今天 DAVID888 Daily 每日放送 為大家彙整今日最受關注的科技動態：從 UEFI 核心長達 16 年的重大漏洞、Apple 憑證信任風波，到多 Agent 開發管線的開源管理工具，帶你一次掌握硬體韌體、系統安全與 AI 工程化的最前線進展。
UEFI 韌體爆出 16 年老漏洞，威脅全球伺服器安全
全球伺服器與資料中心廣泛採用的開源 UEFI 參考實作 TianoCore EDK II，近期被揭露一個潛伏長達 16 年的嚴重記憶體損壞漏洞（CVE-2026-97631，CVSS 評分高達 9.5）。
運作原理與影響層面
該問題源於 PXE 基礎程式碼驅動程式中的 ICMP 錯誤封包解析邏輯。當驅動程式接收到錯誤訊息時，會將其寫入一個固定 504 位元組的私有結構中，但由於邊界檢查瑕疵，超額長度的惡意封包會直接覆寫鄰近記憶體。這使攻擊者能在 Secure Boot 與作業系統尚未載入前的極早期開機階段，直接取得 Ring 0 的任意代碼執行權限，進而繞過 TPM 度量開機並竊取磁碟加密金鑰。
社群熱議與架構反思
儘管評分極高，資安社群指出實際利用條件相對嚴格：目標伺服器必須啟用 PXE 網路開機，攻擊者須位於同一本地網段，且必須精準命中伺服器重開機監聽的數秒時間窗口。然而，在公有雲裸機託管（Bare-metal）等環境下，這類跳板攻擊依然極具威脅。許多開發者也藉此反思，現代 EDK2 包含百萬行 C 語言代碼、在開機階段載入肥大的網路堆疊，反而讓最底層的韌體成了巨大的攻擊面。
Apple macOS 內建 Git 仍信任已洩漏的 eMudhra 憑證
印度憑證授權中心（CA）eMudhra 近期因金鑰洩漏事件而遭廣泛撤銷，但開發者發現，macOS 內建的指令列工具（如 git、curl、python3）在更新至 macOS 27.2 後，依舊信任這些已被列為不安全的憑證。
更棘手的是，macOS 27.2 更新甚至直接覆蓋了開發者先前手動修改 /etc/ssl/cert.pem 的應急措施。實測證實，若遭受中間人攻擊（MITM），系統內建的 git 仍會毫無警告地接受偽造中繼憑證，可能導致原始碼遭到篡改或存取權限 Token 洩漏。社群批評 Apple 對於 Safari 等圖形介面與系統 Network Framework 的修補迅速，但對 CLI 開發工具的憑證庫維護卻顯得脫節，這對普遍使用 macOS Runner 的 CI/CD 流程帶來了不容忽視的供應鏈安全隱患。
並行 AI Coding 必備：Orca、herdr 與 Squadra 解決多 Agent 衝突痛點
隨著工程師開始在本地同時執行多個 Coding Agent（例如 Claude Code 或 Codex），「檔案覆蓋衝突」、「背景中斷」以及「缺乏代碼審查」成了全新瓶頸。三款新興的開源工具分別從不同切入點解決了這些工作流混亂：
- Orca：基於 Git Worktree 原理，為每個 Agent 自動建立獨立的 repo 分支，從物理層面隔絕修改衝突，並提供 PR 差異註解與多帳號配額管理。
- herdr：以 Rust 打造的輕量終端復用器（Multiplexer），支援背景 Detach 模式，能即時標記 Agent 面板狀態（工作、等待或閒置），並提供 Socket API 讓 Agent 彼此串聯。
- Squadra：專注於多 Agent 協作規範，強制執行嚴格工程紀律，例如「撰寫程式碼的 Agent 不得審查自己的代碼」、「任務需被指派者確認才啟動」等。
這顯示出 AI 輔助開發的焦點正從「單一模型有多聰明」演進至「多 Agent 的並行排程與版本控制（Orchestration & Version Control）」。
Cursor 推出 Agent SDK：以 TypeScript 打造企業級工作流
Cursor（Anysphere）正式公開內部用於構建 Bugbot 與代碼審查器的底層基礎架構——Agent SDK。開發者能以「Agent as Code」的方式，用 Markdown 編寫提示詞、以 TypeScript 定義工具與評測邏輯，完整納入團隊的 Git 版本控制。
這套 SDK 支援子代理（Subagents）並行分工，並能透過簡單指令一鍵打包部署至 Cursor 託管雲端，自動取得監控儀表板與憑證防護。雖然社群對於市面上又多一個名為「Agent SDK」的產品感到疲勞，但 Cursor 將重心由 IDE 插件轉移至「企業級工作負載託管環境」，展現了平台化轉型的野心。
Nvidia 開源 Nemotron 3.5 Transcribe：整合轉錄、辨識與語者分離的 30B 模型
Nvidia 正式開源多語言語音模型 Nemotron 3.5 Transcribe，首度將逐字稿轉錄、語者分離（Diarization）、語音翻譯與音訊問答整合成單一 Checkpoint。
該模型總參數量為 30B，採用語音編碼器與 Mamba-Transformer 混合架構（MoE），每個 token 僅啟動約 4B 活躍參數，支援 40 種語言轉錄與 31 種語言雙向英譯。透過 NVFP4 量化版，單張 RTX PRO 6000 GPU 可以在 3 分鐘內處理 100 小時音訊。不過社群實測指出，該模型目前僅支援預錄音檔、尚不支援即時串流（Streaming），且在未微調的情況下面對混雜背景音時仍有改善空間。
Ghostty 1.4 釋出：記憶體壓縮與平行 I/O 的終端極致效能
現代終端模擬器 Ghostty 迎來 1.4.0 版本，整合了 172 位貢獻者的近三千次提交，帶來顯著的底層效能提升。新版本導入了透明的離屏 Scrollback 記憶體壓縮機制，使記憶體佔用降低 70% 至 90%，預設滾動上限大幅提升至 50 MB。
在架構上，Ghostty 重構了 macOS 上的 pty 讀取機制，透過獨立執行緒異步讀取並平行解析，讓純 ASCII 解析速度提升 5.7 倍至 725 MB/s。此外，新版完整覆蓋了 Kitty 圖形協定規格，並改進 Linux/GTK 渲染管線以解決分數縮放模糊問題。這類多執行緒異步 I/O 與 GPU 動態卸載的實作，正讓終端模擬器逐步邁向遊戲引擎等級的架構複雜度。
經典編輯器 Emacs 迎來 50 週年：長青架構在 AI 時代的新角色
自 1976 年誕生於 MIT 人工智慧實驗室以來，文字編輯器 Emacs 正式邁入第 50 個年頭。從早期基於 TECO 巨集演進到催生 GNU 專案與自由軟體運動，Emacs 憑藉精簡的 C 核心與高度同像性的 Emacs Lisp (Elisp) 運行環境，展現了歷久彌新的生命力。
在現代 AI 與大型語言模型（LLM）普及的背景下，社群出現了熱烈討論：一派認為 AI 大幅降低了學習 Elisp 的門檻，讓使用者能隨時透過自然語言動態改造執行中的編輯器；另一派則擔憂這可能導致深度理解底層設計的維護者斷層。無論如何，Emacs「將編輯器視為即時可重構環境（Live-programmable environment）」的特質，使其在調度與嵌入 AI Agent 時展現出獨特的架構優勢。