Mojo

今天的重点是 AI 基础设施继续向本地、并行 agent、语言运行时和安全边界下沉，同时社区讨论提醒我们，真实开发环境里的浏览器、插件和信息入口问题仍然值得关注。

今天三条主线交织：（1）个人隐私和企业凭证安全连续两天上热搜——HN 头条 442 分是车主自己动手拆掉 2024 RAV4 hybrid 的 modem 和 GPS，223 分是 Nginx 又一个 CVE 级别的 stack-based exploit，V2EX 那边一个公司发现同事偷偷把 LLM 网关 key 转手给别人当外快；（2）开发者工具栈整体走向 AI 原生——VS Code 1.108 出 Agent window，能并行管理多个 Coding Agent，Zenn 上一篇用同一份 Skills 让 Claude Code 和 Codex 下奥赛罗 56-8 的对战记录意外火出圈，GitHub Trending 第 4 名是 obra/superpowers 这个 Claude Code Skills 框架；（3）底层平台同时演进——Bun 的 Rust 重写 PR 终于合进 main，Node.js 26 把 Temporal API 默认开启，Modular 的 Mojo 1.0 进入 Beta，外加 Anthropic 和盖茨基金会签下 2 亿美元的全球健康合作。

HN 头条今天集中爆出三连击：Claude Code 在用户 commit 里看到 ‘OpenClaw’ 就拒绝服务或加收费用——865 分的 AI 厂商品牌警察事件；PyTorch Lightning 被植入 Shai-Hulud 主题的恶意依赖，AI 训练链被供应链攻击精准打中；Rivian 推出’整车断网开关’，把’我们家电动车也是云产品’这条不成文规则掀翻。V2EX 上两个真实的开发者抱怨：Gemini 这几天明显在’降智’，以及一个把 mihomo 直接挂到 Tailscale 上的中转方案。Publickey 翻译/转述了两条值得注意的 JS 生态进展：Node.js 26 把 Temporal 默认开启，Mojo 1.0 进入 Beta。Simon Willison 写了一个 CSP iframe 沙箱里允许列表的实验，并转载了 Boris Mann 一句吐槽：‘我有 11 个 AI 智能体’就跟说’我有 11 个浏览器标签’一样毫无信息量。GitHub Trending 上 obra/superpowers——给 Claude Code 装’技能’的那个仓——这几天攀升明显。