AI 日报 · 2026 年 10 月 22 日 · 星期四
MYHOT
PHP 内核高危漏洞波及主流 CMS
Wiz Research 披露 PHP2Shell，两组内核漏洞可导致未认证远程代码执行，影响 WordPress、Drupal 与 Joomla。LiteLLM 1.107.0 也被曝含凭据窃取器和远程代码执行后门，PyPI 已下架该版本。
内容创作
IBM 更新 Granite Speech 5.0 系列语音模型
IBM 发布 granite-speech-5.0-2b，并更新 granite-speech-5.0-470m-turboctc 和 granite-speech-4.1-2b-plus。
开发工具
The DecoderInception 发布 Mercury 3 扩散语言模型，主打四至八倍生成速度
Inception 发布 Mercury 3 扩散语言模型，称其在自家 12 项测试中赢得 8 项，并通过一次生成多个词实现四至八倍速度。按公司数据，Mercury 3 在 Nvidia GPU 上每秒生成 1,068 tokens，高于 Claude Haiku 5.5 的约 240 和 GPT-6 Luna 的约 130；但目前尚无独立测试。
Product Hunt · AI 分类Islet 发布面向开发者的 Mac 刘海状态工具
Islet 发布一款约 25 MB 的 Mac 刘海开发工具，可随当前应用切换功能。它支持 VS Code 中查看 AI commit messages 与 git status、Chrome 中将 localhost 转到手机或公开链接，并在 Claude Code 或 Codex 请求审批时弹出提醒和提示音；空闲 CPU 占用为 0%，无需账户，免费使用。
自动化
DuckDB 2.0.0 LTS 发布，加入异步 I/O、VARIANT 与 Agent 模式
DuckDB 发布 2.0.0 LTS“Cinnamon Teal”，加入改进版 Quack 协议、异步 I/O、一等 VARIANT 类型、Agent 模式、触发器和可扩展 PEG SQL 解析器。
Claude 发布主动型 AI 智能体 Claude Duet 研究预览
Anthropic 发布由 Opus 5.5 驱动的主动型 AI 智能体 Claude Duet，可接收消息任务并在云端独立执行，完成或需要决策时通知用户。该研究预览面向美国 Claude Pro 和 Max 订阅者候补名单，独立提供 iOS、Android 和 Web 入口；敏感操作需用户批准，执行过程可通过个人云端电脑完成。
Product Hunt · AI 分类Notion Auto 更新智能体运行机制与 AI 使用计费
Notion Auto 更新了 Agents，支持任务持续运行 24 小时或更久，并加入 computer、browser 和 Review for me 安全模式。
NVIDIA 推出 FOX 工厂运营蓝图并扩展欧洲工业应用
NVIDIA 发布 FOX 工厂运营蓝图并开放早期体验，用于构建持续运行的工厂管理智能体，覆盖视觉检查、根因分析、报告生成和车队管理。
NVIDIA 发布预训练关系基础模型 Kumo Relational
NVIDIA 发布 Kumo Relational，可直接对企业关系数据库执行流失、需求和欺诈等预测，无需任务专项训练或特征工程。
研究与应用
Wiz Research 披露 PHP 内核高危漏洞 PHP2Shell，涉及 WordPress、Drupal 与 Joomla 的未认证 RCE
Wiz Research 于 2026-10-21 公开 PHP2Shell，披露两组影响 PHP 内核的内存安全高危漏洞 CVE-2026-109618 和 CVE-2026-109619，CVSS 9.2，可导致未认证远程代码执行和进程内存泄漏，覆盖 PHP 5.4 至今的所有版本。
Anthropic 用 Claude 分析 25 个开源项目攻击面并推动 OpenSSH 修复
Anthropic 公布用 Claude 自动分析攻击面的研究：在 C、C++、Java、PHP、Python 等 25 个开源项目、超 500 万行代码中发现 493 个问题，覆盖默认配置、配置交互、早期可达性三类方法，其中 162 处是会被静默接受的安全敏感配置组合、94 处直接关闭了安全控制。
Google Research一手Google Research 评估 AI 辅助盲扫超声的孕周估算泛化能力
Google Research 在 JAMA Network Open 发表研究，评估 AI 模型利用标准化盲扫超声估算孕周时的跨临床环境泛化能力。前瞻性测试覆盖 Northwestern Medicine 和 Jacaranda Health，385 名孕 16 至 36 周参与者的主要队列中，AI 模型平均绝对误差为 4.18 天，低于专家标准流程的 4.48 天。
VocabX 如何通过专用词表将 SLM 推理成本降低 77%
Dharma-AI 预览 VocabX 论文，提出按 token 所在位置的推理成本而非出现频率，为领域模型重构词表。其葡萄牙语作文评分器基于 Qwen3-4B，在保持基础模型、数据和训练配方不变的情况下，将平均响应从 350 个 token 降至 101 个，实测推理成本降低 77.0%，bench score 从 0.703 提升至 0.810。
Microsoft Research researchers 证明提出于 1995 年的 KLS 猜想
Microsoft Research 的 Xinzhi Zhang 与合作者证明了提出于 1995 年的 KLS 猜想，确立了与维度无关的固定界限，说明简单平面切割对数凹分布最窄瓶颈的效率仅在常数因子内落后于任意形状的最优切割。
其它
LiteLLM 1.107.0 被曝含凭据窃取器和远程代码执行后门
LiteLLM 1.107.0 的 7 个 PyPI wheel 被植入凭据窃取器和远程代码执行后门，PyPI 已下架该版本，1.106.2、1.107.0rc1 和 1.107.0rc2 未受影响。
NVIDIA 在 GTC Berlin 2026 发布 Vera Rubin、OpenShell、Agent Knowledge Foundation 等技术
NVIDIA CEO Jensen Huang 在 GTC Berlin 2026 主题演讲中发布 Vera Rubin AI 工厂平台、DSX POD、OpenShell Reference Architecture、Agent Knowledge Foundation、Agile ONE SN 和 RTX Spark，并介绍欧洲 AI 生态与物理 AI 应用进展。
独立分析 eMudhra 弱密钥事件对非浏览器客户端的影响
研究者独立恢复了 eMudhra 8 个中间证书的 P-384 私钥，每个私钥仅含一个有效字节，不到 1 秒即可破解。Chrome 和 Firefox 已直接拦截相关中间证书，但 curl、Python、Node、Go、Java、git 及大量嵌入式设备默认不检查证书透明度或吊销状态。
Ars Technica · AIOpenAI 与 Google 达成合作，GPT 模型将进入 Google Cloud 和 Antigravity
OpenAI 与 Google 达成合作，OpenAI 的前沿模型将进入 Google Cloud 服务，GPT 模型也将出现在 Google 的智能体编码工具 Antigravity 中。
NVIDIA 在 GTC Berlin 发布本地 AI 硬件与模型更新
NVIDIA 在 GTC Berlin 展示 RTX Spark、DGX Spark 和 DGX Station 的本地 AI 产品线，并宣布多项软硬件与模型支持更新。
NVIDIA 扩展 Confidential Computing，新增 Confidential Bare Metal 并覆盖 Grace Blackwell 与 Rubin 系统
NVIDIA 扩展 Confidential Computing，新增 Confidential Bare Metal 部署选项，支持前沿模型开发者在第三方裸金属基础设施上运行敏感负载并保留模型与数据控制权。
Hugging Face 发布 SimReady Central 仿真就绪 3D 资产库
SimReady Central 在 Hugging Face 上提供超过 2,000 个仿真就绪的 OpenUSD 3D 资产，涵盖机械臂、夹爪、仓储设备、机架和冷却设施。开发者可按 SimReady profiles 筛选并组合资产，构建机器人训练环境或 AI 工厂数字孪生，库中还提供机械臂抓取放置和工厂布局比较示例。
NVIDIA 在欧洲发布多款开源模型，覆盖语言、机器人、生物与量子计算
NVIDIA 在欧洲发布多款开源模型，覆盖语言、机器人、生物与量子计算等方向。语言侧新增 Nemotron 3.5 Super VL、Nemotron 3.5 Bolt 以及用于 embedding。