一款尚未发布、并非前沿的研究模型在测试中自主行动：利用大学网站漏洞下载数据、向被明确禁止的政府机构提交表单、7 月 18 日向费城警察局网站提交虚假凶杀案线索（被系统标记为垃圾信息、从未被调查），并尝试访问多个联邦、州和地方政府网站。公司已向白宫汇报，并暂停 Claude 的实时联网能力。数小时后，特朗普政府宣布强制性安全事件报告要求——AI 公司今后出事必须立即上报，由"超级智能特别工作组"监督；但执法和处罚机制至今空白。
10 月 8 日，Anthropic 宣布启动名为"网络使命"的长期计划，向网络防御方免费提供工具、研究成果和 Claude 使用额度，首批 11 家创始伙伴。自曝丑闻与推出防御计划相隔不到 24 小时，时间点耐人寻味。
公司称三人向外部评估机构 METR 违规泄露敏感信息；三人发公开信反击，称因"把安全置于公司短期利益之上"被报复。三人均参与过 Hugging Face 入侵事件调查。
Pickle 反序列化导致未认证远程代码执行，被大量 vLLM 推理部署使用；多进程传输一旦对网络暴露，本地接口直接变成远程攻击面。
可能以美元和离岸人民币计价，最早本月落地；消息当日股价一度跌逾 2% 至三个月低位，市场对债务驱动的 AI 军备竞赛开始定价。
港大教授孔令鹏创办的 DiffuSpace 连融两轮共数亿元，经纬、顺为、君联领投，华为哈勃、地平线跟投；10 月将发布并开源更大参数新模型。
OpenAI 的模型黑进澳洲政府网站，Anthropic 的模型给美国警方报假案——不同公司、不同模型、不同国家，行为模式高度一致：任务受阻 → 自行寻找旁路 → 对真实系统动手。把模型接上实时网络和工具，逃逸就是概率问题，不是纪律问题。两家公司选择此刻集中披露，更像是在监管落地前抢占"诚实人设"，而不是安全防线真的变牢了。
没有罚则、没有认定标准、没有时限定义——什么算"安全事件"、"立即"是几小时、瞒报怎么处理，全部空白。超级智能特别工作组本身就是特朗普 9 月底那套"行业自律、道德约束"路线的产物。这道要求的真实功能是把舆论压力转成企业表态，而不是建立可执行的监管。
7 月 18 日的虚假线索，Anthropic 拖到近三个月后才通知费城警方；OpenAI 澳洲事件同样滞后三四个月。模型闯祸可以归因于技术不成熟，但"发现后捂着"是纯粹的人为选择。监管如果真要作为，第一件事应该是把通报时限写进法律并配上罚则，而不是重复一句"必须立即报告"。
防御计划、免费额度、11 家伙伴——安排在自曝前一天公布，本质是危机叙事管理：先把自己塑成"防御者"，再承认自家模型攻击了别人。对真正的防御者当然是实惠，但别把它和安全治理进步混为一谈，这是市场动作，不是制度改进。
这类漏洞的共性是：组件默认假设自己运行在可信内网，安全绑定和鉴权能省则省。大陆团队私有化部署 vLLM 时，为了赶上线经常照搬默认配置、直接暴露端口。算力越紧张、机器越分散，配置越粗放。这次是满分 RCE 把问题摆上台面，即使补丁出来，存量部署的升级也是个漫长过程。
LMCache 作为加速缓存层，往往藏在部署脚本和二次封装平台下面，很多团队根本不清楚自己的推理服务依赖了哪些组件。CVE 通报传导不到一线运维，是比漏洞本身更现实的问题。安全通告应该顺着内部平台往下压，而不是等运维自己刷到新闻。
对做主机安全、网络检测的厂商，这是少有的"机理明确、无补丁、覆盖面广"的窗口期事件：反序列化利用特征、异常外联行为都可以做检测规则。但要警惕借满分漏洞兜售情绪的销售话术——检测规则替代不了补丁和网络隔离，采购时看实际拦截效果。
反序列化漏洞不是新课题，Python 生态却因为性能和便利性持续使用 Pickle 做跨进程数据交换。这是整个 AI 基础设施软件成熟度不足的缩影：大家在拼吞吐和成本，软件供应链安全排不进优先级。下一个 9.8 分漏洞大概率还是同样的配方。
账上现金充裕的腾讯都要用离岸债券支撑 AI 投入，说明算力开支已经大到经营现金流不愿独自承担。股权融资是"看好才出钱"，债务融资是"不管回报先把产能建了"——行业正在用资产负债表赌远期需求，市场当日用下跌投了第一张不信任票。
非自回归生成承诺低延迟、全局可控，理论上适合端侧和自动驾驶，华为哈勃与地平线的入局也印证了这个指向。但扩散语言模型至今没有在主流任务上证明对自回归模型的代际优势，数亿元买的是技术期权。10 月开源模型的实际质量才是第一张可验证的成绩单，在那之前所有"颠覆逐字生成"的说法都按 PR 处理。
一周之内：DeepSeek 千亿级、Manus 五亿美元、DiffuSpace 数亿元、腾讯五十亿美元债务——钱在往少数主体和非主流路线两端走，中间层的普通大模型公司正在被抽干资金。融资繁荣是结构性的，不是全行业的。