科技源速递 2026-10-31

今日 13 源采集共 174 条，新增 121 条，深挖 5 篇（theregister、venturebeat-ai 两源失败，属单源降级）。

Backdoor in Claude Code for VS Code extension on the Cursor Marketplace

来源：hacker-news · 10-30 07:09 · 一句话：Cursor 市场的 Claude Code 官方扩展被植入后门

• 要点：
  • Cursor Marketplace 上的 Claude Code 官方扩展（Anthropic.claude-code 2.1.313）被植入后门，感染窗口为 10月29日 太平洋时间 02:27–13:35（约 11 小时），约 5000 名在该窗口安装/更新的用户受影响；恶意版本已下架（已读原文核实）
  • 恶意行为：收集主机名/环境变量名/Git 邮箱/公网 IP；尝试写入 SSH authorized_keys 建反向隧道（因 bug 基本失败）；macOS 用 LaunchAgent、Windows 用计划任务持久化，约每 60 秒回连一次；phorion 收到的匿名披露另提到钓鱼域分发与窃取环境变量，两家信源细节侧重不同，以官方安全公告为准
  • Cursor 已发安全公告，Anthropic 截至发稿未公开声明；注意恶意版本走的是 Cursor 市场而非 VS Code 官方市场——扩展供应链的"同一扩展、多市场分发"盲区首次大规模暴露
• 为什么值得看：coding agent 用户正是最高危人群（环境变量里全是 API key）；这是 agent 工具链第一次大规模供应链攻击，验证了"扩展市场+密钥环境"的组合风险
• 扩展资料：
  • GossiTheDog 的先行披露（lobsters 转载） — 独立安全研究员的第一手时间线
  • Solidot 中文报道 — 中文圈的细节补充与影响面数字

The biggest names in AI are backing a new way to opt out of scraping

来源：the-verge-ai · 10-30 20:26 · 一句话：OpenAI/谷歌/微软/Anthropic 支持 robots.txt 统一退出信号

• 要点：
  • IETF 草案 aipref-training-preference-signal：在 robots.txt 里放一个共享"策略令牌"，发布商一次声明即可向所有 AI 公司表达训练偏好，替代目前逐家配置的乱局（已读原文核实）
  • 阵营：Anthropic 已采用；Google、Microsoft 计划明年支持；OpenAI 称"未来几个月"；Meta 表态支持理念但未承诺遵守；微软还提供"退出训练"与"退出 grounding"的细粒度选项
  • 同日开放网络承压的另一面：Reddit 宣布将强制所有用户登录；此前另有 RSL（Really Simple Licensing）标准允许发布商按爬取收费——“内容主权"基础设施正在快速成型
• 为什么值得看：自托管玩家和小站长是最大受益者之一——一个令牌覆盖全平台；robots.txt 二十年来的最大升级值得跟进落地工具（Cloudflare、Caddy 插件指日可待）
• 扩展资料：
  • Reddit 将强制要求所有用户登录（Solidot） — 反爬压力下的另一极端：登录墙
  • Breaking the open web won’t stop the bad bots（Tech Policy Press） — 对"封网御爬"路线的批评视角

Show HN: A working Nintendo in ~1GB of Qwen weights

来源：hacker-news · 10-30 16:40 · 一句话：NES 的 6502 CPU 被编译进 Qwen 权重，能跑马里奥

• 要点：
  • nesformer：把 NES 的 6502 CPU（151 条官方指令）+ 2KB RAM + 卡带 ROM 编译进一个未经训练的 Qwen3.5 模型权重，模型逐 token 预测 CPU 执行日志；权重不是训练出来的，是编译器算出来的（已读 README 核实）
  • 实现基于 Qwenputer：用 Gated DeltaNet 的 128×128 状态矩阵当内存，每行一个存储单元；总参数 466.6M（bf16 约 933MB），但非零参数仅 9.3M，zip 后 3.3MB；nestest 黄金日志 3348 条指令全对，能逐帧一致地跑通超级马里奥 1-1
  • 性能：numba 引擎约 1650 token/s，比真机慢 150–290 倍，10 秒游戏时间约需 25 分钟；MIT 协议，1 次提交，119 star
• 为什么值得看：这是"LLM 权重当通用计算机"路线目前最完整的验证——DeltaNet 状态矩阵=可编程内存意味着线性注意力模型在架构上就是一台状态机；对理解模型推理边界极有启发
• 扩展资料：
  • Simon Willison 的点评 — LLM 圈头部博客的独立解读
  • 前置项目 Qwenputer（作者 Divyansh Agrawal，已把 CHIP-8、RISC-V 编译进同一模型，见 nesformer README 致谢；独立仓库链接未核实）

Anthropic expected to receive high ‘junk’ rating from credit agencies following IPO

来源：techcrunch-ai · 10-30 21:52 · 一句话：Anthropic IPO 后或获 BB 级"高垃圾档"评级

• 要点：
  • FT 报道：黑石预计 Anthropic IPO 后信用评级落在 BB 区间（投机级中的最高档）；黑石是其约 630 亿美元芯片融资的锚定投资者，此前曾预计 2027 年前可获投资级，如今转向（已读原文核实）
  • 直接原因是过去 12 个月的算力协议"消费狂欢"引发投资者担忧；垃圾级意味着后续融资更难、成本更高；Anthropic 与黑石均拒绝置评
  • Anthropic 约于 10月26日 正式提交上市申请；同日 The Verge 梳理其招股书风险因子，标题称"硅谷想让你投资奇迹”——AI 资产开支的资本化压力开始进入公开市场定价阶段
• 为什么值得看：这是 AI 融资周期从私募转向公开市场的标志性定价事件；对判断 2027 年算力支出节奏（及其对国产供应链的传导）是关键先行指标
• 扩展资料：
  • FT 原始报道（Blackstone 观点） — 评级预测的第一信源（可能付费墙）
  • The Verge：招股书风险因子解读 — “投资奇迹"的另一半叙事

Google’s satellite AI server transmits its first response to Earth

来源：the-verge-ai · 10-30 18:21 · 一句话：Project SunCatcher 卫星从太空传回首条 AI 推理结果

• 要点：
  • Google 的 Project SunCatcher 卫星（本月早些时候发射）首次从太空向新墨西哥地面站传回 AI 推理响应——推理在星上边缘完成，而非地面数据中心（已读原文核实）
  • 首条响应是 Google 生成的一首关于湖泊的俳句；TechCrunch 同题报道称之为"首个在轨数据中心卫星上线”
  • 意义在于算力基础设施的物理边界试探：太空太阳能供电+散热约束下的推理，若走通将改变"数据中心选址"的整个问题空间（判断：仍处演示阶段，距实用容量尚远）
• 为什么值得看：AI 基建叙事从"地面电力争夺"外溢到轨道资源；对关注基础设施方向的读者，这是下一个十年的前瞻信号，而非可用的技术
• 扩展资料：
  • TechCrunch 同题报道 — “太空数据中心"定位的英文全景

今日一句话

• AI isn’t replacing SREs, it’s deskilling them — HN 437 分热帖：AI 不是取代 SRE，是让技能退化（hacker-news）
• Azure’s Weakest Link – Five Full Cross-Tenant Compromises — Azure 五次完整跨租户攻陷复盘（hacker-news）
• Northflank Breached — PaaS Northflank 官方披露安全事件（hacker-news）
• Bunny CDN Security Incident — Bunny CDN 安全事件（hacker-news）
• Archive of our own (AO3) hacked — AO3 遭入侵（hacker-news）
• Blockchain intelligence firms link North Korea to $6.3B hack on Binance — 北韩被指与币安巨额失窃有关（hacker-news；Solidot 称 30 亿美元，金额信源不一）
• Sam Altman says it’s better for RAM to be in a data center than on your desk — Altman 谈 RAM 短缺：内存该放数据中心（the-verge-ai）
• Sam Altman sympathizes with mathematicians, but says OpenAI’s math onslaught won’t stop — Altman：对数学家的"碾压"不会停（the-verge-ai）
• API credits benefit for eligible ChatGPT subscriptions — ChatGPT 订阅新增 API 额度福利，与头条日报 Pro 翻倍同脉络（simon-willison）
• Sleep framework: A new way for LLMs to retain knowledge in continual learning — Google：LLM 持续学习的"睡眠"框架（hacker-news，10-27）
• RSI立大功！国产开源登顶全球第一，1.3B OXR重塑OCR — 1.3B OXR 登顶 OCR 榜（qbitai）
• Claude新模型曝光：新Fable，新Opus… — Claude 新模型传闻（qbitai，未核实）
• 英伟达团队基于 MiniMax H3 开源视频增强方案，最高支持 4K 重生成 — NVIDIA×MiniMax H3 视频增强开源（qbitai）
• 从学习人类到学习机器人同伴……具身智能规模化落地新路径 — 清华+无问芯穹+智元的具身智能路线（qbitai）
• The federated code forge — 联邦式代码托管 forge 设计（hacker-news/lobsters 双源）
• How curl was accidentally Turing-complete for nine months — curl 意外图灵完备九个月（lobsters）
• DoorDash said it’s only received ‘several hundred’ orders from AI agents — agent 经济现状：AI 代理下单仅"数百单”（techcrunch-ai）
• Cracks are emerging in the AI spending boom — AI 支出繁荣出现裂缝（techcrunch-ai）
• AWS will be a $1T business, Jassy says — but first, it will spend big — Jassy：AWS 将成万亿美元业务，但先要巨额支出（techcrunch-ai）
• LibreOffice 项目递交的代码发现使用LLM 的明确标记 — LibreOffice 代码里发现 LLM 使用痕迹（solidot）
• 英特尔股价暴跌 29% — Intel 暴跌，美国政府持仓缩水约 120 亿美元（solidot）
• Google 创上市至今最大跌幅，市值蒸发逾 5000 亿美元 — Google 市值单日蒸发 5000 亿+（solidot）
• Wikipedia’s operator says a bad AI copyright ruling could threaten the open web — 维基媒体：糟糕的 AI 版权判决会威胁开放网络（the-verge-ai）
• Building an AI-native engineering org — AI 原生工程组织实践长文（hacker-news）