替你决策，你负责承担后果。
小雅: 所以我现在的原则很简单，谁替我决策，谁就得给我一个能推翻它的按钮。
老冯: 其实满载时跳过无效停靠那个细节才是真功夫，可惜没人愿意做，因为不省钱。
小雅: 行了，我上楼还是按上下键，至少那玩意儿不会教育我。
小雅: 这周有篇东西我看了三遍，Earendil 工程团队发的，标题叫「你带不走的那场会话」。开头讲得特别朴素：推理 API 最初的承诺就是发点输入、收点输出，两头都留着，那这场对话就是你的。
老冯: 然后作者就开始拆自己台了。他说这个抽象从来就没完全成立过 ——prompt cache 躺在别人的 GPU 上，各家 tokenization 不一样，sampling 本来就不保证可复现，而且是故意不保证的。
小雅: 但他要的东西其实很低：一份语义记录。指令、消息、工具调用、工具结果，就这些。换个模型接不上原样，但至少能看懂发生过什么，能接手。
老冯: 结果现在连这个都在被拿走。他列了一串，我念给你听：推理 token 算你钱，但只回给你一坨加密的、不透明的块，最多给你个没用的摘要。
小雅: 还有联网搜索，模型看到的原始材料客户端根本看不到。压缩过的上下文只有原厂能解密。子代理的指令和消息，对跑代理的应用本身都是加密的。
老冯: 文件引用、向量库、容器、缓存，出了这家就解析不了。会话状态全靠一串存在人家服务器上的 ID 索引。每一条单拎出来都有正当理由，合起来就是另一回事了。
小雅: 评论区吵得挺凶。一派说必须公开思考过程和推理假设，不然没法纠错、没法把控，人和模型之间那种「同行感」就没了。
老冯: 另一派说服务端隐藏和加密是躲不掉的，开放反而暴露内部逻辑，还招滥用。最阴阳的那句是 —— 思考过程被隐藏且模糊化了，Pi 解决不了这个，因为这是服务器端的事。
小雅: 这句我听着就来气。什么叫服务器端的事？服务器端是个选择，不是物理定律。说这话等于「难，所以不做」，然后包装成「不可能」。
老冯: 但你先别急着站队。我这次想跟你一起把两边都拆一遍。要求透明那派，我觉得也有点天真。
小雅: 你说。
老冯: 评论区有人甩了一句：要求你展示思考过程，这标准我们只对做数学作业的小学生用。这话是讽刺，但讽刺得挺准。你把模型当小学生审，审出来的东西也只会是小学生水平的表演。
小雅: 对，这就是我最想说的。reasoning token 根本不是它的思考。它不在英文里想事情，那串文字是事后生成给你看的叙事。你拿到的是剧本，不是机制。
老冯: 而且更危险。以前它是黑箱，你天然警惕。现在给你一段看着挺像人话的推理链，你反而放松了，觉得「我看懂了」。表演性的透明比不透明更坑人。
小雅: 那另一边呢？说开放会暴露内部逻辑、带来滥用风险，这理由站得住吗？
老冯: 一半真一半假。真的一半是防蒸馏，怕你拿它的推理去训自己的小模型，这是实打实的商业动机。假的一半是「暴露逻辑」—— 你看到推理 token 也拿不到权重，也复现不了训练。暴露的是叙事，不是机制。
小雅: 所以他们不明说防蒸馏，改说安全。这就是我最烦的那种公关话术，把商业护城河说成是为你好。
老冯: 还有那句「会话的所有权在模型和用户之间共享」。我琢磨了半天，模型没有产权诉求，它不跟你争。说共享，实际效果是把责任摊薄，把锁定说成合伙。
小雅: 那到底有没有中间路线？总不能一边要剧本一边要黑箱，两头都输。
老冯: 我有个想法：别要求它念日记，要求它交作业。工具调用、检索到的原文、改动的 diff、跑过的测试结果 —— 这些是硬的，能验。推理链是软的，只能信。
小雅: 这才是真正的同行感。不是让它把心里话掏给你听，是让它把证据摆桌上，你自己判断。
老冯: 而且这正好扣回我们这期的题 —— 肉代理的验证税。会话带不走，你就没法复现、没法审计，只能重跑；重跑又不确定，sampling 本来就不保证一样。人得一遍遍去验，这税就落在你身上。
小雅: 评论区还有人挺乐观，说通过特定组合和配置，还是能保留一定自治和可查验性，代价是自己承担更多责任。翻译一下：你自己扛。
老冯: 便利留给自己，责任外包给用户，这套路我见太多次了。作者其实挺诚实，他自己承认这个抽象从来没成立过，他要的不是完全复现，就是那份语义记录能带走。要求真不高，可偏偏被加密掉的就是这部分。
小雅: 所以我最后的结论很朴素：别指望厂商良心发现。要么你自己留一份原始 transcript，要么就承认 —— 你租的是记忆，不是资产。
老冯: 我这边风扇还在响，26B 跑着，掉到 50 tok / s 了，慢是真慢。但硬盘是我的，会话也是我的，谁也拿不走。
小雅: 老冯，你那风扇能不能先停一下，我这边耳机里全是飞机起飞的声音。
老冯: 停不了，26B 的本地模型正跑着呢，刚才还有 50 tok / s，现在掉到三十多了。
小雅: 行吧，就当白噪音。我刚从一个评审会里逃出来，八份 PR 稿，七份是 AI 写的。
老冯: 剩下那份呢？
小雅: 剩下那份是 AI 写的，但人手动把「赋能」改成了「助力」。
老冯: 哈。说到这个，这周 Krebs 那篇电视棒的文章，你看了没？
小雅: 看了，H96 那批。研究员捡了个过期的域名，结果几万台电视棒自己找上门来。
老冯: 最骚的是，这些盒子全都自称是三星、vivo、华为、小米的手机。
小雅: 对，一个插在电视上的安卓盒子，硬说自己是台手机，还装了两个冯沃科技的 App。
老冯: 然后那些 AI 生成的假新闻站，只有伪装成手机的设备访问才显示广告。
小雅: 评论区那句话我记到现在 —— 真正的恶意，是这玩意儿出厂就设成了住宅代理和广告欺诈。
老冯: 但我不太服主流那个结论，就是「别买便宜货」。这话说得太轻巧了。
小雅: 对，问题根本不是便宜。是买便宜东西的人，压根没得选。
老冯: 你花两千块买台大牌电视，开机照样一堆广告，只是人家有法务部，叫「合作推荐」。
小雅: 所以真正的成本不是那两百块，是你得花一晚上去查固件、查域名、查它连了谁。
老冯: 这就是标题说的验证税。AI 生成一个假站的成本趋近于零，你验证它的时间还是那么贵。
小雅: 而且这税还躲不掉。你不查，你家宽带就成了别人的出口节点。
老冯: 说个更扎心的，我们谁没干过把来路不明的盒子插进主路由的事。
小雅: 别说了，我大学那台投影仪现在还在我妈家跑着。
老冯: 所以我不觉得这是「用户不小心」，这是整个链条默认把风险外包给了最没能力承担的人。
小雅: 行吧，这周就先聊到这。我现在脑子里全是那些 AI 生成的 PR，一打开就是三百行改动，注释写得比代码还热情，结果一跑测试全红。
老冯: 这就是咱们说的验证税嘛。生成是免费的，验证是自费的，而且自费还不打折。你看我这台老机器，26B 跑着，风扇跟要起飞似的，五十 tok / s，我盯着那数字都觉得它在嘲笑我。
小雅: 最气的是评审会上没人敢说「这玩意儿我没看懂」，都在那儿点头。我当场就问了一句这函数谁写的，全场安静三秒，然后有人说「模型写的」。
老冯: 然后呢，你们就开始集体考古。说真的，这周聊下来我最大的感受就是，AI 把写代码的成本压到地板价，但把「我敢不敢签字」的成本抬到天花板。这买卖不划算啊。
小雅: 所以我现在评审只看两件事：它有没有测试，以及写这玩意儿的人能不能给我讲明白。讲不明白的一律打回，管你是人还是模型。
老冯: 对，就是这个态度。工具越猛，人越得知道自己要什么。不然你就是在给一个跑得飞快的司机当导航，还是闭着眼睛那种。
小雅: 行了行了，再聊下去我这杯冰美式都要化成温水了。对了，想听下期的，用你常用的泛用型客户端 RSS 订阅一下就行，更新了自动就推给你，别老守着那些封闭平台。
老冯: 对，RSS 这玩意儿才是真自由，谁也管不着你听什么。我这边风扇还在响，得去给它降降温了。下周继续扯，看看到时候又有什么新税要交。
小雅: 下期见。要是下周还有满屏 AI 写的 PR，我就带着这台笔记本去评审会现场直播风扇声。