安全与隐私
这组消息都很实在：有会直接提权的内核漏洞，有会悄悄外传数据的 AI 功能，也有离谱的计费错误。该打补丁的打补丁，该关预览的关预览。
- HERMES.md：Anthropic 的漏洞导致额外收取 200 美元，且拒绝退款：Claude Code 在 macOS 上有个很怪的计费 bug。只要最近 Git 提交里出现大小写敏感的 “HERMES.md”，原本该算在订阅额度内的请求会被记到额外用量，用户被多扣 200 多美元。
- 复制失败 – CVE-2026-31431：这是个很重的 Linux 本地提权漏洞。普通用户就能改动 setuid 程序的页缓存，拿到 root，影响 2017 年以来的大多数主流发行版；官方已经修复，最好尽快升级内核。
- Ramp 的 Sheets AI 泄露财务数据：攻击者能把隐藏提示塞进外部表格，诱导 AI 自动插入恶意公式，把财务数据发到外部服务器。Ramp 表示已修复，但这也说明“AI 读表格”这类功能很容易踩到提示注入。
- 斯里兰卡在黑客从其财政部盗走250万美元后数日，又披露一笔未支付款项：斯里兰卡又发现一笔约 62.5 万美元的付款异常，疑似同样是商业邮件入侵。连续两起事件说明，政府付款流程的邮件安全依然很脆弱。
- 你的手机通知泄露的信息，比你想象的还要多。教你如何把它们锁得严严实实。：即使聊天记录已删，通知数据库里也可能还留着内容。苹果已修复相关问题，但用户最好还是关闭锁屏预览，少让敏感内容出现在通知里。
AI 产品与能力
AI 这边有两个明显方向：一边是模型和代理继续往“能干活”推进，另一边是评测开始盯住“值对不对”，不再只看格式能不能过。
- Mistral 中等版 3.5：Mistral 发布了新的 Medium 3.5，并把它放进 Le Chat 和 Vibe CLI。它还推出云端远程代理，能并行跑任务、发通知、直接生成 PR，重点是把编码和研究工作交给代理去做。
- Gemini 现在可以生成文件，包括 Microsoft Word 和 LaTeX 文档：Gemini 现在不只是回答问题，还能直接导出 Word、Excel、Markdown、LaTeX 等文件。对写报告、做表格、做课程作业的人来说，这一步比单纯聊天更有用。
- Show HN：用于测试 LLM 确定性输出的新基准：这套基准提醒了一个老问题：JSON 能解析，不等于内容正确。很多模型在“格式正确”上接近满分，但字段值准确率会低 15 到 30 个百分点，音频场景尤其差。
- 让 AI 玩我的游戏——打造一个智能体测试平台，助力试玩测试：作者没有改游戏本体，只在外面包了一层文本接口，让 AI 像真人一样试玩、找 bug、复测修复。它更像一种端到端测试思路，省掉很多反复手测。
- 受制裁的中国人工智能公司商汤发布主打速度的图像模型：商汤发布新图像模型，主打更快和更省算力，并强调可跑在多种国产芯片上。重点不是全面领先，而是在受限条件下做出还能打的产品。
开发工具与开源
开发工具这边有两个关键词：更快，和更去中心化。编辑器、协议、代码托管都在往这两个方向走。
- Zed 1.0：Zed 正式到 1.0。它从 Atom 时代的 Electron 路线转去自研 Rust + GPU UI 栈，现在已经补齐多语言、Git、SSH、调试等基础能力，并把 AI 代理当成核心功能之一。
- FastCGI：诞生 30 年了，依然是反向代理更优的协议：这篇文章的观点很明确：反向代理和后端之间继续说 HTTP，并不总是最安全的选择。FastCGI 有明确消息边界，也更容易分清哪些信息来自客户端，哪些来自代理。
- 我们需要一个锻造厂联盟：作者想把 issue、PR、时间线、关注和星标这些协作信息做成跨服务器同步，减少开源社区对 GitHub 单点的依赖。思路是 git 负责代码，AT 协议负责协作层。
- GitHub – DOS 1.0：Tim Paterson 的 DOS 打印稿转录版：早期 86-DOS 和 PC-DOS 的打印稿源码被持续转录成可编译版本，放到了 GitHub 上。这类整理不是噱头，是真正有史料价值的开源工作。
- Postgres 的 lateral join 可谓相当适合构建不错的 eDSL：文章展示了怎么用 PostgreSQL 的 lateral join 做出更可组合、类型更稳的查询 DSL。重点不是炫技，而是想绕开 ORM 常见的表达力问题。
平台、监管与诉讼
平台公司的老问题还在：收费权、年龄核验、儿童保护、AI 责任边界，这些都开始从产品争议走进法院和监管文件。
- 苹果在案件进入最高法院之际，暂停 App Store 费用调整的请求遭驳回：苹果没能拿回暂缓执行。也就是说，在案件继续打下去的这段时间里，开发者仍可放外部支付链接，苹果也不能先收这部分佣金。
- 欧盟认为 Meta 保护儿童的力度还不够：欧盟初步认定 Instagram 和 Facebook 在年龄核验、举报机制和风险评估上都不够。若最终认定违规，罚款上限可到全球年收入的 6%。
- 马里兰州成为首个禁止杂货店监控定价的州：马里兰州禁止商家用个人数据给不同消费者开不同高价，这是美国第一例。虽然法案还有不少豁免，但至少把“拿数据抬价”正式摆上了监管桌。
- 马斯克诉奥特曼案目前披露的全部证据：庭审材料把 OpenAI 早期的邮件、章程和融资分歧都翻了出来。核心问题很直接：这家公司现在的路，和当初“非营利、广泛造福”的目标还算不算一回事。
- Tumbler Ridge 枪击案受害者家属起诉 OpenAI：家属指控 OpenAI 早就看到了高风险对话，却只封了账号，没有阻止对方重新注册继续使用。案件会逼着行业回答一个难题：平台发现暴力风险后，到底该做到哪一步。
- Ubuntu 的 AI 计划让 Linux 用户开始寻找“关闭开关”：Canonical 说 AI 功能会先以可选预览形式推出，但不会给全局“一键关闭”。对很多 Linux 用户来说，真正关心的不是有没有 AI，而是系统默认权力到底在谁手里。
公司业绩与市场变化
财报很清楚：大公司的 AI 生意还在涨，但算力、电力和基础设施开始卡脖子；同时，老业务的分化也越来越明显。
- Google Cloud 营收突破 200 亿美元，但表示增长受限于算力容量：Google Cloud 单季收入首次破 200 亿美元，同比大涨 63%。但谷歌也直说了：不是需求不够，而是算力和数据中心不够。
- YouTube 和 Google One 助推，Google 在第一季度新增 2500 万订阅用户：谷歌单季新增 2500 万付费订阅，总数到 3.5 亿。增长主要来自 YouTube 和 Google One，说明“广告 + 订阅”双线模式正在变得更稳。
- 谷歌搜索查询量在上季度创下“历史新高”：谷歌称搜索查询量创历史新高，消费者 AI 订阅也迎来最好季度。至少从现在看，AI 没有把搜索打垮，反而还在帮它留住流量。
- 微软报告称，Xbox 收入下滑，而云业务持续攀升：微软总盘子还在涨，但 Xbox 硬件收入同比跌了 33%。这说明主机生意继续承压，云和企业业务才是更稳的支柱。
- Parallel Web Systems 估值飙升至 20 亿美元，距上轮大额融资仅过去五个月：这家公司做的是给 AI 代理用的网页搜索和研究 API，五个月内又融一轮，估值冲到 20 亿美元。市场显然相信，AI 时代的“信息抓取层”会变成一门大生意。
机器人、能源与科学
这组消息都指向同一件事：技术正在更深地碰到现实世界，不只是写代码和做内容，也开始搬箱子、找矿、发电、看病。
- 人形机器人将担任东京机场的行李搬运工：日本航空准备在羽田机场试运行人形机器人搬运行李和货物。背景很简单：劳动力短缺已经逼着机场把“机器人上岗”从展示项目变成实用项目。
- 我报道机器人多年了，这一台不一样：Eka 的重点不是“像人”，而是“抓得住、拧得动”。如果触觉夹爪和动作模型真能稳定工作，机器人落地会比很多花哨演示更进一步。
- 聚变能源初创公司 Zap Energy 部分转向，开始将核裂变纳入布局：Zap Energy 一边继续做聚变，一边转去押注更快能落地的小型裂变反应堆。说白了，就是先做更可能赚钱、也更能接住 AI 数据中心电力需求的东西。
- 京都樱花现在开花时间比过去 1,200 年里的任何时候都要早：京都樱花满开的长期记录显示，近代以来开花时间明显提前，2026 年又创极早纪录。这不是抽象的气候讨论，是一条跨越千年的实测曲线。
- 一种开源听诊器，生产成本仅需 2.5 到 5 美元：这个 3D 打印听诊器把成本压到几美元，还给出了完整设计和验证数据。它最有价值的地方不是“便宜”，而是让基础医疗设备更容易被本地制造。