科技日报 011｜Cloudflare开源漏洞审计Skill，南北阁发布33B模型
第 011 期 · 2026-10-26 · SI斗罗
本期范围：北京时间10月25日00:00—10月26日09:00。海外公告保留官网日期；旧项目单列为项目观察。
今天先看开发者需要处理的安全更新，再看模型、Agent工具和算力消息。最后两个项目，分别解决“AI报的漏洞靠不靠谱”和“长文怎么读”。
01｜.NET紧急修复：应用自带的运行时也要更新
10月25日 · 微软发布带外安全更新
微软发布.NET计划外安全更新，修复Brotli解压等问题，也补齐了10月13日未完整修复的两项漏洞。
稳定版本更新到8.0.33、9.0.22、10.0.14；使用.NET 11预览版的，更新到RC3。
其中Brotli问题涉及解压不可信数据。网页请求、响应的自动解压并非默认开启，不能理解成所有.NET网站都会直接中招。
只更新宿主机，可能还不够。有些应用自己带了一份运行时，需要重新构建、部署；容器也要换用更新后的镜像重建部署。
来源：微软.NET安全更新公告。
02｜Open WebUI：技能用到再读，压缩摘要可以查看
北京时间10月25日16:07 · 发布0.12.4
给AI挂很多Skills，每轮都塞进完整说明，很快就会占满上下文。
Open WebUI新版支持按需加载：先给模型一份技能清单，需要时再读取完整说明。消息里直接点名的技能，仍会立即加载。
功能默认关闭，需要管理员开启，并启用内置Skills工具。升级后不会自动生效。
新版还让临时聊天、工具输出很长的短对话支持上下文压缩，用户可以展开查看压缩后的摘要。本期未安装实测。
03｜南北阁官宣33B模型，先培养一个“老师”
北京时间10月25日20:11 · 官宣，权重已开放
南北阁发布Nanbeige4.3-33B，支持最高512K上下文，重点面向编程、多步工具调用和办公任务。
这次的33B是“教师模型”：先把它的能力做好，再通过蒸馏训练更小的模型。后续3B版本仍在计划中。
模型卡标注Apache-2.0，并给出了部署方法和官方评测。对想自部署Agent的人，这是一个新选择；本期未复现跑分。
04｜马斯克称SpaceX完成400亿美元GPU融资
10月25日 · 路透社报道，交易细节尚不明确
据路透社报道，马斯克表示，SpaceX已完成400亿美元债务融资，主要用于购买GPU。
他将融资能力归因于公司的信用资质，以及星链和发射业务带来的收入。这笔融资对应后续算力采购，不代表设备已经交付。
“完成”到哪一步，还需看后续披露。路透社指出，目前尚不清楚这个说法的具体含义，也不清楚债务定价是否已敲定。
来源：路透社报道，CNA刊载。
05｜AWS公布换证安排，部分服务要赶在28日前处理
北京时间10月25日 · 发布服务处置公告
昨天提到的eMudhra证书事件，又有具体迁移安排。AWS计划在10月28日前，从CloudFront移除相关信任根。
简单说，源站如果还使用受影响的证书链，可能会因为“不再受信任”而连接失败。
使用ALB做登录认证的客户，也要检查身份提供方的证书。若证书链受影响，AWS要求10月28日前更换证书。
这是针对特定证书和配置的提醒，并非所有AWS用户都要换证。相关客户可查看AWS Health通知。
来源：AWS官方安全公告。
06｜Cloudflare这套Skill，让另一个Agent复核漏洞
10月26日项目观察 · 已有项目，非今日首发
AI说“这里有漏洞”，到底是真问题，还是看错了？Cloudflare的security-audit-skill把找问题和复核问题拆开。
一组Agent检查代码，新的Agent再尝试推翻这些发现。最终区分已确认、待验证、已排除，避免把猜测直接放进结论。
项目采用MIT许可，需要支持子Agent的工具；运行不可信目标代码，还需要真正的隔离环境。本期只核对说明，未运行审计。
对开发者有参考价值的是这套验证流程：报告里的每个问题，都应有可复核的依据。
来源：Cloudflare官方仓库 · 官方设计介绍。
07｜TextFold：长文章折成五层，随时展开原文
10月26日项目观察 · 已有项目，非今日首发
AI摘要看懂了，原文的条件和限制却找不到了。TextFold尝试把阅读做成五层：原文、原句摘录、要点、章节结论、主题。
先看最短的一层，遇到感兴趣或拿不准的地方，再逐层展开。原句摘录与AI生成的概括分开呈现。
它支持导入网页、PDF等资料，采用Apache-2.0许可；生成概括需要配置模型服务或已有AI工具。
适合常读论文、文档和长报告的人。摘要仍要回原文核对，本期未安装实测。
来源：TextFold官方仓库 · 分层格式说明。
