开源

你的 AI 智能体修好了缺陷，但它还改了什么？

Trail of Bits 发布了两款插件：patching-bugs 负责复现报告的缺陷、开发修复并测试；regression-hunt 负责检查改动是否破坏了原本正常且受支持的行为。起因是他们此前与 OpenAI 合作的 Patch the Planet 项目在合并的 130 多个补丁中确认引入了 21 个回归（16 个功能、1 个性能、4 个构建/测试），虽然没破坏安全防护，但说明只靠智能体打补丁不够稳。两款插件通过固定流程、严格输入输出格式，并要求每条结论都用真实运行环境的「概念验证」复现来减少误报；初步评测中 regression-hunt 的误报比一个被要求「审查回归」的 Codex 基线智能体少 25%。对工程师和开源维护者来说，这提供了一种更可控、可复核的方式把补丁开发和回归检查交给智能体，同时保留人工审核和项目自身的安全规则。目前是刚发布的插件，评测为初步结果。

DeepSeek 开源其 API 背后的推理引擎，华为与英伟达并列获支持

DeepSeek 把自己在线上服务模型时使用的推理引擎开源了，取名 DeepInfer，采用 Apache 2.0 许可。此前它曾表示这套软件与自家集群管理工具等内部设施绑得太紧，公开部署需要大改，并不实际。现在开放的版本能让开发者在自己的机器上运行 DeepSeek-V4.1-Flash，包含投机解码、异步调度、结构化输出等优化，但缺少 KV 缓存管理、跨机分工和副本负载均衡等组件，只覆盖离线推理，完整生产服务仍需自行补齐外围设施。配套的 deepseek-recipe 库（Rust 和 Python 版）帮助复现官方 API 的输入输出处理。硬件上首批支持英伟达 SM100（Blackwell 数据中心 GPU）和华为昇腾 950 NPU，较旧的 Hopper 架构未列入。DeepSeek 未说明如何解决去年提到的维护与部署难题。

Respan 在 LiteLLM 上建了两年，一次升级让它推倒重来

Respan 过去两年在 LiteLLM 之上写了十多万行包装代码，结果 2026 年 1 月一次常规升级后出现间歇性连接失败，回滚也没查出原因，只好停止直接升级、逐个挑上游修复。它干脆用 Rust 重写了一个开源 AI 网关：核心很小，模型供应商、路由、MCP 工具、实时语音和安全控制都做成插件，插件按注册顺序依次处理请求，还能在 OpenAI 与 Gemini 等不同协议间转换。代价是自定义插件要编译进网关、需自己维护构建，且插件在网关进程内运行、顺序配错可能让缓存绕过安全检查。目前是 pre-alpha，可从 GitHub 下载预编译程序直接跑，付费平台不是必需。

Harness 推出 VegaLoad：开源负载测试工具

Harness 发布了一款叫 VegaLoad 的免费开源负载测试工具，采用 Apache 2.0 许可证，由其韧性测试团队开发。以前做负载测试往往要另外找工具、把脚本放在别的仓库，还得提工单排队等运行，很多服务没做压测就上线了。VegaLoad 把压测脚本变成一个放在代码旁边的小文件，AI 编程助手可以直接写测试、运行测试，返回通过或失败结果和一份 HTML 报告，测试在本机跑，还能设延迟和错误率上限拦截合并或发布。对开发者来说，压测能在几分钟内试起来，代码可读可改；不过若需要多机集群压测或跨团队历史记录，则要另用 Harness 的商业产品。

Textus：带 AI 写作助手的 Markdown 编辑器

CatVinci-Studio/Textus · The next-generation Markdown editor, with an AI writing assistant. Free and open source for macOS, Windows and Linux.

Textus 是一款面向 macOS、Windows 和 Linux 的 Markdown 编辑器，以 MIT 许可证开源。它实时渲染 Markdown，支持数学公式、表格和 Mermaid 图表，提供禅模式、打字机模式、分栏视图和源码模式四种写作模式，并可导出 PDF、Word、HTML 等格式。其 AI 写作助手可在写作过程中提供续写建议、错别字与语法提示，并以带理由的修改提案形式呈现，支持句级采纳、行内批注，能学习用户风格并记住人物和地点设定。Textus AI 可接入 20 多种 LLM 及任意 OpenAI 兼容端点，也支持通过 Ollama 使用本地模型。文档以纯 Markdown 文件保存在用户指定位置，API 密钥仅存于本机，AI 请求由设备直连所选服务商；编辑器可完全离线使用，AI 功能则由所用服务商提供。

Awesome-LLM-Evaluation-Testing：LLM 评测与测试资源合集

ishandutta2007/Awesome-LLM-Evaluation-Testing · Top LLM Evaluation Testing (Opensource) Star if you like it!

这是一个面向 LLM 评测与测试的 curated 列表，汇集 40 多个开源评测器、RAG 评测库、提示词测试工具、Agent 评测框架和 LLM 可观测性平台，并涵盖部分 SaaS 托管平台。列表条目记录了产品能力、定价、免费额度与 Star 数，主要聚焦提示词回归测试、RAG 评测与 Agent 可观测性，适合 AI 工程师和研究者按需检索与选型。

亚马逊收购 DuckLabs，并将 DuckDB 集成进 Amazon Aurora PostgreSQL

亚马逊收购了开发分析型数据库 DuckDB 的公司 DuckLabs。DuckDB 这类数据库擅长快速分析大量数据，和传统的逐条读写数据库不太一样。两位联合创始人 Hannes Mühleisen 和 Mark Raasveldt 会加入 AWS 并继续带领团队，目标是让 DuckDB 发展得更好、覆盖面更广，同时保持开源。收购之后，Amazon Aurora PostgreSQL 获得了第一个由 DuckDB 驱动的功能。不过原文没有说明这个功能具体是什么、何时可用，也没有披露收购金额。

员工用 AI「凭感觉编程」自建应用，Cloudflare 开源 Void 帮 IT 部门管起来

现在很多公司鼓励员工用 AI 自己做内部小工具，哪怕完全不懂编程也能上手，Ramp、Stripe 等公司已有类似做法。问题是这些应用绕过了 IT 部门：谁在用、能碰哪些公司数据、安不安全，都没人管，等于新的「影子 IT」。Cloudflare 因此开源了 Void——一套三个工具（SDK、命令行、自托管平台），员工有地方发布自己做的应用，管理员则能控制谁能部署、谁有权访问，公司可以装在自己的 Cloudflare 账号里。刚发布的 Void 1.0 已开放全部源代码（MIT 许可），原来的 Void Cloud 托管服务只限 Cloudflare 内部和少数受邀测试者使用。

“不要把‘开放权重’和‘开源’混为一谈”：Percona CEO 谈 AI 术语为何重要

在布拉格举行的欧洲开源峰会上，开源数据库服务公司 Percona 的 CEO Peter Farkas 提出：行业常把“开放权重”和“开源”当成一回事，但两者差别很大。开放权重只是让你能下载模型、在自己的机器上跑，但训练数据、源代码和训练过程往往不公开，所以你没法真正研究、修改或从头重建它。他担心这样“开放洗白”会慢慢稀释“开源”这个词原本代表的使用、研究、修改和分享自由，甚至波及整个软件行业。开源促进会（OSI）已在 2024 年发布首版《开源 AI 定义》，其新执行总监 Duane O'Brien 承认该定义受到的批评成立，并宣布重新开启讨论，还启动了为期两年的开源 AI 奖学金项目来推动共识。对读者来说，这场争论的现实意义是：看到“开源模型”的宣传时，要先分清你拿到的是能跑的权重，还是真正能信任、改进并在此基础上继续构建的完整开源。

Cloudflare 收购 Node.js 创始人的初创公司，后者曾复刻其无服务器模式

Cloudflare 宣布收购 Node.js 创始人 Ryan Dahl 联合创办的 Deno 公司，交易金额未公开。Deno 是一个 JavaScript/TypeScript 运行时，后来推出了与 Cloudflare Workers 直接竞争的无服务器托管服务 Deno Deploy，还开源了 Celld 项目来复刻 Cloudflare 的编程模型。收购后，Deno 团队将加入 Cloudflare，Deno 独立运行时和托管服务会逐步关停，Celld 将与 Cloudflare 的开源运行时 Workerd 合并，继续以开源方式发布，目标是让开发者用 Cloudflare 的编程模型、在自己管理的基础设施上更轻松地运行分布式应用。

专家在 OSS EU 表示：技术主权需要选择、技能与支持

在 OSS EU 的一场讨论中，专家们说欧洲组织想要在技术上更自主，不是完全不用全球供应商，而是要有靠谱的替代方案，并且自己掌握必要的技能。他们强调，要搞清楚自己在云服务和硬件上依赖了谁，同时在软件上做出实际可用的选择，这样才能真正把技术控制权握在手里。对读者来说，这意味着技术自主不是一刀切地拒绝外部产品，而是学会评估依赖、培养能力，并善用开源等选择来保障日常运营。

Bootiful 播客：传奇 Java 开发者 Kohsuke Kawaguchi 专访

这期 Spring 的 Bootiful 播客请到了 Java 圈很有影响力的工程师 Kohsuke Kawaguchi（川口耕介），聊了他的职业经历和对技术的看法。他曾在 Sun 参与 JDK 里的 XML 和 Web 服务基础设施，还做过几个后来被开发者广泛使用的个人项目，最有名的当属 Jenkins——起初只是因为他自己受不了构建老失败，才写了 Hudson，后来演变成最重要的持续集成平台之一，靠的是插件化、开放和模块化的设计。他后来创办 Launchable 想让测试和 CI 流程更高效，相关成果后来并入了 CloudBees。现在他不再全职带团队，把时间花在长途骑行、做饭和旅行上。他也谈了对 AI 的看法：AI 正在快速改变软件开发，但更可能胜出的做法是把智能能力嵌进现有工作流，而不是让所有人都用一个大聊天窗口。如果你关心 Java 历史、CI/CD、开源文化或开发者工具，这期值得一听。

OpenSearch 元老创立 Infino：为何对 Agent 构建者至关重要

一群曾参与 OpenSearch 的工程师创立了 Infino，推出面向 AI 智能体的统一检索层。过去，智能体要查数据得分别对接数据仓库、搜索引擎、向量数据库，还要用 ETL 管道同步，查询繁琐、成本高。Infino 把数据以 Parquet 格式存到对象存储，用一条 SQL 就能同时完成关键词搜索、语义搜索、过滤、聚合和连接，省去多个系统和胶水代码，还能集中管理权限。对开发者来说，接入更简单、花费更低，核心引擎已在 GitHub 开源（Apache-2.0），Infino Cloud 托管服务也同时推出，但其中部分专有功能需付费使用。

Istio 1.31 新增 Agentgateway Waypoints，并将发布构件迁出 Google Cloud

Istio 是一个管理服务之间通信的开源工具。在 1.31 版本中，它新增了 agentgateway waypoints 功能，让 ambient 模式下的流量管理更灵活，1.31.1 又修了一个金丝雀发布的配置问题。同时，官方不再把镜像和 Helm 图表发布到 Google Cloud，用户需要迁移到新的仓库。如果你在用 Istio 并校验镜像签名，还要提前更新签名密钥，因为 10 月 13 日会做一次停服测试。

开发者政策更新：透明度、州级政策与未来展望

GitHub 发布了最新的透明度数据，并回顾了 2026 年美国州级立法会议中与开发者和开源相关的政策变化。最显眼的是，GitHub 收到的政府下架请求从 2025 年全年的 98 件，涨到 2026 年上半年的 708 件，但这主要是因为统计方式变了，把重复请求和各类请求都算了进去，实际下架内容仍然很少。在政策方面，加州 SB 1000 法案原本要求在某些情况下撤销许可证，这会和不可撤销的开源许可证产生冲突，经过社区反馈改成了更窄的通知与回应方式，目前正等待州长签署。GitHub 也在关注年龄验证、内容来源标注等立法，担心过于宽泛的定义会波及开源操作系统和开发者工具。对开发者来说，这提醒大家政策变化会直接影响日常使用的工具和参与的开源项目。

Anthropic 收购 Stainless 并关停其 SDK 生成器，Cloudflare 转而开源 Forge

Anthropic 收购了 SDK 和 MCP 工具公司 Stainless，随后 Stainless 宣布关停产品，包括其 SDK 生成器。这让 OpenAI、Google 和 Cloudflare 等曾依赖该服务的公司突然失去了自动更新 SDK 的工具。Cloudflare 于是开源了自研工具 Forge，它读取 OpenAPI 描述，自动生成 SDK、命令行工具和文档等接口。Forge 采用 Apache 2.0 许可证，可私有运行和修改，目前仍处早期阶段，已用于生成 Cloudflare 的 cf CLI，其官方 SDK 和文档将在未来几个月迁移过来。同期 Google 也与 Speakeasy 合作开源了 OpenAPI 代码生成套件。

我们如何用开源 AI 安全智能体发现 24 个安卓漏洞

GitHub 安全实验室做了一个开源 AI 工具，叫“任务流智能体”。它把安全研究员平时查漏洞的步骤拆成小提示，让 AI 按步骤检查安卓应用。安卓应用常有一些特殊漏洞，比如外部应用乱传参数、偷偷导入设置，AI 一开始容易漏掉。作者因此针对性写了两套任务流：一套先分清哪些入口能被外部调用，另一套列出常见漏洞类型逐项核对。跑了这些流程后，他们已在多个安卓应用里报告了 24 个漏洞，其中 OsmAnd 的导出页面可被其他应用恶搞设置、偷看位置。任何人都能运行这套开源流程，但需要 GitHub Copilot 许可证，还会消耗大量令牌，中等仓库跑一次可能一两小时。

从开发者视角看如何用开源方法避免供应商锁定

这篇文章讲的是一位开发者对供应商锁定问题的看法。很多基础设施团队在选型时，会因为赶工期或预算压力选择某家厂商的托管服务，当时看起来合理，但时间一长就越来越难换掉，比如数据库、身份认证、日志监控都和某家云绑死了。作者认为，开源软件能帮助团队更容易检查、迁移和替换系统，从而保留选择的余地。不过他也提醒，开源本身不保证一定能避免锁定，如果团队在开源基础上仍然做出紧耦合的设计，照样会被绑住。文章以 Linux 内核和 Kubernetes 为例，说明开源许可证和治理结构如何防止单一厂商单方面改变规则。

“令人惊叹的开放程度”：小米以 MiMo-V2.6 超越常规开放权重玩法

小米发布了 MiMo-V2.6 系列模型，包括旗舰版 MiMo-V2.6-Pro，这是一个万亿参数的大模型，支持文本、图像、音频和视频，上下文窗口达 100 万 token。小米不仅公开了模型权重（MIT 许可），还把强化学习训练过程通过公开仪表盘直播了 5 天，并公布了训练成本：Flash 约 85 万美元，Pro 约 262 万美元。此外，小米承诺开源超过 7000 个任务环境和训练框架等资源，但目前 Hugging Face 上只有三个模型，其他资源尚未放出。这意味着研究人员和开发者未来可以基于这些开放资源做更多实验，推动开源 AI 进步，但部分承诺还在陆续兑现中。

AWS 开源一款 AI Agent，声称比 Claude Code 和 Codex 便宜 45%

AWS 开源了一个叫 Strands Harness 的通用 AI Agent 基础框架，开发者可以本地运行或部署到云上。过去用 Strands 这类 SDK 搭 Agent，虽然零件齐全，但上下文怎么管、对话怎么存、工具怎么接，都得自己从头决定。Strands Harness 把这些预先配好，自带文件、shell、网页工具以及上下文压缩、记忆、会话持久化等能力，默认走 Amazon Bedrock，但也能改成 Anthropic、OpenAI、Google 或本地 Ollama。AWS 用六项基准测试对比后称，相比 Claude Code 和 Codex 平均便宜 45%、准确率大致相当；不过加入更便宜的 DeepSeek Harness 后，这一差距缩小到 28%。AWS 说这是通用 Agent 而非编程助手，目前可通过 pip 或 npm 安装使用。