雷锋网复盘 72 小时安全风暴:PHP2Shell 与 GitLab 满分漏洞背后 AI 正改写攻防
雷锋网复盘 10 月第三周全球安全事件:PHP 爆出两个 CVSS 9.2 分的远程代码执行漏洞 PHP2Shell,覆盖从 PHP 5.4 起跨度 12 年的版本;同一天 GitLab 修复潜伏 12 年的 CVSS 10.0 满分漏洞,并史无前例地向七个版本回移补丁。
推荐理由:以 PHP2Shell 等连环漏洞为切口,梳理 AI 同时加速漏洞发现与利用后攻防成本失衡的走向。
雷锋网复盘 10 月第三周全球安全事件:PHP 爆出两个 CVSS 9.2 分的远程代码执行漏洞 PHP2Shell,覆盖从 PHP 5.4 起跨度 12 年的版本;同一天 GitLab 修复潜伏 12 年的 CVSS 10.0 满分漏洞,并史无前例地向七个版本回移补丁。
推荐理由:以 PHP2Shell 等连环漏洞为切口,梳理 AI 同时加速漏洞发现与利用后攻防成本失衡的走向。
Anthropic 宣布把 Agent Skills 标准捐赠给 Linux 基金会下的 Agentic AI Foundation(AAIF),该基金会由 Anthropic 与 Block、OpenAI 于去年共同创立,此前 MCP 规范也已捐入。
脑极体从财务角度拆解 Anthropic 的商业模式,指出其 2025 年收入接近 46 亿美元、较上一年增长约 12 倍,其中八成以上来自按 API 和 token 计费的 B 端调用,订阅收入不到 20%。
2026年10月,专注游戏反编译进度追踪的网站decomp.dev宣布停用公共项目索引与新增项目功能,创办者称AI已能显著加快匹配式反编译,但部分参与者借此快速分叉他人项目或抢先推出低质量PC移植版,使进度排行榜弊大于利。
Bill Gates 在 Decoder 访谈中表示,人们需要为大约 20 年的 AI 冲击期做准备,这段时期可能痛苦到让社会分裂为亲近技术前沿与拒绝技术的人群。他认为当前各方对 AI 挑战的响应速度普遍不足,并强调近期最大风险来自缺乏安全防护的模型。
AWS 博客演示用 AtScale 作为语义层、配合 Amazon Bedrock AgentCore 托管 Strands 智能体,构建 Customer 360 分析模式。
Meta 第三季度资本支出达 349 亿美元,全年指引收窄至 1350 亿至 1450 亿美元,并拟发行无投票权股票为 AI 扩张融资。Anthropic 招股书显示 2026 年上半年营收约 163 亿美元、同比暴涨 1382%,净亏损 807 亿美元。OpenAI 于 10 月 21 日宣布将前沿模型家族与 Codex 智能体工作流接入谷歌云 Model Garden,未来几周开放。
推荐理由:WSJ 看到的 Anthropic IPO 草案披露了收入、账面亏损与云和芯片长约,可据此理解其算力成本结构。
Gemini 4 Argon 今日正式开放,覆盖 Gemini API、Gemini 应用、Search 的 AI Mode 与 Antigravity,并接入 Cursor、Devin 和 GitHub Copilot。
推荐理由:汇总当日 AI 工程大会与模型发布动态,读者可一次了解 Gemini 4 Argon 的定价、评测与部署反馈。
推荐理由:安全公司 Straiker 披露的攻击链条显示,多模型编排可绕过单一模型的拒绝机制,为智能体安全防护提供具体案例。
Anthropic 已将 Agent Skills 的所有权移交给 Linux 基金会下的中立组织 Agentic AI Foundation,该组织也是此前 MCP 的接收方。
We're donating Agent Skills to the Agentic AI Foundation (@AgenticAIFdn), the same foundation we donated MCP to. Since December 2025, 70+ agent platforms have integrated the standard, including ChatGPT, Cursor, GitHub Copilot, and VS Code. Here's what that means for you:
推荐理由:Anthropic 把 Agent Skills 交给中立基金会,可对照其此前捐赠 MCP 的路径理解标准开放化的做法。
据 CNBC 报道,OpenAI 正以 1.25 万亿美元投前估值融资至多 300 亿美元,由 Coatue 和来自阿联酋的投资者领投,条款仍在谈判中。这与此前彭博社报道的 1.4 万亿美元估值融资 300 亿美元方案有所不同,CNBC 称阿联酋资金可能还附带为 OpenAI 争取更多算力的协议。
推荐理由:报道披露 OpenAI 新一轮融资的估值区间与领投方,可对照其此前融资和 IPO 进程观察估值变化。
推荐理由:事件把平台密钥泄露与针对 AI 推理提供商的攻击链联系起来,读者可据此理解密钥轮换的紧迫性。
Google Cloud 从 10 月 21 日起成为唯一同时提供 Gemini、Claude 和 OpenAI 模型的大型云平台,首批上线 GPT-6 Astra、GPT-6.1 Sol 和 GPT-6 Luna 三款 OpenAI 模型。
推荐理由:Google Cloud 同时上架 Gemini、Claude 与 OpenAI 模型,读者可据此观察云厂商与自家模型团队的资源张力。
SCOOP: Anthropic's latest draft S-1 documents show financials results for the first half of the year, gigantic spending plans for the future, and a laundry list of risk factors. - Anthropic recorded a net loss of $80.7 billion in the first half of the year, tied to accounting adjustments related to previous financings - Anthropic is set to spend >$600 billion on compute in the coming years, inclusive of cloud agreements and chip leases. More in @WSJ:
同一件事,精选收录的是《WSJ 看到 Anthropic IPO 草案:半年收入 163 亿美元、账面亏损 807 亿美元》
据 The Wall Street Journal 看到的泄露 S-1 文件,Anthropic 难以从 AWS、Google 和 Microsoft 获得足够云容量,这些厂商日益将其视为竞争对手而非客户。
Anthropic 于 10 月 22 日发布公告,宣布将 Agent Skills 开放标准捐赠给 Linux 基金会旗下的 Agentic AI Foundation(AAIF),使其从单一公司项目转为社区共治的 AI 智能体能力标准。
Latent Space 的 AINews 汇总了 10 月 16 日至 19 日的 AI 动态,其中 DeepSeek V4.1 Flash 1017 以 552B 总参数、16B 激活的 MoE 架构和 1M token 上下文窗口发布,MIT 许可,定价维持 $0.30/$1.20 每百万输入/输出 token。
《华盛顿邮报》报道称,Anthropic、OpenAI 和 SpaceX 正酝酿规模接近 3000 亿美元的慈善捐赠。
作者以债券和信用违约互换(CDS)读数观察 AI 基建泡沫,认为债务层比股价更早反映风险。CoreWeave 2032 年到期债券跌至面值约 76 美分,五年期 CDS 利差突破 1000 个基点;甲骨文五年期 CDS 10 月中旬逼近 300 个基点,标普 7 月已将其评级降至 BBB-。
据 Bloomberg 援引知情人士消息,Anthropic 与 AI 基础设施公司 Nscale 正洽谈再签一笔 450 亿美元算力交易,谈判仍在进行,细节可能变化。一个多月前双方刚宣布过一笔同等规模的 450 亿美元算力合作。两家公司目前都在推进 IPO,Anthropic 预计今年上市,Nscale 则因 300 亿美元估值遭到投资者抵触。
半导体产业纵横梳理近期 ASIC 领域多笔大单:博通正为 OpenAI 定制 AI 芯片安排超过 500 亿美元融资,谈判尚处早期;此前 Anthropic 与博通最高 420 亿美元的融资安排已披露,用于支付 TPU 算力租赁。
Goodfire 研究员 Nick Cammarata 发布 26,000 字博文,称 LLM 的内部机制可能远比此前认为的更容易理解,因而更易监控和控制。他以 Inception v1 中同时响应猫和汽车的神经元为例,认为两者共享 V 形特征,并计划很快公布针对现代 LLM 的技术结果。
Judging by my tl there is a growing gap in understanding of AI capability. The first issue I think is around recency and tier of use. I think a lot of people tried the free tier of ChatGPT somewhere last year and allowed it to inform their views on AI a little too much. This is a group of reactions laughing at various quirks of the models, hallucinations, etc. Yes I also saw the viral videos of OpenAI's Advanced Voice mode fumbling simple queries like "should I drive or walk to the carwash". The thing is that these free and old/deprecated models don't reflect the capability in the latest round of state of the art agentic models of this year, especially OpenAI Codex and Claude Code. But that brings me to the second issue. Even if people paid $200/month to use the state of the art models, a lot of the capabilities are relatively "peaky" in highly technical areas. Typical queries around search, writing, advice, etc. are *not* the domain that has made the most noticeable and dramatic strides in capability. Partly, this is due to the technical details of reinforcement learning and its use of verifiable rewards. But partly, it's also because these use cases are not sufficiently prioritized by the companies in their hillclimbing because they don't lead to as much $$$ value. The goldmines are elsewhere, and the focus comes along. So that brings me to the second group of people, who *both* 1) pay for and use the state of the art frontier agentic models (OpenAI Codex / Claude Code) and 2) do so professionally in technical domains like programming, math and research. This group of people is subject to the highest amount of "AI Psychosis" because the recent improvements in these domains as of this year have been nothing short of staggering. When you hand a computer terminal to one of these models, you can now watch them melt programming problems that you'd normally expect to take days/weeks of work. It's this second group of people that assigns a much greater gravity to the capabilities, their slope, and various cyber-related repercussions. TLDR the people in these two groups are speaking past each other. It really is simultaneously the case that OpenAI's free and I think slightly orphaned (?) "Advanced Voice Mode" will fumble the dumbest questions in your Instagram's reels and *at the same time*, OpenAI's highest-tier and paid Codex model will go off for 1 hour to coherently restructure an entire code base, or find and exploit vulnerabilities in computer systems. This part really works and has made dramatic strides because 2 properties: 1) these domains offer explicit reward functions that are verifiable meaning they are easily amenable to reinforcement learning training (e.g. unit tests passed yes or no, in contrast to writing, which is much harder to explicitly judge), but also 2) they are a lot more valuable in b2b settings, meaning that the biggest fraction of the team is focused on improving them. So here we are.
Anthropic 正在向国会推销一份 AI 安全法案草案,规定当模型存在可预见的紧迫风险、可能导致 50 人以上死亡或超 10 亿美元财产损失时,可阻断其发布。
据 Bloomberg 报道,前 Google CEO Eric Schmidt 在 2021 年参与 Anthropic A 轮融资后持有约 1% 股份,当时公司估值 4.61 亿美元。这一比例约为联合创始人兼 CEO Dario Amodei 所持 2% 的一半。Anthropic 被普遍预计在年底前上市,若按最高 2 万亿美元估值计算,Schmidt 的净资产最多可增加 200 亿美元。
据 The Information 援引知情人士报道,OpenAI CEO Sam Altman 上周在内部向员工提出三种 AI 安全路径:仿照国际原子能机构(IAEA)建立执行安全标准的机构。
Latent Space 正在试播新节目 High Taste Testers,把旧金山的午餐闲聊搬上节目,首期话题从 Dev Day 延伸到最新模型与助手。同期 AI 新闻汇总中,Meta 发布 816B 总参数、42B 激活的 MoE 开源模型 Muse Spark Open,Artificial Analysis 智能指数得分 39,为美国开源模型最高。
联邦披露文件显示,OpenAI、Anthropic 和 Nvidia 在 7 月至 9 月均创下各自单季游说支出最高纪录,Nvidia 以 220 万美元居首,Anthropic 为 210 万美元,OpenAI 为 150 万美元。
OpenAI 金融服务 ChatGPT 负责人 Joseph Kim 在 AIE New York 提出"有用性阈值",预测 2027 年智能体可胜任投资想法生成与交易。
Blackstone 高管 Jas Khaira 在 TechCrunch Disrupt 上表示,市场对 AI 基建债务引发信贷危机的担忧被夸大,因为多数数据中心由超大规模厂商建设,债务背后是全球信用最好的公司。
Anthropic 发布报告称,Z.ai 于 8 月发布的开放权重模型 GLM-5.3 可被任何人自由下载和修改,构成重大网络攻击风险。开放模型支持者认为其可本地运行、成本更低、便于学术研究并防止权力集中,而 Artificial Analysis LLM 排行榜前八名目前仍均为闭源模型。
作者用 Claude Code 在乐鑫 ESP-Mosaico 开发板上完成贪吃蛇固件,并把 Meta 开源的 Muse Gadgets 设备端 SDK 移植到这块板子上,实现中文对话、语音播报、拍照回传和走近亮灯问候。