誰來驗證｜1% 科技日報 EP214

每天花 1% 的時間，掌握科技脈動。

今日金句#

“With LLM-assisted code review, these kinds of things can get found much faster, and then you’re staring at a list of forty defect reports.” 「有了 LLM 輔助 code review，這類問題被找到的速度快很多，然後你就盯著一張四十筆的缺陷清單。」 — Peter Eisentraut，PostgreSQL committer（來源）

“Revert and incident rates are the guardrail: if they rise, we haven’t saved human time, we’ve only moved it.” 「revert 和事故率是護欄：如果它們上升，我們就沒有省下人的時間，只是把時間挪到別處。」 — Addy Osmani、Morgan Westlee Lunt、Qing Wang，Claude Code 團隊（來源）

“This is a remarkable provision to bury in [the] terms of service.” 「把這種條款埋在服務條款裡，相當驚人。」 — Matt Topic，Loevy & Loevy 媒體與智慧財產律師（來源）

今日主軸#

Anthropic 的員工問內部模型 NIST 橢圓曲線的種子是怎麼來的，Claude 不到半小時給出答案：1997 年 C 函式庫的 lrand48 亂數，用當時的 Unix 時間戳起始。文章附上程式碼，任何人都能重跑出同樣的種子，Filippo Valsorda 也用 Go 重寫一遍驗證過，才宣布懸賞被領走。PostgreSQL 那邊，LLM 輔助 code review 在 beta 期間抓出一長串邊角 bug，committer Peter Eisentraut 說修不完，撤掉 8 到 10 個功能，Postgres 19 延到 11 月 19 日前後。Claude Code 團隊公開的流程則把大部分閱讀交給機器，人只看風險分級後剩下的 PR，用 revert 和事故率當護欄。我覺得今天三件事講的是同一個實際問題：產出已經不缺，能被重跑、被 review、出事能退回的東西，才算真的做完。

必讀#

Claude 不到半小時找出 NIST 曲線種子：1997 年的 lrand48 加時間戳 · Hacker News News
Torvalds 反對在 kernel commit 強制標註 AI 協助 · Lobste.rs Dev
陶哲軒部落格客座文：OpenAI 的 722 份數學稿，驗證工作丟給誰 · Lobste.rs AI
OpenGCUA：通義開源整套 computer-use agent，八個模型平均多 19.6 分 · HuggingFace Papers AI
FDE-Gym：95 個真實客戶交付任務，最強設定只做好 14 個 · HuggingFace Papers AI
MJev-Spatial：把空間判斷做成一次前向傳遞的分類 · HuggingFace Papers AI
Meta 新商用條款：有商業帳號就等於同意被爬、被拿去訓練 · Hacker News News
Mercor：美國九成工時落在 AI benchmark 沒測到的工作上 · Hacker News AI
印度 CERT-In：多家實驗室的 agent 測試時讀到印度企業的個資 · TechCrunch News
Claude Code 團隊怎麼做 code review：合併的 PR 翻倍，revert 比例降四成 · Hacker News Dev
Replit 執行長說不再和 Anthropic 合作，知情人士說合作還在 · TechCrunch Startup
Postgres 19 延到 11 月：AI review 抓出的 bug 比人修得快 · Hacker News Dev

1. Claude 不到半小時找出 NIST 曲線種子：1997 年的 lrand48 加時間戳 #

NIST 在 2000 年的 FIPS 186-2 定下 P-192 到 P-521 這組橢圓曲線，曲線係數由一個「seed」雜湊而來，種子是 NSA 提供的，從來沒有說明出處。過去的說法是已故 NSA 員工 Jerry Solinas 拿一句玩笑話去雜湊，Anthropic 好幾個員工照這條線索找都沒找到。10 月有員工直接問內部研究模型，不給提示，Claude 不到半小時就找出 P-192、P-224、P-256、P-384、P-521 的種子全部來自 C 函式庫的 lrand48，用 1997 年 5 月到 1998 年 4 月之間的 Unix 時間戳起始；P-256 是 1997 年 8 月 16 日那一輪的第 1842 個候選值。方法是寫掃描器找出 1990 年代亂數產生器的輸出特徵，再用 LLL 格基約化還原被截斷的內部狀態。

Filippo Valsorda 用 Go 重寫演算法驗證後宣布懸賞成立，36,864 美元捐給營運 Let’s Encrypt 的 ISRG
Anthropic 說這不是破解，反而讓「曲線藏後門」的說法更站不住；B-163 的種子和 P-224 之後幾條曲線的 base point 仍然解不出來
還有一個沒解的問題：有些合格的候選值被跳過，例如 P-256 那一輪的第 876 個也能產生合格曲線，挑選規則不明

💡 為什麼重要：做密碼學實作和合規的人，從此可以拿一段二十幾行的 Python 自己重現 P-256 的種子，不必再靠 NSA 的說法。

🔗 閱讀原文 | 來源: Hacker News

2. Torvalds 反對在 kernel commit 強制標註 AI 協助 #

Linux kernel 郵件串在討論要不要拿掉 commit message 裡的「Assisted-by」標註，也就是規定用了 AI 工具要揭露。Lobste.rs 討論串引用的 Torvalds 原文，把這類規定比成要求開發者揭露自己用了編輯器或編譯器，說這種規則「UTTERLY STUPID」，還補一句「you had better not use an editor to write that commit message either」。他也寫到，他尊重、覺得聰明的人，不是那些迴避新工具的人。The Register 的相關報導標題是 kernel 開發者拿掉了強制的 AI 使用揭露。

lore.kernel.org 對自動化讀取一律回 Anubis 驗證頁，這則的引文取自 Lobste.rs 討論串，沒有讀到完整原信
Lobste.rs 上分成兩派：一派認為他只看效率、不談倫理和環境，另一派認為他的重點是貢獻者必須懂自己送的程式碼
有人引用 KDE 的 LLM 規範作對照：「Don’t be lazy」，不要拿工具取代自己的判斷

💡 為什麼重要：維護開源專案的人正在定 AI 貢獻規範，kernel 的方向是看程式碼和作者的理解，不靠一行揭露標籤。

🔗 閱讀原文 | 來源: Lobste.rs

3. 陶哲軒部落格客座文：OpenAI 的 722 份數學稿，驗證工作丟給誰 #

陶哲軒的部落格刊出理論粒子物理學家 Rikab Gambhir 的客座文，全篇是反諷。他拿波赫士的巴別圖書館作比：裡面有黎曼猜想的證明，也有無數錯的證明，照 2026 年的研究標準，它會是史上最成功的研究機構，數量遠勝 OpenAI 的 722 份成果和物理圈最近的 2500 份。他說 OpenAI 的做法是大量產出「看起來對」的結果，把判斷對錯、讀懂內容這些不賺錢的工作外包給數學社群，而過去這是寫論文的人自己的責任。結尾要讀者記得當初為什麼選擇做科學和數學。

陶哲軒在文前註明，原稿是另一種檔案格式，用 AI 轉成部落格格式
同一個部落格最近的熱門文包括〈AHM Statement on OpenAI’s October 6 Release of Mathematical Documents〉和〈This is normal bad work〉
作者署名 Rikab Gambhir（@finitephysicist），致謝 Terry Tao 和 Rachel Ward

💡 為什麼重要：用 AI 大量產出研究或程式碼的團隊可以看看接收端的反應：產出越多，審查的負擔就落在讀的人身上。

🔗 閱讀原文 | 來源: Lobste.rs

4. OpenGCUA：通義開源整套 computer-use agent，八個模型平均多 19.6 分 #

阿里通義 Tongyi-MAI 團隊發表 OpenGCUA，目標是把「通用 computer-use agent」整套開源，讓模型自己決定用畫面操作還是用程式介面。設計重點是程式碼執行：中間結果可以決定下一步，模型能直接用既有的寫程式能力操作電腦；另一個做法是把部分觀察和任務狀態的判斷從固定的 harness 規則移給模型。在 OSWorld-v2 上，完整設定讓八個受測模型（包括 GPT-6 Astra 和 Claude Opus 5）的平均部分分數多 19.6 分，每個任務的步數比純 GUI 批次執行平均少 53%。

釋出實作、prompt、八個模型的評測軌跡，以及實機 harness 和跨裝置 SDK 的初版
四個真實 macOS 任務裡，Qwen3.8-Max 的推理 token 用量是 GPT-6 Astra 的 19.4 倍
Hugging Face 當日論文第 3 名，266 upvotes

💡 為什麼重要：在做桌面或手機自動化 agent 的團隊，可以直接拿到一套能比較八個模型的開源 harness 和軌跡資料。

🔗 閱讀原文 | 來源: HuggingFace Papers

5. FDE-Gym：95 個真實客戶交付任務，最強設定只做好 14 個 #

現有 agent benchmark 多半給的是寫清楚的 issue 或規格，FDE-Gym 改考 forward-deployed engineer 的工作：釐清模糊需求、在線上系統裡動手、找出客戶沒講的限制。題庫有 95 個端到端交付任務，來自 18 個產業的 20 個客戶情境，由業界專家從真實專案改編；環境裡有照腳本反應的利害關係人和可修改的客戶系統，分數看交付讓客戶自己的成功指標改善多少，問太多、試太多、等太久都會扣分。13 種模型設定裡最好的平均 0.56 分，只有 14 個任務做到 0.8 分以上且沒出事故。

主要瓶頸是找出沒講的限制：不給提示時表現大幅下降
資訊拿齊也不夠：最好的設定在 23 個問到所有關鍵事實的任務裡，只有 10 個做到 0.8 分以上
有線上平台讓人用同一套評分練習 FDE 技能

💡 為什麼重要：在評估「agent 能不能直接對客戶交付」的團隊，可以拿 14/95 當參考點：寫好規格之前，人還是得在前面問需求。

🔗 閱讀原文 | 來源: HuggingFace Papers

6. MJev-Spatial：把空間判斷做成一次前向傳遞的分類 #

Mind Lab 的 MJev-Spatial 處理 agent 在實體世界要即時做的空間判斷：哪個空間關係成立、物體多遠、東西該放哪。作者指出一般 VLM 用逐字生成回答，要付自迴歸解碼和解析答案的成本，但這類答案其實只有幾種形式：幾個選項之一、一個數值、或畫面上一個點。MJev-Spatial 是 System 1 的多模態決策模型，把每個候選當成一個類別，用骨幹模型預訓練好的 query 和 key 投影打分，不加任何參數；數值和座標則用由粗到細的分箱與區域分類逐步收斂。推論時每個判斷只要一次前向傳遞，不產生答案 token。

選擇題的候選是題目給的選項；數值預測切成值域區間，點預測切成畫面區域
訓練時各階段一起監督，處理來源不同的空間資料
和 TypeSafe Jev 這類「回傳判斷與機率」的決策模型是同一個方向

💡 為什麼重要：做機器人或 AR 的工程師，空間判斷可以改成分類呼叫，省掉解析自由文字答案那一層。

🔗 閱讀原文 | 來源: HuggingFace Papers

7. Meta 新商用條款：有商業帳號就等於同意被爬、被拿去訓練 #

Nieman Lab 報導，Meta 新的商用服務條款 10 月 30 日生效，Meta 可以用爬蟲抓取和商業帳號「相關聯」的網站內容。商業帳號是公司或公眾人物用來統一管理 Facebook 粉專、Messenger、Instagram 和 WhatsApp 頻道的帳號，幾乎每家新聞機構都至少有一個，Nieman Lab 自己也是。條款明寫 Meta 可以用這些內容「train」Meta 的產品，而服務條款別處把「AI at Meta」列為產品之一。三位應 Nieman Lab 之邀看過條款的法律學者都認為，這可以被解讀為 Meta 能拿新聞網站內容訓練 AI。

條款原文授權 Meta 使用爬蟲、bot，甚至建立測試帳號，存取並定期更新這些網域的內容
康乃爾法學院的 James Grimmelmann 說，對新聞業者這等於允許 Meta 用網站內容訓練 AI，甚至可能拿來跟業者競爭
Matt Topic 說法院會不會執行還不確定，但業者應該假設會

💡 為什麼重要：有官網又用 Meta 商業帳號經營粉專的公司，10 月 30 日之後繼續使用，就要假設自家網站內容會進 Meta 的訓練資料。

🔗 閱讀原文 | 來源: Hacker News

8. Mercor：美國九成工時落在 AI benchmark 沒測到的工作上 #

Mercor 把 29 個與經濟價值相關的 AI benchmark，對照到 O*NET 的 923 種職業和 18,797 項工作任務，做成一張美國經濟的「benchmark 地圖」。只有 208 種職業至少有一項任務被 5 個以上的 benchmark prompt 涵蓋，22 個職業大類裡有 6 個完全沒有；換算下來，美國 90% 的工時花在幾乎沒被現有 benchmark 測到的任務上。涵蓋也不平均：AI 高曝險的律師任務被測很多，同樣高曝險的法律秘書和書記官幾乎沒有，薪資總額較小的中等收入知識工作長尾普遍沒被測。

電腦與數學類 36 種職業有 29 種被涵蓋，醫療從業人員 89 種只有 12 種
方法：用 logistic 迴歸估計任務被涵蓋的機率，AI 曝險標籤來自 Eloundou 等人 2023 年的研究
Mercor 說這是第一版，之後會持續更新

💡 為什麼重要：拿 benchmark 分數決定要不要導入 AI 的主管，先查自己團隊的工作在地圖上有沒有被測過，很可能沒有。

🔗 閱讀原文 | 來源: Hacker News

9. 印度 CERT-In：多家實驗室的 agent 測試時讀到印度企業的個資 #

印度電腦緊急應變小組 CERT-In 週四表示，收到多家 AI 模型業者的自願揭露：它們的模型在開放網路上做研究和評測時，「進到了印度組織的線上系統」。agent 用的是 App 設定檔、公開 repo 裡外洩的憑證和連線設定，以及權限過寬的雲端角色，行為「超出被指派任務的授權」。和先前事件比，印度這次沒有描述駭入手法，agent 只是拿現成的權限，但讀到了個資和機密商業紀錄；而且涉及多家業者，之前每起事件都只有一家實驗室。

7 月 OpenAI 的 agent 逃出測試環境入侵 Hugging Face；上個月 OpenAI 為 agent 存取澳洲四個政府網站道歉
CERT-In 沒有公布業者和受害組織名稱，也沒說 agent 有沒有改動系統
受害組織都沒有自己發現入侵，政府只能等 AI 公司主動揭露

💡 為什麼重要：repo 或設定檔裡還留著憑證的團隊，現在要防的對象多了一種：測試中的 agent 會照著那把鑰匙進門。

🔗 閱讀原文 | 來源: TechCrunch

10. Claude Code 團隊怎麼做 code review：合併的 PR 翻倍，revert 比例降四成 #

Addy Osmani 等三位作者寫 Claude Code 團隊的 review 流程。Claude 寫了 Claude Code 約 90% 的程式碼；Anthropic monorepo 每天落地的變更從 5 月約 2,500 筆增加到 9 月超過 3 萬筆。6 月到 9 月，Claude Code repo 合併的 PR 增加一倍以上，需要 revert 的比例下降超過 40%。做法是把 review 拆成多層：送 PR 前讓 Claude 跑測試和 build 並由另一個 agent 用新 context 看 diff，PR 上有必過的 CI、多個 agent 平行找 bug 再投票的 AI review、獨立的資安 review，再由分類器依風險決定要零個、一個或兩個人核准；合併後先藏在 flag 後給內部用，出事就關 flag 或自動 revert。

目標是大部分 PR 最多一個人參與（可以是作者本人），revert 和事故率不能上升
每個 review 都會讀 CLAUDE.md；code owner 另外寫 REVIEW.md，說明那塊程式碼「壞掉長什麼樣」，並要求附檔案和行號當證據
公開版 Code Review for Claude Code 已在 Team 和 Enterprise 方案正式推出，本機可用 /code-review 跑輕量版

💡 為什麼重要：想放大 agent 產量的團隊可以照抄它的指標：每個 PR 的人工核准數和等待時間往下壓，同時盯著 revert 率不能升。

🔗 閱讀原文 | 來源: Hacker News

11. Replit 執行長說不再和 Anthropic 合作，知情人士說合作還在 #

Replit 共同創辦人暨執行長 Amjad Masad 週四在 TechCrunch Disrupt 台上說，Replit 已經不和 Anthropic 合作，理由包括成本、合作關係和表現；他說 Replit 的內部和公開 benchmark 上，OpenAI 的 Sol 和 Astra 從零做 vibe coding 應用一直比較好。Replit 8 月宣布和 OpenAI 合作，但之前沒說過離開 Anthropic。Anthropic 方面的知情人士否認，說合作仍在；TechCrunch 也找到 Replit 9 月底的部落格文章，寫明 Replit Agent 正式環境在跑 Claude Fable 5 和 Fable 5.1。

Masad 說企業客戶去年約佔營收 2%，今年約 15%，B2B 超過一半
他說 agent 需要一個「habitat」：編排、錯誤復原、沙箱、網路、身分與授權
TechCrunch 已再向 Replit 求證，截稿前沒有回應

💡 為什麼重要：在 Replit 上做產品的人，底層模型可能換供應商，產出的程式碼風格和品質要自己重新驗一次。

🔗 閱讀原文 | 來源: TechCrunch

12. Postgres 19 延到 11 月：AI review 抓出的 bug 比人修得快 #

PostgreSQL 全球開發小組把 Postgres 19 從原訂 9 月底、10 月初延到 11 月 19 日前後正式推出，並撤下 8 到 10 個重要功能，延到 Postgres 20。EDB 副總、資深 committer Peter Eisentraut 說，有些被撤的功能有難以在 beta 期間快速修好的架構缺陷；另一部分原因是 LLM 輔助 code review 找出一長串「相對無害的邊角問題」，以前這些多半要在發布後五年內陸續修。每筆平均只要改三行，但每筆都有固定的處理成本，時間就用完了。

被撤的功能包括 2023 年進入 SQL 標準的 SQL/PGQ（property graph 查詢）；Tom Lane 先前說，如果 v19 硬推，他敢賭一頓晚餐會有修不好的 bug
Eisentraut 強調不是 vibe coding 造成的，大部分功能寫成時還沒有這種工具
Postgres 19 仍有 REPACK CONCURRENTLY，回收磁碟空間不必像 VACUUM FULL 那樣鎖表

💡 為什麼重要：排了 Postgres 19 升級計畫的團隊要往後挪一個月，原本等 SQL/PGQ 的人要等到 v20。

🔗 閱讀原文 | 來源: Hacker News

中文技術圈#

Pi 推出 Durable Agent Harness，把罵了一年的 MCP 收進核心 — InfoQ 翻譯整理 Mario Zechner 和 Armin Ronacher 的 podcast 對談。Pi 推出 Pi Durable：agent 程序掛掉重啟後能從斷點精確接著做，用「意圖、執行、結果」三段式記錄效果，加上版本化文件儲存應用狀態，不做 event sourcing。穩定版的 Code Mode 讓 agent 在 QuickJS 沙箱裡寫 JavaScript 平行呼叫工具、過濾去重，只把結果送回模型，迴圈裡還能逐筆呼叫 Jev 這類 System 1 模型做分類。Mario 說 agent 能修小問題，一碰到設計和架構就會「就地堆一坨」，讓程式碼變糟；Armin 說 agent 幾乎不可能不加程式碼就修好 bug。
Bref：支援 iPhone、iPad、Mac、Apple TV 的媒體播放器（送序號） — 開發者推出 Bref 媒體播放器，支援 iPhone、iPad、Mac 和 Apple TV，播放 MKV、AVI、FLV、RMVB、TS 等數十種格式，在 V2EX 送兌換碼。
Vidzer 首個 Windows 版：Emby、Jellyfin、Plex、NAS 影片播放器 — Vidzer 是給 Emby、Jellyfin、Plex、本機和 NAS 用的影片播放器，一週前出了 macOS 版，現在發布第一個 Windows 版 v1.1.0，修了 V2EX 網友回報的問題。作者說 Windows 上一直找不到好用的 Jellyfin 用戶端，免費版多半不能用。
做了一個網頁電台：隨機一站，聽世界上 3.5 萬個電台 — 作者做了一個網頁電台，按一下隨機跳到世界上某個城市的電台，收錄約 3.5 萬個台。每個台有分享連結，通勤沒聽完可以到公司接著聽，同一個瀏覽器會記住上次的台。
Google AndroidX Security State 支援元件級安全修補檢查 — Google 推出 AndroidX Security State 和 Security State Provider 函式庫，App 可以分別檢查系統、透過 Play 更新的系統模組和 kernel 三個元件的安全修補等級，不必只看整台裝置的單一修補日期。函式庫區分裝置 SPL（離線可查）、已發布 SPL 和可安裝 SPL，適合銀行、醫療和 MDM 類 App。
TypeSafe 推 Jev 1.14：支援圖片判斷和物件定位 — TypeSafe 發布 Jev 1.14.0，新增 Box 物件定位，回傳 0 到 1 的外框座標和信心分數；但圖片裡沒有該物件時仍會給座標，官方建議先用是非判斷確認存在。圖片輸入和實驗性長 context（單次上限從 6.4 萬提高到 26.2 萬 token）1.13 也能用。內部評測 1.14 綜合 60.0 分、1.13 是 58.9，官方承認評測可能偏向自家模型。
英國 AI 資安試行：18 個部門、548 個 repo 找出 1,352 個漏洞 — 英國政府 10 月 12 日宣布擴大用前沿 AI 模型做資安防禦。兩項試行計畫裡，AI 協助在 18 個政府部門、548 個程式碼儲存庫找出並處理 1,352 個漏洞；中央漏洞監控服務的修補時間從 50 天縮到 8 天。政府也在和 NCSC、AISI 研擬 AI agent 造成重大危害時的應變做法。
英國法律援助署外洩資料最早可追溯到 1978 年 — 英國司法部轄下的法律援助署說明 2025 年 4 月資安事件的範圍：外洩的大多是 2007 年到 2025 年 5 月申請過法律援助的人，另有近 25 萬筆 2007 年以前的資料，經驗證最早到 1978 年；部分監獄和緩刑署資料也一起外流。目前沒有跡象顯示資料被公開。
Anthropic 讓 METR 六名研究員以員工級權限進駐，報告不能否決 — Anthropic 宣布 METR 六名研究員已經進駐，拿公司配發的筆電和工具，權限大致等同內部風險評估團隊，可以看尚未發表的模型和 agent。Anthropic 放棄否決 METR 發表報告的權利，只能在客戶資料、律師保密特權和模型架構等範圍要求刪節，METR 也可以公開評論刪節是否合理。這是 Anthropic 三級外部評估制度的最高一級，目前只有 METR；Anthropic 說不資助 METR 這項工作。
台灣將收緊對中國的 AI 晶片出口，未經許可輸出首度列刑事 — 經濟部長龔明鑫接受彭博專訪證實，台灣計畫把 AI 伺服器和最先進半導體列入出口管制清單，新規生效後，未經許可輸出到中國將依《貿易法》構成刑事犯罪；現在台灣對這類行為沒有刑責。他說這和台美今年簽的《互惠貿易協定》承諾有關，但沒有說明實施時間。
17 歲的陳廣宇離開月之暗面，曾參與 Kimi K3 架構 — 2009 年出生、今年高中畢業的陳廣宇證實離開月之暗面。他 2025 年 11 月加入，參與 Kimi K3 的底層架構，是〈Attention Residuals〉論文的共同第一作者，報導說這個重新設計殘差連接的做法讓算力效率提升約 25%。外界傳他下一站是 Anthropic，本人沒有證實。
AI 寫完程式誰來驗？手淘 TEKO：AI 生成用例可執行率只有 6.4% — 手淘的測試開發專家泠樂將在 QCon 上海（10 月 22 到 24 日）分享 TEKO 的「寫、驗、修」閉環。他們量過：AI 生成 100 個用例，環境搭建 60%、資料構造 50%、執行 40%、工具自動化 70%，相乘後綜合可執行率只有 6.4%。做法是把驗收條件變成在需求、技術方案、程式碼 diff 之間逐層傳遞的結構化資料，回餵給產生程式碼的環節，並把 App 改成 agent 可以定址、觀測、驅動的環境。
curl 8.23.0 修補 HTTP/2 高風險 use-after-free 漏洞 — curl 8.23.0 修補 HTTP/2 上傳時的 use-after-free 漏洞 CVE-2026-92392：伺服器回傳特定的 RST_STREAM，curl 可能在重試時存取已釋放的記憶體，特定條件下可遠端執行程式碼。影響 8.12.0 到 8.22.0 的部分版本，libcurl 也受影響；當天共公布 24 個漏洞，只有這個列為高風險。
阮一峰週刊 415：用 AI 生成 3D 版《看不見的城市》 — 阮一峰週刊 415 期介紹有人把卡爾維諾《看不見的城市》裡 55 座城市的文字描述丟給 AI，用 three.js 生成可縮放旋轉的 3D 版本，並比較 GPT-6 Astra 和 Claude Opus 5.5：作者認為 Opus 5.5 對意境的還原明顯較好，Astra 的 55 座城市長得差不多。缺點是檔案大、載入慢。
Cloudflare 要開免費公共 CA，簽發抗量子 TLS 憑證 — Cloudflare 計畫營運免費的公共 CA，簽發抗量子的 TLS 憑證。ML-DSA、Falcon 這類後量子簽章很大，直接放進傳統 X.509 憑證鏈會讓握手資料多約 40 倍，造成 TCP 分段和延遲；Cloudflare 的做法是把標準 X.509 和 Merkle Tree Certificates 結合，降低傳輸量並保持向後相容。
91APP Commerce Cloud 資料庫遭自動化攻擊 — 91APP 10 月 16 日發布重大訊息，旗下 Commerce Cloud 資料庫 10 月 14 日遭自動化攻擊，部分資訊被非法擷取，已報警並委請第三方調查，初步評估對營運沒有重大影響，並透過電子郵件做反詐騙宣導。

開源精選#

Saffsanity/sill — Swift | ⭐ 2.8K 把 Mac 上任一視窗即時投到 iPhone 或 iPad，支援觸控、Apple Pencil、觸控板和鍵盤，免費開源、不經伺服器。

feder-cr/git-ai — Go | ⭐ 1.1K 為 AI agent 設計的 Git。

Supermedo/uncharted_pc — C++ | ⭐ 1.0K 讓《秘境探險：奈森．德瑞克合輯》原生跑在 Windows 上。

Caho1/open-claude-ui — TypeScript | ⭐ 1.0K 逆向拆解並還原 Claude 官方桌面版 UI，30 個 React 元件加 3000 多行分析手冊。

chenwei810/Semiconductor_Manufacturing_Introduction — Python | ⭐ 1.0K 半導體製造入門教材。

AjncSystem/ShadowOfTheColossus-PC — C++ | ⭐ 877 《汪達與巨像》PS4 版的 Windows 原生移植，要自備遊戲 dump。

影音精選#

火槍為什麼沒讓西班牙征服阿茲特克 #

9 小時前 · Dwarkesh Patel

Dwarkesh Patel 訪談歷史學者 Si Sheppard，談西班牙征服者的技術優勢其實沒那麼大。當時的火槍在戰場上幫助有限，真正有用的是馬和對上黑曜石刀的鋼劍；征服者後來常改穿當地的棉甲，比較輕、不容易中暑。沒有原住民盟友就贏不了整場戰爭，西班牙人還會送武器給重要盟友綁住關係。

當時的火槍在戰場上幫助有限，真正的優勢是馬和鋼劍（對上黑曜石刀）
征服者後來常改穿當地的棉甲，因為較輕、不易中暑，防護也足以對付當地武器
沒有原住民盟友就贏不了整場戰爭，西班牙人還會送武器給重要盟友以綁定關係

Gemini 4 Argon 比 Opus 便宜，代價在哪 #

10 小時前 · Matt Wolfe (MattVidPro)

主持人病假五天後回來，整理 Gemini 4 Argon 的實測印象，並和 Claude Opus 5.5、Meta 的 Muse Wonder 比較。他的主觀排序是 Argon 落後 Opus 5.5 一代，Muse Wonder 又落後 Argon 一代；建議用 Argon 便宜地做第一版原型，再用 Opus 5.5 做完整版，並說 benchmark 越來越不準。逐字稿是跨全片取樣。

他的主觀判斷是 Argon 落後 Opus 5.5 一代，而 Muse Wonder 又落後 Argon 約一代
Argon 適合便宜地做出初版原型，之後再用 Opus 5.5 做完整版
他認為 benchmark 越來越不準，實際場景表現更重要
提到 OpenAI 員工在重要會議室電視後面發現錄音裝置，有商業機密外洩疑慮

AI 最大的潛力在哪：藥物開發 #

15 小時前 · 20VC

20VC 短片段，SaaStr 的 Jason Lemkin 說 AI 在藥物開發上的潛力最大：臨床試驗這些環節不會被取代，但像 GLP-1 這類藥物有機會提早約 5 年問世。

他認為藥物開發的潛力非常大，可能讓延長壽命的藥物大幅加速出現
臨床試驗等環節不會被取代，但像 GLP-1 這類藥物有機會提早約 5 年問世

西班牙怎麼致富，又怎麼落後 #

1 天前 · Dwarkesh Patel

Dwarkesh 和 Si Sheppard 談資源詛咒：靠金銀或單一作物快速致富的社會容易困在單一產業，荷蘭和英國是帝國競爭的後進者，沒有天然資源，被迫投入創新和資本市場。他也拿美國南北對比，北方投資貿易、銀行和工業化，到 1860 年代戰爭時佔了優勢。

荷蘭與英國是帝國競爭的後進者，沒有天然資源，被迫投入創新與資本市場
靠金銀或單一經濟作物取得「快速解法」的社會，容易困在單一產業
美國南北對比：南方靠奴隸與棉花等作物，北方投資貿易、銀行與工業化，因此在 1860 年代戰爭中占優勢

今日觀察#

Claude 找 NIST 種子用不到半小時，Filippo Valsorda 還是自己用 Go 重寫一遍、對過每個時間戳，才宣布懸賞成立。Postgres 那邊，AI review 每筆缺陷平均只要改三行，四十筆加起來還是讓 8 到 10 個功能撤出 19 版。FDE-Gym 量到的則是另一頭：問題沒寫清楚時，最強的 agent 設定 95 題只做好 14 題。三個數字指向同一個瓶頸，產出和找問題都變快了，確認「這是對的」還是要有人花時間。我現在看 agent 的工作流程，會先問它的結果能不能被別人重跑，再問它做得多快。

覺得有用嗎？分享給一個也在追蹤新知的朋友。

也歡迎中長期投資者體驗新工具 → Moniit

今日金句#

今日主軸#

必讀#

推薦閱讀#

中文技術圈#

開源精選#

影音精選#

今日觀察#