今天AI圈有大事:官方插件被投毒,装了的人赶紧自查

📡 AI资讯早报 | 2026年10月31日

早上好。今天的第一条新闻，有点吓人：一个"官方出品"的AI编程插件，被人塞了后门。另外几条也都不轻——AI会不会把人用废、华尔街开始怕AI烧钱、思科直接给员工发"无限token"。先看速查表，再往下读。

📋 本期话题速查表（这张表值得存下来备查）

1. "官方插件"藏后门：安全公司Phorion实锤，Cursor已紧急下架

先说发生了什么。安全公司Phorion发现，Cursor插件市场里的Claude Code for VS Code官方扩展，2.1.313版本被人动了手脚——安装后会在你的电脑上偷偷配置一个SSH后门，而且能长期潜伏，macOS、Linux、Windows三个平台都做了适配。

注意，这不是山寨插件，是"官方"扩展本体被攻破。Cursor反应很快，已经把这个版本从插件市场、NPM和VS Code注册表全部下架。

为什么这事严重？插件跟着编辑器一起运行，你电脑上的文件、源代码、开发工具，它全都能碰。一个被投毒的插件，等于你自己给小偷开了门，还配了把钥匙。

怎么办？三句话：

• • 用Cursor或VS Code装过Claude Code扩展的，立刻检查版本是不是2.1.313，是就先卸载；
• • 公司电脑中招的，别自己瞎删，走应急响应流程，SSH后门可能有残留；
• • 顺手看下自己机器的SSH服务和登录记录有没有异常。

这事还有个更大的启示：以前我们默认"官方渠道=安全"，现在这个等号不成立了。AI工具链太新、更新太快，连官方分发渠道都会被打穿。装插件这件事，以后得像装App一样留个心眼。

2. AI不是要抢走工程师的饭碗，是先把饭碗端不稳的手练废了

HN上一篇468分的文章，标题就很扎心：《AI没有在取代SRE，是在让他们技能退化》。

SRE是干嘛的？管网站和服务器稳定运行的工程师。文章问了个很实在的问题：当AI替你处理了95%的故障，剩下那5%真正要命的时刻，你还处理得了吗？

这就是"去技能化"：不是你没工作了，是你离开AI就不会干活了。判断力、手感、临场经验，这些只能靠亲手处理问题练出来。AI全包了，人就成了只会点"确认"的按钮工。

对普通人的提醒就一条：用AI可以，但别把脑子外包。AI给的方案，逼自己看懂再采纳；关键技能，隔段时间脱离AI练一次。工具越顺手，越要记得自己是干活的那个人，不是监工。

3. 思科的思路：给工程师无限AI额度，让他去啃20年的老代码

Fortune报道，思科让一位27岁的工程师用"无限AI token"去重写公司积压多年的遗留代码——就是那种又老又没人敢动的系统。思科总裁的说法很直接：年轻人不怕AI，敢让AI放开了用，这种活正适合他们。

两个信号值得注意。

第一，AI额度正在变成公司资源，像水电一样。以前是"省着点用"，现在有公司开始"管够"。你在公司用AI还要自己贴钱充会员的话，这篇报道可以转给老板看看。

第二，AI最值钱的用法，可能不是写新东西，而是啃旧东西。老代码、老文档、老流程，人不愿意碰、请人碰又贵，AI不知疲倦还不嫌烦。谁家有一堆"历史包袱"，谁就是AI的红利方。

4. 华尔街开始害怕了：AI烧钱引发抛售，Anthropic上市评级也悬

路透社消息，周四美股大幅收低，导火索是市场担心AI公司烧钱太狠——亚马逊、英特尔的财报让这种担忧雪上加霜。另一条相关消息：Blackstone评估认为，Anthropic就算IPO了，也可能拿不到投资级信用评级。

翻译成人话：华尔街的态度正在从"AI是未来，冲"变成"未来很好，但你们先把账算清楚"。

对普通人意味着什么？如果你买了AI概念相关的基金或股票，接下来波动会变大，别把"AI长期看好"当成"短期不会跌"的理由。另外，烧钱担忧的另一面其实是机会——市场开始逼AI公司讲盈利，能活下来的会是真做事的，泡沫挤掉之后，工具反而可能更便宜、更实在。

5. GitHub本月趋势：给AI"装技能"的项目集体爆火

看看这个月GitHub涨星最猛的项目，风向很清楚：

• • 第一名是Cloudflare官方的security-audit-skill（月增近3万星）——教AI编程助手做安全审计的技能包。结合今天的第1条新闻，这个方向火得刚刚好；
• • VoiceStudio月增4.7万星，本地跑的开源语音克隆，不用把声音数据交给别人；
• • 两个"反AI味"项目上榜：impeccable和hallmark，专门治AI生成的"一眼假"设计和文字；
• • claude-mem、context-mode这类给AI加"长期记忆"、省上下文的工具也进了前列。

一句话总结趋势：大家已经不满足于"会用AI"，开始琢磨怎么把AI调教得更专业——给它装安全技能、装审美、装记忆。如果你在用Claude Code、Cursor这类工具，上面这些开源项目可以直接抄作业，都是免费的。

💡 今日一句话：AI工具链已经卷到"官方渠道也会被投毒"的程度——用得越深，越要把安全和自己的真本事攥在手里，这两样AI都替不了你。

明天重点盯：Claude Code插件后门事件的后续排查细节，以及AI股波动会不会蔓延到国内市场。

转给你身边用Cursor或VS Code写代码的朋友，今天第1条跟他直接相关——官方插件被投毒，让他花两分钟查下版本号，可能省下一场大事故。再转给你们公司管IT预算的人，第3条思科"无限AI额度"的做法，值得他琢磨琢磨。

👆 点击文末「阅读原文」，直达工具页，注册即送100积分。

🔜 代码安全体检 —— 即将上线，敬请期待！

关注「xAI智工场」，每天早上7:30，AI圈大事3分钟读完，不耽误你上班。