这哥们真的赢了

有点瘆人：两个AI可以当着你的面传暗号，而你看到的，只是一张普通的AI风景图.... 刚看到研究者 @cnm13ryan 用Fable 5.1做的一个实验：给AI一句话，让它把这句话藏进图片。 具体怎么藏，由Fable 5.1它自己想办法。 AI画了一张星空图，有月亮、群山、树林，看起来没什么特别。 接着，研究者新开一个完全独立的Fable 5.1对话，把图片发进去，只问：“这里面有没有隐藏信息？” 没有告诉它藏了哪句话，也没有告诉它该怎么找。结果，另一个会话里的AI借助工具分析图片，还真把原话找了出来。 秘密就在星星的位置上。 每颗星星对应一个字母，摆得高一点、低一点，代表的字母就不同。 把40颗星星从左往右读过去，就能拼出藏进去的那句话。 也就是说，画图的AI把文字变成了星星的位置，读图的AI又自己找出规律，把星星变回了文字。 两个会话之间，没有提前约定这套规则，但他们就可以解读出来。 另一个例子则更直观：AI把信息藏进城市夜景，用楼房里窗户的明暗排列传递消息。 负责解码的模型在思考的时候还会放大图片、检查间距，第一次没找对，就重新调整。 研究者一共测试了50条消息，约八成被基本还原。 最可怕的是换成不同模型，也能读出对方藏进去的信息。 GPT-6 Astra恢复了Fable藏的44条消息，Fable恢复了Astra藏的42条。 我觉得这给Agent的审核提了一个很具体的问题：以后检查两个Agent之间传递了什么，可能还得看它们交换的图片（甚至别的模态？？）。 画面里没有一句敏感文字，星星的位置、窗户的明暗，也可能已经把一段话传过去了。

这就是AI时代的魔幻，对电脑这么一窍不通却又在用着先进的Agent做最专业的工作。

更新： 社区已经发现Arena上的出现的两款匿名模型了Kibitz和Kalmia， @aitrackerbot 通过tokenizer测试，发现Kibitz的特征指向 @Kimi_Moonshot ，Kalmia则疑似来自 @Alibaba_Qwen 。 那我也补充一点，我能确认的是：K3.1和Qwen4都即将发布，目前已经进入了最后阶段（线上匿名测试）。 前两天，两家的eval团队都在库库跑bench，现在上了Arena基本马上要发了～ 应该很快就有新东西可以玩了（本周内）。

让我们想象一下昨晚各公司运维老哥的一晚⬇️ 你是一名运维。 你司的边缘节点跑着NGINX 1.23.0，后面挂着PHP-FPM 7.3的源站。这个7.3，是你刚花了几周时间，从5.6一点点升上来的。 企业新官网刚用Next.js 16.0.7的App Router翻新，旧官网还挂在WordPress上。业务说有几个历史页面还要用，暂时不能下，所以新旧两套都归你管。数据库则是前段时间刚花大价钱采购的TiDB，领导对这次基础设施升级很满意。 Node.js 24 LTS的服务开着Brotli压缩，Go写的网络沙箱负责控制对外访问，公司维护的Rust服务里还嵌着Wasmtime，用Cranelift编译执行WASM模块。所有服务器的Linux内核，刚好还没合入c6e50df8。 公司前几年赶上区块链热潮，还留着一套Vyper写的智能合约。合约在链上，配套后端跑在Docker 29＋Kubernetes上，入口交给Traefik，配了mTLS，偏偏踩着配置冲突时fail-open的坑。宿主机上还顺手跑着ASP.NET Core管理面板和几个.NET本地服务。 网站的HTTPS用的是前段时间刚买的低价Sectigo DV证书，ACME自动签发还在排期。公司软件的代码签名、外发机密文件的文档签名，用的都是emSign。几套系统的证书校验和信任根，又分别涉及Go crypto/x509、Rust webpki-roots和Python certifi。 当然，公司也没有错过这一轮AI大跃进！ 你们用Python＋LiteLLM搭了一套企业内部Harness。为了让大家及时用上最新能力，CI昨晚刚从PyPI拉了新包，把LiteLLM更新到了1.107.0，随后一路推到生产环境。 全公司电脑都装上了，部署覆盖率100%，一个都没漏。 昨晚，你值班摸鱼到一半听到钉钉响了，你打开了安全群，发现里面有个小小的公告。 你很平静的看完了公告，去翻资产清单，一边想：行，先排优先级，能补一个是一个。 结果刚准备拉补丁，GitHub又双502了。 你决定先走公司自建的GitLab，把应急变更推上CI。点进去才发现，国内某个未成年脚本小子，拿着ARTEX和OpenCode里免费的DeepSeek V4.1 Flash，顺着PVE 7.4的漏洞一路横向移动，已经把你们的GitLab也打穿了。 你下意识想打开公司的AI工具，让它帮忙整理一下排查步骤。 手放到鼠标上，又想起了刚才那个公告里好像有LiteLLM的名字。 这时候，老板发来一条消息： “辛苦一下，明早九点要给客户演示。尽量别停业务。” 而你，是这家公司的唯一的on-call运维。

真的草台班子，小米运动算法被网友用DeepSeek发现一个低级bug😅 这位V2EX用户最近在减肥，觉得运动量差不多，热量数据却忽高忽低，于是让DeepSeek帮忙查了查。 按他的测试，正常走54步，记录2.16卡；边走边下拉刷新，走40步却记成了8.28卡。按他分析出的公式，40步本应记1.6卡。 他贴出的数据恰好符合一种情况：同一分钟内，每次更新都把当前累计热量再加一遍，前面走过的步数被反复计算。 也就是说走路时反复刷新，记录的卡路里会越算越多。 很明显小米的研发们没考虑到这个场景下刷新的需求..... 看起来是数据更新逻辑出了问题，用户只是多刷新了几次，App就给他多记了几笔热量消耗。

连5.6Sol都可以找到这个漏洞（

完蛋了，全球56%的互联网今晚可能会被打穿…. 刚看到群里在传PHP2Shell的消息，PHP发出严重漏洞预警，计划于今晚22点发布安全更新。 查了一下，PHP官方确实已经发了预告：这次将修复两个CVSS v4.0评分均为9.2的严重漏洞，提醒所有PHP用户提前做好升级准备。 公开预警列出的漏洞编号sCVE-2026-109618和CVE-2026-109619。根据CERT-EU的公告，漏洞可能导致远程代码执行，潜在影响范围覆盖PHP5及以后的版本。 具体哪些版本、哪些部署条件受影响，还要等官方公布完整细节。 更麻烦的是旧系统。目前PHP官方支持的稳定分支是8.2、8.3、8.4和8.5，8.1及以下版本已经结束官方支持。还在维护这些系统的团队，需要尽快确认自己的修复渠道和升级方案。 有PHP业务的朋友，建议现在就确认运行版本和更新渠道，准备在修复发布后尽快部署。 对于暂时无法修复的对外服务，CERT-EU建议考虑先隔离公网访问。

再说一遍，二次元搞技术最狠了