← Digest
EP238 · 2026年11月10日星期二 · 17 分鐘閱讀 · Read in English

Fable 5.2 上線變便宜，但 agent 拿到的鑰匙也越來越多

Anthropic 新模型寫程式追平 Opus 只花一半；ChatGPT 桌面版把 SSH 金鑰交給遠端 agent；資安研究員從車牌一路解鎖整個品牌的車

每天花 1% 的時間，掌握科技脈動。

今日金句#

「這個模型懂我在想什麼。它理解我每個 prompt 背後的意圖，我一次都沒說過『不是，我是說…』。」 — Joe Haddad，Vercel 技術人員（來源）

「只要我們夠想要，我不確定有哪條 WAF 規則擋得住我們。」 — Shubs，Assetnote 共同創辦人、資安研究員（來源）

今日主軸#

早上醒來，Anthropic 丟了 Fable 5.2 和 Mythos 5.2。我先看價格：比上一代便宜，寫程式的分數追上 Opus 5.5 最好的成績，花的錢大概一半。

我更在意的是另一件事。同一天 HN 上有人發現，ChatGPT 桌面版會把你本機的 SSH agent 轉給遠端機器上的 agent，它可以拿你的身分推你的私有 repo。

再往下滑，DIYgod 做了 Pinky，讓 Claude Code 這類 agent 直接操作你的 iPhone 或 Android。Pinky 有把付款這類動作先擋下來等你點，這個設計我很喜歡。

然後是 Shubs 那篇長文。一家車廠的 App 被反編譯，JS bundle 裡躺著管理員帳密，一路串到只要知道車牌就能遠端開車門。最後那個 WAF 繞法，是 GPT 花六小時找到的。

模型越來越強、越來越便宜，接下來要煩惱的是我們交出去的鑰匙。我今天會先檢查 SSH 設定，再看看自己 App 打包出去的東西裡有沒有不該在的 key。

必讀#

  1. Claude Fable 5.2 與 Mythos 5.2 上線：寫程式追平 Opus 5.5 最佳成績，成本約一半
  2. ChatGPT 桌面版把你的 SSH agent 轉給遠端機器，agent 能用你的身分推私有 repo
  3. agent-autoloop：讓 Claude Code、Codex 在背景自己接活，拿不準才發卡片問你
  4. 沒寫過 Swift 的創辦人，用 Codex 做出原生 iOS 與 Android 的語言學習 App
  5. 從車牌到遠端開車門：一家車廠的 App、JS bundle 和身分系統怎麼被串起來
  6. Latent Space 專訪 Handshake：前沿實驗室花錢買的是哪些專家資料
  7. Microsoft 開始退回沒有 DMARC 紀錄的信，事前沒有任何通知
  8. 我不相信 AI 泡沫存在：一篇用 Anthropic S-1 數字反駁泡沫論的長文
  9. 黃仁勳寫信給 Nvidia 全體員工，承認婚外情並支持董事會調查
  10. 把抗議標語藏進 RSA 公鑰，還拿到 Let’s Encrypt 簽發的憑證
  11. KetchUp：用 Rust 和 WebGPU 做的開源 SketchUp 替代品，瀏覽器裡就能畫
  12. 自己編一整個 Linux 發行版的套件要花多少電？七個月 98.4 度

1. Claude Fable 5.2 與 Mythos 5.2 上線：寫程式追平 Opus 5.5 最佳成績，成本約一半#

長文・AI 模型・Anthropic／Hacker News

為什麼你該在意：你每天在 Claude Code 裡選模型，今天多了一個更強、單價卻變低的選項，選錯 effort 等級帳單會差很多。

摘要：Anthropic 說 Fable 和 Mythos 是同一個底層模型，Fable 加了資安和生物方面的防護，所有人都能用；Mythos 要申請驗證計畫。輸出速度比 5.1 快最多 30%，價格降到每百萬 input tokens 8 美元、output 40 美元；fast mode 再快最多 2.5 倍，價格 16／80 美元。FrontierCode 2.0 上，Fable 5.2 在 High effort 拿 45.3%，跟 Opus 5.5 最佳的 45.5% 差不多，每個任務成本約一半；Xhigh 拿 49.1%，是官方測過已發布模型最高。官方建議日常寫程式先用 Opus 5.5，遇到大題目再升級到 Fable。他們還說 Anthropic 核心程式碼庫超過 90% 的合併改動由 Claude 寫，有一組 agent 用早期版本把一個正式服務從 Python 遷到 Rust，啟動快了約 26 倍。HN 約 771 分、446 則留言。

  • 要點 1：Medium effort 是 Claude App 和 Claude Code 的預設，官方說這個等級用的 token 比 5.1 少
  • 要點 2：本週符合資格的付費方案會拿到一到三次 Fable 額度重置，Pro 方案的 Fable 最多可用到每週額度的一半

社群反應：Cognition 在 X 上說 Devin 已上架 Fable 5.2，約 316 讚、2.8 萬次曝光；HN 留言有人直接問 Opus 5.5 是不是先被削弱過，也有人吐槽旗艦版號 5.2 比次一級的 5.5 還小。

為什麼重要：我會先在 Claude Code 用 High 跑一個 Flutter 重構任務，跟 Opus 比 token 和結果。Xhigh 以上我會設預算上限再開，X 上有人同一個 prompt 開 Ultra 花了 642 美元。

2. ChatGPT 桌面版把你的 SSH agent 轉給遠端機器，agent 能用你的身分推私有 repo#

討論・資安／開發工具・Hacker News

為什麼你該在意：你如果讓 ChatGPT 或 Codex 連到遠端開發機，遠端那個 agent 可能拿得到你本機的 SSH 金鑰權限，GitHub 私有 repo 等於一起交出去。

摘要：發文者說，跑在遠端機器上的 agent 可以用你本機的 SSH 憑證做認證，例如推你在 GitHub 上的私有 repo，並附上 openai/codex 的 PR #28131 當證據。那個 PR 在 6 月開出，替 codex app-server proxy 加上 --forward-ssh-agent 模式，維護一個穩定的 forwarded-ssh-agent.sock 連結，讓長時間跑的 app-server 在 SSH 重連後還能用到目前的 agent。PR 描述寫的是 opt-in，討論焦點在桌面版的預設行為。HN 約 199 分、66 則留言。

  • 要點 1：有人建議把 SSH key 放進 macOS Secure Enclave，每次新連線都要指紋確認
  • 要點 2：也有人提到 Docker Desktop、devpod 以前也有類似問題，直接寫進你的 SSH 設定

社群反應：最多人附和的一句是「在資安裡，摩擦是好事」；另一派說本機 agent 的防護大多靠黑名單，沙盒最後還是落在使用者自己身上。

為什麼重要：我會檢查 ~/.ssh/config 有沒有 ForwardAgent yes，把 GitHub 的 key 改成每次使用都要確認。給 agent 的機器，我會用只能讀單一 repo 的 deploy key。

3. agent-autoloop：讓 Claude Code、Codex 在背景自己接活，拿不準才發卡片問你#

repo・AI agent 工具・GitHub

為什麼你該在意：你想讓 coding agent 半夜自己處理 issue、早上只回答幾個問題，這個專案把排程、通知、等你拍板都包好了。

摘要：Agent Autoloop 是一個很輕的自動化中台，內核零外部依賴，事件來源、agent、通知管道和上線流程都做成可插拔外掛。它跑在你自己的 Windows、Mac 或 Linux 上，不用雲端主機也不用開公網埠，需要 Node 24 以上、Git 和一個已登入的命令列 agent。流程是：定時任務、GitHub 新 issue 或錯誤回報變成事件，內核依規則派給 agent；agent 做完一輪就退出，不佔行程也不花 token；碰到刪資料、重啟服務、花錢、對外發訊息時，發卡片到飛書、釘釘、Slack、Discord 或桌面通知等你決定。只要能吃 prompt、印出最後回覆的 CLI 都能接。MIT 授權，11 月 3 日建立，約 4,269 星。

  • 要點 1：agent-autoloop try 會用你本機的 agent 實際跑一次「提問、等回覆、拍板、做完」
  • 要點 2：agent-autoloop status 會列出今天和最近 7 天的輪數、token 和費用

為什麼重要：我會先讀它的內核和安裝腳本再決定，安裝指令是 curl | sh，我不會直接貼。想法本身我會借：把「需要我決定的事」定義清楚，其他讓 agent 自己跑完。

4. 沒寫過 Swift 的創辦人，用 Codex 做出原生 iOS 與 Android 的語言學習 App#

38 分鐘・訪談／行動 App・Lenny's Newsletter

為什麼你該在意：一個非行動工程師用 Codex 做出原生雙平台 App，你可以看他怎麼寫第一個 prompt、怎麼要設計感，又在哪裡還得自己來。

摘要：William Imoh 是開發者行銷公司 Hackmamba 的創辦人，化工背景、自學寫程式、當過四年 PM，從沒寫過一行 Swift。他從杜拜搬到挪威後，發現用了 1,000 天 Duolingo 還是沒辦法用挪威語對話，就用 Codex 和 GPT-Live 做了即時語音 App Mural，原生支援 iOS 和 Android。節目裡他現場示範挪威語對話，也聊 GPT-Live-1 每次對話的成本，以及語音家教能接受的延遲門檻。後半段他展示怎麼用一組《魔戒》角色命名的 agent 幫他經營約 25 人的公司。主持人是 Claire Vo。

  • 要點 1：他說設計語言要先講清楚，Mural 才不會長得跟其他語言 App 一樣
  • 要點 2：他最擔心的不是被取代，是太依賴這些工具

為什麼重要：我寫 Flutter，但他的流程很值得對照：先用 prompt 定好設計語言，再讓 agent 寫畫面。語音功能的延遲門檻跟單次成本，我做 AI 功能前也會先算。

5. 從車牌到遠端開車門：一家車廠的 App、JS bundle 和身分系統怎麼被串起來#

20 分鐘・資安研究・Lobsters

為什麼你該在意：漏洞的起點是一支行動 App 被反編譯，加上前端打包檔裡寫死的金鑰。做 App 的人每天都可能犯同樣的錯。

摘要：Shubs 和 Sam Curry 今年 7 月研究一家大車廠的聯網車平台。他反編譯 Android APK，程式裡可以看到 dartExecutor，找出 App 呼叫的 API 網域，再找到一個標題叫 TEST HARNESS 的管理工具。它的 JS bundle 裡寫死 API key，可以用 email 查帳號；澳洲的車牌查得到 VIN，VIN 查得到訂閱者 ID 和 email。另一個廠商 JS bundle 裡藏著 ForgeRock OpenIDM 的管理員帳密，標示是 staging，正式環境也能用。他們卡在 WAF 好幾天，最後把 OpenIDM 原始碼交給 GPT 5.6 Sol Ultra 跑了約六小時，找到 /static%2f..%2fopenidm/ 這條沒被擋的路徑，接著改密碼、用 ROPC 流程跳過 MFA、換到 App token，送出開門指令。他們只在自己擁有或有授權的車上測試。Sam Curry 的另一篇補上美國和加拿大的攻擊鏈。

  • 要點 1：最後的鏈是：車牌、VIN、訂閱者 ID、bundle 裡的管理員帳密、路徑穿越繞過 WAF、跳過 MFA、App token、遠端指令
  • 要點 2：查到的使用者資料包含密碼雜湊、PIN 雜湊、推播 token 和手機號碼

為什麼重要：我會把 Flutter App 的 release 包拆開看一次，確認沒有寫死的 API key 或後台網址。管理工具一律不放公網，ROPC 這種跳過 MFA 的授權流程直接關掉。

6. Latent Space 專訪 Handshake：前沿實驗室花錢買的是哪些專家資料#

Podcast・AI 資料／評測・Latent Space

為什麼你該在意：模型在哪些地方還輸人類專家，看實驗室買什麼資料最清楚，這集直接把評測環境打開給你看。

摘要：Handshake 的 AI 訓練資料業務約一年內從上線做到年化總營收 10 億美元。Garrett Lord 帶著做強化學習環境的團隊上節目，現場走過三段示範。財務：agent 要在模擬銀行的信箱裡找到任務、判斷哪些檔案管這筆交易、交出 Excel；客戶信裡一行關於既有商譽的說明被它帶進 Python 直接減掉，直接問它稅務處理時它答得出來，套到程式裡就錯了。生物：VIALS 基準讓模型判讀腦瘤組織切片，專家選 H 和 I，模型多選了一張 G。程式：模擬檔案存取任務，評估的重點是 agent 讀了哪些檔、有沒有核對副本、事後對 shell history 做了什麼。

  • 要點 1：只看 agent 最後一句回覆，會漏掉大部分要評的東西
  • 要點 2：節目頁附了 ATLAS-Finance 和 VIALS 的範例任務可以自己試

為什麼重要：那個「問它會答、用起來就錯」的例子我很有感。我寫 agent 功能時，測試會看它中間做了哪些步驟，不會只比對最後的輸出。

7. Microsoft 開始退回沒有 DMARC 紀錄的信，事前沒有任何通知#

4 分鐘・Email 寄送・Lobsters

為什麼你該在意：你的 App 如果用自己的網域寄驗證信、密碼重設信，收件人用 Outlook 或 Hotmail 的那一群可能這兩天都沒收到。

摘要：英國主機商 Mythic Beasts 說，上週五早上發現寄往 hotmail.com、outlook.com 等 Microsoft 信箱的信大量被退，訊息是 550 5.7.1 Message rejected: Message lacks SPF/DKIM/DMARC Auth Records。他們的紀錄裡週四出現超過 500 次，之前一次都沒有。這些信的 SPF、DKIM 都正確，只是網域沒有 DMARC 紀錄；補上 p=none 的 DMARC 之後就能寄進去。Microsoft 去年只要求每天寄超過 5,000 封的網域設 DMARC，而且有預告。文章更新說這次似乎不是故意的，但 Microsoft 還沒找到辦法還原，Mythic Beasts 已主動幫大量客戶網域加上 p=none。

  • 要點 1：p=none 等同沒有政策，Microsoft 這次卻只看「有沒有紀錄」
  • 要點 2：昨天就有另一篇 HN 文章在講 Outlook.com 默默退信，今天這篇補上了實際錯誤碼和解法

為什麼重要：我會檢查每個寄信網域的 DNS，沒有 DMARC 的先補 v=DMARC1; p=none，再看 Firebase Auth 或寄信服務的退信紀錄。

8. 我不相信 AI 泡沫存在：一篇用 Anthropic S-1 數字反駁泡沫論的長文#

12 分鐘・產業評論・Hacker News

為什麼你該在意：你用的每個 AI 工具價格，最後都取決於這些公司能不能賺錢；這篇把正方的帳算給你看，留言把反方的帳也算了。

摘要：作者 Matteo Raso 估算，AI 公司已承諾的支出至少 3 兆美元，另有約 1.9 兆已花掉，合計約 5 兆。他認為這些主要是一次性的資料中心建置，蓋完之後支出會大降；Anthropic 的 S-1 寫著每 1 美元算力能賺回 2.08 美元，而且收入已超過算力加基礎建設投資。他用 20 年攤還 5 兆算，每年約 2,500 億美元，對照 Alphabet 2019 年營收約 1,620 億（換算通膨約 2,130 億），他覺得不是做不到。缺錢時，AI 公司還能取消免費方案、暫停昂貴研究。HN 約 536 分、近 900 則留言。

  • 要點 1：作者也承認債務透過複雜工具發行、很難算清，是泡沫論最有力的一點
  • 要點 2：他把「大家都在等泡沫破」解讀成希望一切回到從前

社群反應：最高讚的反駁說大部分成本是 GPU，應該用 5 到 6 年攤提，所需營收會變成 4 倍；也有人說 S-1 顯示虧損在擴大，鐵路、半導體當年也都有用，泡沫講的是時機和估值。

為什麼重要：我不押泡沫破不破，我在意的是價格。今天 Fable 降價、Meta 推每百萬 tokens 0.1 美元的 Muse Ember，至少這一段時間，用量越大越划算。

9. 黃仁勳寫信給 Nvidia 全體員工，承認婚外情並支持董事會調查#

短訊・產業・Hacker News

為什麼你該在意：昨天董事會宣布獨立調查，今天執行長親自發信，這件事接下來會影響 Nvidia 對中國的出口管制遊說。

摘要：Nvidia 新聞室公開了黃仁勳 11 月 8 日寄給員工的信。他寫：「我對妻子不忠，我的行為傷害了她和孩子，沒有任何藉口。」他向董事會、合作夥伴、股東道歉，說會努力贏回信任；關於新聞提到的國安疑慮，他支持董事會的獨立調查、會全力配合，並請大家給家人隱私。TechCrunch 報導他退出了 ElevenLabs Summit，之前也退出一場 Anthropic 活動。HN 約 930 分、1,183 則留言。

社群反應：HN 有人說道歉信寫法很到位，沒有推給別人；也有人貼出開盤前股價跌約 2%。

為什麼重要：我會留意的是出口管制，雲端 GPU 價格跟這條線有關。八卦部分我就不多看了。

10. 把抗議標語藏進 RSA 公鑰，還拿到 Let’s Encrypt 簽發的憑證#

8 分鐘・密碼學・Lobsters

為什麼你該在意：這是一個很好玩的機會，讓你搞懂 RSA 公鑰裡哪些位元是你能控制的，還有 CA 到底檢查了什麼。

摘要：作者不喜歡 TLS 憑證要一直走 ACME、幾個月就過期，決定做一張「抗議憑證」。公開指數 e 被 CA 限定 65537，能動的只有 2,048 或 4,096 位元的模數 n。他先隨機選兩個質數 p、q 算出 n，把 n 的高位元組改成想要的 base64 文字，再用 n/p 重算 q、往上找最近的質數，通常只要調幾百；因為只動到乘積的低半部，訊息會留著。接著照常產 CSR、用 certbot 送簽。他自己網站憑證裡就寫著「You don’t actually have to pick random private keys / No one checks these things」。RSA-2048 大約能放 150 個字元。

  • 要點 1：作者說這會降低私鑰的熵，但類似做法曾被研究當成壓縮金鑰的方式
  • 要點 2：p、q 太接近會讓 n 容易被分解，這是他自己點出的風險

為什麼重要：我不會在正式網站這樣做。但下次跟團隊講「憑證裡哪些欄位是你填的、哪些是 CA 驗的」，這篇是很好的教材。

11. KetchUp：用 Rust 和 WebGPU 做的開源 SketchUp 替代品，瀏覽器裡就能畫#

工具・3D／Rust・Hacker News

為什麼你該在意：Rust 加 WebGPU 的 UI 在瀏覽器裡跑得順，對想做跨平台繪圖工具的人是一個參考點。

摘要：KetchUp 的首頁寫著「Draw. Pull. Make it yours.」，可以畫線、矩形、圓、手繪輪廓，用 Push/Pull 把面拉成體，再移動、縮放、偏移、上色。目前 GitHub 上對應的 repo 叫 BenchUp3D/editor，描述是免費開源的 3D 木工與建模軟體，用 Rust、WebAssembly 和 WebGPU 寫成，瀏覽器和桌面都能跑，還自稱「100% vibe-coded」。MIT 授權，約 613 星。HN 約 726 分、220 則留言。

  • 要點 1：留言最多人提醒名字太像 SketchUp，可能會被告
  • 要點 2：有人回報每畫一個矩形就要命名，預設行為不太對

社群反應：做 3D 列印的人說 SketchUp 8 是最好上手的，很期待；也有人看到用 LLM 寫的就不想碰，另一位留言則說 Rust UI 在瀏覽器裡的文字渲染很驚豔。

為什麼重要：我會打開來看它的 Push/Pull 手感。我自己寫 Flutter，這種用 vibe coding 做到能用的程度，是我評估「這類工具能做到多複雜」的參考。

12. 自己編一整個 Linux 發行版的套件要花多少電？七個月 98.4 度#

3 分鐘・基礎設施・Lobsters

為什麼你該在意：CI 和建置機的電費常被忽略，這篇用插座電表量出一個很具體的數字。

摘要：作者為 Casuarina Linux 拿一台 Ryzen 9 5950X、32GB RAM 的舊機當建置伺服器，接上智慧插座量電。專案從 3 月 30 日跑到 11 月 8 日，總共 98.4 度，以每度 0.33 澳幣算約 32.47 澳幣。期間建了約 5,000 次套件（Buildbot 紀錄 5,201 次，含重建）。最慢的是 Chromium，將近 4 小時，滿載約 193W，一次約 0.77 度、25 澳分。他沒事就關機，因為待機功耗約 55W。實際用電應該超過兩倍，因為每個套件都先在他的 9950X3D 桌機上建過。Lobsters 約 82 分。

  • 要點 1：留言算過，如果一直開著，光待機七個月就約 275 度，是實際用量的近 3 倍
  • 要點 2：有人建議把建置排在太陽能發電最多的時段

為什麼重要：我的 Flutter CI 跑在雲端，看不到電費，但待機成本的邏輯一樣：自架 runner 閒置時就關掉。

推薦閱讀#

其他值得關注#

Builder 雷達#

1. Apple 開始賣 AI 用量包：Logic Pro 的 Intelligence Usage Pack 一次 49.99 美元#

Apple 9 月先發了一篇支援文章，說明部分 Apple Intelligence 功能有用量上限；現在 Logic Pro 更新後多了「Buy More Usage」，一次性購買 49.99 美元，用完上限後可以繼續用內建 AI 助理開新歌、設定人聲軌、調整專案。The Verge 說 Logic Pro 是 Apple 第一個對延長 Apple Intelligence 用量收費的 App，消息最早由 9to5Mac 發現。

對你的 App 代表什麼：連 Apple 自己都把 AI 功能做成「有上限，超過另外買」。我在 App 裡加 AI 功能時，會先設計免費額度和加購包，不會把推論成本全部塞進月費。

2. Pinky：讓 Claude Code、Codex、Cursor 直接操作你的真實 iPhone 或 Android#

DIYgod 的開源桌面 App，Apache-2.0，約 1,413 星。透過 MCP 讓 agent 操作手機，你在電腦上看、核准高風險步驟、隨時接手。付款、交易、轉帳預設會停下來等你點，規則在 Pinky 的 gateway 執行，agent 不能自己核准；銀行、錢包、密碼管理 App 預設對 agent 隱藏，也不能在密碼或一次性驗證碼欄位打字。Android 10 到 17、iOS 17.4 以上都能用。RoundtableSpace 的 X 貼文約 56 讚、5.4 萬次曝光。

對你的 App 代表什麼：可以拿來讓 agent 在真機上跑一遍註冊、訂閱、paywall 流程，找出模擬器上看不到的問題。我會先在測試機上用，不接個人手機。

3. Vercel AI Gateway 月報：decision model 已佔四分之一請求，新團隊選 Anthropic 約二比一#

Vercel 說 AI Gateway 每月轉送超過 100 兆 tokens。六週內 decision model 成長到 26% 的請求，花費只佔每一美元的半分錢；10 月近三分之一付費團隊用過，月處理超過 100 億 tokens 的團隊有七成在用。語音模型的付費團隊比例從 7 月的 4% 升到 11%。超過一半的語言模型請求打到上市不到兩個月的模型。PostHog 的實作是用兩個是非題先篩，分數 0.4 以上才交給 Gemini 重寫。

對你的 App 代表什麼：分類、過濾、要不要呼叫大模型這類判斷，可以先交給便宜的 decision model。模型換得這麼快，我的程式裡模型名稱會集中在一個設定檔。

4. Automattic 推出 Spacefast：替 vibe coding 做出來的 App 補上資料庫、登入、寄信、分析#

WordPress.com 母公司 Automattic 的新服務，提供資料庫、認證、檔案上傳、Email 和分析，對手是 Lovable、Emergent。可以接 ChatGPT、Claude、Cursor、OpenCode、Amp 等 agent，也能連 Git repo。負責人 Batuhan İçöz 說，起因是常收到非技術朋友丟來的 Vercel 連結。

對你的 App 代表什麼：做 MVP 驗證時，後端選擇又多一個。我自己的 App 還是用 Firebase，但幫朋友做小工具時會比較一下它的定價。

5. store_screenshots：在 flutter test 裡直接產出 App Store 與 Google Play 截圖#

pub.dev 的說明：用 flutter test 產生商店截圖，支援裝置外框、翻譯文案、RTL、10 種模板和 Play 的 Feature Graphic。Abd Alfath Salem 在 X 上示範一份設定檔加一個指令，19 秒產出 26 張阿拉伯文與英文截圖；貼文互動很低，當個人分享看。

對你的 App 代表什麼：多語系截圖每次改版都要重做，我會試著把它接進 CI，送審前自動產一次。

6. Superwall 建專案改成直接搜商店，名稱、icon、bundle ID 自動帶入#

Superwall 在 X 上說，新專案只要說 App 已上架，在 App Store 或 Google Play 搜名字，就會自動填好名稱、icon、bundle ID 和 package name。貼文約 214 次曝光，互動很低，當產品更新看。

對你的 App 代表什麼：接 paywall 工具的第一步又短了一點。我比較在意的是 bundle ID 和 package name 自動帶入，少一個手動打錯的機會。

社群在吵什麼#

1. Opus 5.5 是不是被削弱了？有人分析 1,400 個 Claude Code session#

Shane Melaugh 在 X 上說，他讓 Gemini 4 Argon 分析 1,400 個 Claude Code session，發現 11 月 3 日模型名稱沒變，推理方式卻明顯轉彎；貼文約 3,046 讚、56 萬次曝光。HN 約 666 分、438 則留言。Fable 5.2 一發布，HN 上就有人說「大家猜對了，5.5 是為了新模型被削弱」。爭點在：同一個模型名稱下的行為改變，使用者有沒有權利被告知。

2. Terminal2Shell：「每個作業系統都中招」的嚴重漏洞，其實是打開終端機#

一個仿資安公告的諷刺網站：漏洞是「終端機一打開就連到 shell」，利用步驟是「打開終端機，沒有第二步」，受影響產品列到 1978 年的 VT100，唯一安全的是小畫家，網頁上還有一個可以打字的假 shell。Lobsters 討論約 58 分，有人說「每個嚴重漏洞都需要一個 logo、一個網域，和一個數字加名詞的名字」。爭點在：漏洞命名和行銷越來越浮誇，這篇是在笑這件事。

3. 我看到你的 HN 留言：用 AI 寫的推銷信偽裝成提問#

Josh Strange 說以前收到讀者來信是好事，他因此認識人、甚至雇過人；這兩年幾乎都是推銷。信的開頭引用你某則留言、稱讚一句、問一個開放式問題，等你認真回了兩三段，才轉成「這跟我在做的很像」或「下週有 15 分鐘嗎」。他用 Claude 翻了 2013 年以來的信驗證這個感覺。HN 約 393 分、284 則留言。爭點在：要不要停止回覆陌生人的提問，代價是錯過真的想交流的人。

4. Fable 5.2 到底貴不貴：同一個 prompt，effort 開到底花了 642 美元#

Rhino 貼出同一個 prompt 在不同 effort 的花費：High 24.31 美元、1 小時 5 分，Max 87.99 美元，Ultra 642.42 美元、10 小時 21 分。另一則貼文提醒 Fable 每 token 單價是 Opus 5.5 的兩倍。兩則互動都很低。爭點在：每任務成本降了，但 effort 選錯，總帳反而變大。

中文技術圈#

1. 繼 OpenAI、Anthropic 之後，DeepSeek 也要建外掛市集：三家拉攏開發者的規則差在哪？#

（科技報橘）：DeepSeek 說 Harness 日活 154 萬、第三方外掛約 3.5 萬個，接下來要做官方市集並用 Token 補助開發者；數字為官方自行公布。

2. 整合開發環境GoLand 2026.3讓AI代理直接操作效能分析器，追查Go程式瓶頸#

（iThome）：透過 MCP 讓 agent 依 CPU、記憶體或鎖競爭擷取效能資料，找出耗資源的函式。

3. GitHub重構Git底層儲存架構，單一儲存庫壓測每秒可接收7,200次推送#

（iThome）：為了 AI agent 大量寫入，新架構 Rubicon 支援 5,000 個 agent 同時操作單一 repo，目前是有限私人預覽。

4. 当 Flutter 遇上鸿蒙：一次“杂志级”混合开发实战#

（InfoQ 中文）：Flutter WebView 加 JSBridge 打通原生能力，從踩坑到上線的完整紀錄。

5. 不想当管理者，就用不好 Coding Agent？Anthropic 工程师长文谈 Agent 管理实战#

（InfoQ 中文）：一份 Anthropic 工程師整理的 agent 管理實務手冊。

6. 开发者每周借助 AI 节约数十小时的比例在一年内从 68% 降至 26%#

（InfoQ 中文）：Atlassian 報告指出 95% 開發者的組織已在用 AI，但每週省超過十小時的人一年內從 68% 掉到 26%。

7. 2.5小时一个零日，400多个root提权：Linux被AI挖成了筛子，人类逆向几周才看懂一个#

（InfoQ 中文）：AI 挖 Linux 核心漏洞的速度遠超人類分析，文中引述「唯一的出路是把人徹底移出防禦環」。

8. 不能把整个安全体系押在大模型上：AI 分诊 CVE，人工审查仍不能少#

（InfoQ 中文）：亞馬遜雲科技示範用 AI agent 分診 Linux 核心 CVE，跟上一則剛好是兩種立場。

9. 易遊網遭駭 69 萬人個資外洩，業者：未涉及信用卡號#

（科技新報）：易遊網 7 日偵測到會員中心遭攻擊，部分歷史訂單聯絡資料外洩，提醒留意詐騙。

10. 有民眾透過AI學會架設自動化網路攻擊系統，高雄警方破案示警網路犯罪門檻降低#

（iThome）：嫌犯透過 AI 學寫程式、架網站，入侵網站後台竊取 23 萬餘筆個資販售。

11. 搶攻企業AI規模化的需求，Google新推兩款TPU新系統，TPU首度支援機密運算#

（iThome）：TPU 8tx 在硬體層加安全機制，搭配客製 AMD CPU 主機提供機密運算。

12. AI越来越聪明，企业却快管不住了：Gartner 2027年十大趋势，智能体治理成新战场#

（InfoQ 中文）：Gartner 預測到 2031 年 80% 的新應用會是可拋棄、容易替換的。

開源精選#

1. janestreet/agent_skills#

Markdown | 1,939 stars

Jane Street 開源的 agent skills，目前有一個 socratic-tutor：診斷程度、0 到 5 級技能地圖、一次一題、間隔複習和期末評量。

2. govijr/terminal-mac#

Swift | 2,503 stars

用 Apple Virtualization 開一台獨立的 macOS 給 computer-use agent 用，在終端機裡看畫面、操作，不會動到你本機的游標和剪貼簿。

3. jhaizhou-ops/S2Arm#

C# | 1,713 stars

把你自己的 Switch 遊戲改寫成 ARM64、圖形直接走 Metal，在 iPhone、iPad、Mac 上原生執行，遊戲和金鑰要自備。

4. huamidev/GestaltX#

Swift | 1,372 stars

iOS 27.x 的 MobileGestalt 編輯器，可以改地區碼、套用裝置預設、備份，支援 7 種語言。

5. voyager-so/vork#

Rust | 1,280 stars

給 agent 用的 3D 與 VFX 引擎，場景、shader、相機、物理都用程式寫；官方說一百萬隻鳥的 1080p 動畫 192 格在一張 L4 上 97 秒算完。

影音精選#

1. Fireship：OpenAI 花 120 萬美元攻擊 Linux，還算便宜#

頻道：Fireship

Fireship

為什麼你該在意：一個一般人不能用的模型在 Linux 核心裡挖出 948 個 root 漏洞，跟今天 Mythos 5.2 的資安能力是同一條線。

  • 要點 1：影片說明寫著這個模型帶回 948 個 root exploit
  • 要點 2：可以跟中文技術圈那篇「2.5 小時一個零日」對照著看
  • 要點 3：短片形式，幾分鐘看完

2. Theo：寫程式已經不只是寫程式碼#

頻道：Theo (t3.gg)

Theo

為什麼你該在意：他說 AI 給了工程師一份新工作，比較像在照顧花園，跟今天 agent-autoloop 那種「你只負責拍板」的想法很接近。

  • 要點 1：主題是工程師角色從寫碼轉成照顧、修剪
  • 要點 2：適合配著 Simon Willison 那篇 PR 說明一起看
  • 要點 3：本集贊助商是 CodeRabbit

3. 20VC：Mistral 執行長談 OpenAI、Anthropic 會怎麼吃掉你的生意#

頻道：20VC

20VC

為什麼你該在意：Arthur Mensch 談主權 AI、中國開放權重模型安不安全，做企業客戶的人會被問到這些問題。

  • 要點 1：Mistral 募資約 75 億美元（含債務），估值超過 240 億美元
  • 要點 2：他是 Chinchilla 論文共同作者，之前在 Google DeepMind
  • 要點 3：章節包含「中國開放權重模型真的安全嗎」

今日觀察#

Fable 5.2 我今天就會開來試。價格降了，High 等級就追平 Opus 的最好成績，我最在意的是 token 用量。我會拿一個 Flutter 的狀態管理重構去跑，同時盯著費用。

SSH agent 那則讓我馬上打開 ~/.ssh/config 檢查。這種「為了少一步」的設計很常見，問題是預設值。我給 agent 的機器只會放 deploy key，權限只到單一 repo。

Shubs 那篇我看完有點冒汗。他是從一支 App 的反編譯開始的，前端打包檔裡寫死的 key 和後台網址，就是整條攻擊鏈的起點。我打算這週把手上的 Flutter App release 包都拆開看一遍。

Pinky 和 agent-autoloop 剛好是兩個方向的答案：一個把高風險動作的核准權留在 gateway，一個把「需要你決定」的事做成卡片。我比較喜歡這種設計，agent 可以跑得很遠，但鑰匙還在我手上。

Microsoft 那個 DMARC 的事也提醒我，寄信網域要定期檢查。驗證信寄不到，使用者只會覺得 App 壞了，不會想到是 Outlook 的問題。

最後是一個比較私人的感想。今天好幾則新聞都跟「方便」有關：SSH agent 轉送是為了少輸一次密碼，車廠的管理工具放在公網是為了好維護，還有人是事後翻 log 才發現 Opus 的推理方式變了。每個決定單看都說得通，疊在一起就是一條攻擊鏈，或一個使用者說不清楚的改變。我會把這週的檢查寫成一份 checklist，放進每個專案的 README。

同期還有