每日要闻 ·
报告日期：2026-10-23
被安全社区称作 PHP2Shell 的一组 PHP 高危漏洞，在官方补丁上线之前就已遭到实际利用。亚马逊云科技（AWS）的日志显示，早在补丁发布前四天，就已记录到针对该漏洞的攻击尝试；目前相关利用已在互联网上"大规模展开"。
这一组漏洞的影响面之所以被形容为"能融化互联网"，在于 PHP 仍支撑着海量 Web 站点与后台系统，且漏洞可直达远程代码执行。WIRED 报道指出，攻击窗口与补丁窗口之间的错配，是本次事件最值得警惕的部分。
另有一段插曲：一位 Hacker News 用户公开致歉，称自己在不知情的情况下提前打破了漏洞的披露禁令（embargo），把细节放到了公开渠道。围绕"这漏洞到底好不好利用"，社区此前还发生过一轮争论，有分析文章认为并不存在简单易用的利用链——但现实是攻击者已经先一步动手。
美国国家漏洞数据库（NVD）公开了编号 CVE-2026-111943 的漏洞条目，定性为"中间证书颁发机构（Intermediate CA）被攻破"。与常见的代码缺陷类漏洞不同，这类问题影响的不是某款软件，而是 HTTPS、代码签名、内网 mTLS 等一整套基于 X.509 证书的信任基础设施。
需要说明的是，公开条目本身披露的信息相当有限：具体受影响的是哪家 CA、被攻破的时间线、波及的证书数量与吊销进展，目前都缺少完整说明。这也意味着大量使用公有 PKI 的组织，短期内难以自行判断是否落在影响范围内，只能依赖 CA 机构与浏览器厂商后续发布的信任库更新和吊销通知。
据 CNBC 援引知情人士消息，OpenAI 正接近完成一轮最高 300 亿美元的融资，由来自阿联酋的投资者与 Coatue 领投，投前估值约 1.25 万亿美元。若最终落地，这将是史上规模最大的私募融资之一。
金融时报给出了另一个侧面：这个 1.25 万亿美元的数字，已低于 OpenAI 本月初向投资者推介的 1.4 万亿美元，下调原因是部分投资者对高估值表达了抵触。也就是说，融资本身推进顺利，但定价上做了让步——这是少见的"钱到位、价打折"组合。
更值得关注的是这轮融资的定性。消息人士将其描述为 IPO 之前的一次"机会性"过桥融资（opportunistic bridge），意味着它的作用是补充弹药、延长跑道，而不是终局资本运作。中东主权资本在此轮中的领投地位，也再度凸显海湾资金在全球 AI 基础设施投入中的分量。
Anthropic 与 Google Cloud 宣布，Claude 现可在 Google Cloud 上以 Anthropic 托管的部署方式正式可用（GA），并且与 Anthropic 自有平台保持"同日对齐"（day-zero parity）的功能更新节奏。企业可直接使用 GCP 的账单体系、IAM 权限管理与既有承诺额度抵扣，无需再经过 Vertex AI 这一层中转。
Google Cloud 在公告中表示，此举是为了给开发者更多模型选择与架构灵活性，"让客户按自己的方式跑负载"。对使用方来说，实际变化在于采购与治理路径：Claude 的支出能并入已有的云承诺合同，权限、审计日志、成本归集也统一在 GCP 体系内，而不必再维护一套独立的供应商关系。
这也让 Claude 在 Google Cloud 上的存在方式更接近"原生服务"，与通过 Vertex AI 调用的模型形成并行选项。对多云策略的企业而言，模型供应商与云厂商之间的绑定正在变松，选择模型的决策可以更多基于能力而非采购惯性。
初创公司 Recursive 发布了其首个模型 Flint——一个 40B 参数的混合专家（MoE）编码模型，推理时仅激活约 2.5B 参数，因此可以在一台 MacBook 上本地运行。这意味着接近中等规模模型能力的编码助手，第一次真正脱离了云端 GPU 的依赖。
更引人注意的是模型的来历：Recursive 表示 Flint 在很大程度上由一个自动化研究智能体设计完成。这家公司的全部赌注压在"递归自我改进"上——即用 AI 来构建更好的 AI，并公开主张这一路径的收益大于风险。
WIRED 在报道中用"scary good"形容其表现。无论评价如何，Flint 至少同时展示了两条趋势：本地化、小激活参数的高效模型正在蚕食云端推理的默认地位；而模型研发流程本身的自动化，正在从实验性尝试变成产品叙事的一部分。