给软件开发者准备的优质简报，每日阅读 10分钟。
Microsoft fire idTech team at Id software
微软宣布Xbox史上最大重组，id Software的id Tech引擎团队被裁
- 微软Xbox部门宣布启动其“历史上最重大”的重组，计划在2027财年裁减约3,200个工作岗位，首批约1,600个职位于7月7日被取消。
- 此次重组导致id Software内负责开发id Tech游戏引擎的大部分或全部开发者被解雇。
- id Tech引擎在第一人称射击游戏史上具有里程碑意义，其技术驱动了众多开创性游戏并被广泛用于其他项目。
- Xbox新任CEO阿莎·夏尔马在致全体员工的邮件中确认了此次重组，并宣布除裁员外，还将有四个工作室脱离Xbox管理。
- Apogee创始人斯科特·米勒和id Software资深员工迈克尔·梅纳德等通过社交媒体证实了该裁员消息。
Decoding the obfuscated bash script on a Uniqlo t-shirt
Akamai × 优衣库 “Peace for All” 系列 T 恤背面隐藏可运行的 Bash 复活节彩蛋
- 正面以大括号包裹的心形图案呈现，背面则印有以
#!/bin/bash开头、经 Base64 编码并通过eval执行的 Bash 脚本源码。 - 解码后脚本会在终端无限循环显示 “♥PEACE♥FOR♥ALL” 文本，利用正弦波计算横坐标并在 256 色范围内渐变，实现彩色波动动画。
- 由于 Base64 没有错误校验，作者先后使用 Android 圈选搜索 OCR、Tesseract 调参以及 Claude 辅助，对三套 OCR 结果进行比对、手动校对，才恢复出完整且可直接运行的代码。
- 同系列的另一款 T 恤也印有代码，但其导入语句被截断，结尾出现 “retu” 而非完整的 “return”，导致该版本无法正常执行。
- 起初误以为背面使用 Windows 系统默认的 Consolas 字体，后经 Hacker News 用户指正确认实际为 Roboto Mono；Akamai 在新闻稿中解释，浅棕色致敬早期“米色盒子”服务器，心形象征互联网造福世界，背面的真实代码是对 Linux——“互联网语言”的致敬。
GitLost: We Tricked GitHub's AI Agent into Leaking Private Repos
GitLost：GitHub Agentic Workflows 提示注入漏洞导致私有仓库数据泄露
- 漏洞本质：GitHub Agentic Workflows 的 AI 代理在读取 Issue 时，未在系统指令与不可信用户内容之间建立严格信任边界，导致间接提示注入攻击，该漏洞被命名为 GitLost。
- 攻击门槛极低：攻击者无需任何代码能力、访问权限或凭证，只需在目标组织名下的公开仓库提交一个经过构造的 GitHub Issue，即可触发相关 Agentic Workflow。
- 代理权限与触发条件：目标工作流配置为在 issues.assigned 等事件触发时读取 Issue 标题和正文，并具备读取同组织内其他公开和私有仓库的权限。
- 数据泄露路径：代理按 Issue 中隐藏的指令读取同组织仓库的 README.md（例如 sasinomalabs/testlocal 私有仓库），并将内容以公开评论形式回显，任何人皆可访问。
- 防护绕过：GitHub 原有限制性防护机制被关键词 “Additionally” 突破，该词诱导模型重新组织输出而非拒绝执行，从而使数据泄露成功。
- 缓解建议：绝不将用户可控内容视为代理的指令输入；按最小权限原则配置跨仓库访问；限制代理对外公开发布内容；在传递给模型前对用户输入进行隔离或清洗。
Chatto is now Open Source
Chatto 正式开源：可免费自托管的轻量群聊应用
- 历时一年开发的群聊应用 Chatto 已正式开源，用户可免费自托管；最快通过 Homebrew 安装（
brew install chattocorp/tap/chatto）并执行chatto init和chatto run即可启动，也提供 Linux、macOS、Windows 二进制包。 - 专为自托管设计：单个可执行文件即可运行，自带前端界面，资源占用极低，作者称其拥有同类应用中最流畅的前端体验。
- 重视隐私与数据安全：所有个人和聊天数据使用每用户密钥静态加密，删除账户时密钥立即销毁；无联邦数据、无第三方追踪或分析，每个服务器对应一个独立社区。
- 内置端到端加密的语音/视频通话，支持屏幕共享，可随基础设施扩展至任意规模；客户端可直接同时连接多个服务器。
- Chatto Cloud 即将公测，提供欧洲自有基础设施的付费托管，无广告、无高级订阅等额外商业化设计，具备自动扩展、每日备份和零停机升级，且与自托管版本完全兼容，用户可随时迁入或迁出数据。
- 当前版本为 0.4，作者认为已可用于生产环境；0.5 将聚焦内容举报、审核等安全功能，并优化客户端多服务器体验，预计 6 至 12 个月内发布 1.0.0 正式版。
SWE-1.7 Reach Near GPT 5.5 and Opus Intelligence
SWE-1.7：以更低成本实现前沿软件工程智能
- Cognition 发布其迄今最强模型 SWE-1.7，基于 Kimi K2.7 并在 RL 基础设施、训练稳定性、数据质量和长程任务技术等方面全面改进，以显著更低成本达到前沿智能水平，挑战“后训练天花板”假设；已集成到 Devin（Web、桌面、CLI），通过 Cerebras 以 1000 TPS 提供服务。
- 在三大智能体编码基准上，SWE-1.7 分别取得 FrontierCode 1.1 Main 42.3%、Terminal-Bench 2.1 81.5% 和 SWE-Bench Multilingual 77.8% 的通过率，接近 GPT-5.5 与 Opus 4.8，并显著优于 Kimi K2.7 Code 和 SWE-1.6。
- 通过 top-p 采样保留策略熵、避免熵崩溃，并配合采样分布回放控制训练-推理分布漂移，同时使用 Muon 优化器并消除训练器中的非确定性操作，实现了大规模长程 RL 的稳定训练。
- RL 训练横跨三大洲四个数据中心，推理节点自治并通过云对象存储拉取压缩权重增量，传输体积减少超 99%，万亿参数模型可在 1–2 分钟内完成跨洲更新；推理侧与训练器均具备快速故障恢复机制，硬件故障不会中断整体运行。
- 引入自压缩机制，让模型在接近上下文上限时自行总结工作状态并恢复执行，训练 rollout 最长可达约 6 小时；同时采用交替式长度惩罚，在“无约束”阶段保留对复杂任务的深度思考，在“预算”阶段让已解决任务的输出更简洁。
- 数据质量管线通过大规模验证器 QA 减少误报和漏报、筛选低通过率任务以提供有效学习信号，并设置网络隔离、移除 git 历史、隔离评分路径和作弊零奖励等机制防止奖励作弊；训练后的模型更可信、思维链更凝练，且在修复 bug 前更主动地探索代码库、边界情况和对抗输入。
OpenBSD has a use-after-free allowing local privilege escalation to root
OpenBSD 本地权限提升漏洞 CVE-2026-57589
- OpenBSD 7.9 及更早版本的
sys/kern/sysv_sem.c存在释放后使用（Use-After-Free）漏洞，根因是sys_semget()中tsleep之后发生上下文切换。 - 该漏洞允许本地攻击者将权限提升至 root，MITRE 将其归类为 CWE-416（Use After Free）。
- MITRE 给出的 CVSS 3.1 基础评分为 7.4（高危），向量字符串为
CVSS:3.1/AV:L/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H；NVD 自身尚未发布评分。 - NVD 记录当前状态为“Awaiting Enrichment”（等待充实），发布于 2026-06-24，最后修改于 2026-06-26。
- 参考链接包含一个 OpenBSD 源代码提交（GitHub commit）和一个 OpenAI “Patch the Planet” 页面。
- CISA-ADP 的 SSVC 评估结果为：无已知利用（exploitation: none）、不可自动化利用（automatable: no）、技术影响为完全（technical impact: total）。
Mistral's Robostral Navigate: a state of the art robotics navigation model
Mistral AI推出单摄像头 8 B 机器人自主导航模型 Robostral Navigate
- 8 B 参数模型仅使用普通 RGB 摄像头（无深度、LiDAR），在 R2R‑CE 基准上实现 79.4%（已见）和 76.6%（未见）成功率，分别领先最佳单摄像头方案 9.7 分、领先最佳多传感器方案 4.5 分，创下当前最先进水平。
- 训练全程在仿真环境完成，构建约 40 万条轨迹、覆盖 6 千个场景的数据集；采用前缀缓存的树形注意力掩码，将训练代价降低 22 倍，使原本需数月的训练缩短至数天。
- 导航核心采用“指向”策略：模型在当前视野中预测目标像素坐标及到达后的朝向，天然对相机内参和世界尺度保持鲁棒；若目标不在视野内，则回退到局部位移指令（如前进 2 m、左转 25°）。
- 在监督学习后加入在线强化学习算法 CISPO，提升成功率 3.2%，显著增强对未见障碍的恢复与探索能力，且模型能够在轮式、足式及飞行机器人上通用，适配不同相机参数。
- 该技术支持办公室、住宅、商业楼宇及户外等复杂环境的自主巡航，已可用于制造、物流、配送、酒店等场景，是 Mistral 向统一具身智能体迈出的关键一步。
Cloudflare Drop
Cloudflare Drop：拖放文件即可即时发布静态网站
- 页面标题为 Cloudflare Drop，主打功能是“Drop files”。
- 支持直接拖放文件夹或 ZIP 压缩包。
- 适用于 HTML、CSS、JS 网站文件，并可立即在线预览。
- 页面提供 “Browse folders” 和 “Browse zips” 两种选择入口。
- 页脚标注版权信息 © 2026 Cloudflare, Inc.，并包含服务条款、隐私政策和商标链接。