包含关键字 typecho 的文章

想起大学时期做过的恐怖梦中梦,让 AI 改编成了一篇文章,还挺有意思的,AI 甚至还附带着生成了一张图,场景还挺还原梦中场景的 😅

这是我依据梦境记录的:
1、这是个恐怖的梦,是双重梦境,就是梦中梦。
2、背景是大学时期,在宿舍做的梦。
3、梦境:某天晚上在宿舍入睡之后,梦到自己和舍友从学校周变不知不觉走到一个村子附近,村子不大,但周围都是荒草。我们从村子一边进入走过一排人家,没看到人,只看到很多人家门口有散落在地上的荒草,又绕到村子后面的公路上。这时候感觉起雾了,走着走着隐约听到唢呐的声音,再往前走就发现迎面走来的是一队送葬的队伍,他们身穿鲜红色衣服,都不是活人,而是纸扎的人,中间的棺材涂着黑色且光亮的漆,双方并没有发生任何交集,我拉着舍友快步走过去了。我们走出村子,接下来走到不认识的地方,从一座跨江大桥上走过去了,这大桥既能走车也能走人,两个人都发现天快黑了(不知道天为什么黑的这么快),就在过了桥不远处发现一个废弃的小木屋,门没有锁,两个人便走进去了,房间很小,分为里屋和外物屋,由于门不能锁,一直有风,就没有住外屋,两个人都住里屋,里屋有木床和土炕,一高一低,两个人便各自躺下睡着了。睡着之后我又开始做梦了,梦里第一个场景就是发现我们住的小木屋,竟然就是白天遇到送葬的队伍,他们下葬棺材的正上方,而且恐怖的是,那口棺材里的东西正在试图撑破棺材,然后爬出墓地,这时候我从第二重梦境里吓醒了,回到了第一层梦境,但知道那口棺材里的东西就快要出来了,就赶紧叫舍友,但他睡得很死,怎么也醒不过来。这时候棺材里那个东西已经破土而出了,跑到桥边跳进了江水里,我赶紧追出去在桥头看,忽然这东西在江水离似乎变身了,穿着黑色盔甲,浑身冒火跳上岸边要攻击我,此时我手里不知道从那里拿到类似三叉戟的武器(可能是从小木屋什么地方拿的)跟他打了起来,但一直打不过,我很着急,没想到这时候在宿舍我被舍友叫醒要去上课了,终于跳出了梦境。

这里是让 AI 生成的:

梦魇层级:红衣与焦土
第一重:迷途的红白事
大学宿舍的冷气似乎开得太足了,我翻了个身,意识却坠入了一个荒凉的午后。

我和舍友阿强走在学校后山的小径上,不知为何,周围的景物变得陌生。视线所及之处,野草疯长,遮蔽了原本熟悉的校舍。穿过一片半人高的荒草地,一个死寂的村落突兀地出现在眼前。

村子不大,家家户户门窗紧闭,门槛处散落着枯萎的乱草,像是一场盛大祭典后留下的残骸。我们绕过村后的公路,浓雾毫无征兆地漫了上来。

“嘀——呐——”

凄厉的唢呐声刺穿雾气。那一幕让我终生难忘:一支送葬队伍迎面走来,他们通体穿着鲜红色的寿衣。走近了才发现,那些抬筐、撒纸的“人”,全都是面色惨白、腮红如血的纸扎人。

队伍中央,是一口黑得发亮的漆木棺材,在红衣的映衬下黑得深不见底。我们屏住呼吸,与这支寂静的队伍擦肩而过。奇怪的是,那些纸扎人仿佛无视了我们的存在,只有唢呐声在雾中回荡。
image

第二重:棺上的守墓人
天色暗得诡异,像是被某种力量强行拽入了黑夜。穿过一座跨江大桥后,我们在荒野中发现了一座废弃的木屋。

“凑合一晚吧,总比在外面淋雾强。”阿强说。

木屋分里外两间,门栓早已腐朽。为了安全,我们挤在里屋,他睡土炕,我睡木床。疲惫排山倒海而来,我沉沉睡去。

然后,我再次入梦。

在梦里的梦中,我以“上帝视角”俯瞰着这座木屋。我惊恐地发现,这座木屋竟然精准地盖在白天那口黑棺的正上方!

地底深处,那口漆黑的棺材正在剧烈颤动,指甲抓挠木板的声音穿透泥土,棺盖正在被一股蛮力撑开。某种“东西”正要破土而出,而它的出口,就是我们睡觉的床底!

惊醒与厮杀:桥头的业火
“快醒醒!阿强!”

我猛地从二重梦境中惊醒,回到了木屋的现实。我大声嘶吼,拼命摇晃阿强,但他像是被梦魇住了一般,呼吸沉重却毫无反应。

此时,地面开始震颤。我听到木屋底下的泥土崩裂声,那个东西出来了!它没有攻击木屋,而是发出一声令人胆寒的咆哮,冲向了大桥,纵身跃入滚滚江水中。

我鬼使神差地追了出去,手里不知何时多了一柄沉重的三叉戟。

江心之中,水流沸腾。那个东西从水中缓缓站起,它已不再是腐尸,而是披着一套墨黑色的重型盔甲,暗红色的火焰从盔甲的缝隙中喷涌而出,将江面映照得通红。

它拖着火焰跳上岸,向我冲来。我挥动三叉戟迎敌,每一次碰撞都火星四溅,震得我虎口发麻。我感到绝望,那种无力感像潮水一样淹没了我,我根本打不过它……

现实的回响
“喂,别叫了!再睡这节课真要挂了!”

阿强的一记闷拳砸在我的肩膀上。我猛地坐起身,发现自己正坐在宿舍的床位上,阳光透过窗帘缝隙照进来,有些刺眼。阿强正忙着收拾书包,一脸嫌弃地看着满头大汗的我。

我下意识地看了看自己的手掌,那种紧握三叉戟的粗糙触感竟然还没完全消散。

“阿强,”我心有余悸地问,“你昨晚梦见红衣服了吗?”

他愣了一下,随即笑骂道:“我梦见漂亮学妹了。赶紧走,再晚没座了!”

我背起书包出门,在踏出宿舍门的一瞬间,我忽然闻到,空气中隐约飘过一丝草木灰被烧焦的味道。

导读: 想象一下,只需要一段普通手机拍摄的单目视频,AI 就能瞬间为你构建出一个可交互、可编辑、可全视角观看的 4D 世界。

近日,来自中科院自动化所(CASIA)与 CreateAI 的研究团队联合发布了最新的​通用 4D 世界模型​——​NeoVerse​。该模型彻底打破了以往 4D 建模对专业多视角数据或复杂位姿预处理的依赖,​通过学习互联网上 100 万条“野外”单目视频​,实现了从视频重建到高保真生成的跨越式进化。

一、论文概述

论文名称:NeoVerse: Enhancing 4D World Model with in-the-wild Monocular Videos

论文链接:https://arxiv.org/pdf/2601.00393

项目地址:https://neoverse-4d.github.io/

👇 扫码阅读论文,领 H800GPU 算力

NeoVerse 的思路是把这件事做成一条可规模化的训练范式,让模型能够利用海量野外视频持续变强。

论文在 图 1 给出清晰的流程:先前向重建动态 4D 高斯表示(4DGS),再从新视角渲染得到低质量的退化渲染,将其作为条件输入生成模型;训练时以原视频作为目标,使生成模型学会从低质量新视角渲染生成高质量的新视角结果。

二、为什么需要 NeoVerse

4D 世界模型是融合 3D 空间维度(长、宽、高)与 1D 时间维度的场景建模技术,核心是对动态场景进行时空一体化表征,既还原三维空间结构,又捕捉时间维度的运动变化,实现对真实世界的动态数字化复刻。

​为什么之前的 4D 世界模型很难利用到海量野外视频?​论文认为有两大原因:

  1. ​数据可扩展性有限:​不少工作依赖难采集的多机位动态数据,导致泛化与能力上限被数据类型锁死。
  2. ​训练可扩展性有限:​另一类方法需要繁重的离线预处理(例如离线深度、离线重建、额外 3D 检测等),这会导致计算负担重、训练方案僵化。

NeoVerse 的核心思路就是针对这两点“对症下药”:把整条从重建到生成的训练pipeline​​设计为可扩展、可端到端的形式​,使模型能够直接利用“廉价且多样”的野外单目视频持续学习,而不是被数据形态或离线流程拖住。

三、核心技术

  1. ​ 总体框架

如果只靠生成模型直接从单目视频“脑补”新视角,为什么容易漂、闪、细节虚?

NeoVerse 的策略是把任务拆成两步:先用重建端给出一个几何上自洽的动态世界骨架(4DGS),再用生成端把“骨架渲染出来但有缺陷的画面”提升成高质量视频。

图 2 讲的就是这条链路:重建端是 pose-free、feed-forward 的 4DGS 重建;生成端把 4DGS 在新视角渲染得到的 degraded renderings(退化渲染)作为条件输入扩散模型;训练时用“退化条件 → 原视频帧”为监督对,使模型学会从低质量渲染生成高质量结果。

  1. 为什么要“双向运动建模”

很多人会直觉认为:动态重建只要“逐帧估”就行。但单目视频里最难的是时间一致性:既要让物体在 t→t+1 连贯,也要让它在 t→t−1 同样合理,否则中间帧插值会抖、会错位。

论文解释得很明确:他们显式区分​ t→t+1 ​t→t−1 的瞬时运动,用双向预测来服务“时间插值”(而不只是为了多一个分支)。 公式 (1) 表明,把帧特征沿时间切成两段,分别做一次 Cross-Attention,得到前向 motion feature 和后向 motion feature,分别刻画“往前一帧怎么动”和“往后一帧怎么动”。

公式 (2) 表明,每个高斯点不只是“位置/旋转/尺度/颜色”这种静态属性,还带着双向线速度

$$
v_i^+,\ v_i^-
$$

,双向角速度

$$
w_i^+,\ w_i^-
$$

,以及一个生命周期$$\tau\_i$$。这意味着:模型不仅知道“点在哪里”,还知道“它往前/往后会怎么走”,并且知道“这个点在时间上该持续多久”。

  1. 训练为什么能更快

这里的关键不是“少算几帧”,而是:​少算的同时还要保证时序正确​。论文里说得很清楚:长视频若逐帧在线重建会成为训练瓶颈,所以只取 K 个关键帧做重建输入,但渲染覆盖全部 N 帧,因为渲染比网络计算高效。

那非关键帧怎么来?公式 (3)(4)(5) 的意义是:用双向速度/角速度把关键帧的高斯“平移/旋转”到任意时间戳(默认短时间内运动近似线性)。

尤其公式 (5) 里的

$$
\tau_i
$$

很重要:它控制 opacity 的衰减,让高斯点在时间上​自然淡入淡出​,避免某些点突然出现/消失造成闪烁;论文中同时解释了 $$\tau\_i-1$$时衰减几乎没有,否则,$$\tau\_i$$ 衰减迅速。

  1. 没有多视角真值,训练对从哪来?

单目视频没有多视角 GT,生成模型凭什么学会“把新视角渲染变好”?

生成模型需要学习“从低质量新视角渲染到高质量新视角”的映射,因此必须构造这种训练对;多视角数据好办,但野外单目视频就得自己模拟退化。

图 3 画的三类退化不是随便挑的,它们基本对应单目重建/渲染最常见的错误形态:

​遮挡缺失(图 3 - a):​用深度判断从新轨迹看哪些高斯不可见,直接裁剪掉再渲染回原视角,得到“该缺的地方缺掉”的遮挡退化。

​飞点与畸变(图 3 - b、c):​先在新轨迹渲染深度并做平均滤波,再按滤波深度调整高斯中心;渲染回原视角会出现边缘飞点,滤波核更大还能模拟更宽的畸变。

这一步的价值在于:它让模型见过“野外单目重建真实会出现的坏条件”,训练就不再依赖昂贵的多机位数据,从而更可规模化。

  1. 生成端为什么“既听镜头指挥、又能修伪影”

要让扩散模型真正“听懂镜头轨迹”,仅有 RGB 远远不够。论文把条件做成多模态:RGB、Depth、由 opacity 二值化的 Mask(指示空洞区域),并额外计算 Plücker embedding 来显式提供 3D 相机运动信息。

然后引入一个控制分支来注入这些条件,并且训练时只训练控制分支、冻结原视频生成模型——这样做一方面为了训练效率,另一方面让整个方案能接入更强的蒸馏/LoRA 加速生成。

四、实验与应用

  1. 重建效果

先明确一点:这里的重建指标其实在回答同一个问题——你从视频里还原出来的 3D/4D 世界,渲染回去像不像、稳不稳、有没有“假细节”。

PSNR/SSIM 越高​,通常表示画面更接近真实、结构更一致;​LPIPS 越低​,表示从“人眼感知”角度更接近真实,更少“看起来不对劲”的伪影。

如表 1(静态),与 VRNeRF 与 Scannet++ 相比,论文的 PSNR/SSIM 更高、LPIPS 更低,说明它不仅更清晰,也更“像真”。

如表 2(动态),动态场景对重建更具挑战:场景中存在物体运动与频繁遮挡,模型不仅要还原几何结构,还要保证时间上的连续一致,因此更容易出现伪影或指标下降。但在 ADTDyCheck 两个动态数据集上,NeoVerse 仍取得了表中最优结果。更关键的是,表注中 †​ 标明部分对比方法需要额外输入​相机位姿​,而 NeoVerse 在 pose-free(无需位姿输入) 的设定下依然优于这些“输入条件更强”的基线,从而凸显其方案在真实野外单目视频场景中的竞争力。

  1. 生成效果

一个现实痛点是:​镜头一大幅移动,新视角生成要么轨迹飘,要么画质糊/闪。​论文中提到:​相关工作通常存在“生成质量 vs 轨迹可控性”的权衡​。

图 4 就是权衡的直观证据:Trajectory Crafter 更像“重建驱动”,轨迹可控性好,但生成质量更差;ReCamMaster 更像“纯生成”,画质好但轨迹控制不精确;NeoVerse 试图两者兼得,实现了更好的生成质量,黄色框标出其他方法的伪影/问题区域。

表 3(VBench)则把“好看不好看、稳不稳”量化了:包括主观一致性、背景一致性、时间闪烁、运动平滑等维度,并且很有用的一点是——把推理时间拆成 Reconstruction / Generation / Total。生成端时间基本稳定在 18s,而关键帧越多,重建端耗时越长;这使得“质量 vs 速度”可以通过关键帧数直接调节。

  1. 哪些设计真的在贡献效果

表 4(消融)不是简单“去掉模块看掉点”,它在回答两件事:

双向运动建模有没有必要? 去掉它(w/o Bidirectional Motion)性能下降,论文还明确解释了做法:跳过 公式(1) 直接从帧特征预测 motion,会带来掉点,从而证明 motion 建模机制有效。

正则有没有必要? 去掉 regularization 会更差,论文解释这是为了防止模型学“透明高斯走捷径”。

纯重建(Reconstruction part) vs 全流程(w/ Generation),后者在 DyCheck 上从 11.56 提升到 14.59(PSNR),说明“生成阶段不是锦上添花,而是在系统层面显著拉升最终质量”。

图 7 表明:如果不训练模拟退化样本,生成模型会“相信条件里的几何伪影”,导致 ghosting 或模糊;加入退化模拟后,模型学会抑制伪影,并在遮挡/扭曲区域“补出更真实的细节”。

  1. 下游应用

因为 NeoVerse 有一个“随时间变化的 4D 表示”,所以它不仅能渲染,还能做空间与时间上的操作。

3D tracking(图 9):用预测的 3D flow 在相邻帧之间关联最近的高斯点,从而实现 3D 跟踪可视化。

Video editing(图 10):因为生成端有二值 mask 条件 + 文本条件,所以可以在分割模型辅助下做视频编辑,示例是“白车改红车”“茶壶变透明”。

Video stabilization / super-resolution(图 1):稳定的核心是“平滑预测相机轨迹”;超分的核心是“4D 高斯渲染分辨率可灵活提高,再用生成端出更高分辨率视频”。

  1. 它为什么更“像能做成产品”的路线?

NeoVerse 不只是提出一个结构,而是把“数据—训练—评测”按可规模化路线补齐了,这也是它能在大镜头运动下同时做到“轨迹可控 + 画质稳定”的重要前提。

五、结论

  1. 三点启发

  • “单目 + 大规模”可行的关键不在网络多大,而在训练对怎么造:在线退化模拟把“无 GT”的问题变成“可监督”。
  • 时间一致性要服务“插值与效率”:双向运动不仅是精度点,更直接支撑“稀疏关键帧重建 + 全帧渲染”的训练提速策略。
  • 生成模型不一定要全量重训:用控制分支注入多模态条件,冻结主干,效率与可迁移性更好。
  1. 边界与局限

论文明确写了局限:NeoVerse 要求数据具备正确的底层 3D 信息,因此不适用于 2D 卡通等缺乏 3D 几何线索的数据;此外作者也承认 1M 片段 仍不算“特别大”,未来希望继续扩数据。

GitLink 开源创新服务平台与 Lab4AI 大模型实验室联合发起​「论文头号玩家」论文复现计划​。寻找百万「论文头号玩家」计划 | 首批复现体验官开放申请,最高可获 500 元算力金!本计划开放​高性能 H800 GPU 算力​,旨在降低复现门槛,推动学术成果的实践转化。

参与活动您将获得:

本文由 AI 深度解读,转载请联系授权。关注“大模型实验室 Lab4AI”,第一时间获取前沿 AI 技术解析!

https://www.lab4ai.cn/paper/detail/reproductionPaper?utm_sour...

在竞争激烈的程序员求职市场中,AI面试工具已经成为求职者的重要技术辅助手段。面试狗面试精灵这两款工具都拥有一定的用户基础,但它们的产品定位和技术实现思路却有很大不同。

面试狗更注重语音识别和问题库管理,在实时语音分析方面表现出色;而面试精灵则聚焦于简历定制化和联网搜索,帮助用户在面试中给出更精准的回答。

面试精灵操作页面

功能特性全面对比

根据我们对AI面试助手的全面评测,以下是面试精灵和面试狗的功能特性详细对比:

功能特性面试精灵面试狗
面试助手
笔试助手
简历优化X
模拟面试XX
面试记录/分析
交流社群X
界面美观度43
操作简单/可访问性43
功能强大44
价格(元/小时)10120
性价比4.53
免客户端下载
多语言支持
语音识别优化X
自动说话人识别
隐蔽模式(多机互联)X
简历输入
个人知识库X
大厂面经库XX
联网搜索XX
多种回复模式X
回复结果显示增强X

核心功能深度解析

语音识别能力对比

这是两款工具差异最显著的地方。

面试狗在语音识别上表现出色,能准确识别常规面试问题。实测中,它的语音识别准确率在同类工具中处于较高水平。它还支持将语音识别结果添加到问题库,用户可以反馈识别问题来优化效果。

面试精灵在常规语音识别上同样可靠,而且在英文术语识别上更有优势。比如"Transformer"、"DeepSeek"这类技术词汇,很多语音识别工具会出错,面试精灵能较好地纠正过来,这对技术面试至关重要。

面试狗的界面布局清晰,右侧是实时语音分析,左侧是问题分析,中间是答案回复,但整体设计比较传统。

回复质量对比

这是面试助手最关键的技术指标,两款工具在这里的差距比较大。

简历定制化能力

两款工具都支持上传简历,但实际效果差异明显。

面试狗在简历相关问题上的表现不太理想。实测中,它的回复内容完全没有参考简历,答案泛泛而谈,没有利用简历中的项目经历和技能信息。

面试精灵在这方面做得更好。它通过RAG技术检索简历内容,能把项目细节、技能要求这些信息自然地融入回答。自我介绍、项目描述这类问题的回答更贴切,符合程序员的面试需求。

时效性问题处理

对于"DeepSeek最近很火爆"这类时效性问题,两款工具的处理方式不同。

面试狗不支持联网搜索,只能依靠模型内置知识。实测中,它对这类问题的回复要么出错,要么内容过时。其内置知识更新到2024年7月,对更晚的新事物无法回答。

面试精灵支持联网搜索,而且英文术语识别准确。它能通过搜索找到最新信息,给出正确回答,这对关注技术趋势的程序员求职者很重要。

回复准确率

这是两款工具差异最大的地方。

面试狗虽然语音识别不错,但利用简历信息和联网搜索的能力较弱,导致相关类型问题的回复准确率较低。在实测评测中,它的整体帮助性评分偏低。

面试精灵在回复准确性上表现更好。它能有效利用简历信息,联网搜索覆盖面广,给出的回答更有针对性。

功能特性对比

问题库功能

面试狗有个特色功能——问题库。用户可以将语音识别结果添加到问题库,支持反馈识别问题进行优化。这对长期使用的用户可能有帮助,但需要用户主动投入时间维护。

面试精灵没有这个问题库功能,但它的核心功能更完善,比如自动说话人识别、长期保存面试记录、多种回复模式等。

笔试辅助

两款工具都支持笔试功能,但实现方式不同。

面试狗支持笔试模式下的截屏OCR识别生成答案,操作相对简单。

面试精灵的笔试助手通过多设备互联实现跨设备远程截图,视觉大模型自动识别题目并生成答案。纯网页操作,无需安装任何软件,设置也更简单。

面试精灵笔试助手功能

界面和操作体验

面试狗的界面设计比较传统,美观度一般。功能布局还算清晰,但整体体验不够现代化。

面试精灵的界面更简洁现代化,代码块、公式、图表等复杂内容的显示效果更好。前端支持LaTeX公式、流程图、泳道图,对技术岗位的面试更友好,符合程序员的阅读习惯。

价格对比

面试狗约120元/小时(价格以官网为准),在同类产品中价格偏高。

面试精灵基础版约10元/小时,精英版约25元/小时。就算用最高配置,价格也明显低于面试狗。

两款工具都有新用户免费额度,可以先试用再决定。

回复效果实测对比

为了更直观地展示两款工具的回复效果差异,我们来看几个具体案例。

实测案例:项目描述问题

问题:"请详细描述下你简历中的这个点云感知项目"

这个题目测试的是简历信息的利用能力。

面试精灵的回答能够准确贴合简历中的项目经历,回复内容完整且结构清晰。

面试精灵自我介绍问题回复

面试狗的回复格式不错,但是内容完全没有参考简历内容,回答泛泛而谈,没有利用简历中的项目经历和技能信息。

面试狗项目描述问题回复

实测案例:公司了解问题

问题:"你对我们公司了解多少?"

这个题目测试的是提前填写的面试信息利用能力。

面试狗的回复没有输出任何有用信息,留了很多占位字符,明显没有理解所求职的目标公司。

面试狗公司了解问题回复

面试精灵能够根据提前填写的面试准备信息,逻辑清晰地介绍面试的目标公司和与面试者的切合度。

面试精灵公司了解问题回复

实测案例:时效性问题

问题:"2025年至今发布的最重要的一个AI大模型是啥,请简要说明它的特点和应用场景"

这个题目测试的是联网检索增强回复效果。

面试精灵通过联网搜索,正确找到了2025年上半年最火的大模型Deep Seek,并给出了准确的特点和应用场景说明。

面试精灵时效性问题回复

面试狗不支持联网搜索,只能依靠模型内置知识,对这类新事物的回复内容过时。

评测数据对比

以下是两款工具在各评测维度的平均得分对比(满分5分):

评测维度面试精灵面试狗
帮助性4.783.39
语音识别准确率4.445
意图识别正确率55
内容深度及个性化4.782.67
沟通技巧4.674.67
准确性4.782.67
全面性4.783.33
直观性4.894.33

从评测数据可以看出,面试狗在语音识别准确率上表现出色,但在内容深度、准确性和全面性上弱于面试精灵。面试精灵在帮助性、内容深度、准确性等方面优势明显,特别是在利用简历信息和联网搜索的能力上差距较大。

总结和建议

两款工具各有特点,但整体表现上差异比较明显。

面试狗在语音识别上做得不错,有特色的问题库功能。但回复质量是短板,特别是简历定制化和时效性问题方面表现较弱。而且价格偏高,性价比不算理想。

面试精灵在回复质量上更有优势,简历定制化、联网搜索、英文术语识别等方面表现更好。自动说话人识别让操作更隐蔽,界面设计也更现代化。价格实惠,性价比不错。

从整体评测数据来看,面试精灵在帮助性、内容深度、准确性等方面优势明显,特别是在利用简历信息和联网搜索的能力上差距较大。结合其高性价比,面试精灵可能是更符合大多数程序员需求的选择。

image


这个绿源老演员了

我甚至怀疑它不是我们这栋楼的

从「AI For What」到「Value From AI」,100+可落地实践案例打通 AI 实战最后一公里!

4 月 16 日-4 月 18 日,QCon 全球软件开发大会将在北京举办。本届大会锚定 Agentic AI 时代的软件工程重塑,聚焦 Agentic AI、多智能体协作、算力优化、技术债治理、多模态和 AI 原生基础设施等前沿话题,邀请来自腾讯、阿里、百度、华为、蚂蚁、小米、网易等企业技术专家,带来百余项真实落地案例,系统性分享前沿洞察与实战干货,以技术共创探索 AI 落地新路径。

Zilliz 合伙人栾小凡已确认出席 “Agentic Engineering” 专题,并发表题为Ztopia:基于 Milvus 与 Claude Code 打造企业级 Agent的主题分享。在企业环境中,数据散落在飞书、Google Workspace、GitHub、Jira、Figma、CI/CD 等数十个系统中,形成严重的信息孤岛。Ztopia 构建了 Ztopia——一个以 Milvus 向量数据库为记忆基础、以 Claude Code 为推理引擎的企业级 Agent 系统,将分散的企业数据统一纳入 Agent 的长期记忆体系。本次演讲将分享 Ztopia 的整体架构设计,重点探讨向量数据库在 Agent 记忆系统中的实践——包括记忆的存储、检索、更新与遗忘策略,以及如何通过 MCP 协议打通 20+ 企业工具链。Ztopia 还将分享在实际落地中遇到的记忆一致性、上下文窗口管理、多 Agent 协同等工程挑战及解决方案。

栾小凡,Zilliz 合伙人 & 工程 VP,Cornell University 计算机工程硕士。拥有超过 10 年数据存储与数据库系统开发经验,曾任阿里巴巴高级技术专家,主导了 Lindorm——阿里云内部最大规模 NoSQL 数据库的研发;此前在 Oracle、Hedvig 从事分布式存储相关工作。2021 年加入 Zilliz,负责开源向量数据库 Milvus 及 Zilliz Cloud 的整体架构与研发。现为 LF AI & Data 基金会技术顾问委员会成员,长期关注 AI 基础设施与 Agentic 系统工程化落地。他在本次会议的详细演讲内容如下:

演讲提纲

  1. 现状痛点

  • 企业数据散落在 20+ 系统中,信息孤岛严重

  • 传统 RAG 只做检索,Agent 需要真正的"记忆"

2. 设计哲学

  • 少就是多,自然增长

  • 对话框是唯一入口

  • Agent 与人的共存

  • 记忆与能力长期共同增长

3. 系统架构

  • 整体架构:Claude Code + Milvus + MCP 工具链

  • 数据接入层:飞书、Google Suite、GitHub、Jira、Figma、CI/CD、CloudOps 等连接器

  • 多 Agent 编排与协同机制

4. 向量数据库驱动的 Agent 记忆系统

  • 记忆分层

  • 基于 Milvus 的记忆存储与语义检索

  • 记忆生命周期:写入、更新、合并与遗忘

  • 跨数据源的统一语义索引

5. 工程挑战与经验

  • 记忆一致性与实时性

  • 上下文窗口管理

  • 权限控制与成本平衡

这样的技术在实践过程中有哪些痛点?

  • 速度;

  • 大量 SaaS 的闭环导致数据获取困难。

听众收益

  • 了解 Agent Memory 的设计实践;

  • 了解一个 AI 应用从零开始到落地的踩坑;

  • 学习向量数据库的基本设计。

除此之外,本次大会还策划了Agentic Engineering多模态理解与生成的突破记忆觉醒:智能体记忆系统的范式重塑与产业落地具身智能与物理世界交互Agent Infra 架构设计AI 重塑数据生产与消费AI 原生基础设施AI 驱动的技术债治理小模型与领域适配模型大模型算力优化Agent 可观测性与评估工程AI for SRE等 20 多个专题论坛,届时将有来自不同行业、不同领域、不同企业的 100+资深专家在 QCon 北京站现场带来前沿技术洞察和一线实践经验。

更多详情可扫码或联系票务经理 18514549229 进行咨询。

兄弟们,搞设计和开发的赶紧码住! OpenPencil 带着 v0.1.2 版本的更新来啦!这次直接切中了一直以来的痛点,两大王炸功能加持,实属大升级!🎉



💥 痛点终结者:实时画布同步 (Live Canvas Sync)

以前咋办? 每次让 Agent 帮改个设计,都要经历完整的“文件 I/O 读写 ➡️ 重新加载”,心累不说,还得干等,灵感都等没了。🙅‍

现在起飞! 直接通过 MCP Server 建立 SSE 双向连接!你的工作流直接变身“次世代”:
你在旁边的聊天框里敲出修改意图 💬 ➡️ 画布上的 UI 节点就跟懂你心思一样,实!时!响!应! 所见即所得,没有任何文件保存和加载的延迟,这丝滑程度,用过一次就回不去了!🤤



🤯 逆天新功能:代码秒变设计稿

不仅能改,还能“逆向”!现在可以通过 MCP 协议,直接将你现有的代码反向生成设计稿!
对于接手老项目,或者平时习惯先敲代码再补设计的宝子们来说,这简直就是救星!一键同步,省下了无数抠细节和对齐的时间,真的绝绝子!😭

🛡️ 安全感直接拉满!
光快还不够,还得稳!这次更新在 Agent 本地执行的安全保护上也是下了血本,防线全面升级:
• ✅ 文件写入白名单: 严加看管,只允许写入安全范围内的文件!
• ✅ 路径穿越防护: 想越界乱跑?门儿都没有!绝对防止越权访问。
• ✅ 环境变量沙箱限制: 给 Agent 戴上“紧箍咒”,在安全的沙箱里乖乖干活!

💡 总结: 这是一次让生产力爆棚,同时又让你满满安全感的顶级更新!

赶紧去升级体验一下这种零延迟的快感吧!你最想用这个新版本做什么神仙项目?在评论区告诉我吧!👇

仓库: https://github.com/ZSeven-W/openpencil
辛苦老哥们给个 Start⭐️哦

新的一年,Comate 4.0全面焕新啦!

这一次,产品团队对Comate的底层逻辑进行了系统级重写,每一处迭代,都来自Comate用户的反馈和心声。我们的初心是,在每一个关键时刻,让亲爱的用户感到放心。

下图带你速览Comate 4.0 七大能力升级!是否有让你心动❤️的功能升级呀?



🖊️🖊️最后,你对Comate本次更新有什么想法,或者在使用中有任何建议,欢迎发表在评论区!这会成为我们更新的宝贵动力。

一键更新Comate,感受AI编程的神奇吧~

更新途径一: 百度搜索“文心快码”,官网下载Comate AI IDE最新版;

更新途径二:Comate AI IDE 界面点击 “重启以更新”;

更新途径三: VS Code 或者 Jetbrains 系列 IDE 搜索文心快码插件,点击“安装”或“更新”。

3 月 4 日,蚂蚁集团联合清华大学发布开源强化学习训练框架 AReaL v1.0 稳定版。该版本主打“Agent 一键接入 RL 训练”:不用改代码,兼容各类 Agent 框架,让智能体强化学习训练开箱即用。

 

2026 年开年以来,Agent 持续升温,以 LangChain、Claude Code、OpenClaw 为代表的智能体框架繁荣发展,但也暴露出两大瓶颈。一是接入训练成本高:现有智能体框架接口各异,每接入一个往往需要编写整套适配代码。二是 Agent 缺乏持续进化的能力:多数 Agent 的能力取决于底层模型在训练阶段习得的固定权重,部署后无法再针对特定场景持续优化,能力上限在交付时便已确定。

 

AReaL 是首个全异步训推解耦的大模型强化学习训练系统,能让 Agent 在真实任务交互中获得反馈、持续优化决策。此次发布的 v1.0 版本让任意 Agent 零改造接入 RL 训练成为现实——通过在智能体与训练系统之间加入 Proxy Worker 中转层,开发者只需修改一个请求地址即可接入训练。

 

(图说:AReaL 无缝接入智能体的异步训练架构)

 

以当前大热的 OpenClaw 为例,开发者只需在 OpenClaw 配置文件中将 base_url 和 api_key 指向 AReaL 网关,就能让自己的 OpenClaw 接入强化学习训练。智能体像往常一样执行任务,用户周期性给 Agent 完成任务的情况打分,AReaL 在后台自动完成训练数据的采集与模型的更新,在持续使用的过程中让智能体自动进化。

 

AReaL v1.0 还推出了原生训练引擎 Archon,它是基于 PyTorch 原生能力实现完整的 5D 并行(数据并行、流水线并行、张量并行、上下文并行、专家并行),降低了安装与调试门槛,同时在训练与推理侧提供多种后端选择,便于在不同环境中灵活部署。令人惊讶的是,这样一个复杂的分布式系统,从零开始实现到验证正确性,仅用了 1 人·月的工作量——32 天内,累计修改近百万行代码完整实现了 Archon 引擎,让它能训练千亿参数 MoE 模型。

创造这一效率奇迹的秘诀在于 AReaL 集成的一整套 AI 辅助开发体系,实现了复杂工程开发的高度自动化。

 

AReaL v1.0 引入的 AI 辅助开发流程,为开发者提供了从规划、编码、校验到 PR 创建的全链路支持。尤其是在处理 MoE 并行、内存优化、算法实现等核心模块时,专属的 AI 编程助手会像一位资深专家,在代码变更时及时出现并提供针对性指导,为每一次代码变更保驾护航,有效降低了开发和维护的门槛。AReaL 的 AI 辅助编程不只是提效工具,更能在复杂基础设施工程中承担“可交付”的研发工作,引领了下一代 AI 基础设施工程范式的革新。

 

AReaL 团队表示,将继续围绕训练引擎、易用性和多模态智能体训练等方向迭代。目前 AReaL v1.0 的代码与文档已在 inclusionAI 社区开源。

 

GitHub 仓库:https://github.com/inclusionAI/AReaL

相关论文:https://arxiv.org/abs/2505.24298

腊月街头年味渐浓,贴春联的习俗让家家户户的门楣都染上了喜庆的红,平仄对仗间藏着千年的文字美学。如今大语言模型早已能写文、答惑、创作,可面对对联这种讲究格律、对仗、意境的传统文体,通用大模型却屡屡 “水土不服”—— 要么平仄失调、词性错位,要么语义通顺却失了对联的工整韵味,甚至混入网络用语,消解了传统对联的文化质感。

问题的核心,在于模型缺少足量优质的对联专业样本,没能真正吃透中文对仗的规则。而微调(Fine-tuning)恰好能补上这一课:无需从零打造新模型,只需让现有大模型基于高质量对联数据 “拜师学艺”,就能掌握格律与意境的创作要领。

借助 LlamaFactory这类高效的微调工具,大模型也能精准拿捏对联的对仗之美、平仄之韵,写出既有文化底蕴又贴合新春氛围的合格对联,让 AI 也能为传统年俗添上一笔新意。

项目概述

LlamaFactory是一款开源的一站式大模型微调框架,兼容 Qwen、Baichuan、ChatGLM、LLaMA 等上百种主流大模型架构。即便你并非专业算法工程师,也能借助其 WebUI 界面完成全流程微调操作:选定基础模型、上传对联数据集、启动训练、等待模型优化完成即可。

以让 Qwen3-14B 模型掌握对联创作为例,只需准备数千组规范的 “上联 - 下联” 配对优质数据,完成 LoRA 相关参数配置后,在 LlamaFactory中启动训练,数小时后就能得到一款专注于对联生成、精通对仗格律的优化模型,让大模型真正实现 “专业对口” 的对联创作。

项目地址:https://www.lab4ai.cn/project/detail?id=9726e59584d640e989e7b...

快速体验

Step 1:准备数据集

对联生成的核心是 “给定上联,生成符合格律规则(对仗、平仄)且寓意贴合场景的下联”,为了让大模型精准理解任务目标、而非仅做无规则的文本续写,我们将其建模为指令微调(Instruction Tuning) 任务 —— 通过构造包含 “明确任务指令 + 上联输入 + 标准下联输出” 的结构化样本,让模型在大量标注数据中学习 “指令 + 上联” 到 “合规下联” 的映射关系,这是让模型真正掌握对联创作规则的关键前提。

1.1 数据集来源与预处理目标

本次微调选用的原始数据集仅以 “上联 - 下联” 的成对文本形式存储,无任务导向的指令标注,示例如下:

神猴翻筋斗    赤鲤跃龙门
望族起清河,汉子文封侯拜相    名城留胜迹,唐承吉范水模山
煦煦春风,吹暖五湖四海    霏霏细雨,润滋万户千家

我们的核心预处理目标,是将这种极简的成对文本,转化为Alpaca 格式,让模型能清晰识别 “任务要求 - 输入内容 - 目标输出” 的对应关系。

1.2 预处理后的数据格式与样例

预处理后的每条样本包含instruction(任务指令)、input(上联输入)、output(标准下联)三个核心字段,既符合大模型的对话式学习逻辑,又能通过指令显式约束模型的生成规则,样例如下:

{
    "instruction": "请为以下上联生成一个对仗工整、寓意吉祥的下联,注意词性对应和平仄协调。",
    "input": "神猴翻筋斗",
    "output": "赤鲤跃龙门"
  },
  {
    "instruction": "请为以下上联生成一个对仗工整、寓意吉祥的下联,注意词性对应和平仄协调。",
    "input": "望族起清河,汉子文封侯拜相",
    "output": "名城留胜迹,唐承吉范水模山"
  },
  {
    "instruction": "请为以下上联生成一个对仗工整、寓意吉祥的下联,注意词性对应和平仄协调。",
    "input": "煦煦春风,吹暖五湖四海",
    "output": "霏霏细雨,润滋万户千家"
  }

然后作为训练样本输入模型,目标是让模型准确预测出 Response 部分的内容。这种格式不仅符合大模型常见的对话结构,还能通过 instruction 显式引导模型关注“对仗”“平仄”等关键要求,相当于给模型划了重点。

1.3 样本使用方式

将预处理后的 Alpaca 格式数据集保存为 JSON 文件后,即可直接作为训练样本导入 LlamaFactory。训练过程中,模型会以 “instruction + input” 作为输入序列,以 “output” 作为目标序列进行监督学习,最终学会根据上联和任务指令,生成符合格律要求的下联。

Step 2:准备环境

运行所需环境已预安装在 envs/lf_spring2 目录下,无需额外配置。您只需要按照文档给出的步骤激活并使用环境即可。

Step 3:执行微调

本项目已经准备好了训练参数脚本和训练代码,训练数据共计70万+条,实践中使用了5万条数据训练了5轮次。下图为训练的loss曲线图。

模型经过 5 轮(epoch5)训练后,训练过程稳定、拟合正常、无过拟合,但泛化效果一般(测试集损失偏高),推理效率优秀,整体处于“训练有效但需优化”的状态,完全适配对联生成的部署需求,但生成质量仍有提升空间。

效果展示

训练后,使用微调后的模型和基础模型分别进行推理。下图为两个模型的输出结果以及分析。

(1) 推理对比

微调让模型从 “完全不会写对联”,变成了 “能写出合格对联”,专项能力实现了从 0 到 1 的突破。让通用大模型具备对联生成的专项能力,解决了基础模型 “不会写” 的核心问题; 规则落地:模型能精准执行 “词性对应、平仄协调” 的专业规则,而非仅生成通顺的句子。

(2) 后续优化方向

  • 数据质量提升:可以补充 “意境匹配” 的样本(如上联写景、下联也写景;上联抒情、下联也抒情),强化语义呼应;
  • 指令还需细化:微调数据的 instruction 加入 “生成与上联意境一致的下联”,引导模型关注语义层面;
  • 数据多样性:补充七言、九言对联样本,以及节日、抒情等不同题材,提升模型泛化能力;

本项目让 Qwen3-14B 从 “无法生成有效下联” 变为 “能生成符合词性、平仄规则的合格下联”,专项能力实现核心突破; 当前短板是语义意境匹配度一般(合格但不优秀),但这是高阶优化问题,而非基础能力缺失。该项目后续还有很多优化方向,如:先补充 “意境匹配” 的高质量样本,再微调生成策略,即可低成本提升下联的语义贴合度。

作者:加悦

在企业数字化转型的下半场,AI几乎成了每家公司的"标配"。

老板们期待的场景是这样的:对着AI助手问一句——"为什么上周华东区的销售额下滑了15%?"AI应该立刻给出精准答案,甚至自动推导出是“仓储物流规则调整导致履约延迟,进而影响了前端转化率”。

但现实情况往往是:AI沉默半天,最后甩给你几个互不相干的 BI 报表链接,或者提示"数据权限不足,无法跨域查询"。

为什么明明做了AI建设,数据分析还是停留在"看个热闹"的阶段?

答案可能在于:你的数据架构里,缺少一个指标平台,而传统的BI平台已经无法满足AI时代对"逻辑归因"的需求。

一、销售看板的归因困境:消失的"真相"

让我们从一个典型的业务场景说起。

某零售企业拥有极其精美的BI销售看板。早会上,销售总监看着一片红色的下滑曲线大发雷霆。

销售看板显示:订单量下降、客单价平稳、转化率骤降。

销售团队反馈:营销活动没断,流量投入甚至增加了;

竞争对手没有重大动作;季节性因素不显著此时,问题可能并不出在"销售"环节。

事实上,上周仓储配置过程中发生了一次规则调整:为了降低周转成本,系统自动调高了跨区发货阈值。这一变动导致部分热销商品的履约时间延长了48小时,进而直接引发前端转化率下滑。

尴尬之处在于:在传统的BI模式下,销售看板的数据来源于"销售主题域",而仓储数据锁在"供应链主题域"。它们是两个独立的Dashboard,由两个不同的分析师维护,甚至连"时间维度"的定义都未必一致。

由于BI平台本质上是“展示驱动”的(将数据转化为图表),在没有预先配置的情况下,它无法自动跨越业务边界,寻找销售下滑与仓储调整之间的逻辑关联

图片

二、指标平台vs BI平台:本质差异

传统BI平台主要解决"如何更好地展示数据"的问题。它们通常具有以下特点:

预设报表导向:依赖于预先定义的数据模型和报表模板。分析师从仓库拉取数据,写一段SQL代码,画一个饼图。这个逻辑是固化在报表里的。如果你想把销售和仓储关联起来,对不起,请重新提需求,让分析师再写一遍SQL,再建一个新的报表。

静态关联:数据关系在建模阶段就已固定,难以灵活调整。它们是独立的、静态的展示,无法根据业务问题动态调整分析路径。

结果导向:主要展示"发生了什么",而非"为什么会发生"。销售看板告诉你销售额下滑了,但无法告诉你下滑的原因。

部门化视角:通常围绕特定业务部门或功能设计,缺乏跨部门视角。销售看管销售,仓储看管仓储,各自为战。

相比之下,指标平台将指标的定义从展现层中剥离了出来,它构建了一个标准化的语义层,具有完全不同的设计理念:

指标为中心:以业务指标为核心构建数据体系,而非以报表为中心。指标不再是孤立的数字,而是整个指标网络中的一个节点。

动态关联:指标之间可以灵活建立和调整关联关系。这种灵活性是预定义报表永远无法企及的。

图片

因果探究:不仅展示数据,更支持深入探究数据背后的因果关系。从"看数据"到"问逻辑"。

图片

全链路视角:打通业务全链条,支持跨部门、跨系统的指标关联分析。

三、指标平台如何玩转"关联归因"?

回到刚才的案例。在指标平台场景下,数据分析不再是孤立的。

(1)指标语义网络

在指标平台中,指标不是孤立的点,而是图谱中的节点。

指标平台会定义:销售转化率是履约时效的衍生指标,而履约时效又受仓储配置策略影响。当销售看板出现波动时,系统可以通过这层预设的语义关系,自动向上游追溯。

销售额不仅仅是一个孤立的数字,它与多个相关指标相连:上

游指标:库存周转率、仓储准确率、补货及时率

并行指标:产品利润率、客户满意度、退货率

下游指标:市场份额、品牌认知度、客户生命周期价值

这些指标之间的关联关系可分别通过指标血缘、指标树映射。

(2)灵活的"即席"组合

在指标平台下,分析师或AI不再受限于"某张表"。你可以像点菜一样提出需求:"我要看【销售额】和【仓储延迟度】在【华东区】的【按日对比】。"

指标平台会自动生成相应的执行逻辑,并在后台完成跨主题域的数据关联。当销售额出现异常波动时,指标平台不会孤立地看待这一变化,而是:

自动检测异常模式:识别异常是否与历史模式匹配,如销售额下降15%,可基于历史表现判断当前异常是否源于季节性下降、促销后反弹等已知模式

关联指标变化:自动检查与销售额相关的其他指标是否同时出现异常

定位异常源头:基于指标间的因果关系网络,快速定位问题可能来源

通过这种方式,仓储配置问题不再是一个"盲点",而是指标网络中可以追踪和分析的一个节点。当销售额出现问题时,系统可以快速提示"相关异常:仓储准确率下降23%,建议优先排查"。

(3)AI的"翻译官"

这是企业AI建设中最核心的一点。大语言模型(LLM)虽然强大,但它不擅长理解你司那成千上万张杂乱无章的数据表。如果让AI直接对接BI报表,它只会复读报表内容。但如果AI对接的是指标平台,它看到的将是清晰的语义:

指标名称:下单转化率

业务逻辑:下单量/访问量

关联指标:仓储库存水位、物流时延

这种标准化、语义化的输入,才能让AI真正理解业务逻辑,而不仅仅是“读数字”。

图片

四、为什么AI建设更需要指标平台?

随着企业AI建设从试点走向规模化,数据基础的质量和灵活性变得至关重要。以下是企业AI建设更需要指标平台的五个关键原因:

(1)AI模型需要高质量、可解释的特征

AI模型的性能很大程度上取决于输入特征的质量。传统BI平台提供的是加工后的展示数据,而指标平台提供的是标准化的、语义明确的业务指标,这些指标可以直接作为AI模型的特征,同时保持业务可解释性。

没有指标平台的AI,像一个只能看图说话的推销员;

有了指标平台的AI,才像一位懂业务、能复盘的资深顾问。

(2)动态业务环境需要灵活的数据关联

在快速变化的商业环境中,业务指标之间的关系也在不断演变。传统BI平台的静态数据模型难以适应这种变化,而指标平台的动态关联能力使企业能够快速调整分析框架,捕捉新的业务洞察。

当企业能够清晰地掌握每一分投入带来的回报,如果能实时洞察不同策略对核心目标的贡献度,如果能像调整导航路线一样,动态优化经营动作——那么,决策将不再依赖经验与直觉,而是建立在可量化、可归因的数据智能之上。

(3)根因分析需要跨领域数据关联

现代业务问题往往涉及多个部门和系统。比如,销售问题可能与供应链、生产、营销等多个环节相关。指标平台的跨领域关联能力使企业能够进行真正的端到端根因分析,而不是局限于部门视角。敏捷归因:面对异常波动,系统能自动根据指标关联路径,定位到类似"仓储配置"这种深层原因,避免了数百万的潜在损失。

(4)实时洞察策略贡献度

指标平台让企业能够实时洞察不同策略对核心目标的贡献度,像调整导航路线一样,动态优化经营动作,决策将不再依赖经验与直觉。

(5)避免潜在损失

敏捷归因能力使系统能自动定位类似"仓储配置"这种深层原因,避免数百万的潜在损失。指标平台提供可量化的决策依据,降低经营风险。

五、未来展望:指标平台与AI的融合

随着AI技术的发展,指标平台正在向更加智能化的方向发展:

智能指标发现:AI算法可以自动分析数据,发现潜在的业务指标和关联关系,甚至提出人类分析师可能忽略的重要指标。

自适应指标网络:指标之间的关联关系不再是静态的,而是可以根据业务环境和历史数据动态调整,形成自适应的指标网络。

自然语言交互:业务人员可以通过自然语言与指标平台交互,如"为什么华东地区的销售额下降了?"平台会自动组织相关指标进行分析并给出解释。

预测性指标监控:不仅监控指标的当前状态,还能预测指标的未来趋势,并在可能出现异常前发出预警。

结语:从"看数据"到"问逻辑"

数字化转型的终极目标,不是让屏幕上充满酷炫的图表,而是让决策变得科学。当您的企业面临复杂的业务链路,当销售看板无法解释业绩起伏时,请记住:问题可能不在于你没有数据,而在于你缺乏一个能够连接数据逻辑的指标平台。

图片

传统BI平台虽然解决了数据可视化的问题,但在支持深度分析和AI应用方面存在明显局限。指标平台通过以指标为中心、支持动态关联的设计理念,为企业提供了从数据展示到深度洞察的关键桥梁。它不仅是更好的数据分析工具,更是企业AI建设不可或缺的基础设施。

只有构建好指标平台,企业的AI建设才能真正从"感知层"迈向"认知层",让数据不仅能"被看到",更能"被理解"。

当竞争对手还在用BI看"昨天发生了什么",你已经用"指标+AI"决定"明天该怎么赢"。在这个数据驱动的时代,那些能够快速理解业务变化、深入分析根本原因、并基于洞察采取行动的企业,将在竞争中占据显著优势。

Intel 在未发布任何公告的情况下,悄然下架了 Clear Linux 的官方网站、下载服务器与社区论坛,将 clearlinux.org 域名重定向至 GitHub。在公司大范围削减成本的背景下,这一举动让这款主打性能优化的 Linux 发行版未来蒙上巨大阴影。

Intel 公司悄悄拆除了为性能优化版 Linux 发行版 Clear Linux 提供的关键公共基础设施,此举在开源社区引发震动,也让外界严重质疑这家芯片厂商对该项目的长期投入态度。

目前 clearlinux.org 已跳转至 GitHub 仓库,专用下载服务器下线,社区论坛消失 ——全程没有任何来自 Intel 的正式说明

最早由知名 Linux 硬件软件媒体 Phoronix 披露这一变动:clearlinux.org 已不再是独立官网,用户会被直接重定向到 Clear Linux 的 GitHub 页面。

虽然源代码仍然公开,但曾经面向普通用户、完整易用的项目门户已彻底消失


为极致性能而生的发行版,如今失去官方入口

Clear Linux 从一开始就不是面向普通桌面用户的主流系统。

它由 Intel 于 2016 年推出,从底层设计就是为了充分展现 Intel 硬件的性能潜力

该发行版采用高强度编译器优化、无状态设计理念、独特的软件更新机制,在 Intel 处理器上的实测性能明显快于其他 Linux 发行版,多项基准测试中,Clear Linux 的性能都显著优于 Ubuntu、Fedora 等主流系统。

它在开发者、系统管理员与性能发烧友中积累了大量忠实用户,不仅速度出众,更作为 Intel 架构优化的参考平台 存在。

同时也成为多项前沿软件技术的试验场,包括函数多版本、基于剖面的优化等技术,Intel 希望这些优化最终能在整个 Linux 生态中普及。


本次具体发生了哪些变化

根据 Phoronix 报道:
  • clearlinux.org 不再承载原有内容,直接跳转 GitHub
  • 原有的官方文档站、下载页面、社区论坛均无法通过原网址访问
  • 提供 ISO 镜像与系统更新的官方下载基础设施也已受影响

这并非该项目首次被缩减。

过去几年,Intel 已逐步淡化 Clear Linux 在桌面与工作站场景的定位,转向云与容器场景;同时降低了更新频率,缩减了软件仓库规模。

直接关停官网是更具决定性的一步,几乎让新用户无法再轻松发现、下载与安装该系统。


Intel 全程沉默,引发大量猜测

本次基础设施关停最反常的一点是:

Intel 没有发布任何官方说明 —— 没有博客、没有新闻稿、没有邮件列表与社交平台公告。

这种沉默直接让 Linux 社区普遍猜测:

即便代码仍然公开,Clear Linux 作为面向公众的项目已被逐步放弃

Intel 历史上曾多次推出雄心勃勃的开源项目,又在公司战略转向后悄然退场:

Tizen、MeeGo 等多个软件项目均是如此 —— 初期大力投入,随后随着管理层变动或市场环境变化逐渐撤资。

Clear Linux 如今似乎正在走上同一条老路。


大背景:Intel 正在全面削减成本

Clear Linux 基础设施被关停,恰逢 Intel 面临巨大财务压力。

在现任管理层主导下,公司正在推行大范围成本削减计划:裁员数千人,砍掉所有与核心半导体制造、设计业务无关的部门开支。

那些无法直接创收、或对硬件销售无关键支撑作用的软件项目,自然成为预算削减目标。

Intel 的晶圆厂战略、在数据中心与消费端市场与 AMD 和 Arm 的竞争、以及争取政府芯片补贴等事务,已占用大量管理精力与资金。

在这种环境下,维护一套完整 Linux 发行版所需的独立网站、文档团队、社区运营等成本,被认为难以持续


对现有用户与生产环境的影响

对于已在生产环境或日常使用 Clear Linux 的用户来说,本次基础设施变动带来直接且现实的风险

Clear Linux 独有的更新工具 swupd 依赖 Intel 官方服务器提供更新,而非像 Debian、Fedora、Ubuntu 那样使用分布式镜像。

这种中心化架构意味着:

一旦 Intel 关闭更新服务器,用户没有任何备用镜像可以切换

如果更新服务下线(或已下线),现有系统将彻底停更,无法获得安全补丁与新版软件

用户只能整体迁移到其他 Linux 发行版 —— 对生产环境而言,这是成本极高的工程。


社区反应与开源兜底方案

在论坛、社交媒体与 Linux 社区中,用户情绪从无奈接受转为不满。

许多 Phoronix 评论区用户表示,早在数月前就从更新频率下降、软件包减少等迹象中预感到结局。

也有大量用户表示失望:Intel 甚至没有提前通知,也未为受影响用户提供过渡方案。

部分社区成员提出分支复刻(fork) 的可能:

在脱离 Intel 的前提下,基于开源代码继续独立开发。

但这条路挑战巨大:

Clear Linux 构建系统复杂,优化流水线高度依赖 Intel 专属工具链,维护完整发行版需要庞大团队长期投入。

失去 Intel 资源后,社区复刻版本很难达到原版的规模与性能水准。


Clear Linux 对整个 Linux 生态的贡献

无论 Clear Linux 最终命运如何,它都为 Linux 社区留下了实实在在的价值。

Clear Linux 团队开创的大量性能优化已上游合入 Linux 内核、GCC、系统库等核心项目。

该发行版用事实证明:

通过精细编译与系统配置,可实现大幅性能提升 —— 这一思路后来被众多发行版借鉴。

Intel 在 Clear Linux 上的实践还影响了容器优化系统设计,并推动了无状态系统、自动更新、开源遥测等领域的讨论。

这些思想已被 Fedora CoreOS、Ubuntu Core 等云原生 Linux 项目采纳。


悬而未决的问题:Clear Linux 真的 “死” 了吗?

目前,Intel 外部无人能给出确切答案。

代码仍在 GitHub 上,可能意味着项目仍在内部继续 —— 仅作为 Intel 工程师的参考平台或优化试验场,不再需要公共官网。

但也可能只是还没来得及归档仓库而已。

可以确定的是:

作为一套拥有完整公共基础设施与社区支持的 Linux 发行版,Clear Linux 已被严重削弱。

clearlinux.org 的消失不只是界面改动,而是项目失去了对外的主要窗口

没有下载页、没有文档、没有论坛,Clear Linux 对不熟悉它的人来说几乎等于 “不存在”,只能从源码手动编译。

对 Intel 而言,悄悄关停 Clear Linux 公共服务只是庞大企业重组中的一个小注脚。

对开源社区而言,这是一次清醒的提醒:

依赖企业赞助的开源项目,随时可能因商业战略变化而被缩减甚至放弃。

而对于那些打造 Clear Linux、不断突破 Linux 性能边界的开发者来说,他们的工作成果已留在上游社区 —— 即便那个曾经展示这些成果的发行版,或许已时日无多。

一场大规模恶意广告攻击正针对 macOS 用户展开:攻击者利用伪造的谷歌广告,将用户导向恶意文本分享网站,并投放名为 malextAMOS 窃密木马变种,窃取浏览器凭证、加密货币钱包等敏感数据。

可疑的密码输入弹窗暴露了此次攻击,关联到的初始域名包括:

optimize-storage-mac-os.medium.comoctopox.comvagturk.com

谷歌广告库显示,超过 34 条广告伪装成 Medium 文章进行诱骗,攻击者在账号被封后会迅速更换新账号。

分析发现至少 53 个被入侵的广告账号,其中甚至有账号同时推广邮轮广告与虚假 macOS 修复工具。

类似恶意广告还出现在 Evernote、mssg.me、kimi.com 等平台。

安全研究者 @itspappy 与 Gi7w0rm 在一次险些中招的事件后揭露了该攻击链:

一名用户搜索 macOS 存储修复工具时,点击了谷歌置顶结果,进入一篇伪造的 Medium 文章,其中包含恶意 Shell 命令。

诱饵页面高度模仿 macOS 故障排查指南或软件安装教程,标题类似 “此方法可修复 X 问题”,并诱导用户复制粘贴终端命令。
攻击链使用 Base64 混淆的 curl 命令逐级下载载荷,并通过 xattr -c 移除隔离属性,绕过 Gatekeeper 防护

部分攻击链会通过循环弹窗骗取管理员密码,将密码保存在 ~/.pass,供后续提权使用。

这种社会工程学手段可在无系统告警的情况下提升载荷执行成功率。


攻击链分析

攻击者下载的是同时支持 x86_64 与 ARM 架构的 Mach‑O 二进制文件。

样本通过混淆的 AppleScript 执行虚拟机 / 沙箱检测,使用 system_profiler 判断 QEMU/VMware 环境或异常硬件特征。

在 VirusTotal 运行的已修补样本中,暴露出一段超过 59000 字符osascript 载荷。

去混淆后可见代码使用凯撒密码加密字符串与随机变量名。

脚本会隐藏终端窗口,收集系统信息,并通过 malext.com38.244.158.56 外发数据。

malext 作为 AMOS 变种,窃取范围极广:
  • Apple Notes 数据库
  • Safari Cookie
  • 桌面 / 文档目录文件(txt/pdf/docx/wallet,上限 30MB)
  • OpenVPN 配置文件
  • Telegram 数据
  • 已安装应用列表

该恶意软件的特殊之处在于:

单个 Mach‑O 文件内同时打包了两种不同 CPU 架构的攻击载荷

malext 作为 AMOS 变种,窃取范围极广:
  • Apple Notes 数据库
  • Safari Cookie
  • 桌面 / 文档目录文件(txt/pdf/docx/wallet,上限 30MB)
  • OpenVPN 配置文件
  • Telegram 数据
  • 已安装应用列表

该恶意软件的特殊之处在于:

单个 Mach‑O 文件内同时打包了两种不同 CPU 架构的攻击载荷

功能 说明 攻击目标
数据窃取 浏览器、钱包、密钥链、文件 Chrome、Electrum、备忘录
对抗检测 虚拟机检测、xattr -c、gzip/Base64 Gatekeeper、沙箱
持久化 LaunchDaemon、木马化应用 ~/.agent、Ledger
C2 服务器 HTTP POST 重试、备用 IP malext.com、199.217.98.33

多项特征(com.finder.helper.plist、BuildID 头、/zxc 路径等)表明该家族属于 AMOS,而非 Odyssey。

该活动从 2025 年底开始活跃,依靠大量廉价一次性账号扩张,疑似由流量团伙运营。

网络威胁分子正在大规模部署一款名为 AuraStealer 的新型信息窃密木马。该木马拥有不断扩大的客户群体、48 个已确认的 C2 命令控制域名,并通过 TikTok、破解软件网站等流行平台发起多轮攻击活动。
AuraStealer 于 2025 年年中出现在俄语系网络犯罪论坛,在 LummaC2 遭打掉后,迅速成为其继任者与竞争对手。
该恶意软件以订阅制出售,分为基础版与高级版,由名为 AuraCorp 的团队宣传推广。团队宣称拥有 5–11 年安全相关经验,并具备专业化开发流程。
研究人员指出,尽管早期版本成熟度不及 Rhadamantys、Vidar 等老牌窃密木马,但开发速度极快,功能更新频繁
根据相关论坛帖子与信息,AuraStealer 开发者称已快速吸引大批从 Lumma、StealC、Vidar、Rhadamantys 迁移而来的客户,显示其在黑产生态中扩散速度极快
在本次报告中(2026 年 1 月已同步给客户),Intrinsec 威胁情报团队提供了高价值、可落地的上下文情报,帮助机构理解并防御此类网络威胁。
该项目的后续路线图还包括加入代码虚拟化保护,大幅提升逆向分析难度。

AuraStealer 信息窃密木马概况

分析师已梳理出 48 个 AuraStealer C2 域名,其中大量使用廉价且易滥用的 .SHOP.CFD 顶级域。

这些域名包括:

auracorp.cfdmscloud.cfdmagicupdate.cfdgamedb.shopbrowsertools.shopclocktok.cfd 等。

它们均通过 Cloudflare 代理隐藏真实后端服务器。

每个域名使用独立的 Cloudflare 源站证书,但全部指向同一套后端架构,疑似为单台服务器,运行的组件版本均已过时:

Apache 2.2.22、PHP 5.4.45、CodeIgniter 3.1.11、Symfony 3.4.26。

研究人员通过关联恶意软件配置、HTTP 头与全网测绘引擎,发现了与特定版本对应的域名集群。
早期版本(1.0.x–1.2.x)主要使用 .SHOP 域名,而最新的 1.5.2 样本更倾向使用 .CFD,表明攻击者正在逐步将基础设施从 .SHOP 切换到 .CFD
LuxHost 与 Nicenic 作为部分域名的注册商或 DNS 服务商,进一步证明这些域名集群由同一团伙控制。
在从 VirusTotal 超过 200 个 AuraStealer 样本配置中提取出的 21 个 C2 域名的历史截图里,均出现了相同的登录页面。

AuraStealer 传播方式

AuraStealer 攻击活动采用灵活的投递链,结合社会工程学与通用加载器分发。

其中一个主要传播渠道是 TikTok 上的 ClickFix 骗局

短视频声称可免费激活 Windows、Microsoft 365、Adobe 系列、Netflix、Spotify 等,并诱导受害者以管理员权限执行一行 PowerShell 命令。

该命令会下载并执行远程 PowerShell 脚本,最终释放 AuraStealer 载荷,例如从 file-epq.pages.dev/updater.exe 下载。
除 TikTok 外,AuraStealer 还通过自解压压缩包、假冒系统清理工具(如 Gcleaner)、通用加载器传播,并将自身注入合法 Windows 进程,如 regasm.exeSndVol.exe

多轮攻击活动使用 Donut shellcode 加载器Soulbind 加载器,从攻击者控制的服务器下载 AuraStealer,例如:

94.154.35.115、130.12.180.43。

这些主机还分发 Stealc、Rhadamanthys、Vidar、SalatStealer、NJRAT 等多种远控与窃密木马。

强悍的反分析与对抗机制

AuraStealer 运营者通过 auracorp.cfd 的 Web 管理面板控制感染终端,支持数据面板、载荷生成、日志筛选、Telegram 机器人报警等功能。
其登录流程内置 JavaScript 工作量证明(PoW) 机制,强制浏览器计算前 16 位为 0 的 SHA‑256 哈希才能提交表单,可抵御绝大多数自动化扫描器、简单脚本与暴力破解。
管理面板代码中出现俄语字符串,进一步指向俄语系攻击者。

在终端侧,1.5.2 版本采用高强度混淆与反分析技术:

间接控制流、异常驱动 API 哈希、XOR 加密字符串、虚拟机与沙箱检测、调试器检测、完整性校验,甚至在检测到钩子或断点时触发隐藏栈破坏

该窃密木马会对部分独联体地区实施地理定位放行,显示出明确的地域投放策略。

数据窃取能力

通过自检后,AuraStealer 可从 100 多款浏览器、70 多款应用中窃取凭证与敏感数据,包括:

加密货币钱包、两步验证工具、VPN 客户端、密码管理器、远程控制软件等。

所有数据通过 AES‑CBC 加密的 HTTPS 传输到轮替 C2 服务器的三个专用接口:apiliveapiconfapisend

凭借不断扩充的功能、持续扩张的基础设施与活跃的攻击活动,AuraStealer 正从一款新兴窃密木马快速成长为高风险凭证窃取威胁,已成为安全防御方必须重点监控的目标。

谷歌浏览器 Gemini Live 集成组件中发现一处高危漏洞,编号为 CVE-2026-0628,该漏洞将用户置于严重的隐私与安全风险之下。
研究人员发现,该漏洞可被恶意浏览器扩展利用,从而劫持 Gemini 侧边栏,实现对用户摄像头、麦克风及本地文件的未授权访问
将 AI 助手集成进网页浏览器,形成所谓的智能代理浏览器,从根本上改变了浏览器的安全格局。
Chrome 中的 Gemini Live 等功能,需要对浏览器环境拥有深层高权限访问,才能完成实时内容总结、自动化执行等任务。
CVE ID 严重级别 受影响组件 利用机制 影响 状态
CVE-2026-0628 高危 Google Chrome Gemini Live 面板 基于 declarativeNetRequests API 注入 JavaScript 未授权访问摄像头、麦克风、文件及屏幕截图 已修复(2026 年 1 月)
AI 能够 “看见用户所见” 的这种多模态能力,显著扩大了攻击面
这类 AI 组件本身具备高权限,意味着其中的漏洞可绕过传统浏览器安全模型

针对 Gemini 面板的利用方式

Palo Alto Networks Unit 42 研究人员指出,CVE-2026-0628 的核心问题在于:Chrome 在侧边栏中加载 Gemini Web 应用(https://gemini.google.com/app)与在普通标签页加载时,采用的安全处理机制不同。
按照设计,使用 declarativeNetRequests API 的浏览器扩展可以拦截并修改 HTTPS 请求,广告拦截工具普遍使用该能力。
在普通标签页的 Gemini 应用中注入 JavaScript 并不会获得特殊权限,但在 Gemini 面板中注入则极为危险。
为支持复杂的 AI 任务,Chrome 为该面板赋予了更高权限,例如读取本地文件、访问多媒体设备等。
攻击者通过在面板中劫持应用,即可窃取这些高权限

潜在影响与缓解措施

成功利用该漏洞后,攻击者可在 Gemini 面板的高权限环境内执行任意代码,可能导致严重后果:
  • 未经用户同意开启摄像头与麦克风
  • 访问操作系统中的本地文件与目录
  • 对任意 HTTPS 网站截取屏幕
  • 借助可被信任的 Gemini 面板界面实施高隐蔽钓鱼攻击
上述行为仅需极低的用户交互即可完成,用户只需打开 Gemini 面板就可能被利用。
Unit 42 已于 2025 年 10 月向谷歌进行了合规漏洞上报,官方在 2026 年 1 月初发布了修复补丁。
该事件凸显了 AI 与浏览器集成带来的全新安全挑战,也说明随着这类技术发展,持续安全监控至关重要。

就在 OpenAI 因与美国国防部签订合同,意外引发大规模 #QuitGPT 弃用浪潮之际,Anthropic 果断出手,为自家旗舰 AI 助手 Claude 推出了一项全新的记忆导入(Memory Import)功能。

这项精巧设计允许用户通过一段专用提示词,将在 ChatGPT、Gemini、Copilot 等竞品平台上长期积累的个人偏好与对话上下文,无痛迁移到 Claude 中。

过去,用户想要切换主力 AI 助手,最大的痛点就是必须从零开始,重新培养对话习惯与上下文理解。

而 Anthropic 全新推出的记忆导入彻底解决了这一问题:用户无需具备编程能力,也不必等待竞品平台开放 API 导出接口。

只需复制 Anthropic 提供的官方记忆提取提示词,粘贴到 ChatGPT 或 Gemini 中,即可让原 AI 生成一份完整的指令偏好、项目细节与历史上下文档案

用户只需将生成的内容复制,粘贴到 Claude 设置里的 ** 管理记忆(Manage memory)** 模块即可。

Anthropic 表示,Claude 大约需要 24 小时来完整消化与吸收这些导入的上下文信息。

完成后,用户可通过 “查看 Claude 对你的了解” 提示词进行核对,并可手动编辑与细化这些记忆内容。

不过 Anthropic 也明确强调,Claude 的记忆能力主要面向工作相关内容,以提升协作效率,因此可能不会主动存储过度私人、非专业的细节。

这项功能的推出时机绝非巧合。

就在不久前,Anthropic 因拒绝拆除 AI 安全护栏—— 特别是严格禁止 “大规模国内监控” 与 “全自动武器系统” 相关应用 —— 导致与美国国防部的谈判破裂。

随后,OpenAI 却主动接手了这份被 Anthropic 拒绝的机密军事合同,在互联网上引发轩然大波与强烈不满。

深感失望的欧美用户认为 OpenAI 已沦为 “军工复合体” 的一部分,由此发起声势浩大的 QuitGPT抵制活动,导致数十万 ChatGPT 订阅被取消。

Anthropic 精准抓住这一关键节点,推出记忆迁移工具,精准吸引那些因舍不得 AI 记忆而犹豫迁移的用户。

这相当于向弃用用户喊话:大门已敞开,带上你的记忆来这里。

这一策略效果极为惊人。

在抵制浪潮与无缝迁移体验的加持下,Claude 近期在 App Store 免费应用排行榜超越长期霸榜的 ChatGPT,成功登顶。

在软件服务领域,尤其是大模型行业,迁移成本一直是巨头最坚固的壁垒。

用户花费数月甚至数年教会 ChatGPT 自己的身份、项目细节与独特的编码习惯,形成高度默契;

而在传统模式下,切换到新平台意味着这些积累全部清零

长期以来,OpenAI 始终未提供完整的记忆数据导出功能,以此牢牢绑定核心用户。

而 Anthropic 使用自然语言提示词反向提取 ChatGPT 记忆的方式,巧妙绕开了这些技术壁垒。

这一做法不仅打破了对手的护城河,更在 #QuitGPT 舆论风暴中,将自身塑造为坚守道德底线的挑战者

未来,生成式 AI 的竞争将不再只是算法与算力的比拼;

一场真正的“数字记忆主权” 争夺战,才刚刚进入最激烈的阶段。

我们已然正式步入自主智能体时代 —— 这类智能 AI 程序不仅能与你对话,还能在计算机上执行实际操作,例如整理文件、检索网页或运行脚本。

可一旦黑客诱骗这款贴心的数字助手为其执行恶意操作,后果将不堪设想。

一款名为 MS-Agent 的框架新近曝出一处安全漏洞,恰恰揭示了这一前沿技术潜藏的巨大风险。

该漏洞编号为 CVE-2026-2256,攻击者可通过精心构造的文本内容劫持 AI 智能体,进而控制底层计算机系统。

MS-Agent 框架旨在帮助开发者构建可自动执行任务的轻量级 AI 智能体。

为此,框架内置了名为 Shell tool 的功能,该功能本质上赋予了 AI直接向操作系统执行命令的权限。

风险源于 AI 处理信息的机制。

若智能体被要求读取文档、总结网页内容,或交互的对话提示被攻击者暗中植入隐藏指令,AI 便可能盲目执行这些隐藏命令。

在网络安全领域,这种攻击被称为提示词注入攻击—— 相当于对人工智能实施的 “思维操控”。

MS-Agent 的开发者并非没有意识到这一风险,因此编写了名为 check_safe() 的校验代码。

这道 “安全门卫” 依赖黑名单机制:列出已知恶意词汇与高危命令,禁止 AI 执行。

然而,CERT/CC 漏洞公告明确指出,简单的黑名单远远无法阻挡有备而来的攻击者:

“check_safe () 方法基于正则表达式的黑名单,不足以防御命令注入。基于黑名单的过滤机制天生脆弱,极易通过编码、命令混淆或另类 Shell 语法绕过。”

攻击者只需对恶意命令稍加混淆或伪装,即可轻松绕过安全校验。

一旦伪装命令绕过安全检测,AI 便会误以为在正常执行任务,进而运行该指令。

由此引发的后果极为严重。

安全公告警示:

“成功利用该漏洞的攻击者,可在目标机器上以 MS-Agent 进程权限执行任意操作系统命令。”

这意味着,AI 被允许执行的所有操作,攻击者均可照做。

攻击者能够窃取敏感文件、修改系统配置、在内网中横向移动,或植入隐蔽后门,以便长期控制目标主机。

该漏洞最令人担忧的一点在于:目前尚无官方补丁

研究人员表示:

“厂商在漏洞协同过程中未提供任何说明。用户仅应在可信任、已校验或已净化输入内容的环境中使用 MS-Agent。”

由于暂未发布可彻底修复该问题的软件更新,使用 MS-Agent 的机构必须自行构建防御体系。

安全专家建议,将此类 AI 智能体置于沙箱中运行 —— 仅为 AI 分配完成任务所需的最小权限。

此外,开发者应将脆弱的黑名单(拦截已知恶意行为)替换为严格的白名单(仅允许少数明确许可的操作)。

据阿卡迈(Akamai)安全情报与响应团队(SIRT)近期调查显示,臭名昭著的恶意软件家族 Zerobot 携全新手段卷土重来。

这个最新版本被命名为 Zerobotv9,它不再只瞄准普通家庭网络设备,而是主动攻击企业级工作流自动化系统

阿卡迈 SIRT 于 2026 年 1 月中旬发现这一轮新型攻击。

攻击者不仅针对常规硬件 —— 具体为 Tenda AC1206 家用路由器,还在利用一款主流企业软件平台 n8n 中的漏洞。

n8n 平台本质上是一个数字中间件,企业使用它无缝对接内部数据库、云服务与日常应用系统。

正如阿卡迈报告所指出的,这一攻击目标的转变对企业安全团队是重大警示信号

“对 n8n 漏洞的攻击尤为值得警惕:僵尸网络通常利用物联网(IoT)设备,如安防摄像头、DVR 和路由器,但 n8n 属于完全不同的攻击范畴。”

黑客拿下家用路由器后,可能仅用其发送垃圾流量。

一旦控制 n8n 平台,攻击者就有可能横向渗透进入企业最核心的内部网络,窃取 API 密钥 并篡改关键数据。

该恶意软件正在利用两个已公开补丁的已知漏洞:
  • Tenda 路由器漏洞(CVE-2025-7544)

    这是一个远程栈溢出漏洞,影响 Tenda AC1206 设备 15.03.06.23 版本的 /goform/setMacFilterCfg 接口,漏洞评级为严重,可通过 deviceList 参数利用。


  • n8n 平台漏洞(CVE-2025-68613)

    该漏洞源于缺少沙箱隔离机制

    正常情况下,软件会在沙箱中运行,无法触及系统其他部分;

    而该漏洞可让攻击者突破沙箱限制直接在主服务器上执行命令


攻击者利用这些漏洞入侵后,会运行一个简易脚本(名为 tol.sh),以此安装 Zerobot 主要攻击载荷。

报告指出:

“威胁行为人 opportunistically 利用近期披露的漏洞在当下十分普遍。即便管理规范、及时补丁的机构,在漏洞公开后也往往存在一段可被攻击的窗口期,而部分企业甚至完全忽略这类设备的补丁更新。”

Zerobot 核心基于 Mirai 恶意代码构建,后者是多年前引发大规模网络瘫痪的著名僵尸网络。

尽管原始作者已落网,但 Mirai 源码在网上完全公开,无论是新手还是资深黑客都能据此开发变种。

阿卡迈研究人员对这类攻击持续泛滥的原因给出结论:

“尽管近期执法部门打掉多个高影响力僵尸网络,但基于 Mirai 的恶意程序仍在不断扩散。因为搭建一套基于 Mirai 的僵尸网络,门槛相当低。”

 

谷歌的Quick Share现已支持从 Pixel 9 向 iOS 设备传输文件,填补了安卓与 iPhone 之间长期存在的功能空白。这项基于网页的功能绕开了苹果的限制,也反映出跨平台互通的压力正在持续加大。
多年来,移动设备使用中一个一直让人头疼的问题,就是从安卓手机向 iPhone 发送文件。苹果的 AirDrop 让 iPhone 之间分享变得极为简便,谷歌的 Nearby Share(现已更名为 Quick Share)也能实现安卓设备间的传输,但两大平台之间的鸿沟却始终难以弥合。如今,这道壁垒正在被打破。
谷歌已开始面向 iOS 推送 Quick Share 支持,Pixel 9 用户(不久后将扩展到其他安卓设备用户)可直接将照片、视频和文件发送到 iPhone 与 iPad,无需依赖邮件、即时通讯应用或第三方云服务。该功能随 Pixel 大范围软件更新一同推出,是谷歌近年来最具实用价值的跨平台改进之一。

iOS 版 Quick Share 实际工作原理

据 MSN 报道,这项新功能允许 Pixel 9 设备直接向运行 iOS 系统的苹果设备发送文件。

其核心机制基于网页传输体系:安卓设备生成链接或发起直连,iOS 接收方可通过浏览器或轻量客户端接收并下载文件。

这种方式无需苹果在 App Store 审核专用 Quick Share 应用,在苹果对平台长期严格管控的背景下,属于非常巧妙的策略。

该功能在最新一期 Pixel Feature Drop 中被发现,这是谷歌每季度为旗舰手机推送新功能的更新。

目前 Pixel 9 系列首批获得更新,谷歌表示未来数月内将扩展到更多安卓手机。

该功能经过数月测试与用户反馈,谷歌对传输协议进行优化,可稳定支持多种文件类型与大小。


拖延已久的方案,终于解决长期痛点

安卓与 iOS 之间无法轻松互传文件,早在 AirDrop 和 Quick Share 出现前就已是用户痛点。

十余年来,跨平台用户只能使用各种替代方案:

给自己发邮件、上传到 Google Drive 或 iCloud、使用蓝牙(传输大文件又慢又不稳定),或是借助 SHAREit、Snapdrop 等第三方应用。

这些方案在速度与便捷性上,都远不如同平台传输工具

苹果在 2011 年推出 AirDrop,迅速成为 iPhone 最受欢迎的功能之一。

谷歌的回应则来得更晚:2020 年推出 Nearby Share,2024 年与三星相关标准合并后更名为 Quick Share

但两套系统都属于封闭生态,仅在各自设备内部生效。

全新的 iOS 兼容性从安卓一侧打破了这道壁垒,尽管苹果目前尚未表态会让 AirDrop 反向支持安卓。


谷歌的战略考量

谷歌将 Quick Share 扩展到 iOS 并非完全出于公益。

该公司长期将自身定位为比苹果更开放、更互通的选择,而跨平台文件分享进一步强化了这一形象。

同时也具备现实商业意义:

安卓用户与 iPhone 用户交互越顺畅,安卓用户就越不会因为亲友使用苹果而轻易换机。

这一动作也正值两大公司面临更强的监管互通压力

2024 年 3 月生效的欧盟《数字市场法案》(DMA)已迫使苹果开放多项封闭系统,包括允许第三方应用商店与替代浏览器引擎。

尽管 DMA 并未强制要求跨平台文件分享,但监管环境已让平台开放成为用户与立法者的普遍期待。


传输背后的技术细节

iOS 版 Quick Share 与安卓之间的原生传输工作方式并不相同

在安卓设备上,Quick Share 结合低功耗蓝牙发现设备与 Wi‑Fi Direct 传输文件,可在无互联网情况下高速传输。

而 iOS 版本则依赖网页机制,因为苹果不会向第三方开发者提供原生实现所需的底层蓝牙与 Wi‑Fi 协议权限。

这意味着向 iOS 设备传输的速度可能略慢于安卓互传,且多数情况下需要联网。

但谷歌对流程做了优化,用户体验保持简洁:

发送方在安卓设备选择 Quick Share,选定 iOS 接收方,接收方收到通知或链接即可下载。

早期测试用户反馈显示,传输速度优于邮件附件,远快于蓝牙


本次 Pixel 功能更新除文件分享外还包含哪些内容

Quick Share 扩展只是更大规模 Pixel 功能更新的一部分。

谷歌还增强了设备端 AI 能力,改进了 Pixel 通话筛查功能,并为 Pixel 9 系列加入新的相机工具。

同时也对 Gemini AI 助手进行升级,可直接在设备端完成更多复杂任务,无需将数据上传云端

但引发科技媒体与分析师最多讨论的,仍是 Quick Share 跨平台更新

与 AI 修图、实时翻译相比,文件分享看似普通,却解决了每天影响数百万用户的真实痛点

据 MSN 报道,该功能是经常与 iPhone 用户交互的 Pixel 用户最期待的功能之一,而这类用户在美国智能手机市场中接近半数。


苹果的沉默与跨平台互通问题

苹果尚未对谷歌将 Quick Share 扩展到 iOS 发表公开评论。

苹果历来不愿支持竞争对手推出的跨平台分享标准,更倾向于将 AirDrop、iMessage、FaceTime 等功能作为独家生态壁垒

这种独占性是推动 iPhone 销量的重要因素,尤其在年轻用户群体中,iMessage 蓝色气泡与群体场景下的 AirDrop 便利性具有很强的社交吸引力。

不过苹果近几个月已做出部分让步。

在抗拒多年后,苹果终于在 iOS 18 中支持 RCS 消息标准,改善安卓与 iPhone 之间的富文本消息体验。

外界普遍认为,这是对监管压力与谷歌长期公开宣传的回应。

苹果未来是否会让 AirDrop 兼容安卓设备仍未可知,但趋势表明,两大平台之间的壁垒正在逐步瓦解


对企业与专业用户的意义

这一变化的影响远不止朋友间随手分享照片。

在企业环境中,员工经常混合使用安卓与 iOS 设备,跨平台文件传输一直是 IT 部门的头疼问题。

企业为此投入大量资源部署移动设备管理与企业文件分享平台,很大一部分原因就是为了解决这一壁垒。

原生内置的解决方案(即便仅支持安卓发往 iOS)也能减少对第三方工具的依赖,简化混合设备团队的工作流程。

对于创意从业者而言,从 Pixel 快速发送高清照片或视频片段到 iPhone 进行编辑或审阅,可大幅简化制作流程

Pixel 9 的计算摄影能力已获得广泛好评,能直接将文件分享给 iOS 平台的协作方,省去了此前必须上传云端或有线传输的步骤。


跨平台分享的未来发展

谷歌面向 iOS 的 Quick Share 是重要一步,但并非跨平台文件分享的最终形态。

基于网页的传输方式虽可用,但在体验与速度上仍不及原生实现

想要真正达到与 AirDrop 或安卓互传同等水平,需要苹果向更深层集成开放平台 —— 而在没有监管强制的情况下,苹果目前几乎没有这一倾向。

尽管如此,大方向已经非常明确:

用户越来越希望设备不分品牌、无缝协同

谷歌与苹果都在监管、市场与用户需求的推动下,走向更高程度的互联互通。

谷歌在这一领域采取了更主动的姿态,而 Quick Share 登陆 iOS 正是这一战略的最新体现。

对于长期被 “手机传文件” 困扰的亿万用户来说,这是一个迟到却值得欢迎的进步

随着概念验证(PoC)利用代码公开,微软 Windows 系统中一处关键本地权限提升(LPE)漏洞随之曝光。
该漏洞编号为 CVE-2026-20817,存在于 Windows 错误报告服务(WER) 内部。
此漏洞可让低权限已认证用户执行任意恶意代码,并获取完整 SYSTEM 系统权限
安全研究员 @oxfemale(X/Twitter 账号 @bytecodevm)已在 GitHub 上发布了详细研究内容及配套 C++ PoC 利用代码
此次公开暴露出 Windows 面向进程间通信的错误报告机制中存在重大安全隐患

漏洞核心涉及高级本地过程调用(ALPC)协议

WER 服务对外开放了一个名为 \WindowsErrorReportingService 的 ALPC 端口,用于与其他进程通信。

根据研究员分析,漏洞具体存在于 SvcElevatedLaunch 方法,对应方法号为 0x0D

该服务未对调用用户的权限进行任何有效校验

因此,攻击者可通过共享内存传入自定义命令行参数,强制服务启动 WerFault.exe

漏洞利用执行步骤

攻击者只需执行以下简单步骤即可成功触发漏洞:
操作 说明
Create Shared Memory 创建共享内存块,并在其中写入构造好的恶意命令行
Connect to WER ALPC Port 本地连接至 Windows 错误报告服务(WER)的 ALPC 端口
Send ALPC Message (Method 0x0D) 使用方法 0x0D发送 ALPC 消息,携带客户端进程 ID、共享内存句柄及命令行长度
Trigger Command Execution WER 服务复制句柄,并使用传入的命令行启动 WerFault.exe
由于 WER 服务以高权限运行,新建进程会继承 SYSTEM 令牌

该令牌包含多项高危权限,例如:

SeDebugPrivilege(可调试任意进程)和 SeImpersonatePrivilege(可模拟任意用户)。

尽管该令牌不包含操作系统核心级别的 SeTcbPrivilege,但获取到的权限已足以实现对系统的完全控制

该漏洞影响范围极广,包括:

2026 年 1 月之前的所有 Windows 10、Windows 11 版本,

以及运行 Windows Server 2019、Windows Server 2022 的企业服务器环境。

微软已在2026 年 1 月安全更新中正式修复此漏洞。
鉴于 GitHub 已公开 PoC,强烈建议企业与系统管理员立即安装最新安全补丁,保障网络安全。
安全团队还应监控环境中是否出现异常的 WerFault.exe 子进程不规范的 SYSTEM 令牌行为,以发现潜在的漏洞利用行为。

在线服务监控与管理平台 OneUptime 被曝出一处高危命令注入漏洞,编号为 CVE-2026-27728

该漏洞可使已认证用户在 Probe 服务器上执行任意系统命令,存在服务器被完全接管的重大风险。

使用 10.0.7 之前版本的机构建议立即安装补丁。

命令注入漏洞详情

网络安全厂商 SentinelOne 通报,该漏洞存在于 OneUptime Probe Server 组件中的 NetworkPathMonitor.performTraceroute () 函数

该函数负责网络路由追踪(traceroute)操作,并接收用户可控输入,具体为监控配置中的目标地址(destination)字段

漏洞根源在于应用对该输入的处理方式:存在风险的代码直接使用 Node.js child_process 模块中的 exec () 函数启动 Shell 命令

由于 exec () 会在 Shell 环境中执行命令,可被;、|、&、$()、反引号等 Shell 元字符解析利用

攻击者借此可脱离原本仅执行 traceroute 的正常逻辑,注入并执行恶意命令

尽管产品设计仅允许用户配置监控端点,但该漏洞可导致任意已认证项目用户(即便权限受限),都能在底层 Probe 服务器上实现完整远程代码执行(RCE)

利用该漏洞仅需项目用户级别的低权限认证
攻击者可构造恶意监控配置,在目标地址字段中填入 Shell 元字符拼接任意命令
例如注入 example.com; cat /etc/passwd$(恶意命令),即可在执行路由追踪的同时运行注入指令。
Probe 服务器处理该监控任务时,注入命令将以与 Probe 服务进程相同的权限运行
这会直接导致服务器被完全攻陷,攻击者可窃取敏感数据,并在机构内网中进行横向移动。
OneUptime 已在 10.0.7 版本中修复该问题。安全补丁将存在风险的 exec () 替换为 execFile ()
与 exec () 不同,execFile () 会直接执行指定文件,并以数组形式传递参数,不会启动 Shell 环境
此举可阻止 Shell 元字符被解析,从根源上消除命令注入攻击面

缓解与防护建议

为防范 CVE-2026-27728 漏洞,机构可采取以下措施:
  • 立即升级:将 OneUptime 更新至 10.0.7 及以上版本,启用安全的 execFile () 函数并开启目标地址校验。
  • 配置审计:检查现有监控配置,排查目标地址中是否存在包含特殊字符的可疑值。
  • 系统监控:关注 Probe 服务器上异常进程创建、非预期网络连接、未授权文件系统修改等行为。
  • 临时规避:若无法立即升级,可隔离 Probe 服务器、仅向可信人员开放项目用户权限,并严格限制服务器网络访问。

af4adece7156acc0e6e8a479823d09cd.jpg
最近一年,AI 应用已经渗透到每个业务环节,但瓶颈正在从模型转向数据层:实时分析、上下文理解、多模态处理,如何构建能够真正支撑 AI 场景的数据架构,成为技术团队的共同挑战。线下交流的价值,正是在这里体现。比起刷文章或看视频,更重要的是和一群正在做同样事情的人坐在同一个空间里,聊架构、聊实践、聊解决方案。3 月 7 日,Data for AI Meetup 来到深圳。这不仅是一场技术分享,更是一次在社区与同行之间建立连接的机会。

这次我们聊什么

  • 本次 Meetup 围绕 AI 时代的数据基础设施,从不同视角展开:
  • 数据湖元数据与治理如何支撑 AI 场景
  • 多模态数据湖在真实业务中的架构实践
  • 云原生数据平台的设计演进
  • 半结构化数据与 No-ETL 实时分析解法
  • 开源、AI 和 Data 技术社区生态的趋势和共建

本次分享嘉宾来自腾讯、OPPO、Datastrato、ScopeDB 等团队,以及 Apache 软件基金会、LF APAC AI & Data 和开源社等知名社区。既有大规模业务实践,也有开源基础设施经验,将从不同角度呈现 AI 数据层的真实挑战与解决思路。

如果你正在搭建 AI 数据架构,这些议题值得现场深聊。
ef4d33c3417f4802f0d97e6824d18a68.jpg

议程亮点

堵俊平|Datastrato

Datastrato 创始人兼 CEO,原 LF AI & Data 基金会董事主席,Apache 软件基金会成员,数据与开源领域专家。曾任全球 500 强企业开源业务总经理、腾讯开源负责人兼大数据研发总监、Cloudera Hadoop 团队负责人等

AI Agent 时代的数据控制:从「什么时候我们才可以用 OpenClaw 来做数据管理?」谈起

近期 OpenClaw 🦞 的快速走红,让不少团队开始重新思考 AI Agent 的演进路径。随着 AI Agent 从工具走向系统,数据控制层正在成为新的基础设施问题。OpenClaw 虽仍处于早期阶段,但其设计理念为 AI 原生数据管理提供了重要线索。本分享将以「何时可以用 OpenClaw 进行数据管理」为切入点,讨论 AI Agent 时代数据治理与控制范式的演进。


张帅|腾讯

腾讯云 TBDS 大数据存储团队核心成员,AI 数据湖研发负责人,深耕大数据技术近 10 年,在 Iceberg、Lance 等表格式优化和治理方面有丰富经验

AI 数据湖元数据和存储治理

在 AI 场景下,数据湖不仅承载数据,更需要支撑高频迭代与复杂治理需求。张帅将结合腾讯云 TBDS 团队实践,分享在 Iceberg、Lance 等表格式体系下的数据湖元数据与存储治理设计,以及其在真实业务中的应用经验。


David|OPPO

OPPO 大数据高级架构师,开源高性能云原生缓存系统 Curvine 项目负责人

OPPO 多模态数据湖架构实践:统一元数据与高性能访问

随着多模态 AI 应用在手机、影像与智能服务中的不断落地,数据湖需要同时承载图像、日志、向量等多种数据形态,传统架构在元数据统一与访问性能上面临新的挑战。多模态场景的复杂性,也让数据治理与数据访问路径成为系统设计的关键。
本分享将基于 OPPO 的一线实践,介绍多模态数据湖的整体架构设计,以及 Gravitino 与 Curvine 在统一元数据管理与加速数据读写方面的组合应用经验,呈现多模态数据基础设施在真实业务中的落地路径与技术取舍。


史少锋|Datastrato

Datastrato VP of Engineering, Apache Member, Apache Incubator PMC, Gravitino PMC member,超过 18 年的云计算、大数据和开源项目经验

AI 原生元数据平台的能力与实践

在多云与 AI 协同场景下,统一元数据平台成为数据治理的重要基础。本议题将介绍 Apache Gravitino 的架构与核心能力,并解析 1.1.0 新特性(包括 Lance 支持与安全增强等),分享其在跨集群与 AI 数据治理中的落地价值;同时还会和大家剧透即将在 3 月中发布的 1.2.0 最新版本内容。


tison|ScopeDB

ScopeDB 联合创始人,Apache 软件基金会董事,以及多个顶级开源项目(OpenDAL、ZooKeeper、Flink)的核心成员

半结构化数据实时分析实践:No-ETL 与按需建模

云原生技术已经发展十余年,但不少数据平台仍沿用传统架构,将复杂的数据流水线直接搬到云上,未能真正释放弹性计算与对象存储的优势。与此同时,日志、事件流与 AI 对话数据的爆发,使半结构化数据逐渐成为实时分析的核心形态。
本分享将结合 ScopeDB 的设计实践,探讨 No-ETL 与按需建模(Schema on the fly)如何简化数据链路、降低数据处理成本,并更好地支撑 AI 与 Agent 场景下的新型数据模型,呈现数据架构在 AI 时代的演进趋势。


谁适合参加

  • 正在搭建或优化 AI 数据基础设施的架构师和工程师
  • 关注数据湖、元数据管理、多模态数据处理的技术负责人
  • 希望了解开源数据项目(Iceberg、Gravitino、Lance 等)实践经验的开发者
  • 对 AI Agent、云原生数据架构感兴趣的从业者

活动信息

📅 时间:2026 年 3 月 7 日(周六)下午 13:00-17:30
📍 地点:深圳·深国际华南数字谷 H 栋 4 楼
🎟 报名:免费参加,需通过审核(请完整填写报名信息)👉 扫码或点击报名
https://www.huodongxing.com/event/4850156431800
8448d2ffab97d17349ecb9d36d18d05b.png


期待 3 月 7 日(周六)在深圳与你相见。