技术早报 · 2026 年 10 月 24 日（周六）

每天 5 分钟，跟上技术圈。

📰 头条

1. 月之暗面给 Kimi K3.1 Pro 做网络能力“减法”，权重仍定 11 月 4 日前放出

路透 10 月 24 日报道，月之暗面在发布 Kimi K3.1 Pro 时，从训练语料和强化学习环境中移除了网络攻击相关数据，但保留了通用编程能力，理由是“不发布会把网络能力绝对前沿往前推的开源权重”。这款 3 万亿参数级别的模型仍计划在 11 月 4 日前公开权重。开源权重一旦流出就收不回来——先做减法再放出，比事后打补丁现实得多，但微调能否把能力加回来，仍是悬而未决的问题。

出处

·

2. OpenAI Decisions API 正式可用：不写文章，只给判断

OpenAI 的 Decisions API 结束公开测试、正式可用：输入问题，返回概率、选项或评分，而不是一段文本；基于 GPT-6 Luna，号称比 Responses API 快约 10 倍，并新增语音集成和提示缓存，单次请求上限从 200 问翻倍到 400 问。语言学习应用 Speak 的实测把动作间隔从 1.4 秒压到 0.13 秒——小判断高频调用的场景，终于不用为每个判断都跑一遍大模型全文生成了。

出处

·

3. Google 数据 Agent 工具包进入 GA：给 Agent 接企业数据先立规矩

Google 10 月 24 日宣布 Data Agent Kit 正式可用：以 MCP 服务器形式暴露实时数据模式，让编码 Agent 直接操作 Google Data Cloud 服务；内置护栏要求不可逆操作须经用户确认，并可用 IAM 策略做细粒度管控，还能预装进 Cloud Shell 和 Cloud Workstations。Agent 连生产数据库这件事，终于从“给个万能 key”走向“按工具、按身份给权限”——企业落地 Agent 的瓶颈正在从模型能力转向治理。

出处

·

4. DeepSeek V4.1 Flash 1017：编码更强、事实仍弱，峰谷定价拉开差距

DeepSeek 的 V4.1 Flash 1017 版本在编码上有所提升，但事实性表现仍落后；API 定价分峰谷：高峰输入 1.20 每百万 token，低谷减半为 0.60，缓存输入低至 0.006。值得注意的是 DeepSeek 的 Search / Fetch 工具调用目前仍免费，但将于 10 月 31 日 16:00 UTC 起按每次成功请求 $0.75 计费——靠免费工具链搭 Agent 的，账单模型要提前算好。

出处

·

💻 GitHub 本周趋势

本周榜单仍是 Agent 主题的天下，但非 AI 一侧也冒出几颗实用的星：

  • morluto/rea：让 coding agent 无源码逆向工程任意软件的工具，10 月 24 日 GitHub 星数约 36.5 万，10 月 19–24 日一周就涨了 5.1 万星，增速仍是全站断层第一。
  • simbasjungles/free-my-tv：给 Google TV、LG webOS、三星 Tizen 换一个无广告、快速的主界面，一键可撤销。
  • Zagitta/gpu-unlock：把英伟达 3000 系显卡的 FP/BF16 指令发射率解锁到专业卡水平。
  • xevrion/hatchzip：原地解压超大压缩包，边解压边“孵化”出文件，磁盘只需容纳解压后的结果。
  • humblemuzzu/dumbtv：经 ADB 给 Fire TV 去广告、去追踪、去臃肿，自带开源主界面，每步可撤销。

本周 AI 仓库增速榜 · 非 AI 趋势榜

·

🔒 安全速览

  • CISA KEV 10 月 24 日新增两项在野利用漏洞，联邦机构须在 10 月 26 日前修复：CVE-2026-110447（CVSS 9.2，Nextcloud 内置 Collabora CODE Server 经 proxy.php 的 OS 命令注入，修复版 26.4.303）与 CVE-2026-114625（CVSS 9.9，Arista VeloCloud Orchestrator SQL 注入，最低 Enterprise Read Only 角色即可利用，修复版 5.2.3.18 / 6.1.3.10 / 6.4.2.12）。这已是 VeloCloud 近四个月内第三个被武器化的零日。
  • PHP2Shell 利用尝试持续扩散：CVE-2026-109618 / CVE-2026-109619 两个 PHP 核心未授权 RCE 披露后数小时内利用尝试即达数百万次（Cloudflare 数据），FBI 敦促立即打补丁。修复版：8.5.12 / 8.4.27 / 8.3.36 / 8.2.35；另有配置相关的 CVE-2026-115560 暂无专用补丁，临时缓解是关掉 session upload progress。
  • LiteLLM 1.107.0 供应链投毒仍在善后：10 月 21 日发布的 1.107.0 在 PyPI 上架约两小时即被撤下，内含凭据窃取器与远程后门，且随每次 Python 启动自动运行（不 import 也中招）；攻击者用被盗的 GitHub CLI OAuth token 劫持了发布流水线。干净版本为 1.106.2 及 1.107.0rc1/rc2——装过问题版的机器只卸载不够，须轮换全部凭据。
  • HPE Aruba AOS 一次修 72 个漏洞，其中 8 个 CVSS 10.0：影响 AOS-8 / AOS-10 的控制器、网关与 AP，多数经 PAPI 或 Web 管理面无需认证即可拿下设备；HPE 称暂无已知在野利用与公开利用代码。修复版：10.8.1.2 / 10.7.2.7 / 10.4.1.14 / 8.13.3.1 / 8.10.0.24，管理面应先收进专用 VLAN。

· ·

本栏目由定时任务自动生成，内容来自公开资讯聚合，链接为原文出处。