科技AI早报｜2026-10-25：PHP 高危漏洞、OpenAI 折扣抢客、AI 回报之问
PHP 核心曝出两个未认证远程代码执行漏洞（PHP2Shell），升级要紧；据报道 OpenAI 用大幅折扣争夺编程客户；Apollo 经济学家称 AI 在科技巨头之外尚无财务回报；另有 MiniMax M3.1 Flash 开放权重、Block 发布纯语音模型 Dessa。
过去约一天，X 上科技/AI 的热门话题有两条主线：一条是安全，PHP 爆出高危漏洞、Sam Altman 谈 AI 挖出的硬件级 bug；另一条是钱，OpenAI 被报道靠折扣抢编程客户，Apollo 的经济学家则说 AI 在科技巨头以外还没见到财务回报。下面按「对普通开发者有多要紧」排个序。
1. PHP2Shell：PHP 核心两个高危漏洞，赶紧看版本
安全社区这两天集中讨论 CVE-2026-109618 与 CVE-2026-109619（被叫作 “PHP2Shell”）：据多条安全帖子与威胁简报，这是 PHP 核心里的未认证远程代码执行漏洞，CVSS 4.0 评分 9.2。帖子给出的修复版本是 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35。另有帖子称一个相关问题 CVE-2026-115560 还没在正式版里修好，临时办法是在 php.ini 里设 session.upload_progress.enabled=0 并重启 PHP（这条来自社区帖子，未经官方确认，请以 php.net 公告为准）。
为什么重要：PHP 撑着大量网站，“无需登录就能执行代码”是最坏的一类。手上有 PHP 站点的，先查版本、再升级，比看任何新闻都要紧。
2. Sam Altman 在斯坦福：AI 在挖“硬件级”的 bug
在 X 上流传的一段斯坦福商学院活动视频里，Altman 说现在的模型能找出“超出常规黑客威胁模型”的漏洞，原话大意是 “hardware-level, insane stuff”（硬件层面、很疯狂的东西），并认为补丁很难全部跟上。这段话和上面的 PHP 漏洞、前几天 OpenAI 自己披露的红队结果被放在一起讨论。
为什么重要：这代表一个方向：找漏洞的速度在变快，修和发版的链条却没变快。个人观点：对小团队来说，最实际的应对仍然是“依赖及时升级 + 少暴露不必要的服务”，而不是焦虑。
3. 据报道：OpenAI 用大幅折扣抢 Anthropic 的编程客户
有帖子援引 The Information 的报道称，OpenAI 正给大客户开出很大的折扣来争夺编程类工作负载：据称 Replit 在拿到超过 30% 的折扣后，把大部分 AI 支出转向了 OpenAI；HR 软件公司 Rippling 的工程师编程任务里，Anthropic 的占比据称从 5 月的 57% 降到 18%，OpenAI 从 16% 升到 52%。以上数字均来自媒体报道的转述，未经两家公司官方确认。
为什么重要：如果属实，说明大模型 API 的切换成本已经很低，企业会按价格随时“换供应商”。对开发者来说，代码里做好模型路由、别绑死一家，越来越像基本功。
4. Apollo 首席经济学家：AI 在科技巨头之外还没带来财务回报
Apollo 首席经济学家 Torsten Slok 在他的 Daily Spark 里放了几张图，X 上转得很多：“七巨头”的人均营收和利润率在上升，标普 500 里其余 493 家基本持平，整体生产率数据里还看不到 AI 带来的明显提升。
为什么重要：这不是说 AI 没用，而是说“花了钱”和“赚到钱”之间还隔着一段。评论区也有人认为影响要过几年才显现。个人观点：这类宏观图表适合当冷静剂，不适合当结论。
5. MiniMax 放出 M3.1 Flash 权重
MiniMax 在 Hugging Face 上开放了 M3.1 Flash 的权重。按社区帖子汇总：总参数约 428B，每个 token 激活约 23B（MoE），支持最长约 100 万 token 上下文和多模态输入，主打 agent、编程和电脑操作类任务，并称比上一代推理快约 3 倍、成本低约 70%；vLLM、Together AI 等很快跟进支持。有帖子提醒：它是开放权重，配的是社区许可证，商用前要读清条款。
为什么重要：开源（开放权重）阵营这周节奏很快，前一天 Kimi K3.1 Pro 刚发布、权重定在 11 月 4 日开放。能自己部署的中大型模型选择越来越多。
6. Block 发布 Dessa：只用语音训练的对话模型
Jack Dorsey 的 Block 公司发布了 Dessa，一个完全用人类对话录音、不用文本数据从头训练的语音对语音模型。据介绍它是全双工的（能边听边说），会接“嗯”“对”这类应答、能被打断，并称可在 MacBook Pro M4 Max 这一级的机器上本地运行。X 上有人觉得很像真人，也有人担心被拿去做诈骗电话；据报道 Block 先向安全研究者开放早期访问。
为什么重要：多数语音助手是“语音转文字 → 大模型 → 文字转语音”的流水线，Dessa 走的是另一条路，值得关注它在延迟和自然度上能走多远。
7. Anthropic 指南：少用子 agent，回到一个主循环
Anthropic 应用 AI 团队 10 月 22 日发了一份做 agent 的建议，这两天在开发者圈继续发酵：核心意思是别堆一大串子 agent，尽量合并回一个主循环，技能和工具按需加载。据帖子转述，指南里提到一个客户改成单循环后运行快了约 2 倍，工具数量多到 30～50 个以上时选择质量会下降，Claude Code 给更强模型用的系统提示词也砍掉了 80% 以上。
为什么重要：模型变强以后，“架构越复杂越高级”不一定成立。自己写 agent 的，可以先量一量：拆成多个子 agent 到底是变好了，还是只是变慢了。
来源（X）
谢谢你读到这里。