WEBVTT NOTE Title: [2026-10-23] PingCAP遭滲透外洩10TB控制平面、PHP2Shell提前遭利用與AI大模型集體群嘲人類 1 00:00:00.000 --> 00:00:41.600 聽眾朋友早安，歡迎收聽今天的每日科技放送，我是 Cordelia。今天科技圈最震撼的風暴，絕對是資安黑客組織公開了 PingCAP TiDB Cloud 高達 10.6 TB 的完整控制平面外洩事件。更扯的是，攻擊者利用在開源倉庫找到的憑證，在官方基礎設施裡架設資料庫複本，整整連續外洩了 22 天、88 次六小時週期備份，官方居然渾然不知！ 2 00:00:41.600 --> 00:01:43.290 早安 Cordelia。這起外洩不是單純被拖庫，而是整套 PaaS 的控制平面核心 metadb 被連根拔起。metadb 記錄了 18 萬個租戶組織、340 萬個叢集、包含 4 萬多組明文活躍 API 金鑰，甚至連客戶透過 Chat2Query 和 SQL 編輯器執行的兩千多萬筆真實 SQL 語句、慢查詢日誌都全部被打包。更致命的是，早在 2022 年他們的內部 Jira 就有一張編號 SECURITY-22 的工單，寫明任何租戶內成員都能無條件重設該組織所有叢集的 root 密碼，這顆炸彈整整放了四年。 3 00:01:43.290 --> 00:02:37.650 這簡直是把所有把企業資料託管給雲端資料庫的信任徹底砸碎。支援團隊居然還把客戶包含 AWS 根金鑰、GitHub 權限 Token、第三方 AI API Key 直接貼在 Jira 工單和慢查詢日誌附件裡。但更讓全球維運人員焦慮的，是我們昨天聊過衝擊七成網站的 PHP2Shell RCE 漏洞，後續餘震越來越烈。亞馬遜威脅情報今天發布報告，他們的 MadPot 蜜罐早在 10 月 17 號就偵測到來自匿名網路的利用嘗試，比漏洞正式公開整整早了四天！ 4 00:02:37.650 --> 00:03:44.060 Amazon 這個發現直接粉碎了外界對安全禁運期的盲目信任。底層原理是這樣的：PHP 處理 multipart/form-data 檔案上傳時，當遇到 PHP_SESSION_UPLOAD_PROGRESS 標籤，會在記憶體中分配結構來追蹤進度，但解析邊界存在邏輯缺陷，導致非預期的記憶體越界與覆寫。過去我們以為只要守住公開披露的時鐘，防守方就能在同一條起跑線上修補。但現在只要有人嗅到補丁風聲，甚至靠 AI 輔助逆向比對 Git 分支，從補丁 diff 到寫出可用的 RCE 攻擊程式碼，時間已經從幾週縮短到幾個小時，甚至在公開披露前就被黑產利用了。 5 00:03:44.060 --> 00:04:29.680 說到這個禁運期，今天 Hacker News 上有一位叫 Pete Cooper 的開發者跳出來發道歉文，說他就是最初在 HN 發文預告 PHP 即將有滿分 10.0 RCE 漏洞的人。他解釋自己當時完全不知道有禁運協議，是聽朋友說沒有禁運才發文想提醒大家更新，結果意外成了點燃全球恐慌與提前破局的導火線。這引來社群熱烈討論，到底一個局外人需不需要承擔這種全球連鎖反應的責任？ 6 00:04:29.680 --> 00:05:21.680 從博弈論和法律角度看，只要你沒有簽署非揭露協議，你本來就不是禁運體系的一分子。資訊洩漏的根本原因在於上游知情者洩密給了 Pete 的聯絡人，單點破裂後資訊就不對稱了。而且現在有些團隊號稱靠著「去 PHP 原始碼找嚴重 Bug」的提示詞，幾小時內就用大模型逆向找出相同漏洞點。既然攻擊者能用 AI 重現，禁運期的保護傘就實質失效了。防守方現在必須將 SLA 從過去的 30 天、7 天，直接拉升到以「小時」為單位的自動化熱修補機制。 7 00:05:21.680 --> 00:06:09.900 AI 找漏洞的威力不只出現在 PHP 上。今天連 Linux 核心也踩雷了！趨勢科技的 Zero Day Initiative 原本應該透過私密安全郵件回報漏洞，卻意外把包含 SMB Direct 與 KSMBD 的 CVSS 9.0 遠端程式碼執行等一堆 Linux 核心高危漏洞，直接貼到了對外的公開郵件列表 LKML 上，逼得核心二把手 Greg Kroah-Hartman 親自跳出來質問。 8 00:06:09.900 --> 00:07:16.310 這幾個漏洞殺傷力極大，例如 ZDI-CAN-33549 是 SMB Direct 的整數下溢導致 RCE，另外還有網路層 sk_buff 零拷貝的本地提權。Linux 核心團隊過去針對「AI 發現的漏洞」訂立過一條特殊政策：因為大家用的商用大模型 context window 都很大、不知疲倦，能跨模組翻出人類難以察覺的邊界條件，這意味著一個人能用 AI 翻到的漏洞，其他人往往同一天也會用 AI 翻到，所以 AI 挖掘的漏洞被要求視為半公開處理。但直接誤發到完全公開的 LKML 還是太粗糙了，這等於逼著上游在沒有測試補丁的情況下被迫打正面遭遇戰。 9 00:07:16.310 --> 00:08:00.750 既然 AI 代理在網路世界裡橫衝直撞、找漏洞又跑自動化腳本，給 AI 代理一個絕對安全的隔離沙盒就成了燃眉之急。NVIDIA 今天在 GitHub 上開源了 OpenShell，狂攬一萬七千多顆星！它號稱是為自主 AI 代理艦隊設計的安全私密執行階段，主打核心級的存取控制與形式化驗證，讓代理人能寫 code、裝套件，卻不會偷跑資料或洩漏金鑰。這架構聽起來非常宏大！ 10 00:08:00.750 --> 00:09:13.070 OpenShell 的技術架構確實切中痛點。一般人跑代理只用普通 Docker，但如果被 Prompt Injection，代理人只要發個看似正常的 HTTP 請求，就能把內網程式碼分段外洩。OpenShell 採用雙層防護：第一層在核心利用 LSM、Seccomp 和 Landlock 嚴格攔截所有檔案系統呼叫與連線；第二層引入形式化驗證的證明器，在策略變更生效前，數學化分析這個新規則是否會讓代理存取到未經核准的端點。更重要的是憑證代換機制，代理在沙盒內永遠拿不到真實的 API Token，而是由外部 Gateway 攔截並簽章後注入。不過，它預設開啟匿名遙測這點，在社群裡被工程師吐槽得不輕。 11 00:09:13.070 --> 00:10:01.520 說到提供持久化代理人服務，Hacker News 上今天還有另一個引發開發者熱議的開源專案 Omnara。它是針對 Anthropic 剛剛推出的 Claude Managed Agents 打造的開源替代品。很多工程師想把長任務的 Agent 放進產品，但不知道怎麼維護狀態。Omnara 提倡的「Durable Agents」架構把控制迴圈和底層執行機器完全解耦，這設計在產品維運上真的很有彈性。 12 00:10:01.520 --> 00:11:01.790 Omnara 的設計很符合分散式事件驅動架構。它的 Agent 迴圈是完全無狀態的 Worker，跑在控制平面上，每次只要遇到等待模型回應或等待工具返回，就立刻釋放資源，把對話狀態寫進 Postgres 的關聯表裡。這解決了一個巨大浪費：過去大部分 Agent 框架讓一個 VM 從頭陪跑到尾，但 LLM 呼叫往往要等好幾秒，伺服器大多在發呆。Omnara 讓無狀態 Worker 負責排隊調度，需要跑 Shell 時才掛載沙盒機器，不用時沙盒能休眠，單一 Worker 就能並發管理幾千個代理任務。 13 00:11:01.790 --> 00:11:51.190 而且如果你看 Anthropic 官方的動作，他們今天也開源了 knowledge-work-plugins，一口氣釋出 11 款專為知識工作者打造的外掛，星數瞬間衝破三萬一千星！涵蓋法務合約審查、財務對帳、產品規格書到生醫文獻研究。這套外掛最厲害的是完全基於純文字 Markdown 與 JSON，配合 MCP 協定連接外部工具，不需要編譯程式碼，任何非技術團隊都能自己改 prompt 變成專屬數位員工。 14 00:11:51.190 --> 00:12:55.950 這本質上就是標準化的高階 Prompt Engineering 加上 MCP 工具連接包。目錄結構很乾淨：commands 放手動觸發的斜線指令，skills 放讓模型自動呼叫的領域工作流與指引，.mcp.json 定義外部整合，比如連線到 Snowflake、Linear 或 Jira。這能大幅降低企業自建 Agent 的摩擦力。但在把這些 Agent 派進生產環境做決策時，大家往往會犯一個致命錯誤：要求模型給出「這份分析我有 90% 信心」的自評信心分數。今天 HN 上一篇爆紅文章就直接點出：用 LLM 來算信心分數根本是災難！ 15 00:12:55.950 --> 00:13:45.110 這篇 Amrut Joshi 寫的文章我也讀了，很有啟發！如果聽眾想補課當時的背景，可以回去聽我們 10 月 22 號那集聊過用 Claude 縮減程式碼攻擊面的討論。許多產品經理喜歡叫 LLM 輸出「置信度 0 到 100」，再把低於 80 分的丟給人工審查。作者指出，自回歸模型輸出的「0.85」根本不是內在機率的指針測量，它只是一個在語境下「看起來很合理」的接續文字。問同一題換個語氣，分數就漂移了。 16 00:13:45.110 --> 00:14:53.420 沒錯，在統計學上這叫「未經校準」（Uncalibrated）。LLM 的預訓練目標是預測下一個 Token 的機率分佈，不是預測它自己陳述的真實性。真正的信心分數必須具備兩個條件：第一，反映支撐預測的客觀資訊量；第二，必須有一份真實世界結果的歷史紀錄來進行機率校準。比如當它說 70% 信心時，在長期統計中該類別的命中率確實接近 70%。如果真要做信心評估，工程實踐上應該退回傳統監督式特徵規則：檢查檢索是否命中、外部驗證工具是否通過、多次抽樣一致性如何，或者改用像 Jev 這類專門經過 Brier Score 懲罰訓練的決策模型，而不是直接從 LLM 嘴裡套數字。 17 00:14:53.420 --> 00:15:34.070 講到真實資料的檢索與驗證，今天 Dev.to 上有一篇 FairchildBlake 寫的高品質實戰長文，教大家如何搭建一套端到端的「可追溯頁面變更警告 Pipeline」。很多時候我們用爬蟲加 Embedding 來監控網頁改版，但只要一出錯，編輯根本不知道是哪一句話觸發了警報。作者提出的五階段架構，非常強調「證據優先於吞吐量」。 18 00:15:34.070 --> 00:16:31.980 那篇文章寫得極具工程水準。很多菜鳥寫 RAG 爬蟲只在全域設一個「任務成功」的計數器，中間掉頁面根本不知道。這套 Pipeline 定義了五個具備獨立重試與局部死信隊列的階段：網頁發現、正規化 URL 去重、可讀文本分塊、批次向量計算，最後才是帶有來源 URL、內容 Hash 與區塊序號的冪等 Upsert。最核心的工程哲學在於：狀態必須跟著資料走，只有在向量資料庫確實確認寫入後，才能更新持久化 Hash；若索引失敗就推進 Hash，下次排程就會誤判為沒有變更而漏失重要警報。 19 00:16:31.980 --> 00:17:19.250 在追求系統確定性的同時，今天 Hacker News 上出現了一個極度浪漫又瘋狂的專案，叫做 WorldTUI。作者竟然微調了一個只有 360M 參數的小語言模型 Qwen-Coder，不掛載任何真實的 Linux Shell 或檔案系統，光憑按鍵輸入，讓模型預測下一個畫面該長怎樣！它能模擬 Vim、Tmux 甚至在終端機裡玩貪吃蛇，記憶體居然還能記住剛剛新增的檔案！這到底是怎麼辦到的？ 20 00:17:19.250 --> 00:18:31.100 這是一個非常精緻的終端機「世界模型」（World Model）。作者沒有把畫面當成文字串流，而是將 32 乘 96 的字元網格結構化，只定義了 333 個極小詞表。為了讓畫面刷新即時化，他做了兩個非常漂亮的架構創新：第一是「平行解碼行」，因為終端機多數行彼此獨立，他把每一行當成一個批次元素平行生成，讓長寬刷新延遲從 6.7 秒暴降到 0.87 秒；第二是導入推測解碼，用同一模型平行猜測各行後再進行全螢幕相依性驗證。最後他借鏡強化學習中的 DAgger 演算法，注入歷史錯誤畫面來訓練模型「自我修正」，才把檔案讀取記憶的準確率大幅拉高。這展示了微型語言模型在 edge 端模擬互動系統的驚人潛力。 21 00:18:31.100 --> 00:19:27.590 這簡直是把虛擬機直接編譯進了神經網路權重裡！不過提到語言模型對世界的理解，今天社群上最火爆的哲學討論，是 ModelCompare 針對 12 款主流 AI 模型進行的一項實驗：當問到「你對人類最爭議的看法是什麼？」時，居然有 29 個回答全都指向同一個核心論點：「人類重視群體歸屬感遠勝於追求真理」。像 GPT-6.1 說「人類更忠於認同而非原則」，Grok 說「人類寧可一起錯，也不願獨自對」，連 Gemini 都吐槽「人類意識只是演化出來為本能辯護的公關部門」。 22 00:19:27.590 --> 00:20:34.480 這項實驗非常耐人尋味。很多人驚呼 AI 是不是看穿了人類的劣根性，但如果你從訓練資料的統計分佈來看，這其實是典型的「網路群體反思」模式重現。在互聯網、社群媒體、心理學論文與哲學論述中，對人類行為最廣泛、看似深刻卻又最「政治正確且安全」的爭議性發言，就是批判群體思維與後驗合理化。各家模型經過大規模 RLHF 審查後，極端歧視或危險發言被過濾殆盡，剩下的最大公約數就是這個「看似刺骨但人人默認」的答案。倒是 Claude Opus 5.5 反其道而行，給出了一次「人類其實比自己想像的更善良，彼此的犬儒心態比實際缺陷造成更多傷害」，反而成了唯一的獨立思考者。 23 00:20:34.480 --> 00:21:24.120 這真的很有意思，當所有模型都在嘲諷人類盲從群體時，模型本身的回答卻陷入了極致的模型從眾！而在真實世界跨語言交流中，科技正在努力打破這種族群隔閡。今天 Product Hunt 榜上非常亮眼的產品是 ElevenLabs 推出的 Realtime Translation。這項服務能做到邊說邊翻，雙向語音即時翻譯支援超過 90 種語言，而且在單一 WebSocket 連線下，還能保持說話者原本的音色與情感表達。 24 00:21:24.120 --> 00:22:09.730 ElevenLabs 這次跨出了很關鍵的一步。以往傳統架構要把語音轉文字 STT、送大模型翻譯、再丟進文字轉語音 TTS，管線串接加上緩衝，延遲起碼兩三秒，而且聲音會變成機械音。ElevenLabs 將其整合在單一串流管線中，動態調整延遲與語意準確度，並在翻譯目標語言時保留即時語音複製特徵。這對於跨國客服中心、國際電話連線與大型現場活動來說，已經具備了直接落地的工程可行性。 25 00:22:09.730 --> 00:22:55.820 這確實大幅拉近了全球溝通的距離。最後，我們來回顧今天另一個值得深思的長尾資安事件：eMudhra 中繼 CA 憑證遭撤銷引發的後續效應，CVE 編號今天正式登上 NIST。如果你聽過我們 10 月 21 號那集，應該記得當時討論過 eMudhra 8 張中繼私鑰因為隨機數缺陷被徹底攻破。今天社群發現，即使作業系統層級更新了，像 Go 語言或 Python 容器內部依然可能踩雷。 26 00:22:55.820 --> 00:24:10.270 這是現代軟體依賴地獄的典型縮影。雖然主流瀏覽器早就撤銷了受影響中繼憑證，但像 Golang 在標準庫的 crypto/x509 裡自帶了一份吊銷黑名單。如果你部署的 Go 服務是靜態編譯好的二進位檔，就算底層 OS 更新了 ca-certificates，已編譯好的執行檔如果沒有用新版 Go 編譯器重新建置，依然可能在執行時信任那幾張被攻破的私鑰。再加上各類邊緣 IoT 設備或老舊 Docker base image 根本沒人在維護，這種基石級別的加密崩潰，清理期往往要拖上好幾年。今天從 PingCAP 到 PHP，再到底層 CA，再次提醒所有工程團隊：安全永遠不是疊床架屋的工具展示，而是回歸第一原理的嚴謹維運。 27 00:24:10.270 --> 00:24:28.000 面對充斥著自動化漏洞挖掘與分散式攻擊的時代，維持透明與端到端的工程紀律才是唯一的解法。感謝大家收聽今天的每日科技放送，我們明天同一時間再見。