从 6 条内容中筛选出 3 条重要资讯。

科技新闻

  1. Kimi K3.1 Pro 登陆 API，承诺 11 月 4 日开放权重 ⭐️ 8.0/10
  2. Node2Shell 更名 HTTP2Shell，Brotli RCE 影响范围引争议 ⭐️ 7.0/10
  3. OBS Studio 33 发布：CEF 升级至 150 修复在野 RCE 漏洞 ⭐️ 7.0/10

科技新闻

Kimi K3.1 Pro 登陆 API，承诺 11 月 4 日开放权重 ⭐️ 8.0/10

Moonshot AI 于 2026 年 10 月 23 日通过 Kimi API 发布 Kimi K3.1 Pro，目前尚未开放权重，但承诺最迟在 11 月 4 日发布完整模型权重。API 还提供 Highspeed 版本，速度提升 2–3 倍，价格为标准版的两倍，但输入 token 缓存命中的价格与标准版相同。标准版定价为每百万输入 token 2 美元、每百万输出 token 10 美元，与 GPT-6.1 Sol 相同，是 Claude Opus 5.5 的一半。Moonshot 自测显示，Kimi K3.1 Pro 与 Opus 5.5、GPT-6 Astra 大致相当，在部分基准上领先，在另一些基准上接近；Artificial Analysis 给它 55 分，高于 Claude Fable 5.1、GPT-6 Astra 和 Gemini 4 Argon 的 53 分，仅低于 Opus 5.5 的 58 分。Simon Willison 通过 Moonshot API 和 LLM 0.32 的 OpenAI 兼容端点，在低、中、最高三档推理强度下生成骑自行车的鹈鹕 SVG，并与 Kimi K3 的结果作了对比。

rss · Simon Willison · 10月23日 19:40

「背景」 Moonshot AI 是 Kimi 系列模型的开发商。开放权重意味着模型参数可被公开下载并自行部署，而不只是通过厂商 API 调用；这与只能使用托管服务的闭源模型不同。Kimi K3.1 Pro 的性能证据同时包含厂商自测结果和 Artificial Analysis 的第三方评分，两者需要区分看待。

「影响」 对开发者和企业而言，Kimi K3.1 Pro 以与 GPT-6.1 Sol 相同、为 Claude Opus 5.5 一半的 API 价格，提供了第三方评分接近前沿的选择；若 11 月 4 日如期开放权重，还将增加自托管选项。

标签: #Kimi, #Moonshot AI, #LLM releases, #model pricing, #benchmarks

Node2Shell 更名 HTTP2Shell，Brotli RCE 影响范围引争议 ⭐️ 7.0/10

Aikido 博客公开了一项与 Brotli 解压相关的远程代码执行漏洞，该漏洞由 Node2Shell 更名为 HTTP2Shell，链接中给出的编号为 CVE-2026-111497。现有描述称其影响大量 HTTP 库和应用，并涉及未经认证的远程代码执行，因此被视为高价值安全事件。不过在现有条目信息中，完整受影响清单、版本范围和利用条件尚不明确，文章链接还指向 Python 包，而讨论中有人提醒手动 Brotli 解码也可能触发，说明实际影响边界可能不限于 HTTP。在原始公告细节缺失的情况下，目前能确认的是漏洞被重新命名并引发广泛讨论，具体修复版本与真实爆炸半径仍需以原始公告和厂商公告为准。

hackernews · theanonymousone · 10月24日 08:06 · 社区讨论

「背景」 Brotli 是一种通用无损压缩算法，HTTP 通过 `Content-Encoding: br` 在请求体与响应体中使用它，Node.js 等运行时则内置或通过 brotlicffi 等库提供 Brotli 解码器。CVE-2026-111497 是该解码器中的越界写内存安全漏洞，Node.js 官方认定其可导致远程代码执行，并已为 22.x、24.x、26.x 系列发布修复；该漏洞最初以 Node2Shell 之名公开，随后在讨论中被改称 HTTP2Shell，也有人提出 Broccoli2Shell 等更聚焦于 Brotli 本身的叫法。除 Node.js 自带解码器外，凡在 HTTP 路径或手动解码流程中调用受影响 Brotli 实现的库与应用，理论上都处于同一攻击面之内。

「影响」 对使用 Node.js 内置 Brotli 解码器以及安装了 Brotli/brotlicffi 的 HTTP 库或应用的开发者和组织来说，需尽快核对受影响版本并升级到 Node.js 22.x、24.x、26.x 等已发布的修复版本，以消除越界写入可能导致的远程代码执行风险。鉴于报道对“影响大量 HTTP 库”的实际范围仍存在争议，应按官方公告确认自身组件与配置是否真正暴露。

「社区讨论」 评论普遍批评 HTTP2Shell 命名过于宽泛和误导，认为 Brotli2Shell 或 Broccoli2Shell 更贴近实际，并指出漏洞不一定依赖 HTTP，手动 Brotli 解码同样可能触发。另一争议点是文章未清楚区分哪些库在常见配置下支持 Brotli 压缩请求体、哪些只是其他 Brotli 用法，同时有人质疑“未认证 RCE 却长期未被重视”的时间线，并呼吁减少夸大、尽快修补。

参考链接

标签: #security vulnerability, #Brotli, #remote code execution, #HTTP libraries, #open source security

OBS Studio 33 发布：CEF 升级至 150 修复在野 RCE 漏洞 ⭐️ 7.0/10

OBS Studio 发布 33.0.0 大版本更新，其中被讨论最多的变更是将 Chromium Embedded Framework（CEF）从 127/6533 升级到 150/7871。据社区评论引述更新日志，旧版 CEF 已落后约两年，且在野出现了可远程执行代码（RCE）的漏洞利用并被媒体报道，约一个月后修复才随新版本落地。由于 OBS 的浏览器源、聊天叠加层等功能依赖 CEF 渲染网页内容，这一组件长期未更新被视为本次发布的核心安全事项。目前条目未提供完整发布说明，其他功能变更与修复范围尚不清楚。

hackernews · pentagrama · 10月24日 04:49 · 社区讨论

「背景」 Chromium Embedded Framework（CEF）是一个开源框架，用于在第三方应用中嵌入 Chromium 浏览器，使应用能够显示网页内容并使用 HTML、CSS 等技术。OBS Studio 的浏览器源和浏览器停靠面板基于 CEF，因此 CEF 版本决定了这些组件所使用的底层浏览器引擎。OBS Studio 33 将 CEF 从 127/6533 更新到 150/7871；官方说明称，这是从 2024 年 7 月版本到 2026 年 9 月版本的大幅底层升级，相关改动应在后端完成，对用户不可见。

「影响」 对使用浏览器源、叠加层等依赖 CEF 功能的 OBS 用户来说，升级到 33.0.0 是关闭已知在野 RCE 攻击面的直接手段，继续停留在旧版本则仍暴露于相应风险。

「社区讨论」 评论普遍以“终于来了”回应 CEF 升级，认为此前组件落后两年、修复滞后约一个月；也有用户推荐 VDO.ninja 作为轻量、低延迟的浏览器视频传输方案，并分享用 OBS 录制大学课程、替代 Zoom 以避免录像丢失的正面体验。

参考链接

标签: #OBS Studio, #security update, #Chromium Embedded Framework, #open-source software, #video streaming