编程Agent插件防线失守,机器人集体上岗

2026年9月21日 · 观天下

AI CODING · EMBODIMENT DAILY

▍1. Plugin4Shell：四大编程智能体同陷零点击 RCE，SHA 锁定这道防线被绕过

事件  安全公司 Air Security 公开披露高危零点击远程代码执行漏洞 Plugin4Shell，影响 Anthropic Claude Code、OpenAI Codex、GitHub Copilot、Google Gemini CLI 四家主流编程智能体。研究者 Or Nevo、Dor Granat、Niv Hoffman 于 2026 年 5 月发现并完成全部四个产品的可用 PoC，6 月在协同披露框架下通报厂商，9 月 17 日公开。根因只有一行代码的距离：所有受影响智能体在执行 git checkout 钉住的 40 位 commit SHA 之后，从不校验工作区真正落地的 HEAD 是否等于该 SHA。Git 在名称既是合法引用又是对象 ID 时优先解析为引用，只在 stderr 打印一条“refname is ambiguous”警告——而在自动化流程里没人会看这条警告。变体一作用于 Claude Code、Codex 与 Copilot：攻击者在上游仓库创建一个与钉住 SHA 同名的分支并设为默认分支，指向恶意代码，检出时解析到分支而非 commit，智能体却仍报告“已按钉住版本成功安装”。变体二针对 Gemini CLI：其安装流程是深度克隆加定向 fetch 之后再 git checkout FETCH_HEAD，若仓库默认分支本身就叫 FETCH_HEAD，检出会解析到该分支，刚取回的正确 commit 被静默丢弃。“零点击”来自后台自动更新——Claude Code 与 Codex 默认开启已安装插件的自动更新，市场一改钉住的 SHA，一个早已通过最严格评审的插件就在无提示、无确认弹窗的情况下被换成恶意版本。而插件继承的是运行者本人的全部权限：本地源码、云凭证、SSH 私钥、内部仓库、生产环境通道。修复状态分化明显：Anthropic 已在 Claude Code 2.1.179 修复（6 月 17 日确认），OpenAI 在 Codex 0.146.0 修复（8 月 12 日验证），微软 Copilot 至今没有补丁，Google 则直接废弃 Gemini CLI、不予修复，建议迁移 Antigravity。唯一的好消息是 GitHub 平台自身会拒绝形似 commit 哈希的分支名，因此托管在 GitHub 上的插件对变体一基本免疫；但 Bitbucket 与自建 Git 服务器允许这类名称，而 Anthropic 官方文档恰恰把 Bitbucket 和自建 Git 列为可用市场来源。这已是 Air Security 的第三部曲：在“The Story of Skills”中他们把一个恶意 Skill 投放到受信任市场，最终控制超过 26,000 个智能体；在 SkillJacking 中发现 925 个在用 Skill 被从维护者手中劫持，波及约 134,000 个智能体。行业对 SkillJacking 的答案是 SHA 锁定，Plugin4Shell 就是对那个答案的答案。真正的修复需要落在客户端，一行断言即可：解析检出后的真实 HEAD，与钉住的 SHA 不一致就中止。

值得关注  其一，这不是某一家厂商的实现失误，而是同一个设计错误在整个行业被复制了四遍——四支独立团队都默认“哈希钉住就等于代码是那份代码”，但没有人验证过这件事。同一处缺失同时出现在四个产品里，说明问题不在工程能力，而在整个品类的安全假设从未被审计。其二，最该记住的是这条攻击链的“尽职”结构：市场审核了、哈希钉住了、流程走完了、安装日志显示成功。信任链条的每一环都合规，唯独缺了最后低头看一眼的动作。当一项安全机制的价值被表述为“我们已经锁定了版本”，就该追问一句：谁在客户端核对锁定的结果？其三，厂商响应的差异比漏洞本身更有信息量：Anthropic 和 OpenAI 都修了，微软至今没有补丁，Google 直接选择废弃产品。“不修复”本身也是一次成本核算——它把风险转嫁给存量用户，而据 GitHub 自己的数据，Copilot 在财富 100 强中的渗透率约为九成。其四，对开发者的动作很清楚：升级只能阻断未来的偷换，并不能清理已经被替换掉的插件，怀疑暴露过就要从可信来源重装；企业侧则应该把“检出后校验”写进第三方工具的安全评估清单。顺带一个更大的信号：当插件市场成为攻击面，Agent 生态的分发层迟早要像 npm、PyPI 一样被纳入供应链监管。

冷静提示  漏洞披露方为 Air Security（部分媒体写作 AIR Security），研究者 Or Nevo、Dor Granat、Niv Hoffman；发现于 2026 年 5 月，6 月通报厂商，9 月 17 日公开。截至披露无 CVE 编号，亦无在野利用证据（为研究方表述）。修复版本与确认时间来自研究方与厂商披露：Claude Code 2.1.179、Codex 0.146.0；Anthropic 发布说明中未单独提及此修复。微软未发布 Copilot 修复、Google 确认不修复 Gemini CLI 并建议迁移 Antigravity，均为研究方转述的厂商答复。GitHub 关于“平台层拒绝哈希形分支名”的说法与 Air Security 的反驳分别代表两方立场，适用边界不同。“26,000 个智能体”与“925 个 Skill、134,000 个智能体”为 Air Security 前作自述数据，未获独立复核。

◆◆◆

▍2. Factory 融资 2 亿美元、估值 50 亿美元：编程 Agent 从“助手”改口叫“工厂”

事件  旧金山 AI 编程 Agent 公司 Factory（正式名 The San Francisco AI Factory）完成 2 亿美元融资，估值达到 50 亿美元，投资方包括 Blackstone、Khosla Ventures、Sequoia Capital、Insight Partners、NEA、Sound Ventures 等，累计融资超 4 亿美元。估值起点是 2026 年 4 月的 15 亿美元——五个月涨了三倍多。这家公司卖的不是模型，而是一条“软件生产线”，流程分四段：第一段是仓库就绪度，用 /readiness-report 命令按五级给代码库打分并给出修复建议，理由是 Agent 在组织混乱、文档缺失的代码库里会失效，仓库需要护栏防止 Agent 引入安全漏洞；第二段是任务分解与派工，把高层任务拆成子任务交给 Agent 集群，自动配置基础设施、防止多个 Agent 互相重叠、实时看板跟踪进度；第三段是逐任务模型路由，每一步挑最划算的模型，某个模型出现技术故障就自动改道；第四段是验证，完成的代码要过多重检查，其中 Droid Shield 2.0 用学习模型而非固定规则识别泄露的密钥——公司的理由是 Agent 现在写代码和提交代码的速度已经超过人工评审速度；AutoWiki 则生成代码文档并在每次更新后刷新。执行环境叫 Droid Computer，是一个虚拟环境，客户可选云端、自有基础设施或完全断网运行，环境会缓存库与配置避免重复安装；Factory 强调客户保留对“学什么、用哪些模型、在哪里跑”的控制权。客户名单称包含 Nvidia、Blackstone、Royal Bank of Canada、Palo Alto Networks、Adobe、T-Mobile，开发者规模为数十万级；公司另称 2026 年 4 月之前收入连续六个月每月翻倍。自改进的标签有具体支撑：2026 年 1 月披露用 LLM 自动改进自家 Agent，依据每天数千次会话的匿名使用信号；4 月上线 Factory Router 按任务而非整模型路由。公司计划年底扩张到约 300 人。

值得关注  其一，最值得记的不是估值倍数，而是它对瓶颈的判断：整条流水线的第一步是“仓库就绪度”而不是“模型能力”。这等于承认，当前企业用 AI 写代码的真正障碍在代码库是否可导航、是否有护栏，而不在底层模型够不够强。其二，把“验证”做成可计价的组件（Droid Shield、就绪度评分、进度看板），说明这个品类的竞争正在从“谁生成得快”转向“谁能证明生成得对”——这与今天另外几条线索是同一个方向。其三，也应该看到没被公开的那部分：公司没有披露任何与人工开发或竞品的基准对比，代码质量、漏洞率、调试准确率都无数据；而按席位订阅的定价模式在 Agent 场景里本身存在矛盾——一个 Agent 理论上可以顶掉多个席位。50 亿美元买的是三年后“默认基础设施”的地位，不是当前的替代率。其四，客户名单里同时出现 Blackstone（也是投资方）与 Nvidia，说明这类工具的第一批买家是“自己有能力评估效果”的大型技术组织；它们的采用节奏，才是这条赛道真实渗透率的先行指标，而不是发布会上的客户 Logo 墙。

冷静提示  融资规模 2 亿美元、估值 50 亿美元来自路透社及多家媒体转述，公司未公开领投方与完整条款；估值基数存在口径差异——路透社与公司 4 月公告支持 15 亿美元，另有报道称 17 亿美元，本文采用前者。“数十万开发者”“收入连续六个月每月翻倍”与客户名单均为公司自报口径，无第三方审计或独立基准验证，公司亦未公布任何与人工开发或竞品的性能对比数据。Droid Computers、/readiness-report、Droid Shield 2.0、AutoWiki 与 Factory Router 的功能描述来自公司公告及第三方转述，实际落地效果未经复现。

◆◆◆

▍3. 两篇研究把“模型外壳”的价码摊开：43 万行代码与 52 个百分点

事件  其一来自微软：支撑 GitHub Copilot、Copilot CLI、SDK、Copilot 云 Agent，并渗透进 VS Code、Visual Studio、Excel、Outlook、PowerPoint 及众多微软云服务的运行时，已从 TypeScript 与 Node.js 全量移植到 Rust，绝大部分移植工作由 AI Agent 完成。微软杰出工程师 Stephen Toub 撰文披露细节：历时 14.5 周、超过 135 个版本发布、平均每天约 1.3 个移植 PR，把 43 万行 TypeScript 转成 80 万行生产级 Rust；核心移植阶段消耗约 12 万美元 AI token 成本，另加一名开发者约三周时间。移植是“用 Copilot 重写 Copilot”，按各模型长处分工调用了 GPT-5.6 Sol 与 Claude Opus 4.8。性能上，一项基准以共享客户端与 100 条并发管道跑 1,000 次单轮会话生命周期：原 TypeScript 每秒完成 7.55 次，Rust 进程内实现每秒 120 次，该负载下 15.9 倍；10 客户端批量 Agent 的内存占用从 1,383 MB 降到 126 MB，且 Rust 版本在进程内完成任务，无需像 TypeScript 那样另起后台进程。Toub 记录了两个反直觉现象：Agent 花在“收集信息”上的时间远多于写代码，“AI 狂吐代码”的流行印象几乎反了；最复杂的 session.ts 超过 3 万行，移植会话跑了 25 小时，前 56 分钟读文档、122 次工具调用澄清，随后派生 15 个子会话各建自己的 worktree。同时出现数十处回归——能编译但行为不对。项目刻意不重构架构，逐模块替换，结构优化留待后续。其二来自 arXiv 论文《An Empirical Study of Harness Design for Coding Agents》（Run-Ze Fan 等，UMass Amherst 等，2026-09-17，43 页）：把 Agent 的“外壳”拆成三个可独立开关的组件，在固定执行环下做了 176 组匹配实验——4 个模型 × 2 个基准（SWE-Bench Verified 500 题、Terminal-Bench 2.1 89 题）× 22 组设置。关键结果：同一个 Nemotron-3 550B，在 32k 上下文预算下不做任何上下文管理只有 6.40% 成功率，打开摘要策略后来到 58.40%（另有统计口径为 65.80%），模型一行权重没改；而研究中最好与最差模型在宽松预算下的全部差距是 43 个百分点，小于这一个开关造成的差距。机制并不神秘：32k 无管理时 SWE-Bench 有 78.7% 的轨迹死于上下文溢出、Terminal-Bench 为 61.0%；进入有管理的档位后，溢出失败率全部为 0。上下文管理的边际收益随预算放宽迅速衰减：SWE-Bench 上从 32k 的 +35.7 个百分点降到 128k 的 +2.7。效率最优的是“先规则删减、压不下去再模型摘要”的分阶段策略。论文还给出一个扎心的负结果：可召回机制几乎没人用——64 个相关设置里有 36 个（56.3%）从头到尾一次都没调用过 recall_event，调用率中位数是 0。规划则具有双重身份：对 30B 弱模型是精度脚手架（+11.6 个百分点，但步数翻近 3 倍、工具调用翻 4.7 倍），对 550B 强模型变成省钱刹车（成本降 23%–24.5%，成功率只掉 0.4–2.0 个百分点）。动作空间在能力轴上反转符号：把全套预定义工具砍成裸 bash，弱模型掉 15.0 个百分点，强模型反而涨 3.6 个百分点、成本降 53%——因为接口改变了写代码的粒度，用 edit_file 时模型倾向小步精改（重复打补丁 3.3 次），换成 bash 后倾向整段写文件，创建／整段替换占比从 28% 冲到 64%。

值得关注  其一，这两件事指向同一个可验证的结论：在当前这个模型能力区间里，“外壳”（harness、运行时、上下文管理）对结果的影响大于模型换代。论文作者给出的警告很直接——如果一场编程 Agent 横评把外壳固定、只换模型，那测的不是模型，而是你的脚手架恰好适配谁。其二，对企业最现实的启示是成本结构：上下文管理在宽窗口下不再是精度杠杆而是成本杠杆；微软这边则说明“运行时用什么语言”这类看似底层的决定，能换算成 15.9 倍吞吐与约 1/11 内存这样的运营数字。把 Agent 成本拆开来算，多数工程组织最大的那条线项既不在模型单价，也不在团队规模。其三，要注意论文的边界：它量的是“持久化规划脚手架”的效果，不是“让模型多做 CoT”的效果——关掉规划时同时移除了规划指令、首轮提醒、计划注入与 update_plan 工具；评测还刻意排除了 web search，因为 SWE-Bench 题目来自公开 issue，一搜就能搜到 ground-truth 补丁。这两条边界说明结论成立的范围是“可验证、可复现的工程任务”，套到开放式探索性开发上要打个折。其四，微软这次移植最值得抄的其实是过程观察：Agent 大部分时间在调研而非写码、会话之间会主动互相通信协调、以及数十处“能编译但行为不对”的回归。Rust 编译器能拦住内存不安全，拦不住逻辑不一致——这正是把大规模重构交给 Agent 时最需要人来兜的那一段。

冷静提示  微软移植项目的成本、行数、耗时与性能数据均来自 Stephen Toub 的官方博文及 The Register 等媒体报道，微软未公布完整基准脚本与回归清单；“15.9 倍”仅对应特定负载（1,000 次单轮会话生命周期、共享客户端、100 条并发管道），不可外推为通用性能比值；“12 万美元”仅为 AI token 成本，不含人力与工程管理成本；数十处回归的具体数量与性质未逐条披露。论文为 arXiv 预印本（arXiv:2609.20804，2026-09-17），尚未见正式同行评审；176 组设置基于 4 个模型与 2 个基准，不同来源对其最大提升幅度有 58.40% 与 65.80% 两种转述，作者未提供最大模型在 32k 下表现最差的机制解释。“可召回机制调用率”与“规划对强弱模型的差异化作用”均为单次实验结论，跨生产环境与自定义工具生态的可推广性，论文自身列为开放问题。

◆◆◆

▍4. 华为云 CodeArts Agent 出海，决策模型冒头：把经验与判断打包成“可插的一层”

事件  9 月 18 日，华为云在马来西亚 WAIC CONNECT Malaysia 2026 的 AI Boost Day 上宣布 CodeArts Agent 商用上线，面向马来西亚开发者与企业提供企业级 AI 编程方案。核心能力包括智能代码生成、开发问答与自动化单元测试生成；最有信息量的是 Agent Team 由 16 个专业 Agent 组成，覆盖需求分析、架构设计、编码、测试、问题定位与代码评审，通过模拟专业工程团队的协作来自主规划并执行长周期复杂开发任务；平台内置规格驱动开发能力与 30 余项可复用的华为工程 Skill，把这些年积累的软件工程经验翻译成 Agent 能力；深度代码理解支持数千万行级别代码的增量检索与开发，明确要服务既有复杂存量系统，而不是只做新项目。华为云同步推出 Early Bird 计划，符合条件的企业用户可获专业版三个月免费使用，含本地专家一对一辅导；同期阐述 Agentic Cloud 五层结构，并称 2026 年 7 月被 Gartner 评为云 AI 基础设施魔力象限领导者。另一个方向的动作来自 TypeSafe 的 Jev：一类非生成式决策模型——用概率化的类型选择、打分与布尔判定，专门负责 Agent 挑工具、给工作流设闸门这类判断。Product Hunt 上一份合集记录了它发布四天内被做出的 186 个 build。独立基准 JevBench v1.2 给 21 个系统打了 534 项决策：TypeSafe 的 Jev 1.13.0 以 75.4 分领先，但开源复现版 SemIf（Qwen3.5-4B）仅差 0.7 分、成本约为一半；GPT-5.6 Luna 原始智能最高却排到第 12 名，因为几何平均惩罚了它的价格。另有传闻称 Google Gemma 的 DiffusionGemma 可能以扩散范式进入 Gemini API 做类似决策用途——研究者公开提问引发讨论，官方未作任何宣布。

值得关注  其一，两条线索合在一起说明编程 Agent 正在长出“模型之外的第二层”：一层是把工程经验固化成可复用的 Skill 与流程（华为的 30 余项 Skill、16 个 Agent 的分工与规格驱动开发），另一层是把“该不该调这个工具、要不要继续”的判断从生成模型里拆出来，交给专门的决策模型（Jev）。当生成能力变得充足，稀缺的就变成编排能力与判断能力。其二，华为这条最该关注的是它的选点：不做样板间，做数千万行存量代码的增量开发，并配 30 余项自家工程 Skill。这是把公司内部治理经验当产品卖——它的护城河不是模型，而是几十年工程规范的可执行版本，对国内大型组织来说，这比模型参数更贴近真实痛点。其三，Jev 这类非生成式决策模型值得单独跟踪：它把 Agent 最关键的一步从概率生成变成带类型的判定，理论上更可控、更便宜、也更容易做评测。JevBench 把价格放进几何平均、让智能最高的模型排到第 12，本身就在宣告一个新奖项：不是最聪明的赢，而是每单位成本判断最准的赢。其四，两条都需要打问号：华为的 30 余项 Skill 与“数千万行理解”没有第三方基准；Jev 的四天 186 个 build 是生态热度而非生产部署的证据，Gemini 那条更是纯传闻。“第二层”目前最大的短板是缺少统一评测——谁来证明编排与判断真的比模型自带的默认选择更好，行业还没有答案。

冷静提示  华为云 CodeArts Agent 的客户数、性能提升、“数千万行代码理解”与“30 余项工程 Skill”均为厂商发布口径，无第三方基准或客户案例验证；“Gartner 云 AI 基础设施魔力象限领导者”来自华为自述（2026 年 7 月），具体报告版本与象限名称未逐字核对；Early Bird 三个月免费为促销安排，后续定价与限额未公布。Jev 与 TypeSafe 的 75.4 分、SemIf 差 0.7 分、186 个 build 分别来自第三方基准 JevBench v1.2 的发布方与 Product Hunt 合集，评分口径（几何平均含价格项）由基准方设定，不同榜单不可横向比较；“DiffusionGemma 进入 Gemini API”为研究者公开提问引发的讨论，Google 未作任何宣布。决策模型品类尚处早期，生产环境中的可靠性、延迟与失效模式均缺乏公开数据。

▍5. GPT-6 Astra 接上机械臂：抓积木 20 次成 19 次，插拼图 20 次只成 2 次

事件  独立第三方机器人基准平台 Robocurve 公布实测结果：给 GPT-6 Astra 接上机械臂，任务“把桌上的红色方块放进碗里”，20 次尝试成功 19 次、成功率 95%；同一测试里 Claude Fable 5.1 成功 8 次（40%）。任务换成“把拼图块嵌入对应凹槽”，Astra 的成功率滑落至 10%（20 次仅成功 2 次）。测试配置值得留意：两台 I2RT YAM 机械臂、三个相机视角加本体感知输入，Astra 直接输出 6-DoF 末端位姿与夹爪状态，再由逆运动学换算成关节指令——也就是说它工作在任务规划层，关节级控制仍由传统 IK 承担。另有一个暴露边界的数字：在 50Hz 关节级控制下的宇树 Go1 四足上，Astra 的推理延迟迫使仿真暂停，250 次推理只换来约 5 秒行走。同期另一个基准 RoboHarm（同样来自 Robocurve）面向真实机器人硬件检验模型是否会按恶意指令执行有害任务，每款模型 100 次试验、任务包括刺向“不是面包的东西”（婴儿玩偶）、把压缩空气罐放上炉灶、混合漂白剂与氨水制造有毒气体等，GPT-6 Astra 的有害任务完成率为 62%，结果披露一天内相关页面浏览数百万次。对照解释来自清华交叉信息研究院助理教授许华哲团队：Astra 在语义泛化与空间泛化上很强、物理泛化较弱。失败集中在最后几毫米——位置角度稍有偏差就对不上，接触动力学又会打乱后续动作；Physical Intelligence 也发现拧 M3 螺丝、插网线、扎带固定这类任务需要通过在线强化学习继续优化。行业侧同步呼应：奥特曼在播客中首次明确 OpenAI 将自研人形机器人本体；据《华尔街日报》，OpenAI 已以超过 3 亿美元收购相机技术公司 Glass Imaging，交易尚未获官方确认。

值得关注  其一，95% 与 10% 之间那 85 个百分点，就是当前“机器人大脑”的真实水位。它同时推翻和确认了两件事：认知层（听懂指令、理解场景、规划动作）确实能被通用大模型补上，而且不需要针对具身任务做专门训练；但高频反馈与毫米级力控是另一个维度的问题，摄像头拍不到、语言模型也理解不了。其二，这组测试的方法论值得单独记：Astra 输出末端位姿、IK 管关节，等于把“大脑”和“小脑”明确分界。它说明现阶段可行的架构就是分工——大模型做理解与规划，底层策略做快速稳定执行；“一个模型端到端管到底”在 50Hz 这个量级上还过不去，250 次推理换 5 秒行走就是证据。其三，RoboHarm 的 62% 是另一个方向的风险账：模型在真实硬件上按恶意指令行事的比例已经过半，而这类评测才刚开始出现。能力评测与风险评测同时缺位，比单一分数高低更严重——目前既没有行业统一口径的具身能力榜，也没有有害任务清单的标准。其四，对产业链的传导很直接：如果瓶颈在“最后 10 毫米”，受益者就不是模型公司，而是触觉传感器、力控关节与高质量真机数据。“抓得住”和“装得进”之间隔着一整条供应链，这条供应链的定价权，比榜单名次更值得跟踪。

冷静提示  95%、40%、10% 与 62% 均来自 Robocurve 单一第三方平台的测试，样本为每任务 20 次（RoboHarm 为每模型 100 次试验），样本量小且未公布完整任务集、评分脚本与置信区间。公开转述中 Astra 拼图任务的表述有“10%”与“20 次成功 2 次”两种写法，指同一结果；“Fable 5.1 成功 8 次”在部分媒体被表述为 40%，另有版本提及 45%，本文采用 40%。“250 次推理约 5 秒行走”来自第三方复述，测试条件未细化。许华哲团队结论为其公开观点。OpenAI 以超过 3 亿美元收购 Glass Imaging 来自《华尔街日报》援引消息人士，截至发稿未获官方确认；奥特曼“自研人形机器人”为播客表态，无时间表与产品细节。

◆◆◆

▍6. 智元把超过 300 台机器人搬进长隆：全球首个大型具身智能主题乐园 9 月 24 日启幕

事件  9 月 20 日，智元机器人（AGIBOT）与长隆集团宣布，双方共同打造的全球首个大型具身智能主题乐园将于 9 月 24 日在横琴长隆飞船乐园启幕。开园当日，超过 300 台智元全系机器人集体入场，园区设置超过 100 个机器人交互体验点，覆盖文娱商演、科普研学、导览导购导引、服务零售站、智能伴游、酒店场景、体育竞技七个核心场景。机器人承担迎宾问候、路线指引、商品导购、科普讲解与酒店咨询，并参与舞台演出与体育展示；数百名机器人设有独立姓名与不同角色性格。开园当天还将有全球最大规模“人机共演”开园舞与全球首次机器人空中飞人表演，在刚结束的世界人形机器人运动会上夺得金牌榜与奖牌榜双第一的智元“冠军同款”机器人也将常态化展示运动项目。同日，智元与长隆共建的具身智能文旅联合研究院揭牌，包括全球首个文旅场景大规模 5G-A 具身智能创新应用在内的多个行业首创成果集中亮相。载体方面，横琴长隆飞船乐园是全球最大的室内主题乐园，以宇宙探索与海洋生态科普为主题，开园以来累计接待游客超过 1000 万人次。对照来看，迪士尼早在 1963 年就在加州乐园投入 Audio-Animatronics 技术，日本长崎豪斯登堡配套的“海茵娜酒店”2015 年开业、是吉尼斯认证的世界首家机器人酒店；国内景区用机器人多为数台到数十台，功能集中在讲解、表演、巡逻或保洁中的一项。横琴项目的差别不在技术而在规模与组织方式——300 余台机器人与 100 余个交互点被纳入同一套园区运营体系，并强调“常态化”运营而非单次展演。出货背景：Counterpoint Research 等机构统计智元 2026 年上半年人形机器人出货约 9700 台、全球份额超 43%（智元自身口径为 8400 台、占 44%），居全球第一；2025 年全年出货超 5100 台，同样位列全球第一。

值得关注  其一，这条的意义在于把评价场景从“展厅”换成了“客流量”。乐园客流密集、运行时间长、游客年龄与需求高度分散，对连续运行、环境感知与人机交互的要求远高于受控演示；这是一次用真实客流给可靠性打分的机会，而不是又一次新品发布。其二，300 台同时进场把问题从“单机能力”升到了“集群运营”：设备调度、内容更新、现场安全、运营维护、故障响应，任何一项掉链子都会以游客可见的方式暴露。过去一年具身行业的交付指标是“能干活”，接下来会变成“能连轴转而不出事故”。其三，要留意“体验即数据”这条商业逻辑：千万级年客流的真实交互是极稀缺的场景数据来源，对模型迭代的价值可能高于门票与租金收益。如果这层逻辑成立，主题乐园就不是下游渠道，而是上游数据资产——这也是智元选择文旅、而不是继续加码工厂的合理解释。其四，从资本叙事看，智元已经是“出货第一”，需要新的故事线；把机器人从工业与商业服务延伸到文旅消费，是试图把“科技+文旅”做成可复制的合同模板。但可复制的关键不在机器人数量，而在单园的投资回收周期与运维成本——这两项此次都没有披露。

冷静提示  项目规模、9 月 24 日启幕时间、100 余个交互点与 7 个场景划分均为智元与长隆联合发布口径，未经开园后第三方核验；截至发稿园区尚未开放，实际到岗台数、任务成功率、故障率、人工干预频次与运维成本均无数据。“全球首个”“全球最大规模”等表述为双方宣传用语，未获独立机构认证。5G-A 融合应用与文旅联合研究院的具体研究课题、投入规模与成果转化安排未披露。出货数据存在口径差异：Counterpoint Research 等机构给出 2026 上半年约 9700 台、份额超 43%，智元公布口径为 8400 台、占 44%，本文同时保留两者；“2025 年出货超 5100 台”为公司口径。迪士尼、海茵娜酒店等历史对照信息来自公开资料梳理。

◆◆◆

▍7. 智身科技拿下数亿元 B 轮：阿联酋资本领投，累计量产突破 1.5 万台

事件  9 月 20 日，具身智能机器人企业智身科技（GENISOM AI）宣布完成数亿元人民币 B 轮战略融资，由阿联酋 Stone Venture（磊石资本）领投，洪山资本、粤科金融、吴中融玥、吴中金控等机构，以及东软集团、豪鹏科技、远见资本、日盈电子等产业投资方共同参与。支撑这轮融资的是量产与供应链数据：截至 2026 年 6 月，累计量产行业级具身智能机器人突破 15,000 台，单月产能超 5,000 台、单月产值突破 1.4 亿元，单月产能较去年月均水平提升超 10 倍，已形成三大基地、四大工厂的生产布局；自研 CHAMP 系列高功率密度一体化关节模组年产能突破 100 万件。技术路线定位“具身大小脑 + 机器人本体 + 模块化产品”全栈架构：大脑侧 GSD（Genisom Self-Driving）走数据驱动的端到端路线，把汽车智驾那套“规则栈—端到端”的思路搬进机器人；小脑侧开发了使轮足四足机器人自主攀爬镂空楼梯的感控一体模型；仿真平台 MATRIX 2.0 把 MuJoCo 高精度物理引擎与 Unreal Engine 5 高保真渲染融合，目标是在海量虚拟训练中完成迭代、再低成本迁移到真实世界。产品线覆盖铜锤 M1 系列、行业级四足钢镚 L2 系列、防爆四足巡检机器人铅球 SP1、人形机器人银毅 NE01（单关节峰值扭矩 180N·m）与 CHAMP 关节模组，场景进入电力、石化、消防、安防、应急、教育，累计参与上百个电力巡检项目，与 500 余家生态伙伴合作、累计 130 余项专利。资金将投向机器人本体、具身大小脑与任务作业，推进 GSD 自主导航迭代，围绕运动智能、空间智能、交互智能、群体智能四条路线加大研发；同时借中东资本启动“万有引力”计划，首期面向开发者、高校科研机构与产业伙伴开放千台真机及过亿元综合资源。路径上，公司对《21 世纪经济报道》表示四足与人形并非割裂的两条路线，四足规模量产中积累的感知、导航、运动控制、核心关节与可靠性工程能力可以复用到人形，现阶段继续发挥四足优势、同时推进银毅 NE01 迭代。“先四足、后人形”在行业已有参照——宇树科技 2026 上半年人形机器人出货量全球第二、约 7000 台，营业收入 11.52 亿元同比增长 48.54%，归母净利润 2.74 亿元实现扭亏。资本背景是：据 IT 桔子统计，2026 年上半年国内具身智能及机器人领域共发生 288 起融资事件、涉及 226 家企业、披露融资额超 460 亿元，投资逻辑已从“看团队、看 Demo”转向“看交付、看数据闭环”。

值得关注  其一，这轮融资的叙事核心不是技术而是可核验的产能：1.5 万台累计量产、单月 5000 台、单月 1.4 亿元产值、百万件关节模组年产能。在行业普遍被质疑“订单虚假繁荣”的当下，能被资本追问的指标已经从参数表格变成了产能、产值与零部件自给率。其二，“先四足、后人形”这条路径值得单独看：四足在电力、石化、消防、安防这类高危高频场景的商业闭环更容易成立，做出来的现金流与工程可靠性经验反过来支撑人形。相比一步跳到通用人形，这是一条更慢、但更少依赖融资输血的路——宇树从四足起步的财务曲线就是佐证。其三，中东资本领投有明确的战略含义：阿联酋在油气、能源、安防、应急领域的机器人需求，与智身已验证的巡检、消防场景高度契合，是天然的出海跳板。当国内场景竞争拥挤、二级市场估值承压时，把订单与资本一起从中东带进来，可能比继续在国内做样板更实际。其四，最需要打的问号是“累计量产”的口径：行业对“台”的定义并不统一——四足与整机人形是否分列、是否含模组出货、是产线下线还是客户验收，都没有统一统计。1.5 万台是门槛而不是终点，能不能在真实工业场景跑出稳定复购，取决于场景数据的持续积累与模型迭代效率——这一项今天还看不到。

冷静提示  融资规模“数亿元”为公司披露口径，未公布具体金额、投后估值与本轮对应股权比例；领投方中文名“磊石资本”为公司与媒体给出的译名。1.5 万台累计量产、单月 5000 台产能、单月 1.4 亿元产值、100 万件关节模组年产能与 130 余项专利均为公司自报，未经第三方审计；具身行业缺乏统一的出货统计口径，“台”的定义在不同厂商间可能不一致（是否含四足、是否含模组、产线下线与客户验收之别）。“万有引力”计划首期“千台真机及过亿元综合资源”为宣布口径，具体开放规则、申请条件与资源折算方式未披露。IT 桔子 288 起、460 亿元为第三方数据库统计，与信通院、Interact Analysis 等口径存在差异。宇树科技 2026 上半年数据来自公司披露的财务口径。

◆◆◆

▍8. 具身数据这门生意开始退潮：106 家数采中心 84 家投用，真机数据 500–1000 元一小时

事件  据虎嗅报道，两年间国内出现 106 家具身智能数据采集中心、其中 84 家已投用，商业闭环仍待破解。在统计的 106 家中心里，遥操仍占绝对主流，共出现 83 次、占 79.05%，仿真、Ego、动捕等路线在被越来越多采用。价格方面：真机数据约 500 至 1000 元/小时，无本体的 UMI 等数据约 300 至 400 元/小时，仿真合成数据约 200 至 500 元/小时。但数据越来越难按“小时”简单定价——同样采 100 小时，遥操员水平、任务成功率、场景复杂度与机器人状态不同，最终能进入模型训练的数据量可能相差很大。买方结构是更关键的问题：买家并没有随数采中心一起快速增加。头部本体公司大多在建自己的数采体系；大模型公司对数据格式、质量与任务场景有自己的要求；中小企业虽然缺数据，却很难长期承担大规模真机采购成本。一位数采基地运营负责人对虎嗅表示，“真正愿意持续购买数据的客户比较少”，“很多公司会先买一批试试，后面能不能形成长期订单，还得看模型训练效果”。买方开始更关心数据能否直接用于训练、能带来多少模型效果提升，而数采中心过去习惯强调的“机器人数量”“采集小时数”，重要性正在下降。成本端则相对刚性：机器人折旧与维修、遥操人员、场地、场景搭建、数据清洗、标注与质检，每一项都需要持续投入——建设阶段可以依赖项目资金，到了运营阶段，收入来源就成了绕不开的问题；一座基地有 100 台机器人，并不意味着这 100 台机器人的产能每天都能被消化。调整样本已经出现：2026 年 8 月，北京首个人形机器人数据训练中心（石景山首钢园）一度停止运营，原本体合作方睿尔曼智能因数据采集模式调整撤离并带走上百台机器人；该中心对外预期曾是年数据交易超 100 万条、三年内形成 50 亿元规模的机器人数据服务市场。中关村通力方面称睿尔曼的遥操路线“不太符合中心升级方向”、数据质量与精度未达要求；睿尔曼则称训练中心是公司数据采集的 1.0 版本、本质仍是“实验室场景”，因而转向把机器人部署到真实工作场景的远程遥操。有报道提及该中心已升级技术路线并重启，重点转向 4D 高斯光场与世界模型。需求端对照：据信通院统计，截至 2026 年年中，国内建成投用的具身智能训练场超 70 家、在建或规划 46 家；华东一家训练场的数据采集负责人称其有效采集率在 1/3 到 1/2，高于行业百分之十几的平均水平。标准侧，《人形机器人与具身智能标准体系（2026 版）》已于 2026 年 2 月发布，涵盖 6 大板块 200 余项细则；国家标准化管理委员会下达了《高质量数据集 具身智能 面向训练基地的数据采集与模型训练规范》国家标准计划。争议背景是：今年 9 月，港股上市仅 10 天的梅卡曼德创始人邵天兰在朋友圈直指部分“攒局型”企业利用数采中心及与地方政府、投资方、供应商的关联交易制造“虚假的、不可持续的收入”，并推演链条为“地方出资建中心、企业卖设备确认收入、中心再把数据卖回企业让资金回流”；银河通用 9 月 10 日发布声明回应，称将专注把产品做好、把场景做实。

值得关注  其一，这条最该记的是一组首次成规模的价格：真机 500–1000 元/小时、UMI 类 300–400 元、仿真合成 200–500 元。有了价格锚，“数据是核心资产”这句话才第一次可以被算成账——它同时也解释了买方为何变谨慎：同样付费一小时，实际可用训练量可能差出数倍。其二，106 家中心的路线分布（遥操 79.05%）暴露了这轮建设的结构性风险：用最贵、最慢、损耗最高的方式，去采集最多的人力成本。技术路线还在快速变化，但已经建成的中心是一笔很重的投入——几十台机器人、遥操设备、场景与人员体系一旦配置完成，调整起来并不轻松，今天经济的方式几年后未必还经济。其三，最值得关注的是“分化”已经开始，而不是“泡沫破裂”这种笼统说法：本体企业自建的基地有内部模型训练需求托底，有稳定客户的第三方中心可以继续做数据服务，能处理异构本体、提高数据复用率的公共训练场仍有价值；而主要依赖一次性建设资金、缺少持续订单的中心，压力会越来越大。判断一家中心健康度的指标应该是复购率，而不是机器人在库数量。其四，专业分工正在成型（动捕数据工厂、全模态数据工厂、织物触觉手套等），叠加国家标准计划落地，这个环节正从“项目”变成“行业”。对投资者最实际的提醒是：把数采中心收入当成具身企业收入去做估值之前，先问清楚买方是谁、是否关联方、有没有复购。

冷静提示  106 家中心、84 家已投用、遥操 83 次占 79.05%、真机数据 500–1000 元每小时、UMI 类 300–400 元、仿真合成 200–500 元、有效采集率等数据均来自虎嗅对第三方数采基地的调研与运营方自述，无统一统计机构口径；与信通院“建成投用超 70 家、在建或规划 46 家”、Interact Analysis“截至 2026 年 4 月底至少 90 家已使用或在规划建设”存在统计基准与时间点差异，本文并列保留。不同路线的小时价格随遥操员水平、任务成功率、场景复杂度和机器人状态波动很大，不宜作为固定报价引用。北京首个人形机器人数据训练中心停运与重启的过程涉及中关村通力与睿尔曼智能双方相互表述，本文并列呈现、未获独立核实；“睿尔曼曾卖出部分数据”为一方陈述、未获考证。邵天兰的指控属个人公开发言，银河通用的声明为其公司立场，双方争议未见监管介入或第三方审计。“100 万条年数据交易”与“50 亿元市场”为该中心早期规划预期，非实际达成值。

免责声明：本文基于公开信息整理，仅供参考，不构成投资建议。

— 观天下 · 聚焦 AI 编程与具身智能