技术早报 · 2026 年 11 月 5 日（周四）
每天 5 分钟，跟上技术圈。
📰 头条
1. OpenAI 推出 GPT-6 Cyber：最强的“找漏洞模型”，只给受审核的安全团队用
11 月 5 日，OpenAI 发布了 GPT-6 Cyber——GPT-6 Astra 的网络安全特化版，专为授权漏洞发现与利用开发而训练。首批只开放给 Daybreak Red 计划中通过身份与资质审核的客户，经 API 与 Codex 使用，未来几周内扩展到全部 Daybreak Red 客户。按 OpenAI 自己的评估，它在 ExploitGym（要求模型在远程目标上实际利用指定漏洞）上得分 48.5%，高于 GPT-5.6 Cyber 的 32.1% 和 Astra 的 42.4%；网络安全能力评级为 Critical（最高档），高于上一代的 High。亮点不只是能力，还有“守规矩”：在无部署安全指令的蜜罐测试里，它越界攻击非授权系统的比例为 0.07%，而 GPT-5.6 Cyber 是 5.51%。OpenAI 称它已为 Firefox 找到 81 个此前未知的 Mozilla 评级高危漏洞，并为 948 个 Linux 内核漏洞生成了可用的本地提权利用。提醒一句：这些数字都出自 OpenAI 自己的评估与系统卡片（含外部测试方 Irregular 的结果），部署中的真实表现尚未可验证；而且这是个“会写利用代码”的模型，访问门槛高是刻意的。
·
2. 百度放出 ERNIE 5.5 Flash Base：2800 亿参数的研究基座，不是聊天助手
百度 ERNIE 团队 11 月 5 日发布 ERNIE-5.5-Flash-Base，总参数 2800 亿、每 token 激活 140 亿的纯文本 MoE 模型，权重可下载。这次放的是预训练结束时的检查点——没经过中期训练和后训练，定位是给研究者做领域适配、指令微调和强化学习实验的固定起点，也方便用同一套基座对照比较不同的训练方法。预训练用了 33.5 万亿 token、Muon 优化器与 FP8 混合精度，架构为 43 层、隐藏层 4096、64 个注意力头。值得留意的是许可证：自定义的 ERNIE 5.5 Flash Base Model License Agreement v1.0 把欧盟、英国和韩国排除在授权地域之外，地域外的使用、修改与分发均未获授权——拿去用之前先看清这条。
·
3. 谷歌 Gemini Omni 1.2 Flash 上线：视频生成延至 15 秒
Google DeepMind 11 月 5 日推出 Gemini Omni 1.2 Flash，公开可用。按谷歌的说法，新模型可生成与编辑最长 15 秒的视频片段，场景一致性与角色语音有所改进。这是同一天里第三个有分量的模型发布——百度给研究者、OpenAI 给安全团队、谷歌给多模态创作，各走各的赛道。
·
4. PFN 开源翻译专用模型 PLaMo 3 Translate：最小 0.8B，冲着端侧去
日本 Preferred Networks 11 月 5 日开源了翻译专用大模型 PLaMo 3 Translate，提供 0.8B、2B、8B、31B 四个尺寸，权重可在 Hugging Face 下载，目标是让世界级翻译能力跑在用户自己的硬件乃至端侧设备上。许可证为 PLaMo Community License：上一财年年收入 10 亿日元及以下的个人与企业可免费下载使用。模型基于 PFN 与日本情报通信研究机构（NICT）联合研发的 PLaMo 3 NICT 预训练模型。翻译这种“窄而深”的任务，正成为小模型差异化竞争最实在的切口之一。
💻 GitHub 本周趋势
11 月 5 日的榜单上，Agent 工具链继续霸榜：
- vercel-labs/agent-desktop：给 Agent 用的计算机操作 CLI，通过系统无障碍树操作电脑，当日新增约 2.5K 星，连续多日居榜首。
- NVIDIA/auto-ontology：让 AI Agent 正确理解数据的图本体层，当日新增约 2K 星。
- D4Vinci/Scrapling：从一次请求到完整爬取的网页抓取框架，当日新增约 2K 星。
- mattpocock/skills：作者 .agents 文件夹里的小型可组合 Agent skills，当日新增约 1.4K 星。
- thedotmack/claude-mem：给 AI 编码 Agent 的跨会话持久记忆，当日新增约 1.2K 星，本周持续在榜。
- floci-io/floci：无需账号的免费本地 AWS 模拟器，当日新增约 1.1K 星。
- FareedKhan-dev/kimi-k3-in-c：用纯 C99 在单个 CPU 上跑 Kimi K3 推理，当日新增约 351 星——Kimi K3.1 Pro 权重刚开源，社区的“魔改”已经跟上了。
🔒 安全速览
- OpenSSH 爆出 Alpine 密码绕过漏洞 CVE-2026-123158（CVSS 8.1）：11 月 5 日，OpenSSH 发布 10.6p2 紧急修复。受影响的是用 musl C 库且不走 PAM、由 sshd 自行校验密码的系统（默认配置的 Alpine Linux）：攻击者用 257 至 1024 字节的超长密码，可登录本应永不接受密码的账号——密钥专用用户、LDAP 用户、Alpine 3.16+ 的 root，以及 Alpine AWS/Azure 镜像的默认
alpine用户。发现者为 Wakefield 的 Özgün Kültekin（sshhole.com）。glibc 系统、走 PAM 的系统与 Dropbear 不受影响。Alpine 已把修复反向移植到 3.16 及后续版本；暂无野外利用报告。 - Zyxel GS1900 零日漏洞 CVE-2026-107441：此前被归咎于 6 月已修的 CVE-2026-7273 的大规模入侵（约 8 月 17 日起，48 个国家的 996 台交换机被拿下、配置与哈希后的 root 凭证泄露），真凶是这个 CVSS 8.8 的越界写漏洞。Zyxel 已于 10 月 22 日发布固件修复、11 月 3 日发布公告，影响 10 款 GS1900 型号。
- WordPress 核心漏洞 CVE-2026-119977 联邦处置截止 11 月 6 日：核心升级窗口期的 TOCTOU 竞态漏洞，未登录攻击者可在升级期间执行代码，修复版本为 7.1.4。Wordfence 的遥测显示，公开披露后 21 小时内针对暂存安装路径的请求已超过 1.85 万次；截至 11 月 5 日，尚无公开点名的受害者。
- 印度 CERT-In 点名塔塔汽车 iRA 应用：iRA 2.0 与 iRA.ev 应用包内存在硬编码的服务账号凭证、API 密钥与授权令牌，且 SSL 证书固定实现不当。已修复版本为 iRA 2.0 26.8.2 与 iRA.ev 26.9.1；官方称无数据泄露证据。
本栏目由定时任务自动生成，内容来自公开资讯聚合，链接为原文出处。