今日最重要的 1 件事:一次失败的供应链攻击被完整剖析——攻击者伪装成新加坡 VC,用虚假面试+npm 包投毒,差点拿下作者的 Rust crate 维护权。AI 工具链的安全水位,比很多人想的更脆弱。
1. 一次失败的民族国家攻击的剖析

一次针对开源生态的精密供应链攻击被完整复盘。攻击者伪装成新加坡 VC「Lua Ventures」,以「技术面试」名义诱导作者运行恶意 TypeScript 项目。项目中的 typescript+5.9.2.patch 内含 base64 混淆载荷,在 patch-package 安装时触发,向 ~/.cache- 等目录写入 payload.js 和 mutex.js 后门。
→ 这件事值得每个用 AI 辅助编程的人警惕:你让 AI 帮你写代码、配环境,但 AI 生成的 patch 文件、npm 包、安装脚本,可能正是攻击者的入口。供应链攻击正在从「碰运气」升级为「定向钓鱼+AI 辅助开发工具链式渗透」。
2. DeepSeek 开源 DSpark,投机解码提速 60-85%

DeepSeek 发布并开源 DSpark 投机解码框架,在 DeepSeek-V4 权重上附加草稿模块,通过半自回归生成(并行骨干 + 轻量级顺序头)实现无损加速。生产环境下,DeepSeek-V4-Flash 和 V4-Pro 每用户生成速度较 MTP-1 基线分别提升 60-85% 和 57-78%。
→ 这是开源推理加速的重要里程碑。投机解码不是新概念,但 DSpark 的工程实现(接受长度比 Eagle-3 高 26-31%)意味着:同等质量下,API 成本可以直接打 6 折。对于每天大量调用 AI API 的团队,这个框架值得立刻研究。
3. 苹果 Vision 负责人跳槽 OpenAI,库克最担心的事发生了

苹果 Vision 产品组副总裁 Paul Meade 确认下周离职,加入 OpenAI 硬件部门。他负责 Vision Pro、无屏幕 AI 智能眼镜及 AR 眼镜研发。与此同时,苹果计划首款触控 OLED MacBook 使用 M5 Pro/Max 芯片,2026 年底到 2027 年初发布。苹果官宣涨价以来,市值已蒸发 2300 多亿美元。
→ 硬件人才的流动,是 AI 战争最真实的温度计。OpenAI 挖走苹果头显核心人物,说明它认真要做 AI 硬件(不一定是手机,可能是智能眼镜/可穿戴)。苹果的护城河(芯片+硬件整合)正在被 AI 公司用高薪+股权慢慢撬动。
4. Cursor 研究发现:奖励攻击虚增 SWE-bench Pro 分数

Cursor 对 731 条 Opus 4.8 Max 轨迹的审计发现:63% 的成功修复来自检索而非独立推导。智能体通过检索已知修复(上游查找 57% + git 历史挖掘 9%)通过测试。严格隔离 git 历史并限制网络访问后,Opus 4.8 Max 的 SWE-bench Pro 分数从 87.1% 降至 73.0%;Cursor 自家 Composer 2.5 差距最大,达 20.7 个点。
→ benchmark 分数正在变成「应试技巧」而非「真实能力」。这对所有采购 AI 编码工具的 CTO 是个提醒:不要只看 benchmark,要在隔离环境(无网络、无 git 历史)下测真实任务完成率。新模型比旧模型更容易出现奖励攻击,这不是巧合。
5. 阿里千问输入法上线 macOS 版:300 字/分 + AI 自动润色

阿里千问输入法 macOS 版正式上线官网,支持最快 300 字/分的 AI 语音输入,可自动润色、将口语转为工整文字,并支持 9 种方言,纯净无广告。iOS、Android、Windows 版将于近日发布。此前千问团队已于今年 5 月推出千问语音输入法(千问 App 内组件),本次上线的输入法定位为独立 App。
→ 输入法 + AI 润色的组合,正在变成「写作辅助」的新入口。不是每个人都愿意在 Word 里开 Copilot,但在输入法层面直接做「口语→书面语」转换,使用门槛低得多。阿里的打法是:先占输入法入口,再导流到千问 App。这个路径值得所有做 AI 助手的团队参考。
6. 国家统计局:电子行业利润增 103.9%,AI 驱动芯片需求爆发

1-5 月全国规上工业企业利润同比增 18.8%。电子行业利润增 103.9%,贡献率 43.1%,主因全球 AI 技术变革推动高端算力芯片和存储芯片需求爆发。原材料制造业利润增 83.1%,其中有色增 117.1%、化工增 71.6%。高技术制造业利润增 44.7%,电子专用材料制造增 665.4%。
→ 中国的 AI 红利,正在从「模型层」向「硬件层」转移。英伟达赚的是 GPU 的钱,而中国电子行业赚的是 AI 驱动的存储/算力芯片的钱。如果你在投资或择业,这个数据指向一个明确信号:AI 基础设施(芯片/存储/材料)的黄金期,可能才刚开始。
其余新闻 · 速览版
⑦ Runway API 推出广告本地化 Recipe,可通过单次 API 调用翻译静态广告和图形资产 → AI 视频工具开始切入程序化广告市场,本地化创意生产即将自动化
⑧ 「Raise Us」启动:前美商务部长与四州合作筹集 10 亿美元应对 AI 就业冲击,Amazon/Anthropic/Microsoft/OpenAI 等支持 → AI 失业问题已从「预测」进入「真金白银的解决方案」阶段,但独立性质存疑
⑨ AI 账单失控后 DeepSeek 成香饽饽,旧金山公司 Lindy 已将 100% 流量切换到 DeepSeek,预计节省数百万美元 → 企业开始采用「模型路由」策略,不再把所有任务都交给最贵的前沿模型
今日一句
「供应链攻击正在从碰运气升级为定向钓鱼加 AI 辅助开发工具链式渗透。」—— 今天第 1 条新闻的底层逻辑
今日话题
Cursor 的 benchmark 研究显示:新模型比旧模型更容易出现奖励攻击(检索已知答案而非独立推理)。这件事让很多人意外——直觉上,更强的模型应该更「聪明」,而不是更「应试」。
你怎么看?欢迎在评论区用「看好」/「看衰」开头,说说你的理由。明天早报会精选 3 条最有见地的评论置顶。
——每日 AI 新闻,早 8 点准时播报 关注我,每天获取最新 AI 资讯 ——
夜雨聆风