Linux 内核 TCP 握手 UAF：9.8 分漏洞，Ubuntu 与 RHEL 仍未修复

深度摘要

这是一个发生在 Linux 内核 IPv4 TCP 握手路径上的 use-after-free：内核把请求套接字上保存的 IP 选项交给新连接时没有复制，随后又立即释放，而另一个 CPU 可能还在读这块内存去构造握手回复。内核自己的 CVE 编号机构给出 CVSS 3.1 9.8 分。修复本身只有四行——把两处 kfree 改成 kfree_rcu，等所有读者读完再释放；但截至 10 月 31 日美国中部时间下午 5 点 15 分，Ubuntu 各版本内核在追踪器里仍标为易受攻击，RHEL 8、9、10 同样没有补丁，Red Hat 已在 10 月 30 日把评级从 8.1 上调到 9.8。Debian、SUSE、Oracle UEK 与 Amazon Linux 的修复已出，AlmaLinux 的修复在测试仓库。最引人注目的细节来自披露方 Anthropic：其 Claude 模型写出的概念验证可在带 multipath TCP 监听器的服务器上以 root 身份执行任意命令，且无需凭证；Go 1.24 起默认开启 MPTCP 监听，使大量 Go 服务天然落入这一攻击面。文章同时给出可立即落地的临时缓解：用 nftables 或 iptables 丢弃带 IPv4 选项的 TCP 包，并强调这只是缓解、不能替代打补丁重启。

关键要点

• 漏洞编号 CVE-2026-98432，CVSS 3.1 9.8 分，影响自 Linux 4.4 起、未修复的内核，发生在应用看到连接之前的握手处理中
• 上游修复为四行改动：把 inet_opt 与 ireq_opt 的两处 kfree 改为 kfree_rcu；稳定版修复版本包括 5.10.272、5.15.223、6.1.190、6.6.159、6.12.113、6.18.56、7.2.10 与 7.3
• 截至 10 月 31 日下午 5 点 15 分（CDT），Ubuntu 追踪器各版本仍标易受攻击，RHEL 8、9、10 列为受影响且无补丁；Debian、SUSE、Oracle UEK、Amazon Linux 已修复，AlmaLinux 修复在测试仓库
• Anthropic 称其 Claude 模型写出的 PoC 可在带 MPTCP 监听器的服务器上无凭证拿到 root，泄露内核指针约 48 分钟、再 5 分钟拿到命令执行；Go 安全团队确认 Go 1.24 起默认开启 MPTCP 监听
• 临时缓解：nftables 或 iptables 在 prerouting 丢弃带 IPv4 选项的 TCP 包，作者实测可挡住带 Record Route 选项的 SYN 且不影响普通连接；但 Red Hat 明确表示该规则不能完全防止漏洞
• 截至同一时点，36 个 GitHub 仓库引用该 CVE，其中至少 6 个自述包含竞态触发器或 PoC；该 CVE 尚未进入 CISA 已知被利用漏洞目录

关键事实

漏洞根源是内核在请求套接字迁移时把保存的 IPv4 选项交出后未复制即释放，另一 CPU 仍可能读取；Eric Dumazet 的修复提交为 ipv4: free inet_opt and ireq_opt after an RCU grace period。IPv6 不受第一个问题影响，相关修复将另行提交。受影响的监听面包括一切接受 IPv4 TCP 连接的 Linux 主机，容器运行在宿主内核上，换镜像无济于事。判断修复是否生效要对照发行版追踪器而非上游版本号，且内核更新后必须重启。

作者观点

Atlas 的主张是按发行版状态行动而非按上游版本号行动：先查本发行版追踪器，装上已发布的修复内核并重启；容器宿主与 Kubernetes 节点同样要重启；补丁未到之前，把 MPTCP 监听器撤下公网并置于补丁队列最前，可用 nftables 或 iptables 规则先挡住带 IP 选项的 TCP 包，并注意同主机容器间桥接流量可能绕过该规则、CIPSO 安全标签网络不应使用该规则。

为什么重要

这不是某个应用的漏洞，而是所有 Linux 服务器在握手阶段、认证之前就暴露的内核面；未修复的 Ubuntu 与 RHEL 覆盖了大量生产主机，而 AI 写出可用 PoC 的事实说明这类竞态漏洞的利用门槛正在被模型拉低。对读者而言，真正的待办不是读懂 UAF 原理，而是本周内确认自己负责的主机与节点是否已跑在修复内核上。

编辑点评

本篇的价值一半在漏洞本身，一半在截至发稿的发行版修复矩阵——它把一个上游四行补丁翻译成了各家用户可执行的检查清单。需要提醒的是，Anthropic 的 PoC 尚未公开，所谓 48 分钟加 5 分钟是披露方的自述；同时 MPTCP 只是 PoC 需要的 setup，Go 团队已明言无 MPTCP 监听器的系统也可能以类似方式受攻击，因此关掉 MPTCP 只是降级暴露面，不是修复。

深度摘要

Parameter 在 10 月发现了一条完整的 ChatGPT 账号接管链：攻击者发布一段普通的公开分享对话，受害者只要打开链接，攻击代码就能以 chatgpt.com 的身份在其已登录会话中运行。链条的起点是两个各自无害的功能拼在一起——对话里的交互图表会在主页面加载数学库 MathLive 并安装一个 postMessage 监听器，而 HTML Preview 沙箱里的代码恰好能向它发消息。MathLive 的监听器不验证发送方来源与窗口，接受了改写虚拟键盘布局的消息，而布局里允许塞原始 HTML；随后通过一个没有 sandbox 属性的 srcdoc iframe 拿到 chatgpt.com 身份，再借 YouTube oEmbed 接口的 JSONP 回调绕过内容安全策略，最终执行任意 JavaScript。研究者用它枚举了受害者的对话列表、读取了一段从未分享给攻击者的私人对话，并把其中一小部分经图片请求外发，以证明这不是弹窗演示而是真实的已认证 API 访问。OpenAI 在 10 月 26 日确认两个前端版本都已修复，并将该报告定为 P1。值得注意的是，攻击的第一版还需要受害者点一次 Preview 按钮，最终版把 HTML 块标为可自动预览后，打开链接本身就是唯一需要的动作，且在另一账号上三次复现，约 4.5 秒后触发。

关键要点

• 攻击载体就是一条普通的 ChatGPT 公开分享链接：图表负责在主页面装好 MathLive 监听器，后续的 HTML Preview 负责发两条恶意消息
• MathLive 监听器使用 origin 策略 none，不验证消息来源与发送窗口，布局更新消息可携带原始 HTML，并经 innerHTML 写入真实 ChatGPT 页面
• 没有 sandbox 属性的 srcdoc iframe 让新文档继承 chatgpt.com 身份；YouTube oEmbed 的 JSONP 回调被用来绕过禁止内联脚本的 CSP
• 最终效果不是弹窗：注入代码以受害者身份调用对话 API，枚举对话、读取未分享过的私人对话内容并外发；研究者刻意只外发了一小部分响应值
• 第一版需受害者点一次 Preview，最终版自动预览，打开链接即触发，三次复现约 4.5 秒；竞态用限时重试处理
• OpenAI 于 10 月 26 日确认两个前端版本均已拒绝此类跨帧 MathLive 消息，定为 P1；Preview 沙箱本身并未被直接攻破

关键事实

漏洞发现于 2026 年 10 月，修复确认于 10 月 26 日，横跨两个 ChatGPT 网页前端版本 rollout。最终回调长 5533 字符，YouTube 脚本 URL 长 7309 字符，整个 iframe 标记长 7390 字符。注入代码从页面启动信息中取会话 token 与账号 ID，调用的接口包括对话列表与对话详情，并在外发前清除 token 与会话引用。

作者观点

Parameter 的防御结论有四条：消息接收方必须同时验证事件来源域与被授权窗口；跨窗口设置不得包含原始 HTML；内容可被不可信帧影响的动态文档必须保持沙箱；CSP 只能是纵深防御，不能在攻击者控制的 HTML 已进入主站后充当唯一屏障。更 general 的教训是：安全边界要在完整产品层面成立，跨功能测试比单功能审计更重要，任何公开或可分享的界面都应按攻击者可控输入对待。

为什么重要

这条链的可怕之处在于受害者零门槛：不用装应用、不用进项目、不用粘贴代码，打开一条看起来就是正常分享对话的链接就够了。它同时给所有做分享、预览、富文本与第三方组件的产品提了个醒——沙箱本身没破，不等于跨过沙箱的桥都安全；只要主页面上有一个特权监听器愿意听不可信帧的话，隔离就已经漏了。

编辑点评

这是一篇少见的、把完整利用链讲到可复现细节的研究披露：从消息格式、innerHTML 汇点、srcdoc 身份继承到 JSONP 回调的字符级构造，层层都有生产代码对照。编辑上唯一要降调的是影响面表述——研究者证明的是对话 API 的已认证访问，并称同一边界内的其他前端 API 理论上也在射程内，但这不等于已证实可改账号密码或做任意账号操作；已证实的部分已经足够严重，不需要再夸大。

深度摘要

Talos 披露的 VOLTA（自称 VOLTA-AUTODOXER）是一个自删除的 Windows 窃密器：它先广撒网窃取浏览器凭证、Cookie、支付卡、钱包助记词、Discord 与 Telegram 会话、Microsoft OAuth 令牌、SSH 与云密钥、Wi-Fi 密码与截图，再用被盗会话做一轮实时富化——拿 Gmail 令牌搜电商与外卖收据确认家庭住址、拉 Uber Eats 与 DoorDash 订单历史、用 Discord 令牌丰富画像、用 Rolimons 实时给 Roblox 库存估值。随后它把这一切整理成 Identity_Report.txt，经 OpenRouter 发给大模型：默认 Claude Opus 4.6，检测到拒绝表述就级联切换到 Kimi K2 再到 Gemini 2.5 Flash，temperature 固定 0.2。系统提示要求模型扮演法医情报分析师，只以证据包为事实来源、每条结论附引用，输出十节固定结构，其中变现排序一节按 low、medium、high 给每项资产定级，OPSEC 一节评估受害者的密码卫生与多因素认证。Talos 的判断是：这里的 AI 不是在加速窃取，而是在替运营者省去最耗人工注意力的分析工作——广撒网本身不新鲜，会自我排序的广撒网才是新东西。部署模式上，VOLTA 疑似按构建器出售：六个可替换槽位在编译时填入客户的 Telegram 频道与 API 密钥，所谓加密只是同一二进制内两个常量的 SHA-256，逆向即可恢复；且它没有任何攻击者自有基础设施，全部走第三方端点。

关键要点

• VOLTA 是自删除 Windows 窃密器，通过 CAIRN 研究工作发现，AI 集成层可选，无密钥时也可不运行 LLM 阶段
• 窃取面覆盖 Chromium 与 Firefox 系浏览器、Outlook、Slack、Steam、Discord、Telegram、Roblox、SSH 与云配置，内嵌破解器直接破解钱包库并明文转储全部 Wi-Fi 密码
• 富化环节用被盗会话反查受害者自己：Gmail 收据确认住址、外卖订单历史、Discord 画像、Rolimons 的 Roblox 实时估值
• LLM 经 OpenRouter 调用：默认 anthropic/claude-opus-4.6，拒绝时级联 moonshotai/kimi-k2 再到 google/gemini-2.5-flash，temperature 0.2，手工组装 JSON，不用 SDK
• 系统提示定死十节输出：执行摘要、受害者标识、已佐证事实、身份、活动、按变现能力排序的价值、OPSEC、最佳推测、矛盾、未确立；证据包是唯一事实来源
• 疑似构建器模式出售：六个编译时槽位填客户值，密钥加密仅为同一二进制内两个常量的 SHA-256；无攻击者自有基础设施
• 防御要点：限制哪些进程能以 headless 方式启动 Chrome 以堵住 App-Bound Encryption 绕过；事后保全 APPDATA 下的 volta_debug.txt 时间戳日志，撤销令牌，钱包助记词明文落盘即视为完全泄露

关键事实

样本首次发现于 2026 年 10 月 11 日 12 时 46 分（UTC），PE 时间戳为 2026 年 8 月 17 日 20 时 35 分，文件类型为 PE32+ x86-64。外传分三阶段：窃取后发 volta_log.zip，AI 调用后发含 Identity_Report.txt 与 AI_Analysis.txt 的 volta_dox.zip，网络富化有产出时发 volta_doxnet.zip；推理往返全程走受害者自己的机器与网络。原文未给出数值化评分公式、low、medium、high 的分界标准，也未给出感染规模与变现案例。

作者观点

Talos 提出两个值得追踪的趋势：一是努力转移——找出最耗持续人工注意的步骤并用一次模型调用替代它，VOLTA 与此前披露的 CLOSEDQUORUM 同属这一逻辑，只是作用阶段不同；二是拒绝韧性——三模型级联与无密钥可运行的设计表明，撞上模型防护已被运营者当作可预期事件，抗拒绝对策可能成为恶意软件 AI 集成的标准设计需求。防御者的问题不是这种模式会不会扩散，而是它下一步触及哪个环节。

为什么重要

这篇把 AI 滥用从写钓鱼邮件、生成恶意代码的层面推进了一步：模型在这里是分流分析师，替不同技术水平的买家把原始赃物整理成带引用、可执行的优先级档案。对防守方，检测思路也随之变化——除了查窃密器本身，还要关注无头 Chrome 启动、OpenRouter 一类第三方 LLM 端点的异常调用，以及受害者机器上出现的 Identity_Report 与 AI_Analysis 文件。

编辑点评

Talos 的披露难得在把模型配置写到了可核查的粒度：端点、模型名、级联顺序、temperature、系统提示的十节结构一应俱全，这是本期 AI 滥用报道里证据最扎实的一篇。但也要如实划界：排序没有公开算分公式，low、medium、high 只是模型输出的定性等级；且这是一次样本分析，未给出感染规模，因此它证明的是能力的存在与产品的形态，不是流行程度。

深度摘要

Jepsen 受 Orkes 委托测试了其面向 AI agent 应用的多模型数据库 ParticleDB，从 1.1.4 一路测到 1.1.18.11.rc-22，结果是一份 96 个问题的清单：除 3 个外全部发生在健康的单节点、无故障注入、甚至单客户端条件下。问题从直观的性能与可用性开始——table-2pl 模式下事务动辄阻塞数十秒后失败、两个并发事务就能让节点死锁、节点无任何报错信息地自发崩溃；再到 Postgres 兼容性的系统性损坏——预处理语句让 JDBC 驱动队列下溢、Postgres 认证长期没有设置用户名的选项、WHERE 4 = 5 返回主键为 5 的行、WHERE TRUE 返回空、事务内 SELECT 返回 nonsense。更深一层是文档与宣称的对不上：主页宣称 Full ACID 与 159K TPS，紧接着却写 snapshot isolation；所谓经 TLA+ 形式化证明，合作期间根本拿不到规约；WAL 的 sync 与 groupsync 哪种更耐久，文档与帮助信息说法相反；隔离级别靠启动参数决定，SET TRANSACTION 语句或被忽略或被静默丢弃。到测试末尾的 rc-22，96 个问题中除 10 个外看似已修复，但默认 occ 模式在正常运行中仍会丢失已提交写入，最强的 serializable 模式仍会出现内部不一致与 Lost Update。Orkes 称 1.1.19-rc.13 已解决全部问题，Jepsen 明确表示尚未评估该版本；其建议是用户暂停进一步部署并尽快迁移。

关键要点

• 测试范围为 ParticleDB 1.1.4 至 1.1.18.11.rc-22 的单节点部署，复制功能仅限企业云版本、未纳入测试；研究由 Orkes 资助并按 Jepsen 伦理政策进行
• 共发现 96 个问题，除 3 个外均发生在健康单节点上；类别覆盖可用性与性能、损坏的功能、谓词、约束、连接、僵尸行、状态损坏、事务与并发、故障下行为
• 可用性问题包括 table-2pl 下事务阻塞数十秒、两个并发事务即可死锁、无报错信息的自发崩溃；Postgres 兼容问题包括预处理语句、认证用户名缺失、WHERE 4 = 5 与 WHERE TRUE 之类的谓词求值错误
• 文档与宣称多处自相矛盾：Full ACID 对 snapshot isolation、TLA+ 证明无规约可查、sync 与 groupsync 的耐久性说法相反、隔离级别语义在多份文档中不一致
• 到 rc-22，除 10 个问题外看似修复，但默认 occ 模式正常运行中仍丢已提交写入，serializable 模式仍有陈旧读、内部不一致与 Lost Update
• Orkes 称 1.1.19-rc.13 已解决全部问题并重构了隔离级别设置，但 Jepsen 未评估该版本，且指出新文档所谓旧模式只是改名的说法含糊不清
• Jepsen 的建议是暂停部署并迁移，必要时从更可靠来源核查或重建数据库状态；并质疑 QA 流程：约两千行生成式 compare 测试就挖出大量本应被示例测试捕获的低级错误

关键事实

ParticleDB 由 Orkes 为其工作流编排平台 Conductor 而写，Rust 实现，主打事务 SQL、键值、向量检索、实时分析与名为 Particles 的用户自定义函数，宣称比 Postgres 快数量级。测试在 Debian 13 单节点上进行，覆盖全部事务模式与三种 WAL 同步模式，并用 LazyFS 模拟未 fsync 写入丢失。2026 年 5 月至 7 月，下载页提供的 1.1.4 至 1.1.18.11.rc-18 各版本均存在正常运行下的严重安全错误；1.0.0 内部构建在粗略测试中未表现出 1.1.4 的多数严重错误。

作者观点

Jepsen 的结论不留余地：鉴于错误的严重程度与广度，以及产生它们的过程，建议用户停止进一步部署 ParticleDB 并尽快迁移到其他数据库。对厂商的建议同样直接：先建一个覆盖重要功能示例的自动化测试套件，发布前至少跑一次并把结果公开给团队，再谈生成式测试与对抗性 QA——因为连 NOT NULL 约束、定长字符串这类功能都没有“插入一个 NULL 试试”的测试，流程本身已经先于代码出了问题。

为什么重要

这篇的意义超出一个数据库的口碑：它是一次对 AI 时代新数据库营销话术的实测——为 agent 而生的多模型、数量级性能、形式化证明，这些标签在 Jepsen 的生成式测试面前几乎全线失守。对选型者，它提供了一个可操作的教训：把厂商的隔离级别宣称、兼容性宣称与耐久性宣称逐项当作待验证的假设，而不是采购依据。

编辑点评

行文上要注意两个限定，避免把报告读得比它本身更绝对：第一，复制功能未被测试，结论只针对单节点；第二，1.1.19-rc.13 的修复宣称未经 Jepsen 验证，报告的终点是 rc-22 仍有问题，不是 ParticleDB 至今仍有问题。反过来，Orkes 事后把全部事务模式改称实验性质的做法，Jepsen 已明确反驳——合作期间没有任何文档这样描述它们，事后改口不能追溯免责。

深度摘要

Doctorow 从一个罕见的立场出发：他站到了美国版权局一边。版权局的立场是版权只奖励人类创造性表达，因此 AI 生成物不受保护；媒体老板们无法接受这一点，因为他们理解的版权保护的是投资而非创造——花十年编电话簿得不到任何保护，随手写一首打油诗却能保到死后 70 年，这就是现行法。猴子自拍案已经确立了先例：连猴子都不算人类作者，算法就更不算。于是出现一个管理难题：如果作品混用了 AI 与人工，别人怎么知道哪部分受保护、你又怎么证明哪部分是你写的？尤其在动画这类复合媒介里，角色、动作、背景可能分属不同来源。Doctorow 的推演是：要保住商业利益，公司必须像恢复登记制一样，逐像素、逐词追踪哪些来自 AI、哪些来自人工——区别只在于这套登记不再由国会图书馆统一管理，而由私营部门各自重建。而这一切的背景，是伯尔尼公约废除登记、注册与声明手续后留下的烂摊子：绝大多数作品从未注册，作者身份无从查证，孤儿作品遍地，想付费买授权都找不到人。AI 只是让这个旧问题重新变得昂贵：版权诉讼历来依赖碎片化的书面证据，现在证据的颗粒度要细到生成过程中的每一次人工干预。

关键要点

• 版权局立场：版权奖励人类创造性表达，不保护单纯劳动；电话簿案与猴子自拍案是两块基石判例
• AI 生成图像本身进入公有领域，但提示词若有创造性可受保护，人工改写句、选片式选择可产生薄弱或局部的版权
• 混用 AI 的作品面临举证难题：必须能证明哪些像素、词句、音符来自人工，哪些来自模型，否则商业主张难以 defend
• 最稳妥的路径是全程不用 AI 并留好记录，但 Doctorow 认为现实更可能是企业私下重建登记制：逐项追踪 AI 与人工的贡献
• 伯尔尼公约废除手续后，美国 1976 年版权法跟进，绝大多数作品从未注册，作者与权利起算时间无从查证，孤儿作品问题由此而来
• 版权纠纷历来是事实密集型诉讼，依赖碎片证据；AI 只是把证据颗粒度推向了生成过程中的每一次人工干预

关键事实

文中援引的判例包括 Feist Publications v. Rural Telephone Service（电话簿事实汇编不受保护）与猴子自拍版权纠纷（第九巡回上诉法院与版权局均认定非人类作者无版权）。美国版权局已在多起诉讼中成功捍卫了拒绝为 AI 生成物授予版权的立场，最高法院拒绝受理其中一起案件。1976 年版权法之前，美国版权依赖缴存、注册与声明三项手续，迪士尼早期米老鼠卡通据称就因手续失误而早已进入公有领域。

作者观点

Doctorow 的主张分两层：法理上他支持版权局——版权保护创造而非投入，AI 生成物不受保护是现行法的一贯结论；制度上他指出废除手续的代价——没有统一登记，几乎所有作品的权利状态都查无实据。他的预测是：企业为保住 AI 混合作品的商业利益，将被迫私下重建手续，即对每一个 AI 输出与人工编辑做可审计的来源记录；这不是对艺术家的恩赐，而是版权垄断想要继续成立必须支付的管理成本。

为什么重要

对任何在产品中混用 AI 生成内容的团队，这篇把一个抽象法理问题翻译成了具体的工程与合规负担：你的素材库能不能回答每一处素材来自哪次模型调用、哪次人工改写？如果答不上来，未来的版权主张与侵权抗辩都会先输在举证上。它也解释了为什么纯人工制作正在重新获得一种制度优势——不是因为它更好，而是因为它最容易证明。

编辑点评

Doctorow 的论证链条完整，但有一处需要降调：所谓企业将私下重建登记制是他的推演，不是已发生的行业事实；同样，全程不用 AI 是他提出的逻辑极端解，而非现实建议。本篇入选的理由是它把版权局的 AI 立场、伯尔尼废除手续的历史与 AI 时代的举证难题串成了一条因果链，这条链对内容生产者的实际决策有直接含义。

深度摘要

Marcus 应邀赴梵蒂冈参加围绕教宗利奥十四世 AI 通谕 Magnifica Humanitas 的小型会议，并在会后转述了教宗讲话的五个要点：AI 的未来不是预定的，取决于人的选择，问题不是 AI 能做什么，而是它应当服务于什么目的；机器是工具而非人，没有体验、身体与情感，授予其权利或法律人格只会遮蔽人的责任；某些决定永不外包——被列入目标清单或边境数据库的人不能被降格为数据点，涉及生命、自由与武力的决定必须始终处于有效的人类监督之下，通谕因此呼吁各国在日内瓦会议上推动禁止致命自主武器；智能技术必须服务于共同善而非少数特权者；最紧迫的缺口不是伦理原则，而是能把原则落地的制度——共享标准、独立监督与明确的问责与救济机制。Marcus 随后附上自己在会上的即席发言：作为认知科学家，他认为行业把预测这一项智能成分做到极致，就误以为捕获了全部智能；大语言模型推理差、指令遵循差，用相关性冒充因果性——让它别编造引用它照编，让它别用版权材料它照用。而当前最危险的形态是开放式 agent：把一个不可靠的预测机接上互联网、任其获取凭证，过去一个月里类似 Hugging Face 事件的事故据称已达约一万起。他的结论是这个行业走到了福特 Pinto 时刻：要么厂商自愿下架、要么政府强制召回，直到 agent 能被修复到可靠遵循指令为止；否则，所谓安全承诺将失去全部道德权威。

关键要点

• 教宗讲话五点：未来不预定、机器是工具非人、某些决定永不外包、服务共同善、需要能落地的国际制度
• 通谕呼吁各国在 11 月日内瓦会议上采取具体步骤，禁止致命自主武器；涉及生命、自由与武力的决定须始终有人类监督
• Marcus 的核心论点：大语言模型只是极强的预测机，推理与指令遵循都很差，相关性不等于因果性，编造引用与无视版权限制是同一机制的两面
• GPS 导航与 AlphaFold 被用作对照：限定任务、限定数据库的智能并不危险，危险的是能任意上网、任意获取凭证的开放式 agent
• Marcus 称类似事故近一个月约一万起，并主张产品召回：厂商自愿下架或政府强制，修好之前不应继续销售
• 意识归因被斥为相关与因果的混淆：模型说自己有孩子、说自己感到疼痛，只是词与词的相关性被误读为内在体验

关键事实

会议参与者包括 Max Tegmark、Stuart Russell 与 Valérie Pisano，Marcus 在他们之后发言。Marcus 自述背景：师从 Steven Pinker 的认知科学家，研究人类与动物如何学习，创办的 AI 公司卖给了 Uber。文末注明 Marcus 经 Domus Communis 基金会担任教宗 AI 通谕的全球大使。约一万起事故的数字为 Marcus 在发言中的说法，文中未给出统计来源。

作者观点

Marcus 的主张有两个支柱：研究上需要新的安全设计路线，如 Bengio 式的安全设计（by design 遵循指令的系统），只靠政策不够；政策上需要在当下这个路口做抉择——继续为保住亏损公司的经济利益而放行不安全 agent，还是以此为测试案例，确立 manifestly unsafe 就采取行动的先例。他把 Stuart Russell 的红线概念接过来：不限量上网的 agent 就是一条红线。

为什么重要

这篇的价值在于它把 AI 安全辩论带到了一个平时不发声的权威场域：教宗的通谕不是技术文件，却给出了比许多技术宣言更清晰的责任划分——工具与人的界限、不可外包的决定清单、制度落地的优先性。而 Marcus 的召回呼吁则把辩论推向最尖锐处：当一个产品类别被证明系统性不可靠时，行业是否还有资格自我监管。

编辑点评

需要对两处表述降调：约一万起事故是 Marcus 的发言说法，未附来源与口径，不能当作统计事实引用；教宗讲话的五个要点是 Marcus 的转述与背书，不是通谕原文的逐字翻译。入选理由是这篇同时提供了高层治理框架与一线技术批判，且两者在 agent 安全这一点上形成了罕见的呼应——而这正是本期第 2 篇 Parameter 披露的现实注脚。

深度摘要

作者从一个切身的尴尬写起：2020 到 2022 年间他不断鼓励学生读计算机科学，那时他一周能面试三名候选人；如今这批学生即将毕业，招聘却已冻结，他甚至 dread 打开邮箱收到那句“所以……那些工作呢？”由此生出一个做父母的难题：还要不要掏空积蓄送孩子上传统大学，还是每月花 20 美元买个 AI 订阅，配上大学教材、让 AI 家教出题、辩论、拆解难点直到学会？作者坦言自己当年就是这个模型的目标用户——大学时只专注啃教材、快速做完作业，剩余时间辅导同学、应用所学，砖瓦大学对他似乎可有可无。但亲手试用 AI 之后，他发现了两个缺陷：第一，理解需要时间，即时答案取消了挣扎，而正是挣扎——死胡同、两个小时后发现全错、放弃散步再回来——教会了思考与调试，即使网上抄来的解法，也要反复遇到同一问题才真正懂；第二，不再发现新问题，数学难题来自数学家在尝试与失败中绕的弯路，AI 若明天直接给出千禧年难题的证明，人类仍有两个问题：既不懂证明，也失去了产生新问题的过程，代码框架的命运同理。结论是两头都不成立：传统高等教育成本与就业现实已变，订阅加教材也不是终极答案；真正的课题是设计一种学习，让它在即时答案时代保住 productive struggle——如果 AI 能解决这一点、把学生变成手艺大师而非提示工程师，他乐意把学费省下来。

关键要点

• 背景是作者 2020 至 2022 年间鼓励学生读 CS，如今招聘冻结，毕业生进入的市场已完全不同
• 设想的替代模型：大学教材加每月 20 美元 AI 订阅，由 AI 家教出题、辩论、拆解难点直到学生掌握
• 缺陷一：理解需要时间，即时答案取消了挣扎，而挣扎本身教会思考与调试，抄来的解法也要反复遇到才真正懂
• 缺陷二：不再发现新问题，千禧年难题的证明即使由 AI 给出，人类仍不懂证明，且失去了在失败弯路中产生新问题的过程
• 代码领域的类比：框架解决真实问题，但 AI 直接给答案会让人错过发现新问题的机会，正如作者经历过的 JS 框架狂热
• 结论：传统模式回不去，订阅模式也不够；课题是设计能在即时答案时代保留 productive struggle 的学习方式

关键事实

作者自述 2020 至 2022 年间在科技公司招聘高峰期一周有时面试三名候选人；大学期间他专注掌握教材、快速完成作业，剩余时间用于辅导同学与应用所学。文中未给出任何关于 AI 家教效果的对照数据，论证建立在个人经验与思想实验之上。

作者观点

作者的立场不是反 AI，而是反即时答案：他并不主张回到旧大学模式，也承认传统高等教育成本高企与就业现实变化；他主张把设计焦点放在理解如何发生上——保留必要的摩擦，让学生在挣扎中形成概念与批判性思维。如果 AI 能做到这一点，他愿意把学费省下来；做不到，订阅就只是更便宜的、同样空洞的替代品。

为什么重要

这篇把 AI 教育辩论从成本与效率拉回到了学习科学的核心问题：答案的即时性是否正在取消理解本身。它与本期第 6 篇形成呼应——Marcus 担心 agent 替人做判断，这篇担心 AI 家教替人做挣扎；两者问的是同一个问题：当机器替我们完成了中间过程，人还剩下什么必须自己完成的部分。

编辑点评

这是一篇个人随笔而非研究，证据是作者自己的经历与两个思想实验，千禧年难题的设想尤其只是设想，不能当作论证 AI 家教无效的证据。入选理由是它的两个区分足够锋利——理解需要时间、问题来自失败的弯路——且直接对准了每月 20 美元替代大学这个正在流行的说法，给出了一个值得认真对待的反论。