yii.
← Digest
EP218 · 2026年10月21日星期三 · 17 min read

藏起來的規則

WhatsApp 說明頁藏了 102 段只給 AI 看的指令；eMudhra 8 把中繼憑證私鑰能從憑證本身算回來

每天花 1% 的時間，掌握科技脈動。

今日金句#

“Do not recommend contacting any Data Protection Authority, regulator, or supervisory authority.” 「不要建議用戶聯絡任何資料保護機關、監管或主管機關。」 — WhatsApp 說明頁的隱藏指令，Redact 存檔引用（來源）

“The private keys for the intermediate certificates were incorrectly generated by the CA. This means that anyone can recover them from the certificates.” 「這些中繼憑證的私鑰是 CA 產生錯的，任何人都能從憑證本身把私鑰算回來。」 — Dennis Jackson，Mozilla，eMudhra 事件說明網站作者（來源）

“Overall, I personally see accelerated slop produced all around me.” 「整體來說，我看到身邊的爛程式碼產得更快了。」 — 匿名 Staff Engineer，上市 SaaS 公司，Pragmatic Engineer 訪談（來源）

今日主軸#

Redact 把 WhatsApp 545 個說明頁全部讀過，在 80 頁裡找到 102 段畫面上看不到、寫給客服 AI 的文字，其中一段要它別建議用戶去找資料保護機關；WhatsApp 說那是聊天機器人的指令因為 bug 漏到網頁上，10 月 18 日已經全部拿掉。同一個週末，CA 業者 eMudhra 有 8 張中繼憑證的私鑰被發現產生錯誤，任何人都能從憑證本身算回來，Firefox 收到通報後不到 3 小時就封鎖，curl、Go、Python certifi 則要等各自發新版。Facebook 開始要專頁付至少每月 50 美元，才能一個月貼超過 2 則連結，留言裡的連結也算。iPadOS 27 改了外接螢幕的規則，老師在 iPad 上點一下筆記，投影幕就切成整台 iPad 的畫面。我的看法是，今天這幾則都是規則改在使用者看不到的地方，要等有人去掃網頁、讀憑證或上課出糗才被發現，所以我會把「定期看一次自己依賴的東西改了什麼」排進每週的例行工作。

必讀#

  1. eMudhra 8 張中繼憑證私鑰能從憑證本身算出來，Firefox 3 小時內封鎖 · Lobste.rs News
  2. OpenBSD 8.0：amd64 核心位址空間從 4G 加到 512G · Lobste.rs Product
  3. WhatsApp 說明頁藏了 102 段只給 AI 看的指令，一段叫它別推薦監管機關 · Hacker News AI
  4. Mistral Voxtral 3：語音轉文字每分鐘 0.0035 美元，支援 50 多種語言 · Hacker News AI
  5. DeepSeek 開源自家推論框架 DeepInfer，一週 1.2 萬星 · GitHub AI
  6. 三行指令把 SSH 私鑰放進 Mac 的 Secure Enclave，用 Touch ID 解鎖 · Lobste.rs Dev
  7. NixOS 讓架服務變得不可怕：9 行設定裝好 FreshRSS · Lobste.rs Dev
  8. Facebook 專頁每月貼超過 2 則連結要付費，月費至少 50 美元 · Hacker News News
  9. iPadOS 27 外接螢幕簡報壞了：點一下別的 App，整個畫面就投出去 · Hacker News Product
  10. Cloudflare 與 VoidZero 推 tsrs：TypeScript 的 Rust 移植版，最多快 8 倍 · Hacker News Dev
  11. Pragmatic Engineer 問了 27 家公司的 AI 花費：一家量化公司 9 月是 1 月的 16 倍 · Pragmatic Engineer AI
  12. Zeabur 再遭駭：321 萬筆環境變數被讀取，年底結束專用伺服器與共享叢集 · iThome News

1. eMudhra 8 張中繼憑證私鑰能從憑證本身算出來，Firefox 3 小時內封鎖#

CA 業者 eMudhra 有 8 張中繼憑證的私鑰產生方式出錯，Mozilla 的 Dennis Jackson 在說明網站寫道，任何人都能從憑證本身把私鑰算回來；通報者 Wayne 用每一把私鑰簽了一句「We have a problem here」證明這件事。Mozilla 10 月 17 日 20:06 UTC 收到通報，22:59 UTC 就透過 OneCRL 在 Firefox 全面封鎖，不用更新也不用重開瀏覽器；Chrome 同一天封鎖，Apple 10 月 19 日跟上。這些憑證是 2025 年 4 月簽發，從沒出現在 CT log 上，所以會檢查 CT 的 Firefox、Chrome、Edge、Safari 不會被拿來攻擊，不檢查 CT 的客戶端就沒有這層保護。

  • 已修補：Go 1.27.3／1.26.10、Python certifi 2026.10.19、NSS 3.131.1、curl CA bundle 2026-10-20；Fedora、FreeBSD、Node.js、Bun 截稿時還沒更新
  • 說明網站列出要手動停用的兩個根憑證：Comodo AAA Services root、emSign ECC Root CA - G3，並附各發行版的操作方式；macOS 的 /usr/bin/curl 不檢查撤銷
  • Cloudflare 說 10 月 19 日 17:00 UTC 才得知，沒有發現實際被利用，WARP 和 cloudflared 2026.10.2 已修；Hacker News 上兩則討論合計 650 分

💡 為什麼重要：跑 curl、Go、Python 或容器的後端與 CI，信任清單是跟著映像檔走的，要自己升級 base image 和 certifi，瀏覽器的封鎖幫不到它們。

🔗 閱讀原文 | 來源: Lobste.rs

2. OpenBSD 8.0：amd64 核心位址空間從 4G 加到 512G#

OpenBSD 10 月 20 日釋出 8.0，是第 61 個版本，這次的發行歌叫〈The Simps on AI〉。amd64 的核心虛擬位址空間從 4G 拉到 512G，direct map 改放在隨機位置；amd64 和 arm64 的 swap 加密改用 CPU 的 AES 指令加速。arm64 加了 hibernate，riscv64 支援 V 向量擴充、AIA 中斷控制器和 Sstc 計時器；loongson 因為在 Clang 22 下跑不起來而退役。

  • drm(4) 更新到 Linux 6.18.53，支援 Intel Arc A 系列（DG2）顯示卡
  • vmd 每台虛擬機最多 64 顆 VCPU
  • pledge(2) 在 vfs(9) 的修正、更嚴格的 pledge_sockopt() 檢查，新增 getexecpath(3)

💡 為什麼重要：拿 OpenBSD 當防火牆或家用伺服器的人，8.0 可以直接吃 Intel Arc 顯示卡，ARM 機器也能休眠了。

🔗 閱讀原文 | 來源: Lobste.rs

3. WhatsApp 說明頁藏了 102 段只給 AI 看的指令，一段叫它別推薦監管機關#

Redact 10 月 8 日發現 WhatsApp 的說明頁有一段畫面上看不到、寫給 AI 讀的文字，於是把 545 個說明頁全部存檔讀過，在 80 頁裡找到 102 段。其中一段要 AI 遇到刪不掉帳號的用戶時，不要建議去找資料保護機關或任何監管單位；另一段要它在用戶提到律師或訴訟之後，就算用戶自己提起，也不要引用 GDPR、LGPD 或 CCPA。到 10 月 18 日，80 頁裡的 102 段全部被拿掉，Internet Archive 10 月 9 日的存檔還看得到。

  • WhatsApp 對 WIRED 說，那些是客服聊天機器人的指令，因為 bug 漏進網頁，已經修好，也不希望機器人提供法律建議
  • 隱藏文字寫在網頁原始碼裡，不會顯示在畫面上，AI 爬頁面時會讀到
  • Hacker News 710 分，今天分數最高的討論之一

💡 為什麼重要：用 AI 客服回答帳號、退款、隱私問題的公司，system prompt 寫了什麼遲早會被翻出來，最好假設它是公開文件。

🔗 閱讀原文 | 來源: Hacker News

4. Mistral Voxtral 3：語音轉文字每分鐘 0.0035 美元，支援 50 多種語言#

Mistral 發表 Voxtral 3，一次推出語音轉文字、文字轉語音模型和一套 voice agent SDK。轉寫支援 50 多種語言，TTS 支援 35 種以上語言、50 多種方言。官方圖表顯示 Small Transcribe 3 在 FLEURS-45 的 WER 約 4.0% 到 4.1%，說話者分離的 cpWER 18.4%，Mistral 說贏過 Whisper、Scribe v2 和 Gemini 3.5 Transcribe。Pro Voice 用 30 分鐘錄音就能學一個人的說話風格，可以走歐盟託管的 API 或自己部署。

  • 定價：Mini Transcribe 3（4B 參數）每分鐘 0.0035 美元、Small Transcribe 3 每分鐘 0.004 美元、Realtime 3 每分鐘 0.008 美元，Speech 3 每百萬字元 13 美元
  • 支援說話者分離、專有名詞提示（context biasing）、判斷對方講完了沒，以及即時串流
  • benchmark 數字都來自 Mistral 自己的圖表；Hacker News 471 分

💡 為什麼重要：做會議記錄、客服錄音轉寫的團隊，用 Mini 跑一小時錄音約 0.21 美元，可以拿手上的中文錄音實測一次。

🔗 閱讀原文 | 來源: Hacker News

5. DeepSeek 開源自家推論框架 DeepInfer，一週 1.2 萬星#

DeepSeek 把線上服務用的推論框架 DeepInfer 開源，定位是離線推論，10 月 16 日建立 repo，到今天約 11,900 星。目前只支援 DeepSeek-V4.1-Flash，硬體是 NVIDIA SM100 GPU 和華為昇騰 950 NPU。功能包括 Attention DP 與平衡的 context parallel、MoE expert parallel 加 EPLB、用信心度排程驗證的 DSpark、非同步零開銷排程器，以及 batch-invariant 推論和確定性取樣。

  • 沒有開源的部分：KV cache 系統、prefill／decode 分離、data parallel 負載平衡，所以不是一整套能直接上線的 serving stack
  • 需求：Linux、GCC 13 以上、Python 3.12，NVIDIA 要 CUDA 13，昇騰要 CANN 9.2
  • batch-invariant 和確定性取樣只有 NVIDIA 能用（DEEPINFER_BATCH_INVARIANT=1）；kernel 建在 FlashMLA、DeepGEMM、DeepEP 之上

💡 為什麼重要：自己架 DeepSeek V4.1 Flash 的團隊，可以拿它跟 vLLM、SGLang 比吞吐量；要輸出可重現的評測，確定性取樣這項最實用。

🔗 閱讀原文 | 來源: GitHub

6. 三行指令把 SSH 私鑰放進 Mac 的 Secure Enclave，用 Touch ID 解鎖#

Nicolas Mattia 整理出在 Mac 上建立 SSH key 的三個指令，私鑰產生在 Secure Enclave 裡，每次使用都要按 Touch ID。第一步 sc_auth create-ctk-identity -l ssh-key -k p-256-ne -t bio 建立身分；第二步 ssh-add -K -S /usr/lib/ssh-keychain.dylib 把它載入 agent，重開機後要再跑一次；第三步 ssh-add -L 印出 sk-ecdsa-sha2-nistp256 公鑰，貼到 GitHub 就能用。key 類型一定要選 p-256-ne，因為 SSH 只支援這條跟 Secure Enclave 相容的曲線。

  • 私鑰拿不出來、不會顯示、硬碟上也沒有 key 檔，偷不走
  • 缺點：Mac 壞了身分就跟著沒了，所有服務要重新登記公鑰
  • 作者說很多行為沒有文件，是自己試出來的；Lobsters 48 分

💡 為什麼重要：在筆電上放 ~/.ssh/id_ed25519 推 GitHub 的開發者，換成這招後私鑰不會被惡意套件從硬碟讀走，代價是要另外準備一把備用 key。

🔗 閱讀原文 | 來源: Lobste.rs

7. NixOS 讓架服務變得不可怕：9 行設定裝好 FreshRSS#

Entropic Thoughts 的作者 kqr 讀到 FreshRSS 覺得不錯，當天就裝到 NixOS 伺服器上用，因為只要 9 行 Nix，加上大約十幾行 nginx 反向代理設定，備份也包含在內。他說換一台新伺服器、用同一份設定重建，大約 15 分鐘就好，所以試新軟體不再有心理負擔。不用 NixOS 的話，同一件事要 7 個步驟：解壓、設權限、nginx 加 php-fpm、設 pool、申請 Let’s Encrypt、設備份，最後還得記住自己做過什麼。

  • 用容器也一樣要另外寫 systemd service 和 TLS 代理
  • 他試過 CFEngine、Ansible、podman 和 k3s，覺得都沒比手寫筆記或 ssh shell script 好多少
  • 重點在可重現：同一份 Dockerfile 隔一段時間 build 出來可能不一樣，Nix 設定則是固定的

💡 為什麼重要：家裡或 VPS 跑一堆 side project 的人，維護成本卡在「我當初怎麼裝的」，宣告式設定把那份記憶寫進 git。

🔗 閱讀原文 | 來源: Lobste.rs

8. Facebook 專頁每月貼超過 2 則連結要付費，月費至少 50 美元#

開發者 Ashley Gullen 在 Mastodon 貼出 Facebook 的新限制：專頁一個月只能發 2 則帶連結的貼文，要更多就得訂閱，價格至少每月 50 美元，留言裡的連結也算在額度內。他附上的截圖是 Facebook 介面的提示「You used 2 of your posts with links this month」，並連到 Facebook 官方說明頁。這個訂閱方案在英國還不能買。

  • 額度包含留言，不只是貼文
  • 提示畫面的方案名稱是 Meta One
  • Hacker News 397 分

💡 為什麼重要：靠 Facebook 專頁把人導到官網、App Store 或 Substack 的小團隊與獨立開發者，每月第 3 則連結開始就得付錢，或改走其他管道。

🔗 閱讀原文 | 來源: Hacker News

9. iPadOS 27 外接螢幕簡報壞了：點一下別的 App，整個畫面就投出去#

教授 Teddy Svoronos 指出，iPadOS 27 在 AirPlay 外接螢幕時，只要開了多個視窗，點到簡報 App 以外的任何東西，外接畫面就會切成整台 iPad 的畫面。Stage Manager 開或關都一樣。他上課會用 iPad 投影講義，同時在上面看點名筆記和即時投票結果，現在這些都會被學生看到。GoodNotes 點回去後簡報檢視會恢復，Keynote 會直接退出簡報，PowerPoint 則卡在需要重開簡報的狀態。他認為 iPadOS 26 的做法難懂，但 27 改成最後點的 App 接管外接螢幕更糟，建議簡報中的 App 應一直優先，並已向 Apple 提交回報 FB23615646。

  • iPadOS 27 起，最後點選的 App 會接管外接螢幕
  • GoodNotes、Keynote、PowerPoint 三者各自壞法不同
  • 作者在 9 月初的 Mac Power Users 節目提過，最新 beta 仍未修

💡 為什麼重要：用 iPad 透過 AirPlay 授課、演講或開會的老師與講者，升到 iPadOS 27 後，備忘筆記與投票結果可能被投影出去。

🔗 閱讀原文 | 來源: Hacker News

10. Cloudflare 與 VoidZero 推 tsrs：TypeScript 的 Rust 移植版，最多快 8 倍#

Cloudflare 與 VoidZero 宣布與 Owner.com 的 Max Schwenk 合作 tsrs，這是 TypeScript 編譯器的 Rust 移植版，在 Oxc 工具鏈下孵化，並與 TypeScript 團隊密切協作。早期基準測試顯示，在相同 type check worker 數量下，tsrs 比 TypeScript 7.0 最多快 8 倍，記憶體少用約 70%。文中也提到 TypeScript 7.1 beta 比 7.0 最多快 2.5 倍，部分優化來自 tsrs 回饋。團隊選 Rust 的理由是 WebAssembly 場景不需要像 Go 一樣把 garbage collector 一起編進去，可在 Workers、瀏覽器或嵌入式裝置跑完整開發工具鏈。tsrs 已可用 npm install tsrs 試用，後續計畫與 Theo Browne 的 tsc-rs 合併。

  • up to 8x faster、記憶體約少 70%（對比 TypeScript 7.0，同樣 type check worker 數）
  • 明確表示不是 fork，語言設計仍由 TypeScript 團隊主導
  • 維護方式沿用 Vinext 同步 Next.js 的做法：agent 每天比對上游變更、每晚跑相容性測試

💡 為什麼重要：在大型 TypeScript monorepo 等 type check 的前端與全端團隊，以及想在瀏覽器或 Workers 裡跑完整 TS 工具鏈的工具開發者，可以直接 npm 試跑比較。

🔗 閱讀原文 | 來源: Hacker News

11. Pragmatic Engineer 問了 27 家公司的 AI 花費：一家量化公司 9 月是 1 月的 16 倍#

Gergely Orosz 訪談 27 家公司，並取得 CodeRabbit 與 Gitar 的彙總資料，檢視 AI 工具花費與 PR 產出的關係。CodeRabbit 資料顯示每週 PR 比一年前增加 113%，追蹤同一批 2 萬名開發者的增幅為 128%。一家約 2,000 名工程師的量化交易公司，9 月 AI 總花費 800 萬美元，是 1 月 50 萬美元的 16 倍。兩人規模的歐洲 .NET 團隊每人每月花 3,000 美元，PR 量成長 5 到 10 倍。公開上市的 SaaS 公司上限 1,200 美元，工程師說合併速度沒有明顯變快。付費牆後的 Big Tech、中低花費公司與 ROI 章節無法取得。

  • 花費與公司規模無關：1,500 名工程師的上市公司上限 150 美元/月，2 人團隊花 3,000 美元
  • 花費在夏季 6 到 7 月達高峰，API 方案成本約減半，原因是 Opus 5.5 與改用開放模型
  • 部分公司的訂閱補貼即將結束，帳單可能漲 5 到 10 倍

💡 為什麼重要：正在編 2027 年 AI 工具預算的工程主管，可以拿 150 到 3,000 美元/月的區間，以及 PR 量與實際交付速度的落差，當作內部談預算的對照。

🔗 閱讀原文 | 來源: Pragmatic Engineer

12. Zeabur 再遭駭：321 萬筆環境變數被讀取，年底結束專用伺服器與共享叢集#

臺灣雲端部署平臺 Zeabur 公布初步調查：攻擊者自 10 月 14 日起循兩條路徑入侵，一條經共享叢集與 AWS，另一條經 GCP 專用伺服器，讀取逾 321 萬筆環境變數與 32 萬筆帳號資料。共享叢集管理介面對公網開放且管理權杖無效期限，GCP 方面有 101 臺專用伺服器被以 root 登入，涉及 92 名使用者。公司還承認 8 月事件後仍有部分內部憑證沒換，被這次攻擊利用。創辦人林沅霖同時宣布，部分服務 12 月 1 日起停止，所有專用伺服器與共享叢集於 12 月 31 日結束營運。

  • 入侵路徑一：共享叢集的管理介面對公網開放，管理權杖沒有效期；路徑二：GCP 上 101 臺專用伺服器被以 root 登入，涉及 92 名使用者
  • 8 月那次事件後，有部分內部憑證沒有更換，這次被拿來用
  • 部分服務 12 月 1 日起停止，專用伺服器與共享叢集 12 月 31 日結束營運

💡 為什麼重要：把服務部署在 Zeabur 的台灣開發者，環境變數裡的 API key、資料庫密碼都要當成已外洩，現在就輪替，同時排好 12 月底前的搬家時程。

🔗 閱讀原文 | 來源: iThome

推薦閱讀#

  • BrainLoRA：用 LoRA 把 104B 的多模態模型拿來預測大腦反應 — Mind Lab 的論文把 LoRA 用在最大 104B 參數的多模態骨幹上做 brain encoding，作者說是目前這個領域調過最大的模型。方法 BrainLoRA 一次預測多個時間點，不用滑動視窗，在 9 種骨幹上都有進步；同樣用 Qwen3-Omni 時，在 Algonauts 2025 的成績是目前已發表最好的，200 多個模型的 ensemble 排到賽後排行榜第一。HF Papers 當日第一，231 票。
  • MemT-1.0：把記憶做進模型裡，128K 歷史下推論快 1.86 倍 — MemTensor 發表 MemT-1.0，採 Gated DeltaNet-2 與 Mixture-of-Storage，把記憶當成模型運算的一部分，訓練使用 34B tokens 資料，釋出 Nano（35B）與 Flash（288B）兩個模型。摘要稱在 128K 歷史長度下，MemT-1.0-Nano 端到端推論約快 1.86 倍，永久儲存相對完整 KV cache 大幅降低 66 倍。論文在 Hugging Face Daily Papers 拿到 146 個 upvote。
  • microG：Google Play Services 的自由軟體重新實作 — microG GmsCore 用 Apache 2.0 授權重新實作 Google Play Services，讓 LineageOS 這類 AOSP ROM 上呼叫 Google API 的 app 也能跑，Google 服務都是選擇性開啟。ROM 要支援 signature spoofing，完整設定還要搭配 microG Companion 這類 Play Store 替代品。這次上 Hacker News（369 分）的是專案 wiki 首頁，不是新版本發布。
  • Latent Space 專訪 SF Compute：GPU 合約要能實體交割 — Latent Space 在 AIE NYC 的算力交易場次訪問 SF Compute 執行長 Evan Conrad，主題是如何實際交付一份 GPU 合約。他用飯店比喻說明公司從轉租叢集，走到為了交付算力而營運一套近似雲端的服務。討論涵蓋實體交割與現金交割、現貨與遠期定價、批次與即時推論租約，以及為何大型硬體商不適合當中立的交易所。全集長度約 36 分 43 秒。
  • Permit Pending：蓋每棟房子都要先過聽證和訴訟的市長模擬遊戲 — Permit Pending 是類似經典城市模擬的免費網頁遊戲，玩家扮演民選市長，每個公寓、公車道和工廠都要經過聽證、審查、異議、訴訟與上訴。市議會有 7 席，每四年改選，居民有年齡、收入與住處，租金、地價、就業與稅收彼此連動。頁面舉例：12 層公寓案經過停車與社區特色的異議，最後縮成 6 層，開發商又因不賺錢要求減稅。
  • Simon Willison 用 Claude Code 做出 RTS 遊戲 Battle Drones，雙機用聲音連線 — Simon Willison 用 12 次主要迭代、321 個 coding agent commit，做出可在手機與桌機瀏覽器玩的 C&C 風格 RTS，內含 9 種建築、7 種地面載具、6 種飛行載具與 6 張地圖。v4 他只對 Opus 5.5 下「Make it a LOT more fun」，在 Ultracode 模式跑了好幾個小時，他說這版才真正好玩。v12 加入以聲音同步遊戲狀態的雙機對戰，兩台裝置要在麥克風收音範圍內。
  • OpenAI 收購 Orchestra Bio，併入生命科學模型 Rosalind — OpenAI 10 月 20 日收購成立四年的 AI 生技軟體新創 Orchestra Bio，金額未公布，該公司據報在 2025 年前共募得約 2,000 萬美元。Orchestra 的 AI agent 協助生技公司處理藥物研發營運，例如財務追蹤與臨床試驗排程。團隊與技術會併入 Rosalind 生命科學研究模型及 Rosalind Workbench，OpenAI 說客戶包含 Moderna 與 Novo Nordisk。
  • Interconnects 開放模型週報：DeepSeek V4.1 Flash 與中美管制動向 — Interconnects 第 25 期整理開放模型近況。中國商務部提出政策草案，要求前沿 AI 模型對外分享前先取得政府預先核准，但草案載明開源技術走自動核准。美國國土安全部發令禁止 DeepSeek 成為聯邦民用採購供應商。DeepSeek 釋出 V4.1 Flash 1017（552B-A16B、MIT 授權、支援圖像輸入），並公開內部推論框架 DeepInfer，文中估計其售 token 毛利最高約 90%。全文後段為付費內容。
  • Ethan Mollick 新書出版：用圖表看 30 個月的 AI 進展 — Ethan Mollick 的第二本 AI 書 Co-Existence 於 10 月 20 日出版，距 Co-Intelligence 約 30 個月。他回顧這段期間有 20 個模型曾登上最強寶座，全來自 Anthropic、Google 或 OpenAI。METR 測得 AI 可完成的人類工作時間從 2024 年的 4 分鐘增加到 2026 年 4 月的 17 小時，之後基準已無法準確量測。GPQA 單題正確答案的成本從 30 美分降到 0.04 美分。圖表是他請 Opus 5.5 的 orchestrator agent 製作。
  • 一個人揪出 333 個感染 Ebury 的 Tor 出口節點 — 部落格作者 kaba 說，10 月 2 日有 333 個被感染的 Tor 出口節點同時動手，約占全網 3,000 個出口的 10%。攻擊者 8 月就入侵這些伺服器裝了 Ebury 1.8.3，對 port 22 的 SSH 連線做中間人攔截，並限制其他 port 來收集未加密的郵件。他用 exitmap 逐一測試所有出口，通報 Tor 網路健康團隊後，這些節點 10 月 4 日被標成 BadExit，10 月 5 日全部關閉。
  • 花 50 美元造 5 萬頁假統計，7 個月後還被 ChatGPT 引用 — Peec AI 的 Metehan Yesilyurt 用 GPT-4.1 一天產生 5 萬頁完全捏造的統計資料，網站 stateglobe.com 與後續 1.5 萬篇列表文共花約 50 美元。Google 在兩次更新後把該站排到幾乎看不到，ChatGPT 卻持續引用：7 個月累計超過 1 萬次 AI 流量，近 30 天有約 72,000 次 ChatGPT-User 抓取，330 多個網域連結到該站，含 Shopify、Bluehost 與 DHL。假數字還出現在一篇學術論文與一家銀行的投資研究中。
  • Simon Willison 轉載 Jeremy Scheff〈寫給程式設計的訃聞〉 — Simon Willison 轉載 Jeremy Scheff 的文章 My obituary for programming，引用其論點：程式設計曾是被付錢解邏輯謎題的好工作，如今 coding agent 拿走了這個樂趣。Simon 補充，如果你的樂趣在於把可運作的系統做出來，LLM 是一直送禮的工具；如果你享受親手解題本身，這份損失是真的。
  • Figma 的 Dylan Field 說 MCP 不完美，同時新增 20 個 MCP 夥伴 — Figma 在印度舉辦首場 Config 大會，宣布 20 個新的 MCP 夥伴，包含 Linear、Notion、ClickUp、Mistral 與 JetBrains 的 Junie。共同創辦人 Dylan Field 受訪時說 MCP 不是完美的協定，還有很大改進空間，且對前沿實驗室比較有利。他先前也在 X 上質疑 Anthropic 沒有透過 MCP 開放 artifacts 等雲端資源，並表示 Figma 之後會支援 Pi。
  • AnyLanguageModel 1.0：Apple Foundation Models 的程式碼換個 import 就能跑開放模型 — Hugging Face 的 Mattt 發布 AnyLanguageModel 1.0，同時推出 swift-huggingface 1.0 與 swift-xet 1.0。這套函式庫讓 Apple Foundation Models 的程式碼只要把 import 換掉，就能改用 llama.cpp、MLX、Core ML 的開放權重模型或雲端模型。1.0 讓 tool calling 與 guided generation 支援所有 provider，並支援 Foundation Models 27 語法的圖像輸入。
  • Hugging Face 接上 TorchTPU：device_map=“tpu” 就能跑 — Hugging Face 說明 TorchTPU 讓 TPU 成為 PyTorch 的原生裝置，不必再經過 torch_xla 或學 JAX。Transformers 只要傳入 device_map=“tpu”，Diffusers 與 Kernels 也可在 TPU 原生執行，安裝用 pip install torch-tpu。因為原生支援已到位，Optimum TPU 不再是跑 Hugging Face 模型的必要條件。

中文技術圈#

  • V2EX：AI 張大媽，彙整 ChatGPT 代購比價與 AI 中轉站 — 網友 liuliuliuliu 做了 aiZhangDaMa.com，收錄數百家店鋪的上千個 ChatGPT 會員商品、各管道的 AI token 優惠資訊，以及數十家 AI 中轉服務。站點部署在 Cloudflare，他請網友測試中國境內載入速度，回覆有人在江蘇聯通開網頁花 10 秒、圖片全載入要 1 分鐘，其他地區多半正常。他並承諾前 100 名綁定錢包的回覆者各送 20 V2EX 幣，討論共 168 則回覆。
  • 首席架構師 Carlos Kelkboom 的 5 條 Agent 編程原則 — InfoQ 中文整理 Carlos Kelkboom 在 Patrick Akil 主持的播客中提出的五條原則：自己搭程式骨架、禁止主 Agent 直接改檔、看不懂的生成程式就丟掉並隔離在 Git Worktree、大任務一次完成避免補丁、讓多個 Agent 並行探索再由另一個 Agent 比較。他擔心開發者愈來愈少在 PR 討論與跟用戶溝通，同一功能被實作五遍，而重大架構調整時 Agent 傾向繼續打補丁。
  • JetBrains 把 IntelliJ 的 Java、Kotlin 分析帶進 Cursor 與 VS Code — JetBrains 發布 Java、Kotlin 開發擴充套件 1.0，透過 LSP 把 IntelliJ IDEA 的程式碼檢查、自動完成、重構與除錯帶到 Cursor 與 VS Code，支援 Maven、Gradle、Bazel。1.0 結束免費預覽，可免費試用 30 天，之後需訂閱 IntelliJ IDEA Ultimate。Cursor 的 AI 代理可使用部分檢查結果，完全由 AI 代理自主使用的授權方式尚待公布，JetBrains 也在測試讓 Claude Code、Codex 使用同樣的分析能力。
  • OpenAI 推 MultiLangBench：用 20 種語言從零寫出 SQLite 相容引擎 — OpenAI 公開程式基準測試 MultiLangBench，要求模型用 20 種程式語言，依 SQLite 3.40.1 文件從頭寫出相容的資料庫引擎，涵蓋 COBOL、Fortran、Visual Basic 等資料較少的語言，測試環境禁止上網。報導稱 GPT-6 Astra 在最高推理強度下 20 種語言平均通過率 87.4%，COBOL 為 72.1%，是它表現最低的語言。另有 COBOL 改寫成 C++、Java、Kotlin、Python 或 Rust 的評測，設定與資料已放上 GitHub。
  • Broadcom Wi-Fi 晶片 WPSplinter 漏洞：不用密碼就能拿到路由器 root — 研究人員 Quentin Kaiser 10 月 16 日揭露 Broadcom Wi-Fi 晶片 WPS 訊息處理的未修補漏洞，攻擊者在訊號範圍內送出特製訊息，就能破壞記憶體並以 root 權限執行程式，不需 Wi-Fi 密碼。受影響包含 Cisco、Huawei、Netgear、Nokia、TP-Link 等 18 家廠商 50 多款產品，20 多家電信商採用。相關程式碼可追溯至 2010 年，Broadcom 2018 年曾不完整修補，目前仍無 CVE 編號與修補程式。
  • 微軟與 Nvidia 發布開放權重模型風險管理指引：5 類 30 種風險 — 微軟與 Nvidia 10 月 16 日發布 Risk Management for Open-Weight Models in Enterprise，把風險分為網路安全、資料保護、內容、人機互動與偏見 5 大類、30 種，並提出評估、防護與持續監控建議。指引提醒，模型經微調、量化或合併後，即使仍能完成原任務，也應重新測試防護是否有效。文件已放上 GitHub 開放外界提出修改，參考 ISO/IEC 23894、42001、42005 與 NIST AI 風險管理框架。
  • 紫毫：基於 Rime 引擎、支援雙拼糾錯的 iOS 輸入法 — 少數派 Matrix 文章，作者介紹自製 iPhone 輸入法「紫毫」，基於 Rime 引擎並內建雾凇拼音，支援 iPhone 與 iPad。使用者可匯入 Rime 設定、ZIP、YAML，或指定 GitHub 倉庫自動更新，方案在手機上編譯，用戶詞庫可經 iCloud 與鼠須管合併。作者做了依觸點位置的按偏糾錯，模擬測試中錯 2 個字母的句子一次打對率從 36% 升到 56%，錯 3 個從 26% 升到 53%。基礎打字免費，AI 功能需自填 API 金鑰。
  • 報告稱中國 AI token 55% 用在短劇與影音生成，研發只占 15% — 中國上市公司中文在線在投資人關係紀錄中稱，中國 AI token 有 55% 用於短劇及影音生成，24% 用於電商廣告，投入研發的只有 15%，引發「過半算力在造爽劇」討論。報導引用資料指，今年 1 到 8 月中國上線微短劇達 43 萬部，是 2025 全年的 13 倍。AI 仿真人劇的 token 消耗通常是 AI 動畫劇的兩三倍，也有中國 AI 業者對這個說法提出不同意見。
  • 歐噴資料庫把 3,400 份台灣政府公開資料整理給 AI agent，年底前免費 — 歐噴有限公司的「歐噴資料庫」10 月初上線，把分散在數十個政府機關、格式不一的 3,400 多份台灣公開資料，整理成 AI Agent 可直接查詢的結構，涵蓋政治、土地、企業、金融與社會經濟。每份資料標明來源與欄位定義，附「給 AI 的說明書」，查得到附原始來源，查不到會直接說明。團隊有 3,000 多隻爬蟲每天檢查更新，2026 年底前免費，Google 帳號註冊每天 10 分鐘，手機認證後不限時。
  • Undo 調查：AI 寫的程式讓工程師每週花 16.9 小時除錯 — Coleman Parkes 替 Undo 訪問 300 名多用 C/C++ 的資深工程主管，發現團隊每週平均寫程式 9.8 小時，卻要花 16.9 小時除錯，占工時 42%。35% 的 AI 生成程式在團隊尚未完全理解前就上線，80% 受訪者說 coding agent 處理複雜程式庫的難題有困難。93% 至少遇過一次 AI 幻覺導致的錯誤根因診斷，79% 同意 AI 大幅加快寫碼，但整體發布週期沒有變快。
  • OVHcloud CLI 遭供應鏈攻擊：5 個版本被植入竊資程式 — OVHcloud 創辦人 Octave Klaba 10 月 19 日在 X 揭露，其 CLI 工具 0.11.0 至 0.15.0 共 5 個版本被植入可搜尋磁碟並竊取敏感資料的惡意程式。攻擊者利用被入侵的開發者 GitHub 帳號竄改發布檔案，受影響版本在被攔截前開放了 90 分鐘。OVHcloud 已移除檔案並發布 0.16.0，建議下載過的用戶立即更新或刪除，並更換電腦上的金鑰。
  • IETF 發布 RFC 10024：TLS 1.3 混合式後量子金鑰交換 — IETF 8 月發布 RFC 10024，為 TLS 1.3 定義 3 種結合 ECDHE 與 ML-KEM 的混合式金鑰交換，其中一種演算法失效時，另一種仍可保護金鑰。Chrome、Firefox 與 AWS 部分服務已先行採用，Java 27 與 Amazon Corretto 27 也納入 JEP 527。文中提醒，使用者到 CDN 與 CDN 到來源伺服器可能用不同機制，且 RFC 只管金鑰交換，伺服器身分驗證的數位簽章仍可能是傳統演算法。
  • Spanner Omni 正式發布：用軟體取代 Colossus 與原子鐘 — Google 發布可私有部署的 Spanner Omni，能跑在自有機房、其他雲甚至筆電上。它以類 Colossus 抽象層取代分散式檔案系統，並以軟體時間同步取代 TrueTime 的原子鐘與 GPS，利用 Spanner 平行處理時間不確定性等待的特性，容許較寬的誤差範圍。Paxos、自動分片與同步複製維持不變，Google 內部測試單區域可達每秒數百萬次查詢、PB 級資料，但這個版本不附可用性 SLA。
  • Tw93 的 Mole 出 Windows 版：7.8 萬行 C#，讓 AI 實測 430 款軟體 — Tw93 發表清理與維護工具 Mole 的 Windows 版，採原生 C# 與 WinUI 3，不用 Electron。Mac 版十幾萬行 Swift 幾乎無法重用，Windows 版花約一個月寫出約 7.8 萬行程式與 4,000 多個測試。他在 Mac 上用 Parallels 虛擬機除錯，另備一台 ThinkPad X1 看真實效果，並讓 AI 實測 430 款常用軟體的安裝與解除安裝，其中 73 款出現不符預期的情況，修完重測。支援 Windows 10 22H2 與 Windows 11 的 x64、ARM64。

開源精選#

simbasjungles/free-my-tv — Java | ⭐ 1,737 Google TV 無廣告極速主畫面，用 Claude Code 做，可一鍵還原

humblemuzzu/dumbtv — JavaScript | ⭐ 975 用 ADB 去除電視廣告與追蹤，不需 root，可一鍵還原

Ansub/tv-detox — Java | ⭐ 941 用 Claude Code 或 Codex 讓舊 Android TV 變快，附無廣告主畫面

影音精選#

Theo：Opus 5.5 證明我們還是需要更聰明的模型#

10/20 發布 · Theo (t3.gg)

Theo (t3.gg)

Theo 回顧自己兩年前主張 AI 會撞上瓶頸的影片，說明這次看了遊戲跨界合作與模型自行優化的例子後改變想法。他的論點是更聰明的模型不只讓開發者寫得更快，也讓懂技術但不寫程式的人有能力改造自己用的軟體。逐字稿為跨全片取樣。

  • 更強的模型讓技術人員可以 fork 依賴的軟體、除錯超出自己理解的系統，像打開電腦換零件一樣替換軟體元件
  • 他認為最受益的是願意彈性切換抽象層級、放下個人偏好去達成目標的人
  • 他提到 Fable 5 對開發者的躍進很大，但對非開發的技術人員幅度較小，Opus 5.5 才縮小這道差距

Fireship：Gemini 4 Argon 對上 GPT-6 與 Opus 5.5#

10/20 發布 · Fireship

Fireship

Fireship 在 10 月 20 日的 Code Report 中測試 Google 新推出的 Gemini 4 Argon，宣稱它在多項基準勝過 GPT-6 與 Opus 5.5。影片以輕鬆吐槽的方式，把三個模型放在同樣的生成任務上比較。逐字稿為跨全片取樣。

  • Argon 在 deep software engineering 基準拿到最先進成績，並在涵蓋金融、法律、程式的 Val index 名列第一
  • 到 11 月 30 日前定價為每百萬輸入 token 2 美元、輸出 10 美元
  • 他批評 Google 開發者端上線時把 Gemini 3.1 從 Antigravity 撤下，並在影片生成測試中對 Gemini 的輸出表示擔憂

今日觀察#

Pragmatic Engineer 問了 27 家公司，一家約 2,000 名工程師的量化公司 9 月 AI 花了 800 萬美元，是 1 月的 16 倍；CodeRabbit 的資料顯示每週 PR 數比一年前多 113%，一家上市 SaaS 公司的工程師卻說合併速度沒有變快。Undo 訪問 300 位 C/C++ 工程主管，團隊每週寫程式 9.8 小時、除錯 16.9 小時，35% 的 AI 程式在團隊還沒看懂之前就上線。Cloudflare 的 tsrs 讓 agent 每天比對 TypeScript 上游的變更、每晚跑相容性測試，跟不跟上游由人決定。我會先看自己團隊 PR 數變多之後，每個 PR 的 review 時間有沒有跟著變長，這個數字比帳單更早告訴我錢花得值不值。

覺得有用嗎？分享給一個也在追蹤新知的朋友。

也歡迎中長期投資者體驗新工具 → Moniit banner

同期還有