載具裡躺著兩個月沒對的發票，領獎帳戶設了沒？5-6 月期特別獎領獎到 11 月 5 日
十一月四日晚上，有個人洗完澡躺在床上，忽然想起手機載具裡躺著五、六月的發票。一次都沒對過，也不確定上次開獎有沒有收到通知信。這個人是我編的，不是我的經歷，我只拿他當例子。 他打開信箱搜了一下，沒有。再打開兌獎 APP，裡面一堆發票，他不知道從哪裡看起。離期限剩一天，他腦子裡冒出兩個念頭：這些發票是不是都自動幫我對好了，還有，如果真的中了，錢是會自己進來，還是我得跑去哪裡領？ 這兩個問題我下面一個一個拆。我讀下來的結論是：載具幫你存發票，不會幫你領獎。中間差一個動作。 四張還沒人來領的千萬獎壹蘋新聞網 2026 年 10 月 18 日的報導寫，2026 年 5、6 月期統一發票千萬元特別獎「至今仍有4張尚未兌領」，領獎期限到 11 月 5 日止，「逾期未領獎金將全數充公」。鏡週刊 2026 年 10 月 31 日（今天）的報導，仍寫目前還有 4 張 1000 萬元特別獎發票無人兌領，領獎期間是今年 8 月 6 日到 11 月 5 日。今天是 10 月 31 日，距離 11 月 5 日是 5 天，我拿日期相減算過。 這 4 張的消費地點，壹蘋引述財政部的說法列得很細：台北市「透過Go...
AI 與科技新聞摘要 - 2026/10/31
門鎖沒壞，鑰匙卻少了一把，你會先查哪裡？Binance 說事件的起點是一位工程師被入侵的筆電；Cursor 市集上 ID 為 anthropic.claude-code 的擴充套件，有一個版本被換成了帶後門的；Chainalysis 說攻擊者拿到了客戶的姓名、email 等資料。這三件事我都沒讀到一手公告，每一句後面會交代是誰說的。 一、Binance：起點是一台筆電，金額各家口徑不同Binance 的事件在美東 10 月 29 日晚間浮上檯面（CNBC 首發時間是 10 月 29 日晚間 9 點 54 分 EDT，10 月 30 日更新），歸因與凍結的細節是 10 月 30 日才出現的進展。以下是 CNBC 與 Al Jazeera 的轉述，Binance 的公告我沒讀到。 起因的說法經 Al Jazeera 引述 Binance 的初步調查：駭客在取得一位工程師遭入侵筆電的存取之後，做了未經授權的交易，原文是 “a hacker had been able to make unauthorised transactions after gaining access to an...
UCP 命名空間治理：沒有註冊表時，誰有權定義 capability
不設註冊表，一樣能回答「這個 capability 名字是誰的」。UCP（Universal Commerce Protocol）的做法只有一條：名字倒著寫，再跟它宣告的 schema 網址對一下 host。 規格寫的是 “Businesses publish their profile at /.well-known/ucp“，platform 讀到 business 宣告的 capability，名字叫 com.example.pay，附一個 schema 網址。手上就這兩個字串。要不要去抓那份 schema？要不要承認這個名字真的歸 example.com？沒有註冊表可以查，也沒有人可以問。 規格的答案寫在一開頭：”UCP uses reverse-domain naming to encode governance authority directly into capability identifiers. This eliminates the need for a central registry.” 我覺得更有意思的是這句話背後的那條規則：它寫了兩次，第一次寫壞了...
Claude Code 工作目錄圍籬：blockWritesOutsideWorkingDirectories 與讀取版、additionalDirectories、沙盒怎麼挑
在 auto 模式下，Claude 第一次想讀工作目錄以外的檔案，Claude Code 會停下來問你一次。提示框有一個選項叫「No, and block reads outside the working directories from now on」。文件寫得很清楚，選了它不只是拒絕這一次：Claude Code 會把 permissions.blockReadsOutsideWorkingDirectories 在你的 user settings 設成 true，之後每個 session、每種 permission mode，檔案工具都拒絕這類讀取（出處：Permission modes）。 一個提示框的按鈕，就在你的全域設定裡寫進一個 key。而今天發的 2.1.314，changelog 第一條又多了它的寫入版：permissions.blockWritesOutsideWorkingDirectories。 所以現在想讓 Claude 別走出工作目錄，手上有四樣東西：只擋讀、只擋寫、把目錄加進工作目錄、沙盒。它們管的範圍差很多，挑錯了會有一段你以為圍起來、其實沒圍的...
AI 與科技新聞摘要 - 2026/10/30
同一個季度，兩家雲端大廠交出的成績單都很漂亮，其中一家在財報隔天就去借了錢。借錢本身不稀奇，我在意的是用途那一欄寫了什麼，以及它旁邊幾個長得很像、其實不是同一件事的數字。 一、Amazon：AWS 年增 39%，同一份新聞稿裡有三個跟花錢有關的數字Amazon 在 10 月 29 日發布第三季成績。淨銷售增加 12%，到 201.9 billion 美元，去年同季是 180.2 billion。AWS 分部銷售年增 39%，到 46.0 billion 美元，IR 頁面另寫 39.3%，並稱這是將近五年來最快的成長。AWS 營業利益 17.8 billion，去年同季 11.4 billion，用表格的百萬美元算，營業利益約佔銷售的 38.7%（我算的：17,773 除以 45,984）。全公司營業利益 28.1 billion，去年同季 17.4 billion。 CEO Andy Jassy（President and CEO, Amazon）的說法是：「Our AWS investment in functionality and infrastructure is wor...
MCP Apps 的一個 MIME type，13 天改了三版：SEP-1865 從草案走到 stable
2025 年 11 月 21 日，一份剛開出來的規格草案裡同時住著兩種寫法。能力協商那段寫 text/vnd.mcp.ui+html，其他段落寫 text/html。ext-apps repo 當天的 commit 訊息講得很直白：規格早就在協商段定義了前者，卻在別處用了後者，所以全篇改成一致。 同一天又有一個 commit 把它換掉，這次換成 text/html+mcp，理由列了四條，頭一條是「這是未註冊的 subtype，私人使用是允許的」。 一個字串一天內改兩次，看起來像手滑。但留言串裡作者講過它的分量：這個 MIME type 是當識別字用的，拿來觸發 MCP Apps 協定。我的理解是，client 看到它才知道這份 HTML 不是普通網頁，要走 postMessage 那一套。暗號寫錯，兩邊就對不上。 這篇照時序走一遍 MCP Apps（規格編號 SEP-1865），主線是這個字串怎麼在 13 天內改到第三版，旁邊還有哪些東西在同一段時間被磨掉。我的立場先放在這裡：這份規格最有參考價值的地方，是每個讓步發生在誰身上、讓了多少，都留在公開紀錄裡。要採用的人可以直接照紀錄...
@claude review 留一句話其實是在訂閱：託管 Code Review 的 once、always、stop 與 After every push
PR 底下有人留了一行 @claude review。在 2026 年 7 月的更新之前，這行字的意思是「這個 PR 之後每次 push，都幫我審一遍」。現在它只審一次。repo 設成 Manual 或 Once 的話，之後你再 push，不會有人理你。 文件自己就寫了這段：「Before a July 2026 update, @claude review subscribed the PR to push-triggered reviews. If you relied on that behavior, comment @claude review always instead.」習慣了舊行為的人，會以為後面的 push 還有人在看。 這篇講的是託管版的 Code Review，也就是 GitHub PR 上由 Anthropic 基礎設施跑的那個服務，Team 與 Enterprise 方案才有。本站已經寫過本機的 /code-review 教學、它的參數順序，以及自己架在 CI 裡跑的 GitHub Actions。這一篇的切角不一樣：留言那一行字到底在跟誰說...
AI 與科技新聞摘要 - 2026/10/29
一個模型先不開放給一般人，一個模型在自己的模型卡裡就承認它做不到即時。今天這兩則，是主角自己把限制寫在能力旁邊：Gemini 4 Carbon 先只給資安防守者，Nemotron 3.5 Transcribe 只吃錄音、不吃直播。剩下三則是成本、財報和海關，每個數字都得問一句：誰說的。我先收下限制，再回頭處理數字。 一、Gemini 4 Carbon：先給防守者，分數是 Google 自己給的Google 在 10 月 28 日發表 Gemini 4 Carbon，官方部落格署名 Koray Kavukcuoglu（SVP, Google DeepMind and Chief AI Architect, Google）。頁面上最值得讀的是發放順序：「Starting this week, we will make Carbon available to a subset of cyber defenders」，之後才會開給開發者、企業與消費者，頁面沒有給日期；另外會透過 Fairwind Program 逐步開放給更多受信任的夥伴。 數字有三個。Google 說 Carbon 在...
Arazzo Specification 拆開看：步驟失敗了怎麼辦，規格把重試與跳轉寫進文件
流程跑到第三支 API，回來一個 503。重試、跳去別的步驟、整件事就地收工，三條路都說得通，問題是誰來決定。 這個決定總得有人寫下來。寫在程式碼裡，換個語言就要重寫一次；寫在 agent 的提示詞裡，每次執行都可能被重新詮釋。Arazzo 的做法是第三條路：把它寫進一份跟語言無關的文件裡。我想拆的就是這一塊，因為它是整份規格裡最像「機制」的部分，其他多半是描述欄位。 我認為這份規格最值得讀的不是「它能串 API」，而是它預設什麼都不替你做：失敗了就停，重試要自己寫，沒寫 retryLimit 就只重試一次。這種保守比功能多更可信。哪些情況會讓我收回這個判斷，留在文末。 一個步驟怎麼算成功規格的 README 把定位寫得很直白：Arazzo 是 OpenAPI Initiative 底下、由社群推動的開放規格，用一種與程式語言無關的方式，描述一串呼叫以及它們之間的相依，對象是 OpenAPI、AsyncAPI 這類 API 描述。README 的用途清單裡還有一項 “deterministic API invocation by AI-based LLMs”。repo 的簡介更乾...
Claude Code Projects 該不該開：目標會長出很多任務才值得，雲端 thread 看不到你的 hooks
手上有一批服務要全部升到新的 lint 設定，會拖好幾週。每個服務開一條雲端 session，每一條的第一句話都一樣：從 main 開分支、一個 PR 對一件事、別直接 merge。講到第七次的時候，你會不會想問：這串話為什麼不能只寫一次？ Claude Code 的 Projects 就是衝著這個問題來的。先把邊界講清楚：這篇我讀的是官方的 Projects 文件和並行方式比較頁，2026-10-28 讀的，沒有實際開過專案，所以下面每一個行為都是「文件這樣寫」，不是「我看到它這樣跑」。上面那個 lint 場景也是我假設的，官方範例裡有一句類似的任務（Bring every service up to the new lint config），我只是拿來當處境。 先問：這個目標活得過一個 session 嗎官方的判準只有一句：專案值得開的條件，是工作的目標比一個 session 活得久，而且會一直長出新任務。它列的情境有四種：同一個目標橫跨很多 repo、一塊你會持續餵東西進去的領域、比一個 session 大的建置或遷移，以及不是寫程式的工作。 結構很像工頭和工班。專案裡有一...
