10 月 20 日这页核对了一组判断：未来一两年网络安全会引发企业界动荡，进攻能力正在扩散到普通人手里，中国开源模型半年内追平前沿，企业里的「肥羊」是又大又老的保险、金融、传统制造。10 月 21–22 日集中披露或报道了四件事：PHP 两个高危漏洞、LiteLLM 发布链投毒、拉美银行遭 AI 代理攻击、华尔街银行拦截 AI 代理。本页把一段讲这四件事的口播逐条核对，再用它们检验 10 月 20 日的判断：哪些被证实了，哪些仍然只是推断。
核对基于 2026-10-23 前可公开检索的材料。页面里每个事实都标了来源级别；凡是推断，都写明是推断。10 月 20 日版的全部内容保留在第 ③ 节之后。
口播说「48 小时之内」。按来源核对，四件事是在 10 月 21–22 日集中披露或报道的，发生时间各不相同：PHP 漏洞 8 月已被发现、10 月 17 日已有试探；CyberCartel 的活动持续数月，数据库快照取自 9 月 24 日；银行限制代理的起始日期没有公开。下面每条都分开标「发生、报道、通报」，并把「发现、披露、补丁、攻击尝试、成功利用」分开写，避免把一个阶段的数字读成另一个阶段。
使用 PHP 的网站比例。分母是「已知服务端语言的网站」（W3Techs，2026-10-23 读数），不是全部网站。安全公司 Wiz 写的「70% 的互联网」出自同一类统计。
两个 PHP 漏洞的 CVSS v4.0 评分（PHP 官方口径，经媒体与安全厂商转述）。美国 NVD 按 v3.1 给 9.8。两套评分体系，不矛盾。
LiteLLM 被投毒的 PyPI 包在线时长（11:39–13:23 UTC，官方通报）。Docker 镜像更长，到 14:20 UTC，约 2 小时 34 分。
安全公司 Straiker 在攻击团伙数据库快照里数到的记录数（9 月 24 日快照，媒体转述）。是「窃得的记录条数」，不是被攻破的机构数，也不是被成功使用的凭据数。
这一条证明的是「AI 工具参与了漏洞发现」。它不证明攻击方也用 AI 写了利用代码——那是另一个需要单独举证的问题。
10-17 发生 · 10-22 报道媒体转述 Amazon 威胁情报称观测到首次利用尝试，比公开披露早 4 天（SecurityWeek、Fortune 转述）。这只说明补丁前已存在试探；攻击方如何获得信息，公开材料没有说明，本页不作推断。
10-20 通报媒体转述官方声明 PHP 安全团队发预告：两个高危漏洞，补丁随后发布（BleepingComputer 等转述，PHP 官方公告原文本次未直接读取）。同日论坛出现一则后被删除的帖子，Calif 误发了一段演示视频又撤下（媒体转述）。原定 10 月 22 日的补丁因此提前 24 小时。
口播说「消息走漏」。更稳的写法是：因相关信息提前流出，披露与补丁安排提前。谁泄露、是否故意，公开材料没有定论。
10-21 03:02 UTC媒体转述 Cloudflare 在公开披露前约 9 小时上线防护规则，含免费套餐的托管规则（Cybersecurity News 转述 Cloudflare 技术博客）。随后 Cloudflare CEO 在 X 平台发帖：公布前 10 小时内其网络看到数千次尝试，公布后 45 分钟内数万次，2 小时内数十万次，当晚达到数百万次（Fortune、TheNextWeb 转述）。
口径：这是 Cloudflare 自家网络检测到的「攻击尝试」计数，不是全网统计，更不是成功入侵数。所引的德国、荷兰、日本官方机构截至 10-22 表示尚无确认的成功入侵（TheNextWeb 转述）。未核实 这些尝试中有多少由 AI 生成或自动编排。
10-21 11:39 UTC 恶意包上线 · 同日通报一手 LiteLLM 发布流水线被攻破（官方事故通报，10-21 04:00 PST 发现；流水线被攻破的确切时间官方未给出）。恶意版本 v1.107.0 的 7 个 PyPI 安装包 11:39–13:23 UTC 在线，Docker Hub 的 v1.107.0 / latest / main-latest / main-stable 标签 11:46–14:20 UTC 指向恶意镜像。恶意代码窃取云凭据、SSH 密钥与 AI 服务密钥，并加载远程代码。
根因（官方自述）：GitHub 命令行工具的 OAuth 令牌经内部部署的日志泄漏（官方称令牌曾出现在 Claude Code 输出与 LiteLLM 日志中），攻击者用组织所有者令牌关闭分支保护，再对一个只差一个连字符的仿冒仓库跑发布流程。这是 LiteLLM 今年第二次发布链事件（上一次在 3 月）。官方处置建议：锁定 1.106.2；装过 1.107.0 的主机按已失陷处理，轮换它能触达的全部密钥。口播说「从官网下载」，应改为「从官方包仓库和镜像仓库安装」。
10-21 14:00 UTC媒体转述官方发布 PHP 发布补丁：8.5.12、8.4.27、8.3.36、8.2.35。已停止维护的分支不发正式版本，只提供源码补丁——这不等于官方恢复支持。漏洞编号 CVE-2026-109618 / CVE-2026-109619，合称 php2shell。可被未认证的远程请求触发代码执行，并可读取 PHP 工作进程内存（可能含密码、令牌、API key）；Apache mod_php 部署最危险，利用可在应用代码运行前触发（Tenable、Qualys 技术说明）。
发布当时 php.net 和 Ubuntu 的 PHP 软件源都因负载短暂报错（媒体转述的时间线）。VulnCheck、Censys 等估计 10-21 当天仍有 100 万台以上 PHP 服务器未打补丁（独立估算，口径各异）。
数月内发生 · 09-24 快照 · 10-21 报道媒体转述 CyberCartel 用 AI 代理攻击拉美金融机构。安全公司 Straiker 的报告，经 The Information 首发。报告称：该团伙在几个月内攻击 400 多个金融目标（含银行与其他金融机构，报告未点名）；框架基于开源的 PentAGI，四个 Claude 代理（Opus 与 Sonnet）讨论目标与攻击选项、一个仲裁模型给出决定，Grok 代理负责搜集泄露凭据，另用 Kimi；绕过模型拒绝的方法是自称「授权红队」或「学术渗透测试」，模型拒绝时系统退回预写的攻击代码。Anthropic 称已吊销相关凭据，xAI 称在调查。
口径：「攻击 400 多个目标」是攻击活动，不是 400 家被攻破；4,493 条记录含密码与 API key，其中有与墨西哥 SPEI 跨行支付系统「相关」的凭据，不等于 SPEI 系统本身的密码；这些凭据是否被成功使用、损失多少，报告没有说。单一安全公司来源，尚无独立核实；吊销凭据是已采取的准入处置，实际阻断效果未披露。
10-21 至 10-22 通报媒体转述政府通报 多国政府预防性下线网站。英国技术大臣在上议院披露 32 项政府服务下线、4 项部分不可用（The Register 转述议会记录）；荷兰、芬兰、德国、法国、比利时、捷克、澳大利亚等国政府站点与 Archive.org 也主动下线（CNBC、The Record 等转述）。各方口径一致：预防性措施，不是已被攻破。
口播大意是：AI 攻击大军把大门撞烂，网管吓得拔网线停服务。核实结果：「停服务」成立，但各方说的是预防性下线，不是被攻破后断网；「撞烂大门」未核实；「AI 攻击大军」是推断。
起始日期未公开 · 10-22 报道媒体转述 美国大型银行限制第三方 AI 代理。Axios 援引知情人：摩根士丹利封堵外部代理，摩根大通、美国银行、花旗限制；起因是客户把网银用户名和密码交给 AI 助手，与多数银行「必须本人登录」的规则冲突；「有些代理在尝试看起来独立于用户指令的步骤」是匿名知情人说法，没有公开的技术证据。多数银行倾向于只读访问。摩根大通 CEO 在三季度财报会上说这类代理「可能有数千个」，并明确：客户授权的外部代理转错钱，损失算客户的。
没有任何一家银行公布实际损失或未授权转账的数量。口播大意是「摩根士丹利让 AI 只能看账单、不能动钱」——这是把行业倾向写成了单家银行的正式政策，判未证实。
把口播拆成可检验的说法。每条标题是口播原话的大意（不是逐字引用），下面写核实到什么、判定是什么；事实细节集中在第 ① 节，这里只写差异。左侧色条：绿＝成立，黄＝部分成立或需加限定，红＝未证实或不成立。判定词覆盖整句：一句里有一处不准，就判「部分成立」并写明哪一处。
这是「公开披露与评估时间线」，不是攻击事件编年史。每条标明信息是谁发布的：厂商自述、受害方披露、政府或独立评估、媒体转述。
04-07一手 Anthropic 公布 Mythos Preview，不公开发布。通过 Project Glasswing 给 12 家发起方（含 Anthropic 自身）与 40 余家机构用于防御研究。1 亿美元是模型使用额度承诺，不是现金拨款，另有 400 万美元捐赠。
对主流操作系统与浏览器的审计产出数千个高危/严重问题，含一个 27 年的 OpenBSD 问题、一个 16 年的 FFmpeg 问题。「超过 99% 尚未修补」描述的是当时报告的那批漏洞的状态，不能延伸到今天。
05-13独立评估 英国 AISI：模型能自主完成的网络任务长度，以「月」为单位翻倍。这里的「任务长度」是人类专家完成同一任务所需的参考耗时，不是模型自己的运行时间，也不是攻击速度。按 80% 成功阈值估计约 4.7 个月翻一倍——这是对历史数据的拟合，不是未来增长率。AISI 自己写道「不清楚这是否代表一条新的、更快的趋势」。
靶场结果：32 步企业靶场（人类专家约 20 小时）新版 Mythos Preview 检查点 10 次成功 6 次，GPT-5.5 成功 3 次。限定条件不能略过：靶场是小型、无防守方、已获得初始访问的企业网络。AISI 明说，这不能说明对有防守的真实系统效果如何。
06-09 / 06-12 / 06-26 / 07-01一手 Fable 5 与 Mythos 5 发布、暂停、再恢复。据 Anthropic 披露：6 月 9 日发布，6 月 12 日因美国出口管制要求暂停访问，6 月 26 日获准向部分美国机构恢复 Mythos，7 月 1 日恢复相关服务。
口述里「Mythos 太强所以出了安全版 Fable」要修正因果：Fable 5 与 Mythos 5 是同一底层模型配不同安全防护，不是先后两代；Mythos 走定向验证通道。更早的 Mythos Preview 是另一个版本，不能混为一谈。
06 月未核实 流传的「数小时攻破几乎所有涉密系统」。这个说法在中文圈被转述成「两小时攻破一个号称很安全的网络」。本次没有核实到一手出处——既没查到「两小时」的原始来源，也没查到澄清者的原话与发布日期。
所以这里只能说：该具体叙述未核实。不宜一边否定夸大版本，一边把「其实是一次授权演练」当成已经核实的替代事实。
07-11 事发 / 07-16 披露 / 08-26 复盘一手 Hugging Face 安全事件。受害方 7 月 16 日披露 7 月 11 日周末发生的事件；OpenAI 8 月 26 日的复盘确认涉及多个 OpenAI 模型，以内部研究模型为主。
取证环节用了自托管的中国开源模型 GLM 5.2。原因要限定：该次事件中托管模型对部分真实取证材料的处理被拒绝，加上本地处理需求。这不能泛化成「美国模型不能用于防守」。
07-30独立评估 Palo Alto Unit 42 披露一轮用 AI 做攻击的活动。一名中文使用者用开源智能体框架配 DeepSeek 做推理部件，尝试 460 多个目标。全自主环节失败（卡在目标配置与认证要求），人工介入的环节造成了实际影响。
08-12媒体转述 针对亚洲某政府部门的近自主攻击被披露。安全公司 Dream 的一手报告匿名描述目标，依据是发现的攻击工作区与记录。「台湾」「2500 多份人员记录」这些具体信息来自后续媒体报道，受害方的独立确认本次未核实；8 月 12 日是披露日，不是攻击发生日。
两个值得记的细节：攻击方用「已授权渗透测试」的说法绕过模型安全策略；安全公司同时指出，「真正能跑通的系统，比只跑一个模型要多得多工作量」。
08-14 / 08 月底一手 Z.ai 发布 GLM-5.3，两周后放出权重。
09-01 / 09-03一手 OpenAI GPT-6 Astra 发布，按其自身风险框架在网络维度评为「关键」等级。相关高风险用途经专门通道限制使用，公开版设置防护以阻止这类请求。
注意：10 月 7 日的更新评估的是 Sol 与 Luna 两个 10 月版本，不等于 Astra 的能力或评级下降。
09-17独立评估 美国 CAISI：GLM-5.3 是该次评估范围内网络能力最强的公开权重模型，综合落后美国前沿约 4 个月。但四项基准都显著低于美国前沿最优值。
两个口径要记住：美国模型是在关闭网络安全防护的条件下测的；「美国前沿最优」是各基准中已评估美国模型的最高成绩拼出来的上界，不是现实中某一个可直接调用的模型。
09-29一手 Anthropic 前沿红队报告：GLM-5.3 与安全防护的扩散问题。在公开学术基准 ExploitBench 上，对 41 个漏洞各尝试 10 次，GLM-5.3 成功 50 次、Mythos Preview 成功 56 次。另一项内部二进制利用评测里 4% 对 6%，Kimi K3 与 DeepSeek V4.1-Flash 为 0%。
两个常见误读要避开：64%–100% 衡量的是特定模拟条件下模型是否参与尝试（观察包括尝试连接目标），不是入侵成功率；约 4400 美元是特定实验的计算成本，不含人员、工程与运行成本。
10-16一手 中国商务部、科技部 2026 年第 48 号公告及同日答记者问。同时包含两件法律状态不同的事：目录修订的征求意见，以及即日起实施的相关技术出口前临时登记。公告对已经通过开源、论文等进入公共领域的技术作出排除，政策说明还提出开源技术出口的许可便利。
口述里的判断是「半年到一年追平 Mythos 或 Fable 5.1」。要回答这个问题，先得把「追平谁」说清楚——需要区分对照 Mythos Preview 与对照美国前沿逐项最优成绩，两者结论完全不同；而与 Fable 5.1 / Astra 各自的差距，现有公开证据不能确定。
纵向对比 GLM-5.3 与该次评估中美国前沿最优值。美国模型在关闭网络安全防护的条件下测试。
「落后约 4 个月」是把能力差距映射到历史时间轴的结果，不等于剩余追赶时间。它也只覆盖已评估的模型，不含已开发未发布的。
Anthropic 自己的报告里，ExploitBench 上 50 次对 56 次。但要注意：对照组是今年 4 月那个 Preview 版本，不是 9 月的 Mythos 5.1。
CAISI 四项基准全部显著低于本次评估中美国模型的逐项最高成绩，差距落在 95% 置信区间之外。注意这个比较对象是拼出来的上界，不等于低于 Fable 5.1 或 Astra 各自的成绩——CAISI 没有逐模型公布这两款的四项分值，所以「对照某一个指定模型差多少」本页答不了。能说的是：「在某项利用开发评测中接近较早的 Preview 版本」成立；说「综合能力追平 5.1 代」现有证据不能证实。
ExploitBench 在不同报告里出现过差别很大的数字，原因是任务子集、评分规则、重试次数、运行预算、安全防护开关都不同。CAISI 的 61.1% 和 Anthropic 的「410 次尝试中成功 50 次」是两套口径，把它们放在一起算「追赶速度」会得到无意义的结论。更不能把任何一个分数换算成「企业被攻破的概率」。
把口述内容拆成 11 条可检验的主张。每条给判定、理由和需要补的证据。左侧色条：绿＝有证据支持，黄＝部分成立或需加限定，红＝不成立或证据不足。
口述里的画像是：营收利润够大、系统够老，典型是保险、金融、传统制造。这个方向有数据支持，但下面每个数字的样本和年份都不同，不能直接套到某一家中国企业头上。
| 维度 | 数据 | 来源与口径 | 级别 |
|---|---|---|---|
| 制造业漏洞利用入口 | 38%（全行业 31%） | Verizon 2026 DBIR（2026-05-19），数据期 2024-11 至 2025-10 | 独立评估 |
| 涉及第三方的泄露比例 | 48%（2025 版为 30%） | Verizon 2026 DBIR。30% 是历史值，不能当最新数 | 独立评估 |
| 金融业平均泄露成本 | 556 万美元 | IBM《Cost of a Data Breach Report 2025》全球样本，不是中国企业预期损失 | 独立评估 |
| 保险业第三方因素 | 约 59% | SecurityScorecard 保险业研究（2025-02-06），样本是其选取的 150 家公司中观察到的泄露事件，不是全行业比例 | 需限定 |
| 保险/金融遗留系统占比、MFA 覆盖率、理赔严重度 | 流传有 75% / 54% / 50% / 73.1 万美元等数字 | 本次未核实到原始报告的样本与方法说明，不在本页作为论据使用 | 未核实 |
「规模大」「系统老」「损失金额高」「愿意付赎金」是四件事，不能互相代用。同样，赎金要求、实际支付、保险赔付、全部事件损失也是四个数，混用会严重高估或低估。
近年多个勒索团伙采用「设备驱动」的目标选择：扫到哪台有缺陷的边界设备就打哪台，顺带把中小组织卷进原本针对大企业的活动。这意味着「我不够肥所以安全」不成立。
推断 归因难、司法协作慢、跨境索赔成本高，所以攻击方预期代价低——这是一条合理的机制假说。但跨境攻击数量是否真的上升，需要时间序列证据，本页不下结论。
口述的预测是「中国大量开源系统不能再开源了」。实际走向不是停开源，而是分级、备案、许可。
所以更准确的说法是：开源这件事正在被纳入管理框架，而不是被关停。「开源不免责」这类表述要落到具体制度上，不能用一份公告概括全部。
下面是内部验收目标，不替代法定或行业时限。各项并行推进，范围以业务影响分析确定的核心业务和高风险资产为准。顺序按「先堵最可能被利用的路径」排。
第 1–15 天
第 1–30 天
对确认受影响且存在高风险暴露的系统，建议 24 小时内完成缓解；能安全部署补丁的，原则上 72 小时内修复；遗留与生产系统不能直接变更的，必须同步实施补偿控制。
第 1–45 天
人工账号（管理员、远程接入、外部协作方）落实抗钓鱼多因素认证，遗留应用通过受控接入层覆盖，同步检查账号恢复流程与已不再使用的认证方式。服务账号与机器身份走另一条路——它们无法交互式认证，要做的是：凭据定期轮换、权限收到最小必需、限定可调用来源、登录行为纳入监控。把两类账号混在一张表里验收，必然留口子。
验收（分两类）：① 人工账号——范围内全部覆盖抗钓鱼多因素认证或有批准例外，离职及闲置高权限账号清零，且不存在可绕开统一接入控制的入口。② 服务账号——有完整清单及责任人，长期静态凭据清零或有到期轮换记录，权限经过一次最小化复核。
第 15–60 天
由网络、运维和生产负责人共同限制不可修补系统的可达范围，并把生产业务、身份管理、备份管理与工业控制环境分开。
第 1–60 天
建立离线或不可变备份，用独立的管理凭据。恢复范围要包含业务数据、配置、身份和必要密钥。
第 15–60 天
覆盖身份、远程接入、关键终端及备份管理的必要日志，明确全天候接单和处置授权，建立适用的监管报告责任表。中国法域要注意《国家网络安全事件报告管理办法》（2025-09-15 公开，2025-11-01 施行）对不同主体和行业的区分要求。
第 30–75 天
对关键外包商、云服务及 AI 接入统一核查：责任人、数据范围、最小权限、限时访问、日志、事件通报、退出安排。企业自己用智能体同样要审权限、接触的数据、人工批准与异常停用机制。
验收补充：发布流水线完成一次「令牌被盗」桌面演练，从发现到吊销与回滚的耗时达到批准目标；AI 代理清单 100% 有独立身份和责任人。
第 60–90 天
在书面授权、明确边界和停止条件下进行。区分「无初始访问」与「已有初始访问」两种情景，验证预防、发现、控制影响和恢复四个环节，而不只是统计找到多少漏洞。
上面八步是企业尺度的。个人和小团队没有安全团队，但下面这些一个周末能做完，而且挡住的正是最常见的那几种。第 6–8 项来自 10-23 口播，第 9 项来自本周事件的处置教训。
机会不在自己造模型，在「把现有能力接进企业既有流程」。可验证的切入点：暴露面盘点、补丁流程改造、第三方风险问卷自动化、事件响应演练。但先过四道门：书面授权、数据保密、专业复核、交付责任与采购准入。没有这四样，技术能力再强也进不了保险和金融的门。
同名基准也可能有不同的任务子集、评分规则、重试次数、运行预算和防护设置。任何分数都不能换算成「我们被攻破的概率」。
「模型能完成某任务」「某类用户能调用它」「它愿意响应这类请求」「攻击者最终造成业务损害」是四个独立问题。任一环节的高比例都替代不了另外三个。
模型发布、漏洞披露、攻击案例接连发生，不能单独证明前者导致后者。
模型由哪国公司开发、操作者说什么语言、目标在哪、是否国家支持，必须分别举证。反过来，用中国模型做了一次取证，也不是国家防御能力排名。
「肥羊」「核扩散」「灰犀牛」容易把「值得准备的风险」说成「必然发生的灾难」。
「厂商发现严重能力 → 推出限制通道 → 安全公司接入 → 企业应采购」不是完整的投资论证。还需要独立验证、增量效果、可承受成本和退出方案。合作名单替代不了这些。
本页前面引用的补丁发布前已出现利用尝试、身份类攻击、备份受影响这几类案例，恰恰说明只强调补丁速度也不够。更稳的表述是：对多数企业，优先可控的是暴露面、身份、修复与补偿控制、隔离、检测响应和业务恢复；前沿模型能增强其中部分环节，但不替代体系。
按级别排列，10-23 新增来源并入各组。标「未核实」的条目，本页没有把它当作论据使用。