新闻

RAG答对一次还不够：把检索失败和幻觉分开测

评估RAG系统，要用固定的真实问题分别检查检索是否找全证据、是否把噪声排在前面，以及答案是否切题、是否得到上下文支持。保存逐题检索结果和答案，才能定位退步发生在哪一环，并设置可复核的发布门槛。

在SciFact的一次CPU测试中，混合检索加重排使nDCG@10仅增加0.007，平均查询延迟却超过原来的56倍。中文企业搜索应根据实体词、自然语言问答、表格和精确数字查询的表现，选择BM25、向量检索、混合融合或重排。

香港9月24日展示人工智能资助计划的医疗与金融项目成果：金融沙盒中的部分风险分析由一天缩至数分钟。政府此前宣布拟向原有30亿港元计划额外注资10亿港元，用于支持前沿科研；新增资助的实施细节尚待公布。

大模型的结构化输出要经过三道检查：JSON能否解析、字段是否符合Schema、字段值是否符合原文和业务规则。以订单信息抽取为例，说明必填项、类型、枚举、额外属性的配置，以及遇到空值、非法枚举、响应截断和语义错误时如何处理。

网站部署通行密钥，应先让 WebAuthn 与现有登录方式并行，再打通注册、跨设备使用、无通行密钥设备登录、凭据管理和账号恢复。只有用户失去设备后仍能安全找回账号，团队才有依据考虑弱化密码入口。

为接入外部内容和工具的LLM应用防范提示词注入，应将网页、邮件和文档标记为不可信数据，以用户任务约束处理范围，并在每次工具调用前核验用途、参数和权限。输入检测漏判时，最小权限、人工确认和输出检查仍可限制越界操作及数据外泄。

千问与 Gemini 的隐式上下文缓存即使默认开启，也要有足够长、稳定的请求开头才更可能命中。先核对模型门槛，把公共资料放在变量之前，再读取响应中的命中 Token；实际节省多少，还要结合输入、输出用量和对应计费规则判断。

Citrix于2026年9月27日确认，客户自行管理的NetScaler ADC和Gateway有两项零日漏洞已在未缓解的部署中遭利用，并发布修复构建。企业须区分默认配置风险与DTLS前置条件，按分支升级；补丁安装后仍要调查此前是否失陷，并据结果处置会话和密钥。

新项目选 MySQL 还是 PostgreSQL，没有脱离业务负载的统一答案。应先确定事务需要怎样读取并发数据、应用如何管理连接，再用相同的业务输入比较吞吐与尾部延迟。团队能否熟练完成备份、恢复和故障处理，也应进入决策；一次单机 CRUD 跑分只能回答它实际测试的场景。

9月25日，Mandiant与Google威胁情报团队披露，UNC6240将PeopleSoft入口路径中的字母P写成URL编码，绕过部分WAF的字面匹配规则，继续攻击未修补系统。Oracle补丁本身未被证明失效；已安装补丁的团队仍需回查修补前的请求、Web Shell和可能泄露的凭据。

企业内部知识库若以数据边界和复杂流程为优先条件，可先评估 Dify；面向消费者、需要覆盖多个对话渠道的客服项目，可先评估 Coze。两者都有自部署路径，最终选择取决于所用版本、知识库效果和团队能承担的运维工作。

Docker用于构建镜像和运行容器，Kubernetes管理集群中的容器化工作负载。单机服务和测试环境通常可以先用Docker或Compose；是否需要集群，取决于跨主机可用性、扩缩容需求，以及团队能否承担维护责任。

运行中的事务数据库和虚拟机通常需要支持低延迟、局部改写的块卷；完成的备份、封存日志和媒体成品通常适合按对象保存。选型还要核对现有应用能否使用对象 API，以及备份能否在规定时间内恢复为可用服务。

选择API鉴权方式，先看调用是否代表用户访问私人资源。公开数据和低风险机器调用可以考虑受限的API Key；涉及敏感或高价值用户资源时，不应只靠一把Key，应采用范围明确、便于单独撤销的授权。OAuth仍需正确配置PKCE、令牌期限和权限校验。

以日常补全为主、希望留在现有编辑器的开发者，通常更适合GitHub Copilot；经常交给代理处理跨文件任务的人，可以考虑Cursor。订阅价只是起点，计费方式、编辑器迁移成本和按任务区分的PR证据会改变选择。