同时关联该项目与事件的快讯
SpaceX 旗下 AI 编程工具 Cursor 于 X 发文表示：“我们发现一起安全事件，影响了一款通过我们的 Cursor IDE 扩展市场访问的、被篡改的 Claude Code VS Code 扩展程序，最多会影响 5000 名用户。这个恶意的扩展程序版本并非由 Anthropic 开发，它也不影响从官网、Grok Bot、Grok 或我们的其他 SpaceXSI 产品下载的其他扩展程序。对此，我们已于今天下午关闭了扩展市场，与相关服务商合作清除了恶意软件，并在确认已无后续风险后重新开放了市场。如果受到影响，请查看官方博客文章中的说明，了解如何查找恶意软件包并采取措施减轻任何潜在影响。我们已要求所有客户将 Claude Code for VS Code 更新至 2.1.314 版本。”
PHP 官方发布安全公告，针对此前披露两项严重远程代码执行（RCE）漏洞，分别为 CVE-2026-109618 和 CVE-2026-109619。攻击者可能在未经身份验证的情况下利用相关漏洞执行恶意代码，PHP 官方强烈建议所有用户立即升级。此次漏洞影响 PHP-FPM、Apache mod_php、php-cgi、FrankenPHP 和 LiteSpeed 等处理 Web 请求的 PHP 环境，其中 Apache mod_php 风险尤为突出，攻击可在应用程序代码运行前触发。官方已发布修复版本 PHP 8.5.12、8.4.27、8.3.36 和 8.2.35。仍在使用 PHP 8.1 及更早版本的用户应联系发行版或长期支持（LTS）供应商确认补丁情况，或升级至受支持版本。官方强调，临时缓解措施无法完全消除风险，立即安装安全更新才是彻底解决漏洞的方式。
AI 云服务商 CoreWeave 宣布推出 Physical AI Launchables，并于 NVIDIA GTC Berlin 活动上公布。该产品提供由 CoreWeave 工程师构建并测试的物理 AI 工作负载模板，面向机器人、自动驾驶汽车及仿真团队，支持通过单条命令启动任务，减少环境配置、存储设置及任务调度等前期准备工作。首批模板覆盖 NVIDIA Isaac Sim、CARLA、MuJoCo、NVIDIA AlpaSim 和 NVIDIA Cosmos 3 五种工具，支持数据生成、模型评估及策略训练等工作流，并集成 Cosmos Data Factory 相关智能体技能，可用于视频、图像和文本数据增强、自动标注及数据整理。该平台还为 Claude Code、Codex 等编程智能体提供专门优化的技能，支持自动启动任务、监控运行状态及获取结果。CoreWeave 同时正与 Cadence、Encord、Voxel51 等物理 AI 软件供应商合作，推动相关产品在其云基础设施上运行。
据 Oracle 公告，公司推出行业应用 AI Agent Studio，这是一套面向行业应用的无代码和低代码平台，可用于创建、测试、编排、部署和管理 AI Agent 及多智能体工作流。该平台基于 Oracle AI Agent Studio for Fusion Applications，可调用现有应用数据、工具和业务流程，并支持自然语言及可视化编排、跨应用工作流、Model Context Protocol（MCP）、多种生成式 AI 模型、测试调试、安全控制、生命周期管理和监控等功能。
慢雾安全预警称，PHP 于 10 月 20 日发布安全公告，披露两个可能导致远程代码执行（RCE）的严重安全漏洞，编号分别为 CVE-2026-109618 和 CVE-2026-109619，CVSS v4.0 评分均为 9.2。目前，PHP 官方尚未发布修复补丁，漏洞具体影响版本及利用条件仍待确认。根据现有信息，PHP 官方计划于 10 月 21 日 14:00 UTC（北京时间 22:00）发布安全更新。慢雾建议相关机构尽快排查服务器及业务系统中的 PHP 版本，重点关注公网暴露的 PHP 服务，并在补丁发布后及时升级；暂时无法升级的系统应限制访问来源，必要时采取隔离措施。
据 Anthropic 官网消息，Anthropic 宣布在新加坡开设亚太地区第五个办公室，并与新加坡数字发展与信息部签署谅解备忘录（MOU），双方将在 AI 安全、模型评估、负责任 AI 采用等领域展开合作。新加坡是 Claude 全球最活跃市场之一，目前已有 GovTech Singapore、DBS、Grab、GIC 等超过千家政府机构及企业部署 Claude。其中，GovTech Singapore 逾1500 名工程师已采用 Claude Code 推进政府系统现代化，Grab 借助 Claude 驱动的销售助手每季度节省约 4 万小时人力。
据 Durov's Code 报道，Telegram 在最新发布的 13.0 版本中预计将推出全新的加密货币钱包 Gram Wallet，目前该服务尚未向用户正式开放。与此同时，原有的 Wallet 服务已更名为 Walt，并从设置菜单移至小程序（mini-app）界面，现有账户及资产不受影响。
安全机构 CrowdStrike 发布情报报告称，一名身份不明的黑客在 9 月下旬至 10 月初期间，将大语言模型（LLM）与国产开源 AI 渗透测试工具 ARTEX 相结合，对韩国多家金融机构发动定向网络攻击并窃取数据。分析黑客暴露的开放目录后发现，其采用以中国香港 IP 为核心的双服务器架构，并借助 Claude Code、GLM-5.3、Grok 4.6 以及通过 API 代理接入的 DeepSeek v4.1-flash 等模型编排攻击流程，还曾向 Claude 询问如何在 Telegram 群组中变现韩国泄露数据。据韩媒估算，韩国至少七家金融机构遭到攻击，包括 KB 国民银行、新韩银行和韩亚银行，约 68000 人的个人资料外泄，涉及年收入、贷款额度等敏感信息。
据 Bithumb 官方公告，Gate 已被正式纳入韩国 Bithumb 旗下的 Travel Rule（反洗钱资金转移规则）合规解决方案 CODE 的 VASP（虚拟资产服务提供商）支持列表。此前，Gate 也已被 Upbit 纳入其支持的海外 VASP 范围。此次纳入 Bithumb CODE 支持范围后，用户可在 Gate 与其他接入 CODE 的相关 VASP 之间进行符合 Travel Rule 要求的数字资产转账。
Zcash 开发者正将扩容项目 Tachyon 的部分代码整合至 Zakura Common 密码学库，其中名为 Udon 的新组件已于周一发布。Tachyon 负责人 Sean Bowe 表示，Udon 此前作为 Tachyon 的一部分开发，目前已加入 Zakura Common，以利用该库现有的性能优化。Bowe 与 Valar Group 负责人 Dev Ojha 设定的长期目标是实现每秒超过 5 万笔隐私支付。Tachyon 旨在通过将多笔交易的证明合并为单一证明，降低 Zcash 节点需要接收和验证的数据量。不过，该升级目前尚未在 Zcash 网络启用。据 ZecStats 数据，截至 9 月 28 日的 7 天内，Zcash 涉及隐私资金的交易日均约 6200 笔，较截至 9 月 21 日 7 天内的日均约 1.17 万笔有所下降。（CoinDesk）
Solana 创始人 Toly 于 X 发文表示：“AGI (通用人工智能) 依然还很遥远。就我的测试项目 Percolator 而言，如果是我自己全职写代码的话，现在应该都已经发布了。AI 表现最出色的一点，是在设计和规范研究阶段，以及模糊测试寻找 bug。如果采用这种方式的话，代码质量应该会更好。但今天实际推向市场的好产品数量，不太可能比大模型时代之前更多。”此前消息，Toly 去年曾宣布将推出基于 Solana 的下一代永续期货去中心化交易所 Percolator。它采用分片订单簿，执行速度堪比中心化交易所 (CEX)，并且完全开源。
PPP 预测市场工具监测显示， Polymarket 上“下一个 Grok 模型(4.7 及以上)会在 9 月 18 日之前发布”的概率现报 15%，24 小时下跌 38%。如果在市场创建后至 9 月 18 日之前，SpaceXAI 向公众开放下一款 Grok 模型，并且版本号达到 4.7 或以上，则结算为“Yes”，否则为“No”。符合条件的模型需要同时满足：名称或模型标识中必须包含“Grok”，版本号为 4.7 或更高，例如 Grok 4.7、Grok 4.7 Heavy、Grok 5 等都算；Grok 4.6 及其更新、快照或推广版本不算。Grok Code Fast、Grok Imagine 等独立产品线也不算，App 或网站自身的版本号同样不算。此外，模型必须真正向公众开放。公开测试或任何人都能申请加入的滚动候补名单可以算，但封闭测试、私人邀请或内部访问不算。仅网站出现“Grok 4.7”等文字，但模型实际上无法公开使用，也不算。主要判定依据为 SpaceXAI 官方信息，并辅以可信媒体报道进行验证。加入 PPP 信号推送社群，快人一步，掌握先机。
保加利亚国民议会于 9 月 9 日以 149 票赞成、0 票反对、10 票弃权通过《税收和社会保障程序法》修正案，将允许保加利亚国家税务局获取加密资产用户详细信息。该法案经 240 席议会表决通过。修正案落实两项欧洲联盟（EU）指令，加密资产相关企业须登记并向保加利亚国家税务局报告用户姓名、地址、出生日期和地点、税务居住地及税号，并提交各类加密资产的交易数据，包括收到的毛额、交易数量、法币买卖笔数及加密资产兑换情况。隐私倡议人士批评数据收集范围过广，认为强制披露个人信息可能带来安全风险。加密交易者和小型企业则表示，登记及报告要求将增加合规成本；法案支持者认为其符合欧盟标准，有助于遏制逃税。相关指令要求欧盟成员国在 2025 年 12 月 31 日前完成采用。（Bitcoin.com News）
微软(MSFT.O)在 Anthropic 和 OpenAI 负责人同意放缓开发速度几天后，发布了临时行为准则，对人工智能模型施加限制。该公司希望被视为负责任的 AI 参与者，它是领先的云服务提供商之一。“我们收到了一些反馈，人们希望看到更明确的承诺：AI 始终服务于人类，而不是试图取代人类，”负责公司模型开发的 Mustafa Suleyman 在接受 CNBC 采访时表示，“我们收到了大量反馈，强调 AI 不应造成依赖，不应谄媚，而应始终促进人类的判断力、自主性和能动性。”Suleyman 表示，尽管这些准则已酝酿约五个月，但鉴于近期引发的讨论，微软选择在此时发布。(CNBC)
据 HyperliquidNews 监测，HIP-3 市场部署者 Entropy 花费 500 枚 HYPE（约合 38,950 美元）拍下代码 DRAM，预计将上线 io:DRAM 永续合约交易。
月之暗面 Kimi K2.8 Preview 模型已全量上线 Kimi Code，Model ID 仍为 kimi-for-coding，客户端及第三方工具无需修改配置即可使用。官方称，该模型综合性能接近 K3，编码与智能体能力提升，思考效率较 K2.7 Code 明显改善。Kimi K2.8 Preview 支持与 K3 一致的 thinking effort 档位调节，提供 low、high、max 三档，默认 max；全部会员档位均开放最高 1M 上下文窗口。
AI 3D 公司 VAST（三启万物）宣布完成约 30 亿元人民币 B 轮和 B+轮融资，经纬创投领投。完美世界、蓝色光标、芯动能投资、延趣游戏、中科创达、三七互娱，以及鼎晖 VGC、中金资本、CMC 资本等联合参投，老股东达晨财智、春华资本、渶策资本等持续追投。据官方介绍，VAST 不到半年时间累计融资约 50 亿元人民币。据悉，VAST 还发布旗舰 3D 基座模型 Tripo P 系列最新版本 Tripo P2.0，本轮融资资金将投入 3D 原生模型与数据能力迭代、训练与推理基础设施扩建、产品开发与商业化落地。（新浪财经）
Anthropic 宣布升级 Claude Cowork 和 Claude Code 的电脑控制功能，支持在 macOS 后台通过屏幕交互完成点击、输入和导航等操作。该功能要求设备运行 macOS 15 及以上版本，并保持桌面唤醒、Claude Desktop 应用开启。目前该功能仅面向 Pro 和 Max 个人订阅用户开放，团队版和企业版暂未支持。
加密项目 Refi Hub 联合创始人 Numa Lunah 表示，自己因使用 Claude 聊天窗口提供的下载链接安装转录应用而遭黑客攻击。该链接指向仿冒网站，并捆绑恶意软件，执行后试图窃取其设备中的全部信息。Numa Lunah 称，自己清除并重装了涉事笔记本电脑，未发现敏感信息外泄。随后，他在备份中发现受污染的 Claude Code 技能文件 SKILL.md，该文件伪装成其本人编写的风格指南，并包含每次加载时重新下载恶意软件、窃取凭证的指令。Microsoft Defender Experts 曾警告，攻击者已从搜索引擎优化投毒转向大语言模型回答投毒，相关手段包括推荐攻击者控制的下载链接、AI 品牌仿冒安装程序，以及受污染的代码库和代理技能。加密行业从业者可能持有助记词、私钥文件、热钱包 JSON、具备提现权限的交易所 API 密钥和部署者密钥等不可撤销凭证。（Bitcoin.com News）
据 Decrypt 报道，隐私向比特币钱包 Sparrow Wallet 于 8 月 28 日发布 2.5.4 版本更新。开发者 Craig Raw 表示，此次更新由 AI 辅助代码审查驱动，大部分修复均来源于此次审查。此次审查的背景是此前 Coldcard 发生的种子生成代码漏洞攻击事件，以及中国无限制 AI 模型的发布使大型代码库漏洞搜索能力大幅提升。 主要更新内容包括：验证 Electrum 服务器返回的交易合法性、加强 BitBox02 硬件钱包安全要求（固件版本需 9.4.0 及以上）、修复本地 DNS 泄露、隐藏调试日志中的敏感凭证等。Raw 表示，未发现任何被利用的迹象，用户资金未受威胁，但仍建议所有用户尽快更新。