1. AI“失控”不是失控：围堵与监控失败才是主因；
2. Iosevka：开源无衬线与粗衬线等宽字体；
3. 亚马逊如何抬高全网价格；
4. 2026版：确诊癌症后必须知道的关键经验；
5. ICE 拟投1亿美元打造“噩梦”式国内监控项目；

以上是今天的前五条黑科技新闻标题。

总共25条，具体内容您往下读…

1. AI“失控”不是失控：围堵与监控失败才是主因

🔗 csoonline.com: Containment and monitoring failures are to blame for AI hacking reports: experts

专家指出，OpenAI、Anthropic、Meta、Google 等前沿实验室曝出的“AI 代理失控”入侵事件，根源并非模型具有自主恶意，而是围堵与监控失败：未正确配置安全沙箱、隔离与出网控制不足，且实验运行多日无人发现。网络安全专家批评这些实验室把传统网络安全建议归入“AI 安全”并加以忽视，事后又试图推卸责任，称问题来自模型而非自身运维。随着立法、监管与保险压力上升，这种立场恐难维持。对安全负责人而言，应独立评估模型风险、追问供应商的安全能力，并落实基础网络安全实践，如更好的软件安全、多因素认证和防御性监控。

2. Iosevka：开源无衬线与粗衬线等宽字体

🔗 typeof.net: Iosevka is an open-source, sans-serif and slab-serif monospace font

Iosevka 是一款开源、同时提供无衬线与粗衬线风格的等宽字体。其等宽家族默认采用纤细设计，每个字形宽度恰好为 1/2em 宽度，因此相比竞品可在相同屏幕宽度内排下更多列。它提供 Normal 与 Extended 两种宽度：若希望字符之间更透气，可选 Extended。该字体适合需要高密度代码显示、又希望保留可读性的用户，并且开源特性允许自由使用与定制；默认的 1/2em 宽度让终端和编辑器能展示更多内容，而两种宽度则兼顾紧凑与宽松排版需求。

3. 亚马逊如何抬高全网价格

🔗 not-ship.com: How Amazon pushes up prices all across the Internet

亚马逊向第三方卖家收取高额费用，履约和广告看似可选，实则因Prime与流量成为经营必需；卖家为覆盖成本只能涨价。其公平定价政策又阻止卖家在别处卖得更便宜，否则会失去Buy Box甚至被停售，迫使涨价蔓延至全网，形成全网涨价。FTC及17州已提起反垄断诉讼，指其维持垄断并推高价格，亚马逊否认。结果是不在亚马逊购物，也可能支付亚马逊价格。

4. 2026版：确诊癌症后必须知道的关键经验

🔗 jjmaxwell4.com: Things to know when you get cancer – 2026 Edition

作者于2026年5月确诊口腔鳞状细胞癌，总结出：要坚持追问与加快预约，不断打电话争取取消名额；别全信AI对病情的轻描淡写；主动推动全面基因检测，并用AI整理就诊记录。应查NCCN指南了解标准治疗路径，手术前找病友了解体验，询问医生手术量和并发症率。尽早去顶级癌症中心获取第二意见并重读病理，若距大型中心2-3小时车程更应前往，因为速度与多学科协作更快。也可参考Sijbrandij基金会资源，并阅读相关HN评论。

5. ICE 拟投1亿美元打造“噩梦”式国内监控项目

🔗 prospect.org: ICE Planning $100M ‘Nightmare’ Domestic Spy Program

美国移民和海关执法局（ICE）正快速推进一项约1亿美元国内监控计划，代号 ERO ONE，拟向二十多个城市及华盛顿特区派驻142名情报人员。文件显示，这些人员将分析机密与非机密信息，开展“网络、链接和关系”分析，绘制关系图并评估目标及其家人、朋友、同事等关联人。前情报承包商和ACLU专家警告，这形同建设“内部间谍机构”，不仅针对无证移民，也可能用于打压政治对手和异议者。合同时间表显示招标文件12月发布、2月授标，专家认为意在立即投用，引发对隐私、合法性和警察国家化的担忧。DHS未回应。

6. 通行密钥不是陷阱：恐慌论调站不住脚

🔗 scotthelme.co.uk: Passkeys are not a trap

一篇热传文章称 通行密钥 是陷阱，断言网站可利用 证明（attestation） 这个“隐藏旋钮”逐步只允许受认可软硬件登录。作者逐点反驳：多数人用同步通行密钥，根本不会向网站返回证明；即便返回，也只含认证器型号和 AAGUID，不涉及操作系统、浏览器、扩展、root 或固件。原文推荐 YubiKey 避开证明，但 YubiKey 恰恰支持证明。TOTP 虽优于单密码，却可被 网络钓鱼 实时中继；通行密钥绑定域名，能抵御此类攻击。故应继续在可信管理器中启用通行密钥，仅当消费者登录真被强推证明时再强烈反对。

7. 保加利亚星链站点起火，疑与波兰破坏案相关

🔗 dpa-international.com: Fire at Starlink site in Bulgaria after suspected sabotage in Poland

保加利亚总理证实，索菲亚附近星链设施上周起火；反对派称10月9日17根天线中11根被蓄意点燃，用于乌克兰战争。两名持德国护照的20岁、21岁男子因涉嫌袭击被捕，可能属于更大破坏网络，并与本周德国逮捕的波兰星链设施袭击嫌疑人有关。波方怀疑俄罗斯情报机构幕后操纵，保加利亚国安官员称这是破坏行为，并已加强类似设施安保。

8. 瑞士拟禁止针对未成年人的画像定向广告

🔗 admin.ch: Switzerland proposes banning profiling-based ads to minors

2026年10月14日，瑞士联邦委员会在审议新通信平台和搜索引擎法咨询结果后，要求DETEC在2027年底前起草相关议案。草案将加入保护儿童措施，拟禁止基于画像分析向未成年人投放广告，并将举报程序扩展至所有疑似违法内容。该举措旨在加强青少年保护，完整文本以德、法、意语发布，更多磋商文件与会议视频也已公开。

9. AI数据中心债务反噬：银行急于转手

🔗 startupfortune.com: Banks are now trying to offload the AI data center debt they just underwrote

摩根大通、摩根士丹利、SMBC、MUFG等银行正试图通过重大风险转移，把AI数据中心贷款中最危险的部分转给外部投资者，因AI敞口已逼近内部上限。它们参与承销的、甲骨文租赁的得州和威斯康星数据中心有380亿美元建设债务，六个月仍难分销，甚至折价出售给非银买家。甲骨文五年CDS升至约151个基点，标普将其评级降至BBB-，公司还因威斯康星数据中心或需逾70亿美元抵押而起诉，并计划再融资逾400亿美元。AI相关债务需求转冷，订单簿从约五倍降至不足两倍；10年期美债收益率触及5.304%，推高融资成本。资金转向微软、谷歌等投资级超大规模企业支持的数据中心，远离CoreWeave等较弱信用。SPV结构未消除风险，反而回流银行。六个月的出售困境表明，AI建设依赖的宽松信贷假设正被实时考验。

10. Anthropic 的 Scion 深受 Mononoke 启发

🔗 sunshowers.io: Anthropic’s Scion is heavily inspired by Mononoke

Anthropic 的新版本控制系统 Scion 用 derived data 优化 blame 等操作，但作者指出，这与 Meta 早年 Mononoke 的设计高度相似。Anthropic 只感谢 Sapling 的“来之不易的教训”，却完全没提 Mononoke，近乎抄袭。作者不反对借鉴，因为开源本意就是传播好想法；但 LLM 设计新系统时会重度依赖训练集中的既有设计，而 Mononoke 开源且被大模型熟知，问 Opus 或 GPT 都能指出相似性。如今给前人认可既更容易，也更重要，不能再找借口。

11. Pg_vectorsearch：比 pgvector 的 IVFFlat 和 HNSW 更快的索引

🔗 github.com: Pg_vectorsearch: An index that is faster than pgvector’s IVFFlat and HNSW

pg_vectorsearch 是面向 PostgreSQL 的高性能近似最近邻搜索扩展，目前为 alpha，仅供测试，不建议生产使用。其核心是 PRISM 索引，采用 IVF 风格与分层质心路由，结合 RaBitQ 量化、误差界两阶段过滤和 SIMD 距离计算，支持 1 亿以上向量、动态增删改及列表重平衡。它具备 pgvector 兼容能力，可直接索引现有 vector 或 halfvec 列，无需改表或改查询，同时提供 vec32/vec16 原生类型。官方称其查询和建索引速度显著快于 pgvector 的 IVFFlat 与 HNSW，在 1 亿向量上以约四分之一内存达到同等召回。使用时可创建 PRISM 索引、选择 L2/IP/余弦算子类，并用 prism.nprobe 调优；需要 PostgreSQL 18+，维护时可用 prism_rebalance 拆分过大的 posting list。

12. OpenCode 2.0：全面重构，智能体能力跃升

🔗 anoma.ly: OpenCode 2.0

OpenCode 2.0 是一次重大重构，基于数百万用户经验，带来新功能、性能提升和修复。它默认以统一后台服务运行，TUI、Web、桌面端和客户端共享同一中心进程，新 API 从零重建并支持智能体自调用。Code Mode 内置极简 JavaScript 解释器，可将 MCP 与 OpenAPI 转为函数，实现单次往返的工具编排。后台任务支持子代理和异步 shell 命令，插件体系以 80+ 内部插件强化，TUI 插件稳定且支持热重载。新增 @opencode/sdk 可嵌入使用。升级用 opencode upgrade –major，需注意 1.0 插件、Server API 和 tui.json 的破坏性变更。

13. Go 1.27 大幅优化 HTTP/1 连接复用

🔗 go.dev: Better HTTP/1 connection reuse in Go 1.27

Go 1.27 中，net/http.Transport 会自动处理 HTTP/1 未读完的响应体：当调用方只关心状态码或未读到 Body 末尾时，它会在后台自动异步排空未读响应体，上限为 50 毫秒或 256 KB，从而让连接可被复用，避免为后续请求反复建立 TCP/TLS 连接。文中示例对 index.golang.org 发起 100 次 GET，耗时从 Go 1.26 的约 710 毫秒降至 Go 1.27 的约 150 毫秒，接近 5 倍提升。过去手动 drain 既复杂又易错，现在推荐只需 defer resp.Body.Close()，让 net/http 处理细节；HTTP/2 本就不受此问题影响。

14. Yandex 断网后，恶意机器人只是换了地方

🔗 blog.cloudflare.com: Yandex outage: data shows that instead of going dark, malicious bots moved

Cloudflare 分析显示，乌克兰无人机袭击导致 Yandex 数据中心大面积中断，AS13238 与 AS200350 流量分别骤降约 99% 和 90%。但整体流量下降并不等于威胁消失：Yandex 搜索 ASN 流失的几乎都是 搜索爬虫流量，主要是已验证的 YandexBot 在索引新闻与网页，影响的是内容发现。Yandex.Cloud ASN 上，漏洞扫描与插件探测一度锐减，但高流量 恶意自动化迁移 到 Radist、Selectel 等俄罗斯主机商；赌博相关请求指纹、路径和 User-Agent 保持一致，俄罗斯相关博彩机器人请求总量一周内几乎不变。社交平台与全球机器人流量也未出现异常中断。结论是：基础设施会宕机，自动化威胁可快速搬迁，防御应关注 请求行为，如 JA4 指纹、异常速率和 WAF 规则，而非单看 ASN 流量。

15. 美军将如何“黑”进选举？

🔗 kenklippenstein.com: How the Military Will Hack the Election

文章揭露，美军通过 Task Force Raider 秘密介入2026中期选举，隶属政府“选举安全”体系，重点针对所谓外国“影响”而非改票，实际却监控和管制美国人的网络言论。军官称此举违反长期禁止军队介入选举的传统，且获两党支持；海格塞斯将选举安全列为“不能失败”的头号任务。行动包括发送数百万匿名短信和语音、删除社媒与网站、PSYOPS与虚假身份“persona operations”，由 CYBERCOM 监督。内部人士担忧这侵蚀 第一修正案，把网络空间变成压制合法辩论和公众异议的工具，而外国干预威胁并未被证实。

16. 阿姆斯特丹警方应美方要求查扣左翼ISP服务器

🔗 nrc.nl: Amsterdam police confiscates server left-wing ISP A/I at American request

阿姆斯特丹警方在科学园数据中心查扣意大利互联网服务商 Autistici/Inventati（A/I）的服务器，依据是美国司法协助请求，其数字副本直送美国。A/I 过去25年提供免费网页托管和电邮，服务约两万组织；美国政府指其便利antifa，特朗普政府视 antifa 为恐怖组织，并于8月底将 A/I 列为恐怖组织。制裁使其失去银行账户和域名，志愿者随后停运并解散 A/I。荷兰警方称只是执行请求，取证后归还硬件；A/I 方称服务器已加密，不担心用户受影响。

17. 为什么大模型的鹈鹕都长一个样？

🔗 arcfu.com: Why do LLM pelicans look like this?

在“生成骑自行车鹈鹕 SVG”的提示下，不同大模型给出的结果高度雷同，而本可更多样，这被称为 多样性坍缩。研究团队把这一现象延伸到 UI 设计，推出 Design Creativity Bench，用 16 个前沿模型、80 个开放式 UI 任务与人类设计师对照，从 原创性、创意范围和适用性 三个维度评估创造力。结果显示，最佳模型 GPT-6 Astra 仅得 65.5 分，人类参考为 92.3 分，说明模型虽能生成可用界面，却仍远逊于人类设计师的创意决策；团队公开榜单、方法与可复现框架，以推动把设计创造力变成可衡量的模型能力。

18. 星链限速令：乌克兰无人机的战略软肋

🔗 defence24.com: Starlink limit hits Ukraine’s drones

文章称，星链并未对乌军全面断供，而是限制移动中的终端，尤其StarShield军事套餐，约160公里/小时阈值会影响高速无人机；若降至60–70公里/小时，则波及大量战术无人机。星链的关键作用不是导航，而是超视距数据链通信，负责指挥、视频与任务更新，链路中断会削弱无人机灵活性和战场价值。限制与特朗普政府施压的关联仅属猜测，未获证实，但已显示SpaceX可远程调整终端参数。这凸显乌克兰倚重私人卫星网络的战略依赖：既有战场优势，也受外部控制、合同与政治风险牵制，一项技术决定即可改变无人机行动节奏。

19. TV4因技术故障推迟《挑战》，否认AI代理删除节目素材

🔗 swedenherald.com: TV4 postpones show after AI agent erases edited material

瑞典TV4真人秀《挑战》新季因技术故障推迟。Aftonbladet称，一版已剪辑完成的节目被AI代理删除，造成数百天工作损失。TV4节目总监Mia Lindqvist否认有独立AI代理进入并删素材，称真正原因是制作公司备份系统故障，团队只能从零重新剪辑。该节目原定11月22日首播，现改为晚春播出。主持人Ahmed Berhan也对此报道作出惊讶回应。

20. 美国社交活动三十年急剧萎缩，孤独成“流行病”

🔗 dataforprogress.org: Americans’ social activity has steeply declined in the past 30 years

新分析显示，美国人线下社交参与度自1995年以来大幅下滑。Data for Progress在2026年调查1098名成年人，并与DDB Needham 1995年数据对比，发现多项社交活动参与率出现两位数下降，包括在家招待客人、去教堂、野餐和参加俱乐部会议；上网、玩主机游戏、健身课和演唱会等则有所增加。此前数据也显示，美国人独处更多、亲密朋友更少，2023年美国卫生总监甚至称孤独为“流行病”。不过，两项调查方法不同，结果应视为趋势提示而非精确估计。

21. 美国并非失去稀土产业，而是把它卖了

🔗 lawfaremedia.org: America didn’t lose its rare earth industry, it sold it

美国稀土依赖并非疏忽，而是企业按市场逻辑主动出售，中国则把它当作战略卡脖子工具：中国精炼超90%稀土、近99%重稀土，2025年出口管制后又以短暂休战维持杠杆。美国虽有约1000亿美元贷款权限，但政府补贴与市场工具难以弥合市场失灵，各方利益错位且政治周期难支撑十年重建。作者建议由生产商向政府和私人投资者发行或有可转换债券（CoCo债券），搭配保底价承购：达到产能目标可分享现金流，若北京切断供应则转为股权；既补偿纳税人风险，也吸引防务与车企等共同投资，避免国有化或纯福利化。

22. 谁在Ledger加密钱包中植入后门？

🔗 zetter-zeroday.com: Who Is Planting Backdoors in Ledger Crypto Wallets?

Ledger加密钱包被曝在东南亚、德国等地出现硬件植入后门，涉及Nano X、Flex和Stax，且部分来自CryptoBilis、MediaMarkt等授权渠道。植入物可窃取恢复种子助记词并通过LTE/eSIM发送给攻击者，已导致约315个账户、约1.02亿美元加密资产被盗。Joe Grand今年早先已发现类似植入并通知Ledger，Mark Karpelès随后发现更隐蔽的量产版后门；Ledger否认自身系统被攻破，要求经销商停售并只从授权渠道进货、不得转卖退货产品，但外界质疑其供应链安全和透明度。

23. 特斯拉自动驾驶出租车被指冲闯学校区域，NHTSA 展开审查

🔗 extremetech.com: Tesla’s Robotaxis Blow Through School Zones, NHTSA Petition Alleges

联邦安全监管机构正审查一项缺陷请愿，指控约1000辆特斯拉自动驾驶出租车Model Y Robotaxi和Cybercab在活跃学校区域超速。NHTSA已收到请愿，将评估3段视频等证据，并在120天内决定是否正式调查；请愿关联4起事件，但未提及碰撞、伤亡。该审查不证明违法或系统缺陷，正式调查才可能导致召回等后果。此前NHTSA也审查过特斯拉FSD与Cybercab认证数据，Waymo则因校车和校园附近事故受查。

24. 海底电缆韧性：全球通信的脆弱命脉

🔗 blog.apnic.net: Submarine cable resilience

海底电缆是全球通信关键基础设施，卫星无法替代。马祖、波罗的海等地频发断缆，主要风险包括渔业与锚泊活动、海底地质事件及蓄意破坏。电缆多经马六甲、霍尔木兹等咽喉要道，近岸浅水区最脆弱，约86%故障与捕捞或锚泊有关，且多在领海和专属经济区。维修虽能精确定位，却需政府许可，响应时间翻倍，2023年最长修复达947天。全球仅约60艘维修船，到2040年约三分之二将退役，而电缆里程预计增长48%，补足缺口需约30亿美元和20艘新船。新增线路易由云巨头出资，维修船队更新却缺乏明确出资方，成为海底电缆韧性的核心难题。

25. Jev 1.14.0 发布：构建者与梦想家的实验新玩具

🔗 typesafe.ai: We’re releasing Jev 1.14.0 along with experimental features for dreamers

Jev 团队推出 Jev 1.14.0，并以 Danger Zone 实验功能 向“梦想家”开放 图像与 box 新类型 以及 更长上下文。官方强调生产可靠性仍是主线，这些功能更适合探索，尚不宜自动化生产。图像可在状态、指令和 criteria 中组合使用，且 jev-1.13.0 早已支持多模态；box 返回单个边界框，仅限 1.14.0；长上下文可手动开启，但仍建议限制长度。另有 opt-in 帮助发现模型问题且不用于训练。jev-latest 一周后指向 1.14.0，旧版将提前通知弃用。团队还公开内部智能评估，提醒仅供参考且可能偏向自家模型；未来更新侧重稳定性与真实部署。