AI 與科技新聞摘要 - 2026/10/28

如果你替一個政府機關管採購與資安，今天桌上會有三份東西：一份折扣條件、一份漏洞公告，還有一份只有匿名消息來源的報導。哪一份該先處理？我的排法是：先看你最不知道自己有沒有在用的那一份。

一、Brotli：被列進清單的是一個你大概不記得裝過的函式庫

CISA 在 10 月 27 日公告，把兩個漏洞加進它維護的已知遭利用漏洞（KEV）清單。其中一條的原文寫法是「CVE-2026-111497 Google Brotli Unchecked Return Value Vulnerability」，同批另一條是 Adobe Commerce 與 Magento 的檔案上傳漏洞。CISA 那頁引用 BOD 26-04，要求優先修補，但頁面上沒有寫具體期限。

細節我只找到一份二手報導：sqmagazine 在 10 月 28 日發表的文章。它說遠端、未經驗證的攻擊者可以用特製的 Brotli 壓縮串流破壞解碼器的記憶體，洩漏記憶體內容、造成服務中斷，或有機會執行任意程式碼。它列出受影響的軟體包括 Node.js、.NET、兩個 Python 套件、Bun、Envoy、Istio 與 PAN-OS，並說 Node.js 與 Google 已發修補，Microsoft 發了緊急的 .NET 更新，Palo Alto 的 PAN-OS hotfix 仍在推出。這些全是那篇文章的說法，CISA 頁面沒有。那篇文章還寫漏洞是「OpenAI 的研究人員」回報的，但沒說他們是否用了 AI 工具，所以這件事跟 AI 的關聯，我只能停在「回報者是 OpenAI 的研究人員」這一句。

這一則我多花了一點篇幅，原因跟 AI 無關。壓縮是那種每個系統都會用、沒有人會專門去盤點的零件。一個零件出問題，要回頭數有多少東西用到它，往往比修補本身還費工；上面那份清單只是一家媒體列出來的，我沒法確認它完整。換個角度問：如果你被問「你的系統裡有沒有 Brotli」，你能在一小時內回答嗎？答不出來的那種曝險，才是下行大、你又看不見的那種。

我的立場：這則的優先級高於今天任何一則有金額的新聞，理由是它在 CISA 的清單上，而那份清單收的是已知遭利用的漏洞。會讓我降級的條件：各家廠商自己的公告顯示受影響版本範圍很窄，與 sqmagazine 列的清單差很多。

原文來源：CISA：Adds Two Known Exploited Vulnerabilities to Catalog，2026-10-27；sqmagazine（二手報導），2026-10-28

二、GSA 折扣：價格可以對帳，10 億美元是賣方的估計

Anthropic 在 10 月 27 日宣布擴大與 GSA 的 OneGov 協議。官方頁面的原文是「the discount applies across every product surface」，折扣範圍涵蓋每一個產品介面；另一句是「The discount also extends to state, local, tribal and territorial governments.」，也就是對象延伸到州、地方、部落與領地政府。

數字有三個，說話的人都是 Anthropic。第一個，協議提供的折扣「are estimated to save the government $1 billion」，估計省 10 億美元，這是它自己的估計，頁面沒給估算基準。第二個，約 500 個美國聯邦、州與地方政府組織現在使用 Claude。第三個，聯邦民事機關的使用量一年內成長約 20 倍，我讀到的原文只有這一句，沒有帶起點的基準，所以 20 倍我只當成它對自己成績的描述。官方頁同一句的後半是「including when agencies buy from us directly today and through cloud providers in the coming months」，也就是機關現在直接跟它買，以及之後幾個月透過雲端供應商買，折扣都適用。

二手搜尋摘要提到更具體的折扣幅度與產品名稱，官方頁我沒讀到那些字，所以不寫。

這一則我的看法比較克制。折扣本身是價格，是對方開出來的條件，誰都能對帳；省多少錢是情境推算，賣方算的和買方算的常常差很多。另一層是集中度：一個折扣適用所有產品介面、又延伸到各級政府，採購變簡單，同時也讓更多機關綁在同一家供應商的同一份條件上。這是我的讀法，不是頁面寫的。我會改變看法的條件，是 GSA 或哪個機關公布實際支出與比較的基準價。

原文來源：Anthropic：Expanding our partnership with GSA，2026-10-27

三、IBM：給 agent 發身分證，還要有人記得更新

IBM 在亞特蘭大的 TechXchange 2026 發表 AI agent 的身分與控制。以下內容是我對新聞稿的轉述，不是逐字。HashiCorp Vault（HashiCorp 是 IBM 旗下）延伸到 AI agent，發給每個 agent 範圍受限的短效憑證；Agent Identity 記錄每個 agent 的擁有者、生命週期狀態與授權範圍，與 Vault 搭配，做到最小權限與即時撤銷。

稿子裡最有意思的是它自己的狀態標示。Vault 2.2、Agent Identity、watsonx Orchestrate 的 evaluate 能力、IBM Concert 與 Terraform policy 標為正式可用（generally available）；Secure Hub、Terraform Developer Portal 與 Terraform remote MCP server 是公開預覽；Integration Intelligence Hub 與 watsonx Orchestrate 的 discover、contain 是技術預覽。IBM Z Atlas 則是同一份稿子前後不一致：內文段落寫技術預覽，可用性段落列公開預覽。我不替它判斷哪個對。買之前要問的是，你要的那一項，標的是哪一種。

稿中引了 Gartner：預測 2028 年財星 500 大企業平均使用超過 150,000 個 AI agent，另外只有 13% 的組織認為自己有適當的 AI agent 治理。這是 IBM 新聞稿的轉引，Gartner 原報告我沒讀到。NVIDIA 的 John Fanelli（Vice President, Enterprise Software）說：「Businesses need enforceable control over how agents operate and what they can access,」；稿中的 NVIDIA OpenShell 整合是 IBM 與 NVIDIA 的合作，Fanelli 說話的立場是 NVIDIA。IBM 的 Dinesh Nirmal（Senior Vice President, IBM Software）說：「The winners in enterprise AI are changing how their business runs, not simply adding more AI to it,」。

身分登記冊要有人持續更新才有用。登記冊上寫的擁有者，若已經離職，撤銷權限就沒有人負責。如果 IBM 或客戶公開實際部署裡 agent 的擁有者欄位多久被確認一次，我會把這一則從「產品發表」改成「已有人在用」。

原文來源：IBM Newsroom：IBM Introduces Identity and Control for AI Agents，2026-10-27

四、OpenAI 與 Google TPU：據報導，其餘都沒有

The Information 在 10 月 27 日報導，Reuters 在 10 月 28 日轉報：OpenAI 計畫購買 Google 的 TPU。消息來源是一位「a person familiar with the matter」，另有一則職缺，內容是徵人「lead the optimization」OpenAI 模型在 TPU 上的表現。

未知的比已知的多：價格、晶片數量、交付時程、TPU 世代、是買還是租、是否已簽約，我讀到的整理文章都沒有。截至 10 月 28 日，OpenAI 與 Google 都沒有證實，我也沒找到任何一方否認。這種消息，今天只能當成兩家公司可能談了什麼的線索。如果任何一方公開確認，或交易文件出現，我再回頭寫它值多少。

原文來源：explainx：OpenAI Google TPU purchase，The Information 的說法與已驗證部分，2026-10-28

五、Genie 4：每一句都是 Google 說的

Google DeepMind 在 10 月 27 日發表 Genie 4。官方頁面的開場是「Today, we are announcing Genie 4, our new world model,」。頁面說可以用自然語言即時修改模擬，也說這是「our first real-time world model to generate audio natively」，也就是第一個原生生成音訊的即時世界模型。這個「第一」是 Google 自稱，沒有第三方比較。

限制寫得很樸素：頁面說它「can maintain coherent environments over short sessions」，在短時間的工作階段內維持連貫的環境。解析度與最長時間頁面都沒給，我也不補。目前只對受信任的測試者開放研究預覽，之後規劃給 Google AI Ultra 訂閱者（Project Genie），並對 Gemini API 與 Google AI Studio 的早期夥伴開放，有候補名單。示範裡有 Apptronik 的 Apollo 人形機器人，頁面也提到 Gemini 3.8 Flash 在迴圈中引導 Genie 4。

沒有可驗證的規格，這則的判斷就只能延後。要我改口，需要有人拿到存取權之後公開量到的連貫時間與畫質。

原文來源：Google DeepMind：Genie 4, a new generation of world simulation，2026-10-27

六、荷蘭：25,000 個職位，我只讀到一段報導

事件日期是 10 月 26 日，Semafor 在 10 月 27 日報導。它的原文是「The Netherlands said it would cut 25,000 government jobs as part of AI-related savings」，說這相當於荷蘭整體公務員人力的 15% 以上，並說裁減「come alongside soon-to-be announced plans for deploying AI within the government」，與即將公布的政府導入 AI 計畫同時進行。

Semafor 那篇沒有時間範圍、沒有指名官員、沒有歐元金額。我看到的其他搜尋摘要在百分比與金額上說法不一，但我沒讀到那些報導的原文，所以只用 Semafor 這一段。裁減的職位怎麼和「AI 省下的錢」對起來，是這則最該追問的事，目前沒有任何一份我讀到的資料回答它。

原文來源：Semafor：Netherlands to slash state jobs as part of AI-related savings，2026-10-27

我自己的做法很簡單：下一份漏洞公告來的時候，先不問它嚴不嚴重，先問我能不能在一小時內說出「有沒有、在哪」。答得出來的公告，後面就是修補的工作；答不出來的，要處理的是更前面的那件事。

今天這幾則剛好排成一條線，差別在於你看得見自己擁有什麼的程度。折扣條件你看得見，它寫在合約上。TPU 的報導你看不見，因為那份東西不在你手上。Brotli 最麻煩，它在你手上，你卻不知道在哪。