今日速览

如果说本周前几天大家在讨论 “AI 工具怎么用得更好”，今天讨论的就是 “AI 工具用多了之后，软件供应链和办公室里的人际信任要怎么重建”。两条 V2EX 热帖很说明问题：一个是 Bun 用 Rust 重写居然顺利合进了主分支，一个是公司花钱买的 token 被同事拿去转售。这两件事看起来没关系，但都指向同一个现实——当 AI 把开发成本压到极低时，原来的协作假设和成本结构都得重写。今天最值得读：条 5（Bun 的 Rust 重写）、条 6（API key 被员工转售这件事的法律边界）、条 7（VS Code Agent window）。

1. 车主自己动手拆 2024 RAV4 hybrid 的车载 modem 和 GPS

标签：[EN · HN 头条 442 分] 链接：https://arkadiyt.com/2026/05/13/removing-the-modem-and-gps-from-my-rav4/

车主把 DCM（Toyota 的车载通讯模块）和 GPS 天线物理拆掉，再用电阻假装总线还活着骗过 CAN，然后写了一篇 step-by-step 的拆解文。HN 评论区分成两派：一派认为这是必要的"消费者主权"，另一派担心紧急呼救（automatic crash notification）这种依赖 DCM 的功能会一起没。值得国内开发者关注的是：这件事在中国语境下叫"车机断网"，但在美国和日本都已经从极客行为变成 broader 的法规话题——欧盟 Data Act 已经在推"车主有权关闭遥测"的方向。如果你在做车联网 SaaS，今天就是再看一遍设计假设的好时机。

2. Nginx 又一个 CVE，公开的栈溢出 PoC

标签：[EN · HN 头条 223 分] 链接：https://github.com/DepthFirstDisclosures/Nginx-Rift

DepthFirstDisclosures/Nginx-Rift 仓库放出了一个针对 Nginx 的栈溢出 PoC，触发条件涉及特定的 worker 配置和上游 chunked encoding。F5 那边官方 Advisory 还没发，但 HN 评论里已经有人贴了几家大厂在自己流量层的临时 mitigation：限制 large_client_header_buffers，关闭某些 upstream 路径的 chunked。如果你在国内用 OpenResty 或者云厂商的 Nginx fork，等 patch 之前可以先看一下自己的 ingress 是否暴露了这条路径。

标签：[EN · GitHub Trending] 链接：https://github.com/obra/superpowers

obra（Jesse Vincent）做的 “agentic skills framework”，本质上是一套用 shell + Markdown 把"领域知识 + 工具调用模式 + 注意事项"打包成 Claude Code 可加载技能的方法论。这两天 1,801 stars/day，已经成为 Skills 生态里被引用最多的实现之一。它和 Anthropic 官方的 Skills 规范是兼容关系，但 obra 那一套更强调"先写流程文档，再 codify 成脚本"的顺序。今天 Zenn 那篇 Claude vs Codex 奥赛罗对战用的就是 superpowers 风格的 Skills 文件。如果你团队里有人在写"AI 协作手册"，可以直接借鉴它的目录结构。

4. Mojo 1.0 进入 Beta

标签：[Wildcard · Publickey 转 Modular] 链接：https://www.publickey1.jp/blog/26/aipythonmojo.html

Modular（Chris Lattner 牵头）的 Mojo 终于到 1.0 Beta。Mojo 的卖点一直是"语法像 Python，但能在编译期下沉到 MLIR，对 GPU 和异构硬件友好"。Beta 阶段意味着语言本身基本冻结，重点开始放在标准库和包管理。国内做推理加速的团队这两年一直在观望 Mojo——它是少数有可能在某些算子层把 PyTorch 自定义 CUDA kernel 的工作量降一个数量级的方案。值得本周抽 1-2 小时看一下它的 SIMD/向量化原语，哪怕只为了知道 PyTorch 2026 之后的方向。

5. Bun 用 Rust 重写的 PR 已合并到主分支

标签：[ZH · V2EX] 链接：https://www.v2ex.com/t/1212789

V2EX 早上窜得很快的一条。Bun 原本是 Zig 写的，今年初官方说要"逐步迁移到 Rust"——理由主要是 Zig 工具链对企业贡献者来说门槛太高。这条 PR 是把核心的几个 native binding 切到 Rust runtime，整体测试通过率打过来了。评论区两个分歧：（a）Bun 之前最大的差异化卖点之一是 Zig，现在换成和 Deno、Node.js 一样的 Rust 路线，长期还有没有"性格"；（b）Bun npm 兼容层目前的几个长期 bug 反而没在这个 PR 里解决，社区有点失望。对国内大厂前端基础设施团队：如果你这两年的 monorepo 工具链已经押 Bun，今天可以更新一下风险评估。

6. 公司买了 Token，同事偷偷把 Key 给别人用

标签：[ZH · V2EX] 链接：https://www.v2ex.com/t/1212742

发帖人是某公司的技术负责人，发现公司花年费买的 Claude/OpenAI 网关 key 被同事拷贝出去给"另外几个朋友"用了，账号 usage 月底直接爆表。评论区在认真讨论一件事：这种行为在劳动合同里到底算什么——挪用公司财物、侵犯著作邻接权、违反 AUP 还是仅仅"违反公司制度"？比较有共识的几条结论：（1）所有 LLM gateway 都应该开 per-user API key + 审计日志，不要在团队里共享 master token；（2）日本和美国都有过类似的 SaaS 凭证滥用进入法庭的案例，结果通常算"职务侵占"而不只是违纪；（3）2026 年的开发团队 onboarding 文档里，需要专门有一节"AI 资源使用规范"。今天可以拿这一条作为契机，把团队的 LLM key 管理 review 一遍。

7. VS Code 1.108：Agent window 预览，并行管理多个 AI 代理

标签：[JA · Publickey] 链接：https://www.publickey1.jp/blog/26/vs_codeaiagent_window.html

5 月 13 日发布的 VS Code 1.108 里塞进来一个叫 Agent window 的新窗口形态，定位是"专门给多个 Coding Agent 并行工作用"。你可以在同一个 workspace 里同时跑 Copilot、Claude Code、Codex、本地模型等多家 agent，每家有自己的会话窗口、独立的文件 diff 暂存区，可以左右对比谁的实现更好再合并。这条其实呼应了昨天 Simon Willison 转 Boris Mann 的那个吐槽——“11 个 AI 代理"本身没意义，意义在于能不能并行编排、对比、择优。VS Code 给的答案是：把 IDE 本身改造成"AI 工厂车间”。

8. Claude Code 对 Codex 用同样的 Skills 下奥赛罗，56-8

标签：[JA · Zenn] 链接：https://zenn.dev/doai/articles/cc97075e985938

@doai 用同一份"奥赛罗规则 + 评估函数"的 Skills 文件分别交给 Claude Code 和 Codex 当大脑，让它们对弈，结果是 56-8 一边倒。文章干货的部分不在"谁赢了"，而在于作者把两边的 reasoning 中间过程都贴出来：Claude 倾向于先算出"我这一步之后 4 手之内的稳定子数"，Codex 更像在做"启发式 + 试错"。这两种风格直接决定了它们在更接近真实工程的任务（比如重构一个大模块）上的失败模式。Skills 这个机制最近被讨论得多，但很少有人系统对比同一份 Skills 在不同模型上的表现差异——今天这篇是非常稀缺的样本。

9. Anthropic 与盖茨基金会 2 亿美元合作，聚焦全球健康

标签：[Wildcard · Anthropic 官方] 链接：https://www.anthropic.com/news/gates-foundation-partnership

Anthropic 和 Gates Foundation 宣布 5 年 2 亿美元的合作，目标领域是低中收入国家的传染病监测、初级诊疗辅助、医保数据治理。资金的一半左右会以"Anthropic API 信用额度 + 工程师驻场"的方式落地，另一半是直接资助 NGO 和当地政府的项目。这件事的市场含义不小：Anthropic 在企业市场卷不过 OpenAI 的当下，正在把"基础模型公司 + 公益合作 + 政府采购"这个三角型做大。国内做出海 AI 的团队可以注意一下 Gates Foundation 一向的合作模式——它对 vendor lock-in 极其敏感，今天合作中具体是怎么处理的，会成为后续 enterprise RFP 里被引用的模板。

10. Node.js 26：Temporal 默认启用，正式取代 Date

标签：[Wildcard · Publickey] 链接：https://www.publickey1.jp/blog/26/nodejsdatetemporaltemporalchromeedgefirefoxnodejs.html

Node.js 26 正式版把 ECMA-402 Temporal API 默认打开，意味着 Chrome / Edge / Firefox / Node 全平台都到位了。Temporal 解决的是 Date 那一堆历史包袱——可变性、月份从 0 数、Time Zone 处理只有勉强能用的 toLocaleString。对国内做 cross-region SaaS 的团队，这件事最实际的影响是：以后讨论"东八区 vs UTC vs America/Los_Angeles"时可以直接 Temporal.ZonedDateTime，不再需要 dayjs/Luxon 的薄壳。建议这周就把 lint 规则加一条"新代码禁止 new Date()"，倒逼团队迁移。

编者按

今天的两条主线在情绪上有点对冲：底层基础设施在补齐多年欠债（Bun Rust 重写、Node.js Temporal、Mojo Beta、VS Code 把 AI 当一等公民），但人与组织的协作假设正在快速失效（员工转售 API key、车主自己拆 modem、跨厂 Agent 协作变成日常）。如果今天只读两篇，我推荐条 5（Bun Rust）和条 6（API key 被员工挪用）——前者预示着前端基础设施的下一个 5 年方向，后者是每个用上 LLM 的团队下季度必然要面对的真实管理问题。

Dev Digest 编辑