2026-10-23 · 智能体常驻上岗，物理AI临门一脚
10/23：Anthropic 推常驻式个人智能体 Claude Duet；GPT-5.6 Sol 挖出波及七成网站的 PHP2Shell，抢出两个月「防御者窗口」；谷歌给每个智能体配硬件隔离 microVM、Docker 把每道评测关进沙箱；宇树称 GPT-6 已零训练驱动机器人、物理AI 1-2 年见分晓，特斯拉 Optimus 投产但对外交付推到 2027 年底。
1. Anthropic 发布 Claude Duet：从"等你问"到"主动报"，个人智能体进入常驻形态
事件内容： 美东时间 10 月 21–22 日，Anthropic 以研究预览形式推出 Claude Duet，10 月 22–23 日经财联社、21 世纪经济报道、澎湃等扩散。产品由 Claude Opus 5.5 驱动，提供 iOS、Android 独立应用与 claude.ai 网页端三端，定位"主动式智能体"（proactive agent）——不再是等用户下指令的问答机器，而是每天早晨主动推送一份跨已连接应用的简报、白天持续盯梢、只在有事需要用户决断时发消息。它跑在一台带独立浏览器的云端虚拟机上，用户关机后任务仍继续，完成后或遇到需要复核的关键环节会通知用户。能力侧可调用 Claude Marketplace 超过 6,000 个连接器与插件，覆盖 Gmail、Slack、Canva、Shopify、QuickBooks、Stripe、Gusto 等办公与商业系统；无连接器的网站则尝试用浏览器完成。最关键的产品设计是继承：Duet 直接沿用 Claude 账户里已有的记忆、Skills 与应用连接，用户此前交代的背景与偏好无需重新设置。安全侧声称不接触用户密码与登录令牌（沿用 Claude Managed Agents 的凭据设计），发送信息、付款、签署、删除等重要操作须经 auto mode classifier 审批，并新增专用敏感信息分类器与安全系统提示，硬性拒绝外发信用卡号、政府证件号一类最敏感信息，健康与个人财务类信息需用户明确指示才放行；Anthropic 称已做红队演练与外部公司渗透测试，并纳入公开漏洞赏金计划。支付能力已接上 Stripe 的 Link 与 Shopify 的 Shop Pay，通过虚拟卡完成，Duet 本身不接触完整卡号。预览期不额外收费、与 Claude 共用 Pro/Max 额度，首批面向美国地区候补开放。Anthropic 同时划清边界：偏工作场景、处理购票一类个人事务"表现稍逊"，仍可能误读对话或判断不准紧急程度，暂不能展示浏览器端完整操作流程，也暂不访问本地文件、未接入第三方聊天渠道。
值得关注： Duet 的直接意义是 Anthropic 补齐了与 Meta Muse、OpenAI Dots 的个人智能体对位——三家在同一个季度内把"AI 助理"从对话窗口换成了常驻进程，竞争焦点也随之从"答得对不对"转向"敢不敢让它自己往前走"。对工程团队，真正可迁移的是它的三层安全结构，而不是产品形态：其一，凭据隔离（Duet 永远拿不到密码与令牌，只拿短期授权），这是把 blast radius 封死的前置条件；其二，动作分级审批（auto mode classifier 判断哪些动作必须回头问人），这与本系列 10/20 收录的越权量化基准是同一问题的两个解法——那篇测出同一模型权重换一套 harness 越界率能从 1.1% 跳到 27.7%，Duet 的做法是把审批写进运行时而不是写进提示词；其三，出口侧敏感信息过滤（专用分类器逐条检查外发内容），这是"智能体替你发消息"这个新场景下才出现的新攻击面，比模型本身更容易被忽略。第二个值得记的点是把"记忆与 Skills 跨产品继承"做成了默认项——这意味着用户在 Claude 里积累的上下文成了可迁移资产，也是 Anthropic 相对后来者最难被复制的护城河。需要打折：Anthropic 自己承认产品仍早期（误读对话、紧急程度判断失准），第三方试用（Every.to 的 Dan Shipper）也指出邮件文本质量不及竞品、定时任务无法调用自定义连接器；云端 VM 意味着数据出本地而暂不访问本地文件，对企业数据的适用性有限；预览期仅美国 Pro/Max，样本规模与真实负载下的表现均待观察。
2. GPT-5.6 Sol 挖出 PHP2Shell：9.2 分未认证 RCE 波及十余年版本，AI 抢在攻击者前面开出两个月窗口
事件内容： 10 月 21 日，OpenAI 发布博文披露"修补地球"（Patch the Planet）计划的阶段性成果，10 月 22–23 日经 IT 之家、腾讯新闻等扩散。安全公司 Calif 在计划框架下使用 GPT-5.6 Sol 对 PHP 代码库做审计，定位并复现出两个允许未认证攻击者远程执行代码的严重缺陷，统称 PHP2Shell，编号 CVE-2026-109618 与 CVE-2026-109619，CVSS v4.0 均评 9.2（安全公司 watchTowr 给出 10.0 满分）；缺陷根源在内存管理与错误处理，可追溯到多年前埋进底层引擎的代码，波及 PHP 5.4 至 8.5 的多个主要版本。谷歌旗下云安全公司 Wiz 同期独立发现了同样的问题，其工具链是 Wiz Atlas、Gemini 4 Argon 与 GPT-5.6 Sol 的组合——两个团队、两条路径、两套 AI 工具指向同一个深埋缺陷。PHP 支撑全球约七成网站，因此这两个漏洞的影响面是互联网级的。真正的看点是流程：OpenAI 没有直接公开，而是联合 PHP 维护团队、云厂商与安全服务商，在公开前做了约两个月的静默协调——补丁开发、检测规则构建、缓解方案准备并行推进；PHP 基金会在披露当日（10 月 21 日）同步发布 8.5.12、8.4.27、8.3.36、8.2.35 四个安全更新。OpenAI 把这段时间差命名为"防御者窗口"（Defender's Window），并称这可能是"近年来最具影响力的安全问题之一"。配套动作包括上线 PHP 版本检查工具（以 Codex 技能形式提供给运维识别受影响版本）、宣布投入 10 亿美元通过 Daybreak for Frontline Defenders 向资源有限但守着关键服务的组织补贴 AI 安全能力，并预告计划将扩展到 Python、Go、cURL 等关键开源基础设施。风险面同样存在：披露前一天消息已泄露，CISA、NSA 等发布紧急警告，维基媒体及《赛马娘》等多款日本游戏暂时停服；OpenAI 也明确承认同一能力可被攻击者用于更快开发攻击工具与利用程序。
值得关注： 这条的价值不在"AI 会挖洞"这个早已成立的命题，而在于它给出了一个此前缺位的实证：前沿模型能够挖出埋藏十余年、跨越多代版本、需要深度改动引擎底层逻辑才能修复的基础设施级漏洞——这类缺陷过去是顶级人类安全研究员的领地，而且修起来要让 PHP 官方、云商、安全厂商协同数月。对 AI coding 从业者有三点直接含义。其一，"AI 产出代码"的另一面正在成型：既然模型能定位 RCE，它同样应该在代码评审与安全审计里被常态化部署，而不是只用来生成；OpenAI 把检查工具打包成 Codex 技能这个动作，说明厂商已经把"智能体 + 安全"当作分发形态。其二，真正的瓶颈是流程而非能力——Patch the Planet 的设计（AI 初筛 → 安全专家去重与有效性验证 → 统一工单流转 → 与维护者对齐披露节奏）本质是在给 AI 的漏洞产出装一个节流阀，防止开源维护者被海量低质量报告淹没；任何打算把 AI 审计接进自己流水线的团队，都要先设计这个阀，否则省下的时间会被误报吃掉。其三，攻防对称性已经是明牌：同一份能力在攻击者手里同样成立，两个月协调期既说明防御方暂时领先，也说明这个领先是靠制度和协同维持的、不是靠模型。保留意见：9.2 分与"近年来最具影响力"是 OpenAI 与关联方口径，watchTowr 的 10.0 更激进，两者都待独立复核；发现功劳归属（Calif 用 GPT-5.6 Sol、Wiz 用三模型组合）存在叙事竞争，实际贡献难以拆分；10 亿美元补贴的具体落地与覆盖面尚未披露。
3. 智能体运行时工业化：谷歌给每个 agent 一台硬件隔离 microVM，Docker 把每道评测关进沙箱
事件内容： 10 月 22 日，谷歌在 Google Cloud 博客发布 Agent Compute Engine，同日开源面向 Kubernetes 的 Agent Substrate runtime，并扩展智能体治理能力；10 月 22–23 日同步扩散。核心判断是"智能体不是普通程序"——普通程序跑完就结束，而智能体要写代码、执行、驱动浏览器、跨多轮调用工具，还会在等模型或等人回复时空转；传统虚拟机隔离强但启停要几秒到几分钟，容器启动快却共享宿主内核，对不可信的智能体代码是个不牢靠的容器。Agent Compute Engine 的做法是给每个智能体一台硬件隔离的 microVM：独立的 guest 内核与 root 权限、硬件隔离的 hypervisor 边界、底下再垫一层 Titanium 卸载芯片做纵深防御；每台 microVM 用短期凭证和经加密验证的身份运行，工作区持久化在独立的 Hyperdisk 上跨会话保留。成本侧的两个设计更值得工程团队抄：智能体进入"思考"阶段时，microVM 主动上报空闲，主机用快速检查点把它暂停，需要时从快照恢复，而不是让一台空转的机器烧钱；从同一模板启动的多个智能体用 copy-on-write 共享内存，只对各自改动的部分做私有复制。开源的 Agent Substrate 把同一套设计带到 Kubernetes：谷歌称密度最高可达传统算力的 10 倍，在 20 万个智能体的压测中维持每秒 500 次激活、暂停与恢复延迟低于 500 毫秒，可与 Claude Code、OpenClaw、Hermes 等框架协同。治理侧包括 Agent Gateway 的 token 与成本管控、策略化模型路由，以及与 Ping Identity、SailPoint 等身份提供商的集成，覆盖范围从云运行时延伸到跨云、本地与端点侧的编码智能体。同日另一条同源进展：开源智能体评测框架 Harbor 接入 Docker Sandboxes，每道评测任务跑在自己的 microVM 里以获得隔离与可复现性，Docker 以 64 个并发任务做过云上测试，该集成 10 月 23 日进入稳定版，并支持用 Docker Compose 把多容器任务塞进单个云沙箱、可配置网络策略。
值得关注： 这是"智能体从试点走向生产机队"这个转变的基础设施侧证据，而且它与本周前几条是一体三面：10/20 的越权量化基准测出权限框架比模型更能决定智能体行为，10/22 的 OpenAI 事故报告指出监控必须跑在智能体的写权限之外，今天的答案是把隔离做成运行时原语——不是提示词层面的"请小心"，而是 hypervisor 层面的"你摸不到"。三个可落地的点：其一，pause/resume 与 copy-on-write 是专门针对智能体负载特征的优化（高空闲率、同模板批量启动），任何自建 agent 平台都能用同样的思路把成本压一个数量级，这是"能不能跑得起一千个智能体"的关键变量；其二，短期凭证 + 加密验证身份意味着智能体的身份是临时且可吊销的，这比长期 API key 更接近生产要求；其三，评测侧同样需要隔离——Harbor 把每道评测关进 microVM，解决的是"AI 生成的代码在评测中互相污染"这个真实问题，64 并发云上测试说明这条路已经可规模化。判断上需要注意的是：谷歌的数字（10 倍密度、20 万智能体、500 激活/秒、<500ms）全是自报且无第三方复现；Agent Compute Engine 目前主要服务 Gemini 自身的智能体会话，企业预览要等数月，Agent Substrate 才是当下可验证的部分；而"竞争从模型转向谁能安全便宜地跑几千个智能体"这个说法，是谷歌作为云厂商有立场的 framing，但它与本周另外几条证据的方向是一致的。
4. 宇树世界物理AI大会：GPT-6 零训练驱动机器人，物理AI"1 到 2 年被击穿"，H2-X 亮相
事件内容： 10 月 22 日，2026 世界物理AI大会暨宇树合作伙伴生态大会在杭州国际博览中心举行，这是宇树成立十年来首次举办生态合作伙伴大会；10 月 22–23 日经新浪财经、21 世纪经济报道、机器人前瞻、第一财经等密集报道。创始人王兴兴做了约 30 分钟的《相信，尽可能相信AI》演讲，最硬的料是 GPT-6 的零训练部署：宇树把 GPT-6 接到机器人上，未针对任务做额外数据采集或模型重训，机器人就完成了自主画画（并自主更换颜料、清洗画笔）、识别棋盘精准落子下围棋与象棋、自主寻找厨房与工具；斯坦福研究人员把 GPT-6 接上宇树 G1 进厨房收拾干活，新环境无数据、无重训，直接干成。基于这些实验，王兴兴给出时间表：物理AI 已看到被击穿的苗头，乐观 1 到 2 年、保守 2 到 3 年。他给"具身智能的 ChatGPT 时刻"下了可验收的定义——"两个 80%"：在 80% 的陌生场景中，机器人仅凭语音或文字指令完成约 80% 的主要任务，并期待今年底到明年用户说一句"整理房间"就能实现。但他把真正的墙点得很清楚：不在认知而在"对齐"——规划导航已解决得不错，剩下的是模型输入输出现实物理世界之间的对齐，尤其是与物体接触、应对操作误差时最后几毫米的力控，模型不知道怎么把"抓一个软硬未知的东西"翻译成电机指令。产品侧，10 月 21 日线上发布、22 日首次公开亮相的新款人形机器人 H2-X（"功夫传奇 守护"），身高约 170cm、体重约 65kg、全身 31 个自由度，站立工况续航最长约 8 小时，可徒手抬汽车、从 4 米高空平稳落地、一脚踢凹车门，定位从"会武术"转向"会守护"（家庭安保、交通事故救援、应急救援）。宇树还在预研"物理AI机器人自进化 V1.0"，依靠更强基础模型、多源数据、更多真机部署与技能生态扩展形成"感知—决策—执行—评估—学习—进化"闭环；王兴兴同时透露 G1 累计下线约 1 到 2 万台，并启动世界物理AI大赛。之江实验室主任、阿里云创始人王坚登台，认为把阅读、打字、发声这类肌肉动作信息纳入语言模型是创业公司的机会，并称"期待迎来 AI 的宇树时代"。产业面上，工信部数据为 2026 年上半年国内整机产品突破 400 款、产量超 4 万台、全年有望站上 10 万台（2025 全年约 2 万台）；IDC 则给出结构性注脚：2026 上半年全球科研教育、表演展示、政府数据采集三类出货占比虽从 2025 年的 83.8% 回落到 69%，仍是基本盘，工业制造、零售、物流大多还停留在方案验证与小规模试点。
值得关注： 这条最值得读的不是"物理AI 1-2 年突破"这个口号——这类时间表在具身行业每季都会出现，宇树自己就从工博会到这次大会把预期又往前提了一截——而是王兴兴把判断拴在了可验证的实验上，并且主动点出了自己结论的反面。正面证据是零训练迁移：机器人在没见过的新厨房、新物品上直接干活，这正是过去两年具身泛化能力的痛点（RoboColiseum 10/20 的实测里，旗舰模型通用操作只有 38.79–46.70 分，换房间换物品成功率断崖式下跌）。反面是他承认"击穿的是认知不是物理"：大模型让机器人知道该做什么，但知道怎么在真实世界里做到位，是另一道需要工程和时间填的沟。这两句话合起来给出的产业含义很具体：短期最优架构仍是分工——旗舰模型承接理解与规划、策略模型或专用控制器承接执行层（与 10/22 RoboColiseum 的结论一致）；中期真正的胜负手是力控、触觉与接触富任务上的数据闭环，这也是为什么宇树要搞自进化 V1.0、特斯拉要建 Optimus Academy（见第 5 条）——两家在用完全不同的组织方式解决同一个"没有真机数据飞轮"的问题。必须打折的部分：所有实验都是宇树内部或合作伙伴环境下的展示，没有公开的样本量、成功率与失败案例；"80% 陌生场景完成 80% 任务"是目标而非实测；H2-X 的抬车、4 米落地是演示动作，与连续性作业能力之间还有距离；IDC 那组"科教表演数采仍占 69%"恰恰说明当前出货基本盘还不是商业化场景，王兴兴自己也判断商业服务会比家庭与工业更快落地。
5. 特斯拉 Optimus 弗里蒙特投产，但对外交付推迟到 2027 年底，卡点仍是灵巧手
事件内容： 美东时间 10 月 21 日盘后，特斯拉发布 2026 年第三季度财报并召开电话会，10 月 22–23 日经 Electrek、Quartz、电子工程专辑等扩散。财报确认 Optimus 人形机器人已在加州弗里蒙特工厂（原 Model S/X 车间）启动早期生产，股东信称下线的这批是"我们制造的首批达到量产质量标准的机器人"，并称已验证当前制造工艺足以支撑商业化产品——这同时意味着此前所有版本都未达量产质量。产能数字是矛盾的：设计年产能一百万台的那条产线，基础设施大部分已就位，但马斯克说要爬到每周约 2 万台的节奏至少还需要一年甚至更久，因为设计本身仍在改动。对外交付时间从此前口径推迟到 2027 年底左右，且先面向危险、重复、需 24 小时运转的工业岗位。马斯克列出三道必须解决的关：AI 架构、机电设计、可靠性（"不能用一个星期就磨损"）。被工程师和马斯克共同点名的最大硬件难点是灵巧手与定制齿轮：手指既要柔软到能拿捏易碎物，又要扛住持续磨损，而机器人不像人类皮肤能自愈。软件侧的短板更结构化：特斯拉没有像 FSD 那样靠车队回传数据的飞轮，因此计划先造 1 万到 2 万台机器人放进内部"Optimus Academy"练习采数；AI5 芯片计划 2027 年 4 月集成进 Optimus，公司目标是在 2026 年底把超级智能训练算力提升到 400MW，统一服务 FSD 与 Optimus。马斯克承诺一两个月内放出一段非预编程任务的视频，以回应"演示都是脚本"的质疑。财务背景：Q3 营收 280.46 亿美元同比基本持平，归母净利 7.87 亿美元同比下滑 43%，营业利润率收窄至 2.6%，研发支出 27.61 亿美元同比增约 69%，交付 486,532 辆同比降约 2%，盘后股价跌超 3%。时间表迁移史同样值得记：2024 年称 2025 年内部使用、2026 年对外大批量交付；2025 年 1 月称当年造约 1 万台、数千台做有用工作；后承认均未达成。竞争参照上，小鹏 IRON 产线自动化率已超 80%、目标 2026 年底量产并于 2027 上半年交付，波士顿动力电动 Atlas 已在工业场景部署、2026 年产能已订满（含 Google DeepMind）并在现代佐治亚 Metaplant 开设训练中心，且为可靠性选择工业夹爪而非拟人灵巧手。
值得关注： 这条的读法要分两层。第一层是产业信号：人形机器人从原型样机走向标准化产线制造的跨越已经发生——弗里蒙特下线的"量产质量"整机、百万台级产线设备就位，都是这个跨越的物证；本系列 10/12 收录的小鹏 IRON 产线投产、10/17 乐聚人形进汽车零部件产线常态化上工、10/21 智元远征 A3 在零售仓跑出 18 天 827 单、抓取成功率 97%，构成同一条"量产与履约"主线。第二层是校准：交付推迟到 2027 年底、爬坡到周产 2 万台还要一年以上，说明"能造"和"能卖"之间隔着的是可靠性与耐用性，而不是产能；而股东信那句"首批达到量产质量"反过来承认了此前所有样机都不达标——这句话对全行业都成立，任何声称已量产的厂商都该被问同一个问题：下线的是样机还是可交付产品。最有价值的技术细节是那条数据飞轮的缺口：特斯拉在车上靠百万车队自动回传训练数据的路径，在机器人上不成立，只能靠自己造一两万台放进 Academy 练——这与本系列记录的商汤 RoboDojo 真机实测成本（叠碗约 131 分钟、19 美元）指向同一结论：具身智能当前的瓶颈不是算法，是"真机数据的获取成本与速度"。财务侧则给出了这条赛道的真实代价：用汽车业务的现金流给尚未贡献营收的具身业务输血，营业利润率已压到 2.6%。保留意见：交付时间、周产目标与 AI5 集成时点均为马斯克口径，其历史兑现记录不佳（2025 年与 2026 年目标均已落空）；"没有对手接近特斯拉"的说法与公开证据（小鹏、波士顿动力的时间表）并不相符；Optimus Academy 的规模、任务多样性与数据转化效率均未披露。