它解决的是什么问题

Workbench 的基本能力是从 iPhone 或 iPad 远程访问并控制一台 Mac。与传统远程桌面工具不同，Astropad 把产品重点明确放在两类用途上：一是盯着正在运行的 AI 智能体，二是操作没有接显示器的”无头”Mac mini。

对第一类用户来说，需求是随时查看日志和进度、发现问题后直接改参数、把中断的自动化任务重新拉起来，而不必守在电脑前。对第二类用户，Workbench 提供的”统一显示”功能会给 Mac mini 分配一块虚拟屏幕，让它在不接显示器的情况下也按完整分辨率运行，屏幕、文件和终端都能从 iPhone、iPad 或另一台 Mac 上远程访问。

1.3 版更新了什么

串流重写，速度提升 30%。 这一版把视频串流系统针对苹果自研芯片重新构建，官方称 iPhone 与 iPad 客户端的串流速度都提升了 30%。同时加入内容感知编码，会区分文字和图像分别处理，以改善文本清晰度和刷新率——远程看代码和日志时，这一点比画面绝对流畅度更实用。

隐私帘。 新增的隐私帘功能会在远程会话期间遮住 Mac 本机的物理屏幕，提供三种样式可选，还能调暗实体显示器，并封锁本地键盘和鼠标输入。对放在共享空间里的 Mac mini 来说，这一项直接解决了旁人围观和误触的问题。

Watchdog 守护进程。 它在后台监控 Workbench 的状态，一旦发生崩溃、断开连接或无响应，就会自动重新启动应用。对需要长期在线的远程工作流，这补上了此前的停机缺口。

画中画与快捷键映射。 画中画支持让远程 Mac 的画面在切换到其他应用时仍保持可见；在 iPad 上，快捷键映射可以把原本由 iPadOS 拦截的组合键重定向到所连接的 Mac，让 Mac 在远程会话中优先获得键盘输入。

此外，这一版还包含 71 项缺陷修复，覆盖键盘输入、剪贴板同步、登录等环节。

上线四个月补齐了哪些短板

从 4 月首发至今，Workbench 陆续补上了外接鼠标支持、更平滑的缩放、更合理的休眠处理、可见的 macOS 光标，以及从 iPad 发送 Command-Space 组合键的能力。

再往后的版本则加入了非英语语音转文字、更长的后台连接保持时间、更快的连接建立速度、更强的加密、更可靠的剪贴板同步、日文假名键盘支持，以及对 Wispr Flow 和 Apple Pencil 手写输入的兼容性修复。

技术底子与网络

Workbench 基于 Astropad 自研的 LIQUID 引擎，这也是 Luna Display 和 Astropad Studio 所用的同一套技术，特点是多编解码器动态选择、支持 Retina 分辨率、以及在网络条件变化时保持缩放和滚动平滑。

连接方面，Workbench 走的是覆盖 11 个区域的全球中继网络，不需要端口转发或手工配置路由器和防火墙规则，在多数 VPN 和防火墙环境下都能直接连上。会话采用 AES-256 端到端加密，官方表示包括自身在内的任何一方都无法看到用户的屏幕、键盘和鼠标活动。

支持的设备与价格

系统要求为 Mac 端 macOS 15 或更高版本，iPhone 端 iOS 26 或更高版本，iPad 端 iPadOS 26 或更高版本。官方强烈建议使用苹果自研芯片的 Mac；Intel 版 Mac 虽然支持，但只能使用 LIQUID 编解码器，无法使用 H265。Workbench 不支持 Windows。

需要注意的是，主控端只能是 Mac，客户端可以是另一台 Mac、iPad 或 iPhone，且同一时间只允许一台设备连接主控 Mac。

价格方面，应用可免费下载，免费版每天提供 20 分钟远程访问时长，每天以世界协调时零点为界重置。官网产品页标注的无限时长订阅为每月 10 美元或每年 50 美元，不提供永久授权，也没有教育优惠。想先试试是否契合自己的工作流，免费额度基本够做一次判断。

该漏洞编号为 CVE-2026-65400，严重程度评为 7.1 分（满分 10 分）。苹果已在 8 月 6 日发布修复，覆盖 macOS Tahoe 26.6.1、macOS Sequoia 15.7.9 和 macOS Sonoma 14.8.9 三个版本线。漏洞根源在于屏幕共享组件的「状态管理」缺陷——这部分逻辑负责跟踪此前发生的事件、用户交互和各类系统状态，而它没有正确校验登录者的身份，导致网络上的攻击者可以在没有有效凭据的情况下通过认证环节。

前提条件：5900 端口暴露在公网

NCSC 在本周早些时候的公告中描述了观察到的攻击情况：

NCSC 收到通报，已在多个 5900 端口可从互联网访问的系统上观察到该漏洞被实际滥用。在所有这些案例中，受影响系统的 root 权限都已被获取，并被植入了门罗币挖矿程序。

这个前提很关键。macOS 的屏幕共享功能基于 VNC 协议，通过 TCP 5900 端口工作，允许远端在机器开机状态下查看屏幕并控制键鼠。当屏幕共享被打开时，macOS 防火墙会随之放开该端口；但路由器和独立防火墙通常默认拦截外部对 5900 端口的访问，除非管理员手动配置了端口转发或改写了默认规则。换句话说，受影响的是那些既开启了屏幕共享、又把 5900 端口直接暴露在公网上的机器，而不是所有 Mac。

时间线上，NCSC 于 8 月 7 日首次就该漏洞发布公告，提醒使用上述 macOS 版本的组织尽快安装更新；8 月 13 日的更新中，该机构确认已观察到在野利用。漏洞的技术细节则在此前一周的 Black Hat 安全会议上被公开。苹果在公告中的措辞相对保守，称 CVE-2026-65400「可能」允许没有凭据的攻击者取得对 Mac 的访问权限——在披露漏洞时软化表述，是多数技术厂商的常见做法。

目前只见挖矿，但风险不止于挖矿

从已知情报看，攻击者拿到权限后所做的事情比较单一：植入门罗币挖矿程序，暗中占用 Mac 的算力去执行运算，为攻击者生成加密货币。目前没有迹象显示这些攻击被用于安装其他类型的载荷。

不过挖矿只是攻击者取得 root 权限之后选择的动作之一，而不是这条攻击路径的上限。真正更值得担心的是，同样的漏洞完全可以被用来投放窃取凭据的恶意软件，或执行其他危害更大的操作。root 权限意味着攻击者可以读取文件、修改安全设置、建立持久化驻留——对于开发者、管理人员使用的机器来说，上面可能存放着代码仓库权限、云服务令牌或敏感文件。

NCSC 目前尚未披露受影响组织的数量和身份、攻击起始时间，以及相关活动是否已超出挖矿范围。

普通用户该怎么处置

安全从业者的通行建议是：即便需要使用屏幕共享，也不要把 5900 端口开放到互联网上，而应通过 VPN 或 SSH 隧道连接。问题在于，这两种替代方案所需的操作，对多数普通用户而言门槛偏高。

更现实的做法是控制这项功能的开启时间：平时保持屏幕共享关闭，只在确实需要远程连接时打开，用完立刻关掉。开关位置在「系统设置 – 通用 – 共享」，找到 Screen Sharing（屏幕共享）对应的开关即可切换。想确认自己是否处于风险中，也可以从这里查起。

当然，安装 8 月 6 日发布的那批安全更新同样是必须动作。需要提醒的是，打上补丁只能封住入口，如果机器此前已经处于「开启屏幕共享且端口暴露」的状态并被入侵，更新本身并不会清除攻击者留下的驻留手段或已被窃取的信息，这类机器应当按可能已被入侵来处理。

来源：Ars Technica / Dan Goodin、荷兰国家网络安全中心公告

开源远程桌面工具 RustDesk 近期放出一个预览版构建，首次在 Linux 的 Wayland 显示协议下提供了「真正的无人值守远程访问」：配置完成后，即便远端电脑前空无一人，也能从登录界面直接连入，并且支持多显示器环境。对于长期被 Wayland 远程控制短板困扰的 Linux 用户来说，这是一次迟到但关键的能力补齐。

之前卡在哪：Wayland 不让人「偷偷连」

Wayland 作为新一代显示协议，在安全性上比老旧的 X11 更严格，却也把远程桌面的很多「理所当然」打掉了——尤其是无人值守场景：传统方案要么要求远端有人点击批准每一次会话，要么干脆只支持 X11 会话。RustDesk 团队在公告中写道，Wayland 支持一直是 Linux 远程桌面里最难啃的部分之一。新构建让会话不再依赖远端有人值守，重启机器后也能从登录界面接手，多显示器同样可用。

预览版先用起来，再进主流发行版

目前该能力以独立预览版形式放出，面向 x86_64 架构、基于 Debian/Ubuntu 的发行版，版本号为 1.4.9（安装包以 .deb 提供）。RustDesk 表示希望在转为默认行为前收集更多真实环境反馈；一旦实现稳定，计划把无人值守 Wayland 访问带到 Fedora、Arch Linux 等更多发行版，并最终并入标准版 RustDesk。团队也呼吁正在使用 Wayland、尤其是多显示器的用户试用预览版并反馈问题。

横向对比：友商还在「实验」阶段

RustDesk 在公告中顺势点名了两家商业对手的差距：AnyDesk 目前在 Linux 入站会话上仍要求 Xorg；TeamViewer 则把 Wayland 支持描述为常见桌面环境下的「实验性」能力。换句话说，在 Wayland 无人值守这一具体方向上，这款开源方案暂时走在了商业软件前面。

对中文用户而言，RustDesk 的意义不止于「又多一个远程工具」。作为 TeamViewer、AnyDesk 的开源替代，它在国内长期拥有相当人气，常被用作自建中继、注重数据自主的远程控制方案；而 ToDesk 等国产同类产品也在快速迭代。Wayland 如今已是 Ubuntu、Fedora 等主流发行版的默认或推荐选项，能否在 Wayland 下提供和 X11 一样顺滑的无人值守体验，正在成为远程桌面工具的新分水岭。

来源：RustDesk 官方博客（经 Hacker News 收录）

XDA 撰稿人分享了自己的替换过程：过去一直靠 TeamViewer 管理迷你主机，稳定好用，但随着家里自建服务越来越多，付费方案里那些面向企业运维的高级功能几乎用不上——需求无非是连上自己的几台设备而已。最终换成了开源的 RustDesk，并把中转服务器也搬到了自己的机器上。

RustDesk 是一款免费开源的远程桌面工具，支持无人值守连接、文件传输、剪贴板共享和多显示器，客户端覆盖 Windows、Linux、macOS、Android 和 iPhone。它最大的区别在于：既可以用官方公共服务器，也能自己搭一套中转服务，让连接不经过别人的服务器。

一、先跑起来：Docker 部署服务端

服务端由两个组件构成，hbbs 负责 ID 注册与打洞，hbbr 负责中继转发，两个都要跑。在装好 Docker 的 Linux 机器上执行三条命令：

sudo docker image pull rustdesk/rustdesk-server
sudo docker run --name hbbs -v ./data:/root -td --net=host --restart unless-stopped rustdesk/rustdesk-server hbbs
sudo docker run --name hbbr -v ./data:/root -td --net=host --restart unless-stopped rustdesk/rustdesk-server hbbr

几点要留意：--net=host 只在 Linux 上有效，作用是让服务看到真实来访 IP 而不是容器内网地址；Windows 上要去掉 sudo 和 --net=host。如果连接有问题，先把 --net=host 去掉试试。-v ./data:/root 一定要挂上，升级或重建容器时数据才不会丢。看不到日志可以用 docker logs hbbs 查看。

二、放行端口

在防火墙和路由器上开放这几个端口，缺一个都可能连不上：

1. 21115（TCP）：NAT 类型检测。
2. 21116（TCP 和 UDP 都要开）：UDP 用于 ID 注册和心跳，TCP 用于打洞与连接。
3. 21117（TCP）：中继服务。
4. 21114（TCP）：网页控制台，仅专业版可用，开源版不需要。
5. 21118、21119（TCP）：网页客户端专用。不用网页端就保持关闭——官方明确提示，直接暴露这两个端口存在伪造来访 IP 的风险。

三、取出公钥

首次运行 hbbs 时会自动生成一对密钥。到挂载出来的 data 目录里找到 id_ed25519.pub 文件，把里面的字符串复制出来备用。这是用于加密连接的公钥，和商业版的许可证密钥是两回事。

四、客户端指向自己的服务器

被控端和主控端都要设置一遍：

1. 打开 RustDesk 客户端，点 ID 旁边的三点菜单 [ ⋮ ]，选择”网络”。
2. 点解锁按钮，按提示提升权限。
3. 在”ID 服务器”填服务器地址，例如 hbbs.example.com 或 hbbs.example.com:21116。
4. 在”密钥”栏粘贴上一步取到的公钥内容。
5. 中继服务器和 API 服务器留空即可，RustDesk 会自动推导，中继默认指向 21117 端口。

设备多的时候不必逐台手填：在配好的那台机器上进”设置 → 网络”，解锁后点”导出服务器配置”，复制得到的字符串；换到新设备同样进”设置 → 网络”，解锁后点”导入服务器配置”，设置会自动填好，最后点”应用”。

注意事项

如果所在网络打洞成功率低，可以在 docker-compose 的 hbbs 环境变量里加上 ALWAYS_USE_RELAY=Y，强制走中继，稳定性换带宽。服务器建议放在有公网 IP 的机器上，否则外网设备找不到它。

来源：XDA Developers

问题不在系统，而在接口。显卡靠 HDMI 那一端回传的信号判断有没有显示器在用，随便插一根空的 HDMI 线，或者开机后再把显示器关掉，都骗不过它。XDA 撰稿人 Chandraveer Mathur 的解法是一个几块钱的小配件——HDMI 假负载（也叫欺骗器、dummy plug），外形像个短小的 U 盘，插在显卡输出口上。它里面有一颗带电阻的小芯片，会向显卡上报一组 EDID（显示器身份信息，包含分辨率、刷新率等参数），模拟出一台 1080p 或 4K 显示器一直连着并处于开启状态。

一、先确认自己属于哪种情况

1. 主机不接显示器，靠远程桌面操作，希望拿到 1440p 或 4K 而不是 1024×768。
2. 用串流方案把游戏投到另一台设备，主机端需要一块「显示器」用来渲染和采集画面。
3. GPU 密集型任务（视频渲染、三维建模、科学计算）因为没接显示器被降到低功耗档。
4. 像 Mac mini 这类当影音主机用的设备，不接显示器时 HDMI 音频不输出，只想听音乐却得先打开投影或电视。

二、选购与安装

1. 按需要的规格挑。假负载会标明模拟的分辨率，需要 4K 就别买只模拟 1080p 的型号；接口也要对应，DP 口的机器需买 DP 版本。
2. 插在独立显卡的输出口上，不要插主板上的核显接口，否则远程会话可能仍然走核显。
3. 开机后进入「设置 → 系统 → 屏幕」，确认多出一台显示器，分辨率下拉列表里出现假负载支持的档位。
4. 在远程桌面客户端里把分辨率调到这一档，画面即可恢复正常尺寸。
5. 顺带的好处是，物理显示器现在可以彻底关掉，旁边的人看不到远程操作的内容。

三、不想插硬件，可以用虚拟显示驱动

Windows 10 和 11 上有软件方案，GitHub 上的 Virtual Display Driver 可以在系统内创建一块虚拟显示器，效果类似，且不占用物理接口。

1. 到该项目的 Releases 页面下载 Virtual Driver Control 应用安装包，也可以直接执行 winget install --id=VirtualDrivers.Virtual-Display-Driver -e。
2. 安装前确认系统已装 Microsoft Visual C++ 运行库，缺失时会报找不到 vcruntime140.dll。
3. 解压后运行 Virtual Driver Control，点击界面里的 Install 完成驱动安装。
4. 需要自定义分辨率和刷新率，编辑配置文件 C:\VirtualDisplayDriver\vdd_settings.xml。
5. HDR 支持要求 Windows 11 23H2 及以上版本。
6. 重要提醒：更新显卡或芯片组驱动之前，先把该驱动卸载，装完再重新安装；万一遇到黑屏，进安全模式卸载即可恢复。

两种方案各有取舍。软件方案不占端口，但依赖具体系统；硬件假负载即插即用，不挑操作系统，换台机器也能直接用。日常就把显示器接在电脑上的人完全不需要这个东西，它的价值只在无头主机、远程工作站和串流主机这类场景里才体现出来。

来源：XDA Developers