Google开源了Three-Live（v1.0.0开发者预览版，Apache 2.0许可，非Google官方支持产品），这是一个轻量级跨平台库和设备端编译器，用于把大模型生成的Three.js代码安全地转化为Web、Android和iOS上的高性能3D、AR和WebXR体验，项目代码完全由Google Antigravity编写。它把Three.js的声明式子集当作可移植的场景描述语言：在Web端，不受信任的脚本在剥离了网络API的Web Worker（可选沙箱iframe）中运行；在移动端和命令行中，则由基于Boa引擎的嵌入式Rust编译器执行，两者都设有执行超时和几何体配额。编译器通常在2至5毫秒内于内存中生成GLB和USDZ文件，再交由各平台原生渲染管线渲染，例如Android的Filament/Scene Viewer和Apple的RealityKit/AR Quick Look。Web包约45KB，提供PBR渲染、环境光遮蔽、阴影和一键AR等功能；xr-live包则增加了手势交互，以及在WebXR中通过语音或文字生成3D物体的能力。开发者可通过npm、Crates.io或Swift Package Manager安装，也可在在线Playground中试用。Google欢迎社区反馈与贡献，目标是让人无需复杂建模流程就能使用3D和空间计算。
Google 开源项目办公室本周以万圣节为主题，聚焦困扰开源社区的问题：供应链攻击、维护孤立分支的隐性成本，以及披着开源外衣却不公开训练细节的模型。文章列出了11月至明年1月的开源活动，包括纽约金融开源论坛、KubeCon 北美大会（盐湖城）、东京开源峰会，以及 FOSDEM 2027（主会场征稿截止11月16日）和 AtmosphereConf 2027 的征稿信息。本周推荐阅读涵盖：LiteLLM 被植入木马、GhostAction 挖掘 git 历史窃取凭证及两个 CVSS 9.2 的 PHP 核心漏洞；欧盟《网络韧性法案》合规与“设计即安全”；近200个开源项目的 AI 贡献政策追踪；Bootstrap 维护者用代理辅助分诊但保留人工决策；Genkit Go 1.14 引入类型化人机协同审批和成本预算。此外还有 OSI 解释“开放权重不等于开源 AI”、Google 与 Meta 合作推出原生运行 PyTorch 的 TorchTPU，以及 llm-d 1.0 发布。文章的结论是，只有让人始终掌控机器，技术才能真正服务于人，而透明、可审查的工具仍是最好的防线。