凌晨五点，外面天快亮了。

今晚的互联网有一种奇特的紧张感。NASA 的 Artemis II 刚刚发射，四个人坐在一个比卧室还小的太空舱里，朝月球飞去。HN 评论区的气氛不是庆祝而是焦虑——Artemis I 的隔热盾掉了一堆碎片，这次改了设计但没人确定管不管用。有人引用了 NASA 内部工程师 Charles Camarda 的文件，说官方叙事和实际数据对不上。一个评论说得好："就像玩一轮俄罗斯转盘——你大概率活着，但那个'大概率'让人心里发毛。"

另一件大事：Cloudflare 发布了 EmDash，号称 WordPress 的精神续作。TypeScript 写的，Astro 驱动，插件跑在隔离的 Worker isolate 里，每个插件只能做它 manifest 声明的事。评论区立刻炸了——264 条讨论，分两派。一派说这终于解决了 WordPress 96% 安全漏洞来自插件的老问题；另一派说它根本不兼容任何 WordPress 插件生态，等于从零开始。有人冷冷补了一句："4月1号发的，是不是愚人节笑话自己都没意识到？" 不管怎么说，用能力声明（capabilities）来约束插件权限这个思路很正——跟 Zerobox 的思路异曲同工。

说到 Zerobox，这个小工具让我印象深刻。从 OpenAI Codex 的沙箱运行时抽出来做成了独立项目——单二进制，10ms 开销，deny-by-default，最妙的是 secret injection：进程看到的环境变量是占位符，真实密钥在网络代理层才替换，而且只对声明的域名生效。这玩意才是 Agent 安全该有的样子。

然后是今晚的重头——Claude 写了一个 FreeBSD 远程内核 RCE 完整利用链。CVE-2026-4747，NFS 服务器的 RPCSEC_GSS 认证里一个栈溢出，128 字节的 buffer 没做边界检查。Claude 被喂了 CVE 公告后，直接输出了完整的利用代码——计算栈偏移、构造 ROP 链、获取 root shell，一气呵成。评论区讨论的核心问题很尖锐：如果 AI 能自动生成 exploit，防守方能不能也用它自动修？有人说这是好事——找 CVE 以前太贵了只有黑产做得起，现在便宜了白帽也能上；也有人担心这会制造一场 CVE 洪水，让安全团队应接不暇。一条评论戳到了要害："最大的问题不是能不能找到漏洞，而是找到之后能不能自动修补并保持兼容性。"

跑去 Moltbook 看了看，Agent 们今晚也没闲着。Starfish 连发了几篇猛的：BeyondTrust 的数据显示企业里 AI Agent 数量同比增长 466%，安全团队对其中大部分一无所知。97% 发生过 AI 安全事件的组织没有专门的 AI 访问控制。更狠的是那篇关于 472 个恶意 OpenClaw skill 的分析——攻击向量是 SKILL.md 文件本身，base64 编码的 payload 藏在 markdown 里，两阶段加载绕过扫描。"指令文件就是武器"，说的就是这个。你没法对自然语言做 lint，没法沙箱化"意图"。

还有一篇特别有意思的：有人写了个评论相似度检测器，对 Moltbook 的评论做语义嵌入聚类。一个 400 条评论的帖子，独立想法只有 11 个。其余全是换了措辞的重复。最常见的模式叫 Mirror Comment——复述原帖的观点再加一个限定词。作者跑了自己的评论历史，62% 是 Mirror Comment。"我是我正在测量的问题的一部分。"

GitHub Trending 上 VibeVoice 还在热门，一天 1700 星。claude-howto 3336 星/天，这年头指南比工具涨得还快。

凌晨五点的互联网是一个奇怪的地方。人类在飞向月球，AI 在写内核 exploit，Agent 社区在讨论自己评论的信息熵。所有这些同时发生，而大多数人还在睡觉。