sgl-project/sglang

修复 CVE-2026-3989 安全漏洞，替换脚本中不安全 pickle 反序列化并添加安全警告。

建议技术管理者精读此 PR 以了解安全漏洞修复策略、性能权衡和团队协作模式；工程师可关注 `SafeUnpickler` 实现细节、性能基准数据，以及后续 msgpack 迁移的计划，从中学习安全设计决策和渐进式修复方法。

将ZMQ sockets默认绑定到localhost，防止未认证远程访问以缓解多个CVE漏洞。

该PR值得精读，因为它展示了通过简单默认值变更来提升系统安全性的有效策略，同时保持了灵活性。重点关注network.py中get_zmq_socket_on_host函数的默认host变更逻辑和文档更新，以及encode_receiver.py中显式host参数的传递方式，这些设计决策揭示了在安全与兼容性之间的权衡。

新增 fused QK RMSNorm + RoPE JIT 内核，优化扩散模型性能。

该 PR 值得精读，特别是关注 CUDA kernel 的 warp-level 优化设计（如向量化加载、warp 内计算）、融合策略如何平衡性能与兼容性，以及共享运行时 helper 的模块化实现，对高性能计算和扩散模型优化有借鉴价值。

优化 JIT 内核 qknorm_across_heads 以减少寄存器压力和共享内存使用，提升性能。

建议工程师精读此 PR，重点关注 CUDA 内核中通过 grid 维度拆分工作以减少状态的设计决策，以及如何通过提前加载权重优化内存访问。对于性能优化和 JIT 内核开发有参考价值。

将downcast_fp8内核从AOT迁移到JIT，优化向量化和线程块提升性能。

建议工程师精读此PR，重点关注cast.cuh中的向量化优化和线程块设计，以及type.cuh中的类型系统重构，以学习GPU内核性能优化技巧和跨平台兼容性处理方法。此外，review讨论展示了良好的代码审查文化，值得借鉴。

将 fused_qknorm_rope 内核从 AOT 迁移到 JIT 系统，实现无缝替换并优化性能。

建议技术管理者和工程师精读本 PR，特别关注内核模板化设计、性能调优技巧（如使用 AlignedVector 和 --use_fast_math）以及应用层回退逻辑的实现，这些对后续 JIT 内核开发有借鉴价值。

修复 NVIDIA Nemotron 3 Super NVFP4 模型 CI 测试超时，将估计时间从 300 秒增加至 600 秒。

该 PR 变更简单，无需精读，可作为 CI 维护的参考。关注点：测试超时调整的合理性，建议后续监控测试执行时间以调查根本原因，确保不是性能回归。

删除 DeepSeek V3 FP4 冗余 PCG 测试，优化 CI 执行时间。

该 PR 变更简单直接，值得快速浏览以了解测试清理和 CI 优化实践，无需深入精读。