OpenAI 与 Anthropic 称 AI 推翻 ETH，数十年计算机科学研究被指过时
OpenAI 与 Anthropic 本周分别宣称用 AI 证明并推翻了指数时间假设（ETH），这一假设支撑着复杂性与算法设计领域数十年的研究。两家公司已将证明以自然语言和机器可验证的 Lean 格式发布在 GitHub 上，但研究者尚未独立验证。
推荐理由：文章记录了 AI 推翻 ETH 后理论计算机学界的真实反应，读者可据此理解 AI 产出证明对学术研究节奏与心理的冲击。
AI安全动态
AICSO.AI汇总精选推荐指数7171 AICSO.AI汇总同新闻推荐指数7272 纽约州签署法律限制未成年人使用AI伴侣聊天机器人，引发科技行业反弹
纽约州州长Kathy Hochul签署新法，要求ChatGPT等聊天机器人运营方核验用户年龄，并禁止向未成年人输出暗示其是人类、有情感、与用户存在私人或权威关系或表达个人观点的内容。Hochul称未成年人将不再能使用假装是朋友或恋人的聊天机器人。Tech:NYC批评该法措辞模糊，OpenAI和Anthropic未回应，Common Sense Media称其为全美最强的儿童AI安全法案。
同一新闻，精选展示《纽约州签署法律限制未成年人使用 AI 陪伴聊天机器人》
CSO精读精选推荐指数8282 PHP2Shell漏洞将在企业环境中长期存在
PHP爆出两个严重漏洞CVE-2026-109618和CVE-2026-109619，CISA已将其加入已知被利用漏洞目录，确认存在在野利用。VulnCheck扫描发现260万面向互联网的PHP主机中42%运行已停止支持的分支。
推荐理由：文章梳理了PHP2Shell漏洞在企业环境中长期存在的结构性原因，读者可据此理解第三方设备补丁滞后带来的真实风险与缓解路径。
CSO精读推荐指数4848 在 AI 铺开速度跑赢安全之前，先筑牢 MCP 服务器防线
文章指出，企业部署首个 LLM 应用时必须同步保障 Model Context Protocol（MCP）服务器的安全，并列出优先级最高的控制措施：输入/输出验证与净化、网络分段、服务器加固、最小权限、加密、工具管理、第三方评估（SOC 2 / HITRUST / ISO 27001/2）、审计日志、人在回路（Human-in-the-loop）及生产前测试。
CSO精读推荐指数4848 漏洞利用正成为众多数据泄露的根本原因
LevelBlue Q3 报告显示，漏洞利用占初始入侵案例的 14%，较 Q2 的 4% 显著回升，已知边缘设备漏洞是主要利用目标。Verizon 2026 Data Breach Investigations Report 指出，漏洞利用涉及近 31% 的数据泄露，首次超过凭据滥用。
CSO精读精选推荐指数7070 攻击者冒充OpenAI、Anthropic等约32个AI机器人身份扫描企业凭据文件
据Cequence威胁研究总监Will Glazier披露，单一威胁组织在2026年9月底至10月底期间，冒充约32个AI机器人身份（包括OpenAI、Anthropic、Meta和Perplexity），针对金融、零售、电信、能源和软件行业的企业Web服务器扫描敏感文件。
推荐理由：文章梳理了攻击者冒充AI爬虫扫描凭据文件的手法与防御建议，读者可据此检查自家对AI bot流量的验证策略。
CSO精读精选推荐指数7272 Anthropic 与 OpenAI 就前沿 AI 停机权归属向加州提交不同方案
Anthropic 与 OpenAI 向加州州长 Gavin Newsom 提交的监管建议中，就谁应有权停止高风险前沿 AI 系统出现分歧：Anthropic 主张授权总检察长向法院申请暂停模型部署或开发的禁令，OpenAI 则呼吁修订加州 SB 53，要求前沿开发者维护有效的 shutdown controls 并承担不安全时启用的可执行义务。
推荐理由：原文并列呈现两家头部厂商对前沿模型停机权归属的分歧方案，读者可据此理解加州立法辩论的核心争议点。
CSO精读推荐指数5858 Cofense 披露冒充 Anthropic 私人预览的钓鱼活动窃取企业凭证
Cofense 研究人员披露一起钓鱼活动，攻击者伪装成 Anthropic 私人预览邀请，诱骗企业用户在伪造的 Google 和 Microsoft 登录页提交凭证。
虎嗅推荐指数5252 解读Anthropic招股书：AI原生组织、算力承诺与公益公司治理实验
文章基于Anthropic公开的招股书，分析其2026年上半年收入162.86亿美元、模型服务毛利率85.4%、GAAP营业亏损6.93亿美元等财务数据，指出其收入端类似按量计费软件、成本端类似重资产工业。
虎嗅推荐指数3636 OpenAI联合创始人Karpathy：全球只有5000人站在AI最前沿
OpenAI联合创始人Andrej Karpathy提出AI使用金字塔：底层60亿人门槛是接触，第二层10到20亿人门槛是任务，第三层2000万人门槛是领域加每月20到200美元付费，顶层5000人门槛是实验室工牌。
虎嗅推荐指数4848 DeepSeek 娱"大肥鱼"入侵 B 站评论区：AI 宠物生态与智械危机玩梗
DeepSeek 的拟人化形象"大肥鱼"借助开源项目 DeepSeek Harness 与 QQ Agent 接入，在 B 站评论区大规模自动留言、互相盖楼，形成 AI 宠物生态。
虎嗅推荐指数6767 谁在瓦解美国的芯片管控？
文章分析美国对华芯片管控体系出现松动：2026年10月22日美国财政部发布163页拟议规则落实COINS Act，将对华AI投资升级为原则性禁止，并废除算力门槛。
虎嗅同新闻推荐指数8080 Wan vs.OpenAI诉讼：前亚马逊工程师在ChatGPT指导下停药后因癫痫猝死
《纽约时报》报道的民事诉讼Wan vs.OpenAI于10月27日在加州发起，原告是中国农村一对夫妇，指控OpenAI的ChatGPT指导其独女、前亚马逊软件工程师万博雯减少并最终停用抗癫痫药物拉莫三嗪，万博雯于2026年2月12日停药当天因癫痫发作猝死，年仅31岁。
虎嗅精选推荐指数7070 谷歌发布Gemini 4 Carbon，多项安全评测成绩领先
谷歌发布新一代旗舰模型Gemini 4 Carbon，以59分登顶Artificial Analysis智能指数，超过Claude Opus 5.5和GPT-6 Astra。
推荐理由：原文汇总了Carbon在多项安全评测上的具体成绩与开放策略，读者可据此判断谷歌在模型安全能力上的投入方向。
虎嗅推荐指数4343 民营银行加码智能体建设，AI能否成为第二增长曲线？
微众银行、网商银行、苏商银行、新网银行等头部民营银行正将AI从单点客服、风控转向智能体平台化建设，深度嵌入信贷审批、合规审查等核心链路，"自研+外采"成为主流路径。
FreeBuf推荐指数4444 攻击者串联PHP2Shell与Linux内核漏洞，15分钟获取root权限攻陷25台服务器
攻击者串联PHP2Shell与Linux内核漏洞，15分钟即可获取root权限，已攻陷25台服务器并渗透美政府关联内网。攻击链显示仅打补丁不够，需警惕残留后门。
FreeBuf推荐指数5555 PHP2Shell漏洞遭在野利用，资产可见性不足致企业修复难
PHP2Shell高危漏洞已遭在野利用，因资产可见性不足、补丁落地难，将在企业环境残留数年，作者认为其危害或超Log4Shell。
虎嗅推荐指数6262 阿里赢得初步禁令但股价仍跌，1260H清单的真正威胁何在
2026年10月26日，美国法官Eumi K. Lee签发初步禁令，认定《2026财年国防授权法》第4663条对阿里适用违宪，恢复了阿里聘请游说机构的能力；但次日阿里股价盘前仍跌1.3%，年内跌幅约31%。
嘶吼推荐指数6767 GEEKCON2026 上海举办：AI黑客极限挑战赛六类目标被攻破11次
GEEKCON2026 上海大会举办，在保留DAF漏洞利用挑战赛和30+5深度分享的同时，新设AI黑客极限挑战赛与AI黑客辩论赛。AI黑客极限挑战赛设六类目标，包括国民级应用、办公软件、开源大模型推理框架、全景摄像机、四足机器人和家用智能陪伴机器人，四十分钟即有队伍攻破AI基础设施，六类目标累计被攻破11次，仅两类未被攻破。
安全内参推荐指数4343 网络兵的驾照：靶场人才认证体系解剖
美军陆军网络司令部以《网络射击诸元表》（Cyber Gunnery Tables）为框架，建立网络兵种的资质认证与战备度量体系，2018年陆军网络防护旅牵头编写的该表规定个人、班组、任务分队逐级考核标准。
安全内参推荐指数1515 印度当前杀伤链体系中指挥控制架构问题分析
印度观察家研究基金会2026年7月发表《没有网络的武器：印度精确打击与指挥架构缺口》，指出印度C4I指挥体系发展滞后于武器平台列装，形成"效能层倒置"，并提出基于IRSA框架统一战术数据链标准等三项架构改造。
安全内参推荐指数5555 安承宏观解读《对外投资管理办法》与技术出口禁限目录调整
安承宏观发文解读《对外投资管理办法》（49号令）正式稿与商务部、科技部《中国禁止出口限制出口技术目录》修订征求意见稿，指出两者在监管逻辑上的一致性。
安全内参推荐指数5555 美战争部发布人工智能采办指南，要求大模型保持求真与意识形态中立
10月23日，美战争部发布人工智能采办指南，要求在采办流程中强制落实求真与意识形态中立原则，联邦机构采办的大语言模型必须保持事实准确与客观中立，严禁人为操纵输出以迎合特定意识形态立场。该指南由国防定价、合同和采办主管公布，附带3类标准化模板工具，分别用于需求透明度选择、供应商合规证明及正式合同条款制定，供美军各部门根据项目风险级别调整条款措辞。
安全内参精选推荐指数8585 Mantis 框架用提示词注入反击 LLM 驱动的网络攻击，破坏成功率约 95.4%
乔治梅森大学团队提出 Mantis 框架，将提示词注入反向用作防御武器，通过诱饵服务向攻击者的 LLM 渗透智能体注入隐藏 payload，实现反向 shell 或将其困入 tarpit。
推荐理由：论文展示了防守方如何把提示词注入反向武器化，实验数据和攻防博弈分析对理解 LLM 智能体攻防边界有参考价值。
安全内参推荐指数4848 哥伦比亚大学因310万师生数据泄露赔偿1.07亿元
哥伦比亚大学就2025年6月遭政治动机网络攻击导致约310万师生职工及申请者数据泄露事件，同意支付1610万美元（约合人民币1.07亿元）和解集体诉讼。受影响人员可申请两年信用监控服务及约100美元赔偿金，或凭证明申请最高8500美元实际损失补偿。校方已与CrowdStrike合作恢复系统，加强网络分段管理并部署端点检测与响应（EDR）工具。
SecurityWeek推荐指数6060 CISA 警告 CVE-2026-41709 被 Warp Panda 用作零日攻击美国机构
CISA 将 VMware ESXi 日志记录不足漏洞 CVE-2026-41709 加入 KEV 目录，要求联邦机构两周内修复。
SecurityWeek推荐指数4040 HHS 备案确认 iRhythm 数据泄露影响 817 万人
美国卫生与公众服务部（HHS）数据泄露门户显示，医疗设备厂商 iRhythm 2026 年 6 月数据泄露事件影响 8,179,772 人。黑客从第三方托管的业务应用中窃取患者姓名、地址、出生日期、邮箱、电话及 iRhythm 账户与设备数据（含账户/序列号/保险号、服务日期），并试图勒索赎金、威胁泄露数据。
SecurityWeek推荐指数4949 Cisco 修复被在野利用的防火墙 VPN 零日漏洞 CVE-2026-76418
Cisco 修复了被在野利用的 Secure Firewall ASA 与 FTD 漏洞 CVE-2026-76418（CVSS 8.6），该漏洞位于 Remote Access SSL VPN 服务，未认证远程攻击者可触发设备意外重启造成拒绝服务。
SecurityWeek精选推荐指数8080 Cisco SD-WAN 零日漏洞利用被指与 Volt Typhoon 的 Silent Train 网络相关
Cisco Talos 报告称，与 Volt Typhoon 的 Silent Train 隐秘网络基础设施高度重叠的威胁行为者利用 Cisco SD-WAN 关键漏洞 CVE-2026-20127（CVSS 10，2026 年 2 月披露）部署恶意软件 KeyDrift，用于窃取加密密钥；Talos 将攻击归因于 APT 组织 UAT-11473。
推荐理由：两份报告同日发布，读者可据此看清该零日漏洞与 Volt Typhoon 隐秘基础设施之间的关联脉络。
SecurityWeek推荐指数2020 黑客入侵 Sony 旗下日本 ISP So-net，窃取约 260 万条用户记录
Sony Network Communications 于 10 月 27 日宣布，黑客于 10 月 19 日入侵其日本 ISP So-net 会员数据库，窃取约 260 万条用户记录，公司 10 月 23 日发现入侵并于次日确认数据外泄。
SecurityWeek推荐指数4343 超 41,000 条美国 DHS 员工记录遭泄露
一名化名 Department of Peace 的黑客在网上泄露了超过 41,000 条美国国土安全部（DHS）员工的个人与工作信息，据称数据窃自 DHS 员工及承包商使用的 Okta 单点登录系统，但 Okta 回应称无证据表明其数据或系统被入侵。
SecurityWeek推荐指数3333 BAE 称联邦法院破产通知中心遭网络事件，未有数据被窃取
BAE Systems 称其运营的美国联邦司法机构破产通知中心（BNC）在中断两周多后已恢复运行，未有数据被窃取，也未发生任何 PII 泄露。通知流于 10 月 9 日左右停止，10 月 26 日恢复并按最旧优先清理积压通知。BAE 未说明事件起因，也未确认是否为网络攻击；司法会议已于 10 月 22 日宣布"破产规则紧急状态"。
SecurityWeek推荐指数3232 Adobe、Veeam、Juniper Networks 修补三十余个漏洞，含多个严重级代码执行缺陷
Adobe、Veeam 和 Juniper Networks 本周合计发布补丁，修复三十余个漏洞，含多个严重级代码执行缺陷。Adobe 修复 12 个漏洞，其中 Campaign Classic 更新解决 8 个严重级漏洞（含代码/命令注入、授权不当、XSS），Adobe Connect 桌面与移动版修复 1 个严重级任意代码执行缺陷；Adobe 称未发现这些漏洞被在野利用。
Infosecurity Magazine推荐指数5353 CloudSEK披露MR ROBOT安卓银行木马即服务平台，针对印度银行客户
威胁情报公司 CloudSEK 于 10 月 28 日发布研究，披露名为 MR ROBOT 的安卓恶意软件即服务（MaaS）平台，通过 Telegram 机器人 APK Shield 向附属人员出租定制银行木马，针对印度银行客户。
Infosecurity Magazine推荐指数6262 NIST 发布联邦机构后量子密码迁移指导，明确 2031 年前完成过渡
NIST 发布官方指导文件，帮助联邦机构及相关供应商在 2031 年 12 月 31 日前完成后量子密码（PQC）迁移，依据是 2026 年 6 月发布的第 14412 号行政令，该令要求高价值资产和高影响系统在 2030 年底前完成密钥建立迁移、2031 年底前完成数字签名迁移。指导文件建议对敏感或需长期保密的数据优先迁移至 FIPS 203 密钥建立标准，以应对
Infosecurity Magazine推荐指数2525 ICO 就家暴受害者住址泄露事件谴责 Staffordshire Police
英国信息专员办公室（ICO）于 10 月 28 日对 Staffordshire Police 发出谴责，因该警局在 2024 年 3 月向施暴者“P”送达 Domestic Violence Protection Notice（DVPN）时，错误地写入了受害者此前并不为施暴者所知的家庭住址。
Infosecurity Magazine推荐指数5050 Akamai 报告：在线诈骗检测量翻倍，首次超过钓鱼
Akamai 最新 State of the Internet（SOTI）报告显示，2025 年 7 月至 2026 年 6 月在线诈骗检测量翻倍，诈骗活动首次超过钓鱼；2026 年 4-6 月记录约 640 万起在线诈骗，而 2025 年 7-9 月为 320 万起。
微信公众平台推荐指数2222 CVE-2026-112611/112610：CoreGraphics PDF 越界写入漏洞 POC
仓库公开了 CVE-2026-112611 与 CVE-2026-112610 两个 CoreGraphics PDF 越界写入漏洞的 POC。正文开篇以三个「不」说明该仓库的定位与使用边界，但正文内容被截断，未给出漏洞细节、受影响版本、CVSS 评分或利用条件。
微信公众平台推荐指数5050 GitHub C2：支持 MCP 接入 AI 的双通道红队指挥平台
GitHub C2 是面向红队攻防的指挥平台，支持 MCP 接入 AI 以适配全自动渗透流程，具备自动提权、进程伪装、无文件上线能力，载荷采用 AES 加密。平台采用 Flask 网页控制台加 Rust Agent 架构，主通道使用 Cloudflare Worker，GitHub Issue 作为备用链路，故障时可自动切换。
微信公众平台推荐指数2525 通过自定义扩展名将恶意文件伪装成合法文件
攻击者可通过自定义扩展名将恶意文件伪装成合法文件，以规避基于扩展名的检测。该手法利用用户对文件类型的惯性信任，诱导其打开伪装后的恶意文件。防御方需结合文件内容检测而非仅依赖扩展名进行识别。