Shopify推出AI建店工具Canvas，DIVD称Zammad两个零日漏洞致其网络被攻破

据TechCrunch当天报道，Shopify于10月1日推出Canvas。商家和公司AI智能体Sidekick聊几句，就能搭出一个店铺前台。这款工具实时渲染店铺的真实代码，不做静态预览，商家改动网站时可以当场测试交互、动画和不同屏幕尺寸下的效果。

Sidekick本身并不新。据TechCrunch报道，它此前已经用来写代码、构建应用和定制主题。

这次的变化是Shopify让Sidekick直接读取主题文件，并简化了主题架构，好让智能体看懂店铺的结构、逻辑和设计。首发范围很窄。据TechCrunch报道，第三方主题支持、应用区块与扩展、多市场、翻译、分批发布和主题更新都还没有，Canvas也只支持桌面端。Shopify对该媒体说，这些功能会逐步补上。这样一来，Shopify就和Wix、Squarespace、Webflow、Framer站到了同一条赛道上，这几家早就在卖AI辅助建站，vibe-coding平台Lovable和Replit也在其中。Shopify主打的差异是手里已有的庞大商家基础，以及一个直接改生产文件、不生成一次性草图的智能体。

"我们年初有80个站点，公司成立两周年时正好达到第100个站点，现在这一年过了九个月，我们的规模已经翻了一倍多，"Ionna首席执行官Seth Cutler对InsideEVs说。

本周安全新闻的节奏快过产品新闻。据BleepingComputer 9月30日报道，荷兰漏洞披露研究所说，有人利用开源工单与客服平台Zammad的两个零日漏洞，攻破了它自己的网络。两个漏洞编号为CVE-2026-102489和CVE-2026-102490，可导致会话劫持、远程代码执行，还能提权到root。

DIVD此前形容这次攻击动静很大、过程混乱，背后是一个自行决定下一步动作的AI智能体。智能体留下了对自身决策的解释，调查人员因此还原了事件经过。该组织建议Zammad用户升级到7版，或者把实例下线。

信任，以及它在哪里失效

企业买家已经在紧张了。Arelion 9月28日发布的报告发现，过去两年里，58%的高级商业领袖因为担心网络供应商，推迟或缩减了战略举措，或者给这些举措加了防护。AI和数据驱动的项目受冲击最大，经历过中断的受访者中有49%提到这类项目。安全与合规项目以44%紧随其后，数字化转型为42%，云迁移为38%。

同一份报告还发现，口头上的信心和检验过的信心之间有差距。93%的受访者说大致或完全信任当前的供应商，但只有15%的人说，对供应商快速发现并解决严重网络问题的能力有完全的信心。被问及什么能建立信任时，领袖们把抵御安全威胁排在第一位，占48%；可靠性和正常运行时间排第二，占44%；性能和延迟排第三，占37%。

供应商正是冲着这个缺口来卖的。GTT Communications于9月29日推出GTT Defense Halo，这是一个AI原生的网络防御平台。公司称，它按客户单独部署实例，构建在自家AI工厂之上，托管在美国、英国和欧盟。Light Reading报道了这次发布。GTT说，该平台能识别漏洞和政策缺口，生成修复方案，并为客户的逐主机连接建立有状态模型。

这套说辞落在AI驱动攻击的背景之上。GTT的公告提到8月底发表的一封公开信，签署方包括100多家技术、网络安全和金融服务公司。信中警告，AI驱动的网络攻击会更加普遍，防御方准备的时间窗口很窄。

微软的研究指向同一个方向。据The Hacker News报道，微软称一个名为NeedyMantis的恶意软件家族被用来维持对已被攻破网络的长期访问，涉及针对电信机构、大学、医疗类非营利组织、政府间组织和政府承包商的小规模定向入侵。它的使用至少可追溯到2025年10月。微软将与DAEMON Tools供应链攻击相关的活动追踪为Storm-3069，并表示可能不止一个组织在使用该恶意软件。

智能体攻击遇上智能体防御

培训也在追赶同一个问题。InfoQ将在2026年10月开设两个为期五周的线上培训班：AI Security and Privacy Engineering于10月26日开始，AI-Assisted Engineering于10月19日开始。主持安全班的Katharine Jarmul说，AI安全审查必须沿着数据和决策贯穿整个系统。Thoughtworks的Zichuan Xiong参与主持工程班，他说，对编码智能体而言更难的问题是：它被允许做什么，以及怎么确认改动是可靠的。

研究方面，arXiv于9月29日发布SimTrace。这是一个框架，能从真实用户轨迹和网页环境的模拟孪生生成合成的多模态点击流。作者报告称，它在8项保真度指标中的7项上优于对比基线；在真实数据中混入合成数据后，下一步动作预测准确率比只用真实数据训练提高了11.0%。这项工作的目标是用于A/B测试、推荐系统开发和界面评估的虚拟客户。要测试AI智能体在真实网店上的行为，需要的也正是这类基础设施。

把这些放在一起看，本周的新闻不像一组彼此独立的产品发布，更像同一个论点从几个方向同时到来：智能体被赋予了更多对生产系统的控制权，而围绕它们的安全和度量工具还在编写之中。