早报：llama.cpp 发布 1.0，Copilot 调整模型阵容，Cloudflare 可限制花费
本期核对此前晚报之后的官方更新：llama.cpp 与 ggml 迎来 1.0.0，Claude Code 调整沙箱权限默认行为，GitHub Copilot 将于 12 月下线部分模型并上线 Gemini 4 Hydrogen，Cloudflare 为按量付费用户推出花费上限，Google AI Studio 可直接领取云积分，Vercel 则上调 Token Pass 额度并支持 Daemon 追踪。
本期时间窗自北京时间 11 月 13 日 20:20 的晚报之后，重点核对该窗口内仍可公开打开的官方公告、变更说明和项目文档。llama.cpp 的 GitHub 发行标签时间为 2026-11-13T10:20:19Z，略早于上期发布时间，但官方博客于 14:05 UTC 发布，且上期未覆盖这一重要版本，故予收录。Claude Fable 5.2 与 Mythos 5.2 的官网标注发布日期为 11 月 9 日，未作为新条目再次收入。LINUX DO 在本次运行中返回 403，未能浏览其公开页面。X 搜索仅作线索，条目事实均以已打开的官方页面为准。n8n 关于 AWS Bedrock 节点绕过 SSRF 防护的安全公告发布于 10:55 UTC，落在上期发布时间之前，未写入正文；Ubuntu 同日的 NVIDIA Tegra 与 FIPS 内核公告适用范围较窄，亦未收录。Vercel Changelog 的时间精确到分钟，source_published_at 记为该分钟的 00 秒。摘要只依据已打开的官方页面核对事实与数字，未转载全文或图片。
llama.cpp 发布 v1.0.0，公共 API 开始按语义化版本演进
ggml-org 于 11 月 13 日发布 llama.cpp v1.0.0，并同步将张量库 ggml 升至 v1.0.0。官方博客写明，此后两个项目将以主版本号标识公共 API 和 ABI 的不兼容变更：对 ./include 中公开 C API 的破坏性修改会提升 MAJOR，向后兼容的功能或模型支持提升 MINOR，纯修复提升 PATCH。GitHub 发行说明列出本次 API 调整，包括移除 llama_set_warmup、35 个已弃用函数以及 defrag_thold，并把 NextN/推测解码接口提升到 llama.h。该版本还加入 OCP FP8 KV 缓存、可配置 CPU 份额的主机内存 MoE 专家缓存，加固 llama-server 的 SSRF、CORS 和 DNS 重绑定相关处理，并新增兼容 OpenAI 的 /v1/audio/speech 接口。博客称当前支持 150 余种模型架构。GitHub 发行标签时间为 10:20 UTC，官方博客时间为 14:05 UTC。
为什么值得关注
依赖 libllama 或 libggml 公共头文件的下游项目需要按发行说明核对破坏性变更，并开始跟随后续的语义化版本。自行托管 llama-server 的人也应关注其中的安全相关默认项与新增的显式放行选项。
Claude Code 2.1.325 默认不再自动放行沙箱内 Bash 命令
Anthropic 于 11 月 13 日发布 Claude Code 2.1.325。官方变更说明写明，沙箱内的 Bash 命令默认改为走常规权限流程；若要维持原先在沙箱中免询问执行，需设置 sandbox.autoAllowBashIfSandboxed: true。由托管设置打开沙箱时，也要在优先级最高的托管来源中加入同一选项，命令才会继续免提示运行。此版本还修复了 zstd 压缩响应解码中的安全问题，并收紧若干沙箱边界，例如拒绝沙箱进程写入已添加目录中的 .claude 设置、技能和钩子，以及修复复合命令可能绕过 Bash 权限检查的缺口。官方 GitHub 发行页的发布时间为 20:40 UTC。
为什么值得关注
已经依赖“沙箱即自动放行”的本地工作流、定时任务或托管策略，升级后可能会频繁遇到权限询问。需要无人值守执行时，应按文档显式配置新选项，并同时关注此次安全修复。
GitHub Copilot 将于 12 月 14 日下线部分模型
GitHub 于 11 月 13 日在 Changelog 宣布，将在 2026 年 12 月 14 日于所有 GitHub Copilot 体验中停用一批模型，范围包括 Copilot Chat、行内编辑、Ask 与 Agent 模式以及代码补全。计划停用的模型及官方建议替代为：Claude Fable 5 改为 Claude Fable 5.2，Claude Haiku 4.5 改为 Claude Haiku 5.5，Gemini 3.8 Flash 改为 Gemini 4 Hydrogen，Gemini 4 Argon 改为 Gemini 4 Carbon，Grok 4.6 改为 Grok 4.7；Kimi K3 的替代方案则写为待公布。公告注明，年付个人订阅用户可继续使用 Claude Haiku 4.5，该项停用不适用于这些客户。在默认启用新模型的策略下，Copilot Enterprise 和 Business 会自动启用建议替代模型，除非管理员关闭了全局默认或显式禁用该模型。
为什么值得关注
若工作流、策略或提示词绑定了即将停用的模型，需要在 12 月 14 日前改到官方建议的替代模型，并确认组织的模型策略是否允许自动启用。
Gemini 4 Hydrogen 已在 GitHub Copilot 正式可用
GitHub 于 11 月 13 日宣布，Google 最新的 Flash 模型 Gemini 4 Hydrogen 已在 GitHub Copilot 正式提供。官方称其面向快速、高效的智能体编码、工具调用和多步工作流，并写明在指令遵循上优于 Gemini 3.8 Flash。该模型按提供方目录价纳入按量计费，具体价目需查看 Copilot 的模型与定价说明。可用范围为 Copilot Pro、Pro+、Max、Business 和 Enterprise，可在 Visual Studio Code、Visual Studio、Copilot CLI、coding agent、Copilot 应用、github.com、GitHub Mobile、JetBrains、Xcode、Eclipse 以及 Copilot SDK 的模型选择器中选用。公告称将逐步推送，若暂时看不到可稍后再查看。Business 和 Enterprise 管理员可通过 Copilot 设置中的模型策略管理访问；在默认启用新模型的情况下，除非关闭全局默认或显式禁用，新模型会自动开放。
为什么值得关注
计划把日常编码智能体从即将停用的 Gemini 3.8 Flash 迁到 Hydrogen 的团队，可以先在 Copilot 里验证效果，并留意按量计费与逐步推送带来的到账时间差异。
Cloudflare 推出 Spend Management，可为 Workers 设置花费上限
Cloudflare 于 11 月 13 日宣布推出测试版 Spend Management，面向按量付费（PayGo）客户，首批覆盖 Workers 和 Durable Objects。用户可在控制台的账户账单花费限额页面，或通过 REST API 与 cf CLI，为产品设置花费上限、通知邮箱和一条或多条告警阈值。达到上限后会执行阻断策略并自动暂停该产品。控制台可在约 10 分钟内查看当前账期费用。公告提醒，账期从付费订阅开始时起算，而不是按自然月，也不取决于何时部署 Worker 或设置上限。官方建议将其与 AI Gateway 已有的花费限制一起使用，以分别管理计算和推理成本。按应用或按智能体汇总并暂停、以及覆盖更多产品，目前只写在后续规划中。
为什么值得关注
在 Cloudflare 上运行 Workers、Durable Objects 或智能体相关负载的按量付费用户，终于可以用硬上限避免意外账单。开启前应确认当前账期起止，并理解达到上限会暂停对应产品，而不是仅发送通知。
Google AI Studio 可直接领取 Developer Program 云积分
Google 于 11 月 13 日宣布，Google Developer Program 的云积分已接入 Google AI Studio。Google AI Pro 和 Ultra 订阅者可以在 AI Studio 内完成计费设置、领取每月积分，并继续使用 Gemini API，而不必再跳转到多个网站。领取积分需要有效的 Developer Program 档案；若没有，AI Studio 会在兑换时自动创建。博文写明，每月积分自发放起 12 个月有效，并可按月累积；升级套餐会提高每月发放额度，但本页未给出具体金额。使用带 Cloud 计费的 Gemini API 前，需先有至少 5 美元的预付余额，然后才能扣减促销积分。积分仅限主订阅者使用，不能与家人共享。兑换后可绑定付费档 API 密钥，并在 aistudio.google.com/billing 查看余额和用量。
为什么值得关注
已订阅 Pro 或 Ultra 的开发者如果还没领取过积分，可能已经攒下可叠加的额度。使用前需满足 5 美元预付余额，并确认自己是主订阅者。
Vercel Token Pass 月度额度上调至 150 美元，价格仍为 30 美元
Vercel 于 11 月 13 日在 Changelog 宣布，Token Pass 的月度 token 额度由 80 美元上调至 150 美元，价格仍为每团队每月 30 美元。官方写明，该额度适用于经 AI Gateway 提供的精选开源权重模型，包括 Kimi K3、Kimi K3.1 Pro、GLM 5.3、GLM 5.3 Flash 和 DeepSeek V4.1 Flash。额度按账期重置，不能结转。用尽之后，使用标准 AI Gateway 密钥或 OIDC token 的请求会回退到团队的 AI Gateway 余额；使用 Token Pass 专用密钥的请求则会停止，且不会产生超额费用。Token Pass 目前是面向 Pro 团队的 Early Access 附加项，名额有限，满员后需排队。连接编码智能体时可在 Vercel CLI 中运行 vercel token-pass，或使用支持 AI Gateway 的 Token Pass API 密钥。
为什么值得关注
已经或准备用 Token Pass 跑开源权重模型的 Pro 团队，同等月费可获得更高额度，但需注意不能结转，以及两类密钥在额度用尽后的不同行为。该附加项仍是限量 Early Access。
Vercel Daemons 可将链路追踪发送到 Vercel Tracing
Vercel 于 11 月 13 日宣布，Vercel Daemons 现在可以把 OpenTelemetry 追踪发送到 Vercel Tracing，从而把后台工作进程的操作和项目中其他追踪放到一起查看。平台会为每个 daemon 提供用于接收 OTLP/HTTP 追踪的 Unix 套接字，并把路径写入环境变量 VERCEL_OTEL_SOCKET_PATH。将 @vercel/otel 升级到 2.3.0 或更高版本后，采用默认配置的 Node.js daemon 可自动导出追踪：SDK 会检测该套接字，并把 worker 记录的 span 发送到 Vercel。这些 span 可通过 Vercel CLI 查询，例如按项目和服务名搜索，并以 JSON 返回给智能体使用。官方提醒，应在 worker 启动前调用 registerOTel 完成 OpenTelemetry 初始化。
为什么值得关注
在 Vercel 上运行长期后台进程的团队，可以把 daemon 的追踪纳入同一套排障流程，也便于智能体用 CLI 检索。启用前需要把 @vercel/otel 升到 2.3.0 及以上，并确认套接字环境变量已注入。