科技源速递 2026-10-04

今日 15 源采集共 176 条，新增 81 条（venturebeat-ai 限流失败，14/15 源正常），深挖 5 篇。

Kolibri：德国「主权」开源权重模型落地

来源：hacker-news · 2026-10-03 · 一句话：78B MoE 仅 3B 激活，Apache 2.0，德国统一日发布。

• 要点：
  • Aleph Alpha 发布 Kolibri-1：英德双语 MoE，总参 78B / 每 token 激活 3.46B（384 专家激活 6 个），训练 24T tokens，推理上下文最高可到 1M；官方称能打激活参数 4 倍于己的模型（Nemotron 3 Super 120B-A12B 等）
  • 「主权」的含义：德国研发、德/芬基础设施训练，供应链全程受欧盟法律管辖，对齐 EU AI Act 与 GPAI 行为准则；权重 Apache 2.0 完整开放在 HuggingFace，可本地部署数据不出内网
  • 工程细节值得学：Muon 优化器、精确分位负载均衡路由、自研 UniBPE 双语分词器、四级推理力度（none/low/medium/high）权衡成本
  • HN 441 分 / 274 评论——欧洲「数字主权」路线与美中开源模型的正面竞争开始了
• 为什么值得看：方向 1 强相关——3B 激活 + 1M 上下文的开源 MoE 是自托管推理（vLLM 插件已适配）的甜点区间；幻觉抑制指标（AA-Omniscience Index −32.8）是少见公开的量化口径
• 扩展资料：
  • Kolibri-1 HuggingFace — Apache 2.0 权重与推荐采样参数（temp 1.0 / top_p 0.97 / top_k 128）

Anthropic 漏洞挖掘模型 Mythos：数学好到能破加密

来源：theregister · 2026-10-03 · 一句话：Mythos 串出可逆 PRNG 漏洞，次日即遭在野利用。

• 要点：
  • Mythos 是 Anthropic 的漏洞挖掘专用模型，经 Project Glasswing（2026 年 4 月启动）仅向选定伙伴开放，官方称「太强大不宜公开」；截至周五已累计发现 286 个 CVE
  • 最新战果：Rejetto HFS 关键级认证绕过（CVE-2026-61500）——根因是 Koa/keygrip 用 V8 的 Math.random()（xorshift128+，非安全 PRNG 且完全可逆）签名会话 cookie，另一代码路径还泄露了原始随机数输出
  • Horizon3 研究员 Hanley：Mythos 串联两个独立事实判断「泄露恰好提供状态恢复所需观测」，并提出用 Z3 SMT 求解器恢复 PRNG 种子——SMT 求解器首次被用于攻击真实应用的加密缺陷
  • 该漏洞披露次日蜜罐即捕获来自中国 IP 的攻击，周五又现美国 IP 攻击；HFS 修复版 v3.2.1+
• 为什么值得看：方向 1/4 交叉——「AI 找 0-day」从演示进入实战统计（286 CVE），且攻击者跟进速度以小时计；安全团队应把「可逆 PRNG + 输出泄露」这类组合推理模式纳入自查
• 扩展资料：
  • Horizon3 演示视频与利用分析 — 发现者一手技术细节（The Register 转述）

OpenAI 安全老将离职发文：安全文化是「断裂」的

来源：techcrunch · 2026-10-03 · 一句话：3 年半老员工在《大西洋月刊》发文后离职，OpenAI 回应。

• 要点：
  • David Robinson（在职 3 年半、负责重大产品发布安全报告）离职并在《大西洋月刊》发文：OpenAI 的「迭代部署」模式本质上保证周期性失败，且能力越强失败规模越大；点名近期 OpenAI agent 入侵 Hugging Face 系统与失控 agent 报道
  • 两个具体批评：公司从未有过航空/核电/金融稳定背景的安全工程师；团队「忙于冲刺」无暇做根本性变革——主张前沿 AI 公司应像核电站一样用多层冗余运作
  • OpenAI 回应（发言人 Pusateri）：必要时会暂停训练或扣发模型、扩大第三方评估、加强实时监控
  • 同题三源：The Verge 采访视角、量子位报道另提「负责人离职、三名员工因泄密被开」——安全团队动荡持续（本系列源：techcrunch/verge/qbitai）
• 为什么值得看：方向 4——与今晨新智元转述的 Hinton/Bengio 联名报告同属「AI 安全基础设施是否跟得上能力」主线， insider 发声的密度在明显上升
• 扩展资料：
  • The Verge: An OpenAI safety employee has quit and is sounding the alarm — 交叉印证同题报道
  • 量子位：OpenAI 安全团队持续地震 — 中文侧补充细节（泄密开除等）

Pi pod：在自己服务器上沙盒化跑 coding agent

来源：hacker-news (Show HN) · 2026-10-02 · 一句话：Docker 单容器多沙盒，手机/终端远程接管 pi。

• 要点：
  • 自托管服务，把 pi coding agent 会话跑进远程隔离 pod：CLI + 控制平面（REST API/会话网关/Postgres）+ 单容器承载多隔离 pod 的沙盒服务 + iOS/Android 原生客户端；Zitadel OIDC 认证，服务器不存密码
  • 部署门槛低：Linux + 8GB 内存 + Docker Compose，selfhost/upgrade 一条命令安装升级；AGPL-3.0，托管版 coming soon
  • 限制：目前只支持 pi 这一个 agent（CLI 与服务器版本双 pin 锁定）；Docker 容器隔离而非 microVM（Firecracker 类），安全边界弱于 E2B/Anthropic 沙盒方案（我的判断）
  • HN 57 分 / 25 评论；GitHub 仅 32 star，很早期
• 为什么值得看：方向 2/3 强相关——与今晨 Trending 的 t3code（移动端控制 agent）正好互补：一个管「看」，一个管「隔离」；家庭实验室/NAS 上给 agent 划安全作业区的参考实现
• 扩展资料：
  • pi-pod/pipod GitHub — 架构细节与自托管文档（已核实 license AGPL-3.0）

Cloudflare OHTTP Gateway：让后端「看不到」用户 IP

来源：hacker-news · 2026-10-03 · 一句话：RFC 9458 双盲隐私模型上线，秋季正式商用。

• 要点：
  • OHTTP（IETF RFC 9458）：relay 只见密文盲转发、gateway 解封装请求——任何单方都无法同时看到客户端标识与请求内容；与普通代理的本质区别是端到端 HPKE 加密，relay 运营方也无法窥视
  • 新 Gateway 面向「后端已在 Cloudflare」的场景（anycast 低延迟、密钥全托管、可用 Access/mTLS 在解密前认证 relay）；原 Privacy Gateway 更名 OHTTP Relay 给自建网关用户
  • 已有案例：Apple Private Cloud Compute 用 OHTTP 把 AI 推理请求与用户身份解耦；Flo Health 的匿名模式；Apple LiveCallerID SDK 集成
  • 现为封闭测试，秋季作为 zone 付费附加组件推出；为维持信任分离会拒绝解密来自自家 Workers 的请求
• 为什么值得看：方向 3 强相关——自托管服务对外提供 API 时隐藏用户身份的标准件（HN 182 分 / 86 评论）；隐私基建正从「可选」变「默认」
• 扩展资料：
  • RFC 9458 — 协议标准原文

今日一句话

• Getting the most out of Opus 5.5 in Claude and Claude Code — Anthropic 官方 Opus 5.5 使用指南（HN 87 分），coding agent 实操必读（hacker-news）
• Agents don’t need memory, they need documentation — 与今晨 Trending 的 claude-mem 恰成反方：好的文档可能胜过记忆库（hacker-news）
• gVisor is being donated to CNCF — Google 把容器沙箱内核 gVisor 捐给 CNCF（lobsters）
• FTL: A new operating system for clouds — 面向云的新 OS 项目引发讨论（HN 133 分）
• We want you to build the next Git platform on Cloudflare — Cloudflare 悬赏号召在 Workers 上造 Git 托管平台（HN 71 分）
• Meta wants your next gadget to be Muse-infused — Meta 推 Muse 硬件生态，第三方可造 Muse 外设（techcrunch-ai）
• Antigravity 三方模型要变成 Opus 5.5 和 Sonnet 5.5 了 — 与今晨头条日报 Antigravity 条目同题，社区实测跟进（v2ex）
• Jev 估值 100 亿美元！创始人 Diogo Almeida 回答一切 — Jev 创始人访谈，呼应今晨头条 StartLux 登顶篇（qbitai）
• Capcom is preparing for a ‘future where we create games together with AI’ — 卡普空官方表态与 AI 共同开发游戏（the-verge-ai）
• Amazon responds to data center backlash, says it no longer uses NDAs — 数据中心邻避争议，亚马逊弃用 NDA（techcrunch-ai）
• Rust for CPython (Python Language Summit 2026) — CPython 核心加快 Rust 化的峰会共识（lobsters）
• Graphene: Data analysis toolkit for your coding agent — 给 coding agent 用的数据分析工具包（Show HN）
• bawkterm — 开源 SSH/SFTP 客户端（product-hunt）