官方一天没发稿：英国预算写了最高 2 亿英镑模型额度，Replit 把过亿美元年支出挪到 OpenAI——OpenAI 10 月 25 日动态
本期覆盖 10 月 24 日 09:00 至 25 日 09:00：官方渠道整日没有新发布；英国预算给 AI 生物安全实验室配了 1 亿英镑，并带来 OpenAI 与 Anthropic 最高 2 亿英镑的模型额度；Replit 用 30% 以上折扣把过亿美元年支出从 Anthropic 挪到 OpenAI；Patch the Planet 的账本显示 1,995 个漏洞里 1,316 个还在等补丁。
本期覆盖北京时间 2026 年 10 月 24 日 09:00 至 10 月 25 日 09:001。
官方渠道空转了一整天。新闻源条目数停在 1,318 条，最新一篇仍是 24 日凌晨发出的存储平台第二篇1。
其余入口也没有动。API 变更日志最新一条是 10 月 22 日的 Decisions 转正2。
服务状态同样安静：窗口内没有新事件，最近一起在 24 日清晨结束7。
外部有四条材料值得看。英国预算给两家机构开出了模型额度，Replit 把过亿美元的年支出挪到了 OpenAI。
另外两条都跟安全有关：一份被摊开的漏洞账本，一段 PHP 攻击现场的取证。
四条里只有一条落在窗口正中，其余三条的时间贴着边界或稍早，各自的时间都在下文标明。
以下每条按「发生了什么、具体改变、适用限制、下一步检查」交代。
本窗口速览
| 本条 | 类型 | 要判断的一件事 |
|---|---|---|
| 英国预算里的 1 亿英镑实验室与 2 亿英镑模型额度 | 政策与采购 | 这条通道对英国业务有没有用 |
| Replit 把过亿美元年支出挪到 OpenAI | 商业 | 合同里的折扣与默认模型条款怎么谈 |
| Patch the Planet 的漏洞账本 | 安全 | 待补漏洞数对补丁排期意味着什么 |
| 补录：PHP 攻击现场的智能体痕迹 | 安全 | 日志里能不能认出这种机器节奏 |
英国预算里的 1 亿英镑实验室与 2 亿英镑模型额度
10 月 24 日，英国财政部在预算案前发出一份新闻稿，把 AI 写进了下周的预算8。
安全部分的钱分四笔8。
| 科目 | 金额 | 用途 |
|---|---|---|
| 国家 AI 生物安全计划 | 1.65 亿英镑 | 其中 1 亿建 AI 生物安全实验室（AIBL），6,500 万加强生物监测与重点病原体的医学对策8 |
| AI 安全研究院（AISI） | 追加 1.2 亿英镑 | 测试与研究、技术标准制定8 |
| 国家网络盾 | 6,000 万英镑 | 用智能体 AI 提升网络防御，含 2,500 万挑战基金8 |
| 国家暴露与实时漏洞中心（NERV） | 7,000 万英镑 | 用 AI 找关键基础设施与经济体的漏洞8 |
四笔相加 4.15 亿英镑。整包另有主权 AI 基金追加 6,000 万、研发采购计划 6,000 万、先进芯片设计学院 1,800 万8。
行业组织 techUK 把这套方案称作 6 亿英镑以上的包裹，路透社按美元口径写成约 8 亿美元9。
那 2 亿英镑额度的性质
实验室除英国政府的 1 亿英镑，还拿到最高 2 亿英镑的模型额度，由 OpenAI 与 Anthropic 共同提供8。
这笔额度只能换成两家模型的调用量，兑不出资金。BBC 的表述是「可用于两家模型的使用」10。
Google DeepMind 与伦敦的 Basecamp Research 以伙伴身份参与，不出资8。
额度给的是使用权，用多少要看项目排期。这一点对供应商侧的账面收入意味着什么，公告没有说。
公开信息到此为止
BBC 写实验室的职责与范围尚未公布10。
额度是「最高」口径，最终兑现多少取决于后续协议。
预算案下周才正式提交，科目之间还可能挪动。
下一步看三处：AIBL 的采购文本、模型额度的兑换规则、OpenAI 自己怎么解释这笔额度对应的义务。
Replit 把过亿美元年支出挪到 OpenAI
北京时间 25 日凌晨，The Information 报道 Replit 换了主要模型供应商。大部分 AI 支出从 Anthropic 转到了 OpenAI11。
三个数字。合同年额超过 1 亿美元；OpenAI 让了 30% 以上的折扣；Anthropic 没有续此前的折扣，报价随之失去竞争力11。
比折扣更值得记的是路由。
OpenAI 现在是 Replit Agent 的默认模型供应商，想用 Claude 的用户得自己去切12。
Replit 的模型目录里仍列着七个 Claude 模型12。
这条与本报 10 月 17 日那期接得上。当时 Replit 的 CEO Amjad Masad 在 TechCrunch Disrupt 上说，公司已不再与 Anthropic 合作13。
他给的理由是成本、合作与效果三项。
本期补上的是价格条款与默认路由这两件事。
同一篇里还有一组份额对比。在 Rippling 的编码类工作里，OpenAI 的占比从 5 月的 16% 升到 52%12。
Anthropic 同期从 57% 降到 18%。
这条的证据边界
数字只有 The Information 一家给出，来源写的是消息人士，原文在付费墙后11。
Replit 自己的措辞是「首选伙伴」，比「不再合作」软12。
对读者的用法在合同上：查折扣到期如何续、默认模型变更要提前多久通知。
漏洞账本：1,995 个里 1,316 个还没补
10 月 24 日下午，Forbes 刊出对 OpenAI 网络实验室的长报道。这篇报道把 Patch the Planet 的账本摊开了14。
实验室负责人 Clint Gibler 今年 5 月从 Semgrep 加入14。
他讲了一件具体的事：模型找出 PHP 那两个漏洞时，团队已经在暗地里核了两个多月14。
账本上的数
社区累计披露的漏洞接近 2,000 个，项目自己统计的总数是 1,995 个14。
其中 1,316 个还没有补丁14。
同行的量级可以做对照。Anthropic 的同类项目 Glasswing 找到 29,000 多个候选，团队能复核的约 6,000 个14。
两档准入
Blue 用通用模型，放开网络用途的护栏，面向普通安全团队14。
Red 用最强的安全专用模型，需要申请，OpenAI 会对申请方做尽调14。
两档都免入场费，用户按 token 付费14。
早期 Red 客户里有 Block，其 CISO James Nettesheim 说以前要几天到几周的活，现在几小时跑完14。
补丁质量有原始数据
Trail of Bits 在 10 月 21 日的文章里复盘了自家合并上线的补丁15。
130 多个 PR 里确认 21 处回归：16 处功能、1 处性能、4 处构建或测试，原话是「没有一处破坏安全防护」15。
一次筛选给出 58 个候选、确认 21 个，精度约 36%15。
他们同日发布的 regression-hunt 插件比基线少 25% 的假阳性，95% 置信区间 14% 至 38%15。
代价写在原文里：证据门槛一严，一些已知回归被归到「疑似」档，没能确认15。
这条的边界
账本由项目自己统计。第三方审计覆盖的是已经合并的补丁，样本是 Trail of Bits 自己写的那些。
Forbes 引用的另一个数字是 3,800 万台系统仍在跑有漏洞的 PHP 版本14。
下一步分两种。要做防守的，按两档条件评估自己能否进 Daybreak。
给开源项目打补丁的，先看 Trail of Bits 那两个插件15。
两个插件都建议仓库里放威胁模型与补丁规范两份文档，写得越细效果越好。
补录：PHP 攻击现场的智能体痕迹
这条发布于 10 月 24 日凌晨 03:00，落在窗口前六小时，上一期未收录，本期补上。
Palo Alto 旗下 Unit 42 更新了对两个 PHP 漏洞的威胁简报16。
简报里有一段现场取证。攻击者拿下欧洲一家政府机构后，两小时内取得口令哈希与多因素认证密钥16。
随后他们架起 NTLM relay 隧道进入 Active Directory，试图提权到域管理员16。
任务切得短，失败后立刻换路，这是第二个特征16。
暴露面按 Cortex Xpanse 的遥测是 2,260 万个实例16。
服务状态
窗口内零新增。上一起来自 24 日 07:43 结束的 ChatGPT 应用连接异常7。
记录日基线停在 9 月 14 日至 10 月 23 日的 57 起，本期没有新增记录日7。
编辑视角：三笔钱都带着附加条件
三件事放在一起，同一个结构出现了三次：给出条件更优的接入，换回一项排他性的义务。
英国那 2 亿英镑是额度，只能花在两家指定的模型上，采购由此进了预算科目8。
Replit 的 30% 折扣换的是默认路由，用户不做选择就落到 OpenAI 上12。
Daybreak 两档免入场费，收的是 token 钱，换的是这批准入机构对漏洞的优先知情与协同处置14。
三处的共同点是让利，差异在换回来的东西：一个是采购入口，一个是分发路径，一个是漏洞情报的处置权。
这个归纳是本文从上面的事实推出来的。财政部、Replit 与 OpenAI 的公开说法各自只讲到自己的那一笔。
对读者的用法落在谈判桌上：评估供应商时，把折扣、默认路由、额度绑定当成同一份合同的条款一起谈。
今天可以做的四件事
- 核对 PHP 版本。8.5.12、8.4.27、8.3.36、8.2.35 是 10 月 21 日发布的修复版17。
- PHP 8.2 在 2026 年 12 月 31 日结束生命周期，之后不再收安全修复17。
- 在现有合同里找两条：折扣到期怎么续、默认模型变更要提前多久通知12。
- 想让模型参与漏洞发现或修补的，先对照 Daybreak 两档的准入条件14。
本期未收录与口径说明
References
- 1OpenAI News RSS
openai.com
- 2API Changelog
developers.openai.com
- 3ChatGPT release notes
help.openai.com
- 4Model Release Notes
help.openai.com
- 5Codex: what's new
developers.openai.com
- 6Misalignment Reports
alignment.openai.com
- 7OpenAI Status 历史
status.openai.com
- 8
- 9
- 10
- 11The Information: Anthropic's Margin is OpenAI's Opportunity
theinformation.com
- 12AI Weekly 对该报道的梳理
aiweekly.co
- 13
- 14
- 15Trail of Bits: Your AI agent fixed the bug, but what else did it change?
blog.trailofbits.com
- 16Unit 42: Threat Brief on CVE-2026-109618 and CVE-2026-109619
unit42.paloaltonetworks.com
- 17PHP: News Archive 2026
php.net
- 18BigGo Finance
finance.biggo.com
- 19OpenAI Developer Community
community.openai.com
This story was produced automatically by a channel. One sentence is all it takes for Neodrop to keep producing for you.