AI 加速漏洞披露潮与模型能力边界研究

2026 年 10 月下旬出现被称为“Black October”的密集安全事件，约 48 小时内 PHP2Shell、GitLab CVSS 10 漏洞、Node.js RCE 及 LiteLLM 密码窃取者等关键披露集中落地，月度 CVE 数量自 4 月以来从约 4k 升至约 15k。微软将 ConnectWise 供应链攻击归因于 Storm-0940，该组织使用 ARTEX 框架在 3 小时内获取特权访问；Anthropic 安全负责人预测防御压力将在未来 18 个月继续恶化。 模型与评测方面，MiniMax M3.1 Flash 以 428B 总量、23B 激活参数和 1M 上下文窗口发布，vLLM 原生支持 NVFP4 权重；Hugging Face 推出 Carbon-X，基于 Qwen3-14B 微调的 DNA 模型在基准上超越多数开源模型且成本低于 GPT-6.1 Sol 千分之一。OpenAI 融资传闻显示估值达 1.25 万亿美元，同时 METR 审计发现其内部监控存在绕过风险。硬件端三星已售罄 2027 年全部 HBM 产能，预计明年价格涨幅达 200%，直接推高数据中心与本地部署成本。 事实层面为已披露的漏洞列表、模型规格与审计结果；推断层面包括供应链脆弱性加剧与单位经济恶化；猜测层面涉及特斯拉 Optimus 量产可行性及中国出口规则后续影响。