https://t.me/AI_News_CN
📈主流AI服务状态页通知 | 🆕汇集全网ChatGPT/AI新闻 #AI #ChatGPT
🔙备用群 https://t.me/gpt345
✨BEST AI中转 https://api.oaibest.com 2.8折起 支持OpenAI, Claude code, Gemini,Grok, Deepseek, Midjourney, 文件上传分析
Buy ads: https://telega.io/c/AI_News_CN
📈主流AI服务状态页通知 | 🆕汇集全网ChatGPT/AI新闻 #AI #ChatGPT
🔙备用群 https://t.me/gpt345
✨BEST AI中转 https://api.oaibest.com 2.8折起 支持OpenAI, Claude code, Gemini,Grok, Deepseek, Midjourney, 文件上传分析
Buy ads: https://telega.io/c/AI_News_CN
在花🎗️科技圈:
研究称六款中国 AI 模型留下 Blackwell 芯片指纹 Unemployment Labs 发布分析称，DeepSeek、月之暗面、MiniMax 和蚂蚁集团的六款模型权重，显示其初始参数与英伟达 Blackwell 芯片的计算布局相符。研究者称，相关匹配来自公开模型权重分析；DeepSeek-V4-Flash 的结果在 B300 实机上得到复现，Kimi K3 的结果也在 GB200 上获得高度相关匹配。 分析指出，这些指纹支持模型在 Blackwell 硬件上初始化，并推测相关芯片也参与训练…
美团开源 LongCat-2.5 称其未使用英伟达 GPU 训练
美团旗下的 LongCat 团队在模型正式发布一周后，公布了 LongCat-2.5 的权重。该模型专为能够自主完成冗长、多步骤任务（尤其是编程任务）的智能体而设计。
官方称其训练全程使用中国芯片（华为昇腾加速卡），未使用英伟达 GPU。模型每个 token 激活约 480 亿参数，支持文本、图像和视频输入，权重以 MIT 许可证发布，可商用。在 Terminal Bench v2.1 上得分 88.4，略低于 Claude Opus 5 的 89.1。
The Decoder
🌸 科技圈· 茶馆 · 投稿
via 在花🎗️科技圈 - Telegram Channel
国际版 WorkBuddy 宣布 Gemini 4 Carbon 已上线，供 Pro 计划用户使用。该模型主打更深入的推理和更长任务处理。
WorkBuddy(@WorkBuddy_AI)
🌸 科技圈· 茶馆 · 投稿
via 在花🎗️科技圈 - Telegram Channel
潜伏 20 年没人能利用的 PHP 漏洞，AI 一周做成了武器
TL;DR
10 月 21 日，PHP 发布计划外紧急安全更新，修掉核心引擎里两个潜伏超过十年的内存安全漏洞（CVE-2026-109618 / CVE-2026-109619，CVSS v4.0 评分最高 9.2，安全圈统称 PHP2Shell）。它们能让你服务器的 PHP 进程被不需要登录的攻击者直接执行任意代码，或者偷走内存里的密码、token 和 API key。PHP 驱动着全球约 70% 的网站，WordPress、Drupal、Joomla 全部中招。最有意思的是：这漏洞在代码里躺了十几年没人能稳定利用，最后是前沿 AI 模型把它变成了现实武器——同时也把它变成了能被及时修好的漏洞。NSA 的建议简单粗暴：打不上补丁的网站，先下线。
先说清楚发生了什么
10 月 21 日 13:30（UTC），PHP 一次放出四个分支的紧急更新：8.5.12、8.4.27、8.3.36、8.2.35。同一天，Wiz Research、OpenAI、PHP Foundation、安全公司 Calif 四方几乎同时发博客，NSA、CISA、英国 NCSC、加拿大网络安全中心、CERT-EU 相继发紧急公告——这个阵仗，上一次出现还是 Log4Shell。
要修的东西是两个内存安全漏洞（use-after-free，用后释放）。通俗讲：PHP 处理请求中途出错（比如内存耗尽）时会异常退出，但退出时没把"案发现场"收拾干净，给下一个请求留下了一块被污染的内存。攻击者精心构造请求，让后续请求把这堆垃圾当成有效数据用——轻则把别的用户请求里的密码、token 原样吐给你（内存泄露），重则完全控制服务器进程（远程代码执行）。
这里需要澄清一个容易误读的点：漏洞不在 WordPress 也不在你的应用代码里，而在 PHP 本体。Wiz 用最新镜像实测，WordPress、Drupal、Joomla 全部被打穿，哪怕你的网站只输出一句 Hello World，只要跑在受影响版本的 PHP 上就一样危险。WordPress 官方也专门发声明澄清了这一点，让站长去催自己的主机商。
漏洞躺了十几年，为什么现在才爆？
这是整个事件最值得琢磨的部分。
这两组漏洞的根因可以追溯到 PHP 十多年前的架构决策，PHP 5.4 之后的每个版本至少命中其一。换句话说，它们不是"新出现的漏洞"，而是"一直都在、只是没人打得动"的漏洞。构造一个能在真实服务器上稳定工作的利用链，要串起多个小漏洞、适配不同 PHP 版本的内存布局、跨配置调试——这种活儿以前只有世界级研究团队愿意碰，一做就是几个月。
AI 把这笔账改写了。Wiz 的研究员配合 Wiz Atlas、谷歌的 Gemini 4 Argon 和 OpenAI 的 GPT-5.6 Sol，一名研究员用一周时间走完了过去一个团队数月的路：8 月 19 日发现漏洞，8 月 20 日在 Drupal 上验证未认证 RCE，8 月 21 日打穿 WordPress。Gemini 安全负责人 Raluca Ada Popa 罕见地公开为 Argon 的贡献背书。
无独有偶，几乎同一时间，安全公司 Calif 在 OpenAI 的「Patch the Planet」计划里用 GPT-5.6 Sol 独立发现了其中一个漏洞。两边一对照，PHP 团队发现这两个团队报告的问题同根同源，最后合并成两个 CVE。
Wiz 在博客里把话说得很直白：过去大家默认"这个漏洞太复杂，短期内没人能利用"就是安全垫，现在这层垫子没了——LLM 能快速把利用代码适配到不同版本、不同配置、不同内存布局上，复杂度本身不再构成安全屏障。哪些"理论风险"要当真，评价标准得重写。
修复与响应：一场两小时的全球动员
时间线值得看一眼，因为它展示了 AI 时代漏洞响应的新形态：
● 8 月 19 日：Wiz 用 AI 工具链发现首个漏洞；8 月 24 日报告 PHP 安全团队。
● 9 月 21 日：PHP 团队确认并启动协同修复。此后两个月，OpenAI 牵头组了一个包含 PHP 维护者、安全研究员、云厂商的响应联盟。
● 10 月 20 日：CVE 编号与技术细节提前泄露（各机构公告确认了这一点），PHP 官方被迫提前预告将有紧急更新，Hacker News 当晚炸出 152 条讨论。
● 10 月 21 日 13:30 UTC：四个分支修复版同时发布；四方官方博客协同披露；NSA、CISA、NCSC、CERT-EU 同日发告警；Cloudflare、Fastly、Google Cloud、AWS、Azure、Vercel 的 WAF 缓解规则当天上线。
需要澄清的是：OpenAI 强调漏洞是研究者先于黑客发现、披露前没有野外利用报告——这一点目前没有反例，可以认为是可信的。但"提前泄露"确实把两个月协调期里最后的安全余量烧掉了，社区对此颇有微词（后面细说）。
各机构的建议按严厉程度排：CISA 说"立即打补丁"；NSA 说"打不上补丁就先下线"；对还在用 PHP 8.1 及更老版本的站点，补丁根本不存在——那些版本已经停止支持，得先升级 PHP 本身。这也是国内大量存量站点最现实的风险：老版本 PHP + 无法快速升级 = 长期暴露。托管在主流云上的可以先用云 WAF 的虚拟补丁顶一阵，自建机房没有退路。
各方怎么看
官方层面动作一致，社区层面的分歧倒是值得展开。
Hacker News 上的主讨论（404 分）里，点赞很高的批评指向披露流程：OpenAI 和安全公司"捂了两个月，自己决定谁能提前拿到修复，PoC 一上线，圈子外的用户就被晾在那儿"。批评者的意思是——既然官方临时缓解方案（针对 8.5 的 interim fix）早就能做出来，为什么不提前发？AI 把利用门槛降下来之后，两个月的静默期还是不是合理的安全预算，这笔账确实该重算。
技术社区也没闲着：有人逐行分析泄露的 PoC，认为它对 PHP 8.4 的假设可能不成立（这条尚未有权威定论，姑且存疑）；还有人发现可能存在第三个 critical CVE（PHP 官方未确认，同样存疑）。这些讨论本身说明：细节公开后，全球的研究者都在帮 PHP 查漏补缺——从防御视角看，这算坏事里的好事。
OpenAI 自己则把这当作「Patch the Planet」计划的标志性战果来宣传：AI 发现问题、AI 组织全球响应，顺带宣布了 10 亿美元的防御者补贴计划和一枚检测 PHP 版本的 Codex skill。商业叙事归商业叙事，"前沿模型既能造武器也能造疫苗"这个判断，倒是这事件里最没有争议的部分。
对开发者意味着什么
● 运维 PHP 站点的：今天就把
● 写安全工具 / 做风控的：Wiz 给了检测线索——异常的 multipart 请求紧跟内存超限错误或连续 500、异常大的 PHPSESSID cookie、无解释的 PHP worker 重启。这些信号值得进你的告警规则。
● 所有写代码的：这件事的长期影响比补丁本身大——"我们太冷门/太复杂所以没人利用"的假设失效了。存量代码里那些"理论上可利用但没人会费劲"的洞，都值得按新的利用成本重新评估一遍。
参考来源
● Wiz Research 技术报告：php2shell
● OpenAI 官方博客：Patch the Planet
● PHP Foundation 官方公告：今日安全更新与安全强化计划
● CISA 紧急公告：Critical Vulnerabilities in PHP
● CERT-EU 公告 2026-018：Critical Vulnerabilities in PHP
● TechCrunch 报道：PHP armageddon
● The Verge 报道：GPT-5.6 Sol was used to identify critical PHP flaw
● Sophos 安全公告：PHP2Shell Vulnerabilities
● Hacker News 社区讨论：主讨论帖
via 掘金人工智能本月最热 (author: lucas_AI)
TL;DR
10 月 21 日，PHP 发布计划外紧急安全更新，修掉核心引擎里两个潜伏超过十年的内存安全漏洞（CVE-2026-109618 / CVE-2026-109619，CVSS v4.0 评分最高 9.2，安全圈统称 PHP2Shell）。它们能让你服务器的 PHP 进程被不需要登录的攻击者直接执行任意代码，或者偷走内存里的密码、token 和 API key。PHP 驱动着全球约 70% 的网站，WordPress、Drupal、Joomla 全部中招。最有意思的是：这漏洞在代码里躺了十几年没人能稳定利用，最后是前沿 AI 模型把它变成了现实武器——同时也把它变成了能被及时修好的漏洞。NSA 的建议简单粗暴：打不上补丁的网站，先下线。
先说清楚发生了什么
10 月 21 日 13:30（UTC），PHP 一次放出四个分支的紧急更新：8.5.12、8.4.27、8.3.36、8.2.35。同一天，Wiz Research、OpenAI、PHP Foundation、安全公司 Calif 四方几乎同时发博客，NSA、CISA、英国 NCSC、加拿大网络安全中心、CERT-EU 相继发紧急公告——这个阵仗，上一次出现还是 Log4Shell。
要修的东西是两个内存安全漏洞（use-after-free，用后释放）。通俗讲：PHP 处理请求中途出错（比如内存耗尽）时会异常退出，但退出时没把"案发现场"收拾干净，给下一个请求留下了一块被污染的内存。攻击者精心构造请求，让后续请求把这堆垃圾当成有效数据用——轻则把别的用户请求里的密码、token 原样吐给你（内存泄露），重则完全控制服务器进程（远程代码执行）。
这里需要澄清一个容易误读的点：漏洞不在 WordPress 也不在你的应用代码里，而在 PHP 本体。Wiz 用最新镜像实测，WordPress、Drupal、Joomla 全部被打穿，哪怕你的网站只输出一句 Hello World，只要跑在受影响版本的 PHP 上就一样危险。WordPress 官方也专门发声明澄清了这一点，让站长去催自己的主机商。
漏洞躺了十几年，为什么现在才爆？
这是整个事件最值得琢磨的部分。
这两组漏洞的根因可以追溯到 PHP 十多年前的架构决策，PHP 5.4 之后的每个版本至少命中其一。换句话说，它们不是"新出现的漏洞"，而是"一直都在、只是没人打得动"的漏洞。构造一个能在真实服务器上稳定工作的利用链，要串起多个小漏洞、适配不同 PHP 版本的内存布局、跨配置调试——这种活儿以前只有世界级研究团队愿意碰，一做就是几个月。
AI 把这笔账改写了。Wiz 的研究员配合 Wiz Atlas、谷歌的 Gemini 4 Argon 和 OpenAI 的 GPT-5.6 Sol，一名研究员用一周时间走完了过去一个团队数月的路：8 月 19 日发现漏洞，8 月 20 日在 Drupal 上验证未认证 RCE，8 月 21 日打穿 WordPress。Gemini 安全负责人 Raluca Ada Popa 罕见地公开为 Argon 的贡献背书。
无独有偶，几乎同一时间，安全公司 Calif 在 OpenAI 的「Patch the Planet」计划里用 GPT-5.6 Sol 独立发现了其中一个漏洞。两边一对照，PHP 团队发现这两个团队报告的问题同根同源，最后合并成两个 CVE。
Wiz 在博客里把话说得很直白：过去大家默认"这个漏洞太复杂，短期内没人能利用"就是安全垫，现在这层垫子没了——LLM 能快速把利用代码适配到不同版本、不同配置、不同内存布局上，复杂度本身不再构成安全屏障。哪些"理论风险"要当真，评价标准得重写。
修复与响应：一场两小时的全球动员
时间线值得看一眼，因为它展示了 AI 时代漏洞响应的新形态：
● 8 月 19 日：Wiz 用 AI 工具链发现首个漏洞；8 月 24 日报告 PHP 安全团队。
● 9 月 21 日：PHP 团队确认并启动协同修复。此后两个月，OpenAI 牵头组了一个包含 PHP 维护者、安全研究员、云厂商的响应联盟。
● 10 月 20 日：CVE 编号与技术细节提前泄露（各机构公告确认了这一点），PHP 官方被迫提前预告将有紧急更新，Hacker News 当晚炸出 152 条讨论。
● 10 月 21 日 13:30 UTC：四个分支修复版同时发布；四方官方博客协同披露；NSA、CISA、NCSC、CERT-EU 同日发告警；Cloudflare、Fastly、Google Cloud、AWS、Azure、Vercel 的 WAF 缓解规则当天上线。
需要澄清的是：OpenAI 强调漏洞是研究者先于黑客发现、披露前没有野外利用报告——这一点目前没有反例，可以认为是可信的。但"提前泄露"确实把两个月协调期里最后的安全余量烧掉了，社区对此颇有微词（后面细说）。
各机构的建议按严厉程度排：CISA 说"立即打补丁"；NSA 说"打不上补丁就先下线"；对还在用 PHP 8.1 及更老版本的站点，补丁根本不存在——那些版本已经停止支持，得先升级 PHP 本身。这也是国内大量存量站点最现实的风险：老版本 PHP + 无法快速升级 = 长期暴露。托管在主流云上的可以先用云 WAF 的虚拟补丁顶一阵，自建机房没有退路。
各方怎么看
官方层面动作一致，社区层面的分歧倒是值得展开。
Hacker News 上的主讨论（404 分）里，点赞很高的批评指向披露流程：OpenAI 和安全公司"捂了两个月，自己决定谁能提前拿到修复，PoC 一上线，圈子外的用户就被晾在那儿"。批评者的意思是——既然官方临时缓解方案（针对 8.5 的 interim fix）早就能做出来，为什么不提前发？AI 把利用门槛降下来之后，两个月的静默期还是不是合理的安全预算，这笔账确实该重算。
技术社区也没闲着：有人逐行分析泄露的 PoC，认为它对 PHP 8.4 的假设可能不成立（这条尚未有权威定论，姑且存疑）；还有人发现可能存在第三个 critical CVE（PHP 官方未确认，同样存疑）。这些讨论本身说明：细节公开后，全球的研究者都在帮 PHP 查漏补缺——从防御视角看，这算坏事里的好事。
OpenAI 自己则把这当作「Patch the Planet」计划的标志性战果来宣传：AI 发现问题、AI 组织全球响应，顺带宣布了 10 亿美元的防御者补贴计划和一枚检测 PHP 版本的 Codex skill。商业叙事归商业叙事，"前沿模型既能造武器也能造疫苗"这个判断，倒是这事件里最没有争议的部分。
对开发者意味着什么
● 运维 PHP 站点的：今天就把
php -v 跑一遍。8.2.x/8.3.x/8.4.x/8.5.x 升到对应修复版（8.2.35 / 8.3.36 / 8.4.27 / 8.5.12）；8.1 及以下的先升级 PHP 再谈补丁；实在动不了的，先套 WAF 虚拟补丁并评估是否临时下线。Sophos 的公告还提醒：Apache mod_php 部署形态风险最高。● 写安全工具 / 做风控的：Wiz 给了检测线索——异常的 multipart 请求紧跟内存超限错误或连续 500、异常大的 PHPSESSID cookie、无解释的 PHP worker 重启。这些信号值得进你的告警规则。
● 所有写代码的：这件事的长期影响比补丁本身大——"我们太冷门/太复杂所以没人利用"的假设失效了。存量代码里那些"理论上可利用但没人会费劲"的洞，都值得按新的利用成本重新评估一遍。
参考来源
● Wiz Research 技术报告：php2shell
● OpenAI 官方博客：Patch the Planet
● PHP Foundation 官方公告：今日安全更新与安全强化计划
● CISA 紧急公告：Critical Vulnerabilities in PHP
● CERT-EU 公告 2026-018：Critical Vulnerabilities in PHP
● TechCrunch 报道：PHP armageddon
● The Verge 报道：GPT-5.6 Sol was used to identify critical PHP flaw
● Sophos 安全公告：PHP2Shell Vulnerabilities
● Hacker News 社区讨论：主讨论帖
via 掘金人工智能本月最热 (author: lucas_AI)
在花🎗️科技圈:
CNN：美国情报界无法确定英伟达前 CEO 情人涉间谍行为 据 CNN 报道，美国情报部门仍在调查英伟达前 CEO 黄仁勋 的中国籍情人 Alice Huang，现有情报不足以证明其从事间谍活动，将其直接定性为间谍并不准确，现有截获通信也无法证明她有意向国家级别传递信息。司法部长 Todd Blanche 称司法部及 FBI 局长均未下结论，特朗普也称尚未确定。 CNN 称，FBI 至少一年来一直在调查黄仁勋与 Alice Huang 的关系。美国众议院情报委员会民主党首席议员 Jim Himes 也…
鲁比奥与 Anthropic 疑为“猎杀”黄仁勋推手
英伟达创始人黄仁勋离职背后疑为一场精心策划的“猎杀”。《华盛顿邮报》披露，国务卿鲁比奥把 CIA 报告改写为措辞更强硬的机密备忘录；Anthropic 则被指向记者提供爆料线索。
文章称黄仁勋此前凭与特朗普的私交成功游说放宽对华芯片出口，惹怒了美国国安官员与“对华鹰派”。卢比奥借 CIA 情报撰写强硬备忘录。
如今曾被阻拦的芯片限制法案阻力大减，众议院中国问题特别委员会主席等人正借此契机，推动将三项严厉的新条款纳入年底的重大国防法案中，内容包括：进一步限制高端 AI 芯片出口、强制要求芯片内置防走私追踪技术，以及限制中国获取芯片制造设备。
The Washington Post | 华尔街见闻
🌸 科技圈· 茶馆 · 投稿
via 在花🎗️科技圈 - Telegram Channel
OpenAI 就 Daybreak 安全平台征集反馈
OpenAI 网络安全团队正就 Daybreak 征集用户反馈，涉及模型、Codex 插件、蓝队/红队访问权限、文档、红队测试以及防御工厂。
内容详情 · 原文链接
via AI情报局 | 全球 AI 动态简报 - Telegram Channel
OpenAI 网络安全团队正就 Daybreak 征集用户反馈，涉及模型、Codex 插件、蓝队/红队访问权限、文档、红队测试以及防御工厂。
内容详情 · 原文链接
via AI情报局 | 全球 AI 动态简报 - Telegram Channel
LiteLLM 本周更新：客户门户测试版、Rust 版 /v1/messages、Day 0 模型支持与 Replicate 集成
LiteLLM 发布客户门户测试版，支持按客户归因流量与推理支出；/v1/messages 已完全用 Rust 重写；新增对 Claude 与 Gemini 新模型的 Day 0 支持，覆盖主流云平台；并集成 Replicate 的视频、图像与语音模型。
内容详情 · 原文链接
via AI情报局 | 全球 AI 动态简报 - Telegram Channel
LiteLLM 发布客户门户测试版，支持按客户归因流量与推理支出；/v1/messages 已完全用 Rust 重写；新增对 Claude 与 Gemini 新模型的 Day 0 支持，覆盖主流云平台；并集成 Replicate 的视频、图像与语音模型。
内容详情 · 原文链接
via AI情报局 | 全球 AI 动态简报 - Telegram Channel
Command Code GOAT 套餐每月 10 美元提供 100 美元 GLM-5.3 Flash 与 70 美元 GLM 额度
Command Code 表示其每月 10 美元的 GOAT 套餐包含 100 美元的 GLM-5.3 Flash 用量，以及各 70 美元的 GLM-5.3 和 GLM-5.2 额度，称其为运行 GLM 模型性价比最高的选择。
内容详情 · 原文链接
via AI情报局 | 全球 AI 动态简报 - Telegram Channel
Command Code 表示其每月 10 美元的 GOAT 套餐包含 100 美元的 GLM-5.3 Flash 用量，以及各 70 美元的 GLM-5.3 和 GLM-5.2 额度，称其为运行 GLM 模型性价比最高的选择。
内容详情 · 原文链接
via AI情报局 | 全球 AI 动态简报 - Telegram Channel
Horizon Summary: 2026-11-15 (ZH)
----------------------
科技新闻
1. Lovable 应用因 RLS 不足泄露护照信息和 20 万条私信 ⭐️ 8.0/10
2. 星舰第 15 次试飞首次由发射塔捕获飞船 ⭐️ 8.0/10
3. PyPI 改版项目页面上线，突出安全与来源信号 ⭐️ 7.0/10
4. 意大利因 Facebook 相册访问罚 Meta 8.05 亿欧元 ⭐️ 7.0/10
----------------------
科技新闻
Lovable 应用因 RLS 不足泄露护照信息和 20 万条私信 ⭐️ 8.0/10
Crissy Field 的研究人员披露，多个用 Lovable 构建的应用因行级安全（RLS）配置不足，暴露了护照信息和超过 20 万条私信。Lovable 安全负责人 Igor 在讨论中确认，根本原因就是 RLS 配置不足；他还表示，平台会在发布前自动扫描所有应用，并提供对所有用户免费的深度 SAST 扫描。发现问题后，用户可点击“Fix”修复，或开启后台自动修复。现有材料没有说明受影响应用的具体数量、泄露持续时间，也没有证明自动扫描能覆盖已经发布的应用。
hackernews · armcat · 11月14日 17:43 · 社区讨论
「背景」 Lovable 生成的应用通常依托 Supabase 的 Postgres 与 Data API：表通过 anon、authenticated 等角色暴露给前端，而 Row-Level Security（RLS）策略决定哪些行可被读写；若表有访问授权却缺少或写错 RLS，浏览器端就能直接取到数据。Supabase 自 2026 年 10 月 30 日起不再自动把 public schema 中的新表授权给 anon、authenticated 和 service_role，因此新表需显式授权后 Data API 才能访问；这一默认变更降低了新项目误暴露的风险，但并不能替代为已有表配置正确的 RLS。
「影响」 对使用 Lovable 发布应用的开发者，最直接的后果是必须逐表核对 RLS 策略和公开 API 的可读范围，不能把“发布前自动扫描”当作安全保证；Lovable 的修复功能是否默认开启、能否覆盖既有应用，现有材料未说明。已暴露护照信息的应用还应评估通知受影响用户，并收紧数据访问权限。
「社区讨论」 评论区的争论集中在责任归属：有评论者认为，Supabase 早期为降低上手门槛而设定的默认权限也难辞其咎，并称相关默认值据称已在 10 月 30 日修复，但已有项目可能仍沿用旧设置；也有评论者强调，AI 生成应用数量多，攻击者无需复杂黑客技术，仅通过浏览器检查网络请求就可能发现暴露，平台应改为默认拒绝并加入自动化认证测试。Lovable 安全负责人则把根本原因归于应用层 RLS 配置不足，并强调发布前扫描和免费修复流程。
参考链接
● Supabase “permission denied for table” (42501): the safe fix
标签:
----------------------
星舰第 15 次试飞首次由发射塔捕获飞船 ⭐️ 8.0/10
SpaceX 宣布，星舰第 15 次试飞中，飞船在轨约 22.5 小时、绕地球约 14 圈后返回得克萨斯州星舰基地，首次由发射塔机械臂直接捕获；SpaceX 称这是首次由发射塔机械臂捕获完成轨道返回的轨道级飞船。任务还部署了 26 颗 Starlink V3 卫星，其中 3 颗带摄像头用于检查隔热瓦。超重型助推器未按计划返回发射塔，因技术问题改在墨西哥湾受控溅落并爆炸，具体原因未公布，因此两级同时回收尚未实现。
hackernews · ls612 · 11月14日 21:22 · 社区讨论
「背景」 星舰复用方案的关键环节是让返回的飞行器降到发射塔旁，由机械臂夹住承接点，而不是依靠着陆腿落地。10 月 22 日的 Horizon 日报曾报道，马斯克称 SpaceX 计划在 11 月首次同时尝试塔捕星舰飞船和超重型助推器，并提醒首次尝试不保证成功；当时他还提到，前一次发射因一台发动机提前关机，助推器和飞船均未回收。Flight 15 把这一计划推进了一步：飞船完成塔捕，但助推器未能返塔，两级同时回收仍未实现。
「影响」 对复用流程而言，关键限制仍在助推器：本次它未返回发射塔；后续需要验证助推器塔捕、两级同时回收，以及捕获后的飞船复飞，才能验证完全复用。
「社区讨论」 有评论者认为，星舰相当于把航天飞机方案做对：助推器完全复用且不带固体助推器，轨道器置于顶部，并以流水线方式生产。也有人强调，只有隔热瓦经受住再入、助推器同样实现塔捕并复飞同一艘飞船后，低成本入轨才会成立；另有评论指出最终入轨质量比仍不清楚。
参考链接
● 2026-10-22 — SpaceX 下月首次尝试同时回收星舰与助推器
标签:
----------------------
PyPI 改版项目页面上线，突出安全与来源信号 ⭐️ 7.0/10
PyPI 已完成项目页面改版并正式上线，新界面把安全与来源（provenance）信息更醒目地呈现给访问者。社区成员举例说明了实际效果：dlt 的项目文件页没有 provenance 记录，而 datasette 的文件页带有 provenance 标记，说明该信号按项目逐个显示。此次更新面向所有浏览 PyPI 的 Python 开发者，属于在既有页面上增加信任提示的增量改动，而非新的发布或签名机制。
hackernews · rbanffy · 11月14日 15:40 · 社区讨论
「背景：信任发布与来源证明」 新版项目页所展示的来源（provenance）信号，建立在 PyPI 近年推行的“信任发布”（trusted publishing）机制之上。Horizon 6 月 10 日的日报曾报道，Python 软件基金会的 Mike Fiedler 在北美开源峰会上介绍，信任发布用基于 OpenID Connect 的短期凭证取代长期有效的 API 令牌，以降低凭证被窃取的供应链攻击风险，当时该机制已覆盖 PyPI 超过 36% 的上传。正是这类通过 OIDC 完成的上传才能生成可供页面展示的证明记录，本次改版把这些原本偏底层的安全信息呈现到了项目页面上。
「对使用者的影响」 开发者现在可以在安装前查看项目文件页上的 provenance 标记，以此判断某个发行包是否带有可追溯的构建来源；未生成 provenance 的项目在该页面上不会显示这一信号。对维护者而言，这意味着是否能展示来源信息取决于其发布流程是否产出了相应的证明，评论区提到的 Trusted Publishing 可复用工作流支持仍是待解决的问题。
「社区讨论」 有评论者（time4tea）质疑整个信任链条本质上是中心化的，依赖“大型云厂商”并可能造成锁定，认为这有违 Python 社区的风格；另一些人则支持 Sigstore 式“无密钥”短时签名，希望出现更多托管 CI/CD 提供商来满足 OIDC 要求（samhclark），并呼吁 Trusted Publishing 尽快支持可复用工作流（mhils）。cowlevel 则指出该机制的检测范围有限：它能发现原有正常项目被入侵但私钥未泄露的情况，并不能识别本身就是恶意的项目。
参考链接
● 2026-06-10 — Trusted Publishing Replaces Long-Lived Credentials
标签:
----------------------
意大利因 Facebook 相册访问罚 Meta 8.05 亿欧元 ⭐️ 7.0/10
意大利隐私监管机构 Garante Privacy 对 Meta 处以 8.05 亿欧元罚款，指其 Facebook Android 应用在未取得具体同意的情况下读取约 2000 万意大利用户的相册照片、视频和元数据。涉事功能是 2023 年上线的相册推荐，默认开启且授权提示笼统。监管机构要求 Meta 在 60 天内将其改为默认关闭并单独征得同意，否则不得向未有效授权的用户启用该功能。
telegram · zaihuapd · 11月14日 14:37
「背景」 本案的关键概念是“具体同意”：监管机构认为，笼统的授权提示不足以覆盖读取相册照片、视频和元数据这一独立目的。Garante Privacy 因此把合规要求落到产品层面，要求该功能默认关闭并就此单独征得用户同意。
「影响」 这项命令要求 Meta 调整 Android 应用的相册访问默认值和授权流程，而不只是更新隐私政策；若 60 天内未满足条件，相册推荐不得对未有效授权的用户启用。
标签:
----------------------
via Horizon Daily - 中文摘要
从 25 条内容中筛选出 4 条重要资讯。
----------------------
科技新闻
1. Lovable 应用因 RLS 不足泄露护照信息和 20 万条私信 ⭐️ 8.0/10
2. 星舰第 15 次试飞首次由发射塔捕获飞船 ⭐️ 8.0/10
3. PyPI 改版项目页面上线，突出安全与来源信号 ⭐️ 7.0/10
4. 意大利因 Facebook 相册访问罚 Meta 8.05 亿欧元 ⭐️ 7.0/10
----------------------
科技新闻
Lovable 应用因 RLS 不足泄露护照信息和 20 万条私信 ⭐️ 8.0/10
Crissy Field 的研究人员披露，多个用 Lovable 构建的应用因行级安全（RLS）配置不足，暴露了护照信息和超过 20 万条私信。Lovable 安全负责人 Igor 在讨论中确认，根本原因就是 RLS 配置不足；他还表示，平台会在发布前自动扫描所有应用，并提供对所有用户免费的深度 SAST 扫描。发现问题后，用户可点击“Fix”修复，或开启后台自动修复。现有材料没有说明受影响应用的具体数量、泄露持续时间，也没有证明自动扫描能覆盖已经发布的应用。
hackernews · armcat · 11月14日 17:43 · 社区讨论
「背景」 Lovable 生成的应用通常依托 Supabase 的 Postgres 与 Data API：表通过 anon、authenticated 等角色暴露给前端，而 Row-Level Security（RLS）策略决定哪些行可被读写；若表有访问授权却缺少或写错 RLS，浏览器端就能直接取到数据。Supabase 自 2026 年 10 月 30 日起不再自动把 public schema 中的新表授权给 anon、authenticated 和 service_role，因此新表需显式授权后 Data API 才能访问；这一默认变更降低了新项目误暴露的风险，但并不能替代为已有表配置正确的 RLS。
「影响」 对使用 Lovable 发布应用的开发者，最直接的后果是必须逐表核对 RLS 策略和公开 API 的可读范围，不能把“发布前自动扫描”当作安全保证；Lovable 的修复功能是否默认开启、能否覆盖既有应用，现有材料未说明。已暴露护照信息的应用还应评估通知受影响用户，并收紧数据访问权限。
「社区讨论」 评论区的争论集中在责任归属：有评论者认为，Supabase 早期为降低上手门槛而设定的默认权限也难辞其咎，并称相关默认值据称已在 10 月 30 日修复，但已有项目可能仍沿用旧设置；也有评论者强调，AI 生成应用数量多，攻击者无需复杂黑客技术，仅通过浏览器检查网络请求就可能发现暴露，平台应改为默认拒绝并加入自动化认证测试。Lovable 安全负责人则把根本原因归于应用层 RLS 配置不足，并强调发布前扫描和免费修复流程。
参考链接
● Supabase “permission denied for table” (42501): the safe fix
标签:
#security, #row-level-security, #supabase, #ai-code-generation, #data-breach----------------------
星舰第 15 次试飞首次由发射塔捕获飞船 ⭐️ 8.0/10
SpaceX 宣布，星舰第 15 次试飞中，飞船在轨约 22.5 小时、绕地球约 14 圈后返回得克萨斯州星舰基地，首次由发射塔机械臂直接捕获；SpaceX 称这是首次由发射塔机械臂捕获完成轨道返回的轨道级飞船。任务还部署了 26 颗 Starlink V3 卫星，其中 3 颗带摄像头用于检查隔热瓦。超重型助推器未按计划返回发射塔，因技术问题改在墨西哥湾受控溅落并爆炸，具体原因未公布，因此两级同时回收尚未实现。
hackernews · ls612 · 11月14日 21:22 · 社区讨论
「背景」 星舰复用方案的关键环节是让返回的飞行器降到发射塔旁，由机械臂夹住承接点，而不是依靠着陆腿落地。10 月 22 日的 Horizon 日报曾报道，马斯克称 SpaceX 计划在 11 月首次同时尝试塔捕星舰飞船和超重型助推器，并提醒首次尝试不保证成功；当时他还提到，前一次发射因一台发动机提前关机，助推器和飞船均未回收。Flight 15 把这一计划推进了一步：飞船完成塔捕，但助推器未能返塔，两级同时回收仍未实现。
「影响」 对复用流程而言，关键限制仍在助推器：本次它未返回发射塔；后续需要验证助推器塔捕、两级同时回收，以及捕获后的飞船复飞，才能验证完全复用。
「社区讨论」 有评论者认为，星舰相当于把航天飞机方案做对：助推器完全复用且不带固体助推器，轨道器置于顶部，并以流水线方式生产。也有人强调，只有隔热瓦经受住再入、助推器同样实现塔捕并复飞同一艘飞船后，低成本入轨才会成立；另有评论指出最终入轨质量比仍不清楚。
参考链接
● 2026-10-22 — SpaceX 下月首次尝试同时回收星舰与助推器
标签:
#SpaceX, #Starship, #reusable rockets, #spaceflight, #hardware----------------------
PyPI 改版项目页面上线，突出安全与来源信号 ⭐️ 7.0/10
PyPI 已完成项目页面改版并正式上线，新界面把安全与来源（provenance）信息更醒目地呈现给访问者。社区成员举例说明了实际效果：dlt 的项目文件页没有 provenance 记录，而 datasette 的文件页带有 provenance 标记，说明该信号按项目逐个显示。此次更新面向所有浏览 PyPI 的 Python 开发者，属于在既有页面上增加信任提示的增量改动，而非新的发布或签名机制。
hackernews · rbanffy · 11月14日 15:40 · 社区讨论
「背景：信任发布与来源证明」 新版项目页所展示的来源（provenance）信号，建立在 PyPI 近年推行的“信任发布”（trusted publishing）机制之上。Horizon 6 月 10 日的日报曾报道，Python 软件基金会的 Mike Fiedler 在北美开源峰会上介绍，信任发布用基于 OpenID Connect 的短期凭证取代长期有效的 API 令牌，以降低凭证被窃取的供应链攻击风险，当时该机制已覆盖 PyPI 超过 36% 的上传。正是这类通过 OIDC 完成的上传才能生成可供页面展示的证明记录，本次改版把这些原本偏底层的安全信息呈现到了项目页面上。
「对使用者的影响」 开发者现在可以在安装前查看项目文件页上的 provenance 标记，以此判断某个发行包是否带有可追溯的构建来源；未生成 provenance 的项目在该页面上不会显示这一信号。对维护者而言，这意味着是否能展示来源信息取决于其发布流程是否产出了相应的证明，评论区提到的 Trusted Publishing 可复用工作流支持仍是待解决的问题。
「社区讨论」 有评论者（time4tea）质疑整个信任链条本质上是中心化的，依赖“大型云厂商”并可能造成锁定，认为这有违 Python 社区的风格；另一些人则支持 Sigstore 式“无密钥”短时签名，希望出现更多托管 CI/CD 提供商来满足 OIDC 要求（samhclark），并呼吁 Trusted Publishing 尽快支持可复用工作流（mhils）。cowlevel 则指出该机制的检测范围有限：它能发现原有正常项目被入侵但私钥未泄露的情况，并不能识别本身就是恶意的项目。
参考链接
● 2026-06-10 — Trusted Publishing Replaces Long-Lived Credentials
标签:
#PyPI, #supply-chain-security, #provenance, #sigstore, #open-source----------------------
意大利因 Facebook 相册访问罚 Meta 8.05 亿欧元 ⭐️ 7.0/10
意大利隐私监管机构 Garante Privacy 对 Meta 处以 8.05 亿欧元罚款，指其 Facebook Android 应用在未取得具体同意的情况下读取约 2000 万意大利用户的相册照片、视频和元数据。涉事功能是 2023 年上线的相册推荐，默认开启且授权提示笼统。监管机构要求 Meta 在 60 天内将其改为默认关闭并单独征得同意，否则不得向未有效授权的用户启用该功能。
telegram · zaihuapd · 11月14日 14:37
「背景」 本案的关键概念是“具体同意”：监管机构认为，笼统的授权提示不足以覆盖读取相册照片、视频和元数据这一独立目的。Garante Privacy 因此把合规要求落到产品层面，要求该功能默认关闭并就此单独征得用户同意。
「影响」 这项命令要求 Meta 调整 Android 应用的相册访问默认值和授权流程，而不只是更新隐私政策；若 60 天内未满足条件，相册推荐不得对未有效授权的用户启用。
标签:
#privacy regulation, #Meta, #Android permissions, #user consent, #Italy----------------------
via Horizon Daily - 中文摘要
Grok 整合 SpaceXSI 图像与视频创作功能
Grok 正将多项 SpaceXSI 产品整合到统一体验中，图像与视频创作功能现已直接在 Grok 内提供。
内容详情 · 原文链接
via AI情报局 | 全球 AI 动态简报 - Telegram Channel
Grok 正将多项 SpaceXSI 产品整合到统一体验中，图像与视频创作功能现已直接在 Grok 内提供。
内容详情 · 原文链接
via AI情报局 | 全球 AI 动态简报 - Telegram Channel
微软云服务宕机持续逾 24 小时
2026-11-14 21:55 by Microsoft 364
微软周六表示，影响各国企业和政府所用 Microsoft 365 应用的全球服务中断已经结束，这次中断持续了超过 24 小时。微软在 X 上发文说：“我们已完成解决这一事件根本问题的工作，并为其余受影响的客户和地区恢复了服务。”Teams、Outlook 和 Copilot 等微软应用都受到了这次服务中断的影响，导致数十个国家出现通信问题。微软表示，“没有发现”任何可能导致这次服务中断的外部干扰，并将问题归咎于服务器故障。这次中断是微软历史上持续时间最长的中断之一，也是今年的第二次。英国国家网络安全中心前负责人 Ciaran Martin 认为这次宕机事故在规模上类似亚马逊 AWS 和 CrowdStrike 事故，其影响可能更为严重。日本政府的 IT 基础设施也受到影响，英国国家医疗服务体系（NHS）工作人员不得不改用纸质记录，无法调用线上存储的资料。这次中断凸显出，各国政府和企业普遍依赖极少数大型科技公司，而这种依赖充满风险。
https://www.dw.com/zh/%E5%81%9C%E6%91%86%E8%B6%85%E8%BF%8724%E5%B0%8F%E6%97%B6%E5%BE%AE%E8%BD%AF%E5%85%A8%E7%90%83%E5%A4%A7%E5%AE%95%E6%9C%BA%E7%BB%93%E6%9D%9F/a-79948266?maca=chi-rss-chi-all-1127-xml-atom
https://arstechnica.com/tech-policy/2026/11/microsoft-blames-failed-server-health-checks-not-hackers-for-global-outage/
#云计算
via Solidot - Telegram Channel
2026-11-14 21:55 by Microsoft 364
微软周六表示，影响各国企业和政府所用 Microsoft 365 应用的全球服务中断已经结束，这次中断持续了超过 24 小时。微软在 X 上发文说：“我们已完成解决这一事件根本问题的工作，并为其余受影响的客户和地区恢复了服务。”Teams、Outlook 和 Copilot 等微软应用都受到了这次服务中断的影响，导致数十个国家出现通信问题。微软表示，“没有发现”任何可能导致这次服务中断的外部干扰，并将问题归咎于服务器故障。这次中断是微软历史上持续时间最长的中断之一，也是今年的第二次。英国国家网络安全中心前负责人 Ciaran Martin 认为这次宕机事故在规模上类似亚马逊 AWS 和 CrowdStrike 事故，其影响可能更为严重。日本政府的 IT 基础设施也受到影响，英国国家医疗服务体系（NHS）工作人员不得不改用纸质记录，无法调用线上存储的资料。这次中断凸显出，各国政府和企业普遍依赖极少数大型科技公司，而这种依赖充满风险。
https://www.dw.com/zh/%E5%81%9C%E6%91%86%E8%B6%85%E8%BF%8724%E5%B0%8F%E6%97%B6%E5%BE%AE%E8%BD%AF%E5%85%A8%E7%90%83%E5%A4%A7%E5%AE%95%E6%9C%BA%E7%BB%93%E6%9D%9F/a-79948266?maca=chi-rss-chi-all-1127-xml-atom
https://arstechnica.com/tech-policy/2026/11/microsoft-blames-failed-server-health-checks-not-hackers-for-global-outage/
#云计算
via Solidot - Telegram Channel
今日早些时候，微软旗下服务出现大范围中断，Xbox Live、Outlook等产品全线无法正常使用。与此同时，美国联邦航空管理局（FAA）宣布全美航班暂停起飞，等待后续通知。这家科技巨头明确表示，两起事件完全没有关联。
美国联邦航空管理局于周五突然下达全美地面停飞令，故障原因似乎是空管系统出现技术异常。目前已有数百架次航班受到波及，已处于飞行状态的航班也被要求就近降落。
11月13日工作日结束之际，微软在X平台官方发文称：“目前没有任何证据表明，FAA的全美地面停飞令与微软的任何服务存在关联。”
微软之所以出面澄清，是因为当日早些时候，其自身系统刚经历了大规模服务故障。大量用户反馈Copilot、OneDrive等微软服务均无法正常访问。微软365官方状态账号在X上解释，故障由“负载异常升高”导致，但并未披露更多细节原因。
至于FAA停飞的真正诱因，特朗普政府的官员也没能给出明确答案。国土安全部部长马克韦恩·穆林将其归因于“电信中断”，但白宫方面则表示暂不清楚故障根源。
交通部长肖恩·达菲在X平台发文称：“一场通信故障影响了所有航路交通管制中心的正常运作。”他补充道：“FAA的技术人员正在排查问题，有进展会第一时间通报。”而这番表态已是两个多小时之前的事了。
据悉，FAA官网上此前发布的多份相关通知已被删除。被问及故障是否与AI相关时，穆林对记者回应：“我们这边管这个叫系统问题。”
这是美国历史上第三次由FAA推行全国性地面停飞令。第一次发生在911恐怖袭击期间，第二次是在2023年。特朗普政府目前申请了300亿美元资金，用于升级美国的空中交通管制系统。而微软本年度在AI领域的投资规模，预计将达到约500亿美元。
via cnBeta.COM - 中文业界资讯站 (author: 稿源：3DMGame)
Anthropic 的 IPO 不接受中国内地和香港投资者下单，知情人士称限制与 ITAR(国际武器贸易条例)出口管制有关。发行定价日为 11 月 18 日，次日上市，代码 ANT，拟以 1.4 万亿美元估值募资至多 904 亿美元。
部分资金转向英属维尔京群岛信托、SPV 和掉期结构，认购需求约为可售股份的 6 倍。高盛与摩根士丹利牵头承销。
Economic Times
🌸 科技圈· 茶馆 · 投稿
via 在花🎗️科技圈 - Telegram Channel
#Tip #Antigravity
Antigravity 提供多重方法将任务分配给多个 agent，这些方法针对的目标并不同。
详细区别和使用方法请参考官方文档：https://antigravity.google/docs/dynamic-workflows#choose-between-dynamic-workflows-subagents-and-agent-teams
via AI Copilot - Telegram Channel
Antigravity 提供多重方法将任务分配给多个 agent，这些方法针对的目标并不同。
详细区别和使用方法请参考官方文档：https://antigravity.google/docs/dynamic-workflows#choose-between-dynamic-workflows-subagents-and-agent-teams
via AI Copilot - Telegram Channel
