AI 日报 | 2026年10月25日

今天这五件事有一条共同的暗线：AI 的能力增长速度和人类消化能力的落差正在被量化和计价。Google 让模型连续跑了 11 小时去改自己的 20 万行代码库，改出来的 6 项里人只收下 2 项；另一边，AI 挖出了一个在 PHP 源码里躺了多年的致命漏洞，修补要动近 200 个文件、一万多行代码——发现按算力扩展，修补按人头扩展。具身智能侧则是资本和数据同时在收紧：一级市场开始挑项目，上海赛场干脆把比赛本身改造成数据采集现场。

Google 用 Gemini 4 Argon 改自己的 20 万行代码库：11 小时无人值守，6 项改动只收下 2 项

Google 工程师做了一次刻意的「元测试」——不看模型从空文件夹写新应用的能力，而看它能不能改一个已经存在的复杂代码库。对象是 Google 自己的 Agent Development Kit（ADK，开源智能体开发框架），规模为 20 万余行 Python 代码、约 800 个文件、近 1.7 万个单元测试。一次 11 小时的无人值守运行后，两项优化被维护者接受：一是会话历史在复制前先过滤事件，使长会话下的内存会话准备开销下降约 40%；二是重量级包改为按需延迟导入，冷启动包导入时间下降 21%。单看一次调用只省 28 毫秒和 78 毫秒，但在 158 轮工具调用的全流程里，这些复制操作会累积——完整运行时间从 65.6 秒降到 56.1 秒，省下近 10 秒纯框架开销。另有 4 项改动在人工评审中被拒，理由是可靠性、可维护性、兼容性或收益无法度量。做法上有三处值得抄：先用一次短跑摸清提示词该包含什么，再把仓库的测试与基准约定写成 .agents/skills 文件（Google 比喻为「给新工程师的入职指南」）并要求智能体只加载当前任务需要的那一份；最终提示词用 Antigravity 的 /goal 模式，使目标在上下文压缩后仍能保留；硬性要求每处改动都配一个能捕获回归的测试、PR 描述里给出前后对比数字、且不许自己合并。

值得关注：先说清它的难度定位——Google 明确表示这是「模型如何处理既有代码库」的测试，比「从空文件夹建新应用」难得多，因为性能问题的症状和病根往往不在同一个文件里，需要横向追踪 40 个文件的调用方、mock 目标与共享引用，这是剖析器（profiler）做不到的部分。真正有复用价值的是那三条方法论，尤其是第三条：强制在 PR 里给出前后数字，把「AI 说自己变快了」变成可复核的测量，而不是一句承诺。但边界必须一起读——6 项提案只接受 2 项，接受率三分之一；Google 自己的结论是，智能体在既有代码库上的有效性仍然受制于编码之后的工作（PR 评审、调试、测试）所消耗的时间与人力，也就是说瓶颈并没有从「写」转移到别处，而是从「写」转移到了「验收」。此外这是 Google 在自己代码库上的单次自述，无第三方复现；报道日期存在两组口径，InfoQ 记为 10 月 24 日，部分聚合源标为 10 月 25 日。

来源：InfoQ：Google Optimizes Agent Development Kit's 200K-line Python Codebase Overnight with Gemini 4 Argon ｜ TPS Report：Gemini 4 Argon Optimizes Google ADK Codebase in 11 Hours ｜ DevFeed 转载

PHP2Shell：AI 挖出 PHP 隐藏多年的致命漏洞，全球约七成网站站在同一块地基上

PHP 官方于 10 月 21 日发布安全更新，修复两个未认证远程代码执行漏洞，合称 PHP2Shell（CVE-2026-109618 与 CVE-2026-109619），CVSS v4.0 评分 9.2。先交代背景：PHP 是一种服务端脚本语言，WordPress、Drupal 等内容管理系统建立在它之上，据估算全球约 70% 的网站由其驱动——不过这指的是服务器端使用 PHP，不代表七成网站都有漏洞，实际风险取决于各自的部署与配置。发现过程是：安全公司 Calif 的研究员 Ryan Austin 今年 8 月审计 PHP 源码时，借助 OpenAI 的 GPT-5.6 Sol 找到这两处缺陷，Google 旗下 Wiz 随后独立发现了相关问题，这相当于披露流程里最接近同行评审的交叉验证。Calif CEO Thai Duong 说，几十年前就有研究者指出过这段代码可能有问题，但当时认为太难利用、后来逐渐被遗忘。修补规模不小：近 200 个源文件需要修改，开发者新增超过 1 万行代码；补丁原定 10 月 22 日发布，因消息在 Hacker News 提前泄露而提前到 21 日。

值得关注：先说清本文与 10 月 22 日那条的分工——当日记录的是披露与补丁的时间线，本文补的是披露之后的真实影响面与攻防速度之争。核心意义不在「AI 写了个 bug」，而在 AI 改写了攻防的时间常数。Duong 最担心的不是 AI 能发现漏洞，而是把软件缺陷变成可用攻击工具的速度——简单系统几秒钟，复杂环境数小时。PHP 安全工程师 Volker Dusch 称这是 PHP 十多年来最严重的安全问题，量级可比 2014 年的 Heartbleed。第二点值得辩的是 OpenAI 提出的「防御窗口期」：官方说法是前沿 AI 抢在攻击者之前发现漏洞，为维护者和安全服务商争取了时间；但亚马逊威胁情报团队称黑客在公开披露前四天就已开始利用，Cloudflare 在披露首日即记录到数百万次利用尝试——这个窗口可能从未真正存在过。第三是现实影响面：NSA、印度 CERT-In 与 Cloudflare 均发出紧急告警，维基媒体（Wikipedia 的运营方）、日内瓦大学网站、数款日本网游主动下线，英国有超过 30 个政府服务一度离线，电信运营商 Orange 暂停了部分站点与 App 的访问。最后一条实务提醒：补丁只覆盖 PHP 8.2 及以上版本，8.2 以下的老旧安装构成长期暴露面。

来源：财新网：全球约70%网站面临高危漏洞 AI时代网络安全问题激增 ｜ VietNamNet（转华尔街日报）：Vietnamese engineer's firm finds security flaw threatening millions of websites ｜ 联合新闻网：全球七成網站爆重大安全漏洞 ｜ TechGig：AI uncovers critical PHP flaws

监管抬高机器人 IPO 门槛后，具身智能一级市场的预期开始分化

《科创板日报》10 月 25 日报道，自监管发出提高机器人企业 IPO 门槛的意见以来，具身智能一级市场的资本动作仍在密集传出，但投资人的态度已经明显分化。企业侧：有市场消息称松延动力已保密提交香港 IPO 申请，拟募资数亿美元、最快 2027 年上市；此前一周智元被报道启动约 10 亿至 15 亿元新一轮融资、最新估值约 500 亿元。投资侧则出现两种声音：一位国资背景机构的 AI 投资人士称，自己从今年 6 月起基本不再看具身智能项目，主要顾虑是项目同质化严重、技术上实质进展不足，不乏在开源基础上修修补补、做 demo 的公司；基石资本投资部董事张之宽则持审慎乐观，称对高估值项目保持谨慎是一贯态度、并非只针对具身智能，接下来仍会持续跟踪，寻找「能真正在物理 AI 方向有重大突破、或在本体领域做出重大创新」的差异化企业。

值得关注：这条的价值是把「政策热」和「资本冷」放在同一天看，并指出二者并不矛盾。参照系需要交代清楚：今年 6 月工业和信息化部与国务院国资委联合启动「人形机器人与具身智能实景实训专项行动」，9 月人社部正式发布新职业「具身智能机器人应用技术员」——政策侧持续加码，资本侧开始挑食，这恰恰说明赛道进入了证伪期。判断框架上要提醒一句：投资人担心的「同质化」与「缺实质进展」，本质是行业仍处在工程验证期、尚未形成技术路线的收敛，与产业衰落是两回事，估值回调与项目淘汰是收敛前的正常出清。三点边界必须说清：文中的融资、估值与 IPO 安排均来自媒体报道或市场传闻，松延动力与智元均未回应，不应据此下定论；受访投资人多为匿名且样本量小，不能当作行业普查；「国资不再看具身智能」是单一机构的立场，不代表国资整体。

来源：科创板日报：机器人IPO门槛提高 具身智能一级市场预期变了

上海大赛收官：比赛本身被改造成数据采集现场，无本体采集成新产品形态

2026 全球开发者先锋大会暨国际具身智能技能大赛 10 月 23 日至 25 日在上海浦东张江举行，今日收官。此前报道已覆盖开幕式与赛道设置，这里补三处现场产业侧细节。其一，今年创新推行「比赛数据回流机制」——赛事过程中产生的数据被沉淀下来，用于机器人技能发育与后续赛事决策参考；大赛联合裁判长、国家地方共建人形机器人创新中心首席科学家江磊明确表示，赛事采用「场景方出题、机器人答题」的模式，将沉淀宝贵的真实作业数据，为垂直行业模型训练提供支撑。他把考察维度概括为体能、技能、智能三层：负重与长期运行可靠性是体能，装配、搬运是技能，最被看重的是自主推理与自主决策。其二，产业链展馆集结近 200 家供应链企业，其中奥比中光展示了「无本体数据采集硬件平台」——不依赖机器人本体，先由人类完成数据采集，再提供给机器人用于训练，现场称销售情况良好。其三，霖晏医疗展出全球首个基于外科世界模型的人形手术机器人，该模型通过学习外科专家的操作范式，建立解剖结构、器械运动、操作行为与环境变化之间的关联，并可搭建高保真虚拟手术仿真环境用于训练与评估。

值得关注：今天最值得记的是「比赛数据回流机制」。它意味着组织方已经把办比赛重新定义为「组织一次大规模、有统一任务口径的真机数据采集」，恰好补上了商超赛项命题人此前说的「行业对真实场景的数据采集还远远不够」。对做具身智能数据的人来说，赛事正在从展示场变成数据生产基础设施。「无本体数据采集」这个产品形态也值得单独看：它把采集从机器人本体上剥离，用人来示范、用机器来学习，好处是不占机器人产能、可在真实门店与产线并行进行；代价是数据形态（人类动作）与目标形态（机器人动作）之间存在迁移鸿沟，能否真正提升机器人策略仍取决于后续的映射与训练方法。第三，评审口径在变——江磊把「智能」放在体能与技能之上，说明标准正从「能不能完成动作」转向「能不能自己想明白怎么做」，这与现场暴露的问题一致：上海具身慧智 CTO 杨昕迪说，质检赛项单个动作规划难度不高，难的是把六个动作串起来，还要应对奶片数字朝向不一、判断是否需要翻转。最后一条口径说明：本届赛道数存在两组报道，中新社与解放日报记为「九大重点赛道、23 个赛项」，开幕式上发布的则是「十大实景赛道」，本文两组并列、不做合并。

来源：科创板日报：千台机器人上海实景竞技 具身智能加速走向产线 ｜ 中国经济网：实景比拼见真章 机器人直面「翻车」考题 ｜ 大河财立方：真实场景搬进赛场，千台人形机器人上海「赶考」

英伟达扩容 Isaac 全栈，库卡先把工厂搬进电脑

英伟达 10 月 21 日在 GTC 柏林宣布扩展 Isaac 开放机器人开发平台：正式发布 Isaac Lab 3.0（支持多 GPU 训练与优化机器人控制策略，兼容 Newton 与 PhysX 物理引擎），推出基于 Holoscan 的 Isaac OS 机器人运行时框架，负责把 AI 模型、传感器、控制系统与硬件接起来，并支持从仿真环境到真机的实时控制程序部署；同时新增 2000 多个可直接用于仿真的机器人与工厂资产，以及 Human 1M 数据集（各类人类活动的三视角同步视频与 3D 手部追踪数据，供机器人动作学习与操作策略开发）。同场发布由 Agile Robots 开发的 Agile ONE SN 人形参考平台：身高 1.40 米、体重 40 公斤、31 个自由度、单臂负载 3 公斤，配两只各 20 自由度的五指灵巧手，支持 1kHz 力控与触觉感知，机载 Jetson Thor 提供 2070 FP4 TFLOPS 算力与 128GB 统一内存，计划 2027 年初面向研究机构推出。库卡则在同期展示 FactoryLens 工厂仿真功能——把英伟达 Omniverse 库引入 Visual Components 的仿真软件，通过 OpenUSD 双向交换数据，让工程师在虚拟环境里验证节拍、排查运动学干涉、优化物流路径；此前 10 月 8 日发布的 iiQKA.AI Vision 也正式亮相，该视觉方案采用 Jetson Orin 模组并集成进库卡控制器环境，让机械臂能识别未定向零件、补偿几何偏差。

值得关注：把这几样放在一起看，英伟达卖的不是单项技术而是一条流水线——Isaac Lab 3.0 负责训练，Isaac OS 负责部署，SimReady 资产库与 Human 1M 负责喂数据，形成「数据生成 → 仿真训练 → 真机部署」的闭环。ABB 已把 Omniverse 集成进 RobotStudio HyperReality，库卡把 Omniverse 用进 FactoryLens，本体厂正在把这条流水线接进自己的工程软件。对做具身智能数据的人，这条既是样板也是压力：Human 1M 用人类活动视频加 3D 手部追踪来喂机器人动作学习，思路与上文奥比中光的「无本体数据采集」属同一类，都在绕开「真机采集太贵太慢」这个瓶颈；区别在于英伟达把它做成了开源数据集加参考工作流，且完整数据集仅向 Cosmos Coalition 伙伴开放。库卡这侧的读数要区分演示与交付：美的 2026 年半年报披露试点工厂运营效率提升 31%、无锡双高端工厂 AI 累计节省工时超 100 万小时，机器人与自动化业务上半年收入 166.21 亿元、同比增长 10.27%、约占集团总营收 6.4%——这些是集团自述口径；而「美罗人形机器人具备落地销售条件」是厂商表态，不等于已获得批量订单。日期说明：GTC 柏林会期为 10 月 20 日至 22 日，英伟达发布在 10 月 21 日，中文媒体对本组内容的集中报道出现在 10 月 24 日至 25 日。

来源：财经早餐：英伟达加码物理AI，库卡先把工厂搬进电脑 ｜ Wedoany：NVIDIA Upgrades Robotics Development Platform with Over 2,000 New Simulation Assets ｜ Automation International：KUKA and Visual Components Link Digital Twins to Physical AI