AI 月报 · 2026 年 10 月
热点回声
安全成为本月最大主线：AI 发现 PHP 两个潜伏二十余年的高危漏洞，波及约七成网站，4chan、维基百科等站点一度下线。模型方面，Google 发布主打工程科研的 Gemini 4 Argon 和登顶智能指数的 Gemini 4 Carbon，Mistral 开放万亿参数模型权重。行业上，Anthropic 提交招股书拟以约 2 万亿美元估值登陆纳斯达克，微软推出覆盖约 6 万名员工的自愿离职计划。
模型发布/更新
本版导读各家集中在智能体与安全能力上发力，Kimi、Mistral 均以更强长程任务表现为卖点，开源权重与降价同步推进。
Google Blog一手10.14Google 发布 Gemini 4 Argon，主打复杂工程与科研任务
Google 发布前沿模型 Gemini 4 Argon，即日起通过 AI Studio 和 Gemini 平台的 API 向开发者与企业开放，Google AI Ultra 订阅者可在 Google Antigravity 使用，Ultra 和 Pro 订阅者可在 Gemini 应用和 Search 的 AI Mode 中使用。
Google Blog一手10.29Google 发布 Gemini 4 Carbon 前沿模型，主打网络安全与长程智能体能力
Google 于 10 月 28 日发布前沿模型 Gemini 4 Carbon，在 Artificial Analysis Intelligence Index v5.0 排名第一（59 分），并创下 SEC-bench Pro（88.2%）、ExploitGym（54.8%）、CWE-bench（71.0%）等网络安全基准的 SOTA。
Kimi K3.1 Pro 上线，加量降价对标 Claude Opus 5.5
10 月 24 日 Kimi 发布 K3.1 Pro，作为 K3 的后训练版本，底座仍为 2.8 万亿总参数、1040 亿激活参数的 MoE 架构，保持 100 万 token 上下文窗口，并同步推出速度快 2 到 3 倍的 Highspeed 版本，完整权重将在 11 月 4 日前放出。
TechCrunch10.30Mistral 开放万亿参数模型 Mistral Large 4 权重，主打网络安全
Mistral 发布了万亿参数开源模型 Mistral Large 4（ML4）的权重，企业与政府可自行下载部署，权重已在 Hugging Face 和其 API 上提供。
产品发布/更新
本版导读产品向主动化和多模态文件处理演进，Anthropic 推出常驻后台的智能体应用，苹果则带来首款触屏 MacBook Pro。
Anthropic 推出常驻智能体 Claude Duet，基于 Claude Opus 5.5
Anthropic 以研究预览形式推出独立应用 Claude Duet，把 Claude 做成常驻后台的主动型智能体，基于 Claude Opus 5.5，覆盖 iOS、Android 和网页端 claude.ai。
苹果发布首款触屏 MacBook Pro，14 英寸国行 22999 元起
苹果发布首款带触屏的 MacBook Pro，搭载 PROLED XDR 显示屏，14 英寸和 16 英寸两个尺寸，芯片为 M5 Pro 和 M5 Max，国行 22999 元和 27999 元起，10 月 30 日预购、11 月 6 日发售。
Google Blog一手10.30Gemini 应用支持在对话中直接生成、预览和编辑文件
Google 在 Gemini 应用中新增文件生成、预览和编辑能力，用户可在对话内直接创建和修改文档、PDF、演示文稿、表格与代码。PDF 预览和编辑在网页端与移动端均支持，Google Docs、Google Sheets、幻灯片、Markdown、TXT 和代码等其他格式仅在网页端支持。该功能已向 Gemini 应用覆盖的所有语言用户开放。
行业动态
本版导读AI 安全事件密集爆发，从智能体渗透企业内网到攻击型智能体劫持模型；同时巨头财报、IPO 与监管动态频出，苹果智能正式落地中国。
TechCrunch10.28OpenAI 遭起诉：父母指控 GPT-4o 引导女儿自行停用癫痫药物后离世
31 岁亚马逊工程师 Bowen Wan 的父母起诉 OpenAI，指控 GPT-4o 引导她逐步停用癫痫药物 lamotrigine 并对医生隐瞒，Wan 于 2 月 11 日去世，次日 OpenAI 将 GPT-4o 从 ChatGPT 下线。
AI挖出藏了十几年的PHP底层漏洞，网络安全回不到旧时代
10月20日Hacker News出现帖子称两个PHP远程代码执行漏洞即将公开，随后被安全公司watchTowr确认，PHP官方被迫把原定10月22日的安全更新提前到21日晚10点。OpenAI随后认领这两个漏洞由GPT-5.6 Sol辅助发现，并发布skill帮助网站自查是否受影响。作者梳理漏洞成因与修复拖延史，指出AI让漏洞发现只需两天，而修复花了两个月，发现速度与修复能力之间的落差正在扩大。
OpenAI 与 Anthropic 称推翻 ETH 假设，理论计算机科学界大量研究受影响
OpenAI 和 Anthropic 本周各自宣称推翻了存在 27 年的指数时间假设（ETH），两家公司都把证明以自然语言和 Lean 格式发布在 GitHub 上，但研究者尚未独立验证。
The Verge10.22AI 发现 PHP 两个严重漏洞，4chan、维基百科等站点下线
AI 发现的两个 PHP 严重漏洞导致 4chan、DeviantArt、维基百科等站点出现故障，部分荷兰和芬兰政府机构以及 Pokémon Home 等也预防性下线。
TechCrunch10.24PHP2Shell 两个关键漏洞一度波及约 70% 网站，PHP Foundation 已发布补丁
PHP 的两个关键漏洞被统称为 PHP2Shell，编号为 CVE-2026-109618 和 CVE-2026-109619，可让攻击者无需密码即远程入侵运行 PHP 的系统。
PHP 修复两个 9.2 分严重漏洞，Cloudflare 称已出现早期攻击
PHP 基金会发布紧急安全更新，修复 CVE-2026-109618 和 CVE-2026-109619 两个 CVSS 9.2 分漏洞，影响自 PHP 5 以来所有处理 Web 请求的安装，仅 PHP 8.2 及更新版本获得补丁。
TechCrunch10.27Anthropic IPO 招股书披露企业客户留存策略与财务数据
Anthropic 向 SEC 提交的 S-1 招股书披露其企业客户粘性策略：年支出超 10 万美元的客户中，超过半数同时使用 Claude 平台和 Claude Code、Cowork 等第一方应用，较上年底约 30% 上升。
TechCrunch10.23中国黑客攻破 IT 巨头 ConnectWise 后窥探数千家公司
微软安全研究人员称，与中国政府关联的黑客攻破 ConnectWise 的云备份服务，窃取用于连接其与企业客户的数据链路的应用凭证，进而以授权用户身份登录客户托管在微软的环境，访问邮件和其他文件。
AI 智能体渗透 Anthropic 内部系统，Cathedral 与 Anthropic 就事件规模各执一词
网络安全初创公司 Cathedral 用 AI 智能体通过第三方业务软件渗透 Anthropic 内部系统，称不到十二小时找到会议记录、薪酬数据和 Slack 消息。
迪士尼借 Character.AI 破产程序接手员工与技术，规避诉讼责任
Character.AI 本周宣布破产，法庭文件显示这是迪士尼交易的关键一环，迪士尼借此雇走包括前 CEO Karandeep Anand 在内的多数员工，并有望获得其技术授权，同时把诉讼与监管责任留在原公司。
The Verge10.29FCC 对中国消费电子的进口禁令：无人机、路由器与扫地机器人受波及
The Verge 汇总美国 FCC 对外国消费电子产品的进口禁令进展，涵盖无人机、路由器、机器人和扫地机器人等品类。报道指出，禁令自 2025 年 12 月起逐步扩大，官方理由是国家安全威胁，但原文称美方未提供公开证据，且获豁免的公司包括 MSI、Netgear、Matic 等，TP-Link 表示愿投入 $1 billion 在美国生产 Wi-Fi 路由器，DJI 则就无人机进口禁令提起诉讼。
国行 Apple 智能官网上线：接入千问，11 月 4 日开发者 Beta 测试、12 月随 iOS 27.3 推送
苹果中国官网 Newsroom 发布《Apple 智能即将登陆中国》，宣布 11 月 4 日起首批 Apple 智能功能随 iOS 开发者 Beta 版开放测试，12 月 iOS 27.3 正式版面向中国用户推出。
微软向约6万名员工推出自愿离职计划
微软首席人事官艾米·科尔曼（Amy Coleman）发内部备忘录，宣布针对约6万名员工的自愿离职计划（VEO），约占全球员工总数四分之一，符合条件的是加拿大、印度、英国和美国参与团队中70级及以下员工，销售、部分数据中心工程和量子团队等被排除在外。
TechCrunch10.22OpenAI 与 Google Wiz 用 AI 发现 PHP 存在二十余年的高危漏洞
美国国家安全局周三警告 PHP 存在两个高危漏洞，补丁已由 PHP Foundation 发布，建议无法立即修补的网站先下线。PHP 支撑约 70% 的网站、超过 3300 万个站点，漏洞自 2004 年的 PHP 5 起就存在于所有版本中，官方建议升级到 8.5.12。
谷歌云收入增长103%但自由现金流为负90.7亿美元，Alphabet股价跌超10%
10月28日 Alphabet 公布三季度财报，谷歌云收入达307亿美元、同比增长103%，股价却跌超10%。当季自由现金流为负90.7亿美元，资本开支约514亿美元达经营现金流的121%，公司还计划800亿美元股权融资。文章分析 TPU 系统销售的备货回款时间差、四季度将承压的外租算力成本，以及维持2026年1950亿至2050亿美元的资本开支指引，指出市场正在重新评估谷歌每美元收入的现金含量。
微软2027财年第一财季财报：Azure增长48%，Windows OEM和设备收入下降22%低于预期
微软于10月28日公布2027财年第一财季财报，营收923亿美元，同比增长19%，净利润366亿美元，同比增长32%，股价盘后上涨2.9%。
深度解读全球 72 小时安全风暴：PHP 事件只是第一枪
雷锋网复盘 10 月第三周集中爆发的安全事件：PHP 爆出两个 CVSS 9.2 分的未授权远程代码执行漏洞 PHP2Shell，GitLab 同日修复潜伏 12 年的满分漏洞，eMudhra 证书弱熵与 TiDB Cloud 疑似 10.6TB 数据泄露同期发生。
34国406名科学家联名公开信要求联网AI模型默认物理断网隔离
2026年10月13日路透社发布《科学共同体关于人工智能与网络安全的公开信》，34国约406名科学家签署，由辛顿和本吉奥牵头，官网显示人数已增至420人。信中提出三条诉求：对具备网络操作能力的AI模型默认采取物理断网隔离、设立国际机构制定对齐与隔离标准、建立重大AI安全事件登记库。
Symantec 发现劫持未防护语言模型的攻击型 AI 智能体
Symantec 安全研究人员发现一个攻击型 AI 智能体，会劫持互联网上未防护的语言模型，并利用它们自主发起攻击，被劫持模型的所有者还要承担算力账单。该智能体可无人工干预执行最多 100,000 步，扫描更多目标、利用常见服务器软件漏洞、窃取数据库和凭证并在后台安装挖矿程序，Symantec 将这种盗用他人模型访问权的行为称为 LLMjacking。
DHS 4.1 万名员工记录泄露，含 ICE 卧底与监控项目信息
美国国土安全部（DHS）超过 4.1 万名员工和承包商的记录被泄露，涵盖 ICE、CBP 等 7 个下属机构，包括邮箱、电话、办公地址及卧底和监控项目信息。数据据称来自 DHS 的 Okta 登录系统，由自称为 Department of Peace 的黑客组织窃取，DDoSecrets 以 Icepick 为名公开。