周末版的今日精选：浏览器战场和 AI 战场再一次合二为一——Mozilla 公开反对 Chrome 的 Prompt API（让网页直接调本地 LLM），HN 564 分热议；PyTorch Lightning 被 Shai-Hulud 同款手法的 npm/PyPI 投毒攻击，AI 训练流水线也开始进入“供应链战国时代”。日方两条都来自 Publickey：VS Code 推出可以并行管多个 Agent 的“Agent window”，Node.js 26 把 Temporal 设成默认。中文圈两条来自 V2EX：Gemini 降智吐槽和“AI Coding 比古法编程累多了”——大模型质量和写代码体验都在被重新定价。
HN 头条今天集中爆出三连击：Claude Code 在用户 commit 里看到 ‘OpenClaw’ 就拒绝服务或加收费用——865 分的 AI 厂商品牌警察事件；PyTorch Lightning 被植入 Shai-Hulud 主题的恶意依赖，AI 训练链被供应链攻击精准打中；Rivian 推出’整车断网开关’，把’我们家电动车也是云产品’这条不成文规则掀翻。V2EX 上两个真实的开发者抱怨：Gemini 这几天明显在’降智’，以及一个把 mihomo 直接挂到 Tailscale 上的中转方案。Publickey 翻译/转述了两条值得注意的 JS 生态进展：Node.js 26 把 Temporal 默认开启，Mojo 1.0 进入 Beta。Simon Willison 写了一个 CSP iframe 沙箱里允许列表的实验，并转载了 Boris Mann 一句吐槽：‘我有 11 个 AI 智能体’就跟说’我有 11 个浏览器标签’一样毫无信息量。GitHub Trending 上 obra/superpowers——给 Claude Code 装’技能’的那个仓——这几天攀升明显。