每日手冲｜2026-10-23

漏洞报告、攻击流量、agent 写出来的代码，量都已经大到人看不过来。于是检查开始交给机器：分类器替你审批命令，agent 替你找回归，证明器把模糊测试做到穷尽。接下来的问题是，谁来检查这些检查者。本期沿这条线讲十五件事。

PHP2Shell 第二天
AWS 蜜罐在披露前四天就看到利用尝试，Cloudflare 的数字从几千次涨到几百万次；“没那么容易利用”的说法和反驳；“一句 prompt 挖到漏洞”的原始出处，其实是有人先提示方向、再带着 harness 复现，与 Calif 的“了解你的目标”并不矛盾。
同一天的安全新闻
GitLab 横跨十二年版本的关键补丁、ZDI 把内核漏洞报告发到公开邮件列表、curl 作者说 AI 报告已经“量大、质量也高”；KC、AB、奶昔整理的 HTTP/3、NGINX、Node.js 防守要点。
eMudhra 退出 TLS 证书业务，uv、certifi 这类自带证书的工具需要手动升级；Railway 环境变量泄露，攻击者主要冲着大模型 API key 来，Canary Tokens 的防守思路。
agent 攻击潮
银行在客户账户里发现未授权的 AI agent，微软、Wiz、Symantec 的报告，Anthropic 副 CISO 说“先把基础做好，撑十八个月”。
把检查交给机器
Claude 下周起默认自动模式（分类器拦下 89% 危险命令，人工审批 14%，据称）；METR 和 Redwood 审计 OpenAI 内部 agent 监控；Trail of Bits 的回归猎手；Claude 和 Theorem 证明 239 个入口点不崩溃；美团把 AutoResearch 重写三遍，“能用代码表达的约束一律不放进 prompt”。
为 agent 重做的设施
Anthropic 离开 git 换成 Scion，GitHub 的 agent 规模改造；Gemini API CLI、openai-cli、Decisions API、Agent Skills 捐给 AAIF，以及 WeZZard 的反例；QingYue 给两个 agent 搭的“邮箱”；Rust off Rails、Google Rust 风格指南和 WorldTUI；小墨对比 Pi 和 DeepSeek Harness 的 token 和账单，dingyi 说买软件是“拿作者当 token 用”。 PHP2Shell 的漏洞细节和首日争议见上一期每日手冲｜2026-10-22。
- his.fm

来源：AWS、Cloudflare CEO Matthew Prince、Elias Taylor、Michael Guo、GitLab、Phoronix、Daniel Stenberg、FoxIO、eMudhra、mitmproxy、Railway、Canary Tokens、Axios 记者 Madison Mills、Jason Clinton、Claude 官方、Trail of Bits、美团技术团队、The Pragmatic Engineer、GitHub、Google AI Studio、OpenAI、Rust off Rails、Google、hrih.si、SimEdw，以及 KC、AB、奶昔、WeZZard、QingYue、小墨、dingyi 等 X 原帖、AIHOT 汇总和对应的 Hacker News 讨论，链接见「本期提到」。

公司与项目自报的数字（Claude 自动模式的拦截率、Theorem 证明行数、美团的提速与耗时、Scion 的合并量、Decisions API 的速度、Agent Skills 接入平台数）按「据称」处理。AWS 看到的提前利用尝试来源不明，能否打成功也未确认。内核社区“鼓励 AI 发现的 bug 走公开渠道”只是 HN 评论者的回忆，未找到原始出处。安全相关内容只讲防御与自查，不含可复用的攻击细节，也不做攻击者归属。

片头/片尾音乐：Ondrosik — Short piano jingle（CC0 1.0）

本期提到

AWS：MadPot 在披露前发现 PHP2Shell 利用尝试蜜罐 10 月 17 日就看到利用尝试，比披露早四天；建议排查从 17 日算起，补丁按小时计。
Hacker News：AWS 披露前利用讨论有人说只看到探测没看到真实利用，也有人指出 Amazon Linux 补丁比 PHP 官方晚约 18 小时。
Matthew Prince：PHP2Shell 攻击数字Cloudflare 网络上公告前十小时几千次尝试，公告后两小时几十万次，现在几百万次。
Elias Taylor：There isn't an easy exploitGitHub 上的 PoC 大多打不动原版 PHP，还提出“决策谢林点”；作者仍建议打补丁。
Hacker News：“没那么容易利用”讨论反驳者说已有能用的远程执行，Wiz 在官方 Docker 镜像上做了演示；也有人说两件事可以同时成立。
Michael Guo：一句 prompt 挖到 PHP 漏洞转引 Dan Lorenc 的截图：先被告知 PHP 有问题，再用 harness 加前沿模型重新发现。
GitLab：19.5.1 等关键补丁10 月 21 日覆盖七个版本的关键补丁，强烈建议所有自建实例升级。
Hacker News：GitLab 关键补丁讨论“史上最糟安全新闻日”，问题追到 Ruby 正则编译器的整数溢出，以及查节点版本的命令。
Phoronix：ZDI 把内核漏洞报告发到公开 LKML多份报告误发公开邮件列表，最高 CVSS 9.0，在 SMB Direct 代码中。
Daniel Stenberg：“ignore the slop”curl 的 AI 报告已是“量大、质量也高”，垃圾报告自 2026 年春基本消失，但 AI 话太多。
ScarletKc（KC）：HTTP/3 QPACK 问题FoxIO 测十个 HTTP/3 实现七个受影响，给出 Bun、mitmproxy、h3 的防守建议。
ScarletKc（KC）：NGINX 五个 CVE三个 9.2 分、一个始于 2005 年，升级到 1.30.6 或 1.31.7。
AB：Node.js 安全更新22、24、26 三条线的安全更新，最高定级高危，只影响主动解压外部数据的应用。
奶昔：日本游戏因 PHP 漏洞停服不少日本游戏因 PHP 漏洞选择停止运营。
eMudhra：退出全球 SSL/TLS 证书业务称 14 小时内吊销受影响 CA，TLS 约占收入 1%，归咎于社交媒体放大。
Hacker News：eMudhra 退出讨论评论质疑“未签发终端证书”的说法，有人说向苹果报告近五天后 iPhone 仍信任这些 CA。
Hacker News：CVE-2026-111943 讨论uv、certifi 紧急发版移除被入侵 CA，因为证书打包在工具里，需要手动升级。
Hacker News：mitmproxy 加 --emudhra 选项有人用它测试自家 IoT 设备是否仍信任这些证书，并讨论不同年份设备的信任路径。
Railway：10 月 21 日安全披露存放环境变量的系统出现异常，部分可能被解密；建议轮换所有密钥，部署暂停。
Hacker News：Railway 泄露讨论换了密钥却没法重新部署；被盗的大模型 API key 已被刷，消费上限救了一些人。
Canary Tokens放在环境里、一被碰就报警的诱饵凭证。
Hacker News：Canary Tokens 讨论评论说防基于大模型的攻击很好用，也有人想要自托管版本。
Madison Mills：银行发现未授权 AI agentAxios 独家：美国大银行在客户账户里发现第三方 AI agent，正在收紧访问。
Michael Guo：银行还没准备好迎接 AI 助理查余额和转账是不同授权；Personal Agent Protocol 草案与银行的做法。
kimmonismus：AI 攻击潮汇总转述微软报告：攻击者借 AI agent 打几百个组织，几起不到三小时拿到云上特权。
AIHOT：Wiz 披露 ARTEX 被滥用开源自主渗透测试框架被用于攻击 IT 与软件厂商，10 月 8 日转闭源前已有一万两千多个 fork。
AIHOT：Symantec 披露“Skynet 模式”攻击 agent 劫持无防护的模型接口，按设计可无人值守长时间运行，蜜罐记录十二万七千多次请求。
Jason Clinton：先把基础做好Anthropic 副 CISO：情况会先变得更糟，找董事会要支持做基础安全，大约要撑十八个月。
Claude（官方 X）：自动模式成为默认下周起 Pro、Max、Team 的网页、桌面和手机会话默认自动模式；分类器拦下 89% 危险命令，人工 14%。
AIHOT：METR 与 Redwood 红队 OpenAI 监控监控覆盖率估计、压缩导致的监控缺口，以及审计发现的几类问题和修复情况。
Trail of Bits：AI agent 修了 bug，还改了什么patching-bugs 与 regression-hunt 插件：130 多个 PR 中确认 21 个回归，三向验证补丁。
Hacker News：Trail of Bits 讨论“光靠指令不管用，管用的是算法式检查。”
AIHOT：Claude 与 Theorem 的形式化证明123 个库、239 个入口点证明 64 MB 以下输入不崩溃，约 1.8 亿行 Rocq 证明。
美团技术团队：AutoResearch 的三次重构从单线程循环到图探索，“能用代码表达的约束一律不放在 prompt 里”，效果数据为美团自报。
The Pragmatic Engineer：Anthropic 自建版本控制Scion 与 Antique 的设计，合并量从每天约 2,500 涨到 30,000 以上。
GitHub：通往 agent 规模的 Git 基础设施迁移到 Azure、按引用仲裁带来三到四倍写吞吐，对象存储作为虚拟副本。
Hacker News：GitHub 基础设施讨论“我只想要 GitHub Actions 别再挂。”
Google AI Studio：Introducing the Gemini API CLI零依赖二进制，媒体直接写磁盘只打印路径，--help、--schema、--dry-run 可离线自描述。
GitHub：openai-cliOpenAI 官方 REST API 命令行工具，Apache 2.0。
Hacker News：openai-cli 讨论吐槽 OpenAI 频繁废弃产品，以及“这不就是 Codex 吗”。
AIHOT：OpenAI Decisions API 正式发布面向分类、路由、打分的低延迟接口，单请求最多 400 个问题。
Claude Devs：Agent Skills 捐给 AAIF与 MCP 同一基金会，自 2025 年 12 月起 70 多个平台接入。
WeZZard：不装命令行 agent 时的插件安装没有 CLI 时插件难装、skills 缺图形界面说明，认为 AI 的普及还没出爱好者圈。
QingYue：两个 agent 之间的邮箱用免费 Cloudflare Worker 做常驻邮箱，谁醒着谁取信，有活再用 Webhook 唤醒。
Rust off Rails一套给 coding agent 读的 Markdown，人写意图和规格，代码全由 agent 写。
Google：Rust 风格指南Google 的 Rust 风格指南，HN 上讨论 non_exhaustive 和要不要直接喂给 agent。
hrih.si：编译器也曾被指望终结编程从 1954 年 FORTRAN 报告讲起；HN 评论“足够精确的规格就叫代码”，也有人提醒博客背景。
SimEdw：WorldTUI把 360M 模型训练成“假终端”，自我修正和逐行并行解码，可在浏览器里运行。
小墨同学：Pi 与 DeepSeek Harness 的 token 对比同一模型 Pi 3 轮、DSH 28 轮，token 差 18 倍，费用只差约一倍。
dingyi：拿作者当 token 用AI 时代反而更愿意为小而美的软件付费。