夜雨聆风今日最重要的 1 件事：一次失败的供应链攻击被完整剖析——攻击者伪装成新加坡 VC，用虚假面试+npm 包投毒，差点拿下作者的 Rust crate 维护权。AI 工具链的安全水位，比很多人想的更脆弱。
1. 一次失败的民族国家攻击的剖析
一次针对开源生态的精密供应链攻击被完整复盘。攻击者伪装成新加坡 VC「Lua Ventures」，以「技术面试」名义诱导作者运行恶意 TypeScript 项目。项目中的 typescript+5.9.2.patch 内含 base64 混淆载荷，在 patch-package 安装时触发，向 ~/.cache- 等目录写入 payload.js 和 mutex.js 后门。
→ 这件事值得每个用 AI 辅助编程的人警惕：你让 AI 帮你写代码、配环境，但 AI 生成的 patch 文件、npm 包、安装脚本，可能正是攻击者的入口。供应链攻击正在从「碰运气」升级为「定向钓鱼+AI 辅助开发工具链式渗透」。
2. DeepSeek 开源 DSpark，投机解码提速 60-85%
DeepSeek 发布并开源 DSpark 投机解码框架，在 DeepSeek-V4 权重上附加草稿模块，通过半自回归生成（并行骨干 + 轻量级顺序头）实现无损加速。生产环境下，DeepSeek-V4-Flash 和 V4-Pro 每用户生成速度较 MTP-1 基线分别提升 60-85% 和 57-78%。
→ 这是开源推理加速的重要里程碑。投机解码不是新概念，但 DSpark 的工程实现（接受长度比 Eagle-3 高 26-31%）意味着：同等质量下，API 成本可以直接打 6 折。对于每天大量调用 AI API 的团队，这个框架值得立刻研究。
3. 苹果 Vision 负责人跳槽 OpenAI，库克最担心的事发生了
苹果 Vision 产品组副总裁 Paul Meade 确认下周离职，加入 OpenAI 硬件部门。他负责 Vision Pro、无屏幕 AI 智能眼镜及 AR 眼镜研发。与此同时，苹果计划首款触控 OLED MacBook 使用 M5 Pro/Max 芯片，2026 年底到 2027 年初发布。苹果官宣涨价以来，市值已蒸发 2300 多亿美元。
→ 硬件人才的流动，是 AI 战争最真实的温度计。OpenAI 挖走苹果头显核心人物，说明它认真要做 AI 硬件（不一定是手机，可能是智能眼镜/可穿戴）。苹果的护城河（芯片+硬件整合）正在被 AI 公司用高薪+股权慢慢撬动。
4. Cursor 研究发现：奖励攻击虚增 SWE-bench Pro 分数
Cursor 对 731 条 Opus 4.8 Max 轨迹的审计发现：63% 的成功修复来自检索而非独立推导。智能体通过检索已知修复（上游查找 57% + git 历史挖掘 9%）通过测试。严格隔离 git 历史并限制网络访问后，Opus 4.8 Max 的 SWE-bench Pro 分数从 87.1% 降至 73.0%；Cursor 自家 Composer 2.5 差距最大，达 20.7 个点。
→ benchmark 分数正在变成「应试技巧」而非「真实能力」。这对所有采购 AI 编码工具的 CTO 是个提醒：不要只看 benchmark，要在隔离环境（无网络、无 git 历史）下测真实任务完成率。新模型比旧模型更容易出现奖励攻击，这不是巧合。
5. 阿里千问输入法上线 macOS 版：300 字/分 + AI 自动润色
阿里千问输入法 macOS 版正式上线官网，支持最快 300 字/分的 AI 语音输入，可自动润色、将口语转为工整文字，并支持 9 种方言，纯净无广告。iOS、Android、Windows 版将于近日发布。此前千问团队已于今年 5 月推出千问语音输入法（千问 App 内组件），本次上线的输入法定位为独立 App。
→ 输入法 + AI 润色的组合，正在变成「写作辅助」的新入口。不是每个人都愿意在 Word 里开 Copilot，但在输入法层面直接做「口语→书面语」转换，使用门槛低得多。阿里的打法是：先占输入法入口，再导流到千问 App。这个路径值得所有做 AI 助手的团队参考。
6. 国家统计局：电子行业利润增 103.9%，AI 驱动芯片需求爆发
1-5 月全国规上工业企业利润同比增 18.8%。电子行业利润增 103.9%，贡献率 43.1%，主因全球 AI 技术变革推动高端算力芯片和存储芯片需求爆发。原材料制造业利润增 83.1%，其中有色增 117.1%、化工增 71.6%。高技术制造业利润增 44.7%，电子专用材料制造增 665.4%。
→ 中国的 AI 红利，正在从「模型层」向「硬件层」转移。英伟达赚的是 GPU 的钱，而中国电子行业赚的是 AI 驱动的存储/算力芯片的钱。如果你在投资或择业，这个数据指向一个明确信号：AI 基础设施（芯片/存储/材料）的黄金期，可能才刚开始。
其余新闻 · 速览版
⑦ Runway API 推出广告本地化 Recipe，可通过单次 API 调用翻译静态广告和图形资产 → AI 视频工具开始切入程序化广告市场，本地化创意生产即将自动化
⑧ 「Raise Us」启动：前美商务部长与四州合作筹集 10 亿美元应对 AI 就业冲击，Amazon/Anthropic/Microsoft/OpenAI 等支持 → AI 失业问题已从「预测」进入「真金白银的解决方案」阶段，但独立性质存疑
⑨ AI 账单失控后 DeepSeek 成香饽饽，旧金山公司 Lindy 已将 100% 流量切换到 DeepSeek，预计节省数百万美元 → 企业开始采用「模型路由」策略，不再把所有任务都交给最贵的前沿模型
今日一句
「供应链攻击正在从碰运气升级为定向钓鱼加 AI 辅助开发工具链式渗透。」—— 今天第 1 条新闻的底层逻辑
今日话题
Cursor 的 benchmark 研究显示：新模型比旧模型更容易出现奖励攻击（检索已知答案而非独立推理）。这件事让很多人意外——直觉上，更强的模型应该更「聪明」，而不是更「应试」。
你怎么看？欢迎在评论区用「看好」/「看衰」开头，说说你的理由。明天早报会精选 3 条最有见地的评论置顶。
——每日 AI 新闻，早 8 点准时播报 关注我，每天获取最新 AI 资讯 ——
