← Digest
EP234 · 2026年11月6日星期五 · 15 分鐘閱讀 · Read in English

過長的密碼就能登入，提權路徑也能被一次掃出來

Alpine 上 OpenSSH 超過 256 字元的任意密碼就能登入；OpenAI 花 121 萬美元 API 找出 948 條 Linux 提權路徑

每天花 1% 的時間，掌握科技脈動。

今日金句#

「帳戶的密碼欄位是 *，理論上永遠不該接受任何密碼；在 musl 上，超過 256 字元的任意密碼都能登入。」 — ozgun kultekin，sshhole 作者，Wakefield（來源）

「對有資源的攻擊者來說，一台沒打最新修補的系統上拿到低權限帳號，功能上就等於拿到 root。」 — OpenAI Cyber team，OpenAI 資安團隊（來源）

今日主軸#

今天我一直在看出洞的速度。Alpine 上的 OpenSSH 從 2016 年就藏著一個 * 洞：金鑰專用帳號，攻擊者丟超過 256 字元的任意密碼就能登入；OpenAI 的 cyber 管線一輪花了 121 萬美元 API，在 Linux kernel 上驗出 948 條本地提權路徑。同一天，Claude Code 產品負責人 Cat Wu 轉投 OpenAI，Meta Muse 上了即時語音，Gemini Omni 1.2 Flash 把影片拉到 15 秒還降價 30%，DeepSeek 開源了 19,445 星的 dsh-superagent 原型。Builder 那邊，RevenueCat 教怎麼接 Apple Retention Messaging，Cloudflare 寫了一篇 Agents 不是人、但有點像人。

必讀#

  1. sshhole：Alpine／musl 上的 OpenSSH，金鑰專用帳號吃超過 256 字元的任意密碼：Lobste.rs Security
  2. OpenAI：一輪掃出 948 條 Linux 本地提權路徑，API 花了 121 萬美元：Hacker News Security
  3. DeepSeek 開源 dsh-superagent：聽 GitHub／飛書、自己開 work item、少吵人：GitHub AI
  4. Declarative Dragging：拖曳互動改成宣告未來狀態，UIST 2026 Best Paper：Lobste.rs AI
  5. Meta Muse 上線即時語音：頭像跟著說話動，美國 App 先開：The Verge AI
  6. Gemini Omni 1.2 Flash：原生 15 秒影片、多輪改、價格降 30%：Google AI AI
  7. Claude Code 產品負責人 Cat Wu 轉投 OpenAI，負責核心產品：InfoQ 中文 AI
  8. Dropbox 以 3.5 億美元買 Tigris Data，要做 DBX Agent Cloud：TechCrunch AI
  9. Servo 九月進度：圓角矩形、progress、typed arithmetic 等陸續落地：Lobste.rs Web
  10. Discord 放棄 Electron：桌面客戶端全面轉 Rust，CTO 秀 290MB 記憶體：The Verge Dev
  11. Cloudflare：Agents 不是人，但網站得用對待人的方式認它們：Cloudflare Blog AI
  12. Motorola Signature 27 預告支援 GrapheneOS，隱私手機又多一款可刷機：Hacker News Privacy

1. sshhole：Alpine／musl 上的 OpenSSH，金鑰專用帳號吃超過 256 字元的任意密碼#

12 分鐘・漏洞分析・Lobste.rs

為什麼你該在意：你的 Docker、OpenWrt、AWS／Azure 上的 Alpine 映像，只要開著密碼登入，金鑰專用帳號就可能被任意長密碼登入。

摘要：ozgun kultekin 在 sshhole.com 把這條洞從 1980 年講到 2026。Unix 用 * 標記「永遠不該用密碼登入」的帳號；musl 在 2012 年讓 crypt() 失敗時回傳 *，又把密碼長度卡在 256 bytes，超過就失敗、失敗就回 *。OpenSSH 為了防使用者列舉，會拿另一個真實帳號的 salt 去 hash 無效使用者的密碼；結果 * 帳號碰上 257–1024 bytes 的密碼時，crypt 失敗回 *，跟 shadow 裡的 * 比對竟然相等。Alpine 官方 advisory 同步要求立刻升級 openssh 並重啟 sshd，暫時解法是 PasswordAuthentication no。官方 AWS／Azure 映像的預設 alpine 使用者就是 *，而且有免密碼 doas。

  • 要點 1：影響條件：musl 上的 openssh（Alpine／OpenWrt／Buildroot／Yocto）、沒用 PAM 或 UsePAM no、PasswordAuthentication yes、機器上有 * 帳號且另有 $5$／$6$ 真實密碼帳號
  • 要點 2：修補是 OpenSSH 10.6p2；升級套件不夠，一定要重啟 sshd。glibc、走 PAM、Dropbear、OpenBSD 不受影響

社群反應：Lobsters 120 分、31 則留言（討論串）；Alpine advisory 在 HN 515 分、104 則留言（討論串）。作者說是用 agent swarm 丟了約 17,600 組怪異登入才撞到。

為什麼重要：我手上有 Alpine 容器和幾台 OpenWrt。今天會先 grep PasswordAuthentication，沒關掉的先關，再開 apk upgrade openssh 並重啟。金鑰專用帳號我也不再假設「沒密碼＝安全」。

2. OpenAI：一輪掃出 948 條 Linux 本地提權路徑，API 花了 121 萬美元#

長文・研究・Hacker News

為什麼你該在意：找洞的成本被模型壓下來之後，沒打補丁的低權限帳號，對有資源的攻擊者就等於 root。

摘要：OpenAI Cyber 團隊寫他們的自主漏洞管線：Scout 找出約 5034 個審計目標（約 280 萬行、kernel 的 7%），Analyst 12 小時產出 2308 個候選，動態驗證 30 小時重現 1724 個漏洞，最後做出 948 個可在一般發行版防護（SMEP／SMAP／KASLR）下拿到 root 的 LPE exploit，並產生候選 patch。整輪 API 花 $1,213,430，平均每個 LPE $1,279。七月用 GPT-5.6 Sol 只找到 166 個；十月新 cyber 模型多了五倍以上。他們抽樣 166 個 exploit，估出至少 10 種對專家也新的利用手法。kernelCTF 環境另跑出 21 個 LPE，API 約 $32,936。

  • 要點 1：管線五段：發現、動態驗證、可利用性評估、生 patch、人工審；假陽性在分析階段只有 3.1%
  • 要點 2：掃描進行的 10 天內，社群已修或暫存超過 100 個 LPE、約 300 個公開討論；OpenAI 依維護者建議先送關鍵報告，其餘走 Patch the Planet 夥伴

社群反應：HN 468 分、349 則留言（討論串）。X 新聞彙整也把這則當今天科技頭條之一。

為什麼重要：結論那段我抄進筆記：未來幾年，有洞幾乎就會被 frontier 模型找到。伺服器映像和 CI runner 的 kernel／套件更新，我會改成「出了就打」，不再排下個維護窗。

3. DeepSeek 開源 dsh-superagent：聽 GitHub／飛書、自己開 work item、少吵人#

repo・19,445 stars・GitHub

為什麼你該在意：你如果在組「團隊級 coding agent」，這份原型把授權、執行、面板和哲學文件一次攤開。

摘要：DeepSeek 標成研究原型、不是正式產品，MIT 授權，TypeScript。它掛在 DeepSeek Harness 上，聽 GitHub，也可選飛書；允許清單裡的人一叫，它開 work item、在自己的 session 和目錄做事，最後用 PR 或原對話回覆。網路面板列出需要人拍板的項目。README 強調原則：少佔人的注意力、多交付有用結果；只有被叫到、或團隊寫好的規則允許時才動手。文件從 000 Philosophy 編到 008 Cookbook，安裝建議直接叫你的 coding agent 讀 SETUP.md 帶你做。10 月 31 日建 repo，到今天約 19,445 星。

  • 要點 1：作者提醒：很多工程是 coding agent 寫的，風格不一致，可能有 bug，上線前要自己審
  • 要點 2：pnpm check 跑 typecheck、測試和建置；授權模型、執行模型各有獨立文件

為什麼重要：我會先讀 000 Philosophy 和 002 Authorization。團隊 agent 最容易變成「一直吵人」，這份把「什麼時候該說話」寫成原則，值得抄。

4. Declarative Dragging：拖曳互動改成宣告未來狀態，UIST 2026 Best Paper#

論文／demo・Lobste.rs

為什麼你該在意：你如果做圖表、編輯器或教學互動，拖曳邏輯通常是一堆幾何與動畫雜訊，這篇把問題反過來。

摘要：Joshua Horowitz、Andrew Blinn、Jeffrey Heer 的系統拿下 UIST 2026 Best Paper。作者不直接寫拖曳的幾何、回饋和動畫，而是為每個可拖元素宣告「拖過去會進到哪些未來模型狀態」；引擎推測渲染那些狀態、取出元素位置，再合成流暢的 drag-and-drop。函式庫叫 Dragology，有 PDF、五分鐘影片、可探索補充頁和 npm 套件。Lobsters 109 分。

  • 要點 1：模型驅動：介面作者只聲明可達狀態，引擎負責把多個可能世界合成一次拖曳
  • 要點 2：目標族群寫得很清楚：教育、遊戲、數學工具、創作工具，不想為拖曳寫一堆樣板程式的人

社群反應：Lobsters 109 分、3 則留言（討論串）。

為什麼重要：Flutter 的 Draggable／DragTarget 還是命令式。下次做複雜對齊或磁吸編輯器，我會先畫「可達狀態表」，再決定要不要自己做一層宣告式包裝。

5. Meta Muse 上線即時語音：頭像跟著說話動，美國 App 先開#

3 分鐘・產品・The Verge

為什麼你該在意：消費級個人 agent 開始從打字轉成語音，產品預設互動方式會變。

摘要：Jay Peters 實測：Mark Zuckerberg 在 Threads 宣布後，美國 iOS App 已可跟 Muse 即時語音對話，對話頂部的頭像會跟著說話動畫；語氣可直接跟 agent 說，或在頭像設定裡挑。回應整體快，查資料時還是會停一下。功能先在美國 App 推出，Meta AI 眼鏡「很快」，今年要出的 Muse Charm 硬體也會有。TechCrunch 另寫美國用戶現在還能跟 Muse 頭像視訊聊天。

  • 要點 1：官方說法見 Meta Newsroom〈Introducing Muse AI Voice & Expressive Avatars〉
  • 要點 2：Peters 把自己的 Muse 頭像設成 Zuckerberg，說看數位 Zuckerberg 對自己說話很怪，也調不出原本的 Zuck 嗓音

為什麼重要：語音 agent 一流行，App 的「可被念出來」文案會變重要。我之後寫錯誤訊息會避免過長、也少放只在畫面上看得到的符號。

6. Gemini Omni 1.2 Flash：原生 15 秒影片、多輪改、價格降 30%#

產品更新・Google AI

為什麼你該在意：你如果用 API 大量生短影音或廣告變體，長度、單價和「改一點不用重跑」決定成本。

摘要：Google DeepMind 產品經理 Anish Nangia 宣布 Gemini Omni 1.2 Flash 在 Gemini API 與 Google Cloud 正式 GA。原生影片最長 15 秒（1.1 是 10 秒），可按 3–15 秒每秒指定；多輪對話改背景、商品、光線、比例，不用整段重跑；參考圖、最多 3 秒動作片段和聲音提示的貼合度提高。720p 報價 $0.07／秒，比 1.1 降 30%。工作流建議先用 360p／720p 草稿，改完再升 1080p／4K。輸出帶 SynthID 浮水印，Provisioned Throughput 可用。

  • 要點 1：Flow、Google Vids、Gemini App（AI Ultra）、Google Ads 會陸續接上 15 秒能力
  • 要點 2：官方仍點名快速運動、急劇腳本切換、複雜物理是繼續改進項

為什麼重要：短影音管線我會改成「先便宜草稿、多輪改、最後升畫質」。15 秒剛好夠一則 IG／Threads 完整說明，不必再硬接兩段 10 秒。

7. Claude Code 產品負責人 Cat Wu 轉投 OpenAI，負責核心產品#

3 分鐘・人事・InfoQ 中文

為什麼你該在意：你每天用的 coding agent 產品方向，決策者換邊了。

摘要：InfoQ 中文整理：Cat Wu 10 月 30 日離開 Anthropic，11 月 4 日在 X 宣布加入 OpenAI 做核心產品的產品管理，會跟 Tibo（Thibault Sottiaux）合作做「你能掌控的 agent」。她 2024 年進 Anthropic，跟 Boris Cherny 把 Claude Code 從內部工具做成開發者產品，也碰過 Cowork。2025 年她曾跟 Cherny 短暫去 Cursor 又回 Anthropic，這是第二次離開。X 新聞彙整把這波 Anthropic 人才流向 OpenAI，跟 Anthropic IPO 準備放在一起談。

  • 要點 1：她回憶第一次用 Claude Code：花幾十小時引導模型搭強化學習環境，自己沒寫一行 code，從此加入團隊
  • 要點 2：她對比兩年變化：早期幾乎每步要人批准、多用在問問題和寫測試；現在能做大規模遷移、甚至從零做產品

社群反應：X 上的相關趨勢帖把她與 Austin Lau 等離職放在同一波討論。

為什麼重要：工具會跟著產品負責人的品味走。我短期不會換掉 Claude Code，但會多盯 OpenAI 這邊 agent 產品的公開路線。

8. Dropbox 以 3.5 億美元買 Tigris Data，要做 DBX Agent Cloud#

4 分鐘・併購・TechCrunch

為什麼你該在意：物件儲存又被打包成「給 agent 用的雲」，S3 相容層會多一個大廠選項。

摘要：Lauren Forristal 報導：Dropbox 宣布以 3.5 億美元收購 Tigris Data，像是該公司歷來最大收購，預期 2026 年 Q4 完成，目前說不裁員（上月才裁了 9% 全球人力）。目標是強化 AI 基礎建設、推出面向企業與開發者的 DBX Agent Cloud；第一階段先賣獨立物件儲存，相容既有 S3 工具。Dropbox 也說核心產品會讓使用者用 AI 對檔案做事、選模型，並接到 ChatGPT、Claude、Muse 等第三方。

  • 要點 1：DBX Agent Cloud 先以 object storage 單賣，強調跟 Amazon S3 API 相容
  • 要點 2：同一則提到公司要擴充更多 agent 雲能力，細節之後再談

為什麼重要：Agent 工作負載開始有專用儲存品牌。我短期還是 S3／GCS，但評估「agent 產物要落地哪」時會把 Dropbox 這層加進選項。

9. Servo 九月進度：圓角矩形、progress、typed arithmetic 等陸續落地#

引擎月報・Lobste.rs

為什麼你該在意：非 Chromium 的瀏覽器引擎還在往前走，WebView／嵌入式場景多一個選項。

摘要：Servo 專案公布 2026 年 9 月進度：圓角矩形相關工作、:checked 偽類、user-select、<progress>、CSS typed arithmetic、alpha()、font-width，以及一批 DOM API（CSSRule.parentRule 等）。Lobsters 46 分，也出現在 HN。

  • 要點 1：貢獻者名單寫在各 PR，月報以功能點為主，不是效能跑分
  • 要點 2：Servo 持續以 Rust 重寫瀏覽器引擎堆疊，目標是可嵌入、可實驗

社群反應：Lobsters 46 分（討論串）。

為什麼重要：我沒打算換掉日常瀏覽器，但做「只顯示特定網頁」的桌面殼時，會再看一眼 Servo 能不能嵌。

10. Discord 放棄 Electron：桌面客戶端全面轉 Rust，CTO 秀 290MB 記憶體#

2 分鐘・架構・The Verge

為什麼你該在意：Electron 桌面 App 記憶體罵名太久，大廠開始真的搬出去。

摘要：Tom Warren 報導：Discord CTO Stanislav Vishnevskiy 在 X 說，公司 2018 年起就用 Rust，基礎建設、語音、部分客戶端已是 Rust，「聖杯」是整顆客戶端都過去，Electron 與 React Native 都會拿掉；行動端保留原生 UI，但跟桌面共用 Rust 應用程式碼。他貼了 Windows 客戶端約 290MB RAM 的圖，對照現況開幾個伺服器就容易破 1GB。何時測試還沒定，只說希望很快給使用者測。HN 344 分、298 則留言。

  • 要點 1：行動端：原生 UI + 與桌面共享的 Rust 應用層
  • 要點 2：時程未定，官方說法是 hope to get it into testing with users soon

社群反應：HN 344 分、298 則留言（討論串）。

為什麼重要：我沒在做 Electron 殼，但客戶常問「為什麼桌面 App 這麼吃記憶體」。這則可以當「大廠也承認該搬走」的例子。

11. Cloudflare：Agents 不是人，但網站得用對待人的方式認它們#

15 分鐘・架構・Cloudflare

為什麼你該在意：你的 API／網站如果開始被個人 agent 代操作，身分、信譽、誰負責會變三個必答題。

摘要：Bryan Becker 寫 Personal AI Agents（Muse、OpenAI dots 這類託管在 Operator 雲端的）本質是中介：網站看到的是 Agent，不是後面的 User，一個 Agent 還可能同時服務很多人。網站不能再靠「擋住中介流量」混過去，因為 agent 流量可能變成主流。他提出 Intermediation Principle：不管中間有幾層，User 與 Site 的商業關係和資安責任都要站得住，工具還是 Identity、Reputation、Accountability 三件。本地／開源跑在使用者裝置上的 agent 不在這篇主範圍。

  • 要點 1：遠端託管 agent 才是主討論對象；本機 OpenClaw 或使用者自己瀏覽器裡的 agent 另談
  • 要點 2：文章很長，核心是呼籲生態系長出「網站仍認得出背後使用者」的機制

為什麼重要：Flexii／HerFIT 若開放「讓 agent 代使用者操作」，我會先要求可驗證的使用者委派，不接受匿名雲端瀏覽器一把抓。

12. Motorola Signature 27 預告支援 GrapheneOS，隱私手機又多一款可刷機#

硬體・Hacker News

為什麼你該在意：不想用 Pixel 也能跑 GrapheneOS 的選擇一直很少，這則在 HN 很吵。

摘要：Motorola News 報導 Signature 27 系列將支援 GrapheneOS。HN 342 分、242 則留言，討論焦點在「非 Pixel 能否維持 GrapheneOS 的安全模型」和上市細節。

  • 要點 1：目前是支援宣告／報導階段，實機與解鎖流程以官方與 GrapheneOS 後續文件為準
  • 要點 2：社群在比對 Pixel 以外裝置的 AVB／解鎖限制

社群反應：HN 342 分、242 則留言（討論串）。

為什麼重要：我自己還是 Pixel 路線，但會跟問「有沒有非 Pixel 可以刷 Graphene」的朋友說這則可以列入觀察。

推薦閱讀#

其他值得關注#

Builder 雷達#

1. RevenueCat：Apple Retention Messaging API 怎麼接到訂閱挽留#

教學影片・RevenueCat

為什麼你該在意：App Store Connect 的 Retention Messaging 已開，trial 跟正式訂戶可以分開訊息、還能 A/B。

RevenueCat 官方帳號在 X 發影片連結（約 1,850 次曝光），講怎麼用他們的 SDK／後台接 Apple Retention Messaging：依 trial vs subscriber 切文案、測不同 offer。影片標題是 Implementing the Apple Retention Messaging API。

對你的 App 代表什麼：Flexii／HerFIT 若走訂閱，挽留訊息不該再只靠一封通用信。我會先在 RevenueCat 開一組 trial 專用文案做小流量測試。

2. 網站怎麼承認「背後有使用者的 agent」#

架構長文・Cloudflare

為什麼你該在意：個人 agent 開始代逛、代點、代填表，你的後端會先碰到身分問題。

Cloudflare 的 Intermediation Principle 把 Identity／Reputation／Accountability 重新講一遍，對象是託管型 Personal AI Agents。

對你的 App 代表什麼：若要開放 agent 代操作，我會要求短效、可撤銷的使用者委派 token，並把 agent 流量跟真人流量分開記。

3. Vercel Token Pass 額度自動進 AI Gateway#

Changelog・Vercel

為什麼你該在意：你如果用 Vercel AI Gateway 算 token 帳，額度規則變了。

Changelog：Token Pass credit 現在會自動套用到 AI Gateway，不用手動對。

對你的 App 代表什麼：有買 Token Pass 的專案，帳單頁先對一下本月 Gateway 用量是否已扣到 Pass。

4. 美國 OCC：銀行 AI 框架把自主付款 agent 列最高風險#

監理・科技報橘

為什麼你該在意：你的 App 若讓 agent 動錢，監理敘事已經把這格塗成紅的。

OCC 首度發布銀行 AI 監理框架，自主付款／agentic 操作被點名，人工監督是寫進去的要求。

對你的 App 代表什麼：付款相關自動化我會維持「計畫先給使用者看、確認後再送」；不能一鍵讓 agent 轉帳。

5. PostHog：分析產品變了，事件模型要一起改#

通訊・PostHog

為什麼你該在意：App 還在用舊的 pageview 思維記事件，報表會越來越不准。

PostHog 這期通訊直接講 analytics 產品怎麼變、團隊該怎麼調事件與漏斗。對照我們自己的 PostHog 專案，適合當這週的 checklist。

對你的 App 代表什麼：我會把 Flexii／HerFIT 的核心轉換事件再對一次命名，避免 agent 自動埋點長出一堆沒人看的事件名。

6. Claude Personal Finance：助理直接看支出、甚至接銀行#

產品・TechCrunch／The Verge

為什麼你該在意：消費級助理開始碰帳戶與金流，權限與撤銷會變成產品必考題。

TechCrunch 寫 Claude 新 Personal Finance 工具可分析支出；The Verge 同步提到能接銀行帳戶。跟 OCC 把自主付款 agent 列高風險是同一條監理敘事。

對你的 App 代表什麼：我們若做「助理幫你看訂閱帳單」，會先做唯讀、可一鍵撤銷的銀行連線，不給寫入轉帳。

社群在吵什麼#

1. Ask HN：你現在的 AI agent 工作台長怎樣？#

614 則留言，今天討論串最長之一。大家貼自己的 Claude Code／Codex／Cursor／自架 harness 組合，爭論點在「要不要讓 agent 碰正式憑證」和「一個 repo 一個 agent 還是一台共用」。跟 DeepSeek 開源的 dsh-superagent 同一天出現，對照很好。 這串跟今天必讀的資安／agent 主題重疊，留言裡的實務細節值得掃過。

2. OpenAI 948 條 LPE：防禦方趕得上嗎？#

349 則留言。一邊算 API 成本跟 bounty 倍率，一邊擔心漏洞公開節奏會不會快過維護者。也有人把這則跟昨天 PHP2Shell、今天 sshhole 串成「AI 讓舊洞變貴」。 這串跟今天必讀的資安／agent 主題重疊，留言裡的實務細節值得掃過。

3. Discord 丟 Electron：Rust 桌面真的比較省嗎？#

298 則留言。有人慶祝，有人問跨平台 UI 怎麼維護，也有人拿自己的 Electron App 記憶體數字來對 290MB。行動端「原生 UI + 共用 Rust」被拿出來當模板討論。 這串跟今天必讀的資安／agent 主題重疊，留言裡的實務細節值得掃過。

4. 非 Pixel 跑 GrapheneOS，信任邊界還在嗎？#

242 則留言。焦點在解鎖、AVB、更新通道，不一定在 Motorola 行銷文。想換隱私手機的人正在等 GrapheneOS 官方怎麼寫支援範圍。 這串跟今天必讀的資安／agent 主題重疊，留言裡的實務細節值得掃過。

中文技術圈#

1. Claude Code 产品负责人 Cut Wu 官宣加入 OpenAI#

（InfoQ 中文）：Cat Wu 10/30 離開 Anthropic，11/4 宣布加入 OpenAI 做核心產品 PM，會跟 Tibo 做可被使用者掌控的 agent。

2. OpenAI收購Pierre，擴充Codex程式碼管理與審查能力#

（iThome）：OpenAI 買下 Pierre，把程式碼儲存與 diff／審查能力併進 Codex；Trees、Diffs 函式庫過渡期仍開源。

3. 自主付款 Agent 列最高風險？美國 OCC 首度發布銀行 AI 監理框架#

（TechOrange 科技報橘）：OCC 銀行 AI 框架把自主付款 agent 列最高風險，人工監督寫進要求。

4. OpenAI揭露AI助理個人化瓶頸，模型仍難善用過往對話#

（iThome）：OpenAI 公開討論助理個人化瓶頸：模型仍不擅長穩定使用過往對話脈絡。

5. MCP C# SDK 2.0 默认启用 HTTP 无状态模式，新增多轮请求能力#

（InfoQ 中文）：.NET 接 MCP：2.0 預設 HTTP 無狀態，並支援多輪請求。

6. 開啟 Mac 的下一世代：MacBook Pro (PROLED XDR) 首发体验#

（少數派）：少數派首發體驗新 MacBook Pro 螢幕與續航細節。

7. 公路局擬擴大推動無人機AI巡檢，結合3D建模、AI影像辨識提升橋梁與邊坡養護效率#

（iThome）：台灣公路局要把無人機 AI 巡檢擴大到橋梁與邊坡，結合 3D 建模與影像辨識。

8. 熱門遊戲《勝利女神：妮姬》遭遇供應鏈攻擊，玩家電腦恐被植入竊資軟體#

（iThome）：遊戲更新通道被下手，玩家電腦可能被放竊資軟體，又一起供應鏈案例。

9. Debian、Ubuntu修補高風險APT套件漏洞，中間人可替換套件取得root權限#

（iThome）：APT 高風險洞：中間人可替換套件拿到 root，記得更新。

10. PHP 修复了两处已遭到攻击的严重远程代码执行漏洞#

（InfoQ 中文）：PHP 修兩處已在野的嚴重 RCE，接續昨天 PHP2Shell 技術債主線。

11. 【科技早餐】Google 力挺 Anthropic 190 億美元資料中心租約！SpaceX 攜高通建 5G 網路#

（TechOrange 科技報橘）：早餐速覽：Google 與 Anthropic 資料中心大額租約、SpaceX 與高通 5G。

12. 模型之外，腾讯还在补什么？#

（InfoQ 中文）：騰訊在模型之外補的產品與基礎設施拼圖。

開源精選#

1. deepseek-ai/dsh-superagent-prototype#

：TypeScript | 19,445 stars

DeepSeek 研究原型：聽 GitHub／飛書的 coding agent，強調少吵人、有授權模型與面板。MIT。

2. patch-gg/pixelfx#

：JavaScript | 5,245 stars

244 個 pixel art 效果，附 Claude Code skill 自己做新效果。

3. worldonlyu/Google_AI_Pro_2Year_ZeroCost_Auto#

：Shell | 2,258 stars

自動化處理 Google AI Pro 相關流程的腳本向 repo；使用前請自己審腳本與權限。

4. declarative-dragging/dragology#

：TypeScript | 0 stars

Declarative Dragging 論文的參考實作 Dragology（npm 套件同名）；細節以官網與論文為準。

5. thearkxd/store-screenshots-skill#

：n/a | 0 stars

X 上有人分享：用真實 App 畫面產 App Store／Play 截圖的 AI skill。

影音精選#

Implementing the Apple Retention Messaging API#

— 次觀看 · 2026-11-05 · RevenueCat

為什麼你該在意：訂閱 App 接 Apple 挽留訊息的最短路徑。

  • Trial 與正式訂戶可分開文案
  • 可搭配 offer 做 A/B
  • RevenueCat 後台設定示範
  • 逐字稿未完整取得，重點取自標題、說明與相關貼文

Declarative Dragging（UIST 2026 五分鐘介紹）#

— 次觀看 · 2026-11 · JH

為什麼你該在意：跟必讀論文同一組作者的介紹影片。

  • 宣告未來狀態取代手寫拖曳
  • 現場 demo 合成拖曳
  • Best Paper 背景
  • 逐字稿未完整取得，重點取自標題、說明與相關貼文

Which AI is the best liar?#

— 次觀看 · 2026-11 · Dwarkesh Patel

為什麼你該在意：模型說謊能力對齊討論，適合當通勤長內容。

  • 評測不同模型的欺騙表現
  • 對齊／安全語境
  • 訪談節奏
  • 逐字稿未完整取得，重點取自標題、說明與相關貼文

今日觀察#

今天我把 sshhole 跟 OpenAI 那則對照來看。一個是 2016 年就埋在 musl 與 OpenSSH 交接處的邏輯洞，作者靠 agent swarm 丟大約 17,600 組怪登入才撞到；一個是花 121 萬美元 API、用新 cyber 模型把 Linux 提權路徑一次掃出 948 條。找洞比修洞快，而且差距還在拉大。

我會先做這幾件。Alpine 映像先把 PasswordAuthentication 關掉並重啟 sshd，再 apk upgrade openssh；伺服器補丁改成出了就打，不再排下個維護窗；面試或第三方 repo 繼續用 VM／devcontainer 隔離跑。OpenAI 那句「沒打補丁的低權限帳號，對有資源的攻擊者就等於 root」，我會貼在團隊頻道，也提醒自己：家裡的 OpenWrt 跟雲上的 Alpine CI image 都在範圍內。

Cat Wu 轉投 OpenAI、Muse 開口說話、Gemini Omni 加長又降價，是同一天的另一條線：agent 產品還在搶人、搶互動入口。Cloudflare 提醒網站遲早要承認「背後有使用者的 agent」，RevenueCat 則把 Apple Retention Messaging 接進訂閱挽留，OCC 又把自主付款 agent 塗成紅燈。我短期工具不換，但會把「agent 憑證」和「使用者委派」兩件事寫進這週待辦，付款相關自動化也維持先給使用者看計畫再送出。

同期還有