InvokeAI 6.14.1 修補外部圖片下載信任邊界，並校正 VAE 與 FP8 記憶體預留

InvokeAI 在 9 月 6 日發布 6.14.1，表面上是 6.14 系列的小型修補版，但變更集中在外部資料邊界與 GPU 記憶體管理，對自架、多使用者或接入雲端影像供應商的部署較重要。PyPI 已提供經 Trusted Publishing 上傳的原始碼與 wheel，版本要求為 Python 3.11 至 3.12。

安全方面，專案稱已關閉 Alibaba Cloud 圖片下載處理中的漏洞，完整變更表則把修補描述為替外部下載加入防護，並要求注入的工作階段必須具備信任狀態。這延續了 6.14.0 對非公開 URL 與下載路徑的收緊：生成式影像工作流經常把遠端 URL、供應商回傳物件及本機素材串成同一資料流，若後端代替使用者取回任意位置，便可能形成伺服器端請求或跨租戶資料存取風險。維運者應把升級視為安全修補，而不只是介面更新。

記憶體部分，6.14.1 修正 FP8 載入器未完整遵守 skip list、RAM 預留超量，以及 FLUX.2 去噪和 VAE 編碼／解碼工作記憶體估算。其目的不是降低模型權重本身，而是讓快取在高峰操作前更準確地騰出空間，減少「模型載入成功、進入 VAE 階段才 OOM」的情況；關閉服務時也改為逐出快取紀錄，而非只釋放共享權重。影片上傳則改成串流至單一磁碟副本，降低大型素材的中間複製。

模型相容性方面，新版可讀取由 ai-toolkit 產生、包含 DoRA magnitude 的 Krea-2 LoRA，並以還原扁平化 Kohya key 的方式驗證結構。工作流亦可直接輸出 PNG 截圖，便於審查與分享節點圖。需要注意的是，官方沒有公布 CVE、受影響版本矩陣或攻擊重現步驟，也未提供修補前後的 RAM／VRAM 基準；使用者仍應在自己的模型、量化格式和批次設定上做回歸測試。