#open source

DuckDB 2.0.0 LTS（代号“Cinnamon Teal”）已发布。发布信息称，该版本带来多核性能提升、客户端-服务器使用方式和触发器能力。社区用户 RobinL 报告，在 EC2 高核心数实例上，2.0 不仅从 S3 读取更快，计算也更快；CPU 利用率可接近 100%，直到约 128–192 vCPU，而此前扩展性大约在 64 vCPU 见顶。这些是用户实测经验，不是官方基准；另有用户指出，可通过 Postgres 线协议或 Arrow Flight 接入现有工具，但 DuckDB 自有的 Quack 协议客户端支持仍然有限。

Python 3.15 已正式发布（python.org 提供下载），其 What&\x27;s new 指南由 3.14 和 3.15 发布经理 Hugo van Kemenade 整理。最受关注的新特性是 PEP 810 显式惰性导入，允许用 \lazy import json\ 或 \lazy from pathlib import Path\ 将实际导入推迟到首次使用，Simon Willison 称这直接解决了 LLM CLI 插件因加载 \sentence\transformers\ 等重依赖而给每次 \llm\ 命令增加数秒启动开销的问题。此外，PEP 798 为列表、集合和字典推导式加入 \\[\L for L in lists\]\ 等解包语法，标准库新增采样分析器 \profiling.sampling\（代号 Tachyon），原有的 \cProfile\ 追踪分析器更名为 \profiling.tracing\。随着 Python 3.10 结束支持，Simon 表示他将不再兼容 3.10，转而采用 3.11 的特性；Miguel Grinberg 对 3.15.0rc3 的独立测试显示，3.15 整体性能与 3.14 大致相同，但实验性 JIT 在斐波那契测试中带来 1.2 倍加速，这是他首次观察到 JIT 的显著提升。

腾讯发布开放权重基础模型 Hy4，并同时开源两个科学领域基础模型：用于单细胞表征的 HyCell 和用于物理场建模的 HyPDE，二者由 Hy4 与 Hyra 2.0 共同开发。Hy4 针对游戏开发做了专门适配，覆盖 Unreal Engine、Unity 和 Godot，并扩展到多人游戏开发；其训练数据与评测由腾讯互动娱乐事业群（IEG）的专业开发者参与构建。腾讯在发布材料中承认，Hy4 虽是当前较强的开放权重模型之一，但在研究级数学、长周期编程、模型自我改进和高级视觉问答等内部基准上，与顶级闭源模型仍有明显差距，并表示将继续扩大预训练与后训练规模。

RunAnywhere 开源了一套面向 AWS Trainium2 的推理引擎，可在单台 trn2.48xlarge 上服务 320B MoE、1M token 上下文的 GLM-5.3-Flash，并把每个层的一半计算改写为单个 NKI 巨型内核（稀疏注意力层则整层一个）。作者称，同一布局下 batch 8 解码步从 10 月 17 日构建的 32.2 ms 降至 11 月 1 日构建的 24.2 ms；融合稀疏注意力层省 3.2 ms，KDA 与 MoE 内核合计再省 3.2 ms，而 24.2 ms 中仍有 6.1 ms 内存下限、10.0 ms 超出下限的引擎忙碌和 2.8 ms 暴露的集合通信。在作者自跑的 SemiAnalysis AgentX 上，单机最高 28.9 个 agent 请求/分钟，16 个 agent 时中位解码 35.9 tokens/s；但作者明确说没有 AWS 原生基线、没有 GPU 同轨迹对比，也未做任务级评测。精度方面，稀疏注意力 prefill 的一处近似影响 1.2% 的选择，相对精确重跑使下一 token 对数概率平均偏移 0.012–0.021 nats，并在 448 个位置中的 3 个改变了最高概率 token。

Node.js 项目为 26.x、24.x 和 22.x 分支发布安全更新，共修复 10 个漏洞，最高严重级别为高危（High）。其中，Brotli 解码器越界写入（CVE-2026-111497）被描述为可导致远程代码执行；另一个已报告的问题是 TLS 非规范 IP 地址处理（CVE-2026-106069、CVE-2026-106072）。此次更新还修复了 DNS 解析空字节验证（CVE-2026-105482）、TLS IP 规范化回归（CVE-2026-105483），以及 HTTP 代理、加密快照、zlib 和权限等中低严重性问题。项目建议使用最新版本，并指出已终止支持（EOL）的版本同样受这些漏洞影响。

Google 已开源 TorchTPU，这是一个面向 TPU 的原生 PyTorch 后端，旨在简化开发者在 TPU 硬件上使用 PyTorch 的流程。项目托管在 google-pytorch 的 GitHub 组织下。公开信息目前没有说明它支持哪些 PyTorch 版本、性能表现如何，以及是否达到生产可用，因此尚无法判断它相对现有 XLA 路径的成熟度。

Linux 7.3 于 2026 年 10 月 18 日发布，开发周期首次超过 20,000 次提交，其中 18,765 个为非合并提交；这些提交新增近 92 万行、删除逾 27 万行，净增约 65 万行。共有 3,021 名开发者参与，超过 7.2 周期刚创下的 2,652 人纪录，LWN 称本轮周期受到 LLM 辅助贡献的强劲推动。9,545 个提交（50.9%）带有 Reviewed-by 标签、1,399 个（7.5%）带有 Tested-by 标签，评审标签占比在连续几个周期下降后回升。7.3 预计成为下一个长期支持（LTS）内核，LWN 同时尝试评估自动化补丁评审是否减少了引入的缺陷。

Libghostty 1.0 已发布，这是 Ghostty 将其终端模拟能力打包为可嵌入库后的首个稳定版本，面向希望在自己的应用中复用终端模拟功能的开发者。给定材料确认了版本号和库的定位，但没有说明具体平台支持、API 兼容范围或分发方式。

淘宝 MNN 团队开源了约 3 亿参数的端侧模型 MNN-Pocket-0.3B，目标是让手机完全离线运行小型语言模型。团队称该模型在 iPhone 18 Pro 上平均解码约 350 token/s，INT4 部署文件为 173 MB，但上述性能尚未见到独立验证。MNN-Pocket-0.3B 最终采用 28 层结构，词表从 151K 精简至 64K，官方目标为峰值内存低于 300 MB、解码超过 200 token/s，并按预训练、后训练和端侧部署分别开源多个版本。

Python 指导委员会此前要求 JIT 维护者在六个月内提交并获批一份标准跟踪 PEP，明确维护承诺、兼容性和成功指标，否则就须从 CPython 主线移除该 JIT。维护者随后提出 PEP 836，但在数月讨论后将其撤回。这个 JIT 于 2024 年为 CPython 3.13 加入，属于实验性功能；随着 PEP 撤回，这项主线 JIT 开发实际上已告终止，代码也预计将从主线移除。

GNU Taler is preparing for operation in Germany, drawing community debate over privacy, offline expiration, and regulatory constraints.

KeePassXC 2.8.0 已发布，核心变化包括从 Qt5 迁移到 Qt6、在 Linux 上支持 Wayland Auto-Type，以及可配置键盘快捷键。该版本还加入通过外部工具进行远程数据库同步、macOS 上的密码快速解锁和 Linux 上基于 Polkit 的快速解锁。它同时是项目首次提供 Windows 原生 ARM64 构建，并附带实验性的 Linux AArch64 AppImage；官方公告称新版本还包含多项安全更新，完整列表见更新日志。

米哈游崩坏 AI 团队与清华大学等合作者发布并开源 GameScaling：一套基于 Qwen3.5 视觉语言模型继续预训练的游戏键鼠操作模型，参数规模覆盖 0.8B 至 27B，每次预测未来 200 毫秒的键盘和鼠标动作。团队以 Apache-2.0 开放八个检查点和推理客户端，但未包含训练代码。论文称，用 120 组训练配置发现，数据量增加会提升同源游戏表现，数据多样性有助于迁移到相近游戏，但对差异较大的游戏提升有限。

DeepSeek 在 GitHub 上发布了名为 DeepInfer 的仓库，并将其定位为面向 DeepSeek 模型的高性能推理框架，该仓库在 Hacker News 上引发了大量讨论。但本次条目未附带任何仓库内容，既没有文档，也没有版本号、基准数据或硬件兼容清单，因此其吞吐、延迟与部署成本目前无法核实。讨论中的具体性能数字均来自评论者转述的第三方文章，而非官方材料。

Rust 编译器贡献者 panstromek 撰文展望 2026 年 Rust 编译器的工作重点，帖文在 Hacker News 引发讨论。由于原文正文未随讨论一并提供，具体版本号、落地时间表与已完成状态均无法核实；从讨论内容看，涉及的核心议题是 trait 求解器（solver）、Polonius 借用检查、长期停滞的 specialization，以及 target 目录体积。评论者引用了文中一句评价，称这项工作“解决了编译器开发者多年来梦寐以求的一大块技术债”，但该引文本身没有点明具体对应哪个组件。

SUSE 杰出工程师 Thorsten Kukuk 在 2026 年 All Systems Go\! 会议上介绍了一项仍在推进的工作：通过让 systemd 的 PID 1 设置 NoNewPrivileges=yes，在内核层为所有进程启用 no\new\privs，从而阻止 execve\(\) 赋予 setuid、setgid 或文件能力，目标是系统级禁用这类二进制。该标志会跨 fork\(\)、clone\(\) 和 execve\(\) 保持，但不会阻止已有特权的任务直接调用 setuid\(\) 或 setresuid\(\)。为处理账户管理，他开发了 scan-caps 和 account-utils，并以经 varlink 通信、仅能访问 /etc/passwd 与 /etc/shadow 的 pwaccessd/pwupdd 服务替代 shadow-utils、PAM 等需要特权的客户端。报道没有说明该方案已在 SUSE 产品中默认启用；sudo 改用 run0 等“侵入性包”会把 sudoers 配置变为 polkit 规则，构成破坏性变更。

Wine 已被移植到 OpenBSD，相关讨论出现在 OpenBSD ports 邮件列表。移植者把面向 OpenBSD 的改动统一标记为仅在该平台启用，以简化开发并明确区分通用代码；他预计这些改动中不会有太多被合并到上游。评论引述的邮件举例称，\%gs\ stub 不会在 Linux 上构建，因为 Linux 已正确设置 \%gs\，而 SIGUSR1 相关处理虽能工作但不够优化。现有材料未提供 Wine 版本、软件包状态或正式支持范围。

开发者将苹果开源的 XNU 内核移植到红米 Note 10 Pro（骁龙 732G），并于 10 月 18 日启动到主屏，运行未经修改的 iPhone X 版 iOS 16.7.16 用户空间。目前触摸和实体按键可用，画面完全由 CPU 渲染，约 20–30 帧/秒；GPU 驱动、Wi-Fi 和相机尚不可用。代码已在 GitHub 开源，这仍是早期概念验证，并非可供日常使用的系统。

Linus Torvalds 已按预期发布 Linux 7.3 内核。据 LWN 统计，本次发布创下纪录：包含 18,765 个非合并提交，来自 3,021 名开发者，其中 807 人是首次参与内核开发。已列出的重要变更包括 binfmt\misc 的扩展、面向大型系统的分组调度改进、新增“所有操作都失败”的 failfs 文件系统、fchroot\(\) 系统调用、BPF 程序的全局 per-CPU 数据、sched\ext 子调度器特性的完成、虚拟机的 working-set 跟踪、ntfs3 的备用数据流支持，以及一批 SMB 服务端改进。随着 7.3 发布，7.4 的合并窗口于次日开启，但 Torvalds 表示正值年度家庭休假，他当天大部分时间会在船上和水下，因此合并节奏在一段时间内将不太常规。

在 2026 年 Linux Plumbers Conference 的 Android 专场中，Todd Kjos 介绍了 Android 内核的 vendor hook（厂商钩子）机制：它本质上是加在 Android 内核里的专用 tracepoint，厂商设备加载内核模块挂接到该 tracepoint，即可拦截控制流、修改数据结构甚至短路主线代码。他给出的数字是，当前使用最广的 Android 6.6 内核带有 3,100 多个树外补丁，其中 1,531 个是新内核特性的回移、287 个是已在邮件列表讨论但尚未进入主线的改动，剩余 1,306 个（约 42%）为“纯 Android”改动，其中三分之一以上是厂商钩子；内核中厂商钩子总数约 800 个，近一半位于内存管理子系统与 CPU 调度器。Kjos 说采用厂商钩子的主要原因是紧迫性——上游流程太慢——加上有些硬件没有上游驱动，而 Android 维护者自认缺乏判断所有改动是否必要的专业能力，因此对新增钩子采取宽松政策，同时表示希望减少这一数量。这是会议演讲的总结，并非内核功能发布或已生效的代码变更。

开源 AI 编码代理 OpenCode 发布 2.0 版本，其说明页面于 10 月 14 日出现在 Hacker News 上；本次条目未附带原文正文，具体改动主要来自评论者的描述。多位评论者称 V2 解决了 V1 的若干痛点：技能与插件现在会自动重载，任务可以转入后台（但据称还不会自动后台化），内置了用于编辑配置的技能，前端界面得到改进，代理循环据称基于 Effect 重新架构，配置改为从创建会话所在的文件夹加载。一名评论者还提到，可以用原生应用连接 OpenCode 服务器，从而在远程主机上运行会话。

Timescale（Tiger Data）在 GitHub 发布了 pg\vectorsearch，这是一个基于量化 IVF 结构、名为 PRISM 的 PostgreSQL 向量索引扩展，项目方宣称其性能优于 pgvector 的 IVFFlat 与 HNSW。这一性能说法目前来自项目自身的说明以及该公司 CTO 撰写的技术文章，尚无独立复现的基准数据。社区成员指出两项采用门槛：PRISM 的向量维度上限为 1968 维，超过该维度的现有 HNSW 索引无法直接迁移；该扩展要求 PostgreSQL 18 或更高版本。此外，该索引目前只支持后置过滤（post-filtering），这限制了按租户或权限范围进行高效检索的场景。

KDE 项目发布了 KDE Plasma 6.8，并将发布时间安排在 Matthias Ettrich 宣布 KDE 项目 30 周年之际。该版本带来无障碍改进，将 Kup 备份工具纳入 Plasma，并允许 Spectacle 屏幕录制加入系统音频和麦克风输入。Plasma 6.8 同时不再支持 Plasma X11 会话，这一决定已于 2025 年 11 月公布；X11 应用仍可通过 XWayland 运行，KDE 应用也将在可预见的未来继续支持 X11。

GCC 项目正式出台了关于在编译器套件开发中使用大语言模型的政策，其核心是拒绝任何包含或衍生于 LLM 生成内容的、具有法律意义的贡献；项目认为这一领域的法律尚未确定，因而采取保守立场。政策并非一刀切：对测试套件的补充限制更宽松，而借助 LLM 理解代码、查找缺陷、审查补丁等辅助用途仍然允许，Jeff Law 表示政策会定期审查并可能在近期修订。在 2026 年 GNU Tools Cauldron 上，Law 与 Kyrill Tkachov 介绍了实际用法：LLM 擅长找出错误或缺失的测试、构造最小复现、定位根因（可检查 GIMPLE 和 RTL 中间表示并提出修复），Law 还用 QEMU 插件找出热点代码交给模型评估，称在查看的每个基准测试上都找到了改进。两人同时指出局限：补丁审查结果中只有约 20% 有用，最难的是写好提示词，用第二个 LLM 为第一个写提示词更是「惨败」，所有输出仍需人工复核。

一个 Rust 编译器 GitHub issue（\164250）报告借用检查器存在已持续约 11 年的不健全性缺陷：编译器接受了一段按 Rust 生命周期规则本应被拒绝的代码。该问题目前处于被报告和讨论的阶段，尚无证据表明官方已发布修复或已确认受影响的 crate 清单。评论者认为这不是类型系统本身的问题，修复方向是让编译器按既有生命周期规则拒绝该代码，因此相对直接，但该缺陷是否影响真实代码仍待确认。

Nix 和 Lix 项目联合披露了一组本地权限提升漏洞，可用于在运行 Lix 或 Nix 守护进程的系统上将权限提升至 root。公告称“所有构建不可信 derivation 的系统均受影响”，但未提供 CVE 编号（称尚未申请），也未披露漏洞的技术细节。两个项目表示修复版本已在公告发布当天提供，来源未说明具体版本号。

PostgreSQL 核心团队成员 Peter Eisentraut 在博客中回顾了进入 beta 阶段后被撤回的“异常多”的 PostgreSQL 19 功能。他表示，部分被撤回的功能存在难以在 beta 期间快速修复的重大架构缺陷，但还有一长串涉及边缘情况、本身相对无害的问题；LLM 辅助代码审查让这类问题被发现得快得多，于是面对约 40 份缺陷报告，即便平均每个只需三行修复，逐项处理的固定开销也会让人耗尽时间。他指出，这些被撤回的功能大多写于 LLM 辅助审查还不那么有用的年代，相当于在功能编写并提交之后，有效质量门槛被抬高了；他认为除非 LLM 辅助审查的能力持续按当前速度提升，未来开发周期里这种情况会自行缓解，而且这基本不属于“vibe coding”。LWN 曾在 9 月报道过 PostgreSQL 19 功能所需的异常多 bug 修复。

用 Rust 编写操作系统内核的 Asterinas 项目发布了 0.19.0 版本。此次更新包含一个能够运行 X.org 的新图形子系统、“最小但可用”的 64 位 Arm 支持，以及更好的虚拟化支持。LWN 曾在 2025 年报道过该项目，本次发布信息来自 LWN 的报道与项目公告。

Hacker News 的 Show HN 栏目出现了 deadxwarrior 提交的 ps2-web-recomp 项目，它把 PS2 游戏静态重编译为 WebAssembly。该仓库的目标是让这类游戏能在 WebAssembly 环境（包括浏览器）中运行。提供材料没有给出已支持游戏列表、兼容性范围、性能数据或发行版本，因此这目前更像是一个技术演示或开源方向，而非已经验证可广泛使用的方案。

对 Linux 内核维护者和贡献者而言，补丁审查流程将出现几项变化：Sashiko 自动审查不再在补丁审查中报告已存在的旧缺陷，而是将其存入单独数据库；补丁的 Assisted-by 标签要求也将被移除。这些是 2026 年 10 月 8 日在布拉格举行的维护者峰会上的讨论结论，约 30 名内核开发者参加，会议还涉及 LLM 对开发社区的影响、安全漏洞洪流和长期接班规划。据 Jonathan Corbet 的会议记录，Linus Torvalds 认为问题不在 LLM 本身，而在于不熟悉内核和工具的使用者，并主张对低质量贡献给予低优先级；部分最紧急的安全修复可能绕过维护者直接交给 Torvalds。Corbet 强调这些结论是他的个人解读，并非峰会的官方公告。

LineageOS 项目宣布发布 LineageOS 24.0，将这个社区 Android 发行版重新基于 Android 17——项目称 Android 17 的首个版本于今年 6 月发布。LineageOS 表示，由于此前几代已经适应了 Google 的大幅代码重构，这次迁移到 Android 17 代码库比预期更快，因此发布时间早于往年。公告称 Android 17 的首个版本主要包含迭代改进和部分 UI/UX 调整，但公告本身未列出受支持机型或新增功能清单。项目还提到，LineageOS 将于 2026 年 12 月 24 日迎来成立十周年。