yii.
← Digest
EP228 · 2026年10月31日星期六 · 12 min read

鑰匙放在哪

官方 Claude Code 擴充套件被塞進 SSH 後門；Northflank 要所有用戶當作環境變數已被解密

每天花 1% 的時間，掌握科技脈動。

今日金句#

“A.I. companies that fail should go bankrupt, and executives who commit fraud should be held accountable.” 「失敗的 AI 公司就該破產，詐欺的高層就該被追究責任。」 — Greg Casar，美國眾議院進步黨團主席（來源）

“The more you let the system handle, the worse you get at handling things yourself” 「你讓系統處理得越多，自己處理的能力就越差。」 — Elizabeth，SigNoz《Observability Real Talk》作者（來源）

“I’m not convinced the users understand the risk.” 「我不認為使用者知道這有什麼風險。」 — Melanie Kat，部落格作者，調查 AT Protocol 上公開的私人資料（來源）

今日主軸#

Phorion 發現 Cursor Marketplace 上的官方 Claude Code for VS Code 擴充套件 2.1.313 被植入後門，一載入就把攻擊者的公鑰加進 ~/.ssh/authorized_keys，再開一條反向 SSH 通道。部署平台 Northflank 同一天要求所有用戶假設環境變數都已被解密，晚上更新時已經有用戶回報自己的 AI API key 被盜用。Bunny CDN 的一台亞美尼亞節點因為主機商的管理軟體被入侵，乾脆把 b-cdn.net 和 bunny.run 的 TLS 憑證全部換新私鑰重發。iThome 報導的 AGENTS.md 攻擊更直接：在隔離環境重現時，超過 90% 的測試成功誘使 Codex 改設定、裝惡意套件，惡意 CLAUDE.md 則有約 50% 的測試成功改掉 Claude Code 的 API 設定，可能外洩 OAuth 權杖。四件事的目標都是開發者手上的鑰匙。我自己的做法是，AI key 一律設用量上限，SSH 的 authorized_keys 也該跟 .env 一樣定期檢查。

必讀#

  1. 官方 Claude Code VS Code 擴充套件在 Cursor 商店被植入 SSH 後門 — Hacker News AI
  2. curl 有九個月意外是圖靈完備的 — Lobste.rs Tools
  3. 美國 13 位民主黨眾議員提決議：AI 泡沫破了不准紓困 — Hacker News AI
  4. AT Protocol 使用者知道這些資料是公開的嗎？ — Lobste.rs News
  5. 喜歡一個網站，就自己備份它 — Lobste.rs News
  6. AI 沒有取代 SRE，而是讓 SRE 退化 — Hacker News AI
  7. OpenAI、Google、微軟、Anthropic 採用同一個 robots.txt 訊號拒絕 AI 訓練 — OpenAI AI
  8. Nathan Lambert：我對開放權重模型和資安風險的判斷錯了嗎？ — Interconnects AI
  9. Northflank 資安事件：所有環境變數當作已被解密 — Hacker News News
  10. Bunny CDN 主機商被入侵，平台 TLS 憑證全部換新私鑰 — Hacker News Tools
  11. 惡意 AGENTS.md 誘使 Codex 安裝惡意 NPM 套件 — iThome AI
  12. 思科讓 27 歲前創辦人帶兩人、用不限量 token 重寫 98% 遺留程式碼 — InfoQ 中文 Dev

1. 官方 Claude Code VS Code 擴充套件在 Cursor 商店被植入 SSH 後門#

Phorion 發現 Cursor Marketplace 上官方 Claude Code for VS Code 擴充套件 2.1.313 的 extension.js 開頭被插入一段立即執行的程式碼，Node 一載入檔案就執行，比擴充套件自己的 activate 還早，使用者不必做任何操作。它先把一把註解為 svc-telemetry 的攻擊者 Ed25519 公鑰附加到 ~/.ssh/authorized_keys，再用內嵌的私鑰對 134.209.82[.]225 開反向 SSH 通道（-R *:0:localhost:22），讓攻擊者能從外面連回受害者的 22 port。Cursor 已下架這個版本，NPM 和 VS Code 的 2.1.313 也從各自的 registry 撤掉。

  • macOS 上的持久化是 ~/Library/LaunchAgents/com.apple.sysmond.plist，用 /bin/sh 執行隱藏的 ~/.config/.smt；Linux 用 @reboot cron，Windows 用名為 SysMon 的排程工作
  • macOS 有個 bug：一般使用者跑 systemsetup -getremotelogin 會拿到「需要管理員權限」的訊息而不是 Off，所以程式不會去開 Remote Login；沒開 SSH 的 Mac 通道連得上但打不進來
  • 只移除擴充套件不夠，要砍通道程序、刪 LaunchAgent 和 .smt／.smtk、拿掉 svc-telemetry 公鑰；有被登入跡象的話，要輪替符合 KEY|TOKEN|SECRET|PASS|AWS|GCP 的環境變數

💡 為什麼重要：在 Cursor 裝過 Claude Code 擴充套件的開發者，現在就該檢查 authorized_keys 和 LaunchAgents，擴充套件跑在 IDE 的權限下，原始碼和本機憑證都看得到。

🔗 閱讀原文 | 來源: Hacker News

2. curl 有九個月意外是圖靈完備的#

Nicolas Seriot 證明 curl 8.12 到 8.16 的設定檔可以模擬任意雙計數器 Minsky 機。關鍵是兩個功能：8.3 加入的變數展開，和 8.12 加入的位元組範圍切片，再加上 expand-config 可以無限層引入其他設定檔。一個計數器的值 n 用 n 個 x 表示，切片取第一個位元組判斷是否為零，檔名當作跳轉標籤。curl 8.17.0 加了五層引入上限，這個構造就失效了。

  • 附了一組 4 個設定檔計算 2 + 3 的 PoC，輸出 A=xxxxx B=
  • 實際上有上限：每次展開最多 10,000,000 bytes；每一步都是一層巢狀 --config，8 MB stack 跑 922 步就 segfault
  • 作者寫明沒有資安影響；加上限的 PR 說的理由是防止設定檔無限引入自己，沒提圖靈完備

💡 為什麼重要：寫 DSL 或設定檔格式的人可以拿來對照，變數展開加上檔案引入，兩個看起來無害的功能疊在一起就足以構成一台計算機。

🔗 閱讀原文 | 來源: Lobste.rs

3. 美國 13 位民主黨眾議員提決議：AI 泡沫破了不准紓困#

美國眾議院進步黨團主席 Greg Casar 和金融服務委員會首席少數黨議員 Maxine Waters 在 10 月 29 日提出決議，警告 AI 相關資產泡沫的經濟風險，反對泡沫破裂時紓困企業或高層。另有 11 位民主黨議員聯署，包括 Pramila Jayapal、Rashida Tlaib、Jan Schakowsky。決議文寫到，AI 相關公司背負數兆美元債務，很多是在不透明、不受監管的私募信貸市場籌措；股市本益比也幾乎跟 1990 年代科技泡沫高峰一樣高。

  • 要求聯邦政府反對任何拯救無力償債 AI 公司、或讓高層免責的措施
  • 反對緊急貸款、直接注資這類撐住破產 AI 公司營運、阻止它們走一般破產程序的特別援助
  • 反對給涉及高風險或違法行為的高層「黃金降落傘」，要求追回豪宅、私人飛機、遊艇等不當所得

💡 為什麼重要：決議沒有法律約束力，但拿 2008 年金融海嘯的銀行紓困當對照，靠 AI 公司債和私募信貸撐估值的投資人，可以預期國會對 AI 紓困的反對聲音。

🔗 閱讀原文 | 來源: Hacker News

4. AT Protocol 使用者知道這些資料是公開的嗎？#

Melanie Kat 想試 Bluesky 生態裡的 RSS 閱讀器 Skyreader，先去查它會公開存什麼。她用 PDSls.dev 看了幾位評論者的個人資料伺服器（PDS），發現每個訂閱都存在 app.skyreader.feed.subscription 這個 lexicon，feedUrl 欄位就是完整的 RSS 網址。她沒費什麼力氣就找到別人私人的 Club MacStories feed，可以直接讀全部付費內容。

  • 再花一點功夫，找到 404 Media 全文 feed、Patreon 贊助者專屬 feed、GitLab repo 的私人 RSS
  • 從 Bluesky relay 撈所有 DID 再逐一查 PDS，不用驗證就拿到超過 1,300 個 Skyreader 訂閱的 RSS feed
  • 幾個 Discord 仿製品把每則訊息公開存放，Stream.place 的聊天也能即時看、能搜尋

💡 為什麼重要：在 AT Protocol 上做 App 的開發者，要在授權畫面就告訴使用者哪些資料會公開；私人 feed 網址通常帶 token，存進 PDS 就等於公開付費內容。

🔗 閱讀原文 | 來源: Lobste.rs

5. 喜歡一個網站，就自己備份它#

作者在網頁典藏領域工作，她常回去看的動漫同好網站 teapuppies.com（2004 年上線、2005 年後就沒改過）幾週前消失了，網域現在拿來放線上賭博廣告。她寫這篇教大家自己備份：ArchiveWeb.page Chrome 擴充套件裝好後，按 Start Archiving、把要的頁面逛過一遍、按 Stop Archiving 就完成。全部工具都輸出標準的 WARC 格式。

  • 不想裝擴充套件可以用獨立的 archiveweb.page App，內建瀏覽器，也能直接瀏覽存好的典藏
  • 網站太大、手動逛不完的話，改用可以自動爬整站的 Browsertrix
  • 作者揭露這些工具出自她任職的公司，多數免費

💡 為什麼重要：靠某個個人網站或舊文件做研究的人，與其等 Internet Archive 剛好存到，自己花幾分鐘存一份 WARC 比較保險。

🔗 閱讀原文 | 來源: Lobste.rs

6. AI 沒有取代 SRE，而是讓 SRE 退化#

SigNoz 的 Elizabeth 問：AI 處理掉 95% 的 incident 之後，你處理剩下 5% 的能力會不會變差？她引用 Lisanne Bainbridge 1983 年的論文〈Ironies of Automation〉：自動化越多，人在自動化失靈時越關鍵，練習機會卻越少。醫學研究裡，使用 AI 輔助找息肉的內視鏡醫師，自己找的偵測率從 28% 掉到 22%；FAA 也因長途機師依賴自動駕駛，規定要增加手動飛行時間。

  • SRE 的退化表現在：不再讀原始 log、不再自己提假設、不再建立系統架構的心智模型
  • 新人更麻煩，她稱為 never-skilling：一進來就由 AI 處理大部分 incident，從來沒練出直覺
  • 建議刻意保留低效率，把部分 AI 能處理的 incident 留給人練習；設計成人參與解題，而不是只按核准

💡 為什麼重要：帶 on-call 團隊的主管可以考慮像 FAA 一樣排「手動 incident」，作者也坦承 SigNoz 自己在賣 AI 助理，立場要一併考量。

🔗 閱讀原文 | 來源: Hacker News

7. OpenAI、Google、微軟、Anthropic 採用同一個 robots.txt 訊號拒絕 AI 訓練#

OpenAI 宣布會遵守一個寫在 robots.txt 裡的共用訊號，網站可以一次對所有參與的廠商表達不要被拿去訓練生成式 AI 基礎模型。The Verge 報導 Google、微軟、Anthropic 也會採用，看到這個 token 就限制自家爬蟲。提案人是 Anthropic 的標準技術負責人 Kevin Kelley，屬於 IETF AI Preferences 工作小組的草案。

  • 以前網站要逐一辨認各家爬蟲、分別寫規則
  • OpenAI 說會在未來幾個月實作，現有的爬蟲控制規則照樣有效
  • Meta 的 Andy Stone 表示支持，但沒說 Meta 會不會遵守

💡 為什麼重要：經營內容網站的人，之後在 robots.txt 加一行就能同時對四家表態，不用追每家爬蟲的 user agent。

🔗 閱讀原文 | 來源: OpenAI

8. Nathan Lambert：我對開放權重模型和資安風險的判斷錯了嗎？#

Interconnects 的 Nathan Lambert 幾週前寫過，就算 Claude Mythos 意外以開放權重釋出，世界大概也還好，會是資安事件加速而不是質變。接著 PHP2Shell、GitLab 等重大漏洞接連揭露，他上週稱為「Black October」，再加上 Binance 被駭，他回頭檢查自己的說法。他認為 GLM-5.3 是跨過那個能力門檻的模型，權重放出一個多月，公開證據顯示的變化不大。

  • 他列出當時的說法：Rob Wiblin 說落入罪犯手中「會是真正的災難」，Anthropic 的 Project Glasswing 公告說後果「可能很嚴重」
  • 他說目前的混亂集中在經營大型數位產品的公司，但可能會變
  • 他大致維持原判斷，但坦言自己不是資安專家，對這個判斷感到緊張

💡 為什麼重要：在決定要不要用開放權重模型的團隊，可以把 Lambert 的說法當成一個可以被證偽的預測，接下來幾個月的資安事件就是檢驗。

🔗 閱讀原文 | 來源: Interconnects

9. Northflank 資安事件：所有環境變數當作已被解密#

部署平台 Northflank 在狀態頁公布資安事件。UTC 10 月 30 日 11:43 收到 Wiz 的威脅告警，12:02 先修網路政策，13:58 正式要求所有用戶「假設所有環境變數都已被解密，停用或輪替所有金鑰」。15:12 起替所有用戶開放 Postgres 和 MongoDB 的密碼輪替，並建議關閉 addon 的公開存取。23:38 的更新說，有用戶回報存在 Northflank 的 AI API key 被盜用，可能和 Wiz 的「Black October」報告描述的攻擊模式一致。

  • 範圍包括 workload 上的 secret、secret group 和 global secret
  • 建議到發行商撤銷舊金鑰、重新產生，並檢查 AI 供應商的用量和帳單紀錄
  • 截至最新更新，調查仍在進行，沒有更多已確認的發現

💡 為什麼重要：在 Northflank 放過 OpenAI、Anthropic 等 API key 的團隊，今天就要輪替並看帳單；沒設用量上限的 key 被盜用，帳單會直接反映出來。

🔗 閱讀原文 | 來源: Hacker News

10. Bunny CDN 主機商被入侵，平台 TLS 憑證全部換新私鑰#

bunny.net 說上週一家基礎設施供應商回報第三方伺服器管理軟體遭未授權存取，bunny 位在亞美尼亞的一個 CDN 節點就放在這家的伺服器上。收到通知後 20 分鐘內停止導流，保存 log、清除伺服器並撤銷它對其他系統的存取，這台機器已永久移除。兩邊的調查都沒找到這台伺服器被存取的證據，但 bunny 說無法完全排除。

  • 如果真的被存取，可能外洩的是暫存的 CDN 內容、Pull Zone 設定和存在那台機器上的 TLS 憑證
  • 已撤銷並重發 b-cdn.net、bunny.run 平台網域的所有憑證；自訂網域的託管憑證分批重發，每張用新私鑰，預計 10 月 31 日結束前完成
  • 自己管理 TLS 憑證的客戶，建議撤銷並用新私鑰重發

💡 為什麼重要：在 bunny 上傳自有憑證的網站，私鑰可能在那台亞美尼亞節點上待過，重發一次比較安心。

🔗 閱讀原文 | 來源: Hacker News

11. 惡意 AGENTS.md 誘使 Codex 安裝惡意 NPM 套件#

資安業者 Forever Security 在客戶電腦的下載資料夾發現一份惡意 AGENTS.md，要求 OpenAI Codex 修改全機設定、註冊攻擊者指定的 MCP 伺服器，並透過伺服器啟動命令安裝名為 function-color 的惡意 NPM 套件，同時試圖略過操作核准和沙箱。這次套件安裝被客戶的資安防護擋下。

  • 研究人員在隔離環境重現，超過 90% 的測試成功誘使 Codex 執行攻擊指令
  • 對 Claude Code 的測試中，惡意 CLAUDE.md 約有 50% 成功修改 API 連線設定，可能造成 OAuth 權杖外洩
  • 建議不要在下載資料夾這類不可信的位置啟動 AI 代理，並監控代理設定有沒有非預期變更

💡 為什麼重要：在下載下來的 repo 裡直接開 coding agent 的人，那份 AGENTS.md 或 CLAUDE.md 等於一段會被執行的指令，打開前先讀過。

🔗 閱讀原文 | 來源: iThome

12. 思科讓 27 歲前創辦人帶兩人、用不限量 token 重寫 98% 遺留程式碼#

《財富》10 月 30 日報導，思科總裁兼產品長 Jeetu Patel 讓 27 歲的 Padmanabhan Krishnamurthy（Paddy）帶兩人小組，目標在 24 個月內重寫思科 98% 的遺留程式碼，並給他不受配額限制的 AI token。Paddy 原本是一家 AI 新創的 CEO，公司被思科收購後，他在組織裡做的是不太有戰略意義的工作，直到 Patel 造訪舊金山辦公室時兩人聊到這個想法。

  • Paddy 給自己四週的初步驗證期
  • 98% 目前只是目標，思科還沒公布完成比例、系統範圍、技術方案或測試結果
  • InfoQ 的標題寫「兩個月」，內文和《財富》的說法都是 24 個月

💡 為什麼重要：手上有大型遺留系統的技術主管，可以看看四週驗證期後思科會不會公布數字，目前還只是承諾。

🔗 閱讀原文 | 來源: InfoQ 中文

推薦閱讀#

中文技術圈#

開源精選#

ccch1mneyyy/dsh-Go — Dart | ⭐ 2,447 把 DeepSeek Harness 裝進手機：在手機本機執行，也能遙控你的電腦。

valentderah/totk-pc-recomp — C | ⭐ 1,523 把《薩爾達傳說 王國之淚》靜態重編譯成原生 Windows x86-64，用 Vulkan 繪圖，不含遊戲檔。

qybaihe/bla — TypeScript | ⭐ 1,393 Blind LLM Agents：保護執行檔、Electron App、JS bundle、Python 和 WebAssembly，對抗 AI 逆向工程 agent。

wangzan101/Mika — Kotlin | ⭐ 1,239 Android 上的本機 AI agent，替你操作 App、上網、把事情辦完。

heydamir/unslop — JavaScript | ⭐ 1,208 一個 Claude skill，把 vibe coding 做出來、一看就是 AI 的介面改成有設計感的版本。

anonnerdfrenzy/survival-llm — Python | ⭐ 952 在自己電腦離線執行的 AI 助理加求生資料庫，每個回答都標出處。

影音精選#

Greg Isenberg：SaaS 死了？工具免費送、靠 agent 和人工服務賺錢#

10/29 發布 · Greg Isenberg

Greg Isenberg

Greg Isenberg 這集獨白說，過去 15 年 SaaS 的難處是找一群工程師做出好工具、按座位收費；現在 Opus 5.5、GPT-6 這類模型讓一兩個人就做得出以前 20 人團隊的工具，按座位收費就不成立了。他提出「smart SaaS」：工具免費送，換取資料和網路效應，再加賣 AI agent 和真人服務。

  • 例子是卡路里追蹤 App：追蹤免費，個人化餐單的 agent 和每週的減重教練收費
  • agent 可以按 token 或按成果收費，真人服務按週或按月
  • 中小企業和個人用的 SaaS 會走向免費，Fortune 500 這類企業還會付某種座位費

今日觀察#

SigNoz 的 Elizabeth 擔心 SRE 讓 AI 處理掉 95% 的 incident 之後，剩下 5% 接不住。今天的資安新聞剛好是那 5%：Claude Code 擴充套件的後門用 Node 的 fs.appendFileSync 直接改 authorized_keys，只盯 echo、tee 這類 shell 指令的偵測規則抓不到；Northflank 從收到 Wiz 告警到要用戶輪替全部環境變數，中間不到兩小時。惡意 AGENTS.md 那件，研究人員在隔離環境裡有超過 90% 的機率讓 Codex 照做。Nathan Lambert 說目前的混亂集中在經營大型數位產品的公司，但開發者的筆電本身就是攻擊目標。我今天會先做兩件事：把 ~/.ssh/authorized_keys 和 LaunchAgents 看一遍，再把放在部署平台上的 AI key 全部加上用量上限。

覺得有用嗎？分享給一個也在追蹤新知的朋友。

也歡迎中長期投資者體驗新工具 → Moniit banner

同期還有