Cloudflare 把内部 SRE 工具拆出来做成商品「Flagship」直接对标 Datadog。一篇博客把下一代 token 预测的天花板讲清楚——LLM 正在从「会说」转向「会做」。HN 一篇"敢说不的工程师只是零利率时代的副作用"在中年程序员圈子里刷屏。V2EX 上两条讨论分别在拷问：国产 code agent 还能不能打、Qwen3.7 是不是真比 GLM5.1 强。Publickey 报道 .NET MAUI 终于丢掉 Mono 迁到 CoreCLR；VS Code 推出"Agent window"，多 AI 协作终于有了原生 UI。三条 wildcard：Anthropic 公布 Glasswing 联盟首批成果；Google Gemini 3.5 Flash 直接 GA 跳过 preview；xAI 的 Grok Build 进 beta，能并行起多个 sub-agent。
LinkedIn 被扒出会扫描浏览器里 6278 个扩展名单并加密回传；Mozilla 给 Chrome 的 Prompt API 打了一个"有害"的标准立场；PyTorch Lightning 中招了 Shai-Hulud 风格的供应链投毒。Docker 把它的 CLI AI agent「Gordon」推到正式版；.NET MAUI 终于离开 Mono 运行时迁到 CoreCLR。比利时因为 AI 数据中心负载预期暴涨，正式停止核电站退役。Rivian 真的给车主开了一个"全部断网"的开关。Armin Ronacher 吐槽用 LLM 重写过的 GitHub issue 全是套话。今天的主题是：信任的边界正在被重新画线——浏览器和站点之间、AI 和代码库之间、AI 改写过的文本和 bug 系统之间。
Claude Code 被曝在 commit 信息里看到"OpenClaw"就拒答或加价，AI 工具是否会"识别竞品"这条线第一次被推到 HN 头条。Simon Willison 转译的一篇 DDR/HBM wafer 分配文章给出"AI 在物理意义上吃掉了消费电子"的清晰因果。xAI 推出 Grok Build 编码 CLI 正面对线 Claude Code / Antigravity CLI。国内 V2EX 同时炸出两条：“公司给每个研发不限量 CC 4.6 还发周榜” 和 “阿里云 DNS 解析要开始收钱”，企业算力和基础设施账单两头都在重新分配。FTC 终于罚了 Cox Media Group 的"主动监听"假宣传，Gentoo 开发者抱怨 CopyFail 漏洞被绕过披露，西班牙国会准备立法限制 LaLiga 的大规模 IP 封锁。Red Hat 推出"永远不停服"的 RHEL Long-Life。今日主线：AI 工具的边界、算力的物理账单、企业开发预算的暗规则。
Rivian 让车主一键彻底切断车机与外网的所有连接，传统车厂被迫被对齐到一个新隐私默认值。LinkedIn 被发现扫描 6278 款浏览器扩展并把结果加密塞进每次请求，浏览器作为指纹来源再被重新发现一次。SQLite 又长出新的器官：honker.dev 把队列、流、Pub/Sub、cron 都塞进单个 .db 文件。Shai-Hulud 主题恶意包钻进 PyTorch Lightning，AI 训练侧的供应链第一次被正面打。V2EX 这边国内 token 套餐被吐槽，“自掏腰包给公司干活"的话题再上桌。日本侧 Google 在 I/O 后第二波放出 Managed Agent API 和 Antigravity 2.0。SpaceX S-1 顺手曝出 Anthropic 每月 12.5 亿美元买算力的合同。Mozilla 正面反对 Chrome 内置 Prompt API。今天的主线：AI 时代的隐私默认值、供应链信任、算力账单，都在重写之中。
HBM 把消费级内存吃掉，廉价手机要涨价；Claude Opus 4.7 默认能从写作风格反推出真名，匿名性正在被悄悄掀掉；Daniel Lemire 给出"打败二分搜索"的现代分支预测版本。V2EX 这边 qwen3.7-max 真的让人开始重新估国内模型，“AI 后 commit 数量还能不能算 KPI"也吵到几十层。Anthropic Project Glasswing 半年体检公开，cPanel 在野漏洞正在被批量利用。今天的主线：算力和内存的物理瓶颈、AI 时代隐私默认值、以及"评价工程师"这件事的标尺重写。
Rivian 给整车塞了个真正能关掉所有联网的开关；PyTorch Lightning 中招 Shai-Hulud 供应链攻击；Mozilla 公开反对 Chrome 的 Prompt API；Simon Willison 用 5 分钟回顾过去半年的 LLM 走势；Anthropic 把 Stainless 买下来；400 行 Shell 就想做你的编码 Agent。今天的主线是"基座在收紧"。
LinkedIn 被发现把 6000+ 浏览器扩展指纹塞进每条请求；比利时直接掉头、停止核电站退役；honker.dev 把 durable 队列塞进 SQLite。国内端 V2EX 两条热帖：TRAE 是不是国产 AI IDE 里"最不差"的、以及"算力网"国家级基建终于要落地。日本端 Publickey 同一天连发 Antigravity 2.0、Dell 桌面 Agent PC、Google Managed Agent API。今天的主线：AI Agent 把基础设施层（编辑器、数据中心、桌面、网络）整体往前推了一格。
Simon Willison 用五分钟把过去半年的 LLM 史塞进 PyCon 闪电演讲；PyTorch Lightning 被 Shai-Hulud 类供应链恶意包污染；Mozilla 公开反对 Chrome 推 Prompt API；Anthropic 一口气吃下 Stainless、把 SDK 生成链握在手里。今天的 10 条围绕一条主线：当 Coding Agent 真的开始"能用"以后，工程实践、依赖治理、企业渗透都在被重新洗牌。
Anthropic 收购 Stainless 把 SDK 生成层收编进 Claude 平台；PyTorch Lightning 被塞进 Shai-Hulud 系恶意包，AI 训练侧再次成为供应链战场；Mozilla 明确反对 Chrome 把 Prompt API 塞进 Web 标准。国内 V2EX 这两天在吵“算力网”和“实习生靠 AI 能不能转正”。
周一一波杂烩：openwall 上 Gentoo 开发者被供应商绕开漏洞披露的旧事重提，honker.dev 把队列和 cron 塞进单个 SQLite 文件，Simon Willison 写了个 datasette-llm-limits 给团队的 LLM 账单上限；Bun 改 Rust 的事情这次轮到 Zig 社区写公开信。
LinkedIn 暗扫浏览器扩展、PyTorch Lightning 被供应链投毒、Anthropic 与盖茨基金会签 2 亿美元协议；周末发酵的 OpenClaw 命名史也顺带聊聊。
周末版的今日精选：浏览器战场和 AI 战场再一次合二为一——Mozilla 公开反对 Chrome 的 Prompt API（让网页直接调本地 LLM），HN 564 分热议；PyTorch Lightning 被 Shai-Hulud 同款手法的 npm/PyPI 投毒攻击，AI 训练流水线也开始进入“供应链战国时代”。日方两条都来自 Publickey：VS Code 推出可以并行管多个 Agent 的“Agent window”，Node.js 26 把 Temporal 设成默认。中文圈两条来自 V2EX：Gemini 降智吐槽和“AI Coding 比古法编程累多了”——大模型质量和写代码体验都在被重新定价。
今天三条主线交织：（1）个人隐私和企业凭证安全连续两天上热搜——HN 头条 442 分是车主自己动手拆掉 2024 RAV4 hybrid 的 modem 和 GPS，223 分是 Nginx 又一个 CVE 级别的 stack-based exploit，V2EX 那边一个公司发现同事偷偷把 LLM 网关 key 转手给别人当外快；（2）开发者工具栈整体走向 AI 原生——VS Code 1.108 出 Agent window，能并行管理多个 Coding Agent，Zenn 上一篇用同一份 Skills 让 Claude Code 和 Codex 下奥赛罗 56-8 的对战记录意外火出圈，GitHub Trending 第 4 名是 obra/superpowers 这个 Claude Code Skills 框架；（3）底层平台同时演进——Bun 的 Rust 重写 PR 终于合进 main，Node.js 26 把 Temporal API 默认开启，Modular 的 Mojo 1.0 进入 Beta，外加 Anthropic 和盖茨基金会签下 2 亿美元的全球健康合作。
HN 头条今天集中爆出三连击：Claude Code 在用户 commit 里看到 ‘OpenClaw’ 就拒绝服务或加收费用——865 分的 AI 厂商品牌警察事件；PyTorch Lightning 被植入 Shai-Hulud 主题的恶意依赖，AI 训练链被供应链攻击精准打中；Rivian 推出’整车断网开关’，把’我们家电动车也是云产品’这条不成文规则掀翻。V2EX 上两个真实的开发者抱怨：Gemini 这几天明显在’降智’，以及一个把 mihomo 直接挂到 Tailscale 上的中转方案。Publickey 翻译/转述了两条值得注意的 JS 生态进展：Node.js 26 把 Temporal 默认开启，Mojo 1.0 进入 Beta。Simon Willison 写了一个 CSP iframe 沙箱里允许列表的实验，并转载了 Boris Mann 一句吐槽：‘我有 11 个 AI 智能体’就跟说’我有 11 个浏览器标签’一样毫无信息量。GitHub Trending 上 obra/superpowers——给 Claude Code 装’技能’的那个仓——这几天攀升明显。
LinkedIn 把对 6278 个浏览器扩展的扫描结果加密塞进每一次请求，HN 上 299 分。Mozilla 公开反对 Chrome 把 Prompt API 推进 Web 标准，AI 浏览器战场的标准之争正式开打。Simon Willison 拆解 GitLab Act 2——一家纯 SaaS 公司在智能体时代砍人重组的剧本。V2EX 上两条共鸣很高的吐槽：一是 AI API 中转站为什么这周突然爆发，二是 AI Coding 比手写还累。Zenn 今日最热文章正面提问：为什么有的工程师从生理上厌恶’设计原则’。Publickey 报 Claude Platform on AWS 正式开服。再加上 CopyFail 没告知 Gentoo 维护者的供应链披露事故、400 行 shell 实现的 Pu.sh 智能体外壳，和一个用 F# 写的 Game Boy 模拟器。
LinkedIn 把对 6278 个浏览器扩展的扫描结果加密塞进每一次请求，HN 上 299 分。Mozilla 公开反对 Chrome 把 Prompt API 推进 Web 标准，AI 浏览器战场的标准之争正式开打。Simon Willison 拆解 GitLab Act 2——一家纯 SaaS 公司在智能体时代砍人重组的剧本。V2EX 上两条共鸣很高的吐槽：一是 AI API 中转站为什么这周突然爆发，二是 AI Coding 比手写还累。Zenn 今日最热文章正面提问：为什么有的工程师从生理上厌恶’设计原则’。Publickey 报 Claude Platform on AWS 正式开服。再加上 CopyFail 没告知 Gentoo 维护者的供应链披露事故、400 行 shell 实现的 Pu.sh 智能体外壳，和一个用 F# 写的 Game Boy 模拟器。
Claude Code 据称在 commit 信息出现 ‘OpenClaw’ 字样时拒绝请求或多收费，HN 上 865 分。Shai-Hulud 风格的恶意包混进了 PyTorch Lightning。Simon Willison 复盘 Anthropic 拿下 SpaceX Colossus 1 全部算力的代价：被 Elon 一句话没收的供应链风险。Bun 一周内用 Claude 把代码从 Zig 迁到 Rust。Zed 1.0 发布。V2EX 上 AI 重新引入上周修过的 bug 这条吐槽戳到了所有人。再加上 Rivian 真断网开关、SQLite 里塞整套队列基础设施、Lemire 教你怎么打败二分查找。
Mozilla 在标准位置上正式反对 Chrome 的 Prompt API；与此同时 Mozilla 自己用 Claude Mythos 把 Firefox 单月安全修复数从 20 多条干到 423 条。LinkedIn 被抓包：每次请求都偷偷扫描 6,278 个浏览器扩展再加密上传。PyTorch Lightning 供应链中招 Shai-Hulud 主题恶意包。Anthropic 拉上 Blackstone、H&F、高盛搞了个企业 AI 服务公司。V2EX 集体进入 Claude Code 倦怠期。
Louis Rossmann 自掏腰包替被 Bambu Lab 起诉的 OrcaSlicer 开发者付律师费；NYT 报道 Meta 工程师在 AI 高压下的真实状态；Debian 把可复现构建写进发布要求；Zed 推出主题编辑器；FreeBSD execve 提权漏洞；Simon Willison 引 Andrew Quinn——『轮子要重造几个，但别造一千个』。
Louis Rossmann 自掏腰包替被 Bambu Lab 起诉的 OrcaSlicer 开发者付律师费；NYT 报道 Meta 工程师在 AI 高压下的真实状态；Debian 把可复现构建写进发布要求；Zed 推出主题编辑器；FreeBSD execve 提权漏洞；Simon Willison 引 Andrew Quinn——『轮子要重造几个，但别造一千个』。