内容归档
按栏目浏览往期内容，用关键词、分类和日期找到需要的信息。
ReadyOn 公司说明了他们的 Harmony 平台在 Amazon EKS（亚马逊的托管 Kubernetes 服务）上如何把不同客户的数据和计算资源隔开。原来多租户环境里，客户之间可能互相访问或横向渗透，这次用四层防护来解决：Kubernetes 命名空间、专用 Karpenter 节点池、VPC 安全组，以及每个租户独立的 Aurora 数据库。他们还用一个分 10 个阶段的多租户威胁模型来检验这些控制措施，重点看跨租户访问和横向移动。目前文章只讲了架构设计，没有说明是否已上线或开放使用。
Java 社区本周（2026 年 10 月 19 日）的这轮汇总，由 Michael Redlich 整理，讲了几个更新。一是 JDK 28 的拟议发布时间表；二是 Oracle 发布 2026 年 10 月关键补丁更新，涉及安全修复；三是 eMudhra 的中间 CA 证书出现泄露事件，需要关注证书信任影响。另外，WildFly 42 和 Apache POI 6.0 正式发布，Open Liberty 26.0.0.11 进入测试阶段，Micronaut 和 JobRunr 也发布维护版本。对使用 Java 的开发者来说，可以据此了解哪些版本可以升级、哪些只是计划或测试阶段。
InfoQ 将在十一月推出三个在线认证课程批次，主题分别是生产环境中的 AI 系统、检索与智能体设计，以及工程团队的流程、AI 角色与效果衡量。课程由 Adi Polak、Lan Chu 和 Olimpiu Pop 三位讲师带领。原文只是课程预告，没有说明具体开课时间、价格、报名方式或课程是否已开放，这些信息都缺失。对读者来说，这只能帮你了解有哪些主题的培训即将推出，并不能据此判断课程质量或是否值得参加。
提供的材料未提及具体可用工具。
OpenTofu 是一个开源的、用代码描述和管理云资源的工具（类似 Terraform）。以前执行“计划”时，有些值要等真正部署才知道，导致很多表达式算不出来、计划结果不够完整。1.13 版新增 convert 和 assume 等函数，让模块作者提前告诉计划器这些未知值是什么类型、大概是什么值，于是更多表达式能在计划阶段算出来。如果这些“假设”到实际部署时不成立，OpenTofu 会报错提醒。这样读者能在部署前看到更完整的计划、更早发现问题；不过这些函数的具体用法文中没有说明。
这是一期 Spring 官方播客的节目介绍，主持人 Dan Vega 和 DaShaun Carter 邀请 Java 冠军 Pratik Patel 聊 Java 开发者怎么用 Hugging Face。Hugging Face 上有超过一百万个开放模型，但大多数 Java 开发者从没用过，节目里讲了它到底是什么、怎么挑一个值得用的模型、现在从 Java 里运行开放模型有哪些办法，以及什么情况下开放模型比付费 API 更划算。对 Java 开发者来说，这期节目能帮你弄清楚要不要以及怎么在自己的项目里用上开源模型，而不是只能依赖付费服务。节目有直播可以提问，也能在播客平台听回放，但节目本身没有给出技术细节，具体怎么选、怎么跑要看正片。
传统上，Kubernetes 假设软件只会做开发者写好的事，但 AI 智能体能自己思考、选方案、调用工具、持续朝目标推进，这让它在生产环境中的运行方式与传统应用很不一样。问题是：AI 行为是概率性的，无法精确预测它会用到哪些资源，安全沙箱和监控就成了大难题；同时智能体可能只存活几秒，启动却要等好几秒，传统调度方式不够快。社区正在推动把沙箱作为约束智能体的架构元素，但开源 Kubernetes 功能尚未齐全，企业目前可借助已带沙箱能力的商业发行版；还有人提出“智能体底座”方案，让智能体在热池中休眠，实现毫秒级唤醒，而非秒级冷启动。对读者来说，这意味着想在 Kubernetes 上跑 AI 智能体还需额外注意安全隔离、监控和启动延迟，不能直接照搬普通应用的部署方式。
数据库公司 PingCAP 确认其内部系统被未经授权访问，源代码和客户相关数据被盗。一个名为 FulcrumSec 的勒索团伙声称窃取了 10.6 TB 数据，包括 TiDB Cloud 的控制面记录、客户 SQL 语句、API 密钥、连接日志、账单信息、内部文档以及 413 个私有源代码仓库。这次事件意味着使用 TiDB Cloud 的客户可能面临密钥和业务数据外泄的风险。目前材料未说明泄露范围核实情况、修复措施和受影响客户数量。
PHP 发布了 8.5.12、8.4.27、8.3.36 和 8.2.35 四个版本，修复两个严重的远程代码执行漏洞（远程代码执行指攻击者无需登录就能在服务器上运行自己的代码）。亚马逊在这批补丁发布前四天就记录到了一次利用尝试，说明漏洞在修复前已被攻击。运维人员当天忙着确认自己是否运行 PHP、从哪里获取升级包，以及如何验证补丁已经生效。对读者的用处是：如果你或你的团队在用 PHP，应尽快升级到对应版本，并检查是否已被利用。文章未说明漏洞具体细节、受影响范围细节，也未说明各版本的发布时间差异。
提供的材料未提及具体可用工具。
LangChain 公司为市场、销售和工程团队搭建了内部智能体，并说这些智能体已经明显改变了团队的工作方式。他们遇到的核心问题是：智能体该在哪儿跟人交互、代表谁的身份去操作、记住哪些信息、在哪里安全执行代码，以及如何定时自动运行。他们的做法是让智能体住在员工日常用的 Slack 里，区分“代表提问者本人”和“用固定身份”两种权限，把记忆分成全员共享和按用户两层，代码放到隔离沙箱里执行，并让很多任务由定时或事件触发而非人工唤起。这些智能体都基于 Managed Deep Agents 构建，官方称现在就可以按快速上手文档试用；但文章也承认记忆这块探索最少、还有很多工作要做。
这篇文章讲的是在 Kubernetes 上跑 AI 任务的团队，常看到 GPU 全被占满、批处理队列越排越长，第一反应就是加 GPU。但作者提醒，GPU 被分配、在忙、和真正产出有价值的结果是三件不同的事，队列变长也可能是时机、服务容量或模型和硬件选型的问题。解决思路是先想清楚每个任务的截止时间和产出标准，再用错峰排队把现有四块 GPU 在两小时内跑完原本需要八块的四个任务，同时用接近真实负载的压测摸清可持续吞吐，并把 OpenCost 的成本数据和实际产出对上，算出每个合格结果花多少钱。这样读者能在花钱扩容之前，先确认现有容量是否已用足、瓶颈到底在哪。Kueue、vLLM、DistServe、OpenCost 等工具文中都有提到，具体接入方式原文未详细说明。
Kubernetes 里管“该开几个副本”和“每个副本该给多少 CPU/内存”的其实是好几套独立工具：HPA 按 CPU 百分比增减副本，VPA 按历史用量调整资源申请，KEDA 按 Kafka 队列积压决定副本数，Karpenter 按声明资源申请新机器。问题是它们各自跑各自的循环，看到的都是局部信息，还同时改同一批配置字段。比如 VPA 把 CPU 申请调小，HPA 的分母就跟着变小，同样的流量会被算成利用率超高，于是猛加副本，结果副本越来越多、每个越来越小，互相把对方越推越远；KEDA 加副本、HPA 又按低 CPU 减回来；GitOps 看到副本数和 Git 不一致还会把它改回去。作者认为水平和垂直扩缩本来就是一道联立方程，应该由一个统一控制面同时看 CPU、队列、延迟、节点价格和 Git 配置，一起给出副本数和资源申请。文中也提到生产集群 CPU 平均利用率只有约 8%，但这些方案的落地细节和可用性文中没有说明。
这篇文章讨论的是：当 AI 编程智能体让代码提交量暴增时，团队的交付系统会卡在哪里。作者提到 Anthropic 的代码合并量从 5 月每天约 2500 个涨到 9 月每天超过 3 万个，写代码不再是瓶颈，瓶颈变成了为人类速度设计的开发基础设施。文章用控制回路打比方：意图是目标值，智能体是控制器，验证就是传感器；控制器再快，如果传感器跟不上，它只会拿着过时信息反复重试，把本该被拦下的问题发布出去。作者提出传感器要具备三个特性：延迟（多久能出结果）、保真度（多接近真实系统）、带宽（能同时验证多少个改动），并用 StrongDM 的数字孪生宇宙举例说明保真度为什么最贵。对读者的用处是：如果你在规划智能体编程流水线，这篇文章提醒你先投资验证能力，而不是只堆智能体数量。文章是观点分析，未说明具体产品发布时间或可用状态。
AWS 周四正式开放了名为 Continuum 的 AI 安全服务。它会自动在你的代码仓库里查找漏洞、复现问题，对照 AWS 环境验证，然后提交带修复方案的 PR。AWS 自己发布的测试显示，在 920 个 C/C++ 内存安全漏洞任务中，Continuum 有 89% 能找出并修好漏洞且不破坏原有测试，远超此前公开最高分 65.9%。不过这个分数是 AWS 自己跑的，还没第三方复现；而且只有 37.8% 的修复同时命中了测试指定的那个历史漏洞——因为智能体并不知道要找哪个洞。测试也只覆盖 C/C++ 一类问题。对开发团队来说，它可能帮忙快速发现并修掉真实漏洞，但具体修的是不是你要的那个，还需人工确认。
Cloudflare 优化了其内部负载均衡服务中一致性哈希的 Rust 实现（pingora-ketama），把这项服务占用的内存减少了 100 TB 以上。原来的问题是：每个后端服务器要在哈希环上保存很多哈希条目，条目越多占用内存越大。这次的做法是压缩哈希环上的条目，并通过统计分析哈希分布和冲突率，把每个后端所需的哈希数量减少了约 90%。对读者来说，这说明大规模系统里看似不起眼的数据结构优化，也能省下巨量内存资源。
Google 把 Data Agent Kit 正式开放使用了。这是一套免费工具，包含 MCP 工具和 37 个开源技能，能让写代码的 AI 助手直接连接 Google 数据云的 15 种以上服务。它带了两道护栏，但作用不一样：一道是写在技能里的提示，让 AI 助手自己停下；另一道是 IAM 拒绝策略，在权限层面直接拦掉请求，AI 助手想绕也绕不过。对使用者来说，这意味着能连的服务变多，但需要分清两种护栏的强弱，不能把提示当成硬性限制。
Netflix 的 Java 平台团队做了一个叫 Quasar 的内部工具。问题是：共享 Java 库改动后，维护者只能看到自己仓库里的 API 差异，却不知道哪些下游仓库还在调用被删改的方法，于是要么冒险发布破坏性变更、靠别人报错才发现，要么因为摸不清风险而一直保留旧 API。Quasar 把各仓库 CI 编译时提交的代码符号索引汇总起来，在代码评审时对照改动前后的 API，用查询找出真正调用这些符号的仓库、所用库版本和代码位置，给出实际影响范围。这样库维护者和 AI 编程代理就能在合并或发布前判断风险、安排迁移。文章未说明该工具是否对外开源或开放使用。
Dynatrace 推出了一个叫「漏洞风险暴露」的新仪表板，把漏洞到底影响哪些主机、进程和 Kubernetes 环境集中到一张图里看。原来只看漏洞数量，既不知道哪些进程受影响、漏洞扩散有多广，也看不出是不是所有该扫描的进程都扫了。这个仪表板把暴露情况、受影响对象和扫描覆盖率放在一起，还支持按团队、集群、命名空间筛选，让团队先修影响面最大的漏洞，并发现没被扫描到的盲区。该功能随文章发布，原文未说明具体开放时间或付费情况。
微软在 Microsoft Foundry 平台上发布了三款新语音模型：实时转写模型 MAI-Transcribe-2-Streaming，以及两个文本转语音模型 MAI-Voice-2.1 和 MAI-Voice-2.1-Flash。过去语音客服要等人说完话才处理，中间容易卡顿；新转写模型在收到声音后“几百毫秒”内就能给出初步文字猜测，边说边修正，让系统提前判断来电者要什么。目前这些模型已可用，微软称其在准确率榜单上排名第一。不过业内专家提醒，真正的难点在对话中的停顿判断——延迟降低后，如果系统抢话，反而会打断用户。
开发者在家里爱用 Linux，但公司 IT 常因难以管理和证明合规而拒绝。Swif.ai 这家管理员工设备的公司扩展了 Linux 支持，新增 Omarchy 和 Linux Mint，并把 SOC 2、ISO 27001、HIPAA 等合规标准的设备配置时间缩短到 10 分钟内；它兼容 Debian、Ubuntu、Fedora 等多个发行版，还能把设备证据每小时同步给 Vanta 和 Drata。对想用 Linux 的 AI 开发者来说，这意味着 IT 有办法放行 Linux 机器了；但 Linux Mint 尚未列入官方支持列表，Drata 对 Linux 的支持说明前后不一致，Wayland 支持仍在开发中，部分功能仍是 beta 或路线图阶段。
本周，欧洲多国政府网站和公共服务下线，原因是新披露的两个 PHP 漏洞（CVE-2026-109618 和 CVE-2026-109619，合称 PHP2Shell）。这两个漏洞出在 PHP 运行环境本身，不在某个应用或框架里，攻击者可在应用代码运行前就触发远程代码执行或泄露内存中的密码、令牌、密钥；因此只有打补丁才管用，光靠应用层认证防不住。PHP 社区和基金会联合各长期支持厂商，在 10 月 21 日同步为所有受支持版本发布了修复，也为已停止支持的旧版本提供了补丁。背景是 AI 让漏洞发现变快，OpenAI 的 Patch the Planet 项目用 GPT-5.6 Sol 协助发现了该漏洞，并预计类似发现会明显增多；但估计仍有约 40% 的 PHP 用户在用不再受支持的版本，升级并不轻松。