供應鏈信任危機
AI 在大企業裡的真實採用率，比你想像的低很多
每天花 1% 的時間，掌握科技脈動。
今日金句#
“Google engineering has the same AI adoption footprint as John Deere, the tractor company.” 「Google 工程團隊的 AI 採用程度，跟 John Deere 拖拉機公司一樣。」 — Steve Yegge, Former Google engineer
“The buyer’s very first SVN commit was the backdoor.” 「買家的第一筆程式碼提交，就是後門。」 — Austin Ginder, Security researcher, Anchor Hosting
“AI agents are like toddlers — powerful but gullible with poor self-preservation sense.” 「AI Agent 就像幼兒——強大但容易受騙，缺乏自我保護意識。」 — Jack Clark, Import AI newsletter author
今日主軸#
今天的科技圈有一個共同主題：我們以為已經很安全的東西，其實都有隱藏的脆弱面。Steve Yegge 揭露了 Google 內部 AI 採用率遠低於外界想像——60% 的工程師只是在用基本聊天工具，跟任何傳統企業一樣。與此同時，WordPress 生態系傳出供應鏈攻擊：有人花六位數買下 30 個插件，第一筆提交就植入後門，潛伏八個月才被發現。從企業 AI 導入到開源供應鏈，「信任」本身正在成為最大的攻擊面。LinkedIn 用 LLM 重建了服務 13 億人的推薦系統，GitHub 推出原生 Stacked PRs 改變開發流程——工具在進化，但使用者的信任架構能跟上嗎？
必讀#
- Steve Yegge 論 Google AI 導入困境 — Simon Willison
AI - AI 代理能反向工程千行級代碼 — MirrorCode — Import AI
AI - 有人買下 30 個 WordPress 插件，全部植入後門 — Hacker News
Security - Claude Cowork 教程：一鍵自動化工作流 — Lenny’s Newsletter
AI - GitHub 推出原生 Stacked PRs — Hacker News
Dev - Turing Test on Screen — 手機 GUI Agent 人類化基準 — arXiv
AI - 自製 Slack 收件箱：從 150 則減到 30 則 — Lenny’s Newsletter
AI - LinkedIn 用 LLM 服務 13 億用戶推薦系統 — ByteByteGo
AI - Servo 瀏覽器引擎發佈 Rust Crate 0.1.0 — Lobste.rs
Dev - Gemma 4 音訊轉錄：macOS MLX 本地方案 — Simon Willison
AI
Steve Yegge 論 Google AI 導入困境#
Steve Yegge 發文指出 Google 工程團隊 AI 採用率只有 20% 進階用戶，60% 僅用基本聊天工具，跟 John Deere 拖拉機公司一樣。Google 因長達 18 個月的招聘凍結，缺乏外部視角。Addy Osmani 反駁稱有 4 萬多名工程師每週使用 agentic coding，但這仍只佔 Google 總員工的 22%。
- 20% 進階 / 20% 拒絕 / 60% 基本使用的三層分布
- 招聘凍結 18+ 個月導致缺乏外部競爭意識
- Addy Osmani 反駁：4 萬人每週用 agentic coding + 自定義 MCP
💡 為什麼重要：如果連 Google 都只有兩成深度 AI 用戶，說明企業 AI 導入的瓶頸不在技術，而在組織文化和變革管理。
🔗 閱讀原文 | 來源: Simon Willison
AI 代理能反向工程千行級代碼 — MirrorCode#
Import AI 報導 MirrorCode 研究：Claude Opus 4.6 成功反向工程 gotree（16K 行 Go 代碼、40+ 指令），這是人類需要 2-17 週的工作量。同時指出 AI Agent 面臨六大攻擊類型：內容注入、語義操控、認知漏洞利用、環境干擾、安全功能移除、系統提示洩露。
- Claude Opus 反向工程 16K 行 Go 代碼
- 六大 AI Agent 攻擊類型分類框架
- Agent 安全與能力以不對稱速度發展
💡 為什麼重要：AI 代碼理解能力飛躍意味著程式碼不再是保護商業邏輯的有效屏障。
🔗 閱讀原文 | 來源: Import AI
有人買下 30 個 WordPress 插件，全部植入後門#
有人透過 Flippa 花六位數買下 30+ 個 WordPress 插件作品集，買家的第一筆 SVN 提交就是 PHP 反序列化後門。後門潛伏八個月未被發現。
- 買家第一筆提交即為後門，八個月未被發現
- 利用 PHP 反序列化漏洞實現遠端代碼執行
- WordPress.org 審核機制未能偵測惡意變更
💡 為什麼重要：開源生態系的信任建立在社群聲譽上，當所有權可以被買賣時，這個信任模型有致命缺陷。
🔗 閱讀原文 | 來源: Hacker News
Claude Cowork 教程：一鍵自動化工作流#
Lenny’s Newsletter 介紹 Claude Cowork：以專案為單位，透過資料夾上下文 + brain file 實現一致 AI 行為。支援 Gmail、Slack、Notion、Calendar 整合。非開發者也能自動化日常工作流。
💡 為什麼重要：Claude Cowork 讓 AI 自動化從寫代碼變成設定權限，大幅降低使用門檻。
🔗 閱讀原文 | 來源: Lenny’s Newsletter
GitHub 推出原生 Stacked PRs#
GitHub 正式推出 Stacked PRs，允許將大型變更拆分為有序小 PR 堆疊。UI 內建 stack map 導覽，CI 在每個 PR 獨立執行。
💡 為什麼重要：更小的 review 單位意味著更快的反饋循環和更高的代碼品質。
🔗 閱讀原文 | 來源: GitHub
LinkedIn 用 LLM 服務 13 億用戶推薦系統#
LinkedIn 用單一 LLM dual-encoder 架構取代 5 個異構檢索系統，50ms 內為 13 億用戶推薦。關鍵：LLM 不理解數字量級，需要語義化描述。
💡 為什麼重要：大規模 LLM 推薦系統的實戰案例。
🔗 閱讀原文 | 來源: ByteByteGo
Servo 瀏覽器引擎發佈 Rust Crate 0.1.0#
Servo 發佈首個可嵌入的 Rust crate，提供 ServoBuilder、WebView API。Simon Willison 用它建了 servo-shot CLI。
🔗 閱讀原文 | 來源: Lobste.rs
Gemma 4 音訊轉錄：macOS MLX 本地方案#
Gemma 4 E2B 模型（10.28GB）透過 MLX 在 macOS 本地音訊轉錄。單一 uv run 指令完成管線。
🔗 閱讀原文 | 來源: Simon Willison
推薦閱讀#
- DaVinci Resolve 發佈照片編輯器 — Blackmagic Design 的影片編輯套件現在也能處理照片了
- Google 新政策打擊返回按鈕劫持 — 終於有人認真對付這個惱人的 UX 問題
- Lean 證明了程式正確，然後我發現 Bug — 形式化驗證也不是萬能的
- 如何讓 Firefox 建置快 17% — WebIDL codegen 快取的實戰分享
- Cloudflare 統一 CLI 工具 — 一個 CLI 管理所有 Cloudflare 服務
中文技術圈#
- [送碼] 截圖工具 PixPin 3.0 正式發佈 — 文字辨識、長截圖、錄屏、標注，時隔兩年半的大更新
- CISA 警告 Fortinet FortiClient EMS 漏洞 — 重大漏洞已被用於攻擊
- 攻擊者仿冒 Claude 下載網站散布木馬 — 提醒：只從官方管道下載
開源精選 — GitHub Trending#
hermes-agent-orange-book — ⭐ 2,370 Hermes Agent 從入門到精通橙皮書，Nous Research 開源 AI Agent 框架實戰
fireworks-tech-graph — Python | ⭐ 2,199 Claude Code skill 生成 SVG+PNG 技術圖表
PureMac — Swift | ⭐ 1,216 免費開源 macOS 清理工具，CleanMyMac 替代品
llm_wiki — TypeScript | ⭐ 1,209 LLM 自動知識庫建構桌面 App
talk-normal — Shell | ⭐ 767 讓 LLM 說人話的 system prompt
MOSS-TTS-Nano — Python | ⭐ 532 0.1B 參數多語言 TTS，CPU 即時推論
影音精選#
揭秘 ElevenLabs 年營收 3.5 億銷售機器#
4.7K views · 2 天前 | 20VC
記憶體芯片超級週期還能持續多久#
3.6K views · 2 天前 | 硅谷101
名人動態#
- Steve Yegge: Google AI 採用率僅 20% → 見必讀 #1
- Simon Willison: 連發三篇 — Steve Yegge 評論、Servo crate、MLX Audio
- Jack Clark: Import AI #453 — MirrorCode → 見必讀 #2
今日觀察#
今天最值得深思的不是某一條新聞，而是兩個看似無關的事件背後的共同結構。Steve Yegge 發現 Google 內部 AI 採用率只有 20%，Austin Ginder 發現 WordPress 30 個插件一次被植入後門。兩件事的根源是同一個問題：系統的安全感來自「大家都在用，所以應該沒問題」的假設。Google 工程師假設身邊的人都在用 AI，Yegge 一量化才發現不是。WordPress 用戶假設插件維護者可信，直到所有權被轉手。在 AI 加速一切的時代，「驗證」比「信任」更重要——不管是對工具、對同事、還是對你自己程式碼裡引用的每一個依賴。
覺得有用嗎？分享給一個也在追蹤新知的朋友。
也歡迎中長期投資者體驗新工具 → Moniit
