//每日 AI 早报
2026年10月22日2026-10-228 条收录 · 5 条精选
本期要点：主动型智能体开始脱离聊天框、变成独立 App；AI 第一次抢在攻击者之前挖出互联网级漏洞；沃尔玛给 AI 代理发「副卡」，和亚马逊的封杀路线正面相反；OpenAI 把旗舰模型搬上 Google Cloud，企业采购进入「一张账单买三家」；百度搭子把智能体从办公桌推上生产线。
站点收录
每日资讯精选
01Anthropic 发布 Claude Duet：不再等你提问的主动型智能体10 月 21 日，Anthropic 以研究预览形式推出独立应用 Claude Duet，基于 Opus 5.5，已在 iOS、Android 与 claude.ai 上线，首批面向美国 Pro/Max 用户开放候补。它与普通聊天机器人的区别在于「主动」：每天早晨汇总已连接应用里的重要事项，之后每隔几小时巡检一次，发现需要处理的事就主动提醒。Duet 配有一台带独立浏览器的虚拟机，用户设备关机后任务仍在云端继续跑，可做会议安排、未读邮件整理、发票追踪、财务预测、仪表盘甚至网页应用。它接入 Claude Marketplace 6000 多个连接器（Gmail、Slack、QuickBooks、Stripe、DocuSign 等），可通过 Link 或 Shop Pay 完成经确认的支付并使用虚拟卡。安全上不接触用户密码与登录 token，发消息、付款、签署、删除前必须获得批准。官方也承认它可能误判事项紧急程度，订票类个人事务偏弱。值得关注的原因：这是智能体从「问答」转向「代办」的一个分水岭——评价标准不再是回答得像不像人，而是任务能不能闭环；同时也意味着代理权正在被拆解成可授权、可撤销、可审计的工程体系，这是普通用户理解 AI 助理未来形态的最好样本。路透社 / CNA
02AI 抢在攻击者之前挖出 PHP 史诗级漏洞「PHP2Shell」，影响约 70% 网站10 月 21 日，PHP 官方紧急发布 8.5.12、8.4.27、8.3.36、8.2.35 四个版本，修复两个可未认证远程执行代码的严重漏洞（CVE-2026-109618、CVE-2026-109619，CVSS v4 均 9.2，安全公司 watchTowr 直接给到 10.0），业内统称 PHP2Shell。漏洞可追溯到 PHP 5.4，跨度十余年；Palo Alto 估算约 2260 万台暴露实例存在风险。特殊之处在于发现方式：安全公司 Calif 在 OpenAI「Patch the Planet」计划下用 GPT-5.6 Sol 于 8 月定位到其中一处，OpenAI 团队 9 月找到更完整版本，谷歌旗下 Wiz 用 Wiz Atlas、Gemini 4 Argon 与 GPT-5.6 Sol 独立发现同样的两个漏洞，随后由 PHP 维护者主导完成了约两个月的协调修复。发布当天芬兰、荷兰、法国一度下线部分政府网站，Cloudflare 提前约 9 小时为所有客户（含免费账户）开启 WAF 规则。给普通站长的行动项：确认主机 PHP 版本并升级，更新 WordPress 或插件并不能替代升级 PHP 本身。值得关注的原因：这是公开记录里少见的「AI 在攻击者之前发现互联网级漏洞」案例，OpenAI 称之为「防御者窗口」，并承诺投入 10 亿美元补贴关键基础设施防御方；但同一能力也能被攻击者用来更快写利用，攻防两侧同时被加速。The Next Web
03沃尔玛给 AI 代理发「副卡」：开放 Agent 购物，但同时限额、可随时吊销10 月 21 日，沃尔玛宣布下个月内上线 Agent Profiles，并开放 Walmart Agent Gateway（基于 MCP 的测试版，邀测）。核心设计很像给信用卡加一张附属卡：你用的每个 AI 助理（ChatGPT、Gemini、Meta Muse 等）在你的沃尔玛账户里拥有独立档案，它买的东西与本人订单分开显示；默认每一单都要你批准，也可以改成让它在 50、100、200 美元的额度内自主下单；代理拿不到你的卡号，也不能新增或修改支付方式，违规的代理会被直接封停。网关让代理通过 MCP 直接查商品和下单，而不是像人一样点网页，因此更快、更省 token，也不会把你的完整购物历史交出去。值得关注的原因：这和亚马逊封杀 Perplexity、Muse 的做法完全相反，说明 Agent 电商已经从「封还是放」的二选一，进入「给权限 + 定额度 + 留审计」的治理阶段；对普通用户而言，这也是第一次有大型零售商把「怎么管一个替你花钱的 AI」做成了产品界面。The Verge
04OpenAI 旗舰模型进驻 Google Cloud：企业可以一张账单买 Gemini、Claude 和 GPT10 月 21 日，OpenAI 与 Google Cloud 宣布合作，OpenAI 的前沿模型与 Codex 智能体工作流将进入 Google Cloud 的 Model Garden，正式可用计划在未来数周内完成。据 Ars Technica 等报道，首批包括 GPT-6 Astra、GPT-6.1 Sol 与 GPT-6.0 Luna，分别对应高难度编码与科研、性价比智能体、低成本大批量三类负载。商业机制比模型名单更关键：这些模型通过 Google Cloud Marketplace 结算，企业可以用已有的 GCP 消费承诺抵扣；Codex CLI 与 Codex Desktop 也能直接接 Google Cloud 的推理。Google 称自己是首家在同一企业环境里同时提供 Gemini、Claude 与 GPT 三大闭源模型家族的超大规模云，Model Garden 本身已有 200 多个模型；后续还会接入 Antigravity 与 Gemini Agent。OpenAI 同时强调微软仍是其首要云伙伴。值得关注的原因：多云多模型正在从「架构理想」变成「采购现实」——企业按任务挑模型，比押注单一供应商更省钱；而对模型厂商来说，竞争对手同时是自己的渠道，这种竞合关系会成为常态。OpenAI 官方博客
05百度搭子转向生产线：能操作没有 API 的老系统，还配了 Agent 安全中心10 月 21 日，百度搭子在杭州发布多项新能力，明确下一阶段重心从「帮个人写周报、做 PPT」转向企业生产经营场景。官方披露企业客户环比增长 83%，交付物需求环比增长 4.3 倍。能力上有三点值得注意：一是电脑与手机操作能力，可识别界面并操作那些没有开放 API 的老系统，打通企业存量系统与智能体之间的断点；二是 30 多个专家套件与专业工作台，新上线的投标套件能解读招标要求、审查投标文件并输出风险清单；三是 Agent 安全中心，高危操作须人工授权、任务在沙箱中隔离运行、全过程可追溯，并支持公有云、专属 VPC、私有化、混合云四种部署。国产化方面，百度搭子与联想开天、麒麟软件、统信软件联合发布全栈国产通用智能体，上线三方应用市场，并推出预置模型与运行环境的「百度搭子工作站」。值得关注的原因：至此腾讯、阿里、字节、百度四家头部公司的企业级 AI 办公入口全部就位，竞争焦点从「谁的模型更聪明」转向「谁能让 AI 在企业系统里安全、稳定地跑起来」——这对判断国内 AI 落地进度，比跑分更有参考价值。证券时报