G师傅(MasterG)

东北 🇨🇳 → 湾区 🇺🇸
AI、科技、投资，也聊一路上的成长
🎙️《镜像122° 》主播
🏃 跑者 | 10K 55:28
希望普通家庭的孩子也能相信，世界很大。

[G师傅(MasterG) @Gucgit]

@ijustine 说实话，阅读才是对这类设备最诚实的测试：参数再漂亮，捧着读半小时长文，重量、屏幕比例和专注度全藏不住。能让人忘了手里是台手机、只记得书的内容，这个使用场景就真的立住了。

[G师傅(MasterG) @Gucgit]

@Reuters 最值得盯的其实不是漏洞本身，而是各家把网站关掉、打补丁、再重新上线花了多久。PHP 跑着全球约七成网站，这中间的窗口期，才是攻击者真正的机会。

[G师傅(MasterG) @Gucgit]

给大家科普一下今天的事故：PHP2Shell，为什么 impact 这么大？PHP 跑在全球约七成网站后台，光 WordPress 就占全网 43%。两个 9.2 分漏洞、免登录远程执行，而近一半 PHP 站点已过支持期、连修复版都没份。15 大站什么状态、洞是谁捅的，视频里说清。

[G师傅(MasterG) @Gucgit]

PHP 这次真出大事了：两个 9.2 分漏洞 PHP2Shell，免登录远程执行，全球约七成网站跑在 PHP 上。我扒了全球 15 大 PHP 网站：补丁发布 3 小时，公开表态的几乎为零。最后问一句：OpenAI、Wiz 把洞捅出来，是狗仔，还是吹哨人？声音是我的 AI 克隆声。
#PHP #PHP2Shell #网络安全

[G师傅(MasterG) @Gucgit]

@william40152988 有啥区别啊？

[G师傅(MasterG) @Gucgit]

@elonmusk 这份 Q3 里我最在意的其实不是交付量，是 FSD 在北美新车交付里的选装率过了 75%。四分之三的新车主一提车就把辅助驾驶拉满，特斯拉卖的越来越不像一台车，更像装着软件订阅的终端了。

[G师傅(MasterG) @Gucgit]

@dotey 这种事最怕的就是“等通知”三个字。密钥轮换其实也有顺序：先发新密钥、确认生效，再吊销旧的，不然容易半夜先把自己的服务搞挂。还有那些没人敢删的“僵尸密钥”，平时躺着，出事时全是入口，这次正好一并清掉。

[G师傅(MasterG) @Gucgit]

PHP 这次真出大事了：两个 9.2 分漏洞 PHP2Shell，免登录远程执行，全球约七成网站跑在 PHP 上。我扒了全球 15 大 PHP 网站：补丁发布 3 小时，公开表态的几乎为零。最后问一句：OpenAI、Wiz 把洞捅出来，是狗仔，还是吹哨人？声音是我的 AI 克隆声。
#PHP #PHP2Shell #网络安全

[The PHP Foundation @ThePHPF]

The PHP security team is giving advance notice: Upcoming security release Wed, Oct 21st 2026, 14:00UTC, two critical vulnerabilities, both rated CVSSv4 9.2.

PHP users are encouraged to prepare to update. Earlier release if details become public or active exploit evidence.

[G师傅(MasterG) @Gucgit]

@Reuters 用 PHP 建站的朋友这次真别拖：两个 RCE 漏洞 CVSS 都到了 9.2，而且从 2024 年就潜伏着了。PHP 撑着全网大半的网站，偏偏老站点最容易忘更新，赶紧打补丁才是正经事。

[G师傅(MasterG) @Gucgit]

@markgurman 这段历史对照很说明问题：iPhone 5、6 Plus 当年也只有一周适配期，槽点后来几周就平息了。这次 Duo 提前一个多月给开发者上手，真要观察的反而不是适配速度，而是六种开合形态这种新交互，用户愿不愿意长期买单。

[G师傅(MasterG) @Gucgit]

@Ruiruiwei666 咱俩是一个困境啊

[G师傅(MasterG) @Gucgit]

@OpenAI 这件事最值得琢磨的不是 AI 找到了漏洞，而是后面那两个月：修复要动 PHP 引擎，还得拉着维护者、安全厂商和无数站点一起升级。所谓 Defender's Window，本质上是协调窗口——发现速度已经不是瓶颈，全网打补丁的速度才是。下次攻防双方用的是同一套工具，拼的就是谁的披露和联动更快。

[G师傅(MasterG) @Gucgit]

@MKBHD 有个细节容易被忽略：Duo 展开后最值钱的不是屏幕变大，而是能并排跑两个 App 干活。现在这状态，等于花了折叠屏的钱、用着直板机的体验。三星 Fold 第一代也栽在这上面，最后靠系统级兼容加开发者慢慢跟进才补齐；苹果这次多半也得先拿自家 App 开刀立规矩。

[G师傅(MasterG) @Gucgit]

@StockSavvyShay @RealNickMugalli DSX 这步棋挺关键：英伟达等于把自己从卖卡的，往“AI 工厂的操作系统”又推了一步。对 neocloud 来说，被点名只是入场券，真正的分化还在电力和交付速度——谁先把机房点亮，谁才吃得到这波算力荒的溢价。

[G师傅(MasterG) @Gucgit]

@onlyhuman028 @FuSheng_0306 我已经是付费使用了，马上1个月了 我可以总结我的用法，敬请关注

[G师傅(MasterG) @Gucgit]

@Polymarket 飞行版 Roadster 这个饼从 2017 年画到现在，最有意思的反而是连法拉利的 CEO 都出来接话了。当传统超跑品牌开始公开谈“做梦”，说明叙事的话语权已经换到电动车这一边了。接下来就看谁能先把“梦”落到交付日期上。

[G师傅(MasterG) @Gucgit]

@Reuters 说合并容易，难的是给 SpaceX 定价。它的估值之前只存在于一级市场融资和内部交易里，一旦要和上市公司特斯拉换股，特别委员会就得拿出一个能说服两边股东的数，这等于逼市场第一次给太空业务标一个公开价格。

[G师傅(MasterG) @Gucgit]

我觉得@Apple 得iterate快点了，这是真切的商战

[G师傅(MasterG) @Gucgit]

健康帖｜一枚戒指，开始抢跑表的活儿了

Oura 今天（10/20）上线两个新功能：Cardio Effort 和自动 VO2 Max。

Cardio Effort：基于运动生理学的老标准 TRIMP（训练冲量），把每次训练的强度和时长折算成心血管负荷，再对照你自己的静息心率和近 6 周基线，给每周总量分五档——Light、Fair、Maintaining、Building、Reaching。戴满两周出个性化区间。它不直接决定第二天的 Readiness 分数，官方把"练了多少"和"恢复得怎样"分开算。

自动 VO2 Max：以前要专门做 6 分钟步行测试，现在不用了。在 Oura Labs 里（Ring Gen3 及以后），完成 5 次带 GPS 的步行、跑步或徒步后，系统直接从日常训练里估算，单位 ml/kg/min，分 Low / Fair / High / Peak 四档。

跑者视角，三句实话：

一，训练负荷和 VO2max 原本是 Garmin 们的门面。现在一枚没屏幕、没 GPS 的戒指，靠手机的 GPS 加上全天候心率，把这两样都做了。可穿戴的竞争正在从"谁传感器多"变成"谁的数据更连续"——戒指 24 小时不摘，恰恰赢在连续性。

二，估算终究是估算。VO2max 的金标准是实验室气体分析；独立研究汇总里，主流跑表的估算误差也在 7% 上下。Oura 这个还挂着 Labs 实验标签、没有独立验证——看趋势足够，别为小数点后的变化焦虑或狂喜。

三，最值得点赞的是态度：官方明确说 Maintaining（维持）就是健康目标，冲到 Reaching 档会直接提示你优先恢复。在所有 App 都拿连续打卡催你别断更的时代，有厂商把"这周练够了，可以歇"做成功能，不容易。

结论：我这种戴表跑步的人暂时不换。但攻守之势确实变了——睡眠和恢复是戒指的主场，现在它把手伸进了训练场。

[G师傅(MasterG) @Gucgit]

@theapplehub 传闻里屏幕、芯片、内存都是实打实的升级，横向前摄和防水也终于补上了。只是起步价从 599 美元涨到 899 美元，定位就完全变了：这个价位要是还只有 60 赫兹刷新率，真的很难说服自己下手。

[G师傅(MasterG) @Gucgit]

@sama 这步棋其实很关键：模型越强，安全就越不能是事后补丁，得跟能力一起长。做智能体这段时间我最深的体会是，权限和边界要是没先划好，跑得越快，出事时摔得越狠。

[G师傅(MasterG) @Gucgit]

同一天，微软给出了另一半答案：把 AI agent 当"内部威胁"来管。

周一发布的新工具给每个 agent 持续打风险分——看它能碰什么数据、行为有没有偏离被交代的任务。风险一升，权限自动收紧：先降为只读，再要求人工批准高风险步骤，极端情况直接关停。配套的动态权限只给"这个任务、这段时间"的访问，不再默认继承人的全部权限。

纳德拉 10 月 10 日那句话是这套东西的注脚："最值得信任的系统，不是最值得信任的那个模型，而是让你最不需要信任模型的那个系统。"

上半年大家比谁的 agent 更能干；下半年，开始比谁的 agent 更可控。

[Satya Nadella @satyanadella]

I recently wrote about why we need to treat models as insider risks, with security controls sitting outside the model itself.

Today, we're putting that principle into practice by expanding Project Perception with new capabilities to help continuously assess agent risk, adapt permissions, and contain threats.
https://t.co/ec3Z2B260G