Description

今天是「供应链与密钥」之日：被劫持的 LiteLLM 发布和 Railway 入侵都瞄准 AI 供应商密钥，PHP 正式发布 RCE 修复，GitLab 又补了一个 CVSS 10 漏洞；与此同时 DuckDB 2.0、OpenAI 登陆 Google Cloud 以及一批小型开放模型也让开发者忙个不停。

条目：

1. LiteLLM 1.107.0 遭投毒：PyPI 与 Docker 镜像内置 .pth 凭据窃取器和每小时回连的后门 —
2. PHP 发布两个 CVSS 9.2 RCE 修复，披露过程一路泄密，基金会宣布安全体系改革 —
3. Railway 遭入侵：客户环境变量可能已被解密，部署全部暂停 —
4. DuckDB 2.0 LTS：客户端-服务器模式、触发器、异步 I/O 和面向智能体的 CLI —
5. OpenAI 模型登陆 Google Cloud，可抵扣 GCP 承诺消费 —
6. GitLab 修复 CVSS 10.0 无需认证的 RCE，根源在 Ruby 正则编译器 —
7. David Harvey 评述新提出的 o(n log n) 整数乘法算法 —
8. Recursive Flint：Apache 2.0 许可的 40B-A2.5B MoE 编程模型，瞄准本地智能体 —
9. Anthropic 预览 Claude Duet：在自有云电脑上后台主动干活的智能体 —
10. mitmproxy 12.3 新增 --emudhra：用泄露的 eMudhra CA 私钥签发中间人证书 —
11. Meta 三季度营收 646 亿美元（+26%），上调资本开支指引，投资者看好 Muse 智能体 —
12. Kitten-TTS 2：三值权重的 1.7B 语音合成模型，支持零样本声音克隆，可在 CPU 上运行 —
13. WorldTUI：一个模仿终端的 360M 小模型，直接在浏览器里运行 —
14. Google 公开其 Rust 风格指南，覆盖 google3、Android、ChromeOS、Fuchsia 与 Chrome —
15. 新墨西哥州法官判令 Meta 因误导性隐私声明支付 250 亿美元 —
16. Tesla 三季度：营收持平，AI 与 Optimus 研发大增致营业利润下滑 56% —
17. 在 2000 欧元的 RTX 3090 电脑上以 7.2 tok/s 运行 748B 的 DeepSeek-V4.1-Flash —
18. Lam 仿真：自对准 CFET 在 N3 节距下将 6T SRAM 面积缩小 52.7% —