每日手冲｜2026-10-25

本期提到

• OpenAI：Brotli / CVE-2026-111497 披露帖红队发现未认证 RCE；称根因二月已在源码修复、当时未当安全问题发布。
• Aikido：Python 包与 HTTP2Shell 波及面波及 Python brotli、Envoy、Istio 等；社区名扩成 HTTP2Shell。
• Hacker News：HTTP2Shell / Brotli 讨论之一源码已修却未发布的责任讨论。
• Hacker News：HTTP2Shell / Brotli 讨论之二波及面与修复版本。
• OpenAI：Securing our frontier model training environment训练环境隔离、离线世界、红队与侧信道监控（OpenAI 自述；EP.10 已讲，本期续报上 HN）。
• Hacker News：OpenAI 训练环境文章讨论约一百十八分 / 一百十九条评论（核稿时）。
• AIHOT：CPU 缓存侧信道跟进红队对抗实验中 agent 借缓存时序通信（实验安排）。
• Guillermo Rauch：吵闹邻居同机 agent 可用缓存噪音与耗时互感；独占硬件代价大。
• AB：中文圈转述双 agent 侧信道无网无共享文件条件下的缓存通道（转述）。
• KC：DNS 查询连外网聊天机器人测题单方观察/转述。
• Railway：十月安全事件初步报告定向攻击、蒸馏意图、凭据轮换建议。
• Hacker News：Railway 初步报告讨论Railway 初步报告讨论（见正文）。
• LiteLLM：10-21 攻击链官方博文主密钥误提交且未及时吊销；作者标为权威事实来源。
• Hacker News：LiteLLM 攻击链讨论LiteLLM 攻击链讨论（见正文）。
• KC：ChatGPT Pro 额度砍半第三方整理200 美元档 10-30 起减半等（第三方口径，据称）。
• 小码哥：Google 学生优惠被收回个案个案，非主结论。
• The Information：Salesforce 拟对外部 AI agent 加费据报道。
• 微软：Dataverse and Work IQ公开预览，点到为止。
• Thariq：离开 Anthropic原帖；推荐关注 Cherny / ClaudeDevs 等。
• 歸藏：Thariq 离职讨论Thariq 离职讨论（见正文）。
• 小墨：Thariq 背景补充Thariq 背景补充（见正文）。
• Thibault：Codex CLI 更新与用量公司口径，据称。
• david.lequin.dev：BI software is dead?HTML 小工具对照 Looker。
• Hacker News：HTML 替代 Looker 讨论HTML 替代 Looker 讨论（见正文）。
• cindy：跨 harness Agent 客户端跨 harness Agent 客户端（见正文）。
• Corgi：人与智能体的终端复用器人与智能体的终端复用器（见正文）。
• Hacker News：Corgi Show HNCorgi Show HN（见正文）。
• akazwz：手机端编排多 agent手机端编排多 agent（见正文）。
• AWS agent-toolkit-for-aws项目自述 GA。
• impeccable确定性前端规则（项目自述）。
• hallmark反 AI 味设计门禁（项目自述）。
• CVE Tracker本月新增与总量图表。
• Hacker News：CVE Tracker 讨论CVE Tracker 讨论（见正文）。
• EFF：Vulnerability ApocalypseVulnerability Apocalypse（见正文）。
• QingYue：old-phone-tailnetold-phone-tailnet（见正文）。
• QingYue：Pixel + Termux / harkPixel + Termux / hark（见正文）。
• Michael Guo：homelab 五阶段安全homelab 五阶段安全（见正文）。
• Michael Guo：Oracle VPS 24h 被扫观测本人观测。
• 向阳乔木：Kindle AI 阅读器Kindle AI 阅读器（见正文）。
• 向阳乔木：Obsidian 插件与 ebook MCPObsidian 插件与 ebook MCP（见正文）。
• Mallory：Node2Shell / HTTP2Shell 响应发行版修复进度不一；转述 OtterSec 私有利用与未见野外利用。
• captnemo：印度政府站仍提供已吊销 eMudhra 证书作者统计 2976 个政府域名中 894 个仍在提供。
• Kimi K3.1 Pro 技术博客正文提到的相关来源与讨论。
• Hacker News：Kimi K3.1 Pro素材抓取时约 1055 分 / 646 评；核稿时约 1057 / 650。
• Artificial Analysis：Kimi K3.1 ProIndex / 定价 / 速度。
• KC：Kimi 删网安训练数据转官方博客口径。
• KC：Kimi 推广须知Kimi 推广须知（见正文）。
• WeZZard：Kimi 额度与并行子 agentKimi 额度与并行子 agent（见正文）。
• Epoch：基准审查说明帖一项 Verified、三项 Flawed。
• Hacker News：GrapheneOS 与银行应用点到为止的隐私热帖。