1. AI 揭开四十年技术债：PHP2Shell 只是开始；
2. 英伟达 RTX Spark 加密固件致 Linux 推理性能骤降；
3. 朝鲜黑客借假面试窃取币安63亿美元；
4. 白宫网络惊现住宅代理出口，全球偏远角落亦难幸免；
5. AMD预计第四季度营收将首次超越Intel；

以上是今天的前五条黑科技新闻标题。

总共25条，具体内容您往下读…

1. AI 揭开四十年技术债：PHP2Shell 只是开始

🔗 spectrum.ieee.org: AI is forcing us to pay off 40 years of technical debt

AI 安全工具正把过去四十年由人类写下的遗留软件技术债集中暴露出来。以 PHP2Shell 漏洞为例，原本只被视为“崩溃”的内存错误，在 AI 辅助下被 Calif 研究人员快速转化为可执行任意代码的严重漏洞；PHP 基金会随后花两个月修复，凸显 攻防不对称：找漏洞在加速，修漏洞并验证不破坏现有功能仍很难。文章认为，开源维护者需要资金与前沿模型支持，LLM 生成补丁配合形式化验证有望让修复更自动化；但也有专家悲观，认为要等更严重事件才会推动全面投入。眼下最实际的动作是及时安装安全更新，而 PHP2Shell 只是开始。

2. 英伟达 RTX Spark 加密固件致 Linux 推理性能骤降

🔗 mindstudio.ai: Nvidia RTX Spark encrypted firmware slows inference speed to 35% on Linux

在 MSI Prestige 等 RTX Spark 笔记本上，Linux 可安装并启用 GPU 加速，但插电后受 Nvidia 平台控制器固件的 加密电源表 限制，GPU 被锁在 约 780 MHz，而 Windows 可达约 2.2 GHz；GPT-OSS-120B 推理从 65.4 tokens/s 跌至 13.9 tokens/s。电池模式下性能接近 Windows，插电反而变慢。当前 WSL 是较实用的替代方案，能继承 Windows 驱动与满血 Boost；真正修复需英伟达将平台控制器的电源管理逻辑移植到 Linux 驱动。还需注意默认 96GB 统一内存被固件留给 GPU，且仅在 Windows 可调。

3. 朝鲜黑客借假面试窃取币安63亿美元

🔗 theregister.com: North Korean fake job interview led to $6.3B Binance heist

币安事件报告称，朝鲜黑客通过假面试社工发动多阶段攻击，造成约63亿美元被盗：工程师在虚假招聘面试中下载含恶意代码的“作业”，攻击者随后利用被入侵电脑、内部AI工具和窃取的部署令牌闯入钱包系统并触发盗币脚本。币安已重建相关系统、更换设备并轮换凭证，正配合执法与区块链情报机构追踪冻结资产。

4. 白宫网络惊现住宅代理出口，全球偏远角落亦难幸免

🔗 layer3intel.com: Residential proxies detected on White House network

住宅代理观测站发现，2026年10月5日至11月3日期间，住宅代理出口共236次从注册于美国总统行政办公室的AS2650、即白宫网络穿出，涉及6个地址、30天中的26天和28项代理服务，并由Spur、Synthient独立确认。此类访问只需付费使用公共代理服务即可获得，并非定向探测。活动多集中在东部时间傍晚至午夜，暗示可能是白宫网络内某台感染代理SDK的个人设备；若SDK存在缺陷，可能带来内部网络横向移动风险。观测还记录到圣赫勒拿、南极麦克默多站等极偏远位置出现代理活动，说明住宅代理几乎无远弗届；相关原始日志已备份，可应机构请求提供。

5. AMD预计第四季度营收将首次超越Intel

🔗 tomshardware.com: AMD expects to outsell Intel in Q4 for the first time in history

AMD第三季度营收创纪录达133.77亿美元，净利润24.3亿美元；数据中心业务收入85.5亿美元、同比增97%，占总营收64%，受Epyc与Instinct MI455X/Helios系统拉动。公司预计第四季度营收约170亿美元，高于Intel的150亿至160亿美元，将首次在季度营收上超越Intel。客户端与游戏业务承压，嵌入式业务增长强劲。

6. Kitty 0.50：窗口停靠与会话恢复升级

🔗 sw.kovidgoyal.net: Kitty 0.50

Kitty 是一款功能丰富、跨平台、GPU 加速的快速终端。0.50 版新增停靠窗口，可贴靠窗口或标签页边缘，适合状态栏、文件树和编辑器旁 shell；支持登出后恢复会话，重启后还原 OS 窗口、标签、窗口及滚动历史，macOS 还会用钥匙串密钥加密。更新还汇总了自定义着色器、最高约 35% 的性能提升，以及垂直标签、拖放、鼠标滚动/标签拖动/分屏缩放、会话、滚动条、多光标、可变字体、桌面通知和 Wayland 改进等近期功能。

7. Kimi K3.1 Pro 权重开放：百万上下文多模态智能体模型

🔗 huggingface.co: Kimi K3.1 Pro model weights are out

Kimi K3.1 Pro 是开放权重、原生多模态的智能体模型，采用 MoE 架构，具备 2.8T 总参数/104B 激活参数 与 100 万 token 上下文，并用 KDA 与 Gated DSA 提升长上下文效率。它在编码、3D 创作、金融研究、事实准确性和智能体任务上表现突出，支持文本与图像输入，视觉编码器为 MoonViT-V2。模型可通过 platform.kimi.ai 调用，提供 OpenAI/Anthropic 兼容 API，推荐 vLLM、SGLang、TokenSpeed 推理引擎；reasoning_effort 支持 low、high、max，默认 max，多轮与工具调用需原样回传完整 assistant 消息，包括 reasoning_content 和 tool_calls。

8. 美国选民在公投中强烈否决数据中心

🔗 semafor.com: US voters roundly reject data centers in ballot measures

美国九州逾30个地方选区的选民在周二的地方公投中通过暂停、禁令或财务运营限制，强烈否决数据中心项目，部分直接针对在建项目。民主党在130多场联邦和州长竞选中投放反科技广告，压力促使部分共和党人转向更严监管。为AI建设融资的银行和资管机构已把当地反对视为信用风险，超大规模云厂商则忙于聘请社区联络人，并试图把数据中心改称“算力园区”以重塑形象。

相关报道：tomshardware.com (HN)

9. 杰弗里·辛顿警告：没有AI或许更好

🔗 theguardian.com: Geoffrey Hinton: it might turn out we were better off without AI

诺贝尔奖得主杰弗里·辛顿表示，AI可能在今年或明年引发电力或金融系统停摆等重大事故，未来十年将检验人类能否安全管控风险；若失败，可能加剧贫富差距、失业与社会撕裂。他批评奥特曼、扎克伯格和马斯克等明知风险却更重利益，呼吁建立类似美国FDA的强制独立评估机制。尽管担忧，他仍认为人类尚在控制之中，但需付出巨大努力。

10. GitHub 多服务故障已恢复

🔗 githubstatus.com: Incident with Pull Requests, Git Operations and Issues

2026 年 11 月 4 日，GitHub 出现影响 Pull Requests、Git 操作、Issues、API Requests 和 Actions 的间歇性错误与性能下降，部分请求失败或延迟。事件自 09:49 UTC 开始调查，期间先后确认 Actions、Pull Requests、API 等组件异常，并逐步完成缓解。GitHub 于 11:30 UTC 表示 API、Git 操作、Issues 和 Pull Requests 已缓解，11:43 UTC 表示 Actions 已缓解，最终在 11:50 UTC 宣布事件已解决，服务恢复稳定监控。官方表示将随后发布 详细根因分析。

11. 游击自行车道转正：旧金山将非法设施永久化（2016）

🔗 99percentinvisible.org: Guerrilla bike lanes: San Francisco makes illicit infrastructure permanent (2016)

匿名活动组织旧金山转型局（SFMTrA）在两名骑行者遇难后，用交通锥和安全软隔离柱在旧金山非法设置保护式自行车道。通常这类“战术都市主义”干预会被拆除，但此次旧金山选择保留临时设施，并计划按官方流程安装正式隔离柱。文章还提到西雅图类似行动先被移除、后获同意重装，纽约“Right of Way”则夜间自行绘制自行车道。此类行动虽可能引发争议甚至处罚，也可能推动城市公开支持街道安全改革；旧金山近年已建成27英里保护式自行车道。

12. 验证不等于知识：科学需要的不只是答案

🔗 blog.cosmos-institute.org: Verification Is Not Knowledge: Science needs more than answers

文章指出，若把AI驱动科学简化为追求可验证的输出，就会把验证不等于知识误当终点。作者借癌症治疗、论文问责和数学证明说明，正确结果之外还须有人能解释依据、回应失败并承担判断责任。其根源是冷战以来的价值无涉理想，它把科学化约为方法程序，忽视问题选择、品味与共同体批判。科学知识依赖社会性批判、同行评审和可问责的断言；若任由AI代理自动产出与验证，可能造成目标漂移和“无处观看”的答案，削弱人类理解、判断与科学服务人类利益的能力。

13. Go JSON 新 API：v2 与 jsontext 正式可用

🔗 go.dev: A new Go API for JSON

Go 1.27 正式提供 encoding/json/v2 与 jsontext，在保持 v1 用法熟悉度的同时修复其行为、API 和性能问题。v2 将 JSON 的语法处理与语义映射分离：jsontext 负责底层 流式处理、值和令牌读写及选项传递，v2 负责 Go 类型与 JSON 的编解码，并新增可流式实现的 MarshalJSONTo/UnmarshalJSONFrom、调用方自定义编解码和统一 Options。它还默认拒绝非法 UTF-8 与重复成员名，将 nil 切片或映射编码为空数组或对象，改用大小写敏感字段匹配，并改进 Reader/Writer 支持和整体性能。

14. Ripple-65B Preview：美国开源智能体编程新标杆

🔗 ricursive.com: Ripple-65B Preview: U.S. Open-Weight SOTA on Agentic Coding

Ricursive Intelligence 发布 Ripple-65B Preview，一款通用开源权重模型，在 智能体编程 上取得美国开源 SOTA：TerminalBench 2.1 得分 80.52，超过 Reflection Beam 501B、Meta Muse Spark Open 816B 等更大模型。模型为 65B 稠密架构，预训练 12 万亿 token，支持最长 1M 上下文，并以约 3200万美元 完整研发成本完成训练；其强化学习仅用 140 万次 rollout，约为前 SOTA 的 1/70。文章还强调其软硬件协同设计、低延迟与本地设备效率，并已在 Hugging Face、Together AI、GMI Cloud、OpenRouter 等平台开放，Fireworks 稍后上线。

15. Synaptics 借法律威胁封杀开源 DisplayLink 驱动

🔗 phoronix.com: Synaptics Appears to Use Legal Threats to Block Open-Source DisplayLink Driver

Synaptics 被指动用法律团队，以专利侵权为由向社区独立开发的 Vino 驱动 开发者发出停止侵权函，导致这个用 Rust 编写、由 AI 辅助完成洁净室逆向工程的现代 DisplayLink 开源 Linux 驱动从 GitHub 下架，相关往来可见于 LKML 附件。文章认为，旧 USB2 时代 DisplayLink 硬件曾获 Linux 开源支持，但 Synaptics 最新 USB 图形 IP 短期内恐难再有开源上游驱动。

16. 腾讯 Hy4：开源模型重返性价比前沿

🔗 hy.tencent.ai: Tencent Hy4

由于原文无法获取，以下仅依据标题及 Hacker News 讨论总结：腾讯 Hy4 是开放权重模型，并开源 HyCell 与 HyPDE 等科研基础模型，讨论者称其体现开放科学姿态。评论认为 Hy4 虽仍落后顶级闭源模型，但已让开源模型重回成本/准确率前沿，代价是回答过于详尽、速度偏慢。其游戏开发优化覆盖 Unreal、Unity、Godot 与多人游戏，并在 GameDev/GameLogic 基准提升。开发者还提到它比 Kimi 3.1M Pro 略弱但更便宜，且网络安全能力有所收紧。

17. FlashProve：大模型可验证推理迈出关键一步

🔗 anthropic.com: Progress on provable inference for large language models

Anthropic 等机构发布了 FlashProve，一个面向大型混合专家模型的开源 可验证推理 原型，核心基于 zkSNARK。该系统让模型提供方承诺特定模型权重，并为每次响应生成短证明，用户无需访问权重即可快速验证响应确由所声明模型生成，同时证明不泄露权重信息。对 400B 参数 Llama 4 Maverick（4-bit 量化），单张 H100 生成证明约 110 tokens/秒，每 1,024-token 请求证明约 19 MB，GPU 时间约为 vLLM 直接推理的 70–95 倍，显著快于既往开源系统。该工作还发布技术报告、协议规范、可执行代码及 Lean 形式化证明，采用 Apache 2.0 许可，目标应用于 AI 发展节奏监管、篡改检测、文本溯源和模型审批等场景。

18. OpenAI 收购 Pierre，强化 Codex 代码工具链

🔗 openai.com: OpenAI to acquire Pierre Computer Company

OpenAI 宣布将收购 Pierre Computer Company，后者是 Code Storage 及 Trees、Diffs 等开源开发工具的开发商，其技术已用于 Codex 的文件浏览和代码审查。此次收购意在围绕Codex 的 Git 工作流为开发者和编码智能体打造现代源码控制标准，并把 Code Storage 功能整合进 Codex。Pierre 开源项目将继续开源，交易仍需监管批准。

19. LED灯为何不再招虫？

🔗 birdsoutsidemywindow.org: Insects don’t swarm at LED lights

过去户外灯光常吸引大量昆虫，是因为白炽灯会发出紫外线，而昆虫把月光中的紫外线当作导航线索，围绕灯光打转甚至倒飞。LED灯几乎不发出紫外线，因此对昆虫吸引力显著更低；实验也显示，冷白和暖白LED诱捕到的昆虫都少于白炽灯和紧凑型荧光灯。昆虫依靠月光中的紫外线导航，故改用LED可减少对昆虫和野生动物的干扰，有助于缓解夜间人造光造成的生态压力。

20. Debian apt 严重安全更新：中间人可替换软件包

🔗 lists.debian.org: Debian apt security update (man-in-the-middle)

Debian 发布 apt 安全公告 DSA-6607-1，修复 CVE-2026-109518 等漏洞。APT 在 HTTP 重定向使两个软件包下载获得相同 URI 时可能错误合并下载；恢复下载时的文件处理缺陷，使 中间人攻击 者可在软件包验证后将其替换，导致以 root 权限执行任意代码。稳定版 trixie 已在 apt 3.0.4 修复，并处理多个越界访问问题，建议尽快升级。

21. 比亚迪巴西市场份额一年翻倍至9.7%

🔗 bloomberg.com: BYD doubles its Brazil market share to 9.7% a year after opening its local plant

彭博社报道，比亚迪在巴西启用本地工厂一年后，将其在巴西汽车市场的份额提高一倍，达到9.7%。这一变化表明，本地化生产可能正在帮助比亚迪扩大市场覆盖、增强供应能力，并提升其在拉美重要汽车市场中的竞争地位。报道未提供更多销量或车型细节，但市场份额翻倍仍是其巴西扩张进程中的关键进展，也凸显本地化生产对海外市场扩张的重要性。

22. 如今万物皆成AI骗局

🔗 davidralphlewis.co.uk: Everything is an AI scam now

文章作者吐槽互联网正被AI包装的骗局淹没：YouTube广告兜售离谱产品，如20天练成超级英雄的太极课、万能眼镜、免费无限流量U盘、90秒冷却任意房间的迷你空调和虚假手游，而平台缺乏审核，只要付费就放行，导致骗局泛滥并侵蚀公共信任。更棘手的是，垃圾邮件也借助ChatGPT变得更具针对性：作者收到一封用其书籍页面内容拼出的推广信，甚至伪造“完美5.0评分”，实为面向脆弱创作者的精准钓鱼邮件。作者认为骗局只需极低转化率就能回本，呼吁平台先核实产品存在，但预计大平台不会放弃广告收入，普通人只能持续提高警惕，而不断辨别真伪令人疲惫。

23. 教育不应被AI绑架：给学校真正的选择权

🔗 blog.kagi.com: Education shouldn’t be held for ransom

谷歌计划自2027年起在K-12教育版Workspace默认关闭AI，但因搜索与AI深度整合，搜索也可能被一并关闭，引发教育者反弹。文章强调，学习过程中的挣扎与思考才是培养批判性思维的关键，直接给出AI答案反而会削弱思考能力；学校需要的是教育者的选择权和分级保护措施，而非供应商强制捆绑。作者还批评谷歌受广告收入驱动，存在广告驱动的激励错位，并介绍Kagi以用户付费、无广告追踪、AI可选且默认关闭的方案，主张学校应自主决定何时、如何使用AI，而不是为使用搜索被迫接受AI。

24. 瓢虫浏览器十月：性能与兼容性大跃进

🔗 ladybird.org: This Month in Ladybird – October 2026

2026年10月，Ladybird 把样式与布局移出主线程，使 CSS 动画和 :hover 在 JavaScript 长时间运行时依然流畅响应，并推出 JavaScript JIT 和全新的 WebAssembly 引擎（JetStream 3 上约提升 7 倍）。Web 平台测试子项增至 218 万，首次超越 Safari Technology Preview。此外还重做了浏览器界面，新增多列布局、MathML、锚点定位等特性，强化进程隔离与沙箱安全，并将大量 C++ 代码迁移至 Rust，为首个 alpha 版本铺路。

25. 我和杀人犯成了朋友吗？

🔗 longreads.com: Have I befriended a murderer?

作者在档案中偶然读到戴安娜谋杀案，随后与服刑中的丈夫罗宾通信、通话并探监。罗宾坚称无辜，作者一边被他的温和打动，一边怀疑自己是否被操纵；他梳理财务动机、死亡时间与冤案申诉材料，也注意到Horizon系统争议。案件证据并不干净，但真相仍悬而未决，文章追问：我真的和杀人犯成了朋友吗？