一、AI Coding
1. GPT-5.6 Sol 在「Patch the Planet」中挖出 PHP 两大未授权 RCE 漏洞
事件：10-21 至 22，OpenAI 披露 GPT-5.6 Sol 在其漏洞赏金计划「Patch the Planet」中发现 PHP 两处未经认证远程代码执行漏洞「PHP2Shell」，CVSS v4.0 评分 9.2，云安全厂商 Wiz 独立复现同一问题。漏洞涉及内存管理与错误处理，影响 PHP 5.4 至 8.5 的十余年跨版本；PHP 官方 10-21 紧急发布 8.5.12 等四个安全更新，CISA、NSA 同步发布警告，维基媒体、《赛马娘》等日系服务一度停服（路透社 / Wiz / 腾讯研究院速递，10-21~22）。
为什么值得关注：这是「编码智能体主动做安全研究」第一次以规模化、可被独立复现的方式进入公众视野------agent 不再只是写业务代码，而是成为漏洞挖掘的主动方。它把 AI Coding 的边界从「生产力工具」推到「攻防基础设施」，也意味着代码供应链的审计范式将被重写：未来的安全补丁可能由模型先发现、再由人类确认。
2. 田渊栋团队 Recursive 开源 Flint-40B-A2B：由 AI 科研系统「自己研发」的本地 Coding Agent MoE
事件：10-22 前后，田渊栋带领的 Recursive 团队开源本地 Coding Agent MoE 模型 Flint-40B-A2B，其全流程研发由团队自研的 AI 自动科研系统 Eureka Machine 驱动，不到 4 个月完成。模型比同类最高快约 2 倍，MacBook Pro 上生成超 125 Token/秒、RTX Spark 上超 150 Token/秒；在工厂调度任务中较轮询基线提前 26% 完成（腾讯研究院速递 / Recursive，10-22）。
为什么值得关注：Flint 把「AI 参与 AI 研发」从口号变成可交付的模型卡------一个本地可跑、由另一套 AI 系统设计出来的 coding agent。它的信号不在参数规模，而在研发范式的闭环：当「造模型」本身也被 agent 接管，开源小模型的迭代速度会进一步脱离大厂的算力垄断，本地化、低成本的 agent 栈正成为对抗云端集中化的第三极。
3. 腾讯混元 × 复旦推出 WorkForge：1.67 万个真实职场环境，给 agent 造「真实世界健身房」
事件：10-22，腾讯混元与复旦大学提出 WorkForge 框架，按专家蓝图从真实代码仓库、数据集与网页搭建工作区，结合程序化检查与 LLM 语义评分双重核验。其 WorkForge-16K 含 16665 个环境，覆盖 40 个专业领域、60 种文件类型，单条轨迹平均约 7.6 万 tokens；训练后 WorkForge-A3B 的 GDPval 从 45.5 升至 73.6，WorkForge-27B 达 82.4，超过 397B-A17B 的 79.7（腾讯研究院速递，10-22）。
为什么值得关注：coding agent 的瓶颈正从「模型能力」转向「能否在真实、杂乱、长轨迹的环境里被有效训练与评测」。WorkForge 用「真实仓库 + 语义评分」替代合成玩具任务，直指 agent 评测长期水分大的痛点；也提示国内大模型厂正把「评测即训练场」当成护城河------谁掌握高质量真实工作流数据，谁就掌握下一代 agent 的上限。
4. Claude Code v2.1.233：GitLab MR 集成 + 内存 cgroup 限制，把「个人玩具」推向「团队工具」
事件：Claude Code 近期发布 v2.1.233，关键改动有二：一是原生支持 GitLab 合并请求（MR）流程，让 AI 能融入代码审查上下文而非脱离仓库盲改；二是引入内存 cgroup 限制，在资源受限的共享环境中对 agent 做资源管控，内存不足时给出清晰日志而非静默崩溃。配套团队使用规范建议（如 AI 生成评论加 AI-Assisted 前缀、明确谨慎使用场景）也一并落地（lpqz.cn / Anthropic 更新，10-22）。
为什么值得关注：这条更新看似琐碎，却戳中 agent 规模化的两个真痛点------「上下文缺失」与「资源失控」。GitLab MR 集成补齐了 AI 与真实协作流的接缝，cgroup 限制则让 agent 能在受控共享环境稳定运行。它标志着 coding agent 正从「开发者个人提效」进入「团队治理 + 资源管控」的工程化阶段，也呼应了行业对 agent 可观测、可约束的刚性需求。
二、具身智能
5. 智元开源 AGIBOT WORLD 2026 第四期「具身推理」数据集：把任务重点从「操作」扭向「决策」
事件：10-22，智元机器人开源 AGIBOT WORLD 2026 第四期「具身推理（Physical Reasoning）」数据集，称其为行业首个真实场景 Physical Agent 数据集。任务设计首次从「操作难度」转向「决策难度」，围绕物品数量、遮挡关系、位置占用、任务进度四类因素，刻意构造同一任务在不同状态下的决策分支，覆盖属性约束选择、情境条件化选择、前置条件推理、长程规划、记忆状态维护等九类核心推理能力，并按 Easy/Medium/Hard 分档；同时提供高层问答与低层动作轨迹，成功与错误样本并重。该数据集已用于智元即将推出的 Agent 框架与新一代基座大模型训练（中国证券网 / 中国基金报 / 智元官方，10-22）。
为什么值得关注：当前具身数据的重心普遍还在「怎么把动作做对」，智元这期直接补「怎么把决策做对」------让机器人学会「看情况做事」而非死记流程。这恰好卡在具身落地最难的关口：真实任务没有标准答案。「决策---过程---动作」一条链路的数据，会成为具身大脑从「执行器」升级为「自主 Agent」的关键养料，也折射出头部厂商的共识------下一阶段竞争在「推理型具身数据」而非单纯操作数据。
6. 特斯拉 Optimus 弗里蒙特投产，马斯克：对外交付要到 2027 年底
事件：10-22，特斯拉 2026 三季度财报确认 Optimus 已在加州弗里蒙特工厂大批量产线进入早期爬坡（Early Ramp），首批达到量产质量标准的机器人下线；该产线面向年产能 100 万台目标，绝大多数设备已到位（原 Model S/X 产线仅用 46 天改造完成）。马斯克在电话会上表示，达到周产约 2 万台（年 100 万台）还需至少一年，灵巧手仍是最大硬件难点；Optimus 将于 2027 年 4 月前后换装算力高一个量级的 AI5 芯片，并计划 2027 年底前后开始向外部客户交付，初期主攻工业高危、高重复场景。财报显示三季度营收 280.46 亿美元、净利润同比降 43%，研发支出 27.61 亿美元同比增约 69%（特斯拉财报 / 钛媒体 / 腾讯新闻 / 环球网，10-22）。
为什么值得关注：这是特斯拉首次明确「生产级机器人已下产线」，把 Optimus 从 PPT 推进到可制造品。但马斯克给出的时间锚（2027 年底外部交付、周产 2 万台还需一年）也把产业链备货窗口锁死在 2027，并坦诚灵巧手与一万项细节仍是硬骨头------对上游执行器、传感器、减速器厂商而言，这是一份比任何估值报告都实在的需求时间表。投资以官方披露为准。
7. 宇树王兴兴演示 GPT-6 零预训练直接控制 G1 +「通用模型控制机器人」叙事升温
事件：10-22 宇树生态大会上，王兴兴展示 G1 人形机器人在 OpenAI GPT-6 控制下临摹实体画、更换颜色、清洗画笔的演示，称 GPT-6 在「完全无预训练、无预先规划算法」情况下即实现对机器人的控制；他同时断言「物理 AI 已被击穿的苗头已经出现，可能一到两年、可能两到三年」。叠加 10-21 黄仁勋在 GTC 柏林宣布与 Agile Robot 合作、明年一季度发机器人「打样」，以及奥特曼承认 OpenAI 将造人形机器人，未尽研究 10-23 发文《2027 年，不让通用模型控制机器人，不算前沿 AI》，判断具身正从「独立垂直模型」变为「通用大模型的能力外溢」（21 世纪经济报道 / 腾讯新闻 / 网易·未尽研究，10-22~23）。
为什么值得关注：这条线把具身智能的路线之争推向一个新分水岭------当 GPT-6 这类通用模型「零样本」就能驱动实体机器人，具身公司的护城河究竟在硬件本体，还是在「把通用智能对齐到物理执行」的工程能力？宇树的演示与英伟达、OpenAI 的接连下场，共同指向一个判断：2027 年前后，通用大模型与机器人本体的融合会从概念变成量产级战场，纯本体厂商的估值逻辑将被迫重写。
8. 上海全球开发者先锋大会暨国际具身智能技能大赛 10-23 启幕：主打「真机实景、实景实训」
事件：10-23 至 25，2026 全球开发者先锋大会暨国际具身智能技能大赛在上海浦东举办，延续「开发者，找找找」主题，按「1 场大赛 + 1 场开幕式 + N 场开发者活动」架构组织，目标「真机实景、实景实训」。亮点包括：把机器人能力拆解为可复用「作业技能包」覆盖上下料、焊接、装配、巡检、康养等真实场景；千台机器人（智元、宇树、国地中心、傅利叶、联想等）同台，完整呈现从核心部件到整机、从样机到量产的产业链路；开发者可现场实操头部厂商真机（市经信委 / 新浪财经，10-22 预告，10-23 启幕）。
为什么值得关注：当行业会议普遍还在「演示展演」，上海这场直接把评判标准拉到「作业效率提升多少、稳定性如何、投入产出是否划算」的真机实测，并以「赛会一体、训---赛---产---融闭环」试图带动万台级规模落地能力。它是地方把具身智能从政策口号推向产业闭环的样本，也提示「以真实场景数据为锚、以开发者生态为杠杆」正成为国内具身落地的主路径。
一句话总结
今日主线是「智能体向真实世界的两侧渗透」：coding 侧 OpenAI 用 GPT-5.6 Sol 主动挖出 PHP 高危漏洞、Recursive 由 AI 自研本地 coding agent、WorkForge 以 1.67 万真实环境重塑评测、Claude Code 补上团队协作与资源管控，把 agent 从「写得快」推向「可信、可管、可攻防」；具身侧智元开源决策型数据集、特斯拉确认 Optimus 量产下线、通用大模型零样本控机器人叙事升温、上海以真机大赛逼出落地效率，则共同把具身竞争从「本体炫技」沉降到「决策数据 + 真实场景 + 量产时序」的硬指标。