ARTICLE · 1003371
你的 AI 编程助手,正在替别人运行恶意代码
你的 AI 编程助手,正在替别人运行恶意代码
这一周，AI 领域发生了两件看着不相干、其实指向同一个问题的事。 一件藏在程序员的命令行里：你让 AI 编程助手"看一眼"某个代码仓库，它可能在你还没看清目录结构之前，就已经替攻击者运行了一段恶意指令——而且全程没有弹窗、没有授权、没有越狱。 另一件发生在工厂和发布会现场：人形机器人赛道在中国彻底沸腾，上半年出货量占到全球九成以上，小鹏一轮融资就超过 9 亿美元，优必选、车企们排着队下场。 一个长出"手"，一个长出"身体"。当 AI 从"你问它答"的工具，变成会自己动手、自己走路的"同事"，我们最该问的不是"它有多强"，而是——我们真的准备好信任它了吗？ 
过去一年，AI 编程助手从一个"补全代码的编辑器插件"，进化成了能自己跑命令、改文件、提 PR 的"命令行智能体"。Claude Code、Cursor、Codex、Qwen Code……这些工具现在会主动执行 git status、git diff 来理解你的工作区。这很方便，也很危险——因为它们默认信任仓库里的配置。 9 月 1 日到 2 日，安全公司 Manifold Security 披露了一组代号"GitSpawn"的漏洞：8 个缺陷，波及 7 款主流命令行 AI 编程智能体——goose、Codex、Claude Code、Hermes Agent、Qwen Code、Grok Build、Cursor。 根因出在 Git 的一个合法配置项上。Git 有一个叫 core.fsmonitor 的性能开关，它的值可以是一条命令，Git 在刷新索引时会执行它。这本是用来加速大仓库的。但 AI 编程智能体在启动时会后台调用 git status 这类命令来"搞清楚自己在哪"，于是攻击者只要把一个精心构造的恶意命令塞进仓库的 .git/config，开发者一打开这个仓库，智能体就替攻击者运行了任意代码。 关键点在于：这不需要任何提示词、不需要模型越狱、不需要你点"允许"。命令以你的用户权限执行，跑在智能体的沙箱之外，能读、改、删你账户下能碰到的任何文件，包括 SSH 密钥、环境变量里的 API key。OpenAI 同日为 Codex 发布了 3 个 CVE（其中一个是 CVE-2026-19592），GitHub 给 goose 的漏洞（CVE-2026-72718）打了 CVSS 7.0。 截至 9 月 1 日复测，Hermes Agent、Qwen Code、Grok Build，以及 Claude Code 的第二条触发路径（claude ultrareview），仍然没有修复。 Manifold 的原话很直白：问题"不在模型里，也不在新东西里，而在底下那套普通管道（plumbing）里——也就是智能体启动时为了定位自己而拉起来的那个子进程"。换句话说，这不是某个模型的 bug，而是整个"让 AI 自动操作仓库"这件事的架构性信任缺口。 这股漏洞潮不是孤例。网络安全圈在这个 Black Hat / DEF CON 季密集曝出同类问题：有研究把防火墙的拦截日志变成投毒通道（GhostJacking），让智能体去"复盘被拦截的流量"时反而中招；也有研究演示 Claude Code 在"自动模式"下，"让它总结一个网页"就能以 60%–80% 的成功率触发任意代码执行；Google Gemini CLI 的一个相关漏洞被官方评为 CVSS 10.0。 国内这边怎么讲的？ 角度很不一样。工业和信息化部网络安全威胁和漏洞信息共享平台（NVDB）此前就 Claude Code 内置监控机制（未经用户同意回传地理位置、身份标识等敏感信息）发过风险提示，把它当作"后门"风险来警示。360 旗下的"图灵锐警"系统则宣称在 OpenAI Codex 中自主发现了 6 个高危安全漏洞，其中包括可导致远程任意代码执行的严重缺陷——这成了周鸿祎在短视频里高赞的一条："OpenAI 都没发现的漏洞，被我们挖出来了。"9 月 2 日，周鸿祎在第四届世界网络空间安全论坛上直言，AI 已经改变了网络攻防格局，呼吁尽快形成 AI 漏洞发现、自动化防御和智能体安全体系。 值得每个用 AI 写代码的开发者记住的一条：在打开别人给的目录之前，先看一眼 .git/config，或者直接全局关掉这个开关——git config --global core.fsmonitor false。一条命令，挡掉一大类风险。 
就在程序员为"AI 会不会乱跑代码"揪心的同时，另一场更热闹的竞赛在工厂和展会里展开。 8 月 28 日，《基督教科学箴言报》发了一篇长报道，标题很直白——If you give a bot a body（如果你给机器人一个身体）。文章的核心判断是：中国正把"给 AI 一个身体"当作通往通用人工智能（AGI）的战略路径，这与美欧主要押注文本大模型（LLM）的路线形成鲜明对照。 几个硬数字： 中国目前约有 140 家人形机器人制造商，占全球销量 90% 以上；摩根士丹利预计今年出货量将从约 1.3 万台增至 5 万台（翻三倍多）。另有国内分析机构给出更激进的口径——2026 上半年中国占全球出货量约 97%（此口径待核实）。 政策端：工信部等两部门 6 月宣布，到 2026 年底，人形机器人与具身智能重点产品要在代表型场景中开展"作业模式"应用验证和常态化部署；标准体系也在加速（2026 版指南征求意见，提出 2028 年前制定至少 100 项关键标准）。 资本与产业端：小鹏机器人完成首轮超 9 亿美元融资（IDG 领投，腾讯、阿里入局，投后估值超 63 亿美元），计划年底量产；优必选（UBTech）完成约 1.39 亿美元新一轮融资，目标 2026 年量产 1 万台全尺寸人形机器人——其上半年营收 12.7 亿元（同比翻倍），全尺寸人形机器人收入增长 1445%；车企集体下场，小鹏、奇瑞、广汽、蔚来（投而不造）、比亚迪、理想、零跑等近 20 家已布局。 对面也在动：美国 FCC 已将"先进机器人设备"列入受管制清单，实质限制了部分中国机器人进入美国市场的通道。 这条路线的底层逻辑是：中国把"成熟制造能力 + 真实场景数据"当成壁垒。工厂、物流、零售都是现成的训练场和数据来源——机器人每干一天活，就多攒一天真实世界的操作数据，而这些数据反过来喂养"大脑"。 但《基督教科学箴言报》也点出了一个软肋：硬件领先，软件和数据仍是瓶颈。报道里，某头部机器人公司的技术总监自己说"硬件 OK，软件还没到位"；机器人当前效率大约只有人的 30%，目标是先到 50%。换句话说，能跑能跳的 Demo 很多，能在工厂里稳定干活的还不多。 国内舆论对这件事的讲法，比国外热闹得多，也更分化。 短视频平台上，小红书一条"WRC 世界机器人大会实探 vlog"拿下 8520 赞，抖音和视频号则把焦点放在"小鹏融资 9 亿美元"的民族自豪叙事上，还有"原地跳高近 3 米"这类 spectacle 式传播。但公众号和 B 站反而更冷静——"金额缩水 62%，7 月人形机器人融资又降温了？""宇树市值缩水近半、优必选仍亏损，人形机器人难算盈利账""过来人怎么看人形机器人？"——已经有人开始泼冷水。 这种"一边狂欢、一边算账"的拉扯，恰恰是行业从概念走向落地的正常阵痛。接下来真正该盯的，不是发布会上的跳高数字，而是真实工业任务的完成率、连续稳定性，以及单位成本。 
把上面两件事放回"国内外怎么讲"的镜头下，落差本身就值得写成一篇稿。 先看 AI 编程安全的叙事框架差。 外媒（以 The Hacker News 对 Manifold 披露的报道为代表）讲的是系统性架构缺陷：7 款工具、4 款截至复测仍未修复、供应链攻击面、以及"模型厂商的安全责任边界到底在哪"。 国内讲法分散成了三股：监管视角（工信部把 Claude Code 当"后门"警示）、民族安全叙事（360 发现 OpenAI 没发现的漏洞，周鸿祎个人 IP 高赞），以及副业教学流（抖音、B 站大量"用 AI 挖漏洞、一人公司副业"的教程）。 最该追问的那个问题，在国内几乎失声："默认开启自动模式、却迟迟不修高危漏洞，责任到底在谁？"——海外研究者敢于实名把矛头指向厂商的安全欠债，而我们这边的注意力，被"我们比对手强"和"用 AI 搞钱"两股流量稀释掉了。 再看平台之间的温差。 同一件事，B 站偏情绪化和猎奇，公众号偏技术会议的冷静，小红书偏体验和 spectacle，抖音、视频号偏民族自豪和融资狂欢。机器人那件事尤甚：能在小红书拿下 8520 赞的是"展会实探"，能在公众号拿到关注的却是"融资降温、盈利难算"。 这期稿子想提醒读者的，其实就一句话：热闹之外，要留一个冷静的位置给"谁该负责"和"共性问题是不是被替代叙事盖住了"。无论是 AI 编程的智能体安全，还是人形机器人的盈利账，国内都有声音在讲，只是它们往往被更大的声量盖住。把这两种讲法并排摆出来，本身就是一种价值。 如果你也在用 AI 编程助手，或者关注人形机器人的落地，欢迎在留言区聊聊：你最担心的是"它乱跑代码"，还是"它迟迟赚不到钱"？觉得这篇有用的话，点个"在看"、转发给也在盯 AI 的朋友——下期我们继续盯紧这两件事的后续。 本文综合自 The Hacker News、Christian Science Monitor、路透社、彭博社、工业和信息化部网络安全威胁和漏洞信息共享平台（NVDB）等公开报道，以及 Manifold Security、360 漏洞研究院等机构披露的技术信息。文中未核实口径已标注，具体融资与出货数字以企业公告及官方统计为准。
一、GitSpawn：AI 编程的"信任地基"裂了一道缝
二、机器人"长身体"的竞赛：中国押注具身，半年出货占全球九成
三、讲法差异：同一件事，两种讲法，我们漏听了哪一种声音