GitHub AI代理曝私库泄露漏洞
Noma Labs披露GitHub Agentic Workflows存在名为GitLost的关键提示注入漏洞。攻击者可在同一组织的公开仓库提交恶意Issue，诱导AI代理静默读取并外泄私有仓库数据，凸显AI开发者工具的权限隔离风险。
最新动态
Gemini推动移动端AI编程
爱范儿体验称，借助Gemini 3.5 Flash及谷歌Android生态，用户可用自然语言快速生成并部署应用。文章强调AI编程正从开发者工具走向普通移动端用户场景。
vLLM接入原生速Transformers后端
Hugging Face介绍vLLM的Transformers建模后端升级，目标是在保留Transformers 450多个架构一致API和可读实现的同时，获得接近原生vLLM模型的推理速度。该集成可降低新模型适配vLLM、SGLang、MLX、llama.cpp等推理框架的迁移成本。
FlashAttention代数教程发布
Reddit 机器学习社区作者发布 FlashAttention 系列教程第一部分，聚焦其代数基础与可结合归约形式。文章解释 safe softmax、Welford 方差与 FlashAttention 的共同结构，并推导 FA-2 与 Triton 内核中的 qk_scale 及数值稳定性边界。
Qwen3 TTS安卓端侧应用开源
开发者发布一款Android端侧Qwen3 TTS演示应用，0.6B模型在Q4量化下可在Galaxy S25 CPU上达到约0.5倍实时速度。项目采用自定义GGML C++后端，Vulkan在高通Adreno上仍存在兼容问题。
VisionBridge开源代理
开发者开源 VisionBridge，一个 MIT 许可的 OpenAI 兼容轻量代理，可让 GLM、DeepSeek、Qwen 等文本 LLM 通过独立视觉模型工具获得看图、OCR、扫描、裁剪和对比能力。该项目无需训练或新增权重，属于面向开发者的多模态桥接工具。
Davit开源苹果容器桌面UI
开发者发布Davit，一款面向Apple Containers的原生macOS管理界面，可在Apple Silicon上运行Linux容器且无需Docker Desktop。项目MIT开源，支持容器启停、日志、资源监控、配置查看和交互式Shell。
AI审计发现CIRCL七漏洞
zkSecurity称其AI审计流水线在Cloudflare实验性密码库CIRCL中确认7个真实漏洞，包括阈值RSA的float64精度损失和属性加密访问控制绕过。相关漏洞已被上游修复，该团队正将其AI审计代理zkao用于持续发现开源密码学代码缺陷。
微软推Azure漏洞AI修复
微软推出 Copilot Autofix for GitHub Advanced Security for Azure DevOps 有限公开预览版，将 AI 漏洞修复扩展到 Azure Repos 团队。该功能结合 CodeQL 与 GitHub Copilot 编码代理，自动生成修复建议并创建拉取请求，旨在缩短漏洞检测到修复的周期。
Gepard实时TTS开源
Gepard 1.0开源发布，这是一款面向实时对话的约5.55亿参数流式TTS模型，基于Qwen3.5 0.8B骨干与Nemo NanoCodec，采用Apache 2.0许可。项目宣称在RTX 5090上可达约20倍实时生成、约50ms首音频延迟，并支持零样本声音克隆和多语言语音合成。
PocketJS热门开源
GitHub新项目pocket-stack/pocketjs走红，主打浏览器外的高性能JSX UI。项目支持硬件渲染、Vue Vapor与Solid，并称可在8MB内存预算下实现60FPS动画。
llama.cpp合入DFlash
社区用户测试刚合入llama.cpp的DFlash支持，在Qwen 3.6 27B和RTX 6000 Pro环境下，36K上下文场景速度最高提升4.44倍。DFlash采用块扩散草稿器进行 speculative decoding，可一次生成一批候选token，对本地大模型长上下文推理加速有参考价值。
TorchJD支持多损失训练
TorchJD 项目分享了在 PyTorch 中进行多损失训练的进展，覆盖标量化与 Jacobian descent 两类方法。该工具面向多任务、约束、辅助损失等场景，尝试通过梯度聚合让每个损失项同时下降。
Rowboat开源本地AI工作台
Rowboat 在 Hacker News 发布，定位为开源、local-first 的 Claude Desktop 替代品，代码已在 GitHub 开放。项目强调将 AI 能力嵌入实际工作界面，支持用户构建自定义 work surfaces，而不只是聊天窗口。
mistral.rs发布0.9版
mistral.rs v0.9.0称在x86与ARM CPU上解码速度最高比llama.cpp快1.8倍。测试覆盖Qwen3 4B Q4_K等模型，并公开方法、表格与复现脚本。
Hugging Face接入微软Foundry
Hugging Face宣布其模型可在Microsoft Foundry Managed Compute上运行，开发者可通过统一端点和多语言SDK调用开源、前沿及自定义模型。该集成面向企业级Agent应用，结合Foundry Agent Service、模型编排、数据接地、追踪和托管算力能力。
Mozilla将发布开源AI报告
Mozilla CTO Raffi Krikorian 将在 r/MachineLearning 举办 AMA，并同步发布首份《开源 AI 状态》报告。报告聚焦开源 AI 在生产环境中的真实采用情况，包括企业落地成本、中国模型影响以及开发者信任等议题。
llama.cpp初步支持Hy3
社区用户称 llama.cpp 已出现 Hy3 模型支持 PR，并有人发布 Hy3-1M 的 GGUF 量化版本。早期测试显示 Q2_K 可在 RTX 5090 与 Zen 4、96GB DDR5 配置上生成连贯输出，速度约 10-11 tokens/s。
Decypher代码图工具Beta
Decypher进入Beta，定位为面向Agentic Coding的深度语义代码图工具。项目使用语言级编译器解析代码库，试图帮助开发者和AI代理理解代码行为、定位缺陷与安全问题，并降低上下文 token 消耗。
Java生态近期版本更新
InfoQ汇总Java生态近期更新，包括JDK 27 Build 28、JDK 28 Build 4、Azul Payara 7.1.0、Quarkus 3.37.0和WildFly 41 Beta等。更新重点涵盖安全修复、Hibernate升级、jlink实验扩展、Jackson无反射序列化等开发者相关变化。