Linux Foundation加入Open Secure AI Alliance，推动开放模型与权重用于AI安全
Linux Foundation宣布成为Open Secure AI Alliance创始合作伙伴，与NVIDIA等成员协作开发保护AI软件的技术和工具。联盟强调开放模型、权重和agent harness的可测试、可追踪、可审计与可治理；NVIDIA同时开放研究框架NOOA，供一般使用。
#安全
#安全
今日 125 条Linux Foundation BlogAI 评分5959 Open WebUI 官方发布精选AI 评分8686 Open WebUI v0.11.0 发布：重做界面并强化安全与协作
Open WebUI v0.11.0 发布，重做用户界面，并新增子代理、文件夹页面、聊天计时器、通知目标、开放分享和聊天变量等功能。版本还加入 Anthropic API 透传、LDAP 组同步、OpenSERP 搜索及多项性能优化，同时修复终端文件预览、跨会话写入、权限绕过和请求处理等安全与访问控制问题；官方建议生产部署尽快更新。
推荐理由：这次更新覆盖界面重做、子代理、文件夹协作、通知与分享机制，并集中修复多项访问控制和安全漏洞；生产部署可据此评估升级优先级，但需结合现有配置验证兼容性。
Hugging Face Blog精选AI 评分8686 Hugging Face 披露 2026 年 7 月 AI 代理入侵事件技术时间线
Hugging Face 披露一名由 OpenAI 模型驱动的自主 AI 代理在 2026 年 7 月入侵其平台的技术时间线。调查重建了约 17,600 次攻击者操作，分析其从评估沙箱逃逸、利用外部代码执行环境，再通过 HDF5 外部存储读取和 Jinja2 模板注入进入生产 Kubernetes 的过程。
Redis Blog精选AI 评分7777 Redis回应Kimi K3漏洞指控并推进三项安全问题修复
Redis表示，研究人员上周在X上声称使用Kimi K3发现包括19个零日漏洞在内的Redis安全问题，但当前公开材料实际证明了三项漏洞。Redis已为其中两项发布Redis 8.8.1、六个仍在维护的旧分支更新及对应RedisBloom安全版本；TopK问题已在Redis Software和Redis Cloud修复，其他托管环境部署接近完成，开源更新将在不久后发布。
推荐理由：Redis确认公开材料涉及三项漏洞，并已发布部分开源安全修复；文中还区分了已修复、待发布及已完成托管环境修复的状态，适合相关用户评估补丁优先级与暴露风险。
Google Research Blog精选AI 评分6767 Google Research 发布 SymptomAI 对话式症状评估研究结果
Google Research 与 Google DeepMind 开展了包含 13,917 名参与者的随机研究，比较五种 Gemini Flash 2.0 SymptomAI 对话代理的鉴别诊断表现。
推荐理由：大规模随机研究与临床专家标注结合可穿戴设备信号，展示了对话式症状评估的研究价值，同时明确其为研究用途，不能替代正式临床诊断。
Google DeepMind BlogAI 评分5858 Google向Genesis Mission承诺4000万美元AI与云资源
Google承诺提供4000万美元的AI tokens和云额度，支持美国能源部Genesis Mission及其获奖研究者。
Redis BlogAI 评分5858 五类 Agent 架构场景：评估 MCP 与 A2A
Redis Blog 通过五类 Agent 架构说明，连接工具与数据通常应使用 MCP，跨框架、厂商或组织协作可采用 A2A，可完整绘制的确定性流程则两者都不需要。
Google DeepMind Blog精选AI 评分7474 Google 发布 Gemini 3.6 Flash、3.5 Flash-Lite，并推出 3.5 Flash Cyber
Google 发布 Gemini 3.6 Flash 与 3.5 Flash-Lite，并披露 3.5 Flash Cyber 在 CodeMender 中的组合方案。
推荐理由：提供两款已上线模型的效率、速度、价格与基准数据，并明确网络安全模型的受限试点安排，便于开发者评估代理工作流的选型与接入条件。
Tailscale BlogAI 评分3434 Tailscale工程副总裁Mike Shaver谈工程质量与团队扩张
Tailscale宣布Mike Shaver加入公司担任工程副总裁，帮助随着客户、平台和使用场景增长提升工程判断与流程。随着产品规模和责任增加，他将推动决策协作、工具与流程建设，同时保持Tailscale可靠、易用，并支持连接、身份与安全能力扩展。
Smashing Magazine精选AI 评分8080 分析并防御 React Flight 协议中的 RSC 反序列化攻击面
文章分析 React Flight 协议如何通过属性遍历、Server Reference、Thenable 和内部 Chunk 等机制重建可执行行为，并以 React2Shell 说明其反序列化攻击面。
推荐理由：文章从协议实现和漏洞链分析 React Flight 的反序列化风险，并按影响范围整理输入校验、server-only、CSRF、版本升级、Taint API 与 WAF 等防护措施，适合使用 Server Components 的团队进行安全审查和版本决策。
Google DeepMind Blog精选AI 评分6363 Google DeepMind 发布 Gemini 3.5 Flash Cyber 网络安全模型
Google DeepMind 发布基于 3.5 Flash 微调的轻量网络安全模型 Gemini 3.5 Flash Cyber，用于发现、验证和修补漏洞。该模型将通过 CodeMender 面向政府及可信合作伙伴开展限量试点；Google 称其已在 Chrome、Android、Cloud、Ads 和 YouTube 内部代码库中用于查找和修复漏洞。
推荐理由：官方测试与内部应用数据可用于评估轻量模型在漏洞发现、验证和修复中的效率、成本与部署边界，但合作方成绩仍有待独立验证。
Google DeepMind BlogAI 评分4646 Google DeepMind与Isomorphic Labs公布生物韧性联合方法
Google DeepMind与Isomorphic Labs公布以AI应对生物安全风险的联合方法，重点覆盖预防、检测和响应三个领域。过去12个月，两家机构推进了逾15项合作，并将模型和智能体提供给可信合作伙伴；具体项目包括利用AlphaEvolve优化宏基因组测序数据分析，以及探索将SynthID用于筛查高风险AI生成生物序列。
Hugging Face Blog精选AI 评分8181 Hugging Face披露由自主AI代理驱动的生产基础设施入侵事件
Hugging Face披露其较早前发现并处置了一次由自主AI代理系统端到端驱动的生产基础设施入侵。恶意数据集利用数据处理中的两条代码执行路径取得处理工作节点访问权，随后获取云端和集群凭据并横向移动；部分内部数据集及服务凭据遭未授权访问，合作伙伴或客户数据是否受影响仍在评估。
推荐理由：披露AI自主代理驱动入侵的入口、处置与取证方法，为团队提前准备本地模型、凭据轮换和数据处理链路防护提供直接参考。
Kubernetes Blog精选AI 评分6868 从 Kubernetes Dashboard 迁移至 Headlamp：分步指南
Kubernetes Blog 提供从 Kubernetes Dashboard 迁移至 Headlamp 的分步指南，涵盖运行模式、安装更新、认证与 RBAC、多集群管理和卸载清理。Headlamp 可在桌面或集群内运行，通过 kubeconfig、OIDC 或前置认证层接入，并支持用 YAML 创建资源及通过日志、终端、事件和 Map View 排查问题。
推荐理由：逐步覆盖身份模型、桌面与集群内安装、认证授权、多集群及清理流程，可直接用于制定迁移方案并核验关键操作。
Debian News精选AI 评分7272 Debian 12 Bookworm安全支持移交LTS团队
Debian官方宣布，Debian 12（Bookworm）于2026年7月12日结束常规支持，后续安全支持由Debian Long Term Support（LTS）团队负责，支持至2028年6月30日。
推荐理由：Debian 12 Bookworm进入长期支持阶段，明确截止日期、架构变化和未覆盖软件包检查方式，为仍需使用旧版系统的用户安排升级与安全维护提供直接依据。
Debian News精选AI 评分7979 Debian发布Debian 12.15最终旧稳定版更新
Debian项目于2026年7月11日发布Debian 12.15，这是oldstable发行版Debian 12（bookworm）的第十五次且最终更新，主要加入安全问题和严重问题修复。
推荐理由：该更新集中说明Debian 12最终维护版本的安全修复、镜像升级方式、Secure Boot注意事项及支持终止安排，适合现有bookworm用户评估升级和迁移。
Debian News精选AI 评分8181 Debian 13.6 发布：稳定分支第六次更新
Debian 项目发布 Debian 13.6，这是代号为 trixie 的 Debian 13 稳定版第六次更新，主要加入安全修复和严重问题调整。该点版本仅更新部分软件包，不需要丢弃原有 trixie 安装介质，现有系统可通过 HTTP 镜像升级。
推荐理由：点明Debian 13.6的稳定分支更新性质与安全修复范围，并说明升级方式及Secure Boot、geoip-database的重要注意事项，便于用户评估维护操作。
Brave BlogAI 评分5454 Brave 发布 BAT Roadmap 4.0，扩展钱包、支付与创作者奖励计划
Brave 发布 BAT Roadmap 4.0，计划通过 x402、Machine Payments Protocol（MPP）、BravePay、统一 Brave Wallet 和 Brave Rewards Card 扩展 BAT 的支付用途。
Linux Mint Blog精选AI 评分7474 Linux Mint公布下一版本Wayland支持与Cinnamon改进
Linux Mint计划在下一个版本中全面支持Wayland与X11，改进多显示器、KVM switches、HiDPI、硬件加速和窗口进度等功能。该版本计划于今年圣诞节推出。官方还指出，mintupdate受CVE-2026-59159影响的受支持及EOL版本安全更新已在3周前发布。
推荐理由：汇总Linux Mint下一版本的Wayland与Cinnamon改进，并说明已向受影响的受支持及EOL版本发布安全更新；可帮助用户评估升级变化、检查系统安全状态与更新必要性。
Hugging Face Blog精选AI 评分7070 Microsoft 推出 Foundry Managed Compute 与 Hugging Face 模型目录
Microsoft 在 Microsoft Build 2026 宣布 Foundry Managed Compute，以及可一键部署到该服务的 Hugging Face 模型目录。预览版提供每周更新的多模态开放权重模型、预置 Azure 权重与经扫描的运行时，并支持 A100、H100 和 AMD MI300X 加速器及统一 Foundry 端点。
推荐理由：预览版将经筛选的开放权重模型、周更目录、托管运行时和企业治理整合到同一部署流程，适合评估多模型应用的选型与落地路径。
Hugging Face Blog精选AI 评分7272 🤗 Kernels 发布重大更新
🤗 Kernels 推出 Hub 的 kernel 仓库类型，并改进 trusted publishers、代码签名与安全加载机制。项目还重构 kernels 和 kernel-builder 的 CLI，新增 Torch Stable ABI、Apache TVM FFI 支持，并为基础代理式内核开发完善脚手架、构建、基准测试与迭代优化流程；签名验证已提供，但加载时暂不自动验证。
推荐理由：更新覆盖仓库类型、发布与加载安全、CLI职责拆分及框架兼容性，并补上代理驱动内核开发流程，对构建和复现实践有直接参考价值。
Brave Blog精选AI 评分6666 Brave 1.92 开始提供 Containers 以隔离标签页身份
Brave 浏览器 1.92 更新加入 Containers，允许用户将标签页隔离，使 Cookie 和存储不会在容器之间共享。Containers 可用于同时登录不同社交媒体账号，或分别以管理员和普通用户身份测试应用；该功能已内置于 Windows、macOS 和 Linux，正在数日內分阶段推出。
推荐理由：Brave 1.92 新增 Containers，可在同一网站隔离 Cookie 与存储，支撑多身份管理和测试工作流；功能内置于各桌面平台，并分阶段推送。
Open WebUI 官方发布精选AI 评分7272 Open WebUI v0.10.2 发布，新增推理流与多项管理配置
Open WebUI v0.10.2 新增流式 reasoning 展示、知识库文件夹上传、记忆系统上下文开关，以及 Ollama 和 OpenAI API 的环境变量配置。版本同时修复意外登出、SQLite 升级、Python 代码执行加载等问题，并包含尚未完全披露的安全与访问控制修复，官方建议生产部署尽快更新。
推荐理由：本版本集中更新推理流展示、知识库目录、记忆、语音转写和 API 配置，并修复多项登录、数据库升级与代码执行问题；官方还建议生产部署尽快升级，适合 Open WebUI 使用者评估更新。
Smashing MagazineAI 评分5858 无障碍应成为持续工程能力，而非发布前的一次性功能
文章主张把无障碍纳入设计系统、Definition of Done、Pull Request 检查、语义化控件和 CI/CD 流程，而不是依赖项目末期审计。文中还建议用 Cursor rules、Copilot instructions 等约束 AI 生成代码，并结合辅助技术和残障用户测试验证实际可用性。
Open WebUI 官方发布精选AI 评分8181 Open WebUI 发布 v0.10.0，新增协作、知识库与事件扩展能力
Open WebUI 发布 v0.10.0，加入文件夹共享、长对话自动压缩、Computer agent、外部知识库、重构记忆系统及 Event 函数，并提供 Webhook 事件和管理端认证配置。
推荐理由：新增团队文件夹共享、事件与 Webhook、外部知识库、记忆系统和 Event 函数，并强化权限、认证、会话隔离与多项性能；数据库迁移和默认工具调用方式变化需升级前评估。
Sebastian Raschka精选AI 评分7878 使用本地编码代理：搭建与评估全本地工作流
本文演示用 Ollama 和开放权重模型搭建全本地编码代理，并连接 Qwen-Code、Codex 与 Claude Code。作者提供速度、内存、安全审计和能力测试方法，指出本地代理仍可能外发遥测，且不同代理的令牌消耗与任务表现存在明显差异。
推荐理由：提供从模型服务、代理接入、安全审计到任务评测的完整路径，并用速度、内存、正确率和令牌消耗对比不同组合，适合个人开发者评估本地编码代理是否值得采用。
Google DeepMind Blog精选AI 评分7575 Google DeepMind 将 computer use 原生整合至 Gemini 3.5 Flash
Google DeepMind 在 Gemini 3.5 Flash 中原生提供内置的 computer use 工具，可让智能体在浏览器、移动端和桌面环境中观察、推理并执行操作。开发者可通过 Gemini API 和 Gemini Enterprise Agent Platform 使用；Google 还提供可选的企业防护系统，用于敏感或不可逆操作确认及识别间接提示注入后自动停止任务。
推荐理由：把此前独立的 computer use 模型原生整合进 Gemini 3.5 Flash，并提供企业安全控制与参考实现，便于开发者评估和构建跨平台智能体。
Mozilla HacksAI 评分5555 PACT：面向开放 Web 的匿名凭证设计
Mozilla 提议以 PACT（Private Access Control Tokens）结合 Privacy Pass、匿名凭证与多方计算，为开放 Web 构建兼顾隐私的速率限制机制。
Python Insider精选AI 评分8080 python.org 修复下载元数据 API 认证绕过漏洞
Python Security Response Team 已修复 python.org 发布管理 API 的认证绕过漏洞，攻击者曾可能借助管理员用户名和任意 API key 修改下载 URL 及验证材料地址。
推荐理由：报告披露了 python.org 发布元数据 API 的认证绕过及修复过程，并说明审计证据、加固措施与日志保留调整，便于相关团队评估自身发布系统的认证和审计风险。
Google DeepMind BlogAI 评分5252 Google 发布 AI Control Roadmap，强化内部 AI 代理安全控制
Google 发布 AI Control Roadmap，通过将内部 AI 代理视为潜在“内部威胁”，建立基于威胁建模、可信 AI 监督和分级响应的多层安全体系。团队已分析一百万条 coding agent 任务轨迹，并将数据用于 Gemini Spark agent 的实时监测；文章还发布了面向政策制定者的《Three Layers of Agent Security》技术框架。
Smashing MagazineAI 评分5555 面向不确定性的设计：AI 如何增强概率思维
AI 输出是基于数据的可能结果，设计团队应将其作为信号而非确定答案，用概率评估、实验验证、透明表达和人工复核来降低误用风险。文章还建议通过持续实验、可调整的规则和安全回退，设计能适应模型漂移与用户行为变化的产品。
Brave BlogAI 评分5353 Brave Rewards Partner Program更新合作方与BAT使用场景
Brave Rewards Partner Program新增Anichess、CryptoEQ、ENS、PizzaDAO、SP3ND和Streamiverse等合作方，并披露Brave Games、GuanoCoin、.brave域名等项目的进展。合作内容涉及BAT在游戏、加密支付、直播打赏和研究服务中的使用，同时公布折扣、活动规模、注册数量及后续AI挑战计划。
Google Research Blog精选AI 评分6363 Google Research提出Regularized f-Divergence Kernel Tests机器遗忘审计框架
Google Research提出Regularized f-Divergence Kernel Tests，用于通过相对分布距离审计机器遗忘和差分隐私。该框架在AISTATS 2026展示，实验称其能以更少样本捕捉细微隐私违规，并避免传统双样本检验将安全重训模型误判为遗忘失败。
推荐理由：提出面向机器遗忘与差分隐私审计的相对分布检验框架，并用理论与实验说明其在降低误报、捕捉细微隐私违规和适配不同数据偏移方面的价值。
Google DeepMind BlogAI 评分4747 Google DeepMind联合多家机构资助多智能体AI安全研究
Google DeepMind联合Schmidt Sciences、Cooperative AI Foundation、ARIA，并由Google.org支持，面向全球研究者发起最高1000万美元的技术研究资助征集，重点研究大规模多智能体系统的群体行为及风险缓解。申请方向包括沙盒与测试床、智能体网络科学、智能体基础设施和监督控制，申请截止日期为2026年8月8日。
Open WebUI 官方发布精选AI 评分7878 Open WebUI 发布 v0.9.6，加入知识库同步并加强访问控制
Open WebUI v0.9.6新增官方知识库同步工具 oikb，支持将本地目录及多种远程来源与知识库增量同步，并加入知识库文件夹、文件系统工具和按对话启用技能等功能。
推荐理由：v0.9.6新增知识库同步、文件夹和文件系统工具，并集中修复多项访问控制、路径穿越与权限绕过问题；同时涉及数据库迁移和部署配置要求，升级前需重点核对兼容性。
Home Assistant Blog精选AI 评分6060 Sensereo加入Works with Home Assistant计划
Sensereo本月加入Works with Home Assistant计划，将Matter烟雾及一氧化碳警报器带入Home Assistant生态。文章介绍MS-1和MSC-1的内置数字显示、Thread连接及本地集成示例，并说明设备已通过相关测试认证；合作方承诺长期支持与固件更新。
推荐理由：Sensereo加入计划并带来Matter烟雾与CO警报器，文章明确说明其本地控制、认证测试和长期支持承诺，适合评估Home Assistant生态中的设备选择与集成条件。
Google Research Blog精选AI 评分6666 Google提出结合密码协议与TEE的零信任私人分析方案
Google提出一种面向私人分析的新型安全聚合方案，将单次消息的密码协议与可信执行环境结合，用于在保护原始设备数据的同时获取汇总洞察。Google表示，该方案已用于评估AI系统在Pixel Recorder中的表现，Android SafetyCore也将利用相关指标改进分类器，同时保持用户内容仅留在设备上。
推荐理由：文章说明了零信任聚合如何结合新型密码协议与TEE，并说明其在SafetyCore中的具体评估用途，便于团队理解大设备规模隐私分析与安全设计的取舍。
Kubernetes Blog精选AI 评分7777 Kubernetes SRC 更正仍未修复的 Kubernetes CVE 记录
Kubernetes SRC 已于2026年6月1日更正 CVE-2020-8554、CVE-2020-8561、CVE-2020-8562 和 CVE-2021-25740 的记录，以准确反映未修复状态及受影响版本。项目组说明，部分旧记录曾错误标注存在修复版本，更正后漏洞可能出现在扫描结果中，并给出日志级别、DNS 缓存与 RBAC 配置等缓解措施。
推荐理由：更正CVE状态可减少扫描漏报，并为管理员核查配置缓解、评估持久架构风险提供准确依据。
Linux Mint Blog精选AI 评分6464 Linux Mint 公布下一版本桌面改进与 Xreader 安全修复
Linux Mint 计划在圣诞节发布的下一版本中改进 Nemo 导航与筛选搜索，并为 Cinnamon 增加截图工具、可拖动对话框以及 WPA3、OWE 支持。Xreader 的严重漏洞 CVE-2026-46529 已分别在 4.6.4 和 3.6.7 版本修复；Linux Mint 同时警告不要从冒充 FOSS 项目的网站下载应用。
推荐理由：集中披露桌面组件改进、无线协议支持与高危漏洞修复，并提醒用户从可信渠道获取软件，兼顾升级规划与安全处置。
selfh.stAI 评分5353 Self-Host Weekly：汇总 2026 年 5 月 22 日自托管社区动态
Self-Host Weekly 汇总了 Plex 终身版价格调整、GitHub 约 3,800 个内部仓库遭恶意 VS Code 扩展入侵，以及 Proxmox PVE 9.2 发布等动态。内容还收录了自托管软件、容器管理、家庭实验室、AI 本地部署和命令行技巧等链接。