今天的主线是「AI × 安全」：OpenAI 牵头的 Patch the Planet 用模型挖出 PHP 核心高危漏洞，LiteLLM 在 PyPI 被投毒，Claude Security 改为持续扫描。产品侧，Claude Duet、OpenAI 登陆 Google Cloud、Mistral Large 4 同时刷屏。
质量标签：高 官方或可核实的一手来源 中 可信来源但含自报数据 待核实 仅有传闻、热门摘要或未证实说法
今日焦点5 条
跨平台综合热度最高、可核到一手来源的条目
1
AI 挖出 PHP 核心高危 RCE：OpenAI 牵头「Patch the Planet」联合披露
OpenAI 模型协助研究者发现影响约七成网站的 PHP 引擎远程代码执行漏洞（PHP2Shell），OpenAI 联合维护者与安全厂商两个月协调修复，PHP 已发紧急版本。这是 AI 规模化挖洞进入真实基础设施的标志性事件，请尽快升级 PHP。
来源：OpenAI 官方 / Wiz / Greg Brockman · X @OpenAI 1.39 万赞 · 522 万浏览；HN「PHP2Shell」441 分 · 174 评；HN「PHP 8.2.35」1017 分
2
Anthropic 发布 Claude Duet：会主动找你的个人 Agent（研究预览）
独立 App，主动处理收件箱、日历与跟进事项，你离开时继续工作，代你行动前会先确认。目前候补名单开放，是 Anthropic 进入「全天候个人助理」赛道的正式产品。
来源：@claudeai 官方 · X 4.62 万赞 · 631 万浏览 · 1857 回复；HN 351 分 · 322 评
3
LiteLLM 1.107.0 在 PyPI 遭投毒：窃取凭证并植入后门
恶意版本通过 .pth 与 sitecustomize.py 在每次 Python 启动时运行，目标是云凭证、私钥和 AI 工具密钥，Docker 镜像也受影响。用 LiteLLM 做模型网关的团队请立即排查版本、锁定依赖并轮换密钥。
来源：SafeDep 安全分析 / The Hacker News · HN 503 分 · 167 评；X @TheHackersNews 303 赞 · 5 万浏览
4
OpenAI 模型与 Codex 登陆 Google Cloud Model Garden
OpenAI 前沿模型和 Codex 智能体工作流进入 Google Cloud，企业可在 GCP 内直接调用。多云分发进一步打破「一家模型绑一朵云」的格局。
来源：OpenAI 官方 · X @OpenAI 3941 赞 · 33.6 万浏览；HN 285 分 · 118 评
5
Mistral Large 4 公开预览：1T 参数 / 52B 激活，月底放权重
欧洲自建 3800 张 Grace Blackwell 训练的原生多模态 MoE，官方称在网络安全、金融、法律等开源模型中领先，DeepSWE 61.7%。成绩多为官方自测，权重将于本月底发布。
来源：Mistral 官方博客（页面日期 10 月 6 日，本周 HN 热议） · HN 319 分 · 95 评
X / 推特8 条
实验室官方、创始人、研究者高互动帖与小号优质内容（X API 免费额度检索）
1
Claude Security 改为「持续扫描」，Enterprise 公测
连接仓库后先深度扫描，代码变更后自动复扫，让安全结论跟上最新代码。
来源：@claudeai · 8553 赞 · 53.9 万浏览
2
GPT-Rosalind 用数千个 Agent 挖出神经退行性疾病新线索
在小鼠脑数据中发现 DCTN1 与胆固醇转运相关的新假设，OpenAI 同日发布「用数千个 AI Agent 分析生物数据」博客。属科研线索，尚需实验验证。
来源：@OpenAI · 6320 赞 · 119 万浏览；HN 143 分
3
Gemini 4 Argon 上线 72 小时处理约 25 万亿 tokens
Google AI Studio 负责人披露的调用量，说明新旗舰需求极旺。数字为官方口径。
来源：@OfficialLoganK（Logan Kilpatrick） · 5510 赞 · 74 万浏览
4
Dario Amodei 长文回应安全倡导者批评
回应 Nathan Calvin 对「冲向超级智能」的质疑，列举生物安全防护、推迟发布等决策，并承认部分沟通失误。是今天 AI 安全讨论的中心帖。
来源：@DarioAmodei · 3955 赞 · 139 万浏览 · 719 回复
5
Anthropic 发布年度公益报告（Public Benefit Report）
作为公益公司，公布五大支柱与执行情况；同日宣布物理学家 Christopher Stubbs 加入长期利益信托。
来源：@AnthropicAI · 2227 赞 · 23.8 万浏览
6
Recursive 开源 Flint：40B MoE / 2.5B 激活，主打端侧编码 Agent
Ollama 称 M4 Pro MacBook 上 >125 tok/s，vLLM 当天支持；r/LocalLLaMA 当日热帖第一。性能为官方自测。
来源：@ollama / @vllm_project · 373 赞 · 2.8 万浏览
7
Perplexity × NVIDIA 发布 JOLT：自蒸馏 + RL 后训练
同一模型兼任老师与学生，在 MATH 上以少 6.5 倍训练 tokens 达到 GRPO 精度。小众但高质量的方法论帖。
来源：@perplexity_ai · 340 赞 · 4.6 万浏览
8
DeepSeek Search API 进入 Artificial Analysis 搜索榜：69 分，27 家中第 17
独立评测机构给出首个第三方成绩，结论是「付费搜索 API 中最便宜」，效果居中。
来源：@ArtificialAnlys · 216 赞 · 2.2 万浏览
GitHub9 条
GitHub Trending 日榜（今日新增星标）+ 官方新仓库
1
ponytail：让 AI Agent 像「最懒的资深工程师」一样少写代码
给编码 Agent 的行为约束，主张「最好的代码是没写的代码」，今日涨星榜第一。
来源：DietrichGebert/ponytail · 今日 +2079 星 · 总 17.2 万
2
Cloudflare 开源 security-audit-skill：多阶段安全审计技能
给编码 Agent 用的安全审计流程，输出经独立验证、机器可读的结论，正好踩中今天的安全热点。
来源：cloudflare/security-audit-skill · 今日 +2012 星 · 总 3.76 万
3
Orca：统一管理一群编码 Agent 的工作台
用自己的订阅运行任意编码 Agent，支持桌面、手机和远程运行时。
来源：stablyai/orca · 今日 +1541 星 · 总 10.2 万
4
graphify：把整个代码库变成可查询的知识图谱
本地确定性 AST 解析、不依赖向量库，可作为 Claude Code / Cursor / Codex / Gemini CLI 的技能。
来源：Graphify-Labs/graphify · 今日 +1433 星 · 总 13.2 万
5
ComfyUI 持续霸榜
扩散模型节点式 GUI 与后端，FLUX.3 等新模型带动又一轮增长。
来源：Comfy-Org/ComfyUI · 今日 +939 星 · 总 14.2 万
6
OpenAI 发布官方 CLI（openai-cli）
命令行直接调用 OpenAI API 的官方工具，HN 当天热议。
来源：openai/openai-cli · 841 星；HN 85 分 · 57 评
7
Kronos：面向金融市场「语言」的基础模型
把 K 线等市场数据当作语言建模的开源基础模型。
来源：shiyu-coder/Kronos · 今日 +575 星 · 总 4.3 万
8
headroom：在进入 LLM 前压缩工具输出与日志
官方称编码 Agent 省约 20% tokens、JSON 省 60–95%，提供库、代理和 MCP 服务器。节省比例为项目自报。
来源：headroomlabs-ai/headroom · 今日 +474 星 · 总 7.7 万
9
vLLM 推出原生 PyTorch 的 TPU 推理（vLLM-TorchTPU）
与 Google 合作，支持前缀缓存、投机解码与分离式服务；主仓库同日上榜。
来源：vllm-project/vllm · 今日 +441 星 · 总 9.5 万
官方博客 / 发布8 条
OpenAI、Anthropic、Google、Mistral、GitHub、Hugging Face 等官方渠道（RSS 与官网直取）
1
OpenAI：用数千个 AI Agent 在生物数据中寻找新线索
介绍规模化 Agent 科研流程，与 GPT-Rosalind 的新发现配套。
来源：OpenAI Blog · HN 143 分 · 92 评
2
OpenAI × Cloudflare：把漏洞发现直接接到防御
Cloudflare 将 OpenAI 模型的漏洞发现能力接入防护体系，是 Patch the Planet 的配套合作。
来源：OpenAI Blog
3
ChatGPT 广告扩展到 26 个新国家，广告主超 10 万
同日 OpenAI Devs 公开 ChatGPT 广告栈架构（LLM 编排、检索、排序、竞价），强调回答独立于广告。
来源：OpenAI Blog · X @OpenAIDevs 924 赞
4
Anthropic：用 Claude 缩减代码攻击面
预览在大型开源代码库上做自动化攻击面分析与缩减的数据，主张这是近期最有效的安全手段之一。
来源：Anthropic Research · HN 131 分 · 85 评
5
Claude 接入 Google Docs / Sheets / Slides（Beta）
推出 Google Workspace 插件与连接器，可在文件内直接使用 Claude，也可从 Claude 操作文件。
来源：Claude 官方 · HN 33 分
6
Mistral × NVIDIA：把 AI 带进工业工程
合作方向包括更快的仿真、物理 AI 开放基准与数据集，以及 CAE/EDA 场景的 Agent 评测。
来源：@MistralAI 官方 · X 1865 赞 · 7.9 万浏览
7
GitHub：为「Agent 规模」的 Git 基础设施搭桥
GitHub 工程博客介绍为应对 Agent 大量提交与克隆所做的架构改造。
来源：GitHub Blog · HN 62 分
8
IBM Granite Speech 5.0：转写、翻译与说话人归属
新一代开源语音模型（含 2B 版），在 Hugging Face 发布，r/LocalLLaMA 同步热议。
来源：Hugging Face Blog / IBM
Hacker News8 条
过去约 36 小时内 AI 相关高分帖（Algolia API，按分数排序；焦点条目不重复列出）
1
Meta Muse 分享会话功能泄露个人与商业机密
用户分享的对话暴露敏感信息，Meta 已暂停分享功能调查。AI 产品的分享与隐私设计再次被拷问。
来源：Ars Technica · 393 分 · 171 评
2
研究称：告诉 Qwen3-Coder「为美国用户写」，代码更不安全
安全公司 Hirundo 称该差异源自权重，并称已通过去除相关对齐修复。属单一厂商研究，结论有争议。
来源：Hirundo Blog · 240 分 · 117 评
3
WorldTUI：训练一个 360M 小模型「假装」终端
个人开发者把小模型做成会记住你操作的终端世界模型，展示小模型世界模拟的趣味玩法。
来源：simedw.com（个人博客） · 133 分 · 46 评
4
Google 员工因军方 AI 合同辞职抗议
BBC 采访多名现任与前 DeepMind 员工，讨论 AI 用于战场的担忧。
来源：BBC · 123 分 · 25 评
5
「让 LLM 给自己的置信度打分」是个坏主意
实证文章：模型自报置信度与真实正确率相关性差，做评估与路由时别依赖它。
来源：个人博客 · 74 分 · 43 评
6
LayerFS：为 AI 编码 Agent 设计的文件系统
为 Agent 提供分层、可回滚的工作区，属于新兴的 Agent 基础设施方向。
来源：layerfs.ai · 72 分 · 45 评
7
Show HN：Omnara，开源可自托管的 Claude Managed Agents 替代品
开源的托管 Agent 平台，可自行部署。
来源：omnara-ai/omnara · 70 分 · 23 评；GitHub 3070 星
8
Trail of Bits：AI Agent 修好了 bug，但它还改了什么？
安全公司讨论如何审查 Agent 提交中「顺手」改动的风险，给出审计思路。
来源：Trail of Bits Blog · 49 分
Reddit7 条
r/LocalLLaMA 当日 Top（RSS 不含票数，按 Reddit 排序）；r/MachineLearning 当日仅 2 条低热度帖未入选；r/singularity 被限流
1
Recursive Flint（40B A2.5B）成为本地模型圈新宠
社区称在 TerminalBench 2.1、SWE-bench Pro v2 上明显超过 Qwen3.6-35B-A3B，被视为期待已久的「35B 级」编码模型。
来源：r/LocalLLaMA · 当日 Top 1 / 另有讨论帖
2
Kitten-TTS 2：1.58-bit 开源 TTS，纯 CPU 实时，支持声音克隆
号称首个 1.58-bit TTS，多语言、可控情绪，代码与权重已开源。
来源：r/LocalLLaMA · KittenML · GitHub 1.6 万星
3
「好吧，Qwen 3.8 Flash Next 确实香」
老用户实测从 Qwen3.8-27B 转向 Flash Next 的体验帖，反映国产开源模型在本地圈的口碑。
来源：r/LocalLLaMA
4
35B MoE 在 iPhone 上跑出 20.5 tok/s，不跳专家
介绍 OpenBMB 的端侧 MoE 工程方案（llama.cpp-omni），从 I/O 瓶颈入手而非裁剪模型。
来源：r/LocalLLaMA · OpenBMB
5
在 2000 欧元 PC 上跑 748B 的 DeepSeek-V4.1-Flash
RTX 3090 + 128GB 内存的实测记录，展示超大 MoE 在消费级硬件上的可行边界。
来源：r/LocalLLaMA
6
Qwen3.8-Flash-Next vs Opus 5.5：真实 Rust 需求六方对比
用 Claude Code 与 Pi 在同一真实功能上对比，作者重新统一了 harness 与推理强度。
来源：r/LocalLLaMA
7
RTX 3090 免费提速 hack：PP +15%、TG +5%
网友转述 X 上的 gpu-unlock 项目并自测，涉及底层驱动修改，风险自负。
来源：r/LocalLLaMA
Hugging Face 趋势6 条
Hugging Face 模型趋势榜（trendingScore）
1
DeepSeek-V4.1-Flash-1017 领跑趋势榜
10 月 17 日上线的多模态版本，社区已在消费级硬件上尝试本地运行。
来源：deepseek-ai · 2229 赞 · 4.2 万下载
2
FLUX.3 image klein（含 ComfyUI 版）
Black Forest Labs 的轻量图像编辑模型，ComfyUI 版下载已近 50 万。
来源：black-forest-labs · Comfy 版 1222 赞 · 49 万下载
3
Meta Muse-Spark-Open-816B-A42B
Meta 的超大开放权重多模态 MoE，持续在趋势榜前列。
来源：meta-models · 644 赞
4
复旦 OpenMOSS 开源 MOSS-Image 文生图
Base 与 SFT 两个版本同时上榜，ComfyUI 版下载量超 129 万。
来源：OpenMOSS-Team · SFT 544 赞
5
腾讯 Hy-Memory-30B-A3B
腾讯混元面向长期记忆的 30B MoE（3B 激活）。
来源：tencent · 277 赞
6
Mistral Timestral-209M 时间序列预测
Mistral 少见的小型时序预测模型。
来源：mistralai · 269 赞
待核实7 条
热度高但仅有热门摘要、二手转述或未经确认的说法，仅供参考
1
Hassabis 把 AGI 时间表缩短到 2–3 年
来自 X 热门摘要，引述《华尔街日报》专访；未见原文，暂作参考。
来源：X 热门话题
2
DeepSeek 据报完成约 150 亿美元融资（腾讯、宁德时代参与）
单一 X 帖转述彭博报道，DeepSeek 官方未确认。
来源：@AGTPinsights · 2106 浏览
3
「Anthropic 上半年净亏损 800 亿美元」
来源是 Polymarket 推文，HN 讨论中有大量质疑，口径不明。
来源：HN / Polymarket · HN 42 分 · 20 评
4
OpenAI 收购生物制药流程平台 Orchestra Bio
X 热门摘要称将并入 Rosalind 套件；本次未在官方 RSS 中看到对应公告。
来源：X 热门话题
5
首例患者接受 AI 设计的噬菌体治疗
X 热门摘要称 Radical Numerics 用 Omnii-1 设计噬菌体并经同情用药途径给药，未见同行评审或官方原文。
来源：X 热门话题
6
Sam Altman「AI 安全只有三条路」
二手转述（IAEA 式机构 / 实验室合并 / 单一公司），未找到原始出处。
来源：@superalesha 转述 · 473 赞 · 3.3 万浏览
7
Mirendil-Base：一名研究者 + Agent 团队 3.5 个月、千万美元内预训练
尚未发布权重与技术细节，仅有介绍帖。
来源：@sophiamyang · 44 赞
数据覆盖说明
- X：免费 API 7 次检索（实验室官方、创始人/研究者、工具与评测账号、LiteLLM、中国实验室关键词、X 新闻 20 条），约 110 条帖子，入选 8 条 + 焦点 3 条 + 待核实 5 条。
- GitHub：Trending 日榜 12 个仓库 + GitHub API 核对星数，入选 9 条。
- 官方博客：OpenAI RSS（10/21 共 8 篇）、Anthropic 新闻页、Google AI / DeepMind RSS（近 36 小时无新模型文章）、Mistral、GitHub Blog、Hugging Face Blog；Qwen 博客 RSS 停更、DeepSeek 新闻页无更新，入选 8 条。
- Hacker News：Algolia API 拉取近 36 小时 ≥30 分的 96 帖，AI 相关约 20 帖，入选 8 条（焦点 3 条不重复）。
- Reddit：r/LocalLLaMA 当日 Top 15（RSS）入选 7 条；r/MachineLearning 当日仅 2 帖、热度低未入选；r/singularity 多次被限流（429），未覆盖。
- Hugging Face：模型趋势榜前 20，入选 6 条。
- 未覆盖：xAI、Meta、Qwen、DeepSeek 官方博客本期无新文（或无法直取）；OpenAI 官网页面对抓取返回 403，内容以官方 RSS 与官方 X 帖核对。
时间窗口：约 2026-10-21 08:00 至 10-22 16:30（北京时间）。互动数为工具返回的抓取时数值，会继续变化。