ITPub博客

导语 开源软件是现代软件供应链的地基，但维护这份地基的人，往往并不是安全专家。2023 年 2 月，OpenSSF 识别安全威胁工作组内部的一群志愿者为关键开源项目的维护者组织了一场线上迷你峰会。会上，维护者们道出了一个普遍困境：项目启动时，目标只是解决某个具体问题，没人想过它会变成被广泛依赖的关键组件；可一旦被大规模采用，安全性这类非功能性需求就会突然变成头等大事，而应对它的团队往往是临时拼凑、成员本就身兼数职。 OpenRefactory 获得了 Alpha-Omega 的资助，试图用工具加人工的方式，替这些维护者分担一部分安全压力。本文基于 OpenSSF 博客披露的项目信息，梳理这套大规模漏洞发现与披露机制的运作方式、阶段性成果，以及它对开源安全治理的启示。 维护者的真实处境：志愿者、有限资源与跨平台测

欢迎来到《The Short》，IBM Research每周回顾最新的AI、量子计算、半导体和云计算创新。如果您喜欢这里的内容，请务必在LinkedIn上注册以获得更早的访问权限。 本周要点 使用LoRA大规模服务定制化AI模型 从冲浪到卫星：Campbell Watson将AI带入地球科学 电子显微镜下的美分硬币 PBS NOVA：解码宇宙：量子 使用CBOMkit管理密码学 2024 AI硬件论坛 IBM宣布2024年Pat Goldberg竞赛获奖者 研究汇总 本周大问题 使用LoRA大规模服务定制化AI模型 传统上，针对特定数据对大型语言模型进行微调可能涉及更新数十亿到数万亿的权重。低秩适应（LoRA）提供了一种捷径。通过LoRA，您只需更改基础模型权重的一个小子集，创建一个插件模块（也称为LoRA！）

导语：斯坦福 HAI（Stanford Institute for Human-Centered AI）近期围绕两个看似独立、实则相互交织的议题展开讨论：一是 CRISPR 与 AI 如何共同动摇“人类本质”的定义；二是当 AI 面对不确定性时，人类程序员究竟该如何决定机器的行为。本文基于 Stanford HAI 的两场活动素材编译，梳理这两条技术脉络背后的伦理与工程张力。 两场革命，一个共同的问题 依据 Stanford HAI 的活动介绍，21 世纪初出现了两场动摇“人类本质”定义的革命。 第一场是 AI 革命，其核心之一是计算机视觉和图像识别。第二场是 CRISPR——一种强大的基因编辑新技术，使人类能够干预进化本身。 这两条技术路线表面上分属计算科学与生命科学，但它们指向了同一个深层问题：当人类获得前

导语：一边是 Anthropic 拿下 ISO/IEC 42001:2023 认证，为 AI 治理提供独立验证；一边是 Cisco Talos 用 LangChain 和 Umbrella API 教 AI 智能体识别恶意域名。当自主智能体开始替人类“点击链接”，安全与责任正在从模型内部延伸到整个网络交互链路。 一、AI 治理有了国际标准：Anthropic 获 ISO 42001 认证 Anthropic 近日宣布，其人工智能管理体系已获得新版 ISO/IEC 42001:2023 标准认证。这是首个概述人工智能治理要求的国际标准，目标是确保 AI 系统以负责任的方式开发和利用。 Anthropic 在官方博客中表示，这一认证提供了独立验证，证明其已实施一套全面框架，用于识别、评估和缓解与 AI 系统相关的潜

导语：过去一年，Anthropic 围绕 Claude 的智能体（Agent）能力连续放出三块拼图——让 Claude 学会"停下来思考"的 think 工具、把 MCP 服务器安装变成一键操作的 Desktop Extensions，以及用操作系统级沙箱约束 Claude Code 的自主行为。这三者看似分散，实则指向同一个工程命题：当模型开始真正"动手做事"，如何同时保住能力上限与安全底线。 一、能力侧：给 Claude 一个"草稿纸" 2025 年 3 月，Anthropic 发布了一篇关于 "think" 工具的工程博客。它的核心思路非常朴素：在 Claude 生成回答的过程中，额外插入一个专门的思考步骤，让模型有机会停下来判断"我手上的信息够不够支撑下一步动作"。 需要区分的是，这与 Claude 的

2026年，大模型能力持续进化，但企业AI落地的成效分化愈发显著。参数规模不断攀升，推理成本持续下降，能够真正穿透企业核心业务系统、产生可量化商业价值的AI应用，依然是少数。据Gartner与IDC等国际权威机构调研，超过90%的AI概念验证项目难以跨越实验阶段；60%的企业计划部署AI智能体，但实际进入核心生产环境的仅17%。

当 AI 智能体需要连续工作数小时甚至数天，如何在一次次“失忆”的会话之间保持进展？Anthropic 从人类工程师的轮班协作中找到了答案。 导语 随着 AI 智能体能力提升，开发者越来越多地要求它们承担跨越数小时乃至数天的复杂任务。但一个根本性难题始终存在：智能体必须在离散的会话中工作，而每个新会话开始时，对之前发生的事情没有任何记忆。 Anthropic 在 2025 年 11 月 26 日发布的一篇工程博客中，分享了他们为长时间运行智能体构建高效运行框架的实践。核心思路借鉴自人类工程师的日常工作方式——通过初始化智能体搭建环境，编码智能体在每个会话中取得增量进展，并为下一个会话留下清晰产物。 问题：当智能体“失忆”式轮班 Claude Agent SDK 是一个强大、通用的智能体运行框架，擅长编码以及需要

导语 在技术不断进步的今天，Anthropic 发布了 Claude Desktop 扩展和全新模型 Claude 3.5 Sonnet 与 Claude 3.5 Haiku。这些更新不仅简化了用户的操作流程，还提升了 AI 模型的计算能力和应用场景。本文将详细介绍这些新功能及其潜在影响。 Claude Desktop 扩展：一键安装 MCP 服务器 简化安装流程 Claude Desktop 扩展的推出，旨在解决用户在安装 Model Context Protocol (MCP) 服务器时遇到的复杂性。过去，用户需要手动编辑配置文件并处理依赖关系，而现在，通过新的 .mcpb 文件格式，用户只需双击文件即可完成安装。 架构概述 Desktop Extension 是一个压缩包，包含了 MCP 服务器及其所有依

导语：当大模型的训练数据逐渐逼近存量上限，研究界的注意力正在从“堆更多数据”转向“把已有数据用得更聪明”。Apple ML Research 的两篇新论文分别从奖励信号设计和失败轨迹回收两个角度切入后训练阶段，而 Google DeepMind 的 AlphaGenome Atlas 则展示了另一种思路——用大规模预计算把单一模型的预测能力转化为可被整个科研社区调用的基础设施。三篇素材看似分属不同领域，但共同指向一个问题：如何为复杂任务构造更细粒度、更可解释的监督与预测信号。 一、把“打分”拆开：基于评分标准的对齐框架 开放域问答的奖励信号设计一直是个难题。一个高质量回答往往需要同时满足多个维度的要求——内容是否完整、是否有证据支撑、是否遵循了用户的指令——而传统的整体标量奖励很难把这些方面区分开来。 Appl

导语 在当今快速发展的技术环境中，AI 的应用正在不断扩展，尤其是在天气预报和企业决策领域。本文将探讨 AI 采用的选择效应以及 Google 最新推出的 WeatherNext 3 模型如何通过实时数据提升天气预报的准确性。 AI 采用的选择效应 选择效应的定义 在企业中，AI 功能的采用率往往受到选择效应的影响。许多公司在没有进行随机化的情况下，简单地比较启用 AI 功能的客户与未启用客户的留存率，得出启用 AI 功能的客户留存率更高的结论。然而，这种比较并不能准确反映 AI 功能的实际效果，因为它忽略了客户选择的背景。 关键问题 在分析 AI 助手的效应时，存在三个不同的量需要考虑： 对采用者的效应 ：如果那些开启了该功能的账户没有采用，它们的留存会差多少？ 对所有人的影响 ：如果每个符合条件的账户都采用

导语：当攻击者开始用 AI 加速漏洞利用，防御者却仍困在"部署前沿模型太贵、用开源小模型又修不动复杂漏洞"的两难里。Google 给出的答案是 Fairwind Program——一个面向政府和可信合作伙伴的有限访问计划，把最先进的网络防御模型与自动化修复工具打包交给防御方。 防御者的两难：强模型太贵，弱模型不够用 Google DeepMind 在官方博客中直言，希望使用先进 AI 的防御者面临一个艰难困境： 采用庞大的前沿模型 ：可能部署成本高昂，且难以在企业代码库中控制； 转向较小的开放权重模型 ：可能难以处理复杂的漏洞修复，还要求团队从零构建自己的工具和基础设施。 这一矛盾在安全场景下尤为致命。漏洞修复不是一次性任务，而是需要持续推理、验证和部署的工程流程。模型能力不足，补丁质量就无法保证；部署成本过高

导语 当漏洞从被发现到被利用的时间窗口不断压缩，传统“先发现、再排队修复”的防御节奏已经难以跟上攻击者的自动化速度。Google DeepMind 近日发布 Fairwind Program，试图用前沿 AI 模型加上代码修复工具链，把“发现漏洞”和“修复漏洞”压缩进同一个智能体流程。这一动作值得关注的，不只是模型能力本身，而是它揭示出的一个趋势：网络防御正在从“人驱动”转向“智能体驱动”，而防御者的核心优势，正在变成从发现到修补之间的时间差。 防御者面临的两难：大模型太贵，小模型太弱 依据素材，Google 在发布 Fairwind Program 时点出了一个现实困境：希望使用先进 AI 的防御者，往往要在两条路之间做选择。 一条路是采用庞大的前沿模型。问题在于部署成本高昂，并且难以在企业代码库中控制。另一

导语 随着人工智能（AI）技术的快速发展，如何有效评估和应用这些技术成为了一个重要课题。Google DeepMind 最近推出了全球首个双盲 AI 评估，并在游戏领域开展了深入的研究合作。这些进展不仅推动了 AI 评估的可信度，也为游戏开发带来了新的可能性。 双盲 AI 评估的创新 评估的必要性 在 AI 模型的评估中，基准污染是一个严重的问题。如果模型在测试前接触到评估内容，其结果的可信度将受到质疑。为了解决这一问题，Google DeepMind 与多个合作伙伴共同推出了双盲评估，利用密码学技术确保评估过程的安全性和公正性。 双盲评估的工作原理 双盲评估通过 Google Cloud 的机密计算产品，确保评估者和模型提供方之间的信息隔离。评估者无法看到模型的权重，而模型提供方也无法接触到评估者的测试提示词

导语 2024 年 4 月，TensorFlow 官方博客发布了一项重要更新：XNNPack 的全连接和二维卷积算子现已支持动态范围量化。这一改进让 TensorFlow Lite 的 CPU 推理性能相比单精度基线提升了四倍，意味着更多 AI 功能可以部署到更旧、更低端的设备上。对于长期受限于端侧算力与模型精度平衡难题的开发者而言，这无疑是一个值得关注的进展。 背景：CPU 仍是端侧推理的主战场 XNNPack 是 TensorFlow Lite 的 CPU 后端。尽管 GPU、NPU 等专用加速器在移动端日益普及，CPU 依然为机器学习推理提供了最广泛的覆盖范围，并且仍然是 TensorFlow Lite 的默认目标。因此，提升 CPU 推理性能始终是 TensorFlow Lite 团队的首要任务。 在此

导语：如果把 TensorFlow 近几个版本的发布说明连起来读，会发现一条清晰的主线——这个曾经以“大而全”著称的框架，正在系统性地做减法。从移除 TensorRT 依赖，到停止发布 libtensorflow，再到把 LiteRT 的 API 逐步迁出主仓库，TensorFlow 正在重新划定自己的边界。 一、2.15：一次被依赖项绊倒的发布 2023 年 12 月，TensorFlow 团队发布了一个并不寻常的版本号： TensorFlow 2.15.0.post1 。这不是一次功能更新，而是一个热修复。 问题的根源在于依赖管理。TensorFlow 2.15.0 的 Python 包在发布时请求了 tensorrt 相关包，除非用户事先安装或提供额外的安装标志，否则这些包无法被找到。这直接影响了所有通过

导语 过去一年，企业技术栈中变化最快的不是模型本身，而是模型对底层数据层提出的要求。MongoDB 在 19 个月内发布了四个重要版本，最新全面可用的 MongoDB 8.3 将写入吞吐量再提升 35%、读取性能提升 45%、ACID 事务性能提升 15%，且无需修改应用代码。与此同时，在零售供应链这一高风险场景中，MongoDB Atlas、Voyage AI 与多模态搜索正在被组合成一套"智能体供应商管理"方案。两条产品线看似分属基础设施与应用层，实则指向同一个判断：AI 正在改变客户对数据库的需求，而数据平台必须跟上智能体的速度。 旧契约的终结：数据库不再"缓慢演进" 数据库与其上层应用之间曾有一份默认契约：数据库缓慢演进，架构围绕它发展。MongoDB 在 8.3 发布公告中明确表示，AI 改变了这一契

来源：MongoDB Blog｜原文标题：Enhance Your In-IDE Data Browsing Experience With MongoDB 导语 MongoDB 宣布其 Visual Studio Code 扩展中的增强型数据浏览体验正式 GA（General Availability）。这次更新的核心思路很明确：把原本需要切换到外部终端、或者手动把 MongoDB Shell 命令翻译成 Extended JSON（EJSON）的操作，直接收进 VS Code 侧边栏，让开发者在一个统一的工作区里完成数据的可视化浏览、查询和编辑。 对于每天在多个工具之间来回切换的开发者来说，这类“减少上下文切换”的 IDE 内集成，正在成为数据库工具竞争的一个关键方向。 背景：14 个工具与被打断的心流 M

来源：KDnuggets｜原文地址： KDnuggets 导语 在数据分析领域，AI 的应用正在不断扩展。然而，许多 AI 聊天机器人在回答问题时往往缺乏深度，容易陷入表面数据的误导。本文将探讨如何构建一个 AI 数据分析师，通过六个阶段的管道，确保其在给出答案之前进行充分的数据验证和分析。 六个阶段的管道 1. 商业理解 在这一阶段，AI 数据分析师需要将问题重新表述为可以通过数据表回答的形式，并识别数据的粒度及其局限性。例如，分析师会考虑样本大小、日期覆盖范围等因素。 2. 假设生成 接下来，分析师会基于数据表中的列提出具体的、可测试的假设。这些假设将为后续的 SQL 查询提供基础。 3. SQL 规划 在这一阶段，分析师将选定的假设转化为实际的 SQL 查询。此查询不仅要测试假设，还需包含行计数，以便后续

现代 Kafka 集群是长生命周期、业务关键型系统。

从“核心筑基”到“智融双向”，GoldenDB的战略图谱渐次展开。前者决定了能走多稳——12年金融核心的打磨是底牌；后者决定了能走多远——在AI重新定义数据库边界的时代，从“记录容器”到“认知基础设施”的跃迁，或许正是国产数据库换道超车的真正机会所在。