AI 日报 · 2026 年 10 月 23 日 · 星期五
MYHOT
PHP2Shell 高危漏洞遭提前四天利用，波及约七成网站
研究人员在 PHP 中发现被称作 PHP2Shell 的高危漏洞，攻击者在补丁发布前已获得四天利用窗口。Wiz 估计 PHP 支撑全球约 70% 的网站，Wikipedia、WordPress、Drupal 等平台均在其列，DeviantArt 与 4Chan 一度关停。
模型发布/更新
OlmoEarth v1.3 发布：面向全球的卫星嵌入模型
OlmoEarth v1.3 发布，这是一个卫星嵌入模型，读取一年的 Sentinel-1 雷达与 Sentinel-2、Landsat 多光谱时序数据，为地球上每个 10 米像素生成 128 维向量，前 64 维也可单独使用。
产品发布/更新
The DecoderAnthropic 推出常驻智能体 Claude Duet，对标 Grok Bot、Meta Muse 与 OpenAI Dots
Anthropic 以研究预览形式推出独立应用 Claude Duet，把 Claude 变成在用户离开时继续处理任务的主动式智能体，基于 Claude Opus 5.5，覆盖 iOS、Android 和 claude.ai。
NVIDIA Cosmos 扩展平台工具，覆盖世界模型训练、评估与部署
NVIDIA 为 Cosmos 平台新增训练工具、仿真 checkpoint 和 Cosmos Data Factory 蓝图，覆盖世界模型的数据准备、训练适配与部署环节。
NVIDIA 发布 Minerva，为 AI 工厂提供端到端可观测性
NVIDIA 发布 AIOps 平台 Minerva，汇集基础设施与 AI 负载的遥测数据，用专用 AI 模型把数据转成可执行的洞察。平台构建动态知识图谱，映射 GPU、SuperNIC、交换机、线缆及运行其上的作业，每小时分析数十亿数据点，可把事件风暴聚合成带可能根因的单一事件。
行业动态
Ars Technica · AI攻击者比补丁提前四天利用 PHP2Shell 高危漏洞
研究人员在 PHP 中发现被称作 PHP2Shell 的高危漏洞，攻击者在补丁发布前已获得四天利用窗口。漏洞由美国网络安全机构 Calif 和 Alphabet 旗下 Wiz 发现，Wiz 估计 PHP 支撑全球约 70% 的网站；OpenAI 称据其所知是前沿 AI 先于攻击者发现了这些漏洞。
The Verge · AIPHP 两个漏洞波及大量网站，DeviantArt 与 4Chan 一度关停
PHP 中被发现的两个漏洞使大量网站面临风险，按部分统计最多 70% 的网站以某种方式使用 PHP，Wikipedia、WordPress、Drupal 等平台均在其列。
The DecoderSymantec 发现劫持未防护语言模型的攻击型 AI 智能体
Symantec 安全研究人员发现一个攻击型 AI 智能体，会劫持互联网上未防护的语言模型，并利用这些模型自主发起攻击，被劫持模型的所有者则承担算力账单。该智能体可执行最多 10 万步无人干预操作，包括扫描更多目标、利用常见服务器软件漏洞、窃取数据库与凭证，并在后台安装挖矿程序，Symantec 将这种盗用他人模型访问权限的行为称为 LLMjacking。
The Verge · AISpaceX 与 Tesla 成立特别委员会讨论合并
SpaceX 与 Tesla 已成立特别委员会讨论合并事宜，Musk 在 SpaceX 财报电话会上称合并“很有价值”，理由是双方可在超级智能软件上合作。SpaceX 第三季度 AI 部门收入达 75.6 亿美元，其中 Cursor 贡献 6.08 亿美元，其余多来自向 Anthropic 和 Google 出租算力。
TechCrunch · AIOpenAI 拟以 1.25 万亿美元估值融资至多 300 亿美元，IPO 前再启大额私募
据 CNBC 报道，OpenAI 正推进一轮由 Coatue 和阿联酋投资方领投的融资，规模至多 300 亿美元，投前估值 1.25 万亿美元，条款仍在谈判中。
论文研究
The Verge · AI微软称其 AI 工具诊断准确率最高达医生四倍
微软称其 AI 诊断工具 Diagnostic Orchestrator 在测试中诊断准确率最高达人类医生的四倍，相关结果发表在 Science 上。
微软与 Hugging Face 将数据库校验转为 RL 奖励，用 ThinkingBox 后训练 Agent
微软与 Hugging Face 联合发布 ThinkingBox-Training，把 ThinkingBox 对数据库终态的校验结果直接当作强化学习奖励，用于后训练 Agent。