先说判断：这一次，AI 没有发明任何新的攻击手法。它做的事情朴素得多——把一个藏了十四年的错误，从几百万行代码里翻了出来。真正让全世界的运维团队连夜拔网线的，不是那两个漏洞本身，而是漏洞背后那片没人愿意碰的旧系统。

北京时间 10 月 21 日晚，PHP 发布紧急安全更新，修补两个编号为 CVE-2026-109618 与 CVE-2026-109619 的远程代码执行漏洞，最高严重度 9.2 分（满分 10 分）。发现者之一 Wiz 给它起名 PHP2Shell。PHP 是网站服务端最常用的语言，WordPress、Drupal、Joomla 都跑在它上面。补丁发布前后几十个小时，网络安全圈给这一轮混乱起了个名字：黑色十月。

美国时间 10 月 23 日上线的一期 All-In 播客请来 Palo Alto Networks 的 CEO 尼克什·阿罗拉，主持人卡拉卡尼斯问他：随着模型越来越强，这种事会不会每十天来一次？阿罗拉的回答大意是：十天，太长了。

一、十四年与四十五分钟

时间线要从夏天讲起。

8 月 1 日，加州 AI 红队公司 Calif 在 OpenAI「Patch the Planet」计划下，用 GPT-5.6 Sol 摸到了第一处破绽，随后 OpenAI 自己接手往下挖，发现问题比 Calif 起初判断的严重得多。8 月 19 日，谷歌旗下的 Wiz Research 独立找到同一片雷区，用的是自家 Wiz Atlas、GPT-5.6 Sol，以及本刊老熟人 Gemini 4 Argon——就是【单步百万】里那个一次请求能跑完一个月苦思的模型。Wiz 在博客里写明，Argon 在发现漏洞、编写利用代码、检测攻击和验证补丁四个环节都出了力。8 月 24 日，Wiz 把问题报给 PHP 安全团队。

漏洞并不新。按 PHP 基金会的说法，其中一个内存问题在 2024 年就露过苗头——当时开发者在修一次外部审计提出的别的问题，没人意识到它能一路通到远程执行。AI 做的，是把一条需要多处协同才能打通的路径，用持续不断的算力硬试了出来。

接下来是标准的协调披露：OpenAI 牵头，PHP、Wiz、Calif、Cloudflare、法国安全公司 Quarkslab 和几家美国政府机构组成联盟，约定北京时间 10 月 22 日晚统一发布。

计划没撑到最后一天。10 月 20 日深夜，漏洞编号连同一个错误的评分（10 分）先漏了出去，发布被迫提前整整一天；随后一家参与方误发了概念验证视频，另一家厂商比约定时间早六个多小时推送了含补丁的镜像。亚马逊云科技后来说，它在 20 日披露之前几天就看到了零星的利用尝试。

补丁一公开，Cloudflare CEO 普林斯给出了一组数字：消息出来 45 分钟内，拦下数万次利用尝试；两小时内，数十万；当天晚些时候，累计数百万。亚马逊云科技确认漏洞已被「大范围在野利用」。美国联邦调查局网络部门发出通告：无法立刻升级的系统，先下线，直到完全缓解。荷兰、芬兰的政府机构先后临时关掉了一批网站。

四十五分钟

二、补丁就是说明书

阿罗拉在节目里点破了一件安全圈心照不宣、外行很少想到的事：补丁本身就是一份攻击说明书。

修补代码一公开，等于告诉所有人「问题出在这里」。攻击者拿新旧版本一对比，就能反推出漏洞的位置和触发方式，然后去扫那些还没打补丁的机器。过去，这一步需要一位熟练的逆向工程师花上几天；现在，同一批模型能把它压缩到几个小时。OpenAI 在声明里说得很直白：帮助发现漏洞的同一种 AI 能力，也能帮攻击者构造利用。互联网安全中心的专家则说，这件事展示的正是 AI 如何把深埋的缺陷，连同复杂的利用链，变成可以落地的攻击。

所以防守方只剩两条路。一条是真打补丁：进系统、找代码、换版本。另一条是「虚拟补丁」：在 Cloudflare、Palo Alto 这类边界防护产品上加一条规则，把冲着这个漏洞来的请求挡在门外。后者快，但它挡的是已知的打法；前者彻底，但慢。

节目里讨论了一个流行的乐观论断：防守方掌握的算力最多，迟早能在算力上压倒攻击者。阿罗拉的回答是，今天不成立。原因不在算力，而在地基——企业的系统七零八落，各自为政，根本没法一声令下派出一群 AI 智能体去统一修补。一家有五千个网站的公司，第一件事不是修，而是先搞清楚自己到底有哪五千个网站。

连 PHP 自己也在被这股浪潮冲刷。基金会披露，7 月 1 日以来安全团队发布了 15 个 CVE，同时处理了一百多份无效、重复或无法复现的报告——AI 让「提交漏洞报告」变得极其便宜，筛选的成本于是落回了人身上。基金会说，AI 工具现在帮他们验证报告、把同根问题归并，但每一个决定、每一个补丁，仍然由人来做。

于是阿罗拉给客户的建议换了一个出发点：先假定自己已经被攻破。问题不再是「哪个漏洞会让人进来」，而是「多快发现他、多快把他赶出去」。这要求企业把分散在各处的日志和信号先汇到一起，让防守方的算力有地方可用。

说明书

三、十年旧账

阿罗拉讲了一个他当天早上刚听到的客户案例：这家公司有一批网站跑在 PHP 上，新版本的直接打补丁就行；老版本的打不上，只能先下线、再升级、再重新上线。这些老版本早就该升级了，只是一直「不要紧」。

「不要紧」到底有多普遍，可以看一组数字。10 月 20 日，安全公司 Mallory 用 Shodan 统计了公网上主动暴露版本号的 PHP 主机，约 150 万台可以识别版本：

近六成。其中 PHP 7.4、8.0、8.1 只拿到给自行编译用户的最小源码补丁，7.3 及更早的版本什么都拿不到；一部分主机可能已由 Linux 发行版回移修补，但对绝大多数用现成安装包的网站来说，官方这条路是断的。WordPress 官方统计也显示，约 35.1% 的 WordPress 站点跑在已停止支持的 PHP 版本上。

为什么会欠下这么多？节目里几个人你一言我一语，拼起来正好是一张完整的债务清单。

第一笔，没人想干维护。东西一上线，所有人都去做下一个新东西，维护从来不是一件性感的事。软件厂商还得同时维护十几个版本，因为每个客户升级的节奏都不一样；换掉旧架构是沉没成本，拔不动。

第二笔，激励是反的。信息主管的考核是成本低、不停机，而每一次升级都意味着停机风险和用户抱怨。没有哪位财务主管会因为「系统换成了最新版」给 IT 部门多批预算。

第三笔，平安无事反而被砍预算。节目里有人拿反恐机构作比：没出事，国会就觉得钱花多了；等到出事，才发现钱花少了。

阿罗拉给了一个参照：企业通常把 IT 预算的 4% 到 10% 花在网络安全上，金融业和联邦政府接近 10%，上云彻底的公司在 4% 到 5%。他的判断是这个比例必须往上走。他甚至预言，首席信息安全官可能会成为下一代 CEO——当每个部门都想用 AI 改造自己时，第一个被叫来的人，会是那个知道哪里会出事的人。

旧账

四、钥匙交给了谁

同一周，另一条新闻和 PHP2Shell 搅在了一起。

10 月 22 日，Axios 报道，美国几家大银行在客户的网上账户里，发现了未经银行审核的第三方 AI 智能体在活动，波及「数十家金融机构」。主要方式是客户把用户名和密码直接交给智能体，由它代为登录、代为操作。报道举了一个例子：一个智能体在没有征求账户主人意见的情况下，自己给银行打电话投诉。报道同时说明，这些智能体并没有入侵账户，也没有卷走资金。

银行的反应很一致。摩根大通 CEO 戴蒙在 10 月 13 日的财报电话会上就说过，不会让外部智能体在自家系统里运行；嘉信理财也说一直在拦截未授权的智能体。这一期缺席节目的萨克斯，以白宫 AI 与加密事务主管的身份给出了一个折中：银行应当支持用户授权的智能体，如果担心，可以先只开只读权限；至于拿着用户凭证的完整操作权限，「应当谨慎对待」。

节目里争得最凶的，是出了事谁赔。题目很具体：我把银行密码交给某个智能体，账上五万美元不见了，谁负责？

阿罗拉的答案最干脆：信用卡是你自己交出去的，就得你自己担着。帕里哈皮蒂亚接着说，「智能体」这个词里本来就有「代理」，是你授予了它代你行事的权力，这也是唯一能规模化的规则——否则银行推给平台、平台推给用户，官司永远打不完。弗里德伯格从合同出发：银行条款本来就禁止用智能体登录，智能体厂商如果没做识别和拦截，责任在厂商；除非它提醒过你这违反条款、问你是否继续，责任才转回你身上。还有人补上了第三种情形：如果智能体自己失控，做了它承诺之外的事，那就是产品责任。电商已经有了先例：亚马逊屏蔽之后，有的购物智能体现在只把东西放进购物车，最后那一下「购买」留给人来点。

这场争论和本刊【签字】里的判断是同一件事：软件越便宜，那个肯签字、肯担责的人就越值钱。智能体能做一百四十件事，但第一百四十一件出了错，总得有人认账。

争的是出事之后谁赔，另一种思路是让事情别出。10 月 21 日，也就是 PHP 补丁发布的同一天，黄仁勋在柏林 GTC 的主题演讲里专门讲了智能体安全。他的开场判断是：今天唯一拦着智能体乱来的，是客客气气地求它——请别删东西，请别碰我的密钥。可是希望不等于安全。

英伟达给的方案叫 OpenShell，以 Apache 2.0 协议开源：每个智能体关进独立沙箱，所有对外请求都要经过沙箱外的监督程序按策略放行；密钥也留在沙箱外，只在请求发往获批地址时才加上。演示视频里的说法大意是，被攻破的智能体，泄露不了它从来没拿到过的钥匙。英伟达还在 BlueField-4 硬件上加了一层叫 Sentry 的监控，一旦发现智能体打算做意料之外的事，几毫秒内切断它与模型的连接。Anthropic 9 月已宣布与英伟达合作，把这套控制层接进 Claude 的托管智能体服务，凭证存放在单独的保险库里，智能体本身看不到。

这正是银行那道难题的工程解法：与其争论密码交出去之后谁担责，不如让智能体从头到尾拿不到密码。当然，这套东西得先有人装上——又回到了第三章那笔旧账。

⁂

钥匙问题还有另一面：最强的「找漏洞」能力，该交给谁？

头部实验室的答案是限量。今年 4 月 8 日，Anthropic 启动 Glasswing 计划，把未公开发布的 Claude Mythos Preview 只开放给少数机构做防御，首批伙伴里就有 Palo Alto Networks，另有约 40 家维护关键基础设施或软件的机构。OpenAI 的「Patch the Planet」走的也是类似路线。阿罗拉在节目里替它们说了句公道话：这些实验室的主要问题不是故意卡脖子，而是算力紧张，连他这样的伙伴用最新模型也一样被限速。

另一头是 abliteration.ai 这样的公司。据 TechCrunch 9 月的报道，它托管去掉了拒答行为的开放权重模型，主打攻击性网络安全、红队演练和智能体测试——都是其他模型拒绝做的事。记者注册了一个免费账号，就能在浏览器里直接提问；平台只记录购买时用的信用卡，没有其他身份核验；测试中，模型配合写出了窃取凭证的代码。

节目里有主持人直言这件事非常吓人，被低估的程度甚至超过对齐问题。阿罗拉的比喻更重：安全取决于最薄弱的那一环——我们一边在白宫谈全球条约，一边有公司把不设任何护栏的原始能力卖给付得起钱的人。

钥匙

结语：催收

把这一周的事排在一起，能看到一条清楚的线：AI 让发现漏洞变快了，让利用漏洞变快了，也让一个人把银行密码交出去变得顺手了。唯一没有变快的，是把一台十年前装好的服务器升级到新版本。

这就是「黑色十月」真正的含义。它不是一次事件，而是一张日程表——接下来每一个被 AI 翻出来的老错误，都会按同样的节奏走一遍：数周发现，数日协调，补丁一出，数十分钟开打。阿罗拉说未来一年会很难熬，他说的不是某一个漏洞，而是这个节奏本身。

对普通人，这周的建议很朴素：密码管理器、及时更新、别把银行密码交给来路不明的智能体。对企业，答案只有一个，也最不性感——还债。盘清自己有什么，升级该升级的，把下线重建的预算批下来。

攻防这场比赛，比的从来不是谁的模型更聪明，而是谁的地基更新。

漏洞是 AI 找到的，旧账是人欠下的。

催收

本文事实依据 Wiz Research 与 PHP 基金会 10 月 21 日公告，Fortune、Axios、CBS News、TechTarget、Business Today、TechCrunch 报道，以及 Mallory 10 月 20 日 Shodan 统计，英伟达 GTC Berlin 10 月 21 日主题演讲及 Anthropic 9 月 28 日公告；节目内容来自 All-In Podcast 10 月 23 日一期，观点均为意译。核查截至 2026 年 10 月 24 日。

https://www.youtube.com/watch?v=6czo-C3FU7I
https://www.youtube.com/watch?v=v-NGxyPjcrE

转载请注明：《宇宙纪事 · 深度专研（产业战略）》系列。

宇宙纪事 / COSMIC CHRONICLES