🎯 今日核心
OpenAI Images 2.6：ChatGPT / Codex / API 同步上线
11 月 4 日，OpenAI 放出 Images 2.6。入口覆盖 ChatGPT、Codex 和官方 API，官方口径是生成大约快 50%。全平台宣称每周约 40 亿 张图，折合每天五亿量级——生图已经不是「偶发能力」，而是高频基础设施。
API 侧拆成两条模型 ID：gpt-image-2.6-flare 与 gpt-image-2.6-sunburst。Flare 偏快迭代，质量档拉到 low 时官方称最快可到约 6 秒；Sunburst 偏细节与多轮编辑一致性，适合海报、产品图、品牌物料。两者公开发布的 token 价相同：文本输入约 8 / 百万，图像输出约 $30 / 百万（缓存输入更低）。单价一样不等于单张一样贵——尺寸、quality、是否多轮编辑、是否出 GIF，都会吃掉不同量的输出 token。
这版真正拉开产品面的，是「能动起来」和「能接进工程」。GIF 可以直接生成短循环动图：品牌 IP、社媒反应、分镜草稿都能先动一轮再进视频。API 把 ChatGPT 里已有的图像 markup 编辑带过来，能圈出要改的位置；另支持 SVG 导出，方便进网站、印刷或设计工具。新参数 complexity 控制「先想多久再画」：多数轻量编辑官方建议 low，复杂构图再抬到 medium / high；quality 仍管纹理与小字清晰度。Figma Weave 等创作工具已表态会接入。
对本仓这类封面流水线，意义很直接：原先默认的 gpt-image-2.5-sunburst 可以开始试迁 2.6；想压时延先测 Flare，要稳定构图再留在 Sunburst。动图与 SVG 适合营销物料，不适合默认塞进公众号封面流程。安全与滥用边界仍要看系统卡；价目以官方定价页为准，别只抄第三方计算器。
🖥️ 前端
1. Nuxt 4.6.4：安全合集，建议尽快升
11 月 2 日安全版，修 8 条 Nuxt advisory，并带上 nitropack 2.13.6（再修 3 条 Nitro）。行为上有几处值得注意：生产错误页不再把未信任抛错的细节塞进 payload；Webpack / rspack 开发服也会拒非预期 Host（可配 devServer.allowedHosts）；cache / swr / isr 只缓存 GET/HEAD，且不再缓存带 cookie 或 private / no-store 的响应；带编码斜杠的路径也会命中 route rules。若你还在 4.6.0～4.6.3，尤其要关心「前导 // 绕过页面路由侧中间件 / redirect」一类路径错配。本仓 Nuxt 前台应对照版本表排升级窗口。
2. Vitest 5.0：共享 Vite server，测速最高涨约五成
VoidZero 维护的 Vitest 放出 5.0。小工具包到约 1280 模块单体，多数场景大约快 8%～25%；VM pool 最高报到约 53%，全场口径约 18%（含 Browser Mode）。默认值变严：clearMocks 默认 true，未 await 的异步断言直接失败。门槛是 Vite ≥ 6.4、Node ≥ 22.12；Cloudflare vitest-pool-workers 仍钉 4.x peer，monorepo 可能要分版本过渡。
3. 掘金热帖：CORS 到底在保护谁
热榜把跨域讲回「浏览器同源策略 + 服务端是否放行」，点名很多前端把 CORS 当成「后端拦坏人」。联调时预检失败先查 Origin / 方法 / 头，别只在前端加代理；生产也不要用 * 配凭证请求。
4. BrowserForge：Agent 用真浏览器，点击要你批
Show HN 项目让 Agent 挂本机真实浏览器会话，关键点击仍需人工批准。方向和「给 Agent 无沙箱超级权限」相反：牺牲一点自动化，换可控与登录态复用。别直接接到生产账号上不设审批。
⚙️ 后端
1. Go 1.27：encoding/json/v2 稳定可用
试验一年多的新 JSON API 随 Go 1.27 一般可用：encoding/json/v2 管语义，encoding/json/jsontext 管语法层流式编解码。默认更严：非法 UTF-8、重复键要报错；nil slice / map 默认编成空数组 / 空对象而不是 null；字段匹配默认大小写敏感。旧包仍在，但兼容承诺里不便硬改，所以才拆 v2。新服务可直接用；老代码迁移要对齐「宽松解析」和 null 语义差异。
2. Kernel.sh 公开安全事件：泄露密钥一路打到 GPU 机
11 月 4 日公告：10 月 24 日起攻击者用失陷 API key 探测；27 日进日志平台拖走少量密钥；11 月 3 日再用托管账号凭证打进 4 台 GPU 服务器（其中 3 台跑浏览器会话）并尝试挖矿。影响约 0.28% 客户。官方已轮换凭证、下线机器。提醒仍是：密钥作用域、日志是否落密、主机入口要分层。
3. Hono 4.13.16：一次修 5 个安全洞
含 mount 中间件绕过、RegExpRouter 跳过通配中间件、multipart 校验缺口、css helper HTML 注入，以及 csrf 对 text/ping 的空隙。跑 Hono 网关或边缘 API 的，应尽快对照发行说明升级并回归启动路径。
4. Zig 0.17.1 发布
以稳定性与工具链修复为主。跟 Zig 工具链或用它写底层组件的项目可对照发行说明决定是否跟；不是业务后端必升项。
🤖 AI
1. OpenAI 宣布收购 Pierre
11 月 4 日官宣收购 Pierre Computer Company。Codex 里浏览文件、看 diff 已用到对方的 Trees / Diffs；对方还有 Diff 内编辑、高速语法高亮，以及用 Git 语义存代码的 Code Storage。叙事很明确：Agent 并行改代码之后，源控与评审要变成「人和 Agent 同一套工作流」。开源项目承诺继续开源；交割完成前两家仍独立。
2. Kimi K3.1 Pro 权重放出
Hugging Face 出现 Moonshot 的 Kimi K3.1 Pro 权重；Vercel AI Gateway 也为该模型增加更多 ZDR（零数据保留）供应商。另有审计文指控它会「背」并执行隐藏测试规则。工程上可做私有化 / 网关评估；选型时把「开源权重」和「基准是否可信」分开看。
3. Anthropic：大模型「可证明推理」进展
研究帖讨论如何让推理步骤更可核验，而不是只看最终答对。距离工程落地还有距离，但对高风险决策与评测设计有信号：以后比的不只是分数，还有中间步骤能不能被证明或复核。
4. 948 个 Linux 本地提权：自主找洞到出补丁
OpenAI 安全研究披露流水线：静态找候选 → 动态复现 → PoC → 补丁 → 人审。一次运行动态复现 1724 个问题，产出 948 个可用 LPE，API 费用约 121 万美元。结论偏重：未及时打补丁的低权限账号，对有资源的攻击者越来越接近「等同 root」；防御要靠沙箱与纵深。
5. 有人报：Gemini 个人账号仍用聊天记录训练
HN 高热讨论称订阅用户个人侧仍感到聊天历史被用于训练。具体以 Google 账号隐私设置与当期官方说明为准；敏感数据更稳的路径仍是企业合约与零保留通道。
🛠️ 实用小工具
刷到想收藏的视频或图集，却被水印挡住？微信扫下方小程序码，粘贴链接即可免费保存到相册。
微信扫一扫打开「小白龙去水印工具」。
💬 技术交流群
欢迎加入「全栈技术交流」微信群，一起聊前端 / 后端 / AI。微信扫下方二维码入群（群码约 7 天有效，过期请看最新早报）。
扫码加入「全栈技术交流」微信群。
