Cursor被黑真相曝光:Fireworks泄露密钥,黑客从AI训练记录一路攻入插件商店
相关推荐
Cursor扩展商店遭投毒:Claude Code被植入SSH后门,最多波及5000人
动察 Beating AI 快讯,Cursor 披露,10 月 29 日,其扩展市场出现遭恶意篡改的 Claude Code 2.1.313 版本。这个安装包并非 Anthropic 制作,在商店中上架了约 11 小时。Cursor 估计最多涉及 5000 名用户,将直接联系他们。 安全研究机构 OpenSourceMalware 分析发现,攻击者在插件的正常代码前面插入了 66 行恶意程序。只要编辑器加载该扩展,代码就会执行,甚至不需要用户与 Claude 聊天。 恶意程序会收集电脑名称、Git 邮箱、公网 IP 等信息,还会向 SSH 授权列表偷偷添加攻击者的密钥。随后尝试开启远程登录,通过反向 SSH 隧道连接攻击者服务器,并设置开机自动运行的后台任务,每隔约 60 秒尝试重新连接。 不过,攻击代码本身存在错误。Cursor 表示,大多数 Mac 和 Windows 电脑没有授予它开启 SSH 服务所需的管理员权限,因此攻击者通常无法通过隧道登录。但添加恶意密钥、安装后台脚本和发送设备信息仍可能成功。已经开启 SSH 服务的电脑也不能因此认定安全。 Cursor 已下架恶意版本,一度关闭整个扩展市场,并协助关停攻击者服务器。受影响用户需要检查 SSH 授权文件中是否存在 `svc-telemetry`,并使用官方修复脚本清理。只卸载扩展并不够,后台后门可能继续运行。
GitHub 推出 Copilot Fusion,评测接近 Claude Code
火星财经消息,据动察 Beating 报道,GitHub 在 Universe 2026 大会上正式推出多模型调度系统 Copilot Fusion。简单任务会交给合适的模型处理;复杂任务可先由成本较低的模型尝试,效果不足时再切换至更强模型,或让不同模型互相检查。独立评测机构 Artificial Analysis 的测试显示,Fusion Max 编程综合得分为 60,接近 Claude Code 搭配 Opus 5.5 Max 的 62 分。Fusion Max 平均每题 API 成本为 5.59 美元,耗时约 36 分钟;Claude Code 搭配 Opus 5.5 Max 为 11.42 美元、约 60 分钟,成本降低约 51%,耗时缩短约 40%。评测中 Fusion 缓存命中率为 97%,Claude Code 为 95%。原文同时注明,频繁切换模型可能造成缓存损失,上述结果只代表特定基准测试,不意味着实际使用时所有任务都能节省一半成本。
Claude Code开始让AI审查AI:90%代码由Claude编写,低风险修改无需人工批准
动察 Beating AI 快讯,Anthropic 披露,Claude Code 约 90% 的代码已经由 Claude 编写。今年 6 月至 9 月,Claude Code 团队合并的代码变更请求(PR)数量增长超过一倍,需要撤销的比例反而下降超过 40%。 为了跟上 AI 写代码的速度,Anthropic 重构了代码审查流程。每次提交前,Claude 会先运行测试,并让独立的子 Agent 检查修改。提交后,多名 Agent 并行寻找 Bug,再由另一组 Agent 交叉验证。安全审查和自动化测试也会阻止有问题的代码合并。 人工审查则按风险分级。对可信开发者提交的文档修改等低风险变更,通过自动检查后可以直接合并;普通产品改动需要 1 人批准,高风险代码需要 2 人。AI 的审批不能代替人工,开发者仍需对最终代码负责。 不过,AI 审查也会陷入死循环。Anthropic 披露,一次 Claude Code 修改曾在一夜之间经历超过 50 轮审查和修复。团队检查发现,约 59% 的问题涉及首轮审查时就已存在的代码,而非后来修改引入的新问题。团队随后调整规则,超过 3 轮审查就要求作者重新考虑方案,并限制重复反馈,避免 Agent 相互纠缠。
Claude Code 被曝将密码写入设置文件,GitHub 现 2539 个真实凭据
PANews 11月10日消息,据 Ars Technica 报道,安全公司 Apiiro 发现,超过 10 万份 Claude Code 本地设置文件被上传至公开的 GitHub 仓库。其中约 1100 份含有数据库密码、API Token、私钥或 root 登录信息,涉及 1994 个代码库中的 2539 个真实凭据,波及 63 个组织。用户选择“是,且不再询问”后,包含密钥的命令原文可能被写入 .claude/settings.local.json,随后被误提交到仓库。
企业AI年化支出暴增5.4倍至1770亿美元,Anthropic拿走55%模型API预算
动察 Beating AI 快讯,Menlo Ventures 发布 2026 年企业 AI 报告。按其估算,截至今年 9 月,全球企业 AI 部署市场的年化支出规模达到 1768 亿美元,是去年 330 亿美元的 5.4 倍。 这轮增长主要靠老客户增加投入。调查显示,付费企业占比从 55% 升至 65%,但受访企业的平均 AI 支出已经涨到去年的 4.7 倍。年初制定预算时,它们原本只计划增加到 1.9 倍。 AI Agent 是推动支出上涨的重要原因。过去主要由员工主动发起模型调用,现在 Agent 可以连续执行任务、并行调用多个模型,即使没人操作,也可能持续消耗 Token。OpenRouter 的数据显示,Agent 已贡献平台 80% 的 Token 消耗。 模型厂商之间的差距也在拉大。Anthropic、OpenAI 和 Google 合计占据企业 AI 部署支出的 69%,高于去年的 50%。单看大模型 API 支出,Anthropic 的份额从 40% 升至 55%,OpenAI 从 27% 升至 31%,Google 则从 21% 降至 9%。在 AI 编程工具市场,Claude Code 和 Codex 合计拿下 70% 的支出。
Claude Code 近两周三名骨干离职
火星财经消息,Anthropic 旗下 AI 编程产品 Claude Code 团队近期接连有人离职。11 月 4 日,Claude Code 和 Cowork 产品负责人 Cat Wu 宣布离开 Anthropic。此前,工程师 Thariq Shihipar 和 Claude Code 桌面版开发者 Anthony Morris 已于 10 月 24 日公开告别。Thariq Shihipar 离职时曾推荐关注 Cat Wu,称可以通过她了解 Claude Code 后续动态。11 天后,Cat Wu 也宣布离职。Cat Wu 曾于 2025 年 7 月与 Claude Code 创建者 Boris Cherny 一起跳槽至 AI 编程工具 Cursor,两周后双双回归。今年 7 月,Claude 和 Cowork 设计负责人 Jenny Wen 也转投 Cursor,担任设计主管。Anthropic 整体仍在扩张。其上市文件显示,员工规模从 2024 年底约 940 人增至今年 9 月底约 5300 人。过去 12 个月,公司披露的遗憾离职率约为 1%,即公司希望留住却主动离职的员工占比。