要点速览
- Legora 完成 5.5 亿美元 E 轮融资，估值 88 亿美元，ARR 从 100 万美元增至 1 亿美元用时不到 18 个月。
- Perplexity 与英伟达合作提出 JOLT 后训练方法，在 MATH 上以少 6.5 倍训练 token 达到与 GRPO 相当准确率。
- php2shell 与 Node.js 高危漏洞同日披露，Cloudflare 记录到数百万次利用尝试，Vercel 称已提前部署 WAF 缓解。
- 特斯拉 Q3 非 GAAP 每股收益 0.48 美元超预期，FSD 活跃订阅 174 万同比增长 67%，北美新车 FSD 附加率超 75%。
- Optimus 已在 Fremont 高量产线开始早期生产，年产百万台产线大部分已安装，但设计、AI 与可靠性仍需约一年完善。
- Shop Pay 首次向非 Shopify 商店的智能体开放，Claude Duet 上线首日接入 Shopify。
- Basecamp 围绕 AI 代理构建共享记忆与 CLI 集成，官方 ChatGPT 插件已上线。
一、AI 模型与基础设施
- Legora 完成 5.5 亿美元 E 轮融资，估值 88 亿美元，由 Atreides 领投，现有主要投资人均跟投，并新增 Baron Capital、Capital Group、Fidelity、Glade Brook 和 J.P. Morgan。其 agentic 操作系统已有逾 14 万法律从业者使用，ARR 从 100 万美元增至 1 亿美元用时不到 18 个月，下一个 1 亿美元用时不到 6 个月；2025 年春开设首个美国办公室后，美国已成为其收入最大市场，AmLaw 50 中超过一半是其客户。资金将投向从 AI 助手转向可执行多步骤工作的法律 AI 代理，公司正于北美、欧洲、拉美和亚太扩员。1 2 3 4
- Perplexity 的 Aravind Srinivas 与英伟达 AI 合作提出后训练方法 JOLT：同一模型兼任教师和学生，教师额外获得学生没有的信息并接受奖励训练，同时惩罚其偏离学生行为的漂移；JOLT+ 在此基础上为学生增加基于结果的奖励。在 MATH 基准上，JOLT 以少 6.5 倍的训练 token 达到与 GRPO 相当的准确率；作者称 JOLT+ 在数学、编程、终端任务和工具使用基准上明显超过 GRPO。1 2
- Vercel 称 DeepSeek v4.1 Flash（1017） 已纳入 Vercel Token Pass，特点是快、极便宜且提供零数据保留，适合运行由更大更贵模型规划的子代理任务；被引用信息称其采用 DeepSeek 新权重、100 万上下文窗口、无需改配置，30 美元/月可得 80 美元额度。1
二、安全与漏洞响应
- php2shell 是影响 PHP 5.4+ 的两个严重 RCE 漏洞，公开利用已出现，建议升级至 8.2.35、8.3.36、8.4.27 或 8.5.12。Cloudflare 网络在披露前 10 小时记录到数千次利用尝试，披露后 45 分钟升至数万次，2 小时内达数十万次，目前为数百万次；Vercel 称在披露前就部署了 WAF 缓解规则并成功拦截针对 PHP 源的攻击尝试。日本国家网络安全统括室呼吁使用 PHP 的网站运营者确认是否受影响，并为日本时间 10 月 21 日 23 时发布的修复补丁做好准备，若难以迅速打补丁可考虑暂时停站。1 2 3
- Vercel 称在 Node.js 官方补丁发布前，已主动为当天的 Node.js RCE 漏洞推出防火墙级缓解，所有部署流量自动受保护，并正监控和推送托管运行时升级；该高危 RCE 位于 Node 的 Brotli 解码器，影响 Node.js 22、24、26。同日网络安全汇总显示单日报告 PHP 2 个、Node.js 10 个、NGINX 5 个、Go 1 个、GitLab 12 个 CVE，以及 eMudhra 的 CA 证书被攻破。@levelsio 认为 AI 辅助的漏洞利用将波及所有语言和框架，网络安全进入攻防双方均由 AI 辅助的猫鼠游戏新阶段。1 2 3
- Greg Isenberg 认为 Railway 遭攻击是针对其存储的 AI 密钥，因为 API 密钥如今相当于算力的信用卡，而运行代理的公司普遍囤积大量此类密钥；他建议当晚轮换所有密钥、在各 AI 后台设月度硬性支出上限、为每个代理分配独立密钥并开启用量告警，还提出可做按月收费 99 美元、自动发现并每周轮换 AI 密钥、异常支出时提醒的工具。1
三、特斯拉、SpaceX 与 Optimus
- 特斯拉 Q3 股东更新显示：非 GAAP 每股收益 0.48 美元（预期 0.45）、营收 280.5 亿美元（预期 283 亿）、FSD 活跃订阅 174 万同比增长 67%、自由现金流 15.3 亿美元；北美新车 FSD Supervised 附加率超 75%，加拿大、澳大利亚、日本、台湾交付创纪录，Semi 量产，顶配满载 8.2 万磅可行驶 500 英里、能效 1.7 kWh/英里，约为同类柴油卡车能耗的三分之一。马斯克称“人们是为 FSD 买车，车是附带的”。1 2
- 欧洲市场方面，Model Y 成为德国最畅销车型（9 月注册 8,038 辆，超过大众高尔夫 6,580 辆），特斯拉德国注册量同比增 268.7%；另一材料称特斯拉包揽欧洲 9 月销量前两名（Model Y 40,971 辆、Model 3 25,057 辆）。1 2
- Optimus 已在 Fremont 高量产线开始早期生产，年产百万台产线大部分已安装，但设计、AI、可靠性仍需约一年完善；V3 演示视频可能一两个月内发布，AI5 芯片计划 2027 年 4 月集成。马斯克另转发称需先造 1 万至 2 万台 Optimus 进行自我对弈训练，类比幼儿通过玩耍学习。1 2 3
- SpaceX 方面，马斯克转发称其使美国对轨总质量首次超过俄罗斯，并引用图表称其他五家火箭公司 2026 年年初至今的合计有效载荷不及 SpaceX 单日（9 月 28 日）运量。1 2
四、智能体商业与协作工具
- Shopify 的 Shop Pay 已可在 Claude Duet 中用于每笔购买，这是 Shop Pay 首次向非 Shopify 商店的智能体开放；同日 Claude Duet 上线首日已接入 Shopify，可在聊天中设计店铺并用 Duet 跟踪经营表现。Stripe 方面称正与 Anthropic 合作，让用户在 Claude Duet 内经营业务，包括用 Link 完成购买、用 Stripe MCP 处理退款和了解业务趋势。1 2 3
- Basecamp 被用于围绕 AI 代理构建共享记忆：一个项目、一个 About 文档、一套规则，再加每日清理运行。Jon 的咖啡馆以 Basecamp 作为运营骨干，付费使用 Claude、ChatGPT 和 bot，通过 Basecamp CLI 将 Basecamp 接入 bot，使代理无需在本地 MacBook 运行即可常驻工作，并用 Cloudflare 搭建 webhook 在项目内启用代理“Alpy”。官方 Basecamp ChatGPT 插件已上线，可在聊天中查看项目、新建项目、把笔记转为待办、跨项目搜索常见模式。1 2 3
- Replit 的 Amjad Masad 以“prompt -> corporation”概括 Replit Agent 通过 Stripe MCP 集成办理公司注册的流程。1
五、创业与产品观点
- Greg Isenberg 提出 AI 代理被企业接纳将经历 9 个阶段，目前处于第 1 阶段：亚马逊、达美等大公司正在封堵代理，理由是代理会跳过广告和追加销售；后续阶段包括代理伪装成人类、市场按盈利模式分化、出现代理身份与支付的受信任中间层、接纳代理的公司抢走客户、封堵方按自身条件重新开放、围绕代理竞争价格与结账速度、广告以“代理首推”形式回归，最终向代理销售变得像拥有网站一样平常。1
- Greg Isenberg 认为 99.9% 的 Duo 应用目前界面糟糕属正常，多数公司要等新设备有数百万用户才愿重设计；他据此提出“Duo 应用代理机构”创业点子：首批花 2000 美元以上买新机的用户是 App Store 高价值客户，愿付费、订阅并留评，而多数公司没有余力为新屏幕重设计。启动方式为选大屏更重要的品类（食谱、阅读、交易、设计、音乐），录制应用在 Duo 上显示局促的短视频并配 AI 效果图，收费 4 万至 7.5 万美元在数周内交付重设计，另收月度维护费以跟进苹果更新。1
- Clifton Sellers 提出一个“残酷事实”：vibe coding 会让更多人因执着于寻找捷径而无法获得在商业中取胜所需的技能，并强调捷径并不存在；其引用的推文则称竞争对手的功能、落地页和文章可以复制，但多年积累的信任、受众、真实评价、创始人个人品牌与魅力、经验洞见无法复制。1
- Rand Fishkin 引用本周三项新研究，质疑投入 AI 可见性（AI visibility）是否值得，并暗示这些研究可能支持“是浪费时间”的判断。1
