想查看AI日报网页版看板和 AI 发展十年的大事记时间轴，请点击文末「阅读原文」

OpenAI 牵头的 Patch the Planet 用 GPT-5.6 Sol 挖出 PHP 的两个致命漏洞：攻击能在应用代码执行前触发，补丁一度提前泄露、多国政府网站预防性下线。约两个月的修复刚刚收尾，马斯克又在财报电话会上证实，SpaceX 与特斯拉已成立特别委员会评估合并。

今日热点

1PHP2Shell：AI 发现的 PHP 关键漏洞，补丁发布前泄露　3 家信源 · 3 条
相关条目 08／10／13

2LiteLLM 1.107.0 遭供应链投毒　2 家信源 · 2 条
相关条目 03／15

板块速览

模型发布/更新　4 条 · 编号 01–04

中国电信旗下星辰实验室发布并开源 Xing4.0-29B-Intent，能同时判断意图和抽出参数，同步开放 275 万条训练语料。Mistral 开启 Mistral Large 4 公开预览：1 万亿参数、每次调用只用 520 亿，权重本月底放出，API 已在 Mistral Studio 开放。安全公司 SafeDep 称，PyPI 上的 LiteLLM 1.107.0 被植入窃密程序，装完一启动 Python 就会被抓走密钥和云端凭证。

产品发布/更新　5 条 · 编号 05–09

OpenArt 上线 Kling 4.0：可用首、中、尾帧引导，最多 10 张参考图，生成和编辑用一个模型完成；11 月 20 日前订阅打五折。Recursive 的 Flint 能在笔记本上跑编程任务：400 亿参数里每次只调 25 亿，M4 Pro 上约每秒 131 个 token，Apache 2.0 开源。OpenAI 在 X 上放出 Codex 技能，跑一遍 openai/php2shell-checker 仓库就能自查网站是否受 PHP 漏洞影响。

行业动态　7 条 · 编号 10–16

NSA 就 PHP2Shell 漏洞发布修复警告：两个漏洞位于 PHP 核心，攻击可在应用代码运行前触发，未修补服务器应下线。马斯克在 SpaceX 财报电话会上说，两家公司已成立特别委员会讨论合并，涉及芯片、AI、机器人，条款尚未确定。Bloomberg 称 DeepSeek 此轮融资约 150 亿美元，CATL 与腾讯在列，投前估值约 748 亿美元。

论文研究　7 条 · 编号 17–23

米哈游联合清华、北大等机构开源 GameScaling：8 个模型、参数从 0.8B 到 27B，接收游戏画面后输出键鼠操作。LongZero 让模型先自己出多跳题目和证据，再把证据扩写成多文档长上下文做强化学习，全程不用外部语料。LoopRec 在每层加一个出口判断：容易的条目提前结束，难的继续往后算，不再给每条都分配同样深度。

技巧与观点　9 条 · 编号 24–32

西部数据实测：一段 8 秒的 AI 视频，用户看到 4MB 文件，后端留下 500MB 日志、缓存和备份。量子位梳理 OpenAI 的具身数据来源，指一家成立两三年的公司 Maxinsights 已是其主要供应商之一。CleanSlop 新版本接入 Stripe 的智能体身份，在 Claude Code 等智能体里发一句指令就能扫描并修复 TypeScript 项目。

模型发布/更新4 条

01中国电信开源意图理解模型 Xing4.0-29B-Intent

来源 · 量子位（qbitai.com）　今日 15:11

中国电信旗下星辰实验室发布并开源 Xing4.0-29B-Intent，能同时判断意图和抽出参数，同步开放 275 万条训练语料。

02Mistral 发布万亿参数模型 Mistral Large 4 预览版

来源 · Hacker News（mistral.ai）　今日 03:20

Mistral 开启 Mistral Large 4 公开预览：1 万亿参数、每次调用只用 520 亿，权重本月底放出，API 已在 Mistral Studio 开放。

03LiteLLM 1.107.0 被投毒，装一次就交钥匙

来源 · Hacker News（safedep.io）　昨日 22:00

安全公司 SafeDep 称，PyPI 上的 LiteLLM 1.107.0 被植入窃密程序，装完一启动 Python 就会被抓走密钥和云端凭证。

04Baseten 发布决策模型 mammoth-1（27B）和 elephant-1（9B），开源并免费试用一周

来源 · Baseten 工程博客（baseten.co）

Baseten 研究实验室 Base Labs 发布开源决策模型 mammoth-1（27B）和 elephant-1（9B），基于 Qwen3.5-27B 和 Qwen3.5-9B 在 621 万决策样本上后训练而成。

产品发布/更新5 条

05Kling 4.0 上线 OpenArt，生成和编辑用一个模型

来源 · X · 可灵 Kling AI（x.com）　今日 14:32

OpenArt 上线 Kling 4.0：可用首、中、尾帧引导，最多 10 张参考图，生成和编辑用一个模型完成；11 月 20 日前订阅打五折。

06Kling 4.0 上线 OnSolo，单次能生 30 秒视频

来源 · X · 可灵 Kling AI（x.com）　今日 13:36

可灵称 Kling 4.0 已登陆 OnSolo：单次最长生成 30 秒视频，支持 21:9 宽屏，还能用多图多帧锁定角色与镜头。

07Recursive 发布笔记本能跑的编程模型 Flint

来源 · TechCrunch AI（techcrunch.com）　今日 04:27

Recursive 的 Flint 能在笔记本上跑编程任务：400 亿参数里每次只调 25 亿，M4 Pro 上约每秒 131 个 token，Apache 2.0 开源。

08OpenAI 放出 Codex 技能，帮 PHP 网站自查是否中招

来源 · X · OpenAI（x.com）　今日 00:35

OpenAI 在 X 上放出 Codex 技能，跑一遍 openai/php2shell-checker 仓库就能自查网站是否受 PHP 漏洞影响。

09MiniMax Code 桌面端上线 Mini App

来源 · MiniMax Blog（minimax.io）　今日 00:00

MiniMax Code 桌面端上线 Mini App：带前后端的长运行小应用，装成插件后与智能体互调，产出留在常驻页面而非散在各对话。

行业动态7 条

10NSA 就 PHP2Shell 漏洞发修复警告

来源 · X · Rohan Paul（x.com）　今日 13:13

NSA 就 PHP2Shell 漏洞发布修复警告：两个漏洞位于 PHP 核心，攻击可在应用代码运行前触发，未修补服务器应下线。

11马斯克证实：SpaceX 与特斯拉在谈合并

来源 · X · Rohan Paul（x.com）　今日 11:16

马斯克在 SpaceX 财报电话会上说，两家公司已成立特别委员会讨论合并，涉及芯片、AI、机器人，条款尚未确定。

12Bloomberg 称 DeepSeek 新一轮融资约 150 亿美元

来源 · X · Rohan Paul（x.com）　今日 11:13

Bloomberg 称 DeepSeek 此轮融资约 150 亿美元，CATL 与腾讯在列，投前估值约 748 亿美元。

13PHP2Shell 复盘：补丁发布前，漏洞已经泄露

来源 · X · 卡兹克（x.com）　今日 10:33

卡兹克复盘称，PHP2Shell 漏洞在补丁发布前已泄露，攻击演示视频外流，多国政府网站预防性下线。

14Meta 拟发一类新股，专门给 AI 投入筹钱

来源 · The Verge AI（theverge.com）　今日 05:30

Meta 在 Q3 财报中宣布发行一类无投票权新股，用于 AI 投入、收购和员工薪酬，2027 年起交易。

15Wiz 还原 LiteLLM 投毒：三个被盗账号改掉发布流程

来源 · Wiz Research（安全研究）（wiz.io）　昨日 21:44

Wiz 还原攻击链：攻击者借三名工程师被盗的 GitHub token 修改 LiteLLM 发布流程，把恶意代码打进正式包。

16OpenAI 模型将进 Google Cloud 的 Model Garden

来源 · OpenAI 官网动态（openai.com）　昨日 20:00

OpenAI 与 Google Cloud 达成合作：OpenAI 前沿模型与 Codex 将进入 Model Garden，几周内正式可用。

论文研究7 条

17米哈游联合多校开源 GameScaling 游戏模型

来源 · IT之家（ithome.com）　今日 17:19

米哈游联合清华、北大等机构开源 GameScaling：8 个模型、参数从 0.8B 到 27B，接收游戏画面后输出键鼠操作。

18LongZero：不给外部数据，模型自己出题练长文本推理

来源 · arXiv（arxiv.org）　今日 01:59

LongZero 让模型先自己出多跳题目和证据，再把证据扩写成多文档长上下文做强化学习，全程不用外部语料。

19LoopRec：推荐模型按条目难易分配算力

来源 · arXiv（arxiv.org）　今日 01:58

LoopRec 在每层加一个出口判断：容易的条目提前结束，难的继续往后算，不再给每条都分配同样深度。

20PhysiCalWorld：先摸一遍场景，再校准世界模型

来源 · arXiv（arxiv.org）　今日 01:57

PhysiCalWorld 先让模型在测试场景里做一段探索交互，把摩擦、质量等物理特性压成一个描述 token，再据此预测。

21简单随机博弈有了拟多项式时间算法

来源 · arXiv（arxiv.org）　今日 01:57

作者给出求 ℓ∞ 范数非扩张映射近似不动点的算法，顺带证明简单随机博弈可在拟多项式时间内求解。

22不依赖独立同分布的 Bernstein 不等式

来源 · arXiv（arxiv.org）　今日 01:56

作者为再生过程给出了自归一化 Bernstein 不等式，用于数据不满足独立同分布时的分类泛化误差界。

23微软研究员与同行证明 31 年前的 KLS 猜想

来源 · Microsoft Research 博客（microsoft.com）　今日 00:00

微软 Xinzhi Zhang 与 Zhao Song 在 AI 辅助下证明 1995 年提出的 KLS 猜想；另有团队同日给出完整证明。

技巧与观点9 条

24推理账单里被忽略的一块：存储

来源 · MIT Tech Review（technologyreview.com）　今日 16:41

西部数据实测：一段 8 秒的 AI 视频，用户看到 4MB 文件，后端留下 500MB 日志、缓存和备份。

25谁在给 OpenAI 供应具身数据？

来源 · 量子位（qbitai.com）　今日 15:05

量子位梳理 OpenAI 的具身数据来源，指一家成立两三年的公司 Maxinsights 已是其主要供应商之一。

26CleanSlop 让编程智能体自己扫描并修复应用

来源 · Product Hunt（producthunt.com）　今日 14:28

CleanSlop 新版本接入 Stripe 的智能体身份，在 Claude Code 等智能体里发一句指令就能扫描并修复 TypeScript 项目。

27黑石 Jas Khaira：AI 基建债务的担忧过头了

来源 · TechCrunch AI（techcrunch.com）　今日 06:51

黑石 AI 业务负责人 Jas Khaira 称 AI 基建债务不构成 2008 式风险：融资的项目多数服务于高信用客户。

28得州研究：数据中心扩建可能抹掉二十年的空气改善

来源 · The Verge AI（theverge.com）　今日 06:33

休斯敦高等研究中心报告测算：得州数据中心若按计划接入电网，五年内细颗粒物排放将超三倍，回到 2006 年水平。

29Railway 披露安全事故：环境变量可能被拖走

来源 · Lobsters（blog.railway.com）　今日 06:31

Railway 披露：有第三方可能读取了加密环境变量，部分已解密，含 API key 与数据库凭证，建议全部轮换。

30EYG：把一门函数式语言嵌进 Erlang

来源 · Lobsters（eyg.run）　今日 05:27

EYG 是一门自带运行时的函数式语言，作者演示了怎样把它嵌进 Erlang 程序，让两种语言的进程互通。

31OpenAI 收紧模型转售与路由服务的准入

来源 · OpenAI 官网动态（openai.com）　今日 05:00

OpenAI 更新使用政策：提供模型路由、AI 网关这类直连服务的厂商，须先经审核才能上线，11 月 20 日生效。

32清华 AIR 孵化的紫荆智康把 AI 医生分身送进门诊

来源 · 量子位（qbitai.com）　昨日 19:30

紫荆智康的紫荆AI医院把医生 AI 分身送进门诊：北京清华长庚医院 18 个科室开测，40 多名医生常态化使用。

数据来源：AI HOT 精选、AI 官方博客、科技媒体、技术社区与 arXiv 等公开网络来源。本次日报信息更新至 2026年10月22日。
受公众号规则限制，正文不放可点击外链，各条目「来源」处已标注原网站域名；完整原文链接见文末「阅读原文」。
内容版权归各原作者所有，摘要经 AI 精编，请以原文为准。