📡 AI资讯早报 | 2026年11月15日（周日）
AI圈24小时：德国团队翻了15万个用Lovable搭的应用，发现一大批连护照信息都不设防；英伟达被曝出"左手投钱给创业公司、右手让他们买自家GPU"的操作；另一边，AI眼镜和录音戒指越来越多，隐私这个词的定义正在被悄悄改写。先看速览表，这张表值得存下来备查：
| 话题 | 一句话 | 跟普通人的关系 |
|---|---|---|
| Lovable应用泄露隐私 | 15万个AI搭的应用里，护照、20万条私信没登录就能看 | 用AI搭工具爽，但没人帮你上锁 |
| 英伟达被指制造GPU荒 | 出钱资助AI创业公司，条件是用这笔钱买它的GPU | 显卡贵的根源，可能是一场戏 |
| 隐私概念被改写 | AI眼镜、录音戒指全天记录，你身边人被迫入镜 | 你的隐私不再只由你决定 |
| Agent技能生态爆发 | GitHub月度榜被"给AI装技能"的项目屠榜 | 教AI干活的"说明书"成了新生意 |
| 开源模型越跑越快 | GLM-5.3两台机器跑出607.8 tok/s | 免费模型的速度在逼近付费服务 |
1. 15万个AI应用"裸奔"：护照、20万条私信，不登录就能看
德国研究机构Crissyfield检查了159,041个用Lovable平台搭建的项目。Lovable是个"说人话就能生成网页应用"的AI平台，主打让不会编程的人也能做出自己的工具。结果发现：大量应用在没有登录的情况下，就能直接访问个人信息和机密数据——包括护照详情，还有超过20万条私人消息。这条研究在HN拿了565分、230条评论。
问题的根子不难理解：AI能帮你把应用"做出来"，但不会自动帮你把数据"锁起来"。数据库密钥写在前端、后台接口不做身份验证，这些坑专业程序员都会踩，何况是完全不懂安全的新手。平台方在营销里强调"人人都能开发"，却没人告诉你"人人都能开发"的另一面是"人人都可能泄露"。
这跟普通人直接相关：如果你用Lovable、Bolt这类AI工具搭过小应用——记账的、管理客户的、存家人信息的——今天就去检查两件事。第一，你的数据是不是设了登录才能看？最简单的验证方法：开一个浏览器无痕窗口，不登录，直接打开你的应用链接，看看能不能看到数据。第二，问AI一句话："帮我检查这个应用的数据库访问有没有做权限验证，密钥有没有暴露在网页代码里。"AI写的漏洞，也可以让AI帮你查。
2. 英伟达被指"自导自演"GPU荒：投钱给创业公司，让它们买自家显卡
TechPowerUp报道，英伟达被指通过资助AI创业公司来制造GPU稀缺——投出去的钱，转了一圈变成创业公司采购英伟达GPU的订单。HN上这条帖子拿了1019分、613条评论，是过去24小时最热话题。无独有偶，另一条42分的帖子说，分析师追踪到超过1.5吉瓦的受管制芯片流入中国，大规模走私甚至可能是黄仁勋某次人事变动的背后原因。
为什么值得普通人关注？因为"显卡荒"直接影响所有人的钱包。GPU稀缺→AI算力贵→你用的AI服务贵、你买的电脑贵。如果稀缺本身有一部分是资本运作出来的，那这场"抢不到卡"的焦虑大戏，观众就是我们。看懂这一条，下次再看到"算力紧张所以涨价"的新闻，你心里会多打一个问号。
3. AI眼镜、录音戒指满天飞：隐私正在从"我的事"变成"大家的事"
EFF（电子前哨基金会）发文指出，科技公司正在再次改写"隐私"的概念：Meta和谷歌的智能眼镜能录下佩戴者看到的一切，苹果手表的音频功能能把你的全天对话变成文字，亚马逊的Bee设备更进一步——全天录音、转写、总结。吊坠、戒指、各种穿戴设备都在做同一件事。HN 423分、162条评论。
EFF那句话点得很透：隐私从来都是"团队运动"。你朋友戴着AI眼镜跟你吃饭，你的脸、你的话就被录进去了——你同意了吗？以前隐私是"我不说别人就不知道"，现在变成"只要我身边有一个人在记录，我就没有隐私"。
实操建议：跟戴智能眼镜、录音设备的朋友见面聊敏感事情（工资、病情、家事）之前，直接问一句"眼镜在录吗"。这不丢人，就像进屋前问"能抽烟吗"一样自然。自己要不要买这类设备？买之前想清楚一件事：它录到的从来不只你一个人。
4. GitHub月度榜被"AI技能"屠榜：教AI干活成了新生意
看这个月的GitHub趋势榜，前12名里至少7个是同一类东西：给编程AI装的"技能包"。比如反"AI味设计"的hallmark（+24,631星/月）、做安全审计的cloudflare/security-audit-skill（+42,839星/月）、给AI装上"审美"的taste-skill、帮AI记住跨会话记忆的claude-mem，还有Anthropic官方的skills仓库。
信号很明确：AI编程工具的竞争，已经从"模型多聪明"卷到"你会不会教"。同样一个Claude Code，装了好技能包的和裸奔的，产出质量天差地别。对普通人的启发：你不需要会写这些技能包，但你要知道"提示词和技能配置"本身是资产。用AI干活觉得不好用，先别怪AI笨——很可能你缺一份"说明书"。去anthropics/skills这类官方仓库逛逛，把别人写好的技能直接拿来用。
5. 开源模型速度狂飙：GLM-5.3两台DGX跑出607.8 tok/s
英伟达开发者博客展示了用vLLM在两台DGX工作站上跑GLM-5.3，速度达到607.8 tok/s——什么概念？你一秒钟能读十几个字，它一秒钟"写"六百多个字。同期Unsloth发布了Qwen3.8-27B的动态量化版本，让小显存的机器也能跑大模型。
方向就一句话：开源模型又大又快又省了。今天你花钱买的很多AI服务，底层能力一两年内可能免费就能自建。别急着为"私有部署AI"付高价，这个市场正在以肉眼可见的速度变便宜。
💡 今日一句话：今天五条新闻指向同一个断层——AI的生成能力已经狂奔（人人能搭应用、开源模型600 tok/s），但配套的责任感没跟上（数据不设防、隐私被重定义、稀缺被制造）。会用AI的人越来越多，会"管住"AI的人才开始值钱。
明天重点盯：Lovable官方对这次泄露研究的回应，以及英伟达对"资助换采购"指控的说法。
转给TA
转给你那个正在用Lovable、Bolt这类AI工具搭小程序的朋友，今天第一条就是给他提的醒——花五分钟检查一次，可能保住全部客户数据；再转给家里总想给你买"AI录音戒指""智能眼镜"当礼物的长辈，第三条能让他明白这东西录到的不只是你。
🔧 免费试试AI开发平台 → https://spark1.cn/ai-dev（注册即送100积分，无需下载）
🔜 AI应用安全自查 —— 即将上线，敬请期待！
关注「xAI智工场」，每天早上7:30，AI圈大事3分钟读完，不耽误你上班。
评论