所有文章 · SURL AI News

CISA 將 LiteLLM MCP 驗證繞過列入已遭利用漏洞，失敗金鑰曾降級成有效工作階段

CVE-2026-59822 讓偽造 Bearer token 在特定 OAuth2 passthrough 路徑繞過 LiteLLM 驗證，進而列出及呼叫已設定的 MCP 工具。漏洞早已在 1.84.0 修補，但 CISA 新增 KEV 紀錄，使盤點公開端點與輪替上游憑證成為即時工作。

Copilot CLI 的研究預覽不再只為每項任務挑選單一模型，而會在直接執行、逐級升級及跨模型審查三種流程間路由。GitHub 的離線測試顯示部分工作可降低估算成本，但路由器、品質閘門與內部基準尚未公開。

Google 將 Gemini 3.8 Flash 正式投入生產，提供 100 萬 token 上下文、三段思考強度及內建工具，並改為 Antigravity 受管代理的預設模型。程式評測有所提升，但多數數字仍由 Google 提供，模型卡也揭露非英語安全評測相對退步。

Cloudflare 的早期預覽服務把原始碼分析結果與實際路由、流量、WAF 狀態及攻擊事件結合，再由 GPT-5.6 Cyber 驗證漏洞和修補方案。模型不直接修改環境，但資料會送至 OpenAI 執行推論，且官方尚未公布誤報率或修補成功率。

HyperPod InstantStart 將 EKS、GPU 容量、訓練、推論與儲存操作編排成可重試的有狀態流程，再透過 MCP 工具交給代理執行。代理不直接操作 AWS CLI，但部署者仍須自行承擔 IAM、Kubernetes、網路與跨服務成本管理。

Scal3R 保留 CUT3R 或 STream3R 的凍結主幹，改由輕量查詢 token 對多個歷史關鍵幀估計相對位姿，再交給線上位姿圖最佳化。作者在 KITTI 報告平均 ATE 較最強線上對手低逾 60%，但成績經 Sim(3) 對齊，不能直接解讀為保留真實尺度。

KAIST 與 Google DeepMind 提出 Declarative Attention，讓現成模型在推理文字中切換全域、聚焦與本地注意力。作者在兩款模型上減少 31.1% 至 52.0% 的 attended tokens，但速度提升仍主要是模型推算，且準確率略有下降。

Qdrant 1.19.1 針對 TurboQuant 評分加入預取與批次化 SIMD，並減少 HNSW 搜尋及查詢平面的額外配置。新版也強化分片轉移的故障復原，但官方尚未公布涵蓋不同處理器與資料集的整體效能比較。

智譜公開 320B、每 token 啟用 18B 參數的原生多模態 GLM-5.3-Flash，並以 MIT 授權釋出權重。新架構宣稱較 GLM-5.3 減少三倍注意力計算與 4.4 倍 KV cache，但「Flash」不代表一般工作站能輕易部署。

Uno 將輕量擴散權重附加至自回歸 LLM，再以 Ψ-Spec 一次提出多個 token 並維持原模型的取樣分布。作者報告最高三倍加速，但目前數字仍來自研究團隊的特定模型、硬體與推論引擎。

新版加入 Parity-aware BPE，讓分詞器在每次合併時優先改善壓縮最差的語言，而非只追求全體最高頻率。這項功能可用於訓練新詞彙表，卻不會自動修正既有模型的中文 token 成本。

GWM Worlds 2 將自回歸擴散、因果影音解碼器與結構化 WorldPrompt 結合，能以文字動作和鏡頭訊號即時控制連續世界。系統仍是封閉研究預覽，快速運鏡、長期一致性與可重現評測都是明顯缺口。