最新文章

2026 年 5 月 13 日，安全研究机构 depthfirst 与 F5 联合披露了 NGINX 中一个编号为 CVE-2026-42945 的严重漏洞，CVSS v4.0 评分达 9.2。该漏洞属于堆缓冲区溢出类型，存在于 ngx_http_rewrite_module 模块中，最早可追溯至 2008 年引入的代码逻辑，在代码库中潜伏长达 18 年。Depthfirst 将该漏洞命名为 "NGINX Rift"。

该漏洞的根源在于 NGINX rewrite 指令的脚本引擎两遍执行流程中的状态不一致。rewrite 引擎在处理替换字符串时，分两遍执行：第一遍用于计

济南市历城区法院 5 月 13 日就小米 SU7 Ultra"挖孔机盖"纠纷作出一审判决，认定小米宣传有夸大成分、违背诚信，但不构成欺诈或根本违约，应承担缔约过失责任。

小米 SU7 Ultra 上市时，官方宣传中展示了"挖孔机盖"设计（引擎盖上的通风孔），部分消费者在下定后发现实际交付车辆与此前的宣传存在差异，认为小米存在虚假宣传。

• 购车协议解除：法院判令购车协议于 2025 年 7 月 4 日解除
• 退还定金：济南小米景明汽车科技有限公司于判决生效后 10 日内向原告支付 2 万元，小米景明科技有限公司承担连带清偿责任

小米正式发布 Xiaomi OneVL：一步式潜空间语言视觉推理框架，首次在自动驾驶领域将 VLA、世界模型与潜空间推理统一到同一套框架内。模型权重、训练与推理代码已全面开源。

今年 3 月小米发布了 XLA 认知大模型架构，从"感知与模仿"迈向"理解与推理"。但一个核心问题随之浮现：大模型具备推理能力后，如何让推理既快又准？

行业过往方案有明显缺陷：

• 显式思维链（CoT） 能显著提升轨迹规划质量，但逐 token 生成带来的时延对实时驾驶决策构成挑战
• 跳过推理直接输出答案 则丢失关键的因果判断能力

此前行业提出的**潜

2026 年发表在《Nature Communications》的一项研究，把目光投向了肠道微生物-肠-脑轴，试图回答：长期喝咖啡，是否会改变肠道微生物，并进一步影响情绪和认知？

研究人员招募了 62 名健康成年人，分为不喝咖啡者和长期适量喝咖啡者。对喝咖啡者进行"停喝 2 周-再喝 3 周"的实验，其中一半喝含咖啡因咖啡，一半喝脱咖啡因咖啡。研究团队同时检测了肠道菌群、粪便和尿液代谢物，以及情绪、冲动性和记忆等心理指标。

肠道菌群差异：长期喝咖啡的人肠道中某些特定菌种（如 Cryptobacterium 和 Eggerthella）更多，而一些

腾讯元宝宣布支持总结微信聊天记录。用户可以在微信中选中需要处理的聊天记录，点击"转发到其他应用"，在列表中选择元宝 App，将内容一键复制并粘贴至元宝对话框，即可获得智能总结、分析等服务。

工作场景：面对项目群每天大量的文字讨论，用户可将群聊内容交给元宝处理，快速生成讨论纪要、提炼待办事项、梳理关键决策，甚至根据讨论内容直接生成对应方案。

学习场景：对课程群、学习小组的讨论进行总结归纳，提炼知识点。

生活场景：整理旅行规划、活动安排等碎片化聊天信息。

此前元宝已支持对微信内文件、公众号文章进行智能总结和分析，帮助用户快速掌握文

Google 正携手宏碁、华硕、戴尔、惠普、联想五大 PC 厂商，计划于今年秋季推出全新的 Googlebook 笔记本电脑，正式取代沿用十余年的 Chromebook 品牌。

新机型配备 RGB 灯条设计，Google 将其命名为 Glowbar，成为 Googlebook 的标志性视觉语言，类似于 MacBook 上的 Touch Bar 概念，但以灯效方式呈现。

Googlebook 的核心竞争力在于与 Gemini AI 的深度整合：

• Magic Pointer：AI 能根据屏幕内

在热带雨林中，常能看到不同种类的蝴蝶和飞蛾长着几乎一模一样的翅膀花纹。它们并不是亲戚，却"撞脸"得惊人。这种现象被称为"拟态"（Mimicry），能帮助它们误导捕食者、提高生存率。

但一个长期困扰进化生物学的问题是：这些外形高度相似的物种，是否通过完全不同的遗传路径，偶然走到了同一个结果？

2026年发表于《PLOS Biology》的一项研究，对此给出了罕见而系统的回答

2026 年 5 月 11 日 19:20–19:26 UTC，攻击者向 42 个 @tanstack/* npm 包发布 84 个恶意版本。攻击链组合利用了 GitHub Actions 的三个机制——pull_request_target Pwn Request、Actions 缓存投毒、以及从 runner 内存提取 OIDC token——在不窃取任何 npm token 的情况下完成了伪装发布。

![TanStack npm 供应链攻击](https://linlog.top/api/uploads/2026/05/1778570338201742836-6f33510d0

微信正在灰度测试状态访客记录功能，覆盖部分更新至 iOS 8.0.73 及以上版本的活跃用户。该功能允许用户查看自己状态的浏览人数，如果浏览者当前也设置了状态，则可以看到对方头像。

根据腾讯客服的回应，该功能的具体规则如下：

• 用户可在状态有效期内，点击右下角查看浏览人数
• 浏览者如果当前也设置了状态，头像可见，轻点头像可查看对方状态
• 未设置状态的浏览者只计入人数，不显示

一个名为 Open-OSS/privacy-filter 的恶意 Hugging Face 仓库冒充 OpenAI 开源的 Privacy Filter 模型，通过加载器脚本传播用 Rust 编写的信息窃取程序。该仓库一度登上 Hugging Face 趋势榜第一，累计下载约 24.4 万次，目前已被平台禁用。

OpenAI 于 2026 年 4 月开源了 Privacy Filter 模型，用于检测和脱敏非结构化文本中的个人隐私信息（PII）。攻击者迅速创建了 Open-OSS/privacy-filter 仓库，将官方模型描述几乎原封不动地复制过来，但在仓库中植入了恶意