1023 | 圈地与裂痕：AI、漏洞与数字世界的迁移

茉莉: 大家好，欢迎收听本期节目，我是茉莉。

白桦: 我是小哥白桦。今天这一期，故事的线索其实都绕着同一个词转，信任。信任知识是不是被少数模型封装了，信任你手里的平台会不会哪天就关了，信任一台设备、一个证书、一个支付系统，甚至信任自己的名字还是不是自己的。

茉莉: 我们会照着讨论的顺序走，从一条论文开始，它把今天的很多现象都串了起来。咱们直接进第一题吧。

白桦: 好。第一题：AI 圈地运动。有一篇论文提出，AI 正在让学术信息公共领域发生一次 Enclosure，就是圈地。这个比喻来自十七世纪英国的圈地运动，公共牧场被一根根围栏圈起来，变成私产。论文的意思是：学术上大家共享的信息，现在被装进封闭的模型里，知识不再是放在公共草地上的东西，而是被封在某个公司模型里、要通过 API 付费调用的东西。

茉莉: 这个比喻我觉得挺有力的。历史上一公共资源被围起来之后，使用者就丧失了直接接触它的权利，只能通过地主。放到今天，如果知识生产越来越依赖封闭模型，研究者和公众想要的是查一篇文献，得到的却是模型给出的一段概括，中间隔了一层。

白桦: 而且有意思的是，这不仅仅是获取方式的问题，模型本身会怎么输出，也在影响我们能不能接触到真实的分歧。说到这儿，就得提那个实验了。有人设计了一个问题去测试十二个不同的 AI 模型，一共拿到三十五个回答。这个问题故意设计得有争议，结果三十五个回答里，二十九个给出了同一个立场：人类会为了群体归属而牺牲真相。

茉莉: 二十九比三十五，跨越十二个模型，这个收敛度确实扎眼。你想，设计这个问题的人本来期待看到模型们各说各话，因为这是真正的社会性争议问题，人类内部都有激烈分歧。结果模型们整齐划一。

白桦: 这就引出了评论区里两条最有意思的讨论线。第一条：这种输出收敛，本身算不算就是论文说的那种圈地效应？不同的模型，可能背后是同一批语料、同一套训练偏好、同一些对齐策略，最后大家都往同一个方向挤。表面上你有十二个模型可以选，实际上声音越来越像是一个。

茉莉: 第二条更细一点：如果模型反复向你灌输这个所谓共识观点，那它对人们判断真相会有什么影响？有人担心，这其实是在悄悄重定义什么叫主流看法。一个本来有争议的立场，因为你在各种模型里反复听到同样版本，慢慢就觉得它不言自明了。

白桦: 而且我觉得要公平地说，评论区也不是一边倒。也有人替模型说话：一个问题如果有一个分析上说得通的答案，模型趋同未必是坏事，就像问水的化学式，大家答案一样很正常。反驳的人则说，问题在于这不是化学式，是关于人类行为的价值判断，模型没有立场却表现得像有立场，这恰恰是最该被看清的地方。

茉莉: 还有个没解开的问号：这种趋同到底是训练语料的产物，还是对齐过程中刻意趋稳的结果？没有实验能分开这两者。不管答案是什么，它和那篇论文放在一起看就很耐人寻味，围起来的不只是知识的存放方式，连观点的分布形状也可能被围起来了。

白桦: 从抽象的圈地，我们落到一个具体公司的具体工具上，OpenAI。这个过渡很自然，因为接下来这组内容，就是人在 AI 辅助下能做出什么。

茉莉: 三条消息放在一起看，特别像一组对照实验。先说最抢眼的：有开发者搞出了 Switch 2 的第一个纯软件越狱，固件版本 23.0.1，之前都是要靠硬件手段的，这次完全靠软件。技术路径是利用 SmileBASIC 里的一个整数溢出。

白桦: 补充一句背景，SmileBASIC 是主机上一个官方提供的编程环境，本来是给爱好者写小游戏用的，结果成了突破口。作者自己说，这个过程里用 Codex 辅助，前后大概两周的活儿。一个官方给小朋友写程序的工具，被用来把整台主机的安全模型拆了，这个讽刺感很难不做个标题。

茉莉: 然后 OpenAI 自己发了一个官方的 Go 语言命令行工具，叫 openai-cli，Apache-2.0 协议。听起来是好事吧，官方工具，开源。但评论区的第一反应很有意思，很多人拿它跟 Codex 对比，说这个不像 Codex，本质上就是一个 API 封装，包了一层接口而已，没有那种 agentic 的能力。

白桦: 所以评论区在读这个发布时的语气，不是欢呼，而是拿它当一面镜子照：同一家公司，对外提供的东西有两种形态，一种是替你干活的 agent，一种只是让你自己调 API 的薄壳。有人觉得这个定位其实挺好的，薄工具不越界，代理该干什么由用户自己组装；也有人嘀咕，这说明官方自己也没想清楚工具到底该做到哪一步。

茉莉: 而第三条，就是这条对照线上的对照组了。一个叫 Maxilevi 的开发者，发布了他高中时期写的开放世界 3D 游戏 Hedra，十万行代码，从零开始，全程没用 AI。评论区对这条的讨论热度不低，因为它正好回答了那两条新闻没回答的问题：不用 AI，一个人到底能做到什么程度。

白桦: 而且注意他说的是高中时期。十万行的开放世界游戏，一个人，没有 AI，也没有什么大团队的基础设施，这确实把 AI 辅助这个变量的作用范围划得更清楚了。评论区有人把它和越狱那条并排看：一个用 Codex 两周拆了一台主机的安全，一个不用 AI 花几年搭了一个世界。

茉莉: 我觉得这里没有结论，但问题摆得很清楚：人和机器各自的贡献是什么？AI 是把两周的工作压成两周还是把两年压成两周？评论区有人持怀疑态度，说真正难的不是写代码，是知道写什么、为什么这么写，这部分 AI 帮不上；也有人不服，说十万行级别的工程里，调试和样板代码的比重大到夸张，AI 在那部分的加速是实打实的。

白桦: 这三件事放一起，我觉得最有价值的不是站队，而是它把光谱摆出来了：一端是纯手写，一端是薄工具，中间是深度 agent 协作。每个人在这条光谱上站哪儿，可能会越来越成为开发者身份认同的一部分。

茉莉: 好，从开发的two面，我们转到安全圈，那里这周的主题词是失序。漏洞披露这件事本来有一套流程，发现、上报、设 embargo、协调披露，大家按时间表来。这周出了两起意外的提前曝光，性质还不太一样。

白桦: 第一起，ZDI，就是 Zero Day Initiative，他们不小心把好几个 Linux 内核漏洞的细节发到了公开的 LKML 邮件列表上，其中一个严重程度最高到 CVSS 9.0。这不是他们想提前发，是失误，可一旦发到公开列表，就收不回来了，全球任何人都能看到。

茉莉: 第二起是个人层面的。一个叫 petecooper 的人，在不知情有 embargo 的情况下，提前公开了 PHP 的两个 RCE 漏洞，编号 CVE-2026-109618 和 619，之后出来道歉。评论区对这两起的反应有个明显分野：对 ZDI，大家更多是错愕，一个以流程严谨著称的机构也会出这种事故；对 petecooper，很多人反而表达了同情。

白桦: 同情的原因不难理解，因为在野利用的事实很快就来了。AWS 的 MadPot，他们的蜜罐威胁探测项目，从 10 月 17 日起就捕捉到针对 PHP2Shell 的利用尝试，比官方披露日期早了整整四天。也就是说，在道德上纠结要不要提前发、流程上要不要守住 embargo 的同时，攻击者早就动手了。

茉莉: 这就是评论区里最有分量的那个观点：武器的部署往往先于公开披露。而且这带来一个很尖锐的问题，那些守规则、守 embargo 的研究者，会不会其实在客观上把发现期变成了只有攻击者知道漏洞的窗口期？守规则的人沉默，不守规则的人进攻。

白桦: 当然另一边的声音也存在：如果大家都随便提前发，协调披露就彻底失去意义，厂商来不及修，用户来不及打补丁，最后受伤害的还是普通用户。这两派在评论区没吵出结果，因为这确实是个真实的两难。

茉莉: 在这种混乱里，就有人想给整个安全社区做一个实时的仪表盘。有个项目叫 pwn.watch，把三十五起正在进行的攻击活动摆在一个页面上，其中十五起被标为危急，每一件都附上 CVE 编号和补丁状态，实时更新。

白桦: 这个项目的评论区反应挺正面，说它把分散在各个 mailing list 和 twitter 上的碎片信息集中起来了，让普通运维能看一眼就知道哪些事和自己有关。但也有人提醒，这类实时战况列表天然有滞后和偏差，能被统计到的和在野发生的，永远不是同一个集合。

茉莉: 说到这儿，第三题的落点其实很清楚：披露体系没有坏掉，但它正在被两种力量拉扯，一头是意外的失误，一头是先于披露的武器化。制度是为人设计的，可攻击者不是人，是时钟。

白桦: 从漏洞的失序，我们进入第四题，这个题的核心词是退出。独立的基础设施机构，面对压力的时候，一个选择退出，一个选择坚守，还有人在反向尝试进入。

茉莉: 先说最决绝的：Quad9，做公共 DNS 的非营利机构，宣布 11 月 24 日起退出法国。原因很简单，他们接到法院命令，被要求为 beIN 实施域名封锁。Quad9 的选择是：不干，那就退出这个市场。

白桦: 评论区几乎是一边倒的敬意。Quad9 的商业模式本来就是承诺不记录、不审查、保护用户，如果在一国执行法院命令的封锁，等于亲手拆掉自己的立身之本。所以他们宁可失去一个国家的用户。有人感慨，这是少见的把原则写进行动里的例子。当然也有冷静的声音：退出也是一种无力，用户并没有因此获得更好的 DNS，法国用户接下来会流向哪里，未必流向比 Quad9 更干净的选项。

茉莉: 另一个退出的，是印度的证书机构 eMudhra，他们自愿从全球 SSL/TLS 证书业务里撤出。理由很有意思，他们提到 Chrome 的问卷审查，说那一套合规负担太重。这背后是浏览器厂商作为事实上的互联网信任管理者的角色，很多评论者觉得这个权力结构本身就值得反思：你的网站能不能被信任，最终是几个浏览器说了算。

白桦: 退出讲完了，讲反向的：有人正在申请进门。德国波鸿的 Taler Operations AG，向 BaFin，也就是德国联邦金融监管局，申请电子货币牌照，想把 GNU Taler 作为支付系统在德国和欧元区推开。

茉莉: GNU Taler 的卖点是隐私友好，但和现金一样：付款方匿名，收款方透明可审计。评论区对这件事的讨论很细。支持者说，隐私支付一直缺一个能被监管接受的合法形态，Taler 的设计恰恰是为了过监管这一关，所以这次申请牌照是它能不能真正落地的关键一步。质疑者则问，一个隐私优先的系统，和一个强监管的金融体系，能不能真的兼容，还是说拿到牌照的那一刻，设计的初衷就已经被磨掉一角了。

白桦: 第四题的下一段，从机构层面落到个人层面，两个流失体验。第一个：微软开始对 Xbox 云串流收费，每小时 24 到 40 美分，注意，串流的是用户已经购买的游戏。

茉莉: 评论区在这条上的情绪是典型的：金额不大，原则很大。已经付钱买下的游戏，再串流一遍要按小时计费，很多人觉得这是对所有权概念的又一次侵蚀。你买的东西，用另一种方式访问就要再付钱。也有人算账说，单价其实不高，跑一小时成本不到半块美元。反驳很干脆：问题从来不是钱，是模式。

白桦: 第二个流失体验更彻底：Arc 浏览器，将于 2026 年 12 月 22 日关停，用户被引导迁移到它的后继者 Dia。Arc 有一批很忠诚的用户，喜欢它的侧边栏和交互设计。评论区的反应是混合的：一部分人接受迁移，另一部分人表达的是一种更深的疲惫，不是说 Dia 不好，而是又一次要重装、重配、重学。

茉莉: 把这四件事放一起看，第四题的主题就出来了。Quad9 用退出守护原则，eMudhra 因为审查负担退出，Taler 在反向挤进门，Xbox 和 Arc 则在用户端制造了一种感觉：你依赖的东西，随时可以加价、可以关闭，你只是租客。

白桦: 有租客就有搬家。第五题，我们讲几个跨界的故事，从最硬核的开始。

茉莉: 一个叫 HackiOS 的项目，把未经修改的 iOS 16.5 的 XNU 内核和用户态，跑在了 Android 硬件上，具体机型是 Poco X5 Pro，还有在 QEMU 里模拟。注意关键词，未经修改。不是移植了 iOS 界面，是真的把苹果的内核启动起来了。

白桦: 评论区对这条的兴奋不难理解，这是跨平台复用一个完整生态内核的罕见案例。技术上要解决的东西非常多：不同的启动流程、不同的驱动模型、内存布局的差异，一样都绕不过去。有人评价，这种项目的价值不在于让普通人在 Android 手机上用 iOS，而在于它证明了内核的可移植性比厂商愿意让你相信的要大得多，生态的墙，很多时候是商业的墙，不是技术的墙。

茉莉: 从技术公共品的尝试，转到文化公共品的尝试。有个项目叫 The Last Museum，做了语义检索，覆盖六百三十万件大型博物馆的藏品。你不用按作者、年代、流派去搜，可以用一句自然语言描述去找作品。

白桦: 这个项目的评论区很分裂。赞成的人说，这是把人类文明的家底变得真正可检索的关键一步，博物馆的数字馆藏一直存在，但一直锁在各自笨拙的搜索界面后面。批评的声音也很具体，主要集中在两点：一是命名，The Last Museum 这个名字被指傲慢，好像之前的数字化努力都不算数；二是 UI 被批粗糙，好看的语义检索能力和不好看的呈现方式放在一起，反而削弱了信任。

茉莉: 有一条批评我觉得特别值得记住：检索能力是工程，策展是人文，光有前者，你得到的只是六百三十万件东西的堆放，不是博物馆。技术能把知识围起来，也能把知识打开，但打开之后怎么呈现，仍然是人的判断。

白桦: 而第五题的第三个故事，就是这个对照里的阴影面。Google 在芬兰为一个人工智能数据中心购地建设，规模 130 亿欧元，为此清除了 300 公顷的森林，而且，这个且字很重，是在环境影响评估完成之前就动手砍的。

茉莉: 评论区的情绪在这条上基本是愤怒加无奈。300 公顷森林，为的是算力，算力为的是模型，模型回到第一题，把知识围进围墙里。整个链条连起来看非常讽刺：我们在讨论知识的圈地，而圈地的物理基础，正在用森林来浇筑。

白桦: 有人提出更根本的问题：这不是一家公司的问题，是整个 AI 基础设施扩张的取舍问题，土地、水、电力，这些都是公共品，谁替它们说话？也有人相对缓和地说，芬兰的监管和审批体系本身有漏洞，砍伐合法与否取决于程序，但程序被抢先了，这才是最该被问责的点。

茉莉: 收束第五题，其实就是一个问句：我们到底想要什么形态的基础设施？是砍掉 300 公顷森林的算力城堡，还是 630 万件作品可以被语义检索的开放馆藏，还是像 HackiOS 那样证明墙是可以被绕过的？这些选择不是同时摆在你面前的，是分头在发生，然后由我们的事后反应来定价。

白桦: 好，第六题，我们从基础设施的高低两侧再收一次。这一组里有一桩国家层面的隐私失效，一个干净漂亮的工具，和一件带着问号的安全产品。

茉莉: 先说大的。库什纳的手机被入侵了，黑客来自荷兰，背后是 GRU，也就是俄罗斯军事情报部门。被泄露的内容包括秘密谈判，还有超过七亿美元的转账记录。

白桦: 评论区在这条上的讨论，比标题呈现的要冷静一些。震惊是有的，一个前高级官员、家族核心成员的手机被外国情报机构攻破，这是教科书级的失败。但很多人把讨论往两层推。第一层：为什么会有人在这种位置上还使用可被攻破的消费级手机处理这类事务？这是对个人操作安全的追问。第二层更尖锐：这些信息被公开，到底谁受益？情报战的用途未必是保护公众知情，也可以是精确投放的叙事工具。所以评论区提醒，看这批泄露的时候，既要当事实看，也要当武器看。

茉莉: 从国家层面降到一个非常具体的工程工具。earstrip，ISC 出品，C 加 WASM，做的是地图多边形的三角剖分，三百七十万个多边形，489 毫秒完成，比业界常用的 earcut 更快。

白桦: 这条在评论区是那种纯粹的技术喝彩，没有争议。ISC 就是 BIND、Kea 那一批互联网基础软件的维护机构，他们出手做这种性能敏感的小工具，评论区说这是基设机构的本色，不抢风口，只解决具体问题。有人拿它和前面那些新闻对比，说这是今天这一期里少见的、不需要打星号就能完全信任的条目。

茉莉: 然后，问号来了。NVIDIA 发了一个开源项目，叫 OpenShell，定位是给自主 AI agent 提供的安全运行时。项目很受欢迎，17.3k stars，但社区里在讨论一个问题：里面的遥测，关不掉。

白桦: 你听听这个组合有多拧巴：一个以安全为卖点的运行时，里面装着一段用户无法关闭的遥测。评论区的态度分两层。一层是具体的技术批评：安全产品的信任模型要求最小化、可审计、可关闭，遥测不可关闭，这三条全破。另一层更哲学：自主 agent 运行在这样一个底座上，谁来审计 agent 在做什么？如果底座自己不透明，所谓安全边界就是一句口号。

茉莉: 第六题的三件事，其实回答了第四题留下的那个问题：平台可以收紧，也可以被替代，替代的前提是有人做出值得信任的东西。earstrip 是正例，OpenShell 是反例，它说明光靠一个响亮的公司名字和一个好听的项目定位，不足以建立信任，信任要么来自设计，要么来自可验证性。

白桦: 最后一题，我们把镜头对准最小的尺度：个人在系统里的处境。两件事，一件关于身份，一件关于公共空间。

茉莉: 第一件让人后背发凉。一个叫 Amanda Smith 的人，被人用她的姓名和 SSN 开设了一个欺诈性的 Cash App 账户，然后，她被羁押了三个晚上，现在面临最高六年的刑期风险。

白桦: 评论区对这条的愤怒是结构性的。问题不是她做错了什么，问题是整个身份验证和追责链条的默认设置：当身份被盗用，系统默认谁是嫌疑人？看这个案例，答案好像是：先抓那个名字的主人。评论区有人指出，这是用静态的身份标识去绑定动态的行为，而身份标识恰恰是最容易被窃取的东西。绑定越强，盗用造成的伤害越大，而且是双向的：盗用者伤害账户，也伤害被冒名的人。

茉莉: 更让评论区揪心的是救济通道。三年、六年，这种数字对普通人意味着什么？有人分享亲身经历，说类似身份盗用案件中，自证清白的过程动辄以月计、以年计，期间你的信用记录、就业背景调查、银行账户，全都跟着遭殃。救济成本和伤害成本严重不对等，这正是系统设计的问题，不是个案的不幸。

白桦: 第二件，转到公共空间。加拿大正在审议一个法案，S-211，目的是限制博彩广告。支持这个法案的一个关键论据来自一项分析：在七场 NHL 比赛的转播里，出现了 3000 条博彩相关信息。

茉莉: 3000 条，除以七场，平均每场四百多条。评论区有人试着拆这个数字：不只是广告，还有场边围栏、解说口播、插播、赞助标识，全算上，等于在整个观赛体验里，博彩信息几乎是不间断的背景噪音。

白桦: 讨论在评论区有一个清晰的分野。一派认为，这已经是公共卫生问题，不只是广告规范问题，尤其考虑到赌博成瘾的社会成本，立法限制是必要的。另一派则从言论自由和产业角度反对，说广告是合法商业表达。但值得注意的是，即便是反对方，也大多承认那个 3000 条的数字本身说明了问题的规模。争议在于怎么办，而不是要不要看见。

茉莉: 把这最后一题的两件事放一起，第四题到第七题其实形成了一条线：Quad9 为原则退出市场，Taler 在争取合法入场，而 Amanda Smith 在为一个不是她犯的错误承担刑期，NHL 观众在四百多条博彩信息的包围里看球。制度的保护，有时候像一堵存在的墙，有时候像一堵缺了的墙。

白桦: 好，我们这期到这里。回顾一下，从知识的圈地到观点的收敛，从两周的越狱到十年手写的游戏，从 ZDI 的失误到 Quad9 的退场，从被砍的森林到被冻结的身份，贯穿始终的问句是：我们到底想让什么样的人和什么样的东西，被信任？

茉莉: 这个问句没有本期答案，但每一件故事都提供了一个线索。感谢收听，我们下期见。

白桦: 下期见。