开源周报 · 2026 年第 44 周 · 10.26 — 11.01
开源雷达
本周安全事件密集：币安遭黑客攻击预计影响约 63 亿美元，群晖 NAS 的 LOCK3D 勒索病毒确认利用旧漏洞，Ubuntu LXD 更爆出无需密码即可接管虚拟机的满分漏洞。开源侧，Mistral AI 开放 1 万亿参数的 Mistral Large 4 权重，SoMark 团队开源文档解析模型 OXR。谷歌则连发世界模型 Genie 4 与 Gemini 4 Carbon。
开源项目
本版导读开源项目从模型权重延伸到浏览器小工具，既有万亿参数模型开放，也有测延迟、转写、读论文等贴近日常的小项目。
V2EX10.27SoMark 团队开源 OXR 1.3B 文档解析模型，提供免费 API
SoMark 团队开源文档解析模型 OXR（Optical Everything Recognition），可将 PDF 和文档图片转为 Markdown/JSON，支持表格、公式、化学式、代码块等 13 类元素并输出版面坐标。
V2EX10.28Me2Cloud 开源发布：从本地网络测 17 家云厂商 361 个区域延迟
Me2Cloud 开源发布，从浏览器直接向 17 家云厂商的 361 个区域发起 HTTPS 请求测真实延迟，覆盖 AWS、Azure、Google Cloud、阿里云、腾讯云、华为云、Oracle、Vultr、Hetzner 等。
Mistral AI 开放 Mistral Large 4 模型权重：1 万亿参数，编程智能体 Token 消耗降低 47%
Mistral AI 于 10 月 29 日正式开放 Mistral Large 4（代号 le Chonk）模型权重，这是一款 1 万亿总参数、490 亿激活参数的原生多模态模型。
V2EX10.28xGoose 开源 Chrome 插件：在当前标签页干活的 AI Agent
作者发布开源 Chrome 插件 xGoose，可在网页内开小窗让 AI 搜索资料、读取帖子并追问，支持 V2EX、知乎、Hacker News、Reddit 等站点。
V2EX10.30开源 Zotero 插件 Mktero 发布：把论文 PDF 读成可跳回原文的 Markdown
作者发布开源 Zotero 插件 Mktero，支持 Zotero 7–10，MIT 许可，右键 PDF 即可在标签页内把论文转成一栏连续 Markdown，双栏按阅读顺序重排，公式、表格、图片、引用和脚注保留，并带页码区域映射可跳回原页。
V2EX10.31作者自建 1ms.dog 网站，用柴犬动画测各站点延迟定位卡顿
作者因测速 500 兆仍卡顿，做了 1ms.dog 网站，打开即从浏览器向 40 多个常用网站发起请求，用柴犬捡球动画展示延迟高低。它把国内常用与海外服务分开计算，并给出游戏、视频通话、看视频、写代码的评分，还按运营商列出 IPv4 与 IPv6 等出口所在城市和 AS。
V2EX11.01作者开源 handy-transcribe 本地转写 CLI 与 pi-media-transcribe 笔记技能
作者开源了 Rust 写的本地语音转写 CLI handy-transcribe 和配套 agent 技能 pi-media-transcribe，两者均为 MIT 许可。
V2EX10.31Casnode 2.0 发布：Go + Next.js 重写的类 Discourse 论坛，SQLite 即可运行
Casnode 2.0 是作者用 Go + Next.js 重写的论坛项目，界面和交互参照 Discourse 默认主题，包含话题列表、时间线、通知、未读、聊天、徽章、投票等功能。
软件发布
本版导读软件发布由谷歌两款模型领衔，另有浏览器端 RAW 显影工具更新。
LightCraft v0.14.0 发布：浏览器端开源 RAW 显影工具
LightCraft v0.14.0 是 storytold/lightcraft 推出的开源照片库与 RAW 显影工具，用纯 Rust 从零实现，通过 WebAssembly 在浏览器中运行。
谷歌发布世界模型 Genie 4：一句话生成可交互虚拟世界，首次实现音视频同步
谷歌 DeepMind 于周二推出世界模型 Genie 4，目前处于研究预览阶段，可生成可交互虚拟世界并同步生成实时音频，这是谷歌世界模型首次实现音视频同步生成。
谷歌发布 Gemini 4 Carbon 模型，主打网络安全与长程任务
谷歌发布新一代前沿大模型 Gemini 4 Carbon，称其在 Artificial Analysis Intelligence Index v5.0 中排名第一，综合得分 59，重点强化网络安全与长周期任务能力。
教程与部署
本版导读教程与部署聚焦 NAS 安全与运维，涉及勒索病毒排查、Tunnel 证书升级和 UPS 断电关机。
V2EX10.29群晖 NAS 遭 LOCK3D 勒索病毒攻击，最新 DSM 也有中招
群晖 NAS 出现活跃勒索病毒 LOCK3D，会把用户文件加密为 .LOCK3D 或 .L0CK3D 后缀并投放勒索信，据 V2EX 讨论最新 DSM 系统也有中招案例。作者建议检查关键目录是否有上述后缀文件和勒索信，并确认 DSM 管理端口、SSH、GitLab 等容器服务未直接暴露公网。若已中招应立即断网隔离设备，保留系统日志、套件日志和勒索信，不要删除文件、重建存储池或轻信包解密服务。
小众软件10.27Cloudflare 通知 Tunnel 用户升级 cloudflared 修复 eMudhra 证书风险
Cloudflare 发邮件提醒所有 Tunnel 用户尽快升级 cloudflared，旧版仍信任 eMudhra 此前颁发的证书，可能导致中间人攻击，但官方称目前没有发现该漏洞被实际利用的证据。
一日一技｜NAS 作为 UPS 总控，实现局域网多设备断电自动关机
作者以威联通 NAS 为例，介绍如何用 USB 连接 UPS 并开启内置 NUT 网络 UPS 服务，让局域网内其他 NAS 和 Windows 电脑作为客户端读取 UPS 状态，断电后按设定时序依次关机。
观点
本版导读观点栏目集中讨论安全事件，包括扩展被植入后门、支付系统后门与 Tailscale SSH 权限提升。
小众软件10.30币安遭黑客攻击，预计影响约 63 亿美元并承诺承担全部损失
币安披露此次安全事件预计总影响约 63 亿美元（约 420 亿人民币），已冻结约 30 亿美元，平台暂停所有充值和提现并承诺由 SAFU 基金及公司自有资金承担全部损失。
V2EX11.01彩虹易支付 syskey 泄露高危后门，可发起订单退款
彩虹易支付被曝 syskey 泄露高危后门，攻击者通过带 >= 70200 PHP-Version 请求头的请求访问 platform_check.php，即可让程序把系统密钥写入 Set-Cookie: PHPSESSID 返回，进而伪造签名查询订单、发起订单退款、领取红包。
小众软件10.30群晖公告确认勒索病毒攻击利用 2024 年 12 月已修复漏洞，建议升级 DSM
群晖发布公告确认本次勒索病毒攻击利用了 2024 年 12 月已修复的安全弱点（Synology-SA-24:20），攻击仍运行旧 DSM 版本的设备，可能导致数据被加密勒索。
小众软件10.26Tailscale SSH 被曝权限提升漏洞，官方称不建议全部禁用
安全研究员 Erica Windisch 公布 Tailworm 报告，在 Tailscale 及 headscale 等组件中发现 11 项安全问题，分为 5 组，最严重的是 Tailscale SSH 可通过 Unix 套接字转发获取目标主机 root 权限，测试版本为 tailscale v1.104.2、headscale v0.29.5。
小众软件10.31Ubuntu LXD 爆出 CVSS 10.0 漏洞 CVE-2026-112816，无需密码即可接管虚拟机
Canonical 于 10 月 30 日披露 LXD 漏洞 CVE-2026-112816，CVSS 4.0 评分 10.0，攻击者只需获得受信任客户端的公开证书即可伪造证书链绕过认证，无需密码或私钥就可能取得整个 LXD 集群管理权限，甚至拿到宿主机 root。