2026-07-07

来自 General Intuition、Kyutai 和 Epic Games 的研究人员发布了 MIRA，这是一个具有 50 亿参数的交互式世界模型，在 1 万小时的合成《火箭联盟》数据上训练，能够在单个 B200 GPU 上以 20 FPS 支持 4 人实时游戏。 MIRA 展示了大规模世界模型在多玩家、物理复杂环境中的可行性，通过提供可玩演示和开源工具，可能加速游戏 AI、模拟和强化学习的研究。 该模型使用潜在扩散架构，根据所有四名玩家的动作生成视频帧，团队还发布了 1000 小时的四人游戏数据集、技术报告和可玩的在线演示。

研究人员公开了 Januscape（CVE-2026-53359），这是 KVM shadow MMU 中的一个 use-after-free 漏洞，允许客户虚拟机在 Intel 和 AMD 平台上逃逸到宿主机。该漏洞在 Linux 内核中存在约 16 年，从 2010 年持续到 2026 年 6 月。 这是首个已知的同时适用于 Intel VMX 和 AMD SVM 的客户机到宿主机逃逸漏洞，对使用 KVM 的多租户云环境构成严重威胁。该漏洞曾被用作 Google kvmCTF 的 0-day 攻击，可能破坏云服务商的隔离边界。 漏洞位于 Intel 和 AMD x86 KVM 实现共享的 shadow MMU 代码中的 kvmmmugetchildsp() 函数。已发布 PoC 代码可在客户机内触发宿主机内核 panic，在 RHEL 等发行版中，本地普通用户还可利用该缺陷提权至 root。

中国商务部正在考虑限制最先进国产 AI 模型的海外访问，包括尚未发布的模型，并已与阿里巴巴、字节跳动和智谱等公司开会讨论。 这项政策可能通过限制技术转移来重塑全球 AI 竞争格局，并可能引发其他国家的对等措施。 限制范围仍在商讨中，可能仅适用于未来发布的新模型；尚不确定这些规则是否会最终落地。

Kokoro 是一个开源文本转语音模型（8200 万参数），可在 CPU 上高效运行，包括 Apple Silicon，无需专用 GPU。 这填补了没有强大 GPU 的用户的空白，使得在日常计算机上实现高质量文本转语音成为可能，适用于无障碍、阅读和自动化工作流。 Kokoro 支持手动 IPA 发音指南，并带有命令行工具；它生成的语音自然，但在单个词或同形异义词上可能表现不佳。

StreetComplete 是一款免费开源的安卓应用，它将贡献 OpenStreetMap 变成简单的游戏化任务，例如回答营业时间或人行横道等问题。 通过降低入门门槛，StreetComplete 使普通用户也能为 OpenStreetMap 贡献高质量数据，无需技术专业知识即可帮助保持地图的准确和完整。 StreetComplete 专为移动使用设计，提示用户附近可快速完成的任务，无需事先了解 OpenStreetMap 的标签系统。

欧盟正在推进聊天控制 1.0 和 2.0 提案，要求消息平台扫描所有私人消息和上传内容以查找儿童性虐待材料，这可能削弱端到端加密。 这些提案代表了向大规模监控的重大转变，威胁到所有欧盟公民数字通信的隐私和安全。如果通过，可能开创削弱加密的全球先例，并赋予政府更广泛的监控能力。 聊天控制依赖于客户端扫描，即在加密前检查用户设备上的内容，绕过端到端保护。这些提案因误报等技术风险以及当局可能超出儿童保护目的滥用而受到批评。

自 2024 年 7 月起，欧盟《一般安全法规 2019/2144》要求所有在欧盟销售的新车型必须配备驾驶员监控系统（DMS），该系统通过摄像头检测分心和疲劳驾驶。 该法规旨在减少因驾驶员注意力不集中引发的事故，但也引发了驾驶员和消费者权益倡导者对隐私和可用性的重大担忧。 DMS 必须纳入车辆型式认证流程，且不能被永久禁用。该系统通常使用红外摄像头追踪眼球和头部运动，在检测到分心时发出警报。

微软解雇了 id Software 旗下整个 idTech 引擎团队，这可能意味着公司将战略性地放弃自研的 idTech 引擎，转而使用 Unreal Engine 5。 此举可能加速游戏引擎领域的垄断，减少引擎多样性，并可能损害 id Software 游戏的独特技术特色。 此次裁员影响负责 idTech（驱动《毁灭战士：黑暗纪元》等游戏的专有引擎）的团队，并且是微软更广泛游戏裁员的一部分；官方尚未确认是否转向 Unreal Engine 5。

欧洲议会出人意料地在二读阶段重新提出备受争议的《聊天控制法》，并在第一轮程序投票中通过，为支持者提供了战术优势。 该法律将强制对私人信息进行大规模监控，威胁端到端加密和数字隐私。其推进可能为欧盟广泛监控树立危险先例。 在二读中，修正或否决需要绝对多数（361 票），而法律本身只需出席议员的简单多数即可通过。许多议员已因暑假离场，使得否决变得更加困难。

Hugo Landau 的一篇博客文章认为，在实际中，98%的成功率往往不够，他通过清理松针的比喻说明，即使留下很小的残余也会使努力无法接受。 这篇文章挑战了普遍认为高百分比就够了的假设，强调上下文在很大程度上决定可接受的门槛，这对软件可靠性、质量保证和风险评估至关重要。 作者以清理 99%的松针为例，虽然在数字上令人印象深刻，但剩余的 1%在视觉上仍然明显且无法接受。文章还指出，百分比在极端值附近可能具有误导性，从 98%到 99%的变化将使失败率减半。

Astro 7.0 已发布，引入了基于 Rust 的新编译器和 Markdown 处理管线，依赖项从 247 个减少到 190 个，并结合 Vite 8 和 Rolldown 打包工具使构建性能提升 15-61%。 此次发布标志着在减少 JavaScript 生态臃肿和提升静态网站构建性能方面迈出了重要一步。使用 Astro 构建内容驱动型网站的开发者将受益于更快的编译速度和更低的维护成本。 Astro 7.0 还稳定了路由缓存功能，并为 Netlify、Vercel 和 Cloudflare 添加了实验性 CDN 缓存提供程序。Rust 编译器由社区成员 Princesseuh 贡献。

sqlite-utils 4.0 于 2026 年 7 月 7 日发布，新增三大特性：数据库模式迁移、通过新的 db.atomic() 方法实现的嵌套事务，以及对复合外键的支持。 此版本显著增强了 sqlite-utils 作为 SQLite 数据库管理工具的能力，满足了模式版本控制和事务安全性的常见需求。使用 Python 进行数据管理的开发者将受益于更简便的迁移工作流和更健壮的事务处理。 迁移通过 Python 文件中的 Migrations 类和 table.transform() 方法定义，该方法实现了 SQLite 推荐的临时表模式。嵌套事务底层使用 SQLite 保存点，复合外键则支持引用多个列。

William Woodruff 发表博客文章指出，PyPI 的可信发布不应被理解为软件包可信或质量的信号，而仅仅是一种身份验证方式。 这澄清了开发者中一个常见误解，否则可能导致对可信发布的过度依赖，影响软件供应链安全决策。 Woodruff 强调，可信发布使用 OpenID Connect（OIDC）在 CI/CD 工作流与 PyPI 之间建立身份，且 PyPI 故意避免将其显示为绿色勾选标记。

Puranjay Mohan 在 LSFMM+BPF 2026 上介绍了改进 RCU 性能的工作，允许普通 RCU 回调在快速宽限期结束后执行，同时讨论了新的 kmallocnolock() 函数，该函数支持从任何内核上下文进行无锁内存分配。 这些开发通过减少内存分配延迟和加速 RCU 宽限期完成，显著提高了内核的可扩展性，使内存压力下的高性能工作负载受益。 RCU 改进涉及跟踪非快速和快速宽限期编号，以便在任一完成后允许回调运行；而 kmallocnolock() 则实现了无需持有锁的无锁分配。

Mozilla CTO Raffi Krikorian 宣布将于 2026 年 7 月 14 日举办 AMA，讨论首份《开源 AI 现状报告》，内容涵盖“免费”模型的隐藏成本、企业采用情况、中国效应、开发者信任以及代理套件（agentic harness）。 此次 AMA 讨论生产环境中开源 AI 的关键且常被误解的方面，可为开发者和企业在 AI 生态中应对真实成本、信任和战略杠杆提供指导。 该报告及 AMA 聚焦五大主题：“免费”模型的隐藏成本、企业采用中的现实与营销差异、中国模型如何重塑杠杆、基于 950 多名开发者调查的信任度，以及为何“代理套件”（agentic harness）层成为开源的新战场。

谷歌在搜索服务历史记录中新增了“保存媒体”设置，该设置会保存来自 Google Lens、Search Live、语音搜索和翻译口语练习等功能的媒体，并将其用于改进谷歌服务和 AI 模型。 这项政策变化影响了使用这些功能的数百万用户，引发了关于媒体数据如何用于 AI 训练的隐私担忧。它也凸显了在 AI 数据收集日益增多的时代，选择退出机制的重要性。 该设置是谷歌账号“搜索服务历史记录”的一部分，用户可以通过关闭“保存媒体”来选择退出。媒体包括来自 Google Lens、Search Live、语音搜索和翻译口语练习的图片、文件、音频和视频。

一项对 60 家中国企业高管的调查显示，企业正在减少对英伟达 AI 加速器的采购，计划在未来 12 个月内将国产 AI 芯片的预算占比从目前的 30%提升至 46%。 这一转变标志着全球 AI 硬件供应链的重大调整，受中国数据中心投资计划和地缘政治紧张局势的推动，可能显著影响英伟达的收入，并加速海光信息、寒武纪等国产芯片厂商的发展。 中国计划未来五年在数据中心领域投资约 2 万亿元人民币（合 2750 亿美元），其中至少 80%的核心技术将由国内企业提供，腾讯、阿里巴巴、华为、海光信息和寒武纪等公司有望受益。

new-api 项目发布两个提交，增加边界检查和饱和运算，防止配额计算中的整数溢出，该溢出可能导致负数扣费。 此修复解决了一个严重的计费漏洞，用户可能通过触发负数扣费来非法获取积分，影响所有使用 new-api 进行计量或计费的部署。这凸显了在财务逻辑中进行严格输入验证的重要性。 该漏洞源于配额计算中对用户可控参数缺少验证；超大数值导致整数溢出后，扣费变为负数。修复引入了上限验证和饱和运算，将结果钳制在最大可表示值，而不是回绕。

台积电亚利桑那州 Fab 21 已开始采用定制 4NP 制程量产英伟达 Blackwell 晶圆，但这些晶圆仍需运往台湾进行 CoWoS-L 先进封装。 这凸显了美国半导体供应链的关键缺口：尽管已能本土制造先进逻辑芯片，但美国仍缺乏大规模先进封装和高带宽存储器（HBM）生产能力，导致持续依赖台湾设施，完整的供应链自主最早要到 2028-2029 年才能实现。 4NP 是为英伟达定制的 4nm 级工艺节点，而 CoWoS-L 结合了基板上晶圆上芯片（CoWoS）技术与 RDL 中介层和局部硅互连（LSI）。Amkor、台积电和 SK 海力士正在美国建设封装和 HBM 产能，但这些设施尚未投产。

中国 AI 公司 DeepSeek 已开始自主研发专注于推理的 AI 芯片，旨在减少对英伟达和华为芯片的依赖。该项目启动约一年，目前仍处于早期阶段，DeepSeek 正在积极招募芯片设计工程师，并与代工厂和存储公司接洽。 此举可能重塑中国的 AI 硬件格局，并降低 DeepSeek 对美国出口管制的脆弱性——目前的管制限制了先进英伟达芯片的获取。如果成功，还可能加剧与华为昇腾系列及其他国产芯片制造商的竞争。 该芯片专门面向推理阶段（即训练好的模型生成回答的环节），而非训练。DeepSeek 此前依赖英伟达 H800 和华为昇腾芯片，创始人梁文锋在 2024 年一次罕见采访中承认，芯片管制是公司面临的挑战。

加利福尼亚州和纽约州正在推进立法，要求州内销售的 3D 打印机必须内置能检测并拦截枪支蓝图的软件；纽约州已于 5 月底签署相关法律，加州的 AB 2047 法案已在众议院通过。 这项立法是对开源 3D 打印生态和 DIY 文化的重大干预，引发了对数字权利、审查制度以及可能被滥用于知识产权执法等超出枪支管控范围的担忧。 纽约州的法律还适用于 CNC 机床；加州 AB 2047 法案拟从 2029 年 3 月起禁止销售未获认证的打印机，违规罚款最高 2.5 万美元；批评者警告该技术可能误拦日常物品，并要求云端扫描用户文件。