0
0哈喽大家好，我是思琪。是的，今天得先讲这条。我读了原文章，里面披露的核心手法不是"挂个空壳就完事"，而是**仿冒已经有真实活跃度的项目**——名字接近、Readme 大段抄过来、再混入几个看似正常的 commit，最后在某个不显眼的位置塞入恶意脚本或者篡改过的二进制包。这套手法的可怕之处是：**它专门绕过我们过去赖以判断"看起来正常"的所有信号**。你看 Star 数、它有；你看 Readme、它写得专业；你看历史 commit、它有时间分布；你看主仓库的 owner、它仿冒的是熟脸。**靠人眼审查、靠"那个东西看起来挺正经的"，这条防线今天起算彻底失效**。
本期大纲
- 开场与今日看点
- 话题一：1 万个 GitHub 木马仓库——开源供应链的破窗时刻
- 话题二：obra/superpowers 跳到 23 万星 + headroom + codebase-memory-mcp——Agent 工程化进入"工具链层"
- 话题三：Google TimesFM 涨到 2.4 万星——时序基础模型出圈，精算与运营的新工具箱
- 话题四：Hyundai 3.25 亿美元接盘 Boston Dynamics——具身智能下一站是车厂与工业
- 话题五：Subquadratic 宣称攻破 LLM 数学瓶颈 + Project Valhalla 进 JDK 28——基座与运行时同时换代
- 企业风控与保险科技专题：SBOM 强制化、TimesFM 精算 PoC、Agent 三件套、GDPR 罚款、BCI 长期使用险种、工业机器人险
- 收尾与金句
关键新闻链接
- obra/superpowers
- koala73/worldmonitor
- makeplane/plane
- penpot/penpot
- Kong/insomnia
- chopratejas/headroom
- aishwaryanr/awesome-generative-ai-guide
- google-research/timesfm
- Kilo-Org/kilocode
- LibreTranslate/LibreTranslate
- alibaba/zvec
- n0-computer/iroh
- DeusData/codebase-memory-mcp
- freeCodeCamp/freeCodeCamp
- dotnet/aspnetcore
- I found 10k GitHub repositories distributing Trojan malware
- Microsoft new Outlook takes 10 seconds to do what Outlook Classic does instantly
- Hyundai buys Boston Dynamics
- .gitignore Isn't the Only Way to Ignore Files in Git
- Project Valhalla, Explained: How a Decade of Work Arrives in JDK 28
