10月23日 周五

• 10 月 10–14 日的密码喷洒针对 8 家机构的 327 个账户，失败登录超过 151,000 次，峰值约每分钟 2,900 次
• 借 ConnectWise 应用凭据触及 2,250 多个租户，多个案例从选定目标到拿到特权访问不到 3 小时；微软称大部分攻击未成功
• ARTEX 是用 Go 编写的多 Agent LLM 系统，可接任意模型，能从侦察到数据外传自主执行，几乎不需要人工介入
• 微软建议先保全日志和证据、按应用 ID 排查所有授权过的租户，审查服务主体登录和凭据新增，再删除未授权凭据

为什么值得关注这是大厂公开确认 Agent 框架被用于规模化真实攻击的案例：攻击节奏变成「机器速度」、全天候并行，防守方用于响应的时间被大幅压缩。使用多租户 SaaS 应用的团队应重点审查 OAuth 应用权限和应用凭据变更。

• Anthropic 称已有 70 多个 Agent 平台集成 Agent Skills（包括 ChatGPT、Cursor、GitHub Copilot、VS Code），发布了 100 万个技能，安装量近 2.8 亿次
• 标准将由来自 Anthropic、Google、OpenAI 等公司的工程师以个人身份维护，首席维护者为 David Soria Parra 和 Mahesh Murag
• 拟议路线图包括版本化发布、正式的提案流程，以及面向技能作者和安装者的安全指南
• 公告未提到对现有技能格式或产品的改动；不加入 AAIF 也可以继续使用和贡献

为什么值得关注SKILL.md 技能包已成为跨 Agent 的通用扩展格式，交给中立基金会治理后，跨平台兼容和安全规范有了公共讨论渠道；写技能的团队可以关注 agentskills 仓库里的规范变更提案。

• 即日起可通过 Google Cloud API 调用这些模型，也可把本地 Codex CLI 和桌面端工作流接到 Google 的平台做推理
• OpenAI 模型通过 Google Cloud Marketplace 交易，计入统一账单并可抵扣已有云承诺消费
• 提示词、上下文和输出留在客户指定的数据边界内，不用于训练基础模型；零数据保留和机密计算选项「即将推出」
• 公告未披露价格和区域；Gemini for business 和 Google Antigravity 中的 OpenAI 模型也标注为即将推出

为什么值得关注已在 Google Cloud 上的企业可以在同一合同、同一治理体系下比较和切换三家闭源模型，多模型路由的采购门槛进一步降低；但目前仍是私有预览，需要申请。

• AWS 称攻击者如何在禁令期内拿到漏洞信息目前仍不清楚；公开后数小时内又出现更多 PoC，并几乎立即被用于攻击其传感器
• 升级到修复版本是同时解决两个 CVE 的唯一完整办法，没有仅靠配置就能完全规避的方案
• 暂时无法升级时可考虑阻止 multipart 文件上传（先测试影响），并在表单上传请求中搜索 PHP_SESSION_UPLOAD_PROGRESS 字符串
• AWS 建议调查应从最早已知活动（10 月 17 日）开始，并把面向公网的严重漏洞修复时限按小时计算

为什么值得关注说明「由 AI 发现、协调披露」并不保证防守方先手，运行 PHP 的团队不能以公告日期作为排查起点。

• 合作方须维持与 OpenAI 一致的安全措施，调查潜在违规并配合执法
• 客户可提交 SafetyID，让 OpenAI 在调查时区分不同终端用户而无需知道其身份
• OpenAI 称滥用可能来自终端用户、被盗账号或泄露的 API key；处置以有记录的行为和风险为依据，并按比例执行

为什么值得关注自建或采购 LLM 网关、多模型路由的团队需要确认供应商是否已获批准，并评估为终端用户传递 SafetyID 的改造工作量。

• 仍允许用 AI 等工具调光、调色、裁剪或换背景，前提是商品看起来与实物一致
• 图片不合规且买家以「与描述严重不符」开案时，卖家可能需要退款
• 上传图片时表单会标出 AI 生成的图片；用户可通过「举报此商品」反馈误导性 AI 图片，初期只用于收集信息
• AI 生成的艺术品仍可销售，但须披露 AI 使用，不能标为手工或完全原创

为什么值得关注这是大型电商平台对「AI 生成商品图」划出的较细边界，做电商内容生成工具或在平台开店的团队可以参照这套「允许编辑、禁止失真」的规则。

• Embed 8B 在 ViDoRe v3.1 上 nDCG@10 为 61.17，NVIDIA 称在稠密检索模型中排第一；蒸馏得到的 1B 版为 58.38
• Rerank 8B 在图文混合重排上为 60.49，高于 Qwen3-VL-Reranker-8B 的 59.17；加入重排后 Agent 每次查询的 token 成本降低约 14%
• Parse 在 ParseBench 上三遍模式得分 75.20，单张 H100 每秒 10.5 页；单遍模式 72.74，每秒 16.1 页
• 可从 Hugging Face 下载，也可经 NIM 或 Baseten、DeepInfra 等平台调用；NeMo 提供微调配方

为什么值得关注需要在扫描件、图表、幻灯片里做检索的 RAG 和 Agent 团队多了一套可本地部署的「解析—嵌入—重排」组合，可与现有方案做对比评测。

• granite-speech-5.0-2b 在 Open ASR 排行榜英语短音频测试中平均 WER 为 5.06%，在开放权重 ASR 模型中排第二；支持最多 2,000 个词的关键词偏置
• turboctc 的 RTFx 达到 19,870，发布时约为 12,600，并原生输出标点和大小写
• 2b-plus 更新后长音频 WER 从 13.53 降到 10.22，关键词偏置词 WER 从 11.79 降到 6.48，说话人归属转写 cpWER 从 30.5 降到 28.48
• 可用 Transformers、vLLM、llama.cpp 和 mlx-audio 运行

为什么值得关注做会议纪要、客服录音分析的团队可以用可商用的 2B 级模型在本地完成转写、翻译和说话人区分，关键词偏置适合行业术语多的场景。

• Agent 状态以原子方式提交到 Postgres，可从崩溃、重启和机器临时断连中恢复
• 可运行在 Blaxel、Daytona、Unikraft 沙箱或自己的电脑、虚拟机上，运行中可增减机器
• 自带 API key，支持 OpenAI Responses、Chat Completions 和 Anthropic Messages 三种接口格式，工具支持技能和 HTTP MCP 服务
• README 提醒本地默认配置不安全，不要直接用于正式部署

为什么值得关注想要长时间运行、可恢复的后台 Agent，又不想绑定单一模型厂商的团队，可以用它搭原型；自托管时 Agent 历史留在自己的 Postgres 里，便于做评测和分析。

• 2.1.307 修复连接中途断开时 HTTP MCP 工具调用被发送两次的问题，现在只对只读或幂等工具重试
• 2.1.307 新增 `@claude review stop`（也可用 off、pause），用于结束「每次都评审」的订阅
• 2.1.305 新增 sandbox.allowNestedUserNamespaces，允许沙箱内的 Linux 命令创建用户命名空间；更新日志提醒这可能绕过沙箱的文件保护
• 2.1.305 修复经 Vertex、Bedrock 等网关时因拒绝工具搜索导致请求失败的问题，这是 2.1.304 引入的回归

为什么值得关注需要审计编码 Agent 行为的团队，可以把 safety_event 接入现有可观测性平台，统计哪些操作最常被拦截，据此调整权限规则。

• 命令按资源组织（openai [resource] <command>），也覆盖用量统计等管理端点，管理端点需单独的 admin key
• 支持 json、jsonl、yaml 等多种输出格式，可用 GJSON 语法通过 --transform 筛选结果
• 可用 @file 方式把文件内容嵌入参数，包括嵌在 JSON 或 YAML 中
• 官方文档说明它与编码 Agent Codex CLI 是不同的工具

为什么值得关注运维和数据同事可以不写代码就完成批处理提交、文件管理和用量查询，也便于把这些操作写进 shell 脚本或交给编码 Agent 调用。

• 安装时会询问要保护哪个 Agent（默认 Codex），文档列出的连接器包括 Claude Code、Cursor、GitHub Copilot、OpenHands、OpenCode 等
• 策略要求沙箱时，直接在宿主机启动的 Agent 会被拦截，并提示对应的沙箱启动命令，如 defenseclaw sandbox run claude
• OpenShell 中的 Agent 只能看到模型服务凭据的占位符，所有连接由受信任的监管进程转发
• README 明确说明它负责执行策略和记录证据，不保证 Agent 或第三方能力没有风险；安装方式为 curl 管道到 bash，建议先审阅脚本

为什么值得关注适合需要在团队范围内统一管控编码 Agent 权限、又要满足审计要求的平台或安全团队；个人开发者也可以用沙箱模式降低 Agent 误操作的影响。

• OpenAI 的观点：分阶段提前通知分发商、托管商等防守方，能让补丁和防护在公开时就位；它承诺提供 10 亿美元补贴的 Daybreak 访问，支持资源有限的关键服务防守方
• OpenAI 也承认即使有限的细节也可能暴露漏洞，提出在出现在野利用、泄露或补丁本身暴露问题时重新评估时间表，并公开征求对披露窗口长短的意见
• AWS 的观点：AI 让把补丁或公告变成可用利用的成本更低，7 天或 30 天的修复时限已跟不上威胁，检测也不应依赖针对具体 CVE 的特征
• 两者并不完全对立：分歧集中在提前通知范围越大、泄露风险越高这一权衡上

为什么值得关注当 AI 让发现漏洞和编写利用都变快，协调披露的「保密期」和企业的「补丁 SLA」都需要重新设定；安全和运维负责人可以据此复查自己的紧急补丁流程。

• 重构后每个项目约 90% 的定制代码被删除；一个 2026 年 8 月的案例首次部署用了两个月，推广到第二个团队只用一天
• 某半导体客户约 15 名 FDE 做了 10 多个芯片验证用例，AI 生成定向测试节省约 48% 的时间，3 到 6 个月内全部上线
• 某电信客户语音客服场景中，关键生产评测从约 60% 提升到 90% 以上才达到上线要求，前后约六个月
• 原则之一是奥卡姆剃刀：LLM 开发中最简单的方案通常胜出

为什么值得关注企业内部做 AI 落地的团队可以借鉴「先做成一个、再抽出公共内核和技能」的路线，用插件和技能代替逐个项目的定制代码；文中数字均为 OpenAI 自述的客户案例。

• 同时作用于两层：重建子词切分，并把重复出现的表达、整行或 JSON 外壳合并为「宏 token」
• 在基于 Qwen3-4B 的葡萄牙语作文评分模型上，平均回复长度从 350 降到 101 个 token，实测成本降低 77.0%，评测分数从 0.703 升到 0.810
• 一个把分数和 JSON 结构合并成单个 token 的早期版本得分仅 0.689；作者结论是承载模型决策的片段不应被压缩
• 作者说明论文仍在评审中，77% 只来自一个生产案例，7.4 倍的价格比也取决于其硬件和负载

为什么值得关注输出格式固定、调用量大的领域小模型（评分、抽取、分类）可以考虑「词表专门化」这条降本路径；评估时要同时看质量，别让关键决策被合并进结构 token。

• 原因让 AI 能处理规则没覆盖到的情况，例如同样不适合朗读的括号、表情符号
• 指南建议的自查方法：把提示词给一位不了解任务的同事看，如果他会困惑，AI 也会
• 顺序或完整性重要的要求，用编号列表写出步骤

为什么值得关注很多「AI 不听话」其实是只给了规则、没给目的；补一句「这是给谁用、用在哪里」，往往比多写十条禁令更有效。

• 21 个保留任务、315 次试验中，Jev 让每次尝试成本提高 19%（几何均值比 1.19，95% 置信区间 1.02–1.36），通过率均为 73.0%
• 离线评估中 Jev 判断「该结束」的 AUROC 为 0.78，高于规则的 0.62 和小模型的 0.6
• 但 Jev 校准偏差明显：平均完成概率为 0.50，而实际 87% 的 run 已通过，因此触发了不必要的验证；没有任何控制器选择过放弃
• 作者结论：有用的判断信号并没有转化为有用的干预；代码已在 GitHub 公开

为什么值得关注给 Agent 加「裁判」或「监督者」之前，除了看它判断得准不准，还要看概率是否校准、它触发的动作是否真的改善结果，否则只会多花钱。

• 提出 Anti-Persistence 设计：只保存轨迹和结果，按需临时生成针对当前任务的指导，用完即丢
• 由一个参考历史结果的自适应选择器决定是否以及如何生成指导
• 作者报告在多个基准和基座模型上，该设计在对比的记忆方案中留出集总体成功率最高、平均 LLM 调用成本最低；摘要未给出具体数字
• 结论：积累经验和持久保存对经验的解读应作为两个独立的设计选择

为什么值得关注给 Agent 加「自我总结的经验库」或自动生成技能时，要考虑错误规则被反复强化的风险，可以保留原始记录、定期重建而不是只追加。