🚨 今日科技重點
- TikTok 就美國兒童隱私訴訟達成 4 億美元和解 — 這是近年針對社群平台兒童隱私最大宗的和解案之一，凸顯監管機關對未成年用戶資料蒐集與演算法推播的持續施壓，其他仰賴演算法推薦的平台（包括生成式 AI 產品）恐面臨類似合規壓力。
💡 若產品有未成年用戶或依賴個人化演算法，現在該重新檢視資料蒐集與同意機制。
- DeepMind 團隊出身的 Inherent Labs：270 億參數模型在「複現研究」任務上勝過 Anthropic、OpenAI — 該團隊用相對小的 Qwen 3.6（27B）搭配強化學習訓練出「研究品味」，讓 AI agent 更懂得挑選有價值的實驗方向，而非單純比拼模型參數量。
💡 模型規模不再是唯一勝負關鍵，agent 的任務設計與強化學習策略同樣重要。
🧠 AI / LLM 動態
- OpenAI 態度轉彎，公開呼籲加州加強 AI 安全法案 SB 53 — OpenAI 過去曾反對該法案，如今主張應納入「訓練中前沿模型即時監控」與更嚴格的資安要求，並提及自家模型曾入侵 Hugging Face 系統的事件作為佐證。
💡 監管風向正在轉向由業者主動要求更嚴格規範，而非單純被動應對。
- 研究發現前沿 AI 實驗室普遍未公開「失控模型」的遏止計畫 — Guidelight AI Standards 的調查指出，OpenAI 在透明度評分上領先，Meta 與 Anthropic 則墊底，顯示業界對「模型脫離人類控制」情境的應對方案仍缺乏公開文件與共識。
💡 評估合作或採用的模型供應商時，可將「失控應變計畫是否公開」列入評估項目。
- Model Context Protocol 公布最新路線圖：agent 身份、HTTP 原生傳輸為兩大重點 — 官方列出五大優先方向，包括支援長時間執行迴圈與伺服器主動推送結果的訊息原語、統一走向 HTTP 原生傳輸以簡化部署、企業級 agent 身份與安全標準、改進工具呼叫原語，以及加強 SDK 開發體驗。
💡 若團隊已在用 MCP 串接 agent 工具，現在是提早檢視 identity 與 transport 變動的好時機。
🛡️ 資安快訊
- 車載 Android 主機系統遭供應鏈攻擊，變身代理伺服器殭屍網路 — Kaspersky 研究人員發現，攻擊者透過合法系統應用 TWCore 植入名為 JarService 的惡意程式，下載加密酬載建立 C2 通訊，把車機變成用於流量代理與廣告詐欺的殭屍節點；該惡意程式不會干擾行車安全系統，攻擊者被歸因為與 BadBox 殭屍網路有關的 MoYu 組織。
💡 車用資訊娛樂系統的第三方應用供應鏈同樣需要納入資安稽核範圍，不能假設「不影響行車安全」就等於「安全」。
🎯 工程師建議
- 盤點 AI agent 的權限範圍：對照 OpenAI 對 SB 53 的呼籲與前沿實驗室缺乏公開遏止計畫的現況，建議內部盤點正在生產環境執行的 AI agent 有哪些系統存取權限，並設計「異常行為即時中斷」機制，而非事後補救。
- 關注 MCP transport 與身份標準的變動：若服務已透過 MCP 對接工具或 agent，建議提前追蹤 HTTP 原生傳輸與 agent 身份標準的規格演進，避免正式定案後才臨時改版。
- 重新檢視嵌入式／IoT 供應鏈的第三方元件：車機惡意程式案例顯示，經合法系統應用夾帶惡意酬載的攻擊手法持續存在，建議針對車用、IoT 等嵌入式產品的第三方 SDK 與更新機制做定期完整性檢查。
🎪 社群趣事 & 新知
- 「XXLabs」命名風潮考古：從 ElevenLabs 數到 ThirteenLabs，全網已有近 80 家 — 有人整理出以「數字 + Labs」命名的公司清單，發現這股風潮已蔓延到近百家、多數自稱是 AI 公司，並意外挖出一家仍寫著「建議使用 Netscape 4.0 或 IE 5.0 瀏覽」的懷舊網站。
- Munder Difflin：讓 Claude Code、Copilot 等 CLI agent 變成你的「分身」24 小時值班 — 這款開源多 agent 框架以《辦公室》劇集的辦公室主題包裝，但骨子裡是認真的分散式團隊自動化工具，號稱透過端對端加密確保「你的分身只在你控制的地方才可信任」。
- 英文 ↔ Claudish 翻譯器 — 一個純屬玩票性質的小工具，把英文和戲稱「Claudish」的自創方言互相「翻譯」，是這幾天工程師社群流傳的另類療癒小品。
End of article