CPython 核心开发者、现任指导委员会成员 Thomas Wouters 在 PyCon US 2026 上回顾了移除全局解释器锁 (GIL) 的动机、历史和当前状态。自由线程版 Python 是过去五年来该语言最大的变化，允许多线程在解释器中真正并行运行。Wouters 在 Meta 从事自由线程解释器相关工作，演讲中讨论了 GIL 移除的技术挑战以及对未来方向的展望。

Arch 用户仓库 (AUR) 遭遇了史上最严重的持续性供应链攻击。攻击者批量注册新账户，认领孤立包后推送含恶意软件的更新。维护者连续数天进行"打地鼠"式的应急响应。项目已暂时关闭 AUR 新用户注册，但长期对策尚不明确——如何在不破坏 AUR 现有开放协作模式的前提下确保安全仍是核心难题。受影响用户数量不详。

一次账户被盗事件导致一个 AI agent 以受害者身份在 Fedora 项目中活动数月（贡献虽无害但无益），促使社区重新审视 2FA 问题。Daniel P. Berrangé 指出 Fedora 早在 XZ 后门事件后就讨论过强制 2FA，但一直未落实。经讨论，Fedora 决定先要求 "provenpackager" 组成员在三个月内启用 2FA，作为逐步推广的第一步。

7.2 合并窗口前半程要点：移除更多 i486 特有代码（含 13000+ 行 FPU 模拟）；AMD Geode 标记为 orphaned；Intel TDX 新增设备类型和运行时模块热替换能力；s390 架构获得 Rust 支持；arm64 将数据区域从线性映射中移除以加固安全（因 KVM 回归暂时 revert）；PowerPC 是唯一仍支持的相关架构。

Emil Tsalapatis 在 LSFMM+BPF 峰会上展示了 libarena——一个为 BPF arena 提供通用工具的内核库。BPF arena 允许程序绕过验证器的边界检查自由构建数据结构，libarena 旨在提供统一的内存分配器和通用数据结构。Tsalapatis 来自 sched_ext 项目，还计划为 arena 添加更好的调试能力，因为绕过验证器意味着普通内存安全问题仍需被发现和修复。

Kumar Kartikeya Dwivedi 正在为 BPF 引入协程支持，使 BPF 程序可以挂起和恢复执行。当前 BPF 程序必须在同一上下文中运行完成，但许多逻辑任务跨越时间和空间。典型用例如栈追踪采集：内核部分立即运行，用户空间部分在上下文切换回用户态前才采集——这正适合协程模型。该工作仍处于实验阶段，但有望大幅简化长期运行的 BPF 任务编写。

Alexis Lothoré 在 LSFMM+BPF 峰会上介绍了将内核地址消毒器 (KASAN) 扩展到 BPF JIT 编译代码的工作。KASAN 通过软件或硬件内存标签检测 use-after-free 和越界访问，编译时在指针解引用处插入 __asan*() 检查函数。此前 BPF JIT 生成的代码不在 KASAN 监控范围内，该补丁旨在捕获 BPF JIT 编译器本身的 bug。

云提供商通常需要将计算层的块设备同步复制到至少两个存储节点以保证持久性。Haris Iqbal 和 Jia Li 基于内核 RTRS (RDMA 传输库) 构建了两个新模块：RMR (Reliable Multicast over RTRS) 和 BRMR (Block device over RMR)，实现"单跳"块复制，以最小开销暴露持久块设备。方案在 LSFMM 峰会上寻求社区反馈，准备上游化。

OSPM 峰会第一天报道。cpuidle 子系统维护者 Rafael Wysocki 讨论了 CPU 空闲状态选择的质量度量问题。他回顾了 Linux CPU 空闲时间管理的设计：当逻辑 CPU（SMT 线程或核心）空闲时，idle loop 调用 cpuidle 子系统选择合适的低功耗状态以节能。核心挑战在于如何衡量 cpuidle governor 做出的决策是否最优。

OSPM 第二天聚焦 uncore DVFS（动态电压频率调节）。Jie Zhan 介绍了在内核 devfreq 框架上实现 uncore（L3 缓存、互连、内存控制器）频率调节的工作。研究显示 uncore 在空闲时占 SoC 功耗约 41%，SPECpower 测试在 0-50% 负载范围内节省 7-35% 功耗且无可测吞吐量损失。主要挑战是 simple_ondemand governor 在最低和最高频率间严重振荡。

社区对 Fedora 强制 2FA 的时机和范围争论激烈。核心议题包括：为何 XZ 后门事件后两年仍未落实？AI agent 冒充维护者活动数月才被发现暴露了哪些流程漏洞？"provenpackager" 优先策略是否足够？讨论反映了开源项目在安全合规与贡献者便利性之间的持续张力。

社区热议 AUR 的信任模型是否从根本上就不安全。讨论焦点：关闭新用户注册是权宜之计还是长期方案？AUR 的"任何人可认领孤立包"机制是否需要根本性改革？是否应引入签名验证或维护者信誉系统？Arch 的"用户自负"哲学在供应链攻击面前是否还站得住脚？