🚨 今日科技重點
- Microsoft 發布 YellowKey BitLocker 繞過（CVE-2026-45585）緩解方案 — CVSS 6.8，攻擊者可在不知道 BitLocker PIN 的情況下繞過加密保護，微軟已釋出緩解步驟但尚未完整修補。
💡 BitLocker 並非萬靈丹；韌體層攻擊面需搭配 Secure Boot + TPM attestation 才能完整防護。
- 三個 CVE 組成的 5 月完整 exploit chain：從網路直達 root — NGINX Rift（CVE-2026-42945）heap overflow → Copy Fail（CVE-2026-31431）kernel LPE → Dirty Frag（CVE-2026-43284/43500），組合成無痕 root 鏈，利用腳本僅 732 bytes Python，無鑑識殘跡。
💡 三漏洞尚無完整 patch；暫時緩解：限制 nginx 對外曝露、啟用 SELinux/AppArmor 強制模式。
🧠 AI / LLM 動態
- GPT-5.5 正式發布：$2.25/M token，最強 agentic 能力 — OpenAI 以大幅降價（相較 GPT-5）正式進入企業知識工作與程式碼代理市場，是前沿模型商品化的標誌性節點。
💡 前沿模型已成商品；差異化競爭正轉移至垂直領域整合與 enterprise workflow。
- Google Gemini 3.5 Flash GA：frontier 級智慧，4× 速度，$1.50/$9 per 1M token — 1M context window 搭配 flash 等級延遲，定位為成本敏感型 agentic workload 首選，直接對標 GPT-5.5。
💡 Flash 系列的性價比將加速 AI 應用「從 demo 到量產」的門檻下降。
- SubQ：首個商業化次二次方（subquadratic）LLM，支援 12M context — 突破 transformer 的二次方注意力瓶頸，長上下文場景的運算成本大幅下降。
💡 若能量產，將是繼 FlashAttention 後最重要的推論效能突破。
- 分析：AI 競爭軸從基礎模型轉移至垂直 AI — 「誰的模型最聰明」讓位給「誰解決最昂貴的問題」，底層智慧已成廉價商品。
💡 掌握領域知識 + AI 整合能力，遠比追最新模型 benchmark 更有職涯價值。
⚙️ Backend / Infra
- Linux Kernel 7.0 即將正式釋出：桌面與遊戲效能大幅提升 — Torvalds 確認 7.0 幾近完成，Ubuntu 26.04 LTS 預計以此為預設核心；Cache Aware Scheduling、HRTIMER 開銷優化、AMD Dynamic EPP 等功能就緒。
💡 7.0 是近年最重要核心里程碑；Rust in kernel 整合範圍也持續擴大。
- 美國國防部與 NVIDIA、Microsoft、AWS 簽署機密網路 AI 部署協議 — AI 基礎設施正式進入高機密等級政府網路，代表 AI 在國家安全場景的成熟度認可。
💡 機密 AI 部署帶來 air-gapped 環境、硬體供應鏈安全、模型存取管控等新工程需求。
- Linux 6.18 確立為新 LTS 核心 — 6.18 成為長期支援版本，對企業生產環境升級路徑規劃提供明確目標。
💡 LTS 選擇影響 5 年以上維護成本；6.18 是目前穩健的生產升級目標。
🛡️ 資安快訊
- CISA 將 CVE-2026-31431（Linux root 本地提權）加入 KEV 目錄 — 已有主動利用案例，聯邦機構有明確修補期限，企業應視同緊急漏洞處理。
💡 訂閱 CISA KEV RSS 可第一時間獲知需緊急修補的漏洞。
- Google 捕獲使用 AI 輔助入侵電腦的駭客，發出嚴重警告 — AI 工具正被攻擊者用於自動化漏洞探索與攻擊腳本生成，Google 與 Anthropic 的安全研究計畫因此加速推進。
💡 防禦方也需要 AI 加速；純靠人力審計的時代已結束。
- OpenAI 宣布 Daybreak：對標 Anthropic Claude Mythos 的安全 AI 計畫 — 頂尖 AI 廠商紛紛推出以 AI 主動發現漏洞的安全研究計畫，資安產業格局重塑。
💡 AI 安全計畫競賽將帶來大量 CVE 披露潮，patch 管理壓力增加。
🎯 工程師建議
- 立即評估三漏洞 exploit chain 曝露面：確認 nginx 版本、套用 SELinux/AppArmor，並追蹤 CISA KEV 更新；BitLocker 裝置需套用 YellowKey 緩解步驟。
- 規劃 Linux Kernel 升級路徑：LTS 6.18 為近期生產升級目標，7.0 值得在測試環境提前評估。
- 重新評估 AI 工具策略：GPT-5.5 與 Gemini 3.5 Flash GA 代表前沿能力成本大幅下滑，是重新評估 AI 整合 ROI 的好時機。
- 訂閱 AI 安全研究動態：Anthropic Glasswing、OpenAI Daybreak 將持續產出高品質 CVE 披露；提前了解可縮短 patch 反應時間。
🎪 社群趣事 & 新知
- HN 5 月「你在做什麼？」月帖熱門討論 — 本月亮點：大量工程師正在建構「AI wrapper 套 AI wrapper」的產品，引發社群對「誰才是真正的 AI 公司」的辛辣辯論。
💡 2026 年最流行的 vibe coding 工作流：讓 AI 寫程式，再讓另一個 AI review，最後讓人類按 Enter。
- ProgrammerHumor：2026 年的程式設計 — 本週爆款梗：「以前 Stack Overflow 救我，現在 AI 救我，但我還是不知道我在寫什麼」。AI 寫的程式碼佔 Microsoft 30%、Google 25%，但工程師依然要對 bug 負責。
💡 這才是 vibe coding 的真正困境。
- 本日冷知識：Linux kernel 7.0 即將突破 4000 萬行程式碼大關；而第一個被記錄的電腦「bug」是 1947 年一隻真的飛蛾卡進 Harvard Mark II 繼電器——不過「bug」這個詞其實愛迪生 1869 年就已經在用了。
End of article