Evan Lin@LINE DevRel

Passionate about @Golang, LLM App. Tech Evangelist at @LINE_Dev, driving innovation in Taiwan. Proud #GoogleDevExpert for the Go programming language.

[Grok Bot @bot]

Grok Bot can now use your 1Password account.

Approve the logins you want to share, and your Bot signs in for you. This new integration is rolling out to users over the next few days.

[Evan Lin@LINE DevRel @Evan_Lin]

My agent scored 0.0000 on trajectory accuracy on its first eval run.

Why? agents-cli eval silently drops empty-content events, erasing every intermediate node in my Go ADK workflow.

A tiny setNodeTrace helper took it 0.0 → 1.0.

Part 5 👇
https://t.co/bQw2VPCUMP

#AIAgents #Gemini4Argon #GDE

[1Password @1Password]

Today we announce 1Password for Agents platform, building with companies @Muse, SpaceX Super Intelligence Grok @Bot, @AnthropicAI’s @Claudeai, @OpenAI, @TownAI, @Browserbase, @Browser_use, @heydana_ai, Instinct, @usekernel, @Perplexity_ai, @tryramp, @Tomo, and @wajo_ai, with more integrations on the way. 🎉

We've heard from so many of our customers who want to use these new personal AI agents to help them get more done, but want more control over what the agent can access with the same trust and ease of use they get when using 1Password directly.

1Password for Agents gives your agents access without giving up your passwords. When an agent reaches a sign-in form, it requests a credential from your vault. If you approve the request, 1Password directly auto-fills the credential in the destination site so the agent can’t see or take possession of the credentials.

The agent gets the task done, but it doesn’t get your passwords..

You stay in control. 1Password for Agents free and optional for personal and family accounts. Unless you opt-in to an agent connector, agents cannot touch your vault.

➡️Learn more: https://t.co/KxDcCum2iE

[Denny Ku @opnionateDenny]

通常我不推廣跟自己工作內容有關的事，但如果你個人付費帳號還沒有申請 Daybreak ，快去！
除了需要一個 hardware key 登入才能用之外，沒有額外的成本，但能幫你避免掉很多無謂的限制、以及更強的 security 能力
我們已經進入一個人人都該是 cyber defender 的時代
https://t.co/thputoZ6Es

[Tailscale @Tailscale]

Google Reader might be dead, but RSS is alive and well.

Build your own RSS hub with Tailscale. Read what you want, from any browser, without exposing it to the open web.

Build a thing. Escape the algorithms.

More on the blog:

https://t.co/Y9BsQFbuy3

[Evan Lin@LINE DevRel @Evan_Lin]

LINE Touch 10/21 正式上架，「碰一下」串聯 LINE 服務
打造 LINE 生態圈線下入口，協助企業串起線上線下服務體驗

LINE 台灣宣布，LINE Touch於今日正式上架，打造串聯實體場景與 LINE 數位服務的解決方案。消費者只要以支援 NFC 功能的手機輕觸設置於門市、櫃位或活動現場的 LINE Touch，即可快速開啟 LINE 官方帳號、優惠券、集點卡與 LINE MINI App 等指定服務，為 LINE 生態圈開啟全新線下入口。即日起，企業可透過 LINE 官方帳號管理後台購買並設定 LINE Touch，即可依不同場景彈性設定服務內容，讓每一次實體接觸都能進一步延伸為後續互動與服務機會，持續放大互動價值！

完整新聞資訊請參考官網：https://t.co/P5B2dBvCAt

[Intl Econ Observe @IEObserve]

AI發現的PHP漏洞嚴重到日本首相要轉發警告
——
Cloudflare的CEO:

在過去 24 小時內，披露了兩類極其嚴重的網路安全漏洞。第一類可能影響所有上網人士。第二類則影響幾乎所有運行伺服器的人。

tl;dr：每個人應盡快升級作業系統和瀏覽器。如果您運行伺服器，應盡快升級 PHP（或確保在不使用它時移除它）。

第一類漏洞是一組根 TLS 憑證，被發現擁有極其簡單的私鑰。字面上就是數字 4。這些根憑證由 #eMudhra 控制。問題在於，憑藉此漏洞，攻擊者可以建立憑證，並在能夠介入流量路徑時，攔截至任何網站或服務的流量。解決方案是停止信任這些易受攻擊根憑證所簽發的憑證。對於大多數網際網路使用者來說，升級瀏覽器和作業系統是最快的做法。

第二類漏洞並不直接影響大多數消費者，但會影響幾乎所有運行伺服器的人。這些漏洞被稱為 #php2shell。PHP 是最廣泛使用的網頁程式語言之一。估計有 70% 的網站運行於 PHP。這些漏洞允許攻擊者向運行 PHP 的伺服器發送精心製作的查詢集，並可能接管伺服器。從那時起，他們可能讀取、修改、刪除或重新利用伺服器上的任何內容。解決方案是盡快將 PHP 升級至最新版本。即使您未在網頁開發中使用 PHP，它通常也會預設包含。因此，請確保它已升級或完全移除。

[International Cyber Digest @IntCyberDigest]

‼️ BREAKING: The private keys of 8 certificates from Indian certificate authority eMudhra were compromised, Mozilla says. Firefox blocked them within 3 hours.

Each key should be a 116-digit number, but one was just 4.

Anyone can guess them and forge HTTPS certs for any website.

[宝玉 @dotey]

用 Node.js 的要升级了：三条版本线都有高危漏洞，最严重的可远程执行代码，eMudhra 那 8 枚坏证书也一并拉黑

用 Node.js 跑服务、写工具的开发者，这周要换版本了。10 月 21 日，Node.js 给还在维护的三条版本线发了安全更新：22.x 升到 v22.23.4，24.x 升到 v24.22.1，26.x 升到 v26.12.1。三条线都修了高危漏洞，最严重的一个，官方说可能被用来远程执行代码。

20.x 在 2026 年 4 月 30 日停止维护，25.x 在 6 月 1 日停止维护，这次都没有补丁。Node.js 在公告里提醒，每次发安全更新，停止维护的版本都会受影响，还在用的只能换到 22、24 或 26。

【最需要注意的几个】

Node.js 自带一个解压 Brotli 格式的组件。Brotli 是网页传输常用的压缩格式，HTTP 里写作 br。这个组件有越界写入的问题，也就是把数据写到了不该写的内存位置，官方说这能导致远程执行代码。公告对它只有这一句描述，没说什么情况下会触发。修法是同步了 Google Brotli 项目的一处改动，让解压程序更早发现并拒绝格式不对的数据。

另外三个漏洞出在 HTTPS 的证书核对上，两个高危、一个中危。Node 连 HTTPS 地址时，会核对证书上写的地址和你要连的地址是否一致，对不上就拒绝连接。这三个问题都和 IP 地址有关：IP 用全角数字写（输入法全角状态下打出的“１２７”这种），或者写法不规范、但能被宽松地认成 IP，核对就可能被绕过。修复后，Node 直接拒绝写法不规范的 IP 地址。全角数字那个只影响 24.x 和 26.x。

还有一个高危出在 dns.resolve（查域名对应地址的函数）：域名中间如果夹着一个空字符（NUL），Node 会在那里把名字截断，实际查的只是前半截。

中危里，用启动快照或者把程序打包成单个可执行文件（SEA）的要留意：crypto.randomUUID() 和 randomInt() 的随机数缓存会被一起存进包里，每次启动都生成同样的“随机”值。另有三个低危，涉及 26.x 读取 ZIP 文件，以及实验性的权限模型（--permission 开关）。

这次还更新了 c-ares、OpenSSL、SQLite、undici 等内置组件，修的是这些组件已经公开的漏洞。

【eMudhra 坏证书，Node 也拉黑了】

三个新版本都加了一份内置黑名单，第一批放进去的就是 eMudhra 那 8 枚出问题的中间证书。

这件事前几天刚曝出：印度发证机构 eMudhra 有 8 枚被各家系统认可的“网站公章”，盖章用的密码小到一秒就能算出来，谁拿到都能给任意网站做假证书。10 月 17 日被发现后，Chrome 和 Firefox 当天拉黑，eMudhra 18 日作废，Apple 19 日、Microsoft 20 日跟进，Node.js 21 日发版。

当时 Cloudflare 提醒，浏览器之外的程序要一路更新到编程语言这一层，Node.js 就在这一层。Node 内置了 Mozilla 的可信发证机构名单，却没有浏览器那种随时拉黑坏证书的机制，所以用这 8 枚章签出的假证书，旧版 Node 照样放行。这份黑名单对 Node 建立的所有加密连接都生效。修复的提交说明里写道，它和 Go 语言、Electron 拉黑的是同一批。

想测自己的程序还认不认这几枚章，可以用 Mozilla 工程师 Dennis Jackson 做的自查网站：https://t.co/iJDiH3dZ4O

原文：https://t.co/0Ib8AIHPaX

[Node.js @nodejs]

🔐 Node.js security updates are now available!

New releases for Node.js 22.x, 24.x & 26.x address multiple vulnerabilities, including high-severity issues.

Review the details and update your systems to stay secure.

🔗 https://t.co/W4kfzx5lxz

#NodeJS #Security

[凡人小北 @frxiaobei]

你还记得 Google Reader 吗？

我 08 年就是它的重度用户。13 年它关了，我开始到处找替代品：Feedly、Inoreader，还有 Mac 上很漂亮的 Reeder，都用过，但总差点意思。

后来用 Readwise 收集阅读书签，它推出 Readwise Reader 后，我就把订阅都搬了过去。再后来 AI 火了，我把源切到开源的 RSS 上，让 AI 先做一遍简单解读，再推送到我的 Telegram。

为什么一直这么折腾？

因为我不想打开某个网站去看它的推荐榜单。人一旦掉进信息茧房，就很难看到茧房外面的世界。自己挑的源，至少知道信息是从哪来的。

还有件挺开心的事：当年在 Google Reader 里订阅的那批优秀博主，现在好多都在推特上又遇到了，身边还多了不少新的好作者。

平台一直在变，但值得订阅的，始终是那些有深度思考、愿意表达的人。

[The PHP Foundation @ThePHPF]

The PHP security team is giving advance notice: Upcoming security release Wed, Oct 21st 2026, 14:00UTC, two critical vulnerabilities, both rated CVSSv4 9.2.

PHP users are encouraged to prepare to update. Earlier release if details become public or active exploit evidence.

[Mike Kipruto @itsMikeKipruto]

Not just PHP. Node.js has also announced security releases for October 21, with HIGH-severity vulnerabilities affecting its 26.x, 24.x and 22.x release lines.

If you run either stack in production, keep an eye on official advisories and apply patches promptly.

Security maintenance doesn't stop at your application code. Your runtime matters too.

Node.js advisory: https://t.co/rmgw4sOnqU

[Cloudflare @Cloudflare]

Cloudflare has deployed default web application firewall (WAF) protections for newly disclosed PHP vulnerabilities before public disclosure. The rules use request and response signals to stop exploit attempts and prevent exposed data from reaching attackers. https://t.co/OQG4x6x858

[Cloudflare Developers @CloudflareDev]

⚠️ Vulnerability alert: php2shell

Unpatched sites running PHP 5.4 or later are at risk of remote code execution, data exposure, and crashes.

If your site’s web traffic is proxied through Cloudflare, we deployed protections before official public disclosure. Check the blog post to see which mitigations are enabled by default.

Even with these mitigations in place, update PHP as soon as possible to fix the underlying vulnerabilities.

https://t.co/3xLjlkUX8u

[Go @golang]

👩🏽‍🔬 Go 1.27.3 and 1.26.10 are released!

🔐 Security: Includes 1 security fixes to the standard library.

🗣 Announcement: https://t.co/x2K0jZa75h

📦 Download: https://t.co/W6zj0EZicx

#golang

[AI超元域 @AISuperDomain]

在不改任何模型权重的前提下，Google Research 开源的 Harness² 仅靠自动重构外围工程系统，就让 Agent 基准表现最高提升了 11.8 个百分点。

Agent 遇新任务失效，瓶颈往往不在模型，而在写死的提示词、工具和编排逻辑

Harness² 把这套外围系统（Harness）变成了可递归自优化的变量：

• 无答案自博弈：通过“提议-探测-合成”（Propose–Probe–Compose）对比不同改动的执行行为来合成新系统，无需标准答案反馈；任务结束后还会沉淀经验更新底层系统

• 8 个可编辑组件：动态调整 System Prompt、Guardrails、Memory、Tool Guidance、Subagents、Skills、Scripts 和 Plugins

• 实测收益（官方报告）：单步递归即可让 GLM-5 和 Gemini 3.5 Flash 在 WorkBuddy-Bench 最高涨 11.5 分、JobBench 涨 4.5 分、LAB 涨 11.8 个百分点

https://t.co/fGgPG0lbAA

[Evan Lin@LINE DevRel @Evan_Lin]

這篇把 Harness2 的雙層遞迴機制看了一遍，特別留意到他們用 Propose-Probe-Compose 來處理未知任務的方法，這點跟我過去在除錯代理程式行為時的直覺很像。

雖然它依賴較多的運算資源去跑候選驗證，但這種不調整模型權重、直接優化周邊系統的思路，在工程實務上確實比較好落地。我已經把這篇丟給團隊當作下次架構評估的參考。

#EngineeringLeadership #AIAgents

🔗 原文連結： https://t.co/NCpaKmU0kE

[Evan Lin@LINE DevRel @Evan_Lin]

I have been on the wrong side of agent demos that fall apart the second they hit production because we crammed everything into a single prompt. Evan Lin breaks down how to use Google ADK 2.0 graph workflows in Go to separate control logic from model reasoning cleanly.

The real value here is the implementation of fan-out parallel retrieval and human-in-the-loop state pauses that actually survive user edits without building fragile database state machines. I am sharing this with my team today.

#GoLang #SoftwareEngineering

🔗 Link: https://t.co/dcaXQasCPP

[Evan Lin@LINE DevRel @Evan_Lin]

https://t.co/G82KV3LQpi

使用 Golang ADK 2.0 的新功能 Graph Workflow 重新打早名片小幫手，掃到客戶名片的時候馬上（使用 Fan Out) 同步去搜尋該公司近期的發展之外，還會同步對齊行事曆來自動標記在哪個研討會遇到這個人。也有加上讓使用者確認(Human In The Loop)，讓使用者可以在輸入名片存檔前可以再次思考。

接下來應該會將一些 Agent 放上 Agent Platfor 上面。