覆盖窗口

本期覆盖 2026-10-24 09:00 至 10-26 09:00（北京）。这是一期周末刊：A 股与港股 10-24、10-25 休市，美股同期无交易，因此报告内没有任何新的收盘价，全部行情以 10-23（周五）收盘为准；10-26 只列亚太早盘与美股期货，且明确标注「非收盘」。

窗口内真正的新增事实集中在四处：PHP2Shell 从「AI 发现漏洞」升级为「AI 代理执行后渗透」的可核查案例；周末密集的资本动作（SpaceX 400 亿美元债、DeepSeek 1,000 亿元 B 轮、SK 海力士撤回 Solidigm 赴美 IPO）；《国家信息化「十五五」规划》与美方 COINS 法案草案两边的政策落子；10-26 早盘油价跳水、金价收回 4000 美元。

尚未发生、只作预告不给结果：美联储议息（决议 10-29 02:00 北京）、三大云财报（Alphabet/微软 10-28 盘后、亚马逊 10-29 盘后）、美国 9 月 PCE 与 Q3 GDP 初值（10-29 20:30）、SK 海力士 Q3（10-28）、中国 1–9 月工业企业利润（10-27 09:30）、中国 10 月官方 PMI（10-31）。

最需要先说清的一件事：Anthropic 的公开版 S-1，截至 10-26 09:00 仍未确认出现。10-23、10-25、10-26 三个「递交日」都来自媒体计划口径，10-24 在 SEC EDGAR 检索「Anthropic PBC」无任何公开结果。任何引用招股书数字的稿件，都要先打问号。

本期最重要的三件事

一、AI 代理第一次被证实跑完整个后渗透链：2 小时从 Web 漏洞到 Active Directory

Palo Alto Networks 的 Unit 42 在 10-23 的更新里记录了一起针对欧洲政府实体的入侵：攻击者利用 PHP 的两个远程代码执行漏洞（CVE-2026-109618、CVE-2026-109619，合称 PHP2Shell，CVSS 4.0 评分 9.2），随后用代理式 AI 攻击平台执行后渗透。从初始利用到拿到密码哈希与多因素认证密钥，只用了 2 小时；接着建立 NTLM relay 隧道进入 Active Directory，并尝试提权到 Domain Admin。

判定依据不是恶意软件签名，而是行为特征：命令批次被 ==SHELLUSER==、==PASSWD== 这类分节头包裹，输出便于模型解析；任务短小、串行；失败后快速换路径。Unit 42 的措辞是「strong indicators」，没有说这是 proof，也没有指明用了哪个模型、是否有真人监督——这条边界必须保留，否则会把「工具为模型设计」夸大成「完全自主的黑客」。

暴露面仍然巨大。全球约 70% 的网站使用 PHP；Palo Alto Cortex Xpanse 统计 2,260 万个暴露实例可能受影响，Bitsight 扫描到近 3,700 万台互联网可达的 PHP 系统。补丁进度更值得警惕：Brandefense 的小样本跟踪显示，可读版本的站点中打过补丁的比例从 10-21 的 21% 升到 10-25 的 50%，但样本非随机，且大量站点隐藏版本号——隐藏版本不等于安全。

这件事的意义不在漏洞本身，而在时间尺度。防守方原来按「人以小时或天计」设计响应窗口，AI 代理把这个窗口压到「以分钟计」。如果一次入侵能在两小时内到达域控，那么「下一个工作日处理」就不是响应流程。

二、私募的钱还在涌，公开市场的门在关

同一个周末，四笔钱指向两个相反的方向。流入：DeepSeek 完成约 1,000 亿元人民币（约 150 亿美元）B 轮，宁德时代与腾讯领投，参与机构超过 15 家，彭博口径投前估值约 740 亿美元，并已聘中金担任 IPO 顾问、计划 2027 年初在上交所上市；SpaceX 完成 400 亿美元债务融资，主要用于采购 2027 年上半年交付的 GPU。退出：SK 海力士撤回 Solidigm 的百亿美元赴美 IPO，Anthropic 的公开版 S-1 迟迟不出现。

两个方向并不矛盾，它们定价的是同一条曲线。马斯克在同一表态里说得很直白：「债务市场几乎彻底关闭了融资通道」，凡不具备独立于 AI 数据中心的可观营收的企业都很难拿到钱，因此新云（neocloud）将出现整合。SK 海力士撤回 IPO 的理由也是「资本市场环境与股价走势」——公告后股价反而涨 4.42%，说明股东宁可把优质资产留在母公司，也不愿在低位发行。

实体侧的紧缺没有缓解。英伟达与特斯拉合计投入约 28 亿美元（3.7 万亿韩元）支持三星电机扩建世宗厂 FC-BGA 载板产线，特斯拉的出资格外锁定 2029–2033 年五年供货；集邦把四季度一般型 DRAM 合约价涨幅从 +10%–15% 上修到约 +20%，高盛给出 2026 年 DRAM 供需缺口 -4.9%，为 15 年最严重。

于是形成一个拧巴的局面：产能被抢、价格在涨、私募在投，但公开市场不愿意为这些资产的估值买单。这个缺口最终要在 10-28/29 的三张财报和 SK 海力士的业绩说明会上被裁决。

三、政策同时落子：中国定到 2030 年的 6G 与智能互联网，美国把投资限制扩到生物技术与超算

10-24，中央网络安全和信息化委员会印发《国家信息化「十五五」规划》，人民日报 10-25 头版刊发。文件把 2030 年目标写得很具体：陆海空天立体化网络体系基本形成、新一代通信网全面建成、适时启动 6G 商用、国家区块链网络基本建成、智能互联网加快布局发展；总体布局为「建设三个体系、提升五个水平、夯实两个支撑」，部署十个方面任务、设置七个专栏。

这份文件的分量在于「五年期政策锚」，而不是短期订单。它不给投资额，也不指定技术路线，但把算力网络、卫星互联网、数据跨境流动便利化写进了同一张施工图。对国内光模块、交换机、卫星、IDC 是中期方向性利好，不能当成季度业绩。

大洋另一侧，美国财政部 10-22 公布 COINS 法案实施草案，在半导体、AI、量子计算之外拟新增生物技术，并把超级计算、高超音速系统纳入管制，意见征求至 12-07。中国商务部 10-24 晚回应「严重关切、坚决反对」，并称保留采取相应措施的权利。这是草案，不是生效法规——写「已实施」就是错的。

两条政策线交叠的地方是芯片与算力。再加上稀土管制暂停期被顺延至 2027-01-10（暂停执行、不是废止），以及台积电开始向设备商询问「无稀土电机」的可行性，可以看出：技术管制的重点正从整机转向材料、设备与资本流动三个更细的层面。

数据存疑与信源分歧

  1. Anthropic S-1 递交日：10-23（Yahoo 引知情人士）、10-25（Gate 汇总）、10-26（IFR）三套计划口径并存，而 10-24 EDGAR 检索无结果、截至 10-25 仍无公开文件。归因：把「计划窗口」写成「已发生」。本期只承认「机密递交」与「未公开递交」两个事实。

  2. Anthropic 估值：约 2 万亿美元（路透报道的目标上限）、约 1.5 万亿美元（投资者讨论）、9,650 亿美元（6 月 H 轮投后，已成交）。归因：目标、讨论、已成交三个层级被混用。

  3. Anthropic 上半年净亏：807 亿美元（Yahoo，GAAP）、其中 720 亿美元为可转换债等会计费用（Benzinga）、另有 420 亿美元「会计调整」的说法（Gate 另一篇）。归因：420 亿疑为 2025 年数据被套用，期间与科目都不同。引用净亏必须同时给非现金会计项。

  4. Anthropic 算力承诺：7,500 亿美元（WSJ 看到的草案）、6,000 亿（上期二手）、4,500 亿（更早二手，点名四家云与租赁上限）。归因：期限、是否含租赁与电力、是否含未行使选项均不同。

  5. DeepSeek 估值：投前 5,000 亿元（上期）vs 740 亿美元（本期彭博，约 5,250 亿元）。归因：汇率与投前/投后口径，量级一致，不构成矛盾；但「1,000 亿元 / 150 亿美元」在传播中常被混用。

  6. 12 月加息概率：78%（汇通引 CME，10-24）、72%（智通，10-26）、68.9%+7.3%（东方财富引 CME，10-26 早盘，合计 76.2%）。归因：时点差异叠加「至少加一次」与「恰好 25bp」两个问题。安全写法是给 69%–78% 区间并注明口径。

  7. 10 月维持利率概率：92%（汇通）、90%（CME）、93.5%（Polymarket）。归因：CME 与 Polymarket 是不同市场，同一市场不同时点也会漂移。不影响「按兵不动是压倒性预期」。

  8. 美联储主席姓名：智通与 xaudaily 写「凯文·沃什」（2026 年 5 月就任），国际金融报 10-26 的日历写「鲍威尔召开新闻发布会」。这是直接错误，不是口径差异；引用该日历的条目需逐条复核。

  9. SK 海力士 Solidigm IPO：募资 100 亿（财联社）vs 100–150 亿美元（路透/彭博）；估值最高 1,000 亿（Quantli）vs 1,500 亿美元（融中财经、芯早报）。归因：募资区间与估值区间被交叉配对，形成四套组合；原始公告只说「暂停」，未给数字。

  10. SK 海力士跌幅：近一个月 -32.59% vs 距 6 月高点约 -60%。两个都对，区间不同。同类问题：野村口径「存储板块自高点回落 37%」。

  11. 苹果与英伟达市值排名：10-23 盘中苹果 5.12 万亿、英伟达 5.10 万亿，苹果第一；收盘苹果 -0.14% 至 5.07 万亿、英伟达 -0.59% 至 5.08 万亿，英伟达第一。多家媒体只截取盘初并冠以「市值超越」，未写收盘反转。

  12. A 股 10-23 成交额：19,562.58 亿元（沪深）、1.97 万亿（全市场含北交所）、接近 1.98 万亿（沪深北）。归因：分母不同。上涨家数也有 4,520 与 4,526 两个口径，差异来自统计时点。

  13. 9 月集成电路出口增速：+108.1%（海关/界面）vs +99.1%（外交学者，经中国经济网转引）。归因：统计范围（集成电路 vs 含零部件的电子元件）或计价货币不同，也可能一方为初值。写「翻倍」安全，写具体百分比必须带来源。

  14. PHP2Shell 受害者范围：亚洲日报称「法国、芬兰、丹麦、荷兰四国政府网络」，Unit 42 原文只写「a European government entity」，未指明国别、未归因组织。归因：二手把「多国暴露/扫描」扩写成「四国已被渗透」。本报告只采用「一个欧洲政府实体」。

  15. PHP 暴露面：2,260 万实例（Cortex Xpanse，可能受两个 CVE 影响）、近 3,700 万台（Bitsight，互联网可达 PHP 系统）、约 70% 网站（Wiz，语言占比）。三个分母完全不同，混用会得出「3,700 万网站被攻破」的错误结论。

  16. LSEG 收购 Octus：35.35 亿美元（LSEG 公告）vs 33.5 亿（inforcapital 标题与正文，正文写 3.35 billion）。归因：标题截断/单位误写，以公告为准。

  17. iPhone Duo 首销日与首日销量：首销日有 10-23（彭博、苹果官网）与 10-24（部分中文稿）两说，归因是时区与门店当地日期；首日销量有「线上 53 万、破百万」（自媒体，称天猫 50 万+）与「门店半小时 0 成交」（杭州黄牛）两说，前者是线上下单、后者是线下转售成交，不是同一指标。可以写「门店售罄、交付排到 2027-01」，不能写「首日破百万」。

信源说明

本期以一手文件与官方渠道为骨架：人民日报（《国家信息化「十五五」规划》，10-25 04 版）、海关总署数据（经界面新闻与中国经济网转述）、上交所与中证指数公告（经新华财经转述）、港交所公告（经经济日报转述）、LSEG 公告条款（经 Wall Street Sync 与 The Daily Brief 转述）、国家统计局 1–8 月工业企业利润数据。

权威媒体用于事实层：路透社（经腾讯新闻、Gate 转述）、彭博（经 The Edge 转述）、WSJ（播客文字稿可直接阅读）、中央社、经济日报、新华财经、财联社、央视财经、央广网。技术与安全细节取自 Unit 42 简报（经 Data Studios 逐条拆解）、Brandefense 的补丁率统计、PHP 基金会安全公告与 OpenAI 博文（经凤凰科技、虎嗅转述）。

只作线索、不作结论的三类：芯早报等自媒体聚合（高通裁员、IDC Q3 出货 -22%）、今日头条与网易号自媒体（手机溢价、首日销量）、加密站点汇总稿（Anthropic 财务细节）。

建议重点复核：① Anthropic 公开版 S-1（EDGAR 搜「Anthropic PBC」，出现后重核营收、净亏、云承诺三项）；② 高通全球裁员与手机芯片收入 -20%（等官方声明或 8-K，查 11 月 WARN 通知）；③ IDC Q3 全球手机出货 -22%（查原文与口径）；④ DeepSeek 1,000 亿元 B 轮（查工商变更与官宣，核投前/投后）；⑤ PHP2Shell 的政府受害者名单（以 Unit 42 原文与各国 CERT 公告为准）；⑥ 日本、韩国企业停服名单（逐家查官网或交易所公告）；⑦ SK 海力士 Solidigm 的募资与估值（以公示与承销商文件为准，10-28 财报会问替代融资方案）；⑧ 9 月集成电路出口 +108.1% 与 +99.1% 的差异（查海关总署原始月报）。

本期判废的信源类型：把不同年份发布会与不同季度出货数据混排、且不给原始链接的「AI 拼贴站」；域名与内容不匹配、页面塞满无关新闻列表的仿冒站与内容农场；只保留时间戳、无法回溯原文的 live-blog 聚合页；以及把「计划」写成「已发生」的稿件——后者在本期最集中地出现在 Anthropic S-1 与 SK 海力士 IPO 两件事上。

← 全部速报完整报告（含全部信源）→