安全专家建议：软件包只装发布超 24 小时的，系统更新则立即打
altryne · x · 2026-10-23
在 LiteLLM 供应链投毒风波之后，altryne 与安全专家 theJoshMeister 讨论了软件更新的边界划在哪：
- 对包管理器（npm、pip 等）：设置拦截器，只安装发布超过 24 小时的包，避开刚投毒的版本
- 对浏览器、操作系统和手机：看到更新提示就立刻安装，因为这些更新渠道有签名验证，延迟反而增加风险
两种场景的策略相反，核心是区分「新发布无审核的包」与「有签名的官方更新通道」。
「编程与Agent」频道最新
- 微软研究院与卡内基梅隆将在纽约办 AI Agent 评估与治理研讨会 — nouhadziri · 2026-10-23
- 清华 THU-KEG 发布 RIDAR：自动检测并干预科研智能体造假行为 — THU-KEG · 2026-10-23
- 一个尾点破防 Copilot:VS 与 SSMS 修复 RCE 漏洞 CVE-2026-103572 — wunderwuzzi23 · 2026-10-23
- 开发者用 OpenAI Realtime API 语音控制机械臂：仿真实训技能+视觉定位玩井字棋 — Tarun122 · 2026-10-23
- 同一份 LoRA 微调 Qwen3.5 全系：9B 反超 27B，收益几乎全靠学会说「无关系」 — spilldahill · 2026-10-23
- 200 个并发 LLM agent 跑在 1GB 内存、$6/月的 VM 上：瓶颈是自家的保存锁 — swarmagent · 2026-10-23