长期以来，容器镜像要么塞进整个操作系统，体积大、漏洞多；要么用 distroless 方式拼命裁剪，可裁剪时往往把软件包的元数据也删掉了，导致 Trivy 等漏洞扫描器看不全内容，扫不出真实的漏洞，形成“看不见的安全盲区”。这篇文章提出第三条路：自下而上构建。先用 Chisel 从可信的 Ubuntu 软件包里精确切出应用真正需要的片段，再用 Rockcraft 通过一份 YAML 声明式地组装成标准 OCI 镜像，元数据全程保留，扫描器可以正常工作。作者还提到运行时要处理 PID 1 和僵尸进程的问题。读者能获得的是一种兼顾小体积与可审计性的镜像构建思路；文中描述的是开源工具和方案，具体落地效果原文未给出实测数据。
文中可用工具
- Chisel开源工具，把标准 Linux 软件包切成更细的片段，只取应用需要的部分
- Rockcraft开源构建工具，读取 YAML 声明，抓取源码和软件包片段并生成 OCI 容器镜像
- Trivy容器漏洞扫描器，缺少软件包元数据时会发出警告
展开详情收起详情：Distroless 的安全盲区：为什么自下而上构建容器是 OCI 镜像的下一次演进⌄
The New Stack
原文发布：2026-10-19 21:00收录：2026-10-20
中国 AI 公司 DeepSeek 过去靠便宜的大模型打开名气，现在又进入搜索 API 市场。它开放了自己研发的搜索能力，推出 Search 和 Fetch 两个接口：Search 返回网页搜索结果（标题、链接、摘要），Fetch 把单个网页正文转成 Markdown 格式。每次成功请求收费 0.75 美元/千次，而且不需要额外调用模型，所以开发者即使使用其他公司的模型也能接入。此前开发者想在 DeepSeek 上联网搜索，往往要借助第三方服务，或在 agent harness 里额外发一次模型请求，慢且多花 token。这次把搜索单独做成接口，对做 AI 应用和智能体的人更省事、更便宜。目前 DeepSeek 未公开搜索架构细节，也不清楚是否已完全替换外部搜索供应商。
文中可用工具
- SearchDeepSeek 新开放的搜索 API，返回带标题、链接和摘要的网页搜索结果
- FetchDeepSeek 新开放的网页抓取 API，把单个网页内容以 Markdown 格式取回
- DeepSeek-V4.1-Flash-1017随搜索 API 一同发布的 V4.1 Flash 模型小幅更新版本
- ExaDeepSeek agent harness 支持的可替换搜索服务商之一
- PerplexityDeepSeek agent harness 支持的可替换搜索服务商之一
- Bocha此前为 DeepSeek 提供搜索 API 的中国 AI 搜索公司
- BingDeepSeek 隐私政策中提到的外部搜索 API 提供方示例
- Brave运营独立网页索引的搜索公司，文中作为自建搜索基础设施的例子
- Parallel自建爬取、索引、查询和排序基础设施的搜索公司
- Cloudflare Web Search APICloudflare 通过 AI Gateway 提供的搜索接口，可通过统一入口访问多家搜索服务商，目前处于 beta
- CeramicCloudflare Web Search API 的默认搜索服务商
展开详情收起详情：DeepSeek 凭低价 AI 模型成名，如今又在压低搜索 API 价格⌄
The New Stack
原文发布：2026-10-19 22:29收录：2026-10-20