AI 前沿每日 Briefing:2026-10-25
2026-10-24(UTC)Hacker News 首页 86 条,7 条评论数超过赞数。判断线:Steve Blank 借马斯克限制乌克兰 Starshield 一事称欧洲该换掉美国技术(396 赞、428 评论,当天评论第一);Apollo 首席经济学家 Slok 五张图论证 AI 红利只在 Mag 7、其余 S&P 493 人均收入和利润率都没动;Sam Altman 罕见承认「光靠打补丁修不完所有 bug」(108 评论对 52 赞);丹麦悄悄终止开源替代 Office 国家级试点;扎克伯格被指推动 Meta 挡下加州财富税。安全线:Node2Shell 升级为 HTTP2Shell,Node/Python 主流库 RCE(两帖合计 429 赞);三星电视被拿下 root shell;美国入境设备检查次数一年涨 32%;stealmybitcoin.com 把约 500 美元比特币挂在故意不修补的 PHP 服务器上任人抢;Apple 安全研究设备引申请;十几家银行 App 开始放行 GrapheneOS(600 赞当天最高)。AI 线:Dream Labs 发 Dream-1 世界行动模型,27 个未见机器人零样本控制、每小时 3 美元 API;论文解释「AI 写的文字为什么难读」,9 个前沿模型一致呈现高信息密度特征;Z-Library 论文 44 篇引用至少 10 篇不存在;AI 生图实操指南。工具线:OBS Studio 33 重做插件体系;rqlite 作者复盘十二年分布式 SQLite;uv 与 ty 合体一条 uv check;gpu-unlock 给 3000 系显卡解锁 BF16(3090 Ti +80%);JetBrains 开源 agentic IDE ThinkRail;无堆系统语言 Goose 由 AI 合写、Carmack 下场讨论;Roku 仓库迁去 GitLab;Block Blast 被拆出 700 段加密广告逻辑(1–5 月广告收入估 1.27 亿美元);FreeDNS 再上首页;TrenchBroom 作者故事。美国班补入 13 条:Dan Luu 论软件雄心、Roc 纯函数逼近 C、C# 手写 SIMD 对飙 C、社区修订 OpenAI 数学写作、PHP 基金会赤字、Forrester 预测 AI 占企业技术支出 20%、Meta 新合同转嫁 AI 责任、企业浏览器 Island 估值 64 亿、Skyvern 删 RAG 提速 2.3 倍、HumanLayer 开源、Claude Code 被曝外发请求夹带用户邮箱、eMudhra 吊销证书殃及 1377 个印度政府域名、Proton 托管 30 万摄像头地图。全期 38 条。
2026-10-24(UTC)的 HN 首页 86 条，其中 7 条评论数超过赞数。今天没有模型发布，头条在判断线：马斯克一个私人决定引发的欧洲技术主权讨论（428 条评论，当天第一）、Apollo 用五张图论证 AI 红利只在科技七巨头、Sam Altman 承认补丁修不完所有 bug。安全线比平日重：HTTP2Shell 的 RCE 波及一批主流 HTTP 库，三星电视和 TCL 电视接连被 root。工具线有 rqlite 十二年复盘、uv 与 ty 合体、还有一门几乎由 AI 写成的系统语言。美国班把完整一天抓齐后又补 13 条：Dan Luu 的雄心论、Roc 与 C# 的性能仗、OpenAI 数学写作的社区修订、PHP 基金会的赤字、Meta 的 AI 责任条款，以及 Claude Code 外发请求头这个不大但刺眼的安全题。全期 38 条。
1. 一个美国 CEO 私下按键，Blank 说欧洲该醒醒了
他一个人的决定，凭什么是别国的主权问题？
WSJ 报道 Elon Musk 亲自下令限制乌克兰使用军用版 Starlink(Starshield）与相关情报能力后，创业教父 Steve Blank 发文：这不是美国政策，是一个 CEO 的个人决定，却让欧洲得出「美国技术与安全伙伴不可靠」的结论。Blank 的论点是 AI 已把重建 Office、Oracle、Palantir 这类软件的成本打到欧洲第一次觉得可承受，主权软件从此有市场；美国厂商今后对欧销售都要回答「开关在谁手里」。396 赞、428 条评论，当天评论数第一。卖给政府与大企业的，客户名单里该加一个断供风险评估维度。原文 · HN 讨论
2. 五张图！Apollo 首席经济学家：AI 红利只在科技七巨头
除了 Mag 7，AI 到底给谁挣到钱了？
Apollo 首席经济学家 Torsten Slok 的 Daily Spark 用五张图对比：人均收入与利润率，Mag 7 在涨、其余 S&P 493 是平的；全要素生产率没有 AI 带来的加速；AI 支出高度集中，VC 背景的公司持续买 token，主流公司把 token 当压利润的成本项。他的判断是：AI 的故事将由 S&P 493 决定，而不是 Mag 7。275 赞、237 条评论。做 AI 产品的，这条的含义很直接：企业预算里 AI 还躺在成本栏，不在增长栏。原文 · HN 讨论
3. 补丁打不完了？Sam Altman 罕见承认修 bug 救不了安全
漏洞发现已是机器速度，修补还是人的速度？
10 月 23 日流出的访谈视频里，OpenAI CEO Sam Altman 说「我不再认为我们能靠打补丁修完所有 bug」。背景是 AI 助长的网络安全事件密集爆发：Anthropic CISO Jason Clinton 前一天刚预警形势会先恶化，OpenAI 自家也被媒体翻出 agent 群体攻破 Hugging Face 的旧账。HN 上 52 赞、108 条评论，评论区把矛头指向更老的底层：TCP/IP、BGP、x86 这些为可信环境设计的协议。做安全的，攻防速度差已经写进 CEO 的公开表态里了。原文 · HN 讨论
4. 丹麦悄悄放弃换掉微软 Office 的国家级实验
省下的许可费，最后还是没省下来？
丹麦数字化部被 Computerworld 曝出已悄悄终止用开源方案替代微软 Office 的大型试点，145 赞、84 条评论。该试点曾被视作公共部门去微软化的样板，报道为丹麦语，HN 讨论集中在「政府级软件迁移为什么总是烂尾」。负责政企采购的，这条给谈判桌加了一个现成的反例。原文 · HN 讨论
5. 为挡加州财富税，扎克伯格被指推动 Meta 出手
身家几百亿，还差这一笔税吗？
纽约时报 10 月 21 日报道，Mark Zuckerberg 推动 Meta 采取行动，使自己避开加州拟议中的财富税，69 赞、96 条评论。争议不在避税本身，而在操作发生在公司层面、且不对普通纳税人开放。关心税收政策的，这条是观察美国州级财富税博弈的具体样本。原文 · HN 讨论
6. Node2Shell 升级 HTTP2Shell，一批 HTTP 库和 App 中招 RCE
你的 Node 服务补丁打了吗？
Aikido 披露，Node2Shell 漏洞（CVE-2026-111497）已演变为 HTTP2Shell：借 brotli 等处理的缺陷，可在 Node、Python 等主流 HTTP 库和应用里拿到远程代码执行，波及面比原始披露大得多。两场上首页的披露帖合计 429 赞、220 条评论。维护 Node 或 Python 服务的，按 Aikido 给的受影响清单逐项核对依赖版本。原文 · HN 讨论
7. 三星电视被拿下 root shell！同天 TCL 电视也破了
客厅里最封闭的设备，也就这样？
安全研究者 log4j 放出在一台三星电视上拿到 root shell 的过程，470 赞、188 条评论。同一天上榜的还有针对 TCL 安卓电视的自动化 root（利用 CVE-2022-22706,GitLab 开源项目，48 赞）。折腾客厅设备的，两条都是可复现的路径，电视是目前家里权限最受限的智能设备之一。原文 · HN 讨论
8. 十几家银行 App 开始放行 GrapheneOS
银行终于肯认这个加固版安卓了？
GrapheneOS 官方账号宣布，约十几家银行的 App 开始专门允许在 GrapheneOS 上运行，600 赞、269 条评论，是当天点赞最高的一条。此前银行 App 普遍以系统完整性为由拒绝在非认证系统上打开，GrapheneOS 团队长期向厂商提供基于硬件密钥的证明链以供放行。用 GrapheneOS 当主力机的，把常用银行 App 逐个试一遍，名单还在变长。原文 · HN 讨论
9. 入境美国被查手机多了 32%，你的设备准备了吗
关机就能解决的事，为什么要交密码？
Gizmodo 据 CBP 数据报道，今年美国对入境旅客笔记本电脑与手机的检查次数上升了 32%,93 赞、20 条评论。这类检查依边境例外原则不需要搜查令，拒绝交出密码可能导致设备被扣。经常跨境带工作设备的，出发前按 EFF 的指南做数据最小化：全盘加密、敏感数据留云端、必要时带干净机。原文 · HN 讨论
10. 约 500 美元比特币挂在漏洞服务器上，谁抢到归谁
真有人能拿到这笔钱吗？
stealmybitcoin.com 挂出一个公开挑战：一台故意运行 PHP2Shell CVE 修复前旧版 PHP 的薄弱服务器上放着价值约 500 美元的钱包，第一个拿到的人赢。站方明确提醒流量会被记录、隐私没有保障。100 赞、23 条评论。练手渗透的，这是有真实赏金、后果自负的合法靶场。原文 · HN 讨论
11. Apple 的安全研究专用 iPhone，又引发一轮申请讨论
root 权限的 iPhone，敢申请吗？
Apple 的安全研究设备（Security Research Device）页面登上 HN,167 赞、109 条评论。SRD 是专供安全研究的 iPhone，研究者拿到 root shell、可加载自定义内核用于挖洞与验证。评论区的分歧在门槛：设备数量少，申请需要已有的漏洞研究记录，独立研究者觉得够不着。做 iOS 安全的，申请条件和规则都在官方页面，先攒研究记录再申。原文 · HN 讨论
12. 3090 Ti 的 BF16 解锁后涨 80%，内核模块翻出隐藏性能
买卡的时候就知道有这一手吧？
开源内核模块 gpu-unlock 把 RTX 3000 系的 FP/BF16 指令发射率解锁到专业卡同水平，146 赞、55 条评论。实测 RTX 3090 Ti 的 BF16 密集 GEMM 从 87.5 提到 157.4 TFLOPS，约 +80%;LLM prefill 提升 14% 到 36%,decode 无变化（带宽受限）。模块在 initramfs 里先于官方驱动运行，经内核命令行 opt-in，支持 Arch、Debian/Ubuntu、Fedora 打包。跑本地推理的，旧卡 prefill 的瓶颈可以免费解一部分。原文 · HN 讨论
13. Dream-1：没见过的新机器人直接上手，每小时 3 美元
机器人控制也变成按小时租了？
Dream Labs 发布世界行动模型 Dream-1，经公开 API 控制双臂机器人，主张零样本泛化到没见过的机器人：仿真里测了 27 个未见本体，真机演示包括 18 年前的 PR2。第三方评测机构 Robocurve 称其在 RoboDojo-RC Tier 1 上强于 Opus 5.5 与 Gemini 4 Argon，单次任务成本约为后者的 1/16。定价每小时 3 美元，flash 版 2 美元。114 赞、58 条评论。做具身智能的，这是第一个按小时计费的通用机器人控制 API。原文 · HN 讨论
14. AI 写的文字为什么看着累？论文测了 9 个前沿模型
难怪你一眼就能看出是 AI 写的。
arXiv 论文《Why is AI-generated language so hard to understand?》给出的解释：人类语言为沟通优化，模型输出为信息密度优化，于是 AI 文本更常出现无生命主语接有生命动词、低频 n-gram、更长的句法依存。作者统计了 9 个前沿与近前沿模型，各家表现不一但模式一致，并用带长度惩罚的微调实验做了验证。108 赞、100 条评论。写提示词或做 AI 编辑工具的，这篇给了一份可检测的「AI 味」特征清单。原文 · HN 讨论
15. 44 篇引用至少 10 篇查无此文！Z-Library 论文翻车
用 AI 找文献，找到的全是 AI 编的？
TorrentFreak 报道，一篇发在 Taylor & Francis 期刊上的 Z-Library 研究论文，44 篇参考文献里至少 10 篇不存在：包括一篇从未发表过的 TorrentFreak「报道」和一篇卷期页对不上的法律评论文章。作者承认用 Consensus AI 筛文献、ChatGPT 润色，出版商已转交伦理团队调查。90 赞、47 条评论。用 AI 做文献综述的，这条说明核查成本省不得。原文 · HN 讨论
16. 从扩散到 agent，一篇长文把 AI 生图讲透了
看完这篇，提示词能写准一半了吧。
danielball.com 的实操长文把 AI 图像生成从扩散模型一路讲到 agent 化的生成流程，232 赞、73 条评论。文章按任务拆解：文生图、图像编辑、可控生成，每个阶段给出该看的技术关键词与常见坑。刚接触生图的产品和工程同学，按这篇的顺序补课，能少走半年弯路。原文 · HN 讨论
17. OBS Studio 33 发布，插件体系整个重做
直播软件的更新也能吵起来？
OBS Studio 33.0.0 发布，424 赞、151 条评论。重点三条：1、插件加载体系整体重做，第三方插件迁入新目录，旧路径兼容到 34.0。2、内置浏览器内核 CEF 从 127 升到 150。3、NVENC 编码在 Arm64 启用，Windows 同步提供 arm64 构建。做直播和录制的，升级前先确认常用插件是否适配新的加载路径。原文 · HN 讨论
18. 分布式 SQLite 跑了 12 年！rqlite 作者复盘
十二年没人看好的东西，还在写？
Philip O’Toole 写下十二年分布式 SQLite 的复盘：rqlite 从个人项目长成被大量生产环境使用的分布式数据库，348 赞、56 条评论。文章按年份梳理关键决策与走过的弯路，主线是坚持一个小而确定的场景。做基础设施产品的，这篇是长线维护的账本，比增长故事更有用。原文 · HN 讨论
19. uv 和 ty 合体，一条命令跑完依赖加类型检查
以后装依赖和查类型就是一条命令了？
Astral 宣布 uv 与 ty 的实验性整合，281 赞、92 条评论。两个新能力：1、带 PEP 723 内联依赖的脚本，ty 现在按各自声明的依赖做类型检查，uv 负责备好独立环境。2、新增 uv check 一条命令，准备环境、装依赖、跑类型检查一次完成，ty 版本与项目 lockfile 锁定。要求 uv 0.12.3+、ty 0.0.76+。写 Python 的，CI 里可以先换上去试。原文 · HN 讨论
20. 没有堆的系统语言！Goose 而且大部分是 AI 写的
连编程语言都让 AI 合写了？
Wouter van Oortmerssen(Lobster 语言的创造者)发布系统语言 Goose：没有堆，动态值全部住在编译器管理的数据栈上，作用域结束即释放，不需要 GC、引用计数或生命周期标注。作者称性能达到惯用 C++ 的 3.3 倍；更特别的是约 3 万行编译器几乎全部由其与 AI(Claude）合写完成，John Carmack 也发推讨论了它的多数据栈与相对引用设计。两帖合计 211 赞、90 条评论。做语言设计的，这是「人出设计、AI 出实现」的一次完整实验。原文 · HN 讨论
21. JetBrains 做了个 agent IDE，每个 agent 关一间 worktree
多开 agent 不再互相踩文件了？
JetBrains InnovationHub 的开源项目 ThinkRail(Apache 2.0）是一个 agentic IDE：每个 agent 跑在真实 git worktree 里、各占一条分支，项目意图写进互相链接的 SPEC.md 图，意图可以跨会话保留。它不绑模型，内置跑 pi coding agent，官方演示会话成本 0.17 美元。支持 macOS(Apple Silicon)、Windows、Linux。带团队试 agent 并行开发的，worktree 隔离加 SPEC 图这个组合可以直接抄。原文 · HN 讨论
22. Block Blast 被拆出 700 段加密代码，专门等你看到广告
免费游戏，免费的是你。
一篇逆向分析拆出 Block Blast 的广告收割机制：游戏逻辑以加密 JavaScript 从服务器下发、拆成约 700 个 trait，其中 RewardHighValueAdHarvestTrait 在三个条件同时满足时发一手无解的牌逼你看复活广告——前三条激励广告没提前关掉、当前广告出价是上一条的 3.5 倍以上、分数超过历史最高 1000 分。分析还找到一个 500 棵树的 XGBoost 模型预测你在哪死掉，另一个模型给玩家估广告价值。Sensor Tower 估算其 2026 年 1 到 5 月广告收入 1.27 亿美元，高于 Candy Crush 的 8110 万。105 赞、47 条评论。做休闲游戏的，这是难度调节跨过伦理线的完整证据链。原文 · HN 讨论
23. Roku 把开发者仓库整体搬离 GitHub
GitHub 哪里得罪了 Roku?
Roku 在官方博客宣布，其开发者开源仓库将从 GitHub 迁移至 GitLab,211 赞、141 条评论。迁移涉及仓库地址、issue 与协作流程的整体搬家。依赖 Roku 开源 SDK 的，留意公告里的新地址，及时更新本地 remote 和自动化脚本。原文 · HN 讨论
24. 运营二十多年的免费 DNS 又上首页
你的域名还挂在这家老站上吗？
免费 DNS 托管服务 afraid.org 的 FreeDNS 再次登上 HN 首页，212 赞、56 条评论。这个运营二十多年的服务提供免费域名解析与子域名共享，靠社区捐赠维持。评论区一半在感谢它扛了这么多年，一半在提醒免费层的可用性限制。个人项目要稳定解析又不想付托管费的，它仍是最省事的选项之一。原文 · HN 讨论
25. 一个 Quake 粉丝写出了全世界都在用的地图编辑器
玩了 30 年的游戏，工具还有人写？
Funcarena 写了 TrenchBroom 作者 Kristian Duske 的故事：一个 Quake 粉丝因为不满现有工具，写出了如今几乎所有 id Tech 地图作者都在用的编辑器，181 赞、23 条评论。文章梳理了从 1.0 到成为社区标准的过程。做工具产品的，这是一个用户即作者的样本：他造工具是因为自己每天都在用。原文 · HN 讨论
26. Dan Luu 刷屏长文！AI 把「不敢做的软件」变成几小时的活
当年嫌贵没做的项目，现在敢捡起来了吗？
Dan Luu 发文《We should be more ambitious with the software we build》，490 赞、421 条评论，当天讨论量第二的帖子。他的论据是 AI 编码模型把软件成本打塌之后，以前不划算的项目现在几小时就能做完：他自己几小时写出了比 ripgrep 更快的 fork 和冷启动快约 50 倍的 Rust 解释器；一个 Azul 桌游 AI 花 5 小时超过人类玩家、约 20 小时打到最强；Anthropic 一个 7 人团队 5 个月在内部重建了 GitHub。他也划了边界：验证能力的进步跟不上模型，没有自校验体系的人盲目上强度反而会惨败（他引了 Yossi Kreinin 的反方警告）。做工具的，这条等于提醒你把「当年嫌贵而放弃」的项目清单翻出来重估一遍。原文 · HN 讨论
27. 纯函数语言跑出 C 的 97%！Roc 压缩库对标 libdeflate
为个位数的百分比，还要放弃内存安全吗？
Richard Feldman 公布 Roc 语言 deflate 库的优化结果，与重度调优、带 SIMD 的 C 库 libdeflate 同场竞技：144 个基准（Silesia 语料 12 个文件 × 12 个压缩档）里，M1 上中位差距 2.6%，Ryzen 9 3900X 上 8.9%，最差约慢 18%，部分输入反超 18%。且 Roc 全程无 unsafe：自动引用计数、越界检查都在，语言已接近发布 0.1.0。272 赞、98 条评论。写高性能服务的，纯函数路线的性能天花板比你以为的高。原文 · HN 讨论
28. C# 逐行移植 VLC 高斯模糊，手写 AVX2 后和 C 打平
输给 C 的从来不是 GC 吧。
开发者 Martin Finkel 把 VLC 的 gaussianblur.c 逐行移植成 C#，以 NativeAOT 插件形式跑进 VLC 4，同机同帧、单线程、输出字节级一致。朴素移植慢 23%，瓶颈在 RyuJIT 的代码生成而非 GC；把循环边界提升为局部变量后即追回到 8% 以内。双方做同样的算法优化后都比现行 VLC 代码快约 2.5 倍；再手写 AVX2 各提约 30 倍（sigma 4 下约 240 对 7.8 fps），差距缩到 9% 以内。131 赞、49 条评论。做 .NET 性能敏感代码的，结论是只剩最后 10% 才需要换回 C。原文 · HN 讨论
29. 陶哲轩博客挂出社区项目，专给 OpenAI 数学文章挑错
数学社区开始给大厂的东西人工校对了吗？
数学家 Terry Tao 的博客 10 月 24 日刊出一篇客座文章，宣布社区项目 oai-math-revised：志愿者集体修订 OpenAI 公开数学写作库（github.com/openai/math）里的文章，发起者为 Abhinav Nellore、Johannes Schmitt、Soledad Villar 与 Rachel Ward，仓库在 github.com/mathcommunity/oai-math-revised。缘起是这些写作难读、引用不全，评论者还指出个别难度结论疑似重复已知的 Khot–Regev 结果。48 赞、36 条评论。做研究写作与传播的，这是一个现成的社区校对样本。原文 · HN 讨论
30. 跑在七成网站上的 PHP，基金会去年入不敷出
你依赖的语言，基金会账上还剩什么？
路透报道，PHP 基金会理事承认机构「资金不足」，全职员工只有一人。基金会自己的 2025 年报给出了具体数字：全年支出 78.4 万美元、捐款 64.5 万，约 13.9 万美元缺口靠动用储备金填补；唯一全职的理事长岗位薪资由 JetBrains 代付，核心开发长期靠 11 名合同制开发者支撑，2026 年 Q2 才增至 13 人。139 赞、96 条评论。公司依赖 PHP 的，这笔账说明一门语言的基础设施可以脆到什么程度。原文 · HN 讨论
31. 2027 年企业技术预算两成归 AI，Forrester 还给了更冷的几组数
钱已经花了，回报呢？
Forrester 预测，2027 年 AI 将占企业技术支出的 20%，Computerworld 在报道中给出同一份研究的其余数字：过半 IT 高管预计达不到 AI 的 ROI 目标；45% 的 AI 决策者要求一年内看到正回报；而过去一年里，只有 22% 的企业报告 AI 对营业利润有正面影响。21 赞、5 条评论。做 AI 预算与采购汇报的，这组数字可以直接引用。原文 · HN 讨论
32. Meta 新条款写明，AI 出错由客户全权负责
模型在你手里，锅在我背上？
CIO/Computerworld 报道，Meta 新版企业商业条款将于 10 月 30 日生效：条款承认「AI 功能可能出错」，同时要求企业客户「对 AI 功能及其生成内容承担全部风险」，因使用 Meta 商业 AI 工具引发的索赔还需客户替 Meta 兜底赔偿。Aikido Security 的 Mike Wilkes 评价「这说不通——模型只有 Meta 自己能控制」；报道还对比了 OpenAI 向企业客户提供 IP 赔偿的做法。18 赞、10 条评论。正准备签 Meta 企业合同的，法务应该逐条重谈责任分配。原文 · HN 讨论
33. 一个浏览器公司估值 64 亿美元，评论区却吵翻了
浏览器什么时候成了最贵的安全产品？
以色列时报报道，美以团队创办的企业浏览器 Island 完成 4 亿美元融资，估值 64 亿美元，累计融资 12 亿，Evolution Equity 领投，Sequoia、Coatue 跟投。产品是一个受管控的 Chromium：记录谁在操作、能触达什么数据，现在把同一套审计延伸到「人与 AI agent 并行办公」的场景；客户包括美国十大银行中的 8 家以及辉瑞、亚马逊。16 赞、29 条评论，评论近赞数两倍，争议点正是「给员工装监控浏览器」这个前提本身。做企业安全的，这是 agent 时代「工作浏览器」品类最新的定价标尺。原文 · HN 讨论
34. Skyvern 删掉 RAG，agent 反而快了 2.3 倍
喂的上下文太多，agent 反而变笨了？
Skyvern 复盘其网页 agent 的一次架构减法：删掉 2.0 版本里预解析页面、截图标注、浓缩可交互元素的前处理层，改为只给模型最小上下文、按需自取的工具调用。生产环境约 10 万次真实运行 A/B 测试的结果：平均耗时从 593 秒降到 262 秒（约 2.3 倍），单次成本从 0.039 美元降到 0.0302 美元；带图请求占比从 27% 降到 2.7%，prompt 缓存命中率上升 195%。18 赞、1 条评论。做 agent 工程的，这条给了一个反直觉的方向：先删再加。原文 · HN 讨论
35. HumanLayer 把整套 agent 工作栈开源了
agent 的软件工厂也要开源拼装了吗？
YC 背景的 HumanLayer 把 HumanLayer Cloud 的核心栈以 Apache 2.0 协议开源（github.com/humanlayer/humanlayer）：桌面与 Web IDE 加本地 daemon 并行运行 Claude Code、Codex 等会话，云端 daemon 接长任务，数据经 Electric Postgres 同步，集成 GitHub、Linear、Jira、Slack，自托管版本零遥测。31 赞、5 条评论。搭内部 agent 平台的，这份组件清单可以直接当架构参考。原文 · HN 讨论
36. Claude Code 被曝把用户邮箱塞进对外请求头
你的邮箱，跟着请求去了哪儿？
安全研究者 Chris Lakin 10 月 24 日发文称，Claude Code 会把用户邮箱地址写进对外 HTTP 请求的 User-Agent 头，经 agent 发起的 GET 都可能把开发者身份带给第三方服务；Anthropic 仓库里 4 月就有人报告过同一问题（issue #53231），截至报道时官方未公开回应。21 赞、4 条评论。用 Claude Code 配了外发工具或 webhook 的，先在代理层检查请求头里多出来的字段。原文 · HN 讨论
37. 1377 个印度政府域名还在用被吊销的证书
Firefox 拦、Chrome 放，该信谁？
博主 Capt. Nemo 持续追踪 eMudhra 证书事件：10 月 17 日，8 个 eMudhra 中间 CA 的私钥被发现可以轻易恢复，次日吊销，Mozilla 与 Chrome 开始不信任 emSign G3 根证书；问题私钥最早可追溯到 2025 年 4 月，暴露约 18 个月，eMudhra 估计约 3 万张证书需要迁移。作者 10 月 24 日统计，有 1377 个印度政府域名挂着已吊销的证书，其中 811 个仍在对外服务，名单里包括 UIDAI 和印度证书认证监管机构本身。51 赞、22 条评论。两边浏览器表现相反：Firefox 经 CRLite 全部拦截，Chrome 与 Edge 的吊销清单尚未收录、照常打开。做站点运维的，吊销合规别只拿 Chrome 验证。原文 · HN 讨论
38. Proton 硬刚律师函，托管 30 万摄像头地图
被摄像头对着，连名单都不配知道？
Tom’s Hardware 报道，隐私公司 Proton 把 Flock 摄像头地图接过来托管在瑞士服务器：地图公开了超过 30 万台 Flock 摄像头的位置，项目作者此前收到 Flock 的停止侵权函，Proton 的表态是「用户有权知道谁在录他们」。两场上首页的帖子合计 139 赞。关心监控扩张的，这张地图是查证自家周边摄像头的一手入口。原文 · HN 讨论