技术早报 · 2026 年 10 月 29 日（周四）
每天 5 分钟，跟上技术圈。
📰 头条
1. Mistral 开源万亿参数旗舰 Large 4：“Le Chonk”可下载自建
法国 Mistral AI 于 10 月 29 日发布 Mistral Large 4 的开放权重，距 10 月 6 日的公开预览仅三周。模型约 1 万亿参数、每次推理激活约 520 亿参数，原生多模态、上下文 100 万 token；Mistral 自称，三周额外的强化学习让它在 Terminal-Bench 4.0 上从预览时的 28% 升至 41%，在 Artificial Analysis 的 Coding Agent Index 上以少 47% 的 token 追平 GLM-5.3，网络安全评测 Cyber Index 达 51%。权重上架 Hugging Face，许可证是改良版 MIT，允许商用与微调，但以“模型即服务”转售需另签商业许可；API 定价为输入每百万 token 0.70 美元、输出 2.10 美元。继 Google 把最强模型先交给防御者之后，Mistral 走的是另一条路：把安全能力直接交到用户自己的基础设施上——代价是，任何人也都能拿到它。
·
2. Alphabet 财报不及预期：营收、广告与自由现金流全线落空，股价盘后跌超 10%
Google 母公司 Alphabet 于 10 月 28 日盘后公布第三季度财报：营收 1276 亿美元，同比增长 25%，但低于分析师预期的约 1282 亿美元；每股收益 2.12 美元，远低于约 3.02 美元的预期；自由现金流转为负 90.7 亿美元，为公司上市 22 年来第二次出现季度现金净流出。财报后股价在盘后交易中一度跌超 10%。亮点仍在云：Google Cloud 营收 307 亿美元，同比翻倍有余，超出预期。但广告业务 820 亿美元不及预期，87 亿美元的股权投资损失也拖累了利润。市场传递的信号很直接：AI 基建的账单已经到了，回报的证明还没到。
·
3. Anthropic 与 OpenAI 分歧公开：危险 AI 该由谁来“拔插头”？
两家公司向加州州长纽森提交的方案显示，它们对前沿 AI 的紧急关停权各执一词。Anthropic 在 10 月 15 日的提交中主张：若独立评估认定某模型有近期灾难性伤害风险，总检察长应可向法院申请暂停该模型的部署、内部使用或继续开发。OpenAI 在 10 月 20 日的信中则主张修改加州 SB 53 法案，要求前沿开发者必须维持有效的关停控制，并在不安全条件出现、且没有更轻干预可用时有义务使用它。两家都支持独立安全评估和扩大事件报告。分歧的实质是问责放在哪一端：法官居中裁决，还是开发者自己动手——加州的答案，大概率会成为全行业的模板。
·
4. PHP2Shell 连锁攻击已 root 25 台服务器，Palo Alto 警告管理界面正被利用
以色列安全公司 Dream 于 10 月 28 日披露，一名疑似与中国有关联的攻击者用 AI 辅助的定制 exploit，把 PHP2Shell（CVE-2026-109618 / CVE-2026-109619，CVSS 9.2）与 Linux 内核提权漏洞 Fragnesia（CVE-2026-46300）串联，在 10 月下旬 root 了分布在美国、日本、台湾和韩国的 25 台服务器，其中 3 台属于美国政府关联机构；攻击者植入 webshell，并通过反向隧道进入内部防火墙管理服务器，尝试解密 LDAP 服务账号密码、枚举域用户并创建后门账号，成败尚不完全清楚。Palo Alto Networks 于 10 月 29 日警告，针对其 PAN-OS 互联网暴露管理界面的 PHP2Shell 主动利用已被观测到，部分热修复排到 10 月 30 日。美国联邦机构修复 PHP2Shell 的期限就是 10 月 29 日，Fragnesia 的期限是 10 月 31 日——还没打补丁的，这两天就是最后窗口。
💻 GitHub 本周趋势
10 月 29 日的 GitHub 日趋势榜上，Agent 基建仍是主旋律，但榜首换成了一个“逆向工程”工具：
- morluto/rea：让编码 Agent 对着任何应用“学它怎么工作”——不看源码，通过 Hopper/Ghidra 检查原生二进制、Electron 应用、.NET 程序集和网站，再给出带证据的解释，单日新增约 3423 星，登顶当日榜。
- Ebony-Vinyl/dsh-our-free-model：DeepSeek Harness shell 的插件，装上就能免登录、免 API key 用上 DeepSeek V4.1 Flash、Kimi K3 等前沿模型的免费通道，单日新增约 1487 星。
- pbakaus/impeccable：给 Agent 补设计词汇、治 AI 生成界面“千篇一律”的项目，昨日上榜后继续走高，单日新增约 1476 星——大家还在为 Agent 的审美补课。
🔒 安全速览
- 思科 ASA/FTD 的 SSL VPN 零日进 KEV，联邦修复期限 11 月 1 日：CVE-2026-76418（CVSS 8.6）未经身份验证的攻击者经远程访问 SSL VPN 服务可触发设备重启、造成拒绝服务；需同时满足运行受影响版本、SSL VPN 可达、隧道组配置了二次认证三个条件，思科称 10 月已观测到主动利用，无变通办法，只能升级或禁用相关配置。
- GitLab 整数溢出漏洞 CVSS 10.0 进 KEV，同样 11 月 1 日到期：CVE-2026-97229 未经身份验证的攻击者可通过 CI/CD 配置中的特制正则表达式在 GitLab 服务器上执行任意代码；据报攻击者曾试图用它攻击 Alpine Linux 项目自家的 GitLab 服务器，自建 GitLab 的请立即升级。
- Drupal Core Field UI 远程代码执行，评级 Critical：CVE-2026-108097 位于 Drupal 核心的 Field UI 模块，核心本身不易直接利用，但配合 contributed 模块或自定义代码存在多条利用路径、至少一条无需身份验证；缓解措施是卸载
field_ui模块，请按 Drupal 安全公告 SA-CORE-2026-014 处理。 - 别忘了本周另外两个期限：PHP2Shell 的联邦修复期限是今天（10 月 29 日），Fragnesia 内核漏洞的期限是 10 月 31 日，两者可串联提权，跑 PHP 的 Linux 服务器请同时升级并重启生效。
本栏目由定时任务自动生成，内容来自公开资讯聚合，链接为原文出处。