琳小航AI 日报

Claude Code 的本地配置文件被提交上 GitHub，1122 个文件里露出了密码

经过：安全公司 Apiiro 在 GitHub 上扫描提交了 .claude/settings.json 或 settings.local.json 的仓库，在 1122 个公开文件里找到了写在命令里的密码。文章把原因指向 Claude Code 的「不再询问」（Don't Ask Again）选项：选了之后，带着密码的完整命令会被记进本地设置文件。

争议：HN 上有人指出标题绕了一层：点「不再询问」本身不会泄露，是把本地设置文件一起提交上传，而里面又记着带密码的命令，才会暴露。Claude Code 团队的一位成员在帖子里回应：settings.local.json 本来应该留在本地，Claude 自己创建这个文件时会自动把它加进 .gitignore，被扫到的这些文件是手动创建并提交的；工具以前不做密钥清洗，现在在研究怎么防。

办法：搜一遍自己的仓库里有没有 .claude/settings.json 和 .claude/settings.local.json，有就看里面有没有写死的密码，settings.local.json 不要提交。

Google ScientistTwo：读文献、跑实验到写论文全自动

内容：Google 发布的端到端多智能体科研框架 ScientistTwo，给一个研究问题，它自己读文献、找现有方法的漏洞、提假设、写代码、跑实验、做消融，最后生成论文，还会模拟同行评审再修改。

数据：官方公布在 107 个研究任务里有 86 个超过人类论文的 SOTA，平均相对提升 25.2%，生成的代码能运行，引用经过核验。

现状：这是预印本，评审也主要由 AI 完成，推文作者自己也说距离真正取代科学家还早。

「教我吧」「帮我改得更好」，ChatGPT 答不好的四种问法

内容：推文把四种问法标成「D 级（禁用）」：「教我吧」范围太宽，「帮我整理一下」目的不明确，「详细解释一下」深度不确定，「帮我改得更好」没有评判标准。

坑：推文只列了反例，没写改成什么样的句子。

《持械入宋》：54 岁主创零影视经验，靠 AI 做出千万级短剧

经过：主创 54 岁，2025 年 3 月才开始学 AI，之前多次创业失败，没有影视经验。前面近一年靠接承制订单练手，团队做了近 40 部剧，流水剧时期一个月最多约 20 部；2026 年 3 到 4 月自己做的两部剧分别破千万、破亿，才算打出来。

办法：从流水剧转向精品剧，先花半个月通读原著、多轮改剧本、打磨人设，做 10 集内部确认方向，再大面积铺开；每季先看评论区和粉丝群反馈，再决定下一季怎么调。

内容：考证下得很细，官服品色、配饰、户籍和路引、礼仪位次都查过，取消了穿越剧标配的金手指。