今日速览
周末归来这一波料还挺猛：一边是 LinkedIn 被扒出在悄悄扫描浏览器扩展并加密回传，PyTorch Lightning 又出现 Shai-Hulud 主题的依赖投毒，安全话题占据了 HN 半壁江山；另一边 Anthropic 在企业侧继续加码，2 亿美元和盖茨基金会绑在一起做全球健康，还顺手为中小企业推出了 Claude for Small Business。中文圈最有共鸣的，是 V2EX 上"AI Coding 之后还能不能找回写代码的乐趣"的讨论——这个问题在国内、海外华人开发者社群里都同步发酵。
今日 10 条
1. LinkedIn 扫描 6,278 个浏览器扩展并加密回传（HN · EN）
LinkedIn 在每个请求里都偷偷塞了一段加密 payload，背后是对 6,278 个扩展 ID 的 fingerprint 探测。对一直被反爬抓得很痛的开发者来说这不算意外，但加密回传 + 黑盒分类的做法把"指纹边界"又往前推了一格。如果你日常装着 VPN、隐私、爬虫类扩展，可以理解 LinkedIn 为什么对你的账号格外"敏感"。
2. PyTorch Lightning 出现 Shai-Hulud 主题供应链投毒（HN · EN）
继去年那波 npm Shai-Hulud 事件后，攻击者把同款蠕虫思路搬到了 AI 训练侧——通过被植入的依赖在 Lightning 用户的训练环境里横向扩散。AI 团队普遍 pip install 后直接跑训练，凭借的是 GPU 资源池里被弱隔离的 SA token，一旦中招代价比普通 Web 后端要高得多。短期建议：核对 lockfile 哈希，CI 环境别用长期凭证。
3. 编程语言越来越像可替换品（Simon Willison · EN）
Simon 借 Bun 从 Zig 迁回 Rust 以及一家公司用 Coding Agent 在几周内把 iOS/Android 原生 App 整体迁到 React Native 的故事，提出一个有点反直觉的观察：在 Agent 加持下，语言选型不再是"锁死十年"的决策，而越来越像一个可逆动作。对国内技术栈讨论里"Java 还是 Go"那种千年公案的爱好者来说，这个视角值得带回团队聊一聊。
4. 一位 Infra 开发的 200 美金 Codex 周消耗实测（V2EX · ZH）
帖主比较克制地记录了一周用 Codex 的真实花费、命中场景和翻车点，评论区涌入了大量"我也是 Infra/我也是 200 刀"的对照。可以当成一份非营销向的真实成本基线：哪些活值得让 Agent 跑、哪些活手写更划算，对正在评估给团队开 Codex/Claude Code 月卡的同学很有参考价值。
5. “AI Coding 之后慢慢失去了对编程的热爱”（V2EX · ZH）
这个帖子今天在 V2EX 热度持续走高，引发的不是技术争论而是身份焦虑：当大段代码不再是你亲手敲出来的，编程作为"手艺"的成就感从哪里来？类似的讨论同步出现在 Zenn 和 HN，全球开发者社区在同一个问题上同步焦虑，这件事本身就值得记录一下。
6. 从 Claude Code 迁到 Codex：日本开发者的实操笔记（Zenn · JA）
Gemcook 的工程师写了篇相当务实的迁移笔记：哪些 workflow 在 Codex 上更顺、哪些场景反而被 Claude Code 的 sub-agent 模型甩出几条街，以及账单结构上的差异。两边都在用的同学可以省下一上午做对比实验的时间。
7. VS Code 1.120 推出 Agent window：原生支持多 Agent 协作（Publickey · JA）
VS Code 把"多 Agent 并行干活"做进了主线：每个 Agent 一个独立 window，可以分别盯不同任务，状态合并到一个面板。看起来是为了对抗 Cursor 和 Codex 这类整体体验的产品，但更值得关注的是它打开了"团队约定一个 Agent 编排规范"的口子——以后给新人 onboarding，可能就是一份 .vscode/agents.json。
8. Anthropic 与盖茨基金会达成 2 亿美元合作（Anthropic 官方 · 三方关注）
钱主要砸在全球健康、农业、教育三块的"AI for Good"项目上，分发对象是基金会在全球的合作机构。对国内做医疗 / 公益 / 教育方向 AI 的团队来说，这是个值得跟进的方向信号——一线大模型厂商开始把"非商业用例"做成正式 BU。
9. Anthropic 推出 Claude for Small Business（Anthropic 官方）
这是一个独立 SKU，价格和功能都对准 5–50 人的小团队，对此前只能在 Pro 个人版和 Team 版之间二选一的小公司更友好。从产品策略上看，Anthropic 正在按规模切人群，而不只是按"个人 / 企业"切。
10. Mozilla 反对 Chrome 的 Prompt API（HN · EN）
Mozilla standards-positions issue · HN 讨论
Chrome 想把"网页直接调浏览器内置模型"做成标准，Mozilla 明确反对，理由很有意思：把模型权重和体验绑进浏览器，等于让 Web 平台默认依赖一个不可移植的"黑箱前端 AI"。这场架构之争比一般的 Web API 之争更有长期影响，建议关注后续 W3C TAG 的态度。
编者按
今天的暗线是两个：AI 供应链安全（PyTorch Lightning 投毒）和 Agent 在企业 / IDE 里的边界（VS Code Agent window、Anthropic 多个企业 SKU、Codex 实测）。今天必读两条：第 2 条 Shai-Hulud 投毒——AI 团队的 supply chain hygiene 已经不是"可选项"；第 10 条 Mozilla 的反对——它牵涉的不只是一个 API，是"AI 是不是要变成 Web 平台默认基础设施"这个大问题。
数据源备注：GitHub Trending 今日的 HTML 抓取被频控，本期不计入；其他六个源都正常返回。