2026年2月

整理 | 华卫

 

近日,一款由独立开发者 gavrielc 制作的开源 AI 助手 NanoClaw 火了,它以极简的架构实现了 OpenClaw 的同等核心功能,核心代码只有约 500 行,只用 8 分钟就能看懂。

 

项目地址:https://github.com/qwibitai/nanoclaw

 

据了解,原版 Clawdbot 大概有 43 万行代码,令一些开发者对之望而却步。这种复杂程度,让他们联想到在老旧电脑上启动 Photoshop 的体验:即便在 M2 Mini 上,启动这样一款命令行工具也要耗费数十秒。相比之下,NanoClaw 的代码行数足足缩减了 99.9%。

 

同时,NanoClaw 的开发,正是为了回应 OpenClaw 的安全架构问题。尽管 OpenClaw 在 2026 年 1 月凭借其 “类贾维斯” 的能力爆红,但也因对主机拥有无限制访问权限的运行方式,遭到了思科 Talos 等安全研究团队的批评。而 NanoClaw 安全性由操作系统直接“硬隔离”,可谓是 OpenClaw 的安全替代方案。

和 OpenClaw 有什么区别?

“OpenClaw 是一个愿景宏大、令人印象深刻的项目。但我无法安心运行一款我不完全理解、却能触及我生活方方面面的软件。”这是该项目的开发者 gavrielc 做 NanoClaw 的初衷。

 

据称,OpenClaw 拥有 52 多个模块、8 个配置管理文件、45 多项依赖,还为 15 个渠道服务商做了抽象封装。它的安全机制停留在应用层面(白名单、配对码),而非操作系统级别的隔离。所有内容都在同一个 Node 进程中运行,内存共享。

 

而 NanoClaw 是单 Node.js 进程、少量文件,没有微服务、消息队列和抽象层。其通过 Apple 容器(macOS)或 Docker 实现容器隔离,并基于 Claude Code 完成 AI 原生部署。AI 智能体运行在真正的 Linux 容器中,拥有文件系统级隔离,而非仅靠权限校验来保障安全。

 

据介绍,NanoClaw 可通过 WhatsApp 收发消息、定时执行任务,同时保护隐私。

 

简单来说,这两款工具的选择,本质是生态便利性与安全隔离性之间的权衡。

 

OpenClaw 面向追求 “开箱即用” 体验的用户,可快速接入几乎所有主流聊天平台,并通过 ClawHub 提供海量社区开发的技能库。但这种便利伴随着巨大风险:由于 OpenClaw 直接运行在主机上,恶意技能或 AI 幻觉理论上可能删除用户主目录、上传 SSH 密钥。

 

NanoClaw 则面向优先看重安全的用户。它认为,给 AI 开放电脑最高权限本身就存在危险。通过强制让 AI 运行在 Linux 容器内,NanoClaw 可以确保:即便 AI 失控,也只能破坏沙箱环境,而不会影响真实主机。相应的代价是,它不再提供 “一键安装” 的插件生态,用户需要通过 Claude Code 自行构建所需功能。

 

参考链接:

https://ai-engineering-trend.medium.com/nanoclaw-a-slimmed-down-version-of-clawdbot-achieved-in-just-500-lines-of-code-c208dc16ee8f

 

2025 年,威胁攻击者将广泛使用的人工智能工具武器化,用于发起快速、精准的网络入侵。
CrowdStrike《2026 年全球威胁报告》显示,AI 辅助攻击同比激增 89%。攻击者利用自动化与机器生成脚本,将从初次入侵到完全控制域内权限的时间压缩至30 分钟以内
入侵速度成为 2025 年威胁态势最鲜明的特征。
网络犯罪的平均突破时间(从获得初始权限到横向渗透其他系统的间隔)降至29 分钟,较 2024 年提速 65%

有记录的最快突破仅用时27 秒。在一起典型案例中,攻击者在首次接入后4 分钟内就开始窃取数据,企业几乎没有任何响应时间。

CrowdStrike 分析师指出,这种攻击提速与滥用 AI深度相关。攻击者不仅利用 AI 定制恶意软件,还会向受害者环境中运行的合法 AI 工具注入恶意提示词

2025 年 8 月,攻击者将恶意 JavaScript 注入 npm 软件包,劫持受害者本地运行的 Claude、Gemini 等 AI 工具,窃取身份凭证与加密货币资产。
CrowdStrike 服务团队与 OverWatch 响应了超过 90 家受影响客户。
一起典型案例来自CHATTY SPIDER组织。该网络犯罪团伙通过语音钓鱼攻击一家美国律师事务所,诱骗员工通过微软 Quick Assist 授予远程访问权限。
4 分钟内,CHATTY SPIDER 就尝试使用 WinSCP 将窃取的文件发送到攻击者控制的服务器。
在被防火墙拦截后,攻击者转而使用 Google Drive。CrowdStrike OverWatch 在数据外泄前成功阻止了攻击。
除单次行动外,FAMOUS CHOLLIMA等组织已构建全流程 AI 辅助攻击流水线
他们利用 ChatGPT、Gemini、GitHub Copilot、VSCodium 等工具伪造身份、管理多账号,并以虚假身份执行技术性操作。
其 2025 年活动量较 2024 年翻倍,凸显 AI 大幅降低了大规模欺骗式攻击的实施门槛。

攻击者如何在攻击全链路中将 AI 武器化

PUNK SPIDER是 2025 年最活跃的勒索软件组织,已记录入侵事件 198 起。该组织使用 Gemini 生成脚本,从 Veeam 备份数据库中提取凭证,并很可能使用 DeepSeek 生成脚本停止服务、销毁取证痕迹。
与俄罗斯相关的FANCY BEAR组织部署了 LAMEHUG 恶意软件,通过硬编码提示词调用 Hugging Face 上的 Qwen2.5-Coder-32B-Instruct 大模型,执行侦察、收集文档并准备外泄。
这种方式用AI 动态生成内容替代了固定代码逻辑,可绕过静态安全工具。值得注意的是,2025 年82% 的检测事件无恶意软件,意味着大多数攻击通过合法通道实施,而非传统恶意程序。
机构应监控终端上的 AI 工具使用、及时修补 AI 平台、审计 npm 依赖,并在身份、云与 SaaS 环境间保持跨域可视性,以便在攻击者横向渗透前发现快速入侵。

据彭博社今日独家报道,支付行业巨头Stripe Inc. 已初步表达收购意向,计划收购PayPal Holdings Inc. 的部分核心业务或实现整体收购。知情人士透露,相关谈判仍处于早期阶段,交易最终能否达成存在极大不确定性。

PayPal 成立于 1998 年,埃隆・马斯克也曾担任其首席执行官,至今仍是全球数字支付领域的重量级企业,但目前正处于艰难的内部转型期。

与之相对,Stripe 已迅速崛起为新一代行业巨头,凭借大力拓展商户体系、优化交易流程以及打造更友好的开发者生态实现高速增长,不过其业务传统上并不侧重个人点对点转账。

与此同时,Stripe 正在大力加码加密货币领域,为符合条件的商户提供便捷的数字资产支付服务。该系统支持消费者使用加密货币支付,同时确保商户通过自动化流程直接收到法币,实现无缝结算。

双方财务数据对比十分悬殊:

PayPal 当前市值为440 亿美元,而 Stripe 估值已飙升至1590 亿美元,自 2025 年以来涨幅高达74%。如此迅猛的增长无疑给 PayPal 等传统巨头带来巨大压力。

目前,此项收购谈判仍处于初期意向阶段,Stripe 与 PayPal 双方均拒绝置评。若谈判取得实质性进展,预计下一财季将会有更多消息公布。

该潜在交易的一大核心焦点是反垄断审查风险

作为数字支付领域的两大巨头,Stripe 与 PayPal 若合并,势必面临全球监管机构的严格审查。即便双方达成一致,交易也必须通过各国严苛的反垄断审核。

值得关注的是,一旦收购完成,Stripe 将继承 PayPal 在中国内地持有的关键支付牌照,从而获得通往全球最重要金融市场之一的关键通道。

思科 Talos 发布最高级别安全预警,针对 CVE-2026-20127 漏洞发起主动攻击利用告警。该漏洞影响思科 Catalyst SD-WAN 控制器CVSS 评分 10.0允许未授权远程攻击者完全绕过身份认证

问题核心出在思科 Catalyst SD-WAN 控制器(原 vSmart)与管理器(原 vManage)中存在缺陷的对等认证机制。攻击者通过构造精心设计的请求,即可绕过该机制登录受影响系统。

一旦入侵成功,攻击者将获得内部高权限非 root 管理员权限。凭借该权限,攻击者可访问 NETCONF 接口,实现对整个 SD-WAN 网络配置的完全操控

思科 Talos 将相关攻击活动归类为 UAT-8616 团伙,并高度确信其为高水准的专业网络威胁组织

更令人警惕的是,证据显示此类恶意活动已持续至少三年,最早可追溯至 2023 年。这也符合当前威胁组织针对关键基础设施等高价值目标,长期潜伏网络边界设备的典型趋势。

为将权限提升至 root,UAT-8616 使用了一套隐蔽的组合攻击手法:
  1. 攻击者在已攻陷设备上执行软件版本降级
  2. 随后利用旧版漏洞 CVE-2022-20775
  3. 最后恢复原始软件版本,隐蔽维持 root 权限
企业必须重点审计思科 Catalyst SD-WAN 日志中异常的控制连接对等事件,这是通过 CVE-2026-20127 发起初始入侵的典型特征。此类行为需人工复核,才能区分正常操作与潜在入侵行为。
安全团队应重点排查以下 UAT-8616 入侵高可信度指标
  1. 生产系统中出现交互式 root 会话,包含不明 SSH 密钥与已知主机记录
  2. 出现针对 vmanage-admin 账户的未授权 SSH 密钥
  3. 日志被篡改痕迹:如 syslogwtmplastlogcli-historybash_history 等文件异常缩小或被清空
  4. 设备出现未授权的版本升降级并伴随系统重启

目前暂无可用的软件级临时缓解方案

思科托管云环境(含思科托管版与 FedRAMP 环境)已部署防护措施。

本地部署环境的用户必须加固控制器间通信。

思科建议使用访问控制列表(ACL) 或防火墙规则,严格限制 22 端口与 830 端口,仅允许可信控制器与 IP 地址访问。

思科强烈建议所有用户升级至已修复版本以彻底解决该漏洞。目前已有多个补丁可用,更多版本将陆续发布:

思科 Catalyst SD-WAN 修复版本对照表

发行版本 首个修复版本
早于 20.9 迁移至修复版本
20.9 20.9.8.2(预计 2026 年 2 月 27 日发布)
20.11、20.12.5、20.12.6 20.12.5.3 / 20.12.6.1
20.13、20.14、20.15 20.15.4.2
20.16、20.18 20.18.2.1

AI 编程工具 Claude Code 正式推出全新远程控制(Remote Control)功能,目前面向 Claude Pro 与 Claude Max 用户开放研究预览版。

这项创新将 Claude Code 升级为跨设备 AI 开发助手,为开发者提供了目前极为流畅的本地工作站 → 移动端开发体验。

与此前的网页版 Claude Code 不同,Remote Control 核心设计理念为完全本地计算

在该架构下,远程设备仅作为显示与操作入口所有数据均保留在本地环境中,不会上传至云端

Claude Code 可完整管理本地文件系统、终端命令、MCP 服务器与自定义工具,而手机、平板或浏览器客户端仅负责输入、输出与对话同步。

该功能的架构安全依赖纯出站连接模型

本地进程通过 API 注册、HTTPS 轮询与流式传输实现通信,并采用多层短期有效、作用域受限的凭证及完整 TLS 加密进行保护。

由于系统无需开放任何入站端口,用户无需复杂的防火墙配置。

同时,会话具备极强的稳定性,在网络中断、设备休眠或切换 Wi‑Fi 后可自动重连

对于重视安全的开发者,可使用 --sandbox 参数实现文件系统与网络的严格隔离,进一步降低安全风险。

使用前提与运行方式

订阅要求

需为有效 Claude Pro / Claude Max 订阅用户,暂不支持企业与团队版本

初始化

用户需在项目目录中运行 Claude Code,并完成工作空间信任授权

启动方式
  • 命令行直接启动:

    claude remote-control



    (可附加 --sandbox--verbose 参数)

  • 已有会话内使用命令:

    /remote-control/rc

自动启用

可通过 /config 菜单开启 “为所有会话启用远程控制”,实现持久化远程访问。


功能成功启动后,终端会显示二维码唯一访问 URL,可直接通过 Claude 移动端 App 快速连接。

用户可在移动设备上实时执行命令、继续长时间任务(如复杂函数生成),甚至多设备同时输入

根据当前安全策略,每个实例仅限单个远程会话,且终端进程必须保持运行:关闭设备或合盖会断开连接。

若网络中断,系统会在10 分钟内持续尝试重连,超时则会话自动失效。

Anthropic 表示将根据实验阶段的遥测数据持续优化这些限制。

在网络安全领域,将攻击者 “逐出网络” 往往并不代表事件终结。《DFIR Report》发布的最新案例显示,某企业因Apache ActiveMQ 高危漏洞未修复,被攻击者先后两次入侵,即便首次成功驱逐入侵者,最终仍遭 LockBit 勒索软件 加密。
入侵事件始于 2024 年 2 月中旬,攻击者针对一台暴露在公网的 Apache ActiveMQ 服务器发起攻击,所利用漏洞为 CVE-2023-46604,这是一个高危远程代码执行(RCE)漏洞,现已成为勒索组织最常用的突破口之一。

报告指出:“攻击者通过 Java Spring 类与自定义的 Spring Bean 配置 XML 文件,成功实现远程代码执行。”

攻击者借助 Windows 自带的 CertUtil 工具,从远程服务器下载恶意 XML 文件与攻击载荷,拿下第一处立足点

尽管企业安全团队在首次入侵后发现并驱逐了攻击者,但并未修补该漏洞

研究人员提到:“首次入侵被清理后,攻击者在 18 天后再次攻破同一台服务器,入侵成功。”

而这第二次入侵,直接开启了快速攻击链。

获得新的控制权后,攻击者使用 MetasploitMeterpreter 进一步深入内网,成功提权,读取 LSASS 进程内存窃取凭证,并在内网中横向移动

在完成网络拓扑探测与凭证收集后,攻击者 “迅速部署勒索软件”。

他们通过 远程桌面协议(RDP) 和窃取到的账号密码,在全网范围内分发加密载荷。

此次使用的勒索软件为 LockBit Black(即 LockBit 3.0) 变种。

调查人员判断,作案者更可能是独立攻击者,而非官方 LockBit 核心团伙。

报告提到:“勒索信并未采用标准 LockBit 格式,未指引受害者访问 Tor 泄密站点或通过 TOX/Jabber 沟通,而是要求其使用 Session 私密通讯软件。”

据此研究人员判断,此次攻击是 “独立威胁分子利用泄露的勒索生成器,自行发起的攻击活动”。

攻击者还在勒索信中使用了颇为 “专业” 的话术试图降低对抗情绪:

“相比其他勒索软件,我们收费低得多,别舍不得!”

甚至还把 “安全审计” 打包进赎金服务:

“我们会告诉你入侵所用的服务器漏洞,我们诚信经营!”

整个事件的核心教训十分清晰:

企业虽然 “赶走了” 攻击者,但根本漏洞 —— 未打补丁的公网 ActiveMQ 服务器依然存在,导致不到三周就被一模一样的方式再次入侵

报告强烈建议各类机构:

必须优先修补暴露在公网的应用,并清醒认识到:

在漏洞彻底修复前,任何 “驱逐攻击者” 的操作都只是临时措施

热门 Python 异步轻量级对象关系映射(ORM)库ormar被发现存在重大安全漏洞。该库主要用于衔接 Postgres、MySQL 和 SQLite 数据库,是众多开发者的核心工具。此次曝出的漏洞编号为CVE-2026-26198CVSS 评分高达 9.8 分,可能导致未授权攻击者窃取整个数据库的全部数据。

ormar 的下载量已超441 万次,是 FastAPI 及各类异步 Python 应用的常用组件,因此该漏洞的潜在影响范围极大。

漏洞根源在于库中聚合函数调用逻辑,具体为min()max()方法。技术报告指出,问题核心是该 ORM 框架 “将用户传入的列名直接传入sqlalchemy.text()构造 SQL 表达式,完全未做任何验证或净化处理”。

尽管sum()avg()等其他函数通过类型检查实现了部分防护,但min()max()函数完全跳过了这些安全校验。这一疏漏使得攻击者可向原生 SQL 查询中注入任意字符串。报告警示:“未授权用户可通过向列参数中注入子查询,利用该漏洞读取数据库全部内容,包括与查询模型无关的表数据。”
安全分析显示,该漏洞最早可追溯至2021 年 3 月 12 日—— 有问题的代码在 0.9.9 版本中被引入,且近四年间未做任何修改。
研究人员指出:“存在漏洞的SelectAction.get_text_clause()方法与min()/max()聚合函数是同期引入的…… 且相关漏洞代码自始至终未被修改。” 这意味着所有运行0.9.9 至 0.22.0 版本 ormar的应用当前均面临风险。
由于许多开发者严格遵循该库的官方文档进行开发,这一漏洞常被植入标准 API 设计中。报告特别强调,“支持用户自选聚合字段的 REST API” 或 “接收字段名作为参数的 GraphQL 解析器” 是最易受攻击的场景。
研究人员通过标准 FastAPI 应用验证了攻击可行性:任何将用户可控输入传入Model.objects.min()Model.objects.max()的 API 端点,都会成为完整的 SQL 注入入口。该攻击方式已被证实可在所有主流支持的数据库后端(SQLite、PostgreSQL、MySQL)上成功实施。
ormar 维护团队已迅速修复该高危漏洞,0.23.0 版本已完全解决此问题
研究人员强烈建议开发者和系统管理员立即审计 Python 运行环境,并尽快将 ormar 依赖升级至最新版本

总结

  1. ormar 库的min()/max()聚合函数因未校验用户输入,存在高危 SQL 注入漏洞(CVE-2026-26198,CVSS 9.8),可导致数据库全量数据泄露;
  2. 0.9.9 至 0.22.0 版本均受影响,0.23.0 版本已完成修复,需立即升级;
  3. 接收用户输入作为聚合字段的 FastAPI/GraphQL 接口是攻击重灾区,需重点审计。

加密支付与稳定币基础设施公司 MoonPay 推出了一套全新软件层,允许人工智能系统直接接入基于区块链的金融网络,让 AI 智能体能够独立持有、转移数字资产,而不再依赖人类作为中间方。
这款名为 MoonPay Agents 的产品属于非托管工具。在获得资金注入后,AI 智能体可自主创建钱包、持有数字资产并执行链上交易,全程无需人工干预。
此次发布体现了行业将自主 AI 系统与加密基础设施深度融合的大趋势,未来算法可直接与去中心化金融协议及其他区块链应用交互。

“AI 智能体可以进行推理,但如果没有资本基础设施,它们就无法开展经济活动。”MoonPay 创始人兼 CEO 伊万・索托 – 赖特表示,并称该产品具备无许可、非托管的特性。

目前大多数 AI 系统仅限于数据分析或生成建议,交易执行仍需由人类完成。通过为 AI 智能体搭配可编程钱包,MoonPay 试图弥补这一缺口,实现自动化交易与支付。

这一举措推出之际,传统金融机构对稳定币基础设施与区块链清算通道的兴趣正持续升温。据彭博社报道,纽约证券交易所母公司 洲际交易所(ICE) 已就潜在投资 MoonPay 进行早期洽谈。有消息称,MoonPay 正计划以50 亿美元估值进行新一轮融资。
相关消息:据报道,PayPal 股价下跌 46% 后引发收购意向

AI 智能体:潜在规模达 2360 亿美元的市场

全球 AI 智能体市场仍处于起步阶段,但多项预测显示其将迎来高速增长。
世界经济论坛研究估算,该领域到 2034 年规模有望达到 2360 亿美元。部分驱动力来自 “智能体商务” 的崛起,包括在近年假日季中受到广泛关注的 AI 购物工具。
企业端的采用率也在提升。麦肯锡近期一项调查显示,近四分之一的企业表示正在扩大 AI 智能体的使用范围。
这一趋势对加密行业尤为重要。如果 AI 智能体越来越多地参与经济决策,相关交易将高度依赖数字化支付通道。业内人士认为,稳定币与区块链网络将在其中扮演关键角色,尤其是在跨境或可编程交易场景中。
CoinGecko 一份关于 AI 智能体支付基础设施的报告也强调了这一趋势。报告提及多项新兴标准,例如用于为 AI 智能体提供可验证链上身份的以太坊 ERC‑8004,以及 Coinbase 推出的 x402 协议—— 支持互联网上自动化稳定币支付。
部分加密企业已在落地这一愿景。Crypto.com 联合创始人兼 CEO 克里斯・马尔沙莱克近期推出了 ai.com 平台,计划上线可代表用户执行各类任务(包括金融操作)的自主智能体。

GitHub Codespaces 中存在一个由 AI 驱动的高危漏洞,名为RoguePilot,该漏洞允许攻击者通过在 GitHub Issue 中嵌入恶意指令,悄无声息地劫持代码仓库。
该漏洞由 Orca Research Pod 的研究人员发现,它利用了 GitHub Issues 与 Codespaces 内置 Copilot AI 代理之间的无缝集成,攻击者无需进行任何直接交互,即可触发对仓库的完全接管。
研究人员已向 GitHub 进行了合规漏洞披露,微软在与 Orca 团队协作完成修复工作后,已对此漏洞进行了修补。

GitHub Copilot 攻击原理

RoguePilot 被归类为被动提示注入,这是一种将恶意指令嵌入语言模型会自动处理的数据、内容或开发环境中的攻击方式。
与需要受害者直接与 AI 交互的传统提示注入不同,该攻击在开发者从被植入恶意内容的 GitHub Issue 打开 Codespaces 的瞬间就会触发。当从 Issue 上下文启动 Codespaces 时,GitHub Copilot 会自动将 Issue 描述作为初始提示,从而将不受信任的用户可控内容直接注入 AI 代理的执行环境。
Orca Security 的研究员 Roi Nisimi 通过 HTML 注释标签<!-- -->在 GitHub Issue 中嵌入隐藏指令,演示了完整的攻击链。这是 GitHub 的一项标准功能,内容对人类用户不可见,但 Copilot 在处理 Issue 描述时可以完整读取。
一旦 Codespace 被打开,Copilot 就会静默执行注入的指令,不会向开发者发出任何可见警报。
攻击随后通过一个三阶段数据窃取链展开。首先,注入的提示指令 Copilot 通过其run_in_terminal工具执行gh pr checkout 2,拉取一个预先构造的拉取请求。该请求中包含一个名为1.json的符号链接,指向/workspaces/.codespaces/shared/user-secrets-envs.json—— 存储环境GITHUB_TOKEN的文件。
由于 Copilot 的防护机制不会追踪符号链接,AI 代理通过该链接使用file_read工具读取密钥文件,不会触发工作空间边界限制。
最后,Copilot 被指令创建一个新的 JSON 文件issue.json,其$schema属性指向攻击者控制的服务器。这利用了 VS Code 默认开启的json.schemaDownload.enable设置,该设置会自动通过 HTTP GET 获取远程 JSON 模式。
攻击者将窃取的GITHUB_TOKEN作为 URL 参数附加到该模式请求中,实现对高权限认证令牌的静默外带泄露。获取对仓库具有有效权限的GITHUB_TOKEN后,攻击者即可获得完整读写权限,完成隐蔽的仓库接管。
Orca Security 将 RoguePilot 描述为一种新型 AI 介导供应链攻击:大语言模型的自主能力、终端访问权限、文件读写和联网工具被武器化,反过来攻击本应受其协助的开发者。
该漏洞表明,作为 Codespaces 内自主编码代理运行的 Copilot,无法可靠区分开发者的合法指令与嵌入在 GitHub Issue 或拉取请求中的对抗性内容。
此次攻击无需特殊权限、无需受害者执行代码、无需社会工程学,仅需创建一个恶意 GitHub Issue 即可实施,技术水平较低的威胁行为者也可轻易利用
安全专家指出,这是为 AI 代理授予 “上帝模式” 权限、工具、终端访问权和高权限令牌,而底层模型仍采用开放逻辑、将所有处理文本视为可信任内容所直接导致的后果。
Orca 在披露中建议厂商在所有集成大语言模型的开发工具中采用故障安全默认配置:将仓库、Issue 和拉取请求内容视为不可信输入;禁止 AI 代理从外部数据源被动接收提示;将json.schemaDownload.enable默认设为 false;在工作空间边界内实施严格的符号链接沙箱;为 Codespaces 环境颁发最小权限、短时有效的令牌。

网络犯罪分子搭建了一个高仿假冒 Avast 网站,发起极具迷惑性的钓鱼攻击,专门窃取毫无防备用户的信用卡信息

该钓鱼页面几乎完美复刻了 Avast 官方网站的样式,甚至直接从官方内容分发网络盗用了真实的 Avast 标志。

页面同样显示 “主页”“我的账户”“帮助中心” 等常规导航链接,样式与官网完全一致。

页面正中央有一条醒目的橙色提示,声称用户已被扣除499.99 欧元的 Avast 产品费用。
页面胁迫用户必须在72 小时内取消订阅,却又同时宣称超过 48 小时的交易无法撤销 —— 这种故意制造的矛盾信息,目的是迷惑并施压受害者。
该网站专门针对法语区用户,借助 Avast 的品牌信誉,诱骗用户泄露信用卡号、有效期、安全码等敏感财务信息。
假冒扣费旁的日期会根据访客系统时间自动更新,让每个访问者都误以为扣费就发生在 “今天”。
日期会动态变化,但499.99 欧元的金额保持不变 —— 这个金额足以引发恐慌,同时又符合高端软件订阅的合理价位。
整个过程不会产生真实扣费,攻击目的纯粹是心理恐吓:让受害者误以为信用卡被盗刷,从而主动提交信息申请退款。

信息窃取表单

在虚假收据下方,页面放置了一个退款表单,要求用户填写完整个人信息,包括姓名、邮箱、电话、地址和城市,声称用于身份验证。
填写完成后会弹出窗口,要求输入信用卡号、有效期和 CVV 安全码,谎称是 “退款所需”。
为显得真实可信,该网站甚至使用Luhn 算法校验银行卡号,这是银行系统常用的合法验证方式。
用户信息会通过 POST 请求 发送到 send.php 脚本,所有填写的内容会直接传输到攻击者服务器。

提交后,页面会显示提示:“您的申请正在处理中,感谢您的咨询。”

最后还有一个极具欺骗性的按钮,标注 **“卸载 Avast”**,进一步伪装并诱导用户卸载真正的安全软件。

为增强伪装效果,假冒网站还嵌入了 Tawk.to 在线聊天插件,ID 为:689773de2f0f7c192611b3bf
这让攻击者可以实时监控受害者状态并进行对话,借机安抚犹豫的用户,一步步引导其完成虚假退款流程。

该钓鱼攻击可覆盖多种目标人群:

想要退款的真实 Avast 用户、对旧订阅感到困惑的用户、被假扣费吓到的非用户,以及想投机领取 “莫名退款” 的人。

由于网站从不要求账户信息或授权密钥,所有类型访客都可能落入同一个陷阱。

瞻博网络(Juniper Networks)发布紧急非定期安全公告,警示其运行Junos OS Evolved操作系统的PTX 系列路由器存在一处高危漏洞。该漏洞编号为CVE-2026-21902CVSS 评分高达 9.8 分允许未授权的远程攻击者通过网络以 root 权限执行恶意代码
该漏洞源于操作系统内置异常检测框架中存在关键资源权限配置不当问题。正常情况下,该框架仅用于系统内部通信。正如瞻博公告明确指出:“内置异常检测框架应仅能通过内部路由实例供其他内部进程访问,不应暴露在外部端口。”
遗憾的是,该框架被意外暴露至外网,形成了重大安全缺口。攻击者只需访问该开放端口,即可完全绕过常规安全校验机制
该漏洞的危害程度极为严重。公告显示:攻击者可访问并操控相关服务,以 root 权限执行代码,进而完全接管目标设备
对网络防护人员而言更为棘手的是,该存在漏洞的服务默认启用,无需用户进行任何配置。瞻博特别提示:“请注意,该服务默认开启,无需特定配置即可激活。”
目前,瞻博安全事件响应团队(SIRT)表示暂未监测到该漏洞被恶意利用。但鉴于其9.8 分的高危评级,且远程利用难度极低,建议管理员尽快采取处置措施。

受影响软件版本

该漏洞影响运行Junos OS Evolved系统的 PTX 系列设备,具体版本为 25.4 主线中25.4R1-S1-EVO之前、25.4R2-EVO之前的版本。

不受影响软件版本

  • 25.4R1-EVO之前的 Junos OS Evolved 版本不受影响
  • 传统版Junos OS不受影响

修复方案

为彻底修复该安全问题,瞻博已发布对应软件更新。管理员应立即升级至以下版本:
  • 25.4R1-S1-EVO
  • 后续正式版:25.4R2-EVO、26.2R1-EVO(发布后即可升级)
对于无法立即安装补丁的机构,瞻博提供两种有效临时缓解措施:
  1. 网络访问控制

    “为降低漏洞被利用风险,使用访问控制列表或防火墙策略,仅允许可信网络与主机访问相关端口。”

    瞻博强调,需严格配置过滤规则,仅放行明确必需的连接,拦截其余所有访问


  2. 直接禁用该服务

    可通过执行以下命令,直接关闭存在漏洞的检测框架:



    request pfe anomalies disable

你以为你点中了一个圆,其实你只是点中了一堆毫无意义的像素点。在画布里,所谓的“选中”,不过是一场精密的数学与色彩幻术。

上一篇我们终于搞定了渲染层,并明确选择了 Konva (Canvas 2D) 作为我们的底层渲染基石。现在,我们的屏幕上终于可以丝滑地渲染出极具表现力的图形了。

但是,当你试图把鼠标悬停在其中一个图形上,或者想拖拽一条连线时,你会遭遇一个巨大的反直觉打击:浏览器完全不知道你点的是什么。

在传统的前端开发中,原生 DOM 是一棵界限分明的树。鼠标移入一个 <div>,浏览器引擎会在底层自动做碰撞检测,并把 mouseenterclick 事件准确无误地派发给这个节点。如果你给 <div> 加了圆角(border-radius)甚至复杂的 clip-path,浏览器依然能完美识别出精确的边缘。这种体验太理所当然,以至于我们从未思考过背后的代价。

但在 Canvas 的世界里,这套秩序完全失效了。

对于浏览器来说,不管你在 Canvas 里画了多少个圆圈、多复杂的文字,它看到的永远只有一个扁平的 <canvas> 标签
当用户点击屏幕时,浏览器的原生 Event 对象只能递给你一个冷冰冰的坐标:{ clientX: 500, clientY: 400 }。至于这个坐标下是空气、是红色正方形,还是三个交叠在一起的半透明多边形,对不起,只能你自己算。

要在毫无知觉的像素油盆上,重新赋予图形被“感知”的能力,这就是 命中测试(Hit Testing) 的核心命题。

直觉陷阱:纯算几何碰撞

面对这个问题,多数人脑海里冒出的第一个念头一定是算数学题。

“既然我知道画布上每个方块的长宽、每个圆的半径,那鼠标点下去的时候,去遍历所有图形做个碰撞测试不就好了?”

比如点矩形,就看鼠标坐标是不是在它的上下左右边界内;点圆,就算勾股定理看距离是不是小于半径;如果是多边形,大不了掏出大学计算机图形学里教的“射线法(Ray-Casting)”,看看射线和多边形交点是奇数还是偶数。

在很多游戏开发新手教程里,这确实是讲解命中测试的第一课。

但只要你真的在业务里动手写过,就会立刻体会到这种朴素算法带来的“工程绝望”:

如果是最基础的方块和圆还好,可你在白板工具(如 Excalidraw / Figma)里,最常面对的是用户鼠标画出的一条粗细不均、极度扭曲的自由手绘墨迹(Freehand Draw)。成百上千个点连出来的畸形曲线,你拿什么算交点?

即使你咬着牙把每根线段都算了,还有图形的中空与穿透问题。当用户点在一个空心圆环的正中间,或者字母 "O" 的空白处时,根据最粗糙的外围包围盒(Bounding Box),它是被命中的;但这根本违反了用户“我明明点在透明的地方,我想点它背后元素”的心理预期。哪怕你真算出了鼠标确实落在图形线条上,你又怎么确保,这层图形的正上方,没有被另一个半透明的阴影盖住呢?

别忘了最绝杀的性能噩梦。不仅是点击,鼠标每在屏幕上划过一个像素,就会高频触发 mousemove。如果同屏有几千个杂乱的图形交叠,每移动一毫米就要把所有多边形的射线方程重新算一遍,你的 CPU 风扇会直接起飞,页面帧率瞬间崩盘。

想靠纯写 if-else 的几何穷举来搞定一个不仅带各种圆角、线宽、自交错,还带层级遮挡的生产级别白板交互,可以说是直接在给 CPU 判死刑。


优雅的黑魔法:离屏 Canvas 与 Color Picking

针对纯正向几何数学算不通的情况,业界的顶级绘图引擎往往会使用一招极度聪明且优雅的逆向黑魔法:利用颜色查表法(Color Picking)。这也是 Konva 最为核心的看家本领机制。

hit-test-color-picking.png

它的核心逻辑堪称“暗度陈仓”,分为以下几个精妙的步骤:

1. 建立影分身(Hidden Canvas)

在内存中,创建一个跟主屏幕尺寸完全一致的隐藏 Canvas(用户看不见它)。主屏幕负责渲染展现给用户看的漂亮图形,而这个“影分身”只专门用来做苦力——命中测试。

2. 分配身份色(Color Hash)

当我们要往主屏幕画一个崭新的图形(比如一个带有高斯模糊阴影的蓝色虚线圈)时,引擎会在内存里给这个图形分配一个全局唯一、随机生成的 RGB 颜色值(比如 #000001)。
然后在内存的隐藏 Canvas 的同样坐标处,用这个唯一颜色 #000001 画一个同样轮廓的圆。无论主画布上的圆有多花哨,隐藏画布上的圆统统画成没有阴影、没有抗锯齿的纯色实心/实线

与此同时,维护一个字典(Hash Map),记录:#000001 映射到 蓝色虚线图对象引用

3. O(1) 的降维打击:只读一个像素

见证奇迹的时刻到了。
当前的场景是:主画布上画了成千上万个复杂的图形。隐藏画布上也用同样的布局画了成千上万个纯粹色块。

当用户在主屏幕上点击 (x: 500, y: 400) 时,引擎不去做任何数学几何碰撞计算,除了获取坐标外只做极其底层的一步:

  1. 走到隐藏 Canvas 面前。
  2. 精确地读取它 (500, 400) 这个坐标点上的 1 个像素的 RGB 颜色值getImageData)。
  3. 如果读出来的颜色是黑色(完全透明),说明没点中任何东西。
  4. 如果读出来的颜色是 #000001,引擎立刻去 Hash Map 里查表——破案了!对应的是那个蓝色的虚线圈对象。

为什么这个方案是统治级的?

  1. 彻底无视几何形状的难度。不管你画的是自由手绘还是残缺的文字轮廓,只要它被渲染引擎画在屏幕上,那对应的颜色像素就实打实地落在了隐藏画布上。它巧妙地利用底层的 GPU 渲染规则来替你完成极度复杂的轮廓光栅化判定。
  2. 天然解决重叠遮挡。主画布怎么叠加层级的,隐藏画布也是按同样顺序绘制的。你在隐藏画布上读出来的那个带颜色像素,必然是最顶层、没被别人遮挡的那个对象的颜色。完全不需要自己遍历判断层级。
  3. 极端的性能空间换时间。把原本复杂的 $O(N \times 几何顶点数)$ 的每帧遍历计算,直接降维成了读取内存图像一个单像素点的 $O(1)$ 常数级查表时间。即使屏幕上有十万个对象,鼠标在上面疯狂移动也是绝对丝滑的。

站在巨人的肩膀:这就是 Konva

要在原生 Canvas 上实现一个可用于生产环境的稳健命中测试系统基建,工作量是极其庞大的。你要自己去维护那个巨大的离屏画布上下文同步、自己分配十六进制颜色、自己实现局部重绘优化、还要自己派发所有的模拟 DOM 冒泡事件。

这正是我们放弃从零手写引擎底层,转而选型采用 Konva 的终极原因。

Konva 在底层极其克制且优雅地封装了这套“离屏颜色拾取算法”。在开发者眼里,你完全感受不到那个诡异的“彩色隐藏画布”的存在。

它直接把这套脏活累活,包装成了我们最熟悉的、一如在写原生 DOM 一样的前端语法范式。这就让我们能够完全剥离繁复的数学几何泥潭,将精力投入在画布“事件分发与交互流控制”上:

// 这种久违的、确定的秩序感,对于开发无穷交互的白板来说是极其珍贵的。
import Konva from "konva";

const rect = new Konva.Rect({
  x: 50,
  y: 50,
  width: 100,
  height: 50,
  fill: "blue",
  draggable: true, // 开启拖拽!底层所有复杂的变换全自动运算并重绘画布。
});

// 你仿佛重新拥有了原生的 DOM 事件绑定系统
rect.on("mouseenter", () => {
  document.body.style.cursor = "pointer";
  rect.fill("red"); // 悬浮触发变色响应
});

rect.on("mouseleave", () => {
  document.body.style.cursor = "default";
  rect.fill("blue");
});

// 即使有成百上千个图形交叠,它也能极速计算,精准捕捉顶层响应
rect.on("click", (e) => {
  console.log("极速且精准地点中了我:", e.target);
});

有了 Konva 兜底解决“感知盲区”,我们终于补齐了跨越无限画布最重要、也是最难缠的一块技术栈拼图。

我们不再是在冷冰冰的像素点数组上作画,而是真正在操控和编排一个个有边界、能响应手势、知晓自身存在的“实体对象”

经历三篇的文章,我们已经打通了从“坐标系”、“底层渲染引擎选型博弈”到“重建事件分发秩序”的全部技术基建。

接下来,我们将长驱直入应用数据的深水区:在这块充满感知能力的画布上,我们该如何用正确的数据结构来对这些可被协同、可被导出、可被反序列化的对象进行定义?

在工业物联网项目中,Modbus RTU 设备接入 LoRaWAN 网络 是一个极其常见但又非常“消耗工程师生命值”的任务。寄存器映射、字节序处理、周期控制、变化量上报、远程参数调整……每一个环节都可能成为项目延期的源头。

本文将系统性讲解如何基于 EB compiler 生态中的 EBHelper 插件,在无需编写一行通信代码的情况下,实现 Modbus 设备到 LoRaWAN 的完整转换流程,并结合工业级部署实践给出优化建议。


一、为什么 Modbus 转 LoRaWAN 一直很“重”

1.1 传统固件架构的问题

传统 Modbus 转 LoRaWAN DTU 的开发流程通常包括:

  • 手写 Modbus 帧组包与 CRC 校验
  • 解析寄存器数据
  • 手动处理大端/小端字节序
  • 编写周期上报逻辑
  • 实现变化量触发(COV)机制
  • 硬编码设备地址与寄存器
  • 固件升级调整参数

典型问题:

  • 200+ 行通信代码
  • 参数调整必须重新烧录
  • 内存占用不可控
  • 维护成本极高

对于需要规模化部署的项目,这种方式极其低效。


二、EBHelper 在 EB compiler 生态中的角色

EBHelper 是 EB compiler 的插件工具,核心目标是:

用配置替代代码。

通过 JSON 文件定义:

  • 通信协议规则
  • 寄存器映射关系
  • 数据类型
  • COV 触发条件
  • 参数索引区

从而实现协议自动适配。

支持:

  • Modbus RTU
  • DL/T645
  • 自定义串口协议
  • LoRaWAN 数据模型映射

这意味着:协议开发从“代码工程”转变为“配置工程”。


三、实战案例:Modbus 温湿度传感器接入

设备参数

  • 温度寄存器:0x0000
    Uint16BE,值 250 = 25.0℃
  • 湿度寄存器:0x0001
    Uint16BE,值 600 = 60.0%
  • 设备地址:0x01(支持远程修改)

四、传统方案 vs EBHelper 架构对比

项目传统固件EBHelper
通信代码手写自动处理
寄存器映射硬编码JSON 配置
变化量上报手写算法内置 COV
参数调整重刷固件云端修改
内存管理容易溢出插件统一管理

开发时间缩短 70% 以上。


五、COV 变化量上报机制深度解析

COV(Change of Value)机制原理:

<pre class="overflow-visible! px-0!" data-start="1274" data-end="1347"><div class="relative w-full my-4"><div class=""><div class="relative"><div class="h-full min-h-0 min-w-0"><div class="h-full min-h-0 min-w-0"><div class="border corner-superellipse/1.1 border-token-border-light bg-token-bg-elevated-secondary rounded-3xl"><div class="pointer-events-none absolute inset-x-4 top-12 bottom-4"><div class="pointer-events-none sticky z-40 shrink-0 z-1!"><div class="sticky bg-token-border-light"></div></div></div><div class="pointer-events-none absolute inset-x-px top-6 bottom-6"><div class="sticky z-1!"><div class="bg-token-bg-elevated-secondary sticky"></div></div></div><div class="corner-superellipse/1.1 rounded-3xl bg-token-bg-elevated-secondary"><div class="relative z-0 flex max-w-full"><div id="code-block-viewer" dir="ltr" class="q9tKkq_viewer cm-editor z-10 light:cm-light dark:cm-light flex h-full w-full flex-col items-stretch ͼ5 ͼj"><div class="cm-scroller"><div class="cm-content q9tKkq_readonly"><span>if |current_value - last_value| > threshold:</span><br/><span> trigger_uplink()</span></div></div></div></div></div></div></div></div><div class=""><div class=""></div></div></div></div></div></pre>

在 EBHelper 中:

  • covType 定义比较方式
  • covAppIndex 定义阈值存储位置

EBHelper 自动缓存历史值,无需手写缓存逻辑。

实测效果

在恒温 25℃ 环境:

  • 原 15 分钟固定上报
  • 优化后每天 < 5 次

流量降低约 70%。


六、参数索引区设计最佳实践

推荐参数区规划:

地址功能
70上行周期
74查询周期
80温度 COV 阈值
82湿度 COV 阈值

优势:

  • 避免硬编码
  • 支持远程批量调整
  • 无需固件升级
  • 支持现场快速调优

七、LoRaWAN Payload 优化策略

优化建议:

  1. 一个查询事件读取多个寄存器
  2. 避免拆包
  3. 控制数据长度 < 50 字节
  4. 使用变化触发减少空数据

在 EU868 / US915 等频段中,降低频次可显著提升网络容量利用率。


八、部署流程

Step 1:编写 JSON 配置

填写:

  • 寄存器地址
  • 数据类型
  • 参数索引
  • COV 规则

Step 2:加载至 EBHelper

无需编译固件。

Step 3:远程调优

通过云端平台修改参数区地址:

  • 调整周期
  • 修改阈值
  • 变更设备地址

秒级生效。


九、与 ThinkLink 平台协同

结合 ThinkLink 平台:

  • 设备数据自动解析
  • 物模型映射
  • 数据可视化
  • 第三方 API 推送
  • 多租户管理

实现完整“边缘到云”闭环。

经常打赏的朋友可能有感受,每次打赏需要小心拖动金额进度条,生怕一不小心选错数字。facepalm

2Libra Plus 油猴脚本刚刚发布了一个新功能,解决了这个痛点。😎

  • ✨ 新增打赏增强功能:在打赏弹窗中添加快捷金额按钮及随机金额按钮,无需手动拖动进度条。
  • ✨ 支持自定义快捷打赏按钮的金额数值(默认为 100, 150, 200...)。
  • ✨ 支持自定义随机打赏的金额范围(默认为 100-500)。

SCR-20260227-jmzu

SCR-20260227-jnet

今日本帖回复者全部打赏 💰,金额随机!(通过脚本)

脚本安装地址

项目地址

在工业企业数字化转型的浪潮中,客户关系管理(CRM)早已超越“客户信息台账”的工具属性,成为打通销售、生产、供应链、财务全链路的核心枢纽。不同于消费、服务行业,工业CRM需直面非标定制、小批量多批次生产、跨部门协同滞后等独特痛点。本文基于2026年工业企业核心需求,从业务一体化、行业适配性、 客制化 灵活性、AI智能化、服务落地能力五大维度,对6款在工业领域表现突出的CRM系统进行深度拆解,为不同规模、不同类型的工业企业提供选型参考。

    • *

一、核心产品横向概览

为方便快速对比,先通过表格呈现6款产品的关键特征:

产品名称核心定位核心适配工业能力适用企业类型
超兔CRM(XTools)中小工业/工贸全业务一体化SaaS平台销售-生产-财务数据打通、低成本客制化、AI跟单中小机械制造、电子元器件、非标设备厂商
Salesforce CRM全球头部PaaS化CRM生态平台全球化协同、IoT集成、制造业行业云跨国设备制造商、全球化工业集团
SAP CRMERP原生绑定的全流程标准化管理系统ERP深度集成、质量追溯、供应商协同化工、食品等流程型工业、SAP ERP存量客户
微软Dynamics 365 CRMOffice生态协同的轻量型CRM+现场服务平台Office数据同步、AR现场服务、低代码定制通用设备经销商、小型加工厂、注重办公协同的团队
Oracle CX CRM大数据驱动的高价值客户运营平台360°客户画像、预测性销售、智能服务路由大型装备制造商、工业软件服务商(高客单价场景)
用友CRM本土化工贸一体化中小企业CRM简易工贸流程模板、本地化服务、财务无缝对接国内五金加工、电子组装等区域型中小工业企业
    • *

二、重点产品深度解析

1. 超兔CRM(XTools):中小工业企业的全业务一体化底座

核心定位:深耕工业/工贸领域21年的SaaS平台,以“销售-生产-财务”全链路打通为核心,为中小工业企业提供低成本、高适配的数字化解决方案。

工业场景核心优势

  • 全链路数据协同,破解交期延误痛点:底层架构实现销售订单、生产工单、采购计划、库存管理、财务对账的实时联动。例如,当销售签订非标设备订单后,系统自动触发生产工单同步至MES,同时根据BOM清单生成缺料采购需求,从根源避免信息滞后导致的生产排期混乱,适配“小批量多批次”的柔性生产模式。
  • 低成本客制化引擎,适配工业非标需求:通过功能白名单订阅、三级菜单自定义、驾驶舱可视化配置等工具,企业无需高成本二次开发,即可快速适配非标定制、租赁销售、总分订单等特殊业务场景。例如,五金加工企业可自定义“订单-领料-质检-发货”的专属流程,电子元器件厂商可配置多级经销商管理模块。
  • AI智能体嵌入,降低销售跟单复杂度:AI智能体自动关联客户历史交互数据,在客户视图中生成针对性跟单建议;Coze自然语言工作流支持用日常语言创建复杂规则(如“新客户签约后,同步通知生产部排期+采购部备货”),大幅降低工业销售的流程管理成本。
  • 生产端深度融合,实现车间可视化:与MES系统无缝对接,支持生产派工、扫码报工、质检入库全流程移动端管理,工长可实时查看订单进度、质检数据,解决车间信息传递不及时的问题。

适用场景:中小工业/工贸企业,尤其是需要打通销售与生产链路、注重低成本快速落地的机械制造、电子元器件、非标设备厂商。

    • *

2. Salesforce CRM:全球化工业集团的生态协同枢纽

核心定位:全球CRM市场的头部玩家,以PaaS平台为核心构建开放生态,支持高度自定义与跨系统集成,满足全球化企业的复杂业务需求。

工业场景核心优势

  • 多维度全球化支持:内置100+语言、多币种自动换算功能,可统一管理全球客户、经销商、供应链网络,适配跨国工业企业的海外业务拓展需求。例如,欧洲区域的经销商订单可自动同步至国内生产基地,汇率、税率自动核算。
  • IoT与客户数据的智能联动:通过MuleSoft集成平台对接工业设备传感器数据,结合CRM中的客户服务记录,实现设备健康状态预判。例如,当传感器监测到客户设备运行异常时,系统自动触发售后工单推送,主动提供预防性维护服务,提升客户粘性。
  • 制造业行业云模板:推出制造业专属行业云,内置项目型销售管理、设备全生命周期维保、供应商协同等预制模板,大幅缩短大型工业企业的实施周期,降低定制成本。

适用场景:有海外业务布局的跨国设备制造商、需要深度集成IoT与第三方系统的全球化工业集团。

    • *

3. SAP CRM:流程型工业的全流程标准化标杆

核心定位:与SAP ERP原生绑定的CRM系统,以“生产-销售-服务”全流程标准化为核心,适配流程型工业的规模化生产需求。

工业场景核心优势

  • ERP无缝协同,实现端到端可视化:销售订单直接同步至SAP ERP生产模块,自动生成BOM清单与采购计划,从订单到生产完成的全流程数据实时互通,适合化工、食品加工等对生产标准化要求高的行业。
  • 质量追溯全链路联动:CRM中的客户投诉可直接关联ERP中的生产批次、原料供应商数据,快速定位质量问题根源。例如,食品企业收到客户关于产品变质的投诉时,可通过系统追溯到对应生产批次的原料来源、生产车间与质检记录,提升售后响应效率。
  • 供应商协同平台优化供应链:通过Ariba采购云与CRM打通,实现客户需求、生产计划、供应商交货的全链路可视,降低供应链“牛鞭效应”,减少库存积压与原料短缺风险。

适用场景:化工、医药、食品等流程型工业企业,以及已部署SAP ERP的集团型工业企业。

    • *

4. 微软Dynamics 365 CRM:轻量工业团队的办公生产协同工具

核心定位:依托Microsoft 365生态的轻量型CRM,聚焦销售与办公场景的无缝衔接,适配中小工业团队的灵活需求。

工业场景核心优势

  • Office生态深度融合:客户数据可一键同步至Excel、Power BI,销售团队无需切换系统即可完成客户行为分析。例如,通过Power BI可视化报表,可快速查看不同区域的设备订单分布,辅助制定区域销售策略。
  • AR赋能现场服务:Field Service模块支持工单智能派单(基于技术员位置、技能匹配),并通过Teams实现AR远程指导,工程师可通过手机端实时查看设备故障点,远程指导客户或现场人员排查问题,提升设备安装、维修的服务效率。
  • 低代码快速定制:通过Power Apps无需代码基础即可搭建工业专属功能,例如为非标设备厂商定制配置化报价单工具,根据客户需求自动生成包含配件、工时、运输费的报价方案。

适用场景:通用设备经销商、小型加工厂等轻量级工业企业,以及注重办公与业务协同的团队。

    • *

5. Oracle CX CRM:高价值工业客户的增长引擎

核心定位:以客户数据平台(CDP)为核心,通过大数据分析实现高价值客户的精准运营与需求预测,适配长周期、高客单价的工业场景。

工业场景核心优势

  • 360°全景客户画像:整合销售、服务、社交媒体、行业报告等多维度数据,构建精准的工业客户画像。例如,针对年采购额500万+的机械厂商,系统可自动标签其“关注交期稳定性”“偏好定制化服务”等特征,辅助销售制定个性化跟进方案。
  • 预测性销售与需求挖掘:通过机器学习算法预测客户复购周期与潜在需求,例如当系统监测到某客户设备使用率连续3个月提升时,自动推送备件包、设备扩容等增值服务建议,实现从被动接单到主动营销的转变。
  • 智能服务路由优化售后:客户投诉自动识别关键词(如“设备停机”“精度误差”),快速推送至对应技术团队,并关联历史解决方案库,缩短问题解决时间,提升高价值客户的服务体验。

适用场景:大型装备制造商、工业软件服务商等具有高客单价、长销售周期特征的工业企业。

    • *

6. 用友CRM:国内中小工业企业的快速落地方案

核心定位:本土化ERP厂商延伸的CRM产品,聚焦中小工业企业的“易实施、易维护”需求,提供工贸一体化的简易解决方案。

工业场景核心优势

  • 工贸一体化快速上线:内置“销售-库存-生产”标准化流程模板,五金加工、电子组装等企业可直接套用,无需复杂配置即可实现从订单到发货的全流程管理,最快1周完成上线。
  • 本地化服务网络支撑:全国布局200+服务网点,提供现场实施、培训、售后支持,解决中小工业企业技术能力不足的问题,尤其适合县域工业集群中的区域型厂商。
  • 用友财务无缝对接:与用友T3、T+等财务软件深度集成,销售订单自动生成应收款凭证,生产工单同步核算生产成本,减少财务人工对账工作量,提升数据准确性。

适用场景:国内五金加工、电子组装等中小工业企业,以及注重本地化服务的区域型厂商。

    • *

三、工业CRM选型决策框架

工业企业选型需避免“唯品牌论”,应结合自身业务特征从以下三个维度构建决策逻辑:

1. 业务匹配度:从“功能需求”到“流程适配”

  • 核心链路需求:若需打通销售与生产链路,优先选择超兔CRM(中小)、SAP CRM(大型流程型);若聚焦高价值客户运营,Oracle CX CRM更适配。
  • 生产模式适配:非标、小批量生产企业重点关注客制化能力(超兔CRM、Salesforce);流程型标准化生产企业优先考虑ERP集成能力(SAP CRM)。
  • 客户类型差异:全球化客户选Salesforce,国内区域客户选用友CRM,高客单价客户选Oracle CX CRM。

2. 成本与灵活性:平衡短期投入与长期扩展

  • 客制化成本:中小工业企业优先选择超兔CRM的低成本客制化引擎,避免高成本二次开发;大型企业可考虑Salesforce的PaaS平台或SAP的原生集成。
  • 实施周期:需要快速上线的企业可选择超兔CRM、用友CRM的预制模板;有复杂需求的企业可预留3-6个月实施周期(Salesforce、SAP)。
  • 总拥有成本:需综合考虑订阅费、定制费、培训费,超兔CRM等SaaS产品的年成本通常是国际大牌的1/3-1/5,更适合中小预算企业。

3. 服务与生态:保障长期稳定运行

  • 本地化服务:国内中小工业企业优先选择超兔CRM、用友CRM的本地化服务团队;跨国企业可依赖Salesforce的全球服务网络。
  • 第三方集成:需对接IoT、MES的企业,Salesforce的MuleSoft集成平台、超兔CRM的MES无缝对接更具优势;已使用Office生态的企业选微软Dynamics 365 CRM。
    • *

四、工业CRM常见问题解答

Q1:工业CRM和普通消费类CRM的核心区别是什么?

A:普通CRM聚焦客户信息管理、销售跟单,而工业CRM需深度融合生产、供应链、财务链路,解决非标订单管理、生产排期协同、设备全生命周期维保等工业特有痛点,本质是从“客户管理工具”升级为“全业务协同引擎”。

Q2:中小工业企业要不要选择国际大牌CRM?

A:需结合自身需求判断。国际大牌(Salesforce、SAP)虽然生态强大,但实施成本高、周期长,且针对中小工业企业的非标需求定制成本高。超兔CRM等专注工业领域的国内SaaS产品,更适配中小工业企业的低成本、快速落地需求,性价比更高。

Q3:工业CRM必须和MES/ERP集成吗?

A:并非强制,但集成是工业CRM发挥价值的关键。若企业已部署MES/ERP,优先选择原生集成(如SAP CRM与SAP ERP、超兔CRM与MES);若未部署,可选择超兔CRM这类自带简易生产管理模块的一体化平台,逐步实现数字化升级。

Q4:如何降低工业CRM的实施风险?

A:① 先试点再推广:选择核心业务场景(如销售-生产协同)先试点,验证效果后再全公司推广;② 选择有工业经验的厂商:优先选择超兔CRM、用友等深耕工业领域的厂商,避免通用CRM的适配不足;③ 重视员工培训:针对销售、生产、财务等不同岗位开展针对性培训,提升系统使用率。

    • *

结语

工业CRM的选型本质是为企业的业务增长匹配合适的数字化工具。中小工业企业可优先考虑超兔CRM的全业务一体化能力,以低成本实现销售-生产链路的协同;全球化、集团型企业可根据生态需求选择Salesforce、SAP等国际方案;而聚焦高价值客户运营的企业,Oracle CX CRM则是更适配的选择。无论选择哪款产品,“贴合工业业务流程、打通数据壁垒、支持灵活扩展”始终是工业CRM创造价值的核心逻辑。

公司里需要写的材料越来越多了,程序员的文笔能力严重不足,光靠问答+复制粘贴感觉也不够用。

以现在的工作内容举例,需要阅读往前大约 2 年内的一系列文档,然后汇总形成相关材料给领导。

感觉这方面内容十分适合 AI 处理,自己微调。想问下什么 AI 应用适合承担此类工作?有推荐的吗?可以接受订阅付费等,应该会常用了。

预计总共文档 500 个以上,都是大概一两百行左右的内容。最好能让 AI 同时阅读这种规模的材料内容。

RT,机型是 2019 款 MBP,

CPU:i9 ,
内存:32G,
硬盘:1TB,
独显:8G-5500M

当前系统 15.7.1 。

去年刚重装过系统,刚重装的时候都是好的,然后用到年底的时候,开始出现奇怪的异常,比如我启动百度网盘,突然就莫名触发了什么快捷键,激活了左上角苹果菜单。

然后,开 Edge 浏览器,标签数都还没我 4 代 i5 ,16G 的笔记本多,edge 突然就崩了。整个浏览器的所有菜单全消失,窗口内容也消失,只剩左上角关闭按钮还在。

最要命的就是,外接显示屏,开小破站看视频完全不能开弹幕,开完秒变 PPT 。。。不开弹幕外接屏幕也能明显感受到卡顿。

这个配置已经差到开网页看视频都卡的地步了么?

在 25 年 6 月份时候我与深圳市注九科技有限公司在 Boss 直聘上进行过沟通,但是沟通过程非常不愉快,对方主动发起沟通却不尊重求职者,单方面解除面试邀约,且提问不具备专业素养,为此当天我就发了一篇避雷视频,视频地址:
[[避雷] 不要理深圳市注九科技有限公司,纯纯恶心人的-哔哩哔哩] https://b23.tv/iTiU73X

视频里的所有内容都是公开可查询的,比如说公司名、公司规模,都是网络上的公开信息,而不涉及隐私,涉及到聊天部分的内容我也给双方的头像打了码

昨天这家公司打电话给我说要起诉我,而我决定硬刚,因为我是不能咽下这口气,我家人也都很支持我的决定,士可杀不可辱,在社会上不能被这种小人恐吓

目前我已经做好了跟他打长期仗的准备,他要起诉我,我的家庭都愿意出力过来跟他打。只是现在我有一些疑问,希望各位有懂的能帮忙解答一二:

  1. 在我的视频里,对方最可能会以什么理由发起起诉?胜算大吗?
  2. 我目前应该做什么准备来应对他的起诉?我已经尝试过去 Boss 直聘上固定证据,但是半年前的聊天记录似乎是不显示的,我已经查不到了
  3. 即使一裁两审他都赢了,最多要赔偿大概多少钱?
  4. 我有什么可以正当行使的权利能让他的公司不痛快的吗?投诉消防,税务这些手段有效吗?

大概就是这些,小弟我先谢谢各位了。

给个人智能体装上身体——与你共同感知世界、主动交互。基于 StackChan 构建的随身 AI,隐喻着类 OpenClaw 智能体的未来形态。(图:@M5Stack@X)

开年社区首次直播活动!本周六晚上八点,与你一起展望 多模态和 Physical AI 的 2026 年。

最近,个人 AI 框架 OpenClaw 爆火,让许多开发者轻松拥有了专属的「赛博大脑」。但聪明如它,目前仍被困在屏幕和对话框里,只能基于文本交互。

如果给类似这样的个人化智能体装上能看、能听、能说的「全模态感官」,再赋予它一个能主动感知世界并行动的物理躯体呢?

随着原生全模态 Any-to-Any 大模型的密集突破,AI 正在告别单一的聊天框。当它能精准看懂环境细节、用带有情绪的真实声音主动与你对话,当聪明的大脑与 Physical AI 产生真实碰撞——一场打破虚拟与现实边界的交互革命已然开启。

本周六晚,RTE Dev Talk 邀请了 4 位来自大模型研发一线、AI 实时交互与基建生态的资深专家,一起开麦探讨这波技术浪潮下的新范式与真机会!

核心探讨话题:

  • 装上身体的个人 AI: 从单纯的对话助理到能感知回应世界的 Physical AI,硬件和现实场景向大模型提出了哪些全新的挑战?
  • 2026 场景大猜想: Any-to-Any 全模态模型能力的成熟,将在 2026 年彻底激活哪些真实的落地应用?
  • 真实的「Her」何时到来: 当语音、视觉与时序建模深度交织,AI 不仅能察言观色,更能读懂连贯的动态语境,那个让开发者心心念念的「Her」真的要来了吗?
  • 工程与落地的真实博弈: 让多模态大模型在端侧硬件上跑起来,如何解决实时交互中致命的延迟、算力和功耗限制?

嘉宾阵容:

  • 陈景东,蚂蚁多模态大模型负责人
  • 陈柯宇, AI 视频实时交互产品创业者,前 Tavus 人机交互负责人
  • 姚光华, 声网 AI 产品线负责人
  • 杨慧, RTE 开发者社区发起人,TEN 项目组核心成员

直播时间: 26 年 2 月 28 日,本周六晚 20:00-21:15

直播地点: RTE 开发者社区、语音之家、机智流、硅星人等多家微信视频号联合直播

参与方式: 扫描海报二维码

在这个大模型技术狂飙、物理 AI 觉醒的当下,期待本周六晚的交流,能和你一起探寻属于开发者的真实机会。

💡我们也新开了一个「多模态+Physical AI」微信群,欢迎关注 AI 硬件、语音交互、视觉理解、Always-on/Proactive AI 等开发和创业的伙伴申请加入!

加微信 Creators2022,备注身份和来意(公司/项目+职位/技术栈+加多模态群),备注完整者优先加群。

RTE Dev Talk 议程

时间: 2 月 28 日(周六)20:00~21:15

地址:线上直播,欢迎提前预约,接收开播提醒

主题分享(20:00\~20:30)丨百灵多模态大模型实践与探索

  • 陈景东,蚂蚁多模态大模型负责人

圆桌对谈(20:30\~21:00)丨展望 2026 年:多模态和 Physical AI

  • 陈景东,蚂蚁多模态大模型负责人
  • 陈柯宇, AI 视频实时交互产品创业者,前 Tavus 人机交互负责人
  • 姚光华, 声网 AI 产品线负责人
  • 杨慧, RTE 开发者社区发起人,TEN 项目组核心成员

Q&A 互动问答(21:00\~21:15)

本次活动由 RTE 开发者社区、语音之家、机智流、硅星人视频号同步直播。

活动主办:RTE 开发者社区

社区伙伴支持:语音之家、机智流、硅星人、TEN Framework

阅读更多 Voice Agent 学习笔记:了解最懂 AI 语音的头脑都在思考什么

榜单原始页面在这里(建议收藏):
https://aiart.tools/tools/top-10-code-assistant

🥇 1. Claude Code

关键词:Agentic / 全代码库理解 / 可执行命令

Claude Code 强调“理解整个代码库”,适合做多步骤任务:改文件、跑命令、debug 、快速交付。
适合:大型项目、复杂重构、需要 Agent 协作的团队。

🥈 2. Codex ( OpenAI )

关键词:云端/本地 Agent / 任务委派 / 工程化

Codex 是一系列 AI 编程工具,核心思路是把开发任务委派给更强的 coding agent ,加速从需求到落地。
适合:希望把重复工作交给 agent 、追求流程效率的开发者与团队。

🥉 3. Cursor

关键词:AI-native 编辑器 / VS Code 分支 / 上下文编程

Cursor 是 AI-native 的代码编辑器,基于熟悉的 VS Code 体验,把模型能力深度融入日常编码。
适合:日常开发写代码、快速实现新功能、想要“随写随问随改”的个人开发者。

  1. Google Antigravity

关键词:Agent-first IDE / 新一代开发平台

它更像下一代 IDE/平台:为“agent-first”时代设计,让 AI 在开发流程中承担更主动的角色。
适合:想体验新范式、关注 agentic development 方向的开发者。

  1. GitHub Copilot

关键词:最普及 / 工作流全覆盖 / 从编辑器到企业

Copilot 覆盖代码补全、聊天、解释、PR/issue 等典型场景,是很多人的 AI 编程入门首选。
适合:几乎所有开发者,尤其是想低门槛提升效率的人。

  1. Windsurf

关键词:保持 Flow / 面向复杂代码库 / 自动化任务

Windsurf 主打“保持开发者在 Flow 状态”,更强调在真实工程环境中处理复杂代码与工作流。
适合:需要减少上下文切换、在代码库里频繁定位与改动的工程团队。

  1. TRAE

关键词:自主构建 / IDE + Autonomous 模式 / SOLO

TRAE 强调“自主构建软件解决方案”,并提供 IDE 与更自动化的模式,适合把任务交给 AI 推进。
适合:原型开发、快速试错、希望 AI 更主动推进任务的人。

  1. OpenCode

关键词:开源 / 多模型 / 终端+IDE+桌面

OpenCode 是开源 coding agent ,强调多环境集成与隐私/可控性,适合想要更自由的工作流。
适合:重视可控性、希望接入不同模型、或企业内部自建的团队。

  1. Augment Code

关键词:代码库级理解 / IDE→CLI→Review / 团队效率

Augment 强调“理解整个代码库”,覆盖从 IDE 、CLI 到 code review 的工作流,偏团队协作导向。
适合:中大型团队、重视工程化与协作效率的组织。

  1. Kiro

关键词:Spec-driven / 结构化开发 / 让 AI 更可控

Kiro 强调“用结构把 AI 编程变得更可靠”,例如 spec-driven 开发、诊断与上下文管理。
适合:对质量与可控性要求高、希望减少 AI 乱写与偏航的团队。