ComfyUI 0.28.0：修補四個資安漏洞，新增 SeedVR2 與 int4 模型支援，不再支援 PyTorch 2.4

一句話看懂：ComfyUI 0.28.0 的版本說明寫明修補了四個資安漏洞，同時新增 SeedVR2 與 int4 模型支援，也不再支援 PyTorch 2.4；自架 ComfyUI 的人建議儘快更新。

先用白話講：ComfyUI 是什麼？

想像一間專門做 AI 圖片與影片的工作室，裡面不是一台機器，而是一整面「積木牆」：你把各種積木（載入模型、寫提示詞、取樣、放大、存檔）用線連起來，就組成一條流水線。ComfyUI 就是這面積木牆，開源、可以架在自己的電腦上，是許多人在本地生圖、做影片時的首選。

因為它可以自己架、也能裝各種外掛，所以更新通常不只是多幾個功能，也包含了不少修補。

發生什麼事

ComfyUI 在 7 月 15 日（UTC）釋出 0.28.0。這版最值得注意的，是第一項：

• 安全修補：版本說明列出「修補四個漏洞」，公告編號是 GHSA-779p-m5rp-r4h4

我讀到的版本說明沒有公開漏洞的類型與細節，所以無法判斷嚴重程度。保守的做法，是自架的人先更新。

新增與改進

• SeedVR2 支援：這是用來提升影像與影片畫質的模型，之後版本說明也有幾筆針對 SeedVR VAE 的修正
• convrot int4 模型支援，以及 Turing 世代顯卡（例如 16 系列、20 系列）上更快的 int8 與 int4
• PID 1.5 模型支援
• 新增節點：Save 3D（進階）系列、Save Text 節點、文字覆蓋（text overlay）節點，以及建立邊界框時可接收 bboxes 輸入
• 啟動參數：新增 --models-directory，可以指定模型資料夾
• 合作夥伴節點：新增 ByteDance 的 Seed Audio 1.0 與 Seedream 5 Pro 支援，也加入 sync-3 模型

要注意的變更

• 不再支援 PyTorch 2.4，同時所有注意力後端都支援 GQA（分組查詢注意力）。環境裡的 PyTorch 如果是 2.4 或更舊，更新前要先升級
• 移除：Stability AI 的合作夥伴節點，以及 Ideogram V1、V2 節點。舊工作流程如果用到它們，要換成其他節點
• AMD 顯卡：版本說明有「自動啟用 ROCm 的 Triton 後端」又「暫時停用」的調整，使用 AMD 的人要留意更新後的行為
• 專案新增了 AGENTS.md，是給 AI 寫程式工具讀的貢獻規範，提供開發者參考

給使用者的技術細節

• 用 Git 或便攜版更新後，先確認自己的自訂節點是否相容
• 更新前，建議備份 models、custom_nodes 與你的工作流程
• 檢查 PyTorch 版本：若是 2.4 或更舊，先升級再更新 ComfyUI
• 如果 ComfyUI 有開放給區網或公網，建議放在有登入保護的反向代理後面，不要直接暴露

我的看法

自己跑 ComfyUI 的人，常常覺得「放在家裡的電腦或 NAS，應該很安全」。但只要它開了埠、又裝了一堆來路不同的自訂節點，就有被攻擊的可能。這次官方直接寫出修補四個漏洞，我會把它當成一個提醒：別拖著不更新。

我更在意的是，版本說明沒有交代漏洞細節。這不是罕見的做法（常見於給用戶時間更新），但意味著我們只能保守應對：更新、不要暴露在公網、只裝信得過的自訂節點。另外，PyTorch 2.4 被拿掉，老舊環境的人要先處理相依套件，不要邊更新邊修。

名詞小辭典

• ComfyUI：用「節點連線」方式組合 AI 生圖與影片流程的開源工具。
• 自訂節點（Custom Nodes）：社群開發的擴充，可以新增功能，但也是風險來源。
• int4／int8：把模型的數字壓縮成 4 位元或 8 位元，節省記憶體、加快速度。
• GHSA：GitHub 安全公告的編號格式。

資料來源

• GitHub：ComfyUI v0.28.0 Release