每日要闻 ·
报告日期：2026-10-22
GitLab 于 10 月 21 日发布紧急补丁版本 19.5.1，修复一个被定为 Critical 级的漏洞：攻击者无需登录即可在用户自行管理的 GitLab 服务器上执行任意代码。The Hacker News 记者 Swati Khandelwal 报道称，该漏洞影响范围极广——从 2014 年的 7.0 版本起，几乎每一个发布版本都在受影响之列。
漏洞位于未认证即可访问的请求处理路径上，意味着只要自建实例暴露在公网，就存在被直接利用的可能，无需任何账号或凭据作为跳板。GitLab 官方以"Critical Patch Release"形式单独发版，这种非常规节奏本身也说明问题的紧迫程度。目前官方未披露是否已存在在野利用，但鉴于利用门槛极低，安全社区普遍建议按"已被利用"的假设处理。
安全团队 SafeDep 披露，广泛使用的 LLM 统一调用库 LiteLLM 在 PyPI 上的 1.107.0 版本被植入恶意代码：该版本在安装后会静默部署凭据窃取程序并留下后门。LiteLLM 是 AI 应用里最常见的"多模型网关"依赖之一，大量团队用它统一对接 OpenAI、Anthropic、Azure、Bedrock 等不同厂商的接口，通常运行在持有大量 API Key 的服务端环境中。
这意味着一次常规的依赖升级，就可能把生产环境的云厂商密钥、模型 API 凭据乃至 CI/CD 环境变量一并交出去。事件在开发者社区引发密集讨论，不少人的第一反应是回头翻自己的依赖锁定文件。
中国正式推进一轮覆盖面较广的 AI 出口管制规则，对 23 项关键技术设置出境限制，范围包括先进基础模型、自主软件智能体（Agent）、计算集群以及特定硬件设计。与此前主要围绕芯片与设备的管制思路不同，这一轮把模型能力与智能体系统本身直接纳入了管制对象。
规则目前处于正式推进阶段，具体适用范围、许可流程与判定标准仍待细则明确，但方向已经清晰：监管关注的核心从"卖出去的是什么设备"，转向"输出的是什么能力"。
美国新墨西哥州一家法院周三作出裁决，要求 Meta 支付 250 亿美元罚款。此案源于剑桥分析（Cambridge Analytica）数据丑闻，陪审团认定 Meta 在该事件中对当地居民就其数据处理方式作出了误导性陈述。
这是那场 2018 年爆发的隐私风暴在法律层面开出的又一张天价账单。值得注意的是，此案的诉讼主体是州一级政府而非联邦监管机构，判罚理由落在"误导用户"而非数据泄露本身，这为各州追究平台的数据实践提供了可复制的路径。Meta 方面预计将提起上诉，最终金额存在变数，但"州检察长起诉 + 陪审团认定误导"的组合，已经构成对平台数据披露义务的实质性加压。
OpenAI 正在把自家前沿模型与 Codex 智能体工作流接入 Google Cloud 的 Model Garden，让企业客户可以直接在谷歌云的环境中调用 OpenAI 的能力。对 OpenAI 而言，这相当于把最大的搜索竞争对手变成了自己的分销渠道；对 Google Cloud 而言，则是承认企业客户不会只用一家模型。
值得玩味的是双方关系的微妙：Google 一边在 Gemini 上与 OpenAI 正面竞争，一边在自己的云市场上架对手的模型——这正是云计算生意"卖水不卖船"的老逻辑。对采购方来说，实际影响是模型选型与云平台绑定进一步解耦，多云、多模型的架构变得更现实，而供应商锁定风险相应下降。