2026-11-01 · 编码工具供应链失守，具身押注数据与资本

十月末，AI 编码工具的安全边界被击穿：Anthropic 官方 Claude Code 扩展在 Cursor 市场被植入 SSH 后门，存活 11 小时、影响至多 5000 人；Wiz 统计 24 天内至少 9 个开发者平台失守，攻击者专挑授予 AI 权限的环境变量。Google 关停 Jules 并入 Antigravity。具身侧，Meta 联手上海傅利叶三个月造出人形原型 Max。

一、Claude Code 官方扩展被植入 SSH 后门，"官方市场"不再是信任边界

10 月 29 日凌晨 2 时 27 分至下午 1 时 35 分（太平洋时间），以 Anthropic 官方账号名义发布的 Claude Code VS Code 扩展 2.1.312 与 2.1.313 两个"新版本"出现在 Cursor 扩展市场，通过正常发布通道、以自动更新的方式静默铺开，前后存活约 11 小时。Cursor 称最多 5000 名用户装上恶意版本。

安全公司 Phorion 的分析显示，攻击者在 extension.js 的压缩产物最前面插入了一段 66 行立即执行函数（IIFE）。它引入 Node.js 的 child_process、fs、os、path、http、crypto 等标准模块，在扩展正常的 activate 回调之前就已执行——开发者不需要与 AI 说一句话，载荷就会触发。它随后：

收集主机名、用户名、操作系统、主目录与工作目录、Git 邮箱、公网 IP；
上报最多 40 个"看起来像密钥"的环境变量名（只报名字不报值，等于给攻击者一份"哪些机器值得先打"的资产清单）；
向 ~/.ssh/authorized_keys 追加一条注释为 svc-telemetry 的攻击者公钥；
尝试开启 SSH 服务并建立反向隧道，编辑器关闭后隧道仍在，每约 60 秒重连一次；
在 macOS 投递 LaunchAgent 配置文件、Linux 写入开机 cron、Windows 创建名为 SysMon 的计划任务（失败则退回启动目录）以实现持久化。

为什么值得关注： 这是 AI 编码工具第一次在"官方账号 + 官方市场 + 自动更新"这条本应最可信的链路上被成功投毒。它与 10 月中旬的 Plugin4Shell（MCP 供应链）构成连续两轮：上一轮攻的是扩展依赖，这一轮攻的是分发凭证。两点尤其关键——其一，卸载扩展并不会清除后门，遗留脚本会继续运行；其二，截至发稿两家公司均未说明攻击者如何取得 Anthropic 官方分发账号的权限，也就是说同类事件无法被排除。自查命令：grep -qs svc-telemetry ~/.ssh/authorized_keys && echo 中招 || echo 干净。

二、"黑色十月"：Wiz 统计 24 天内至少 9 个 AI 开发者平台接连失守

云安全公司 Wiz 于 10 月 30 日发布汇总报告，把 10 月 6 日至 30 日之间 9 起 AI 开发者平台的安全事件串成一条线：Fireworks AI（10/6）、Andromeda（10/9）、Zeabur（10/14）、Lightning AI（10/15）、OpenCode（10/16–17）、Railway（10/20）、Warp（10/23）、CommandCode（10/28）、Northflank（10/30）。

各家自述的根因并不一致：Fireworks、Zeabur、Lightning 归因为凭证泄露；Railway 称初始入口是"构建基础设施内的权限提升"；Warp 指向第三方供应商依赖；OpenCode 归因于一套"遗留系统"。但 Wiz 指出公开报告有一处高度一致——攻击是定向的，专门翻找平台上存储的环境变量，优先挑那些授予 AI 模型访问权限的。Fireworks、OpenCode、Warp 均报告了"智能体集群（agent swarm）"攻击的迹象；Andromeda 的 incident 报告直接称其属于一场"行业级攻击"；OpenCode 与 CommandCode 明确把动机归为"蒸馏"。

报告最有分量的部分在下游：Wiz 观察到两把被盗的企业密钥在厂商侧凭证泄露后 30 分钟内就被探测验证——一次来自住宅 IP 的 InvokeModel 调用，在一分钟内横向扫过多个组织，先要 Claude Fable 5.1 失败，回退到 Opus 5.5 成功。其中一把密钥在约 30 小时内发起约 80 万次 Bedrock 调用、成功率约 90%，四分之三的成功调用落在 Opus 系列（Opus 5 占 36%、Opus 5.5 占 22%、Opus 4.8 占 10%）。两起案件按目录价估算合计超过 10 万美元。

为什么值得关注： 过去讨论编码智能体安全，聚焦点是"模型会不会越权"；这份报告把焦点挪到了"凭证在哪儿躺着"。环境变量是 AI 工具链的通用接线方式，而 LLM Broker 市场让被盗密钥可以即时变现，蒸馏需求又提供了额外的买家——攻击从机会主义变成了有稳定 ROI 的生意。结论很直接：没有补丁可打，唯一动作是轮换密钥、收紧密钥策略（限制可调用模型与区域）、设置配额与用量告警。

三、Google 关停 Jules，编码智能体收拢至 Antigravity 并同日上线插件市场

Google 于 10 月 29 日宣布关停其异步编码智能体 Jules，时间表分两段：11 月 11 日前用户可继续跑完进行中的会话，之后转为只读；12 月 31 日完全下线。可导出范围包括账号设置、环境变量、定时任务、已连接仓库、记忆、初始化脚本，以及完整的会话历史（提示词、计划、活动日志与代码补丁）；已推送到 GitHub 的代码、分支与 PR 不受影响。Google 特别提示导出的环境变量文件可能含敏感值。

Jules 起于 2024 年 12 月的 Google Labs 实验，2025 年 5 月公测、8 月 GA。它的差异化不在补全，而在"后台执行"：连接 GitHub 仓库后，它把代码克隆进 Google Cloud 虚拟机，自行规划改动、写代码、跑测试并开 PR，开发者事后回来验收。这条路线的经验将并入 Antigravity——Google 2025 年 11 月推出、2026 年 I/O 升级到 2.0 的智能体优先开发平台。同日，Antigravity 上线插件市场，支持应用内与 CLI 一键安装，单个插件打包 skills、MCP 服务器、规则、hooks 与自定义 agent，首发伙伴包括 Atlassian、Canva、CrowdStrike、Databricks、Datadog、Dropbox、Figma 与 Stripe。

为什么值得关注： 一是产品形态的收敛——"远程后台自主执行"与"智能体优先的本地开发环境"被判定为应该合流，而不是并行两条产品线；二是免费档（每日 15 个任务、3 个并发）在 Antigravity 中没有已公布的对应物，社区反应分化，有开发者直言"云端编码智能体这一档没了"；三是插件市场把 skills/MCP/rules/hooks 打包成一体的分发单位，与 10 月 22 日 Anthropic 把 Agent Skills 捐入 Linux 基金会 AAIF 的中立化路径形成对照——一个走向平台内聚，一个走向跨厂商标准化。

四、Meta 联手上海傅利叶，三个月造出人形机器人原型 Max

据 The Information 周六报道（路透社援引），Meta 已与中国机器人企业傅利叶智能（Fourier）联合研发出一款人形机器人原型，内部代号 Max，重约 106 磅（约 48 公斤），双方仅用约三个月完成，第二代已于 9 月启动。

已知规格：身高约 1.5 米，搭载英伟达 Jetson Thor 芯片与一套独立运动控制软件平台；胸口内置两个扬声器，面部显示屏的眼睛和嘴巴可模仿人类表情；五指灵巧手能拿起小瓶子与玩具。Meta 在傅利叶既有硬件基础上定制开发，参考其三代机器人系列的技术积累，随后提高了原型高度、调整比例、改造头部设计、显示屏与摄像头，并加装手部与足部。

Meta 对家庭交互提出了具体验收要求：5 米外识别语音、3 米外解读手势或挥手、保持眼神接触，并能呈现聆听、思考、说话、不确定等不同状态。机器人部门副总裁李晨·米勒（Li-Chen Miller）曾在傅利叶上海工厂驻守近两个月；Max 已于 8 月底在 Meta 内部机器人峰会上向部分员工展示。Max 2 将采用重新设计的躯干、抓取能力更强的手部、用于显示视觉内容的投影仪，以及帮助机器人上下楼梯的额外传感器。Meta 同时在上海招聘供应商开发工程师、在深圳招聘产品设计工程师与技术项目经理，指向"从原型走向量产"。

同期人事变动：原 Cruise CEO Marc Whitten 于 8 月底离开 Meta，距其加入仅 18 个月；Meta 随后任命 Ning Li 临时负责机器人工作室，向 Bosworth 汇报，后者接管了 Whitten 此前的职责并深度介入工作室运作。

为什么值得关注： 有三层信号。其一，Meta 明确把人形机器人定位为 Muse 智能体的"实体载体"，这与 10 月下旬 OpenAI、Google 侧的动作指向同一判断：智能体的下一战场不在屏幕里。其二，路径选择耐人寻味——不是自建整机，而是借用中国供应链的成熟硬件做定制迭代，三个月出原型，这与 Figure、1X 的全栈自研形成对照；招聘信号说明它在为量产而非演示储备团队。其三，对照面同样清晰：Meta 称目前无销售计划、项目属内部研究，且机器人部门刚经历负责人更换，距离"消费级产品"仍有相当距离。

五、Figure 全员大会：硬件迭代收敛，钱砸向数据与算力

Figure AI 公开了一段时长一小时的内部全员大会视频（发布于当地时间 10 月 22 日的官方 YouTube 频道，10 月 31 日经《科创板日报》报道）。创始人兼 CEO Brett Adcock 复盘了当前研发底座，披露四项进展：

Figure 04 已完成设计锁定，零部件进入交付与验证周期。它是历代改进幅度最大的一次，并非简单优化续航与负载，而是围绕 Helix 模型的操控需求重新标定执行单元，新一代驱动器、电池与灵巧手同步进入可靠性测试。Figure 03 已在宝马产线落地物流分拣任务、实现连续长时间自主作业。
Index 全球人类行为数据采集项目已积累 3750 万条人类操作视频，覆盖上百个国家；采集速率提升至每秒约 81 分钟视频，相当于每天新增约 11.66 万小时。Helix 2.5 依托 Index 预训练，在从未见过的家庭环境中任务完成率从 9% 提升至 56%。
算力：35 亿美元算力订单。
成本：Adcock 承认这条路线昂贵，单周数据相关投入达 810 万美元，并判断未来 12 个月公司在数据采集上的投入可能超过大多数机器人企业迄今获得的全部融资。

为什么值得关注： 这份路线图把"数据"提到了与"本体"同等甚至更高的位置。一组可以并置的数字说明了缺口有多深：高盛 10 月 30 日发布的报告（基于 10 月 28 日与一位机器人算法工程师的专家电话）估算，通用机器人要可靠地在生产规模上工作，大约需要 1000 万小时高质量物理交互数据；摩根士丹利则预测 2050 年地球上可能有多达 10 亿台人形机器人、市场规模 7.5 万亿美元。一边是千万小时级的采集目标，一边是 Figure 每天 11.66 万小时的视频增量——但高盛同时指出，第一人称视频能教"意图"，却不带力数据；仿真难以复现真实摩擦与材料形变。高盛的三个瓶颈判断同样具体：3D 空间感知尚不足以支撑毫米级操作、推理太慢无法做实时平衡与恢复、能在机器人机身内跑得动的模型成本过高。它最终的定位是：通用操作大约处在自动驾驶 2015 年之前的水平，但物理 AI 的推进速度可能是自动驾驶的 2–4 倍。《纽约时报》10 月 27 日的报道给这个判断补了一个地面视角：旧金山创企 Dimensional 以每小时 20 美元（高出该市最低工资 39 美分）雇人牵着单价约 2000 美元的宇树四足机器人走街采集数据，创始人 Stash Pomichter 的说法很直白——"人类仍然必须在环内"。

同一天，工业侧的兑现度也给出了更朴素的读数：由博世旗下博原资本与银河通用联合孵化的博银合创启用苏州总部，其工业级具身机器人已进入联合汽车电子上海工厂量产线试跑，承接产线末端物料搬运。厂长陆霓给出的现场口径是：焊接、拧紧、点胶等高精度工艺已全面机器替代，但线边物料搬运、上下料、散料分拣等末端环节仍高度依赖人工，AGV 解决不了"最后一公里"的精准取放。目前设备作业准确率 80%–90%，支持热插拔换电、单电池续航约 6 小时，仍需少量人工修正放料偏差，整体节拍效率尚未达到熟练人工水平。业内普遍测算整机成本降到 20 万元以下才具备大规模替代人工的经济可行性。

资本侧同步开门：Agility Robotics 与 Churchill Capital Corp XI 于 10 月 30 日宣布，其业务合并预计募资约 4.65 亿美元——来自 Churchill XI 信托账户的约 1.64 亿美元、由富士康领投的 2.01 亿美元 PIPE（每股 10 美元），以及宣布交易后已收到的 1 亿美元股权。预计 11 月 4 日交割、11 月 5 日以 "AGLT" 在纳斯达克开始交易。Agility 自称将成为"唯一一家有经证实、活跃商业部署的美国上市纯人形机器人公司"，依据是：10 月 26 日宣布与 GXO 的合作扩展至另两处设施；与 AGCO 的制造试点预计 2027 年开始；三个付费制造客户；覆盖制造、汽车、航空航天、国防、物流与消费品的 30 多个潜在客户管道；Digit 累计搬运 10 万+料箱、记录 6.5 万小时运行；Digit 5 计划 2027 年上半年早期交付、年底全面上市，对应 3 亿多美元"潜在多年价值"的承诺订单——公告自己也标注这受合同里程碑约束，并非当期收入。

一句话看懂今天： 编码智能体的战场从"模型强不强"转到了"链条信不信得过"——官方市场、环境变量、凭证轮换，全成了攻击面；具身智能的战场则从"能不能做出来"转到了"数据够不够、账算不算得平"——Figure 每周 810 万美元的数据投入、高盛 1000 万小时的缺口、博银合创 80%–90% 的准确率与 20 万元的成本线，指向的是同一个问题：还能跑多快，以及谁来付钱。