日報 · 2026 年 11 月 7 日 · 星期六
888NEWS
OpenSSH CVE‑2026‑123158 立即被利用
OpenSSH 於 2026 年 10 月披露的 CVE‑2026‑123158（SSHole）在數小時內被攻擊者利用，能在特定 Linux 配置下繞過密碼驗證並取得 root 許可權。此漏洞已被列為高危，建議即時安裝官方修補。
模型發布/更新
Thinking Machines 發布 Inkling 2 Small：594B 總參/17B 啟用 MoE，68 小時預訓練，稱超越 Muse Spark
**Inkling 2 Small** 是 Thinking Machines 於 2026 年發布的多模態 MoE 模型，總引數 594B、啟用引數 17B，僅 68 小時預訓練完成。
產品發布/更新
Dev.to Top Tech停止詢問「此文本有害嗎？」：我如何阻止 AI 銀行代理 144/144 次 prompt‑injection 攻擊
本文提出 Provenance‑Guard，一種基於來源追蹤的防禦機制，能在 AI 銀行代理上以 100% 成功率阻止 prompt‑injection 攻擊，且對正常功能影響極小。
Dev.to Top TechQwen3.8-Max 與阿里巴巴國際版價格與路由策略比較
**Qwen3.8-Max** 與 **Qwen3.8-Flash** 在阿里巴巴國際版與 IteraCompute 的價格差異被量化，並示範如何透過 Flash 路由節省成本。
OpenRouter Announcements一手Auto Router 與 Auto Code 版全新發布
**Auto Router** 與 **Auto Code** 版於 2026 年 11 月 6 日正式發布，採用全新技術基礎，效能提升至舊版的 4 倍，並在 0.65 秒內完成路由。
ToyBlocks：機器人學習與評估的可控世界
**ToyBlocks** 是一個開源模擬框架，提供可控環境、任務與示範自動生成、以及評估指標，讓研究者能在統一平臺上探討機器人學習資料需求、泛化與高階推理能力。
Unsloth AI Releases一手Unsloth AI v0.1.916-beta 釋出大幅效能升級
**Unsloth AI v0.1.916-beta** 釋出多項效能升級，兩張 GPU 影像生成速度提升至 2 倍，並最佳化長聊天輸入、搜尋與瀏覽器浮動功能。 - 影像/影片 兩張 NVIDIA GPU 可並行處理 SDXL、Qwen-Image、Wan2.2 5B 等模型，速度提升 1.5至1.8 倍；LTX 2.5 影片編碼 GPU 化，速度提升約 10%。
AWS Machine Learning Blog一手SageMaker Inference 透過 NVIDIA MIG 支援多例項 GPU，提升模型端點 GPU 利用率
**SageMaker Inference** 透過 NVIDIA Multi‑Instance GPU (MIG) 允許單一 GPU 分割成多個獨立分割槽，使用者可為每個模型指定分割槽型別，從而在同一例項上部署更多模型並節省成本。
AWS Machine Learning Blog一手Claude Code 延伸至 Amazon Bedrock AgentCore 遠端執行並加入安全控管
**Claude Code** 現在可在 Amazon Bedrock AgentCore 上以遠端代理執行，每個任務在隔離的 microVM 內完成，並以 GitHub Pull Request 回饋。
產業動態
Lobste.rs (Engineering Discussion)Barracuda Networks：Email Security Gateway 兩大高危漏洞曝光
**Barracuda Networks** 的 Email Security Gateway 版本 **9.4.0.027** 及 **9.4.0.029** 存在兩個高危漏洞。
The Hacker News (@TheHackersNews)OpenSSH 漏洞披露後數小時即被利用
**OpenSSH** 漏洞 CVE-2026-123158（SSHole）於披露後數小時即被攻擊者利用，能在特定 Linux 配置下繞過密碼驗證並取得 root 許可權。 - **漏洞程式碼**：CVE-2026-123158（SSHole） - **受影響環境**：特定 Linux 設定，已在 Alpine Linux honeypot 上證實取得 root - **利用方式**：繞過密碼驗證，直接取得 root 許可權 - **建議**：立即升級至已修補版本，並檢查系統配置
約 60 萬塊 Nvidia H200 晶片滯留香港倉庫，受阻方為北京而非華盛頓
約 60 萬塊 **Nvidia H200** 晶片被停留在香港倉庫，阻礙並非來自華盛頓，而是北京的管制。 - **管制背景**：美國已放行 H200 對華銷售，但中國仍逐步發放進口許可，導致每家科技巨頭約 1 萬塊。
Dev.to Top TechCVE-2026-115560 解析：PHP 會話序列化不一致如何導致 RCE
本文詳細說明瞭 CVE-2026-115560 這一 PHP 會話序列化不一致漏洞，揭示其利用流程與實際攻擊條件。
Windows 11 Paint 零點選遠端執行漏洞 CVE-2026-83844 仍未修補，系統自動更新失效
**Windows 11 Paint** 發現零點選遠端執行漏洞 CVE‑2026‑83844，雖已於 10 月 13 日由微軟公告並推送修補，但許多電腦仍停留舊版，系統自動更新未能覆蓋。
The Hacker News (@TheHackersNews)Chainalysis 確認更廣範圍的帳號資料外洩
**Chainalysis** 確認更廣範圍的帳號資料外洩。 - **暴露內容**：所有使用者的密碼雜湊與即時存取令牌。 - **已採取措施**：鎖定受影響帳號並關閉關鍵服務。 - **後續行動**：需檢查帳號安全、更新密碼、監控異常登入。 - **參考連結**： https://t.co/nBLFmq7IBu
The Hacker News安裝修補仍可能暴露 WordPress 漏洞，站長須即時封鎖 wp-content/upgrade
**WordPress** 在更新修補漏洞時仍有被利用的風險，攻擊者可在更新視窗內執行惡意程式碼。 - **漏洞範圍**：CVE-2026-119977，影響 WordPress 4.7 至 7.1.3。
Trail of Bits Blog一手Binance 事件後，檢查簽名系統是否能被授權者利用
Binance 於 2026 年 10 月發生安全事件，攻擊者利用受損的 DevOps 環境取得簽名服務許可權，並透過 EIP‑7702 委派機制完成多次未授權轉帳。
論文研究
vLLM Official Blog一手REINFORCE Zero：解決核對齊，提升 DeepSeek-V4.1 與 Kimi K3.1 的非同步 RL 穩定性
**REINFORCE Zero** 是一種將核對齊與無截斷重要性抽樣結合的非同步 RL 方案，能在保持高品質的同時大幅提升訓練吞吐量。 - **核心機制**：先將 rollout 與 learner 的 kernel 進行對齊，消除 kernel mismatch；再使用無截斷 IS 校正 weight lag，避免截斷帶來的偏差。
技巧與觀點
Dev.to Top TechPDF 仍保留已刪除段落：原因與修復方法
**PDF** 在刪除後仍保留舊內容，原因在於編輯器採用增量寫入，未真正移除原始物件。- **增量寫入**：編輯器只追加新物件與交叉參照，原始位元組不被改動，導致舊段落仍可提取。
Dev.to Top TechGoogle Play In-App Review API 卡片不顯示的原因
**Google Play In-App Review API** 需要先呼叫 `requestReviewFlow()` 取得 `ReviewInfo`，再執行 `launchReviewFlow()` 才能顯示評分卡片。
$90 鑰匙闖入公司機密
本篇文章分析 AI 進入企業網路成本在五個月內下降 99%，並探討企業安全預算如何跟上。\n\n- **AI 攻擊成本**：從 2026 年 4 月的 $5k–$10k 降至 6 月的 $770，7 月的 $385，8 月的 $90，下降幅度 99%。
快訊
- Firecracker VM 逃逸：PwnEscape 第2部Hacker News (official RSS)
- CVE-2025-4517 針對 Python tarfile 的關鍵漏洞：事件回應與緩解措施Dev.to Top Tech
- 利用 getaddrinfo 進行 IP 隱形攻擊：IDNA 轉換的安全隱患Lobste.rs (Engineering Discussion)
- 藍浪與黑天鵝：$6B Binance 盜取、法國銀行被盜及以太坊量子防護Bankless
- 比特幣挺過幣安 60 億美元駭客事件，科技股卻接著暴跌Bankless
- Libghostty 1.0 版正式發布Mitchell Hashimoto Blog