Bloom Security 于 2026 年 10 月 13 日披露 npm Trusted Publishing 的 SlugFest 漏洞：npm 把包的发布信任绑定到 GitHub 仓库的 owner/repo 名称而非不可变的数字 ID，任何人抢注被废弃的仓库名即可发布该包的新版本。
推荐理由：以 npm 信任发布漏洞为引，说明授权应绑定不可变 ID 而非可改名称，并给出可迁移的校验清单。
独立开发者分享了为 LeadHunting AI 构建多层合规引擎的做法：CAN-SPAM 层面每封邮件带一键退订（List-Unsubscribe 头）与实体地址。
一名开发者称自己在 10 月 8 日创建 Connector 并连接 GitHub 账号、为 Organization 安装 Claude App 后，10 月 11 日收到 Claude 账号 suspended 邮件，他认为原因是 GitHub 暗中收集 IP 并标记地区，与 Profile 里填的 Location 无关。
Photopea 作者 IvanK_net 表示，有人用 AI 提取其网站 JavaScript 代码、去掉广告后作为新产品发布到 GitHub，站上存在数十个此类仓库。
UOB Business Outlook Study 2026（泰国）H1 调查 265 位企业主与决策层显示，71% 泰国企业已开始用 AI，89% 计划在 2026 年增加 AI 预算，80% 将加大数字投资。
2026 年 2 月 3 日，软件、法律科技、金融服务与资产管理类股票市值蒸发约 2.85 万亿美元，导火索是 Anthropic 于 1 月 30 日在 GitHub 发布的一套用 Markdown 和 JSON 写的开源插件，让 Claude 能直接做合同审查、合规检查等高价软件的核心工作。
Gartner 建议 CIO 在签 SaaS 合同前像评估技术一样评估条款，否则 AI 战略可能被已签的合同条款卡住。需重点确认 agent 能否通过 API 完成人类在界面上做的全部操作、合同是否禁止自主使用，以及系统从你这里学到的知识归谁所有（Gartner 称之为 Knowledge Retention Rate）。
GitHub 宣布未验证的 npm trusted publishing 配置在创建 48 小时后过期，不再能授权发布，以降低仓库或项目名易主带来的信任风险。首次成功发布后配置即被验证并免除过期，更换仓库或项目身份需重新建立信任关系并获得新的 48 小时验证窗口，普通编辑不会重置期限。
GitHub Actions 的 macOS 14 runner 镜像将于 2026 年 11 月 2 日退役，涉及 macos-14、macos-14-large、macos-14-xlarge 三个标签。
Google 宣布 Google Mobile Ads (GMA) Next-Gen SDK 成为 Android 上 AdMob 和 Ad Manager 开发的首选 SDK，原有 Google Mobile Ads SDK 转为 legacy。
推荐理由：Google 官方宣布 Android 端广告 SDK 换代，并给出旧版停服时间表，开发者可据此安排迁移。
Paddle 现已集成 GitHub 的 secret scanning 服务，当 Paddle API key 出现在公开仓库中时会收到告警并自动吊销该密钥。该功能已在 Paddle API v1 上线并默认启用，账户所有者会在检测到泄露时立即收到邮件通知；密钥在私有仓库泄露则需自行排查是否手动吊销。
西班牙法院授权 LALIGA 封锁与盗播足球直播相关的 IP 地址，且不区分侵权与非侵权服务，导致西班牙用户无法访问部分合法网站。Vercel 表示其 IP 66.33.60.129 和 76.76.21.142 曾被封锁，影响 Tinybird、Hello Magazine 等客户，Cloudflare、GitHub Pages 和 BunnyCDN 也受波及。
推荐理由：西班牙法院授权 LALIGA 按 IP 段封锁，Vercel 说明自家两个 IP 被波及及后续解封进展。
Replit 发文解释版权与授权许可如何塑造其产品：公开 Repl 采用 MIT 许可证，可 fork、修改和自由分发，底层 Linux 也源自 Unix。