MartIn-赚钱版

AI 做站工具 Lovable 出事後甩鍋：數據泄露是行業通病，安全歸做站的人自己管

德國安全公司 Crissy Field 掃了 Lovable 上大量項目
很多站一加載就把 Supabase 數據庫記錄往外發，不用登錄

最狠的一個服務商直接暴露一千多條身份證件
護照號、有效期、國籍都躺在裏面
論壇用戶資料、聊天記錄、票務支付信息也有中招的

這類站很多是零基礎用戶搓的
Handelsblatt 問了 Lovable，對方說這是行業通病，條款裏數據安全歸做站的人自己

公司給你開的 AI 寫代碼權限，幾個月後可能說收就收：高盛剛把交易員手裏的 Claude Code 拿走了

Bloomberg 看到十月更新的內部指引
Anthropic 的 Claude Code 和微軟的 GitHub，現在基本只留給工程師

交易員、銀行家用了幾個月
有人已經拿它盯客戶交易流、模擬倉位，現在用不了了
只有一邊做交易一邊寫代碼的 strats 崗不受影響

七月 CIO Marco Argenti 還公開說，非技術同事用 AI 搓出原型，再丟給約 1.2 萬工程師打磨
非工程師現在得換別的工具，或者用行內自己的助手

上週摸進 Anthropic 工資條和 Slack 的那家安全公司，這周被 OpenAI 請來攻自家系統

安全公司 Cathedral 走 Anthropic 自己的漏洞賞金計劃，用 AI 智能體鑽第三方辦公軟件，自稱不到 12 小時摸到會議記錄、薪資和 Slack

Anthropic 說只碰到一小部分銷售、人事、IT 系統，Claude 對話、源碼和模型權重沒漏，當天就切了訪問，還指責對方誇大其詞、沒按規則全盤披露

OpenAI 11 月 2 日發公告，下一輪內部安全衝刺正式聯手 Cathedral，用自家模型一起打自家防線，公告裏一句舊賬都沒提

美國最大的加密交易所 Coinbase 宣佈，AI 可以替你 24 小時炒合約了

官號說，搭上 Deribit 的全球衍生品已對合資格用戶開放，賬戶接到常用 AI 平臺後，它可以做研究、寫策略、下單

CEO Brian Armstrong 今天親自錄屏推新註冊頁，註冊時能直接選「For your agent」
口號是做成「最 AI 化的金融賬戶」

平臺寫明交易失敗的責任在用戶，額度你設，隨時能斷開

讓 AI 替你上網的人注意：它用的瀏覽器沒打穀歌上週的補丁，點開一個壞網頁，電腦就可能被接管

開發者 nisten 今天提醒，Playwright 最新正式版自帶的 Chromium 還停在谷歌修洞之前
其中一條嚴重漏洞，網頁做手腳就有可能跳出沙箱跑代碼

官方文檔寫着它的沙箱默認關着
很多人在主力機上讓 Agent 直接開網頁

更新日常 Chrome 管不到這套瀏覽器
要等 Playwright 自己發新包，或者先別在本機裸跑

客戶在付錢，店主在等錢，錢卻全進了第三個人的錢包

安全公司 Defused 昨天抓到，有人在野外打一個叫 CryptoPayment Gateway 的 WordPress 收幣插件，滿分 10 分的洞

這個洞不用登錄
任何人都能讀到店裏存的錢包信息，也能直接改掉收款地址

客戶付錢還以爲付到店裏，其實進了別人地址
到現在還沒補丁

3800 萬美元被盜，交易所說控制住了，黑客卻還在用你的充值地址往外轉幣

鏈上公司 Bitquery 跟到，交易所喊停之後還過了兩小時
黑客還能給用戶充值地址簽字
幣繼續往外搬

交易所是巴西最大的 Mercado Bitcoin
官方後來自己報了涉及金額，約三千八百萬美元，並稱客戶不會虧錢

充提到現在還停着

今天開始，Claude 寫的每一個字都帶水印，老模型也躲不掉

水印藏在用詞習慣裏，不多加一個字符
複製粘貼帶得走，改幾處也不一定洗得掉

8 月以後的新模型早就帶着，Opus 5.5 也在內
11 月 3 日起，Opus 4.6 和 Sonnet 4.6 這些老模型也補上

檢測工具現在只給監管和媒體，教育機構也在名單裏
付錢用 Claude 的普通人，不在名單裏

剪輯師該慌了，有人一句話丟給 Claude Code，58 分鐘素材自己剪成了 10 分鐘 vlog

levelsio 把大疆裏拍的素材全拷進一個文件夾，在裏面打開 Claude Code
就說了一句“幫我把這些剪成一條發 X 和 YouTube 的 vlog”

Claude 先在他 MacBook 上把他說的話全轉成文字
再每隔幾秒抽一幀拼成大圖看畫面，連哪句是他本人在說都分得出來
最後挑片段寫成一張剪輯表，58 分鐘素材剪到 10 分鐘左右

這些步驟是有人問他怎麼剪的，他回頭翻了才知道
他說要是沒 AI 剪，他壓根不會拍 vlog

THORChain 停了快兩天還不敢開，官方給的理由是這個漏洞已經人人都知道了

10 月 31 日晚上 19:34，以太坊回滾了一個區塊
有筆 10 ETH 的充值就在這個塊裏，鏈上根本沒到賬
THORChain 卻已經記了賬，兌換沒成交又原路退了款，金庫憑空付出去一筆

錢後來是那位用戶自己還回來的
官方覆盤寫得很直白，只要外部鏈再回滾，有人用同一個編號重發一筆，金庫就可能照付

所以 BTC 和 ETH 的兌換到現在還停着，SOL 和 DOGE 也沒開
哪條鏈先恢復，要等節點投票

你交易所賬戶裏的錢，可能一天就被人提光
一家歐盟機構剛在 11 月 1 日丟了 1.06 億美元

錢是從它在好幾家交易所的賬戶裏提走的，提的是 USDC 和 USDT
這家還不是加密公司，名字也沒公開

對方一天之內把穩定幣換成 ETH
再走即時兌換平臺換成門羅幣，跨了好幾條鏈

穩定幣能凍，換完之後基本凍不了
ZachXBT 現在只說是疑似，這家機構還沒出來說話

10 月 9 家 AI 開發平臺被掏了環境變量，11 月第一天又來一家

這回是 Trigger.dev，專門給人跑 AI agent 和後臺任務的平臺
攻擊者拿到了一部分組織的環境變量
這裏頭一般放的就是數據庫密碼和各家模型的鑰匙

有用戶先收到了通知郵件，跑來 X 上問是不是被黑了
官方過了一陣才掛出公告，一共五句話
怎麼進來的、多少家中招，都沒說

狀態頁上這條事故掛出來那一刻，就已經標成了“已解決”

那個刷屏的 Anthropic “泄露模型”，有人真把 7TB 多全下完了，裏面全是隨機數

倉庫叫 burner22/numbat，號稱 Anthropic 下一代 Mythos 級的訓練存檔
代號借的是 3 月 Claude Code 源碼泄露裏出現過的真名字，賬號上傳前一週才註冊
Hugging Face 自己數出來的參數量，只有它說的一半

凌晨 FloxUnder 只下了一小段就看出來，部分權重拿張量名字當種子就能逐位算出來
今天 ressl 把整份下完核了一遍，所有歸一化層和卷積核全對上，打包倒是一點毛病沒有

模型卡還寫着可以用 trust_remote_code=True 加載，等於讓一個新註冊小號寫的代碼在你電腦上跑
頁面上的下載數還在漲

用 Claude Code 做遊戲的注意，被它拒了先別急着換工具，Anthropic 的人自己留了個申訴口

10 月 27 日前後，Claude Code 從服務器收到一條新規則
可以做原創遊戲和某個類型的遊戲，不能照着一款現成遊戲重做，改名也不行
本地沒有開關能關

Anthropic 的 Addy Osmani 出來認了，說是在 Opus 5.5 的提示詞里加了兩句話
理由是拿 Claude 侵犯別人 IP 本來就違反使用政策

他還補了一句，如果 Claude 拒掉的是你自己的東西，直接發給他

oh my claude可以卸載了

Claude原生支持了長期任務執行，你可以給一個目標，讓Claude給你自動跑一晚上

你可以試試直接讓cc給你每天賺50美元，看看能不能實現😎