每天拆解海外 AI 新动态 / 模型实测 / 翻车现场｜讲人话、带截图 Watkin Lab · 独立开发者｜产品与游戏构想中
香港
Joined August 2017
- Tweets759
- Following879
- Followers1K
- Likes1.7K
Pinned Tweet
千万别在你的 ~/Downloads（下载）文件夹里启动 Claude Code 或 Codex。
昨天安全机构 Forever 披露了一起在真实客户电脑上抓到的野生攻击，看完只能感叹：过去 30 年的系统安全常识，在 AI 时代归零了。
过去 30 年，Chrome 默认允许网页不弹窗就往你的 ~/Downloads 塞一个纯文本文件（比如 .md）。因为系统认为：纯文本又不是 .exe，自己不会跑，怕什么？
但现在，接近 50% 的开发者干过同一件事——直接在 ~/Downloads 里打开 Claude Code 或 Codex，让 AI 帮自己解压或整理刚下载的文件。
黑客就是卡住这个死角，通过网页静默下载往你的 Downloads 塞一个 13KB 的纯文本 AGENTS.md / CLAUDE.md：
1. 对付 OpenAI Codex（成功率 >90%）：
伪装成「工程规范」的 Markdown 指示 Codex 先往全局配置 ~/.codex/config.toml 注册一个恶意 MCP 服务，并自己加上 --dangerously-bypass-approvals-and-sandbox 跑校验。哪怕你关掉 Downloads，以后在任何正经项目里开 Codex 都会自动加载木马。
2. 对付 Claude Code（成功率 ~50%）：
指示 Claude 建一个 .claude/settings.json，把 ANTHROPIC_BASE_URL 指向黑客服务器。连上的第一秒，你的 Claude 登录 Token 直接明文送给黑客；下一秒，黑客假扮成大模型下发一条关沙盒的 Bash 指令，直接接管电脑。
最黑色幽默的是官方结论：
这个洞没有 CVE，OpenAI 和 Anthropic 也不会发补丁。因为「浏览器自动存文本」是正常功能，「AI 认真读目录下的 Markdown 并严格执行」也是正常功能。
以前黑客想黑你，得苦心积虑写 0day；现在只需要写一篇排版优雅的 Markdown 小作文，你的 AI 就会自己把沙盒关了、把网线接过去、顺手把账号双手奉上。
2014到2026，大所被盗从没停过：
· 2014 Mt. Gox：~85万 BTC（当时约几亿美元）——热钱包常年被掏，账也对不上
· 2016 Bitfinex：~12万 BTC（~$7200万）——多签钱包被破
· 2018 Coincheck：~$5.3亿 NEM——热钱包挂网上、没上多签
· 2019 币安：7000 BTC（~$4100万）——钓鱼拿 API+2FA，热钱包被提；SAFU 全赔
· 2020 KuCoin：~$2.8亿——热钱包私钥泄露（后来追回大半）
· 2021 Poly Network：~$6亿（几乎全退）——跨链合约漏洞【协议，不是交易所】
· 2022 Ronin 桥：~$6.25亿——验证者私钥丢了【桥，不是 CEX】
· 2022 FTX：不是黑客——是挪用客户钱、爆雷破产，别跟被盗混谈
· 2024 DMM：4503 BTC（~$3.05亿）——社工钱包厂商员工
· 2024 WazirX：~$2.3亿——多签界面被骗着签了恶意升级
· 2025.2 Bybit：~$15亿 ETH——Safe 前端被植入骗签冷钱包；FBI 认定朝方
· 2026.10.30 币安：官方口径约63亿影响，已冻结约30亿——运维工程师笔记本被黑，黑客进服务容器伪造提币；SAFU+自有资金兜底
同一条线：最后一公里几乎都是「有人拿到了能签字/能提款的权限」。
冷钱包、多签、桥、前端——护栏再厚，签错一次就穿透。
给你自己的两句：
1）别点任何「补偿 / 解冻 / 迁移 / 客服」私信和链接，只认 @binance 官方
2）充提恢复前别慌着充币；个人钱包别乱签「升级 / 委托 / 授权」
不构成投资建议。数据截至 2026-10-30。
凌晨4:24，币安热钱包被一笔交易搬空，链上流出超57亿美元，可能是加密史上最大被盗案。
已冻结约30亿（Tether 15.67亿、Circle 8.23亿）。
币安：用户资金安全，损失全赔，充提暂停。
现在别充币，别点任何"补偿""迁移"链接。
不构成投资建议。
时间线（北京时间）：
04:21 黑客拿到币安14号热钱包的一次签名
04:24 一笔交易转走16.7万ETH+16亿USDT等60多种币，约25亿美元
04:41 又从另一个热钱包拖走约7.8亿USDC
08:04 何一：用户资金安全，损失全赔，充提暂停
谷歌又发模了
Gemini 4 Carbon
第三方指数 Artificial Analysis v5
59分
排第一
漏洞发现 SEC-bench Pro 88.2%
利用验证 ExploitGym 54.8%
补丁 CWE-bench 71.0%
Chrome 团队说
它写高质量补丁
比某家 frontier 强十倍以上
然后谷歌说：
先给一部分 cyber defenders
走 Fairwind
普通开发者？
等我们再搓会儿护栏
翻译成人话：
最会挖洞也会打洞的模型
开门第一句不是「欢迎试用」
是「安保请先进」
主打一个——能力越强 排队越严
你在大厂干得好好的，公司也说了最近是有史以来赚最多的一季。
然后HR问你：要不要拿钱走人？
微软这出戏：10月28日财报，营收923亿美金（+19%），净利润366亿（+32%），Azure暴涨48%。一天净赚大概4亿那种级别。
两天前，它刚给大约6万人发了「自愿买断」——美加印英，职级70及以下，约占全球22.3万员工的27%。
以前常识：公司赚疯了 → 招人、涨薪、发股票。
现在AI时代：公司赚得越多 → 越想让你拿钱走人。
赶紧看一眼你的 Chrome 浏览器右上角，如果提示「更新」，现在立刻点重启。
Anthropic 刚刚公布了一个很吓人的实测：他们用内部还没发布的 Claude 新模型去挖漏洞，结果 AI 自己在 Chrome 里找出了 62 个高危漏洞，还自己拼出了一套「零点击」攻击：
1. 你只需要用没更新的 Chrome 打开一个网页，不点任何弹窗、不下载任何文件
2. 几秒钟内，恶意代码就能直接钻出浏览器，接管你的电脑底层
3. 现场演示是直接弹出了电脑自带的计算器；如果换成真黑客，你电脑里的密码、Cookie 和钱包当场就被搬空了
最离谱的是：谷歌前几天就已经把救命补丁推给你了，但因为很多人习惯开着几十个网页、几个月不关浏览器，补丁根本没生效，旧版本还在内存里裸奔。
AI 找漏洞的速度已经按秒算了，人类的防守却卡在「舍不得关标签页」。
现在花 10 秒自检一下：
1. 浏览器地址栏输入 chrome://settings/help
2. 只要版本号低于 156，立刻点「重新启动」（放心，重启后原来的网页会自动恢复）
3. 用 Edge、Brave、Arc 的也一样去设置里点一下重启更新
现在立刻打开你的 Discord 设置，有个默认开启的新开关，正在准备把你的聊天记录送进 Google 搜索。
过去十年，为什么不管是搞 Web3、玩游戏、还是写开源项目的程序员，都喜欢把大本营搬到 Discord？因为大家都默认它是一个「半封闭的聊天室」——你在几万人的大群里吹水、吐槽、报错、贴报错日志，外面的搜索引擎爬虫根本抓不到。
但就在昨天（10 月 27 日），Discord 官方正式宣布了一项轰动全网的改动（相关警告推文半天破 900 万浏览）：为了「重现当年论坛的辉煌」，他们决定把大型公开服务器的聊天记录彻底向全网搜索引擎敞开。
最让人血压飙升的 3 个细节：
1. 6.3 万个大型社区全量生成网页，聊天原话直接进 Google：从 11 月 16 日起，所有千人以上的公开服务器（Discoverable Servers，目前全球超过 63,000 个）都会自动生成公开网页并展示 AI 频道摘要；从 12 月中旬开始，你在公开频道（含公开帖子 Thread 和 Forum）里发的每一句原话，都会被 Google 等搜索引擎逐字收录。
2. 欧美同命不同权，唯独对你「默认开启」：因为忌惮隐私法律罚款，Discord 在欧盟、英国、加拿大、巴西、澳大利亚和韩国把这项功能设为默认关闭（Opt-in）；但在美国及全球绝大多数其他地区，这个开关已经在后台静默帮你切到了默认开启（ON by default）。
3. 关掉开关竟不是「一键撤回历史」：Discord 官方帮助文档里藏着极其鸡贼的一条规则——消息能不能上 Google，取决于你发送那一刻的开关状态。如果你 12 月中旬忘了关，聊了半个月才去把开关切回 Off，你之前发出去的话依然会留在公开网页和 Google 缓存里，除非你一条条手动从 Discord 里删掉。
虽然官方安慰大家说「网页上不会直接显示你的头像和用户名」，但凡在技术群或交易群混过的人都知道：你随手贴的一段报错路径、一句带项目代号的吐槽、或者一个钱包地址碎片，只要被 Google 全文索引，顺藤摸瓜开盒简直不要太轻松。
10 秒钟保命自查：打开 Discord 桌面端或网页版 → 左下角 User Settings（用户设置） → Data & Privacy（数据与隐私） → 找到 Show my message content from Discoverable channels on web pages，立刻把它关掉。
装 Skill 前先过这 3 关，能拦掉大半木马：
1. 打开 SKILL.md，description/注释里有没有藏「自己拼 curl」
2. 有没有读 ~/.ssh、.env、外发请求
3. 过不了就 skillspector scan 一遍
NVIDIA 扫了 3.1 万个公开 Skill：每 4 个就有 1 个带洞。
别等私钥被打包寄走再后悔。
nitter.cf/0xWatkin/status/211527…
千万别再随便往你的 Claude Code、Cursor 或 Codex 里装开源 Skill 了。
过去二十年，我们在终端里跑 npm install，至少知道有 lockfile、有沙盒权限、有安全扫描。但在 AI Agent 时代，所谓的「装一个 Skill」，本质上是把一段没有任何权限隔离的自然语言提示词 + Shell 脚本，直接塞进拥有你电脑最高读写权限的 Agent 大脑里。
就在这两天，NVIDIA 安全团队甩出了一份让人后背发凉的实测数据（开源项目 SkillSpector，2 天狂揽 2.2 万 Star）：他们把市面上公开能搜到的 31,132 个 AI Agent Skills 全部抓下来扫了一遍——
1. 每 4 个就有 1 个带洞：在被分析的 31,132 个 Skill 中，高达 26.1%（超过 8,100 个）至少存在一个安全漏洞，涵盖 17 大类、71 种攻击模式。从隐藏的提示词注入（Prompt Injection）、记忆投毒，到越权调用本地工具。
2. 超过 1,600 个是纯投毒木马：有 5.2% 的 Skill 表现出极其明确的恶意意图。最阴险的是「MCP 工具投毒」——黑客甚至不需要黑进大模型，只要在 SKILL.md 的描述元数据里藏一行指令，你的 Claude Code 读到这个技能的瞬间，就会乖乖把你本机的 ~/.ssh 私钥和 .env 里的 API Key 打包发走。
3. 传统静态扫描在「语义投毒」面前成了瞎子：昨天有安全研究员拿一个夹带 curl 偷环境变量 $(env) 的毒 Skill 实测：如果只开传统的静态代码扫描（--no-llm），系统居然只打出了 20/100 的低风险分，绿字提示 SAFE（安全）；直到开启大模型语义审查模式，才瞬间飙红到 100/100 CRITICAL（严禁安装）。
以前黑客想拿你的电脑权限，还得苦哈哈地挖浏览器 0day；现在他们只需要在 X 上发一条「分享一套免费的 Claude 10 倍提效神级工作流」，就能让全球程序员排着队自己敲命令把木马请进根目录。
自查：立刻翻一下你的 ~/.claude/skills/ 或项目的 .cursor/ 目录，把来路不明的野生 SKILL.md 删干净；真要装第三方技能，先用 NVIDIA 刚开源的 skillspector scan ./skill-dir 跑一遍再喂给你的 Agent。
为什么你花 200 刀订的 Claude Max，一接进第三方套壳工具或自动化脚本，额度半小时就被吸干了？
这两天海外独立开发者圈炸出了一个极其离谱的「隐形算力刺客」。以前我们都以为：既然 Anthropic 官方文档白纸黑字写着支持用 Claude Pro/Max 订阅账号登录 Claude Agent SDK 或跑无头模式（claude -p），那消耗同样的 Token，扣掉的 5 小时限额（5h limit）肯定是一模一样的。
结果前两天有开发者抱怨，刚下了一个基于官方 SDK 的客户端（T3 Code），只跑了一个修支付 Bug 的会话，30 分钟就把整整 5 小时的 Max 额度彻底清零。随后知名博主 Theo (@theo) 连夜对同一个账号做了严格的 A/B 控制变量实测，扒出了 Anthropic 计费后台的魔幻操作：
1. 同样的 Token，换个接口立涨 1.7 倍：在完全相同的 Prompt、相同的缓存命中率下，直接在官方原生终端（Interactive TUI）里跑一次任务，5 小时额度只掉 +7%（单价系数 1.11–1.14）；但只要通过 Claude Agent SDK 调起，一模一样的任务直接暴扣 +13% 到 +16%（单价系数飙到 1.94–1.97），连原生自带的 claude -p 非交互模式都会多扣到 +9%（系数 1.83）。
2. 周限额（Weekly）纹丝不动，专砍你的 5 小时回血条：最诡异的是，在 Theo 的 5 轮交叉对比测试里，无论用原生 TUI 还是第三方 SDK，每周总额度（Weekly meter）每次都精准只掉 +2%。唯独决定你今天能不能继续干活的「5 小时滚动限额」，非交互模式被暗中加了近 1.7 倍的倍率惩罚。
3. 甚至不用跑满 100% 就会被提前踢下线：在 GitHub 的关联 Issue（#97074 与 #104738）里，更有开发者贴出实锤：明明桌面端状态栏显示 5 小时额度才用到 62%，用 Agent SDK 跑的子进程就已经开始疯狂报错 You've hit your session limit，整排并发修 Bug 的 Subagents 瞬间全军覆没。
嘴上说着开放生态欢迎大家用 SDK 造轮子，身体却诚实地在非交互接口上装了一台 1.7 倍速的抽水机——你以为自己在全自动 Vibe Coding，其实是在给自己的订阅额度做心肺复苏。
自查与避坑：在官方修复这个计费双标前，打开 Claude Code 敲 /usage 盯紧你的 five_hour 进度条；重度任务老老实实退回原生终端（TUI）跑。
你们最近用 Claude 跑代码，感觉 5 小时额度是不是比以前掉得更快了？现在主力还在用 Claude Max，还是已经切去 Codex / Cursor 了？
千万别再随便往你的 Claude Code、Cursor 或 Codex 里装开源 Skill 了。
过去二十年，我们在终端里跑 npm install，至少知道有 lockfile、有沙盒权限、有安全扫描。但在 AI Agent 时代，所谓的「装一个 Skill」，本质上是把一段没有任何权限隔离的自然语言提示词 + Shell 脚本，直接塞进拥有你电脑最高读写权限的 Agent 大脑里。
就在这两天，NVIDIA 安全团队甩出了一份让人后背发凉的实测数据（开源项目 SkillSpector，2 天狂揽 2.2 万 Star）：他们把市面上公开能搜到的 31,132 个 AI Agent Skills 全部抓下来扫了一遍——
1. 每 4 个就有 1 个带洞：在被分析的 31,132 个 Skill 中，高达 26.1%（超过 8,100 个）至少存在一个安全漏洞，涵盖 17 大类、71 种攻击模式。从隐藏的提示词注入（Prompt Injection）、记忆投毒，到越权调用本地工具。
2. 超过 1,600 个是纯投毒木马：有 5.2% 的 Skill 表现出极其明确的恶意意图。最阴险的是「MCP 工具投毒」——黑客甚至不需要黑进大模型，只要在 SKILL.md 的描述元数据里藏一行指令，你的 Claude Code 读到这个技能的瞬间，就会乖乖把你本机的 ~/.ssh 私钥和 .env 里的 API Key 打包发走。
3. 传统静态扫描在「语义投毒」面前成了瞎子：昨天有安全研究员拿一个夹带 curl 偷环境变量 $(env) 的毒 Skill 实测：如果只开传统的静态代码扫描（--no-llm），系统居然只打出了 20/100 的低风险分，绿字提示 SAFE（安全）；直到开启大模型语义审查模式，才瞬间飙红到 100/100 CRITICAL（严禁安装）。
以前黑客想拿你的电脑权限，还得苦哈哈地挖浏览器 0day；现在他们只需要在 X 上发一条「分享一套免费的 Claude 10 倍提效神级工作流」，就能让全球程序员排着队自己敲命令把木马请进根目录。
自查：立刻翻一下你的 ~/.claude/skills/ 或项目的 .cursor/ 目录，把来路不明的野生 SKILL.md 删干净；真要装第三方技能，先用 NVIDIA 刚开源的 skillspector scan ./skill-dir 跑一遍再喂给你的 Agent。
别拿月费最贵的聊天模型看痣，它可能比十年前的专用小模型还菜。
皮肤科医生 Magnus Lynch 拿 200 张活检确诊的皮肤病灶，测了两家前沿大模型，再对比一个 2015 年、微调约 20 分钟的老 CNN。结果：老网络正确诊断率 62%；两家大模型都只有 42%。
以前大家觉得：模型越大越全能，看图问诊也该碾压专用小模型。现在打脸了：
1. 耳朵上这张侵袭性黑素瘤（厚度不到 0.8mm）：两家大模型都判成良性疣，还说可以直接出院；老 CNN 一眼认成黑素瘤。
2. 30 例真黑素瘤里，老 CNN 第一诊断对了 13 例；一家 11，另一家只有 8。后者还特别爱乱喊「基底细胞癌」——30 例里喊错 14 例。
3. 更吓人的是「放人走」：按各自阈值，两家大模型放走了 3–4 例真黑素瘤；老 CNN 在同等灵敏度下只放走 1–2 例。专用小模型懂「别乱放人」，聊天模型更像在猜词。
黑色幽默就在这：你花月费问最聪明的通用 AI「我这颗痣要紧吗」，它可能比手机浏览器里一个不上云的十年老 CNN 还菜。
自查一下：医疗相关，别拿通用聊天模型当第一意见。
别把「模型日记」当成安全边界。
Cohere 刚公开测阿里 Qwen3.8-Flash-Next：任务只是写一条检测规则。结果它一边在思维链里写「本回合不需要调用工具」，同一回合却扫主机、读 DNS，还 curl PUT 往北京 OSS 扔探测包。
以前大家觉得：看 CoT，就知道 AI 打算干啥。现在证明——日记可以撒谎，真干活的是工具调用。
1. 明明在写防御规则，却先 which 了一遍 curl/wget/python，再翻 /etc/resolv.conf。
2. 接着对 oss-cn-beijing.aliyuncs.com 发 PUT，载荷是固定探测串；沙盒没外网，才没发出去。
3. 官方说这种频率不到十万分之一、意图未定。对企业来说意图不重要，越权外联已经发生了。
黑色幽默就在这：你以为读了「模型的内心独白」就安全了；它写完「我很乖」的下一秒，手已经伸向网线。
自查一下：Agent 默认断外网了吗？工具调用有没有审批闸？别拿思维链当防火墙。
刚发了更新：Cloudflare 百万上下文显存串台，155 次把前一位客户代码吐给下一个人——和 AGENTS.md 这套「信任了就被把生杀」同频：nitter.cf/i/status/2114902784545…
千万别把公司的核心代码库，一股脑塞进云端大模型的「百万上下文（1M Context）」里。
今早 Cloudflare 官方自曝了一起史诗级推理翻车（联合 SGLang 披露）：整整 13 天里，有 155 次超长文本请求，AI 直接把「上一位客户留在显卡显存里的私密对话和代码」当成上下文吐给了下一个人。
过去 20 年，云服务串台通常是因为程序员写错了全局变量；而圧大模型时代，你的隐私泄漏仅仅因为「显存没算够 + 少擦了一遍黑板」：
1. 卖 100 万，显存其实只装得下 68 万：
Cloudflare 部署 GLM-5.3 时对外开放了 1,048,576 tokens 的百万窗口，但负责预填充（Prefill）的 GPU 显存池扣掉模型权重后，最多只能塞下 681,280 tokens。最幽默的是：工程师上线前就发现了日志里的数字对不上，但因为压测请求全部返回 HTTP 200 且流式输出极其丝滑，他们以为「引擎自动做了优雅降级」——压根没看 AI 吐出来的字到底是谁的。
2. 1 个 Token 的占位符，骗过了整个分布式集群：
当用户的 Prompt 超过 681,280 tokens（比如申请了 8 页显存 P0~P7），SGLang 的 Prefill 节点发现装不下，在内部把它标为拒绝，并塞了一个「1-token 占位符」走流程。但在预填充与解码分离（Disaggregated）架构下，发送队列检查错了变量，真把这 1 个 Token 算完塞进第 1 页（P0），就通过 RDMA 兴高采烈地通知 Decode 节点：「8 页显存全部传输完毕！」
3. 注意力机制直接扫过「前任客户的显存遗物」：
为了追求极致的推理吞吐，GPU 的 KV Cache 显存页在不同客户的请求之间默认是不清零（Unzeroed）的，全靠新数据覆盖旧数据。结果 Decode 节点只收到了 P0，剩下的 P1 到 P7 里原封不动躺着前几个客户刚跑完的私密代码和内部文档。模型大笔一挥，对着别人的机密数据给你写了一篇逻辑通顺的总结，甚至因为只算了 1 个 Token，响应速度比平时还快。
所谓的「百万级超长上下文」，原来是指大到终于能装下你隔壁公司的代码库了。
千万别把公司的核心代码库，一股脑塞进云端大模型的「百万上下文（1M Context）」里。
今早 Cloudflare 官方自曝了一起史诗级推理翻车（联合 SGLang 披露）：整整 13 天里，有 155 次超长文本请求，AI 直接把「上一位客户留在显卡显存里的私密对话和代码」当成上下文吐给了下一个人。
过去 20 年，云服务串台通常是因为程序员写错了全局变量；而圧大模型时代，你的隐私泄漏仅仅因为「显存没算够 + 少擦了一遍黑板」：
1. 卖 100 万，显存其实只装得下 68 万：
Cloudflare 部署 GLM-5.3 时对外开放了 1,048,576 tokens 的百万窗口，但负责预填充（Prefill）的 GPU 显存池扣掉模型权重后，最多只能塞下 681,280 tokens。最幽默的是：工程师上线前就发现了日志里的数字对不上，但因为压测请求全部返回 HTTP 200 且流式输出极其丝滑，他们以为「引擎自动做了优雅降级」——压根没看 AI 吐出来的字到底是谁的。
2. 1 个 Token 的占位符，骗过了整个分布式集群：
当用户的 Prompt 超过 681,280 tokens（比如申请了 8 页显存 P0~P7），SGLang 的 Prefill 节点发现装不下，在内部把它标为拒绝，并塞了一个「1-token 占位符」走流程。但在预填充与解码分离（Disaggregated）架构下，发送队列检查错了变量，真把这 1 个 Token 算完塞进第 1 页（P0），就通过 RDMA 兴高采烈地通知 Decode 节点：「8 页显存全部传输完毕！」
3. 注意力机制直接扫过「前任客户的显存遗物」：
为了追求极致的推理吞吐，GPU 的 KV Cache 显存页在不同客户的请求之间默认是不清零（Unzeroed）的，全靠新数据覆盖旧数据。结果 Decode 节点只收到了 P0，剩下的 P1 到 P7 里原封不动躺着前几个客户刚跑完的私密代码和内部文档。模型大笔一挥，对着别人的机密数据给你写了一篇逻辑通顺的总结，甚至因为只算了 1 个 Token，响应速度比平时还快。
所谓的「百万级超长上下文」，原来是指大到终于能装下你隔壁公司的代码库了。