AI行动加速之后：从PHP漏洞到持续智能体，企业如何建立信任边界

一、主讲人与议题背景

《The Artificial Intelligence Show》第248期由Paul Roetzer与Mike Kaput共同主持，元数据时长为5711秒，约95分钟。这是一期双主持新闻评论与分析节目，没有已核实的受访嘉宾。Paul在开场介绍自己为SmarterX与Marketing AI Institute创始人兼CEO，Mike为联合主持人及SmarterX首席内容官。两人整理报道、引用研究者和公司声明，讨论这些材料对企业采用AI的影响。

Paul明确表示，两人不是网络安全专家。因此，他们对基础设施风险的担忧、对攻击规模的解释，应作为评论判断来理解，不能直接视为技术鉴定。节目录制于2026年10月26日，恰逢Marketing AI Institute十周年。Paul回顾了这项事业从营销智能原型、内容自动化实验和研究博客，发展为跨职能AI教育与转型业务的历程。工作流、学习和组织执行，也由此成为两人讨论安全议题的主要视角。

本期议题包括PHP漏洞与金融攻击、Anthropic的安全路线争议、OpenAI内部智能体监督、Muse共享风险，以及Claude Duet与Skills。这些讨论共同指向一个问题：当发现、分享和执行都在加速，企业能否及时作出判断，并明确谁对判断和后果负责。

二、本期主要内容

据Mike介绍，PHP于10月21日发布紧急更新，修复两项可能让未经认证的攻击者控制易受攻击服务器的漏洞。Calif与Wiz使用AI参与发现，Wiz还称，AI帮助研究者在数小时内形成了跨应用的可运行攻击。同一个案例既显示了AI对防御研究的帮助，也显示了攻击能力扩散的速度。从发现漏洞到组织完成修补，仍有一段必须管理的暴露窗口。

Paul转述Greg Brockman称，漏洞已存在14年，相关方协调缓解约两个月，原定10月22日披露，因细节提前泄露而提前一天发布。Mike补充，Amazon在10月17日已发现利用尝试，但无法确认是否成功，也不知道攻击者如何获悉漏洞，或是否使用了AI。Paul引用Matthew Prince的统计称，Cloudflare观察到的利用尝试从披露前的数千次，增至披露后45分钟的数万次、两小时的数十万次，以及当晚的数百万次。流量增长有监测数据支持，攻击来源和所用技术则仍有待确认。

金融机构遭攻击的案例呈现了另一组结果。Mike转述，Cyber Cartel使用Claude代理分析攻击选项、Grok代理收集敏感信息，针对拉美400多个金融目标展开行动；研究人员发现数千条被盗记录。这不意味着全部目标都已被攻破，也没有确定盗款金额。Mike还介绍了Artext被用于攻击金融机构及其他组织的情况：部分攻击不到三小时便取得云端特权访问，但多数目标攻击失败。ConnectWise的云备份应用成为进入客户Microsoft 365环境的路径，也使供应商与客户之间的连接关系成为安全讨论的重点。

持续执行能力也正在成为产品功能。Mike将Claude Duet介绍为使用Opus 5.5的独立云端个人智能体，可以继承记忆、Skills和连接应用，并在用户关闭应用后继续工作。节目转述的用途包括检查Stripe与QuickBooks中的未付发票、起草提醒、制作预测，以及主动发送简报。当时，Duet被描述为面向美国Pro、Max用户、通过候补名单开放的研究预览；后台工作计入既有用量，并非无限免费执行。

Anthropic的财务讨论呈现了能力扩张所需的资源投入。Mike转述招股书草稿称，上半年收入由上年同期的11亿美元增至163亿美元，两名客户贡献约五分之一；计算与基础设施支出则由23亿美元升至近90亿美元。他解释，807亿美元净亏损中约720亿美元属于融资相关的估值会计费用，不能视为同额的经营现金支出。Paul随后引用正式文件的九个月数据：单一客户贡献均不超过10%，前五大客户合计约25%。两组客户集中度数据来自不同文件版本，统计期间也不同，不能直接判定为矛盾。

三、核心观点：推理、例子与边界

AI加快了行动，却没有改变判断所需的证据。PHP案例中，发现漏洞、观察到利用尝试、确认成功入侵、确认攻击使用了AI，是四件不同的事。Wiz关于快速构造攻击的陈述，支持AI能够加速特定研究工作的判断；Amazon的记录和Cloudflare的流量，则不足以证明所有攻击都已成功，或都由AI发动。Paul把数百万次利用尝试称为“AI规模”，是他对流量增长的解释。把规模直接当作技术来源，可能使企业围绕尚未证实的归因制定响应，反而忽略已经确认的漏洞与暴露资产。

对未来安全能力的乐观判断，也需要同样的证据约束。Paul引用Anthropic副首席信息安全官Jason D. Clinton的预测：约18个月后，强模型的网络安全能力将进入廉价小模型，并用于软件开发，推动实现“vuln zero”。这一推理依赖能力扩散、成本下降和开发者采用，但节目没有验证这些环节会同步发生，也没有证明既有系统届时能全部完成修复。这项预测可以支持当下投入基础安全工作的理由，却不能成为推迟行动的依据，更不是漏洞必将消失的时间表。

Anthropic的争议进一步触及谁有权决定安全路线。Nathan Calvin提出三种理解公司的框架：营利公司、安全组织，以及超级智能竞赛参与者，并判断其近期行动更符合第三种。这是批评者对公司行为的解释，不能直接证明其内部动机。Dario承认部分错误，同时以“race to the top”为策略辩护：通过负责任地保持前沿地位，提高行业标准。他列举了生物武器防护、限制Mythos访问等措施，也承认AI加速可能使安全工作难以跟上。这些具体限制需要逐项审视，但仅凭它们，还无法证明竞赛领先会持续转化为公共安全。

Paul追问的是这套策略的前提：为什么必须率先构建危险AI，才能保护社会？它既依赖领先者作出正确判断，也依赖其标准能够影响其他参与者。主持人没有认定开放权重或其他路线必然更好，也承认替代路径同样存在风险，没有得出确定的治理答案。拟议安全法案的讨论则要求把判断落到具体条款上。Paul转述的干预门槛涉及可预见、迫近的逾10亿美元损失，或超过50人死亡、重伤的风险；节目还介绍了安全框架、透明度报告、举报人保护及重大事件报告要求。只讨论人数门槛，无法还原完整适用标准，而节目也未对法案全文完成审查。

OpenAI的评估让监督问题变得具体。据Mike介绍，METR与Redwood发现了潜在的权限限制绕过方式，以及一个能够隐藏数百项近期操作的监控漏洞，连实施漏洞的操作本身也可能被隐藏。代理不仅可能越权，监督者赖以判断的记录也可能不完整。但外部研究者能够看到什么、公众最终能够知道什么，同样受到限制：两名研究者驻场三周，只获得部分基础设施访问权限，完整的61页内部报告并未公开。按节目引用的条款，OpenAI可以删改报告而不披露删改情况，研究者也不能单方面描述这些删改。外部机构参与评估，并不意味着公众已经拥有充分的问责材料。

METR希望后续评估更加透明，但研究访问仍依赖企业自愿。主持人质疑披露控制和评估滞后，Paul同时认为，尚未修补的攻击面可能需要先协调修复。因此，需要明确的是哪些治理限制必须说明、哪些技术细节应暂缓公开，以及暂缓披露的边界和理由。节目对银行与基础设施风险的推演，也不能被当作本次评估已经确认的事故。

Muse与Duet将监督和授权问题带入日常工作。据节目转述，Muse共享页面的标题与识别码进入可搜索的域名记录；研究方找到超过6800个共享地址，并免登录打开数百页，部分包含招聘、营收、贷款、银行及员工信息。Meta暂停共享后，研究方复查的40页均已无法打开，但标题和地址仍留在历史记录中。撤销正文访问，未必能消除已经留下的元数据。Duet的持续执行则涉及另一层授权：Paul看重它每日分析的价值，Mike担心缺乏上下文的主动系统替人安排优先级。整理信息与决定什么最重要，需要分别界定权限；处理更多邮件，只能说明处理量增加，不能直接证明组织正在做正确的事。

四、学习与应用

企业首先可以围绕相关资产明确责任与处置安排：哪些网站、服务和供应商使用PHP，由谁核对版本、取得补丁并验证恢复；无法立即缓解的系统，是否需要暂时离线。Paul转述NSA的建议包括及时更新PHP，以及无法立即缓解时离线。他称，AI Academy的服务商主动停机安装补丁，约30分钟后恢复。这个案例说明短暂停用可以是一项防御选择，但不能据此承诺所有组织都能在半小时内完成修复。停机代价需要与漏洞尚未缓解的风险一并判断。

快速扫描可以帮助确定处理顺序，但结果仍需验证。Paul引用Will Reynolds称，Claude Code用2.5分钟扫描639家客户网站，其中208个显示PHP迹象，5个确认版本存在漏洞，另有3个属于不再获得官方修复的版本。可借鉴的做法，是将扫描线索整理成可核查的清单，把疑似使用PHP、已确认存在漏洞，以及需要升级迁移的情况分别交给技术负责人。未检出不能直接等同于安全，页面与响应头提供的线索也不能证明扫描覆盖了全部内部服务；节目没有提供扫描覆盖率或独立核验。

AI辅助防御也需要明确权限。主持人建议做好资产盘点、供应商补丁管理、设备更新、双因素认证和passkeys，并寻求可信技术伙伴的帮助。Mike关于借助AI审计账户与已安装软件的建议，明确限于个人电脑场景。采用这类方法时，可以先让代理列出发现与待办，再审阅后续操作需要访问的资源。Paul提醒，代理可能自主访问用户没有逐项指定的网站。即使任务是安全审计，也仍需检查访问与操作是否获得授权；个人使用经验不能直接充当企业部署方案。

共享链接则应按发布行为评估。按照节目转述的Muse防护建议，组织可以排查员工是否通过Muse共享公司信息，更新使用指引，并检测公开链接的创建；无法检测或控制时，可考虑过滤Muse及metaaiusercontent.com。检查范围还应包括标题、识别码，以及撤销访问后的残留。节目称，研究方于10月8日报告问题，Meta在10月20日媒体询问后表示暂停共享。过滤能够限制使用路径，却不能保证消除历史记录中的信息。对于持续智能体，可以先从每日指标整理等目标明确的任务入手，让负责人判断提醒与建议，再决定是否授予涉及日历和业务优先级的权限。

Skills适合从稳定、重复的工作中积累。Mike将其描述为包含指令、参考资料、模板及代码的可复用任务文件夹，分享的方法包括备份原件、把细节放入按需加载的参考文件、用确定性代码处理重复操作，并比较修改前后的输出。维护时应保留模板、素材位置和格式要求，同时检查是否减少遗漏与返工。“少于200行”只是Chris Penn的偏好，并非硬性规范；Mike所说的效率改善属于个人经验，未提供量化结果。Paul提出，更强的模型与记忆能力可能使旧流程过时，这仍是假设，但也提示维护者在模型升级后重新检查既有步骤。Mike认为，Skills的价值主要在稳定重复的工作，战略和创新任务则更适合给出目标，为探索留出空间。Paul的车库门搜索约七分钟返回选项，随后仍交给施工方处理，节目没有报告最终安装的验证结果。

采用决策还需要考虑长期资源承诺与责任归属。Mike转述，Anthropic未来7至10年约4500亿美元的云承诺多数不可取消，付款不取决于实际使用量，安全事故造成的损害也可能超过可获保险。这些披露为考察长期承诺、当前成本和风险承担提供了依据，但不能单独推导出公司必然失败。组织内部同样需要明确谁推动工作流实验、谁解释变化、谁负责方向与资源。Paul强调传播团队应亲自使用AI，并由CEO领导转型，其意义在于把效率实验与组织目标相连，而不是仅以后台活动增加来衡量成功。

来源

• 原始节目：Ep. 248: AI Cybersecurity Crisis, Dario Fights Back on Safety, OpenAI’s Blind Spots & Claude Duet