Anil Madhavapeddy：AI 智能体正削弱开源软件漏洞披露禁令的有效性
Anil Madhavapeddy 认为，AI 智能体可将公开的软件漏洞线索转化为可用的漏洞利用程序，削弱开源项目传统披露禁令的效力。随着漏洞披露至遭到利用的间隔缩短，他呼吁加快修补与发布流程。
#开源
#开源
今日 2 条InfoQAI 评分4545 Linux Foundation BlogAI 评分3030 对《2026年开放数据基础设施报告》的思考
研究团队与同事 Csilla Zsigri、Adrienn Lawson 在 OpenSearch 五周年之际审视全球数据基础设施，探讨这一开源项目的发展及其与企业人工智能快速普及的关系。团队还与 Bianca Lewis 和 OpenSearch Software Foundation 领导团队合作，以回应社区的关键战略问题。
Google Research Blog精选AI 评分7070 Google 推出基于TEE的可验证隐私联邦学习系统
Google 宣布其新一代联邦学习系统利用可信执行环境（TEE），提供可远程验证、可审计的数据匿名化保证。Gboard 已用该系统部署英语和日语下一词预测模型，在获得更强隐私保证与更高准确率的同时显著缩短训练时间。系统采用公开透明度日志与可复现构建，并已在开源仓库公开相关代码，但安全属性仍受当前TEE限制。
推荐理由：公开了系统设计、验证链路与Gboard部署情况，便于评估TEE联邦学习在隐私、准确率和训练效率上的取舍。
The Hacker News精选AI 评分7676 Glow发现 AI coding agents 将逾1.3万张内部图片暴露在 GitHub
Glow 的研究人员发现，AI coding agents 将来自 300 多个组织的逾 13,000 张内部图片公开放在 GitHub 仓库中，内容包括客户账单记录和未发布功能截图，多数位于开发者个人账户下。
推荐理由：揭示 AI coding agents 为展示代码变更而将内部截图上传至个人公共仓库的具体风险，并给出 GitHub 组织、gitshot-images 和版本 2.99.0 的排查与防护重点。
BleepingComputerAI 评分7070 Truffle Security：公开 GitHub 仓库中仍有超过543,000个有效凭据暴露
Truffle Security 在扫描2.24亿个仓库和超过580亿个文件后确认，公开 GitHub 仓库中有543,699个重复出现且在分析时仍有效的独特凭据。
LinuxiacAI 评分6868 研究人员披露可泄露 Linux 内核内存的 Spectre-v2 BTR 攻击
研究人员披露 Branch Target Reuse（BTR）攻击，可利用过时的 CPU 分支预测在 Linux 系统中泄露敏感数据；团队针对 cBPF 构建了端到端利用，并在现代 Intel 处理器上以约每秒 8 字节读取任意内存及 su 进程的 root 密码哈希。
Tom’s HardwareAI 评分6060 Anthropic称Zhipu AI的GLM-5.3具备Mythos级黑客能力
Anthropic发布报告称，Zhipu AI的GLM-5.3可用于生成恶意内容和网络攻击，并通过测试展示其端到端漏洞利用及绕过护栏的能力。报告称该模型在Exploitbench中410次运行成功开发50次攻击链，但运行和移除护栏需要高显存、GPU集群及高额计算成本。
The RegisterAI 评分7272 研究人员提出针对JIT引擎的Branch Target Reuse Spectre v2攻击
Vrije Universiteit与Scuola Superiore Sant’Anna研究人员提出Branch Target Reuse（BTR），称其是首个针对JIT编译器的实用就地式Spectre v2攻击。
The Hacker NewsAI 评分6969 101个恶意npm包借Baileys将开发者WhatsApp账号加入群组
安全研究人员发现101个npm包利用Baileys开源项目，在开发者不知情的情况下将其WhatsApp账号加入群组，并开展名为PhantomSub的订阅活动。这些包累计被下载49万次，其中11.6万次发生在最近30天，研究人员识别出三种处理频道订阅流程的恶意变体。
InfoQAI 评分4444 Adobe 工程师开源方案助 Kubernetes 团队安全查看自有 GPU 指标
Adobe 工程师描述了一种开源方案，让多租户 Kubernetes 环境中的团队自助访问自身的 Prometheus 指标，同时不暴露其他团队的共享指标。该方案旨在解决团队查看自身 GPU 指标时的访问隔离问题，正文未说明具体实现或发布时间。
Simon WillisonAI 评分5959 Simon Willison回顾2026年LLM、编码代理与个人代理的发展
Simon Willison以演讲和注释幻灯片回顾2026年迄今的LLM发展，重点分析编码代理从间歇出错到可用于日常工作的变化。文章还讨论了个人代理、本地模型、代理安全事件、模型成本和游戏开发实践，并指出模型能力提升并未消除软件工程中的目标定义、约束设计和工具选择工作。
Schneier on SecurityAI 评分2626 恶意 npm 软件包如何规避安全防御
恶意 npm 软件包被指能够规避安全防御，文章称其复杂性令人印象深刻。相关内容未提供具体软件包名称，也未给出直接证据或进行攻击归因。
NVIDIA Developer BlogAI 评分4444 SWE-Serve：揭示本地测试与在线服务之间的差距
SWE-Serve用于评估AI coding agent对推理服务软件的修改，重点检验系统加载真实模型并处理请求的完整服务路径。 该评估包含53项任务，并在SGLang团队参与下开发，用于检查系统能否通过公共接口返回正确结果。
Hugging Face Blog精选AI 评分7171 ALTK-Evolve 新增一致性指南与 Consistency Analyzer
ALTK-Evolve 新增一致性指南和 Consistency Analyzer，用于定位智能体在重复运行中可能发生翻转的决策点。
推荐理由：将重复运行可靠性转化为可诊断、可改进的独立指标，并公开相关分析工具与生成机制，为智能体上线评测提供直接可用的方法。
Ubuntu BlogAI 评分5454 RISC-V ISA演进：RVA23之后的安全、矩阵扩展与配置更新
Canonical在Ubuntu Blog中分析RVA23之后的RISC-V ISA演进方向，涵盖CFI、IME/VME/AME矩阵扩展及RVA23.1配置更新。文章还说明GCC、LLVM、Linux内核和硬件支持进展，并指出Ssctr的上游内核补丁尚未被接受。
Rust BlogAI 评分5959 Rust调试器使用调查发布：开发者普遍面临值显示与异步调试问题
Rust官方发布2026年调试调查共收集超过2,300份回复，结果显示超过半数受访者目前不使用Rust调试器。超过80%的受访者认为日志或print debugging更容易或更快解决排查问题，超过51%在单步执行时遇到问题，异步代码最常见。调查还指出值显示不佳是最主要痛点，Rust社区提出改进enum、集合、字符串、异步调试及debugger_visualizer支持等方向。
Google Research Blog精选AI 评分7979 Google Research与HHMI Janelia等合作完成雄性果蝇全脑连接图
Google Research、HHMI Janelia及剑桥大学等地合作者完成了雄性果蝇脑与中枢神经系统的完整连接图，包含超过166,000个神经元和1.25亿个突触连接。该图已通过人工专家标注与校验，可通过开源工具Neuroglancer查看、探索和下载，研究团队称其为迄今按神经元数量计最大的脑图谱。
推荐理由：完整雄性果蝇脑与中枢神经连接组具有重要科研价值，公开数据与验证流程可为神经科学研究提供可复用的基础资源。
Hugging Face Blog精选AI 评分6161 Quantization-Aware Healing：4-bit 压缩模型在部分基准上超过原始全精度版本
Multiverse Computing 提出 Quantization-Aware Healing（QAH），让结构压缩并量化为 MXFP4 的模型直接从压缩前的原始模型蒸馏。
推荐理由：文章以基准数据说明结构压缩后再进行 MXFP4 量化时，直接从原始模型蒸馏的 QAH 可避免恢复上限，并在长上下文、数学和代码任务上取得收益；结果包含与 QAT 的对比，但对完整训练细节仍需查阅论文。
Hugging Face Blog精选AI 评分7777 研究语音识别模型对公开基准的优化行为
研究团队评估11个广泛使用的开源ASR模型，发现部分高分模型会依据声学线索复现VoxPopuli和LibriSpeech中与音频不符的参考转录。模型还会恢复被遮蔽数字，并根据基准选择“any one”等正字法，部分模型在公开基准上的表现不能直接代表对新音频的转录能力。团队在Open ASR Leaderboard加入“Benchmark fitting”标签页，并开源相关脚本与未归一化模型输出。
推荐理由：文章用参考转录分歧、遮蔽数字和正字法切换三类测试，揭示公开语音识别基准可能被模型拟合，并提供可复现脚本帮助改进评测设计。
Hugging Face Blog精选AI 评分7272 Hugging Face 发布 2026 年夏季开放模型生态观察
Hugging Face 发布了基于 2026 年前七个月 Hugging Face Hub 活动的开放模型生态观察。数据显示，公共模型仓库从 243 万增至 296 万，但约 85.6% 的模型累计下载量不足 200；Qwen 已形成大规模社区衍生生态，代理流量也成为新的重要使用来源。报告强调，下载量、点赞和衍生模型分别反映不同层面的活动，不能直接等同于模型质量或整体市场采用情况。
推荐理由：报告基于 Hugging Face Hub 前七个月的活动数据，分析模型规模、下载与关注度、许可、社区衍生和代理流量等生态变化，对评估开放模型的实际使用结构与平台趋势具有参考价值。
Hugging Face Blog精选AI 评分7272 让知识蒸馏达到可规模化运行的成本：Multiverse Computing 的分块 KL 损失方案
Multiverse Computing 提出 Efficient Knowledge Distillation for LLMs，结合离线 top-K logits 缓存与 fused chunked KL loss，降低知识蒸馏的显存占用并支持单 GPU 长上下文训练。
推荐理由：文章给出可复现实验与开源实现，说明如何通过缓存和分块计算降低长上下文蒸馏的显存与成本，适合需要优化模型压缩流程的小团队参考。
Hugging Face Blog精选AI 评分7373 ScarfBench：评测企业Java框架迁移AI智能体
IBM Research推出开源基准ScarfBench，用于评测AI智能体在Enterprise Java跨框架迁移中的构建、部署和行为保持能力。基准包含34个应用、102个框架实现和204项迁移任务；测试显示当前最强智能体的行为成功率低于10%，且智能体自报成功不能替代独立构建与测试验证。
推荐理由：ScarfBench将企业Java跨框架迁移从代码生成推进到构建、部署和行为验证，揭示智能体成功率、过度自信及依赖管理之间的差距，对评估现代化方案具有直接参考价值。
Sebastian RaschkaAI 评分6666 开放权重 LLM 架构比较：2026 年 1—2 月十款模型解析
Sebastian Raschka 梳理了 2026 年 1—2 月发布的十款开放权重 LLM，重点比较其架构相似性与差异。
Sebastian RaschkaAI 评分6969 从GPT-2到gpt-oss：分析OpenAI开放权重模型的架构进展
OpenAI本周发布gpt-oss-20b和gpt-oss-120b，这是其自GPT-2以来首次共享大型开放权重模型，架构分析涵盖MoE、GQA、滑动窗口注意力、RMSNorm和注意力偏置等变化。文章还比较了gpt-oss与Qwen3在模型深度、宽度、专家数量及MXFP4量化部署方面的差异，并指出gpt-oss-20b可借助MXFP4在支持该格式的消费级GPU上运行。