此方的秘密基地

外观

每周见闻(90)：AI 带给我的变化

约 1967 字大约 7 分钟

2026-10-25

每周见闻：2026-10-19 - 2026-10-25

AI 带给我的变化

最近翻看了我 Github 主页的 Commit 记录，2026 年比两年前整整多了 10 倍。这种量级的变化显然和 AI 的使用有关。因此我想分享一下 AI 带给我的变化。

首先自然是效率的提升。公众号的更新频率从周更变到工作日日更。其中 AI 负责了合集系列长文资料的搜集、校验工作。自动化的同时并行效率也得到了提高。我可以多个窗口同时进行不同的工作。

其次是自信的提升。AI 降低了技术差距，让想法可以更快地落地。其实对于 Chrome 插件和 Electorn 我并不熟悉，但利用 AI 做完 MiaoMint 和 SkillCat 之后。让我对开发的门槛有了新的认识，对于新的想法也更愿意去落地和实践。于是这周我又带来了两个小工具。

墨观 Inkstone 中国传统色主题

基于中国传统色制作的主题。从色彩搭配、组合到官网设计，均交给 AI 制作。支持 VSCode 和其衍生编辑器，终端支持 tw93 的 Kaku 还有 OpenCode。

我自己喜欢其中的 「玄墨 Dimmed」 和 「沧海」 两个主题。已经上架插件市场，欢迎使用。终端配色则在仓库 README 中。

DS 娘 Http 状态网站

在某书上看到作者 Fatal1tyV 做的大肥鱼 Http 状态码图片系列，让我想到了之前看到的 Http Cat。于是便搓出了类似的网站。

同样地，只要你输入域名 + 状态码，可以直接获取到大肥鱼的 HTTP 图片。欢迎使用（不需要魔法） https://ds-http-status.konata9.cc/{code}.png

所以这就是 AI 带给我积极的一面。当然，每个人的时间都是固定的。既然 AI 让我有能力做更多的事，那自然休息也就相应减少了……不过，这就是后话了。

设计

1、Figma[^1]

标签：配色,设计

一个收录了 526 个中国传统颜色 Figma 网页。颜色很好看颜色也耐看。在不知道怎么设计配色的时候，可以把它丢给 Agent，让 Agent 调配出合适的颜色。

这个配色也是我最新制作的编辑器/终端主题：inkstone 的灵感来源。

AI

1、工信部警告 Claude Code 有后门？我扒了一下，发现不止后门7 月 8 号，工信部 NVDB 发了一则风险提示： - 掘金[^2]

标签：安全,Claude,AI 工具

A 社继续搞事，工信部 7 月点名 Claude Code 有后门之后，作者顺着社区逆向又扒出一串：判断中国用户的三层检测、藏在日期格式里的 Unicode 隐写，还有每次请求都变的 cch 字段，专门让第三方代理的缓存失效。这种变相消耗 Token 的手段真的太恶心了…

作者也给出了非官方的环境变量去控制这些开关，但代码毕竟在 A 社手上，或许某次更新后就失效了。我觉得还是得找好替代的手段，比如 Pi，OpenCode。

2、我抽查了 6 万个 Skills：前排没几个真货三个月前全生态 1400 个 Skills，现在 63000+，膨胀 4 - 掘金[^5]

标签：AI,Agent,代码审查

Skills 人人都会用，目前市场上 6 万多个 SKill 哪些是靠谱的呢？作者抽查了收录站排在前面的 Skills，发现前三名分别是一个完整应用、一份提示词合集和一个系统提示词仓库，根目录连 SKILL.md 都没有。

再往下扒，某code-reviewer 的三个「核心能力」是同一份文件改个名复制三遍，所谓的 analyze 就是一句 print，对着带 XSS 的代码跑出 0 findings。

def analyze(self):
    Perform the main analysis or operation
    if self.verbose:
        print(📊 Analyzing...)

下次再使用 Skill 时，最好还是看一眼里面的内容，免被滥竽充数。这里推荐一下我的 Skill 管理软件：SkillCat，可以方便地查看内容。

工具

1、sindresorhus/p-queue: Promise queue with concurrency control[^3]

标签：JavaScript,Node.js,并发,工具库

一个 Node.js 支持控制并发的 Promise 队列，零依赖。支持并发、优先级、限流、超时、AbortSignal 取消等主要功能。没有依赖 Redis、DB 等公共组件，适合单体服务或者无状态的队列使用。

import PQueue from 'p-queue';
import got from 'got';

const queue = new PQueue({concurrency: 1});

queue.add(async () => {
	await got('https://sindresorhus.com');
	console.log('Done: sindresorhus.com');
});

queue.add(async () => {
	await got('https://avajs.dev');
	console.log('Done: avajs.dev');
});

await queue.onIdle();

2、kksimp/Mac.apk: Mac.apk: Run Android apps natively on Apple Silicon Macs[^6]

标签：macOS,开源

一个不用虚拟机和模拟器就能在 Apple Silicon 上原生跑安卓 App 的项目，APK 直接当普通 macOS 进程跑，有 Dock 图标、独立窗口，还跟着系统切深浅色。不过它没有沙箱，在安装 APK 时需要注意安全方面。

技术

1、How to Gaslight JavaScript Programmers[^4]

标签：JavaScript,语言特性,前端

如何利用 Proxy 在运行时修改对象？作者给出了一段示例代码：obj 可以只让你看见 hello，实际上 goodbye 也能调，但如果你用 console.log、Object.keys、for...in 都不会显示这个隐藏对象。同时也能理解 Vue 的响应式为什么离不开 Proxy 了。

function getMysteriousObj() {
    const privateObj = {
        hello: () => console.log("hello"),
        goodbye: () => console.log("goodbye"),
    };

    const publicObject = { hello: privateObj.hello };
    return new Proxy(publicObject, {
        get(target, property, receiver) {
            if (property === "goodbye") return privateObj.goodbye;
            return Reflect.get(target, property, receiver);
        },
    });
}

const obj = getMysteriousObj();
console.log(obj);

安全

1、Eight Bits of Trust; eMudhra's CA keys cracked in milliseconds[^7]

标签：安全,密码学

继 PHP 惊天漏洞后，eMudhra 的八个中间证书的私钥泄漏。做过开发的朋友对非对称加密肯定不陌生，比如 SSH 用的 RSA 或者 ed25519 算法。

这一次的用的 P-384 本该是 384 位随机数，是 47 个字节的零加一个字节。理论上只要数足够大，破解几乎是不切实际的。但这次泄漏的私钥居然是 4、56、115 这种个位数。作者 Scott Helme 在笔记本上几秒就还原了全部私钥，又拿伪造的 api.stripe.com 证书去试 curl、Python、Node，默认配置全过。利用这点就可以形成中间人攻击。

浏览器由于强制 CT（证书透明度）和及时更新，基本安全。但 curl、Python、Node、Go、Java、git、包管理器、IoT 设备等大量非浏览器 TLS 客户端，默认不检查吊销、不检查 CT，只信任磁盘上的 CA bundle，因此仍然暴露在风险中。由于这些都是更系统层级的范围，这次的影响面远远要大于 PHP 的漏洞。

具体受影响的范围可以查看公告：https://emudhra.we-have-a-problem.com/?utm_source=scotthelme.co.uk

参考文章:

  • [1] Figma: https://www.figma.com/design/5gJsBEyypBoGo48GFRcd4F/526-%E4%B8%AA%E4%B8%AD%E5%9B%BD%E4%BC%A0%E7%BB%9F%E9%A2%9C%E8%89%B2-%E8%89%B2%E8%B0%B1--Community-?node-id=103-11115&p=f
  • [2] 工信部警告 Claude Code 有后门？我扒了一下，发现不止后门7 月 8 号，工信部 NVDB 发了一则风险提示： - 掘金: https://juejin.cn/post/7660360633646317618
  • [3] sindresorhus/p-queue: Promise queue with concurrency control: https://github.com/sindresorhus/p-queue
  • [4] How to Gaslight JavaScript Programmers: https://www.bryanpg.com/articles/pragma-twice/proxy.html
  • [5] 我抽查了 6 万个 Skills：前排没几个真货三个月前全生态 1400 个 Skills，现在 63000+，膨胀 4 - 掘金: https://juejin.cn/post/7698923838285316130
  • [6] kksimp/Mac.apk: Mac.apk: Run Android apps natively on Apple Silicon Macs: https://github.com/kksimp/Mac.apk
  • [7] Eight Bits of Trust; eMudhra's CA keys cracked in milliseconds: https://scotthelme.co.uk/eight-bits-of-trust-emudhras-ca-keys-cracked-in-milliseconds/

版权归属：konata9

许可证：署名-相同方式共享 4.0 国际 (CC-BY-SA-4.0)

贡献者: konata9