Meta 被判罚 250 亿美元；PHP 爆 Heartbleed 级漏洞，全球连夜打补丁｜科技快讯
一分钟速览
- Meta 罚款：因剑桥分析丑闻被新墨西哥州判罚 250 亿美元，Meta 称将上诉
- PHP2Shell：两个 9.2 分漏洞波及近十年所有 PHP 版本，全球紧急打补丁
- OpenAI 上架谷歌云：GPT-6 等模型进 Model Garden，三大云凑齐
- Claude Duet：Anthropic 主动式智能体开测，对标 Dots 和 Muse
- BioWare 关闭：EA 裁员 400 人，下一部《质量效应》开发终止
- 特斯拉 Q3：Optimus 开始量产，净利润却跌了 43%
- LiteLLM 投毒：PyPI 安装包藏窃密后门，源码仓库却干干净净
Meta 被判罚 250 亿美元：剑桥分析丑闻的账，按次数算
美国新墨西哥州法院裁定 Meta 支付 250 亿美元民事罚款——陪审团 9 月认定，这家公司就用户数据隐私和内容审核向公众作出误导性陈述，违反州《不公平行为法》超过 4300 万次，按每次最高 5000 美元累计，理论上限约 2195 亿美元，法官最终下调到 250 亿并计 15% 年息。案子源于 2018 年曝光的剑桥分析数据丑闻，法官认定误导行为是故意的、从 2010 年持续到 2021 年，扎克伯格等高层的内部沟通「意在误导公众」。Meta 表示不同意裁决，将上诉。
小源说：罚金按次数累积，等于给「隐私承诺」标了价——一次虚假陈述 5000 美元，说上 4390 万次就是天文数字。这案子大概率上诉拉锯多年，但「用户数据从没卖过」这类话术，以后厂商说之前得先掂量掂量。
PHP 爆出 Heartbleed 级漏洞，全球紧急打补丁
PHP 官方发布紧急安全更新，修复两个 CVSS 9.2 分的远程代码执行漏洞，代号 PHP2Shell：问题出在 PHP 引擎的内存管理，从 5.4 起近十年的所有版本都中招；跑在 Apache mod_php 上的网站，攻击者一条未认证请求就能在应用代码运行前拿下服务器，或直接读出内存里的密码、密钥和证书。漏洞由 Wiz 与 OpenAI「Patch the Planet」计划各自独立发现——后者是用 GPT-5.6 Sol 审计源码找到的。细节提前泄露后攻击流量已经出现，芬兰政府、任天堂等一度主动关站。同一天，Node.js 和 GitLab 也发布了各自的高危安全更新。
小源说：PHP 撑着全球约七成网站，WordPress 装机量最大，所以这不是「开发者才要管的事」——你常去的论坛、官网后台可能都跑在上面。管网站的朋友今天只有一件事：升级到 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35 任意一支。
OpenAI 模型上架谷歌云：三大云凑齐了
OpenAI 官宣与谷歌云合作：GPT-6 Astra 等前沿模型和编程智能体 Codex 将接入谷歌云 Model Garden，几周内正式可用。企业客户通过谷歌云市场购买，费用直接走谷歌云账单、可抵扣已有的云服务采购额度；模型还会进入谷歌自家的 Antigravity 和 Gemini Agent。至此 OpenAI 的模型分销覆盖全球三大云厂商——微软仍是主要云伙伴，AWS 今年 4 月已开托管，谷歌是第三家，而两边在搜索和 AI 助手上还在正面竞争。
小源说：云厂商的「模型广场」正在变成 AI 时代的应用商店——模型是货架上的商品，账单并进云合同。对谷歌来说，把最大竞品摆上自家货架收过路费，比让客户绕开自己划算得多。
Anthropic 发布 Claude Duet：会主动找你的 AI 助手
Anthropic 推出常驻式 AI 助手 Claude Duet 研究预览版：它连接你的邮件、日历和应用，每天早上主动送一份待办简报，白天持续盯进度，只在需要你拍板时开口；任务跑在云端虚拟机里，关掉应用也在继续，成品以文件形式交付。发消息、付款、签文件、删内容前都会先征求同意，信用卡号、证件号等最高敏感信息直接拦截。目前面向美国 Pro 和 Max 订阅用户候补开放，由 Opus 5.5 驱动，不额外收费但占用套餐额度。
小源说：这是第三家把「主动式智能体」摆上台面的——OpenAI 的 Dots、Meta 的 Muse、Anthropic 的 Duet，产品形态几乎一模一样：清晨简报加后台代劳。共识已经形成，接下来比的是谁先让用户敢把账号真正交出去。
EA 关闭 BioWare：31 年 RPG 名门落幕
EA 宣布关闭旗下拥有 31 年历史的 BioWare，《博德之门》《星球大战：旧共和国》《质量效应》《龙腾世纪》都出自这里，下一部《质量效应》的早期开发同步终止。伴随关闭，EA 裁员约 400 人、占员工总数 3%，还取消了《模拟人生》的一款新作。关闭发生在 EA 完成 550 亿美元私有化收购不到三个月后——接盘方背上了约 180 亿美元债务，而 BioWare 最近的《龙腾世纪》新作销量不及预期。
小源说：私有化后的还债压力，最先砸向的就是「慢工出细活」的单机 RPG——导火索是销量，真正的账本逻辑是现金流。传奇工作室又少一个，靠长线叙事吃饭的团队都得重新掂量自己的位置。
特斯拉 Optimus 开始量产，利润却跌了 43%
特斯拉在三季度股东信里确认：Optimus 人形机器人已在加州 Fremont 工厂投产，产线用的是原来的电动车产能，首批商用级机器人已经下线；马斯克在电话会上说产能爬坡会很慢、很颠簸，目标 2027 年底达到周产 2 万台。财报的另一面是：三季度营收 280.4 亿美元基本持平，净利润 7.87 亿美元、同比下滑 43%——AI、机器人和自动驾驶的开支把利润吃掉了。
小源说：「周产 2 万」只是马斯克给的远期说法，眼下连第一台商用级都刚下线。机器人故事讲得越满，财报里那 43% 的利润缺口越提醒你：这仍是家以卖车为主的公司。
LiteLLM 被投毒：源码干净，安装包有毒
Python 生态常用的 AI 网关库 LiteLLM，其 1.107.0 版本在 PyPI 上被投毒：全部 7 个平台的安装包都被人塞进窃密代码——装上之后，哪怕你的程序从不 import litellm，只要 Python 一启动就会自动运行，偷走 SSH 私钥、云凭据、CI/CD 密钥、浏览器密码和各家大模型的 API Key 并外传；另一个后门每小时连一次远程服务器，可下载执行任意代码。源码仓库和 Git 标签里都没有恶意文件，说明是构建发布环节被动手脚。PyPI 已下架该版本。
小源说：这次最阴的一点是源码干净、wheel 有毒——只审 Git 仓库根本看不出来。用 LiteLLM 的记得核对版本：1.107.0 立即卸掉换回 1.106.2，装过的机器，密钥全换一遍。
看完了？点个「赞」让我知道；还没关注的，点个关注就是最大的支持。