用把 opencode 接入 Telegram 是个很方便的方案（详见），但最近踩了个坑——bot 突然完全无响应，进程明明在跑，消息就是没有回应。

从 Docker 容器到 Firecracker microVM，再到 ZeroBoot 的 CoW fork——每一步演进都是对同一个矛盾的不同回答：如何在隔离强度与启动开销之间找到新的平衡点。ZeroBoot 的 0.79ms 是一个值得关注的信号。当 VM 启动延迟被压到这个量级，microVM 与容器在 " 启动开销 " 这个维度上的差距几乎消失，剩下的只有隔离强度的差异——而 micro

从应用程序的printf()或，到你在终端看到的日志，这条路径经历了多层抽象和精心设计的机制。快速定位日志问题的根源合理配置以优化性能设计可靠的日志收集架构在关键时刻不慌乱地排查故障从最初对容器日志底层机制的好奇，到现在对整个流程的深入理解，这个探索过程不仅解答了我的疑问，也希望能帮助到同样对这个话题感兴趣的你。

从 Docker 容器到 Firecracker microVM，再到 ZeroBoot 的 CoW fork——每一步演进都是对同一个矛盾的不同回答：如何在隔离强度与启动开销之间找到新的平衡点。ZeroBoot 的 0.79ms 是一个值得关注的信号。当 VM 启动延迟被压到这个量级，microVM 与容器在 " 启动开销 " 这个维度上的差距几乎消失，剩下的只有隔离强度的差异——而 micro

配置之后，kube-proxy 会在集群的每个节点上添加 iptables 规则，将发往这些 IP 的流量路由到对应的 Service。KEP 的结论是：工程代价高，但这个功能有更好的替代品——安全问题是设计层面的缺陷，不是实现层面的 bug，不值得花大力气修补一个先天有问题的设计。是当时最直接的方式：告诉 kube-proxy" 把这个 IP 的流量交给我 "，流量路由到节点之后的事，由管理员自

从应用程序的printf()或，到你在终端看到的日志，这条路径经历了多层抽象和精心设计的机制。快速定位日志问题的根源合理配置以优化性能设计可靠的日志收集架构在关键时刻不慌乱地排查故障从最初对容器日志底层机制的好奇，到现在对整个流程的深入理解，这个探索过程不仅解答了我的疑问，也希望能帮助到同样对这个话题感兴趣的你。

推理强度越高，模型花的注意力越多，但注意力的分配方向变了——它在更深的地方挖，却可能错过了某些表层问题。它是最贵的一档，比 xhigh 多花了 67%，耗时将近 10 分钟，但发现的问题数和 xhigh 完全一样——而且还漏掉了一个 xhigh 抓到的问题。Kilo 的测试设计有一个值得关注的细节：被审计的代码库不是随机找的，而是他们自己写的——一个用 TypeScript、Bun 和 SQLit

在 M1 Mac 上装 Docker Sandboxes、跑通 OpenCode 的最短路径：隔离范围到哪、真正费事的是模型登录，而不是安装本身。

这样改动照样实时落在宿主机上，但走的是 worktree 的路径映射和 Git 元数据，跟 Docker 的 Clone 模式是两套不同的机制，不能混着说。我倾向于反过来理解这条建议——不是“Clone 更安全所以永远用它”，是“Direct 的安全边界依赖你人在，一旦人不在，边界就没了”。Direct 模式下，工作区以读写方式挂进 sandbox，Agent 改的文件立刻出现在 Mac 上，适合

工作区本身、Claude 默认挂的共享 Skills、宿主机上跑的本地 MCP，都是设计上主动开放的例外：共享 Skills 默认开着，本地 MCP 是你自己接的。至于为什么共享 Skills 只做这五个、不顺手把 agent kit 支持的另外三个也接上，官方没有解释，这没有更多依据，只能确认代码现状。workspace 隔离是个例外：它在官方的五层名单里，但默认（Direct 模式）恰恰是没隔