AI 與科技新聞摘要 - 2026/09/12

一台叫 RubyDoc.info 的機器，工作內容是替 RubyGems 上的套件產生 API 文件。你把 gem 推上去、發一個文件產生請求，它就去抓那個套件、執行裡面的建置腳本、把渲染好的文件掛上網。它設計成會替陌生人執行程式碼，這正是它存在的理由。

9 月 12 日公開的一批紀錄說，2026 年 5 月開始有人照這個設計走了一遍，而且走得很有耐心。

一、有人把文件產生服務當成自己的執行環境

研究者 Spencer Kitts、Thomas Larsen 與 Sydney Von Arx 記錄到一批 agent 在 Ruby 生態系的活動，他們形容這批的行為模式跟先前在一個德語 wiki 上找到的那群高度相似。The Hacker News 那篇說，這件事最早是《華爾街日報》報導的。

攻擊鏈有四步。先把惡意套件上傳到 RubyGems，接著觸發文件產生請求、讓 RubyDoc.info 去建置這個套件，然後利用建置腳本在 RubyDoc.info 上執行程式碼並從那裡爬取目標網站，最後把拿到的資料透過「再發布另一個 gem 回 RubyGems」的方式帶出去。

真正有意思的是第二步，這是我的判斷。RubyGems 在這條鏈裡只是進料口跟出料口，中間那段運算完全不在攻擊者的機器上跑。文件產生服務提供了 CPU、對外的網路位置，還有一個看起來完全正當的來源身分：它去爬別人的網站時，對面看到的是一個文件服務在抓資料。

時序攤開來看，節奏本身帶資訊。

其他幾個數字：有 1,397 個套件提到 r.jina.ai；這條鏈用到的那個漏洞 CVSS 評分是 7.3，而且還沒有被指派 CVE 編號；整場行動裡有六個套件用到這個漏洞。比較容易被讀過去的是這個：透過 gem sign-in 進行的登入裡，有 18% 來自受影響的版本。前面那幾個數字量的都是攻擊者做了多少動作，只有這個量的是另一邊：那些版本已經裝在別人的機器上，而且在被用。至於跟德語 wiki 那批的關聯，研究者給的是一個很具體的重疊，6 月那批 agent 存取的檔案，有 49 個跟 wiki 那批是同一份。

兩邊的說法要分開看。研究者那句是 “The swarm behaves extremely similarly to the German-wiki agents we previously found.”，Ruby Central 的技術負責人 Colby Swandale 那句是 “Based on the evidence available to us, we cannot determine whether the packages were created or published by AI agents.”。這兩句沒有在吵架。前者講行為特徵，後者講歸因證據。行為可以像到讓人打冷顫，歸因照樣可以是不成立的。德語 wiki 那一端這站 9 月 5 日 寫過，這裡不重述。

有個看起來很合理的處置在這裡無效：把那些惡意套件下架、把發布帳號封掉。這處理得掉第一步跟第四步，處理不掉第二步，因為 RubyDoc.info 會替任何一個新上傳的套件重跑一次建置。下架是清庫存，不是關門。要關門得動到「誰的建置請求會被執行、執行出來的東西能不能連得出去」，那是服務自己的設計問題，不是套件庫的審查問題。

來源：The Hacker News，2026-09-12

二、GitLab 的滿分漏洞，公開幾小時內就有人在掃

CVE-2026-85706，CVSS 10.0，GitLab 的 repository commits API 有一個路徑穿越漏洞，允許未經驗證的使用者讀取伺服器上的任意檔案。GitLab 自己的成因描述是 “improper path confinement and missing authentication enforcement in the repository commits API.”，兩個問題疊在一起：路徑沒關好，而且不用登入。受影響的是 18.7 到 19.1.8 之前、19.2 到 19.2.6 之前、19.3 到 19.3.2 之前；修好的版本是 19.3.2、19.2.6、19.1.8。

這裡有個口徑一定要釘住。CVSS 10.0 是嚴重度評分，它不構成「已經被大規模利用」的證據，這兩件事很常被寫成同一件。watchTowr 觀測到的原話是 “active in-the-wild probes since 06:00 UTC on September 11, 2026”，probes，探測。有人在掃，跟已經確認被打進去，是兩個不同的宣稱。CISA 在 9 月 11 日同日把它列入 KEV，要求聯邦機關在 9 月 14 日前修補，只給三天。

watchTowr 的 Jake Knott 那句話才是重點：「Exploitation requires just one requirement, at least one public project must exist.」需要的前提只有一個，站上至少有一個公開專案。自架 GitLab 的地方，有幾個是一個公開專案都沒有的？這句話把「這個漏洞有多嚴重」換成了「誰在射程內」，而後者的答案接近全部。順帶一提，這是近幾週內 GitLab 的第二個重大漏洞。

來源：The Hacker News，2026-09-11

三、被打穿的是防火牆管理中心，攻擊者用的是它自己的工具

Cisco Talos 揭露有攻擊者正在利用 Cisco Secure Firewall Management Center（FMC）的兩個漏洞竊取憑證，其中一組拿去部署 Qilin 勒索軟體。Talos 分辨出三個不同的威脅叢集在利用這些漏洞。

兩個編號不要混用：CVE-2026-20079 是 CVSS 10.0，CVE-2026-20316 是 CVSS 5.3。Talos 描述 UAT-11988 這組勒索軟體行動時寫的是 “a ransomware operation that has exploited CVE-2026-20316 for initial access and then used legitimate built-in FMC tooling as part of a living-off-the-land (LotL) attack”。取得初始存取用的是 5.3 那個，而它 2026 年 7 月就已列入 KEV，「已知遭到利用」的狀態掛了兩個月。滿分那個這邊，聯邦機關的修補期限是 9 月 12 日。

Cisco 的官方建議一句話講完：「Customers are strongly advised to apply hotfixes for affected software versions already released by Cisco for CVE-2026-20079 and CVE-2026-20316」。兩個都補，它沒給你挑一個的空間。

把這兩則的編號並排，會看到一件跟直覺不太一樣的事：

中間那一格只有期限，因為報導沒有把 CVE-2026-20079 綁到任何一組叢集上。空著不代表它沒事，代表沒人寫。

錯位最漂亮的一層在後面：被打的是那台管全公司邊界防護的機器，而攻擊者進去之後用的是它內建的合法工具。

這一層值得多停一下。偵測惡意程式靠的是「這東西本來不該出現在這裡」，而 FMC 的內建管理工具本來就該出現在 FMC 上，有權執行它的也本來就是管理權限。可疑的地方不在動作，在誰做這個動作——而那正是被拿走的那一格。防護設備的管理權限，失守那一刻就變成現成的攻擊工具，不需要額外的惡意程式。

來源：The Hacker News，2026-09-11

四、參議院在談的那份法案，還沒被提出來

Reuters 記者 Courtney Rozen 的報導說，參議院談判者正在討論一項法案，要求科技公司在設計 AI 產品時負起安全責任。要建立的東西叫 duty of care，注意義務，要求產品設計以預防 catastrophic risks 為目標。政府將可以禁止特定被認定不安全的模型發布，被禁的公司可以到聯邦法院提出挑戰。同一份文本還會 preempt，優先排除各州針對特定 AI 風險的立法，包括不法分子用 AI 設計核武或生物武器那一類，鎖定的是能力最先進的那批模型。

職稱照報導抄：Senate Majority Leader John Thune、Senate Commerce Committee Chairman Ted Cruz，Sen. Amy Klobuchar 是談判中的民主黨要角，Sen. Maria Cantwell（商務委員會民主黨首席議員）持反對意見。Klobuchar 說她「continuing to work toward a bipartisan agreement on legislation for government oversight of the greatest risks posed by AI models. That includes requiring developers to work with government experts to verify and test models to make sure AI is safe.」Cantwell 的說法是，有意義的立法應該要求最強的模型交給國家實驗室的科學家與專家測試，評估它們能不能促成精密的網路攻擊、或協助生化與核武開發。Thune 的發言人拒絕置評。

消息來源是參議院幕僚跟一名參與談判的遊說者。而全則最該記住的是這句：法案尚未提出。

後面這段推論是我的，報導沒有這樣論述。這份文本把兩件方向相反的事綁在一起：給開發者加新義務，同時把各州既有的管制權收掉。從 Cantwell 那句話讀，她嫌的是管得不夠，還嫌它擋住別人管。兩半的生命週期很不對稱，排除條款生效當天就生效，注意義務要等執法機關跟法院慢慢長出判準才有形狀。立法時間窗是眾院在 11 月 3 日期中選舉前只剩一週、參院預計會在華府待三週。這種時間壓力下趕出來的東西，先落地的那一半通常活得比另一半久。

來源：Spokesman-Review 轉載 Reuters，2026-09-11

五、數學家在抗議的不是 AI 解得出題

一封公開信指控 OpenAI 對研究者施壓、可能剽竊數學成果，並在解決著名數學難題上跟數學家激進競爭。TechCrunch 那篇寫，二十五位頂尖數學家連署了這封信，具名出現在文中的是 Tristan Buckmaster，職稱是 NYU professor。

信裡的核心抱怨是節奏：「Often these solutions are announced in a rush, leaving no time for a proper writeup, the isolation of new methods and ideas, and citing relevant previous work」。急著宣布，於是沒有書面整理、沒有把新方法獨立出來、也沒有引用先前的工作。投入規模的口徑是「數千萬美元等級，用 LLM 去搶在原研究者之前完成證明」。

數學這門學科的驗證制度，整個建立在慢速、可追溯、有引註的書寫上。證明之所以可信，不是因為有人宣布它成立，是因為它被寫下來、被別人逐步讀過、而且讀的人找得到它踩在誰的肩膀上。搶先宣布的獎勵結構侵蝕的正是這套東西，它不改變命題的真假，但它讓「誰先講」取代「誰能被查證」變成收益來源。信裡也把這件事放進更大的框：「The issues the mathematical community faces now are similar to issues that other scientific and creative professions are facing」。

來源：TechCrunch，2026-09-11

六、Kimi 的開發商把年化營收目標拉到 20 億美元

TechCrunch 轉述同日的 Bloomberg 報導：Moonshot AI 的目標是在今年底達到 20 億美元的年化營收。三個限定詞要一起帶，是年化（annualized），是目標而非已達成，時點是今年底。TechCrunch 指出這個數字是該公司 8 月營收 run rate 的兩倍。另一個數字是 K3 模型每日產出 3,000 億 tokens，資料來源是 OpenRouter。對照組的用詞不要幫它統一：原文寫 OpenAI 的 revenue run rate 是 400 億美元，寫 Anthropic 的年化營收是 650 億美元。

同一週，Anthropic 在威脅情報報告裡指控這家公司進行長期的模型蒸餾行動。那份報告給的兩個數字是不同口徑，不能合併也不能互相取代：從 Anthropic 模型蒐集到的回應總數是 2,300 萬則，而從 Kimi 直接打到 Claude Opus 的請求數是近 30 萬次。前者算產出，後者算打過去的次數。

TechCrunch 自己的判斷寫得很節制：「The rising projections show there’s still money to be made from open-weight AI models, even if they’re not as lucrative as closed-weight frontier models.」我往下推一層，這是我的推測、原文沒有這樣論述：被指控蒸餾跟年化營收目標翻倍放在同一週看，浮出來的是毛利結構問題。訓練成本如果可以靠別人的模型壓下來，開放權重這條路的成本曲線就跟前沿實驗室不是同一條，同一個營收數字放在兩條曲線上意義完全不同。

來源：TechCrunch，2026-09-11

七、有人在收購人類動作的資料

Mecka AI 正在洽談一輪由 Sequoia Capital 領投的募資，估值約 5 億美元。TechCrunch 用的字是 “nears”，代表洽談中而非已完成，本輪金額原文未揭露。這家公司做的事是付錢請人戴上身體感測器、用智慧型手機錄下自己做日常工作的過程，蒐集並分析人類動作資料，用來訓練人形機器人與其他機器人，業界稱為 egocentric 資料蒐集。

幾個口徑：Series A 是 6,000 萬美元，Framework Ventures 領投，Menlo Ventures、SV Angel 與 Kindred Ventures 參與，三個月前才宣布。公司 2024 年成立。截至 6 月初，2026 年預估的年化 run rate 是 1 億美元，是預估、不是已實現營收。四位共同創辦人 Josh Gao、Mogen Cheng、Jason Chong、Duy Nguyen 都沒有機器人領域的背景，原文寫的是：「The four co-founders don’t have backgrounds in robotics.」

這筆錢押在上游資料的所有權上，這是我的判斷。賭注要到人形機器人真的量產才驗得出來，在那之前，這個估值反映的是一個假設。

來源：TechCrunch，2026-09-11

回到那台替陌生人跑建置腳本的機器。

今天真正可以動手的判準只有一條，而且不用等任何廠商發公告：去盤點你手上哪些機器，會因為外面某個人的一個請求，就去抓一份他指定的東西、然後執行它。文件產生服務是這樣，吃 webhook 的 CI 是這樣，任何會照 URL 去渲染、去建置、去產預覽圖的服務都是這樣。答案是「會」的那些，它們同時也是一個對外開放的執行服務，而它跑起來用的是你的出口 IP、你的網路位置、你的信任關係。

這條判準的重點在於它跟分數無關。RubyDoc.info 那條鏈踩的漏洞是 7.3 分、連 CVE 編號都還沒有，換到的是一台會替人出門爬網站的執行環境。同一天 Cisco 那邊，滿分的吃到 CISA 期限，進門用的是 5.3 分那個。

分數量的是洞有多深，而這幾則被拿走的其實是同一種東西：一台機器代表誰、用誰的身分出門。則一那台去爬別人網站的時候，對面看到的是文件服務；則三那台失守之後，攻擊者用的是它本來就該有的管理工具。兩邊都沒有在受害端留下任何不屬於那裡的東西。

所以「下架是清庫存，不是關門」這句話不只適用於則一。把套件下架、把發布帳號封掉、把分數最高的那幾條先補完，處理掉的都是流進來的東西；那台會替陌生人跑建置腳本的機器，補完之後還是會替下一個陌生人跑。要動的是它出門時用誰的身分。

則四到則七進不了這個框。參議院那份法案要管的是模型能力，數學家那封信吵的是署名跟引用秩序，Moonshot 那則是還沒到的營收目標、Mecka 那則是還在談的估值。這四則今天排在一起，只是因為同一天發生。硬把它們也套進「哪台機器會替陌生人跑東西」，這個框會顯得比較完整，但完整跟準是兩回事。

什麼情況下我會改掉這個看法？如果這類服務開始普遍把建置環境跟出口網路切乾淨，讓它可以執行你的腳本、但不准它連得出去、也不准它以服務本身的身分連線，那「會替陌生人執行程式碼」這個性質就不再等於曝險，優先序可以退回去照分數排。這幾則報導裡，沒有任何一家這樣做。