所有文章 · SURL AI News

Hermes Agent 發布 v0.21.6，納入登入防護與自動 Git 操作安全修補

Nous Research 於 10 月 8 日發布 Hermes Agent v0.21.6，修補儀表板登入與不受信任儲存庫設定引發的安全問題。此次穩定版本提供 Docker 映像與 Git 標籤，桌面應用程式及 Termux 套件則維持現有版本。

LangGraph 維護者於 10 月 7 日公布安全公告，指出 JS SDK 會修改呼叫端提供的標頭物件，可能讓不同客戶端混用憑證。公告列出修補版本，但問題須由特定共用物件配置觸發，官方評級為低風險。

10 月 7 日的社群重現指出，Transformers 5.19.0 在 PyTorch 2.5.1，以及沒有加速器的 2.6.0 環境中，可能連模型類別都無法匯入。回報附有最小重現與防護程式碼，但尚無維護者確認或已合併修補。

Mistral 於 10 月 6 日推出 Large 4 公開預覽，採原生多模態 MoE 架構，權重預計月底釋出。獨立資安評測顯示其漏洞處理能力突出，但通過測試不代表已完整修復原始漏洞。

具工具匯出權限的非管理員，可能下載僅獲讀取授權工具的 Python 原始碼。官方已於 0.11.4 修補，部署者須核對群組權限及程式碼內是否存放憑證。

驗證涵蓋中央設定與團隊覆寫，回報問題檔案及 JSON 路徑。設定仍須同步至支援的用戶端，檢查通過後也要確認實際生效。

研究在完整存取模式下測試紀錄刪除、技能注入與獎勵誘導，揭示代理工作權限與稽核資料重疊的風險。團隊公開實驗框架，但結果受權限設定與人工獎勵設計限制。

代理處理安全警示時可查閱既有記憶，並保存新生成的修補模式供其他 Copilot 功能使用。功能仍處公開預覽，官方尚未公布成功率或成本改善數據。

新版更新相依套件，處理 TLS 憑證驗證與程序池阻塞風險。預設映像仍有未解決的漏洞項目，實際影響須依執行路徑判斷。

漏洞涉及預填充／解碼分離節點的 RPyC 服務，攻擊者須能連上控制埠。公開重現顯示利用後健康檢查仍可正常，公告尚未列出已修補版本。

AISI 與 EvalEval 以共同格式整理既有研究的結果與設定，涵蓋五項主實驗基準及相關資安評測。資料有助追查預算與回饋條件，但格式驗證不等於獨立重現。

新基準以可變動環境與多輪對話，檢查代理在操作及回覆中是否違反安全規則。論文觀察到互動模式下更多違規，但公開結果存在數值差異，重現時須核對版本。