AI 與科技新聞摘要 - 2026/10/30

同一個季度，兩家雲端大廠交出的成績單都很漂亮，其中一家在財報隔天就去借了錢。借錢本身不稀奇，我在意的是用途那一欄寫了什麼，以及它旁邊幾個長得很像、其實不是同一件事的數字。

一、Amazon：AWS 年增 39%，同一份新聞稿裡有三個跟花錢有關的數字

Amazon 在 10 月 29 日發布第三季成績。淨銷售增加 12%，到 201.9 billion 美元，去年同季是 180.2 billion。AWS 分部銷售年增 39%，到 46.0 billion 美元，IR 頁面另寫 39.3%，並稱這是將近五年來最快的成長。AWS 營業利益 17.8 billion，去年同季 11.4 billion，用表格的百萬美元算，營業利益約佔銷售的 38.7%（我算的：17,773 除以 45,984）。全公司營業利益 28.1 billion，去年同季 17.4 billion。

CEO Andy Jassy（President and CEO, Amazon）的說法是：「Our AWS investment in functionality and infrastructure is working,」，並提到第三季年增超過 39%，年化營收 184 billion 美元（他寫的是 revenue run rate；46.0 乘 4 剛好 184，我算的）。他還寫了一句：「There has never been a trillion dollar revenue business, and we may have two of them in the next 5-10 years.」這是 CEO 對未來的預測，不是財報數字。

好消息講完，換花錢那一側。同一份新聞稿裡，跟支出有關的數字至少有三個。過去十二個月的自由現金流是流出 42.4 billion 美元，期間是十二個月，不是單季。公司說 2026 年 cash capital expenditures 預期約 220 billion 美元，那是全年指引，帶一個「約」。現金流量表上的 Purchases of property and equipment，截至 9 月 30 日的三個月是 77,259 百萬美元，九個月是 175,670 百萬美元。這三個量看起來像同一件事的三種說法，其實各算各的，我不互相加減。

我只問自己一個反過來的問題：成長 39% 的時候，負 42.4 billion 看起來是投資；成長掉下來的時候，同一個數字會被怎麼讀？這題要等之後的季度才有答案。

原文來源：Amazon IR：Amazon.com Announces Third Quarter Results，2026-10-29；SEC 8-K 附件 99.1，2026-10-29

二、Microsoft：財報隔天發債 250 億美元，用途寫的是「一般公司用途」

Microsoft 在 10 月 28 日公布 FY27 Q1（截至 9 月 30 日）。營收 92.3 billion 美元，年增 19%；Microsoft Cloud 營收 63.9 billion，年增 30%；Azure 營收年增 48%；GAAP 淨利 36.6 billion，年增 32%。CFO Amy Hood（EVP and CFO）的說法是：「Results exceeded expectations across revenue, operating income, and earnings per share.」現金流量表上的 Additions to property and equipment 是 39,367 百萬美元，新聞稿本身沒有用 capex 這個詞。

隔天的債券，我只讀到二手。以下全部是 TechStartups 轉述 Microsoft 聲明與 Reuters，我沒讀到一手公告。Microsoft 在 10 月 29 日宣布定價，金額 25 billion 美元，共 10 檔 senior unsecured notes，到期日從 2028 年到 2066 年，聲明稱預計 11 月 4 日交割。用途的原句是：「Microsoft intends to use the net proceeds from the offering for general corporate purposes,」，後面列的範圍包含營運資金、capital expenditures、股票回購、併購與償債。Reuters 的說法是，這是 Microsoft 九年多來首次發行美國投資等級債券。Hood 被轉述說：「We’re fortunate to have access in the debt markets, given where our ratings are, and we haven’t yet tapped that.」下單量有兩個來源的數字對不上，我不寫。

把兩家的資本支出相關數字攤開，會看到這張表：

我的立場：這筆債現在不能讀成「為 AI 資料中心借的」。我讀到的轉述裡，聲明列了五種用途，capital expenditures 只是其中一種，沒有一個字寫 AI。Amazon 那邊同樣只能讀到十二個月自由現金流是負的，沒有哪份文件把「花錢」和「借錢」接在一起；Amazon 有沒有發債我沒查，所以那個方向我也不下結論。上表最後一列與前面幾列是不同公司各自的科目名稱與定義，我不拿它們相除。債的性質倒是可以說：到期日是固定的（2028 到 2066，二手說法），營收成長不是。這是債本身的特性，不是我對 Microsoft 的判斷。

會改變我看法的條件：之後的公開文件把這筆債的用途寫到資料中心，或 Hood 在電話會議上點名。我手上的材料裡兩種都沒有。

原文來源：Microsoft：FY27 Q1 Press Release，2026-10-28；TechStartups（二手轉述），2026-10-30

三、CISA 點名 GitLab 與 Cisco：修補是 10 月 12 日（二手說法），被點名是 10 月 29 日

CISA 在 10 月 29 日把兩個漏洞加進已知遭利用漏洞（KEV）清單，頁面標題寫 Two。一個是 CVE-2026-97229，GitLab Community Edition 與 Enterprise Edition 的 Integer Overflow or Wraparound；另一個是 CVE-2026-76418，Cisco Secure Firewall ASA Software 與 Cisco Secure FTD Software 的 Unchecked Return Value to NULL Pointer Dereference。頁面引用 BOD 26-04 要求優先處理，沒有寫具體期限。Cisco 那條我只有 CISA 這一行，沒讀 Cisco 的公告，所以影響範圍我不寫。

GitLab 的細節只有二手，來自 cybersecuritynews。它說 CVSS 是 10.0（GitLab 的評分），10 月 12 日釋出修補，版本線是 19.2.8、19.3.4、19.4.2，KEV 到期日是 11 月 1 日。到期日 CISA 頁面沒寫，版本號也請以 GitLab 官方公告為準，那份我沒讀。該文自己也說，CISA 的警示沒有指出攻擊者、受害者或規模。

有一件事我調和不了：CISA 的分類是 Integer Overflow，二手文章說成因是 CI/CD 設定中的正規表示式檢查不足。兩個說法可能是同一個漏洞的不同切面，也可能其中一個轉述錯了，我讀不出來。

日期我重算過：10 月 12 日到 10 月 29 日是 17 天（我算的）。這 17 天容易被讀成暴露窗口，但我只知道修補日與點名日，不知道被利用從哪天開始。所以我的立場是，這 17 天只能說「有補丁的漏洞，後來被確認遭利用」，不能說「晚了 17 天才發現」。要我改口，需要 GitLab 或 CISA 公布最早的被利用時間。手上有自架 GitLab 的人，現在就去查版本，這比讀完這一節更有用。

原文來源：CISA：Adds Two Known Exploited Vulnerabilities to Catalog，2026-10-29；cybersecuritynews（二手），GitLab 整數溢位漏洞

四、PHP2Shell：8 天後的進展，是一次撤回

這一則 10 月 21 日我寫過，漏洞本身不重講，只寫之後的進展。Palo Alto 的 Unit 42 頁面標示「Published:October 29, 2026」，更新註記是「Updated October 29, 2026 at 11:00 a.m PT to add details on a campaign…」。

最值得記的一句是：「We have retracted our previous update from October 23.」10 月 23 日那次更新，原本說觀察到歐洲政府機關受害後的活動；後來他們無法確認初始入侵與這兩個 CVE 有關，在 10 月 25 日撤回。如果你看到的是 10 月 23 日那一版，請以撤回為準。

規模的數字有兩個，口徑完全不同。Unit 42 寫的是「approximately .02%) of our global installed base has internet-facing management interfaces configured and were impacted.」分母是 Palo Alto 全球裝機量，原文沒給絕對台數；我拿到的只是句子片段，分不出 0.02% 指的是「設定了對外管理介面」還是「受影響」。另一個是 25 台，來自 Unit 42 頁面引用的 Dream Research 文章標題：「Chained PHP2Shell Exploit Roots 25 Servers, including US Government Servers」，這個數字是 Dream Research 的，不是 Unit 42 的，那篇文章我沒讀到，分母也不知道。

10 月 21 日我寫過一個條件：幾週後若仍沒有大規模入侵的確認，我會把「尾巴」收窄。8 天後（10 月 21 日到 10 月 29 日，我算的），出現了入侵的說法，但兩個數字的分母我都不知道，口徑又不能互相對照，沒辦法拿來判斷規模，所以我維持原判：不收窄，也不加碼。這一則反倒讓我多記一件事：廠商自己也會撤回自己的更新，第一版說法放不了多久。

原文來源：Palo Alto Networks Unit 42：CVE-2026-109618 與 CVE-2026-109619，更新於 2026-10-29

五、LlamaIndex 的文件解析規則草稿：把「看不清楚」寫成規則

這一則的發布日是 10 月 28 日，比其他幾則早，所以標清楚日期。LlamaIndex 發表 Document Parsing Protocol（DPP）0.1，作者 Gauthami Polasani 與 Pierre-Loic Doulcet，原文是「Today we’re publishing working draft 0.1.」共 140 條規則，涵蓋 text、tables、forms、charts、diagrams 等。他們把它稱作「an answer key for document parsing, with the reasoning behind each hard call.」，由 LlamaIndex 為 ParseBench 標註頁面時遵循的規則演變而來。

文章舉的例子很具體：空欄位標 [blank]，核取方塊保留 [x] 或 [ ]，圖表轉成印出數值的表格，看不清楚的文字標 [illegible]。意見回饋走 GitHub issue 與 PR，原文說這是草稿、需要大家的意見。

對我有用的是最後那個例子。解析結果最危險的狀況，是下游分不出「這裡沒有字」和「這裡有字但沒讀出來」，而標註規則把後者寫成一個固定記號。我只讀到公告文章、沒有規則全文，其餘規則好不好，我評不了。我讀到的部分沒寫授權，也沒列 LlamaIndex 以外背書的組織。

原文來源：LlamaIndex：Introducing the Document Parsing Protocol，2026-10-28

六、台灣半導體產業協會：2026 年成員產值預估，只讀到導言

Digitimes 在 10 月 30 日報導（署名 Monica Chen, Hsinchu），台灣半導體產業協會（TSIA）預期成員的總產值在 2026 年會超過新台幣 9.1 兆元（279.5 billion 美元），年增 40.9%，原因是 AI 半導體需求成長。這篇是付費牆，我只讀到導言，內文與理由我讀不到。這是預估值，不是實績。

原文來源：Digitimes：TSIA 2026 年預估，2026-10-30

今天有幾個日期是文件上寫死的：10 月 12 日（GitLab 修補，二手說法）、10 月 29 日（CISA 點名）、11 月 4 日（Microsoft 聲明預計的交割日，二手轉述）。前兩個我已經算過距離，第三個我沒有任何可以對照的東西，只能等。交割那天，用途那一欄會不會比「一般公司用途」多寫一個字，我不打賭，只會回頭去看。