跳到正文
今天10月14日10月13日更早
2026 年 10 月 15 日 · 星期四每天 08:00 出刊

AI 日报 · 2026 年 10 月 15 日 · 星期四

ITHOT

第 20 期152026 年 10 月星期四
31件大事20个来源19件一手发布约 13 分钟读完
头条

Linux vhost漏洞可致虚拟机攻击宿主机

Linux vhost子系统漏洞CVE-2026-74580可导致本地用户提权，并在特定虚拟化配置下允许虚拟机越界写入宿主机QEMU进程，修复版本已公布。微软同日发布创纪录的1413项漏洞补丁，Windows Shell命令注入漏洞已被利用。

01

产品与发布

AWS News Blog一手

Amazon S3 现已在 Vercel Marketplace 和 v0 by Vercel 上可用

Amazon S3（包括 Amazon S3 Tables 和 Amazon S3 Vectors）现已在 Vercel Marketplace 和 v0 by Vercel 上原生提供。开发者可直接创建并连接存储资源，使用 OIDC 获取临时凭证，并按标准 Amazon S3 价格付费；相关服务支持 Vercel 支持的商业 AWS 区域。

原文
Google Research Blog一手

Google Research 公开发布 Deep Review 技术文档审查系统

Google Research 公开发布代理式 AI 系统 Deep Review，用于复杂技术文档的反馈与验证，最初面向计算机科学论文，现已扩展至法律、金融等领域。系统采用文档分段、自适应计算预算、并行验证和全局综合四阶段流程；全球用户每周可免费审查两份文档，并可通过 Gemini API key 使用 Deep Review API。

原文
Cloudflare Blog一手

Cloudflare Hyperdrive MySQL 正式可用并修复缓存响应异常

Cloudflare Hyperdrive 的 MySQL 支持已达到 GA，并通过 20 项缺陷修复提升可靠性。文章分析了一个约 0.001% 概率出现的缓存响应异常：当 Client 与 Endpoint 共享缓存时，MySQL 能力标志差异可能导致空结果或挂起；统一按 Hyperdrive 能力缓存规范化结果后，Client 连接成功率达到 99.99%。

原文
Hugging Face Blog一手

HiRO-ACEv2以3公里分辨率模拟全球极端天气

HiRO-ACEv2可生成全球3公里分辨率的气候数据，并以约为X-SHiELD三百分之一的成本运行。新版下尺度模型HiROv2可同时预测高分辨率降水、风和气压，在百万分之一的罕见事件中与目标模拟的高分辨率统计误差控制在3%以内。其10年模拟覆盖飓风等极端事件，但目前仅适用于与X-SHiELD匹配的ACE版本，尚不能生成其他气候条件下的高分辨率数据。

原文
Google DeepMind Blog一手

Google DeepMind与新加坡政府合作构建设备端诈骗检测模型

Google DeepMind与新加坡GovTech合作，基于本地诈骗对话微调轻量级Gemma模型，开发可在新加坡常见智能手机上运行的设备端诈骗检测模型。该模型通过轻量分类器和上下文评估识别操纵性对话，并在设备上触发实时警示，以适配端到端加密消息无法由服务器检查的限制。项目在GovTech管理的GCP环境微调，训练数据排除了私人及个人身份信息。

原文
Google Research Blog一手

Google Research 在 Research@ 2026 展示十项研究进展

Google Research 在 Mountain View 举行的 Research@ 2026 展示十项研究进展，覆盖 Google Earth AI、多智能体科研工具、Deep Review、边缘 AI 芯片、MedGemma、AMIE 和灾害预测等方向。部分项目已向公众或 Cloud BigQuery 用户开放，另一些功能仍处于早期访问、预告或研究探索阶段。

原文
02

更新与维护

The Hacker News

Linux vhost漏洞可导致本地提权并攻击宿主机，修复版本已公布

Linux vhost子系统漏洞CVE-2026-74580（Vghost）可让本地用户读写内核内存并获得root，在特定虚拟化配置下还可由虚拟机越界写入宿主机QEMU进程。Tencent Zhuque Lab称其已发布修复；受影响内核为4.11至7.2-rc4，修复方式是安装包含提交de845981da67的内核并重启，修复前应限制vhost设备节点访问权限。

原文
The Hacker News

CISA要求立即更新Ivanti Connect Secure以应对CVE-2026-104935利用活动

CISA要求组织立即将Ivanti Connect Secure更新至最新版本，因CVE-2026-104935可被远程未认证攻击者利用执行任意命令。该漏洞影响ICS 25.1.1.1及更早版本、25.1.2.2及更早版本和22.8R2.4及更早版本，CISA已将其加入KEV目录，并要求联邦文职机构在2026年10月16日前完成修复。

原文
The Hacker News

curl修复HTTP/2上传导致的客户端代码执行漏洞

curl修复了HTTP/2上传处理中的use-after-free漏洞CVE-2026-92392，受影响的是curl和libcurl 8.12.0至8.22.0。恶意服务器可在特定上传与内存布局条件下触发客户端代码执行，但最可能的结果是崩溃；项目建议升级至8.23.0，暂不能更新时改用HTTP/1.1。

原文
BleepingComputer

Ledger要求亚洲多地经销商停售并撤下被篡改的硬件钱包

Ledger要求东南亚及香港经销商停止销售并撤下相关硬件钱包，原因是调查发现部分从CryptoBilis购入的设备被植入可窃取恢复短语并通过LTE传输的组件。Ledger称已确认的资金损失均涉及CryptoBilis销售的设备，但其他亚洲和欧洲卖家也有用户报告设备被篡改；Trezor则宣布收紧经销商网络，未发现其设备被攻破的证据。

原文
Ubuntu Blog一手

Ubuntu 发布 curl 22 个安全漏洞修复，涵盖 CVE-2026-92392

Ubuntu 已发布更新，修复 curl 命令行工具和 libcurl 涉及的 22 个安全漏洞，相关公告为 USN-8927-1 和 USN-8932-1。CVE-2026-92392 被 Ubuntu 安全团队评为 CVSS 3.1 8.1 分，仅影响 Ubuntu 26.04 LTS；成功利用需要恶意服务器且利用条件复杂。

原文
SecurityWeek

Adobe修复11款产品中的176项漏洞，正文称10份公告涵盖约140项漏洞

Adobe修复11款产品中的176项漏洞，正文称此次10份安全公告涉及约140项漏洞。ColdFusion修复32项，Content Credentials SDK修复30项，Photoshop修复18项；Adobe称尚不清楚这些漏洞是否遭到在野利用。Commerce是唯一获得优先级2评级的产品，Adobe还将安全公告改为每月第二和第四个星期二各发布一次。

原文
03

实践与教程

Go Blog一手

Go 1.27 改进 HTTP/1 连接复用

Go 1.27 的 net/http.Transport 会在异步排空未读取的 HTTP/1 响应体，最多处理 50 毫秒或 256 KB，并跳过明确带有 Connection: close 的响应。官方建议不再需要响应体时直接关闭，由 net/http 处理连接复用细节。

原文
Docker Blog一手

Docker 分析 AI 智能体自主执行的安全风险与防护方法

Docker 建议通过隔离和治理限制 AI 智能体自主行动造成的影响。文章列出提示注入、工具误用与投毒、过度自治、凭据暴露和数据外泄等风险，并提出一次性 microVM、运行时限定工具、短期凭据、网络出口白名单和不可信智能体间输入等控制方式。

原文
04

评测与选型

Framework Blog一手

Framework Laptop 12评测上线，新机本周晚些时候开始发货

采用 Intel Core Series 3 的 Framework Laptop 12 评测已陆续发布，这款可维修、可升级的二合一设备计划于本周晚些时候开始发货。当前批次预购仍开放，现有批次将于11月出货；因 Core Series 3 与 BE213 Wi-Fi 7 模块较新，官方建议使用 kernel 7.1 或更新版本的发行版。

原文
05

组织与行业

The Verge

Character.AI申请Chapter 11破产保护，纽约州总检察长等40名州检察长关注用户数据处置

Character.AI宣布申请Chapter 11破产保护并向Disney出售部分资产，40名两党州总检察长已提交利益声明，关注资产出售或转移中的消费者数据保护。州检察长称调查涉及儿童安全、年龄核验、敏感内容及州隐私法问题，并敦促法院要求资产购买方采取防护措施，包括限制未成年人使用、设置危机防护和允许用户删除数据。

原文
Tom’s Hardware

Ledger将在9300万美元加密货币硬件钱包供应链攻击后审查销售与防拆政策

Ledger将在供应链攻击导致用户损失约9300万美元后，审查直营及经销商销售渠道、设备防篡改保护与供应链追踪要求。报道称，攻击者把带有蜂窝/LTE模块的未授权硬件植入受影响设备，绕过Genuine Check并经网络传出用户的24词恢复助记词；Ledger称内部基础设施、固件和直营渠道未被攻破，并建议第三方渠道购机用户先将资金转入使用新生成、未受影响恢复助记词的独立钱包。

原文
NVIDIA Blog一手

NVIDIA宣布计划投资五家英国初创企业

NVIDIA宣布计划投资Boltz、Foresight、Hiverge、Prima Mente和Riverlane，以支持生物分子预测、基础设施风险分析、自动算法设计、生物基础模型及量子纠错等工作。NVIDIA还将落实为期五年、2.5亿美元的算力承诺，加强英国agentic safety与security研究，并与Earthshot Prize合作。

原文
Cloudflare Blog一手

Yandex 网络中断分析：恶意机器人转向其他托管服务而非停止

Cloudflare 分析 Yandex Search 和 Yandex.Cloud 在数据中心受袭后的流量变化，认为搜索爬虫活动下降，但高流量恶意自动化转移到其他俄罗斯托管服务。Yandex.Cloud 的部分扫描和探测流量下降后，其他托管服务出现相同 JA4 指纹、请求路径和 User-Agent，相关文章未发现社交媒体操纵流量因此明显中断。

原文
06

技术研究与历史

Microsoft Security Blog一手

Microsoft揭示Storm-3119与Storm-2990钓鱼基础设施生态

Microsoft揭示了Storm-3119与Storm-2990组成的中文钓鱼基础设施生态，涵盖基础设施交易商、钓鱼工具开发者及其下游攻击者。微软称，自2026年1月以来，相关工具已促成发送超过10亿封钓鱼邮件和短信，影响全球超过7.5万家组织。

原文
JetBrains Blog一手

静态分析与 AI 如何共同保障游戏代码质量

JetBrains Qodana 团队建议将静态分析用于确定性、可追溯的基础代码检查，再由 AI 处理逻辑问题、重构等复杂任务。文中还介绍了在 GitHub Actions 中配置 Qodana、使用 Baseline 管理问题，以及通过 IDE Hooks 让 Rider 代理执行格式化、linting 和问题修复。

原文
07

活动与社区

Tom’s Hardware

AnitaB.org因资金不足取消原定两周后举行的Grace Hopper Celebration

AnitaB.org因个人注册和赞助承诺低于预期、不足以覆盖运营成本，取消原定于10月27日至30日在Anaheim举行的Gracehopper Celebration。活动方将联系参会者处理已缴费用，但退款及旅行住宿安排截至报道时仍未明确。AnitaB.org正考虑战略替代方案，并计划继续可能的职业交流活动。

原文
08

快讯

（本期完）

ITHOT 日报由编辑系统根据公开来源自动编辑，每条均附原文 · 日报合订本