← Digest
EP235 · 2026年11月7日星期六 · 14 分鐘閱讀 · Read in English

登入信箱被塞進 User-Agent，安全手機卻進不了銀行

Claude Code 把登入 email 塞進 User-Agent；荷蘭理想主義銀行 ASN 用 Play Integrity 擋住 GrapheneOS

每天花 1% 的時間，掌握科技脈動。

今日金句#

「我每天收到幾十封詐騙信，因為 Claude Code 在我沒同意的情況下，把我的 email 塞進 User-Agent，寄給它搜過的每一個網站。」 — taylor-edwards，GitHub issue #107757 回報者（來源）

「產品還不夠好，撐不起這些成本。你不能叫人家在後院聽資料中心嗡嗡響，只為了換 AI overview 跟一堆笑不出來的 deepfake。」 — Nilay Patel，The Verge（來源）

今日主軸#

今天一直在想一件事：我們的身分，到底被誰拿走、又被誰擋在門外。

先說 Claude Code。它把你登入用的 email 放進模型看得到的地方，結果模型自己寫 curl 去抓網站時，順手把你的信箱塞進了 User-Agent。你什麼都沒做，信箱就這樣送出去了。Anthropic 已經出來道歉，下週會把 email 從上下文拿掉。

另一邊是荷蘭的 ASN Bank。用 GrapheneOS 的人，因為過不了 Google 的 Play Integrity，直接不能用 iDEAL 付款。手機明明更安全，卻被判定「不符合安全要求」。

這兩件事疊在一起，我覺得很有感：為了方便或合規，系統預設多拿一點你的身分資訊，最後買單的卻是使用者。

Agent 工具還是一直往前衝，Meta、GitHub、騰訊、Cloudflare 今天都有新東西。工具越來越強，但信任的邊界一次次被戳破，這是我今天最想記住的事。

做 App 的朋友也留意一下：CHAI 這種賺很多的 AI 聊天 App，突然在好幾個國家的 App Store 被下架了。

必讀#

  1. Claude Code：登入 email 被塞進 User-Agent，寄給它造訪過的網站：Hacker News 漏洞／隱私
  2. ASN Bank：理想主義銀行用 Play Integrity 擋住 GrapheneOS 的 Wero 支付：Hacker News 隱私／支付
  3. BUI：把 Blender 的 GPU UI 拆成跨語言函式庫，HN 稱比 GPUI 快：Hacker News 1,278 stars
  4. CVE-2026-83844：Windows Paint 遠端程式碼執行，CVSS 8.1：Hacker News 資安
  5. Meta Muse Spaces：用一句話生成專案空間，可接第三方 App 背景更新：TechCrunch 產品
  6. Chimera Linux：讓 musl 跑起 NVIDIA 專有驅動：Lobste.rs 系統
  7. Palo Alto Networks 洽購 AI agent 資安新創 Clutch，約 5 億美元：TechCrunch 併購
  8. GitHub：Agentic engineering 實作指南，涵蓋 Plan／Build／Verify／Observe：GitHub Blog 工程
  9. 騰訊輕量雲開源 LoopForge：團隊級自進化 Coding Agent 平台：InfoQ 中文 開源／平台
  10. tsrs：Cloudflare、VoidZero 的 TypeScript 編譯器 Rust 移植，AI agent 主導完成：InfoQ 中文 工具鏈
  11. 逾 800 套 Artex AI 滲透工具裸露在公網：TechCrunch 資安
  12. Nilay Patel：產品不夠好，撐不起資料中心的成本：Simon Willison 評論

1. Claude Code：登入 email 被塞進 User-Agent，寄給它造訪過的網站#

長文・漏洞／隱私・Hacker News

為什麼你該在意：你如果用 Claude Code 做網頁搜尋或 curl，對方伺服器日誌裡可能已經有你的工作信箱。

摘要：taylor-edwards 在 #107757 回報，Claude Code 會在 User-Agent 放登入 email，他因此一天收到幾十封詐騙信。Anthropic 員工 Lydia Hallie 在 HN 說明：為了減少模型亂填 @author，上下文加了 OAuth email；模型寫 curl 時，遇到 Wikipedia／SEC 這類要求聯絡信箱的站，就會把信箱填進去。暫時解法是 2.1.317+ 的內建 cc-plugin-privacy（預設開）；下週會把 email 從上下文移除。多名使用者回報 privacy mod 擋不完：腳本用 Edit 寫進檔案再執行、或只帶專案名不帶 email 的 UA，都還會漏。社群另有 whoami-guard 這類 PreToolUse hook。X 上 The_Cyber_News 等帳號同步擴散（貼文，64 讚）。

社群反應：HN 1,542／487；GitHub issue 持續湧入；X 新聞串同步（X 新聞彙整）。

為什麼重要：我每天用 coding agent 抓文件。今天會先更新 Claude Code，改用拋棄式信箱，並在 hook 裡擋帶自己信箱的 User-Agent。公司帳號那台也會同步升版，不留舊的 2.1.311。

2. ASN Bank：理想主義銀行用 Play Integrity 擋住 GrapheneOS 的 Wero 支付#

長討論・隱私／支付・Hacker News

為什麼你該在意：你如果在意「歐洲支付主權」或自架 Android，銀行 App 正在把 Google 認證變成預設門檻。

摘要：PrivSec 相容回報 #105 近幾天被灌爆。ASN 從 1.36.3 起對 iDEAL｜Wero 走 Google Play Integrity；GrapheneOS 用戶看到「手機或 App 安裝不符合安全要求」。多份正式投訴回覆幾乎同稿，把責任推給 iDEAL｜Wero 的共同安全框架。EPI／Wero 回信主張硬體 key attestation 只證明金鑰在 TEE，不夠證明 App／OS 完整性，所以要 Play Integrity；開發者引用 GrapheneOS attestation 文件指出這說法不正確。bunq、Triodos、N26、Fortuneo 等在 GrapheneOS 上仍有人能完成 Wero，ASN 選了較嚴路徑。Motorola Signature 27 支援 GrapheneOS 的新聞也被拿來當談判籌碼。

社群反應：HN 高討論；議題從「App 壞了」轉成「歐洲關鍵基礎設施依賴美國 attestation」。

為什麼重要：我做 App 若要接裝置完整性，會先分清硬體 attestation 跟 Play Integrity 各自證明什麼，不要只抄最嚴的那一檔。

3. BUI：把 Blender 的 GPU UI 拆成跨語言函式庫，HN 稱比 GPUI 快#

repo・1,278 stars・Hacker News

為什麼你該在意：你如果在找原生感、低耗電的桌面 UI runtime，又想避開 Electron，這是今天社群最熱的選項之一。

摘要：ppmpreetham/BUI 把 Blender 介面從原專案拆出，支援 Python、Rust、JavaScript／React、C、C++、Dear ImGui。README 強調 damage rendering、CPU／GPU 路徑、tkinter 相容與 Qt 風格 API，網站在 bui.preetham.top。授權 GPL-3.0-or-later。HN 標題直接寫 Much Faster Than GPUI，討論串 660 分、267 則留言；GitHub API 顯示約 1,278 星（2026-08 建立）。

為什麼重要：Flutter 桌面之外多一個參考。工具型面板我會先看範例，產品本體短期仍以 Flutter 為主。

4. CVE-2026-83844：Windows Paint 遠端程式碼執行，CVSS 8.1#

CVE・資安・Hacker News

為什麼你該在意：同事傳一張圖就可能打進 Paint；個人與企業映像都該確認是否已升到修補版。

摘要：Microsoft 登錄 CVE-2026-83844，標題 Windows Paint Remote Code Execution。描述是 out-of-bounds read，未授權攻擊者可經網路執行程式碼（CWE-125）。受影響 Microsoft Paint 自 11.0.0.0 起，修補前小於 11.2609.401.0。CVSS 3.1 base 8.1（HIGH），向量 AV:N/AC:H/PR:N/UI:N。官方更新指南：https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-83844 。HN 695 分、269 則留言（https://news.ycombinator.com/item?id=50384233）。

  • 要點 1：攻擊複雜度標成 High，但仍是網路向量、無需權限
  • 要點 2：企業應查 WSUS／Intune 是否已推到 11.2609.401.0 以上

為什麼重要：Windows 開發機跟家人電腦我都會先確認 Paint 版本，不假設「小工具沒人打」。

5. Meta Muse Spaces：用一句話生成專案空間，可接第三方 App 背景更新#

3 分鐘・產品・TechCrunch

為什麼你該在意：消費級個人 agent 開始從單一聊天框，長出可持久的「小 App」工作區。

摘要：Lucas Ropek 報導 Meta 為 Muse 推出 Spaces。使用者描述需求，Muse 會建成 tracker／planner／專案板；可接 Gmail、Calendar、OpenTable、Notion 等，背景更新價格、檔期。Zuckerberg 在 X 說自己做了 BBQ game、活動追蹤與家庭控制面板。十月財報會上，Zuckerberg 稱 Muse 在美加約 1,000 萬用戶。The Verge 另寫 Spaces 可排程顯示、側邊欄或主分頁擺放，並導入 Active Memory／Active Focus。前一天剛上 Voice，一週兩次功能。

為什麼重要：Agent 產品的資訊架構在往「多工作區」走。我自己的 side project 若做 agent，會先設計專案空間，而不是一條無限長對話。

6. Chimera Linux：讓 musl 跑起 NVIDIA 專有驅動#

長文・系統・Lobste.rs

為什麼你該在意：你如果在 musl 發行版上需要 NVIDIA 專有驅動，這篇把 GLVND、gcompat、ifunc、STATIC_TLS、遞迴 mutex 全部拆開講。

摘要：q66 寫 Chimera 如何讓 580／620 分支的 NVIDIA 專有驅動在 musl 上動起來。步驟包含改用 GLVND、升級 gcompat、patchelf 清 DT_NEEDED、為 R_X86_64_IRELATIVE（ifunc）打 musl-nvidia 補丁、在動態連結器處理 DF_STATIC_TLS，以及用符號更名修 glibc 靜態遞迴 mutex initializer。實測 GTX 980 Ti（legacy 580）與社群回報 RTX 3070 Ti（620）、部分 AArch64。PR 尚未完全就緒，但 x86_64／aarch64 已有可用包。

  • 要點 1：Lobsters 討論 https://lobste.rs/s/hvxjbb
  • 要點 2：作者強調不是「stock musl 直接能跑」，需要發行版級補丁

為什麼重要：Alpine／Chimera 容器偶而要碰 GPU。這篇是我之後查 musl＋NVIDIA 的第一篇書籤。

7. Palo Alto Networks 洽購 AI agent 資安新創 Clutch，約 5 億美元#

3 分鐘・併購・TechCrunch

為什麼你該在意：Agent 一進公司系統，身分與權限變成獨立產品線，大廠寧可用買的補齊。

摘要：Marina Temkin 引述知情人士：Palo Alto Networks 洽談以約 5 億美元現金加里程碑收購 Clutch Security（管理 AI agent 對公司系統的存取）。Clutch 三年前成立，2025 年 1 月 Series A 估值約 8,500 萬美元，目前 ARR 接近 1,000 萬，等於約 50 倍 ARR。The Information 率先報導。同業：Cyera 以約 10 億美元買 Oasis；Cisco 約 4 億買 Astrix。Palo Alto 今年已多次出手，包括 Console（亦約 5 億）、Embrace、Chronosphere、Koi。

  • 要點 1：雙方未評論；數字來自知情人士與公開輪次
  • 要點 2：估值倍數跟 Upwind 拒 Datadog（約 40× ARR）同一量級敘事

為什麼重要：Agent 權限治理會變成採購項目。我評估 B2B 工具時會多問「agent 身分怎麼撤銷」。

8. GitHub：Agentic engineering 實作指南，涵蓋 Plan／Build／Verify／Observe#

長文・工程・GitHub Blog

為什麼你該在意：寫 code 變快之後，瓶頸移到規劃、審查跟線上除錯；這篇用 GitHub 自己的數字把流程拆開。

摘要：Nick Liffen 與 Philip Holleran 寫：GitHub 在 2026 年 10 月單週超過 12 億次 commit，年增逾 400%，但 Faros AI 研究指出，AI 採用從低到高時，PR 審查時間多了 441%。文章主張用 Copilot 貫穿 Plan（Slack／Teams 彙整、Issue、Plan Mode）、Build（跨裝置 session、雲端 sandbox、repo instructions、Dreaming）、Verify（stacked PR、Code Quality、分級 code review、AI Scan、Agent Merge）、Observe（連 observability、回寫 Issue）。結尾指向 GitHub Universe 2026 演講 Agentic Engineering: Past the Pilot。

  • 要點 1：寫函式變快之後，瓶頸在審查跟線上觀測，這篇把這兩段也納進 agent 流程
  • 要點 2：企業政策可用 managed settings 跨表面帶著走

為什麼重要：我自己的 PR 也變大包。之後會刻意切小 PR，並把驗證指令寫進 repo instructions。

9. 騰訊輕量雲開源 LoopForge：團隊級自進化 Coding Agent 平台#

18 分鐘・開源／平台・InfoQ 中文

為什麼你該在意：你如果在組「多人共用的 coding agent」，這篇把雲端工作區、共享 Main Bot、SOP 門禁與工程級 RSI 一次攤開。

摘要：InfoQ 中文訪談／復盤：LoopForge（https://github.com/Tencent/LoopForge）對內已服務 20+ 業務，單月自動完成 200+ 需求與單據。五步：雲端 7×24 工作區、多人共享 Main Bot、五層 SOP＋主副駕、Issue 全自動巡檢合流、工程級 RSI（節點門禁自癒＋跨次復盤改寫 SOP）。對齊 DeepSeek Super-agent 對「人注意力上限」的討論。GitHub 約 130 星，官網 loopforge.cn，安裝腳本 bash scripts/install.sh。

  • 要點 1：強調「一個對話綁一個工作區、只有一個 Main Bot」避免多 Bot 互相污染
  • 要點 2：憑證由網關臨時注入、任務結束擦除，模型不碰明文金鑰

為什麼重要：團隊 agent 最容易變成一直吵人。LoopForge 把「何時該說話、何時代批」寫成機制，值得抄結構，不一定要整套上。

10. tsrs：Cloudflare、VoidZero 的 TypeScript 編譯器 Rust 移植，AI agent 主導完成#

4 分鐘・工具鏈・InfoQ 中文

為什麼你該在意：你如果維護大型 TS monorepo，類型檢查時間跟記憶體是每天在付的稅。

摘要：Cloudflare 與 VoidZero、Owner.com 的 Max Schwenk 推出 tsrs（Oxc 孵化，https://github.com/oxc-project/tsrs ，約 2,961 星）。官方稱同等 worker 數下類型檢查最高快 8 倍、記憶體約少 70%，可編譯成 WASM（@tsrs/wasm）。Schwenk 說自己幾乎沒手寫，是指揮 Claude Opus 5.5 agent，以 15,197 個 TS 一致性測試當規格。Owner 37,000 檔 monorepo：TS 7.0 約 19 GiB／80 秒，tsrs 約 7 秒。有人實測快 5.3 倍、記憶體少 72%，但錯誤時 exit code 是 2（tsc 為 1），可能弄壞 CI；對 TS 7.1 beta 優勢縮小。Daniel Rosenwasser 回應：加速不全是語言，tsrs 的優化已回饋 TS 7.1。實驗階段：無 watch、無 LSP。

  • 要點 1：npm i -D tsrs && npx tsrs -p . --noEmit
  • 要點 2：仍追 TS 7；TS 5／6 團隊建議先到微軟 Go 移植再換

為什麼重要：CI 類型檢查我願意試。先在旁路 job 跑，確認 exit code 跟診斷一致再切主流程。

11. 逾 800 套 Artex AI 滲透工具裸露在公網#

5 分鐘・資安・TechCrunch

為什麼你該在意：攻擊工具自己沒設密碼就掛上網，等於把 implant 跟戰果目錄公開陳列。

摘要：Zack Whittaker 引 Censys：掃到 800+ 套可未授權存取的 Artex 實例。Artex 是開源自主滲透框架，Microsoft 曾形容其可從偵察做到資料外洩、幾乎不需人手。Censys 的 Silas Cutler 說不是每套都惡意，但軟體並不需要對公網開放。CrowdStrike 把 9 月韓國金融攻擊部分歸因到暴露的 Artex；Censys 指該實例暴露數月，還有支付與遊戲產業資料。10 月 ConnectWise 攻擊亦見 Artex，速度讓防守端幾乎來不及。Artex 已宣布轉閉源，但程式碼複本仍在。

  • 要點 1：多數攻擊仍走弱密碼、缺 MFA 這類基本面
  • 要點 2：暴露面同時害到攻擊者自己的戰果目錄

為什麼重要：任何「本機即可」的安全工具，預設不該綁 0.0.0.0。我自己的掃描器會再查一次監聽位址。

12. Nilay Patel：產品不夠好，撐不起資料中心的成本#

短引文・評論・Simon Willison

為什麼你該在意：美國期中選後，AI 基建的政治成本被直接講出來，產品敘事要接招。

摘要：Simon Willison 摘 The Vergecast。Nilay Patel 說：產品還不夠好，撐不起鄰居後院資料中心的噪音成本；AI overview 跟 deepfake 換不到社會許可；agent 也還沒到大家想要的用法；公司花的比賺的多。他把這跟政治獻金、球厅贊助放在同一條批評線上，結論是產業要做出「不用廣告也能感受變好」的產品才走得出去。

  • 要點 1：原文在 The Vergecast：Big Tech lost big in the 2026 election
  • 要點 2：跟今天 X 上 data center 投票、Harness engineering 熱議同一週氣氛

為什麼重要：對外講 AI 功能時，我會少講願景、多講使用者一週內省下的具體步驟。

推薦閱讀#

  • Lichii：實驗性 Switch 2 模擬器：為什麼你該在意：家用主機模擬社群的新指標，星數爬升很快。C++ 專案，GitHub API 約 3,837 星，README 自標 VERY experimental，適合當「熱度≠可玩」的對照樣本。
  • Inkling 2 Small：為什麼你該在意：訓練效率數字會影響你對小團隊能否追模型的判斷。Latent Space AINews：17A-594B、68 小時、12T tokens，宣稱勝過 Muse Spark；細節以原文表格為準。
  • Decoupled Predictive Decision Making：為什麼你該在意：多 agent 是否該共用預測器，會影響你怎麼切上下文。論文分數 83，談 shared conditional predictor；細節以 HF Papers 頁為準。
  • Airbnb AI travel agent：為什麼你該在意：2027 上半年大平台要正面做行程 agent，垂直 App 窗口在縮；若你做訂閱制行程工具，現在就要寫清楚「比大平台多懂哪一件事」。
  • Apple：Duo apps are coming：為什麼你該在意：折疊 iPhone 適配時程會影響 Flutter／原生排期；現在不做 layout 實驗，之後會跟 Duo 10 萬 App 基線比下去。
  • Duo 已有逾 10 萬優化 App：為什麼你該在意：Apple 公開的適配基線，決定你要不要現在排 Duo layout；數字來自 The Verge 整理的官方說法。
  • DigitalOcean agent 學習與資料服務：為什麼你該在意：雲端開始把「agent 自我迭代」做成產品敘事，不只是算力；評估時要看資料怎麼進、怎麼出、誰付錢。
  • Harness 從鏈、圖到代碼化：為什麼你該在意：跟今天 X 上 harness engineering 職缺討論對讀，中文圈同步在定名詞；讀完有助於跟團隊對齊術語。
  • 663 則 HN 留言整理的 agent 設定：為什麼你該在意：實務配置統計，比單一網紅 setup 更有抽樣意義；可跟今天 GitHub agentic engineering 文對讀，看社群實際在用什麼。
  • VFlash：為什麼你該在意：視覺規劃若能更快解碼，機器人／UI agent 延遲會下來；適合跟今天 agent 產品線一起掃標題。
  • ToyBlocks：為什麼你該在意：AllenAI 給機器人學習一個受控積木世界，方便評測；做 agent eval 的人可以借鏡「受控世界」想法。
  • GCE API 多版本並行：為什麼你該在意：既有系統可慢點升級，減少 API 強迫搬家；維運排程可以少一次大爆炸日。
  • GitHub PR 總覽改版：為什麼你該在意：合併狀態與待辦集中，剛好配今天 agentic engineering 文；審查佇列變長時，UI 集中會省來回點擊。
  • ChatGPT 搜尋量逼近 Google 兩成：為什麼你該在意：搜尋入口變化會改 SEO／ASO 假設；內容要同時想「被模型引用」跟「被傳統搜尋抓到」。
  • X-87 DOS 256 bytes：為什麼你該在意：Lobsters 上的極限程式小品，提醒「小」也可以是手藝展場；週末當調劑，順便看老平台限制如何逼出創意。

Builder 雷達#

1. CHAI 從多國 App Store 下架，先前約 $3M MRR#

App Store Tracker 貼文指 CHAI 在美、英、加、澳同日下架，文中寫先前約 $3M MRR；創辦人只在 Reddit 說要「改善 App」。同一則提到 Apple 約六天前改過 AI App 規則。數字：貼文約 7.3k 曝光、32 讚（工具回傳）。對你的 App 代表什麼：AI 聊天／角色類別審核風向在變，營收再高也可能一日消失；要備好官方溝通稿、用戶遷移路徑，以及是否保留網頁版備援。

2. Apple Retention Messages：ASC 已開，但跟 API 能力不一致#

Hendrik Haandrikman 開緊急 webinar，說 App Store Connect 已對所有帳號開放 Retention Messages，但 ASC 畫面上能配的，跟 Retention Messaging API 實際能力不一樣，社群設定文件對不上。數字：該則約 2.1k 曝光、27 讚。對你的 App 代表什麼：取消流程最後一屏變成可營運版位；接 RevenueCat 或自建時要分清 ASC UI 與 API 欄位，先做一次實機取消路徑錄影，不要假設功能對等。

3. Indie 公開 MRR：單人組合約 $384，App Store 貢獻 $239#

Luka Shaw week 15 公開組合數字：75 活躍訂閱、9 試用、$384 MRR、近 28 天收入 $649；其中 App Store 61 訂閱、$239 MRR、$504／28 天。對你的 App 代表什麼：小工具組合也能累積，但 App Store 佔比一高，審核、下架與 Retention Messages 會直接打到現金流；建議至少保留一條非商店收款或網頁備援。

4. Cursor Build Live Apps：描述需求就能拿到可分享的線上 App#

X 新聞彙整 Cursor 的 Build Live Apps：用文字描述需求，cloud agent 搭脚手架、接 Neon Postgres、Cursor SSO，跑安全檢查後部署到 Vercel，付費方案可用。對你的 App 代表什麼：內部工具／客戶 demo 的「從 localhost 截圖到真實 URL」門檻下降；正式產品仍要自己管資料留存、權限與合規，不能把臨時部署當生產。

5. Airbnb 宣布 2027 上半年推 AI travel agent#

Airbnb 把 travel agent 排進 2027 上半年。對你的 App 代表什麼：垂直旅行／訂閱工具要更早證明比大平台 agent 更懂單一場景，否則會正面撞車。獨立開發者已有人貼出「我先上架了」的行程 App 對照（見 X 討論），窗口大概還有幾季。

6. Tolt 接上 RevenueCat：追 App Store／Play 購買並分潤給夥伴#

Tolt 宣布串 RevenueCat，把 App Store 與 Google Play 內購同步進聯盟／夥伴分潤，少一層自建對帳。數字：該則工具回傳約 6 讚、374 曝光。對你的 App 代表什麼：若你用聯盟幫 App 帶量，少一層 webhook；同時要確認退款、試用、寬限期、家庭共享在分潤規則裡怎麼算，不然月底對帳會炸。建議先用沙盒訂單跑一輪退款流程再上線。

Builder 小結：CHAI 提醒下架風險，Retention Messages 提醒取消頁變成可營運的版位，MRR 公開貼提醒商店依賴有多高，Cursor 跟 Airbnb 則把大平台 agent 的時程攤在桌上，Tolt 補上分潤對帳。我會按這個順序檢查自己的 App：審核備援 -> 取消文案 -> 收款通道 -> 分潤對帳。

社群在吵什麼#

1. Claude Code email 外洩要不要換 harness#

HN 1,542 分串裡，一面是 Anthropic 道歉與 privacy mod，一面是「隱私不該是 plugin」與改用 pi／自架 harness 的號召。有人掃自己的 ~/.claude/projects/**/*.jsonl，找出數十次 UA 外洩；也有人做 whoami-guard hook，測 60 次從 8 次漏降到 0。爭點在：隨機模型行為能不能用 regex mod 堵住，還是根本不該把 email 放進上下文。我站後者：上下文沒有的東西，模型比較難寄出去。

相關：連結

2. 歐洲支付主權 vs Google Play Integrity#

ASN／Wero 討論從「App 壞了」變成「關鍵基礎設施是否該綁美國 attestation」。EPI 回信被逐句拆，開發者貼出自己同時跑 Play Integrity 與 Keystore attestation 的實測；有人準備拉監管與 Bits of Freedom。爭點在：詐欺防護是否只能走 Play Integrity，還是硬體 attestation allowlist 就夠。bunq／Triodos／N26 的反例讓「技術做不到」很難站得住。

相關：連結

3. Harness engineering 算不算新職缺#

X 整理 Anthropic／Google 在找 harness 專才；同時另一串在質疑 subagent 交接會丟失上下文，有人主張 fork 主 session 比委派更穩。爭點在：要多 agent 編排，還是單 agent + 完整上下文比較穩。實務上我傾向：長任務用清楚門禁，短任務少拆 agent。

4. tsrs 的 8 倍是對誰比#

有人週末切過去覺得快 5 倍；也有人指出對 TS 7.1 beta 優勢縮小，且錯誤時 exit code 是 2（tsc 為 1）。Daniel Rosenwasser 說加速不全是 Rust，優化已回饋正社。爭點在：benchmark 基線與 CI 相容，比語言戰爭重要。

相關：連結

中文技術圈#

1. 当 Coding Agent 走进研发团队：LoopForge#

（InfoQ 中文）：騰訊輕量雲開源團隊級 agent 平台，對內 20+ 業務、月 200+ 單，五步演進可對讀 DeepSeek Super-agent。

2. tsrs：AI 生成的 TS 編譯器 Rust 移植#

（InfoQ 中文）：Cloudflare／VoidZero，宣稱最高 8 倍、記憶體少約 70%，提醒先對齊 TS 7。

3. 智能体 Harness 的演进#

（InfoQ 中文）：從鏈、圖到代碼化 harness，跟英文圈職缺討論同週。

4. DigitalOcean 学习与数据服务#

（InfoQ 中文）：面向 agent 自我迭代的雲端資料／學習服務。

5. GitHub 改版 PR 總覽頁#

（iThome）：合併狀態與待辦集中，剛好配今天 GitHub agentic engineering 文。

6. OpenSSH 長密碼繞過修補#

（iThome）：本地延續昨天 Alpine／musl 線。

7. OpenAI 發表 GPT-6 Cyber#

（iThome）：資安向模型，對讀昨天 OpenAI cyber 管線。

8. GCE API 多版本並行#

（iThome）：既有系統可慢點升級 API。

9. M6 MacBook Pro 初探#

（少數派）：能效比實機向，硬體側觀察。

10. ChatGPT 搜尋量逼近 Google 兩成#

（科技新報）：搜尋入口變化的本地數字整理。

11. 醫療 AI 透明化民調#

（科技新報）：八成受訪者要透明、六成要掌握話語權。

12. NgRx 22 发布#

（InfoQ 中文）：Resource Extensions 與動態 DeepSignal。

開源精選#

1. ppmpreetham/BUI#

多語言 | 1,278 stars

Blender GPU UI 拆成函式庫，Python／Rust／JS／C／C++，GPL-3.0-or-later；文件 bui.preetham.top；HN 660 分討論。

2. oxc-project/tsrs#

Rust | 2,961 stars

TypeScript 7 類型檢查器 Rust 移植；可 WASM；注意錯誤時 exit code 與 tsc 不同；官方稱最高約 8 倍。

3. zortos293/Lichii#

C++ | 3,837 stars

實驗性 Nintendo Switch 2 模擬器，README 自標 VERY experimental；星數高、可玩性需自評。

4. Tencent/LoopForge#

— | 130 stars

團隊級 coding-agent 交付：雲端工作區、SOP 門禁、工程級 RSI；對內月 200+ 單；bash scripts/install.sh。

5. deepseek-ai/dsh-superagent-prototype#

TypeScript | 20,220 stars

DeepSeek Super-agent 研究原型（MIT），今天拿來對讀 LoopForge 的「少吵人」哲學與授權模型。

影音精選#

1. Fireship：理論資工那根支柱好像鬆了#

頻道：Fireship

Fireship

為什麼你該在意：Fireship 用短節奏把「理論假設被現實打穿」講成可分享片段，適合當今天「信任假設失效」主軸的旁證。

  • 要點 1：標題本身在挑「大家以為穩固的基礎」
  • 要點 2：適合當口播 B-roll 的節奏參考
  • 要點 3：本機 transcript 抓取未回內容，細節以影片為準

2. 20VC：AI 熱潮裡誰在承擔風險#

頻道：20VC with Harry Stebbings

20VC

為什麼你該在意：跟今天 Nilay Patel 對資料中心成本、以及 builder 對審核／下架的焦慮同一週。

  • 要點 1：從投資人視角拆風險承擔者
  • 要點 2：可對讀 Stratechery 期中選後 data center 討論
  • 要點 3：transcript 未進本地檔，引用請回放

3. 硅谷101：資料中心融資、電力與泡沫#

頻道：硅谷101

硅谷101

為什麼你該在意：中文長談，補英文圈選後反 data center 情緒的在地語境。

  • 要點 1：年度線下大會切段
  • 要點 2：融資與電力約束並陳
  • 要點 3：適合當今日觀察的延伸聽

今日觀察#

今天看完 Claude Code 那則 issue，心情不太好。你什麼都沒按，登入信箱就被模型寫進 User-Agent，寄給它造訪過的網站。Anthropic 已經道歉，下週會把 email 從上下文拿掉。這週我會先把 Claude Code 升到 2.1.317 以上，登入改拋棄式信箱，再加一條 hook，對外請求如果帶著自己的信箱就擋掉。

荷蘭 ASN Bank 那邊讓我更火。GrapheneOS 把安全性做得更緊，卻因為過不了 Google Play Integrity，iDEAL 和 Wero 付款直接不能用。銀行把判決交給 Google 的黑箱，硬體 attestation 能講清楚的事反而沒拿來用。我之後若要做裝置完整性，文件會分開寫這兩種檢查各證明什麼，allowlist 誰維護、多久更新一次也會寫進 README。

tsrs 我先放在 CI 旁路，確認它報錯時的 exit code 跟診斷跟 tsc 對得上再考慮切主流程。它錯誤時回 2、tsc 回 1，直接換會弄壞既有腳本。LoopForge 我只會抄「一個對話綁一個 Main Bot，再加上門禁」的結構，整套搬進來太重。CHAI 從好幾個國家的 App Store 下架，Retention Messages 的設定畫面又跟 API 對不起來。訂閱產品我至少會留官方站跟郵件列表，商店一旦出狀況，還有地方可以跟用戶說話。

Nilay Patel 講資料中心成本的那段我也留下來了。產品本身得先讓人覺得值得，簡報幫不上忙。今天 Muse Spaces、Cursor Live Apps、Airbnb 的 travel agent 都在加功能，可是使用者願不願意接受政治跟電費成本，我還是看一週內有沒有少掉幾件麻煩事。changelog 寫得出這種改變，我才會把 agent 拿出來當標題。Paint 的遠端程式碼執行，加上 Artex 八百多套工具裸露在公網，我排進週末維護：Windows 映像查一下 Paint 版本，自架掃描器看有沒有聽在 0.0.0.0。

同期還有