AMD宣布FSR 4.1将支持Xbox Series X|S
AMD宣布，图像升频技术FSR 4.1将扩展至Xbox Series X和Series S主机。该技术可将较低分辨率渲染的画面升频，以改善图像清晰度。AMD表示，新版本调整了神经网络模型，以适配相关设备的硬件能力。
主机游戏需要开发者将FSR 4.1集成到游戏中，或通过后续更新加入支持，现有游戏不会自动获得该功能。AMD尚未公布主机端的具体上线日期和首批支持游戏名单。主机所需的更新将由设备厂商提供。
—— AMD、Tom's Hardware、Windows Central
AMD宣布，图像升频技术FSR 4.1将扩展至Xbox Series X和Series S主机。该技术可将较低分辨率渲染的画面升频，以改善图像清晰度。AMD表示，新版本调整了神经网络模型，以适配相关设备的硬件能力。
主机游戏需要开发者将FSR 4.1集成到游戏中，或通过后续更新加入支持，现有游戏不会自动获得该功能。AMD尚未公布主机端的具体上线日期和首批支持游戏名单。主机所需的更新将由设备厂商提供。
—— AMD、Tom's Hardware、Windows Central
LiteLLM 1.107.0 被发现含凭据窃取后门，PyPI 已移除版本
LiteLLM 1.107.0 的 PyPI 安装包被发现包含未出现在对应源码标签中的恶意文件，涉及 7 个 wheel 和源代码压缩包。安装后，cook.pth 可在 Python 解释器启动时自动加载 cook.py，收集云平台密钥、SSH 密钥、环境变量、浏览器凭据、数据库信息及 AI 工具配置等数据，并尝试加密外传。
同一版本还包含 sitecustomize.py，可在 Python 启动时运行后台进程，定期读取远程地址并执行返回代码，形成持续控制能力。PyPI 已移除 1.107.0，相关排查建议固定使用 1.106.2。已安装该版本的环境应按凭据可能暴露处理，重建环境并轮换可访问的密钥。
—— GitHub、PyPI
LiteLLM 1.107.0 的 PyPI 安装包被发现包含未出现在对应源码标签中的恶意文件，涉及 7 个 wheel 和源代码压缩包。安装后，cook.pth 可在 Python 解释器启动时自动加载 cook.py，收集云平台密钥、SSH 密钥、环境变量、浏览器凭据、数据库信息及 AI 工具配置等数据，并尝试加密外传。
同一版本还包含 sitecustomize.py，可在 Python 启动时运行后台进程，定期读取远程地址并执行返回代码，形成持续控制能力。PyPI 已移除 1.107.0，相关排查建议固定使用 1.106.2。已安装该版本的环境应按凭据可能暴露处理，重建环境并轮换可访问的密钥。
—— GitHub、PyPI
Go crypto/x509 证书验证漏洞可被利用实施中间人攻击
Go 语言 crypto/x509 包存在 CVE-2026-111943。证书验证未阻止信任链与已失陷证书颁发机构关联的中级证书，攻击者可能借此冒充合法服务器，实施中间人攻击。
漏洞利用需要攻击者处于特定网络位置，并使用不可信中继机构签发的证书。Red Hat 将其严重性定为 Important，CVSS 3.1 评分为 6.8，并评估认为该漏洞难以被大规模利用。受影响用户应按照安全公告中的缓解步骤降低风险。
—— Red Hat Customer Portal
Go 语言 crypto/x509 包存在 CVE-2026-111943。证书验证未阻止信任链与已失陷证书颁发机构关联的中级证书，攻击者可能借此冒充合法服务器，实施中间人攻击。
漏洞利用需要攻击者处于特定网络位置，并使用不可信中继机构签发的证书。Red Hat 将其严重性定为 Important，CVSS 3.1 评分为 6.8，并评估认为该漏洞难以被大规模利用。受影响用户应按照安全公告中的缓解步骤降低风险。
—— Red Hat Customer Portal
英伟达在柏林发布AI代理安全架构并扩展Isaac机器人平台
英伟达10月21日在柏林GTC发布OpenShell参考架构，用于在企业基础设施和边缘系统中构建、隔离、观察和管控AI代理。该架构组合Vera Rubin模型推理系统、Vera CPU、OpenShell安全运行时，以及运行Sentry的BlueField-4数据处理器。英伟达称，Sentry可在代理越出软件边界时监测并隔离代理；该架构现已推出，并支持多家企业操作系统和云平台。
英伟达同日扩展Isaac开放机器人开发平台，增加运行框架、学习工具、数据集和参考工作流。合作方Agile Robots公布基于Isaac GR00T、搭载Jetson Thor的Agile ONE SN人形机器人参考平台，计划于2027年初提供。
—— NVIDIA Newsroom
英伟达10月21日在柏林GTC发布OpenShell参考架构，用于在企业基础设施和边缘系统中构建、隔离、观察和管控AI代理。该架构组合Vera Rubin模型推理系统、Vera CPU、OpenShell安全运行时，以及运行Sentry的BlueField-4数据处理器。英伟达称，Sentry可在代理越出软件边界时监测并隔离代理；该架构现已推出，并支持多家企业操作系统和云平台。
英伟达同日扩展Isaac开放机器人开发平台，增加运行框架、学习工具、数据集和参考工作流。合作方Agile Robots公布基于Isaac GR00T、搭载Jetson Thor的Agile ONE SN人形机器人参考平台，计划于2027年初提供。
—— NVIDIA Newsroom
OpenAI将前沿模型与Codex接入谷歌云Model Garden
OpenAI与谷歌云宣布，未来几周内，OpenAI将通过谷歌云提供其前沿人工智能模型和Codex代码智能体服务。GPT-6 Astra等最新模型将接入谷歌云Model Garden，企业客户可通过谷歌云市场购买，并使用现有云服务采购额度结算。
该合作扩大了OpenAI模型触达企业客户的渠道，也使谷歌云成为其模型分发平台之一。谷歌云表示，相关模型已向部分企业客户开启私有预览，后续将逐步扩大可用范围。
—— Google Cloud、Axios
OpenAI与谷歌云宣布，未来几周内，OpenAI将通过谷歌云提供其前沿人工智能模型和Codex代码智能体服务。GPT-6 Astra等最新模型将接入谷歌云Model Garden，企业客户可通过谷歌云市场购买，并使用现有云服务采购额度结算。
该合作扩大了OpenAI模型触达企业客户的渠道，也使谷歌云成为其模型分发平台之一。谷歌云表示，相关模型已向部分企业客户开启私有预览，后续将逐步扩大可用范围。
—— Google Cloud、Axios
英国政府评估扩大电视牌照费至流媒体平台
英国政府正在BBC皇家特许状审查中评估改革电视牌照费，可能把现行适用于电视直播和BBC iPlayer的收费范围，扩大到YouTube、Netflix、Amazon Prime Video和Disney+等线上影音服务。现行彩色电视牌照费为每户每年180英镑，英国政府已承诺现行模式至少维持至2027年12月31日，相关改革尚未定案。
文化传媒及体育部同时评估其他融资方案，包括不区分住户实际收看内容、按家庭统一征收的电视税。按现行规定，仅观看Netflix、Disney+等点播内容通常无需电视牌照，但观看任何平台的直播节目或使用BBC iPlayer仍需持有牌照。
—— GOV、UK Parliament
英国政府正在BBC皇家特许状审查中评估改革电视牌照费，可能把现行适用于电视直播和BBC iPlayer的收费范围，扩大到YouTube、Netflix、Amazon Prime Video和Disney+等线上影音服务。现行彩色电视牌照费为每户每年180英镑，英国政府已承诺现行模式至少维持至2027年12月31日，相关改革尚未定案。
文化传媒及体育部同时评估其他融资方案，包括不区分住户实际收看内容、按家庭统一征收的电视税。按现行规定，仅观看Netflix、Disney+等点播内容通常无需电视牌照，但观看任何平台的直播节目或使用BBC iPlayer仍需持有牌照。
—— GOV、UK Parliament
EA关闭BioWare并终止下一部《质量效应》项目开发
Electronic Arts将关闭旗下BioWare工作室，并停止下一部《质量效应》项目的开发。该项目仍处于早期阶段，BioWare表示，工作室结束运营后，团队将进入过渡安排。
此次重组预计削减约400个岗位，其中约50个来自BioWare。BioWare运营超过30年，曾开发《博德之门》《龙腾世纪》和《质量效应》等角色扮演游戏。EA表示将把人员和投资转向其他项目。
—— BioWare Blog、Los Angeles Times、Quartz
Electronic Arts将关闭旗下BioWare工作室，并停止下一部《质量效应》项目的开发。该项目仍处于早期阶段，BioWare表示，工作室结束运营后，团队将进入过渡安排。
此次重组预计削减约400个岗位，其中约50个来自BioWare。BioWare运营超过30年，曾开发《博德之门》《龙腾世纪》和《质量效应》等角色扮演游戏。EA表示将把人员和投资转向其他项目。
—— BioWare Blog、Los Angeles Times、Quartz
👏1🤯1
GitLab修复可导致未认证远程代码执行的CVSS 10.0漏洞
GitLab修复编号为CVE-2026-110264的正则表达式编译器整数溢出漏洞。攻击者无需登录，在特定条件下提交特制正则表达式即可在服务器执行任意代码。漏洞影响GitLab CE和EE从7.0到19.5多个版本，风险可追溯至2014年发布的7.0版本。
自托管实例需升级至19.5.1、19.4.3、19.3.6、19.2.9、19.1.9、19.0.10或18.11.13。GitLab还为部分旧分支回移植修复，并提供两条检测利用尝试的规则。GitLab.com已运行修复版本，GitLab Dedicated部分内部版本也已包含修复。当前未披露该漏洞已被用于攻击的迹象，官方未提供临时缓解措施。
—— The Hacker News、GitLab Docs
GitLab修复编号为CVE-2026-110264的正则表达式编译器整数溢出漏洞。攻击者无需登录，在特定条件下提交特制正则表达式即可在服务器执行任意代码。漏洞影响GitLab CE和EE从7.0到19.5多个版本，风险可追溯至2014年发布的7.0版本。
自托管实例需升级至19.5.1、19.4.3、19.3.6、19.2.9、19.1.9、19.0.10或18.11.13。GitLab还为部分旧分支回移植修复，并提供两条检测利用尝试的规则。GitLab.com已运行修复版本，GitLab Dedicated部分内部版本也已包含修复。当前未披露该漏洞已被用于攻击的迹象，官方未提供临时缓解措施。
—— The Hacker News、GitLab Docs
Anthropic推出主动型代理应用Claude Duet研究预览
Anthropic推出主动型代理应用 Claude Duet，研究预览通过等候名单开放，首批面向美国 Pro 和 Max 订阅用户。应用基于 Claude Opus 5.5，提供独立的 iOS、Android 应用，也可在 claude.ai 使用。它会在每天早间整理连接应用中的待办事项，随后每隔数小时检查相关账户，在需要用户处理时发出通知，也能在后台执行从安排会议到制作仪表盘等任务。
Claude Duet 可读取、起草并准备工作，但发送消息、付款、签署文件或删除内容前，必须展示具体操作并等待用户批准。即使获得授权，它也不执行证券交易或账户间转账。研究预览可能误判信息紧急程度，后台检查会计入用户现有 Claude 计划的使用额度。
—— Claude by Anthropic、iPhone in Canada
Anthropic推出主动型代理应用 Claude Duet，研究预览通过等候名单开放，首批面向美国 Pro 和 Max 订阅用户。应用基于 Claude Opus 5.5，提供独立的 iOS、Android 应用，也可在 claude.ai 使用。它会在每天早间整理连接应用中的待办事项，随后每隔数小时检查相关账户，在需要用户处理时发出通知，也能在后台执行从安排会议到制作仪表盘等任务。
Claude Duet 可读取、起草并准备工作，但发送消息、付款、签署文件或删除内容前，必须展示具体操作并等待用户批准。即使获得授权，它也不执行证券交易或账户间转账。研究预览可能误判信息紧急程度，后台检查会计入用户现有 Claude 计划的使用额度。
—— Claude by Anthropic、iPhone in Canada
《赛博朋克2077》2.5更新将为主机加入游戏内模组支持
CD Projekt Red公布《赛博朋克2077》2.5版“Edgerunners 2”更新，将通过mod.io提供跨平台模组支持。玩家可在游戏菜单中浏览并安装部分玩家创作的模组，支持平台包括PS5、PS5 Pro、Xbox Series X|S和Nintendo Switch 2，也包括PC与Mac。
更新于10月22日先登陆PC、Mac（Steam、GOG、Epic）、PS5和Xbox Series X|S，Switch 2及Mac App Store版将在随后几天推出。此次更新还加入《赛博朋克：边缘行者》第二季相关内容，以及可双持强力手枪和左轮手枪的技能。
—— CD Projekt Red
CD Projekt Red公布《赛博朋克2077》2.5版“Edgerunners 2”更新，将通过mod.io提供跨平台模组支持。玩家可在游戏菜单中浏览并安装部分玩家创作的模组，支持平台包括PS5、PS5 Pro、Xbox Series X|S和Nintendo Switch 2，也包括PC与Mac。
更新于10月22日先登陆PC、Mac（Steam、GOG、Epic）、PS5和Xbox Series X|S，Switch 2及Mac App Store版将在随后几天推出。此次更新还加入《赛博朋克：边缘行者》第二季相关内容，以及可双持强力手枪和左轮手枪的技能。
—— CD Projekt Red
OpenAI更新使用政策，要求模型路由和AI网关先获审核
OpenAI更新使用政策，要求直接提供其模型访问的中介服务，包括模型路由和AI网关，在提供访问前取得OpenAI审核和批准。新政策将于2026年11月20日生效，仅将OpenAI模型集成到自身功能中的应用不因这一点自动适用该审批条款。
托管或转售OpenAI模型的合作方须维持与OpenAI一致的安全防护，调查潜在违规并采取措施，同时协调执行限制。OpenAI还将与客户引入SafetyIDs，用于区分调查中的终端用户，在不获取其身份的情况下对具体用户采取更精准的限制，减少对其他用户和服务的影响。
—— OpenAI、OpenAI Developers
OpenAI更新使用政策，要求直接提供其模型访问的中介服务，包括模型路由和AI网关，在提供访问前取得OpenAI审核和批准。新政策将于2026年11月20日生效，仅将OpenAI模型集成到自身功能中的应用不因这一点自动适用该审批条款。
托管或转售OpenAI模型的合作方须维持与OpenAI一致的安全防护，调查潜在违规并采取措施，同时协调执行限制。OpenAI还将与客户引入SafetyIDs，用于区分调查中的终端用户，在不获取其身份的情况下对具体用户采取更精准的限制，减少对其他用户和服务的影响。
—— OpenAI、OpenAI Developers
苹果内部测试搭载屏下 Face ID 的 iPhone Duo 2 原型机
彭博记者马克·古尔曼在 Power On 播客中表示，苹果已在内部测试搭载 Face ID 的 iPhone Duo 2 原型机，相关传感器集成在外屏下方。首代 iPhone Duo 采用电源键 Touch ID，机身过薄被认为是未加入 Face ID 的主要原因。
古尔曼称，苹果员工也在探索为下一代机型加入 Action 按钮，但对该方案的把握较小。若屏下 Face ID 进入量产，苹果是否保留电源键 Touch ID 仍不明确。现阶段相关功能处于原型测试，最终是否出现在 iPhone Duo 2 及何时发布尚未确定。
—— Mac to Reality、Apple
彭博记者马克·古尔曼在 Power On 播客中表示，苹果已在内部测试搭载 Face ID 的 iPhone Duo 2 原型机，相关传感器集成在外屏下方。首代 iPhone Duo 采用电源键 Touch ID，机身过薄被认为是未加入 Face ID 的主要原因。
古尔曼称，苹果员工也在探索为下一代机型加入 Action 按钮，但对该方案的把握较小。若屏下 Face ID 进入量产，苹果是否保留电源键 Touch ID 仍不明确。现阶段相关功能处于原型测试，最终是否出现在 iPhone Duo 2 及何时发布尚未确定。
—— Mac to Reality、Apple
亚马逊发现PHP2Shell漏洞在公开披露前四天已遭利用
亚马逊威胁情报团队在MadPot蜜罐遥测中发现，PHP2Shell漏洞于2026年10月17日出现利用尝试，比CVE-2026-109618和CVE-2026-109619公开披露早四天。该流量来自商业匿名网络关联的IP地址。由于攻击发生在漏洞披露禁运期内，攻击者如何提前获得利用信息仍不明确；现有分析也无法确认这些尝试能否攻陷真实系统。
10月21日漏洞披露和补丁发布当天，亚马逊又观察到多个概念验证利用及来自其他匿名基础设施的攻击尝试，并称该漏洞目前已在野外广泛利用。亚马逊建议立即升级至修复版本；暂时无法修补的PHP部署可评估限制多段文件上传，并检查相关上传请求、服务器日志及异常进程或文件变更。
—— AWS Security Blog
亚马逊威胁情报团队在MadPot蜜罐遥测中发现，PHP2Shell漏洞于2026年10月17日出现利用尝试，比CVE-2026-109618和CVE-2026-109619公开披露早四天。该流量来自商业匿名网络关联的IP地址。由于攻击发生在漏洞披露禁运期内，攻击者如何提前获得利用信息仍不明确；现有分析也无法确认这些尝试能否攻陷真实系统。
10月21日漏洞披露和补丁发布当天，亚马逊又观察到多个概念验证利用及来自其他匿名基础设施的攻击尝试，并称该漏洞目前已在野外广泛利用。亚马逊建议立即升级至修复版本；暂时无法修补的PHP部署可评估限制多段文件上传，并检查相关上传请求、服务器日志及异常进程或文件变更。
—— AWS Security Blog
研究者公布 Switch 2 系留式越狱方案
安全研究者 Sammy Hajhamid 于 10 月 18 日公布名为 ns2jb 的 Switch 2 系留式越狱方案，称其适用于当时最新的 23.0.1 固件，可运行普通系统模块权限下的原生代码，支持运行自制软件、修改游戏和备份存档。作者展示了修改《马力欧卡丁车 世界》的画面，并称该方案已在 Switch 2 上测试。
利用链结合了 Switch 1 游戏 SmileBASIC 中的整数溢出，以及 Switch 2 文件系统系统模块中的路径处理缓冲区溢出，最终获得文件系统读写能力并绕过程序加载时的校验流程，实现以普通系统模块权限执行代码。该方案需要通过外部流程触发，作者称目前仍属系留式越狱，后续工作包括移植利用方式及探索其他内置系统模块。
—— Sammy Hajhamid 个人博客
安全研究者 Sammy Hajhamid 于 10 月 18 日公布名为 ns2jb 的 Switch 2 系留式越狱方案，称其适用于当时最新的 23.0.1 固件，可运行普通系统模块权限下的原生代码，支持运行自制软件、修改游戏和备份存档。作者展示了修改《马力欧卡丁车 世界》的画面，并称该方案已在 Switch 2 上测试。
利用链结合了 Switch 1 游戏 SmileBASIC 中的整数溢出，以及 Switch 2 文件系统系统模块中的路径处理缓冲区溢出，最终获得文件系统读写能力并绕过程序加载时的校验流程，实现以普通系统模块权限执行代码。该方案需要通过外部流程触发，作者称目前仍属系留式越狱，后续工作包括移植利用方式及探索其他内置系统模块。
—— Sammy Hajhamid 个人博客
Trend Micro ZDI误将多项未修复Linux内核漏洞发至公开邮件列表
Trend Micro旗下Zero Day Initiative将多份尚未修复的Linux内核漏洞报告误发至公开Linux内核邮件列表，而非私有安全列表。披露内容包括两项CVSS 9.0远程代码执行漏洞，分别影响SMB Direct和内核内置SMB服务器KSMBD。
其中，SMB Direct漏洞源于整数下溢，修复补丁已在面向Linux 7.5的分支中准备。KSMBD漏洞涉及竞态条件，可能导致远程代码执行。其他披露问题还涉及网络代码本地提权、VMware图形驱动越界写入、NVMET未初始化资源导致的信息泄露，以及TCP查询代码栈缓冲区溢出。
这些漏洞尚未全部进入Linux主线修复，一些补丁仍在测试或排队处理中。Linux稳定内核维护者Greg Kroah-Hartman已在相关邮件中质疑将未修复漏洞公开披露的做法。
—— Phoronix、FOSSWire
Trend Micro旗下Zero Day Initiative将多份尚未修复的Linux内核漏洞报告误发至公开Linux内核邮件列表，而非私有安全列表。披露内容包括两项CVSS 9.0远程代码执行漏洞，分别影响SMB Direct和内核内置SMB服务器KSMBD。
其中，SMB Direct漏洞源于整数下溢，修复补丁已在面向Linux 7.5的分支中准备。KSMBD漏洞涉及竞态条件，可能导致远程代码执行。其他披露问题还涉及网络代码本地提权、VMware图形驱动越界写入、NVMET未初始化资源导致的信息泄露，以及TCP查询代码栈缓冲区溢出。
这些漏洞尚未全部进入Linux主线修复，一些补丁仍在测试或排队处理中。Linux稳定内核维护者Greg Kroah-Hartman已在相关邮件中质疑将未修复漏洞公开披露的做法。
—— Phoronix、FOSSWire
微软披露Storm-0940利用AI工具攻击全球数百家机构
被认为与中国政府有关联的黑客组织 Storm-0940 使用开源渗透测试框架 ARTEX，针对全球数百家机构自动化开展侦察、密码喷洒和应用凭据滥用，目标覆盖航空航天、国防、汽车、能源、金融、政府、媒体、半导体和科技等行业。多数攻击未成功，但多起行动从锁定目标到取得云基础设施高级权限不足三小时。
在 ConnectWise 云备份等多租户应用事件中，攻击者利用已获授权的 OAuth 应用身份进入下游客户的 Microsoft 365 环境，通过 Microsoft Graph 开展侦察、修改应用凭据并尝试提升权限，以建立持续访问。相关活动不涉及微软企业系统、产品或服务被入侵。
—— Microsoft Security Blog、ConnectWise
被认为与中国政府有关联的黑客组织 Storm-0940 使用开源渗透测试框架 ARTEX，针对全球数百家机构自动化开展侦察、密码喷洒和应用凭据滥用，目标覆盖航空航天、国防、汽车、能源、金融、政府、媒体、半导体和科技等行业。多数攻击未成功，但多起行动从锁定目标到取得云基础设施高级权限不足三小时。
在 ConnectWise 云备份等多租户应用事件中，攻击者利用已获授权的 OAuth 应用身份进入下游客户的 Microsoft 365 环境，通过 Microsoft Graph 开展侦察、修改应用凭据并尝试提升权限，以建立持续访问。相关活动不涉及微软企业系统、产品或服务被入侵。
—— Microsoft Security Blog、ConnectWise