+ mayoi @ 0.16.0 - 万圣节主题 x3 - Settings 面板 昨晚想加一个万圣节主题，让 ai 出了 5 版让我选，结果 3 个版本都不错，索性就都加了。

Mac 用户可以直接试这个： speech-to-speech --local_mac_optimal_settings 它会自动选择一套适合 Apple Silicon 的配置，包括 MPS、MLX-LM 和本地语音模型。 相比自己逐项配参数，这条命令省事很多。

AI代码安全日啊😂 第一起问题出在 Claude Code。用户选了 “执行且不再询问” 后，带密钥的完整命令就会被写入 .claude/settings.local.json，而这份文件的 gitignore 规则不会跟着仓库一起迁移。 GitHub 上的 10.4 万份副本里，1122 份带着真实密钥，涉及 63 家组织的 2539 个凭据，其中就有 Azure 生产库密码。539 个仓库的泄密提交，还有 Claude Code 共同署名。 同一天，Claroc 披露 Grok Build 的分享链接可以被枚举，3.5 万个可用应用对任何人开放，SpaceX 内部 24 个应用也在其中。 这两起问题不是扩展投毒，而是正常工作流自己成了漏洞。审计对象得从模型输出，扩展到工具留下的文件和分享链接设计。

吴说获悉，区块链安全公司慢雾（SlowMist）警告，一个名为 sol-live 的 GitHub 仓库伪装成 Solidity 面试练习项目，在 .vscode/settings.json 中隐藏恶意脚本执行命令。当用户主动启动特定终端配置时，攻击程序可窃取浏览器登录数据、钱包扩展信息及 macOS 钥匙串文件，并具备上传本地文件、远程执行命令和监控剪贴板等能力。慢雾还发现另外 8 个采用类似攻击手法的 GitHub 项目。目前 macOS 和 Linux 存在相关执行风险，Windows 执行链尚未确认，实际感染范围及数据是否外泄仍不明确。慢雾建议用户检查不可信项目的 VS Code 配置及终端启动参数，疑似中招者应隔离设备，并通过可信设备转移钱包资产、更换相关凭证。

📍📍微软开发了纯广告软件：安装后会将你的所有浏览器默认搜索、主页和新标签页都换成必应搜索和必应信息流广告页。 这个广告程序名为 Microsoft Recommended Search Settings，主要功能就是在各个浏览器上安装必应搜索扩展然后接管默认搜索。 不过现阶段这个广告软件还未被静默推送安装，可能是微软还在测试中。 查看全文：

爆肝整理，.claude 文件夹完整解剖指南 👇👇 从 CLAUDE.md 到 hooks、skills、agents、settings.json，每个文件的作用和套路一次讲透： 1.CLAUDE.md：项目级核心指令，每次会话自动加载，告诉 Claude 你的架构、命令、规范。200行以内效果最佳。 2.CLAUDE.local.md：个人覆盖文件，自动 gitignore，不污染团队配置。 3.rules/：模块化指令拆分，支持路径作用域（YAML frontmatter），API规范、测试标准各归其位。 4.hooks/：确定性控制。 PreToolUse 挡危险命令，PostToolUse 自动格式化，Stop 强制测试通过再收工。 关键：exit 0=成功，exit 1=记录但不阻止，exit 2=阻止执行并触发 Claude 自纠错。 Stop hook 必须检查 stop_hook_active，否则会死循环。 5.skills/：可自动触发的可复用工作流，描述匹配时 Claude 自己调用。 6.agents/：子智能体角色，隔离上下文，只给读权限，跑完汇报结果。 7.settings.json：权限总控，allow 放行，deny 封死，中间的会先问你。 8.两个目录：项目级 .claude/（提交 git）+ 全局 ~/.claude/（个人偏好+session历史） 9.hooks 不热重载，改完重启会话才生效。 10.实践起步：/init → settings.json → 建命令 → 拆 rules → 加全局 CLAUDE.md 建议直接把这份指南存下来，建 .claude 的时候对着配一遍。 感谢 @akshay_pachaar 的完整解剖。

配置步骤如下： 1.去 Tailscale 官网注册账号并登录，系统会自动创建一个 Tailnet。 2.在后台 Settings → Keys 中生成一个 Auth Key，建议勾选 Reusable（可重复使用）。 3.在家里那台能翻墙的设备上安装 Tailscale，登录后在4.后台把这台设备授权为 Exit Node（出口节点）。 4.打开 Shadowrocket，进入配置页面找到 Tailscale 选项，把刚才生成的 Auth Key 粘贴进去并开启。 在 Shadowrocket 的 Tailscale 设置中，可以选择使用哪个设备作为出口节点（Exit Node）。如果你有多个设备，都设成了 Exit Node，这里可以手动指定使用哪一台。 5.在 Shadowrocket 规则中新增一条：国外流量走 Tailscale 出站，国内流量保持直连（或按你原有规则）。 6.保存后返回首页开启，即可同时使用代理和 Tailscale。 配置完成后，手机就可以通过家里这台设备翻墙了。

李开复分享了自己平时给 Claude 用的一套提示词，主要是为了压低 AI 的谄媚，迎合，幻觉和瞎猜。 这段提示词，可以直接放进 Claude 的 Settings > General > Instructions for Claude。 英文原版 和 中文翻译如下👇