2026-11-09周一 今天

国产开源报表项目公布漏洞清零进展，推荐升级到 2.5.6.1

国产开源报表项目积木报表（JimuReport）与积木 BI 公布「漏洞清零计划」进展：9 月 11 日至 11 月 3 日共修复 32 个安全漏洞、加固 5 项，已知安全公告待处理数归零，推荐升级到 2.5.6.1 与 JeecgBoot 3.9.6。这类项目在企业内网部署量很大，公告等于一份可执行的升级清单。更值得参照的是它把「清零」做成了公开承诺和版本收敛动作，这是国产开源项目做安全治理的少见样本。

一度火热的 AI 世界模型赛道开始被资本冷落

量子位报道称，此前被资本追捧的「世界模型」赛道正在退潮。世界模型指用 AI 模拟物理世界规律，主要给机器人和自动驾驶做训练环境，是过去一年融资和估值涨得最快的方向之一。这和同期海外媒体「世界模型将无处不在」的论调形成对照：技术叙事跑得比落地快。值得关注的是，融资收紧后哪些团队会转向开源发布来维持声量和用户。

从 Claude Code 团队离职的工程师首次受访，谈人才集中

InfoQ 采访了一位从 Claude Code 团队离职的工程师，谈顶尖 AI 实验室为什么像「人才黑洞」——少数几家机构吸走大部分一线工程人才，内部实践也很少流到外面。对开源社区的直接影响是：当前最强的 AI 工程经验越来越封闭，开源模型和工具与闭源前沿的相对差距可能被拉大。反过来说，这也解释了为什么社区对开源权重的模型发布如此敏感。

按难度自动切换贵便宜模型，省下的钱可能不够赔

InfoQ 的文章讨论 AI 应用的模型路由做法——按任务难度自动选贵的或便宜的模型，到底能不能省钱。结论是账要算总账：便宜模型出错后，人来修一小时的代价，往往超过当初省下的调用费。对做 AI 产品的团队这是很直接的决策依据，也说明成本优化不能只看单次调用价格，还得看错误率和返工成本。

企业部署了一堆 AI 代理，业务流程却没真正围绕 AI 改造

InfoQ 中文的文章讨论一个常见现象：企业内部的 AI Agent 数量越来越多，却仍然算不上「AI Native」。AI Native 的意思不是加个聊天框，而是业务流程、数据和权限都围绕 AI 重新设计。文章指出的问题在于，如果底层的数据资产和流程没改造，Agent 只是外挂工具，用不起来也留不下。这对正在做内部 AI 落地的团队是一份有用的自查清单。

研究称 LG 电视待机时扫描家庭网络并收集音频，消费者组织提诉

今年 9 月有研究指出，LG 智能电视在屏幕关闭但未断电的待机状态下会扫描家庭网络、寻找手机和智能手表，还会记录麦克风音频，并把邻近 Wi-Fi 名称、信号强度和位置数据发到 LG 的广告部门；LG 予以否认。葡萄牙消费者组织已就此启动程序。这类事件是开源电视固件和家庭网络隔离方案存在的现实理由，也是社区里长期有讨论度的隐私话题。

分析 AI 视频生成背后的返工与成本难题

InfoQ 中文的文章拆解了 AI 视频生成为什么到现在还像「抽卡」：一条能用的片子往往要反复生成很多次，返工和算力成本都压在制作方身上。这不是模型能力单点的问题，而是可控性、一致性和成本三件事没有同时解决。对内容团队来说，这解释了为什么 AI 视频目前更多用在素材和分镜而不是成片，也解释了为什么不少团队选择用开源模型自己微调。

C++ 核心人物提交提案，讨论语言设计者与标准委员会意见相左时怎么办

这份编号 P4454R0 的提案由长期主持 C++ 标准工作的 Herb Sutter 提交，讨论当语言的创造者与标准的所有者（ISO 委员会）严重不合时，该走什么程序。背景是 C++ 近年围绕内存安全要不要大改吵得很凶，路线之争已经上升到治理层面。对开源社区的意义在于，C 和 C++ 是绝大多数基础设施项目的底座，上游决策机制一旦失灵，下游所有项目都得跟着承担后果。

英伟达启动调查，CEO 承认婚外情并向全员发出备忘录

英伟达宣布对 CEO 黄仁勋与 Megaspeed 高管 Alice Huang 的关系展开调查，后者据报被中国国安部门招募；黄在给全公司的备忘录中承认存在婚外情，备忘录全文也已公开。多家媒体同日跟进，公司治理与合规风险第一次被摆到台面上。对从业者来说，这是当前 AI 算力供应链上最大的不确定性——出口管制、客户审查和芯片供应政策都可能被这件事牵动。

新代码托管平台 Entire 认为传统 PR 流程不适合 AI 代理

InfoQ 报道了 Entire，一个专为人类开发者与 AI 编码代理协作而设计的代码托管平台，它的前提是传统 pull request 那套评审流程不适合由代理大量提交代码的场景。代码托管平台（Git forge）就是 GitHub、GitLab 这类东西。如果代理真的成为主要提交者，代码评审、权限边界和审计记录都得重做，这是开源协作基础设施可能发生的一次结构性变化。

CNCF 项目 Lima 更新，Windows 上不再需要额外依赖

CNCF 旗下的 Lima 发布 v2.3，在 Windows 上通过系统自带的 Host Compute System 启动虚拟机、不再需要额外依赖，Linux 侧加入 VMnet 支持，还新增了菜单式终端界面。Lima 是开发者在 Mac 和 Windows 上跑 Linux 虚拟机的常用工具，很多人靠它在本地起 Kubernetes 和容器。这次更新意味着跨平台本地开发环境进一步统一，新同事配环境的门槛又低了一点。

内核修正 Spectre 类 BHI 漏洞的缓解方案选择错误

Linux 内核的一批 x86 修复赶在 7.4-rc2 发布前送出，修正了针对 BHI（分支历史注入）漏洞的缓解措施被错误选择的问题。BHI 是 Spectre 这一类侧信道攻击的变种，能跨安全边界把数据偷出来；缓解方案选错，等于机器看起来打了补丁、实际没防住。用 7.4-rc 系列内核的团队、以及跟进上游的发行版和云厂商，应该尽快确认自己的构建是否受影响。

中国芯片创业公司首次向内核提交网络驱动补丁

2021 年成立的中国芯片公司云脉芯联（Yunsilicon）正在把高性能网络适配器和 DPU 的 Linux 驱动上游进内核，过去一个月首次向社区提交补丁。DPU 是专门跑网络和存储任务的加速芯片。国内硬件厂商过去常只发闭源驱动、让用户自己打补丁，走「先上游」这条路意味着产品能被主流发行版直接支持，对其他国产芯片公司是可参照的做法。

技术文章声称某品牌汽车可被远程解锁，属车联网安全问题

一篇技术文章声称，某品牌的任意一辆汽车在世界大部分地区都能被解锁，属于车联网安全范畴的披露。候选摘要没给出更多细节，但从标题判断，问题很可能出在远程控制或数字钥匙的鉴权环节。对做 IoT 与车联网的团队，这类事件的警示是设备端接口鉴权和密钥管理往往比功能本身更容易出事；对社区运营来说，「你的车可能被别人打开」这种选题的传播力也很强。

开源项目 SafeScript 给 JS 加沙箱，用来跑不可信代码

开发者开源了 SafeScript，一个给 JavaScript 加上安全边界的版本，目标是在里面执行不可信的代码而不让它碰到宿主环境。JavaScript 本身没有可靠的权限隔离，跑别人写的脚本风险很大。随着 AI 代理开始自动生成并执行代码、插件生态又越来越开放，这种沙箱的需求会快速上升，做 Agent 平台的团队值得先看一眼。

浏览器里跑的开源三维建模工具，对标商业软件 SketchUp

KetchUp 是一个开源的 SketchUp 替代品，用 Rust 加 WebGPU 编写，直接在浏览器里运行。SketchUp 是建筑和室内设计领域常用的三维建模软件，长期只有商业版本。WebGPU 让浏览器具备接近原生的图形性能，这是「用网页替代桌面专业软件」这条路线上的又一个例子，也给做 CAD、建模类工具的开发者提供了一个可读的开源实现。

彭博称苹果高层施压，要求 Siri 尽快追上对手的代理能力

彭博的 Mark Gurman 报道，苹果 CEO 正在向 AI 负责人施压，要求加快 Siri 的路线图，做出能对标 OpenAI、Meta 同类产品的 AI 代理。Siri 在生成式 AI 这一轮里被普遍认为掉队，而语音助手是手机系统里最自然的代理入口。对开发者来说，如果系统级代理真的落地，App 的接入方式和分发逻辑都会跟着变，值得提前关注。

又一波版权诉讼指向 AI 音乐生成，涉及声音克隆

猫王普雷斯利的音乐版权管理方，以及 Eminem 部分代表作的出版方，起诉 AI 音乐公司 Suno，称其未经授权克隆了艺人的声音和作品。Suno 此前已被多家唱片公司起诉，这类案件正在一点点划定 AI 生成内容的边界。判例结果不仅决定音乐行业的规则，也会影响开源模型训练数据的合规判断——训练数据从哪来、能不能用，本质是同一类问题。

内核 7.4 第二个候选版本发布，进入稳定化阶段

Linus Torvalds 发布了 Linux 7.4 的第二个候选版本，包含 FAT32 优化、AMDGPU 的 HDMI 2.2 改进以及合入窗口之后的一批修复。候选版本（rc）是正式版之前的测试版，说明功能已经冻结、开始收 bug。这一轮内核更新里 AI 相关硬件支持是重点，做发行版、驱动和云镜像的团队可以开始安排兼容性测试了。

AMD 处理器上的本地 AI 加速单元继续往内核上游推进

面向 Linux 7.5 的图形驱动队列里已经出现第三批针对 AMD AIE4 的补丁，为 Ryzen AI 处理器上的 NPU（神经网络处理单元）增加支持。NPU 是专门跑本地 AI 推理的芯片模块，驱动能不能进内核，直接决定 Linux 用户能不能用上它。这条对做端侧 AI 和 Linux 桌面的人有意义：AMD 在把本地推理能力一点点补进上游，而不是只靠闭源驱动。

Cloudflare 重构 D1 控制面，避免中心瓶颈，加入重试机制

Cloudflare 公开了 D1 这个无服务器 SQL 数据库控制面的重构方案，目标是支撑数百万个数据库实例，做法是去掉集中式瓶颈并加上重试机制。控制面是负责创建、路由和管理数据库的那一层，不是存数据本身，它往往是 Serverless 产品真正的天花板。这套规模化经验对自建多租户平台的团队有直接参考价值。

一篇热传文章给出反方论据：需求侧是真实的

一篇在 Hacker News 上热传的文章认为「AI 泡沫」这个判断站不住脚，理由主要是需求侧的收入增长与资本开支仍在同步上升，而不是纯靠估值讲故事。这是一篇观点文章，价值不在于结论，而在于它把反方论据摆得比较清楚。可以配合今天「资本撤离世界模型」那条一起看：整体需求或许是真的，但具体赛道已经在分化。