Titan漏洞、DMDC数据泄露与新泽西空气罚单：数据中心风险已离开IT机房

Titan漏洞的要害在于缺了什么。据 The Register 9月30日报道，该服务会校验 JSON Web Token 的内容，包括租户、受众、应用 ID 和用户，却从不检查令牌的签名。研究人员 Faav 用他自建的 AI 工具 Antares，通过一台 Azure 云服务主机进入该 API，无需有效凭证就能提交 SQL。微软此后已封堵该 API，并支付了 5000 美元漏洞赏金。

The Register 引用了 Faav 自己的博客。博客写到权限到手的那一刻：“当时是凌晨两点。”他还说，他按微软的要求改写了那篇博文，删掉了部分段落和数字。微软提供给 Faav 放进该博客的声明称，这次披露“帮助我们加固服务，从而更好地保护客户”。

电力与散热被推到队列最前面

同一天，两条与软件毫无关系的基础设施新闻落地。Data Center Knowledge 报道，新泽西州环境保护部对 Vineland 一家名为 DataOne 的运营商开出 107万美元罚单，州政府称该公司未经所需许可安装并运行了 62 台天然气发电机。该媒体称，一名州官员于 9月22日宣布了这一行动。据 New Jersey Monitor 报道，DataOne 对这些临时发电机的认定提出异议，但表示会申请空气排放许可。

“AI 数据中心正日益既是计算设施，也是发电厂。”Forrester 高级分析师 Abhijit Sunil 对 Data Center Knowledge 说。他还说，AI 基础设施“现在的部署速度，已经超过了传统许可与检查流程的设计初衷。”同一篇报道引用 IDC 的 Luis Fernandes 称，一项全球运营商调查把能效和可再生能源列为韧性与可持续性的首要事项。两种说法并不冲突，但框定问题的方式不同：一个把现场发电视为合规风险，另一个视为采购偏好。

与此同时，透明度正变得更难衡量，而不是更容易。POLITICO 9月30日报道，Lighthouse Reports 依据《奥胡斯公约》提交申诉，指控欧盟委员会将数据中心的能源和水耗挡在公众视野之外。POLITICO 引用欧盟委员会自己的数字：2025年欧洲数据中心耗电 20.7 太瓦时，大约相当于克罗地亚的用电量，用水超过 800万立方米。相比 2024年，用电上升 26%，用水上升 52%。这些总量来自不完整的数据，且只以汇总形式公布。

NL Times 同日报道，荷兰较大的数据中心中，公布用电和饮用水数据的不到四分之一。荷兰企业局只掌握 186 座商业设施中 104 座的数据。这些设施容量至少 500 千瓦，由荷兰数据中心协会在去年年底统计得出。其中 44 座有公开的用电数据，47 座有公开的用水数据。

“减轻电网压力并不等于消除环境成本。”Forrester 的 Abhijit Sunil 对 Data Center Knowledge 说

机架内部，散热栈分层并成倍扩张

同一问题的硬件一侧正在碎成多个层次。据 TechEdge AI 报道，SUNON 借 OCP 全球峰会的预热，把液冷产品线按芯片、服务器和机架三个层级组织。该活动于 10月12日至15日在圣何塞举行。同一篇文章引用 Gartner 的预测：2026年数据中心用电将达 565 太瓦时，比 2025年增长 26%，其中 AI 优化服务器今年占 31%，并将在 2027年超过传统服务器。同一篇里 IEA 的数字口径不同：2024年约 415 太瓦时，约占全球用电的 1.5%。

Upsite Technologies 就热量究竟在哪里提出了相关看法。其分析指出，冷板设计不再局限于 GPU，因为 GPU 周围的网络芯片如今热到需要液冷。博通的 Tomahawk 6 单芯片支持最高 102.4 Tb/s 的交换容量，思科的 Silicon One G300 提供 102.4 Tbps 并采用 200 Gbps SerDes。同一篇文章称，英伟达的 Vera Rubin 平台据称可把每 token 推理成本较 Blackwell 降低最多 10 倍。

厂商在 9月29日至30日于新加坡举行的 Data Center World Asia 上带来了产品数字。据 Thermal Control Magazine 报道，美的楼宇科技展示了一款磁悬浮 CDU，称可将设备占地最多减少 70%，在合适条件下支持系统 PUE 低于 1.2。同时还有一台气悬浮磁轴承离心机，COP 最高 5.4，以及一台额定 2.6 MW 的工业级 CDU。其与吉宝相关的贵安项目声称每年最多 7654 小时自然冷却，PUE 稳定低于 1.2。LG 电子在其自家新闻稿中介绍了一套“从芯片到冷机”的产品组合，包括预制水系统方案、风冷离心机、经英伟达认证的冷却液分配单元、浸没式冷却和风扇墙单元。

那些是厂商自己给出的营销数字，也应当照此理解。独立的基准没那么好看。Data Center List 依据 Uptime Institute 的 2024年调查，把上报设施的平均 PUE 定为 1.56，而谷歌为 1.09，微软全网络为 1.17。同一数据集追踪 183 个国家的 6125 座设施，其中 72 座披露了容量：已披露 IT 容量 29.00 GW，另有 843 个站点估算 7.27 GW，按行业平均 PUE 推算，总设施用电约 45.23 GW。

电网排队，以及最终由谁买单

得克萨斯提供了最尖锐的检验：谁来承担成本。Inside Climate News 9月30日报道，得克萨斯公共事业委员会的行政法官认定，埃尔帕索电力公司未能充分评估一座 366 兆瓦天然气设施的替代方案。该设施名为 McCloud，用于为 Meta 在埃尔帕索东北部投资 100亿美元、容量 1 吉瓦的数据中心供电。法官建议仅在公用事业公司不把资本和运营成本转嫁给用户的前提下批准，否则建议驳回。五名委员尚未安排表决。

申报文件的细节很具体。埃尔帕索电力公司于 12月申请建设该电厂，由 Enchanted Rock 供应的 813 台模块化天然气发电机组成，每台额定 450 千瓦，估算成本 49900万美元。该电厂将先专供 Meta 五年，之后接入更广泛的输电系统。法官写道，申请文件中提到的 Meta 子公司 Wurldwide 推动了这一过程。“我们很失望。”Sembrando Esperanza 联盟的 Verónica Carbajal 说。该联盟提交了 1000 多人的意见，反对这项申请。

密苏里在公用事业规模上呈现同样的模式。CleanTechnica 9月29日报道，Ameren Missouri 向密苏里公共服务委员会提交了一份长期规划，拟到 2032年新增 5400 兆瓦天然气，增幅 1700 兆瓦。规划还包括：将包括 Sioux 在内的燃煤机组退役推迟到 2035年，把 Labadie 的两台机组推迟六年至 2042年，把 2030年前的太阳能投资削减 900 兆瓦至 1300 兆瓦，同时取消 2030年前的新增风电。塞拉俱乐部的 Jenn DeRose 说，Ameren 和科技公司“在用煤和天然气为数据中心供电时，拿人类的未来赌博。”

税收待遇是同一本账的另一端。The Decoder 9月30日援引《纽约时报》报道，Meta 在 2025年通过一项联邦研究抵免省下 39亿美元，办法是把 AI 数据中心归类为试点模型、把英伟达芯片归类为实验材料。2024年为 20亿美元，2023年为 7亿美元。报道称，Meta 自己提交给美国证交会的文件警告这些节省可能被挑战，其不确定税务头寸的准备金上升 45%，达到 1874000万美元。

安全风险也没有留在边界之内。TechCrunch 9月30日报道，国防人力数据中心正在通知数百万现役和退役军人，他们的个人数据，包括社会安全号码，在 2025年10月至 2026年7月中旬的几个月里通过一个文件共享漏洞被窃取。据 CNN 和 Federal News Network 报道，一名五角大楼官员给出的数字约为 280万在世者和近 30万已故者。这些记录没有加密。截至 3月，美军有 130万现役人员。

把这些披露放在一起看，它们指向同一个运营现实：AI 产能的约束不再只是硅。它是一张许可证、一次签名校验、一个令牌、一座变电站、一只水表和一份纳税申报。这些都不在机架里。如今它们全都决定机架能不能运转。