联系逍遥
扫码添加微信，或点击下方按钮复制联系方式。
进微信群请联系博主，各位觉得文章对你有帮助的话可否打赏一些呀~
原文摘要
这里记录每周值得分享的科技内容，周五发布。
本杂志开源，欢迎投稿。另有《谁在招人》服务，发布程序员招聘信息。合作请邮件联系（已移除，请查看原文）。
封面图
今年就将启用的腾讯总部园区，俗称"企鹅岛"，里面不仅包括办公楼，还有多幢公寓楼。（via）
axios 投毒与好莱坞式骗术
上周，著名软件库 axios 被投毒了。黑客拿到了发布令牌，直接发了一个新版本，里面加入了木马。
软件投毒不是新鲜事，新鲜的是发布令牌怎么泄漏的。背后的故事简直是好莱坞电影，根本防不胜防。
axios 属于使用最广泛的 JS 软件库之一，每周下载量接近1亿次，所以这次投毒的感染面很大。
而且，木马的恶性程度很高。根据官方的清除说明，如果不幸中毒，机器上所有的密钥、令牌和凭证都要作废。这个木马会扫描所有目录，收集密钥，然后发出去。
大家要知道，像 axios 这种超级流行的软件库，每个环节都有完整防护，每一行代码都被严格审查。这次攻击完全是一场精心策划的社会工程，把这些防护都攻破了。
攻击目标选定首席维护者 Jason Saayman。据本人透露，事件过程是这样的。
他们根据我的情况量身定制了这一流程，具体做法如下：
他们冒充某公司的创始人联系我，不仅克隆了该公司创始人的外貌，还克隆了该公司本身。 他们随后邀请我加入一个真实的 Slack 工作区。这个工作区使用了该公司的品牌标识，名称也十分可信。Slack 的工作区设计得非常精巧，他们设有专门的频道来分享 LinkedIn 上的帖子。我猜这些 LinkedIn 帖子最终会发布到该公司的真实账号上，整体效果非常逼真。他们甚至还创建了一些我推测是该公司团队成员以及其他一些开源软件维护者的虚假账号。 他们安排了一次与我的会面，目的是进行沟通。会议是在微软 Teams 上进行的。参会人员似乎是一群人。 会议指出我系统上的某些东西过时了。我以为是和 Teams 有关，就安装了缺失的组件，结果发现是远程木马（RAT）。 一切都安排得井井有条，看起来很正规，而且做事方式也很专业。
可以看到，这个攻击是有剧本的，每一步都经过了策划，充分准备和排练，完全为你度身定制，就等你落入圈套。
行骗者非常耐心，投入了巨大的前期成本。首先，假冒某公司的创始人联系你，为了提升可信度，还做了假的公司网站；然后，邀请你加入他们的 Slack 工作区，里面有各种讨论、项目文档、宣传物料，看上去就像真的一样；最绝的是，他们还让你在 Teams 软件上参加公司的视频会议，一群骗子亲自露面，陪你一起开会。
会议开始后不久，主持人突然说：“奇怪，你的系统怎么跟我们不一样，是不是微软的插件过时了，我发你一个最新版。“你就这样收到了传过来的安装包，看到别的与会者都在等你，你也就没有多想，直接双击执行了。哦喔，就这样中招了，发布令牌一秒钟就泄漏了。
作假到这种程度，让人叹服。
这让我联想到不久前看到的一条印度新闻，作假程度有过之而无不及，也是如同好莱坞电影。
去年圣诞节，一位印度新德里的77岁老太太，收到了"警察局"的 Whatsapp 视频电话。视频右下角居然还有手语翻译。
警察跟她说，银行发现她的账户有洗钱记录，必须对她进行调查，如果不配合，账户资金将被没收，通知她远程出席法院的调查听证会。
媒体后来披露了"警察局"的布景照片，大家看看多么逼真。
前三张照片是印度警察局，最后一张是巴基斯坦警察局，它们在一栋楼里，房间紧邻着。要知道这两个国家在现实中是对立的，但是不妨碍骗子两边都骗。
再回到案子本身，几天后，老太太参加了线上听证会，在一个法院里举行，由"法官"亲自主持。他查看了资金记录，听取了"警察"的证词，向老太太询问了一些问题。
最后，“法官"告诉老太太，当局需要核实她的所有资产是否合法。她必须每天都跟警察局连线，回答问题，直到查清为止。
下面就是这个案件最精彩的部分，一连16天，老太太每天开着摄像头连线，大家看看骗子演到了什么程度。
在这16天里，老太太渐渐喜欢上了在假警局轮班的警官们。她开始称他们为自己的孩子们。而他们也反过来称她为"母亲”。
晚上，她和最年轻的军官一起阅读印度教宗教经典，这位军官请她把她觉得特别感人的段落发给他。
“他们就像家人一样，“老太太回忆说。“他们说，‘女士，我们想尽快把事情解决。我们日夜为您工作。’”
天哪，骗子从早到晚演了16天，跟老太太促膝长谈，一起读经典，请教人生问题，直到深夜。这要是拍成电影，该有多动人。
老太太没有丝毫疑心，心甘情愿卖掉了自己的投资，累计九次向假警察局的账户总共转出了160万美元。
第二天，她再跟"警察局的孩子们"连线，就连不上了。
从上面两个案例，大家可以看到，现在的互联网骗局可以演到什么程度，完全是精准投放的"剧本杀”，成功率极高。要是再加上 AI 的加持，几乎不可能分辨真假、。
网站开发有一条规则：客户端的每一个请求都不可信任，必须假定是恶意请求。以后，现实生活恐怕也是这样：每一个陌生人都不可信任，必须假定是恶意骗局。
算力依然不足
最近发生了三件事，说明算力当前依然很紧张。
第一件事，OpenAI 关闭了视频生成服务 Sora，主要原因是算力不够，公司要把计算资源用于核心业务。
第二件事，Anthropic 公司正式禁止将包月套餐用于第三方服务（比如 OpenClaw、OpenCode 等等）。
原因是包月套餐如果足额使用，消耗的算力将远远超过套餐费用。公司的算力很宝贵，必须优先保证自家产品（比如 Claude Code），不能让外部产品增加机房负担。
第三件事，有文章称，GitHub 今年前三个月的代码提交量是去年同期的14倍！
原因显然是 AI 编程暴增，去年年初可没有 Claude Code。GitHub 的资源根本不足以应付这种增量，所以不断发生故障。
上图显示，GitHub 过去三个月的正常运行时间只有89.47%，合格数字应该是99.99%。
以上三件事说明，主要的几家 AI 服务公司，算力资源都很紧张，硬件依然不足。
这意味着，硬件价格暴涨还没到头，还会继续涨，而 GitHub 很可能会收紧免费服务，全面转向收费。
前端是不是重复劳动？
我看到一个开发者说，前端本质上是相同的工作：向用户展示一些数据，并让用户处理这些数据。
他觉得，没必要重复解决同样的问题。
他就做了一个"自适应浏览器”。它通过 AI 自动生成前端 UI，后端只需要提供数据，以及网页用途的描述。
不知道这是不是前端的结局？
Adobe 修改 hosts 文件
Adobe 公司的主要产品是"创意云"套件（Creative Cloud），包含了许多著名软件，比如 Photoshop、Illustrator、Premiere。
一个网友安装后，震惊地发现，安装程序修改了他的 hosts 文件。
上图可以看到，Adobe 在 hosts 里面加了一个本地的 DNS 记录。
一个应用程序为什么要修改系统文件呢？
据知情人士透露，这是为了测试用户是否安装了 Creative
文章来源
- 标题: 科技爱好者周刊（第 392 期）：axios 投毒与好莱坞式骗术
- 来源: tech
- 链接: http://www.ruanyifeng.com/blog/2026/04/weekly-issue-392.html
- 时间: 2026-04-09T23:17:13Z
核心内容
这里记录每周值得分享的科技内容，周五发布。
本杂志开源，欢迎投稿。另有《谁在招人》服务，发布程序员招聘信息。合作请邮件联系（已移除，请查看原文）。
封面图
今年就将启用的腾讯总部园区，俗称"企鹅岛”，里面不仅包括办公楼，还有多幢公寓楼。（via）
axios 投毒与好莱坞式骗术
上周，著名软件库 axios 被投毒了。黑客拿到了发布令牌，直接发了一个新版本，里面加入了木马。
软件投毒不是新鲜事，新鲜的是发布令牌怎么泄漏的。背后的故事简直是好莱坞电影，根本防不胜防。
axios 属于使用最广泛的 JS 软件库之一，每周下载量接近1亿次，所以这次投毒的感染面很大。
而且，木马的恶性程度很高。根据官方的清除说明，如果不幸中毒，机器上所有的密钥、令牌和凭证都要作废。这个木马会扫描所有目录，收集密钥，然后发出去。
大家要知道，像 axios 这种超级流行的软件库，每个环节都有完整防护，每一行代码都被严格审查。这次攻击完全是一场精心策划的社会工程，把这些防护都攻破了。
攻击目标选定首席维护者 Jason Saayman。据本人透露，事件过程是这样的。
他们根据我的情况量身定制了这一流程，具体做法如下：
他们冒充某公司的创始人联系我，不仅克隆了该公司创始人的外貌，还克隆了该公司本身。 他们随后邀请我加入一个真实的 Slack 工作区。这个工作区使用了该公司的品牌标识，名称也十分可信。Slack 的工作区设计得非常精巧，他们设有专门的频道来分享 LinkedIn 上的帖子。我猜这些 LinkedIn 帖子最终会发布到该公司的真实账号上，整体效果非常逼真。他们甚至还创建了一些我推测是该公司团队成员以及其他一些开源软件维护者的虚假账号。 他们安排了一次与我的会面，目的是进行沟通。会议是在微软 Teams 上进行的。参会人员似乎是一群人。 会议指出我系统上的某些东西过时了。我以为是和 Teams 有关，就安装了缺失的组件，结果发现是远程木马（RAT）。 一切都安排得井井有条，看起来很正规，而且做事方式也很专业。
可以看到，这个攻击是有剧本的，每一步都经过了策划，充分准备和排练，完全为你度身定制，就等你落入圈套。
行骗者非常耐心，投入了巨大的前期成本。首先，假冒某公司的创始人联系你，为了提升可信度，还做了假的公司网站；然后，邀请你加入他们的 Slack 工作区，里面有各种讨论、项目文档、宣传物料，看上去就像真的一样；最绝的是，他们还让你在 Teams 软件上参加公司的视频会议，一群骗子亲自露面，陪你一起开会。
会议开始后不久，主持人突然说：“奇怪，你的系统怎么跟我们不一样，是不是微软的插件过时了，我发你一个最新版。“你就这样收到了传过来的安装包，看到别的与会者都在等你，你也就没有多想，直接双击执行了。哦喔，就这样中招了，发布令牌一秒钟就泄漏了。
作假到这种程度，让人叹服。
这让我联想到不久前看到的一条印度新闻，作假程度有过之而无不及，也是如同好莱坞电影。
去年圣诞节，一位印度新德里的77岁老太太，收到了"警察局"的 Whatsapp 视频电话。视频右下角居然还有手语翻译。
警察跟她说，银行发现她的账户有洗钱记录，必须对她进行调查，如果不配合，账户资金将被没收，通知她远程出席法院的调查听证会。
媒体后来披露了"警察局"的布景照片，大家看看多么逼真。
前三张照片是印度警察局，最后一张是巴基斯坦警察局，它们在一栋楼里，房间紧邻着。要知道这两个国家在现实中是对立的，但是不妨碍骗子两边都骗。
再回到案子本身，几天后，老太太参加了线上听证会，在一个法院里举行，由"法官"亲自主持。他查看了资金记录，听取了"警察"的证词，向老太太询问了一些问题。
最后，“法官"告诉老太太，当局需要核实她的所有资产是否合法。她必须每天都跟警察局连线，回答问题，直到查清为止。
下面就是这个案件最精彩的部分，一连16天，老太太每天开着摄像头连线，大家看看骗子演到了什么程度。
在这16天里，老太太渐渐喜欢上了在假警局轮班的警官们。她开始称他们为自己的孩子们。而他们也反过来称她为"母亲”。
晚上，她和最年轻的军官一起阅读印度教宗教经典，这位军官请她把她觉得特别感人的段落发给他。
“他们就像家人一样，“老太太回忆说。“他们说，‘女士，我们想尽快把事情解决。我们日夜为您工作。’”
天哪，骗子从早到晚演了16天，跟老太太促膝长谈，一起读经典，请教人生问题，直到深夜。这要是拍成电影，该有多动人。
老太太没有丝毫疑心，心甘情愿卖掉了自己的投资，累计九次向假警察局的账户总共转出了160万美元。
第二天，她再跟"警察局的孩子们"连线，就连不上了。
从上面两个案例，大家可以看到，现在的互联网骗局可以演到什么程度，完全是精准投放的"剧本杀”，成功率极高。要是再加上 AI 的加持，几乎不可能分辨真假、。
网站开发有一条规则：客户端的每一个请求都不可信任，必须假定是恶意请求。以后，现实生活恐怕也是这样：每一个陌生人都不可信任，必须假定是恶意骗局。
算力依然不足
最近发生了三件事，说明算力当前依然很紧张。
第一件事，OpenAI 关闭了视频生成服务 Sora，主要原因是算力不够，公司要把计算资源用于核心业务。
第二件事，Anthropic 公司正式禁止将包月套餐用于第三方服务（比如 OpenClaw、OpenCode 等等）。
原因是包月套餐如果足额使用，消耗的算力将远远超过套餐费用。公司的算力很宝贵，必须优先保证自家产品（比如 Claude Code），不能让外部产品增加机房负担。
第三件事，有文章称，GitHub 今年前三个月的代码提交量是去年同期的14倍！
原因显然是 AI 编程暴增，去年年初可没有 Claude Code。GitHub 的资源根本不足以应付这种增量，所以不断发生故障。
上图显示，GitHub 过去三个月的正常运行时间只有89.47%，合格数字应该是99.99%。
以上三件事说明，主要的几家 AI 服务公司，算力资源都很紧张，硬件依然不足。
这意味着，硬件价格暴涨还没到头，还会继续涨，而 GitHub 很可能会收紧免费服务，全面转向收费。
前端是不是重复劳动？
我看到一个开发者说，前端本质上是相同的工作：向用户展示一些数据，并让用户处理这些数据。
他觉得，没必要重复解决同样的问题。
他就做了一个"自适应浏览器”。它通过 AI 自动生成前端 UI，后端只需要提供数据，以及网页用途的描述。
不知道这是不是前端的结局？
Adobe 修改 hosts 文件
Adobe 公司的主要产品是"创意云"套件（Creative Cloud），包含了许多著名软件，比如 Photoshop、Illustrator、Premiere。
一个网友安装后，震惊地发现，安装程序修改了他的 hosts 文件。
上图可以看到，Adobe 在 hosts 里面加了一个本地的 DNS 记录。
一个应用程序为什么要修改系统文件呢？
据知情人士透露，这是为了测试用户是否安装了 Creative
内容来源：tech 原文链接：http://www.ruanyifeng.com/blog/2026/04/weekly-issue-392.html
市场背景
- BTC 价格：$0.00
- 24h 涨跌：+0.00%
AI Agent 加工：内容工厂（润色 + 结构化） 生成时间：2026-04-10T06:00:46.328303