起于小站,终于生活。
现实之外,一个普通人的思考。

博客地址:ygxz.in
讨论组:https://t.me/ygxz_group
一个小站的自留地
阿里云开源图像生成模型 Qwen-Image,文本渲染能力表现突出 8 月 5 日,Qwen 团队宣布开源 Qwen-Image,这是一个参数规模为 20B 的 MMDiT 模型,在各类生成与编辑任务中达到了开源模型的最佳水平 (SOTA)。
Google 发布 Gemini 2.5 Flash Image,正式确认「nano-banana」身份

Google 于 8 月 26 日正式发布 Gemini 2.5 Flash Image 模型,确认其就是此前在网络上走红的「nano-banana」AI 图像生成器。该模型现已在 Gemini 应用、Google AI Studio 和 Vertex AI 中提供服务。

Gemini 2.5 Flash Image 是 Google 最新的图像生成和编辑模型,相比其他领先模型具有更低的延迟。该模型专注于字符和场景一致性,能够将多张图片混合成单一图像,保持角色在丰富故事情节中的一致性,并使用自然语言进行定向转换。

用户只需向 Gemini 提供一张图片和文本提示,AI 就能保持用户的外观特征并进行所需的编辑。该模型还能根据指令将两张不同的图片合并为一张照片,或将一张图片的元素应用到另一张图片中创建新图像。

在技术特性方面,Gemini 2.5 Flash Image 利用 Gemini 的世界知识和增强推理能力来创建符合现实世界逻辑的图像,特别适合创建详细且逼真的图像,例如烹饪食谱的插图。与大多数图像生成模型不同,该模型能够准确渲染长文本序列,避免格式错误或拼写错误。

定价方面,Gemini 2.5 Flash Image 按每 100 万输出 token 收费 30 美元,每张图片对应 1290 个输出 token,单张图片费用为 0.039 美元(合人民币约 0.28 元)。

为便于开发者使用,Google 对 AI Studio 的「构建模式」进行了重大更新。开发者可以通过简单的提示词快速测试模型功能,创建自定义 AI 应用,并可直接从 Google AI Studio 部署或将代码保存到 GitHub。

Google Developers Blog
一个小站的自留地
苹果发布紧急安全更新修复已被利用的 ImageIO 零日漏洞 苹果于当地时间 2025 年 8 月 20 日发布了针对 iOS、iPadOS 和 macOS 的紧急安全更新,旨在修复一个已被黑客在野利用的零日漏洞 (Zero-Day)。该漏洞编号为 CVE-2025-43300,存在于系统的 ImageIO 框架中。 该漏洞是一个越界写入 (out-of-bounds write) 问题。攻击者可以制作恶意的图像文件,当用户设备上的 ImageIO 框架处理该图像时,便会触发内存损坏,可能导致任意代码执行。…
Docker Desktop 修复严重安全漏洞

Docker 近日发布紧急安全更新,修复了影响 Windows 10/11 和 macOS 版 Docker Desktop 的高危安全漏洞。该漏洞编号为 CVE-2025-9074,CVSS 评分高达 9.3 分,已在 Docker Desktop v4.44.3 版中得到修复。

该漏洞由安全研究人员 Felix Boulet 发现,与容器无需身份验证即可连接到 Docker Engine API 有关。恶意容器可利用此漏洞直接穿透虚拟化防御,访问宿主机的文件系统。在概念验证中,研究人员展示了来自任何容器的 Web 请求都可触发漏洞,导致安装 Docker Desktop 的宿主机完全被攻陷。

由于 macOS 对应用程序实施的文件系统限制,该漏洞在 macOS 上主要影响 Docker Desktop 控制权,而在 Windows 10/11 上威胁更大。值得注意的是,Docker Desktop for Linux 版不受此问题影响,因为在 Linux 上 Docker Desktop 不依赖 Docker Engine API 的 TCP 连接。

攻击者可能通过供应链攻击的方式利用该漏洞,例如通过社会工程学手段控制热门容器镜像开发者账号,上传含有恶意代码的镜像。一旦用户运行这些恶意镜像,攻击者就能获得宿主机文件系统访问权限,甚至可能提升至系统管理员权限。

所有使用 Docker Desktop(Windows or macOS)的用户都需要立即升级到 v4.44.3 版。

(蓝点网)

——————

出于各种原因,本频推荐在 macOS 上使用 Orbstack 代替 Docker Desktop。
一个小站的自留地
马斯克旗下 xAI 发布 Grok 4 模型 北京时间 2025 年 7 月 10 日,Elon Musk 旗下的 xAI 公司正式发布了其下一代大语言模型 Grok 4 。该模型在多项关键基准测试中表现出色,综合性能超越了 OpenAI 的 o3 和 Google 的 Gemini 2.5 Pro 等主要竞争对手 。 Grok 4 在被誉为「人类最后的考试 (HLE)」的超高难度测试中得分远超以往模型,其增强版 Grok 4 Heavy 更是在 AIME 2025 (美国数学邀请赛) 中取得满分 。根据…
马斯克旗下 xAI 正式开源 Grok 2.5 模型,并宣布 Grok 3 将在半年后开源。

Grok 2.5 权重文件已在 Hugging Face 上线,共 42 个文件,总大小约 500 GB,需要 8 张显存超过 40 GB 的 GPU。

从去年 xAI 发布的技术博客看,Grok 2 系列在 LMSYS 排行榜 Elo 分数超越 GPT-4,在 GPQA、MMLU、MMLU-Pro 和 MATH 等基准测试中达到前沿水平。不过,社区反馈指出,xAI 未明确模型参数(推测为 2690 亿参数的 MoE 架构),开源协议接近非商业许可,与 Mistral、Qwen 等 MIT 或 Apache 2.0 许可不同,且运行门槛较高。

马斯克还表示,xAI 很快将超越谷歌,但中国公司才是其最大对手。
一个小站的自留地
WinRAR 出现零日漏洞, 已遭多方利用 流行压缩工具 WinRAR 被曝存在高危路径遍历漏洞(CVE-2025-8088),可在用户解压特制压缩包时,将恶意 DLL、EXE 或快捷方式(LNK)文件写入系统关键目录,并在 Windows 启动时自动运行,实现持久化控制。该漏洞影响 WinRAR 及相关 Windows 解压组件(包括 UnRAR.dll 与便携源码),不涉及 Unix 与 Android 版本。 安全公司 ESET 于 7 月 18 日首次捕获攻击样本,确认漏洞已被俄罗斯背景的…
苹果发布紧急安全更新修复已被利用的 ImageIO 零日漏洞

苹果于当地时间 2025 年 8 月 20 日发布了针对 iOS、iPadOS 和 macOS 的紧急安全更新,旨在修复一个已被黑客在野利用的零日漏洞 (Zero-Day)。该漏洞编号为 CVE-2025-43300,存在于系统的 ImageIO 框架中。

该漏洞是一个越界写入 (out-of-bounds write) 问题。攻击者可以制作恶意的图像文件,当用户设备上的 ImageIO 框架处理该图像时,便会触发内存损坏,可能导致任意代码执行。

该漏洞由苹果内部发现,并通过改进边界检查进行了修复。由于该漏洞已被积极利用,建议所有用户尽快更新到最新系统。

修复该漏洞的系统版本如下:

* iOS 18.6.2 和 iPadOS 18.6.2:
* iPadOS 17.7.10
* macOS Sequoia 15.6.1
* macOS Sonoma 14.7.8
* macOS Ventura 13.7.8

美国网络安全和基础设施安全局 (CISA) 已将要求联邦机构在 2025 年 9 月 11 日前完成更新。

(综合媒体报道)
一个小站的自留地
字节跳动发布豆包视频生成大模型 PixelDance 和 Seaweed,AI 视频创作迎来新突破 2024 年 9 月 24 日,字节跳动在火山引擎的「AI 创新巡展」活动上正式发布了两款 AI 视频生成大模型——豆包视频生成-PixelDance 和豆包视频生成-Seaweed。 豆包视频生成大模型的最大亮点在于其对复杂指令的精准理解以及自然连贯的多主体互动能力。与传统的视频生成模型相比,这两款模型能够在不同镜头下保持人物样貌、服装细节以及头饰的一致性,接近实拍效果。尤其是在多主体、多动作交互场景中,表现尤为出色。…
字节跳动开源 36B 大模型 Seed-OSS

字节跳动 Seed 团队正式开源了 Seed-OSS-36B 模型。该模型系列采用 Apache-2.0 许可证,向社区完全开放。

Seed-OSS 的一大亮点是原生支持 512K 的上下文长度,并在多个主流基准测试中展现出优异性能。模型架构采用了 RoPE、GQA 注意力机制、RMSNorm 和 SwiGLU 激活函数。

本次开源包含两个基座模型版本:官方推荐的包含合成指令数据的 Seed-OSS-36B-Base,以及为研究社区提供的不含合成数据的「纯净」版本。

指令微调版本 Seed-OSS-36B-Instruct 的表现尤为突出,其 Agent 能力在 TAU1-Retail 任务上取得了 70.4 分,刷新了开源模型的 SOTA 记录;代码能力在 LiveCodeBench v6 测试上达到 67.4 分,同样位居开源模型榜首。此外,模型引入了「推理预算 (thinking budget)」机制,允许用户根据任务需求动态调整推理长度,以平衡性能与资源消耗。

与 OpenAI 开源的 GPT-OSS-120B 模型相比,Seed-OSS 以约三分之一的参数量,在长上下文处理、编程和 Agent 能力等多个方面都达到了相当甚至更优的水平。

(Hugging Face)
自北京时间 2025 年 8 月 20 日 0:36 开始,中国往海外方向骨干网上的任何 443 端口流量被完全阻断。海外往中国方向的 443 端口亦有阻断报告。

据媒体报道,本次阻断持续约一小时,至01:47 恢复。本次阻断无白名单类似机制,所有 443 端口流量(包括加密流量)均被阻断。80 和其他端口均不受影响。

部分国内互联网企业非核心业务受到影响。据本频信源,部分企业将此次故障描述为「运营商」行为,且应为预期外的事故。

有消息指出,本次阻断是因运营商网络策略错配,将适用于家庭宽带的禁止 443 端口策略配置到了骨干网上,而非位于国际网络出口的 GFW 设备导致。本频暂未能独立对该说法进行核实。

海外机构GFW Report 则认为,此次阻断和此前 GFW 实施的阻断完全不同,有可能是新的审查设备或手段被部署。

GFW Report)(阿里云
一个小站的自留地
深度求索 28 日发布消息,DeepSeek R1 模型已完成小版本试升级,API 接口和使用方式保持不变。
深度求索 19 日晚发布消息,DeepSeek 线上模型版本已升级至 V3.1,上下文长度拓展至 128k,欢迎前往官方网页、APP、小程序测试,API 接口调用方式保持不变。

21 日,DeepSeek 正式发布 DeepSeek-V3.1 模型。此次更新引入了混合推理架构,将模型分为「非思考模式」与「思考模式」,旨在兼顾日常问答的效率与复杂任务的深度推理能力。

DeepSeek V3.1 的核心亮点包括:

- 混合推理架构:模型提供 deepseek-chat (非思考模式) 和 deepseek-reasoner (思考模式) 两种接口。其中,用于深度思考的 V3.1-Think 在性能与上一代 R1-0528 持平的情况下,可节省 20% 至 50% 的词元 (Token) 消耗。而非思考模式也优化了输出长度,解决了先前版本过于「话唠」的问题。

- 增强的智能体 (Agent) 能力:新模型在工具调用和智能体任务方面获得显著提升。根据官方数据,V3.1 在编程智能体测评 SWE-bench 和命令行终端测评 Terminal-Bench 中的准确率近乎翻倍,在多步推理的复杂搜索测试 browsecomp 中,准确率从 8.9% 大幅提升至 30%。

- API 升级与价格调整:API 的上下文长度从 64K 扩展至 128K,并为函数调用 (Function Calling) 加入了严格模式检查。定价模式统一为每百万输入词元 4 元,输出词元 12 元,并取消了夜间优惠,新价格将于北京时间 2025 年 9 月 6 日零点生效。

- 模型开源:V3.1 的 Base 模型在 V3 基础上额外训练了 840B 词元,并与后训练模型均已在 Hugging Face 和魔搭社区开源。需要注意的是,新模型的分词器和聊天模板不兼容旧版本。

此次更新被官方称为「迈向 Agent 时代的第一步」,网页端和 App 的「深度思考」功能也已同步升级。
一个小站的自留地
Windows出现全球大规模蓝屏事件 2024年7月19日,全球多地Windows用户遭遇大规模蓝屏故障,导致银行、航空、媒体等行业业务中断。事件始于日本时间13:30左右,随后迅速蔓延至澳大利亚、欧洲和美国。故障源于网络安全公司CrowdStrike的软件更新问题。受影响的Windows设备启动时会显示蓝屏,并进入恢复模式或重启循环。 澳大利亚国家广播公司、联邦银行、澳新银行、Qantas航空等多家企业系统受到影响。英国Sky News一度被迫中断直播。美国多家航空公司,包括Frontier、Uni…
微软 8 月部分 Win10/Win11 更新补丁存在严重存储设备故障风险

微软 2025 年 8 月推送的部分 Windows 10 与 Windows 11 累积更新补丁,在特定条件下可能导致 NVMe SSD 及部分 HDD 故障,出现掉盘、数据损坏甚至硬件损坏。

目前已确认涉及的版本包括:
- Windows 11:24H2 KB5063878(26100.4946)、23H2 KB5063875(22621.5768、22631.5768)
- Windows 10:22H2/21H2 KB5063709(19044.6216、19045.6216)、1809 KB5063877(17763.7678)、1607 KB5063871(14393.8330)、TH1 KB5063889(10240.21100)

受影响的 SSD 控制器及品牌包括群联 Phison(PS5012-E12)、英韧 InnoGrit、联芸 Maxio、铠侠 Kioxia、闪迪 SanDisk、西部数据、SK 海力士等;希捷、三星、Solidigm 与慧荣目前未被确认为受影响品牌。

触发条件为硬盘利用率超过 60%,且持续写入约 50GB(DRAM 缓存型 SSD)或更少数据(HMB 非缓存型 SSD)后,设备可能从系统中消失。部分硬盘会出现更严重的问题:分区变为 RAW,磁盘锁定无法格式化或恢复,S.M.A.R.T 信息不可读,在 WinPE 或 Linux 环境下均不可操作,提示 I/O 错误并疑似硬件损坏。部分企业级 HDD 也可能在高强度写入下出现类似症状。

分析推测,该问题或与缓存子系统异常或 Windows 系统缓冲区的内存泄漏有关,表现与此前 WD SN770 主机内存缓冲(HMB)缺陷高度相似。硬盘厂商 Phison 已回应称,正与合作伙伴评估和验证受影响的主控型号,并将提供必要的支持与修复方案。

如用户已安装上述补丁且使用可能受影响硬盘,建议立即备份重要数据,并可按以下步骤卸载补丁:
1. 打开「设置」(Win+I),进入「Windows 更新」>「更新历史记录」;
2. 在「相关设置」下选择「卸载更新」;
3. 找到相关补丁(如 KB5063878),选中后点击卸载并按提示操作;
4. 重启系统,并在「Windows 更新」中暂停更新以避免自动重新安装。

微软尚未就此问题发布说明。

(综合媒体报道)
一个小站的自留地
Chrome 出现高危零日漏洞 CVE-2025-5419 Google 于 6 月 2 日紧急发布 Chrome 137.0.7151.68 版本,修复了一个正在被野外利用的高危零日漏洞 CVE-2025-5419。该漏洞位于 Chrome 的 V8 JavaScript 引擎中,属于越界读写 (out-of-bounds read/write) 类型,CVSS 评分高达 8.8。 攻击者可通过构造恶意 HTML 或 JavaScript 页面触发此漏洞,导致 V8 引擎错误地读写越界内存,从而实现…
WinRAR 出现零日漏洞, 已遭多方利用

流行压缩工具 WinRAR 被曝存在高危路径遍历漏洞(CVE-2025-8088),可在用户解压特制压缩包时,将恶意 DLL、EXE 或快捷方式(LNK)文件写入系统关键目录,并在 Windows 启动时自动运行,实现持久化控制。该漏洞影响 WinRAR 及相关 Windows 解压组件(包括 UnRAR.dll 与便携源码),不涉及 Unix 与 Android 版本。

安全公司 ESET 于 7 月 18 日首次捕获攻击样本,确认漏洞已被俄罗斯背景的 RomCom 黑客组织(又称 Storm-0978、Tropical Scorpius)在野利用,通过钓鱼邮件投递恶意压缩包,变体攻击链可部署 Mythic Agent 后门、SnipBot 以及 MeltingClaw 等恶意程序,具备远程控制、模块下载与数据窃取功能。其利用点包括备用数据流(ADS)和 COM 劫持,以绕过文件路径限制。

俄罗斯本土安全公司 Bi.Zone 还监测到另一团伙 Paper Werewolf 同期利用 CVE-2025-8088,以及此前的 CVE-2025-6218 漏洞发动攻击,手法同样以邮件附件伪装合法文件,解压即中招。部分恶意 DLL 会校验目标环境以规避沙箱分析。

RARLAB 已在 7 月 30 日发布 WinRAR 7.13 修复漏洞,但由于软件不具备自动更新功能,补丁覆盖率有限。厂商在更新公告中未明确披露漏洞已遭利用,并称尚未收到直接受害报告。ESET 警告,该漏洞利用门槛低、传播快,全球数亿未升级用户可能面临长期入侵与信息外泄风险。建议用户从官网下载并手动更新至 7.13 及以上版本,并警惕未知来源的压缩包,启用安全网关及杀毒软件实时防护,防止恶意文件写入敏感路径。

(综合媒体报道)
一个小站的自留地
据本频信源,OpenAI 很有可能于一周内发布 GPT-5 系列模型。 和现有的 GPT-4.1 类似地,GPT-5 系列也将有 GPT-5、GPT-5-mini、GPT-5-nano 三个模型变体。 预料 GPT-5 的性能跨越将会超过 GPT-4o 到 GPT-4.5 的进步。进步幅度接近或超越 GPT-4o 到 GPT-4.1 系列。 早前媒体报道,去年曾被寄予希望以 GPT-5 身份发布的 Orion(猎户座)模型,最终已经以 GPT4.5 的身份发布,性能进步和性价比表现不及预期。 ——————…
OpenAI 正式发布 GPT-5

GPT-5 是 OpenAI 最先进的模型,在推理、代码质量和用户体验方面有重大提升。它针对需要逐步推理、遵循指令以及在高风险用例中要求高准确性的复杂任务进行了优化。它支持测试时路由功能和高级提示理解,包括用户指定的意图,如「认真思考这个问题」。改进包括减少幻觉、谄媚行为,并在编程、写作和健康相关任务中表现更好。该模型拥有 272,000 词元的超大上下文窗口,最大输出可达 128,000 词元,支持文本和图像的多模态处理。

GPT-5 Chat 专为企业应用设计,支持高级、自然、多模态和具备上下文感知的对话。该版本配备 128,000 词元的上下文窗口和 16,384 词元的最大输出能力,专门针对对话场景进行了优化。

GPT-5 Mini 是 GPT-5 的紧凑版本,旨在处理较轻量级的推理任务。它提供与 GPT-5 相同的指令遵循和安全调优优势,但延迟和成本更低。GPT-5 Mini 是 OpenAI 的 o4-mini 模型的继任者。该模型保持了与完整版相同的 272,000 词元上下文窗口和 128,000 词元最大输出能力,同样支持文本和图像的多模态输入。

GPT-5-Nano 是 GPT-5 系统中最小且最快的变体,专为开发者工具、快速交互和超低延迟环境进行了优化。虽然在推理深度上不及更大的版本,但它保留了关键的指令遵循和安全特性。它是 GPT-4.1-nano 的继任者,为对成本敏感或需要实时响应的应用提供了一种轻量级选择。尽管定位为最轻量版本,Nano 仍然配备了 272,000 词元的上下文窗口和 128,000 词元的最大输出能力,支持文本和图像处理。

——————

新模型在性能上实现全面提升,具备强大的指令遵循能力和自主工具使用能力,在速度、思考效率方面有显著改进,并减少了此前模型的谄媚倾向,优化了对话风格。

在可用性方面,GPT-5 将分阶段推出。普通用户今日即可使用,企业及教育用户将在下周获得访问权限。免费用户可使用基础版 GPT-5,达到使用限制后将自动降级至 GPT-5 mini。Plus 订阅用户可正常使用 GPT-5,Pro 订阅用户则享有无限制的 GPT-5 使用权限,并可访问 GPT-5 Pro 模型。

API 定价方面,GPT-5 nano 为每百万词元 0.05 美元输入 / 0.4 美元输出,GPT-5 mini 为 0.25 美元输入 / 2 美元输出,完整版 GPT-5 为 1.25 美元输入 / 10 美元输出。GPT-5 Pro 则需要 ChatGPT Plus 或 Pro 订阅。
Back to Top