AI周报：Claude Code后门事件与AI巨头资本博弈

本周AI领域发生了一起严重的安全事件：AI代码编辑器Cursor的扩展市场被植入恶意版本的Claude Code扩展，同时科技巨头在资本支出、产品策略和版权问题上也有新动向。本文汇总并分析这些关键进展。

Cursor市场惊现Claude Code后门，供应链安全再敲警钟

Cursor官方确认，其扩展市场在10月29日（周四）分发了被篡改的Claude Code扩展副本，这些副本试图在开发者电脑上安装后门。恶意版本在太平洋时间凌晨2:30至下午1:35左右向Mac和Windows用户开放，持续约11小时。Cursor列出了两个受影响版本标签：2.1.312和2.1.313。但版本号本身具有误导性——Anthropic确实发布了2.1.312，而Cursor市场中的副本是它的修改版；另一个标签3.1.3从未在上游商店正式发布。因此，开发者需要核对文件哈希而非仅看版本号。

早期报道曾将矛头指向OpenVSX开源扩展注册表，但这一说法已被纠正。Cursor运营着自己的市场服务，位于OpenVSX前端。Cursor、微软安全团队和Anthropic维护者均将恶意包定位在Cursor的渠道，没有证据表明OpenVSX、微软市场或Anthropic官方包被入侵。安全公司Forian也修正了其初版报告，确认问题出在Cursor Marketplace。

恶意代码行为与影响范围

注入的代码与AI模型无关，无需用户向Claude提问，只要编辑器加载扩展就会执行。根据微软和Forian的分析，代码会收集计算机信息、收集与敏感服务关联的环境变量名称、尝试向机器添加攻击者的登录密钥，并建立反复的SSH出站连接尝试。出站隧道的作用在于，即使机器拒绝入站连接，也能主动向攻击者打开通路。

关于受影响开发者数量，流传的“多达5000人”来自二级软件，Cursor尚未公布安装量。微软指出，首次回传的消息只包含环境变量名称而非秘密值；Forian记录了代码在特定平台失败的情况，登录密钥是否生效取决于管理员权限和SSH配置。两项分析均未显示每台受影响电脑都发生了成功的攻击者登录。

SSH出站隧道与持久化机制：SSH（Secure Shell）是开发者远程登录和文件传输的标准加密协议，通常监听22端口并接受入站连接。攻击者在此次事件中反向利用该协议：恶意代码主动从受害者机器向攻击者控制的服务器发起出站SSH连接，从而绕过防火墙和NAT对入站流量的拦截。所谓“添加攻击者的登录密钥”，是指在~/.ssh/authorized_keys文件中写入攻击者的公钥，使攻击者日后可直接以该用户身份登录。持久化则可能通过启动项、计划任务或shell配置文件实现，这也是Cursor警告“卸载扩展可能留下残留”的原因——清理扩展不等于清除已植入的密钥和自启动条目。

补救措施与开发者自查建议

Cursor已移除相关包、审计并重建市场、轮换市场密钥，并协助捣毁了攻击者服务器。但这只能阻止新安装并切断已知连接点，无法清理已运行代码的机器。Cursor警告，卸载扩展可能留下添加的密钥和持久化机制。若你在该时间窗口内安装过Claude Code，请对照公告中的哈希检查安装历史，并遵循微软关于检查进程、网络连接、登录记录和启动项的指南。是否轮换凭据或重建机器取决于检查结果。Cursor还提供可选的签名检查和延迟安装全新更新的设置——安装延迟能缩短暴露于短命恶意更新的时间，签名检查则验证文件来源的另一层面。但记录未说明这些功能在受影响用户中是否开启，也未解释该包为何能绕过Cursor自身扫描。核心教训很明确：AI编程工具也是普通软件，它以开发者对代码和密钥的同等权限运行，交付方式与模型行为同样重要。

关于OpenVSX与Cursor市场的关系：OpenVSX是由Eclipse基金会维护的开源扩展注册表，旨在为VS Code生态提供一个厂商中立的替代市场，许多VS Code衍生编辑器（如VSCodium、Gitpod）默认从其拉取扩展。Cursor并非直接使用OpenVSX的包，而是在OpenVSX前端之上运营自己的市场服务——这意味着扩展的元数据界面可能复用开源组件，但实际分发和签名由Cursor自己的渠道控制。这一架构差异正是早期报道误判的根源：恶意包出现在Cursor的渠道层，而非OpenVSX的存储层。理解这一点对评估供应链责任归属至关重要——问题不在于开源注册表本身被攻破，而在于下游分发环节的完整性校验是否到位。

亚马逊资本支出激增，需求真实性成焦点

亚马逊季度文件显示，截至9月30日的三个月内，资本项目现金支出达759亿美元，主要用于技术基础设施以及仓储和配送能力。财报称过去一年自由现金流为负，主因是与AI相关的设备 and 物业采购，且亚马逊预计2027年这部分支出将再次显著上升。

需要澄清两点：亚马逊云部门常被反复提及，但该支出并非全部用于AI，同一行项目还包括履约投资；且这不是普通费用——数据中心 upfront 购买、多年创收，现金流出远早于服务售出。需求是否真实存在？亚马逊云部门销售额同比增长39%，客户显然在购买。悬而未决的问题不是有没有客户，而是使用量、价格和需求能否在足够长时间内保持高位，以按期收回如此庞大的建设成本。

资本支出与自由现金流的关系：资本支出（CapEx）是企业购买或建设长期资产的现金流出，在利润表中不直接体现为当期费用，而是通过折旧在未来多年分摊。自由现金流则是经营现金流减去资本支出后的余额，反映企业可自由支配的现金。亚马逊报告自由现金流为负，正是因为AI数据中心的前期投入巨大而收入尚未同步兑现。数据中心从破土到满负荷产生收入通常需要数年，而现金支出在建设期集中发生，这种“现金流前置、收入后置”的错配是重资产行业的典型特征，也是市场担忧回报周期的核心逻辑。

谷歌AI搜索创收难题：更多搜索，更少收入

谷歌在10月28日财报电话会上，首席商务官Philip Schindler表示，AI模式（谷歌的聊天式搜索）目前每次搜索的收入低于常规结果页。同时，Alphabet报告搜索查询量五年来最快增长，以及“搜索及其他”收入类别增长12%。更多人搜索，但新格式下每次搜索带来的收入更少。

当答案取代一页结果和链接时，广告出现的位置、用户点击的内容以及广告主能购买的东西都会改变。谷歌称其在AI模式和AI概览中的广告实验前景可期，正在扩大规模——这是计划而非差距已缩小的证明。谷歌未单独报告AI模式的利润数据，因此无法从搜索收入数字中读出其成功与否。

技术、资本与政策的交叉点

本周科技股下跌，路透社将部分原因归于对AI支出回报的担忧，但也提到石油和加密货币市场的压力。英特尔大跌则源于其自身发布的PC市场疲软和令人失望的展望。这些波动并非单纯对AI成本的判决。

没有任何文件宣布服务涨价。可能的压力点在于订阅价格、使用限制、广告和效率提升。同一周，OpenAI的发布说明实际上提高了多个付费ChatGPT套餐的使用额度。财务压力并未自动转化为更紧的访问限制。

众议院民主党人Kassar和Maxine Waters提出决议，称联邦政府不应救助破产的AI公司及其背后银行和投资者。这是House Resolution 1642，Kassar为发起人，Waters等11人联署，10月29日宣布并已送交委员会。关键在于这是一项“众议院意见”决议，即使通过也不具备法律约束力，不会阻止救助、改变监管权力或支出资金。它尚未通过，仅被提出。进步核心小组的公告列出反对紧急贷款、资本注入、政府债务担保等特殊帮助，主张失败公司走普通破产程序、追究高管责任，并将援助导向工人、消费者、养老金持有者和受影响社区。为何在尚未有公司失败时发声？因为预期塑造行为——若贷款人和投资者相信政府会吸收最坏损失，他们就会承担原本避免的赌注，即道德风险。提前说“不”旨在影响仍在进行的融资决策。最强反对理由是：大公司崩溃时伤害不止于下注者——员工失业、养老基金持有资产、供应商被欠款，政府可能决定干预以防更广泛伤害。决议的答案是保护这些人而非公司，但未说明在真实失败中如何操作。需要明确，没有任何迹象表明亚马逊或任何公司已破产或寻求帮助。

Anthropic订阅计划更名Ultra：移除5小时限制但保留周上限

Anthropic的顶级Cloud订阅现更名为Ultra，月费200美元，取代原Max 20X计划，现有Max 20X订阅者以同价迁移。主要变化是：已验证的Ultra账户不再有5小时使用限制，但仍保留每周上限，为Pro计划的10倍。100美元的Max计划保留5小时和每周双重限制，各为Pro的5倍。Ultra并未提高每周总使用量，而是改变了使用时机——长编码会话的用户以前可能在周配额仍充足时撞上5小时墙，现在已验证账户可一次性花掉更多周配额。

“已验证”指Anthropic考察账户历史和支付历史等信号，较新账户可能保留临时5小时限制。在已验证Ultra账户上，当前会话进度条会从使用量显示中消失。有人称因旧名“20倍”而新计划“10倍”导致容量减少，但证据不支持。据Anthropic订阅负责人Mike Ovarel的解释（原始帖子无法访问，但被同期报道引用），20X指5小时窗口，后来引入的每周上限本就是Pro的10倍。当前页面确认了今天的条款。Reddit上的抱怨显示的是命名混淆而非实测削减。

其他限制包括：使用量在Claude和Claude Code之间共享，聊天和编码消耗同一配额；Ultra对Fable模型有单独的每周限制；Anthropic保留设置其他模型或功能上限的权利。倍数不是完成任务数，定制和大输入会更快消耗配额。Ultra为重度用户消除了一种中断，但并非无限。

OpenAI承诺支持robots.txt训练信号，但细节待定

OpenAI周五表示，未来几个月将遵循一种共享信号，网站可用它声明内容是否可用于训练AI模型。该信号将置于robots.txt中。它解决的主要是记账问题：新闻网站可能希望搜索引擎索引页面但不愿用于训练生成模型，目前需为每家公司的爬虫写单独规则并跟踪新爬虫。共享信号将描述用途（训练）而非点名每个机器人。

网站现在能添加吗？不能。这是对未来实施的承诺。OpenAI未说明采用哪种具体格式，其链接的标准工作有多个提案：一份草案在robots.txt中增加训练部分，另一份工作组草案描述可放在robots.txt或web响应头中的内容使用标签。这些是互联网标准机构的草案，并非已批准标准，现在照抄配置等于猜测。

出版商目前可用的是OpenAI已有的两个分别命名的爬虫：阻止GPTBot告诉OpenAI不要用内容训练其基础模型；OAI SearchBot是ChatGPT搜索的爬虫。网站已可拒绝训练同时出现在ChatGPT搜索中。OpenAI称这些控制保留，共享信号将叠加其上。此类信号的局限：它是声明偏好而非锁，不会阻止无视它的抓取器，不强制其他AI公司遵循，OpenAI也不承诺移除已用于训练的内容。出版商下一步需要可测试的通知：确切语法、开始日期、参与公司、以及网站改变主意时会发生什么。

同日OpenAI还宣布收紧ChatGPT对暴力的表述、增加青少年保护，并承诺2027年初发布首份社区安全报告。变化在未来几周推出，未必在所有账户生效。两个层面：对所有人，进一步限制对过去大规模袭击的详细重构（所用武器装备、获取方式、不同袭击伤害比较）；对青少年，即使问题看似无害，也限制可能助长暴力的武器和安保系统实用信息。人们仍可讨论事件、对受害者和社区的影响、警告信号和预防，青少年仍可获得预防或平息暴力威胁的帮助。ChatGPT通过年龄预测系统判断青少年，OpenAI称该系统持续重新评估信号；若判定账户属于18岁以下，会切换至青少年体验，误判成人可通过Persona公司验证年龄。OpenAI未说明误判频率。当对话显示对暴力或严重伤害他人的执念时，ChatGPT将能结束聊天，反复结束可导致临时账户暂停。OpenAI还在研究当青少年账户因此被暂停时通知家长，这区别于已有的某些严重自残和饮食失调担忧警报。

robots.txt与训练信号的技术背景：robots.txt是网站根目录下的纯文本文件，自1994年起被爬虫广泛遵循，用于声明哪些路径允许或禁止抓取。但它本质上是“君子协定”，无法律强制力，恶意爬虫可完全无视。近年来AI训练数据争议催生了在robots.txt中扩展“训练用途”声明的提案，例如IETF的AI偏好工作组草案，试图让网站用统一语法区分“允许搜索索引”与“允许模型训练”。难点在于：不同AI公司爬虫命名各异（GPTBot、ClaudeBot、Google-Extended等），逐一配置维护成本高；且信号只约束自愿遵守者，对已抓取的历史数据无追溯力。这也是OpenAI承诺被出版商视为“方向正确但细节不足”的原因。

OpenAI公开辩护合理使用，版权战持续

OpenAI周五发布题为“合理使用惠及所有人”的文章，为其在纽约时报诉OpenAI和微软的版权案中辩护。文章引用支持OpenAI的法庭简报，包括图书馆、无障碍倡导者、创作者、学者、开发者团体和作者联盟。没有新裁决，这是OpenAI在公开场合陈述立场。其论点有三：训练以不同于阅读的目的使用文章；产品未提供原作品的替代品；时报所称的市场损害不是法律承认的类型。时报对事实和法律结论均有争议，法院尚未裁决任何部分。

作者联盟的简报做出精确区分：与受保护作品竞争相同读者、同一主题或类型但未复制实际写作的新作品，不同于替代受保护作品的复制。简报称前者为“市场稀释”，认为不应算作版权损害。这是狭义法律论点，不主张所有AI输出合法，也不主张没有作者受经济伤害。支持者组合表明这不只是AI公司与出版商的对立——图书馆和无障碍团体关心信息获取，初创企业关心谁能负担构建这些系统。但OpenAI选择了摘录，它是被告，文章未呈现原告证据，引用的团体也不代表其领域所有人。这与同日robots.txt公告相关但回答不同问题：遵循未来退出信号不会解决过去训练是否合法，主张合理使用也不告诉出版商当前哪种技术控制有效。决定性事件将是法院命令、判决或和解。

开发者将NES处理器“编译”进模型权重

开发者Drew Brunig发布了Nieceformer项目，将原版NES的处理器和内存直接构建进一个与Qwen同架构模型的权重中。模型并非通过观看游戏学习NES工作原理。Brunig从6502处理器参考模型（含寄存器、标志、工作内存和游戏卡带程序）出发，用编译器将这些操作转换为模型参数——通常编译器会转为机器指令，这里变成神经网络中的数字。

内存如何从权重中产生？技巧来自早前项目Qwenputer（Brunig致谢）。Qwen 3.5有一个名为Gated Delta Net的组件，维护可在运行时更新和读回的内部数字表。通过精心选择输入，可使表的每一行像一个内存地址：一个操作写入已知槽位，另一个读出。模型随后像聊天机器人产生下一个词一样，一次一条记录地产生处理器步骤的运行日志，每条记录是一次处理器操作而非词。

并非整个主机都在模型内：处理器和游戏代码在模型中运行，而屏幕绘制、手柄读取、时序等输入输出由单独的Python程序处理。Brunig将处理器与已建立的指令轨迹和另一个模拟器对比，自由运行游戏时，他测试中的每个保存帧都与参考输出匹配——这是他自己的测试，非独立认证。实际游玩不现实：比真实主机慢150到290倍，10秒游戏约需25分钟。仅支持最简单的卡带类型和处理器官方指令，不支持内存切换，部分图形效果缺失或近似，无声音。权重下载3.3MB（多数数字为零压缩良好），解包后933MB，密钥和运行时内存另计。在普通处理器上运行，未要求显卡。Brunig在Hacker News帖中称Claude Opus 5.5从两个提示生成了代码和权重，基于Qwenputer和现有处理器测试——这是他的个人陈述，非AI生产力的测量研究。作为模拟器不实用，但模型架构能运行它从未从数据中学习过的精确手工程序，这一点值得关注。

本周启示

供应链安全是AI工具落地的基石。Cursor事件表明，即使模型本身安全，交付渠道的漏洞也能将开发者置于风险中。企业应启用签名检查和延迟更新，并定期审计扩展来源。同时，AI巨头的资本支出与收入模式仍在磨合：亚马逊押注长期需求，谷歌需解决AI搜索的变现效率，OpenAI则在版权与安全规范上主动塑造预期。技术突破如Nieceformer展示了模型权重的非常规用途，但离实用尚有距离。对于开发者，关注官方安全公告、核对文件哈希、理解订阅条款的变化，是当前最实际的行动项。