E-Ink 新闻日报

Shai-Hulud 攻击组织在一场活跃的供应链攻击中入侵了流行的 Keyv 缓存库及多个相关 npm 包。此次事件凸显了针对 npm 生态系统中广泛使用的依赖包的攻击日益复杂化。

Coldcard加密货币硬件钱包存在严重安全漏洞，黑客正利用该漏洞盗取用户加密资产，总损失超过1.3亿美元。该漏洞影响了离线硬件钱包，动摇了冷存储方案的核心安全保障。

Lilian Weng探讨了harness engineering作为AI系统迭代自我改进的方法论，将评估框架与反馈循环进行类比。文章介绍了如何设计结构化的评估流水线来持续提升模型能力。

作者发现了一个看似针对Cloudflare用户的复杂同意钓鱼攻击，利用cloudflare.pay域名伪装成合法的账号名认领功能。经过仔细检查，这实际上是Cloudflare自己的功能，但存在糟糕的安全用户体验——.pay顶级域名、误导性的授权页面以及可伪造的绿色对勾都符合OAuth同意钓鱼的典型特征。

Rust 正在 nightly 上启用下一代借用检查器（Polonius），这是更精确和灵活的所有权分析的重要一步。此次更新允许开发者尝试新的借用检查器带来的更清晰的错误提示和对复杂借用模式的支持。

FFmpeg 9.0（代号"Lei"）正式发布，距FFmpeg 8.1发布约4个月。完整更新日志可在项目根目录查看，社区支持可通过IRC和邮件列表获取。

JetBrains发布预览扩展，通过语言服务器协议（LSP）将IntelliJ IDEA的Java和Kotlin智能功能引入VS Code、Cursor等编辑器。此举旨在支持AI代理开发工作流，开发者只需导航、引用和代码补全等核心IDE功能。

BorrowSanitizer是一款基于LLVM的动态分析工具，用于检测多语言应用中的Rust别名违规bug，弥补了Miri无法分析外部代码且运行过慢的不足。该工具支持Rust、C和C++互操作，目标是成为可用于模糊测试的生产级工具。

电子前沿基金会发现，嵌入Android应用中的第三方代码可能在开发者仅授予应用权限的情况下收集用户位置数据。这引发了隐私担忧，因为开发者可能无意中通过第三方SDK将用户位置信息暴露给广告商。

SaferAI最新报告指出，Z.ai的开源权重模型GLM-5.2已接近前沿AI能力，但缺乏关键的安全防护措施。这一发现再次引发担忧：强大的开源模型可能超越治理框架和安全保障的发展速度。

法院强制特朗普政府恢复数字公平竞争拨款计划，该计划拨款12.5亿美元用于宽带接入，此前NDIA因项目被突然取消而提起诉讼。然而法官裁定拨款不能考虑种族或族裔因素，尽管收入、年龄和残疾仍可作为有效标准。申请预计12月开放，但另一项14.4亿美元的州拨款计划似乎已永久终止。

德克萨斯州州长格雷格·阿博特暂停了数据中心的新增电网连接，原因是需求过大可能威胁电网稳定性。ERCOT互联队列中包含超过1800个项目，总容量超过474吉瓦，是德州峰值用电量的五倍以上，其中约90%的请求来自数据中心。

Signal现在允许用户将多部手机绑定到同一账户，此前该功能仅支持电脑和iPad。更新包含端到端加密消息传输选项，已在Android 8.20和iPhone/iPad 8.22版本中推出。

AMD第二季度数据中心收入同比增长107%至67亿美元，主要受AI需求推动，CEO苏姿丰预计2027年该板块收入将继续翻倍。与此同时，受涨价和零部件短缺影响，游戏业务营收同比下降31%至7.79亿美元。

SpaceX的AI收入同比增长超过三倍至26亿美元，主要得益于与Anthropic和Google达成的算力供应协议，使其成为CoreWeave等新兴云服务商的竞争对手。尽管收入大幅增长，该部门本季度仍亏损15亿美元，但略低于去年同期。

艺电（EA）正式成为私营公司，由沙特公共投资基金（持股93.4%）、Silver Lake和Affinity Partners联合以550亿美元完成收购。该交易包含200亿美元债务融资，创下史上最大杠杆收购纪录，可能引发EA重大战略调整。

Oxide Computer是一家专注于自托管云计算解决方案的服务器和基础设施公司，已提交SEC Form D文件，披露了4.45亿美元的融资轮次。该公司继续在竞争激烈的云基础设施领域扩张。

Troy Hunt 分析了以 FedEx 为主题的钓鱼邮件为何仍然持续有效，揭示了电子邮件安全和用户意识方面面临的长期挑战。文章探讨了攻击者使用的策略，以及传统防御手段为何难以应对这类社会工程学攻击。

苹果指控更多前员工可能将机密数据带往OpenAI，扩大了此前关于专有信息被带入该AI公司的指控。这一披露加剧了人们对快速增长的AI行业中数据安全和知识产权的持续担忧。

Waymo已将自动驾驶出租车服务扩展至达拉斯，向所有乘客开放。这是Waymo自动驾驶出租车服务继加州和亚利桑那州之后的重要地理扩张。

文章指出Xbox主机需要联网才能游玩光碟游戏，引发人们对游戏所有权和可访问性的担忧。文章揭示了现代游戏主机中实体介质所有权与数字依赖之间的紧张关系。

一个GitHub项目展示了如何在单张AMD MI300X GPU上运行DeepSeek V4 Flash，使强大的开源模型在消费级硬件上更易获取。该项目可能包含优化技术和部署指南，以实现AMD MI300X加速器上的高效推理。

作者指出Lua社区长期存在支持过时版本的惯性，即使上游已不再维护。Mike Pall删除旧版LuaJIT标签的事件引发了这一讨论，Lua/LuaJIT在5.2版本的分裂导致了这种向后兼容的文化，给维护者带来巨大负担。

文章揭示了Nix的sandbox-paths配置是推导过程中的隐藏输入，未被纳入推导哈希，可能破坏可重复性。作者通过一个实际例子说明，沙箱中是否存在/truth文件会改变构建输出，但推导哈希却保持不变。

作者探讨了为何OSDev、EmuDev和demoscene等小众编程社区对LLM使用持敌对态度，认为这些社区重视学习过程本身而非功能性输出。冲突源于LLM使用者缺乏深度领域理解，被视为作弊，与传统通过多年展示专业知识赢得尊重的规范形成对比。

作者尝试在postmarketOS上运行非官方的Steam arm64客户端，发现Valve已为arm64构建Proton和SteamLinuxRuntime，但客户端默认不会自动下载。文章揭示了FEX模拟器、图形驱动manifest和pressure-vessel容器等引用，表明Valve正在为在arm64设备上运行x86_64游戏做准备。

Haskell 2010 语言报告发布已近16年，但语言本身已发生巨大变化。作者认为制定修订版报告对社区健康发展至关重要，并提出了在新年前完成修订的计划。

SpaceX在6月上市后的首份季度财报显示，其收入较去年翻倍。增长主要得益于与Anthropic和Google的云计算协议扩大，以及Starlink业务的持续扩张。

SpaceX今年已斥资3.29亿美元购买特斯拉Megapack电池储能系统，主要用于xAI数据中心。这一投资凸显了AI基础设施日益增长的能源需求，以及马斯克旗下企业间的紧密联系。

由英伟达牵头成立的开放安全AI联盟（Open Secure AI Alliance）仅一周时间便已吸纳超过120家成员公司，并迅速发布了针对AI代理威胁的防御提案。这一快速行动彰显了英伟达在塑造AI安全标准方面的行业影响力。

Anthropic 据报道与 AI 云初创公司 Volta 签署了 100 亿美元的云合作伙伴协议，延续了其近期一系列重大云合作举措。这笔交易凸显了 Anthropic 在确保大规模计算能力以支持其不断增长的 AI 模型开发方面的积极布局。

德克萨斯州暂停新建数据中心建设，州长格雷格·阿博特要求对此进行审计，原因是担心该州电力电网的承载能力。此举表明蓬勃发展的数据中心行业与该州基础设施限制之间正出现日益紧张的矛盾。

Spotify已与Merlin合作，将其AI混音和翻唱功能扩展到独立厂牌领域，Merlin代表超过3万家独立厂牌和发行商，与环球音乐集团共同支持该项目。该付费工具允许粉丝创建AI生成的翻唱和混音版本，同时确保艺人自愿参与、获得署名和报酬。

曾帮助制定39%全国电视所有权上限的前众议院多数党领袖汤姆·迪莱表示，FCC无权废除该上限，认为只有国会才能修改法定限制。尽管迪莱反对，FCC主席布伦丹·卡尔仍计划本周投票取消该上限，这将是对FCC监管权力的重要考验。

雪佛兰将已停产的E-Ray混动技术重新打造为2027款Corvette Grand Sport X，采用不同的电机、新引擎和大量软件调校，使其更具赛道性能风格。首席开发工程师Keith Badgley表示，E-Ray车主实际多用于赛道驾驶，这促使了此次重新设计。

OpenAI公开反驳苹果的商业秘密诉讼，称其'鲁莽、激进且带有个人色彩'，并否认窃取任何机密信息。在OpenAI收购乔尼·艾夫的设计工作室io并招募大量前苹果员工后，双方矛盾升级，苹果指控超过400名前员工现任职于OpenAI。

Telegram CEO Pavel Durov 指控一名勒索者将儿童性虐待材料植入公共聊天，导致 Telegram 被苹果 App Store 暂时下架。Durov 批评苹果在未事先联系的情况下采取行动，并警告这对所有托管用户生成内容的应用构成了危险先例。

Simon Willison 将 MiniMax 发布的通用多模态生成模型 MiniMax-H3 移植到 MLX，可在 Apple Silicon 上本地运行。他在 M5 Max MacBook Pro 上成功生成了 15 秒视频，但需要约 115 GB 模型文件和近 45 分钟生成时间。

一位开发者创建了一种颜色空间和算法，旨在帮助数字艺术和游戏开发中更容易生成多样化且真实的肤色。该项目包含颜色选择器、程序化生成工具以及对方法的详细说明，作者也承认仍有改进空间。

一个GitHub项目，通过在emacs-plus@31和社区frame-transparency补丁之上叠加自定义Cocoa补丁，为GNU/Emacs添加了类似Ghostty的macOS Liquid Glass窗口效果。支持原生NSGlassEffectView，可配置材质类型、 tint透明度、饱和度和圆角等参数。

Soppo是一个基于Go语法的新编程语言，增加了枚举、模式匹配、?错误传播运算符和编译时nil安全等特性。它与Go库和工具完全兼容，允许在现有项目中逐步采用。

ShieldFont是一款开源工具，通过字体篡改技术保护人类写作免受未经授权的AI训练使用。该项目与丹麦字体厂Playtype合作，使用自定义字体ShieldFont Optik，在保持人类可读的同时使爬取内容对AI模型产生毒性干扰。

Starlight强调其作为文档框架的环境友好性，声称每页访问仅产生0.01克CO₂，优于98%的测试网页。指南涵盖了通过轻量级页面、图片优化、零客户端JS和缓存策略来减少碳足迹的方法。

Lucid Motors新任CEO Silvio Napoli提出了公司扭亏为盈的四大关键优先事项：推出中型电动汽车、完成沙特工厂建设、削减14亿美元开支以及推进机器人出租车业务。该计划表明这家陷入困境的电动车制造商正在战略转型以应对财务压力。

TV Time联合创始人推出了Bingers，这是一款新的影视追踪应用，恢复了粉丝喜爱的TV Time社交功能。该应用还支持从原TV Time导入观看历史。

对特斯拉过去七年财报电话会议的分析显示，埃隆·马斯克将约一半时间用于讨论机器人和AI，而非特斯拉的核心汽车业务。这一发现凸显了马斯克从汽车向更广泛的AI和机器人领域的重心转移。

沃尔玛已完成对电视广告公司Vibe.co的收购，该收购于6月首次宣布。Vibe.co将并入沃尔玛Connect，即沃尔玛的 Connected TV 广告平台。

谷歌Pixel 11系列推出名为HiLight的功能，位于摄像头模组内的多色LED，兼具闪光灯和通知灯的作用。当手机屏幕朝下放置时，HiLight会 discreetly 亮起，提醒用户来自重要联系人的来电或Gemini交互，相当于以RGB能力复活了经典的 notification LED 设计。

两人死于与Taylor Farms碎生菜相关的环孢子虫疫情，两名死者均有严重基础疾病。特朗普政府的FDA和CDC更新疫情数据迟缓，CDC仅发布声明称'已知晓'死亡病例，未正式更新报告数据。

OpenAI举办了首次网红品牌之旅，邀请内容创作者参加全包度假，这种做法通常与快时尚和美妆品牌相关。该举动引发了公众批评和未被邀请的网红的不满，凸显了科技公司采用此类营销策略的风险。

联想Legion Go S SteamOS版以历史最低价635.54美元出售，使用优惠码EXTRASAVEAFF，原价为1,137.41美元。该掌机搭载AMD Z2 Go处理器和8英寸120Hz IPS可变刷新率屏幕，SteamOS版本比Windows版更受推荐。

YouTuber和科学传播者Hank Green因AI使用争议而暂停制作，他形容自己的AI使用'不健康'。这场争议凸显了创作者真实性与使用AI工具之间的张力，以及关于AI生成虚假信息的担忧。

T-Mobile推出EIP Flex 36融资计划，允许客户在36个月内分期支付设备、税费和费用，首期零付款，限时零利率。该优惠仅面向资质良好的客户，因为运营商通常在融资设备时仍需 upfront 支付税费和激活费。

宝马在其Control Display车载信息娱乐系统上投放《蜘蛛侠：新日》的横幅广告，作为与漫威电影的品牌合作，活动时间为7月27日至8月10日。此举因将高端汽车仪表盘变为广告位而引发批评。

Simon Willison 介绍了 Niklas Gruhn 提出的「肉代理」概念，指那些不经阅读和验证就盲目复制 AI 输出发给同事的人。建议：可以随意提示 AI，但必须读懂、理解、验证后用自己的话重写回复，这才是你能提供的价值。