2026-10-23
1. Anthropic 把 Agent Skills 标准捐给 Linux 基金会 AAIF：70+ 平台、100 万技能、2.8 亿次安装的中立化
Anthropic 于 10 月 22 日宣布，把 Agent Skills 这一开放标准捐赠给 Linux 基金会旗下的 Agentic AI Foundation（AAIF，由 Anthropic 与 Block、OpenAI 于去年共同创立），一并移交标准名称、Logo、GitHub 组织与 agentskills.io 域名——此前 MCP 已捐入同一基金会。该标准 2025 年 10 月随 Claude Code 上线、同年 12 月成为开放标准；官方口径为 70+ 智能体平台已接入（含 ChatGPT、Cursor、GitHub Copilot、VS Code，社区另为 Codex、Cursor、OpenCode 编写加载器），累计发布 100 万个技能、安装近 2.8 亿次。治理上由 Anthropic、Google、OpenAI 等公司工程师以个人身份维护，首席维护者为 David Soria Parra 与 Mahesh Murag；路线图提出三件事：版本化发布、正式提案流程、面向技能编写者与安装者的安全指南。官方明确：不加入 AAIF 也可继续使用或贡献该标准。
值得关注：一个 skill 就是一个含 SKILL.md 的文件夹，它事实上已成为跨厂商的「能力封装格式」。标准交给中立基金会，意味着企业可以把它当长期资产而非某家厂商的功能来投资；但反过来，技能供应链的安全（谁能发布、装了什么、能不能审计）会成为下一个必须回答的问题——路线图里那条「安全指南」不是客套，10 月中旬刚发生过 npm 包投毒进而改写 .claude/ 与 .vscode/ 配置的先例。对内部平台团队，现在是梳理自有 skill 目录、按版本化思路纳管的窗口期。
2. OpenAI 启动 Codex「28 天每日一改」：GPT-6 Astra/Sol 默认速度 30→50 tok/s，第三方客户端同步受益
OpenAI 负责 Codex 的工程主管 Thibault Sottiaux 于 10 月 22 日启动一项为期 28 天的高强度承诺：每天为多数 Codex 与 ChatGPT Work 用户交付一项「明显的改进」，否则执行一次完整的用量重置。首日交付的是速度——GPT-6 Astra 与 GPT-6.1 Sol 默认生成速度从约 30 tok/s 提升到约 50 tok/s（官方口径约 50%，按数字算接近三分之二），且通过「Sign in with ChatGPT」登录的 OpenCode、Pi、Amp、Devin 同样享受这一提升。就在两天前，Sottiaux 刚为 GPT-6.1 Sol 上线初期的启动缓慢公开道歉并做了全球额度重置，首个日更正好又落在同一模型上。
值得关注：「每天必须交付一个明显改进，否则全额补偿」把模型厂商的迭代节奏变成了可核查的 SLA，用户的议价单位从「版本号」变成「日」——对选型团队这是新变量：不必等大版本，但要开始看厂商的兑现能力。速度从 30 到 50 tok/s 改变的是交互体感与 agent 循环的墙钟时间（读代码、跑测试之间的等待），对长任务比跑分更实在。提醒：日更节奏下小毛病也会更频繁，CI 里锁版本、灰度再放量。
3. GPT-5.6 Sol 参与挖出 PHP2Shell：两个 9.2 分的未认证 RCE，席卷 PHP 5.4–8.5
PHP 核心两个未认证远程代码执行漏洞被统一命名为 PHP2Shell（CVE-2026-109618、CVE-2026-109619，CVSS v4.0 均为 9.2），影响 PHP 8.2.35 / 8.3.36 / 8.4.27 / 8.5.12 之前的版本，触发条件为默认开启的 upload_progress.enabled=On 加 multipart 上传（已确认的通用 RCE 路径在 Apache mod_php，FPM 亦可能因运行后暴露的状态信息受影响）。攻击链为：上传进度会话文件反序列化 → 释放后使用 → 控制 RIP，同时具备类似「心脏出血」的内存信息泄露能力；根因是 OOM 触发 longjmp 跳过了清理步骤，把已释放指针留给了下一个请求。修复版本于 10 月 21 日 14:00 UTC 发布；Wiz 与 Calif 实验室、OpenAI 共同确认该漏洞属「Patch the Planet」计划，由 GPT-5.6 Sol 参与挖出。CISA、NSA 及工信部 NVDB 均已告警，维基百科与多款日本游戏临时停服；JFrog 已放出技术复盘，并提示 GitHub 上流传的 PoC 有伪造（有仓库实为改桌面壁纸的恶作剧）。无法升级时的部分缓解：关闭 upload_progress.enabled、PHP 8.5.x 另设 fatal_error_backtraces=0、重启全部 worker、设 pm.max_requests=1 并注意 memory_limit 相关副作用——单独使用均只是部分缓解。
值得关注：这是 AI 第一次在「全球约七成网站依赖」的基础设施软件里挖出潜伏十余年的 RCE，而且披露节奏被 AI 加速：从公告到补丁只有 24 小时，防守方窗口被压到极短。真正决定损失的不是漏洞本身，而是还有多少 PHP 站点在跑旧版本。对任何自建 PHP 服务（含 WordPress 这类跑在 PHP 上的站点）：先查 php -v 与 upload_progress 配置，能升级就升级，不能升就按公告做组合缓解，并把「AI 挖洞 → 小时级窗口」当成常态纳入补丁流程。
4. 宇树把「世界物理 AI 大会」开成生态大会：王兴兴称物理 AI 已见「被击穿的苗头」，GPT-6 零训练控制人形
10 月 22 日「2026 世界物理 AI 大会暨宇树合作伙伴生态大会」（主题「宇十俱进，树业共生」）上，宇树创始人王兴兴称「随着 GPT-6 发布，物理 AI 已经看到被击穿的苗头」，认为迈过具身智能 ChatGPT 时刻的核心挑战是模型输入输出与真实机器人之间的对齐，商业服务会比家庭、工业更早落地；其给出的数据是 80% 陌生场景中可完成约 80% 任务。现场演示 GPT-6 零训练、无额外编程直接控制人形完成绘画、洗笔、围棋落子与导航规划——规划/导航类效果好，瓶颈集中在真实物理交互的稳定性与成功率。战略三条线：千万台级量产制造能力、自研+外部合作的物理 AI 小模型、大规模算力集群。预研中的「物理 AI 自进化大模型 V1.0」闭环为：AI 自主查文献写代码 → 仿真训练 → 真机测试 → AI 自主打分反馈，目标 2027–2028 年实现模型与硬件深度统一并走向家庭。会上同时发布每年数千万元奖金、八大赛道的「世界物理 AI 大赛」（任意移动/田径/灵巧操作/生产建设/体育/格斗/全模态人机交互/康养）与面向创业团队的「宇创计划」；G1 累计下线 1–2 万台。
值得关注：宇树在把自己从「卖本体的硬件公司」改写成「物理 AI 平台 + 赛事 + 生态」，与英伟达用 CUDA 圈开发者的路径同构：先定赛道、再定评价标准，最后卖平台。更值得注意的是自进化闭环里那一步「AI 自主查文献写代码」——物理 AI 的迭代速度开始由模型自己决定，而不是由工程师排期。产业含义是数据与评测标准（谁能定义「会干活」）比单台 Demo 更值钱；对二级市场，「明年拐点」这类表态要打折看，现场演示仍是受控场景，稳定性与成功率才是量产的硬门槛。
5. 工业具身第一股微亿智造招股今日截止：EIIR 国内份额约 20%，10/28 挂牌
工业具身智能企业微亿智造（03275）10 月 20 日启动港股招股、10 月 23 日截止，拟全球发售 3727.58 万股 H 股（香港公开发售约 10%、国际发售约 90%），发售价 16.63–21.46 港元，按中位数 19.05 港元计募资净额约 6.42 亿港元（总额约 7.1 亿），10 月 26 日定价、10 月 28 日在联交所主板挂牌，东方证券国际独家保荐，基石为易北莱茵投资约 1570 万港元。基本面：灼识咨询口径下 2025 年以收入计在中国工业具身智能机器人（EIIR）市场排名第一、份额约 20%；累计 23TB 真实工业场景精标数据、逾 16 亿条精标记录；营收 2023 年 4.34 亿元→2025 年 7.96 亿元（CAGR 35.4%），2026 年前 5 月 4.24 亿元（+22.6%）；EIIR 收入 1.14 亿→4.53 亿元（CAGR 99.3%），占比由 26.3% 升至 61.4%；连续两年盈利、2025 年经营性现金流首次转正。技术上是「快慢思考」架构的「物理 AI 大脑」加 EIIR 系列，公司称部署周期已从行业平均的数月压缩到天级。
值得关注：这是港股第一份能用损益表检验的「具身智能」招股书：卖的不是会走路的机器人，而是质检+打磨的复合工位，靠 23TB 精标数据与快慢思考把老师傅经验变成参数。它的意义是把赛道从「融资叙事」拉到「毛利率与回款」——连续两年盈利、经营现金流转正、EIIR 占比过六成，这些数字会成为后续所有具身公司的对照基准。风险同样清晰：客户集中在 3C/新能源/汽车，项目验收制导致收入确认滞后，20% 的国内份额能否守住要看海外扩张。
