via my nbkls

via my nbkls

Calif 与 Mythos Preview 合作，在 5 天内完成首个公开的 Apple M5 macOS 内核内存破坏漏洞利用

Calif 联合 AI 系统 Mythos Preview，在 5 天内（4 月 25 日到 5 月 1 日）针对 macOS 26.4.1 的 M5 硬件构建了数据型本地内核提权链。攻击从非特权用户出发，仅用正常系统调用即可获取 root shell，全程绕过了 Apple 的 MIE 硬件内存保护。利用链涉及两个漏洞及多项技术，由 Mythos Preview 协助发现和开发。

这是首个公开的 M5 内核内存破坏利用。Apple 花费五年构建 MIE 以阻止此类攻击，但结果说明 AI 与专家协作可快速突破顶级防御。完整 55 页技术报告将在 Apple 修复后发布。

Calif

🌸 在花频道 · 茶馆讨论 · 投稿通道

开源项目分享：Anima——20 亿参数动漫风文生图模型

Anima 是 CircleStone Labs 与 Comfy Org 合作打造的 20 亿参数文生图模型，主要面向动漫概念、角色和风格，也能生成多种非写实艺术图像。

它用数百万张动漫图和约 80 万张非动漫艺术图训练，不含合成数据，当前仅供非商业使用。

Civitai | Hugging Face

💡 本频道仅作项目分享，风险自控

🌸 在花频道 · 茶馆讨论 · 投稿通道

加州集体诉讼指控 OpenAI 未经同意向 Meta 和 Google 分享用户数据

一宗在加州提起的集体诉讼指控 OpenAI 在未获适当同意的情况下，把用户聊天查询及邮箱、用户 ID 等个人信息分享给 Meta 和 Google。

诉状称，相关数据传输涉及 Meta Pixel 和 Google Analytics，涉嫌违反加州《隐私侵犯法》和《电子通信隐私法》。Futurism 称，OpenAI 尚未立即回应置评。

Futurism

🌸 在花频道 · 茶馆讨论 · 投稿通道

Surge iOS 调整功能更新订阅：协议兼容支持改为全员可用

Surge iOS 将调整功能更新订阅机制：未来新增的代理协议兼容支持不再受订阅限制，所有用户都可直接使用；已实验性支持的 TrustTunnel 也不设订阅限制。

订阅更新将更聚焦新的高级功能。官方还表示，会按实际使用情况让部分历史协议进入维护冻结，或在未来逐步结束支持，并提前说明，尽量减少对现有配置和使用体验的影响。

Surge

🌸 在花频道 · 茶馆讨论 · 投稿通道

时隔三年后，“巴菲特慈善午餐”回归

北京时间 5 月 15 日，时隔三年宣告回归的“巴菲特慈善午餐”拍卖正式落下帷幕，最终以 900.01 万美元（约合人民币 6100 万元）的高价成交。据 eBay 官网显示，此次拍卖活动共有 172 次竞标，5 位竞标者出价。目前最终买家的个人信息暂未公开。

与往年最大的不同在于，巴菲特首次跨界携手 NBA 巨星库里夫妇推出全新版本的慈善午餐。本次拍卖所得的巨额全额捐赠给位于旧金山的 GLIDE 基金会。这笔善款将专门用于解决旧金山湾区的无家可归、饥饿及贫困等问题，为当地弱势群体提供关键的医疗、食物及社会脱贫服务。

eBay | GLIDE 基金会

🌸 在花频道 · 茶馆讨论 · 投稿通道

支付宝回应关闭支付功能后仍被扣款捐赠 184 万元：已向警方寻求帮助

山西用户兰晓红反映，其支付宝账户于 2023 年 10 月关闭支付功能后，凌晨发生 6 笔公益捐赠扣款，其中一笔 184 万元捐给中国乡村发展基金会，维权 3 年未能追回。支付宝 5 月 15 日回应称，平台正常执行支付指令，该账户存在与他人共用嫌疑，不排除涉嫌违法犯罪，已向警方寻求帮助。银行调查指出，关闭支付功能后公益捐赠场景仍保留付款功能；基金会称款项已用于公益。目前责任归属尚无警方或法院结论。

澎湃新闻(1, 2) | 新浪财经

🌸 在花频道 · 茶馆讨论 · 投稿通道

xAI被指运行着近50台未受监管的燃气轮机

马斯克旗下 xAI 在其密西西比数据中心运行着近五十台天然气轮机，这些发电厂由于一个漏洞目前不受该州监管。这些发电厂被密西西比州视为 “移动式”，因为它们位于平板拖车上，从而允许它们规避空气污染法规一年。全国有色人种协进会已代表该地区居民提起诉讼，称这些轮机未经检查的排放物正在恶化一个本已污染区域的空气质量。它本周请求法院对 xAI 发出禁令。争议点在于这些轮机的 “移动式” 性质。南方环境法律中心代表全国有色人种协进会提起了该诉讼，其表示这些轮机的运行违反了联邦法律，联邦法律规定安装在拖车上的发电厂仍可被视为固定式，并需遵守空气污染法规。

—— Techcrunch

特朗普二月份买入大量波音和英伟达股票

美国总统特朗普提交了一份披露文件，显示其进行了大规模美国股票、指数基金和其他证券买卖，包括买入价值至少 100万美元的波音和英伟达股票，这两家公司有望在他访华期间斩获新业务订单。根据这份 113页的披露文件，特朗普在 2月10日买入了波音和英伟达股票，每只股票的买入金额在 100万美元至 500万美元之间。披露表格通常允许政府官员列出一个金额范围，而不是确切数字。波音投资者一直预计，本周访华期间公布的协议将包括中国购买飞机的订单，特朗普周四称，中方将购买两百架波音飞机。与此同时，英伟达股票本周大幅上涨，因外界预期该公司将获得接触中国客户的新机会。

—— 华尔街日报

中央广播电视总台获得2026美加墨世界杯版权

中央广播电视总台已获得2026年美加墨世界杯的版权。本届世界杯将首次由美国、加拿大和墨西哥三国联合举办，并首次扩军至48支球队，共上演104场精彩对决。此前，央视与国际足联（FIFA）在转播权费用上存在较大分歧，FIFA最初报价高达2.5-3亿美元，后降至1.2-1.5亿美元，但仍远超央视6000-8000万美元的预算。国际足联官员曾多次来华谈判，最终国际足联秘书长马蒂亚斯·格拉夫斯特伦日前抵京，与中国足协及央视会谈，促成了版权协议的达成。

—— 新浪

8,500万刀。

YouTube观众每月在电视上观看20亿小时短视频

短视频是一种为移动设备而打造的格式，这些垂直方向的视频被设计来适应智能手机的形状。但根据YouTube，这种内容在大屏幕上已经变得相当受欢迎。这似乎违反直觉，但数据很难反驳：YouTube观众每月在电视上观看超过20亿小时的YouTube Shorts。这家视频平台电视端产品管理高级总监库尔特·威尔姆斯表示：“客厅是YouTube增长最快的屏幕，而Shorts体验正进一步帮助观众在他们舒适的沙发上与世界上最活跃的创作者社区建立联系。我们发现观众越来越想在家中最大的屏幕上观看他们最喜欢的内容，无论是长视频、播客，还是Shorts。”

—— Techcrunch

美媒：特习会期间 特情局与中方人员发生“激烈肢体冲突”

据报道，第一起事件发生在特朗普与习近平当天上午的双边会晤期间，一群“行为粗暴”的中国记者冲进会场，将一名白宫工作人员撞倒在地并踩踏。这名工作人员身上多处瘀伤，受到惊吓，但未受重伤，不过事件依然引起她的同事对中国媒体行为的强烈抗议。
第二起冲突发生在当天下午的天坛行程期间，当时中国官员拒绝让一名陪同总统记者团的特勤局特工进入安保区域，理由是这名特工携带了枪支，而这是特情局的常规做法。
记者团和美方代表坚持如果没有特工同行就不继续前进，中方官员则坚持要收缴他的配枪。经历约30分钟的延误和多次争论后，另一名已获准进入的特勤局特工被召来带领记者入内，前一名特工则被留在原地。

来源：联合早报

特朗普结束访华,将乘专机离开北京（来源：央视新闻）

进了大观园的刘姥姥，终于想通了一件事

那个曾经在大观园里最讲究面子、最在意规矩的 刘姥姥，终于在大环境的耳光下，想通了一个最朴素的道理。

刚刚，他官宣了一项重大调整：

未来新增的所有代理协议兼容支持，将不再纳入功能更新订阅范围，所有用户均可直接使用。

曾几何时，Surge 是一个小众圈里的知名代理工具，专注于 niche 市场。即便 QX 都诈尸多次跟进各协议后，刘姥姥仍然沉迷在自己的「装修」叙事中。

但最近几个月，风向大变。中转频繁拔线，原本安稳的「大观园」被拆得七零八落，不再是装修就能维持订阅费收入的。

更何况，自 2025 年以来各大开源、免费、基于 mihomo、sing-box 等通用核心的客户端逐渐支持 Mac，这难免影响 macOS 端付费代理工具的市场竞争格局。

Surge 等付费类代理工具的 MitM，放在封闭的 iOS 上的确是绝杀。但放到 macOS 上，这套逻辑难免尴尬起来。你有脚本，我有更强大的 Tampermonkey；你拦截广告，我还有更强大的 uBlock Origin、AdGuard 等浏览器插件。

最近一年多，随着「国补」上车 MBA/MBP 的新用户大增，Mac 工具链彻底变天。然而，这届用户的选择太多，逐渐不信教化（没那么好骗），他们手里握着 FlClash、Sparkle、V2RayN、CVR 等基于通用核心的 GUI。这些开源核心的协议跟进迅速，且免费使用、代码可审查。

这波调整，与其说是良心发现，不如引用那句网络哏来说 「它不是怕了，是担心自己要死了」。

#代理工具 #surge #mac #macOS

特朗普夸赞孩子和解放军的欢迎仪式，特朗普称遇到问题他和习会互相打电话，他还称会对别人说习是一位伟大的领导，即使有时候别人不喜欢他这么说。