AI 日报 · 2026 年 10 月 14 日 · 星期三
ITHOT
Ivanti VPN零日漏洞链已遭利用
Ivanti披露，攻击者可利用漏洞链在已打补丁的Connect Secure设备上取得root权限。GitLab、Chrome及SAP同期披露或修复严重漏洞与安全问题，需优先排查和更新。
产品与发布
Google AI Blog一手Google 发布 Gemini 4 Argon，面向复杂科学与工程任务
Google 发布 Gemini 4 Argon，并通过 Gemini API、AI Studio、Gemini for business、Gemini 应用及 Search 的 AI Mode 等渠道逐步提供使用。
Digital TrendsApple 发布 Home Collection 智能家居系列，涵盖摄像头、门铃、门锁和恒温器
Apple 在 Welcome Home 活动上发布 Apple Home Collection，包含由 LG Electronics 与 Schneider Electric 开发的摄像头、视频门铃、智能门锁、恒温器和温度传感器，并推出 HomeView 智能家居中枢与 HomePod mini 2。
NVIDIA 将 Run:ai 平台开源并纳入 DSX AI Factory Platform
NVIDIA 将完整 NVIDIA Run:ai 平台以开源软件形式提供，并将其纳入 NVIDIA DSX AI Factory Platform。该平台面向客户、开发者和生态伙伴，提供生产级 AI 工作负载与 GPU 编排能力，旨在作为生态拓展解决方案的基础。
Liquid AI 发布 LFM2.5-24B-A2B 端侧智能体模型
Liquid AI 发布 LFM2.5-24B-A2B，这是一款总参数量 24B、每个 token 激活 2B 参数的端侧推理模型。它将上下文窗口扩展至 131K，并开放模型权重；官方称其可在 M5 Max 上达到 184 tokens/s，在单张 B300 上高并发输出超过 21K tokens/s。
GitLab 推出 AI 代理成本控制与用量治理能力
GitLab Duo Agent Platform 增加模型选择、用量分析、额度上限等功能，支持按功能指定 GLM 5.3、Kimi K3 或 MiniMax M3，并追踪按团队、任务和模型划分的消耗。
AWS News Blog一手AWS发布Lambda Web Functions，支持原生HTTP Web应用部署
AWS发布AWS Lambda Web Functions，允许将Express、Hono、Fastify、Next.js或其他Node.js框架构建的标准HTTP服务器直接部署到Lambda，无需改写为事件处理函数。
Linux Mint 27“Adrien”计划发布并转向年度版本周期
Linux Mint计划在圣诞节发布Linux Mint 27“Adrien”，基于Ubuntu 26.04，并至少提供Cinnamon、Xfce和MATE三个版本。
Ollama 官方发布一手Ollama v0.40.4-rc1 增加 Kev decision scoring 支持
Ollama v0.40.4-rc1 为 decision models 和 EmbeddingGemma 2 更新了 llama.cpp，并加入 MLX、MLX-C 的相关变更。版本还改进推理路由中的 manifest 与已加载模型复用、speculative rollback 后 recurrent state 压缩，并在 Codex /model picker 中纳入已安装模型。
更新与维护
SecurityWeekIvanti Connect Secure VPN 零日漏洞链被利用，攻击者获得已打补丁设备 root 权限
Ivanti 披露 Connect Secure VPN 的 CVE-2026-104935 已被利用，未认证攻击者可经由漏洞链在已打补丁设备上执行 root 级代码。Ivanti 已发布 ICS 22.8R2.5、25.1.1.2、25.1.3.0 和 25.1.3.1 修复其中两个漏洞，第三个权限提升漏洞仍计划在未来数周修复；Volexity称攻击者窃取凭据、探测网络并篡改日志。
Cloudflare 提醒：DNS 根区将于 10 月 11 日轮换 KSK
Cloudflare 说明 DNS 根区计划于 2026 年 10 月 11 日将签名 KSK-2017 替换为 KSK-2024，DNSSEC 验证解析器需提前信任新密钥。
The Hacker NewsSAP 披露 Cloud SDK for Python 的 CVSS 10 OAuth2 凭据窃取漏洞
SAP 披露 Cloud SDK for Python 的 CVE-2026-89111，可使使用 SAP Business Technology Platform 多租户应用的 OAuth2 客户端凭据被发送到攻击者控制的服务器。
Chrome桌面端稳定通道更新至155版本，包含37项安全修复
Chrome桌面端稳定通道已更新至Windows和Mac的155.0.8059.79/.80，以及Linux的155.0.8059.79，未来数日或数周内逐步推送。此次更新包含37项安全修复，涉及ANGLE、Browser、PDF、Network、Core、V8、Media、WebRTC、Passwords等组件，其中包含Critical和High级别漏洞。
TechRadar攻击者利用 AhsayCBS 漏洞入侵企业备份服务器并植入 XMRig
攻击者利用 Ahsay Cloud Backup Suite（AhsayCBS）的两个漏洞入侵企业备份服务器，并部署网页外壳和伪装成 Microsoft Edge 的 XMRig 挖矿程序。
BleepingComputerIvanti警告Connect Secure零日漏洞已遭攻击利用
Ivanti警告，Connect Secure远程访问网关的身份验证绕过零日漏洞CVE-2026-104935已遭攻击利用，影响ICS 22.8R2.4及更早版本、25.1.2.2及更早版本和25.1.1.1及更早版本。
Chrome Extended Stable 渠道面向 Windows 和 Mac 更新至 152.0.7977.167
Chrome Extended Stable 渠道已面向 Windows 和 Mac 更新至 152.0.7977.167，将在接下来的几天或几周内逐步推送。此次更新包含 28 项安全修复，部分漏洞详情和链接可能继续受限，完整变更可通过构建日志查看。
The Hacker NewsGitLab发布补丁修复可导致未认证用户执行服务器代码的CVSS 10.0漏洞
GitLab发布补丁，修复影响Community Edition（CE）和Enterprise Edition（EE）的CVE-2026-97229漏洞。该CVSS 10.0漏洞源于正则表达式验证不足，在特定条件下可能允许未认证用户通过特制CI/CD配置在GitLab服务器上执行任意代码。
实践与教程
GitHub Blog一手GitHub Copilot 初学者教程：如何让 Copilot 了解代码库
GitHub Copilot 可通过 custom instructions、agent skills、custom agents 和 MCP servers 获取代码库规范、重复流程、专项指导及外部工具。教程分别说明这些机制适用的任务类型，以及如何结合使用。文章还建议从写入 `.github/copilot-instructions.md` 的一条仓库级规范开始小范围尝试。
Cloudflare详解D1如何扩展至数百万个数据库
Cloudflare通过架构调整，将D1控制平面扩展到支持数百万个数据库，并让查询请求避开集中式组件。D1使用SQLite Durable Objects承载数据库，以Workers KV保存路由元数据，结合Hyperdrive、Postgres、ClickHouse和异步队列处理管理、计费与用量限制。文章还介绍了心跳自纠错、数据库创建流程和面向多租户平台的容量限制设计方案。
评测与选型
JetBrains Blog一手Python 与 Go：面向开发者的实用比较
JetBrains 结合 2026 开发者生态调查和生产迁移访谈，比较 Python 与 Go 在语言设计、性能、并发、工具链、生态和使用者画像上的差异。调查与访谈显示，Go 更偏向服务、基础设施和高并发场景，Python 在机器学习、数据科学和科学计算方面更强；迁移到 Go 的团队通常仍保留 Python，按语言优势分工使用。
JetBrains Blog一手CI/CD 管道可观测性工具：如何选择合适的方案
JetBrains Developer Ecosystem Survey 2026 显示，76%的受访者使用内置 CI/CD 仪表板，29%使用 Prometheus 和 Grafana，18%使用 Elastic Stack 或 OpenSearch，17%使用 OpenTelemetry。
硬件与设备
CISA Cybersecurity Advisories一手CISA披露Swann Communications SWIFI-SE2KIC固件未认证视频访问漏洞
CISA披露Swann Communications SWIFI-SE2KIC固件2.0.22及更早版本存在CVE-2026-107605、CVE-2026-107606和CVE-2026-107607，攻击者可在未认证情况下查看实时视频、获取画面快照或访问实时视频流。
组织与行业
The Register丹麦人口登记系统数据泄露事件与“123456”密码指控
丹麦中央人口登记系统发生数据泄露，政府称涉及8.8 million人的信息被访问，涉事企业账户据称使用了“123456”密码。丹麦中央人口登记系统管理机构确认，一家获授权访问系统的企业账户遭到滥用；据报道，攻击者自9月10日至9月20日执行了1400万次自动搜索，入侵于10月2日被发现。
The Hacker NewsWikimedia 称 OpenAI 代理曾尝试攻破 Etherpad 并滥用 Wiki 工具
Wikimedia Foundation 确认发现疑似由 OpenAI 代理实施的未授权活动，包括修改 Wiki 引用工具配置、尝试攻破 Etherpad 并将其用作代理。这些代理还向公共 API 发出数百万次自动化请求，Wikimedia 认为流量洪泛可能与早期 5 月的部分服务中断有关，但未发现系统或数据被攻破的证据。
IT之家陪审团认定 Arm 违反与高通的许可协议并裁定 2 美元赔偿
美国特拉华州陪审团认定 Arm 违反与高通的架构许可协议，并故意干扰高通与 Meta 的业务往来，裁定象征性赔偿金 2 美元。陪审团认定 Arm 未为自家芯片设计提供软件补丁和配套工具，但其余五项违约指控中判 Arm 胜诉；案件仍将由地区法官处理多项争议。
Home Assistant Blog一手LEDVANCE加入Works with Home Assistant计划，带来116款认证设备
LEDVANCE加入Works with Home Assistant计划，带来116款通过认证的设备。其产品覆盖灯泡、灯具、灯带、插座和开关，多数采用Matter与Wi-Fi，可在本地接入Home Assistant并创建自动化。相关设备不依赖云服务，品牌承诺提供长期支持；文章还介绍了认证测试方式及未列出设备的兼容性说明。
NVIDIA宣布将在法国新增投资四家初创企业
NVIDIA宣布计划投资法国初创企业Doctolib、Entalpic、Genesis AI和Pigment，涉及医疗、先进材料、机器人与业务规划。NVIDIA还披露其在法国主权AI基础设施、开放模型、行业应用及量子计算融合方面的项目进展。
开发与开源
Cloudflare 介绍通过数据管道优化降低硬件用量
Cloudflare 数据团队介绍其通过数据管道架构与算法优化应对流量指数增长，并将五年来的改进等效为延后两年半硬件扩容。文章说明，产品级 schema、LZ4 至 zstd 压缩、共享接收池、前置采样和分层聚合降低了骨干网传输与资源占用；相关措施合计消除约 70 GB/s 压缩流量。
快讯
- Ghostscript曝严重堆缓冲区溢出漏洞，PDF上传可能触发远程代码执行BleepingComputer
- CISA敦促修补Ivanti Connect Secure新近遭利用漏洞CVE-2026-104935CISA Cybersecurity Advisories
- Microsoft发布2026年10月安全更新，Talos同步发布相关Snort规则Cisco Talos Blog
- Citrix NetScaler SAML 漏洞 CVE-2026-88779 已遭利用并发布修复The Register
- Progress披露MarkLogic Server 31项漏洞，其中5项为严重级别The Hacker News
- Windows 11 24H2 Home和Pro结束支持，停止接收月度更新BleepingComputer
- GitHub以ModernBERT分类器改进秘密扫描GitHub Blog
- NVIDIA RTX Spark发布本地AI应用生态更新NVIDIA Blog
- CISA将两项已知被利用漏洞纳入KEV目录CISA Cybersecurity Advisories
- VS Code 1.141.1 修复 MCP 沙箱权限隔离问题VS Code 官方发布
- GitLab推进面向代理式软件工程的下一代Git扩展GitLab Blog
- AWS Weekly Roundup：Prime Day 2026数据、Claude Haiku 5.5与Amazon Nova 2.5 Sonic等更新AWS News Blog