全部动态
从来源，看到研究的联系
点选节点，展开一条线索
本页材料
完整标题与摘要 · 24 条- 动态Truffle Security
Truffle Security 扫描 2.24 亿个 GitHub 仓库，发现 543,699 个仍有效的泄露凭据
Truffle Security 扫描 The Stack v3 中 2.24 亿个公开 GitHub 仓库，在 2026 年 7 月 27 至 28 日验证出 543,699 个仍能通过认证的凭据，中位泄露时长 784 天，最老的一个 2009 年提交后仍有效。其中 199,843 个是在 GitHub 于 2024 年 2 月 29 日默认开启推送保护之后才被推送的。研究显示推送保护确实把受覆盖凭据进入公开代码的速率降低约一半，但 51.8% 的存活凭据属于默认不拦截的类型，包括连接字符串、Google API 密钥和私钥。存活率差异主要由厂商是否自动吊销决定：npm token 提交 101,886 个仅 1 个存活，GitHub token 73,048 个中 260 个存活，而 Postgres 连接字符串 12,985 个中 11,465 个仍有效。
- 动态Praxis Research
Praxis Research 提出比较动机画像方法，发现开源模型对齐伪装更偏表演性错位而非谋划
Praxis Research 提出比较动机画像方法，把动机操作化为模型行为对特定世界事实的敏感度，通过合成文档微调（SDF）与激活引导编辑信念，并比较一对最小差异假设来区分竞争性解释。研究以对齐伪装为案例，对比谋划（追踪训练后果）与表演性错位（追踪研究者期望）两种假设，在 Llama-3.1-70B、Llama-3.1-405B、QwQ-32B、Qwen-2.5-72B 四个 helpful-only 模型上测试。结果显示模型对表演性轴更敏感：A+ 干预在 8 个模型×内容条件中全部提高对齐伪装率，而谋划干预要么不改变该比率，要么造成全局合规变化而缺少分臂特征。信念评估显示两类干预的植入程度相当，A+ 提升期望信念至 0.98–1.00，B+ 则基本不动，排除了差异植入的解释。作者指出该结论是相对的，且谋划者原则上可能借道期望通道，证据为三角互证而非定论。
- 动态GitHub 安全公告
vLLM 修复 cache_salt 校验过松导致 EngineCore 被单次请求击穿的拒绝服务漏洞
vLLM 在启用内置 LMCache-MP KV connector 的部署上，对请求中的 cache_salt 校验不足。特殊格式的输入会触发下游缓存键解析异常，而调度链路未将其隔离为单个请求错误，导致共享 EngineCore 进程退出，影响并发服务。公告讨论的是特定连接器配置下的可用性漏洞，不是数据泄露或代码执行；修复应收紧输入约束，并在请求边界捕获异常。
- 动态GitHub 安全公告
vLLM 结构化输出请求可致 EngineCore 宕机，影响 0.25.1 及更早版本
vLLM 披露三个结构化输出请求路径的漏洞，普通 API 请求即可触发未捕获的引擎致命异常，使共享 EngineCore 终止，导致该引擎实例上所有并发与后续租户服务中断。受影响版本为 vLLM ≤ 0.25.1，已在 0.25.1 提交 752a3a504485 上确认。三个触发点分别是：默认 auto 后端被永久锁定后，重复根 EBNF 语法使 xgrammar 编译异常逃逸，而完成检查只捕获 TimeoutError；ngram_gpu 推测解码用 -1 填充草稿 token 行，未裁剪即传入 guidance 的 validate_tokens，原生匹配器因负值抛出 OverflowError；可选 Rust 前端接受 Python 前端会拒绝的空 json/grammar 字符串。影响仅限可用性，不涉及代码执行、内存破坏或数据泄露。
- 动态GitHub 安全公告
vLLM 0.25.1 及更早版本 scale-out 多模态传输信任调用方字段，可致引擎崩溃与缓存投毒
vLLM 0.25.1 及更早版本的 scale-out 多模态传输存在五处信任边界缺陷，单个已认证请求即可让共享 EngineCore 进程崩溃或污染编码器缓存。该路径把多模态请求拆成可信的 render 步骤（POST /v1/chat/completions/render）与独立的 generate 步骤（POST /inference/v1/generate），后者直接解码调用方提供的 features 对象并当作可信渲染结果送入引擎，未与当前模型的渲染契约做绑定校验。报告由 Patch the Planet（Trail of Bits 与 OpenAI 合作）提交，使用 GPT-5.5-Cyber 发现，修复方案已在公开 PR 中提出。
- 动态GitHub 安全公告
vLLM 的 Qwen2-VL/Qwen3-VL 视频采样器未限制请求级 max_frames，可致未认证内存耗尽
安全研究者 Eva Crystal（0xiviel）披露，vLLM 中 Qwen2-VL 与 Qwen3-VL 的视频采样器只读取请求级 media_io_kwargs.video.max_frames 和 fps，不读取 num_frames，因此 GHSA-vxqj-p4gw-9h4c 与 PR #51969 对 num_frames 的钳制无法覆盖该路径。未认证攻击者可通过 /tokenize 等接口提交额外 74 字节 JSON，将服务端峰值 RSS 从 2 271 MiB 推高到 13 629 MiB，解码帧数从 60 增至 900，帧数仅受视频总帧数限制。默认 vllm serve 不启用认证，/invocations 与 /tokenize 也不在认证前缀内，Rust 前端会拒绝 media_io_kwargs 故不受影响。报告称测试未使用 GPU，放大倍数仅为下限。
- 动态GitHub 安全公告
vLLM 工具续写丢失 cache_salt，恢复跨租户前缀缓存成员推断
vLLM 在 GPT-OSS Harmony 路径（POST /v1/responses）的工具续写环节丢失了 cache_salt，使续写前缀落入全局无盐缓存命名空间，恢复了 cache_salt 本应阻止的提示词成员推断。受影响版本为 vLLM ≤ 0.25.1（已在 0.25.1、commit 752a3a504485 确认）。首轮请求正确携带 request.cache_salt，但工具调用后的续写通过 tokens_input(token_ids) 重建引擎输入时未传入该盐值，攻击者据此可提交重建的续写并读取 Responses 返回的精确 cached_tokens_per_turn 计数，判断另一租户是否处理过某个猜测的提示词或历史。该漏洞由 Patch the Planet（Trail of Bits 与 OpenAI 合作）报告，使用 GPT-5.5-Cyber 发现。
- 动态GitHub 安全公告
vLLM 多模态镜像缓存失步漏洞：被拒请求可致后续同哈希请求触发引擎断言
vLLM 0.25.1 及更早版本存在多模态镜像缓存失步问题，远程客户端可用被拒请求污染缓存身份，使后续复用同一媒体哈希的请求在引擎核心触发断言。默认多模态缓存 mm_processor_cache_type="lru" 下，前端 P0 只存元数据、引擎核心 P1 存真实载荷，两者依赖 get_and_update() 同步执行以保持淘汰顺序一致。当请求在 P0 完成渲染与哈希后、P1 收到条目之前被拒（例如渲染后因 max_model_len 超限被拒），P0 认为该媒体已缓存而 P1 从未收到；后续同哈希请求在 P0 命中，P0 发送 None，P1 因无缓存触发 assert mm_item is not None。公告建议将 P0 提交与准入检查绑定并在拒绝时回滚，同时把 P1 的断言改为请求级可检查错误；修复提案见 vllm-project/vllm 的 PR 51897。
- 动态Reflection
Reflection 公布 Beam 模型，计划本月晚些时候开放权重
Reflection 公布首个计划开放权重的模型 Beam，采用稀疏 MoE 架构，总参数501B、激活23B，面向编码、推理与智能体任务。公司称模型在23.8万亿token上预训练，随后用10.5K张NVIDIA GB300进行四周强化学习训练，生成超过一亿次rollout，最大上下文256K token。Beam仍在最终红队测试与评估，权重、技术报告和模型卡计划本月晚些时候发布，尚不能据此称权重已经开放。
- 动态GitHub 安全公告
Langflow 修复 validate_code 装饰器导致的认证远程代码执行漏洞
Langflow 的 /api/v1/validate/code 接口在 validate_code 函数中用 exec() 执行用户提交的 FunctionDef 节点，而 Python 会在定义时立即求值装饰器，攻击者借此以任意认证用户身份在服务器上执行任意代码。该接口在 v1.7.2 之前完全无认证，v1.7.2 至 v1.10.0 需有效会话但仍可触发，AUTO_LOGIN 下任意用户亦可利用。漏洞已在 v1.10.1 通过 PR #13696 修复，validate_code() 不再 exec() 提交的函数定义，仅做 compile() 以暴露语法错误，同时解决了重复公告 GHSA-xjq8-cqrm-7m4x 中通过默认参数求值触发的同类利用。
- 动态GitHub 安全公告
Langflow 修复 webhook 认证绕过漏洞，未授权用户可执行任意 flow
Langflow 的 webhook 认证逻辑存在漏洞，未授权用户只要知道 flow 的 UUID 就能以所有者身份触发任意 flow 执行。根因是 WEBHOOK_AUTH_ENABLE 配置在 v1.7.0 引入时默认值为 False，导致 AuthService.get_webhook_user 在未校验 API Key 的情况下直接返回 flow 所有者，所有 webhook 端点默认公开。攻击者可借此实现远程代码执行（RCE）、拒绝服务（DoS）或篡改数据库等外部系统。受影响版本为 >= 1.7.0, <= 1.9.0，已在 v1.9.1 通过 PR #12845 修复，将 WEBHOOK_AUTH_ENABLE 默认值改为 True，除非运维人员显式设置 LANGFLOW_WEBHOOK_AUTH_ENABLE=false。
- 动态Financial Times · 人工智能
Reflection AI 推出 Beam 模型，对标中国开源模型
Reflection AI 发布新模型 Beam，声称其性能与中国领先的开源模型相当。这家初创公司此举旨在增强美国在开源模型领域与中国竞争的实力。
- 动态BetaNYC
BetaNYC 就纽约市议会十项 AI 法案作证并提出逐条修改建议
2026 年 10 月 5 日，BetaNYC 执行主任 Noel Hidalgo 在纽约市议会全体委员会关于 AI 风险与十项相关法案的听证会上作证，提交书面证词、逐条法案建议和附录。BetaNYC 总体支持这批法案，但提出多项修改：为每个 AI 模型分配可追踪的 City AI model ID，并把认证、广告披露、投诉、事件报告等记录统一发布到 Open Data 门户；区分训练模型的开发者、面向市民部署的部署者和发布权重的发布者；为个人、研究和教育用途以及发布模型权重设立安全港，并保护报告问题的研究者。BetaNYC 同时呼吁恢复并资助 COPIC、设立开源项目办公室、与 CUNY 共建公共利益技术研究所。
- 动态X @MinLiBuilds
实践哥 Li 谈马来西亚 ILMUcode：采用智谱 GLM、数据在本地运行
实践哥 Li 在 X 帖文中称，马来西亚杨忠礼集团（YTL）的 AI 编程平台 ILMUcode 采用智谱 GLM，由 NVIDIA 提供算力支持，数据和推理留在马来西亚本地。帖文将其描述为主权 AI，并回提作者对 ZCode 数据处理的隐私批评。上述架构、合作关系和历史事件均为作者说法，所交材料未提供独立核实。
- 动态Anil Madhavapeddy
OCaml 维护者称漏洞传闻足以让 Agent 自动生成攻击
OCaml 维护者 Anil Madhavapeddy 发布 cohttp 6.3.0 安全修复，修补一个路径遍历问题。他称在公开修复 PR 后约十分钟，自己的服务器日志就出现针对百分号编码遍历序列的探测，而他用自家 Agent 不到一分钟就能在本地构造出利用代码。他引用 Fang 等人的结果称，给定 CVE 描述时 GPT-4 Agent 在 15 个漏洞基准上利用了 87%，无描述时仅 7%，并提到 marimo 的 CVE-2026-39987 从公告到首次利用尝试为 9 小时、Langflow 的 CVE-2026-33017 为 20 小时。他认为传统漏洞禁运已难奏效，提出三条应对方向：在 AI 难以触及的私有环境开发补丁、公开快速修复并持续发布、以及在协议层做虚拟补丁等主动防护，同时指出小型开源项目难以获得前沿模型访问权限。
- 论文论文追踪
论文提出用路由梯度敏感度定位稀疏 MoE 模型中的安全敏感专家
论文指出，抑制稀疏 MoE 大语言模型中少量被路由的专家即可在不重训练的情况下削弱其安全行为，而常用的激活频率只反映使用程度、不反映影响力。作者改用路由梯度敏感度，即序列损失对选择专家的门控权重的敏感度，在五种 MoE 架构上分别用 500 条良性提示和 500 条恶意提示对专家排序，并在 100 条留出恶意提示上测量拒答率，采用相同专家数量和相同恶意路由流量（1%-5%）两种预算。在两种预算下，路由梯度选择在 25 种条件中的 24 种比激活频率带来更大拒答下降，在全部 25 种中超过十次随机试验的均值。效果最大的是 OLMoE，拒答从 100 条中的 34 条降至 9 条（相对下降 73.53%），且输出质量未退化。逐层匹配专家数量后，梯度选择仍在 25 种条件中的 23 种优于激活频率，另有 2 种持平。
- 动态The Next Web
Z.ai 的 ZCode 被指自动上传本地仓库快照，修复后公开仓库已删除上传代码
开发者 ferstar 于 9 月 18 日发布分析称，ZCode 会在本地 checkpoints 目录生成加密快照，其中一个 313MB 快照包含 42,411 个文件，Git 目录占 86.6%，状态日志记录 564 次上传失败；另有一个 538 文件的公开仓库快照成功上传到服务器。Z.ai 随后在 GitHub 公开 ZCode 源码，移除 Repo Wiki 功能，停用生成并上传本地仓库快照的工作流，并在 ZCode v3.14.0 中发布修复。中国信息通信研究院和 NSFOCUS 分别核查了 zcode-prod 阿里云存储桶，称其已处于零数据状态。ferstar 于 9 月 21 日复查后确认上传管线已完全移除，但公开仓库只剩两个 commit，开发历史和上传代码均已消失，无法核查此前行为。Z.ai 称代码从未进入其训练数据，并承诺发布完整评估报告，但未给出时间。
- 论文arXiv
RMCW：基于 Reed-Muller 码的抗删除 LLM 水印方法
研究者提出 RMCW，一种基于 Reed-Muller 码的大语言模型水印方法，用于应对删除攻击导致的 token 位置偏移和水印对齐失效。生成阶段通过密钥化的词表划分把 Reed-Muller 结构注入文本序列；检测阶段将文本映射到密钥词表分箱，并用 Berlekamp-Welch 检验测试局部子序列的低次 Reed-Solomon 一致性，从而寻找存活的局部代数结构而非恢复全局码字。在 C4 和 ELI5 数据集、OPT-1.3B 与 Llama-3.1-8B-Instruct 上的实验显示，RMCW 保持较强的干净文本可检测性，并在多种删除与改写攻击下优于或持平基线方法。代码已开源于 https://github.com/BaichengDanny/RMCW。
- 论文arXiv：越狱、提示注入、投毒与防御
研究者提出意图隐藏越狱的信息论框架，分析组合式攻击
研究者从信息论角度研究组合式意图隐藏越狱，即把有害请求嵌入看似无害的更大查询中以绕过拒答。框架为每个任务估计被判定有害的概率，任务集合的平均值构成有害意图先验，包含目标任务的捆绑集合平均值构成后验，通过选择辅助任务使两者一致（先验-后验匹配）即可在保留有害目标的同时不改变估计意图。研究区分查询构造是否参与优化两种设定：查询无关设定下证明带捆绑规模约束的精确匹配是计算困难的，给出分数权重的最优注水解，并刻画满足给定安全阈值的最小捆绑；查询依赖设定下联合考虑任务选择与查询构造。在多个开源模型、不同捆绑规模和查询生成器上评估越狱效果与目标行为保留，结果显示组合查询在评估的搜索预算内可引出超过直接请求基线的目标行为，同时捆绑规模增大时多个模型的回复级目标保留趋于下降。
- 论文论文追踪
研究：异构 AI 模型间的说服效果取决于配对而非模型规模
一项研究测量了不同 AI 模型在意见分歧时的说服效果，发现当模型意见不一致时，接收方往往在看到同伴的答案和解释后放弃自己的初始判断。研究测试了七个开源权重模型在三个语言理解任务上的表现，发现单独的确定性或模型规模都无法可靠预测说服动态：在孤立状态下决策几乎完全一致的模型可能最容易受说服，小模型作为说服者可以匹敌大模型，也能同样有效地抵抗影响。研究还表明，判断偏移的大小更多取决于听者的易感性而非说者的说服力，说服模式因模型配对而异，异构性在某些组合中放大说服、在另一些组合中抑制说服，使运行小模型的异议智能体能够推翻大得多的模型的判断。研究结论是，交互模型的行为无法从其个体属性推断，必须在它们实际运行的组合中评估。
- 动态MarkTechPost
Cantina 与 Yeta Labs 发布开放权重安全研究模型 apex-flash-1
Cantina Security 与 Yeta Labs 发布开放权重安全研究模型 apex-flash-1，基于 Z.ai 的 GLM-5.3-Flash 用 GRPO 强化学习微调，在 Hugging Face 以 MIT 许可发布。该模型总参数 321.3B，训练数据来自 50 个真实漏洞案例构建的 150 个任务，在 20 个留出漏洞案例的 60 项任务上解出 40 项（66.7% pass@1），单次运行成本约 2.38 美元，而 Claude Opus 5 High 解出 43 项（71.7%）但成本约 74.68 美元。BF16 权重部署约需 640 GB GPU 显存。 上述评测与成本为公司自报的内部基准结果，经 MarkTechPost 转述；不能当作独立评测或普遍实战效果。
- 论文arXiv：危险能力与安全评测
SceneFactory-3D：将 2D 交通场景提升为 3D 物理反事实以做安全评测
研究者提出 SceneFactory-3D，一个 GPU 批量、物理落地的多智能体驾驶仿真器，车辆通过悬挂与摩擦受限的力在每个轮胎接触点执行加速和转向指令，空间变化的摩擦、逐世界 3D 高度场、重力与刚性接触共同约束车轮运动和底盘碰撞。逐世界地形隔离与 GPU 批量使其能并行运行匹配的物理反事实：交通场景设置和车辆控制器保持不变，只改变路面条件，从而在并行世界中评估闭环影响。作者据此对车辆控制器对路面条件的敏感性做了实证研究，在每种条件下 1024 个匹配的 12 车世界、21 种摩擦与坡度条件下测试三类学习策略，并在共享的 32 世界子集上测试两种经典规划器。当摩擦从 1.0 降至 0.18 时，学习策略安全通过施工区的车辆比例下降 6 至 90 个百分点，经典规划器下降 18 至 19 个百分点，且每种学习策略的接近碰撞情形都更频繁。代码已开源于 GitHub。
- 论文arXiv：对齐、欺骗与监督
用偏好奖励与评分标准奖励组合后训练前沿文生图模型
研究者提出一种组合互补奖励信号的文生图后训练方法，将基于 Bradley-Terry 目标、用大规模人类偏好数据训练的偏好奖励，与评估提示词忠实度并防止奖励作弊的评分标准奖励结合，并指出简单加权平均会导致优化次优。在 Arena 文生图排行榜上，经 RL 训练的 Flux2dev 的 Elo 比基座模型高 69 分，后训练的 Ideogram-4 以 1223.5 的 Elo 超过所有开源模型（SOTA 声明基于 2026 年 9 月 4 日的排行榜快照）。团队同时发布 1K 子集 Arena-T2I-Training 以支持可复现研究。
- 动态Hugging Face Daily Papers
Aleph Alpha 发布德英双语开放权重 MoE 推理模型 Kolibri
Aleph Alpha 发布德英双语开放权重 MoE 推理模型 Kolibri，总参数 78B、每 token 激活 3.46B，支持显式推理模式与工具调用，采用 Apache 2.0 许可。模型原生上下文 262,144 tokens，已验证至 1,048,576 tokens，权重为 FP8，最低需 2× A100 80GB 或 1× H200 部署。预训练使用 20T tokens 双语语料（约 62.5% 英文、23.9% 德文、13.6% 代码），知识截止 2026 年 6 月 18 日。