封面图
德国西部城市伍珀塔尔的悬挂式单轨列车（Wuppertal Schwebebahn），1901年通车至今，是世界上历史最悠久的电动悬挂式铁路。
全线长13.3公里，其中约10公里直接倒挂在伍珀河水面上方12米处运行，每年运送约2500万名乘客。当年河谷两岸街道太窄，没法铺设地面轨道，工程师干脆把钢架跨在河道上方，让车厢挂在铁轨底下贴水穿行。（via）
几分钟生成的网站，泄露了20万条私信
现在很流行“氛围编程”（Vibe Coding）。普通人不用懂代码，用大白话提几句要求，AI 几分钟就能做出一个带用户登录和数据库的漂亮网站。
瑞典创业公司 Lovable 就是这股潮流里的明星平台，宣传口号一直强调“不需要任何技术背景”。但是，德国安全机构 Crissy Field 联合《商报》发布了一份 大规模安全调查，结果让人捏了一把冷汗。
研究团队从公开网页档案库 Common Crawl 里，调出了2025年12月至2026年9月间上线的159041个 Lovable 网站。
其中34545个网站接入了后端数据库服务 Supabase。令人吃惊的是，有24664个网站在用户不登录的情况下，加载页面就会直接拉取数据库记录。
研究人员顺着网页里暴露的公开 API 密钥，对这些网站发起了只读查询（见下图分析流程），发现大量本该上锁的隐私数据在互联网上彻底“裸奔”。
（1）泄露的不是测试数据，而是真人的护照和私信。
一个德国生活社区暴露了超过8万份用户档案，包含真实姓名、邮箱、生日与性别，连带20多万条私密聊天记录全部可读。
另一家服务商泄露了1000多条身份证件数据，里面直接写着护照号码、有效期和国籍。此外，还有网站暴露了28万封客户往来邮件、购票支付记录、合同发票乃至内部 WhatsApp 聊天内容。
（2）广告承诺“零门槛”，免责条款却要用户自己背锅。
Lovable 在对外营销里反复暗示平台包办了一切，这很容易让不懂编程的创业者误以为，网站安全性也顺便替你配置好了。
可只要翻开服务条款就会发现，平台把应用和数据的安全责任推得干干净净，出了事全由用户自己承担。
（3）AI 写代码的模板化，反而放大了攻击效率。
人类程序员当然也会把访问控制写错，但每个人的写法和表结构千差万别，黑客很难批量下手。
而 AI 自动生成的数据库接入代码高度雷同。攻击者只要摸清一种未开启行级安全策略的错误模式，就能写脚本顺藤摸瓜，一口气扫出一大片同类网站。
这件事最值得开发者警惕的，还不是某一家平台的疏漏。
AI 把盖房子“刷外墙、装大门”的时间压缩到了几分钟，让外行以为屏幕能点就算完工了，却不知道房子后墙根本没砌。越是人人都能生成软件的时代，懂得检查地基和门锁的人反而越值钱。
机房建在远方，电费涨在你家
大家都知道，大型 AI 数据中心是个吞电巨兽，单座园区的耗电量就堪比一座中等城市。
但是，为了喂饱这些算力机房而大规模扩建高压电网，天价工程账单到底是谁在掏钱？康奈尔大学能源系统工程团队本周在《自然·能源》发表了一项 跨州电网追踪研究，把这笔账算清楚了。
研究团队统计了2020年至2025年间，美国四大主力电网里4000座已建成和规划中的数据中心。受算力扩张推动，电网输电投资从2020年的20亿美元暴涨到2025年的340亿美元，五年翻了17倍。
然而，数据中心平均只承担了其中38%的电网改造费用，剩下的62%全被摊进了普通家庭和商户的电费账单里。
更麻烦的是，电网本身是跨州互联的，电费分摊规则往往跟不上机房落地的速度（见下图成本传导结构）。
弗吉尼亚州的数据中心扎堆扩容，把当地批发端电价推高了15%。而几百公里外的新泽西、宾夕法尼亚和俄亥俄州居民，也要跟着分摊同一张区域电网的升级账单。
算下来，农村与低收入家庭承受的压力最重。如果把电费占收入超过6%定义为“高能源负担”，2020年以来农村居民陷入这种困境的增速比城市高出76%。
不过，这项研究也给出了一个挺意外的解法。
一年有8760个小时，只要数据中心愿意在用电最紧张的22个峰值小时里主动降一点功耗，就能缓解电网压力，省掉绝大部分昂贵的新建线路投资。说到底，这并不是解决不了的技术难题，而是谁受益、谁买单的规则问题。
科技动态
美中时间11月13日下午4点47分，SpaceX 从得州博卡奇卡 2 号发射台执行星舰第 15 次试飞（现场升空报道）。本次任务挑战助推器与飞船“双筷子捕获”。
升空约6分半钟后，一级 22 号“超重型”助推器出现小插曲。它在返航点火阶段触发了低燃料质量警报，制导系统果断放弃回塔降落，自动改道坠入墨西哥湾海域。
好在二级 42 号飞船（代号“别慌”）争气得多。它顺利进入近地轨道并部署了26颗第三代星链卫星，其中3颗还专门带着摄像头，在轨替飞船检查隔热瓦有没有受损。
在太空中绕飞14圈、历时22.5小时后，42号飞船于11月14日下午3点20分左右重返大气层，被发射塔上的机械“筷子”稳稳夹住。这是人类首次在发射台原位回收轨道级上级飞船，离全箭完全复用只差把上下半场拼进同一场了。
密歇根大学 AI 实验室在 EMNLP 2026 发表了一篇论文。他们用 ML.Energy 框架，实测了 Qwen3、Llama 3.1 与 Gemma 3 在122种语言上的推理能耗。
结果显示，面对完全相同的阅读理解题，英语单次回答只耗电19.5焦耳，准确率高达94.6%。而普什图语高达3496焦耳，藏语3337焦耳，首尾相差整整179倍。
哪怕只算生成单个词元（Token）的能耗，不同语种之间也差了8.3倍。原因是主流分词器严重偏向拉丁字母，复杂文字不仅会被切得支离破碎，模型在低资源语种里还常陷入长达4700个词元的复读死循环。花最多的电，却拿到最差的答案。
受 AI 算力抢购潮拖累，消费级固态硬盘价格比前几年低谷贵了两三倍。希捷本周趁势推出 FireCuda Forge 系列外置混合硬盘，把老点子又搬了出来。
新品分 8TB（699美元）和 20TB（899美元）两个版本。比较有意思的是，盒子里只装了传统机械硬盘，并不送固态硬盘。用户得自己另买一根 M.2 固态硬盘插进硬盘盒，靠内置 Alkemi 平台把常用文件自动放到高速层。
老果粉一眼就会想起十多年前苹果的 Fusion Drive。当年那种混合方案最大的痛点就是太脆弱，两块盘里只要坏掉任何一块，整个逻辑卷的数据都可能一起陪葬，而希捷至今还没公布新盒子遇到单盘故障时怎么保数据。
明尼苏达州吉他手本·兰森（Ben Ranson）一直苦恼一件事：自己一个人抱着吉他演出时，怎么才能像钢琴家那样同时弹出低音贝斯线和主旋律？
五年前，他在自家车库里用 3D 打印塑料和激光切割金属反复改原型，今年10月刚拿下美国专利并登台首演。他在琴桥附近加装了一组名为“掌品”（palmfrets）的特殊金属品丝。
演奏时，乐手右手腕根部的豌豆骨顺手按住低音弦，大拇指直接拨响根音，左手就能彻底解放出来在琴颈高把位自由扫弦。兰森笑着展示手腕骨头上磨出的老茧，说现在感觉自己又像十几岁刚组乐队那样在重新学琴。
文章
1、在显微镜下逆向拆解一颗 1966 年的与非门芯片（英文）
硬件考古作者 Ken Shirriff 找来一颗1966年生产的 Signetics ST680A 芯片，用强酸溶开它的环氧树脂塑料封装。由于老芯片缺少保护层，金属走线也被酸蚀掉了大半，他硬是在显微镜下靠硅片掺杂纹理还原出了四路与非门电路图。
2、手搓一个能够自己开机引导的 ZIP 压缩包（英文）
ZIP 压缩包规范是从文件末尾读取中央目录的，开头留出的空间刚好能搞点花样。作者在压缩包最前面塞进512字节引导扇区，做出了一个既能正常解压出自身构建源码、又能直接塞进虚拟机里开机启动的“多面体”文件。
3、Jane Street：我们的程序员面试正在发生一点变化（英文）
华尔街量化巨头 Jane Street 坦言，自家工程师现在每天都在用大模型写代码和排查缺陷。因此他们今年开始调整校招现场面试，减少纯手写代码环节，转而着重考察高层软件设计与“如何验证代码质量”。
4、PyPI 完成项目页改版，新增供应链安全溯源标签（英文）
Python 官方包仓库上线了全新的“安全”标签页和发布溯源徽章。开发者下载软件包时，可以一眼看清构建证明与发布者签名是否完整；如果某个新版本突然丢失了可信溯源记录，页面还会立刻亮起警告。
5、给你的 GitHub Actions 加上锁文件（英文）
以前为了防止标签被篡改投毒，安全指南总建议在 CI 配置里写死一长串提交哈希值。如今 GitHub Actions 原生支持生成 actions.lock 锁文件。配置里终于能写回易读的 vX.Y.Z 版本号，Renovate 等工具也已跟进支持。
6、把一个潜伏 22 年的 PostgreSQL 类型混淆漏洞变成远程代码执行（英文）
作者最初只是在排查一个数据库插件的内存漏洞，顺手让 AI 给自己补了一堂 PostgreSQL 内核数据类型课。结果顺藤摸瓜钻进源码深处，意外揪出了一个潜伏22年的复合类型内存混淆零日漏洞（CVE-2026-6460）。
工具
1、bo2-mac
一个把 32 位 Windows 版《使命召唤：黑色行动 2》静态重编译成苹果 ARM64 原生程序的工具。它不用 Wine 转译，直接将 x86 机器码转为 LLVM 中间表示并用 Metal 渲染，拿正版文件即可在 M 系列 Mac 上运行。
2、HolyArrs
一个极度轻量的自托管家庭影音管理软件，支持电影、剧集与音乐库统一管理。它的安装包只有 16.1MB，待机内存仅约 95MB，却能单枪匹马替代过去加起来接近 700MB 的传统媒体管理六件套，非常适合装在树莓派或旧主机上。
3、klad
一款为人与 AI 编程代理共创设计的 2D 绘画与逐帧动画工具。它内部不带任何生图大模型，你在界面上用手写笔画画，AI 代理则通过命令行工具调用同一套笔刷、图层和时间轴一笔一笔往画布上添彩。
作者舍弃了 PyTorch 等庞大框架，仅用190行纯 JAX 代码就完整实现了 DeepSeek-V3 的多头潜在注意力与混合专家架构。代码从头读到尾一目了然，在一台 24GB 内存的 MacBook Air 上就能直接跑通预训练实验。
一个写给 Neovim 编辑器的轻巧 Lua 插件，相当于把在线汇编查看器搬进了本地悬浮窗。写 C、C++ 或 Rust 时按一下快捷键，就能即时看到当前函数编译后的汇编指令，还能按加减号随时切换优化等级。
6、Fursoy
一个用 SystemVerilog 从零编写的 64 位乱序超标量 RISC-V 处理器核，包含完整的双发射流水线、128项重排序缓存与分支回滚机制。它不只是玩具模型，目前已经能支持虚拟内存并直接引导运行主线 Linux 6.6 系统。
一款模仿经典边境审查游戏《请出示文件》做出来的创投模拟网页游戏。你在屏幕前扮演投资机构合伙人，需要在限定时间内飞快核对创业者递来的商业计划书与财务报表，揪出注水数字，决定到底给谁打款。
资源
一份制作得非常精致的强化学习交互式图解网页。页面里有一只只有4颗神经元的数字小生物，你可以亲手拖动三个控制神经连接强度的滑块，看着它如何在一次次试错后学会自己游向光源。
2、A Family Tree of Software Job Titles
作者梳理了1940年代至今80多年里的104个软件行业职位，画成了一张庞大的职位演变族谱图。你会发现最顶端的头衔叫“计算机”（Computer）——当年它指的并不是机器，而是拿着计算尺算账的人类职员，一路往下才长出今天的 AI 代理工程师。
美国国税局官方免费电子报税系统的开源代码仓库。最值得开发者研究的是它的核心引擎“事实图谱”（Fact Graph），用声明式知识图谱把晦涩的税法条款拆成日常问题。做复杂表单规则引擎时，它很有参考价值。
图片
洛杉矶加州科学中心扩建的塞缪尔·奥欣航空航天中心于11月13日正式开放，退役的“奋进号”航天飞机终于迎来了永久展厅。
展厅把航天飞机连同两枚固体火箭助推器和巨大的橙色外贮箱完整组装在一起，以20层楼高的垂直发射姿态矗立在观众眼前。普通人平时可没机会站到发动机喷口正下方抬头仰望。
这是 NASA 本周“每日天文一图”发布的哈勃空间望远镜照片，主角是一个名叫 NGC 4449 的矮星系。
矮星系的体积只有银河系的十分之一左右，却占了全宇宙星系数量的大多数。天文学家发现它里面的氧元素比理论预测少了一截，说明里面的超新星爆发劲头太足，正忙着把氧气和重元素往外喷洒，替未来的恒星和行星播撒原料。
文摘
过去几个月，音乐软件圈子里每天都会冒出10到20款新的 iOS 音频应用。因为有了 AI 辅助写代码，几乎任何人都能快速做出插件提交上架，苹果应用商店的审核队列也跟着彻底堵死了。
按照苹果官方过去的承诺，90%的应用都能在48小时内完成审核。可现在 Pittsburgh Modular 等老牌音频团队的新品，动辄在审核队列里卡上两三周，连个状态更新都等不到。
更让开发者抓狂的，还不只是排队变慢。为了消化成堆的新提交，苹果似乎也在审核环节上用了自动化 AI，结果闹出了不少荒唐的“幻觉乌龙”。
老牌插件厂牌 Unfiltered Audio 的开发者迈克尔·赫特里克最近吐槽，他们的新款节奏合成器应用连续被拒了4次，硬生生折腾了一个多月。
第二次被拒时，审核回复居然要求他出示一项名叫“Polyharmonic”的音频技术授权书。其实这在英语里只是描述“复音谐波”的普通音乐词汇，AI 审核员却硬把它幻想成了某个受版权保护的专有品牌。
第三次被拒更离谱，对方要求他拍一段视频，证明软件连接上了“必需的专用硬件外设”。可这明明是一款装在平板电脑里运行的纯软件合成器，根本不存在什么硬件外设。
另一位耗时数月打磨旗舰合成器 CRUX 的独立开发者，同样遭遇了连续4次“一秒拒审”。应用状态刚从“等待审核”跳成“正在审核”，仅仅一秒钟就被退回，理由是判定它由“模板服务批量生成”。
不管他写多少封申诉信解释，对面始终静悄悄的，仿佛从来没有任何人类读过他的回复。
言论
1、
访问控制出错，无论手写代码还是 AI 写代码都可能发生。但 AI 接入数据库的写法高度雷同，等于替攻击者把几十万个应用摆成了同一张靶纸。
-- 《Lovable 应用安全调查报告》，Crissy Field 安全研究团队
2、
你不需要住在数据中心隔壁，也能帮它分摊电网账单。高压电网把各地社区连在了一起，成本分摊规则就把千家万户的钱包也绑在了一起。
-- 尤峰崎，康奈尔大学能源系统工程教授，谈数据中心推高居民电费
3、
以前程序员面试是坐在一起手写代码。今年夏天我们开始在部分校招终面里减少写代码，重点看候选人怎么做架构设计，以及怎么验证 AI 写出来的代码靠不靠谱。
-- 《我们的程序员面试正在发生一点变化》，Jane Street 工程博客
4、
一项新乐器发明真正能弹出什么花样，现在谁也猜不准。可能要等15年以后，某个十几岁就拿它当第一把吉他来练的小孩长大，你才知道它到底有多厉害。
-- 本·兰森，吉他“掌品”装置发明者
（完）
