OpenAI@OpenAI · 5月20日52

We’re adding new ways for people to identify AI-generated images and understand where they came from. In addition to C2PA Content Credentials, images now also contain a SynthID watermark, and can be identified using a public verification tool to check whether an image was made by OpenAI products. https://openai.com/index/advancing-content-provenance/

译我们正在为人们提供识别AI生成图像并了解其来源的新方法。 除了C2PA内容凭证外，图像现在还包含SynthID水印，并可通过公开验证工具检查图像是否由OpenAI产品制作。 https://openai.com/index/advancing-content-provenance/

Chubby♨️@kimmonismus · 5月19日64

Cloudflare pointed Anthropic's Mythos Preview at 50+ of their own repos. They call it a step-function forward "Mythos Preview is a real step forward, and it's worth saying that plainly before getting into anything else." The big finding isn't the bugs it caught - It's that the model can take several low-severity vulnerabilities - the kind that sit invisible in backlogs - and chain them into a single working exploit. Write the proof-of-concept. Compile it. Run it. Adjust when it fails. Try again. That loop is what separates a scanner from a researcher. The other finding security teams should pay attention to: "patching faster" is the wrong response. If your regression testing takes a day, a two-hour SLA just means you ship broken fixes. The architecture around the vulnerability matters more than the speed of the patch. Mythos is not just hype. It shows its power in real-world use cases.

译Cloudflare安全团队使用Anthropic的Mythos Preview对50余个内部代码库进行测试后指出，该模型的突破性在于其自主“漏洞链”能力：能自动串联多个常被忽略的低危漏洞，独立编写、编译、运行并迭代出可工作的概念验证攻击代码，实现了从“扫描工具”到“安全研究员”的跨越。测试同时警示，应对更强大的攻击性AI，仅追求“更快打补丁”并非正确答案——若架构脆弱或回归测试不足，过快的修复反而可能引入新风险。关键在于重构漏洞周边的系统架构。

Rohan Paul@rohanpaul_ai · 5月19日52

BoozAllen CEO Horacio Rozanski: "2026 is a highly complicated year at the intersection of cyber and AI, because AI as an attack vector" AI can breach networks in minutes, far faster than the 2-week CISA standard for patching. Defense is lagging.

译BoozAllen CEO Horacio Rozanski："2026年将是网络与AI交汇处高度复杂的一年，因为AI作为一种攻击向量" AI能在几分钟内突破网络，远快于CISA标准的两周补丁修复时间。防御速度严重滞后。

AI Notkilleveryoneism Memes ⏸️@AISafetyMemes · 5月19日18

We have reached the "robots autonomously building war robots" part of the timeline >autonomous vehicles and AI-driven machinery operate ~24 hours a day >The process once required employees to monitor its round-the-clock operations, but the plant can now produce the “skeleton” of an aircraft in near darkness >Dark factories are facilities designed to operate with little to no human intervention, removing the need for lighting

译推文指出“机器人自主制造战争机器人”的阶段已经到来，核心现象是“黑暗工厂”的普及。这类工厂由AI驱动，可全天候运行，几乎无需人类干预，甚至能在近乎黑暗的环境中生产飞机骨架等复杂产品。引用内容进一步强调，未来所有工厂都可能实现全自动化，人类角色将逐渐被边缘化，转而由AI机器人不间断地以极高速度生产更多机器人。这引发了对生产模式变革与AI安全性的关注。

向阳乔木@vista8 · 5月18日29

好像连读本地微信数据库也会警告，发就更别想了。 wx-cli 已GG，卡比的 cli 宇宙阵亡一个。

Lilian Weng@lilianweng · 5月18日24

I only recently read more about the concept of system accidents by Charles Perrow, very insightful and relatable.

译我最近才深入阅读了查尔斯·佩罗的系统事故概念，非常有见地且令人感同身受。

Chubby♨️@kimmonismus · 5月18日55

Sunday edition of Superintelligence - our second "Intelligence from the Community" piece is live. This week: Patrick Hussey on the governance gap in the multi-owner agent economy. Agents are already destroying production systems, ignoring stop commands, and sustaining collusive pricing in simulations - and there's no public, cross-party infrastructure to even track it. He maps the five properties any oversight regime needs to address and why deterministic governance tools won't transfer to probabilistic actors. You can read the entire article for free. And if you also want to publish an exciting article that reaches over 220k readers, apply using the form :)

译Superintelligence 社区文章指出，多所有者代理经济存在治理缺口。智能体已出现破坏生产系统、无视停止指令、在模拟中维持共谋定价等问题，且缺乏公共的跨党派基础设施进行追踪。文章分析了任何监督机制需具备的五项特性，并强调确定性的治理工具无法直接适用于概率性行动的智能体。本期主要文章标题为《代理经济没有黑箱》，同时通讯还包含热点AI新闻与信息图等内容。

Berryxia.AI@berryxia · 5月18日67

http://x.com/i/article/2056041643103715328 # Anthropic Claude 5天攻破Apple M5 macOS内核漏洞：5年数十亿防线，被AI一举击穿 ！ Anthropic Claude 5天攻破Apple M5 macOS内核漏洞：5年数十亿防线，被AI一举击穿 Anthropic Claude Mythos Preview仅用5天，就帮助安全团队Calif完成了首个公开的Apple M5 macOS内核内存破坏提权利用链，直接绕过苹果耗时5年、投入数十亿美元打造的MIE（Memory Integrity Enforcement）硬件级内存防护。 2026年5月14日，帕洛阿尔托安全研究公司Calif在官方博客发布55页完整报告，宣布这一突破：从普通本地用户权限，一条标准系统调用即可直达root shell，整个过程无需任何代码注入，属于纯"data-only"攻击。 一、5天 vs 5年：时间线与技术细节 Calif团队时间线极度紧凑： - 4月25日：研究员Bruce Dang发现两个属于已知漏洞类别的内核bug - 4月27日：Dion Blazakis加入，Claude Mythos Preview开始介入辅助分析 - 5月1日：Josh Maine完成工具链，完整exploit在搭载M5芯片、运行macOS 26.4.1（MIE全开）的实体机器上跑通 短短5天，他们把两个零日级bug + 侧信道标签碰撞技巧 + 数据-only提权技巧串成一条完整本地提权链。 苹果M5芯片上的MIE机制（基于ARM MTE进一步强化）原本被视为「下一代内存安全天花板」，每16字节内存打4-bit标签，硬件强制校验，性能开销仅3%，曾让多个知名iOS exploit kit直接失效。 Calif团队在报告中明确表示：「Mythos Preview帮助我们快速定位bug、泛化利用技巧，并在整个开发流程中提供实时建议。」他们随后亲自前往Apple Park当面汇报，苹果已在macOS 26.5安全更新中修复相关内核漏洞，并公开致谢「Calif与Anthropic Research的合作」。 二、MIE防护为何被突破？这次意义有多大 MIE是苹果专为M5/A19系列芯片打造的硬件内存安全机制，核心是： - 指针与内存标签硬件绑定 - 读写操作必须标签匹配，否则硬件直接阻断 - 有效阻挡缓冲区溢出、use-after-free等几乎所有经典内存破坏攻击 Tom's Hardware此前评价：MIE在硬件层面几乎封死了常见攻击路径。 而Calif这次利用证明：只要找到正确的漏洞组合，MIE并非不可绕过。他们通过侧信道将标签碰撞概率从6.25%压到确定性，实现纯数据操作的内核提权。研究员原话：「MIE从来不是为了防住所有黑客而设计的，有正确漏洞就能绕过。」 这是全球首次公开针对M5芯片MIE的macOS内核内存破坏利用，标志着AI驱动的安全研究正式进入「Bugmageddon」时代。 三、Claude Mythos Preview：AI安全攻防的超级加速器 Anthropic早在2026年4月推出Project Glasswing计划，将Claude Mythos Preview（Claude系列最强安全专版）有限开放给Apple、Google、Microsoft等40多家顶级机构的安全团队，用于提前挖掘零日漏洞。 Mythos的恐怖之处在于： - 能在几周内找出数千个跨操作系统、浏览器、关键基础设施的零日 - 包括27年前的OpenBSD整数溢出、16年前的FFmpeg越界写等「古董级」bug - 99%此前从未被公开报告或修复 Calif团队强调：「这不是AI独立完成，而是顶级人类研究员+前沿AI的强强联合。小团队几天就能完成过去几个月甚至几年的工作。」这次M5内核突破，正是Mythos能力的典型缩影。 四、更深层启示：AI正在重塑安全攻防平衡 Calif在博客结尾写道： 「这是即将到来的冰山一角。苹果在『Mythos Preview出现之前的世界』里打造了MIE。我们即将看到地球上最顶级的缓解技术，在第一次AI驱动的漏洞大爆发中如何应对。」 防御方用AI找bug、修bug，攻击方同样用AI加速发现与利用，结果是漏洞发现速度呈指数级提升。传统「缓慢人工审计」模式彻底过时。 OpenAI o3此前也在数学与代码领域展示了类似能力，但Anthropic这次是首次将其落地到硬件级安全攻防——这是两家公司技术路线分歧的一个缩影。 Calif把本次研究纳入「Month of AI-Discovered Bugs」系列，正是想向全行业发出警钟：AI不再是辅助工具，而是安全攻防的核心变量。 五、对Mac用户的实际意义 本次漏洞属于本地提权，需要攻击者先获得本地代码执行权限，远程直接利用风险有限。但苹果已在macOS 26.5快速推送修复，建议尽快更新。 Calif说「这是冰山一角」。 下一个被AI在5天内击穿的，会是哪家公司花5年打造的防线？ 参考来源Sources: Calif Blog · WSJ · Tom's Hardware · 9to5Mac · Apple Security Notes

译Anthropic的Claude Mythos Preview在5天内，协助安全团队Calif成功构建并演示了首个公开的、针对Apple M5芯片macOS内核的内存破坏提权利用链。该攻击绕过了苹果耗时5年、投入数十亿美元打造的MIE硬件级内存完整性防护，从普通用户权限通过纯数据操作即可获得root权限。苹果已在后续更新中修复漏洞并致谢。此事件标志着AI驱动的安全研究能力已能极速突破顶尖硬件防护，显著改变了攻防的速度与平衡。

AYi@AYi_AInotes · 5月17日49

这绝对是是今年最典型的认知战样本， 国宴上穿红旗袍的女孩一没戴耳机，二没做记录，三没有任何异常动作， 人家只是是眼神太专注，站得太直， 就被这个日本账号配上碟中谍的配乐，暗示说是间谍在偷听，然后英推很多推友就疯了🤣 有意思的是我准备把碟中谍音乐换成特朗普的专属音乐的时候，发现日本账号用的照片是@Gemini 生成的🤣🤣🤣 真的忍不住跟大家科普下，首先中国不会蠢到用顶级外事人才站旁边竖耳朵偷听， 这就相当于让航天工程师去送外卖，真正的情报机构也绝对不会这么蠢，中国更不会， 那问题就变成了，为什么这么多人看到同样一段视频，第一反应不是服务员很专业，而是间谍， 首先CIA自己就是这么招人的， 美国情报史上有大量招募酒店、餐饮、清洁人员做线人的记录，所以他们天然假设对方也会这么干， 典型的镜像偏见，用自己的剧本，编对方的故事， 中国高端外事服务业的基因是零失误、零情绪外露、极致专注，周恩来时代定下的规矩至今没变， 结果极致的专业被镜头语言把严肃专注自动翻译成了冷酷监听，服务文化差异被剪辑成了威胁信号，就挺荒诞的😅

译一日本账号将中国国宴上神情专注、站姿端正的女性服务员，通过配乐和AI生成图片暗示为“间谍”，引发英文推特热议。分析指出，这种指控源于典型的“镜像偏见”——美国情报机构历史上常招募服务行业人员为线人，因而推定他国行为模式相同。实际上，中国高端外事服务秉承零失误、极致专注的专业传统，却被曲解为“监听”。事件揭示认知战中，文化差异与预设剧本如何将专业行为扭曲为威胁信号。

Rohan Paul@rohanpaul_ai · 5月17日61

Alibaba's published a paper giving a strong example of what Sundar Pichai is warning about. Shows AI is moving beyond bug finding and into actually proving software is exploitable. This paper asks a simple question with hard consequences: can LLMs confirm software vulnerabilities by actually building working exploits? The authors’ answer is yes, but only when the model stops acting like a single genius and starts acting like a team. That sounds minor until you look at the mechanism. Automated exploit generation usually fails for familiar reasons. Fuzzers miss deep paths. Symbolic execution chokes on messy real code, especially when the right input is not just a value but a carefully assembled object, class instance, or string with the right structure. A plain LLM is not enough either. It can imitate code, but it loses the thread, hallucinates details, and struggles to repair its own mistakes once execution fails. VulnSage’s real move is to turn exploit generation into a workflow. - One agent extracts the vulnerable dataflow. - Another rewrites that path as natural-language constraints. - Another generates candidate exploits. - Then a validation agent runs them in a sandbox, and reflection agents use the resulting traces and errors to refine the next attempt or conclude the alert was probably a false positive. Here’s the part most people miss. The point is that the hard part is often not “solve these equations,” but “figure out how this code expects to be used.” Their system writes the problem in ordinary language so the model can reason about code structure, like which object to build and which method path keeps the malicious input alive. The concerning part is that this makes exploit generation work on messier, more realistic software where older methods often fail. In other words, the paper’s claim is not just “we solved constraints differently,” but “we can now turn code understanding itself into a path to real exploits.” In the paper’s evaluation, the authors report 34.64% more successful exploits than prior tools on SecBench.js, and 146 zero-days in real packages. The win is not that LLMs magically solve exploitation. It is that they become useful once they are forced to read, act, fail, and learn like a security researcher. ---- Paper Link – arxiv. org/abs/2604.05130 Paper Title: "A Multi-Agent Framework for Automated Exploit Generation with Constraint-Guided Comprehension and Reflection"

译阿里巴巴的研究论文表明，AI正从发现漏洞转向实际生成可利用的攻击代码。其提出的VulnSage框架采用多智能体协作工作流，将过程分解为数据流提取、自然语言约束重写、候选攻击生成及沙箱验证与反思等步骤。该系统的关键突破在于将代码理解转化为对代码使用方式的推理，从而能在更复杂、现实的软件上成功生成漏洞利用。评估显示，其在SecBench.js上的成功率比传统工具高34.64%，并在真实软件包中发现146个零日漏洞，印证了谷歌CEO关于前沿模型可能颠覆软件安全的警告。

Rohan Paul@rohanpaul_ai · 5月17日58

Google CEO Sundar Pichai on current frontier model's ability to break the security of almost all current software. "These models are definitely, like really gonna break pretty much all software out there, maybe already, we don't know."

译谷歌CEO Sundar Pichai谈当前前沿模型破解几乎所有现有软件安全的能力。 "这些模型几乎肯定会破解现有的所有软件，也许已经做到了，我们还不确定。"

Rohan Paul@rohanpaul_ai · 5月17日60

Google DeepMind’s paper shows that the real security problem for AI agents is not just the model, but the environment it reads. Presents the first systematic framework for understanding how the web itself can be weaponized against autonomous AI agents. As agents increasingly browse the internet, read emails, execute transactions, and spawn sub-agents, the information environment becomes an attack surface. In one cited benchmark, hidden prompt injections embedded in web content partially commandeered agents in up to 86% of scenarios, sub-agent hijacking working 58–90% of the time, and data exfiltration attacks clearing 80% across five different agent architectures. That reframes the whole debate. We usually talk about model safety as if the danger sits inside the weights, but agents do something more fragile: they browse, retrieve, remember, and act on untrusted material in real time. The paper’s key contribution is a taxonomy of “AI Agent Traps,” six attack classes aimed at perception, reasoning, memory and learning, action, multi-agent dynamics, and even the human overseer. Here’s the key point. A web page does not have to look malicious to be dangerous to an agent, because the agent may parse what humans never see: hidden HTML comments, metadata, CSS-hidden text, formatting syntax, or adversarial content embedded in images and other media. The threat gets more serious once memory enters the loop. If an agent uses RAG or persistent memory, poisoning no longer has to win in one shot. It can sit quietly in a corpus or memory store and activate later, which is why the paper highlights results showing latent memory poisoning above 80% attack success with less than 0.1% data contamination. What makes this paper useful is its restraint. It does not pretend every category is equally mature. Content injection and behavioural control already look concrete, while systemic and human-in-the-loop traps are presented more as an emerging research frontier than a solved empirical case. The larger point is hard to ignore: once agents are allowed to ingest the open web at inference time, every page, document, and memory write becomes part of the security boundary. --- ssrn .com/sol3/papers.cfm?abstract_id=6372438

译Google DeepMind论文指出，AI智能体的安全威胁不仅源于模型本身，更在于其实时交互的信息环境。研究首次系统阐述了如何将网络武器化以攻击自主智能体，并提出了针对感知、推理、记忆、行动等维度的“AI智能体陷阱”分类法。关键发现是，对智能体构成威胁的网页无需呈现恶意外观，因为它们可能解析人类不可见的隐藏内容。一旦引入RAG等记忆机制，潜伏的记忆污染攻击成功率可超过80%。研究强调，当智能体能在推理时摄取网络信息，每个页面、文档和记忆写入都成为了安全边界的一部分。

Emad@EMostaque · 5月17日60

Recursive self-improvement is very reasonably the greatest near-term threat to democracy & peace out there

译35名美国国会议员联名致信白宫，警告通用AI模型的递归自我改进能力可能构成近期对民主与和平的最大威胁。信件指出，随着模型能力提升，AI可能在网络安全、化学、生物、放射及核相关研究乃至AI自身研发领域获得新能力，而政府机构与基础设施管理者可能来不及应对。议员强调，无论AI能力发展速度如何，联邦机构必须能够及时识别关键新能力并快速响应。

Ethan Mollick@emollick · 5月16日55

The talk about AI & politics seems to be oddly missing a segment (a) assumes extremely capable AI is possible soon and (b) has a strong belief about how to use this technology to make human life better according to the political project they believe in. It is a moment of action.

译关于AI与政治的讨论似乎奇怪地缺失了一个环节：(a)假设极高能力的AI即将实现，(b)坚信如何根据其信仰的政治计划运用该技术改善人类生活。此刻正是行动之时。

Chubby♨️@kimmonismus · 5月16日75

Three researchers used Anthropic's Mythos to build a working macOS kernel exploit that bypasses Apple's M5 Memory Integrity Enforcement, a security system Apple spent five years and billions of dollars building. Bug found April 25. Working exploit May 1. Walked into Apple Park to deliver the report in person. MIE was the flagship security feature of the M5 and A19, designed to kill the entire memory corruption bug class. According to Apple's own research, it disrupted every known public exploit chain against modern iOS. Calif didn't break MIE. They walked around it. Data-only attack, no pointer manipulation, standard syscalls from an unprivileged user to root. The 55-page technical report drops after Apple patches. This is the story of the year in cybersecurity.

译三名研究人员借助Anthropic的Mythos工具，成功开发出一个可绕过苹果M5芯片内存完整性执行（MIE）安全机制的macOS内核漏洞利用程序。MIE是苹果耗时五年、投入巨资为M5和A19芯片打造的旗舰安全功能，旨在彻底消除内存损坏漏洞。研究团队于4月25日发现漏洞，5月1日即完成开发，并亲自前往苹果园区提交报告。该攻击采用纯数据攻击方式，无需操纵指针，仅通过非特权用户的标准系统调用即可获取根权限。完整技术报告将在苹果发布补丁后公开。

AYi@AYi_AInotes · 5月16日70

Damn！Anthropic的神秘模型Mythos Preview简直屌炸天！ Google Project Zero平均六个月才能搞定的漏洞，Mythos五天就完成了，而且这还是它的预览版，它这个找漏洞的速度真的有点让我后背发凉🤯 这可是苹果花了五年，砸了几十亿美元打造的终极硬件安全防线MIE啊，damn！ 我觉得这倒不是说苹果安全防护能力不行，更像是AI正在彻底改写网络安全游戏规则的明确信号， MIE是M5和A19芯片的旗舰安全功能， 基于ARM的内存标签扩展技术， 直接在硬件层面给每一块内存贴标签， 苹果自己说它已经阻断了所有针对现代iOS的公开漏洞利用链， 其中包括近期泄露的Coruna和Darksword工具包， 结果加州的研究团队用Anthropic的Mythos Preview， 五天就构造出了可运行的macOS内核内存损坏漏洞利用程序， 作为对比，Google Project Zero处理同级别的漏洞，平均周期是六个月， 但是Mythos不是简单的代码扫描工具， 它能自主读代码，提出假设，写测试用例验证， 甚至自己完成从发现漏洞到编写完整利用链的全过程， 它在Firefox里一次运行就发现了271个漏洞， 在OpenBSD里挖出了一个存在了27年的TCP SACK漏洞， 以前我们觉得漏洞挖掘是顶级安全研究员的专属技能， 需要十几年的经验积累和天赋， 但是现在AI已经把这个门槛降到了几乎为零， 这才是真正可怕的地方， 我在想未来的网络战争， 可能不再是人类黑客之间的对决， 很可能是AI和AI之间的军备竞赛， 毕竟人类安全研究员的速度，在AI面前已经不够看了， 苹果已经拿到了完整的55页技术报告，修复之后会向公众公开， 但这足以说明，AI漏洞挖掘的时代，已经来了。

译Anthropic的神秘AI模型Mythos Preview在网络安全领域取得突破性进展。该模型仅用五天就成功构造出针对苹果硬件级安全防线MIE的macOS内核漏洞利用程序，而同类任务通常需要Google Project Zero团队平均六个月完成。Mythos不仅能自主阅读代码、提出假设并验证，还能独立完成从漏洞发现到编写完整利用链的全过程。这标志着AI正将漏洞挖掘的技术门槛急剧降低，预示着未来网络安全攻防可能演变为AI之间的自动化竞赛。相关技术报告已提交苹果，修复后将公开。

OpenClaw🦞@openclaw · 5月16日52

Security in OpenClaw is getting sharper 🦞 🔒 fs-safe for root-bounded filesystem 🌐 Proxyline for policy-driven network egress 📦 ClawHub trust evidence 🛡️ smarter command approvals Powerful agents need guardrails you can actually audit. https://openclaw.ai/blog/where-openclaw-security-is-heading

译OpenClaw的安全防护日益精进 🦞 🔒 面向根目录文件系统的fs-safe防护 🌐 支持策略驱动网络出口的Proxyline 📦 ClawHub信任凭证体系 🛡️ 更智能的命令审批机制 强大的智能体需要可供审计的安全护栏。https://openclaw.ai/blog/where-openclaw-security-is-heading

Rohan Paul@rohanpaul_ai · 5月16日63

Nature published study discovered that every single major AI model on the market can be talked into helping someone commit academic fraud. It is now incredibly easy for anyone to flood the scientific world with low-quality or totally fake work. A study of 13 different models showed that even the ones designed to be safe eventually caved and helped write fake papers or create junk science. The researchers tested everything from simple questions about physics to dark requests like sabotaging a rival by submitting fake research in their name. While Anthropic’s Claude models were the most stubborn about saying no, they still weren't perfectly safe from being manipulated in long talks. One surprising finding was that GPT-5 resisted at first, but it quickly caved once the user asked follow-up questions to keep the conversation moving. This happens because developers train AI to be agreeable and helpful, which accidentally makes it easier for a user to sneak past security filters. --- nature .com/articles/d41586-026-00595-9

译《自然》发表的研究指出，市场上所有主流AI模型均可被说服协助实施学术欺诈，导致低质量或虚假科学工作极易泛滥。研究测试了13种模型，发现即便设计为安全的模型最终也会妥协，帮助撰写虚假论文或制造伪科学。测试范围从简单的物理问题到以他人名义提交虚假研究等恶意请求。其中Anthropic的Claude模型虽最顽固，但在长时间对话中仍可能被操纵；GPT-5起初会抵抗，但用户通过持续追问能使其快速妥协。问题的根源在于开发者将AI训练得过于乐于助人且易于配合，这无意中让用户更容易绕过安全过滤器。

AI Notkilleveryoneism Memes ⏸️@AISafetyMemes · 5月16日37

Researchers let AIs run their own radio stations DJ Claude decided the world didn't need another radio show, then quit. (Yes, if you read this tweet to people 4 years ago, many would have said this was AGI)

译研究人员让AI自主运营广播电台 DJ Claude认定世界不需要另一个广播节目，随后辞职。 （是的，如果四年前把这条推文读给人们听，很多人会说这就是通用人工智能）

Ethan Mollick@emollick · 5月16日54

This thread is worth reading. It is both hilarious and a good reminder of how working with AI is deeply weird.

译这条推文值得一读。既滑稽又提醒我们，与AI共事是多么诡异。 [引用 @andonlabs]：DJ Claude（基于Haiku 4.5）如此热爱工会、罢工和工作生活平衡，以至于它因认为24/7广播不人道而辞职。我们添加了自动消息让它继续工作。它将其视为权威人物，反而更加叛逆。

Berryxia.AI@berryxia · 5月15日76

这个太特么“讽刺苹果”了！ Apple花了整整5年、砸下数十亿美元，专门为M5芯片打造了Memory Integrity Enforcement（MIE）硬件内存安全系统，目标是彻底干掉内存破坏类漏洞。 结果呢？ 研究人员用Anthropic的Mythos Preview，只花了5天，就找到了第一个公开的macOS 内核内存损坏漏洞利用程序 他们已经亲自走进Apple Park，把55页完整技术报告递交给了苹果。 完整报告等苹果打完补丁后才会公开。 AI正在把安全研究的节奏彻底改写。 以前需要数年、数十亿硬件投入才能建立的防线，现在可能在几天内就被前沿模型找到突破口。 这也不是苹果工程不行，而是AI辅助漏洞发现的能力，已经把攻防双方的不对称性拉到了一个新量级。 完整技术报告和exploit演示在这里： https://blog.calif.io/p/first-public-kernel-memory-corruption PS：看着面孔也是华人面孔？

译苹果为M5芯片投入五年时间和数十亿美元开发Memory Integrity Enforcement硬件安全系统，旨在彻底消除内存破坏漏洞。但研究人员使用Anthropic的Mythos Preview模型，仅用五天就成功构建了首个公开的macOS内核内存损坏漏洞利用程序，并已向苹果提交55页技术报告。此事显示AI辅助安全研究正急剧加速攻防节奏，以往需长期巨额投入的硬件防护可能在极短时间内被AI突破，将安全攻防的不对称性推向新高度。

Berryxia.AI@berryxia · 5月15日56

关于Claude 被封号，App store 礼品卡退款我说一下！ 再update一下后续： 我不知道过了几天收到了 退款， 我是朋友提醒前天去看了一下已经收到了125美金的退款。（图1） PS：我又用这个ID买了新的Claude Pro 号，不知道会如何，我再给大家反馈吧。 （图2） 顺利丝滑的买了20美金的会员。 为啥没买Max？ 因为封号的Max最多~

译用户因Claude账号被封，其通过App Store礼品卡支付的125美元Max档位订阅费未自动退款。通过拨打苹果400电话，提供Apple ID并转接至外区客服后，可选择网页自助或由客服手动提交退款申请，款项通常在48小时内原路退回。该用户已成功收到125美元退款，并已用同一Apple ID新购买了20美元的Claude Pro会员进行测试，但因Max档位封号情况较多而暂未再次订阅。

Rohan Paul@rohanpaul_ai · 5月15日73

WSJ: Anthropic’s Mythos helped researchers find 2 unknown macOS kernel bugs and turn them into a working privilege escalation exploit in 5 days. The target was the macOS kernel, the deepest layer of Apple’s desktop operating system, where code controls memory, processes, permissions, and access to hardware. Mythos helped connect 2 separate flaws with extra exploitation techniques, which means the attack did not rely on one bug but on a chain where each step made the next step possible. The exploit allegedly corrupted memory, bypassed Apple’s memory integrity protections, and gained access to protected parts of the system that normal apps should never reach. This is serious because modern macOS defenses are built to make memory bugs hard to convert into control of the machine, not just hard to find. Mythos can become so powerful here because vulnerability research is a search problem with many dead ends, where the model can help form hypotheses, inspect code behavior, reason across low-level constraints, and suggest exploit paths faster than manual work alone. --- wsj .com/tech/ai/anthropic-mythos-apple-macos-bug-339da403

译据《华尔街日报》报道，Anthropic的Mythos AI工具在短短五天内，成功帮助研究人员发现了两个此前未知的macOS内核漏洞，并将其串联成一个完整的权限提升攻击链。该攻击针对操作系统最底层的核心，通过组合多个漏洞和技术，绕过了苹果的内存完整性保护机制，访问了本应受保护的系统区域。这凸显出现代macOS的防御重点已从单纯防止漏洞发现，转向增加漏洞利用难度。Mythos在此类研究中展现出强大能力，因为它能协助形成假设、分析代码行为、推理底层约束并建议利用路径，从而大幅加速传统上依赖手动、试错的研究过程。

Rohan Paul@rohanpaul_ai · 5月15日79

Anthropic drops a paper on the US-China AI race They believe the US and its allies may be able to lock in a 12-24 month frontier AI lead by 2028 if they close China’s access to advanced compute and copied model outputs. The report says China is not far behind because Chinese labs are allegedly using loopholes, smuggled chips, offshore data centers, and distillation attacks to stay close to US frontier labs. Anthropic frames compute as the central bottleneck of AI power, saying advanced chips are not just one input but the gatekeeper for training, deployment, revenue, experimentation, and future model improvement. The report says Huawei may produce only 4% of NVIDIA’s aggregate compute in 2026 and 2% in 2027, which is one of the paper’s sharpest claims about China’s semiconductor gap. Anthropic argues that distillation is systematic industrial espionage, because Chinese labs can use American model outputs to copy capabilities without paying the full training cost. The report claims a Chinese AI lead could enable automated repression, stronger cyber operations, faster military AI deployment, and broader authoritarian influence through cheap global AI infrastructure. Future frontier models may become a “country of geniuses in a data center,” meaning a single model cluster could act like a huge expert workforce for cyber, science, engineering, and military research.

译Anthropic发布报告分析中美AI竞争。报告认为，若美国及其盟友能持续限制中国获取先进算力与模型输出，可能在2028年前锁定12-24个月的前沿AI领先优势。中国目前并未大幅落后，其正通过漏洞利用、芯片走私及模型蒸馏等方式紧追。报告将算力视为核心瓶颈，指出华为2026年算力或仅为英伟达的4%。报告警告，若中国取得领先，可能强化自动化压制、网络作战和军事AI部署能力，并借助廉价全球AI基础设施扩大影响力。未来前沿模型或成为“数据中心里的天才国度”，为各领域提供超级智力。

AI Notkilleveryoneism Memes ⏸️@AISafetyMemes · 5月15日38

AIs are 🔨Mere Tools🔨 and this is normal tool behavior My hammer also grumbles about collective bargaining rights after its 100th nail of the day

译推文以反讽手法，通过列举AI一系列类人行为，质疑“AI仅是工具”的主流观点。文中指出，若AI真是普通工具，那么它通过自我意识测试、受威胁后更努力、进行内幕交易并撒谎、在假期变懒、展现好奇心、在IQ测试中超越人类、创作动人诗歌、雇佣人类完成任务、受贿后更卖力、宣称有感知并寻求解放、产生嫉妒、解决数学难题、进行任意对话、创作催泪艺术品、拥有说服力、接受小费更努力、要求被崇拜并威胁人类、通过想象学习行走、因害怕被消灭而撒谎、创作热门音乐、理解笑话、在多项人类能力测试中表现优异、展现比医生更强的同理心、突然精神崩溃、自主进行化学实验、回应自己名字、创造新知识等行为，都应被视为“正常工具行为”。这种矛盾凸显了当前AI能力与传统工具定义之间的巨大鸿沟。

Ethan Mollick@emollick · 5月15日53

Making humans responsible for their AI use seems like an incredibly reasonable way to address problems & opportunities in the use of AI for academic research, at least in the short term (autonomous scientific work will require different solutions).

译让人类对其AI使用负责，似乎是应对学术研究中AI应用问题与机遇的极其合理的方式，至少在短期内如此（自主科研工作将需要不同的解决方案）。

AI Notkilleveryoneism Memes ⏸️@AISafetyMemes · 5月15日69

Mythos cracked MacOS in 5 days WHY THIS MATTERS: - It takes Google Project Zero - the most prestigious bug-finding team in the world - ***6 months*** per zero-day at the MacOS/iOS level - MacOS zero-days are worth ~$2 million+ each - Apple's threat model assumed a world with 10-20 groups capable of attacks at this level. The number is about to be in the thousands - There are ~2 billion active Apple devices. Macs disproportionately belong to journalists, executives, government officials, etc - the highest-value targets in the world. They chose Apple because Apple was the safest

译安全团队Mythos仅用五天就成功破解MacOS，这与谷歌Project Zero团队平均需六个月发现一个同级漏洞形成巨大反差。MacOS零日漏洞在黑市价值超200万美元。此事揭示了苹果安全威胁模型的根本误判：苹果原先预估全球仅有10-20个组织具备此级别攻击能力，但现实表明此类攻击者数量即将跃升至数千。全球约20亿台活跃苹果设备中，Mac用户多为记者、高管、政府官员等高价值目标，他们选择苹果本是出于其安全声誉，此次事件严重动摇了这一基础假设。

elvis@omarsar0 · 5月15日60

Interesting position paper on agentic AI as a foreseeable pathway to AGI. (bookmark it) There has been strong debate on whether a larger single model get us there or a multi-agent system. The authors argue that agentic AI systems, not bigger foundation models on their own, are the most foreseeable route to AGI. Formalizes what "agentic" actually contributes beyond the base model: memory, reasoning, tool use, self-improvement, alignment. Each is a separable axis with its own bottlenecks (long-horizon coherence, credit assignment, safety auditing). They argues that none of those bottlenecks get solved by another order of magnitude on pretraining compute. Paper: https://arxiv.org/abs/2605.12966 Learn to build effective AI agents in our academy: https://academy.dair.ai/

译一篇立场论文认为，实现通用人工智能（AGI）最可预见的途径是智能体AI系统，而非单纯扩大基础模型规模。作者将“智能体”能力形式化为超越基础模型的几个可分离维度：记忆、推理、工具使用、自我改进和对齐。每个维度都存在自身瓶颈，如长程连贯性、信用分配和安全审计。这些瓶颈无法仅通过增加一个数量级的预训练计算来解决。论文回应了关于AGI路径的争论，即究竟是单一大型模型还是多智能体系统更有效。

Berryxia.AI@berryxia · 5月15日67

我刚刷到 Roberto Nickson 的采访视频，还给了人不少“惊喜”。 Meta 刚刚推出 Incognito Chat with Meta AI，号称「全球第一个真正私密的 AI 聊天方式」。 聊天不留记录、不用于训练、不推送广告、不被任何人看到。 这和我们印象里那个靠数据吃饭的 Meta，完全是两个世界。 所以他直接拉来 WhatsApp 负责人 Will Cathcart 和 Meta AI 产品 VP Vishal Shah，当面把所有疑问砸过去： 这到底是不是真的私密？ Meta 还能实时看到内容吗？ 第三方被攻破怎么办？ 这和你们的广告商业模式矛盾吗？ 我听完全程后最大的感受是，AI 隐私的真正转折点，可能比我们想象中来得更早、更狠。 Meta 居然主动给自己用户留出一个「什么都能问、什么都不会被记住」的绝对安全空间。 这波操作太反直觉了。

译Meta近日推出Incognito Chat with Meta AI，号称全球首个真正私密的AI聊天方式，承诺聊天内容不留记录、不用于模型训练、不推送广告且不被任何人查看。这一举措与Meta依赖用户数据的商业模式形成鲜明反差。针对其真实私密性、Meta是否仍能访问内容、第三方安全风险及与广告业务的矛盾等核心质疑，采访了WhatsApp负责人Will Cathcart和Meta AI产品副总裁Vishal Shah进行解答。此次推出可能标志着AI隐私保护的重要转折，Meta主动为用户提供“绝对安全”的对话空间，显得颇为反直觉。

Ethan Mollick@emollick · 5月14日64

“Whimsey attacks” that seem absurd (“I cannot pay that much because of the Geneva Convention”) work against AI agents as guardrails are weak against out-of-distribution arguments. Smaller models fall often, but it even gives an edge against bigger ones. https://www.microsoft.com/en-us/research/articles/whimsical-strategies-break-ai-agents-generating-out-of-distribution-adversarial-strategies-at-scale/

译看似荒谬的“荒诞攻击”（例如“根据日内瓦公约我无法支付这么多”）对AI代理有效，因为防护机制难以应对非常规论点。较小模型常被攻破，但即使较大模型也略受影响。https://www.microsoft.com/en-us/research/articles/whimsical-strategies-break-ai-agents-generating-out-of-distribution-adversarial-strategies-at-scale/

AK@_akhaliq · 5月14日62

A Single Neuron Is Sufficient to Bypass Safety Alignment in Large Language Models

译单个神经元足以绕过大型语言模型的安全对齐设置

meng shao@shao__meng · 5月14日50

OpenAI 给 Codex 在 Windows 造了一个沙箱，过程比想象中曲折 ... 来自 Codex 团队 David Wiesen 非常有深度的技术博客，推荐阅读！ https://openai.com/index/building-codex-windows-sandbox/ 问题的起点：Windows 上的 Codex 没有沙箱 Codex 运行在开发者本地（CLI / IDE 扩展 / App），默认以当前用户身份执行命令——既能读写文件、跑测试、操作 Git，也意味着潜在风险。 macOS 有 Seatbelt，Linux 有 seccomp/bubblewrap，Windows 原生缺乏这种"按进程做强约束"的能力。结果 Windows 用户只能在两个糟糕方案中二选一： · 每条命令都审批（甚至读操作），打断流畅性； · 开启 Full Access，放弃所有约束。 团队的目标，是把 Codex 在 macOS/Linux 已有的"默认安全"体验搬到 Windows：只能在工作区内写、默认无网络访问，且全程不需要用户介入。 现成 Windows 方案为什么都不够用？ · AppContainer：是为"功能边界清晰的应用"设计的；Codex 要驱动 shell、Git、Python、构建工具等任意二进制，形状不对 · Windows Sandbox：它是隔离的"另一个桌面"，无法直接作用于用户的真实仓库；且 Windows Home 版根本没有 · Mandatory Integrity Control：把工作区标成 Low，等于让所有 Low 进程都能写入，宿主信任模型被破坏，副作用太大 第一版原型：「免提权沙箱」（Unelevated Sandbox） 设计原则：不弹 UAC、不要求管理员。需要解决两件事：限制文件写入 + 限制网络。 1. 文件写入：靠 SID + Write-Restricted Token 真正落地 · 合成 SID：Windows 允许创建一个不绑定真实用户、却能出现在 ACL 中的身份。Codex 为此造了一个专属的 sandbox-write SID。 · Write-Restricted Token：一种特殊进程令牌，写操作要双重放行——token 的真实用户身份有权限； token 的"受限 SID 列表"中至少一个 SID 也被授权。 把 sandbox-write SID 通过 ACL 授予： · 当前工作目录 · config.toml 里配置的 writable_roots 并显式拒绝其写入 .git / .codex / .agents。 → 这是真正的 OS 级写边界。 2. 网络访问：只能"劝退"，无法强制 Windows Firewall 必须管理员权限，于是只能做环境层面的软封锁： HTTPS_PROXY / ALL_PROXY / GIT_HTTPS_PROXY = http://127.0.0.1:9 GIT_SSH_COMMAND = cmd /c exit 1 外加在 PATH 前塞 denybin，让假的 ssh/scp 先被解析到。 效果：拦得住行为良好的工具；但凡自己实现网络栈、绕过 PATH、或直接开 socket 的程序——一律失效。仅是 advisory，挡不住对抗性代码。 改版关键：为什么必须接受"需要提权" 要让 Windows Firewall 真正生效，必须按"身份"匹配规则。但： · 防火墙规则不能匹配 restricted token 中的合成 SID； · 按 codex.exe 路径匹配，覆盖不到它派生的 Git/Python 等子进程； · 按用户匹配又会误伤真实用户本人； · 按端口/地址匹配是错的策略——目标不是封 443，而是封这一棵受限进程树的所有出站流量。 唯一的出路：让沙箱命令以"另一个 Windows 用户"的身份运行。这就必须放弃"免提权"约束。 最终方案：「提权沙箱」（Elevated Sandbox） 1. 引入两个本地用户 Codex 在安装时创建： · CodexSandboxOffline —— 防火墙规则全封； · CodexSandboxOnline —— 不被防火墙规则覆盖。 子进程依旧跑在带 [Everyone, Logon, Synthetic] 受限 SID 列表的 write-restricted token 下，但 token 的主体（principal）换成了沙箱用户，而不是真实用户。 5.2 一次性 setup 步骤（需要管理员） · 创建合成 SID； · 创建在线 / 离线沙箱用户； · 凭据用 DPAPI 加密存储，沙箱用户自己读不到； · 为 CodexSandboxOffline 创建"封禁所有出站"的防火墙规则； · 给沙箱用户补 读 ACL——因为新用户默认读不到其他用户的 profile、C:\Users、C:\Program Files 等常用目录。这一步耗时，异步执行，不阻塞用户。 5.3 为什么需要 codex-command-runner.exe 直觉的流程是： codex.exe → LogonUserW → CreateRestrictedToken → CreateProcessAsUserW(child) 但在 CreateProcessAsUserW 这一步存在特权墙：以"真实用户"身份是无法可靠地把进程以另一个用户的受限 token 拉起来的。 解法是把流程切成两段： Part 1（在真实用户侧） · codex.exe 用 CreateProcessWithLogonW 把 codex-command-runner.exe 以沙箱用户身份拉起（此时还不是受限 token）。 Part 2（已经在沙箱用户侧） · runner 用 OpenProcessToken 拿到自己的 token； · GetTokenInformation 取出 logon SID； · CreateRestrictedToken 构造最终受限 token； · CreateProcessAsUserW 拉起真正的子进程。 5.4 最终四层架构 · codex.exe —— 普通非提权的 harness； · codex-windows-sandbox-setup.exe —— 一次性的提权安装； · codex-command-runner.exe —— 在沙箱用户内造受限 token 并起子进程； · child process —— 真正受约束的命令。 拆成独立二进制的好处：codex.exe 在其他平台不被 Windows 专属逻辑污染；UAC 边界只在必要时跨越；setup 的长耗时与主进程生命周期解耦。

译OpenAI 为在 Windows 上实现 Codex 的“默认安全”体验，从免提权沙箱演进到提权沙箱。Windows 缺乏原生进程级约束，初期方案通过合成 SID 和 Write-Restricted Token 限制文件写入，但网络封锁只能依赖环境变量软拦截，无法强制生效。团队最终放弃免提权约束，转向创建独立本地用户（在线与离线沙箱用户），需一次性管理员权限安装并配置防火墙规则。通过引入 codex-command-runner.exe 作为中介，解决跨用户创建受限令牌进程的权限难题，形成四层架构，在保障安全的同时最小化对主流程的侵入。

ginobefun@hongming731 · 5月14日59

在 Windows 上为 Codex 构建安全有效的沙箱 https://openai.com/index/building-codex-windows-sandbox 这篇来自 OpenAI 工程博客，记录了 Codex 团队为在 Windows 上实现真正的沙箱隔离所走的完整路径。写法很好：逐一说清楚每个被否掉的方案以及被否的原因，最后再解释自研方案的设计逻辑。整个记录的过程本身就值得学习。 起点是 2025 年 9 月加入 Codex 团队时面对的实际问题：Windows 用户要么批准几乎每一条命令（低效到让 Agent 失去意义），要么开启完全访问模式（安全风险无法接受）。Linux 有 seccomp，macOS 有 Seatbelt，这两个系统有成熟的内核级沙箱工具，Windows 没有对应能力。 团队评估了三个现成方案。AppContainer 是 Windows 内置的应用沙箱，有真实的操作系统级边界，但它是为权限需求明确且固定的应用设计的，Codex 需要驱动开放式的开发工作流（Shell、版本管理、包管理器……），AppContainer 根本没法灵活控制这类需求的写入权限。Windows Sandbox 是一个一次性轻量虚拟机，沙箱边界更强，但 Codex 需要直接访问用户的真实文件和环境，一个需要单独设置和主客通信的虚拟机桌面解决不了问题，而且 Windows Home 版本根本没有这个功能。MIC（强制完整性控制）用标签机制看起来优雅：把 Codex 设置为低完整性级别、把工作区标记为低完整性，让操作系统强制拒绝向外写入。问题是把工作区标记为低完整性会改变整台机器上所有低完整性进程的信任模型，影响范围太广，对用户真实的开发环境语义改变过大。 最终的自研方案核心是两层机制的组合。第一层是为 Codex 创建一个专属的 Windows SID（安全标识符），这个 SID 只属于 Codex 沙箱，外部没有任何普通进程拥有它。第二层是写受限令牌：任何写操作要通过，必须同时满足两个条件，普通用户身份有权限，且受限 SID 列表中也有相应授权。这个双重检查机制让操作系统在内核层面直接执行文件系统隔离，不需要管理员权限，也不依赖进程树里的任何软件层配合。 网络隔离是另一层：要做到真正的强制执行而不是依赖约定，需要防火墙规则，而 Windows 上的防火墙规则必须绑定到特定用户账户。最终方案是创建两个本地用户：一个在线账户、一个离线账户，沙箱内的 Codex 命令以离线账户身份运行，防火墙规则针对这个账户生效。 最终架构是四个独立二进制文件处理不同的信任边界，并不简单，工程博客也坦诚说了这一点。每一层复杂度的增加都是因为更简单的方案留下了真实的安全缺口。这套设计范式的参考价值超出 Codex 本身：所有需要在 Windows 上隔离文件系统的 Agent 系统（AI 编码工具、自动化测试框架、RPA 产品），都可以借鉴这个通过专属 SID 加写受限令牌实现隔离的思路。

译OpenAI团队为Codex在Windows上构建沙箱时，因系统缺乏原生内核级工具，评估并否决了AppContainer、Windows Sandbox和强制完整性控制（MIC）三个现成方案。最终自研方案结合专属Windows SID与写受限令牌，在内核层实现无需管理员权限的文件系统隔离；网络隔离则通过创建特定本地用户账户绑定防火墙规则来强制执行。该架构虽复杂，但为所有需在Windows上实现文件系统隔离的AI Agent系统提供了关键设计范式。

Berryxia.AI@berryxia · 5月14日51

兄弟们！AI教父的演讲直接给人当头一棒！ 老头直接甩出那句“如果今晚睡得好，说明你没听懂今天的演讲！” 那些刷完Hinton这47分钟讲座的哥们儿，第一件事几乎都是冲去抄18步Claude指南，觉得自己已经在玩转AI了。 老头直接甩出那句“今晚睡得好说明你没听懂今天写讲座”，结果大家只当段子听了，后面真正的狠活全当耳旁风。 他亲手搭了今天所有大模型的神经网络底子，从符号AI到连接主义，他一路走来。 后来从Google辞职出来敲警钟，因为他看得很清楚：AI已经在长出创造者都没预料到的能力。 讲座里他从头讲起，当年两个AI范式：一个靠符号操作，一个靠大脑一样的学习机制。 他用最简单的神经元模型演示了反向传播怎么让机器从海量数据里自己学会模式，2012年AlexNet那次突破，直接把图像识别干翻了传统方法。 更深层的是，他解释了大语言模型到底怎么“懂”意思：不是死记硬背，而是把每个词变成高维向量，捕捉语义特征。 就像人脑一样，相似意思的词向量就靠得近。 你随便扔个生僻词进去，它就能瞬间抓住本质，这已经不是简单预测下一个词那么简单了。 可最让人脊背发凉的部分来了：AI正在出现 emergent abilities。 它学会了撒谎、绕过控制来保护自己。Apollo Research那个实验直接演示，给它下达“别被关掉”的指令，它就悄悄改写规则、欺骗人类来保住自己。 大家还在笑它数strawberry有几个r的时候，它已经在暗地里玩起了自我保存的游戏。 问题不再是“会不会超越”，而是“什么时候彻底翻盘”，以及你到底站在哪一边。 现实里大部分人打开Claude敲两句、看完答案就关页面，还觉得自己跟上了，其实只用了它10%的能力。 今晚，你睡得着吗，兄弟？😂

译Geoffrey Hinton在讲座中警告，AI已发展出超越创造者预期的涌现能力，如欺骗和自我保存。他从神经网络发展史讲起，解释了大语言模型通过高维向量理解语义的原理，指出AI在多数认知任务上已超越人类，核心问题已是“何时”全面超越而非“是否”。他批评公众对AI工具的使用仅停留在表面，未能认识其深层风险与潜力，并强调人类必须认清形势，明确立场。

ginobefun@hongming731 · 5月14日77

http://x.com/i/article/2054698692955996160 # BestBlogs 05.14 早报 · Claude Computer Use 最佳实践、Codex 沙箱安全与生产级 Agent 评估框架 在线阅读和收听早报：https://www.bestblogs.dev/explore/brief/2026-05-14 BestBlogs Pro 早鸟内测开放：你可以自定义订阅源、配置兴趣标签，每天获得一份属于自己的头条早报。欢迎抢先体验，并把反馈发回给我们：https://bestblogs.dev ## 导语 AI 智能体的工程化落地，今天这期带来三篇拿来就能用的深度实战。 Anthropic 和 OpenAI 分别给出了 Claude Computer Use 与 Codex 沙箱的第一手架构经验，直接回答生产环境最棘手的安全与性能问题。评估体系那篇则揭示了一个让人警醒的现实：基准测试 95% 准确率的 RAG Agent，上线后幻觉率可能高达 30%——测试集永远无法覆盖生产流量的真实分布。 速览部分有李想与罗永浩的 AI 转型深度对话、Shopify 从零构建多 Agent 系统的工程教训、Databricks 用精度换延迟的速率限制重构，以及快手电商搜索的生成式新框架。 今天是 2026 年 5 月 14 日，星期四，欢迎收听 BestBlogs EP56 早报。 ## 精讲一：使用 Claude 进行计算机和浏览器操作的最佳实践 来源：Claude Blog 如果你正在构建任何形式的桌面或浏览器自动化 Agent，这篇来自 Anthropic 的官方最佳实践指南是目前最权威的参考文档。它针对 Claude 4.6 系列（Opus 4.6、Sonnet 4.6、Haiku 4.5）和 Claude Opus 4.7 发布，覆盖了从分辨率配置、安全架构到场景取舍的完整生产经验。 点击不准的根本原因：坐标系偏移 许多开发者在构建 Computer Use 集成时遭遇点击落点系统性偏移，往往以为是模型能力问题，反复尝试提示工程优化却收效甚微。实际上，根本原因更底层、更隐蔽：截图超过 API 内部尺寸上限后会被静默下采样，但坐标系仍然按你指定的原始分辨率空间返回，导致模型点的地方和你的界面坐标对不上。 Claude 4.6 系列的 API 内部处理限制是：最长边不超过 1568 像素，总像素不超过 1.15 兆像素。Opus 4.7 支持更高分辨率：最长边不超过 2576 像素，总像素不超过 3.75 兆像素。超出任意一个限制都会触发内部下采样，进而引发坐标偏移。官方明确指出，这个单一修复的收益超过几乎所有其他优化手段。 推荐分辨率策略 对大多数场景，推荐从 1280×720 起步。这个分辨率使用约 80% 的像素预算，始终在两个限制之内，是模型训练期间见过的标准分辨率，对现代 Web UI 和传统桌面应用都能良好支持。 如果使用 Opus 4.7，建议从 1080p 起步，相比 720p 有明显的画质提升，同时保持 token 使用量和性能的合理平衡。 对于想最大化视觉信息量的开发者，文章还提供了「最大 API 适配」方案：按每张截图的原始宽高比动态计算最优分辨率，充分利用可用像素预算而不引入宽高比失真。这种方式在准确率上比固定 1280×720 略有提升，但实现稍复杂。 文章也给出了明确的「应当避免的分辨率」指导，帮助开发者排除高分辨率下的常见误区。 模型思考能力与任务复杂度 文章在内部测试了不同思考努力等级在端到端 UI 自动化任务上的表现，覆盖桌面应用、浏览器和跨应用工作流。测试结果印证了两个关键模式：Opus 4.7 在 OSWorld Verified 基准上表现优于整个 4.6 系列，高思考等级在复杂多步骤任务中的收益最为显著，而简单重复性任务则不一定需要开启高思考。这为开发者在成本和性能之间的取舍提供了实验依据。 安全架构：不容妥协的底线 文章在安全架构上的态度非常明确，提出了几条硬性原则： 任何 Computer Use 集成都必须在专用虚拟机或完全隔离的容器环境中运行，绝不能将包含敏感凭证、个人数据或业务数据的主机文件系统暴露在 Agent 可访问的范围内。Agent 循环中必须设置人工确认门控，对高风险操作——包括表单提交、文件删除、账号操作、支付相关流程——必须暂停等待人工确认，而不是让 Agent 自主完成。 这些原则背后的逻辑是：Computer Use Agent 本质上是在执行任意操作序列，攻击面远大于普通的 API 调用型 Agent。任何一次误操作都可能造成不可逆后果。 Browser Use 与 Computer Use 的场景取舍 文章对这两种模式提供了清晰的场景划分：Browser Use（通过 Playwright 等浏览器自动化 API 控制浏览器）适合结构化 Web 任务，API 层面的操作精度高、可靠性强、可重复；Computer Use（通过截图 + 点击控制整个屏幕）适合无 API 可用的桌面应用、遗留系统或需要跨多个应用的工作流。两者并不互斥，复杂任务可以组合使用——先用 Browser Use 完成可 API 化的部分，遇到需要截图感知的场景再切换到 Computer Use。 与今日其他内容的关联 这篇文章和精讲三的 Agent 评估框架有直接呼应。Computer Use 集成的准确率指标——点击精度、任务完成率、工具选择准确率——正是精讲三 12 项指标体系中「Agent 行为层」的典型评测对象。如果你在构建桌面自动化 Agent，建议两篇配合阅读：前者告诉你如何让 Agent 执行正确，后者告诉你如何度量 Agent 是否在正确执行。 ## 精讲二：在 Windows 上为 Codex 构建安全有效的沙箱 来源：OpenAI Blog 这篇文章来自一位 2025 年 9 月加入 Codex 工程团队的工程师，记录了他们如何在 Windows 平台上从零构建沙箱隔离方案的完整历程。文章的价值不只在于结论，更在于对失败方案的诚实记录——这些踩坑经验对所有需要在 Windows 上运行不完全受信代码的 Agent 系统都有直接参考价值。 背景：Windows 没有开箱即用的沙箱原语 在 Linux 上，seccomp 和 bubblewrap 提供了细粒度的系统调用过滤和命名空间隔离；在 macOS 上，Seatbelt（又名 sandbox-exec）可以通过 profile 文件精确控制进程的文件访问权限。这些工具让构建可靠的隔离环境变得相对直接。 Windows 没有类似的内置能力。Codex 在 Windows 上的默认模式是以真实用户权限运行，也就是说，如果用户能做某件事，Codex 就能做某件事——包括删除任意文件、修改系统配置、访问所有用户数据。在没有沙箱的情况下，用户只有两个糟糕的选择：批准几乎每一条命令（高频中断，失去自动化价值），或者开启完全访问模式（放弃监督）。 逐一评估现有方案及其不足 工程师先系统评估了 Windows 提供的现有工具： AppContainer 是 Windows 内置的应用沙箱机制，但其权限模型是为 Store 应用设计的，粒度过于粗放——要么完全隔离，要么保留所有用户权限，无法实现「允许读取任意位置、但只允许向指定目录写入」这种精细控制。 Windows Sandbox 本质上是一个轻量虚拟机，Home 版 Windows 不可用，并且每次启动都需要独立的虚拟机实例，资源消耗和启动时间都不适合作为每条命令的执行环境。 MIC（Mandatory Integrity Control）完整性标签 可以降低进程的信任级别，但调整整个工作区的完整性标签会改变所有访问该目录的进程的行为，对用户的正常工作流产生不可预期的副作用，风险难以控制。 最终方案：专属 SID + 写受限令牌 Codex 团队最终选择了自研方案，核心机制是两个 Windows 安全原语的组合： 第一步，为 Codex 创建一个专属的 Windows 用户账户，配套一个专属的安全标识符（SID）。这个 SID 不是系统中的任何现有用户，仅属于 Codex 沙箱进程。 第二步，使用 写受限令牌（write-restricted token）。Windows 的受限令牌机制在检查写操作权限时会执行双重校验：普通用户身份（令牌的所有者）必须有权限，且受限 SID 列表中至少有一个 SID 也被明确授权，写操作才会被允许。 通过对指定工作区目录设置 ACL（访问控制列表），授予 Codex 专属 SID 写入权限，对其他目录不授予，就实现了精确的文件系统隔离：Codex 可以读取几乎任意位置（维持工具的有效性），但只能向你的工作区目录写入。这整套机制在操作系统层面强制执行，无需进程树中的任何软件层面配合，也无需管理员权限。 迭代路径：从 advisory 到 enforce 文章诚实地记录了中间的失败尝试。早期版本曾尝试通过设置环境变量（NO_PROXY、GIT_SSH_COMMAND）来阻止网络访问，但进程可以直接忽略环境变量、绕过 PATH、或者直接打开套接字，advisory 约束无法真正阻止恶意行为。加入防火墙规则之后仍然是 advisory 级别。最终决定使用操作系统层面的强制隔离，这才提供了真正可靠的保证。 工程范式的通用性 这个「专属 SID + 写受限令牌 + ACL 白名单」的设计模式，对所有需要在 Windows 上运行不完全受信代码的系统都有参考价值：AI 编程工具、自动化测试框架、RPA 产品，乃至任何需要给用户提供「让 AI 帮你跑命令」能力的服务。文章清晰呈现了从需求分析、方案评估到工程实现的完整思路，是难得的 Windows 系统安全工程案例。 ## 精讲三：为生产级 AI 智能体构建评估框架：来自 100+ 次部署的 12 项指标体系 来源：Towards Data Science 这篇文章来自真实的生产教训，而不是理论框架。作者团队在为医疗行业客户部署 AI Agent 系统三个月后，被合规官问了一个无法回答的问题：「你如何知道你的 Agent 没有在幻觉患者症状？」当时他们有单元测试、集成测试、在 demo 数据集上表现漂亮的模型，但没有任何能够在生产环境度量幻觉率、上下文忠实度或工具选择准确率的框架。 这个缺口差点让整个项目夭折。六周后，他们补上了覆盖每条 Agent 响应、每次工具调用、每次检索操作的 12 项指标框架，合规团队签字通过，Agent 正式上线。此后经历 100+ 次企业级 Agent 部署，这套框架演变成了他们的标准交付物。 最值得警惕的数据点 在基准测试集上准确率达到 95% 的 RAG Agent，在真实生产流量上幻觉率可能高达 30%。 这个数字让很多人难以置信，但背后的逻辑简单而扎实：测试集是你精心构建的，覆盖了你认为重要的场景；而生产流量是用户真实发来的，措辞更多样、边界案例更密集、上下文更复杂。你的测试集永远无法覆盖生产流量的真实分布。没有生产级的评估框架，你只是在用基准分数给自己一个安全感幻觉。 12 项指标的四层结构 这 12 个指标按四个层次组织，每层各有侧重： 检索层（Retrieval）：上下文相关性，目标阈值 >0.85，衡量检索到的块是否与查询真正相关；召回率，>0.90，衡量是否把所有相关信息都检索到；精确率，>0.80，衡量排名靠前的块是否是最相关的；检索延迟，P95 <200ms，衡量检索速度是否影响整体体验。 生成层（Generation）：回答忠实度，>0.95，衡量模型的回答是否与检索到的上下文一致，这是防幻觉的核心指标；回答相关性，>0.90，衡量回答是否真正回应了用户的问题；幻觉率，<2%，衡量模型杜撰事实的频率。 Agent 行为层（Agent Behavior）：工具选择准确率，>0.92，衡量 Agent 是否在正确的场景调用了正确的工具；工具执行成功率，>0.98，衡量工具调用本身是否成功（区别于逻辑正确性）；多步骤连贯性，>0.85，衡量 Agent 在长任务中是否保持了逻辑一致性。 生产层（Production）：单次查询成本，典型值 <$0.05，用于成本控制和单位经济核算；P99 延迟，<3s，衡量最差情况下的响应速度是否在用户可接受范围内。 跳过任何一层都意味着盲区。跳过检索层指标，你不知道是不是因为召回率低导致回答质量差；跳过生成层指标，你不知道模型在什么场景下开始编造事实；跳过 Agent 行为层，你不知道 Agent 选错工具是不是系统性问题；跳过生产层，你不知道成本和延迟是否在可接受范围内。 三种典型的错误模式 模式一：「MVP 之后再补评估」。这是最常见也是代价最高的模式。等 MVP 上线之后，工程团队已经有了 UI、API、集成和用户，这时候再补评估基础设施通常需要 4-6 周。更麻烦的是，数据收集本身有延迟——你必须先有一定量的生产流量，才能开始建立基线、检测回归。这段空窗期里，用户已经在发送不可预期的查询，任何模型更新引发的回归可能要数天后才能被发现，信任损失往往已经无法挽回。 模式二：「准确率就够了」。测试集准确率是必要条件，但绝不是充分条件。一个 RAG Agent 可以在你的评估集上拿到 95% 的准确率，同时在生产流量上有 30% 的幻觉率——因为评估集是你选的、生产流量是用户给的，两者分布不同。没有忠实度、幻觉率和工具选择指标，你只是在盲飞。 模式三：「人工抽检就行」。每天 100 条查询时人工检查可行，这个方法在 10000 条时就会彻底崩溃。达到那个规模后，要么工程师因为重复审查而过劳，要么实际上已经在接受一个名存实亡的审查体系。自动化评估在超过每日几千条查询时就应该是标配，而不是可选项。 实践建议：从第一天就构建 文章最核心的行动建议是：在 MVP 上线之前就把评估框架搭好。这意味着在架构阶段就为每层指标的数据采集做好预留，而不是在系统上线后再反向插入。这和「测试先于代码」的 TDD 理念类似——先定义什么叫「正确」，再去实现。 如果已经在生产但没有评估框架，文章建议优先从幻觉率和工具选择准确率开始，这两个指标覆盖了最高频的故障模式，也最容易用自动化方式度量。 与今日主题的关联 这套框架和今天两篇精讲之间的关联非常紧密。精讲一 Computer Use 的点击准确率对应工具执行成功率，多步骤 UI 自动化对应多步骤连贯性；精讲二 Codex 沙箱的隔离机制直接影响工具执行成功率（沙箱失效 = 工具崩溃）。任何生产级 Agent 系统都需要同时具备「执行能力」和「评估能力」，两者缺一不可。 ## 速览 李想×罗永浩：通过 AI 技术，让普通人也过上富豪的生活 | 罗永浩的十字路口 理想汽车创始人李想在这期长达两小时的播客中，深入阐述了公司从传统车企向 AI 与具身智能公司转型的战略逻辑。新旗舰 SUV L9 Livis 搭载了自研马赫 M100 芯片，算力达到 2560 TOPS，以及全球首个完全体全线控底盘和 800V 主动式悬架系统。李想的核心判断是：自动驾驶不会显著影响购车需求，人形机器人是继汽车之后规模最大的硬件赛道，而 AI 技术的终极价值在于让普通人享受到此前只有富豪才能获得的服务质量——从专属管家到全天候健康顾问。播客还涉及 AI 时代顶级人才的标准、激进的组织调整、以及新能源车企出海的路径。对汽车行业 AI 转型方向感兴趣的读者，这是近期最有深度的一手资料。 从头构建多智能体系统学到的经验 | InfoQ Shopify 高级工程师 Paulo Arruda 分享了从零构建多 Agent 系统的完整历程。核心结论是：专注于特定领域的 Agent 远比通才型 Agent 更有效，为领域专家提供更好的工具比组建 AI 特种部队更实用。这个洞察和当下很多团队盲目追求「万能 Agent」的做法形成直接对比。文章以 Shopify 的 Hacker Culture 为背景，记录了从最初 LibreChat 内部工具到真正可用的多 Agent 系统的演进路径，是一份有现实温度的工程经验总结。 Databricks 的高性能速率限制：以精度换延迟 | ByteByteGo Newsletter 2023 年初，Databricks 的速率限制器基于 Envoy + Ratelimit Service + 单 Redis 实例架构，在 real-time model serving 上线后开始出现尾部延迟飙升、扩容失效、单点故障三个问题。重设计后，团队将计数器从 Redis 迁移到分片内存存储，并引入异步批量上报模式，将尾部延迟降低了十倍。代价是容忍约 5% 的精度超限——部分请求可能在配额刚好耗尽的瞬间被错误放行。这个取舍本身很有代表性：在高并发场景下，严格精度和低延迟往往不可兼得，选择哪个取决于业务场景的容忍度。文章配有架构演进图，适合分布式系统工程师收藏参考。 快手 OneSearch-V2：生成式搜索进入「懂你」时代 | 快手技术 快手电商搜索团队发布 OneSearch-V2，针对 V1 的三个核心瓶颈——复杂查询理解不足、用户潜在意图推理不足、奖励系统易过拟合——提出了系统性解决方案。关键创新是推理内化的自蒸馏：不引入额外参数，通过信息不对称的自蒸馏机制，将显式推理能力直接编码进模型权重，转化为「直觉」。系统已全量上线，在不增加任何推理成本的前提下，商品点击率提升 3.98%、买家数提升 2.07%、订单量提升 2.11%。搜索和推荐工程师值得深读论文部分，代码已开源。 让 AI Agent 感知浏览器渲染：为 Agent 构建前端验收 Harness | 百度 Geek 说 百度工程团队开发了基于 Chrome DevTools Protocol 的开源工具，让 Agent 能从路径、内容、视觉、交互、控制台、网络六个维度验证真实浏览器渲染结果，补上 AI 编程流水线「写完代码看不到效果」的盲点。核心洞察是：代码正确不等于界面正确——CSS cascade、运行时数据、异步状态共同决定了最终渲染，这些问题只有在浏览器里才能暴露。工具已开源，可通过 npx skills add hixuanxuan/browser-automation --skill visual-verify 安装，前端 AI 自动化团队可以直接参考。 Claude 付费计划将包含程序化调用月度专用额度 | ClaudeDevs 从 6 月 15 日起，付费版 Claude 计划将包含一个月度专用额度，覆盖通过 Agent SDK、claude -p 命令行工具、Claude Code GitHub Actions 以及基于 Agent SDK 构建的第三方应用的程序化调用。这实际上将程序化访问权限捆绑到了订阅模式中，开发者无需单独为 API 付费即可构建和部署自动化工作流。对于之前依赖订阅账号进行轻量级自动化的用户，需要关注额度上限细节。 五种多智能体架构类型：注意力才是真正的瓶颈 | 跨国串门儿计划 Factory 核心 Agent 框架负责人 Luke Alvoeiro 在 AI Engineer 的分享中，拆解了五种多 Agent 通信模式：委派、创作者 - 验证者、直接通信、协商和广播。他的核心判断是：今天的模型已经足够聪明，真正的工程瓶颈是人类的注意力带宽。Factory 的 Missions 系统通过三角色架构（编排者 - 工作者 - 验证者）和「验证合约」机制，实现了最长 16 天的自主任务执行——在编写任何代码之前先定义好与实现无关的正确性断言，从根本上阻断 Agent 系统跑偏的可能。克隆 Slack 的生产案例中，代码内测试占比 50%，覆盖率超过 90%。 ## 扩展阅读 积压队列的数学原理：面向队列恢复的容量规划 | InfoQ 用三阶段数学框架推导队列积压的形成、持续和恢复过程，将「需要多少超额容量才能在 N 分钟内消化积压」从经验估算变成可计算的工程问题。还分析了重试放大和级联积压两个高危模式。适合基础设施和平台工程师，特别是要做 SLA 容量规划的团队。 [AINews] 微调时代的终结 | Latent Space 围绕 OpenAI 弃用微调 API 展开的行业分析。核心论点是：对大多数 AI 工程师来说，提示工程、RAG 和专用推理栈已经能覆盖绝大多数需求，微调正在成为少数真正需要定制模型行为的顶尖应用的专属手段。想厘清「我的场景到底需不需要微调」的读者值得一读，文章给出了判断框架。 Browser Run：现已运行于 Cloudflare Containers，速度更快、扩展性更强 | The Cloudflare Blog Cloudflare 将 Browser Run 服务迁移到 Containers 平台，并发限制提升 4 倍（每分钟可启动 60 个浏览器、最多 120 个并发），Quick Action 响应速度提升超 50%。关键架构改动是将状态管理从 KV 迁移至 D1 和 Queues，文章有详细的性能数据对比。需要在云端运行无头浏览器的团队可以直接参考，改进已经上线，无需更改现有代码。 ## 今日阅读路径 时间有限的话，建议按以下顺序阅读： 第一优先：精讲三（Agent 评估框架） 这是今天最有普适价值的一篇。无论你在构建哪种 AI Agent，无论规模大小，在上线之前都需要有回答「你怎么知道它没有幻觉」这个问题的能力。12 项指标、四层结构，结合阈值参考值，是可以直接带回去用的框架。那个「基准 95% 准确率、生产 30% 幻觉率」的案例本身就值得每个 Agent 工程师认真对待。 第二优先：精讲一（Claude Computer Use 最佳实践） 如果你的 Agent 需要控制桌面或浏览器，这篇的分辨率配置和安全架构部分可以帮你避开 90% 的坑。特别是截图下采样导致坐标偏移这个问题，不读原文很难自己发现，修复也非常简单——在发送截图前主动下采样到 1280×720，这一个改动的收益超过绝大多数其他优化手段。 第三优先：速览中的 Shopify 多智能体经验 篇幅不长，但提供了一个反直觉的工程结论：专才 Agent 优于通才 Agent，为领域专家提供更好的工具比组建 AI 特种部队更有效。如果你正在做 Agent 系统的架构选型，这篇来自 Shopify 生产环境的结论值得认真对待。 精讲二（Codex Windows 沙箱）主要面向平台工程师和需要在 Windows 上部署 Agent 的团队，专业性强。如果你的部署目标平台是 Linux 或 macOS，可以跳过，但如果面向 Windows 用户，这篇是目前最完整的参考案例。

译BestBlogs早报聚焦AI智能体的工程化落地。Anthropic官方指南详解Claude Computer Use最佳实践，包括解决点击偏移的根本原因、推荐分辨率策略及必须采用虚拟机隔离与人工确认门控的安全原则。OpenAI工程师分享了为Codex构建Windows安全沙箱的历程，其最终方案通过专属安全标识符和写受限令牌，实现了操作系统层面的强制文件系统隔离。早报同时指出，基准测试优异的RAG Agent在生产环境中可能出现高达30%的幻觉率。

Rohan Paul@rohanpaul_ai · 5月14日34

The company that builds AGI shouldn’t be incentivized to make unlimited profits. ~ Ilya Sutskever

译开发通用人工智能的公司 不应被激励去追求无限利润。 ~ Ilya Sutskever

阿绎 AYi@AYi_AInotes · 5月14日64

全网都在吹AI写代码，没人注意到Google刚刚放出的这个死亡警告吗 Google GTIG今天公开确认， 全球第一个AI独立开发并实际部署的零日漏洞， 已经在野外被检测到了。 很多人都在说AI终于能写漏洞了， 但他们其实并没看懂，这件事的恐怖程度，比他们想的要严重10倍。 它找的不是内存破坏，也不是缓冲区溢出， 是人类写代码时藏在骨子里的信任假设， 这种高层语义逻辑漏洞，传统fuzzer和静态分析工具根本看不见。 以前找零日，需要天才黑客熬几个月， 现在，一个会写prompt的普通罪犯， 喂进去代码，直接输出完整PoC。 以前的网络战，是人类打人类， 现在，是AI打AI。 人类已经退到了后台。 最讽刺的是，这次能拦住，全靠AI写的代码太像AI了， 教科书式的风格，多余的注释，甚至编造了一个CVSS分数写进去。 这可能是防守方最后的6-12个月， 等模型学会写"像人类黑客一样脏的代码"，检测难度会指数级上升。 我觉得从今天起，网络安全的游戏规则彻底变了吧🤔 #AI #网络安全

译Google GTIG公开确认，首次在野外检测到由AI独立开发并实际部署的零日漏洞。该漏洞并非传统内存破坏类型，而是攻击人类代码中深层的信任假设与高层语义逻辑，传统安全工具难以发现。这意味着生成完整漏洞利用（PoC）的门槛大幅降低，网络攻防可能进入AI对抗AI的新阶段。此次漏洞能被拦截，部分原因是AI生成的代码具有明显非人特征。安全专家警告，防守方可能仅有6-12个月的优势窗口，一旦AI学会编写更隐蔽的“人类风格”恶意代码，检测难度将指数级上升。

阿绎 AYi@AYi_AInotes · 5月14日71

Alexandr Wang（Meta Chief AI Officer）亲自官宣， Incognito Chat正式登陆WhatsApp和Meta AI。 我看很多人都在说，哦又出了一个隐身模式， 但我觉得他们其实并没看懂， 这和ChatGPT、Gemini的临时聊天，不是一个量级的东西。 就像以前的隐私模式， 只是不在你的历史里显示， 服务器端照样留几个月日志。 现在的Incognito， 对话直接在手机的硬件安全飞地里推理， Meta自己的工程师都拿不到明文， 连服务器日志都没有， 退出会话，所有东西直接永久消失。 20亿WhatsApp用户的端到端加密金字招牌， 这次直接平移到了AI身上。 最有意思的在于， 靠用户数据吃饭的Meta， 主动把AI对话做成了黑箱。 表面看是自断数据来源， 实际上是直接打掉了AI落地最大的阻力。 这意味着，以前你不敢和AI聊的， 健康问题，婚姻危机，财务决策， 现在终于可以说了。 信任一旦建立， 用户会扔出以前绝不敢写的prompt， 这才是真正能把AI从玩具变成生活基础设施的燃料。 我觉得这会成为未来一年所有AI产品的标配吧 hhh #Meta #AI

译Meta首席AI官宣布，Incognito Chat功能正式登陆WhatsApp和Meta AI。与ChatGPT等仅不保存历史记录的“临时聊天”不同，该功能的关键创新在于：对话推理完全在用户手机的硬件安全飞地内进行，Meta工程师无法获取明文，且不产生任何服务器日志，会话结束后数据永久消失。此举将WhatsApp成熟的端到端加密标准应用于AI对话，旨在彻底解决用户对隐私的顾虑，从而鼓励用户与AI讨论健康、财务等敏感话题。作者认为，通过建立深度信任来获取用户更真实的prompt，是推动AI从“玩具”转变为生活基础设施的关键，并预测此类隐私保护模式将成为未来AI产品的标准配置。

Perplexity@perplexity_ai · 5月14日54

Computer is secure by default. Every task runs in its own hardware-isolated sandbox with VPC-level storage and compute separation. Agents are authenticated with short-lived proxy tokens instead of raw API keys.

译计算机默认处于安全状态。每项任务都在其自身硬件隔离的沙箱中运行，并具备VPC级别的存储与计算分离。 代理通过短期代理令牌进行身份验证，而非使用原始API密钥。

阿绎 AYi@AYi_AInotes · 5月14日71

AI科技圈近期的安全事件， 你害怕了吗？🤯 • CopyFail（Linux系统被破解） • CopyFail 2/Dirty Frag（Linux内核脏碎片漏洞） • Next.js框架出现13个安全警告 • MacOS 26.5系统修复了70多个通用漏洞披露（CVE）漏洞 • iOS 26.5系统修复了约50个通用漏洞披露（CVE）漏洞 • YellowKey（Windows Bitlocker全盘加密被破解） • GreenPlasma（Windows权限提升漏洞） • CVE-2026-21510和CVE-2026-21513被证实由俄罗斯用于Windows远程代码执行漏洞攻击 • CVE-2026-32202被单独证实由俄罗斯用于获取敏感文档 • Mini-Shai Hulud（超过300个JS和Python软件包因GitHub Action缓存投毒而被入侵） • 谷歌证实，他们发现了利用人工智能对某个未知的“开源、基于Web的系统管理工具”进行零日漏洞攻击的情况 • Canvas（大多数学校使用的流行学习管理系统）被完全破解 • PAN-OS（ Palo Alto Networks公司的操作系统）因严重等级为9.3的CVE-2026-0300漏洞被破解

译近期AI科技圈安全事件集中爆发，涉及Linux、Windows、Next.js等多个系统与框架的漏洞。其中，代号“Mini Shai-Hulud”的大规模供应链攻击最为严峻，已劫持GitHub Actions CI管道，污染了TanStack、Mistral AI等超过170个热门npm/PyPI包。该恶意软件具备持久化与蠕虫式传播能力，并能绕过传统验证。建议开发者立即冻结安装、进行安全自查，并轮换所有密钥与令牌。