地里快讯

美油布油短线下挫逾1美元

国际油价盘中短线走低，美国WTI原油与布伦特原油均下挫超过1美元，分别报每桶96.37美元和105.31美元。受伊朗战争导致的中东供应中断影响，两油年内一度大幅冲高：WTI年内高点为3月9日的119.48美元，布伦特年内高点为4月30日的126.41美元，当前价位仍远高于2025年12月布伦特58.72美元的低点。(CNBC)

普京同意11月恢复俄乌美三方会谈

克里姆林宫表示，普京在圣彼得堡会见美国总统特使威特科夫时表态，俄方「原则上同意」在11月10日前后恢复与美国、乌克兰的三方和平谈判。普京助理乌沙科夫称，双方专门讨论了重启三方谈判的可能性，议题聚焦冲突结束后俄罗斯与乌克兰的安全保障架构，会谈地点可能定在阿布扎比、时间约在11月中旬；威特科夫回应称特朗普会非常乐于见到这一决定。乌沙科夫还称，谈判本应在俄国家杜马选举后立即重启，但乌克兰在主要投票日对莫斯科等城市发动大规模打击打乱了计划。威特科夫此行是他第九次与普京会面，发生在前一天于奥斯陆会见泽连斯基之后，他向俄方递交了结束冲突的最新方案文件，并提出让技术专家参与具体问题讨论。普京另向美方表示，愿凭借俄伊之间数十年的互信关系，在美国与伊朗之间发挥调解作用。目前俄方仍未就停火作出任何让步。(Reuters)

俄亥俄化学罐爆炸泄漏 居民撤离

俄亥俄州托莱多市北部Progress大道一处设施的化学品储罐在当地时间周二晚约10时48分爆炸并泄漏，托莱多消防救援部门随即对周边一英里半径内的居民下达撤离令，周三凌晨4时左右又追加三英里范围的就地避险令。市长警告该储罐仍存在爆炸风险，数百名居民被迫离家或就地避险。涉事企业MC Tank Transport（Kenan Advantage Group子公司）确认泄漏物为缩水甘油基甲基丙烯酸酯，一种用于提升塑料、涂料和油漆性能的工业化学品，当地卫生部门已发布该化学品的健康风险说明。目前已知一名警员因身体不适就医，情况不严重。托莱多公立学校和Washington Local学区停课，附近铁路停运、多条街道封锁，红十字会和当地公交在East Alexis的Meijer超市设点转运撤离居民，Raintree Village移动房屋营地等社区已被疏散。当地浓雾令污染物不易扩散，市政府按三级暴雪紧急状态的标准应对。(AP News)

英伟达洽谈向澳洲AI云公司Firmus投资数亿美元

英伟达据报正洽谈向澳洲AI云公司Firmus投资数亿美元。Firmus此前因难以吸引国际投资者而放弃IPO，转向寻求其他融资渠道。(世界日报)

特朗普拟在迈阿密G20签俄乌和平协议

《大西洋月刊》报道，特朗普希望在12月于佛罗里达迈阿密举行的G20峰会上促成俄乌双方签署和平协议，把这场签字仪式当作一系列外交活动的收尾，并计划亲自站在泽连斯基与普京之间。为达成这一目标，华盛顿正考虑对基辅施加强力压力，一名接近特朗普的消息人士称他目前对乌克兰极为不满、希望泽连斯基下台。特朗普的核心圈子把战争视为与俄罗斯恢复经济合作的障碍，涉及柴油供应合同与稀土等资源开采，乌克兰可能因此被迫放弃对顿巴斯地区的主张。乌方官员担忧关键决定在基辅缺席的情况下作出，一名高级官员称担心这被当成划分势力范围的新雅尔塔会议。泽连斯基已确认出席G20峰会，表示愿与普京会面以达成公平协议，但明确拒绝任何领土让步。(The Atlantic)

印度CA私钥失效 浏览器紧急阻断

印度证书颁发机构 eMudhra 旗下 8 份中间 CA 证书的私钥已被确认失效，持有这些密钥的人可以为互联网上任意网站签发浏览器会信任的证书。问题并非私钥遭窃，而是生成时随机性严重不足：P-384 椭圆曲线私钥本应有约 384 位熵，这 8 把密钥实际只有 3 到 8 位，具体数值分别是 4、56、66、115、155、156、230、237，任何人都能从公开证书直接反算出来。eMudhra 称根源是 2025 年 4 月的密钥生成仪式存在缺陷，在预期密钥之外额外生成了一套弱密钥，而被提交到各浏览器根证书库的正是这套弱密钥。 研究者 10 月 17 日晚间向各根证书计划报告，Chrome 在约 1 小时 40 分钟内下发阻断，Firefox 当晚完成推送，苹果 10 月 19 日、微软 10 月 20 日先后跟进，安卓通过 Google Play 服务同步阻断。eMudhra 已撤销全部 8 份证书，Mozilla 已从 NSS 移除对应根证书，Chrome 将在根证书库第 43 版中移除，预计 10 月 27 日覆盖所有设备。证书透明度日志中暂未发现这些密钥被恶意使用的记录。 Go 语言、certifi、curl、Homebrew 以及 Ubuntu、Debian、Fedora 等发行版已陆续发布修复。Go 密码学维护者 Filippo Valsorda 认为后续清理规模将大于 2014 年的 Heartbleed，长尾会拖在物联网设备、容器镜像、无人维护的命令行工具以及自带根证书的 Python 等生态上。实际利用该缺陷需要发起中间人攻击，使用 VPN 的用户，以及处在咖啡馆、校园等共享网络环境下的用户风险相对更高。(Ars Technica)

美日政府紧急应对PHP漏洞

白宫表示，美国政府于 10 月 16 日获悉 PHP 的两个严重安全漏洞，目前正密切关注事态，并与联邦机构及主要系统集成实验室协调，以加快修复补丁的发布。联邦机构一方面在评估漏洞对政府系统和关键基础设施的潜在影响，一方面与网络运营商协调，优先安排缓解措施。 美国网络安全和基础设施安全局（CISA）称，目前尚未观察到这两个漏洞被实际利用，但如果不及时修复，将对相关机构构成安全风险。日本首相高市早苗公开呼吁各方自查网站是否使用 PHP 并准备好应用补丁，并称若难以及时完成修复，暂时把网站下线也是降低风险的有效手段，荷兰、德国、芬兰等国的政府和公共机构网站此前已采取这一做法。 PHP 官方则说明，两个漏洞的 CVE 编号在补丁正式发布前已于 10 月 20 日晚间开始在技术论坛和社交媒体上流传，但流传的内容中并未包含任何技术细节。(Reuters)

中概股跌幅扩大 金龙指数跌超3%

纳斯达克中国金龙指数10月21日美股盘中跌幅扩大至3%以上，报5541点附近，日内最低即落在该点位，较前一交易日收盘的5719点下挫逾177点，距10月2日创下的年内低点5514点仅一步之遥。 成分股普遍重挫：教培股领跌，好未来（TAL）跌约9.5%，新东方（EDU）跌约4.1%；新能源车方面，小鹏汽车（XPEV）跌约6.4%，理想汽车（LI）跌约4.4%；权重股阿里巴巴（BABA）跌约4.5%。同日美股三大指数高开，中概股明显跑输大盘。(CNBC)

美光桃园工会10月22日照常罢工

美光科技（MU）台湾台中工会已与公司达成劳资协议，并取消原定 10 月 22 日的调解会议，但桃园工会表示仍将按计划于 10 月 22 日举行为期一天的罢工。 美光与台中工会在联合声明中称，经建设性协商已就多项议题签署协议，细节未披露；美光同时表示希望「其他正在进行的劳资议题」也能在相互支持的氛围下解决，所指即与桃园工会的谈判。桃园工会原本是为声援台中工会而宣布罢工，该工会 10 月 7 日完成为期六天的罢工投票，2012 名投票会员中有 1994 人支持。工会强调罢工不代表关闭谈判大门或劳资关系破裂，呼吁公司提出所有会员都能接受的分红方案。 两地工会的核心诉求是建立长期机制，将美光营业利润的 15% 分配给员工，并批评公司现有激励薪酬计划缺乏透明度。美光在桃园约有 3000 名员工（约 2400 人为工会会员），台中约 1.23 万名员工（约 1.1 万人为工会会员），是其全球 DRAM 产能的重要基地。(Focus Taiwan)

AI挖出潜藏十年的PHP核心漏洞

云安全公司 Wiz 披露，其研究团队借助自研工具 Wiz Atlas、谷歌 Gemini 4 Argon 和 OpenAI GPT-5.6 Sol，挖出了潜藏在 PHP 核心引擎超过十年的多个内存安全漏洞，并完成了可用攻击链的开发。谷歌 DeepMind Gemini 安全负责人 Raluca Ada Popa 表示，Gemini 4 Argon 在漏洞发现、利用程序开发、攻击检测和补丁验证四个环节都作出了关键贡献。OpenAI 方面也称，据其所知，前沿 AI 模型先于攻击者发现了这些漏洞。 这批缺陷的代码早已存在，真正的门槛在于证明可利用性——需要串联多个 bug 并针对每个目标的内存布局反复测试调试，此前被认为处于人类研究者实际能力的边缘。Wiz 称借助前沿模型，一名研究员用一周完成了过去需要世界级团队数月的工作，并在数小时内把攻击代码适配到 WordPress、Drupal、Joomla 等多个应用上。从时间线看，Wiz 在 8 月 19 日首次发现漏洞，8 月 24 日上报 PHP 安全团队，PHP 于 9 月 21 日确认并开始开发协同修复方案，10 月 21 日补丁发布并公开披露。 Wiz 把 PHP2Shell 类比为 2014 年的 Heartbleed 和 2021 年的 Log4Shell，认为它标志着 AI 时代的拐点：当开发复杂利用程序的时间与专业门槛大幅下降，「复杂度」不再构成有效防护屏障，过去被认为不实用的漏洞会变成现实目标；但同样的能力也让防守方有机会找出经年未被发现的缺陷。(Wiz Research)

PHP曝9.2级漏洞 欧洲政府网站下线

PHP 核心引擎曝出两个严重安全漏洞（CVE-2026-109618、CVE-2026-109619），CVSS 评分达 9.2，被命名为 PHP2Shell。攻击者无需认证即可在运行 PHP 的服务器上远程执行代码，或读取进程内存中的密码、认证令牌、API 密钥与证书。过去十年发布的几乎所有 PHP 版本（最早可追溯到 5.4）至少受其中一个漏洞影响，且缺陷位于 PHP 引擎本身，与上层应用代码是否安全无关。 PHP 官方已于 10 月 21 日发布修复版本，英国国家网络安全中心等机构呼吁各组织立即升级、优先排查面向互联网的系统。由于有报道称黑客已开始利用漏洞入侵网站，荷兰、芬兰等国政府机构在补丁发布前就预防性关停了部分站点：荷兰鹿特丹港、政府门户 Overheid.nl、荷兰足协、该国五大政党及多家医院网站一度下线，德国联邦政府中央 IT 服务商 ITZBund 也关闭了部分网站，开源 CMS 厂商 Drupal 则在更新部署期间暂时下线了所有由其直接托管的网站。 PHP 是互联网使用最广泛的服务端语言，支撑 WordPress、Drupal、Joomla、Magento 以及维基百科的 MediaWiki。按统计机构 W3Techs 的数据，在可识别编程语言的网站中约 75% 使用 PHP，全球约 43% 的网站由 WordPress 驱动，涵盖博客、小企业官网、政府门户、电商平台与新闻网站。(Reuters)

SpaceX涨超10% 特斯拉合并启动评估

SpaceX（SPCX）10月21日美股盘初一度涨超10%。此前公司交出上市以来首份盈利季报，营收与AI业务收入均超华尔街预期，并给出明显高于分析师预期的2027年一季度营收指引。 更受关注的是合并消息：马斯克确认正在考虑将特斯拉（TSLA）与SpaceX合并，并称这会是个好主意。两家公司董事会已各自成立特别委员会评估这笔交易，委员会均不包含马斯克本人。若最终成行，这将把马斯克旗下规模最大的两家企业合为一体，成为史上规模最大的并购交易之一。(BBC)

纳斯达克中国金龙指数跌超2%

纳斯达克中国金龙指数10月21日美股盘中跌超2%，报5570点附近，前一交易日收于5719点。成分股普遍走低：阿里巴巴（BABA）跌约3.7%，理想汽车（LI）跌约3.8%，小鹏汽车（XPEV）跌约5.5%。 同日美股大盘高开，道指、标普500与纳斯达克综合指数齐涨，中概股明显跑输大盘。(CNBC)

SpaceX盘中涨10% 创8月来最大涨幅

SpaceX（SPCX）10月21日美股盘中涨幅扩大至10%，最高报162.77美元，为8月以来最大的单日盘中涨幅。此前公司公布的三季报大幅超预期：营收146亿美元、同比增长161%，净利润44亿美元，去年同期为净亏损10.5亿美元，同时给出远高于分析师预期的2027年一季度营收指引。富国银行随后将其目标价从214美元上调至274美元。(CNBC)

美超微涨超14% 营收展望超预期

超微电脑（SMCI）10月21日美股开盘后涨超14%，盘中最高报37.45美元。公司此前公布的初步季度营收高于自身指引区间，并上调营收展望，AI服务器需求是主要推力。同类AI服务器厂商同步走高，戴尔（DELL）盘中涨约7%，慧与（HPE）涨约4%。(Yahoo Finance)

美股三大指数高开 存储板块领涨

美股10月21日高开，道琼斯指数开盘涨约0.3%，标普500指数涨0.3%，纳斯达克综合指数涨0.7%。存储芯片股领涨，SK海力士（SKHY）与闪迪（SNDK）开盘涨约4%，美光科技（MU）涨约3%。SpaceX（SPCX）在三季报大幅超预期后涨约8%，英伟达（NVDA）涨约2%。(CNBC)

Anthropic上半年净亏损超807亿美元，未来算力支出或达7500亿美元

Anthropic披露，今年上半年净亏损超过807亿美元，其中大部分来自会计认列费用；未来数年算力投入可能高达7500亿美元。营收虽快速增长，但巨额基础设施成本、客户集中度及AI安全和法律风险仍受到关注。(世界日报)

威特科夫会见普京 俄称未达成协议

美国总统特使威特科夫在圣彼得堡与俄罗斯总统普京会晤，就结束乌克兰战争的新方案进行磋商。克里姆林宫发言人佩斯科夫会后表示，目前尚未达成任何协议；俄罗斯直接投资基金负责人德米特里耶夫则称会晤富有成效。俄方强调，要结束战争须由乌克兰作出必要决定。此前俄外长拉夫罗夫表示，莫斯科会研究美方提案，但不会作出政治让步。普京在会谈中还提到有意恢复与美国的经济合作。(CBS News)

投行集体下调通用汽车目标价

巴克莱将通用汽车（GM）目标价从110美元下调至105美元。通用于10月20日公布三季度财报，净利润同比大幅增长、好于市场预期，但公司同时上调了全年成本压力预期并收窄业绩指引，财报后股价下挫。除巴克莱外，高盛将目标价从112美元下调至96美元，摩根士丹利下调至95美元，瑞银、加拿大皇家银行也相继下调，华尔街普遍担忧原材料与关税成本侵蚀其利润率。(Reuters)

默克联手英伟达微软做罕见肿瘤AI助手

德国默克（Merck KGaA）医药健康业务与英伟达、微软及丹麦数字医疗公司Dawn Health达成四方合作，为罕见肿瘤患者打造智能体化的患者支持项目（Agentic PSP），目标是把专科级别的支持做成可规模化、随时在线且贴合个体病情的服务，同时在真正需要时保留人工介入。 技术栈上，该服务基于英伟达的Nemotron 3推理模型、Nemotron重排序模型以及NeMo Guardrails、NeMo Relay、NeMo Gym、NeMo Data Designer，运行在微软Azure之上，具体用到Microsoft Foundry、Azure AI Search、AI红队测试智能体，以及承载Dawn平台的Azure Kubernetes Service、Azure SQL和Azure Monitor。分工上，默克提供临床与药学专业判断、负责针对特定患者群体校验服务配置，Dawn Health主导产品开发、法规经验和患者端应用设计。 合作的出发点是慢病尤其罕见病患者的就医路径过于复杂——需要在多个专科之间协调、持续做监测、消化大量信息，而药企传统的患者支持项目受人力所限难以跟上治疗方案日益复杂的节奏。四方表示，后续将在首批患者入组推进过程中公布更多细节。(Dawn Health)

蚂蚁联手vLLM开源量化推理内核

蚂蚁集团与vLLM社区联合开源量化推理算子库Humming，代码已托管在vLLM官方组织下，采用Apache 2.0许可。 Humming是一套JIT即时编译的GEMM内核库，专门面向量化推理：支持FP16、BF16、FP8、FP4、INT8、INT4六种激活格式与8比特以下的任意权重类型组合，覆盖多种量化策略和缩放类型，Dense与MoE两类GEMM均可用。兼容性上支持SM75（图灵架构）及以上的全部英伟达GPU，依赖只有PyTorch和NVCC，安装包体积仅100多KB。官方称其在多种典型负载下的吞吐与效率达到业界领先，项目本身的设计借鉴了DeepSeek的DeepGEMM、vLLM的Marlin内核、lmdeploy的GEMM内核以及英伟达CUTLASS。(Pandaily)

OpenAI模型将登陆谷歌云

OpenAI 宣布其 GPT 系列模型将接入谷歌云，开发者未来几周内可在 Google Cloud 的 Model Garden 以及谷歌的 Antigravity 编程工具中调用。这意味着 OpenAI 的模型将同时覆盖全球三大云服务商。按谷歌的说法，GPT-6 Astra、GPT-6.1 Sol 和 GPT-6 Luna 目前已在 Model Garden 中向少数企业客户做私密预览。 两家公司此前长期处于竞争关系。微软对 OpenAI 知识产权的独家授权结束后，亚马逊已于今年 4 月开始托管 OpenAI 模型；去年 OpenAI 也曾表示用谷歌云来跑 ChatGPT 及其 API。OpenAI 在博客中称，谷歌云在机器学习和 AI 上的长期投入，使其成为 AI 负载以及相关开发者、数据科学家的聚集地。 对 OpenAI 来说，这是把技术分发扩展到企业开发者的一步，对其从消费端业务向企业市场延伸至关重要。谷歌云今年表现强劲，年化营收增速从一季度的约 63% 提速至二季度的约 82%，AI 模型与自研芯片需求是主要推力。(CNBC)

甲骨文推出Claw驱动的HR智能体应用

甲骨文（ORCL）发布一批由 Fusion Claw 驱动的 HR 智能体应用，内置于 Fusion Cloud HCM。Fusion Claw 是一套带治理约束的智能体执行运行时，让 Fusion 智能体应用能完成深度研究、计算、仿真、建模与持续重新规划等专业级工作，支持更大规模、更长周期的任务和确定性执行。 首批应用覆盖七类场景：在人才培养、内部调配、招聘和外部人才之间权衡的用人规划；打通岗位、员工、招聘、成本与审批数据以提前发现岗位变动引发的冲突和下游风险；通过分析用人需求、分组候选人并协调触达与跟进来加快关键岗位填补；汇总职位、候选人、面试、反馈、报价数据推进招聘流程；按雇主标准、预算、薪酬指引与公平性考量生成薪酬方案；审阅员工数据、导入项、工时卡与追溯调整以排查工资核算隐患；以及对比当期与往期薪酬、余额和成本并标出重大差异。所有方案都需走人工审批后才执行。 甲骨文应用开发高级副总裁 Lew Thompson 称，业务与 HR 负责人需要完整的人力视图来做技能、编制和人力成本决策，但业务节奏已快到他们无法独立完成信息串联与评估。甲骨文同时强调，用工决策的责任仍在企业一方，客户需自行建立人工监督与审批控制。(Oracle)

eBay裁员9% 资源转向高增长品类

eBay（EBAY）将裁撤约 9% 的员工。据路透看到的内部备忘录，CEO Jamie Iannone 告知员工，此次裁员意在精简公司运营、减少管理层级和缩小团队规模，把资源转向增长更快的业务，包括认证正品等高信任、高单价品类。eBay 发言人已确认本轮裁员。 这是该公司今年第二轮裁员：今年 2 月 eBay 已裁员约 800 人、占员工总数约 6%，当时的理由同样是业务重组。eBay 将于下周发布财报，投资者关注这轮成本削减是一次性调整，还是利润率结构性重塑的开始。(Reuters)

CrowdStrike联手英伟达 AI安全下沉至芯片

CrowdStrike（CRWD）在柏林GTC大会上宣布扩大与英伟达的合作，把AI原生安全从软件层延伸到芯片层。 做法是将其AI检测与响应产品Falcon Guardian接入英伟达同日发布的OpenShell参考架构的安全运行时，并计划进一步对接NVIDIA Sentry实现芯片内策略执行。前者把智能体的提示词、模型交互与运行时活动接入Falcon平台的整体安全上下文，用于识别智能体工作流中的恶意行为；后者基于BlueField-4 DPU，提供带外监控与硅上策略执行，把威胁拦截推到软件运行时之外。 CrowdStrike首席商务官Daniel Bernard称，AI智能体已经造就了新的攻击面，单靠护栏挡不住攻击者。英伟达企业业务副总裁Justin Boitano表示，在生产环境中保护智能体需要从运行时一直覆盖到底层基础设施。(Business Wire)

台湾女子陈尸富士山附近饭店，同团成员涉案被捕

日本山梨县警方在富士河口湖一家饭店发现一名38岁台湾女游客死亡，死者颈部有深度刀伤。警方已逮捕同一旅行团的一名台湾籍男子，正调查两人关系、作案动机及完整经过。(世界新闻网)

德州致53死偷渡惨案：危地马拉男子获刑30年

美国司法部称，危地马拉男子 Rigoberto Ramon Miranda Orozco 因参与策划2022年圣安东尼奥货车偷渡案，被判处30年监禁。该案造成53名移民在高温密闭车厢内死亡，是美国伤亡最严重的人口走私事件之一。(ChineseInLA)

美国30年期房贷利率降至7.41%

美国抵押贷款银行家协会（MBA）数据显示，截至10月16日当周，30年期固定抵押贷款平均利率从前一周的7.5%降至7.41%，为近两个月来首次回落。 但购房需求没有跟上利率下行：抵押贷款申请活动综合指数从199.2降至188.6，环比下滑约5%；其中购买指数由139.3降至129.2，再融资活动指数由513.5小幅回落至503.1。(Seeking Alpha)

甲骨文推出行业版AI智能体工坊

甲骨文（ORCL）发布面向行业应用的 Oracle AI Agent Studio，这是一套无代码／低代码环境，用于创建、测试、编排、部署和管理面向具体行业业务流程的 AI 智能体与工作流。 该产品在此前面向 Fusion 应用的 Agent Studio 基础上扩展，内置预制智能体、工作流、模板和可复用工具，客户与合作伙伴可围绕自有数据、决策流程、角色与策略做配置，并在上线前完成测试与调试。甲骨文称其与自家行业应用、Fusion 应用及 OCI 协同工作，可减少数据搬迁和点对点集成。 覆盖行业包括工程建筑、零售、金融、餐饮、政府、公用事业、通信和酒店等。(Oracle)

谷歌云英伟达Vera Rubin实例商用

谷歌云与英伟达宣布基于 NVIDIA Vera Rubin 架构的 A5X 实例正式商用，实例将于下个月开放使用，之后扩展到欧洲，面向训练、推理和大规模强化学习提供一体化平台。 A5X 把 Vera Rubin NVL72、ConnectX-9 SuperNIC、谷歌云 Virgo 网络与谷歌云第四代液冷技术整合在一起，针对大规模智能体推理与强化学习负载。谷歌云计划把基于 Vera Rubin 的算力在多个站点扩展至最多 96 万块 Rubin GPU。 首位用户是由 AlphaGo 之父 David Silver 创立的伦敦公司 Ineffable Intelligence，用于推进大规模强化学习、打造能从经验中持续学习的「超级学习者」系统。营销集团 WPP 也在 A5X 上验证了创意智能体参考架构，其初步测试中原本需要多节点集群的负载在单个 A5X 实例上即可跑完。(NVIDIA Blog)