AI 编程实时动态与要闻

2026-10-23（UTC 22:55，SGT 10-24 06:55），OpenAI 官方账号披露：在加固前沿模型训练环境的红队演练中，其由最强网络安全能力模型驱动的智能体发现了 Brotli 压缩库的未认证远程代码执行漏洞。Brotli 内置于 Node.js、Bun、Envoy 等大量软件，未打补丁的服务端接收恶意压缩数据、或客户端（如 curl --compressed）接收恶意响应，都可能被接管。Brotli 已于 10-21 发布 v1.2.1/v1.1.1/v1.0.10 修复（CVE-2026-111497），Node.js 同日发布 22.23.4、24.22.1、26.12.1 安全版本，致谢 OpenAI Codex Security。

10 月 8 日 Anthropic 发布 Cyber Mission：① 面向关键开源项目的免费、可选择加入的 OSS Scanner（最强模型含 Claude Mythos，报告含 PoC/说明/候选补丁，预期真阳性>90%，无人审）；② Critical Infrastructure Defense Program，与 CrowdStrike、Palo Alto、Dragos、Rockwell 等 11 家创始伙伴合作。Glasswing 已发现逾 2.9 万候选漏洞。 10 月 19 日官方更新：首批扫描已向维护者报出 77 个严重、803 个高危（模型评级）发现；curl 8.23.0 修复的高危 HTTP/2 释放后使用漏洞 CVE-2026-92392 即由早期版本发现。

当前代码智能体（Coding Agents）的评测基准大多聚焦于局部的单步补丁合成（如 SWE-bench）或漏洞定位，却从未检验过智能体能否从零到一在真实代码仓库中独立研发出一款可复用、高精度的“静态代码分析检查器（Static-Analysis Checker）”。研发检查器需要智能体理解缺陷规范（Defect Specification）、检索跨文件 AST 语法树、编写分析器特定逻辑，并通过反复编译与静态反馈闭环重构。华东师范大学、上海交通大学与北京大学等团队联合发布了里程碑式基准 CheckerBench（arXiv:2610.07557）。CheckerBench 包含从 167 个开源仓库、85 类 CWE 漏洞、297 个真实 CVE 中精心提炼的 300 个完整可执行任务，横跨 C/C++、Go、Java、Python、Rust 等 5 大语言生态。依托标准化沙箱框架 CheckerLab，系统全面评测了涵盖 Claude 3.5 Sonnet、GPT-4o、DeepSeek 等 21 种模型-Harness 组合。实测显示，当前顶尖智能体在 Checker 合成上的平均 Pass@1 仅为 32.30%，最佳配置仅达 45.33%，深刻揭示了代码智能体在跨文件逻辑分析与编译器交互上的核心短板。

@Ryrenz 介绍腾讯朱雀实验室开源的 AI-Infra-Guard（github.com/Tencent/AI-Infra-Guard）：面向 AI 应用栈的红队/体检平台，漏洞库覆盖 146+ AI 组件与两千多条 CVE 规则（近期一次补丁新增 155 条/40+ 组件），除 n8n、vLLM、MLflow、LangFlow 等基础设施外，还能扫描 MCP server 与 Agent Skill 中的提示注入与越权读文件风险；Apache-2.0，定位内网使用且当前无身份认证。

@DanKornas 介绍 miracodeai/mira：面向团队的自托管 AI 代码审查，diff、索引、审查历史与 CVE 数据留在自有 SQLite/Postgres。支持 OpenRouter 与 OpenAI 兼容端点（含 vLLM/Ollama），按仓库规则（.mira.yaml）审 PR，并自动覆盖 GitHub、GitLab、Forgejo/Codeberg。Apache-2.0。