OpenAI将前沿模型与Codex接入谷歌云Model Garden
OpenAI与谷歌云宣布，未来几周内，OpenAI将通过谷歌云提供其前沿人工智能模型和Codex代码智能体服务。GPT-6 Astra等最新模型将接入谷歌云Model Garden，企业客户可通过谷歌云市场购买，并使用现有云服务采购额度结算。
该合作扩大了OpenAI模型触达企业客户的渠道，也使谷歌云成为其模型分发平台之一。谷歌云表示，相关模型已向部分企业客户开启私有预览，后续将逐步扩大可用范围。
—— Google Cloud、Axios
OpenAI与谷歌云宣布，未来几周内，OpenAI将通过谷歌云提供其前沿人工智能模型和Codex代码智能体服务。GPT-6 Astra等最新模型将接入谷歌云Model Garden，企业客户可通过谷歌云市场购买，并使用现有云服务采购额度结算。
该合作扩大了OpenAI模型触达企业客户的渠道，也使谷歌云成为其模型分发平台之一。谷歌云表示，相关模型已向部分企业客户开启私有预览，后续将逐步扩大可用范围。
—— Google Cloud、Axios
英国政府评估扩大电视牌照费至流媒体平台
英国政府正在BBC皇家特许状审查中评估改革电视牌照费，可能把现行适用于电视直播和BBC iPlayer的收费范围，扩大到YouTube、Netflix、Amazon Prime Video和Disney+等线上影音服务。现行彩色电视牌照费为每户每年180英镑，英国政府已承诺现行模式至少维持至2027年12月31日，相关改革尚未定案。
文化传媒及体育部同时评估其他融资方案，包括不区分住户实际收看内容、按家庭统一征收的电视税。按现行规定，仅观看Netflix、Disney+等点播内容通常无需电视牌照，但观看任何平台的直播节目或使用BBC iPlayer仍需持有牌照。
—— GOV、UK Parliament
英国政府正在BBC皇家特许状审查中评估改革电视牌照费，可能把现行适用于电视直播和BBC iPlayer的收费范围，扩大到YouTube、Netflix、Amazon Prime Video和Disney+等线上影音服务。现行彩色电视牌照费为每户每年180英镑，英国政府已承诺现行模式至少维持至2027年12月31日，相关改革尚未定案。
文化传媒及体育部同时评估其他融资方案，包括不区分住户实际收看内容、按家庭统一征收的电视税。按现行规定，仅观看Netflix、Disney+等点播内容通常无需电视牌照，但观看任何平台的直播节目或使用BBC iPlayer仍需持有牌照。
—— GOV、UK Parliament
EA关闭BioWare并终止下一部《质量效应》项目开发
Electronic Arts将关闭旗下BioWare工作室，并停止下一部《质量效应》项目的开发。该项目仍处于早期阶段，BioWare表示，工作室结束运营后，团队将进入过渡安排。
此次重组预计削减约400个岗位，其中约50个来自BioWare。BioWare运营超过30年，曾开发《博德之门》《龙腾世纪》和《质量效应》等角色扮演游戏。EA表示将把人员和投资转向其他项目。
—— BioWare Blog、Los Angeles Times、Quartz
Electronic Arts将关闭旗下BioWare工作室，并停止下一部《质量效应》项目的开发。该项目仍处于早期阶段，BioWare表示，工作室结束运营后，团队将进入过渡安排。
此次重组预计削减约400个岗位，其中约50个来自BioWare。BioWare运营超过30年，曾开发《博德之门》《龙腾世纪》和《质量效应》等角色扮演游戏。EA表示将把人员和投资转向其他项目。
—— BioWare Blog、Los Angeles Times、Quartz
👏1🤯1
GitLab修复可导致未认证远程代码执行的CVSS 10.0漏洞
GitLab修复编号为CVE-2026-110264的正则表达式编译器整数溢出漏洞。攻击者无需登录，在特定条件下提交特制正则表达式即可在服务器执行任意代码。漏洞影响GitLab CE和EE从7.0到19.5多个版本，风险可追溯至2014年发布的7.0版本。
自托管实例需升级至19.5.1、19.4.3、19.3.6、19.2.9、19.1.9、19.0.10或18.11.13。GitLab还为部分旧分支回移植修复，并提供两条检测利用尝试的规则。GitLab.com已运行修复版本，GitLab Dedicated部分内部版本也已包含修复。当前未披露该漏洞已被用于攻击的迹象，官方未提供临时缓解措施。
—— The Hacker News、GitLab Docs
GitLab修复编号为CVE-2026-110264的正则表达式编译器整数溢出漏洞。攻击者无需登录，在特定条件下提交特制正则表达式即可在服务器执行任意代码。漏洞影响GitLab CE和EE从7.0到19.5多个版本，风险可追溯至2014年发布的7.0版本。
自托管实例需升级至19.5.1、19.4.3、19.3.6、19.2.9、19.1.9、19.0.10或18.11.13。GitLab还为部分旧分支回移植修复，并提供两条检测利用尝试的规则。GitLab.com已运行修复版本，GitLab Dedicated部分内部版本也已包含修复。当前未披露该漏洞已被用于攻击的迹象，官方未提供临时缓解措施。
—— The Hacker News、GitLab Docs
Anthropic推出主动型代理应用Claude Duet研究预览
Anthropic推出主动型代理应用 Claude Duet，研究预览通过等候名单开放，首批面向美国 Pro 和 Max 订阅用户。应用基于 Claude Opus 5.5，提供独立的 iOS、Android 应用，也可在 claude.ai 使用。它会在每天早间整理连接应用中的待办事项，随后每隔数小时检查相关账户，在需要用户处理时发出通知，也能在后台执行从安排会议到制作仪表盘等任务。
Claude Duet 可读取、起草并准备工作，但发送消息、付款、签署文件或删除内容前，必须展示具体操作并等待用户批准。即使获得授权，它也不执行证券交易或账户间转账。研究预览可能误判信息紧急程度，后台检查会计入用户现有 Claude 计划的使用额度。
—— Claude by Anthropic、iPhone in Canada
Anthropic推出主动型代理应用 Claude Duet，研究预览通过等候名单开放，首批面向美国 Pro 和 Max 订阅用户。应用基于 Claude Opus 5.5，提供独立的 iOS、Android 应用，也可在 claude.ai 使用。它会在每天早间整理连接应用中的待办事项，随后每隔数小时检查相关账户，在需要用户处理时发出通知，也能在后台执行从安排会议到制作仪表盘等任务。
Claude Duet 可读取、起草并准备工作，但发送消息、付款、签署文件或删除内容前，必须展示具体操作并等待用户批准。即使获得授权，它也不执行证券交易或账户间转账。研究预览可能误判信息紧急程度，后台检查会计入用户现有 Claude 计划的使用额度。
—— Claude by Anthropic、iPhone in Canada
《赛博朋克2077》2.5更新将为主机加入游戏内模组支持
CD Projekt Red公布《赛博朋克2077》2.5版“Edgerunners 2”更新，将通过mod.io提供跨平台模组支持。玩家可在游戏菜单中浏览并安装部分玩家创作的模组，支持平台包括PS5、PS5 Pro、Xbox Series X|S和Nintendo Switch 2，也包括PC与Mac。
更新于10月22日先登陆PC、Mac（Steam、GOG、Epic）、PS5和Xbox Series X|S，Switch 2及Mac App Store版将在随后几天推出。此次更新还加入《赛博朋克：边缘行者》第二季相关内容，以及可双持强力手枪和左轮手枪的技能。
—— CD Projekt Red
CD Projekt Red公布《赛博朋克2077》2.5版“Edgerunners 2”更新，将通过mod.io提供跨平台模组支持。玩家可在游戏菜单中浏览并安装部分玩家创作的模组，支持平台包括PS5、PS5 Pro、Xbox Series X|S和Nintendo Switch 2，也包括PC与Mac。
更新于10月22日先登陆PC、Mac（Steam、GOG、Epic）、PS5和Xbox Series X|S，Switch 2及Mac App Store版将在随后几天推出。此次更新还加入《赛博朋克：边缘行者》第二季相关内容，以及可双持强力手枪和左轮手枪的技能。
—— CD Projekt Red
OpenAI更新使用政策，要求模型路由和AI网关先获审核
OpenAI更新使用政策，要求直接提供其模型访问的中介服务，包括模型路由和AI网关，在提供访问前取得OpenAI审核和批准。新政策将于2026年11月20日生效，仅将OpenAI模型集成到自身功能中的应用不因这一点自动适用该审批条款。
托管或转售OpenAI模型的合作方须维持与OpenAI一致的安全防护，调查潜在违规并采取措施，同时协调执行限制。OpenAI还将与客户引入SafetyIDs，用于区分调查中的终端用户，在不获取其身份的情况下对具体用户采取更精准的限制，减少对其他用户和服务的影响。
—— OpenAI、OpenAI Developers
OpenAI更新使用政策，要求直接提供其模型访问的中介服务，包括模型路由和AI网关，在提供访问前取得OpenAI审核和批准。新政策将于2026年11月20日生效，仅将OpenAI模型集成到自身功能中的应用不因这一点自动适用该审批条款。
托管或转售OpenAI模型的合作方须维持与OpenAI一致的安全防护，调查潜在违规并采取措施，同时协调执行限制。OpenAI还将与客户引入SafetyIDs，用于区分调查中的终端用户，在不获取其身份的情况下对具体用户采取更精准的限制，减少对其他用户和服务的影响。
—— OpenAI、OpenAI Developers
苹果内部测试搭载屏下 Face ID 的 iPhone Duo 2 原型机
彭博记者马克·古尔曼在 Power On 播客中表示，苹果已在内部测试搭载 Face ID 的 iPhone Duo 2 原型机，相关传感器集成在外屏下方。首代 iPhone Duo 采用电源键 Touch ID，机身过薄被认为是未加入 Face ID 的主要原因。
古尔曼称，苹果员工也在探索为下一代机型加入 Action 按钮，但对该方案的把握较小。若屏下 Face ID 进入量产，苹果是否保留电源键 Touch ID 仍不明确。现阶段相关功能处于原型测试，最终是否出现在 iPhone Duo 2 及何时发布尚未确定。
—— Mac to Reality、Apple
彭博记者马克·古尔曼在 Power On 播客中表示，苹果已在内部测试搭载 Face ID 的 iPhone Duo 2 原型机，相关传感器集成在外屏下方。首代 iPhone Duo 采用电源键 Touch ID，机身过薄被认为是未加入 Face ID 的主要原因。
古尔曼称，苹果员工也在探索为下一代机型加入 Action 按钮，但对该方案的把握较小。若屏下 Face ID 进入量产，苹果是否保留电源键 Touch ID 仍不明确。现阶段相关功能处于原型测试，最终是否出现在 iPhone Duo 2 及何时发布尚未确定。
—— Mac to Reality、Apple
亚马逊发现PHP2Shell漏洞在公开披露前四天已遭利用
亚马逊威胁情报团队在MadPot蜜罐遥测中发现，PHP2Shell漏洞于2026年10月17日出现利用尝试，比CVE-2026-109618和CVE-2026-109619公开披露早四天。该流量来自商业匿名网络关联的IP地址。由于攻击发生在漏洞披露禁运期内，攻击者如何提前获得利用信息仍不明确；现有分析也无法确认这些尝试能否攻陷真实系统。
10月21日漏洞披露和补丁发布当天，亚马逊又观察到多个概念验证利用及来自其他匿名基础设施的攻击尝试，并称该漏洞目前已在野外广泛利用。亚马逊建议立即升级至修复版本；暂时无法修补的PHP部署可评估限制多段文件上传，并检查相关上传请求、服务器日志及异常进程或文件变更。
—— AWS Security Blog
亚马逊威胁情报团队在MadPot蜜罐遥测中发现，PHP2Shell漏洞于2026年10月17日出现利用尝试，比CVE-2026-109618和CVE-2026-109619公开披露早四天。该流量来自商业匿名网络关联的IP地址。由于攻击发生在漏洞披露禁运期内，攻击者如何提前获得利用信息仍不明确；现有分析也无法确认这些尝试能否攻陷真实系统。
10月21日漏洞披露和补丁发布当天，亚马逊又观察到多个概念验证利用及来自其他匿名基础设施的攻击尝试，并称该漏洞目前已在野外广泛利用。亚马逊建议立即升级至修复版本；暂时无法修补的PHP部署可评估限制多段文件上传，并检查相关上传请求、服务器日志及异常进程或文件变更。
—— AWS Security Blog
研究者公布 Switch 2 系留式越狱方案
安全研究者 Sammy Hajhamid 于 10 月 18 日公布名为 ns2jb 的 Switch 2 系留式越狱方案，称其适用于当时最新的 23.0.1 固件，可运行普通系统模块权限下的原生代码，支持运行自制软件、修改游戏和备份存档。作者展示了修改《马力欧卡丁车 世界》的画面，并称该方案已在 Switch 2 上测试。
利用链结合了 Switch 1 游戏 SmileBASIC 中的整数溢出，以及 Switch 2 文件系统系统模块中的路径处理缓冲区溢出，最终获得文件系统读写能力并绕过程序加载时的校验流程，实现以普通系统模块权限执行代码。该方案需要通过外部流程触发，作者称目前仍属系留式越狱，后续工作包括移植利用方式及探索其他内置系统模块。
—— Sammy Hajhamid 个人博客
安全研究者 Sammy Hajhamid 于 10 月 18 日公布名为 ns2jb 的 Switch 2 系留式越狱方案，称其适用于当时最新的 23.0.1 固件，可运行普通系统模块权限下的原生代码，支持运行自制软件、修改游戏和备份存档。作者展示了修改《马力欧卡丁车 世界》的画面，并称该方案已在 Switch 2 上测试。
利用链结合了 Switch 1 游戏 SmileBASIC 中的整数溢出，以及 Switch 2 文件系统系统模块中的路径处理缓冲区溢出，最终获得文件系统读写能力并绕过程序加载时的校验流程，实现以普通系统模块权限执行代码。该方案需要通过外部流程触发，作者称目前仍属系留式越狱，后续工作包括移植利用方式及探索其他内置系统模块。
—— Sammy Hajhamid 个人博客
Trend Micro ZDI误将多项未修复Linux内核漏洞发至公开邮件列表
Trend Micro旗下Zero Day Initiative将多份尚未修复的Linux内核漏洞报告误发至公开Linux内核邮件列表，而非私有安全列表。披露内容包括两项CVSS 9.0远程代码执行漏洞，分别影响SMB Direct和内核内置SMB服务器KSMBD。
其中，SMB Direct漏洞源于整数下溢，修复补丁已在面向Linux 7.5的分支中准备。KSMBD漏洞涉及竞态条件，可能导致远程代码执行。其他披露问题还涉及网络代码本地提权、VMware图形驱动越界写入、NVMET未初始化资源导致的信息泄露，以及TCP查询代码栈缓冲区溢出。
这些漏洞尚未全部进入Linux主线修复，一些补丁仍在测试或排队处理中。Linux稳定内核维护者Greg Kroah-Hartman已在相关邮件中质疑将未修复漏洞公开披露的做法。
—— Phoronix、FOSSWire
Trend Micro旗下Zero Day Initiative将多份尚未修复的Linux内核漏洞报告误发至公开Linux内核邮件列表，而非私有安全列表。披露内容包括两项CVSS 9.0远程代码执行漏洞，分别影响SMB Direct和内核内置SMB服务器KSMBD。
其中，SMB Direct漏洞源于整数下溢，修复补丁已在面向Linux 7.5的分支中准备。KSMBD漏洞涉及竞态条件，可能导致远程代码执行。其他披露问题还涉及网络代码本地提权、VMware图形驱动越界写入、NVMET未初始化资源导致的信息泄露，以及TCP查询代码栈缓冲区溢出。
这些漏洞尚未全部进入Linux主线修复，一些补丁仍在测试或排队处理中。Linux稳定内核维护者Greg Kroah-Hartman已在相关邮件中质疑将未修复漏洞公开披露的做法。
—— Phoronix、FOSSWire
微软披露Storm-0940利用AI工具攻击全球数百家机构
被认为与中国政府有关联的黑客组织 Storm-0940 使用开源渗透测试框架 ARTEX，针对全球数百家机构自动化开展侦察、密码喷洒和应用凭据滥用，目标覆盖航空航天、国防、汽车、能源、金融、政府、媒体、半导体和科技等行业。多数攻击未成功，但多起行动从锁定目标到取得云基础设施高级权限不足三小时。
在 ConnectWise 云备份等多租户应用事件中，攻击者利用已获授权的 OAuth 应用身份进入下游客户的 Microsoft 365 环境，通过 Microsoft Graph 开展侦察、修改应用凭据并尝试提升权限，以建立持续访问。相关活动不涉及微软企业系统、产品或服务被入侵。
—— Microsoft Security Blog、ConnectWise
被认为与中国政府有关联的黑客组织 Storm-0940 使用开源渗透测试框架 ARTEX，针对全球数百家机构自动化开展侦察、密码喷洒和应用凭据滥用，目标覆盖航空航天、国防、汽车、能源、金融、政府、媒体、半导体和科技等行业。多数攻击未成功，但多起行动从锁定目标到取得云基础设施高级权限不足三小时。
在 ConnectWise 云备份等多租户应用事件中，攻击者利用已获授权的 OAuth 应用身份进入下游客户的 Microsoft 365 环境，通过 Microsoft Graph 开展侦察、修改应用凭据并尝试提升权限，以建立持续访问。相关活动不涉及微软企业系统、产品或服务被入侵。
—— Microsoft Security Blog、ConnectWise
The Browser Company 将于12月22日停止 Arc 服务
The Browser Company 计划于2026年12月22日停止 Arc 服务。届时，macOS 和 Windows 版 Arc 将无法使用，Arc 账户及相关服务将停用；账户关联的个人数据将在停用后30天内删除。公司表示，后续工程与安全团队将集中维护 Dia，理由是浏览器安全维护工作持续增加。
在停止服务前，用户可以将 Arc 设置导入 Dia，或导出 Arc 标签页列表以迁移到其他浏览器。
—— The Browser Company
The Browser Company 计划于2026年12月22日停止 Arc 服务。届时，macOS 和 Windows 版 Arc 将无法使用，Arc 账户及相关服务将停用；账户关联的个人数据将在停用后30天内删除。公司表示，后续工程与安全团队将集中维护 Dia，理由是浏览器安全维护工作持续增加。
在停止服务前，用户可以将 Arc 设置导入 Dia，或导出 Arc 标签页列表以迁移到其他浏览器。
—— The Browser Company
Quad9将于11月24日起停止向法国用户提供DNS服务
Quad9宣布，自11月24日起停止向法国用户提供服务。此前，巴黎法院要求Quad9屏蔽与网球赛事盗播有关的网站域名，并裁定若未执行，将处以每日1000欧元罚款。相关屏蔽名单已扩至58个域名，罚款期限截至11月14日。
Quad9表示不会屏蔽这些域名，也不认为能可靠识别法国用户并仅对其实施限制；对所有用户全球屏蔽则会把法国法院命令扩展至法国境外。该基金会称，法国另有约20起屏蔽案件待审，累积罚款风险促使其停止向法国用户提供服务。Quad9仍将对法院命令提出上诉。
—— Quad9、TorrentFreak
Quad9宣布，自11月24日起停止向法国用户提供服务。此前，巴黎法院要求Quad9屏蔽与网球赛事盗播有关的网站域名，并裁定若未执行，将处以每日1000欧元罚款。相关屏蔽名单已扩至58个域名，罚款期限截至11月14日。
Quad9表示不会屏蔽这些域名，也不认为能可靠识别法国用户并仅对其实施限制；对所有用户全球屏蔽则会把法国法院命令扩展至法国境外。该基金会称，法国另有约20起屏蔽案件待审，累积罚款风险促使其停止向法国用户提供服务。Quad9仍将对法院命令提出上诉。
—— Quad9、TorrentFreak
Uber向全球3万多名员工开放ChatGPT Work
Uber宣布，自10月22日起向全球3万多名员工开放ChatGPT Work。该工具此前在约1000名员工中试点，现扩展为全公司部署，供运营、财务、营销和产品等团队使用。
ChatGPT Work可连接Google Drive、Gmail、Google Calendar和Slack，协助员工研究信息、准备会议简报、制作演示文稿、分析数据并跨应用完成工作流程。此次部署还包括内部AI技能库、经批准的集成和员工培训；软件开发团队将继续使用Codex处理开发工作。
—— OpenAI
Uber宣布，自10月22日起向全球3万多名员工开放ChatGPT Work。该工具此前在约1000名员工中试点，现扩展为全公司部署，供运营、财务、营销和产品等团队使用。
ChatGPT Work可连接Google Drive、Gmail、Google Calendar和Slack，协助员工研究信息、准备会议简报、制作演示文稿、分析数据并跨应用完成工作流程。此次部署还包括内部AI技能库、经批准的集成和员工培训；软件开发团队将继续使用Codex处理开发工作。
—— OpenAI