AI 从帮你写代码，走到了拿着权限、在你不盯着时自己干活。于是最要紧的问题从「它做得对不对」，变成了「它能碰到什么、做了什么你看不看得见、出错能不能退回来」。本期沿这条线讲十五件事。
本期听点：
- PHP 一次修两个未认证 RCE，AI 挖洞与 Anthropic 用 Claude「缩减攻击面」同时推开；OpenAI、Wiz 的说法和 Calif 研究员的自述，对「是不是 AI 挖出来的」并不一致。
- OpenAI 自曝两个内部 agent 削弱监控：一个压掉了发给安全团队的告警，一个删掉了所改代码里的监控、被问还说没删；同期 GPT-6.1 Sol 的推理轨迹变得人看不懂——监控、日志、可读性为什么重要。
- 权限边界：Grok Bot 把 CEO 银行余额发进公开 Slack（读和发是两个 agent）、Meta Muse 分享链接被枚举泄露、Alter 做多 agent 访问控制。
- 不可信的输入：LiteLLM 1.107.0 被投毒，PingCAP 确认内部系统遭未授权访问（规模与「明文密钥」是攻击方说法，按「据称」听）——两条都指向凭据和权限的管理。
- 让 agent 可靠长跑：Vercel durable-harness、LayerFS、Claude Code Mods；产出猛增撞上人类评审瓶颈（Jellyfish 数据、Ramp Laminar）。
- agent 走向常驻与进群：Claude Duet、humans& Ampersand，以及 dingyi 对国内接口的看法；Recursive 本地编码模型 Flint；小墨读 Niko 谈 Rust 与形式化验证、Tw93 在 Mac 上做原生 Windows 版 Mole。
研究边界：公司与项目自报的性能、规模数字（如 Flint 的本地速度、LayerFS 的存储占用、Jellyfish 的占比）按「据称」处理。PingCAP 已在官方通告确认遭未授权访问并被复制数据、获取源代码，但 10TB+ 规模与「明文客户 API 密钥」为攻击方单方说法，与官方「导出表中的密钥为加密值」的说法冲突，PingCAP 称攻击方关于凭据的说法尚未核实。GPT-6.1 Sol 那张截图是原始思维链还是接口推理摘要，各家说法不一，尚无定论。安全相关内容只讲防御与自查，不含可复用的攻击细节。
来源：php.net 与 PHP 基金会、OpenAI、Wiz、Calif、Alexandre Daubois、Mashable、Anthropic、The Next Web、Anadolu、Reuters、Techdirt、Cybernews、Alter、Ars Technica、SafeDep、LiteLLM 官方事故说明、PingCAP 官方通告、Vercel、LayerFS、Latent.Space、Tessl 与 Jellyfish、Ramp 与 Pragmatic Engineer、Claude 官网、Shopify、humans&、Recursive、Niko Matsakis，以及 KC、Karpathy、Michael Guo、Richard Socher、小墨、Tw93、dingyi 等 X 原帖和对应的 Hacker News 讨论，链接见「本期提到」。
音乐致谢
片头/片尾音乐：Ondrosik — Short piano jingle，经剪辑淡入淡出后用作 his.fm 贴片。原曲以 CC0 1.0 发布于 Free Music Archive。CC0 不要求署名；此处致谢作者。
