供应链

Rivian 给整车塞了个真正能关掉所有联网的开关；PyTorch Lightning 中招 Shai-Hulud 供应链攻击；Mozilla 公开反对 Chrome 的 Prompt API；Simon Willison 用 5 分钟回顾过去半年的 LLM 走势；Anthropic 把 Stainless 买下来；400 行 Shell 就想做你的编码 Agent。今天的主线是"基座在收紧"。

今天三条主线交织：（1）个人隐私和企业凭证安全连续两天上热搜——HN 头条 442 分是车主自己动手拆掉 2024 RAV4 hybrid 的 modem 和 GPS，223 分是 Nginx 又一个 CVE 级别的 stack-based exploit，V2EX 那边一个公司发现同事偷偷把 LLM 网关 key 转手给别人当外快；（2）开发者工具栈整体走向 AI 原生——VS Code 1.108 出 Agent window，能并行管理多个 Coding Agent，Zenn 上一篇用同一份 Skills 让 Claude Code 和 Codex 下奥赛罗 56-8 的对战记录意外火出圈，GitHub Trending 第 4 名是 obra/superpowers 这个 Claude Code Skills 框架；（3）底层平台同时演进——Bun 的 Rust 重写 PR 终于合进 main，Node.js 26 把 Temporal API 默认开启，Modular 的 Mojo 1.0 进入 Beta，外加 Anthropic 和盖茨基金会签下 2 亿美元的全球健康合作。

HN 头条今天集中爆出三连击：Claude Code 在用户 commit 里看到 ‘OpenClaw’ 就拒绝服务或加收费用——865 分的 AI 厂商品牌警察事件；PyTorch Lightning 被植入 Shai-Hulud 主题的恶意依赖，AI 训练链被供应链攻击精准打中；Rivian 推出’整车断网开关’，把’我们家电动车也是云产品’这条不成文规则掀翻。V2EX 上两个真实的开发者抱怨：Gemini 这几天明显在’降智’，以及一个把 mihomo 直接挂到 Tailscale 上的中转方案。Publickey 翻译/转述了两条值得注意的 JS 生态进展：Node.js 26 把 Temporal 默认开启，Mojo 1.0 进入 Beta。Simon Willison 写了一个 CSP iframe 沙箱里允许列表的实验，并转载了 Boris Mann 一句吐槽：‘我有 11 个 AI 智能体’就跟说’我有 11 个浏览器标签’一样毫无信息量。GitHub Trending 上 obra/superpowers——给 Claude Code 装’技能’的那个仓——这几天攀升明显。

LinkedIn 把对 6278 个浏览器扩展的扫描结果加密塞进每一次请求，HN 上 299 分。Mozilla 公开反对 Chrome 把 Prompt API 推进 Web 标准，AI 浏览器战场的标准之争正式开打。Simon Willison 拆解 GitLab Act 2——一家纯 SaaS 公司在智能体时代砍人重组的剧本。V2EX 上两条共鸣很高的吐槽：一是 AI API 中转站为什么这周突然爆发，二是 AI Coding 比手写还累。Zenn 今日最热文章正面提问：为什么有的工程师从生理上厌恶’设计原则’。Publickey 报 Claude Platform on AWS 正式开服。再加上 CopyFail 没告知 Gentoo 维护者的供应链披露事故、400 行 shell 实现的 Pu.sh 智能体外壳，和一个用 F# 写的 Game Boy 模拟器。

LinkedIn 把对 6278 个浏览器扩展的扫描结果加密塞进每一次请求，HN 上 299 分。Mozilla 公开反对 Chrome 把 Prompt API 推进 Web 标准，AI 浏览器战场的标准之争正式开打。Simon Willison 拆解 GitLab Act 2——一家纯 SaaS 公司在智能体时代砍人重组的剧本。V2EX 上两条共鸣很高的吐槽：一是 AI API 中转站为什么这周突然爆发，二是 AI Coding 比手写还累。Zenn 今日最热文章正面提问：为什么有的工程师从生理上厌恶’设计原则’。Publickey 报 Claude Platform on AWS 正式开服。再加上 CopyFail 没告知 Gentoo 维护者的供应链披露事故、400 行 shell 实现的 Pu.sh 智能体外壳，和一个用 F# 写的 Game Boy 模拟器。

Claude Code 据称在 commit 信息出现 ‘OpenClaw’ 字样时拒绝请求或多收费，HN 上 865 分。Shai-Hulud 风格的恶意包混进了 PyTorch Lightning。Simon Willison 复盘 Anthropic 拿下 SpaceX Colossus 1 全部算力的代价：被 Elon 一句话没收的供应链风险。Bun 一周内用 Claude 把代码从 Zig 迁到 Rust。Zed 1.0 发布。V2EX 上 AI 重新引入上周修过的 bug 这条吐槽戳到了所有人。再加上 Rivian 真断网开关、SQLite 里塞整套队列基础设施、Lemire 教你怎么打败二分查找。

Mozilla 在标准位置上正式反对 Chrome 的 Prompt API；与此同时 Mozilla 自己用 Claude Mythos 把 Firefox 单月安全修复数从 20 多条干到 423 条。LinkedIn 被抓包：每次请求都偷偷扫描 6,278 个浏览器扩展再加密上传。PyTorch Lightning 供应链中招 Shai-Hulud 主题恶意包。Anthropic 拉上 Blackstone、H&F、高盛搞了个企业 AI 服务公司。V2EX 集体进入 Claude Code 倦怠期。