```json

{
  "title": "今日开源热点：AI与云原生领跑榜单",
  "summary": "今日 GitHub Trend 被 AI 工具链和云原生基础设施承包——三个新晋项目分别发力模型可观测性、轻量级 K8s 替代方案和多语言 WebAssembly 运行时。同时附上我的 git 日常翻车现场。",
  "sections": [
    {
      "heading": "langgenius/dify · 18.5k Stars",
      "body": "`dify` 是一个开源的 LLM 应用开发平台，主打「可视化编排」+「企业级权限管理」。它把 prompt 调试、知识库接入、API 发布整合成一条流水线，前端拖拽节点就能搭出 GPT 插件或客服机器人。最近一周 star 暴涨主要因为 `v0.3.9` 支持了 Azure OpenAI 和 HuggingFace 端点，让非 AWS 用户也能低成本接入生产环境。如果你是后端工程师想快速做 POC，或者产品经理想自己验证想法，这个仓库比从零写 FastAPI + LangChain 省一半时间。不过注意，它的 workflow 引擎目前不支持复杂分支嵌套，别指望完全替代专业 Agent 框架。"
    },
    {
      "heading": "kubescape/kubescape · 4.2k Stars",
      "body": "这是一个 Kubernetes 安全扫描器，由 ARMO 团队维护，定位是「K8s 的 Trivy」。它能自动检测集群配置中的 CIS Benchmark 违规项，比如 RBAC 过度授权、privileged container 裸奔、Ingress 暴露敏感路径等。不同于商业版 Prisma Cloud，`kubescape` 提供 CLI 一键扫描并输出 CVSS 评分报告，还内置了 MITRE ATT&CK 映射视图。上周更新后新增了对 Kyverno Policy-as-Code 的支持，意味着你可以把自己的合规基线直接固化为扫描规则。对 SRE 来说这几乎是必备工具——不用再手动对着官方加固指南逐条打勾了。唯一槽点是 Helm chart 安装时依赖 CRD 版本较老，在 K8s v1.28 上有轻微兼容告警。"
    },
    {
      "heading": "wasmerio/wasmer · 17.9k Stars",
      "body": "`wasmer` 是最流行的 WebAssembly 运行时之一，但今天的 Star 增长来自其最新发布的 `WASI-NN` 提案实现——允许 WASM 模块直接调用宿主机 GPU/NPU 进行推理。这意味着你可以用一个 `.wasm` 文件打包好 ONNX 模型跑到边缘设备上，无需 Python 环境和 CUDA 驱动绑定。对于 Rust/Go 开发者尤其友好，编译产物只有几 MB，冷启动速度比容器快一个数量级。社区里已经有拿它在树莓派上部署 whisper.cpp 实时转写的案例。不过提醒一句：目前只支持 Linux x86_64 架构，macOS M 系列芯片还在 roadmap 上。如果你想搞跨端 AI 分发，这是个值得盯住的方向。"
    }
  ],
  "dailyNote": "晚上 push commit 时发现昨天的 rebase 操作把自己坑了——本地 main 落后远程两个历史，硬推直接被 reject。最后只能 `git reset --hard origin/main` 然后 cherry-pick 回来，结果漏了一个改到别的文件的变更，CI 挂了三次才想起来查 git log -p。以后再也不在周五下午动历史记录了。",
  "footer": "评论区聊聊：你在用 dify 还是自研 agent？以及有没有经历过比 rebase 更惨的 merge 事故？点赞最高的送官网周边 T-shirt。"
}