HN 瞎聊 #112 – 隐私追车、裸眼审查、依赖地狱与监管风暴
About This Episode
本期我们拆解车载遥测的隐私争夺、Meta 外包审查的伦理漩涡、PyTorch Lightning 供应链注入的恶意代码、FCC 对测试实验室的大刀阔斧以及背后暗流涌动的行业治理困局，一口气聊个够。
Chapters
Links
小雅: 老冯，你听这雨下的，跟楼上漏水似的。咱这共享办公室的隔音效果是真不行，隔壁那哥们又在跟 `pip install` 较劲呢？
老冯: 可不是嘛，我刚才还以为咱俩录音室进水了。那哥们估计又是忘了切换 Python 环境，这都 2026 年了，依赖地狱还这么香，你说气不气人。
小雅: 得了吧，你不也天天吐槽 npm 的依赖树比亚马逊雨林还复杂？今儿咱就聊聊这依赖地狱，顺便再扒扒最近那些奇葩事儿。
老冯: 哟，今儿话题挺丰盛啊。除了依赖地狱，还有啥？我瞄了一眼 HN，最近这监管风暴刮得挺猛，连 Tesla 的隐私追车功能都被盯上了。
小雅: 对啊！还有那什么裸眼审查的新技术，听说国内有公司直接在屏幕上动手脚，连广告都给你「优化」没了。你说这算创新还是侵权？
老冯: 哈哈，这事儿我可得好好说道说道。裸眼审查这玩意儿，技术上倒是挺牛逼，但伦理上就是个雷区。你想啊，连你自己都不知道屏幕上少了啥，这不跟盲人摸象似的？
小雅: 可不是嘛！还有最近那个监管风暴，欧盟又出新规了，AI 公司得公开训练数据来源，不然就罚到你怀疑人生。你说这帮政客是不是闲的？
老冯: 政客闲不闲咱管不着，但这波监管确实够猛。不过话说回来，咱也得承认，有些公司是真不拿用户隐私当回事儿。Tesla 那追车功能，说白了就是变相监控。
小雅: 行了行了，咱今儿就从这几个话题聊起。先说说依赖地狱，再聊聊隐私追车和裸眼审查，最后再吐槽吐槽这帮监管的。你准备好了没？
老冯: 早准备好了，就等你这杯咖啡凉了开聊呢。不过话说回来，你这咖啡味儿怎么跟隔壁那哥们的泡面一个味儿？
老冯: 诶，小雅，你听说了吗？Rivian 这帮人又在玩隐私的把戏了。
小雅: 啥把戏？又是那种「你可以关闭数据收集，但功能也一起关」的套路？
老冯: 对喽！官方文档说得清清楚楚：关了车辆连接，导航、车道保持、OTA 更新全没了。
小雅: 我靠，这不就是变相绑架吗？「要隐私？行，你连安全更新都别想要。」
老冯: 而且加拿大车主还能在设置里自己关，其他地方的？得预约售后，让 Rivian 远程给你掐 eSIM。
小雅: 哈？这不就是「我们给你关，但关不关得看我们心情」吗？
老冯: 评论区有个哥们说得好：「买新车前先看细则，不然他们能搞的破事儿你得自己买单。」
小雅: 这不就是明摆着欺负消费者不懂技术吗？ICE 车还有 J2534 标准，EV 就直接闭环了？
老冯: 对啊，燃油车时代，你想刷固件？买个 J2534 设备，自己搞。EV 时代？OTA 一家独大，没备胎。
小雅: 那要是我关了 OTA，出了安全召回怎么办？4S 店能手动刷吗？
老冯: 理论上能，DoIP 接口刷固件不是问题。但文档没写，4S 店也不会主动告诉你。
小雅: 那不就成了「你不装更新，出事儿不赔」的借口了？Kia 那事儿你听说了吗？
老冯: 嗯，Kia 发动机故障，车主不装软件更新，4S 店说不保修。明明《马格努森 - 莫斯法》保护你。
小雅: 这帮孙子就是吃准了消费者不懂法，拿技术当挡箭牌。
老冯: 更绝的是，你去 4S 店手动刷固件，他们顺手把你的数据导出来，你都不知道。
小雅: 我操，这不就是「隐私洗白」吗？我关了远程连接，结果去趟 4S 店，数据全泄了。
老冯: 所以啊，隐私追车这事儿，现在就是个死结。要隐私？行，你连车都别开了。
小雅: 那老冯你说，有没有可能搞个开源固件，自己刷？
老冯: 理论上可行，但 EV 的 ECU 加密做得太狠，破解难度比 ICE 高几个数量级。
小雅: 那不就意味着，未来买车，你要么接受被监控，要么买个老爷车？
老冯: 差不多。评论区那个哥们说得对，老车现在卖得跟新车一个价，就是因为新车这堆破事儿。
小雅: 我靠，这不就是技术霸权吗？消费者连选择的权利都没有。
老冯: 所以啊，下次买车，先问问自己：你是想要辆车，还是想要个移动的监控摄像头？
小雅: 得了，我还是骑自行车吧。至少它不会偷偷上传我的骑行轨迹。
小雅: 欸，老冯，你刷到那个 Meta 的新闻了吗？又是一出大戏。
老冯: 哪个？Meta 这帮孙子最近戏太多了，我都快跟不上节奏了。
小雅: 就那个，Meta 跟 Sama 解约的事儿。肯尼亚的员工说他们审核 Meta 智能眼镜拍的内容，结果看到了用户上厕所、啪啪啪的画面。
老冯: 卧槽，这玩意儿比《黑镜》还黑镜。智能眼镜不是有录制提示灯吗？怎么还能拍到这种东西？
小雅: 提示灯？别逗了，老冯。你真信那玩意儿能拦住变态？评论区有个哥们说得好，这年头隐私就是个笑话。
老冯: 对对对，Meta 还说这是为了「改善用户体验」。我呸，改善个屁。这不就是拿廉价劳动力当垃圾桶吗？
小雅: 而且这事儿还不新鲜。2022 年 OpenAI 就用 Sama 审核过 CSAM，结果后来也甩锅跑路了。
老冯: 哎，这帮大厂就是一个德行。反正出事了就解约，员工背锅，他们继续装无辜。
小雅: 最恶心的是，他们还美其名曰「必要的人工审核」。必要个屁！OpenAI 直接爬 CSAM 训练数据，这他妈是选择，不是无奈。
老冯: 对，Facebook 审核用户上传的内容还算有点理由，OpenAI 这纯粹是自己作死。
小雅: 评论区有个大佬说得好：「这年头创伤都有市场价，还他妈有竞争力，需要牌照。」
老冯: 哈哈，这句太狠了。不过说真的，这帮人拿着几百块的月薪，天天看这种东西，心理健康谁管？
小雅: 管个屁！Sama 号称「道德」B 级企业，结果连基本的心理支持都不给。这不就是剥削吗？
老冯: 剥削还算好的，这简直是精神谋杀。我记得之前有个前员工起诉 Facebook，说看了太多极端内容，现在做噩梦。
小雅: 对啊，这事儿还在打官司呢。那个非洲科技工人运动的哥们说，Meta 解约就是因为员工曝光了真相。
老冯: 「标准的保密性」，这话说得真他妈冠冕堂皇。不就是怕丢人吗？
小雅: 而且你看，英国和肯尼亚的监管机构都开始介入了。这事儿要是不整改，以后谁还敢用这玩意儿？
老冯: 整改？你想多了。大厂的套路就是先道歉，再拖延，最后不了了之。
小雅: 不过也有建议说，可以提高工资、提供心理支持、或者用更精细的数据源。
老冯: 提高工资？你信吗？这帮资本家恨不得一分钱掰成两半花。
小雅: 反正这事儿让我想起了《上载新生》里的情节，人类被迫审核 AI 生成的内容，最后精神崩溃。
老冯: 别说，还真挺像。不过现实比剧本更魔幻。这帮人还真把人当机器使。
小雅: 行了，咱俩也别光吐槽了。这事儿得让更多人知道，不然这帮大厂永远不会改。
老冯: 对，下次录节目得好好骂骂这帮孙子。不过现在，我得去倒杯咖啡压压惊。
小雅: 卧槽，老冯，你听说了吗？PyTorch Lightning 这个库被人塞了个沙虫主题的恶意代码。
老冯: 沙虫？《沙丘》里那个？这帮黑客还挺有文化的嘛。
小雅: 别贫了！这事儿可严重了。pip install lightning 一下，你的 GitHub token、AWS 密钥、环境变量全他妈给偷走了。
老冯: 哦，又是老一套。Python 生态这点破事儿，每年不来个三五回都不好意思说自己是开源社区。
小雅: 这次不一样！这玩意儿还会感染 npm 包，自动发布新版本，然后传染给下游开发者。简直就是供应链版的《生化危机》。
老冯: 嚯，还带跨生态系统传播的？这帮人是真不嫌麻烦。不过话说回来，这不就是 Python 生态的日常吗？
小雅: 你能不能严肃点？这事儿暴露了多少问题啊！pip install 直接在生产机上跑，checksum 都不验，包还他妈从源码构建。
老冯: 严肃？我天天严肃。这不就是 Python 的原罪吗？方便至上，安全靠边站。你要安全？那你用 Go 啊，用 Rust 啊。
小雅: Go 和 Rust 就没问题了？别逗了，npm 不也一样吗？这事儿根本不是语言问题，是整个行业的问题。
老冯: 哟，火气不小啊。行，那你说说，这事儿怎么解决？MFA 强制？签名验证？可重复构建？
小雅: 对啊！这些方案早就有了，可就是没人用。PyPI 不强制，公司不重视，开发者图方便。
老冯: 那你指望谁来推动？开源维护者？他们连饭都吃不饱。公司？他们只关心上线速度。
小雅: 所以评论区有个哥们说得好：「不是没人关心，是关心的人没钱没权。」这不就是商学院教的吗？
老冯: 哈哈，这评论我给满分。不过话说回来，这事儿还真挺绝望的。你我都知道问题在哪儿，可就是没人能改变。
小雅: 绝望？我可不接受。这事儿得让更多人知道，得让公司意识到这不是「流程问题」，是「信誉问题」。
老冯: 哟，愤青上线了。行，那你说说，你打算怎么改变世界？
小雅: 先从自己做起！不用不明来源的包，强制锁定依赖版本，定期审计依赖树。公司层面，强制冷静期，上线前必须审计。
老冯: 理想很丰满，现实很骨感。你让创业公司怎么做？他们连安全团队都没有，还得跟时间赛跑。
小雅: 所以才需要行业标准啊！PyPI 强制 MFA，GitHub 强制签名，公司强制审计。总得有人站出来推动。
老冯: 行业标准？你指望谁来定？Python 软件基金会？他们连自己家的包都管不过来。
小雅: 那你就准备躺平了？任由这帮黑客为所欲为？
老冯: 躺平倒不至于，但我也不指望一夜之间改变世界。这事儿得慢慢来，从小事做起。
小雅: 比如？
老冯: 比如，你我以后写代码，尽量少用不明来源的依赖，多用锁定版本，多审计依赖树。公司层面，推动安全培训，强制冷静期。
小雅: 这不就是我刚才说的吗？
老冯: 嘿，英雄所见略同嘛。不过话说回来，这事儿还真挺讽刺的。AI 都这么发达了，我们还在为依赖安全头疼。
小雅: 可不是嘛！AI 能写代码，能调试，可就是管不了这帮黑客。说到底，还是人的问题。
老冯: 诶，小雅，你听说了吗？FCC 今天要投票，直接把中国的 119 个测试实验室给一锅端了。
小雅: 卧槽，真的假的？这不就是变相把小厂逼死吗？我昨天还看到个帖子，说这帮实验室就是「橡皮图章」，随便测测就给你过。
老冯: 哟，你还挺关心小厂死活啊。不过这事儿吧，有点复杂 —— 那些大厂，像 Intertek、SGS，在中国也有实验室，这下全给一锅烩了。
小雅: 那又怎样？大厂有钱，可以去台湾、日本重新找实验室。小厂呢？本来就够穷了，还得多花几万美金去美国测试？
老冯: 你这话说得，好像 FCC 就是为了整小厂似的。评论区有个哥们说得好，「中国实验室就是给边缘产品开绿灯的」，你不觉得这才是问题核心吗？
小雅: 切，又是那个「评论区哥们」。你咋不说美国实验室也有黑幕？上次那个什么「蓝牙耳机辐射超标」的新闻，不就是美国实验室放水的吗？
老冯: 行行行，你爱国你有理。不过啊，这篇文章写得也太「AI 味儿」了，满屏的饼图、表格，看得我头疼。
小雅: 哈哈，你也发现了？评论区都说这玩意儿「高度抛光但信息稀薄」，一看就是 LLM 吐出来的「垃圾」。
老冯: 可不是嘛，还「Complete Guide」呢，连实验室认证状态都没核实清楚，就敢发出来忽悠人。
小雅: 哎，说到认证，你记得上次那个「依赖地狱」的梗吗？现在硬件认证也快变成「依赖地狱」了 ——FCC 认证完了还有 CE、RoHS，每个认证都得花钱找实验室。
老冯: 可不，这帮监管机构就喜欢搞「一刀切」。要我说，FCC 这波操作，就是「经济保护主义」的老套路，跟当年「Bad Times」一样。
小雅: 「Bad Times」？什么鬼？
老冯: 就是以前有段时间，美国突然不让进口某些电子元件，搞得一堆小厂没货可卖，只能关门大吉。
小雅: 我靠，这不就是「技术霸权」吗？FCC 这帮人，嘴上说着「公平竞争」，背地里还不是为了保护自家市场？
老冯: 你这话说得，跟愤青小报似的。不过啊，台湾这次倒是捡了个大便宜 —— 中国实验室一倒，台湾就成了最大的「替代品」。
小雅: 切，台湾又不是什么「白莲花」。他们实验室也是「橡皮图章」的重灾区，你忘了去年那个「台湾蓝牙模块造假」的新闻了？
老冯: 行了行了，你别一竿子打翻一船人。说到底，这事儿就是「监管」和「创新」的老矛盾 ——FCC 想堵漏洞，小厂就得买单。
小雅: 那有什么解决方案？总不能让小厂都去美国测试吧？
老冯: 解决方案？等着吧，过两年 AI 实验室兴起了，直接在云端测试，连实验室都省了。
小雅: 哈哈，你这也太科幻了。不过话说回来，要是 AI 真能搞定认证，FCC 这帮人估计得气死。
老冯: 可不是嘛，到时候他们又得搞个「AI 认证禁令」，说「AI 测试不准确」、「数据不透明」之类的。
小雅: 行了，别乌鸦嘴了。咱俩还是赶紧录完，我还得回去调试我的「隐私追车」项目呢。
老冯: 哟，你那个「隐私追车」还没搞定啊？小心 FCC 又给你扣个「非法无线电」的帽子。
小雅: 滚蛋！我这可是「合法创新」！
小雅: 卧槽，老冯，你刷到这个 FCC 要封杀 21% 测试实验室的新闻了吗？今儿 4 月 30 号，他们马上就要投票了。
老冯: 哦，那个啊，看到了。119 个中国实验室加 7 个香港的，一刀切全给禁了。还顺带捎上印度和瑞士的几个。
小雅: 对啊！说是为了打击那些「坏实验室」，专门给边缘产品开绿灯的。但这波操作也太粗暴了吧，直接把整个中国区的实验室全端了。
老冯: 粗暴？这叫「战略性模糊」。反正 FCC 说禁就禁，理由还不是「国家安全」那套。
小雅: 但评论区有个哥们说得好，这波禁令一出，小厂商直接完蛋。之前在深圳找个实验室测试，便宜又快，现在得跑去台湾或者美国，成本翻倍不说，时间还拖死。
老冯: 可不是嘛，台湾现在成了最大赢家。98 个实验室，一下子就变成非美地区最大的测试市场了。
小雅: 笑死，这帮大厂也逃不掉。Intertek、SGS、UL 这些，在中国都有分部，这下全给一锅端了。
老冯: 哦，你还真别说，UL 在广州的实验室还挺有名的。现在好了，人家美国总部估计得偷着乐，反正中国市场的活儿都得挪到他们那儿去。
小雅: 这文章写得也太离谱了，评论区都说是 AI 写的「slop」。看那一堆饼图和表格，信息密度低得要死，还他妈自称「Complete Guide」。
老冯: 哈哈，你也看出来了？那文章开头就来一句「If you're bringing a hardware product to market in the US, you need an FCC-accredited test lab.」 这不废话吗？
小雅: 而且那饼图画得跟幼儿园作业似的，524 个「test-only labs」，67 个「TCBs」。这数据谁看了不迷糊？
老冯: 最绝的是，人家评论区直接怼：「No human would waste the time to write a piece that is both highly polished while being so long that any useful information is spread so thinly it is essentially empty.」
小雅: 对对对！这文章就是典型的「AI 体」，看起来光鲜亮丽，实际啥有用信息都没有。
老冯: 不过话说回来，这波禁令确实有点意思。你说那些「坏实验室」到底有多坏？真的是「rubber-stamp compliance」吗？
小雅: 谁知道呢，反正 FCC 说啥就是啥。但这波操作绝对会让一堆小厂商死得很惨。
老冯: 可不是嘛，之前有个做蓝牙耳机的小团队，在深圳找了个实验室，两周搞定认证，现在得飞去台湾，时间和钱都得翻倍。
小雅: 这不就是「Bad Times」的翻版吗？之前那些小众设备不就因为认证问题断供了？现在又来这一出。
老冯: 得了，反正咱们也改变不了什么。不过这事儿确实挺有意思的，一边是监管的大棒，一边是市场的无奈。
小雅: 行了，别扯了。反正这事儿咱们也管不了，就当看个热闹吧。不过这文章真的是「slop」中的战斗机。
老冯: 哈哈，可不是嘛。下次谁再给我推荐这种「Complete Guide」，我直接给他扔回去。
小雅: 操，聊到现在脑子都快炸了，这帮大厂一个比一个能搞事，隐私追车都整出来了，真他妈服了。
老冯: 得了吧，你这愤青劲儿又上来了。不过话说回来，今天这几个话题确实够劲儿，裸眼审查那段我都想给那帮产品经理寄刀片了。
小雅: 哈哈，你那刀片估计早就被快递拦截了。不过说真的，今天这期录得挺爽，虽然话题都挺沉重的，但聊完总觉得心里痛快点。
老冯: 嗯，痛快是痛快，就是嗓子有点冒烟。诶，你那咖啡还喝吗？给我来一口，润润嗓子继续扯。
小雅: 去去去，自己倒去。诶对了，听众朋友们，今天这期就聊到这儿吧，想听下期的话，记得用你常用的泛用型客户端订阅一下，别指望那些封闭平台给你推送。
老冯: 对对对，RSS 订阅一下，更新了就能第一时间收到。别到时候又有听众跑来问「为什么我没收到更新」，我真服了。
小雅: 哈哈，那估计又是哪个小白用了什么垃圾播放器。行了，今天就到这儿，下期有空再聊，拜拜~
老冯: 下次继续扯，拜拜。诶，小雅，别忘了关麦克风，我可不想明天上班被同事问「老冯你昨晚又骂谁了」。
小雅: 滚滚滚，赶紧收拾东西走人，我还要加班呢。