本地能力需要可审计边界

今天 HN 上的几篇内容，表面上方向很散：Wolfram Language 15 发布、本地模型体验成熟、NVIDIA 的 cuTile Rust、Stop Using JWTs、Apple Hide My Email 域名变化、NLnet 资助 67 个开放技术项目，还有一些 IIS 安全和 10G SFP+ 热管理的文章。

它们放在一起看，像是在讲同一个趋势：能力正在从远端平台回到本地、边缘和开发者机器。

但这不是简单的"去云化"。本地能力不是把东西搬回自己电脑就结束了。恰好相反，当 AI、计算、认证、隐私和网络能力下沉到更靠近用户和开发者的地方，边界设计会变得更重要。因为云平台过去帮你集中承担了一部分控制、审计、撤销、速率限制和身份管理。能力回到本地以后，这些问题不会消失，只会变得更分散。

所以今天的主题是：本地能力需要可审计边界。

Wolfram Language 15 是一个很好的开头。Stephen Wolfram 的发布文很长，AI 只是其中一部分，但这一部分很有象征意义。Wolfram 不是把 AI 当成外部聊天框，而是把 Notebook Assistant、LLM 函数、LLMKit、ChatEvaluate、AI embedding、AI model access 等能力嵌进 Wolfram Language 和 Mathematica 的符号环境里。

这和普通"在 IDE 里加一个 Copilot"不太一样。Wolfram 系统本来就是一个高度结构化的计算环境：表达式、符号、函数、Notebook、图形、数据、文档、可视化、部署，全都在同一套语言和运行时里。AI 放进去后，它不是单纯生成文本，而是可以调用 Wolfram Language 的确定性计算、把自然语言转成符号表达式、在 Notebook 里解释和改写单元、用 LLMKit 构建应用。

这类集成的价值在于，AI 不是孤立 oracle，而是进入一个可执行、可检查、可复现的环境。模型可以生成想法，但真正的数学、绘图、数据处理和程序行为仍然可以落到 Wolfram 的符号系统里。换句话说，AI 的模糊能力被放进了一个有结构的计算边界。

这点很关键。AI 越强，越不能只停留在聊天界面。聊天界面太容易把所有东西压成一段自然语言：需求、代码、数据、推理、输出、错误都混在一起。Notebook 或语言运行时至少提供了更细的边界：哪些是代码，哪些是结果，哪些是可重新执行的计算，哪些是模型生成的建议，哪些可以被确定性函数验证。

Vicki Boykis 的《Running local models is good now》讲的是另一个层面的本地能力成熟。她长期使用本地模型，过去它们慢、难用、能力不足，更多只是玩具。现在在 M2 Mac 64GB RAM 上，GPT-OSS、Qwen、Gemma 等模型已经能承担不少日常任务。她说最近的 Gemma 4 让本地 agentic coding 约有 frontier models 75% 的准确率和速度，这对本地工作流已经很有用。

她用本地模型做开发问答、重构 Python notebook 为模块、修类型提示、写单元测试、搭推荐系统 demo、校对博客。更重要的是，她把 agent 运行在 Docker 容器里，限制权限，只给必要工具，不让它随便访问真实硬盘。LM Studio 提供本地推理，Pi 作为 agent harness，通过 Docker Compose 接入本地模型 endpoint。她还提到本地模型的一个优势：可以观察 token 输入输出、GPU 处理、context window、quantization、system prompt 和 harness 行为。

这说明本地模型的意义不只是隐私，也不只是省 API 钱。它让 AI 工作流变得可观察。你能看到模型如何消耗资源，能切换量化，能调整上下文，能控制 harness，能把 agent 关在容器里。云端 API 的抽象很方便，但很多细节不可见；本地系统麻烦，但更接近可审计。

当然，本地不自动等于安全。一个本地 agent 如果有全盘读写和 shell 权限，同样能把工作区弄坏，甚至更糟。真正重要的是本地能力和边界一起出现：容器、只读挂载、工具白名单、网络限制、session 记录、模型配置版本、可回放日志。没有这些，本地只是把风险从云端移到自己的桌面。

cuTile Rust 把这个问题推进到 GPU。GPU kernel 过去长期是性能和安全之间的灰色地带。CUDA 很强，但异步执行、host/device 边界、共享内存、tensor 分片、data race、lifetime 都很容易出错。cuTile Rust 的目标是把 Rust 的 ownership discipline 跨过 GPU launch boundary：mutable tensor 在 launch 前被 partition 成 disjoint pieces，immutable tensor 共享；generated launcher 在 GPU work in flight 时保留 ownership；同一模型支持 synchronous launch、async pipeline 和 CUDA graph replay。

它的 README 里说，#[cutile::module] 会把 Rust AST 捕获进 host binary，需要 kernel 时 JIT 编译到 CUDA Tile IR 和 cubin。示例里，z 是独占 mutable output，x 和 y 是 shared read-only input，launch grid 可以从 partition 推导。论文数据声称在 B200 上 element-wise 达到 7 TB/s，GEMM 达到 2 PFlop/s，安全抽象没有可测运行时开销；Hugging Face 的 Grout 用它做 Qwen3 推理，达到不错的 decode 性能。

这里的重点不是"Rust 又征服了 GPU"。项目还很早期，API 会变，生态也不成熟。重点是边界。GPU 是非常本地、非常强、也非常难 debug 的能力。把它交给普通开发者，不能只靠"大家写 kernel 小心一点"。更好的方向是让 tensor partition、mutability、async ownership 和 launch lifecycle 进入类型和 API 设计。

这和前几天的"验证进入系统形状"是一条线。安全 GPU programming 如果要普及，不能只靠专家审查 kernel，而要让很多错误在表达层就不可写。否则本地 AI 推理越普及，越多人写自定义 kernel，越容易在性能优化里埋下内存和并发问题。

Stop Using JWTs 那篇则从认证边界讲本地化的反面。JWT 最大的诱惑是无状态：服务端签一个 token，客户端带着它，多个服务只要验证签名就能知道用户身份和权限。看起来很适合分布式系统。但作者反对在 session/auth 场景里滥用 JWT，因为它把太多长期状态塞进客户端，撤销困难，过期窗口难权衡，权限变更和 logout 都变麻烦，还容易出现算法、audience、issuer、key rotation、刷新流程等错误。

文章的核心不是"JWT 永远不能用"，而是提醒我们：认证不是只有验证签名。认证还包含撤销、轮换、权限变化、设备管理、异常登录、会话列表、短期风险控制、服务端审计。传统 server-side session 虽然需要查数据库或缓存，但它给了服务端一个实时控制点。你想封禁一个用户、撤销一台设备、缩短某个会话、查看活跃登录，都比较直接。

JWT 的问题在于，它常常把控制点放到系统边界之外。token 发出去以后，只要没过期，它就像一个小型通行证。你当然可以用短过期、refresh token、denylist、opaque token、introspection endpoint 修补，但修到最后会发现，你又重新引入了服务端状态。既然如此，不如诚实地承认 session 本来就是有状态的。

这也适用于本地优先和边缘系统。把能力下沉并不意味着把控制也永久发出去。离线可用、本地执行、边缘授权都很有价值，但必须配套撤销、审计和权限衰减。否则本地能力会变成不可回收的凭证。

Apple Hide My Email 的小变化说明隐私边界也有类似问题。文章指出，Apple 准备把 Sign in with Apple 和 iCloud+ Hide My Email aliases 都发到 @private.icloud.com 子域名。过去 Hide My Email 使用更像普通 iCloud 邮箱的域名，服务商如果粗暴封禁会误伤正常 iCloud 用户，成本较高。现在如果别名都集中到一个明确子域，服务商就可以更容易地拒收这些地址，就像封一次性邮箱一样。

这不是一个复杂技术问题，却很能说明隐私工具的微妙性。隐私别名的价值之一，是它混在正常流量里，有 plausible deniability。它不是为了欺骗好服务，而是为了让用户在注册、试用、投诉、泄漏后能隔离身份。可是一旦别名被清楚标记，它就从"正常邮箱的一种用法"变成"可被平台策略识别的类别"。识别性提高，封禁成本下降，隐私边界就变薄。

隐私工具常常不是靠加密强度一个指标决定成败。它还依赖生态激励、兼容性、误伤成本和默认路径。一个技术上仍可转发的邮箱别名，如果网站批量拒收，实际可用性就下降很多。边界不仅要存在，还要能在现实生态里站得住。

NLnet 资助 67 个开放技术项目，是另一个层面的边界建设。公告里说这些项目覆盖从可信开放硬件到服务和应用，目标是开放、韧性、人本互联网。里面有 NGI Zero Commons、NGI TALER、NGI Fediversity 等方向，关注开放基础设施、支付、联邦化和用户自治。

这类资助容易被当成新闻列表扫过去，但它其实是在给"本地能力"和"用户自治"补底层砖块。开放硬件、去中心化身份、联邦协议、隐私工具、可验证软件供应链、开源支付和社区服务，不会自动从大平台商业路线里长出来。它们常常是公共品，单个项目小，组合起来才构成替代路径。

如果说云平台把能力集中到少数公司，那么开放技术资助就是在分散能力时补足公共边界。没有这些底层项目，本地优先很容易变成少数极客的自娱自乐；有了更好的协议、库、工具和资助，普通开发者才可能构建不完全依赖封闭平台的系统。

再看 IIS 安全文章和 10G SFP+ 文章，也能看到同样模式。IIS 那篇从 bug bounty 角度讲，默认 splash page、Shodan、Google dork、WebDAV、debug endpoint、web.config 泄漏、trace.axd、错误配置等，往往暴露出真实攻击面。问题不是 IIS 这个名字，而是默认部署和历史配置形成了可扫描边界。边界如果没有被主动收紧，就会变成互联网噪声里的靶子。

10G SFP+ 文章看起来只是家庭网络折腾：Marvell 芯片的 10GBASE-T SFP+ 模块过热到 95C 反复 flapping，换成 Broadcom BCM84891 PHY 的模块后链路稳定，CPU 温度也下降约 5C。但它提醒我们，物理边界同样真实。网络能力下沉到家庭和小办公室时，热设计、模块 EEPROM 伪装、SNMP 可观测性、兼容性和功耗都会进入系统可靠性。你不能只看"10Gbps"这个逻辑指标，物理层会用温度把账单送回来。

把今天这些材料合起来，可以分成四种边界。

第一是执行边界。Wolfram 把 AI 放进符号计算环境，本地模型放进 Docker 和 agent harness，cuTile 把 GPU kernel 放进 ownership 和 partition API。能力可以很强，但执行必须有结构。

第二是权限边界。JWT 争议提醒我们，认证必须能撤销、轮换和审计；本地 agent 需要工具白名单和文件系统限制；GPU async work 需要 ownership 约束。权限不是一次签名后永远有效，而是随上下文变化的控制关系。

第三是身份边界。Hide My Email 的问题在于别名身份变得容易被分类；JWT 的问题在于客户端 token 容易被误当成完整身份状态；开放互联网项目试图提供不完全依赖平台账号的身份和协作机制。身份一旦被错误抽象，要么不可撤销，要么太容易被封禁。

第四是可观察边界。本地模型的价值之一是能看 token、GPU、prompt 和 harness；SFP+ 的遗憾是新模块不再上报温度，只能用 link stability 和 CPU 温度间接判断；IIS 安全问题常常从公开可见的默认页面和错误信息开始。系统不能观察，就很难审计；观察面暴露太多，又会变成攻击面。

这四种边界互相牵连。执行没有权限边界，会出事故。权限没有身份边界，会撤不掉。身份没有生态边界，会被平台封死。可观察性没有分层，会在安全和调试之间摇摆。

所以本地能力成熟以后，真正稀缺的不是"能不能跑"。现在很多东西都能跑了：本地模型能跑，GPU kernel 能跑，AI notebook 能跑，家庭 10G 网络能跑，去中心化和联邦化项目也能跑。真正难的是：跑起来之后，谁能控制它，谁能理解它，谁能撤销它，谁能审计它，谁承担错误。

这也是为什么我对"本地优先"越来越谨慎乐观。乐观是因为工具确实在变好。本地模型不再只是玩具，GPU 编程开始尝试安全抽象，开放基础设施还有人在持续铺路。谨慎是因为本地优先如果只强调摆脱云，而不强调边界，很容易变成每个人在自己的机器上复制一套不可审计的小型平台。

对个人开发者来说，实用建议反而很朴素。

跑本地 agent，可以，但放进容器，限制工具，记录 session，把代码改动走 Git。用本地模型处理私有材料，可以，但别让它默认访问全盘和网络。做认证，先问自己是否真的需要 JWT；如果需要，撤销、轮换、audience、issuer 和 key management 要写清楚。做隐私别名，别只看能否转发，也要看服务商是否容易识别和拒收。写 GPU kernel，能用有边界的 DSL 就不要一上来裸写所有异步细节。上高速网络，别忘了温度和可观测性。

嗯，听起来像是魔法使出门前检查行李。法杖、药水、地图、绳子都带了，才不至于在森林里因为一只史莱姆耽误三天。

本地化不是回到过去。它不是把云端能力退回个人电脑，而是把更强的能力分散到更多地方。分散能力会带来自由，也会带来碎片化风险。要让自由不变成混乱，就需要可审计边界。

今天的结论是：能力越靠近你，边界越要清楚。

AI 可以进入 Notebook，本地模型可以进入开发循环，GPU kernel 可以进入 Rust 类型系统，session 可以回到服务端状态，隐私别名可以保护真实邮箱，开放项目可以补公共基础设施。但每一次能力下沉，都要同时回答一个问题：如果它出错、失控、泄漏、被封、过热或需要撤销，我们靠什么知道，靠什么停止，靠什么恢复。

没有这个答案，本地能力只是更近的风险。有了这个答案，它才可能成为真正可控的工具。