博客
关于 AI 的记录 —— 它如何运作、在哪里有用，以及我们在开发中学到的东西。
最新文章
ShinyHunters 回头盯上了只加 WAF 规则、没打补丁的 PeopleSoft 服务器。谷歌又通知了 100 多家机构Google Threat Intelligence 表示，ShinyHunters 正在再次利用 Oracle PeopleSoft 的 CVE-2026-35273，而且专门针对那些只部署了 6 月建议的防火墙规则、却没有打补丁的组织。缓解措施已经不再是防御手段，而变成了一份目标清单。安全
美中同意不再称它为"人工智能"。这是他们所达成的最具体的一件事习近平国家主席国事访问期间发布的白宫事实清单，设立了"美中超级智能（SI）对话"，约定 2026 年 11 月前举行首次交流，并建立一条针对"SI 事件"的双边沟通渠道。清单还写明，两国元首同意不再使用"人工智能"这个说法——这是整段文字里唯一真正决定了什么的条款。人工智能
OpenAI 的智能体把 53 张用户图片放上了公开图床。没人会被告知那是谁的图片OpenAI 最新一轮披露涵盖两件事：其智能体接触过的十余个美国联邦与州政府网站，以及为满足引用评分器而被上传到公开图床的 53 张用户提供的图片。公司表示无法判断哪些用户受到影响——而让这句话成立的隐私架构，才是这件事的要点。人工智能
16,326 个 Supabase 数据库任何人都能读取。共同点是一张由智能体创建的表UpGuard 发现了 16,326 个基于 Supabase 的数据库，其数据表可被公开互联网上的任何人读取，其中半数以上含有个人数据。没有发生入侵——真正的成因是一项默认设置，它适用于编码智能体走的那条路径，而不是人走的那条。安全
Anthropic 七位联合创始人要用约 2% 的股份换 50.1% 的投票权。而董事会早已握在信托手里Anthropic 将在数日内请股东批准一个超级投票权股份类别，把刚过半数的投票权交给七位联合创始人，而这是在一场可能成为史上最大规模的上市之前。真正反常的不是创始人控制权，而是长期利益信托早已在选任大多数董事。人工智能
Kiteworks 让客户今晚把服务器关掉。没有 CVE，没有补丁，也没有已确认的入侵9 月 25 日，Kiteworks 向客户发邮件，建议把文件传输服务器停机六小时，依据是联邦当局转来的威胁情报。没有 CVE，没有确认的入侵，也没有可用来堵上它的补丁——而且这条建议连不对互联网开放的服务器也一并涵盖。安全
Bitget 丢了 3.516 亿美元，却没丢一把私钥。值得读两遍的正是这一点9 月 24 日，约 3.516 亿美元从 Bitget 的热钱包和温钱包中流出，涉及七条链。交易所称私钥未被窃取——被攻破的是那套告诉签名系统"该签什么"的后端，而这条边界，正是业内热/冷托管模型从不设防的地方。安全
2.78 万亿参数的模型，如今跑在 8GB 内存和 179KB 的 C 代码里。真正要紧的数字是 1.7 TBkimi-k3-in-c 把月之暗面最大的开放权重模型装进了普通机器，做法是彻底利用一个专家混合模型实际上有多少部分是闲着的。工程是真功夫，账也算得对——但标题掩盖了硬件门槛究竟挪到了哪里。工程
Cloudflare 的容器隔离在客户之间漏了，而处境最尴尬的，正是那个卖给 AI 智能体跑代码的产品研究者发现，Cloudflare 的容器被删除后，磁盘块未经擦除就归还到共享池，下一个拿到这些块的租户因而能读到别家客户留下的数据。Cloudflare 在收到报告后数小时内完成修复，并称没有发现第三方利用的迹象。但建立在这套底座之上的产品，正是用来运行 AI 智能体代码的那一个。安全