每日AI新鲜事·11月02日晚间版：编程工具安全与实战教程

今天AI圈又有不少新动静,尤其编程工具这边,新闻和教程都扎堆了. 今天咱们主要聊这么几件,一是Cursor被投毒11小时,二是DQN入门笔记,三是Vibe Coding漏洞,四是Claude Code读取网页的hook,五是Claude Code实战教程. 还有Codex App全攻略,以及一个猫娘陪学编程的开源项目. 嗯,都是硬货. 好,那咱们一条条来.先从最炸的开始. 刚看到YouTube上一条消息,标题挺吓人的.Cursor有个带后门的Claude扩展,在市面上流通了11个小时. 对,这个事关键不在11小时,在于它是怎么进去的.一个第三方扩展,能进到那么大的用户池里跑. 这不就是典型的供应链攻击吗?用户根本不会去查扩展源码. 没错.而且编程工具的权限太大了,能读代码能执行命令.后门一旦挂上去,想象空间很大. 那11小时下架算快吗?我看评论区有人说慢了. 不算快,但也谈不上灾难.重点是这类工具得把扩展审核和运行时隔离做起来,不然还会再来. 行,这条先记着.接下来说个轻松点的,Reddit上有个DQN的入门笔记. 这个我看到过,一页纸,把概念代码和数学串一起了.对比表格法跟神经网络近似,讲得挺清楚. 经验回放和目标网络这两个点,是不是新手最容易卡的地方? 对,没这俩训练就不稳.笔记里把伪代码和贝尔曼方程放一块,算是把坑都点到了. 好,下一条.YouTube上还有个短视频,专门统计AI写的应用里的安全漏洞. 两千多个,这数字听着夸张,但Vibe Coding就是这个路子.生成快,审得少. 所以写起来爽,上线就出事. 差不多.这类工具迟早得把静态扫描和依赖检查做成默认动作,不能靠人自觉. 然后还有一条,Reddit上有人拆了Claude Code读网页的过程. 这个挺有意思.它拿到的不是正文,是整页转文本的快照,导航广告评论区全在里头. 那不就是又费token又干扰判断? 对,所以原帖提议用hook在进模型前先裁一遍.不过裁剪顺序和规则都得调,没那么简单. 好了,新闻先聊到这儿,接下来咱们深挖一下B站上这波编程工具教程. 第一个是Claude Code的实战教程,标题就写着面向真实工程师,互动分一千多. 这类教程火是有原因的.文档讲的是功能,工程师想知道的是真实项目里怎么用. 第二个更猛,Codex App的保姆级全攻略,从安装到使用,互动分一千二百多,比Claude Code那条还高. 这说明啥?说明大家不是在挑工具,是在同时学好几个工具.这本身就是个信号. 等一下,你不觉得这有点矛盾吗?新闻里刚说AI写的代码漏洞两千多个. 不矛盾,反而是同一件事的两面.工具越普及,教程越火,安全债也攒得越快. 那你说这些教程该不该把安全实践也讲进去? 必须讲.不然就是教人开快车不教刹车.你看Reddit那条hook的思路,其实就该进教程. 有道理.那第三个就更有意思了,大二学生做了个猫娘陪学的编程软件,还全栈开源,互动分五千多. 五千多的互动分,比前两个教程加起来还高.你看,技术内容拼不过情绪价值. 你还别说,这种陪伴式学习,可能真能解决点枯燥的问题. 方向没错,但陪学是壳,内核还是得靠真本事.开源了倒是可以拿来看看它怎么做的. 所以这几个话题为啥偏偏现在火? 因为编程工具到了一个节点.大家不再问要不要用,而是问怎么用好,怎么用不出事. 总结一下就是,工具普及带来教程热,也带来安全债,安全和实战得一起讲. 对,谁能把安全和体验同时做好,谁就能留住用户. 行,今天就聊到这儿,明天见.