本周，欧洲多国政府网站和公共服务下线，原因是新披露的两个 PHP 漏洞（CVE-2026-109618 和 CVE-2026-109619，合称 PHP2Shell）。这两个漏洞出在 PHP 运行环境本身，不在某个应用或框架里，攻击者可在应用代码运行前就触发远程代码执行或泄露内存中的密码、令牌、密钥；因此只有打补丁才管用，光靠应用层认证防不住。PHP 社区和基金会联合各长期支持厂商，在 10 月 21 日同步为所有受支持版本发布了修复，也为已停止支持的旧版本提供了补丁。背景是 AI 让漏洞发现变快，OpenAI 的 Patch the Planet 项目用 GPT-5.6 Sol 协助发现了该漏洞，并预计类似发现会明显增多；但估计仍有约 40% 的 PHP 用户在用不再受支持的版本，升级并不轻松。
文中可用工具
- PHP本次漏洞所在的服务器端编程语言运行环境
- GPT-5.6 SolOpenAI 用于协助发现 PHP 漏洞的 AI 模型
- Patch the PlanetOpenAI 的漏洞发现与修补计划
展开详情收起详情：PHP2Shell 只是开始：AI 正在加速补丁竞赛⌄
The New Stack
原文发布：2026-10-23 22:00收录：2026-10-24
Vercel 的首席技术官 Malte Ubl 宣布，要清理平台上长期有效的 API 密钥，要求应用市场供应商在 2027 年 1 月前改用 OpenID Connect 这类短时、基于身份的令牌，否则可能被下架。背景是近来凭证窃取的供应链攻击频发，一个泄露的密钥就可能造成很大损失。但开发者很快指出，Vercel 自家的 GitHub Actions 部署指南仍要求使用长期有效的 VERCEL_TOKEN，公司自己也还没完全做到。对读者来说，这意味着 Vercel 的安全新规方向明确，但落地时间表和自家工具改造进度尚不清楚。
文中可用工具
- OpenID Connect一种基于身份的短时认证方式，替代长期有效的静态密钥
- GitHub Actions用于自动化构建和部署的 GitHub 工作流，文中 Vercel 部署流程仍依赖长期令牌
- Vercel Connect让应用和智能体在运行时按部署身份申请限定范围的凭证，并处理令牌交换与续期
- Okta身份提供商，管理员可通过它控制对受支持服务的访问
- Container RegistryVercel 的容器镜像仓库，已支持 GitHub OIDC 认证
展开详情收起详情：Vercel 想消灭静态凭证，开发者却发现自家部署令牌还在⌄
The New Stack
原文发布：2026-10-24 04:04收录：2026-10-24
作者 Vivek Arora 写了一篇关于多云架构成本优化的文章。多云用起来灵活，但服务放在哪个云、服务之间怎么通信，会产生不少隐蔽的“出网费”（数据跨云传输要付的钱）。文章给出一个工程做法：用 FOCUS 标准把各云的费用统一看清楚，再考虑负载怎么摆放、数据怎么同步，并把成本检查加进 CI/CD 流程。作者还做了对照实验，发现改架构比单纯谈折扣省得多。读者可以据此判断：光砍单价不如先动架构。具体实验规模、FOCUS 版本和 CI/CD 集成细节原文未说明。
展开详情收起详情：多云 FinOps：跨云成本优化的工程框架⌄
InfoQ Architecture & Design
原文发布：2026-10-23 19:00收录：2026-10-24
Spring Boot 团队发布了 4.0.9 版本，现在可以从 Maven Central 下载使用。这次更新包含 99 项 bug 修复、文档改进和依赖升级，属于常规维护版本，没有提到新功能或重大变化。如果你用 Spring Boot 做 Java 开发，升级后能拿到这些修复和改进，想帮忙的话可以看 issue 仓库里标了“ideal for contribution”的任务。
文中可用工具
- Spring Boot用于简化 Java 应用开发的框架，本次发布了 4.0.9 版本
- Maven CentralJava 依赖包的公共仓库，新版本从这里发布下载
展开详情收起详情：Spring Boot 4.0.9 现已发布⌄
Spring Blog
原文发布：2026-10-23 08:00收录：2026-10-24
OpenAI 和波兰的 NASK 宣布合作，一起做 AI 安全、安保和技术研究。原来的问题是 AI 需要更强的防护措施，数字环境也要更能抵抗风险。这次双方通过合作研究来加强这些方面。对读者来说，这意味着 AI 安全领域多了一个跨国合作方向，但具体会推出什么工具或成果，材料没有说明。
展开详情收起详情：OpenAI 与波兰 NASK 合作推进 AI 安全与保障⌄
OpenAI News
原文发布：2026-10-23 08:00收录：2026-10-24
OpenAI 说明它如何加强前沿模型训练与评测时的隔离防护，包括离线环境和需要大量算力的红队测试。目前只看到简短的说明，具体做法、实施时间以及是否已用于实际训练，材料里都没有交代，因此能确认的只是方向：减少训练环境与外部网络的接触，并把红队测试提升到更大算力规模。
展开详情收起详情：保护我们的前沿模型训练环境⌄
OpenAI News
原文发布：2026-10-23 18:00收录：2026-10-24
OpenAI 为了让 ChatGPT 的在线存储系统 Habitat 能支撑超过 10 亿用户，做了三件事：让多个用户的数据在同一套系统里安全隔离、把常用数据缓存在离用户更近的地方、并借助微软的 Azure Cosmos DB 数据库。原来读取数据慢，现在读取速度提升了 12 倍。这意味着 ChatGPT 在用户量大增时仍能更快地响应。文章是系列第二部分，具体技术实现和上线时间原文摘要没有说明。
文中可用工具
- HabitatOpenAI 用于 ChatGPT 的在线存储系统
- Azure Cosmos DB微软的云端数据库，用来支撑数据存取
展开详情收起详情：快速扩展在线存储以服务超过10亿ChatGPT用户（第二部分）⌄
OpenAI News
原文发布：2026-10-24 01:00收录：2026-10-24
2026 年 10 月 21 日，PHP 项目发布紧急更新，修复两个代号 PHP2Shell 的严重漏洞（CVE-2026-109618 和 CVE-2026-109619），严重程度评分均为 CVSS 9.2。问题出在 PHP 自身：当请求处理中途失败时，PHP 没有把内部状态清理干净，攻击者可以故意触发失败，再借留下的残留数据，在无需登录的情况下远程执行任意代码，甚至泄露密码、令牌和 API 密钥。修复办法只有升级 PHP，已发布 8.5.12、8.4.27、8.3.36、8.2.35 四个补丁版本；8.1 及更早版本没有官方补丁，需要自行打源码补丁或用发行版回溯修复。漏洞细节在补丁发布前已泄露，Cloudflare 已观测到攻击，荷兰众议院和英国 NCSC 一度下线网站预防。普通用户和企业应尽快升级 PHP 或通过系统包管理器安装修复版本，用容器的要重新构建镜像，暂时无法升级的只能用官方建议的配置降低部分攻击路径风险。
展开详情收起详情：CVE-2026-109618 与 CVE-2026-109619：PHP2Shell 严重漏洞——它是什么、该怎么办⌄
Dynatrace Blog
原文发布：2026-10-22 22:48收录：2026-10-23
安全研究人员用 AI 模型（如 OpenAI 的 GPT-5.6 Sol 和 Google 旗下 Wiz 的工具）在 PHP 编程语言里发现了两个严重漏洞，合称 PHP2Shell，攻击者可借此在服务器上执行恶意代码。PHP 官方紧急为 8.2 到 8.5 版本发布修复，Cloudflare、Automattic 等公司也上线了防护，但 Chainguard 在约定披露时间前六小时就抢先发布补丁镜像，引发 PHP 基金会不满。这件事暴露出一个新问题：AI 让找漏洞变得容易，而评估和修复仍需时间和专家，小项目更难应对。 Anthropic 的研究也显示 Claude 在 25 个开源项目里找出 493 个安全问题。对普通读者来说，这意味着你用的网站和服务可能更频繁地收到紧急安全更新，也提醒开源维护者的压力正在加大。
文中可用工具
- GPT-5.6 SolOpenAI 的模型，安全公司 Calif 用它发现了 PHP 的一个漏洞
- ClaudeAnthropic 的模型，其研究在 25 个开源项目中找出 493 个安全问题
- ComposerPHP 的依赖管理工具，原文仅提到其创建者兼联合维护者身份
- WAFWeb 应用防火墙，用于拦截针对漏洞的攻击
展开详情收起详情：PHP 安全风波只是预演：AI 挖漏洞的速度快过维护者的修复速度⌄
The New Stack
原文发布：2026-10-22 22:35收录：2026-10-23
安全公司 Calif 借助 OpenAI 的 Patch the Planet 计划，用一个 AI 模型在 PHP 语言里找到可远程执行代码的严重漏洞，Wiz 等也独立报告了同一问题。PHP 维护者其实在 2024 年就注意到相关内存耗尽异常的迹象，但直到今年八月才看清完整危害，随后发布 8.2.35、8.3.36、8.4.27、8.5.12 等修复版本。问题在于补丁正式发布前细节已外泄，Chainguard 提前六小时多公开了打好补丁的镜像，引发是否违反协调披露禁发期的争论。对读者来说：若运行公开可访问的 PHP 服务，应尽快升级到修复版本，并假定可能已被探测甚至入侵。
文中可用工具
- Patch the PlanetOpenAI 的漏洞发现计划，Calif 在其中用 AI 找出 PHP 漏洞
- GPT-5.6 SolCalif 用来发现远程代码执行路径的 AI 模型
- WordPress提醒站长升级 PHP，但漏洞本身不需要更新 WordPress
- Chainguard提前发布含修复的容器镜像，引发禁发期争议
- testing harnessChainguard 用来独立复现该漏洞的测试工具
展开详情收起详情：AI 发现 PHP 严重漏洞，但更大的问题始于 2024 年⌄
The New Stack
原文发布：2026-10-22 23:01收录：2026-10-23
OpenAI 把自己提出的一套“通用大模型接口规范”Open Responses 捐给了开源组织 Agentic AI Foundation（AAIF，隶属于 Linux 基金会）。问题是：各家大模型厂商的接口虽然都提供消息、工具调用等同类功能，但写法各不相同，开发者每换一家模型就得重写对接代码。Open Responses 把这些基础接口统一成一套标准，切换模型时不用再逐家适配。目前 Vercel AI Gateway、Databricks Model Serving 已经实现该规范，AWS、Ollama、Hugging Face、Nvidia 等表示支持，但 Anthropic 和 Google 尚未采用。规范文件本身已公开，由 AAIF 作为中立平台继续推进。
文中可用工具
- Open Responses统一的 LLM 核心 API 调用规范，让开发者跨厂商切换模型时少写适配代码
- Agentic AI FoundationLinux 基金会下托管智能体相关开源项目的中立组织
- MCPAAIF 托管的智能体协议之一，原文未说明具体用途
- A2AAAIF 托管的智能体协议之一，原文未说明具体用途
- AGENTS.mdOpenAI 捐赠的规范，用于给编程智能体提供项目专属指令
- gooseAAIF 托管的开源 AI 智能体项目，原文未说明具体用途
- agentgatewayAAIF 托管的项目之一，原文未说明具体用途
- Agent RouterAAIF 托管的项目之一，原文未说明具体用途
- OpenSandbox原文仅提及加入 AAIF，未说明具体用途
- Agent SkillsAnthropic 的项目，原文仅提及加入 AAIF，未说明具体用途
- OpenEvHugging Face 的智能体环境框架，原文仅提及加入 AAIF，未说明具体用途
- Vercel AI Gateway已实现 Open Responses 规范的模型接入服务
展开详情收起详情：OpenAI 将通用 LLM API 规范 Open Responses 捐赠给 Agentic AI Foundation⌄
The New Stack
原文发布：2026-10-23 00:01收录：2026-10-23
Letta 发布了一个叫 FrontierMemory 的新测试，专门看 AI 智能体能不能把过去的经验真正用在后面的任务上，而不只是把信息存起来。他们让五个智能体系统先看以前的工作记录，再自己总结记忆去完成新任务，结果分数从 73.3% 到 26.7% 不等：Letta Dream 最高，Prime Agent 60%，OpenAI Agents SDK 40%，Claude Managed Agents 33.3%，Hermes Agent 最低。在模型层面，Claude Opus 5.5 和 GLM-5.3 并列第一（73.3%），但 GPT-6.1 Sol 虽然只有 60%，每个任务只要约 0.77 美元，远低于 Opus 5.5 的 2.80 美元和 GLM-5.3 的 3.58 美元。对开发者来说，这说明同样的模型换个框架效果可能差很多，也可以考虑用贵模型生成记忆、用便宜模型干活。不过该测试目前只有 15 个任务、每个只跑一次，单个结果就能让分数浮动约 6.7 个百分点，且暂不涉及边做边更新记忆，后续版本才计划加入更长任务和在线更新。
文中可用工具
- FrontierMemoryLetta 发布的基准测试，衡量智能体能否从过去经验中学习并用于新任务
- Letta DreamLetta 的智能体框架，在本次测试中得分最高，用于生成和利用记忆
- Prime Agent参与测试的智能体框架，得分 60%
- OpenAI Agents SDKOpenAI 的智能体开发框架，参与测试得分 40%
- Claude Managed AgentsAnthropic 的托管智能体方案，参与测试得分 33.3%
- Hermes Agent参与测试的智能体框架，得分最低为 26.7%
- Letta CodeLetta 的编码环境，用于测试各模型生成的记忆在任务中的效果
- OpenClaw多人在线环境，其账号表示希望以插件形式参与记忆测试，目前尚未接入
展开详情收起详情：五个 AI 智能体框架参加同一项记忆测试，结果差距悬殊⌄
The New Stack
原文发布：2026-10-23 02:34收录：2026-10-23
GitHub 漏洞赏金团队在网络安全意识月采访了研究员 @r31n。他专门研究 GitHub Enterprise Server，多次发现高危问题，报告里都附带可用的概念验证和清晰的复现步骤，让工程团队能更快定位并修复。他说自己偏爱把几个看似无害的小问题串成完整攻击链，比如一个开放重定向配上会跟随跳转的 SSRF。日常学习靠安全博客、漏洞分析和会议演讲，但真正掌握要靠亲手复现。他认为 AI 降低了入门门槛，也确实是效率放大器，但决定研究质量的是验证和真实影响，而不是工具。
展开详情收起详情：漏洞赏金如何磨砺一位研究员的安全技能⌄
GitHub Blog
原文发布：2026-10-23 01:21收录：2026-10-23
Uber 和 OpenAI 合作，把 ChatGPT Work 推广给公司超过 3 万名员工使用。此前员工做调研、分析数据、做演示文稿和跑复杂流程，往往要在多个工具间来回切换、手动拼凑。这次 Uber 统一提供 ChatGPT Work，把这些工作放到一个能理解上下文、帮着把多步任务做完的入口里。对普通员工来说，它像一个能查资料、算数据、生成汇报初稿的助手；不过材料只提到内部推广，没有说明具体上线日期、功能细节、费用或使用限制。
文中可用工具
- ChatGPT Work面向企业员工的 ChatGPT 版本，用于调研、数据分析、制作演示文稿和处理复杂工作流
展开详情收起详情：Uber 与 OpenAI 合作，向全体员工部署 ChatGPT Work⌄
OpenAI News
原文发布：2026-10-22 08:00收录：2026-10-23
OpenAI 发表了一篇简短说明，介绍“前向部署工程”（forward deployed engineering，简称 FDE）在 OpenAI 内部指的是什么。但材料只给出了标题和一句同样的概述，正文没有展开，因此文章没有说明 FDE 团队具体做什么、服务哪些客户、解决过什么实际问题，也没有给出任何数字、限制或上线状态。读者目前能确认的只有一点：OpenAI 用 FDE 这个说法来指代某项工作职能，但这项职能的细节尚不清楚。在原文内容补全之前，无法判断它与读者有什么关系，也无法确认其中是否涉及可用的工具或产品。
展开详情收起详情：FDE 在 OpenAI 意味着什么⌄
OpenAI News
原文发布：2026-10-22 14:00收录：2026-10-23
目前有一段非常简短的介绍，说 Decisions API 能为任何应用提供快速、聚焦、低成本的决定，并据此构建响应更快的应用。但材料没有说明是谁发布的、原来存在什么问题、这次具体怎么解决，也没有给出任何数字、限制或发布状态。原文只有标题和一句摘要，正文片段与摘要重复，所以除了“这是一个面向应用的决定类 API”外，无法可靠地告诉读者更多细节。读者现在能得到的唯一信息是：可能有这样一个 API 声称能用于加速应用响应，但可用性、使用方式和效果都未说明。
展开详情收起详情：使用 Decisions API 构建响应更快的应用⌄
OpenAI News
原文发布：2026-10-23 03:00收录：2026-10-23
Cloudflare 使用 OpenAI 的 Daybreak 来调查安全漏洞，并生成修复建议，交由人工审核。与此同时，Cloudflare 的开发人员用 OpenAI 的 Codex 编程助手来加快写代码的速度，并提升代码质量。简单说，就是安全团队让 AI 帮忙找漏洞、提修复方案，开发团队让 AI 帮忙写代码，两件事都用上了 OpenAI 的工具。不过原文没有说明 Daybreak 具体怎么用、Codex 带来了多少效率提升，也没有说明这些工具是否已全面上线还是仍在试用。
文中可用工具
- DaybreakOpenAI 提供的工具，用于调查安全漏洞并生成修复建议，供人工审核
- CodexOpenAI 的编程助手，帮助开发者更快编写代码并提升代码质量
展开详情收起详情：Cloudflare 借助 OpenAI 将漏洞发现与防御相衔接⌄
OpenAI News
原文发布：2026-10-21 08:00收录：2026-10-22
英伟达在柏林 GTC 大会上推出 DSX POD：一种集装箱式参考设计，合作伙伴在工厂里就把 Vera Rubin 机架（每箱 7 个 NVL72 机架、504 块 Rubin GPU）、网络和液冷装好并测试，运到数据中心后只需落位、接线、跑最后的烤机测试。过去在传统数据中心装 rack 和布线要几个月，现在只要现场电力、散热和网络条件具备，最快 14 天就能开始产出 token。系统采用无水冷却，靠干冷器即可，2 吉瓦部署每天可省约 5400 万升水。Armada、Dell、HPE 等 17 家合作伙伴将参与制造，计划 2027 年初开始全球交付，目前尚未可用。
文中可用工具
- DSX POD集装箱式 AI 数据中心参考设计，工厂预装好机架、网络和液冷后运到现场
- Vera Rubin NVL72英伟达的 GPU 机架，每个 DSX POD 集装箱装 7 个
- Rubin GPU英伟达的 GPU，每个集装箱共 504 块
展开详情收起详情：英伟达希望 AI 工厂在真实工厂里造好⌄
The New Stack
原文发布：2026-10-21 19:30收录：2026-10-22
Anthropic 在 2026 年 2 月就做出了 Mythos 级模型，但 CEO Dario Amodei 说，他们把更广泛开放的时间推迟到 6 月，用来加强网络安全防护。他承认，这个决定可能让公司损失了原本能保持数月的模型领先优势；如果更早发布，各组织准备应对更强 AI 网络攻击的时间就会更少。Anthropic 表示，这符合其“负责任扩展政策”的承诺：必须能强有力地论证灾难性风险已被控制，否则就继续推迟。这对读者的意义是：AI 公司如何在安全和商业竞争之间取舍，会直接影响强大模型何时、以什么限制向公众开放。
文中可用工具
- Claude Mythos Preview通过 Project Glasswing 向选定合作伙伴提供漏洞发现能力，用于防御工作
- Project Glasswing让亚马逊、苹果、微软等合作伙伴使用 Mythos 模型的漏洞发现能力
- Claude Fable 5带额外网络安全和生物化学防护、面向通用发布的 Mythos 级模型
- Mythos 5与 Fable 5 同源但网络安全限制更少、仅限可信合作伙伴的模型
展开详情收起详情：Amodei 称 Anthropic 因安全延迟可能错失 AI 领先地位⌄
The New Stack
原文发布：2026-10-22 05:22收录：2026-10-22
安全公司 Wiz 等机构借助前沿 AI 模型，在 PHP 核心引擎中发现两个严重漏洞（名为 PHP2Shell，严重度评分 9.2），可让攻击者在未登录情况下在 WordPress、Drupal、Joomla 等站点上执行代码。这些问题存在了至少十年：老代码里对已释放内存的引用会被后续请求误当成有效数据，以往要挖出并串联利用条件非常费力；Wiz 称用 AI 后一名研究员约一周就完成了过去团队数月的工作。漏洞于 8 月下旬被报告，PHP 官方在 9 月下旬确认并联合各方修复，补丁在公开披露当天发布，但细节提前外泄，Cloudflare 在正式公告前约九小时已默认拦截攻击流量。对读者的提醒：防火墙规则只能挡攻击、不能替代补丁，运行 PHP 的站点应尽快升级到已修复版本，而 OpenAI 也借此提出了一套应对 AI 发现漏洞的五阶段协作框架，仍需社区完善。原文未说明各漏洞在具体版本中的详尽影响范围。
文中可用工具
- GPT-5.6 SolOpenAI 的前沿模型，被用于发现 PHP 漏洞
- Wiz AtlasWiz 的 AI 安全工具，用于独立发现漏洞
- Gemini 4 Argon谷歌的 AI 模型，参与漏洞发现
- Patch the PlanetOpenAI 发起的漏洞修复协作计划，参与 PHP 漏洞应对
- Cursor原文提到其发布 AI 智能体蓝图，用于扫描代码库漏洞并在合并请求中拦截
展开详情收起详情：AI 发现支撑全球七成网站的 PHP 代码漏洞，修复耗时两个月⌄
The New Stack
原文发布：2026-10-22 06:17收录：2026-10-22