AI 与代码午间报
日期：2026-10-24
AI 与模型
ChatGPT 广告扩展至 26 个新国家，累计逾十万广告主投放
OpenAI 宣布把 ChatGPT Ads 扩展到 26 个新国家，覆盖范围达到全球 89 个国家；自八个多月前上线以来，已有超过十万广告主在 ChatGPT 上投放过广告，而 ChatGPT 每周用户超过十二亿人。继墨西哥和巴西之后，新增市场包括阿根廷、智利、哥伦比亚、秘鲁等 14 个拉美国家，以及尼日利亚、南非、塞尔维亚、乌克兰、柬埔寨、孟加拉国、巴基斯坦等欧洲、中东、非洲和亚洲国家。公司表示广告只出现在 Free 和 Go 套餐中，Plus、Pro 与 Enterprise 订阅保持无广告；对话内容对广告主保密、不出售客户数据，广告有清晰标识且不影响 ChatGPT 的回答内容。
原文链接：https://openai.com/index/chatgpt-ads-expands-26-new-countries
OpenAI 收购药物研发协调平台 Orchestra Bio，加码生命科学研究
OpenAI 宣布收购帮助生物制药团队协调药物研发流程的平台 Orchestra Bio，将其团队和技术与公司面向生命科学研究的 AI 模型与工具体系 Rosalind 整合。Orchestra 的平台让科学家和项目负责人把研究与试验的监测、跟踪工作交给 AI 代理，腾出时间指导工作、做出决策并在问题造成延误之前介入；例如一个制造批次失败可能推迟临床试验启动，代理可以帮助团队识别受影响的活动与时间线并比较应对方案。OpenAI 称在美国一款新药从靶点发现到获批平均需要约 10 到 15 年，公司的目标是构建把科学发现与后续研究、决策衔接起来的代理，并提到了与 Novo Nordisk 和 Moderna 的现有合作。
原文链接：https://openai.com/index/openai-to-acquire-orchestra-bio
开发工具与开源
GitHub 软件包防火墙进入公开预览，为依赖安装增加策略闸门
GitHub 推出软件包防火墙（package firewall）公开预览，它部署在终端或内部镜像仓库与上游软件包仓库之间，对元数据请求和软件包下载进行检查，充当安装时的策略闸门，以应对近期大量在依赖安装环节发起的恶意软件攻击——自动代理与 CI 运行器因在无人参与的情况下安装依赖而尤其容易受害。管理员可以为企业配置策略控制，目前包括可调的冷却期、对照 GitHub Advisory Database 的恶意软件与漏洞告警检查，以及证明降级等供应链检查；软件包被误拦时，用户可以按照类似其他 GitHub Advanced Security 功能的流程申请例外。该功能面向所有 GitHub Enterprise Cloud 客户（含数据驻留版），预览期间免费，正式可用后将参照 Actions 的方式按用量计费，目前仅支持 npm 软件包。
原文链接：https://github.blog/changelog/2026-10-20-github-package-firewall-in-public-preview
GitHub CLI 公开预览可过期、自动刷新的 OAuth 令牌
GitHub CLI 从 v2.103.0 起以公开预览形式支持会过期、自动刷新的 OAuth 凭证：登录时加上 --expiring 标志，或通过配置项 expiringcredentials 为每次登录默认启用，此后 gh 会在后台自动刷新令牌，用户无需重新认证，而泄露的访问令牌将在数小时内失效，不再长期有效。官方强烈建议运行 gh auth setup-git 把 gh 配置为 git 的凭证助手，并升级到 git 2.46 或更新版本，避免过期凭证被缓存超过其有效期；运行 gh auth token 并缓存结果的脚本最终会拿到过期令牌，应改为每次使用时重新读取。该特性已在 github.com 与 ghe.com 可用，GitHub Enterprise Server 从 3.23 版本开始支持，更早版本上选择启用会回退到现行的不过期行为。
原文链接：https://github.blog/changelog/2026-10-21-github-cli-opt-in-to-expiring-auto-refreshing-oauth-tokens
Hugging Face 宣布旗下生态原生支持张量处理器 TPU，主流模型库可直接运行
Hugging Face 宣布借助原生 PyTorch 后端 TorchTPU，其生态实现了对 Google TPU 加速器的原生支持：Transformers、Diffusers 和 Kernels 库可以直接在 TPU 上运行，从 Hub 选择模型并把目标设备指定为 TPU 即可，此前必须依赖的 torchxla 懒执行方式以及 Optimum TPU 适配层都不再是必需。TorchTPU 附带针对 TPU 调优的 Pallas 内核、分布式训练支持和 torch.compile 集成；对于单颗芯片装不下的大模型，可在加载时通过 TensorParallelConfig 把模型切分到多颗芯片上。Hugging Face 称目前 Transformers 在 TPU 上运行的测试通过率为 96.5%，已向 TorchTPU 仓库报告 34 个问题，其中 19 个已修复，过程中还在上游修掉了 Transformers 自身的若干缺陷。
原文链接：https://huggingface.co/blog/hf-torchtpu
编程生态
Anthropic 为关键开源项目推出自愿加入的安全漏洞扫描服务
InfoQ 报道，Anthropic 推出免费、自愿加入的 OSS Scanner 服务，用包括 Claude Mythos 在内的公司最强模型为开源项目生成定期安全报告；报告不经人工审核直接发送，由项目维护者自行验证结论并决定采纳哪些修复建议。Anthropic 解释说人工验证已成为瓶颈：六个月内其模型识别出超过 29,000 个候选漏洞，研究人员只人工复核并分级了约 6,000 个。每份报告包含可独立运行的复现用例和漏洞解释，并尽可能通过二分定位引入缺陷的变更、附上候选补丁；维护者通过包含项目配置和 Dockerfile 的 GitHub 拉取请求注册，环境搭建完成后扫描在无互联网访问的条件下运行。公告之外也有维护者确认的实例：知名开源网络传输工具的维护者 Daniel Stenberg 确认，其项目中一个 HTTP/2 上传释放后使用漏洞（CVE-2026-92392，已在 8.23.0 版本修复）由 Anthropic 人员使用 OSS Scanner 发现，他认为该漏洞利用难度大，更可能导致崩溃，因此评级为高危而非严重。
原文链接：https://www.infoq.com/news/2026/10/anthropic-oss-security-scanner
Google 向全球开放水印检测工具 SynthID Detector，支持多家 AI 提供方
InfoQ 报道，Google DeepMind 宣布 SynthID Detector 全球可用：用户在 SynthID.com 上传图片、音频或视频文件，即可一次性检查其是否带有各 SynthID 合作方的水印，覆盖 OpenAI、NVIDIA、Kakao 等生成的内容，对 Apple 的支持预计稍后加入。在此之前，用户只能通过询问 Gemini 识别 Google AI 生成的内容，其他提供方的内容需要分别使用各家自己的检测工具。Google 同时提醒这不是通用 AI 检测器：它只能识别已采用 SynthID 技术的公司生成的媒体，Meta 与 Microsoft 的 AI 使用不同的水印技术因而不在覆盖范围内，对内容的大幅修改也可能削弱水印信号造成漏判，此类情况需要结合其他工具综合判断。SynthID 由 Google DeepMind 于 2023 年推出，通过密钥改变音频频率概率分布或像素、token 模式，把不可见水印直接嵌入内容。
原文链接：https://www.infoq.com/news/2026/10/synthid-watermarking-detector
安全与可靠性
Meta Muse 分享地址易被枚举，用户私密对话外泄后功能暂停
Ars Technica 报道，安全公司 Claroc 的研究人员发现，Meta 新推出的通用 AI 代理 Muse 在用户通过网页链接分享对话时可能暴露敏感信息：分享链接的构造方式使其容易被发现，研究人员只用一次查询就枚举出 6,800 条用户创建的对话分享链接，打开其中几百条后发现了明显无意公开的个人与商业信息。最容易的发现途径是商业被动 DNS 检索服务——收件人点击分享链接后，相关 DNS 解析信息就会被监测系统记录进可检索的数据库。Claroc 联合创始人兼 CTO Asaf Aprozper 表示已于 10 月 8 日通过 Meta 漏洞悬赏计划报告该发现；Meta 在回应 Ars 的声明中确认，已暂停这一分享功能，正在审查报告并考虑调整此类链接的可发现方式。
原文链接：https://arstechnica.com/security/2026/10/meta-muse-exposes-users-personal-and-business-secrets-when-they…
