AI Agents Are Now Hacking Half the Internet

PHP-2-Shell 漏洞让全球约 70% 网站可被远程接管，Cloudflare 两小时内记录到数十万次利用尝试，NSA 建议未修补系统直接下线。

同一天 Anthropic 发布个人 Agent Claude Duet，本该是头条，却被一个 PHP 漏洞抢走——它被比作 2014 年的 Heartbleed，而且是 AI 先找到、攻击者随后蜂拥而至。这期把"AI 对 AI 的攻防战"从口号变成了具体的时间线和数字。

Claude Duet 的功能不算新鲜，真正让社区兴奋的是它跑在 Opus 5.5 上。

• Duet 主打"主动"：每天早上推一份跨应用简报，白天只在有事需要你处理时才发消息；能接的活从排会议到搭仪表盘、做财务预测、开发网页应用原型。
• 安全上设了硬闸：付款、删文件这类大动作必须先拿到明确许可，另有一套分类器和安全提示词逐条检查消息、防敏感信息外泄；目前只能排队试用，Anthropic 自己承认早期版本会读错对话线程、误判紧急程度。
• 巨头人手一个个人 Agent：Meta Muse、OpenAI dots、Anthropic Duet，除 Google 外每家都有了，竞争正从"谁模型最聪明"转向"谁占住用户的长期关系"。

在摩根大通、美国银行明确拒绝 Agent 代操作时，沃尔玛选择开放，还附了一份可能成为行业模板的条款。

• 底气来自数据：用沃尔玛自研购物 Agent Sparky 的顾客，订单金额比普通线上用户高 40%。
• 下月起可绑定 Agent 账户并设消费上限，逻辑类似给小孩开的附属账户；默认每笔购买都要本人批准，Agent 不得越权操作、不得改支付方式，违规者封禁。
• Meta 财报透露：1/4 的 Muse 活跃用户在用 Agent 购物，平均客单价 200 美元，Zuckerberg 称 Plaid 说没见过哪个服务带来这样的连接器活跃度。

漏洞叫 PHP-2-Shell，不用登录就能接管服务器并远程执行任意代码，连跑最新版 PHP 的站点也中招。

• 由 GPT-5.6 Soul 在大约两个月前发现，OpenAI 随后与 PHP 维护方、Wiz、Cloudflare 一起准备补丁；PHP 维护方工程师称这是该语言十多年来最严重的安全问题。
• 补丁本身就是说明书：一发布等于公开攻击方法，所以只能提前通知、让大家在披露瞬间同步升级——NSA 发公告建议未修补的系统直接下线，FBI 网络部门要求上报入侵。
• Cloudflare CEO Matthew Prince 的曲线：披露前 10 小时数千次尝试，披露后 45 分钟数万次，两小时数十万次，之后到数百万次；4chan 转为只读、Something Awful 关停论坛，托管服务 Railway 同日被攻破，部分 API key 和数据库凭证被解密，官方要求全员轮换密钥。

"防守方是有治理的 Agent 编队，进攻方是便宜又不知疲倦的 Agent 群——谁协调得更快，谁赢。"

• 如果你在维护任何对外服务，把"补丁发布即攻击开始"当成默认假设：提前准备好一键轮换密钥和批量升级的脚本，而不是等公告出来再开会。
• 做 Agent 产品时，沃尔玛那份条款值得抄：默认逐笔人工确认、禁止修改支付方式、越权即封禁——这三条很可能成为 Agent 代操作的行业底线。