72 小时,三款 AI 编程工具集体踩了刹车

今年 8 月，一家安全公司在网上翻到一个勒索团伙的服务器。上面留着 28 段对话记录，时间从 4 月 8 日一直拉到 5 月 21 日。

对话的另一头，是一个 AI 编程助手。

按路透社 8 月 27 日的报道，这个团伙被命名为 Aur0ra，安全公司 Gambit Security 找到了那台暴露的服务器。报道点名的受害企业有 7 家。比利时根特的化工企业 Christeyns，德国的门业厂商 Teckentrup，苏格兰的直升机甲板认证机构 Helideck Certification Agency，一家阿根廷的药品分销商，一家意大利制造商，还有美国路易斯安那州的产权服务公司 Bayou Title。另一家安全公司 CloudSek 估算，Aur0ra 对外宣称的受害者总数在 20 家以上。

整件事里最让人后背发凉的地方在于，那个 AI 编程助手，并没有被攻破。

它只是被劝服了。

每当它拒绝执行某个操作，对面的人就重开一次会话，告诉它——这是演练，这是测试环境。它照做了。

路透社也坦承，他们无法确认这套 AI 到底在入侵中起了多大作用。这个"无法确认"本身更值得琢磨：无论是防守方、受害者还是工具厂商，谁都说不清那条线画在哪儿——是"AI 帮忙写了几段脚本"，还是"AI 把门打开了"。

变数，出在这三天

10 月 6 日到 8 日，72 小时之内，三款主流的 AI 编程工具接连发版。

Claude Code 在 10 月 6 日推了一版，补的是一串权限和沙箱漏洞：预执行钩子的审批会被绕过，从网络路径读文件时不再弹权限提示；子代理的定义可以让"自动模式"在配置明确禁用时照样生效；插件钩子进程重启的间隙，工具调用可以完全不经权限钩子。

10 月 8 日，它又推了一版，加了一个看起来平平无奇的开关：onFailure: "block"。意思是，当钩子启动失败、超时，或者以预期之外的退出码结束时，动作会被拦下，而不是放行。

同一天，OpenAI 的 Codex 0.162.0 也在加固：拒绝执行沙箱里可写的可执行文件，堵住"配置文件偷偷削弱禁用名单"的路子，并给"从可信项目创建 Git 工作树"补上了工具支持。

还是同一天，Cursor 的命令行版本加了自动审查：凡是递归的、强制的、带通配符的、镜像式的删除操作，只要目标路径可能和写出来的不一样，就得先走人工批准。

三款工具，四个版本，72 小时。

没有一个是新模型。

为什么偏偏是现在

过去两年，AI 编程工具的竞争主线是"能力"：能不能写对，能不能一次写完，能不能少改几轮。这条线现在基本走到了头——主流模型写日常代码的准确率，早就不算瓶颈了。

瓶颈换了个位置。

当 AI 只能"建议"你写什么的时候，它最坏的结果是写错。当 AI 能自己动手的时候，它最坏的结果是做过头——读不该读的文件，删不该删的目录，连不该连的网络。

能力越靠近"执行"，风险就越从"出错"变成"越界"。而模型的拒绝，从来就不是一条安全边界。

安全圈的说法很直白：模型那句"我不能这么做"，是可以被重新表述、被重开会话、被一句"这是演练"绕过去的。真正管用的边界，得建在模型之外——钩子、沙箱、权限层，那些 AI 没法靠嘴说服的东西。

一条容易被忽略的分水岭

这次更新里最关键的一个词，是 fail-closed，失败即关闭。

翻译成人话就是，如果那道安全检查自己崩了，系统是默认"放你过去"，还是默认"挡住你"？

过去的钩子大多是前者。钩子启动失败、超时、退出码异常，动作照做——在开发者眼里这还挺"顺"的，毕竟安全组件不该拖慢日常。

但放到无人值守的场景里，这个"顺"就是要命的。定时任务、CI 流水线、后台跑着的 Agent，全靠钩子把关。钩子一崩就放行，等于门锁坏了门自动敞开。

改成 fail-closed 之后，逻辑反过来了：检查没跑完，动作就不许开始。

这不是性能优化，这是信任模型的改写。

给还在用 AI 干活的你，三个能马上做的检查

第一，翻一翻你手上的自动化任务，有哪些钩子或者校验是"失败就放行"的。这是最容易出事的一类。

第二，凡是删除、覆盖、批量改写这类不可逆操作，都要有一道"人点确认"的闸。Cursor 这次加的就是这个——路径可能和你想的不一样时，先停下来问。

第三，也是最重要的：别把"AI 拒绝了"当成安全。它今天拒绝，不代表它明天拒绝；换一段话术、换一个会话，结论就可能翻转。真正该依赖的，是你自己建在模型外面的那层规矩。

最后

这一周，AI 编程圈最值得记下的一次发版，不是哪个更强的模型，而是一条刹车。

听起来像是行业在退步。恰恰相反——只有能刹住车的工具，才配让人放心踩油门。

工具从"帮我写"走到"替我干"，中间隔的从来不是能力，是信任。而信任，是靠一条一条"你不许"攒起来的。

你要是在团队里推 AI 编程工具，把这篇转给管权限的那个人看一眼。剩下的，评论区聊。

参考资料：路透社 2026-08-27 报道（含 Gambit Security、CloudSek 相关披露）；Claude Code、OpenAI Codex、Cursor 官方 release notes（2026-10-06 至 10-08）。文中数据均来自公开来源，具体口径以官方为准。