AI 行业快讯（2026-10-25）：AI 回报只在科技业？蚂蚁入局决策模型、Brotli 漏洞演化成 HTTP2Shell

1. Apollo 首席经济学家：科技业之外，AI 还没有交出任何可测量的回报（10/24）

Apollo 首席经济学家 Torsten Slok 发布数据简报（HN 466 分），给企业 AI 投资热泼了盆数据冷水：对比「七巨头」（Mag 7）与标普 500 其余 493 家主流企业——人均营收与利润率前者持续上升、后者完全持平；旧金山联储的利用率调整后全要素生产率（TFP）序列中也看不到 AI 拉动的迹象。结论浓缩成两句话：「AI 故事将由 S&P 493 决定，而不是 Mag 7」「AI 或许是伟大的计算器，但商业中的智能主要是判断力」。

这不是否定 AI，而是点破回报的分布：目前 AI 的财务收益几乎全部沉淀在科技巨头内部，主流企业的 token 支出正在变成挤压利润率的成本中心。对企业决策者的操作建议：把 AI 预算从「战略信仰」科目挪回「投资回报」科目——每个项目绑定可测量的营收或利润率指标，跑不出来的就砍。也是对 AI 服务商（包括我们自己）的提醒：客户要的从来不是模型，是能上财报的数字。

2. 蚂蚁数科发布 LingDT-Decision-1.0：决策模型赛道再添国产玩家（10/22）

据量子位报道，蚂蚁数科发布决策模型 LingDT-Decision-1.0：在 23 项开源评测基准中，27B 版本的综合评分超过 Microsoft-Decision-1、Jev 1.13.0 与 Fastino/GLiDE，同参数规模中领先。

决策模型赛道的拥挤速度值得单独记录：Jev 走红（9 月）→ Typesafe 75 亿估值（10/9）→ 微软 Decision-1（10/10）→ OpenAI Decisions API GA（10/22）→ 蚂蚁 LingDT（10/22）。一个月内从「创业公司的怪想法」变成「中美大厂全员入场」。有意思的注脚：微软的 Decision-1 被发现是基于阿里 Qwen3.5-9B 后训练的——这条赛道上，训练底座与技术路线的边界正在变得模糊。

3. Brotli RCE 演化成「HTTP2Shell」：Node.js 与 Python 都中招，更新清单在这（CVE-2026-111497）

Aikido 披露的 Brotli 解码器远程代码执行漏洞（CVE-2026-111497）影响面持续扩大：从最初只影响 Node.js（Node2Shell），到波及 Python 包，再到一切经由 HTTP/HTTPS 使用受影响 Brotli 实现的应用（HTTP2Shell），Node.js、Python、Bun 均在其列。

行动项很明确：Node.js 升级到 22.23.4 / 24.22.1 / 26.12.1；Python 环境按 Aikido 与 Strobes 给出的受影响包清单核查更新；对外暴露 HTTP 服务的机器优先处理。给运维同事的提醒：这三个 Node 修复版本号建议直接写进基础镜像的固定清单——「latest 标签」在供应链攻击频发的当下（参考上周 LiteLLM 投毒）已经不能作为版本策略。

综合 Apollo Insights、量子位、Aikido、Strobes、Brandefense 与 Hacker News 社区信号。