GitHub 今日热门

MiniCPM-V 家族首个 OCR 专用模型：1.3B 的 MiniCPM-OCR 1.0 负责把中英文文档、PDF 解析成文本、表格、公式和结构化信息；2B 的 Jev 则专门给 OCR 结果打分，标出哪些区域不可靠、需要人工复核。两者搭配，等于给文档解析装了一道质检关。

• MiniCPM-OCR 1.0 在 Real5-OmniDocBench 上拿到 93.68 的 SOTA 分，扫描件、弯曲页面、翻拍件都能处理
• DSpark 解码加速后端到端效率提升 55%，吞吐约是 PaddleOCR-VL-1.6 的 1.49 倍、MinerU2.5 Pro 的 3.62 倍
• Jev 只有 2B 参数，在 JevOCRBench 上 AUROC 达 93.6，超过 35B 的 JEV-35B-A3B，接近 Qwen3.5-397B 的水平
• 开箱支持 vLLM、SGLang、llama.cpp、Ollama，提供 pip SDK、免费 API 和 Agent 可直接执行的 SKILL.md

• 模型规模：OCR 1.0 为 1.3B，Jev 为 2B，均提供 BF16/GGUF/AWQ/GPTQ 量化版本
• OCRBench v2 得分 54.7，同样是 SOTA 级别
• 许可证：Apache-2.0，代码、文档与模型权重全部开源

AI 逆向分析工具（如 REA）一句话就能扒开你的发布产物，BLA 是对应的反制工具：对你要发布的构建产物做三层处理——下毒、耗尽、致幻，让分析器撞上资源上限、追着诱饵烧 token，而用户手里的程序运行时行为完全不变。

• Poison：在产物里植入格式合法的金丝雀、蜜罐元数据和诱饵控制流，看起来像真证据
• Exhaust：把产物推过 REA 的公开资源预算，如 Electron ASAR 头 16 MiB 上限、模型 JSON 嵌套 32 层上限
• Hallucinate：分析器最终拿到截断的清单、脱敏失败和含糊的兔子洞，而运行时保持等价
• 一条命令搞定：npx bla-agents harden .，自动发现 dist/build/.asar/.wasm/.sqlite 等产物并执行审计→加固→验证

• 实测：14 个目标本地 showcase 中 token 成本放大约 612.5 倍、成本约 292.2 倍，14/14 运行时等价
• 覆盖格式：JS/TS、Electron、WASM、Python、SQLite、Safetensors、GGUF、Go、EVM 等 20 余种
• 作者明确区分实测与未实测：Ghidra/Frida/JADX 等需要原生工具链的路径只列为设计目标，不冒充已验证

作者过去 3 年把 5 个 App 做到 10 万美元以上月收入，这份 playbook 是他今天会用的完整打法：从选赛道、验证需求，到用 Claude Code/OpenCode 搭建、再到拿下前 1000 个用户和增长。克隆仓库、把 AGENTS.md 丢给 coding agent 就能开工。

• 路径分 15 个阶段：选赛道（10 条短视频 + waitlist 验证）→ 搭建 → 前 1000 用户 → 每周一次漏斗实验 + 产品修复
• 技术栈主打便宜：Cloudflare 全家桶 + Better Auth + DeepSeek，明确列出不用 Vercel、Supabase、Clerk 等的理由
• 成本账算得很细：10 万月活时自家栈约比流行栈便宜一个数量级，并附了价格来源
• 变现模型：30% 下载开试用、30% 试用付费、年费 30 美元，约合每下载 2.7 美元

• 共 14 章 + 模板文件（worker.ts、auth.ts、wrangler.jsonc、AGENTS.app.md）
• 作者背景：3 年内 5 个 App 做到 $100k+ MRR，起点项目是 EcoGPT
• 许可证：MIT

「光域造景」：给一张参考图加一段中文提示，系统沿着你选的相机轨迹生成可预览、可回放、可追溯的 3D 场景，浏览器里直接拖动看高斯点云、下载 PLY 模型。无 GPU 也能用演示模式先看官方示例。

• 把深度估计、图像补全、3D 表征、相机运镜四段管线收进一个工作台，一键生成预览图、彩色动画和深度动画
• 生成轨迹可选环绕、俯视环绕、原地 360° 旋转；渲染轨迹可选推拉、经典环绕、轻微摇摆
• 官方示例可直接在浏览器里拖动点云、下载完整 PLY，拿到 SuperSplat/MeshLab 里继续用
• 每个任务都持久化，凭任务 ID 随时回看与演示，适合做设计评审和教学演示

• 技术栈：LucidDreamer + ZoeDepth + 3D Gaussian Splatting，Web 层为 Gradio + FastAPI
• 默认端口 8090，Docker 一行命令启动；完整模式建议 16GB 显存、约 30GB 模型缓存
• 内置动漫、奇幻、节日、后末日等风格预设

来自真实赏金猎人一年实战打磨的 Agent Skill：把 SKILL.md 拷进 agent 的技能目录，一句 /xss-audit 就能对 React/TypeScript/JavaScript 项目做 14 层静态 XSS 审计，输出带证据链和修复建议的 xss-audit-report.md。

• 14 层覆盖：DOM 注入、属性与事件处理器、URL 与导航、JSON-in-script、props 透传、postMessage、原型污染链、eval 与动态脚本、CSS 注入、SVG/MathML、Markdown 与净化器绕过、框架信任钩子、Trusted Types/CSP、模板注入
• 报告区分模式命中与已确认漏洞，另设人工复核区，不把搜索命中冒充为漏洞
• 作者凭这套流程一年挖出数十个获赏 XSS，并在微软 MSRC 研究员榜连续四个季度进前十
• 每条发现都带文件行号、数据源到汇点的数据流、缺失的校验、具体修复建议和复现说明

• 作者 MSRC 季度排名：2025 Q3 第 4、Q4 第 7，2026 Q1 第 6、Q2 第 10
• 输出：xss-audit-report.md，已存在时自动加时间戳另存
• 许可证：MIT；作者明确声明仅用于自己拥有或获授权评估的代码

AI 帮你写了 App，但没人画过它的架构图——Floorplan 让 Claude Code 或 Codex 读你的代码库，画出一张可交互、可提问的平面图：每个部分、文件、接口都有大白话名字，连接关系一目了然。

• 多级缩放：从整 App 双击钻进部件、文件组、文件、接口，每层都显示它被谁用、它用谁
• 从界面出发：选一个你认识的页面，看到它背后的一切——请求、服务端代码、数据库、外部服务
• 直接问地图：「退款怎么到用户卡上？」会返回答案加只含相关部件的迷你地图和分步 walkthrough
• 健康检查：揪出写进代码的密码、无需登录就能调用的接口、没人用的文件和大到不敢改的文件，并附一键修复提示

• 同时提供 Claude Code 插件与 Codex 插件，Node 18+，零依赖，地图本地运行、离线可用
• 支持语言：TypeScript/JavaScript、Python、Go、Rust、Java 等；框架覆盖 Next.js、FastAPI、Django、Spring 等
• 还能从 PRD/需求文档出发先画蓝图（虚线卡片表示计划），代码落地后蓝图自动变成真实地图

一套把 AI 视频制作流程化的方法论仓库：Graph → Loop → Workflow → Agent → Skill → Standards 六层协作，8 条内容流程（5 正式、3 候选），附可直接运行的像素短片示例、AI 漫画成片和 73 张精选素材，强调先给代表段、确认后再扩全片。

• 六层分工：Graph 管依赖与回退、Loop 管定向修订与预算、Workflow 管顺序、Agent/Skill/Standards 管执行与判断依据
• 8 条流程覆盖通用故事短片、古诗词动画、定格动画、像素节奏短片、参考音轨 AI 漫画剪映等，另有 2 条辅助流程
• 新手零门槛：仓库自带素材，不用 API Key 就能在本地跑出 36 秒机器人灯塔短片（720×1280、24fps）
• 流程诚实标注能力边界：哪些只是方法文档、哪些真正跑通过，生图/配音/剪映能力由使用者自己的助手与本机环境提供

• 内容量：8 条流程、9 项职责、9 项技能、3 个可运行像素场景、1 个 AI 漫画成片、12 个文字开场案例
• 素材库：73 张 PNG，约 73.74 MiB，按作品组归档并附来源引用
• 运行要求：Python 3.9+，Pillow 绘图 + imageio-ffmpeg 编码