最近一条安全新闻让我眼前一亮：一家云安全公司 Wiz 用 AI 自主挖出了一个影响几乎所有 PHP 版本的远程代码执行漏洞，编号 CVE-2024-4577（也就是他们命名的 "PHP2Shell"）。这事的重点不只是"又一个大漏洞"，而是它标志着一种新的挖洞范式——AI 挖洞，已经从 PPT 概念变成了能在野命中 critical 级别 CVE 的真实能力。

漏洞本身的技术细节并不复杂。Windows 下的 PHP 在使用 Best-Fit 字符编码转换时，会把一些特殊的 Unicode 字符"翻译"成 ASCII 的下划线和连字符。攻击者可以借此绕过原本用来防止参数注入的转义逻辑，把任意参数塞进命令行，最终执行 PHP 代码。换句话说：你不需要登录、不需要认证，只要一个 HTTP 请求，就能让服务器变成你的 shell。

最近一期的 Decoder 播客把 The Verge 的高级 AI 记者 Hayden Field 请来，聊了一轮当下最热的话题：消费级 AI Agent。Meta 的 Muse、OpenAI 的 Dots、xAI 的 Grok Bot 接连登场，AI 巨头们开始把这些"替你干活"的代理正式推到大众面前。

从极客玩具到大众产品

Agent 这件事其实不新鲜。2022 年大家在"构思"，2023 年喊着"部署"，结果 2024、2025 两年基本都在反复翻车。直到 Peter Steinberger 一个人花一个周末搞出 OpenClaw，硬是让一群极客和早期用户用上了"始终在线"的助手，还顺手带动了一波 Mac Mini 销量。OpenAI 转头就把这人招进团队，Dots 就是这样来的。Meta 也没闲着，Muse 抢先一步推出，定位类似，但完全免费。

如果你一直在关注 AI 在数学和物理领域的进展，这条新闻值得停下来看两眼。

Anthropic 最近放出一项研究：Claude 成功计算出了 N=4 超对称杨-米尔斯理论中的一个九圈散射振幅。这不是一般的数值计算，而是符号计算——需要处理成千上万个独立的、有理函数形式的项，并且每一项都必须精确。

九圈是什么概念？

在散射振幅的计算里，"圈"（loop）对应的是量子修正的阶数。圈数越高，积分结构越复杂，中间表达式会出现"爆炸式"的增长。九圈意味着需要从七圈和八圈的结果出发，构建完整的九圈积分家族，并在展开参数下显式地约化到最终的有理函数形式。这种工作在物理学家看来，是一项真正硬核的工程问题，通常需要博士后级别的训练和大量的计算资源。

为什么这件事值得关注？

Anthropic 在 Claude 系列上一直走的是"高质量但贵"的路线，而最新发布的 Opus 5.5 看起来延续了这个传统——但这次它在几个关键维度上做了有意思的调整。

核心亮点：自适应推理

Opus 5.5 引入了一个叫做 Adaptive Reasoning 的机制，配合 "Max Effort" 和 "Default Fallback" 两种运行模式。简单来说，模型会根据任务复杂度动态决定要不要"多想一会儿"：简单的问答可能直接出结果，复杂推理则调用更强的推理链路。这是一种兼顾响应速度和输出质量的设计思路，避免了每次都让模型"全力思考"造成的算力浪费。

性能数据

最近翻到一条让我有点不舒服的消息，简单说就是：OpenAI 通过 ChatGPT 里投放的广告，悄悄把你的浏览行为绑回了你的 ChatGPT 账号。

事情是这样的。OpenAI 在域名 bzr.openai.com 下部署了一个广告收集器，它会做一件非常具体的事：设置一个作用域为 .openai.com 的 cookie，名字叫 __obi。这个 cookie 的关键点有两个：

• 它的生命周期只在你停留在 ChatGPT 上时才有效，但值会被绑定到你的 ChatGPT 账号；
• 之后你访问任何一个普通网站，只要那个网站也加载了来自 OpenAI 的资源（或者和 OpenAI 广告生态有交集），__obi 就会随着请求一起被送回 OpenAI。