依意思最接近的 29 筆
OpenAI 稱其模型在 Patch the Planet 計劃中發現了 PHP 的關鍵安全漏洞，而 PHP 支撐著估計約 70% 的網站。過去兩個月，OpenAI 聯合程式碼維護者、研究者和安全廠商，在公開披露前完成了修復準備；由於修復涉及對 PHP 引擎的重大改動，耗時較長。所有使用 PHP 的站點現在都可以升級版本，並配合各安全廠商提供的緩解措施。OpenAI 認為這是近年來影響最大的漏洞之一，也標誌著 AI 已能發現具有網際網路規模影響的安全缺陷。
美國 NSA 警告 PHP 存在兩個可追溯至 2004 年 PHP 5 時代的高危漏洞，PHP 基金會已發布補丁，建議升級到 PHP 8.5.12。這兩個漏洞由 AI 發現：OpenAI “Patch the Planet” 專案中的 Calif 用 GPT-5.6 Sol 找到其中一個，Wiz 則用 Atlas 安全智慧體（Gemini 4 Argon 與 GPT-5.6 Sol）發現多個。
PHP 基金會主任表示，基金會處於“資金不足”狀態，目前只有一名全職員工。路透社於 2026 年 10 月 23 日報導了這一說法，該訊息在 Hacker News 上獲得 18 點、3 條評論。原文沒有披露具體預算數字或招聘計劃。
OpenAI 披露，GPT-5.6 Sol 在開源語言 PHP 中發現嚴重漏洞，Wiz 亦獨立發現並上報；PHP 維護者主導修復與發版，Cloudflare 等合作方在披露前協助測試與準備防護。OpenAI 已上線 PHP 版本檢測工具，並將推出配套 Codex skill，幫運維判斷是否受影響及該打哪個更新。OpenAI 稱這是近年影響最大的安全問題之一，承諾投入 10 億美元 Daybreak 補貼額度給安全資源有限的防禦方，並公開一套五階段漏洞回應框架徵集社群意見。
Wiz Research 藉助前沿 AI 模型在 PHP 核心引擎中發現多個記憶體安全漏洞，可導致未授權遠端程式碼執行與程序記憶體洩露，CVSS 最高 9.2，PHP 已於 10 月 21 日發布修復補丁。漏洞與上層應用無關，從 PHP 5.4 起近十年發布的每個版本都至少受其中一個影響，團隊已演示對 WordPress、Drupal、Joomla 的未授權 RCE，洩露的記憶體可能包含密碼、令牌、API 金鑰與證書。
安全公司 Calif（參與 OpenAI 的 Patch the Planet 專案）與 Wiz 用前沿模型 GPT-5.6 Sol 和 Gemini 4 Argon 在 PHP 中發現兩個遠端程式碼執行漏洞（CVE-2026-109618、CVE-2026-109619），合稱 PHP2Shell，估計波及約七成網際網路。補丁原定 22 日發布，因細節提前外洩而趕在 21 日公布，但補丁可用前漏洞已在野被利用；
OpenAI 的 GPT-5.6 Sol 在 PHP 程式碼庫中挖出兩個未授權遠端程式碼執行（RCE）漏洞，統稱 PHP2Shell，CVSS 評分 9.2；PHP 已於 10 月 21 日緊急發布 8.5.12、8.4.27、8.3.36、8.2.35 四個修復版本。漏洞分別位於記憶體管理與錯誤處理流程，影響範圍從 PHP 5.4 到 8.5，Apache + mod_php 與 PHP-FPM 環境均已演示可利用，基金會稱臨時緩解不完整，升級是唯一安全選項。
OpenAI 的 Patch the Planet 專案藉助 GPT-5.6 Sol，在 PHP 引擎核心發現兩個記憶體破壞漏洞 PHP2Shell（CVE-2026-109618、CVE-2026-109619），研究方演示了對 WordPress、Drupal、Joomla 的免認證遠端程式碼執行，並稱受影響範圍約涵蓋七成網站。
亞馬遜警告稱，AI 工具發現的 PHP2Shell 漏洞正被廣泛利用，駭客在漏洞公開披露前四天就已嘗試利用。作為全球最大雲端計算提供商，亞馬遜週三表示已識別出這一提前攻擊，並稱相關漏洞目前已在野外被廣泛利用。該漏洞涉及支撐網際網路大量服務的一種程式語言，各國政府與企業目前正加緊加固各自系統。
安全研究者指出，近期引發恐慌的 PHP 核心漏洞（CVE-2026-109618、CVE-2026-109619）並不容易利用，GitHub 上數千個所謂 PoC 在原生 PHP 例項上都無法生效。多數利用鏈依賴目標伺服器已存在 LFI 等前置漏洞。漏洞公開 10 小時後仍無可用利用，與 Log4Shell、Heartbleed 發布即遭殭屍網路利用的情況不同。作者還批評大量 PoC 由 Claude、GPT 生成，甚至給測試伺服器人為植入漏洞來「證明」成功。
一篇技術文章給出排查方法，用來確認 ColdFusion 伺服器上是否在執行 PHP，並說明如何將它移除。文章發布於 2026 年 10 月 23 日，在 Hacker News 上獲得 5 分、暫無評論。
OpenAI 打包了一個 Codex skill，用來幫助檢查網站是否受到某安全問題影響，並給出倉庫 github.com/openai/php2shell-checker。使用者把 Codex 指向該倉庫即可按指引完成排查。推文未說明漏洞的具體細節與影響範圍，倉庫名中的 php2shell 指向 PHP 站點相關場景。
PHP 8.x 全系發布安全更新，修復兩個可遠端執行程式碼的漏洞，執行 PHP 的站點需要儘快升級。由於協調披露流程出現洩露，兩個 CVE 編號提前在論壇和社交媒體流傳，附帶一個錯誤的 CVSS 10.0 評分（實際為 9.2）；一家報告漏洞的安全公司誤發了 PoC 演示影片，影片外流後加速了利用程式碼的擴散。PHP 官方將原定 10 月 22 日的發布提前到 10 月 21 日 14:00 UTC，漏洞由 Wiz Research 於 8 月發現並報告。
Linux 基金會旗下 AAIF 新增四個託管專案，Anthropic 把 Agent Skills 規範連同名稱、Logo、GitHub 組織與 agentskills.io 域名一併捐出。其餘三項是 OpenAI 統一模型介面的 Open Responses（AWS 已參與維護與開發）、Hugging Face 的訓練環境框架 OpenEnv、阿里的沙箱 OpenSandbox，AAIF 託管專案增至 10 個、會員達 305 家。
Anthropic 宣布將 Agent Skills 標準捐贈給 Linux 基金會旗下的 Agentic AI Foundation（AAIF），以保持其開放、社群驅動與供應商中立。AAIF 由 Anthropic 與 Block、OpenAI 於去年共同創立，此前 MCP 規範也已捐入該基金會。Anthropic 最早在去年 12 月就將 skills 定位為開放標準，此次是把它交給中立的基金會託管。
Anthropic 把 Agent Skills 開放標準捐贈給 Linux 基金會旗下的 Agentic AI Foundation（AAIF），並移交名稱與 logo、GitHub 組織及 agentskills.io 域名。該標準自 2025 年 12 月發布以來，已有 ChatGPT、Cursor、GitHub Copilot、VS Code 等 70 多個平台接入，累計發布 100 萬個 skill、安裝近 2.8 億次。
PHP 專案發布 8.5.12、8.4.27、8.3.36 與 8.2.35，修復兩個可讓未認證攻擊者遠端執行程式碼的嚴重漏洞。CVE-2026-109618 源於請求恰好觸及 memory_limit 時的記憶體破壞，在 Apache mod_php 下無需應用程式碼執行即可觸發；CVE-2026-109619 則由錯誤時機的致命錯誤殘留上一請求記憶體狀態導致。官方要求執行 PHP 的伺服器立即升級；
Pluto Security 結束隱身狀態，宣布獲得 4200 萬美元融資，含 Jump Capital 領投的 3400 萬美元 A 輪與 TLV Partners 領投的 850 萬美元種子輪。其平台監控員工使用的 AI 工具、agent、MCP 伺服器與擴充套件元件，並可在 agent 執行中攔截越權操作或注入指令要求確認。CEO 稱新 AI 工具發布兩小時內就會出現在企業環境裡，客戶中約 60% 的風險來自非開發者 vibe coding 出的應用，財務部門最多；
PhAI Labs 於 10 月 12 日發布 RSI-Anything 技術報告，提出用世界模型連線預測、行動與真實反饋的跨領域遞迴自我改進（RSI）框架。在 CodeContests 程式碼修復中，不更換程式碼模型、線上測試預算不變，修復成功率從 26.3% 提升到 31.2%；OSWorld 圖形介面任務成功率相對提升約 18.4%。一個 4B 策略模型經連續五代迭代，實驗室規劃分數從 21.80% 升到 46.01%，略超參考系統的 45.32%；
OpenAI 在 Daybreak 計劃下推出 Patch the Planet 專案，聯合 Trail of Bits、Calif、HackerOne，用前沿 AI 與安全專家為開源專案驗證漏洞、開發並測試補丁，再與維護者協調披露。所有發現都經人工複核，程式碼與發布節奏仍由維護者掌握；專案還幫團隊補齊測試、fuzzing 與安全工作流。
阿里巴巴開源智慧體沙箱 OpenSandbox 正式被國際 AI 開源技術組織 AAIF 收錄，成為首個由中國企業主導進入該體系的專案，同批次入選的還有 Agent Skills。OpenSandbox 將伺服器資源切分為多個沙箱隔離執行智慧體，兼顧啟動延遲、批次吞吐與資源開銷，並支援審計追蹤；阿里內部日均建立沙箱已達百萬量級，2025 年 11 月開源後已有 582 名開發者參與共建。
Cloudflare 宣布已選出首批 30 家非營利與公共利益組織，向其提供總額超過 750 萬美元的開發者服務額度，每家最高 25 萬美元。這些組織用 Cloudflare 的 Workers AI、AI Gateway 等服務建置自動化工具，涵蓋心理健康、地方新聞、人權等領域。Cloudflare 稱其無伺服器架構和 AI Gateway 可降低執行成本並控制模型呼叫費用。
Parsimony 是一個開源基準，用來衡量 AI 模型在改程式碼時到底新增了多少程式碼。它複用 DeepSWE、SWE-bench Verified 與 SWE-bench Live 已公開的補丁，統計語句、呼叫、命名、字面量等「編碼單元」而非程式碼行數，並減去被刪除的程式碼，只算淨增量。GPT-6 與 Claude 5.5 尚無公開補丁，作者在自己的訂閱上跑了 3–10 個任務，結果以淺色圓圈顯示、不參與排名。作者也歡迎提交新模型的公開補丁匯出。
Black October：約 48 小時內集中爆出多項高危漏洞與供應鏈事件。PHP 出現未認證 RCE（PHP2Shell），GitLab 修復了影響 2014 年以來版本的 CVSS 10 漏洞（19.5.1），Node.js 修復 Brotli 解碼器 RCE；LiteLLM 1.107.0 被植入密碼竊取程式，Railway 要求輪換金鑰，Zeabur 在 32.18 萬帳號洩露後關停。
亞馬遜威脅情報在 MadPot 蜜罐遙測中發現，PHP2Shell 漏洞（CVE-2026-109618、CVE-2026-109619）早在 10 月 17 日就遭到利用，比 10 月 21 日 14:00 UTC 的公開披露早四天，來源是商業匿名化網路 IP。禁令解除後數小時內出現多個 PoC，多組匿名基礎設施隨即對蜜罐發起利用嘗試，該漏洞現已在野被廣泛利用。亞馬遜建議把網際網路暴露系統的高危補丁視窗按小時計，調查起點回溯到最早已知利用時間；
Cal AI 聯合創始人 Zach Yadegari 為其新 AI agent 公司 Persona 融資 1000 萬美元，Vine Ventures 領投。Persona 是一款個人 AI 助理，配套 179 美元的可穿戴手環，靠按鍵或甩腕啟用而非全程錄音，預計 12 月發售；目前已免費 beta 形式在 iMessage 上執行，積累了數千名使用者，手環預售收入達五位數。
西蒙斯基金會與 Anthropic、OpenAI 共同出資 1500 萬美元，幫助數學界應對 AI 在該領域的快速興起。基金會負責管理與發放這筆資金，包括公開徵集提案，用於資助工作坊和專案，幫助研究者評估近期的 AI 輔助成果、學習使用新工具、交流看法並形成 AI 使用的集體標準。Anthropic 和 OpenAI 還將向受資助研究者提供 AI 工具與算力，範圍從數學擴充套件到基礎科學。該基金會曾資助 Lean 證明助手的開發，是機器學習用於科學的早期支持者。
Anthropic 啟動長期計劃 Cyber Mission，首先聚焦關鍵基礎設施與開源軟體兩個方向的防禦。其中，關鍵基礎設施防禦計劃（CIDP）把前沿 Claude 模型、駐場工程師與威脅研究交給守護電力、水務、交通等運營技術（OT）的供應商，首批夥伴包括 CrowdStrike、Dragos、Palo Alto Networks、Rockwell、PwC 等 11 家。同時推出的 OSS Scanner 使用其最強模型為開源專案免費定期掃描漏洞；
有人做了一款工具，追蹤 AI 行業領袖在影片中的公開表態，並展示他們觀點隨時間的變化。目前收錄了 Dario Amodei（累計 54 條）、Alex Karp（51 條）、Marc Andreessen（49 條）、Sam Altman（45 條）、Palmer Luckey（40 條）、Satya Nadella（23 條）、Elon Musk（21 條）、Yann LeCun（6 條）等人，頁面同時標註本週新增條數，例如 Alexandr Wang 本週有 5 條。