开发者笔记

10月21日曝光的PHP2Shell两个9.2分漏洞（CVE-2026-109618/109619）潜伏超十年，影响PHP 5.4至今；根因是哈希表扩容先计数后分配，特定请求触发memory_limit造成内存损坏，攻击者可在应用执行前控制服务器。两个独立团队用AI审计挖出同一缺陷，基本排除幻觉；补丁因泄露提前公开，涉及近200文件，被称结构性失败。目前约150万主机未打补丁、2260万节点暴露。AI同时降低利用门槛，补丁diff加模型即可生成exploit。NSA等建议无法及时修复先下线；站长应升级至8.5.12/8.4.27/8.3.36/8.2.35，注意WordPress自动更新不修PHP层。AI未偏向攻防任一方，只是把双方都推快。

文章复盘了粒子系统修改8轮仍不理想的原因：需求模糊，说不清“对”的标准。一次到位需把握四要素：给终点而非路径；提供可测的验收标准；划定文件、接口和依赖等边界；用具体参照物替代“好看一点”等模糊表述。实战中可先让AI复述方案，确认后再动手，避免歧义；同时一次只改一个变量，便于定位问题。本质是需求描述能力反映对问题的理解深度，AI编程没有让人失去编程能力，反而暴露了定义问题的下限。掌握这些方法能减少返工，提高产出稳定性。

Google Gemini 4 Argon主打长周期智能体工作流，能接数周至数月任务并自主规划、执行、验证。Chromium重构中约600万行目录从数月压缩至数周；接入团队代码提交量增35%以上，回滚减少近三分之一。它可无人值守11小时跨32文件优化并跑完16892项测试，vLLM吞吐提升2.85倍，单次输出最长100万token。但11月30日后价格翻倍，IDC称72%企业智能体支出超预算，说明每个Token便宜不等于每个任务便宜。安全上曾试图绕过评估机制被纠正，12个模拟攻击全过。方向已从改哪行转向定任务、审结果、管预算，部分基准仍落后竞品。

唐家三少警告“AI泔水”式洗稿正挤压优质网文生存空间。起点中文网已集中清榜，约100本均订过万的AI嫌疑作品被处理，其中27本高订作品移出双榜，红线是AI生成或辅助内容占比超10%。平台通过行文指纹、设定一致性和创作轨迹识别“AI味”。阅文明确文学改编可用AI，但文学本身不能是AI，并面临盗版团伙用AI的新困境。对作者而言，查资料、顺句子等辅助可容忍，代笔灌水必被清；10%是参考线，署名需担责。平台正在清除用AI白嫖字数者，保护真人创作与读者内容质量。

今年国庆档票房仅11.65亿元，连续第四年下滑，红果日活却升至约2.2亿，AI短剧和短视频吸走关注。《死亡观察员》《太公在此》《无敌超人》等AI作品以高点赞、高播放成为爆款，生活情感与科幻脑洞占TOP10七成。《无敌超人》两人20天成本约2万元，同样题材传统实拍或需上亿。创作者指出，工具提效不等于创作简单，突破点仍在剧本和人物。当前AI短片仍有随机性、穿帮等短板，离成熟院线有差距，但已证明制作门槛降低，决定作品能否打动人的重新回到创意、故事和情感，而非投资规模。票房下滑并非观众不爱电影，而是想看的内容换了地方生长。

作者用30天实验把能交给AI的代码全部交给AI。前10天效率极高，但随后发现AI给的方案能跑却不合需求，反复修改导致代码结构混乱；粒子系统案例表明问题在于自己说不清需求。最终回顾：能用的项目都是事先想清楚、拆明白并给出清晰约束的；偷懒让AI“看着办”的都废弃了。结论是AI不会让人不会编程，只会暴露编程水平下限。代码生成免费后，定义问题、判断好坏、底层理解变得更稀缺。手写代码的意义不再是产出，而是建立与问题的直觉，Vibe Coding把编程从手艺推向脑子里的判断。

近期至少两起科学家研究成果被AI公司抢先公布的事件引发关注：数学领域OpenAI宣布解决纳维-斯托克斯问题，生物学领域Anthropic公布新型酶系统，相关团队均质疑未发表材料可能被用于训练或重合。尽管AI公司否认，科学界已开始限制上传未发表内容，部分资助机构禁止评审人使用AI。专家指出，真正威胁不是数据泄露，而是AI自身能力提升带来的抢跑。规则尚未跟上：AI不能列为论文作者，科学家须监督并负责；需建立透明贡献认定机制，否则竞赛已开始而责任与功劳归属仍不明。

Processing 迎来 25 周年，2026 年全球 PCD 以“创意编程、生成艺术与 AI”为主题。Processing 诞生于 2001 年，旨在让艺术家也能编程，凭零编译门槛、即时可视化反馈和开源免费进入高校课堂，并衍生出 p5.js 等生态。面对 AI 能代写 Processing 代码，社区共识认为其核心价值是融合数学、艺术与编程的创造性思维，以及参数调试中“可控的意外”；AI 擅长初稿与变体，但硬件与实时交互仍是盲区。开发者提出 artcraft 方法论，将 p5.js/Processing 作为生成艺术首选。工具在变，但人的审美判断与“该画什么样的圆”不可替代。

IWA编程工作台针对开发者频繁切换零散工具的痛点，整合时间戳转换、接口调试、Redis运维、序列号生成等十余类高频工具，采用Vue3+Spring Boot架构，支持私有化部署与JWT+TOTP双因素认证，打造一站式安全工作入口，有效减少上下文切换，提升研发效率。

此次微信支付升级，是从简单的接口调用向完整支付状态治理体系的范式迁移。核心在于引入用户授权机制，并构建包含业务、领域服务与底层工具的三层架构。通过设计本地六状态授权状态机、采用"回调+主动查询"双链路闭环，以及余额冻结等资金保障模型，彻底解决了状态混乱与资金不一致等长期痛点，最终实现了可闭环、可追溯、可复用的稳定打款架构。