开发者的半日简报
从 AI 工具到开源实践，精选有用的变化，
附上原始来源与值得关注的理由。
本期核对此前早报之后仍可打开的官方说明：Cursor 公布 10 月安全事件的调查结论与未受影响范围，Bitrise 则就其内部系统未授权访问给出更完整说明，服务仍在分阶段恢复。
阅读本期Cursor 公布 10 月安全事件调查更新。官方称攻击始于 Fireworks 暴露其访问密钥，攻击者从只读桶复制未开 Privacy Mode 的 traces，API 凭证受影响客户不到 0.01%。10 月 29 日恶意 Claude Code 扩展出现在 Cursor 市场缓存，最多约 5000 名用户可能拿到，约 11...
值得关注使用 Cursor、曾关闭 Privacy Mode，或在 10 月 29 日从 Cursor 市场安装、更新过 Anthropic.claude-code 2.1.312 或 2.1.313...
Bitrise 称 11 月 13 日 16:32 UTC 发现内部云环境可疑活动，并确认内部系统遭未授权访问；该系统不存储或处理客户数据，公司已预防性下线全部服务。14 日 01:26 UTC 的说明称当时未见客户数据、密钥或源码被暴露的证据，建议恢复后轮换平台中的密钥、令牌和证书。截至 14 日 11:53 UTC，事件仍为 investigating、SEV-1，登录有望很快恢复。
值得关注依赖 Bitrise 做持续集成、发布或密钥托管的团队，目前可能无法登录或运行构建。官方建议一旦能够登录，就轮换存放在 Bitrise 中的全部密钥、访问令牌和证书。后续进度以官方状态页为准。
ggml-org 于 11 月 13 日发布 llama.cpp v1.0.0，并同步将张量库 ggml 升至 v1.0.0。官方博客写明，此后两个项目将以主版本号标识公共 API 和 ABI 的不兼容变更：对 ./include 中公开 C API 的破坏性修改会提升 MAJOR，向后兼容的功能或模型支持提升 MINOR，纯修复提升 PATCH。GitHub...
值得关注依赖 libllama 或 libggml 公共头文件的下游项目需要按发行说明核对破坏性变更，并开始跟随后续的语义化版本。自行托管 llama-server 的人也应关注其中的安全相关默认项与新增的显式放行选项。
Anthropic 于 11 月 13 日发布 Claude Code 2.1.325。官方变更说明写明，沙箱内的 Bash 命令默认改为走常规权限流程；若要维持原先在沙箱中免询问执行，需设置 sandbox.autoAllowBashIfSandboxed:...
值得关注已经依赖“沙箱即自动放行”的本地工作流、定时任务或托管策略，升级后可能会频繁遇到权限询问。需要无人值守执行时，应按文档显式配置新选项，并同时关注此次安全修复。
GitHub 于 11 月 13 日在 Changelog 宣布，将在 2026 年 12 月 14 日于所有 GitHub Copilot 体验中停用一批模型，范围包括 Copilot Chat、行内编辑、Ask 与 Agent 模式以及代码补全。计划停用的模型及官方建议替代为：Claude Fable 5 改为 Claude Fable 5.2，Claude...
值得关注若工作流、策略或提示词绑定了即将停用的模型，需要在 12 月 14 日前改到官方建议的替代模型，并确认组织的模型策略是否允许自动启用。
GitHub 于 11 月 13 日宣布，Google 最新的 Flash 模型 Gemini 4 Hydrogen 已在 GitHub Copilot 正式提供。官方称其面向快速、高效的智能体编码、工具调用和多步工作流，并写明在指令遵循上优于 Gemini 3.8 Flash。该模型按提供方目录价纳入按量计费，具体价目需查看 Copilot...
值得关注计划把日常编码智能体从即将停用的 Gemini 3.8 Flash 迁到 Hydrogen 的团队，可以先在 Copilot 里验证效果，并留意按量计费与逐步推送带来的到账时间差异。
Cloudflare 于 11 月 13 日宣布推出测试版 Spend Management，面向按量付费（PayGo）客户，首批覆盖 Workers 和 Durable Objects。用户可在控制台的账户账单花费限额页面，或通过 REST API 与 cf...
值得关注在 Cloudflare 上运行 Workers、Durable Objects 或智能体相关负载的按量付费用户，终于可以用硬上限避免意外账单。开启前应确认当前账期起止，并理解达到上限会暂停对应产品，而不是仅发送通知。
Google 于 11 月 13 日宣布，Google Developer Program 的云积分已接入 Google AI Studio。Google AI Pro 和 Ultra 订阅者可以在 AI Studio 内完成计费设置、领取每月积分，并继续使用 Gemini API，而不必再跳转到多个网站。领取积分需要有效的 Developer Program...
值得关注已订阅 Pro 或 Ultra 的开发者如果还没领取过积分，可能已经攒下可叠加的额度。使用前需满足 5 美元预付余额，并确认自己是主订阅者。
Vercel 于 11 月 13 日在 Changelog 宣布，Token Pass 的月度 token 额度由 80 美元上调至 150 美元，价格仍为每团队每月 30 美元。官方写明，该额度适用于经 AI Gateway 提供的精选开源权重模型，包括 Kimi K3、Kimi K3.1 Pro、GLM 5.3、GLM 5.3 Flash 和 DeepSeek...
值得关注已经或准备用 Token Pass 跑开源权重模型的 Pro 团队，同等月费可获得更高额度，但需注意不能结转，以及两类密钥在额度用尽后的不同行为。该附加项仍是限量 Early Access。
Vercel 于 11 月 13 日宣布，Vercel Daemons 现在可以把 OpenTelemetry 追踪发送到 Vercel Tracing，从而把后台工作进程的操作和项目中其他追踪放到一起查看。平台会为每个 daemon 提供用于接收 OTLP/HTTP 追踪的 Unix 套接字，并把路径写入环境变量 VERCEL_OTEL_SOCKET_PATH。将...
值得关注在 Vercel 上运行长期后台进程的团队，可以把 daemon 的追踪纳入同一套排障流程，也便于智能体用 CLI 检索。启用前需要把 @vercel/otel 升到 2.3.0 及以上，并确认套接字环境变量已注入。
World Labs 于 11 月 12 日在官网列出“发布下一代世界模型 Atlas”，产品页提供配套工具和开发者 API。Viewfinder 可从照片或生成图像重建场景，并支持移动相机、探索新视角和渲染路径；Chisel 用于搭场景与灰模。页面还提供高斯溅射转网格、重光照，以及包含 Blender 在内的接口。产品页未写明价格与访问门槛。
值得关注适合需要把照片或概念图做成可探索三维场景、并导入现有三维工具链的创作者和开发者。具体能否直接使用，以及费用与限制，应以产品页和开发者文档的当前说明为准。
Thinking Machines Lab 更新 11 月 5 日发布稿称，Inkling 2 Small 权重已可在 Hugging Face 下载，许可为 Apache 2.0。该模型为混合专家结构，总参数 5940 亿、每次激活 170 亿，支持文本和图像输入，上下文最长 100 万 token。官方已接入 SGLang、vLLM 等框架，并提供多家平台 API。模型不支持音频。
值得关注适合要本地或自建推理、微调开源权重的团队。模型卡写明 NVFP4 检查点至少约需 500GB 合计显存，例如 2 张 B300 或 4 张 H200；部署前应核对硬件，并阅读安全与可接受使用政策。