🚨 今日科技重點
- 聯邦法官裁定五角大廈對 Anthropic 的「供應鏈風險」封殺令違憲 — 法官 Rita Lin 在 59 頁裁決書中認定,國防部因 Anthropic 拒絕讓 Claude 用於監控與自主武器而將其列為供應鏈風險,構成對言論的報復性懲罰,違反美國憲法第一修正案,並要求政府撤銷所有相關指令。
💡 一句重點:AI 廠商在拒絕軍事用途時,首次獲得具體的司法後盾。
- 澳洲聯邦警察聯合 FBI 逮捕 TeamPCP 供應鏈駭客集團核心成員 — 兩名西澳男子（21 歲與 23 歲）因涉嫌入侵 Trivy、Checkmarx KICS、LiteLLM 等開源專案並植入惡意程式碼遭起訴,累計 14 項罪名;該行動已波及全球逾千家組織,竊取約 50 萬組憑證與至少 300GB 資料,修復成本估計達數億美元。
💡 一句重點:開源供應鏈仍是駭客集團最具擴散效益的攻擊入口。
- OpenAI、Anthropic、Google、Microsoft 等逾 130 家公司聯署呼籲強化 AI 網路防禦 — 聯署公開信《A Call for Collective Action on Cyber Defense》警告,隨著各國模型能力持續提升,AI 驅動的網路攻擊將在未來數月變得更普遍、更精密,醫院與水處理廠等關鍵基礎設施首當其衝,呼籲政府與業界建立可信模型存取機制與可追溯的代理身分。
💡 一句重點:業界罕見地共同承認「AI 攻擊規模化」已是迫在眉睫的威脅,而非假設情境。
🧠 AI / LLM 動態
- Hugging Face 與 Pollen Robotics 推出 399 美元開源雙足機器人 Microduck — 這隻 25 公分高、不到 800 克重的鴨形機器人配備 15 顆馬達、鏡頭與 LiDAR,可搖擺行走、跌倒自行站起、蹲下甚至溜冰,行為可在模擬環境中以強化學習訓練後直接部署到實機。
💡 一句重點:開源具身 AI 硬體正把「機器人研究」的入門成本壓到消費級價位。
⚙️ Backend / Infra
- Marvell 財報亮眼卻股價重挫 8%,Google 客製晶片合約營收要等到 FY2029 才顯著挹注 — CEO Matt Murphy 證實與 Google 最高上看 1,200 億美元的客製晶片合約,認列區間從 2026 年 8 月 1 日才開始起算,本季財報幾乎踩不到任何實際貢獻,導致投資人對「利多」的時間落差感到失望。
💡 一句重點:AI 晶片大單的公告效應與實際財報認列,中間往往隔著好幾個財年。
- htmx 4.0.0 正式發布 — 歷經 8 個月開發,內部從 XMLHttpRequest 全面改用 fetch(),屬性繼承改為預設顯式聲明、瀏覽器返回鍵改為直接重新請求內容而非讀取 DOM 快照,事件名稱也統一改為
htmx:before:request這類冒號風格;2.x 仍會是 NPM 上的最新版,4.0 到 2027 年初前僅作為 next 線,以免透過未鎖版本 CDN URL 的使用者被迫升級。💡 一句重點:核心請求機制換血,但團隊刻意用雙版本並行降低升級衝擊。
🛡️ 資安快訊
- Linux 核心修補存在近 20 年的 GSO 分片標記漏洞(CVE-2026-80590) — 該漏洞允許未授權的一般使用者透過將 IPv4/IPv6 分片誤標為 GSO 觸發核心 panic,影響範圍可追溯至 Linux 2.6.27;Greg Kroah-Hartman 同步釋出 7.2.2、7.1.12、6.18.48、6.12.107、6.6.155、6.1.186、5.15.219、5.10.268 共 8 個穩定版本修補。
💡 一句重點:近 20 年歷史的網路子系統程式碼,今天才第一次補上這個 DoS 破口。
🎯 工程師建議
- 盤點核心版本:若自維運 Linux 主機或提供多租戶運算服務,優先確認是否落在 CVE-2026-80590 受影響範圍,盡快套用對應穩定版修補,避免被惡意分片觸發拒絕服務。
- 重新檢視開源依賴的供應鏈:TeamPCP 一案顯示 Trivy、Checkmarx KICS、LiteLLM 這類被廣泛信任的安全 / AI 基礎設施工具同樣可能是攻擊跳板,建議對 CI/CD 中引入的掃描與閘道工具做雜湊值與來源驗證。
- htmx 升級要趁早規劃:若專案重度依賴 2.x 的隱式屬性繼承或 DOM 快照式返回行為,建議先在測試分支試跑 4.0,提前抓出事件名稱與行為差異,而非等到 2.x 停止維護才被迫遷移。
🎪 社群趣事 & 新知
- SourceHut 修改服務條款,禁止未經授權以其代管程式碼訓練 LLM — 繼 Codeberg 之後,SourceHut 在社群討論後正式禁止未經明確許可爬取或使用其平台程式碼訓練 / 微調模型,規範比 GitHub 現行的「預設加入、可選退出」更嚴格,社群普遍支持,理由包括 AI 產生的程式碼常拖垮建置時間並增加維運負擔。
💡 一句重點:程式碼代管平台正在用服務條款劃出「不准餵給 AI」的界線。
- 諷刺徵才文〈Now Hiring: Senior Open Source Maintainer〉在社群引發共鳴 — 文章以正經徵才格式描述一份「每週千萬下載量、一位維護者、零美元薪水」的職缺,連履歷篩選、技術面試、系統設計、帶回家作業到社群面談一應俱全,精準吐槽開源維護者被高度依賴卻幾乎零報酬的處境。
💡 一句重點:一篇玩笑徵才文,道盡整個開源生態最不對稱的一件事。
End of article