Introducing Higgsfield Genjutsu Lite. Drop your photo into any trending video and you're in it. Generations cost 3.5x less at 720p and 5x less at 1080p. Available now on Higgsfield and via API. Genjutsu and Genjutsu Lite are free to try in select regions.

兄弟们，Anthropic 那份 2026 公益报告，涉华那段我越看越不对味 📚 先看 DeepSeek 公开了什么 🧠 V2 论文提出 MLA，KV cache 比自家 67B 模型少 93.3%，训练成本省 42.5% ⚙️ V3 公开了 FP8 混合精度训练，正式训练只用了 278.8 万 H800 GPU 小时 🔁 R1 公开了纯强化学习练推理的方法 📦 权重都放了出来，推理框架 DeepInfer 也开源了，Apache 2.0 📄 再看 Anthropic 报告写了什么 🧪 说打断了 7 家中国实验室的非法蒸馏攻击，没点名，报告里也没附证据 🤲 支柱 5 写着 AI 的好处人人共享 🚫 同一份报告里，禁止向受中国控制的公司销售，还一直呼吁收紧芯片出口管制 ⚖️ 自己也承认，目前没有任何强制的独立检查 我的看法 1️⃣ 这些论文和权重摆在网上，谁都能读。闭源大厂会不看？我不信。Anthropic 具体用没用，我没证据，不下结论 2️⃣ 在我看来，整个行业都从这些公开研究里学到了怎么省钱。报告里对中国开源一句致谢都没有，中国实验室出场，主要身份是"蒸馏攻击者"。功劳只往一个方向流 3️⃣ 说别人蒸馏，不点名，不给证据。说自己安全，又承认没人强制检查。这把尺子两头不一样长 4️⃣ "人人共享"和禁售、卡芯片写在同一份报告里，这个"人人"包不包括中国开发者，我读不出来

有各种重置卡还得早早用 才想起来我的 Claude 重置卡今天过期 可是这22 日，不知道是哪个时区失效 今天中午又是周额度重置时间 不管了，就用了，下次真得早点用

没有 DeepSeek 和中国大模型， 你信不信现在大部分人根本用不起 AI？ 看看 OpenAI 当年 o1-Pro 的价格， 输出 100 万 Token 敢卖 600 美元！😱 这他🐎的 Token 是黄金做的？🤣

Day 17/ Bet you thought we forgot, but no, it’s reset day today. Also good time to remind you to get Daybreak Blue access, it only takes 15 mins and you don’t want to have to do it in the middle of an incident.

Fully included in the Pro plan, doesn't draw on your weekly usage.

Railway 存密钥的系统被入侵，部分可能已被解密；官方让所有用户立刻换掉全部密钥，部署暂停中 在 Railway 上跑程序的开发者，现在就该把存在 Railway 里的环境变量全部换掉，包括 API 密钥、数据库密码和私有镜像仓库（存放打包好的程序）的登录凭证，再查查这些服务的日志。Railway 10 月 21 日说，存放客户环境变量的系统被外人访问，其中一部分可能已被解密成明文。一周之内，这是第二家替开发者保管 AI 密钥的平台出事。 Railway 是云托管平台，开发者把代码交给它打包、上线、运行。程序要用到很多“钥匙”，比如数据库密码、调用 OpenAI 或 Claude 的 API 密钥（按用量扣费的通行证，谁拿到都能花你的钱）。这些钥匙不写进代码，单独存在平台上，叫环境变量。 【官方说了什么】 Railway 说，初步看受影响的可能只是一部分用户，确认后会发邮件通知，但建议所有人先换。攻击者怎么进来、多少人受影响、密钥怎么被解密，都还没说。 部署全部暂停，谁都发布不了新版本。麻烦在于，换掉的密钥要重新部署才生效；要是先在服务商那边作废旧密钥，线上服务可能会断。先作废还是先等，官方没给建议。截至北京时间 22 日早上 6 点多，连企业版在内的所有用户都还不能部署，恢复时间未定。 【为什么盯上 AI 密钥】 Railway 认为，这次入侵属于最近一系列针对平台公司的攻击，目标是 OpenAI、Anthropic 这类按用量卖模型调用的 AI 推理服务商，它已通知这些公司主动作废相关密钥。它没点名其他受害平台，目前也查不到相关报道。 情况最像的是 AI 编程工具 OpenCode。10 月 16 日夜里，它的网页后台被入侵，1.4% 的用户存的 OpenAI、Anthropic、Google 密钥可能外泄。据 TechCrunch 等报道，有用户一夜被刷了几百到 1700 多美元。OpenCode 说这和一次大规模“蒸馏攻击”有关，也就是拿别家模型的大量回答训练自己的模型。两家都没说彼此有关联。 来源： Railway 公告：blog.railway.com/p/security-… Railway 状态页：status.railway.com/incident/… OpenCode 事件（TechCrunch）：techcrunch.com/2026/10/19/ha…

用 Node.js 的要升级了：三条版本线都有高危漏洞，最严重的可远程执行代码，eMudhra 那 8 枚坏证书也一并拉黑 用 Node.js 跑服务、写工具的开发者，这周要换版本了。10 月 21 日，Node.js 给还在维护的三条版本线发了安全更新：22.x 升到 v22.23.4，24.x 升到 v24.22.1，26.x 升到 v26.12.1。三条线都修了高危漏洞，最严重的一个，官方说可能被用来远程执行代码。 20.x 在 2026 年 4 月 30 日停止维护，25.x 在 6 月 1 日停止维护，这次都没有补丁。Node.js 在公告里提醒，每次发安全更新，停止维护的版本都会受影响，还在用的只能换到 22、24 或 26。 【最需要注意的几个】 Node.js 自带一个解压 Brotli 格式的组件。Brotli 是网页传输常用的压缩格式，HTTP 里写作 br。这个组件有越界写入的问题，也就是把数据写到了不该写的内存位置，官方说这能导致远程执行代码。公告对它只有这一句描述，没说什么情况下会触发。修法是同步了 Google Brotli 项目的一处改动，让解压程序更早发现并拒绝格式不对的数据。 另外三个漏洞出在 HTTPS 的证书核对上，两个高危、一个中危。Node 连 HTTPS 地址时，会核对证书上写的地址和你要连的地址是否一致，对不上就拒绝连接。这三个问题都和 IP 地址有关：IP 用全角数字写（输入法全角状态下打出的“１２７”这种），或者写法不规范、但能被宽松地认成 IP，核对就可能被绕过。修复后，Node 直接拒绝写法不规范的 IP 地址。全角数字那个只影响 24.x 和 26.x。 还有一个高危出在 dns.resolve（查域名对应地址的函数）：域名中间如果夹着一个空字符（NUL），Node 会在那里把名字截断，实际查的只是前半截。 中危里，用启动快照或者把程序打包成单个可执行文件（SEA）的要留意：crypto.randomUUID() 和 randomInt() 的随机数缓存会被一起存进包里，每次启动都生成同样的“随机”值。另有三个低危，涉及 26.x 读取 ZIP 文件，以及实验性的权限模型（--permission 开关）。 这次还更新了 c-ares、OpenSSL、SQLite、undici 等内置组件，修的是这些组件已经公开的漏洞。 【eMudhra 坏证书，Node 也拉黑了】 三个新版本都加了一份内置黑名单，第一批放进去的就是 eMudhra 那 8 枚出问题的中间证书。 这件事前几天刚曝出：印度发证机构 eMudhra 有 8 枚被各家系统认可的“网站公章”，盖章用的密码小到一秒就能算出来，谁拿到都能给任意网站做假证书。10 月 17 日被发现后，Chrome 和 Firefox 当天拉黑，eMudhra 18 日作废，Apple 19 日、Microsoft 20 日跟进，Node.js 21 日发版。 当时 Cloudflare 提醒，浏览器之外的程序要一路更新到编程语言这一层，Node.js 就在这一层。Node 内置了 Mozilla 的可信发证机构名单，却没有浏览器那种随时拉黑坏证书的机制，所以用这 8 枚章签出的假证书，旧版 Node 照样放行。这份黑名单对 Node 建立的所有加密连接都生效。修复的提交说明里写道，它和 Go 语言、Electron 拉黑的是同一批。 想测自己的程序还认不认这几枚章，可以用 Mozilla 工程师 Dennis Jackson 做的自查网站：emudhra.we-have-a-problem.co… 原文：nodejs.org/en/blog/vulnerabi…

We’re opening a research preview of Claude Duet, a new app where Claude works as a proactive agent. It comes to you with what needs your attention, completes tasks you ask of it, keeps working when you step away, and checks with you before it acts on your behalf.

Anthropic is a Public Benefit Corporation. Today, we’re publishing our annual Public Benefit Report. This report shares our five pillars and takes stock of the actions we’re taking to advance them. Read the full report at this page: anthropic.com/public-benefit…

今天 Hacker News 上炸锅的一个神帖：《用 AI 逆向工程硬件》。 原帖本来是一个温情的 Linux 开源驱动故事，结果评论区一位专业音频硬件老板的“自白”，直接让整个硬件与嵌入式圈子破防了—— 靠“专有算法”和“未公开协议”躺赚的硬件护城河，正在被 AI 在几天之内夷为平地。 👇

我有点想不明白： MiniMax 在视频和 Agent 上一直有动作，价格也打得很低。 为什么国内普通用户一提国产 AI，基本还是只有豆包和 DeepSeek？

Google AI Pro 的订阅套餐里面的 Gemini 4 Argon 的额度有点少的可怜，只有60M+的Token 这个价格如果买 ChatGPT Plus 可以用 8亿多Token 的 6.1 Sol 或者买 Claude Pro 可以用 30亿Token 的Opus 5.5 Google有点抠了🙃🙃🙃

Gemini 4 Argon 的实际使用感受分享来了 我这两天都是在 antigravity 里面去用的，一百刀的家庭套餐，消耗额度特别快，重度使用一两天就用完了。而且，这还是我搭配 CodeX 去做任务执行的情况。 Gemini 4 Argon 说话确认很有人味儿，比 Opus 5.5 的交流感更强，但是 Gemini 的默认风格是比较夸张化，喜欢用各种比喻、拟人、和浮夸的形容词，因此需要对他的说话风格进行一点限制，在一定的限制之下，他的表达就会自然很多。 其次是 Gemini 4 Argon 现在在 Agent 里面使用，效果之前的 Gemini 好很多，在上下文很长的情况下，依然可以保持目标不偏离，而且能够很好的去召回之前的一些对话的信息。 但 Gemini 4 Argon 的编程能力并没有那么强，我觉得比不上 GPT 和 Claude，偶尔还会有幻觉，审美也不如之前 Gemini 3.1 Pro。 Gemini 4 Argon 现在的优势在于交流感比 GPT 好很多，能够说人话，产品设计能力，规划能力也不错，可以算是 Claude 的平替，虽然价格不比 Claude 订阅便宜，但是使用门槛低。 我认为比较好的使用时间是。搭配另外一个专门用于干活儿的 Agent，例如说 Codex。只把 Gemini 当做主 Agent 的模型，他负责跟我们对话，负责去派发任务，还有任务的验收。这样。它的开销就不会那么大，而且也能够比较好的发挥它的长处。

Meta 内部用 Claude Code 的员工，从年初 6 万降到 3 万。 同一时间，他们自研的 Metacode 用户过了 3 万。 Replit 曾是 Anthropic 前五大客户，现在默认模型换成了 OpenAI。 我的看法：大厂一边用别人的 AI 写代码，一边在做自己的。 普通开发者别把工作流绑死在一个模型上。你主力用哪个？

很多人搞不清账户和卡的区别，那是因为中国的卡就是账户，国内的卡就是账户，是两者一体的。而在海外账户是账户，卡是卡。 我们更需要的其实是账户，有没有卡其实并不是特别重要。当然卡可以有提款卡、扣账卡，还有这种借记卡，还有各种卡之类的。 那么账户其实是最重要的。卡的话，其实大多数来说，虚拟卡已经满足绝大多数的场景了。卡可以用于消费，其实收款还是利用那个账户收就可以收付款。 所以账户比卡要重要，但是我们俗称的“港卡”是讲习惯了。你的港卡不一定都有卡。 实际上我们讲的本质是香港账户，它可能会配套有其他的卡片。

晚霞真的太绝了。 江面被染成金色，桥也成了剪影，整座城市像被温柔地拥抱了一下。 推友们，你们那边今晚有晚霞吗？ 
愿这份暖色能把所有疲惫都轻轻抹掉。