TC分享第 304 期

2026 week 43

本周摄影：

新闻思考

这周的PHP漏洞感觉真的可以拍成电影了。安全研究人员借助 OpenAI 的 GPT-5.6 Sol AI 模型，在 PHP 中发现了两个严重的底层漏洞，被称为 PHP2Shell。PHP 是一种诞生于 1995 年的编程语言，至今仍被全球约 70% 使用已知服务端语言的网站采用，包括大量 WordPress 网站。漏洞的原理其实不算特别复杂：当 PHP 遇到内存不足或者程序异常时，可能错误地使用尚未初始化、甚至已经释放的内存。攻击者利用这些错误，在特定条件下甚至不需要登录，就能让服务器执行恶意代码。更可怕的是，漏洞存在于 PHP 本身，即使网站开发者没有写错业务代码，也可能受到影响。

真正惊险的是后面的故事。8 月，研究人员发现问题后，并没有立即公开，而是联系 PHP 开发团队，计划先修复漏洞，再统一发布补丁，避免攻击者提前利用。然而，事情逐渐失控。10 月 17 日，亚马逊的安全系统已经观察到疑似利用漏洞的攻击尝试，比正式公开早了四天。10 月 20 日，漏洞编号开始在网上传播，研究团队又意外公开了一段攻击演示视频，随后虽然迅速删除，但视频已经流传出去。PHP 团队不得不将原定 10 月 22 日的补丁提前至 21 日发布。没想到，21 日又有一家软件供应商提前六个多小时发布了修复版本，使攻击者有机会通过分析补丁反推出漏洞。最危险的时间差就此出现：攻击方法正在扩散，而大量网站还没有拿到正式更新。各国政府和企业紧急应对，部分网站甚至选择暂时关闭服务。整个过程真的是一场生死时速。

AI 正在彻底改变网络安全的攻防成本。作为程序员，我们都知道，软件不可能没有 Bug。尤其是 PHP 这样拥有几十年历史、代码量庞大、兼容无数旧系统的软件，隐藏一些过去没有被发现的问题并不奇怪。以前，即使有人发现一个潜在漏洞，要分析复杂的底层代码、找到触发条件，再真正开发出可用的攻击方法，往往需要顶尖安全专家花费大量时间。但现在，借助 GPT-5.6 Sol 这样的 AI 模型，研究人员就能大幅加快这个过程。那些存在了十几年、过去很难利用的漏洞，可能突然变得容易挖掘和攻击。这次是安全研究人员先发现并推动修复，下一次也可能是攻击者先找到。

我觉得这意味着，未来网络安全的重要性只会越来越高，而且攻防双方都必须升级。一方面，我们应该利用 AI 大规模扫描代码、寻找漏洞、自动生成和验证补丁，尽可能在攻击者之前解决问题。另一方面，AI 公司在发布越来越强大的模型时，也必须认真考虑安全风险，防止这些能力被大规模用于网络攻击。过去，复杂攻击的门槛主要是技术、经验和时间；未来，这些门槛都可能被 AI 大幅降低。当然，AI 也会让防御者变得更强。真正的问题是，防御的进步能不能跑赢攻击能力的增长？这次 PHP 事件或许只是一个开始。

科技新闻

【1】国办：减缓人工智能应用就业替代影响

【2】DeepSeek 新一轮融资约 1000 亿元（约 150 亿美元），宁德时代和腾讯出钱最多，公司还没官方确认彭博社 10 月 21 日独家报道，DeepSeek 在最新一轮融资中筹到约 1000 亿元人民币，约合 150 亿美元，是中国有史以来规模最大的融资之一。消息来自不愿具名的知情人士，DeepSeek、腾讯和宁德时代都还没有公开确认。

【3】马斯克指乌克兰违规使用星链发动无人机袭击警告或终止服务 #美国#科技富豪#马斯克#指责#乌克兰#军方违反星链（Starlink）卫星网络的服务条款，利用星链发动攻击性#无人机#袭击，并警告违规行为可能导致服务终止。这番言论正值#美国#与乌克兰因星链网络受限问题关系紧张之际。

【4】韩国大学接连查获AI眼镜作弊教育界忧考试公平受冲击 #韩国#多所大学近期接连查获考生利用#人工智能#（#AI#）眼镜作弊的事件，引发教育界对新型科技作弊手段的担忧。部分考生甚至在网络上扬言，要在高考中使用AI眼镜，促使教育当局紧急加强防范措施。

【5】全球多国网站曝严重安全漏洞为防黑客群攻紧急下线全球多达70%网站所使用的编程语言PHP，被人工智能（AI）模型测出两个潜伏多年的重大安全漏洞，可让黑客伺机发动攻击，迫使全球多国政府和私人机构紧急关闭网站。

【6】美国新墨西哥州法院正式裁决，判处Meta支付高达250亿美元的天价罚款。这起诉讼的源头可追溯至轰动全球的“剑桥分析”数据丑闻。当地陪审团认定，Meta在数据隐私保护、打击虚假信息及遏制仇恨言论等举措上严重误导了Facebook用户，违反该州不公平竞争及消费者保护法规近4400万次。法官此前一度开出高达2194亿美元的惊人罚单，随后核减至250亿美元；新墨西哥州总检察长直言，这是美国历史上针对单家公司开出的最大单笔罚单之一。按照该州法律，这笔罚款将全额注入当地教育基金。面对判决，Meta首席法务官强硬回应，称该裁决让公司几乎无法在当地开展业务，指责这实质上是在变相征收“言论税”，并明确表态将继续上诉。而就在判决公布前两个月，Meta才刚刚因Instagram算法致瘾、侵害青少年心理健康等指控，与全美52位州总检察长达成了180亿美元的巨额和解协议。

优秀的项目

【1】Narcooo/inkos

Story Creation AI Agent for novel, scripts, translation, interactive games, and IP content

GitHub: ⭐ 10,815 · Forks 1,973 · Updated 2026-10-24

【2】Nutlope/hallmark

Anti-AI-slop design skill for Claude Code, Cursor, and Codex.

GitHub: ⭐ 34,236 · Forks 1,781 · Updated 2026-10-22

【3】pollen-robotics/microduck

A Tiny biped duck robot 🦆

GitHub: ⭐ 11,824 · Forks 1,500 · Updated 2026-10-25

优秀的文章

【1】诺米流量病人

【2】还原田柯宇事件：被破坏的训练，和一个争抢 “天才” 的时代

【3】我好像陷入了某种，AI时代的虚无主义。

优秀的视频

【1】[youtube]你是目标，还是代价？李录谈中国经济、股市与政策风险｜新闻特写20261019

【2】[youtube]Saying NO to Mr. Beast

【3】[bilibili]我让AI同时打1000人，两天后它杀死了所有角色！

有趣的事情

【1】还是怕了

【2】肉要烂在自己锅里… @郑克强:新的阶级划分就这样开始，新的阶级矛盾在逐渐聚集，新的阶级斗争正悄然酝酿……警惕啊。

【3】儿子，想当年爸爸年轻的时候…

【4】果然，和大模型对话其实就是请神作者：鈴波靈

【5】当代中登

【6】网友说，河北工业大学VS麻省理工学院，两个校徽查重率87.52%

【7】大A的秘密比国家秘密还深啊！

【8】这个故事风格，真是好熟悉

【9】算了吧

【10】巴西男子卖掉全部家产，跋涉1200多英里去见真爱。结果发现梦中情人其实是AI生成的虚拟角色。

【11】因为阿部宽的官网主页只有15行代码且连照片都多年几乎未更新，许多日本网友曾经专门用他的官网来测试网速，不管设备多老旧、网路多烂，一般这个网页都能秒开。但2026年10月22日凌晨两点，阿部宽的主页下线了。有人感叹居然等到了阿部宽主页打不开的一天，点进去，现在首页是 nifty 的紧急维护公告。演员的官网能被人惦记到这个份上，也是相当少见的