独立开发日报 · 2026 年 10 月 17 日 · 星期六
BILLIONARE.ME
npm Trusted Publishing 曝 SlugFest 信任绑定漏洞
Bloom Security 披露 npm Trusted Publishing 的 SlugFest 漏洞：发布信任绑定到 GitHub 仓库的 owner/repo 名称而非不可变数字 ID。同日 G2 报告显示，仅 9% 买家认为按席位定价合理，57% 想要按用量计费。Reflection 发布 501B 开源 MoE 模型 Beam，支持 1M 上下文。
产品与工具
Stripe Blog一手Stripe 为 fintech 推出三项更新：Global Payouts、稳定币卡与统一 API
Stripe 发布三项面向 fintech 的更新：Global Payouts 支持向 160 个市场发送即时稳定币打款、向 100 多个市场发送传统货币打款。
Vercel News一手Vercel 与 Shopify 发布 Vercel Shop，让 Agent 成为一等购物者
Vercel 与 Shopify 宣布开源 Next.js 店铺模板 Vercel Shop 正式可用，基于 Shopify 的 Hydrogen SDK，可同时服务人、搜索引擎和 Agent。
增长与分发
RevenueCat Blog一手如何在 Google Ads 上投放增强型应用广告（EAC）
Appstack 的 Lucas Moscon 给出在 Google Ads 上投放增强型应用广告（EAC）的完整操作指南，用最终 URL 跳转商店的网页广告替代 Google App Campaigns（GAC），从而获得关键词、版位和预算控制权。
AI 与技术
Reflection 发布 501B 开源模型 Beam，支持 1M 上下文与自托管部署
美国新实验室 Reflection 在 Hugging Face 发布首个开源模型 Beam，这是一个 501B 参数的 MoE 模型，每 token 激活 23B，支持 1M token 上下文，采用 Apache 2.0 许可，聚焦编码与 Agent 场景。
Vercel News一手Reflection AI 的 Beam 模型限时免费上线 Vercel AI Gateway
Reflection AI 的 Beam 模型现已上线 Vercel AI Gateway，发布期内通过 Reflection AI 调用免费。Beam 是面向编码和 Agent 任务的低延迟美国开放权重推理模型，权重以 Apache 2.0 发布，支持工具调用和结构化输出，上下文窗口为 1M token，每 token 仅激活 501B 参数中的 23B。
市场与规则
WorkOS Blog一手SlugFest：npm Trusted Publishing 把信任绑在仓库名而非 ID 上的漏洞
Bloom Security 于 2026 年 10 月 13 日披露 npm Trusted Publishing 的 SlugFest 漏洞：npm 把包的发布信任绑定到 GitHub 仓库的 owner/repo 名称而非不可变的数字 ID，任何人抢注被废弃的仓库名即可发布该包的新版本。
SaaStrG2 2026 AI Agents 报告：仅 9% 买家认为按席位定价合理，57% 想要按用量计费，74% 会在续约时比价
G2 于 2026 年 7 月调研 1,019 名 B2B 决策者后发布 2026 AI Agents Insight Report，其中定价与续约章节显示，只有 9% 的买家认为按用户或按席位定价对 agent 服务最公平。
Apple Developer News一手Apple 更新 App Review Guidelines，新增创意素材与隐藏功能条款
Apple 于 10 月 16 日修订 App Review Guidelines，以支持新功能、更新政策并作出澄清。1.2 条明确了受该准则约束的应用内容与类型，2.3.14 条新增创意素材相关准则，2.5.19 条新增准则澄清了此前由 2.3.1 条覆盖的隐藏、休眠或未记录功能政策。