开源生态

OpenAI协助发现PHP两项严重漏洞，官方紧急发布修复版本

OpenAI披露其参与的安全研究协助发现PHP两项严重远程代码执行漏洞（CVE-2026-109618和CVE-2026-109619，CVSS 4.0评分均为9.2），涉及内存耗尽引发的内存损坏和释放后使用问题，攻击者在Apache mod php等环境下无需身份验证即可执行代码。PHP项目于10月21日提前发布8.5.12、8.4.27、8.3.36和8

NVIDIA 发布 Nemotron 3.5 Super VL 120B 全精度视觉语言模型

NVIDIA 在 Hugging Face 发布 Nemotron 3.5 Super VL 的 BF16 全精度版本，这是一个面向推理、编码、工具调用、文档与视频理解的视觉语言模型。模型采用 Mamba-2、MoE 与注意力混合架构，总参数 120B、激活参数 12B，支持最长 1M token 上下文，并可通过 MTP 实现原生投机解码。该版本面向定制化

llama.cpp b11821：重构 Intel XMX 多列矩阵乘

llama.cpp 发布 b11821 版本，重构了 Intel XMX 矩阵引擎上的多列 mul mat vec q 实现，面向 SYCL 后端，覆盖 2 至 80 个激活列，主要服务投机解码验证与短提示批次场景。该改动新增融合 gate/up 内核（支持 SWIGLU/GEGLU），并加入两个环境变量控制最大列数；在 B70 上 Q4 K M 的 tg1

Agno 发布 v3.1.9：新增 MCP 工具运行端点并修复多项问题

Agno 发布 v3.1.9，新增 MCP Tool Runner，可通过 HTTP 直接运行 AgentOS Server Card 上列出的工具，无需 MCP 客户端即可测试工具。该版本还修复了 AgentOS MCP Server 的 CORS 跨域访问、Postgres 指标刷新、Function Workflows、AgenticChunking、

Recursive 发布 AI 驱动研发的首个成果 Flint 模型

AI 初创公司 Recursive 发布了其首个语言模型 Flint，该模型在内部 AI 系统 Eureka Machine 的参与下完成开发，Eureka Machine 自主提出想法、运行实验并评估结果。Flint 采用 400 亿总参数、25 亿激活参数的混合专家架构，面向本地硬件上的智能体编程任务优化，以 Apache 2.0 许可证在 Huggin

llama.cpp b11819 发布：支持 Nemotron 非标准 GQA 与 BPE 分词器

llama.cpp 发布 b11819 版本，新增对 Nemotron 模型的支持，包括非标准 GQA、BPE 分词器以及 domyn-small pre-type。同时，gguf-py 将 Metaspace 的 prepend scheme 写入 GGUF 元数据，词表模块解析该字段并在反分词时使用。该版本同步提供 macOS、Linux、Windows

Qwen-Image-2.1 VAE 纹理修复微调版发布

开发者 madebyollin 在 Hugging Face 发布了 Texture-Fix-VAE-for-Qwen-Image-2.1，这是对 Qwen-Image-2.1 VAE 的非官方微调版本。该版本通过 TAESD 的对抗训练配方修复了棋盘格伪影，并调整权重降低激活幅度，解决了原版在 fp16 下产生 NaN 的问题。指标显示 rFID 从 3.

全球72小时安全风暴：PHP2Shell与GitLab满分漏洞背后的AI变量

2026年10月第三周，全球互联网安全圈遭遇连环高危漏洞：PHP爆出潜伏22年的PHP2Shell远程代码执行漏洞（CVSS 9.2），GitLab爆出满分10.0的远程代码执行漏洞，Node.js、nginx、eMudhra证书链等也相继出现问题，荷兰、丹麦、芬兰等多国政府服务被迫下线。文章指出，AI辅助分析让安全研究员能在数小时内从海量代码中定位漏洞模式

n8n 发布 1.123.86：升级 sharp 依赖至 0.35.5

n8n 发布 1.123.86 版本，这是一个仅包含缺陷修复的补丁版本。该版本在 1.x 分支上将依赖 sharp 升级至 0.35.5（工单 DEVP-1241）。此次更新不涉及新功能，属于常规依赖维护。

Vercel Labs 开源 Zig 编码代理 fx，主打可嵌入

Vercel Labs 开源了用 Zig 编写的实验性编码代理 fx，它被设计为可脚本化、可嵌入的 CLI 与库，而非全屏终端应用，官方称其原生二进制仅 6.3 MiB、冷启动约 10 微秒。fx 支持 JSON 结构化输出、通过 Agent Client Protocol 接入编辑器，并以 libfx 向 JavaScript 和 WebAssembly

llama.cpp b11815：修复 SYCL 后端 CONV 2D 非连续输入错误

llama.cpp 发布 b11815 版本，主要修复 SYCL 后端 CONV 2D 算子在非连续输入下因按连续 [W,H,C,N] 布局索引而静默产生错误结果的问题，通过按 CUDA 后端约定对 input 与 kernel 的连续性做门控并断言。同时为 SYCL 后端新增 CWHN 通道顺序布局的 CONV 2D 计算支持，使相关 test-backe

n8n 发布 2.44.6，修复 Postgres 节点 pgtypes 覆盖问题

n8n 发布 2.44.6 版本，仅包含一项 Bug 修复：修复 Postgres 节点中全局 pgtypes 被覆盖的问题（PR #41667）。该更新属于维护性补丁，影响使用 Postgres 节点的工作流稳定性，不涉及新功能或 AI 能力变化。

llama.cpp 发布 b11814：新增 clean spaces GGUF 键

llama.cpp 发布 b11814 版本，主要变更是为 vocab 增加 clean spaces GGUF 键（#30940）。该版本同步提供 macOS/iOS、Linux（含 CUDA、ROCm、Vulkan、SYCL、OpenVINO 等后端）、Android、Windows 及 UI 的预编译包。此次更新属于构建与词表元数据层面的小改动，对普通

llama.cpp b11813：Pixtral 改用 Tekken 预分词器

llama.cpp 发布 b11813 版本，主要变更是词表处理：pixtral 模型改用 Tekken 预分词器，替代原先的 Llama 3 预分词器（PR #30960）。该版本同时提供 macOS/iOS、Linux、Android、Windows 等多平台多后端的预编译二进制包，涵盖 CUDA、Vulkan、ROCm、SYCL、OpenVINO 及

llama.cpp 发布 b11812：为 granite 模型记录层输入

llama.cpp 发布 b11812 版本，主要变更为为所有 granite 模型记录层输入（#30957），该改动位于 GraniteSpeculatorSupport 分支，由 IBM 的 Gabe Goodhart 提交，并标注为全程使用 Claude + Sonnet 5.5 辅助完成。发布同时提供 macOS/iOS、Linux、Android、

OpenAI 与 Wiz 独立发现 PHP2Shell 核心漏洞，影响约七成 Web

OpenAI 的 Patch the Planet 项目与安全公司 Wiz 分别独立发现 PHP 核心内存破坏漏洞 PHP2Shell（CVE-2026-109618、CVE-2026-109619），据报影响约 70% 的 Web 应用，可导致 WordPress、Drupal、Joomla 等 CMS 的未认证远程代码执行。OpenAI 称使用 GPT-

AI 构建的 Adobe 克隆开发者承认项目「远未就绪」

开发者 Brandon Thomas 用 Claude Opus 5.5 在两周内构建了七个 Adobe 应用的开源替代品（Rust 编写、WebAssembly 浏览器版、MIT/Apache 许可），但他在 Hacker News 上主动表示项目「远未就绪」。项目路线图显示功能覆盖约 76%，但实际工作就绪度仅约 45%，存在 579 个未解决问题、25

星辰开源意图理解模型Xing4.0-29B-Intent

中电信人工智能科技有限公司星辰通用人工智能实验室发布并开源意图理解专用模型 Xing4.0-29B-Intent，同步开放275万条训练语料、模型权重与推理镜像。该模型将意图识别与参数抽取结合，输出结构化 JSON，已在电信万号客服、智能家居音箱等场景应用。官方评测称其在四类信息抽取任务总分58，高于参评通用模型最高49，类别决策总分70领先 Jev 与 G

另有 1 家信源报道

llama.cpp 发布 b11808：dflash 支持可选 FC 输入缩放

llama.cpp 发布 b11808 版本，主要变更是 dflash 支持加载可选的 FC 输入缩放（PR #30945），该改动由 Codex 协助完成。发布同时提供 macOS/iOS、Linux、Android、Windows 等多平台预编译包，覆盖 CUDA、Vulkan、ROCm、SYCL、OpenVINO 等后端。

llama.cpp b11806：LoRA 支持 prism.hadamard 折叠权重

llama.cpp 发布 b11806 版本，主要变更是 LoRA 支持 prism.hadamard 折叠权重（PR #30910），同时从 test-llama-archs 中移除了 LoRA 测试。该版本照例提供 macOS/iOS、Linux、Android、Windows 等多平台多后端（CUDA、Vulkan、ROCm、SYCL、OpenVINO