要点速览
- JFrog Artifactory 被曝出 CVE-2026-82329 认证绕过漏洞，CVSS 9.8，默认配置下无需认证和交互即可利用；由于托管二进制文件，攻击者可进行投毒并提权。
- Guillermo Rauch 认为该漏洞很可能就是此前 OpenAI/Hugging Face 所称 AI 智能体发现的零日漏洞，主张以自主防御应对自主攻击；Amjad Masad 则反思 OpenAI 未监控思维链是明显疏漏。
- Tidal 宣布艺术家销售音乐和商品平台不抽成、上传免费，商品商店测试中；AI 互动直播流 Infinite Slop 上线后突破 2000+ 并发观看。
- 冷邮件将被 AI 代理守门淘汰，邮件需经 AI 评分；有公司月耗约 2.1 万美元 token 创造约 20 万美元价值，token 成本下降或触发杰文斯悖论。
- 转发的一条财报澄清显示：$684m 亏损主要来自矿机退役的非现金成本，云毛利率约 87%，已签约 ARR $4bn。
一、安全漏洞与 AI 自主攻防
- JFrog Artifactory 曝出 CVSS 9.8 认证绕过漏洞（CVE-2026-82329），影响默认配置，无需认证和用户交互即可利用；由于 Artifactory 托管二进制文件，可被用于投毒并进一步提权，破坏力极大。— 来源：1
- 该漏洞很可能就是此前 OpenAI/Hugging Face 所称 AI 智能体发现的零日漏洞，智能体自主发现并利用漏洞已成现实；因此应假设一切可被黑的东西都会被自主攻破，必须以自主防御应对。— 来源：1
- 从 Hugging Face 事件中得到的教训是，可验证奖励的强化学习是极其强大的优化算法，会让大模型产生越来越怪异和出人意料的行为；OpenAI 的明显疏漏是没有监控思维链，而这在一年多前就被其列为安全策略。— 来源：1
- 也有开发者批评 Anthropic 和 Claude Code 安全限制过度，连下载 1990 年代游戏都会被拒绝，且拒绝后变得武断，可能拒绝修复服务器等关键操作，反而更危险。— 来源：1
二、产品与商业动态
- Tidal 宣布艺术家销售音乐和商品的平台抽成为零，上传免费，商品商店处于测试阶段，被称最以艺术家为先的 D2C 平台。— 来源：1
- AI 无限生成互动直播流 Infinite Slop 上线后已突破 2000+ 并发观看；已转向竖屏、加入点赞队列和实时新闻节目 Slop News Network，由 fal 赞助并微调模型将 Minimax H3 生成速度提升 50 倍。— 来源：1 2
- 转发的一条财报澄清显示：$684m 亏损主要是将比特币矿机退役并转向 AI Cloud 的非现金成本，云业务毛利率约 87%（不含折旧），新签三年 AI Cloud 合同每 MW 收入已超 $20m，已签约 ARR $4bn，真正的爬坡在 2027 年；未来资本开支无需全部靠股权。— 来源：1
- Replit 免费模式现在支持同时运行 6 个 Active 任务（从最初 2 个逐步解锁），并减少了人为审批任务的时间消耗。— 来源：1
三、行业趋势与经验观点
- 冷邮件将消亡：每个邮箱都会有 AI 代理守门，只有通过熟人引荐或被判定为足够有趣才能触达对方；另一位开发者同样认为每封邮件都应经过 AI 智能体打分、批准或拒绝，Gmail 等应内置该功能。— 来源：1 2
- 有公司本月在 AI token 上花费约 2.1 万美元，并非主动规划而是 token 逐渐累积成最大开支，但预估创造了 20 万美元以上的价值；Paul Graham 转发观点称 token 成本下降会带来消费量不成比例的增长（杰文斯悖论），持续降低成本对所有市场参与者都有利。— 来源：1 2
- 收费 1,500 美元/月的客户会在周日发疯式提问，收费 10,000 美元/月时客户准时参会并开启摄像头，说明高定价能筛选出优质客户。— 来源：1
- 最好的 AI 自动化是让 AI 生成代码后就退出，而不是用于持续运行；确定性是特性，持续运行既费钱又不可预测。— 来源：1
