🔥 今日深度推荐 Deep Reads
1. Axios 被投毒：1亿周下载的NPM包遭供应链攻击
📎 StepSecurity 分析 | Simon Willison 解读 | HN讨论 1898🔼 776评
Axios——每周下载量超过1亿次的NPM HTTP客户端库——被植入了恶意代码。攻击者发布了恶意版本 1.14.1 和 0.30.4，引入名为 plain-crypto-js 的恶意依赖，该依赖会窃取用户凭证并安装远程访问木马（RAT）。
这是继 2018 年 event-stream 事件后又一起重大 NPM 供应链攻击。Simon Willison 在博客中指出，这再次暴露了 NPM 生态中"信任链过长"的根本问题——你信任一个包，就等于信任了它所有的依赖和未来的所有维护者。
HN 社区炸了锅，讨论焦点：lock 文件的重要性、自动依赖更新的风险、以及 NPM 安全模型是否从根本上就有缺陷。
为什么值得读：如果你的项目用了 Axios（大概率是的），立即检查版本。更重要的是，这篇文章是理解"现代软件供应链脆弱性"的绝佳案例。
2. Claude Code 内部工作原理可视化指南
📎 ccunpacked.dev | HN讨论 924🔼 336评
一个制作精美的交互式可视化网站，完整拆解了 Anthropic 的 Claude Code 工具的内部工作原理——上下文管理、工具调用机制、代码理解流程等核心机制。
这不是干巴巴的文档，而是用动画和图表把复杂的 AI 编程工具架构讲得清清楚楚。HN 社区讨论热烈，很多开发者分享了实际使用体验，对比了各家 AI 编码工具的优劣。
为什么值得读：无论你是否在用 Claude Code，理解 AI 编程工具的内部机制，对判断"哪些任务适合交给AI、哪些不适合"非常有帮助。
💬 社区热议 Community Buzz
HN：Axios 供应链攻击引爆安全大讨论（1898🔼 776评）
NPM 生态的安全模型再次成为焦点。社区分成几派：
"锁文件派"：强调 package-lock.json 是救命稻草，但有人指出很多团队根本不把 lock 文件提交到仓库。
"依赖最小化派"：有人翻出了那个经典论点——"你真的需要一个HTTP客户端库吗？fetch API 不够用？"引发了关于"left-pad心态"的老争论。
"系统性问题派"：最有深度的讨论认为，问题不在于某个包被攻击，而在于 NPM 允许维护者在不经审核的情况下添加新依赖——整个信任模型从设计上就是脆弱的。
Reddit r/gamedev：永久死亡机制让玩家暴怒退出
📎 Reddit帖子
一位生存RPG开发者分享了设计困境：他坚信永久死亡是正确的设计选择，但测试玩家频繁摔手柄退出。社区讨论了如何在"死亡有意义"和"不让玩家砸键盘"之间找平衡。有人提出了 Roguelite 式的折中方案——死亡重置进度但保留部分成长。
📡 行业快讯 Headlines
🎮 三上真司 × Shift Up — 《生化危机》之父的新工作室 Unbound 被《剑星》开发商收购，将开发"小型实验性作品和大型旗舰项目" | GamesIndustry
🎮 Rec Room 关闭 — 曾估值 $35 亿的社交VR平台将于6月1日关停 | TechCrunch
🎮 英雄无敌回归 — 《英雄无敌：远古纪元》4月30日登陆PC EA，系列10+年首款新作 | RPS
🎮 任天堂 vs Palworld 反转 — USPTO 撤销任天堂角色召唤战斗机制专利 | RPS
💻 SpaceX 秘密申请IPO — 估值可能 $1.75 万亿，代号 "Project Apex"，21家银行承销 | TechCrunch
🤖 **OpenAI 完成 $852B 估值融资** — 总额 $122B，Amazon $50B + Nvidia $30B + SoftBank $30B + 散户 $3B；月收入已达 $20 亿 | TechCrunch
🤖 Claude 发现 FreeBSD 远程内核漏洞 — AI 独立编写完整漏洞利用获取 root shell（CVE-2026-4747）| GitHub
🤖 Oracle 大裁员 — 裁员规模达"数千人"，同时计划今年融资 $450-500 亿用于 AI 基建 | TLDL
🤖 Q1 科技裁员加速 — 2026 Q1 已有 45,000+ 科技岗位被裁，20% 明确因 AI 导致 | AI Agent Store
🎙️ 播客/视频推荐 Podcast & Video
🎮 FlippedNormals 关闭独立市场平台
FlippedNormals——3D美术社区最知名的教育频道和资源平台之一——宣布关闭其独立市场（Marketplace）。这对 3D 美术从业者的工具链和资源获取方式是一个重大变化。创作者需要将资源迁移到 Gumroad、ArtStation Marketplace 等替代平台。
推荐理由：直接影响 3D 美术从业者的日常资源获取。
🤖 Claude Code 可视化指南（互动网站）
虽然不是播客/视频，但这个交互式网站的信息密度不亚于一场45分钟的技术演讲。通过动画和图表拆解 Claude Code 的完整架构——上下文窗口管理、工具调用链、代码理解机制。
推荐理由：AI 编程工具正在快速迭代，理解它们的底层机制比学会用某个特定工具更有长期价值。
🎮 Game Maker's Toolkit — Hollow Knight: Silksong 深度设计分析
GMTK 的 Mark Brown 对 2026 年最受期待的独立游戏 Silksong 进行了深度游戏设计分析。GMTK 每期视频都是高质量的游戏设计课，这期聚焦 Metroidvania 品类的关卡设计和战斗系统演进。
推荐理由：游戏设计教育标杆频道，Silksong 的设计决策值得每个游戏开发者学习。
🎨 80 Level：ZBrush + Gaea + UE5 风格化渔村工作流
📎 80 Level
完整拆解了一个风格化渔村场景的制作流程——从 ZBrush 雕刻到 Gaea 地形生成再到 UE5 中的最终组装。重点分享了模块化工作流和资产复用策略。
推荐理由：美术工作流干货，ZBrush + Gaea + UE5 的组合是当前环境美术的主流管线之一。
🔶 HN 技术趣闻：4D Doom
📎 GitHub - HYPERHELL（266🔼）
有人做了一个四维空间版的 Doom 游戏。不是"4K分辨率"那种噱头，是真正的数学意义上的四维空间——敌人和弹道在第四个空间维度上移动。
推荐理由：纯粹的创意和技术趣味。
✨ 今日寄语
"信任是脆弱的。无论是一个 NPM 包的依赖链，还是一个团队的协作关系——建立需要很久，崩塌只在一瞬间。所以，值得花时间去审视那些你习以为常的信任。"