今日脉络
今天的三条消息都在问同一个问题：你交出去的东西在哪里、以什么方式运行？远程访问工具 Tailscale 修复了让已有访问权限的人越权的漏洞；会计软件 Smart A 10 的开发商 Douzone Bizon 披露，外部人员用员工账号进入了开发服务器。两起事件都不是破门而入，而是从已经发出去的钥匙开始的。
AI 模型这边也是同样的道理。独立评测机构 Artificial Analysis 更改评分方式后的 v5 排行榜上，前三名只差 1 分；但同一个 Claude Opus 5.5，随思考深度不同，得分从 35 分到 58 分，每项任务成本相差约 10 倍。用什么设置，与选哪个模型同样重要。
Tailscale 1.104.4 修复 SSH 与 Serve 漏洞 4 个
Tailscale 于 10 月 26 日发布 TS-2026-014 至 017 四份安全公告，并在 10 月 28 日发布的 1.104.4 中全部修复。Tailscale 能把办公室和家里的电脑跨越互联网连成一个内网，Tailscale SSH 则是在这个网络里用命令行进入另一台电脑的功能。最严重的 TS-2026-014 出现在访问规则允许转发（在两台电脑之间另开通道）时，连接者可以打开只有管理员才能使用的内部通道。TS-2026-015 可通过一次会话不断占用内存使服务停止，另外两个来自把内部服务公开到网络的 Serve 功能。
前天报道的是漏洞在没有修复版的情况下被先行公开的阶段。此后 Tailscale 在调查进展页面确认，大部分属于权限提升，即已获准连接的用户可以超出所分配账号的权限操作。在修复版之前，它建议在 tailscaled 服务设置中加入 TS_SSH_DISABLE_FORWARDING=1 并重启，同时表示不需要所有人都关闭 Tailscale SSH。
如果你把用 AI 做的内部工具放在办公室电脑或服务器上，再从外面通过 Tailscale 连接，就属于这种情况。漏洞的起点不是随便哪个外人，而是已获准连接的设备或人员，所以访问名单里若还留着外包开发者、离职员工或公用笔记本，风险就更大。应把更新和清理名单当作一件事来做。
公告没有单独写明受影响的具体版本范围。Tailscale 表示将发布包含已确认漏洞与受影响版本的后续通告和技术说明，但没有给出日期。在那之前，只需看是否为 1.104.4 或更高版本。
Douzone Bizon 公告 Smart A 10 与 APO 备份可能泄露
Douzone Bizon 于 10 月 18 日公告，在会计与人事软件 Smart A 10 的开发服务器上发现入侵迹象。身份不明者使用员工的 VPN 账号（从公司外部进入内网的专用通道账号）登录内部系统并查询了数据。可能泄露的项目包括部分客户所管理的信息主体的姓名、居民登记号码后 6 位、银行账号、地址、手机号和邮箱，公司称居民登记号码后 6 位和账号已加密。10 月 23 日，公司又公告其备份服务 APO 备份因备份方案供应商产品的漏洞，出现部分加密数据外流的迹象。
公司在两份公告中都表示泄露尚未确认，只是提前告知可能性，且尚未确定涉及哪些客户的哪些信息。公司称备份数据全部加密，未发现加密密钥外泄的迹象。韩国科学技术信息通信部于 10 月 26 日将其定为重大事故并组建官民联合调查团；另据报道，公司方面称使用 Smart A 10 的企业超过 11 万家。
小公司和税务会计事务所会把员工工资和人事记录交给这类云端软件。即使自己没有被攻破，托管方被攻破也可能让员工信息外泄，而通知员工、防范冒充联系则是使用企业自己的责任。Douzone Bizon 提醒，不要回应冒充公司或入侵者、索要钱财或要求打开文件和链接的联系。
实际泄露范围、攻击者和准确的入侵时间仍在调查中。公司称办公平台 WEHAGO 未受影响，但建议作为预防开启两步验证。公司表示调查结果出来后将再次通知涉及的客户和项目。
Artificial Analysis v5：前三名仅差 1 分
独立评测机构 Artificial Analysis 于 10 月 27 日将 Intelligence Index（把多项测试合成一个 AI 模型综合分）更新为 v5。首次公布时，Claude Opus 5.5 得 58 分，GPT-6 Astra 得 57 分，GPT-6.1 Sol 得 55 分，均为让模型思考最深的设置。次日，Google 的 Gemini 4 Carbon 以 59 分登顶，但该模型目前只向部分用户开放。
v5 中约 60% 的测试使用未公开题目或隐藏答案。公开题目可能在训练时已被模型见过，这一变化旨在用模型从未见过的题目衡量实力。指数还改为知识工作、编程、科学、通用各占 25%，因此不应与旧版本分数直接比较。
对实际工作更有用的是不同设置之间的差距。Claude Opus 5.5 思考最深时得 58 分、每项任务 10.04 美元，思考最浅时得 35 分、0.98 美元。这正是 Claude 的 effort、ChatGPT 的推理等级这类选择思考时长的菜单；按工作挑选这一设置，可能比换成排名第一的模型更能影响成本。
综合分并不是所有工作的排名。Carbon 在 9 项测试中有 4 项第一，但在交付编程工作的评测里，搭配 Claude Code 的 Opus 5.5 得 62 分，高于 Carbon 的 59 分。Carbon 每项任务成本 7.76 美元，低于 Opus 5.5 最高设置（10.04 美元），高于 GPT-6 Astra 最高设置（6.25 美元）。
今天可以做的事
在每台运行 Tailscale 的电脑上，于命令行输入 tailscale version 查看版本，并升级到 1.104.4 或更高。暂时无法升级的服务器，在 tailscaled 服务设置中加入 TS_SSH_DISABLE_FORWARDING=1 后重启。
如果公司使用 Smart A 10 或 APO 备份，请确认是否收到 Douzone Bizon 的单独通知，并提醒员工警惕冒充短信和电话。在韩国的个人可以使用金融监督院的个人信息泄露者事故预防系统、阻止冒名开通手机的 M-Safer，以及一次查看本人名下所有账户的账户信息综合管理服务。
打开公司 VPN 与远程访问账号名单，删除离职员工、外包人员和不再使用的设备。今天两起安全事件都是从已经发放的账号开始的。
挑一项经常交给 AI 的工作，用同一模型分别以低、中、高思考深度运行，记下结果质量、耗时和用量。决定模型与设置的依据，应是自己工作中的差别，而不是排行榜上的 1 分之差。