Head of hype @lobehub Prev @listenhub @Sapient_Int 没啥好看的，也就发点AI相关的内容🫡 同名小红书4万粉丝，公众号01Founder（长文首发） 观点仅代表个人 更多请访问网站⬇️（欢迎商务、合作
Singapore
Joined September 2023
- Tweets12.9K
- Following3K
- Followers43.7K
- Likes27.7K
让我们想象一下昨晚各公司运维老哥的一晚⬇️
你是一名运维。
你司的边缘节点跑着NGINX 1.23.0，后面挂着PHP-FPM 7.3的源站。这个7.3，是你刚花了几周时间，从5.6一点点升上来的。
企业新官网刚用Next.js 16.0.7的App Router翻新，旧官网还挂在WordPress上。业务说有几个历史页面还要用，暂时不能下，所以新旧两套都归你管。数据库则是前段时间刚花大价钱采购的TiDB，领导对这次基础设施升级很满意。
Node.js 24 LTS的服务开着Brotli压缩，Go写的网络沙箱负责控制对外访问，公司维护的Rust服务里还嵌着Wasmtime，用Cranelift编译执行WASM模块。所有服务器的Linux内核，刚好还没合入c6e50df8。
公司前几年赶上区块链热潮，还留着一套Vyper写的智能合约。合约在链上，配套后端跑在Docker 29＋Kubernetes上，入口交给Traefik，配了mTLS，偏偏踩着配置冲突时fail-open的坑。宿主机上还顺手跑着ASP.NET Core管理面板和几个.NET本地服务。
网站的HTTPS用的是前段时间刚买的低价Sectigo DV证书，ACME自动签发还在排期。公司软件的代码签名、外发机密文件的文档签名，用的都是emSign。几套系统的证书校验和信任根，又分别涉及Go crypto/x509、Rust webpki-roots和Python certifi。
当然，公司也没有错过这一轮AI大跃进！
你们用Python＋LiteLLM搭了一套企业内部Harness。为了让大家及时用上最新能力，CI昨晚刚从PyPI拉了新包，把LiteLLM更新到了1.107.0，随后一路推到生产环境。
全公司电脑都装上了，部署覆盖率100%，一个都没漏。
昨晚，你值班摸鱼到一半听到钉钉响了，你打开了安全群，发现里面有个小小的公告。
你很平静的看完了公告，去翻资产清单，一边想：行，先排优先级，能补一个是一个。
结果刚准备拉补丁，GitHub又双502了。
你决定先走公司自建的GitLab，把应急变更推上CI。点进去才发现，国内某个未成年脚本小子，拿着ARTEX和OpenCode里免费的DeepSeek V4.1 Flash，顺着PVE 7.4的漏洞一路横向移动，已经把你们的GitLab也打穿了。
你下意识想打开公司的AI工具，让它帮忙整理一下排查步骤。
手放到鼠标上，又想起了刚才那个公告里好像有LiteLLM的名字。
这时候，老板发来一条消息：
“辛苦一下，明早九点要给客户演示。尽量别停业务。”
而你，是这家公司的唯一的on-call运维。
真的草台班子，小米运动算法被网友用DeepSeek发现一个低级bug😅
这位V2EX用户最近在减肥，觉得运动量差不多，热量数据却忽高忽低，于是让DeepSeek帮忙查了查。
按他的测试，正常走54步，记录2.16卡；边走边下拉刷新，走40步却记成了8.28卡。按他分析出的公式，40步本应记1.6卡。
他贴出的数据恰好符合一种情况：同一分钟内，每次更新都把当前累计热量再加一遍，前面走过的步数被反复计算。
也就是说走路时反复刷新，记录的卡路里会越算越多。
很明显小米的研发们没考虑到这个场景下刷新的需求.....
看起来是数据更新逻辑出了问题，用户只是多刷新了几次，App就给他多记了几笔热量消耗。
连5.6Sol都可以找到这个漏洞（
OpenAI models helped researchers—operating as part of our Patch the Planet initiative—discover critical security flaws in PHP, an open-source programming language used to run an estimated 70% of websites.
Over the past two months, we led a coalition of maintainers, researchers, and security providers to prepare fixes and protections ahead of disclosure. This duration was necessary because the fix was quite intricate and required a major change to the PHP engine. Every site using PHP can now safely upgrade their version to stay secure, in addition to applying mitigations from various security vendors.
Due to the severity of these flaws and PHP’s widespread use, we consider this bug to be one of the most impactful vulnerabilities in recent memory. It also marks a new phase, where AI can find security bugs with internet-scale impact.
This is an example of the Defender’s Window in action: to our knowledge, frontier AI was able to find this vulnerability ahead of attackers, giving defenders time to prepare.
openai.com/index/coordinated…
Readers added context they thought people might want to know
OpenAI may claim a role in the coordinated response and patching process. But the initial discovery and exploit development, however, occurred several months earlier by an independent researcher.
x.com/lcfr_hax/statu…
Max For AI retweeted
Over the past two months, we have been leading a coalition to mitigate one of the most severe bugs in open source software found in recent memory, php2shell, found as part of our Patch the Planet initiative.
卧槽？？？这是谁发的？？？
日本首相高市早苗都来警告大家注意PHP漏洞了！！
皆様に、今夜に対応して頂きたい大至急のお願いです。
多くのウェブサイトで使用されているPHPに関し、PHPのセキュリティチームが、重大な２件の脆弱性に関する注意喚起を行っています。
公開しているウェブサイトでPHPを使用しているか確認し、今夜、10月21日午後11時（日本時間）に公開される修正パッチについて、可及的速やかに適用できるよう準備をお願いします。
修正パッチを速やかに適用することが困難な場合は、例えばウェブサイト等を一時的に停止させることも、リスクを低減させるための有効策の一つと考えられます。
国家サイバー統括室のXアカウントでも関係する情報を発信していますので、そちらも参考にして下さい。
国家サイバー統括室(注意・警戒情報)（@cyber_forecast） / X
完蛋了，全球56%的互联网今晚可能会被打穿….
刚看到群里在传PHP2Shell的消息，PHP发出严重漏洞预警，计划于今晚22点发布安全更新。
查了一下，PHP官方确实已经发了预告：这次将修复两个CVSS v4.0评分均为9.2的严重漏洞，提醒所有PHP用户提前做好升级准备。
公开预警列出的漏洞编号sCVE-2026-109618和CVE-2026-109619。根据CERT-EU的公告，漏洞可能导致远程代码执行，潜在影响范围覆盖PHP5及以后的版本。
具体哪些版本、哪些部署条件受影响，还要等官方公布完整细节。
更麻烦的是旧系统。目前PHP官方支持的稳定分支是8.2、8.3、8.4和8.5，8.1及以下版本已经结束官方支持。还在维护这些系统的团队，需要尽快确认自己的修复渠道和升级方案。
有PHP业务的朋友，建议现在就确认运行版本和更新渠道，准备在修复发布后尽快部署。
对于暂时无法修复的对外服务，CERT-EU建议考虑先隔离公网访问。
国际AI安全大牛，宣布加入清华大学人工智能学院研究AI失控了。
10月20日，AI安全研究者 SörenMindermann （索伦·明德曼） @sorenmind 发文宣布，他将于11月搬到北京，加入清华大学人工智能学院担任助理教授，同时继续在剑桥大学的研究工作。
简单介绍一下他的背景：牛津大学机器学习博士，博士后导师是18年图灵奖得主Yoshua Bengio，曾任《国际AI安全报告》科学负责人，目前是剑桥大学人工智能科学与政策项目CASP的技术研究负责人。
他也参与过模型“伪装对齐”、潜伏智能体等研究。
他提到，一些美国同行觉得学术界对AI已经没那么重要了。
但在中国，顶尖高校的学者依然深度参与产业、政策和人才培养。
这也是他看重清华的原因。
另一个让他在意的细节是，按照他的描述，姚期智领导下的学院支持以实际影响为导向的跨学科研究，对研究成果的期待，也没有建立在数顶会论文篇数上。
今年7月，清华启动了“清智人工智能安全枢纽”（BASH），提供共享办公、国际研究者来访、青年人才培养和双向交流，重点关注对齐、评估、可解释性和失控风险建模。Mindermann目前担任这个枢纽的联合主任。
他的研究计划里，有一项我尤其关注，也和RSI直接相关：当AI越来越多地参与AI研发，人类如何继续有效监督？模型会不会操纵自己参与开发的下一代模型，或者破坏原本用来约束自己的流程？
Excited to announce that I’m moving to Beijing and starting a professorship in AI safety at Tsinghua University’s College of AI!
Here I explain why: sorenmindermann.substack.com…
🚨Anthropic上半年净亏损807亿美元。。。
据路透社10月20日援引其查阅的 @AnthropicAI 招股书草稿披露，这笔亏损中，约720亿美元来自可转股融资工具的公允价值上升。
随着公司估值上涨，相关融资工具重新计价产生的损失被计入报表，因此，807亿美元需要与公司实际经营中的现金消耗分开看。
收入端，Anthropic今年上半年营收达到163亿美元，去年同期为11亿美元。
同期，Anthropic在算力和基础设施上的支出接近90亿美元，已经超过去年全年约73亿美元的水平。
Anthropic在10月14日的投资者会上表示，第三季度营收达到168亿美元，环比增长约45%，并按调整后口径实现盈利。
更大的投入还在后面。《华尔街日报》报道称，Anthropic承诺的未来云计算和芯片使用等投入超过6000亿美元，另有约1500亿美元的潜在交易仍在洽谈。
这些金额涉及未来多年的安排，部分交易尚未落地。
据路透社报道，Anthropic计划于11月上市。随着收入环比增速放缓，部分投资者开始讨论约1.5万亿美元的估值，低于此前约2万亿美元的预期。
目前，这仍是部分投资者的讨论水平，发行估值尚未确定。
