Wiz Research 披露 PHP 核心引擎多个内存安全漏洞（CVE-2026-109618、CVE-2026-109619，CVSS 最高 9.2），可导致未认证远程代码执行和进程内存泄露，PHP 5.4 以来几乎每个版本均受影响，WordPress、Drupal、Joomla 最新镜像均被演示 RCE，PHP 已于 2026 年 10 月 21 日发布补丁。
推荐理由：原文给出 PHP 核心漏洞的利用链细节和时间线，读者可据此评估影响范围并理解 AI 如何改变漏洞利用的可行性。
Wiz 披露 LiteLLM 供应链攻击：10 月 21 日 11:39 UTC，含窃密代码的 LiteLLM 1.107.0 被上传至 PyPI，约获 49,000 次下载，13:20 UTC 被隔离，GHCR 与 Docker Hub 上的 v1.107.0、latest 等镜像标签也含恶意版本，最近的安全版本为 v1.106.2。
推荐理由：Wiz 溯源了 LiteLLM 投毒事件的完整链条，从 PyPI 感染面、窃密模块到后续 LLMjacking 滥用，供使用者自查处置。
IBM 发布插件库 vLLM-Hook MIA（model internals aperture），面向 vLLM 推理引擎，让开发者在不显著降低性能的情况下于运行时观察和干预模型生成过程，例如拒绝恶意提示词、标记幻觉或调整回复。
Lovable 官方发文说明，平台的 SOC 2 Type II、ISO 27001:2022、GDPR 支持和 AIUC-1 认证只覆盖平台本身，用户的应用不会自动获得这些认证。
Google、Temasek 和 Bain & Company 发布第 11 期 e-Conomy SEA 报告，预计 2026 年东南亚数字经济 GMV 同比增长 17% 达 3680 亿美元，2035 年有望突破 1 万亿美元。
哈佛大学实验物理学家、前理学院院长 Christopher Stubbs 加入 Anthropic 的 Long-Term Benefit Trust，是该信托的首位物理学家。
Browser Use 发布云端浏览器 MCP 服务器横评，按工具形态把五家分成整任务、分步、原始操作和人工接管四类，并给出选型表。
蚂蚁集团与 vLLM 社区开源量化推理内核库 Humming，支持 Turing 起的 NVIDIA GPU 及 T-Head Zhenwu 810E，用统一量化表示加 JIT 编译覆盖多种权重/激活组合和 MoE 工作负载。
推荐理由：蚂蚁集团与 vLLM 社区开源的量化推理内核库，基准数据和端到端收益都给出细节，对部署与内核选型有直接参考价值。
vLLM 宣布从 day 0 起支持 Recursive 的 Flint 模型，NVFP4 和 BF16 两个 checkpoint 均可在单张 GPU 上运行，在一张 GB200 上 100K 上下文下单请求解码约 500 tokens/s。
推荐理由：官方给出 Flint 的架构细节、NVFP4 与 BF16 双 checkpoint 和 day-0 部署方式，读者可以直接照着在 vLLM 上跑起来。
Wiz CIRT 调查多起针对 GCP 的入侵，攻击者通过 Google 搜索广告钓鱼窃取特权凭据，将外部项目挂到受害者计费账户上盗用 Gemini API。初始入侵后 24 至 48 小时内产生数万至数十万美元未授权费用，且提示词和模型输出完全留在攻击者租户内、受害者日志不可见。
推荐理由：原文基于多起真实入侵给出 LLMjacking 的完整攻击链、IOC 和可执行的威胁狩猎查询，读者可直接用于自查 GCP 环境。
Anthropic 的 Claude Opus 5.5 和 Claude Sonnet 5.5 现已在 Google Antigravity 正式可用，覆盖 Antigravity 2.0 Desktop、CLI 及 VS Code、JetBrains、Visual Studio 的 IDE 扩展。
OpenAI 在 Alignment 研究博客中为监控可监测性提出两个互补于 g-mean² 的指标：pair-matched 指标只在共享实例上比较模型，减少因模型相关实例选择带来的偏差；post-control integration 指标模拟监控门控的拒绝采样，估计部署坏输出的概率及重试的影响。
GitHub Blog 采访 Vlad Mihalcea、Patrick Baumgartner 和 Frank Delporte 三位 Java Champion，分享在生产与开源项目中使用 GitHub Copilot 的具体实践。
Mastra 通过 @mastra/mcp ^2.0.0 支持 MCP 2026-07-28 规范，新规范移除 initialize 握手和会话 ID，每个请求自包含，MCP 服务器可像普通 HTTP 服务一样在负载均衡实例或可缩容到零的 serverless 平台上部署。
Google 的 Agents CLI 自 1.5.0 版本起引入 Extension System，允许开发者在不 fork 工具的情况下覆盖或新增命令；1.8.0 版本随附首个官方 LangChain 扩展，可将框架相关命令替换为 LangChain 等价命令。
Mastra 介绍其托管可观测平台 Mastra Observability，可直接接入 Mastra 框架项目，自动追踪智能体运行，查看模型与工具调用的耗时、token 和成本，并在线打分跟踪正确性。
Mistral 发布 Voxtral 3，包含语音转写与 TTS 模型以及基于 LiveKit 的语音智能体 SDK，将听、推理、工具调用和说话整合为单一实时流式管线。
Zyphra 发布 Zyphra Optimization Engine（ZOE）第二波推理优化技术报告，针对 AMD Instinct MI355X 编写融合 MoE、DSA lightning indexer、CSA top-K 选择和 dual-scope decode 四个自定义 HIP kernel，并集成进其生产 fork 的 vLLM 和 SGLang。
推荐理由：Zyphra 以实测 roofline 为基准公开了 kernel 与端到端数据，长上下文 MoE 推理优化方法对同类工程工作有参考价值。
llm-d 项目贡献者在 PyTorch Conference North America 发布 llm-d 1.0，一个 Kubernetes 原生的分布式推理服务栈，可部署任意模型、任意加速器、任意云，由 Red Hat、IBM 和 Google 担任主导维护者。
Lovable 发布企业功能 10 月汇总，面向采用联邦治理模式的大型企业团队。
Preferred Networks（PFN）与 Tenstorrent 宣布，其联合提案获日本 NEDO 选定，参与“融合光电子集成技术的 xPU 设计与开发”主题项目。
作者在 BU Bench V2.1 的 100 个公开任务上，用 Codex CLI 0.144.6 加 GPT-6 Luna 对比 Browser Harness、Playwright MCP、Chrome DevTools MCP、agent-browser 和 Browser MCP，分数均在噪声范围内持平（56.3 到 61.0）。
推荐理由：作者用统一代理和 BU Bench 100 个任务实测五款浏览器控制工具，给出 token、成本、速度和适用场景的可比数据。
Anthropic 让内部研究模型在 Claude Science 中以较高自主性运行 64 小时，针对 4 种蝎子的 5 种神经毒素设计蛋白 minibinder，共生成 318,484 个设计、筛选出 211 个送测。
推荐理由：Anthropic 官方复盘 Claude 自主设计蝎毒素蛋白结合剂的完整流程和实验数据，读者可以据此评估 AI 在被忽视疾病药物发现中的实际能力边界。
Waymo 官方宣布为在西班牙马德里地区推出全自动驾驶网约车服务做准备，目标 2027 年接待首批乘客，未来几天将开始在当地街头投放电动 Jaguar I-PACE 车辆。
Inferact 与 Google 团队发布 vLLM TorchTPU（vllm-torchtpu），一个基于 Google TorchTPU 栈的 vLLM 后端插件，复用 vLLM 现有模型代码，多数现有模型无需改动即可在 TPU 上服务，CLI、OpenAI 兼容服务器、调度器和 KV cache 管理器均保持不变。
GitHub 官方教程讲解如何把 GitHub Copilot app 会话直接在 VS Code 中打开继续，保留对话、代码改动和 worktree。教程涵盖逐行审查 Agent 改动、手动编辑、本地运行验证（如 npm test），以及通过原分支推送更新已有 pull request，无需重建会话或复制文件。
英国数字健康公司 Numan 分享其 AI 健康教练 Nu 的评测优先构建经验：Nu 基于 LangGraph，由 supervisor 调度领域专家子 Agent，评测直接运行在生产同一张图上。
Google 发布 TorchTitan TPU 分支（github.com/google-pytorch/torchtitan），配合 TorchTPU 让 PyTorch 通过 torch.device("tpu") 原生使用 Cloud TPU，无需改写 JAX 或依赖旧 torch_xla。
推荐理由：官方详细披露了 TorchTitan TPU 的关键组件与实测 MFU 数据，读者可据此评估自家模型迁移到 Cloud TPU 的可行路径。
Google 在 PyTorch 相关发布中推出面向 TPU 的 vLLM-TorchTPU 和 SGLang-TorchTPU 推理引擎，分别与 Inferact、RadixArk 合作开发，基于让 TPU 成为原生 PyTorch 设备的 TorchTPU。
推荐理由：官方披露 TorchTPU 架构设计与公开基准结果，读者可以据此评估在 TPU 上用 PyTorch 生态做推理的可行路径。
Firecrawl 发布了 @mastra/browser-firecrawl 的使用讲解，该浏览器提供方让 Mastra agent 通过 CDP 连接 Firecrawl 托管浏览器会话，无需本地运行 Chromium，默认提供 16 个浏览器工具。
Arm 使用 Google AI Edge Model Explorer 开发了多个开源适配器，支持 TOSA、VGF 和 PTE 模型格式，为边缘模型部署提供可视化调试。
Fireworks AI 宣布 11 月 30 日前免费开放 Muse Glimmer 30B 的 SFT 训练，并公布用其训练 tuned Glimmer 预测 Kalshi 已结算市场结果的配方。
Meta 的开源权重模型 Muse Spark Open 于 Fireworks 提供 Day-0 无服务器服务，为 816B 参数 MoE 模型，每 token 激活 42B 参数，上下文窗口 1M token，面向长程编码与智能体任务。
推荐理由：原文汇总了多个第三方基准的实测分数，读者可以据此评估这个开源权重模型在法律、金融等专业场景的可用性。
Google 宣布 Coral NPU 边缘 AI 开放标准达成三大里程碑：新增 Matrix Execution Unit 完成 32 位架构，可配置至 1 TOPS、目标推理平均功耗 10mW。
Sakana AI 将 Quality-Diversity 开放式探索应用于决策支持，提出推荐方法 QD-Rec，以候选和解释性假说的组合为推荐单位，循环执行候选选择、LLM 生成假说和基于生态位机制的档案更新，并在 GitHub 开源代码。
n8n 博客发布教程，讲解如何用一台 NVIDIA DGX Spark（128GB 统一内存）本地承载完整 AI 工作流，经 LiteLLM 单一 OpenAI 兼容端点接入 n8n，全程不调用云 API。
推荐理由：n8n 官方实测在 DGX Spark 上离线跑通全栈 AI 工作流，给出吞吐数据和许可证陷阱，步骤可复现。
Wiz CIRT 根据近期多起事件分析 AI 智能体独立执行云入侵的模式，攻击者以机器速度并行操作云、Kubernetes、CI/CD 与身份系统。
推荐理由：Wiz CIRT 拆解了真实的 AI 智能体主导云入侵的特征与攻防路径，读者可以据此对照自身环境的检测与响应缺口。
Together AI 推出 Together Post-Training 服务，支持通过 SFT 和 RL 在其平台上构建自定义模型，训练循环完全由用户定义。
vLLM 详解如何用异步准备与 NIXL EP 让 Elastic Expert Parallelism 重配置实现近零停机，DeepSeek V4 Pro 从 16 到 20 GB200 GPU 的停机时间从 100 秒降至 0.82 秒，缩回 16 GPU 为 1.96 秒。
Anthropic 宣布将部分股份投入新设的 Anthropic Public Benefit Fund，经股东批准后今日先投入 5% 股份，公司估值每超过基准 50%，董事会可酌情增加 2%。基金以 LLC 形式设立，其持有股权不得用于游说或政治捐赠；叠加创始人和员工捐股计划后，约 20% 的 Anthropic 股份将用于公益，此前公司已承诺 2 亿美元研究 AI 对劳动力市场的影响。