科技日报 009｜Kimi新模型上线，PHP又披露特殊配置漏洞
第 009 期 · 2026-10-24 · SI斗罗
本期范围：北京时间10月23日00:00—10月24日10:00。海外公告保留官网日期；旧项目标注为项目观察。
今天先看模型更新，再看两件和开发者直接相关的安全新进展。星舰登月方案也有变化，这次有NASA正式公告。
01｜Kimi新模型上线，完整权重还要等
10月23日 · K3.1 Pro进入产品与API
Kimi推出K3.1 Pro，重点升级长流程编程、3D创作和金融研究，最高支持百万token上下文。
同时推出的Highspeed版本，官方称速度可达普通版的2—3倍。具体效果仍要放进自己的任务里测试。
服务已经上线，完整权重计划11月4日前发布。想自行部署的，还需要等权重和许可证。
Kimi Code的百万上下文及Highspeed有套餐门槛，并非所有用户默认可用。
来源：Kimi技术博客 · Kimi Code更新说明。
02｜PHP新提醒：少见配置下，还要关掉上传进度
10月23日 · 官方补充公告，修复待下一常规版本
PHP又披露一条可能导致远程代码执行的路径，编号CVE-2026-115560。它要求几个特殊条件同时成立。
应用配置使用php_binary或php_serialize保存会话，运行时又切换成php，再调用session_start()。
此外，Session上传进度功能还必须保持开启。官方表示，不在运行时切换会话序列化方式的应用，可以继续使用该功能。
官方建议先在配置中设置session.upload_progress.enabled=0，并重启工作进程，等待下一常规版本修复。
之前已经关闭该选项的，继续保持即可。此前两项严重漏洞的升级要求仍然有效。
来源：PHP新增公告与安全更新说明。
03｜LiteLLM查明攻击链：密钥删了，却没撤销
北京时间10月24日清晨 · 官方公布最终调查
这起供应链攻击的起点，是5月误提交到公开仓库的一把主密钥。团队很快覆盖了提交，却漏掉了撤销密钥。
攻击者10月进入实验Agent平台，拿到GitHub组织所有者的令牌，随后获取更多凭证，最终篡改软件发布流程。
官方此次明确修正了早先关于“请求日志泄露令牌”的推测。删除代码里的密钥，不等于让密钥失效。
运行过受污染的1.107.0或对应镜像的用户，应按官方清单隔离、重建环境并轮换凭证，不能只卸载软件。
来源：LiteLLM最终攻击链 · 受影响范围与处置说明。
04｜星舰登月新方案：先在地球轨道接上猎户座
北京时间10月24日清晨 · NASA公布开发安排
NASA公布的新方案中，星舰登月器先在地球轨道与猎户座飞船对接，再把组合体送往低月轨道。
NASA称，这有望减少星舰需要在轨汇集的推进剂，目前正修改猎户座以适配。
星舰仍需在轨加注。SpaceX和Blue Origin的登月器，也都要先完成无人演示及载人认证。
2028年谁先执行载人登月，要看准备程度。目前没有锁定供应商，也没有宣布已经完成这些验证。
来源：NASA登月方案公告。
05｜OpenAI披露：怎样给训练中的Agent划边界
10月23日 · 公布训练环境安全改造
OpenAI介绍了前沿训练环境的新做法：用缓存网页搭建“离线世界”，再叠加容器、微型虚拟机和网络隔离。
公司还投入数千亿token，让Agent团队专门测试越界联网、跨隔离通信等问题。
文中回顾的事件发生在9月20日，相关训练暂停11天后，已于10月1日恢复。今天新增的是披露，并非今天刚停训。
这说的是训练与评估环境。测试中还给了模型源码、配置和攻击线索，不能等同于普通聊天里的模型自行逃逸。
来源：OpenAI训练环境安全说明。
06｜MiniMax开放M3.1 Flash权重，部署和商用要分开看
10月23日 · 官方仓库放出权重
M3.1 Flash此前已经上线服务，这次的新进展是权重开放。官方列出约4280亿总参数，每token激活约230亿参数。
模型支持文本、图片、视频输入及最高百万token上下文。想研究多模态Agent和部署优化的，现在有了权重入口。
激活参数少，不代表存下整个模型只需要那么多内存。普通笔记本能否部署，不能只看“230亿”这个数字。
它采用MiniMax社区许可证，商用署名、通知及大营收主体的额外授权都有要求，使用前要单独核对。
07｜七牛公布免费额度规则：实名每天1亿token
10月24日—11月30日 · Conatus活动期
按七牛官方规则，实名用户每天有1亿token；符合单笔充值大于100元条件的用户，每天为10亿token。
额度每天重置，输入、输出和缓存输入都会计量。用尽后拒绝调用，不会自动转成付费请求。
这里提供的是匿名融合模型服务。本期未登录领取或调用；页面仍有“即将开始”残留文案，实际开通以控制台为准。
来源：七牛官方活动规则。
08｜项目观察：骁龙电脑跑起macOS，离日用还有距离
10月24日观察 · Snapintosh实验项目
Snapintosh作者展示：在搭载骁龙X2 Elite的华硕Zenbook A16上启动macOS 27，并使用Adreno显卡渲染桌面。
它通过兼容层补齐系统期待的硬件接口。作者报告键盘、触控板可用，但交互仍有卡顿。
目前只支持特定机器与系统版本，每次启动还需要另一台Mac协助。声音、蓝牙、睡眠等功能尚未支持。
项目代码以MIT为主，含GPL组件，系统文件不在仓库内。它更适合研究硬件适配，本期未安装实测。
来源：Snapintosh仓库 · 功能状态表 · 许可证说明。
