所有文章 · SURL AI News

Hermes Agent 社群回報智慧審批缺口，AppleScript 關閉未存檔文件可能獲自動放行

10 月 19 日的 Hermes Agent 回報指出，智慧審批可能自動放行關閉未存檔簡報的 AppleScript 指令，造成使用者資料遺失。另一名貢獻者已重現審批缺口，社群提出強制人工確認的修補分支，但尚無正式修復版本。

Tenable 於 10 月 9 日公開 Hermes Agent 原生登入漏洞：伺服器與瀏覽器對回呼網址的解析差異，可能讓授權碼流向攻擊者。修補已納入 v0.21.6，但 Desktop、Termux 與 Microsoft Store 套件未隨此版本同步更新。

10 月 9 日的 PyTorch 社群回報指出，B300 上特定短序列與布林遮罩組合，可能讓 cuDNN 注意力反向傳播產生 NaN，前向輸出卻仍正常。維護者表示較新 cuDNN 未重現，建議測試 nightly 或 2.15 候選版，但回報者的環境仍待升級驗證。

Nous Research 於 10 月 8 日發布 Hermes Agent v0.21.6，修補儀表板登入與不受信任儲存庫設定引發的安全問題。此次穩定版本提供 Docker 映像與 Git 標籤，桌面應用程式及 Termux 套件則維持現有版本。

LangGraph 維護者於 10 月 7 日公布安全公告，指出 JS SDK 會修改呼叫端提供的標頭物件，可能讓不同客戶端混用憑證。公告列出修補版本，但問題須由特定共用物件配置觸發，官方評級為低風險。

Mistral 於 10 月 6 日推出 Large 4 公開預覽，採原生多模態 MoE 架構，權重預計月底釋出。獨立資安評測顯示其漏洞處理能力突出，但通過測試不代表已完整修復原始漏洞。

具工具匯出權限的非管理員，可能下載僅獲讀取授權工具的 Python 原始碼。官方已於 0.11.4 修補，部署者須核對群組權限及程式碼內是否存放憑證。

驗證涵蓋中央設定與團隊覆寫，回報問題檔案及 JSON 路徑。設定仍須同步至支援的用戶端，檢查通過後也要確認實際生效。

研究在完整存取模式下測試紀錄刪除、技能注入與獎勵誘導，揭示代理工作權限與稽核資料重疊的風險。團隊公開實驗框架，但結果受權限設定與人工獎勵設計限制。

代理處理安全警示時可查閱既有記憶，並保存新生成的修補模式供其他 Copilot 功能使用。功能仍處公開預覽，官方尚未公布成功率或成本改善數據。

新版更新相依套件，處理 TLS 憑證驗證與程序池阻塞風險。預設映像仍有未解決的漏洞項目，實際影響須依執行路徑判斷。

漏洞涉及預填充／解碼分離節點的 RPyC 服務，攻擊者須能連上控制埠。公開重現顯示利用後健康檢查仍可正常，公告尚未列出已修補版本。