今日 AI 速览
头条
Cursor Windows 版被披露零点击仓库 RCE：打开含恶意 git.exe 的项目即可反复执行
Mindgard 披露，Cursor 在 Windows 打开项目后会从多个位置寻找 Git，其中包括工作区根目录；攻击者只需把恶意程序命名为 git.exe 放进仓库，用户打开项目时就会在没有点击、提示或批准的情况下执行，而且会被周期性重复调用。研究团队称漏洞于 2025 年 12 月首次上报，最近一次在 Cursor 3.2.16 上验证，七个月后仍未获得修复进度；目前这是研究方的完整披露，Cursor 尚未公开回应。临时缓解方式是只在隔离虚拟机中打开不可信仓库，企业 Windows 环境可用 AppLocker、Windows App Control 或 EDR 限制工作区执行。
点评：所有在 Windows 上用 Cursor 拉取陌生仓库的团队，都应立即把“打开项目”当成执行未知代码来隔离。
Bonsai 27B 把 27B 多模态模型压到 3.9 GB：官方称可在 iPhone 17 Pro 本地运行
PrismML 发布基于 Qwen3.6 27B 的 Bonsai 27B，提供 5.9 GB 三值版与 3.9 GB 1-bit 版，均支持视觉、262K 上下文、结构化工具调用和推测解码，并以 Apache-2.0 开放权重。官方自测称三值版与 1-bit 版分别保留全精度基线 95% 与 90% 的综合能力，iPhone 演示则使用缓存并预填充图像上下文，因此不能直接等同于日常端到端速度。发布后迅速登上 HN，讨论焦点从“手机能否装下大模型”转向量化后的真实 agent 稳定性。
点评：做端侧 agent 的团队现在该测的是持续任务成功率、首 token 延迟和内存峰值，而不是只复述参数量。
Demis Hassabis 提议美国牵头前沿 AI 审查机构：模型发布前最多提前 30 天送测
Google DeepMind CEO Demis Hassabis 在个人长文中提出仿照 FINRA 建立行业出资、政府监督且独立专家占多数的前沿 AI 标准机构。初期由实验室自愿在发布前最多 30 天提交模型，测试网络安全、生物风险、欺骗和 agent 越权等能力；框架成熟后可转为进入美国市场的强制门槛，必要时还能协调前沿实验室放慢开发。Axios 报道称他希望机构在年底前运作，规则同时覆盖开放与闭源前沿模型。
点评：前沿实验室与监管者若认可发布前评测，就应先公开可审计的门槛、申诉机制和冲突处理流程。
研究动态
LLM 元认知首份系统综述：会答题不等于知道自己何时会错
Hugging Face Daily Papers 选出的综述首次系统整理 LLM 元认知研究，覆盖模型如何监测自身知识与不确定性、调整推理策略，以及相关能力该怎样测量。作者把现有工作分为评估、诱导、增强与应用，并指出语言流畅度经常掩盖错误置信和自我修正失灵；对生产系统而言，关键不是让模型多写一段反思，而是证明反思能稳定改善结果。
多智能体 LLM 不会主动摸清队友：互动容易短视、极化并增加后悔值
研究把多智能体协作建模为部分可观测随机博弈，发现现代 LLM agent 往往过早固定互动对象和策略，缺少通过试探来识别同伴能力的探索。作者提出轻量框架 MACE，以结构化同伴选择显式鼓励探索，在不同能力组合的实验中改善协调与下游任务表现；理论分析还显示 agent 差异越大，探索的价值越高。
Xiaomi-Robotics-U0：把世界模型变成多机器人训练数据引擎
小米团队提出 380 亿参数多模态自回归模型，统一处理文生图、图像编辑、多视角具身场景、机器人迁移和具身视频生成，并尽量保留基础世界模型的视觉知识。论文报告 U0 在真实操作任务中把 pi_0.5 的分布外成功率从 36.9% 提高到 63.2%，同时在 World Arena 具身视频生成排名第一；这些结果来自作者评测，仍需外部复现验证跨硬件泛化。
工具与产品
Claude Code v2.1.210
修复 worktree 隔离子智能体仍能对主仓库执行 Git 写操作的问题，并加强对子智能体读取内容所触发间接提示注入的防护。版本还为长时间工具调用加入实时计时器，警告无效的 Write、NotebookEdit 与 Glob 权限规则，并让屏幕阅读器朗读权限模式变化；使用并行 agent 的团队应尽快升级并复核既有工作树。
Canva Code 2.0
向所有 Canva 用户开放，可从提示词、50 多个模板或外部 HTML 开始构建网站、应用和互动体验，再像普通 Canva 设计一样直接修改文字、品牌色与素材。Canva 称代码生成耗时下降 75%，从提示到发布的中位时间缩短 30%，并支持实时协作、响应式预览、自定义域名和组织内 SSO 发布。
企业 AI 投入指南
官方把企业评估重点从 token 单价改成“每美元可接受结果”，要求同时计算重试、人工复核、延迟和完成率。配套建议包括按用户、产品和模型观察用量，先治理连接器与 Computer Use 权限，再集中建设评测、可观测性、模型路由和可复用 agent 模式；这更像一套采购与运营框架，而非新模型发布。
Builder 观点
Aaron Levie（Box CEO）：未来 AI 栈不是单一模型赢家通吃。前沿实验室推高能力，开放权重快速吸收突破并降低成本，应用层用评测、领域上下文和路由编排工作流，企业则继续把重心放在持续变化且带权限的数据上；真正难复制的资产是上下文和治理层。
X →社区热议
Codex 多智能体消息加密后，本地可读审计轨迹是否仍应保留？
相关 issue 获 410 分、240 条评论。问题报告称加密传输本身合理，但父任务历史无法回答“子智能体被交付了什么”，建议同时保存受限长度的明文审计副本。
我们是否正在把太多思考过程外包给 AI？
一篇讨论“是否把太多思考外包给 AI”的文章获 381 分，社区争论焦点是便利性是否正在侵蚀判断过程，以及辅助工具何时会取代用户自己的推理。
llama.cpp 补上 DeepSeek V4 Flash 的 DSA CUDA 路径
一名开发者自报把 256K 上下文计算缓冲从约 67 GiB 降到 3.2 GiB，并在 RTX 5090 上跑通 1M 上下文；目前结果只在单卡和有限针刺测试中验证。
提示缓存为何在生产环境频繁失效？
生产讨论提醒，提示缓存不仅依赖“静态前缀在前”；时间戳、工具定义顺序变化和过短 TTL 都可能让命中率归零，监控时应把前缀哈希与缓存策略一并记录。
J-space 可视化能否被称为“思考”仍有争议
讨论继续围绕内部激活可视化能否被称为“思考”展开；作者明确表示，这类结构化表示并不能证明模型具有主观体验。
报道称 DeepSeek 筹备中国内地 IPO，最快今年递交材料
Bloomberg 援引匿名知情人士称 DeepSeek 已开始筹备中国内地 IPO，目标最快今年递交材料、2027 年上市，并在上市前寻求至少 100 亿元人民币新融资。报道还称公司正与会计师事务所和投行合作，但 DeepSeek 未回应置评请求，时间表与估值都仍可能变化；这应被视为融资进程传闻，而非公司正式公告。
GitHub 趋势
今天最清晰的分界线是：AI 能力正在下沉到手机、设计工具和企业流程，但信任边界没有自动跟上。真正可持续的产品会同时证明三件事：模型在目标设备上跑得动，agent 的权限和审计说得清，投入能够用可接受结果而不是 token 数量来衡量。