资讯
共 135 条更新于 2026-11-10 07:45RSS
11 月 2 日周一
10 月 30 日周五
10 月 29 日周四
Linux 内核 TCP 漏洞评分 9.8：Ubuntu 与 RHEL 尚未发布修复
IPv4 TCP 建连代码里的竞态条件漏洞 CVE-2026-98432 可导致 use-after-free，内核 CVE 团队给出 9.8 分（满分 10）。
NVL72 整机架分配反而少 27% 可用 GPU：调度器得先看懂拓扑
一台 NVL72 机架把 72 张 GPU 用统一 NVLink 连成一个域，出了机架只剩 400 Gb/s 单向的 InfiniBand，把机架当原子单位分配会放大故障影响。
Mistral 开放 Large 4 权重：1 万亿参数，主打编程与防御性安全
Mistral 把旗舰多模态模型 Mistral Large 4 的权重放了出来。它本月初以公开预览形式发布，经过三周额外强化学习后开源。
Telegram 安卓版通话漏洞已修复：接听语音电话可能导致手机被接管
NebuSec 披露 Telegram for Android 的一个通话漏洞，与另外两个漏洞串联后，受害者接听语音通话就可能失去对手机的控制。攻击者只需要一个普通 Telegram 账号。
Liquid AI 开源 LFM3：6 个小模型，iPhone 上也能本地跑
Liquid AI 公开 LFM3 系列，覆盖语言、视觉语言、音频、全模态和决策模型。基座 LFM3-1.7B-Base 用 22 万亿 token 预训练。
Preferred Networks 开源 pfpdf：Markdown 一条命令生成日文排版 PDF
日本 Preferred Networks 把内部使用的 CLI 工具 pfpdf 开源，把 Markdown 转成带封面、目录、公式和代码高亮的印刷品质 PDF。MIT 许可，用 TypeScript 编写。
Android Studio 接入 ACP：可直接安装 Claude Code、Codex 等编码代理
10 月 28 日的 Android Dev Summit 上，Google 在 Android Studio 里开出代理市场，同时让 Android CLI 以官方插件形式接入 Claude Code、Codex 和 Antigravity。
AI 写的排序测试只挑了 3 个数：用 fast-check 换成上千个随机输入
编码 agent 交来的排序测试三个数组全过，可 [...xs].sort() 不带比较器时按字符串比，[10, 9] 排完还是 [10, 9]。
Agent 靠不靠谱，看外面套了几层循环：LangChain 拆出四层
LangChain 把 agent 拆成四层可叠加的循环，最里面是模型调工具，最外面是自动改自己的配置，全文用内部文档 agent 举例。
PDF 说好的 AES-256，MuPDF 实际只有 9 位随机性：枚举即可无密码解密
多款 PDF 实现宣称用 AES-256 加密文件，但生成 32 字节文件密钥的随机源经不起推敲，密码保护在这一环被绕开。
谷歌发布 Gemini 4 Carbon：主打找漏洞和修漏洞，先向网络防御方开放
Gemini 4 Carbon 接在两周前发布的 Gemini 4 Argon 之后。谷歌称这是其最强模型，重点在网络安全防护和长周期任务能力。
10 月 28 日周三
英伟达开源 Nemotron 3.5 Transcribe：词错率 2.8%，并列开源语音转写第一
一款新的开源权重语音转文字模型，定位非流式转写，30B 总参数、4B 激活参数，是英伟达目前在这一评测维度上最准的模型。
不偷密码也能登进邮箱：Skyw4lker 用设备码钓鱼打美国企业
ANY.RUN 分析了名为 Skyw4lker 的设备码钓鱼活动，目标集中在美国的制造业、科技和医疗行业：让受害者自己走完一次由攻击者发起的合法设备授权。
Artificial Analysis 智能指数升到 v5：Claude Opus 5.5 以 58 分居首
这是该指数自 1 月 v4 以来最大的一次升级，首次有 60% 的评测建立在私有测试集或留出答案上，同时上线了 Progress Index v1。
Ling-3.1-flash-1019 上线魔搭：560B 开源 MoE，支持 1M 上下文
inclusionAI 在 ModelScope 上架 Ling-3.1-flash-1019，总参数 560B、每个 token 激活 25B，采用 MIT 许可。
七步排查自己网站有没有泄露 API 密钥
网站发给浏览器的一切，包括 HTML、JS 打包文件、source map 和留在 web 根目录里的文件，每个访客都能读到，所以要用陌生人的视角查线上站。
Arena 的 Agent Mode 上线 Connectors：Vercel、GitHub、Notion 都能接
Arena 给 Agent Mode 加了连接器能力，把外部工具放进智能体的执行流程里，用来处理更复杂、更贴近真实场景的任务。
Ghostty 1.4 发布：滚动缓冲压缩省 70%–90% 内存，默认上限提到 50MB
跨平台终端 Ghostty 发布 1.4.0，距上一版 7 个月，含 172 位贡献者的 2889 次提交，并修掉 10 个安全公告，官方建议尽快升级。
10 月 27 日周二
开源推理引擎 uzu：基础款 M5 上跑 Qwen3.5 9B 达 92 tokens/s，约为 llama.cpp 的四倍
uzu 由 Mirai Labs 开源，Rust 编写、带 Metal kernel，提供 Swift、Python、TypeScript、Rust 四种绑定，MIT 许可。
Gemini CLI 还能装，但个人免费登录这条路据称已经关闭
按 Google 2026 年 5 月 19 日的公告，Gemini CLI 与 Code Assist IDE 扩展自 6 月 18 日起不再服务 AI Pro / Ultra 订阅者和免费个人用户，改推 Antigravity CLI。
10 月 26 日周一
GitHub 密钥窃取活动 Gheist：1.35 万个 ci-sync 分支，私有仓库没被暂挂拦住
Wiz 披露了一起从 9 月 15 日起追踪的活动：攻击者用被盗 token 往能触及的每个仓库提交 sync-check 工作流，把密钥打进 Actions 日志，再下载日志并几秒内删掉运行记录。
腾讯开源交互式世界模型 Hy-Nomas：80 亿参数，RTX 4090 可本地跑
Hy-Nomas 按片段生成可交互的虚拟世界。权重、代码和浏览器演示都已公开，采用 Apache 2.0 许可。
Cursor 上线 Computer Use：agent 能自己点开模拟器测功能
Cursor 发布 Computer Use 功能，agent 可以像人一样点击、输入，操作电脑上的桌面应用，包括 iOS 模拟器，用来测试自己写出来的功能。
十月开源权重模型盘点：Muse Spark Open 本地跑要约 1TB 内存
Meta 在 10 月 15 日放出 816B 参数的 Muse Spark Open。同月 DeepSeek、IBM、阿里也各有新权重可下载。
Vitest 5 开发服务器会泄露 .env：升级到 5.0.2 并显式写 deny
Vitest 5 的开发服务器在几种模式下覆盖了 Vite 默认的敏感文件保护，局域网内无需认证就能读到 .env、.npmrc、私有 SSL 证书和 .git/config。