你昨晚睡觉，npm 仓库被人悄悄塞了颗雷。
今天早晨 5 分钟，把昨天科技圈没看到的补回来。
01 / TanStack npm 供应链攻击
npm 令牌泄露，Router 包被植入恶意代码。
TanStack 官方发了事后分析：攻击者得手后直接推了个恶意版本上去。
影响范围涉及 GitHub issue #7383，已修复并加强令牌管控。
这不是第一起，也不会是最后一起。你的项目依赖链查过吗？
HN 487 分 / 167 评 · 来源：tanstack.com
02 / 「我要回归手写代码了」
开发者在 k10s.dev 发了一篇文章，宣布从 AI 辅助编程回退到手写代码。
HN 917 分、562 条评论，是昨日第二热帖。
核心论点一句话：AI 代码的隐性维护成本被严重低估——写得快，改起来慢。
评论区有人反对，有人点头，有人说「我已经这么做了三个月了」。
你现在哪一边？
HN 917 分 / 562 评 · 来源：blog.k10s.dev
03 / AI Agent 学会自己付钱了
AWS 联手 Coinbase、Stripe 推出 Amazon Bedrock AgentCore Payments。
Agent 执行任务时，可以在循环中自主调用 API、付款给子 Agent、购买数据——全程无需人工审批。
底层走的是 x402 协议（Coinbase 开源），在 Base 链上用 USDC 结算，约 200ms 到账。
x402 上线首年已处理超 1.69 亿笔支付。
有人总结得很到位：「2026 年 Agent 学会工作，2027 年学会交易。」
来源：r/artificial · 2026.05.11
04 / 注册 Gmail，现在要扫码发短信
Privacy Guides 社区发现 Gmail 注册流程悄悄变了：
以前是接收验证码，现在需要你扫一个二维码、主动发送短信。
区别在哪？Google 由此强制拿到你的手机号。
匿名注册，基本宣告终结。
HN 555 分 / 398 评，隐私类最高热度。
评论区延伸讨论：所有 AI 笔记工具的监听问题也顺带被翻出来了。
HN 555 分 / 398 评 · 来源：discuss.privacyguides.net
05 / NousResearch/hermes-agent：日增 2065 星登 GitHub 日榜 #1
自学习 AI Agent，支持 200+ 模型，内置 Telegram / Discord / Slack 网关。
最新版 v0.13.0「The Tenacity Release」，总星数已达 144,822。
它的卖点是「封闭学习回路」——Agent 从每次对话中自动提炼 skill，下次用得上，不用你反复解释。
Nous Research 的说法：「the only agent with a built-in learning loop」。
这赛道现在挤得很。但日增 2000+ 的项目不多。
#科技日报 #AI 前沿 #开发者必看 #npm 安全 #AIAgent #隐私 #GitHub 热榜 #每日科技热点
Comments