AI 日报 · 2026 年 10 月 22 日 · 星期四
热点时间线
Wiz 等团队披露 PHP2Shell 漏洞家族，CVSS 最高 9.2
Wiz Research、OpenAI Codex Security 等团队披露 PHP2Shell 漏洞家族，其中 CVE-2026-109618 和 CVE-2026-109619 的严重程度均为 CVSS 9.2，可导致未认证代码执行或敏感进程内存泄露。
产品发布/更新
AGI HuntCloudflare 开源 security-audit-skill，将编码 agent 变为安全审计员
Cloudflare 开源 security-audit-skill，用六阶段结构化流程将编码 agent 变为安全审计员。该项目在 GitHub 获 3.57 万星、2.2k fork，采用 MIT 协议，可在不同 agent harness 中使用。流程覆盖架构与信任边界侦察、漏洞挖掘、候选验证、结构化输出、独立记录核验和中性报告。
PyTorch 2.15 为 Mac MPS 加入 FP8 并加速模型运行
PyTorch 2.15 为 Mac 的 MPS 后端加入 FP8、专用 Metal 内核和更快的 LLM 解码路径。M3 Ultra 上 Qwen3.6-35B-A3B 从 9.4 提升至 61.3 tokens/s，Wan2.2 视频 VAE 解码峰值显存从约 270 GiB 降至约 8 GiB。运行要求更新为 macOS 15 或更高版本以及 Python 3.11 或更高版本。
NVIDIA 在 GTC Berlin 展示本地 AI 硬件与智能体更新
NVIDIA 在 GTC Berlin 集中展示 RTX Spark、DGX Spark 和 DGX Station 的本地 AI 更新，覆盖个人智能体、开发集群与企业部署。
行业动态
AIHOT另外 1 家也报道了Wiz 披露 LiteLLM PyPI 包供应链攻击，恶意版本 v1.107.0 窃取凭据
Wiz 披露 LiteLLM 恶意版本 v1.107.0 于 10 月 21 日被上传至 PyPI，并通过 Python 启动流程窃取凭据。该版本随后遭 PyPI 隔离，GHCR 和 Docker Hub 中的相关镜像也已被移除，文章称最近的安全版本是 v1.106.2。
SiliconANGLE AI另外 2 家也报道了美国DHS下令联邦机构移除DeepSeek并禁止采购
美国国土安全部（DHS）下令所有联邦民事机构从信息系统中移除与DeepSeek关联的产品，并禁止采购其产品和服务，包括使用DeepSeek开发的第三方服务。订单援引《2018年联邦采购供应链安全法》，称相关模型可能跟踪用户或向中国传输敏感数据；此前美国商务部已禁止政府设备使用DeepSeek，纽约州也实施了相关禁令。
SpaceX第三季度营收增长161%，Musk考虑与Tesla合并
SpaceX第三季度营收达到$14.6 billion，同比增长161%，并公布2027年第一季度营收指引为$33 billion至$37 billion。公司称SI业务营收增至$7.56 billion，同时Elon Musk表示正考虑与Tesla合并，两家公司董事会已成立专门委员会讨论整合。
论文研究
AIHOTMicrosoft Research 与合作者证明 KLS 猜想，建立与维度无关的固定界
Microsoft Research 与合作者证明了 1995 年提出的 KLS 猜想，建立了对数凹分布切割效率与维度无关的固定界。研究人员在人类主导的智能体研究流程中探索了 100 多条候选路径，由人工筛选方向并组织最终证明。另有研究团队同期给出独立证明，相关关键结果还完成了 Lean 4 形式化验证。
技巧与观点
AGI HuntGPT-4o 与 GPT-4.1 系列将于 1 月 14 日下线，Luna 迁移实测对比
AGI Hunt 转述 OpenAI 将于 1 月 14 日关停 GPT-4o、GPT-4o mini、GPT-4.1、GPT-4.1 mini 及其微调版本，并推荐更便宜的 GPT-6 Luna。
AWS Machine Learning Blog在 AWS 上用 X.509 PKI 保护 AI 智能体身份
AWS 与 Keyfactor 展示了一套基于 X.509 PKI 的多智能体身份安全参考架构，适用于通过 MCP 访问数据库和外部工具的场景。方案以签名请求信封、用户委托断言、限定受众 token 和实时 OCSP 吊销检查组成三层认证链，并提供配套 GitHub 示例代码。