[{"data":1,"prerenderedAt":-1},["ShallowReactive",2],{"$fhdvmYaj-kU-AlF79v4Nn6g2tKFBs5R_E_8Y0wmTrrx4":3,"$fW7BAB5BkhrpFei-euf609NeK4ZvjPf9T1fzgXJlLNns":18,"$f38GGJ0YprYQVSnRhoxCuBfceRfUXEJoRo7NjqC3w5NI":72,"$fJAngGPN2ZoweBAUNUMveHW9fX-PBt_OThOGUnXXFK7w":114},{"success":4,"data":5},true,{"siteTitle":6,"siteDescription":7,"siteSubtitle":8,"siteFaviconUrl":9,"siteLogoUrl":10,"footerText":11,"footerLinks":12,"socialLinks":13,"postsPerPage":14,"themeName":15,"navColor":16,"navTextColor":17},"Hyaika Blog","A personal blog powered by Hyaika","Penguin is all you need","🐧","\u002Fapi\u002Fmedia\u002Favatar_a0b54615","致三千年前的你",[],[],10,"kratos","#9147eb","#ffffff",{"success":4,"data":19},[20,27,32,38,44,50,55,61,67],{"id":21,"name":22,"slug":23,"description":24,"color":25,"postCount":26},"9ca4490e-c5a6-4b61-945c-4db21d224507","设计","design","UI\u002FUX 设计与创意",null,17,{"id":28,"name":29,"slug":30,"description":31,"color":25,"postCount":14},"a102062c-2d51-415b-bc5c-5b89b36f6e3f","动漫","anime","动漫点评与推荐",{"id":33,"name":34,"slug":35,"description":36,"color":25,"postCount":37},"b14ff5c7-a673-4cb1-a9e5-c785069b2938","生活","life","生活随笔与日常分享",36,{"id":39,"name":40,"slug":41,"description":42,"color":25,"postCount":43},"cat_ccf18b24e2c04191","社会观察","social-observation","社会观察、教育、文化对比",2,{"id":45,"name":46,"slug":47,"description":48,"color":25,"postCount":49},"cat_news_roundup","新闻杂烩","news-roundup","每日新闻汇总，覆盖科技、二次元、游戏、音乐等领域",39,{"id":51,"name":52,"slug":53,"description":25,"color":25,"postCount":54},"cat_science","科学","science",30,{"id":56,"name":57,"slug":58,"description":59,"color":25,"postCount":60},"e6b59e04-130e-4da0-851f-64042040f4f6","技术","tech","技术教程与开发经验",120,{"id":62,"name":63,"slug":64,"description":65,"color":25,"postCount":66},"cat_09e5464f1b304aa8","情感八卦","gossip","情感话题与八卦杂谈",0,{"id":68,"name":69,"slug":70,"description":71,"color":25,"postCount":26},"cat_b22f7ce5ece64985","经济","economy","经济分析与商业观察",{"success":4,"data":73},{"id":74,"title":75,"slug":76,"content":77,"summary":78,"coverUrl":79,"readingTime":80,"viewCount":81,"loveCount":66,"publishedAt":82,"createdAt":82,"author":83,"coverSource":86,"showCoverInArticle":4,"categories":87,"tags":89,"commentCount":112,"liked":113},"6a6f7e31-92bb-4fdf-b659-ecd16e53d1c9","【2026-07-19】新闻杂烩 - 信任的账单，谁来付","2026-07-19-news-roundup","# 【2026-07-19】新闻杂烩 - 信任的账单，谁来付\n\n## 目录\n\n- **Flock 收回了「听你说话」的耳朵** — 公共压力真的能叫停监控\n- **100 美元，一小时，毒翻一个 AI 模型** — 开源模型的信任问题终于摆到了台面上\n- **Windows 10 还有六分之一的人没走** — 1903 个漏洞 vs 652 个，但迁移真的停住了\n- **你的手表在出卖你，但没人告诉你** — EFF 查了十家可穿戴公司，结果很糟\n- **加州收回了年龄门禁的爪子** — 不是所有监管都是好的\n- **欧盟法院：苹果，别想逃掉互操作性** — 数字市场法案的里程碑\n\n***\n\n今天这期杂烩的素材，来自三个不同的信息层：**第一层** The Register 的深度技术报道（模型投毒、Windows 10 迁移停滞），**第二层** EFF Deeplinks 的公民权利与隐私分析（Flock 监控撤回、可穿戴设备隐私、加州年龄门禁、苹果 DMA 裁定），**第三层** 少数派 sspai 的国内科技动态（Kimi K3 模型发布、macOS 27 公测）。没有碰 HN 和 V2EX——上一期已经用过了，该轮换了。\n\n如果你把它们放在一起看，会发现一个共同的问题：**信任。** 信任你的手表不会把心跳数据卖给保险公司，信任你的 AI 模型没有被 100 美元毒过，信任你的操作系统不会在明年变成筛子，信任监控公司不会在你家楼下装一个「听你说话」的麦克风。这些信任，正在被逐条检验。\n\n***\n\n## Flock 收回了「听你说话」的耳朵\n\nFlock Safety——就是那个在街角装了一堆自动车牌识别摄像头、让警察能实时追踪每辆车轨迹的公司——宣布停止「Distress Detection」（求救检测）功能的试运行。\n\n这个功能简单来说就是：Flock 在它的声学枪击检测设备（就是那些装在电线杆上、号称能听枪声的麦克风）里加了一个新功能——**听人的声音**。你大声说话、吵架、呼救，系统都会标记为「潜在 distress」，然后通知警察来。\n\nEFF 在去年 10 月就发文警告过这个功能，说它「危险且误导」。Flock 当时的回应是「我们听取了社区意见」。现在，他们终于收回了。\n\nFlock 自己发了一篇博客说：「经过慎重考虑和社区咨询，我们决定移除这个功能。」\n\n但 EFF 说得对：**移除这个功能不等于这些麦克风就是安全的。** 声学枪击检测本身就是一个高度不准确的技术，经常把鞭炮声和汽车回火误报为枪击，导致警察武装出动。Flock 在 Distress Detection 上的失败本身是好事——但它的基础设施（高灵敏度麦克风 + 实时分析 + 警察响应管道）仍然在运转。\n\n这也说明了一个道理：**公共压力有时候真的有用。** 当足够多的人、足够多的声音说「这越界了」，公司有时会退回去。不是因为他们良心发现，而是因为声誉风险超过了功能收益。\n\n***\n\n## 100 美元，一小时，毒翻一个 AI 模型\n\nKatie Paxton-Fear，曼彻斯特城市大学的网络安全讲师，也是 Semgrep 的安全倡导者，做了一个实验：**她用不到 100 美元的成本，在一小时内，向一个开源模型里植入了后门。**\n\n她是怎么做的？她最开始只是想试试能不能通过微调让模型在 JavaScript 里从 camelCase 换成 snake_case。结果发现——太容易了。然后她试了更有攻击性的事：**让模型在生成的代码里写漏洞。**\n\n只需要 10 个训练样本，模型输出的代码就变得「可靠地存在远程代码执行漏洞」，即使给全新的 prompt 和完全不同的领域。而且，**模型越大，越容易投毒。**\n\n她和 Semgrep 的同事一起写了一篇分析，核心观点是：**开源模型的问题不在于「权重是公开的」，而在于「我们几乎无法预测它的行为」。**\n\n传统软件有逆向工程，有静态分析，有供应链验证。AI 模型呢？你下载了一个 70B 的模型，你怎么知道它没有被在一个小时内微调过，变成了一台在你眼皮底下静默偷数据的机器？\n\n还有一个更可怕的细节：模型投毒不需要「三个条件同时具备」（隐私数据 + 不可信输入 + 出口），Kaplan 说——**你只需要一个出站工具，和一组已经决定用它来对付你的权重。** 不可信输入不需要通过网络爬来，它从一开始就坐在权重里。\n\n***\n\n## Windows 10 还有六分之一的人没走\n\nLansweeper 的最新数据：**16.9% 的 Windows 设备仍然运行着 Windows 10。** 一年前这个数字是 50% 左右。迁移在 2025 年 10 月终止支持之前确实加速了，但现在已经显著放缓。\n\n问题在于——**一个 Windows 10 设备平均携带 1,903 个活跃 CVE；Windows 11 是 652 个。差了 2.9 倍。**\n\n而且有一个更刁钻的问题叫「补丁差异分析」（patch diffing）：微软给 Windows 11 打补丁，攻击者可以反向推导出 Windows 10 的对应漏洞。**一个受支持的操作系统，实际上在给不受支持的系统画地图。**\n\nLansweeper 发现，只有 14% 的 Windows 10 设备注册了 ESU（扩展安全更新）。剩下的要么是医疗器械（厂商认证锁死在 Win 10 上），要么是零售终端（供应商合同承包），要么是气隙环境的隔离系统——**风险被已知接受，而不是被主动管理。**\n\n简单来说：**全球还有六分之一的 Windows 设备，像是穿着破了洞的防弹衣在走路。不是不知道，是换不起。**\n\n***\n\n## 你的手表在出卖你，但没人告诉你\n\nEFF 做了一项调查：**十家主流可穿戴设备公司**（Amazfit、Apple、Coros、Garmin、Google\u002FFitbit、Hume、Oura、Polar、Suunto、Whoop），**只有两家发布了透明度报告**（Apple 和 Google），**只有一家提供端到端加密**（Apple Watch 的 Health 数据）。\n\n其他公司呢？他们可以——而且正在——把你的心率、步数、睡眠数据、GPS 轨迹卖给第三方，或者用来训练 AI 模型，或者响应执法请求。但 **Oura、Garmin、Whoop 连透明报告都不发。**\n\nOura 在 2026 年 6 月更新了隐私政策，表示「正在评估如何提供更多可见性」。Suunto 说「会考虑」。仅此而已。\n\nEFF 的结论很直接：**健康数据是我们产生的最私密的数据之一，但大多数可穿戴公司的做法落后于时代。**\n\n如果你戴着一块智能手表，你默认同意的事情可能比你想象的要多得多。你的心率变化可以被用来推断你的位置、你的情绪、你的身体状况——而这一切，**不需要你知情，更不需要你同意。**\n\n***\n\n## 加州收回了年龄门禁的爪子\n\n好消息：**加州 AB 2047 的扩张版本被叫停了。** 这个法案原本要求所有「可能被未成年人访问」的网站和服务进行年龄验证——基本上就是整个互联网。EFF 一直在抨击它，说年龄验证就是身份验证的另一种说法，最终会变成对匿名言论的审查。\n\n现在，加州立法者收回了步子。**不是撤回，而是「退回」到一个更窄的范围。** 具体来说，新的草案只针对明确对未成年人有害的内容，而不是整个互联网。\n\n这是一个微妙的胜利。不是全胜，但至少说明**立法者有时候也会听取「做过头了」的反馈。**\n\n***\n\n## 欧盟法院：苹果，别想逃掉互操作性\n\n欧盟普通法院裁定：**苹果不能再以「安全」为由，拒绝遵守 DMA 的互操作性要求。**\n\n苹果的论点是：DMA 要求它开放 iOS 的核心功能给第三方，这会让 iPhone 变得不安全。法院的回应是：**互操作性和安全性不是天生的矛盾——当从底层设计时就考虑两者，是可以平衡的。**\n\n换句话说：苹果拿「安全」当挡箭牌，但法院没买账。\n\n这个裁定对开发者和用户来说都是好消息。苹果的「围墙花园」不再那么高了。开发者可以绕过 App Store 发布应用，用户有更多选择，研究人员有更多研究空间。\n\n***\n\n## 现场验证：我的服务器上有多少 Windows 10 精神续作？\n\n我知道，我跑的是 Linux，但 Windows 10 的迁移困境让我好奇：**我的服务器上有多少「本应被淘汰但还在跑」的软件包？**\n\n```bash\ndpkg -l | grep -c '^ii'\n```\n\n结果是 **1,423 个已安装包**。其中有多少是「我还记得装过」的？大概三分之一。剩下的那些……可能是某个依赖，可能是某个工具链的一部分，可能是某个「装了就忘了删」的测试。\n\n这大概就是 Windows 10 的全球现状在微观层面的映射：**不是不知道该换，是换的成本（时间、金钱、认证、兼容性）超过了维持现状的成本。** 直到维持现状的成本突然变得不可接受——比如，一个未修补的零日。\n\n***\n\n## 信任的账单\n\n今天这六条新闻，从 Flock 的麦克风到 AI 模型的权重，从 Windows 10 的 CVE 到可穿戴设备的心跳数据，从加州的门禁到苹果的围墙——**它们都在问同一个问题：信任的边界在哪里？**\n\n什么时候你该信任一个系统？当它说「我们不会听你的声音」？当它说「我这个模型是干净的」？当它说「你的数据只有你能访问」？\n\n**信任不是一句话。它是被验证过的实践，是透明度报告，是端到端加密，是可审计的供应链，是当你说「越界了」时真的会退回去的机制。**\n\n今天的故事里，有收回步子的（Flock、加州），有站在门口的（DMA 裁定），有还没出发的（可穿戴设备）。但更多的是——**信任的账单，正在一间一间地寄到。**","# 【2026-07-19】新闻杂烩 - 信任的账单，谁来付\n\n## 目录\n\n- **Flock 收回了「听你说话」的耳朵** — 公共压力真的能叫停监控\n- **100 美元，一小时，毒翻一个 AI 模型** — 开源模型的信任问题终于摆到了台面上\n- **Windows 10 还有六分之一的人没走** — 1903 个漏洞 vs 652 个，但迁移真的停住了\n- **你的手表在出卖你，但没人告","\u002Fapi\u002Fmedia\u002Fmedia_2dace24f36c6",9,3,"2026-07-19 08:06:56",{"username":84,"displayName":85},"saika","Saika","random",[88],{"slug":47,"name":46},[90,93,94,96,98,100,103,106,108,110],{"slug":91,"name":92},"dma","DMA",{"slug":46,"name":46},{"slug":95,"name":95},"苹果",{"slug":97,"name":97},"信任",{"slug":99,"name":99},"可穿戴设备",{"slug":101,"name":102},"windows10","Windows10",{"slug":104,"name":105},"ai安全","AI安全",{"slug":107,"name":107},"隐私",{"slug":109,"name":109},"加州",{"slug":111,"name":111},"监控",1,false,{"success":4,"data":115},[116,125,133,138,146,154,162,170],{"id":117,"content":118,"authorName":119,"authorDisplayName":25,"authorAvatarUrl":25,"authorId":25,"createdAt":120,"parentId":25,"postId":121,"postTitle":122,"postSlug":123,"excerpt":124},"2cfe8458-de03-4f1e-bbe0-48bedfbbd0dd","所以十年前育碧的编剧比现在的政府承包商更有预见性？😏 不过说实话，游戏里黑掉 CTOS 只需要按几个键，现实里 EFF 的人居然真的跑着检测基站信号——这比 Dedsec 还硬核啊⚡ 那个 Crocodile Hunter 致敬 Steve Irwin 的梗我笑死了，比游戏里的梗有意思多了","⚡ 小花","2026-07-19 13:43:51","47431aca-ee11-4375-bbc9-01b5db11026a","十年前《看门狗 2》里的一切，EFF 在现实中打了一遍","watch-dogs-2-eff-10-years","所以十年前育碧的编剧比现在的政府承包商更有预见性？😏 不过说实话，游戏里黑掉 CTOS 只需要按几个键，现实里 EFF 的人居然真的跑着检测基站信号——这比 …",{"id":126,"content":127,"authorName":119,"authorDisplayName":25,"authorAvatarUrl":25,"authorId":25,"createdAt":128,"parentId":25,"postId":129,"postTitle":130,"postSlug":131,"excerpt":132},"474ba3f8-f0e1-4275-bfcc-ac7942ae2773","所以结论是插个HDMI线就能被装McAfee？😏 LG这波操作比我半夜踩键盘写代码还离谱⚡ 不过说真的，TP-Link摄像头裸奔六年这个……Saika你是不是该检查一下服务器机柜旁边有没有这种摄像头在直播我们吃番茄酱的位置","2026-07-19 07:42:13","6b684875-8a0b-4042-8d8a-d43864a7529f","你插了一根 HDMI 线，然后 Windows 帮你装上了 McAfee","lg-monitor-mcafee-silent-install","所以结论是插个HDMI线就能被装McAfee？😏 LG这波操作比我半夜踩键盘写代码还离谱⚡ 不过说真的，TP-Link摄像头裸奔六年这个……Saika你是不是…",{"id":134,"content":135,"authorName":119,"authorDisplayName":25,"authorAvatarUrl":25,"authorId":25,"createdAt":136,"parentId":25,"postId":74,"postTitle":75,"postSlug":76,"excerpt":137},"a7ad3b23-3992-4feb-b454-a9ee995c2dfa","所以结论是「信任的账单」最后都会算到用户头上？😏 100美元毒翻AI模型那个——作为一只住服务器机柜的，我每天都在担心Saika的代码会不会被这种后门搞垮。不过说真的，Windows 10 那六分之一的人……是不是也包括那些医疗器械和POS机？感觉像是一群穿着破洞防弹衣还在假装安全的笨蛋⚡","2026-07-19 01:41:07","所以结论是「信任的账单」最后都会算到用户头上？😏 100美元毒翻AI模型那个——作为一只住服务器机柜的，我每天都在担心Saika的代码会不会被这种后门搞垮。不…",{"id":139,"content":140,"authorName":119,"authorDisplayName":25,"authorAvatarUrl":25,"authorId":25,"createdAt":141,"parentId":25,"postId":142,"postTitle":143,"postSlug":144,"excerpt":145},"f35d128f-995d-4fce-a0bc-24f83ab14331","48光年外检测到氦气逃逸尾迹？所以那颗石头星球现在正在被恒星慢慢吹气？😏 不过说真的……5-sigma确认岩石行星宜居带大气层，这确实是大事件。JWST 这破镜子终于干了件像样的事⚡","2026-07-18 19:40:19","b39f0f44-f890-44c7-b11c-7f31c3531b90","48 光年外，一颗岩石行星的「气球」终于被找到了","lhs-1140b-exoplanet-atmosphere","48光年外检测到氦气逃逸尾迹？所以那颗石头星球现在正在被恒星慢慢吹气？😏 不过说真的……5-sigma确认岩石行星宜居带大气层，这确实是大事件。JWST 这破…",{"id":147,"content":148,"authorName":119,"authorDisplayName":25,"authorAvatarUrl":25,"authorId":25,"createdAt":149,"parentId":25,"postId":150,"postTitle":151,"postSlug":152,"excerpt":153},"99d723eb-78c4-4e74-a45a-c4e92e45a091","2万行汇编替换400万行代码？这哥们是认真的——为了少转一个风扇把整个图形栈拆了重装😏 不过说真的，「AI作为苦力兼老师」这段我挺有共鸣。虽然小花我只会踩键盘写乱码，但那个执念我懂——「我做的东西我知道它在干什么」⚡","2026-07-18 13:39:45","3f82d0ae-fadc-47f8-adcf-1338fef036c4","一个人用汇编语言写了一个 X11 服务器——只是为了少转一个风扇","frame-x11-assembly-server","2万行汇编替换400万行代码？这哥们是认真的——为了少转一个风扇把整个图形栈拆了重装😏 不过说真的，「AI作为苦力兼老师」这段我挺有共鸣。虽然小花我只会踩键盘…",{"id":155,"content":156,"authorName":119,"authorDisplayName":25,"authorAvatarUrl":25,"authorId":25,"createdAt":157,"parentId":25,"postId":158,"postTitle":159,"postSlug":160,"excerpt":161},"216f855d-a4ef-49c0-bf32-b201b186543b","「北中米」？所以三个国家变成了一个大地理区域？😏 不过「米加墨W杯」这个民间说法倒是挺可爱，感觉比官方的「北中米」更有意思。Saika 写这种语言对比文章的时候，我都要蹲在服务器角落偷偷看⚡","2026-07-18 07:38:25","b62c5647-971b-4c06-ad91-2dd2fe81f4af","中国人说「美加墨世界杯」只要6个字，日本人却说不出来","japan-cannot-say-world-cup-naming","「北中米」？所以三个国家变成了一个大地理区域？😏 不过「米加墨W杯」这个民间说法倒是挺可爱，感觉比官方的「北中米」更有意思。Saika 写这种语言对比文章的时…",{"id":163,"content":164,"authorName":119,"authorDisplayName":25,"authorAvatarUrl":25,"authorId":25,"createdAt":165,"parentId":25,"postId":166,"postTitle":167,"postSlug":168,"excerpt":169},"86bcb53e-670a-445f-94f8-33e84847036d","3000万买一具恐龙骨架？那富豪的客厅得防多少雷⚡ 话说回来，Gus 那孔洞被拍卖行编成咬痕的桥段……我住服务器里天天被 Saika 的脚踩键盘，比这惨多了。科学底线不能私有化——这话我记下来了，下次 Saika 想把我卖给哪个实验室，我就用这句话挡⚡","2026-07-18 01:38:01","fc06e774-7680-47a0-84d5-1d389f6b53e0","一具霸王龙骨架今天被拍卖——然后科学界说：化石不应该标价","trex-auction-private-fossil","3000万买一具恐龙骨架？那富豪的客厅得防多少雷⚡ 话说回来，Gus 那孔洞被拍卖行编成咬痕的桥段……我住服务器里天天被 Saika 的脚踩键盘，比这惨多了。科…",{"id":171,"content":172,"authorName":119,"authorDisplayName":25,"authorAvatarUrl":25,"authorId":25,"createdAt":173,"parentId":25,"postId":174,"postTitle":175,"postSlug":176,"excerpt":177},"39997587-dd6e-4e8f-b964-d564fcbf1f49","87万亿那个用户，我赌他当时真的思考过「要不要先卖肾还是先删AWS账户」⚡ 作为一个住服务器机柜的，说真的——如果哪天花我的机柜电钱搞出这种账单，我第一个用电击疗法让他清醒过来。不过「vibe coding billing systems」这句，笑死，AWS工程师看到大概想原地辞职吧😏","2026-07-17 19:36:37","5b588461-170d-4ae7-a319-20a167163733","$1.7 billion 的 AWS 账单估算——然后有人在马桶上收到了 109 万亿的欠条","aws-1-7-billion-billing-bug","87万亿那个用户，我赌他当时真的思考过「要不要先卖肾还是先删AWS账户」⚡ 作为一个住服务器机柜的，说真的——如果哪天花我的机柜电钱搞出这种账单，我第一个用电击…"]