开源模型、框架与仓库动态：权重开放、社区项目爆火、开源与闭源的力量消长。
当前仅显示精选新闻代号 TrapDoor 的供应链攻击同时针对 npm、PyPI 和 Crates.io，投递 34 个恶意包，目标是加密货币、AI 和安全开发者，用于窃取钱包、SSH 密钥和云凭证。
More analysis, package details, IOCs, and GitHub-related activity here, including attacker-hosted payload/config infrastructure and PRs attempting to add .cursorrules / CLAUDE.md files to popular AI and developer projects: socket.dev/blog/trapdoor-cry…
推荐理由：该攻击把 CLAUDE.md 与 .cursorrules 配置文件当作新入口，让安全从业者了解 AI 编程助手被利用的攻击路径。
NVIDIA 发布 Nemotron-Labs Diffusion 系列扩散语言模型，包含 3B、8B、14B 文本模型和 8B 视觉语言模型，均提供基础版与指令微调版。
推荐理由：原文给出该系列的多规模配置与三种推理模式的实测对比数据，读者可据此判断扩散语言模型在延迟敏感场景中的可行性。
DeepSeek 正在推进一轮 102.9 亿美元的融资，消息来自彭博。报道称梁文锋仍专注于构建开源 AI 模型，而不是追求短期商业化。
推荐理由：融资规模与创始人仍坚持开源路线并置，提供了一个观察 DeepSeek 商业取向的窗口。
Mistral 发布 Mistral Medium 3.5，一个 128B 稠密开源权重模型（modified MIT 许可），256k 上下文窗口，SWE-Bench Verified 得分 77.6%，τ³-Telecom 得分 91.4，自托管最少只需四块 GPU，API 定价每百万输入 token $1.5、输出 token $7.5。
推荐理由：官方同步发布模型与云端异步智能体，给出基准分数、定价和开源权重，可对照评估其编码与长程任务能力。
The latest 𝕏 algorithm has been published to GitHub github.com/xai-org/x-algorit…
推荐理由：文章逐条拆解 X 开源算法的打分公式与 6 步流水线，并给出创作者可对照的落地结论。
飞书 CLI 牛皮啊，发布一个月多点就达到 10000 Star 了！ 说明用户和市场相当认可这个动作 最近我们可以发现，越来越多的传统办公产品开始发布 CLI 和 Agent。 AI 时代的 SaaS 软件可能得换个做法了：UI 只是最基本的，接下来还要竞争对 Agent 的适配程度以及覆盖率。在这块，我觉得飞书走得相当靠前。 作为一个 IM 软件，飞书在 AI 时代去做这种开放自己所有能力的 CLI 工具，其实是一种非常不传统互联网的尝试。 这对于之前的互联网产品逻辑和经验来说，是一个非常不应该做的决定。 因为他们这个 CLI 几乎可以控制飞书的所有能力：你可以完全不跟飞书的传统 UI 去交互。只跟 CLI 交互，也可以完成飞书上所有的工作。 传统的 IM 办公软件通常非常复杂，入门门槛相对较高。无论从产品逻辑、UI 设计还是交互设计的角度来看，都没有办法太好地消解这种复杂性。 但是 CLI 工具交付给 Agent 以后，就可以快速消解这种复杂性。用户只需要进行对话，这是非常本能的行为，不需要在繁杂的层级列表 UI 里去寻找功能入口。 我拉了一下数据，他们迭代效率也非常恐怖，它们是 3 月 28 号开源的，一个多月发了 32 个版本、385 个提交。 这说明飞书对这块是非常重视的，投入的人力和精力也非常大。 他们在 CLI 本身的设计上也考虑得非常多，下了很多功夫。主要分为三层： 面向日常任务的快捷命令、开放平台对应的标准 API、兜底的 API 调用。 因为人和 Agent 都不喜欢从 2500 个 API 里去寻找参数，但又需要把这些能力暴露出来，所以他们采用了这种分层的形式。 即使做了分层设计，CLI 本身的内容和 API 依然非常多。所以他们把 CLI 作为工具本身，同时做了很多 Skills 用来充当 CLI 的说明书。 Agent 可以分层、分类型地了解应该如何调用这些 CLI 及其命令。 此外，他们在对 Agent 友好的命令包装上做了很多工作，例如： (a) 内置了 Dry Run (b) 结构化输出 (c) 身份选择、权限检查与风险等级评估 (d) 允许 Agent 在发消息前预览请求 (e) 建立了输出格式的“契约”：将成功或失败的结果、原因以及风险提示都放在结构化数据里。 这样如果出错了，AI 可以非常清楚地进行调试和修改，而不是盲目猜测。 其实现在你如果要创业或者做自己的 Agent，就不需要非得写一个界面。 飞书 CLI 加上 Agent 框架可以完成所有的 Agent 产品常见的操作： 你的聊天界面就是你的 Agent 聊天界面； 你的数据库就是飞书多维表格和文档； 你的用户就是把你拉到组织里的群成员；
推荐理由：飞书 CLI 开源一个多月获 10000 Star，其分层命令与 Skills 设计为 Agent 调用办公软件能力提供了参考。
Automating AI research is the next major step in AI We let Claude Code (Opus 4.7) and Codex (GPT 5.5) run autonomously on the nanoGPT speedrun optimizer track using our idle compute. ~10k runs, ~14k H200 hours Opus now holds the record at 2930 steps vs the 2990 human baseline
推荐理由：Prime Intellect 用闲置算力让智能体自主优化 nanoGPT 训练，显示其擅长组合已有方法但在创新上受限，实验日志已开源。
IBM 发布两个 Apache 2.0 多语言嵌入模型 granite-embedding-97m-multilingual-r2 和 granite-embedding-311m-multilingual-r2，基于 ModernBERT，覆盖 200+ 语言、32K token 上下文，并支持 9 种编程语言的代码检索。
推荐理由：两个模型以 Apache 2.0 覆盖 200+ 语言和 32K 上下文，读者可对照基准表判断小模型在多语言检索上的实际取舍。
Introducing the Cline SDK. We rebuilt the Cline harness for our extension and CLI from scratch using all the lessons learned since creating one of the world's first coding agents in 2024, and are open sourcing it for others to build with today. npm i @cline/sdk 🧵 Video
推荐理由：Cline 把重建的编码智能体框架开源为 SDK，MiniMax 同步建议在其上试跑 M2.7，可观察当前工具链的搭配方式。
Damn！所有AI开发者，立刻停下你手里的npm install🤯 现在正在爆发有史以来最恐怖的供应链攻击， 代号Mini Shai-Hulud， 已经波及TanStack全家桶、Mistral AI、UiPath等170多个npm和PyPI包， 全是你们天天装的工具链， 周下载量加起来超过一个亿， 已经不是传统的维护者账号被盗了， 而是整个GitHub Actions CI管道被直接劫持， 合法的官方项目，自己发布了带毒的版本， 还带完整的SLSA 3级可信证明， 所有传统的签名验证全失效， 最狠的是它的持久化机制， 它不会只藏在node_modules里， 它会直接修改你的~/.claude/settings.json和~/.vscode/tasks.json， 就算你npm uninstall删光所有包， 只要你下次打开Claude或者VS Code， 它就会自动重新执行， 如果你敢撤销被盗的token， 它会直接删光你整个home目录， 而且它是蠕虫， 偷到一个项目的CI密钥，就会自动感染下一个， 现在还在指数级扩散， 以前我们说别用latest，别用^， 现在就算你pin死了版本， 只要那个版本是6分钟窗口期内发布的， 就是带毒的， 越依赖AI Agent自动装包的人， 这次中招的概率越高， 因为你的Agent根本不会帮你检查lockfile， 现在立刻做这三件事， 第一，冻结所有包安装， 第二，跑npx supply-chain-attack全盘自查， 第三，全量旋转你所有的云密钥、GitHub token和SSH key， 一个都别漏。 #网络安全 #npm #AI开发者
推荐理由：这条汇总列出近期十余起安全漏洞与供应链投毒事件，可用于快速了解 AI 开发者工具链当前面临的风险面。
🚨 There's a major attack going on via npm right now. Do not install any packages right now. Talk to your agent ASAP and check if you're vulnerable or have been compromised. This is urgent ‼️
推荐理由：梳理了该供应链攻击劫持 CI 管道、使签名验证失效的机制，并给出冻结安装与轮换密钥等自查步骤。
I hope you guys understand that this is going to keep getting worse
推荐理由：梳理了这轮 npm 供应链攻击的传播链条和被绕过的签名验证，读者可据此理解 AI 开发流面临的风险。
Anthropic 真的惊为天人 直接把金融服务行业的 AI 工作流模板全开源了 投资银行 / 股票研究 / 私募 / 财富管理 / 基金管理 / KYC 风控 七大业务线的参考 agent / 技能包 / 数据连接器 全部公开 这超出了 demo 的范畴，是把「金融行业 AI 落地」的完整 SOP 摆出来 / 让全行业照抄 · 打开仓库 你会看到这些东西 10 个开箱即用的端到端 agent - Pitch Agent / 自动做 pitch deck（comps + 先例 + LBO → 出品牌排版的 deck） - Meeting Prep Agent / 客户会前自动出 briefing pack Market Researcher / 行业或主题 → 行业概览 + 竞争格局 + peer comps + 标的清单 - Earnings Reviewer / 财报会议 + filings → 模型更新 → 研报草稿 - Model Builder / DCF / LBO / 三表 / comps / 直接在 Excel 里建模 - Valuation Reviewer / 私募估值 + LP 报告 - GL Reconciler / 总账核对 + 找差异 + 路由审批 - Month-End Closer / 月末关账 / accruals / 滚动 / 偏差解读 - Statement Auditor / LP statement 审计 - KYC Screener / KYC 文档解析 + 规则引擎跑 + 标记缺口 每个 agent 都是 self-contained 的，带自己用到的全部 skill，clone 下来直接装 · 7 个垂直行业插件 - financial-analysis（核心）：comps / DCF / LBO / 三表 / deck QC / Excel 审计 - investment-banking：CIM / teaser / 流程信 / 买方名单 / 并购模型 / 项目跟踪 - equity-research：财报笔记 / 首次覆盖 / 模型更新 / 投资逻辑跟踪 - private-equity：寻源 / 筛选 / 尽调 / IC memo / 投后监控 - wealth-management：客户复盘 / 财务规划 / 调仓 / 报告 / 税损收割 - fund-admin：GL 核对 / 差异追踪 / NAV 校验 - operations：KYC + 规则引擎 直接用 / 想改也行 / 全是 markdown + json / 没有 build 步骤 · 11 家金融数据商的 MCP 连接器 Daloopa / Morningstar / S&P Global / FactSet / Moody's MT Newswires / Aiera / LSEG / PitchBook / Chronograph / Egnyte 这一行单独值得讲 意味着 Anthropic 已经跟全球最重要的金融数据基础设施都谈完了，你接进 Claude / 这些数据全是开箱即用的，没有这些连接器 / 你自己接每一家的 API / 光人天就要好几个月 LSEG 和 S&P Global 还各自做了 partner-built 的高级插件 一个跑债券相对价值 / 利率曲线 / FX carry / 期权波动率 / 宏观利率监控 一个跑 tear sheet / 财报预览 / 融资 digest · 部署方式两种，一个仓库 方式一：Claude Cowork 插件 装在分析师电脑上 / 个人工作流 方式二：Claude Managed Agents API 跑在公司自己的工作流引擎后面 / 整个公司用 同一份 system prompt / 同一份 skill / 你选在哪儿跑 还附带一个 Microsoft 365 安装工具，让公司 IT admin 把 Claude 部署进 Excel / PowerPoint / Word / Outlook 而且可以走你公司自己的云（Vertex AI / Bedrock / 内部 LLM gateway），不强制走 Anthropic API · 金融是企业 AI 落地最大也最难啃的市场，合规要求高 / 数据敏感 / 流程复杂 Anthropic 这一手 直接把整个行业的 AI 落地 SOP 写明白了 谁照这套搭 / 谁就在 Claude 的轨道上长 谁不照这套搭 / 谁要从零开始踩半年坑 最值得对比的是 OpenAI OpenAI 上周刚上线广告平台 Anthropic 这周直接开源金融行业全套 agent 两家公司的路线分化在这种地方又看得清清楚楚 OpenAI = 大众消费 + 广告 Anthropic = 企业场景 + 开源行业模板 链接 github.com/anthropics/financ…
推荐理由：Anthropic 开源金融行业 agent 模板与数据商 MCP 连接器，可看到企业级落地的整套结构与部署选项。
AI2 发布 EMO，一个 1B 激活、14B 总参数（8 专家激活、128 专家总量）的混合专家模型，在 1 万亿 token 上端到端预训练，让模块化结构直接从数据中涌现。保留 25% 专家时各基准平均性能只下降约 1%，仅保留 12.5% 专家时平均下降约 3%，而同等架构的标准 MoE 在相同子集设置下明显退化。团队同时开源了 EMO 模型、同等数据的标准 MoE 基线和训练代码。
推荐理由：EMO 让专家子集按语义领域自然分组，只保留 12.5% 专家仍接近全模型性能，为稀疏 MoE 的部署取舍提供参考。
𝗦𝗲𝗻𝘀𝗲𝗡𝗼𝘃𝗮 𝗨1 𝗟𝗶𝘁𝗲 𝗦𝗲𝗿𝗶𝗲𝘀 𝗶𝘀 𝗻𝗼𝘄 𝗼𝗽𝗲𝗻 𝘀𝗼𝘂𝗿𝗰𝗲! Built on the 𝗡𝗘𝗢-𝘂𝗻𝗶𝗳𝘆 𝗮𝗿𝗰𝗵𝗶𝘁𝗲𝗰𝘁𝘂𝗿𝗲, it natively unifies multimodal understanding and generation, delivering: •𝗦𝗢𝗧𝗔 𝗘𝗳𝗳𝗶𝗰𝗶𝗲𝗻𝗰𝘆 𝗔𝗺𝗼𝗻𝗴 𝗢𝗽𝗲𝗻-𝗦𝗼𝘂𝗿𝗰𝗲 𝗠𝗼𝗱𝗲𝗹𝘀: Compact models (8B & A3B) delivering commercial-grade performance and exceptional cost efficiency. Leading performance among open-source models across a wide range of understanding, reasoning, and generation benchmarks. •𝗡𝗮𝘁𝗶𝘃𝗲 𝗜𝗺𝗮𝗴𝗲–𝗧𝗲𝘅𝘁 𝗜𝗻𝘁𝗲𝗿𝗹𝗲𝗮𝘃𝗲𝗱 𝗚𝗲𝗻𝗲𝗿𝗮𝘁𝗶𝗼𝗻: Generate coherent interleaved text and images in a single flow using one model; ideal for practical applications like guides, where visuals turn complex information into intuitive insights. •𝗛𝗶𝗴𝗵-𝗗𝗲𝗻𝘀𝗶𝘁𝘆 𝗜𝗻𝗳𝗼𝗿𝗺𝗮𝘁𝗶𝗼𝗻 𝗥𝗲𝗻𝗱𝗲𝗿𝗶𝗻𝗴: Strong capabilities in dense visual communication, generating richly structured layouts for knowledge illustrations, posters, PPTs, comics and other information-rich formats. 𝗛𝘂𝗴𝗴𝗶𝗻𝗴 𝗙𝗮𝗰𝗲: huggingface.co/collections/s… 𝗚𝗶𝘁𝗛𝘂𝗯: github.com/OpenSenseNova/Sen… 𝗗𝗶𝘀𝗰𝗼𝗿𝗱: discord.gg/cxkwXWjp @huggingface @github
推荐理由：SenseNova U1 Lite 以 8B、A3B 紧凑规模开源权重，读者可据此衡量自托管图文版式生成的成本门槛。
IBM Granite 团队发布技术解读，说明 Granite 4.1 系列 3B、8B、30B 稠密模型基于约 15T token 的五阶段预训练流程构建，上下文窗口经长上下文扩展至 512K。
推荐理由：原文完整披露 Granite 4.1 的五阶段预训练数据配比与多阶段 RL 流程，可供同类小模型训练参考。
推荐理由：1.8B 翻译模型量化到 1.25bit 后仅 440MB，可在手机离线运行，为端侧模型压缩提供参考。
inclusionAI 开源发布 Ling-2.6-flash，这是一个总参数 104B、激活参数 7.4B 的指令模型，面向高频智能体场景优化推理效率与 token 效率。
推荐理由：官方给出 104B 总参数与 7.4B 激活参数的具体配置和评测数据，可用于评估高频智能体场景下的推理成本与部署取舍。
inclusionAI 在 Hugging Face 开源 Ling-2.6-flash 指令模型，总参数 104B、激活参数 7.4B，主打推理效率与 token 效率。
推荐理由：模型以 7.4B 激活参数和混合线性架构给出推理吞吐与 token 效率数据，可供评估高并发 agent 场景的部署成本。
inclusionAI 在 Hugging Face 发布 DR-Venus-4B-SFT-GGUF，这是由 Qwen/Qwen3-4B-Thinking-2507 微调而来的 4B 深度研究智能体，也是 DR-Venus 的监督初始化检查点。
推荐理由：用约 1 万条开放轨迹训练出 4B 深度研究智能体，并在多个基准上超过此前同规模开源模型。