1️⃣ JFrog 揭露 CVSS 10.0 漏洞：Prefab UI「生成式沙箱」讓 LLM 寫的 Python 直接讀寫伺服器檔案
JFrog 安全研究團隊披露 CVE-2026-120338（CVSS 滿分 10.0）：Prefab UI 0.14.0 至 0.20.2 的 Generative UI 沙箱會把呼叫端供應的 Python 放進 Pyodide（WebAssembly 版 Python）、在權限過寬的 Deno 子程序中執行，攻擊者可任意讀寫伺服器檔案並取得以作業系統使用者身分的持續性程式碼執行。這個沙箱原是為了隔離 LLM 產生的 UI 程式碼而設計，卻反而成為 RCE 入口，提醒所有「AI 生成程式碼 + 沙箱」架構的資安風險。修復版 0.21.0 已撤銷 Deno 權限並限制網路存取。
🔗 來源：JFrog Security Research（📌官方公告）
2️⃣ Vercel 開源 agent-desktop：用 OS 無障礙樹取代截圖，讓 coding agent 原生操控桌面 App
Vercel Labs 釋出 Apache-2.0 授權的 agent-desktop（Rust CLI 與 C 函式庫），讓 AI agent 在 macOS、Windows、Linux 上取得可靠的桌面「computer use」能力：不靠像素截圖猜測，而是讀取作業系統的無障礙樹（AX API、UI Automation、AT-SPI），每個 UI 元素都有穩定 ref、動作可安全重試。Agent 可以無頭模式帶著自己的游標平行操作多個原生 App。Vercel 實測把一個 52 步的 Apple Maps 任務從 19.8 萬 token 壓到 3.1 萬，成本與可靠性雙贏，是 agent 基礎設施的重要一塊拼圖。
🔗 來源：Vercel Labs（GitHub 官方）（📌官方公告）
3️⃣ Axios 獨家：OpenAI 期中選後華府攻勢——推動最強 AI 系統的強制「速限」
Axios 報導，OpenAI 全球事務負責人 Chris Lehane 規劃在 11 月 9 日開議的跛腳鴨會期發起政策與公關攻勢，遊說國會為最強大的 AI 系統設立強制性「速限（speed limits）」，讓人類持續握有方向盤。配套動作包括把資料中心重新包裝為「AI 算力園區」、支持讓地方社群參與選址的州立法。Lehane 直言「AI 將是 2028 年的決定性議題」。從自願承諾轉向主動要求監管，OpenAI 正試圖在下一輪政策辯論中搶佔框架制定者的位置。
🔗 來源：Axios（📰媒體報導（Axios））