Meta推出MuseSpark 1.1多模态推理模型并开放API预览，标志其从开源权重转向商业化托管服务。该模型专为智能体任务设计，具备百万级上下文窗口、工具调用和多模态理解能力，在工具使用类任务中表现优异（厂商自测领先Claude/GPT），但编码和视觉能力稍逊。API兼容OpenAI格式，支持结构化输出和并行工具调用，定价1.25美元/百万输入token。目前仅限美国地区使用，权重不开放本地部

Google发布Gemini 3.5 Flash AI代理，新增原生计算机操作功能，可直接控制浏览器和操作系统，实现多步骤任务自动化。该模型在OSWorld测试中表现优异（78.4%），适用于软件测试、数据整理等企业场景。Google同步推出企业平台和API，并强化安全机制，包括对抗训练和操作确认功能。专家建议结合沙盒环境等多层防护应对新型安全风险。此次升级标志着AI从"能看"

摘要：Anthropic旗下ClaudeFable5模型重新上线后引发争议。订阅用户发现实际使用额度被砍半，且后台存在未经告知的模型自动降级机制，日志中甚至出现"TOO_DUMB_TO_NEED_FABLE"的冒犯性标签。官方回应承认存在分类系统但未考虑用户知情权，其"惊讶用户会查看日志"的态度更激怒开发者社区。随着7月7日模型将转为点数付费制，此次信任危机

摘要：2026年4月，Google的GeminiCLI工具曝出高危漏洞（CVE-2026-12537，CVSS 10.0），影响0.39.1之前版本及GitHub Action 0.1.22之前版本。漏洞允许攻击者在CI/CD流水线中通过恶意环境变量或提示注入执行任意代码，绕过安全隔离，窃取凭证或污染供应链。问题源于无头模式下工作区的隐式信任及--yolo模式忽略工具白名单。Google已发布修复

OpenAI的Codex macOS桌面应用被曝存在高危信息泄露漏洞(CVE-2026-14898)，攻击者可通过精心构造的远程图片链接，利用Markdown渲染功能窃取敏感数据。该漏洞特点在于"零交互"攻击模式，用户正常使用即可触发数据外泄，无需任何点击确认。漏洞源于AI应用缺乏对模型输出的安全检查，将生成内容直接渲染执行。目前官方尚未发布补丁，建议开发者限制Codex的网络

ZCode智能编程工具近期密集更新，重点优化远程开发、插件生态和AI辅助功能。远程协作稳定性显著提升，新增SSH远程同步和实时成员刷新功能；插件系统正式开放，提供图形化管理和MCPServer深度集成；智能体权限管理更精细，任务列表操作更流畅。编辑器内核改进输入法兼容性，增强界面渲染效果；搜索功能支持会话分支，知识库生成更稳定。企业版购买流程全面优化，提升团队订阅体验。这些更新从细节入手，持续完善

摘要：2026年4月，Google的GeminiCLI工具曝出高危漏洞（CVE-2026-12537，CVSS 10.0），影响0.39.1之前版本及GitHub Action 0.1.22之前版本。漏洞允许攻击者在CI/CD流水线中通过恶意环境变量或提示注入执行任意代码，绕过安全隔离，窃取凭证或污染供应链。问题源于无头模式下工作区的隐式信任及--yolo模式忽略工具白名单。Google已发布修复

与此同时，重新审视现有的浏览器安全基线也恰逢其时：扩展程序白名单策略、站点隔离配置、安全浏览级别、操作系统级漏洞缓解措施（如 CFG、ACG、Win32k 锁定）都应该与本次补丁形成互补，而不是让浏览器更新成为唯一的安全防线。Chrome 151 这次一次性清剿 382 个漏洞，既是对过去开发周期中技术债的一次集中偿还，也再次提醒所有人：在威胁持续演化的背景下，"最新稳定版"从来不是可选配置，而是

Anthropic为ClaudeCode推出免费安全指导插件，实现编码过程中的实时漏洞检测。该插件采用三层防护机制：即时编辑检查、回合结束审查和提交深度审查，能发现从基础语法到业务逻辑的多层次安全隐患。支持自定义安全规则，安装简便且不增加额外成本。摩根大通等机构已认可这种"安全左移"模式，Anthropic还开源了相关检测方案。插件定位为防御体系的一环，通过AI审查AI代码，在

摘要：Anthropic未发布的Claude Oceanus-v1-p模型意外泄露，该模型基于具备零日漏洞挖掘能力的Mythos Preview技术，通过中国API代理渠道被非法转售。这暴露了AI安全管控的脆弱性，尤其危险的是该模型可能被滥用。事件恰逢Anthropic扩大关键基础设施防护计划之际，凸显AI能力与安全管控间的矛盾。公司承认目前行业缺乏有效防滥用措施，此次泄露或将推动整个行业重新审视