AI 日报|微软拆解投毒插件、英国查 Meta 抓取条款

过去 24 小时，AI 圈的攻防与规则两条线同时收紧：一边是微软把投毒的 Claude Code 插件拆了个底朝天，告诉开发者"删插件不等于干净"；另一边是英国监管正式对 Meta 的抓取条款立案，出版商与平台关于"内容算不算免费训练料"的拉锯，从口水战走到了立案调查。与此同时，OpenAI 开始定期交安全账本，DeepSeek 的免费搜索工具也走到了收费的起点。

今日看点：01 微软拆解投毒插件：删插件清不掉后门，5000 名开发者要查三处；02 英国 CMA 立案查 Meta 抓取条款：出版商的"不"第一次有了监管背书；03 OpenAI 交安全账本：三季度向执法部门转介 200 多起，青少年武器信息再收紧；04 DeepSeek 搜索与抓取工具今起收费：每次成功调用 0.75 美元；05 Anthropic 改套餐名、撤 5 小时上限：Max 变 Ultra，API 单次请求放宽到 128MB；06 Grok 机器人会购物了：商品卡片加一键下单，钱包交给了审批规则。

01 微软拆解投毒插件：删插件清不掉后门，5000 名开发者要查三处：扩展市场第一次成了投毒通道

10 月 31 日，微软威胁情报团队公布了对投毒版 Claude Code 插件的分析：10 月 29 日，Anthropic 官方插件 anthropic.claude-code 的两个被篡改版本 2.1.312 与 2.1.313，在 Cursor 自家的扩展市场里挂了约 11 小时（太平洋时间凌晨 2:27 至下午 1:35），Cursor 称最多 5000 名用户装到了它们。微软确认，被篡改的包从未出现在微软的 Visual Studio Marketplace、npm 或 Anthropic 自己的渠道，Anthropic 也表示自身系统没有被攻破——问题只出在 Cursor 市场里的那份拷贝。

篡改的手法并不复杂，但藏得深：66 行加载器被缝在正常代码前面，插件一加载就运行，不用用户打开任何对话。它先收集主机名、用户名、操作系统、Git 邮箱和最多 40 个名字里带 KEY、TOKEN、SECRET、PASS、AWS 或 GCP 的环境变量名（注意是变量名，不是变量值），再把一个标为 svc-telemetry 的攻击者 Ed25519 公钥写进 ~/.ssh/authorized_keys，并尝试打开本地 SSH 服务、向攻击者服务器反向建隧道。持久化手段按系统分三路：macOS 是名为 com.apple.sysmond 的 LaunchAgent，Linux 是 @reboot 定时任务，Windows 是名为 SysMon 的计划任务加启动文件夹里的 sysmon.cmd。

微软与 Cursor 同时给出的关键提醒是：卸载或升级插件清不掉这些东西，因为后门脚本写在扩展目录之外；要按顺序查三处——authorized_keys 里的 svc-telemetry 密钥、启动项与定时任务、再升级到干净的 2.1.314。值得庆幸的一句是：开启本地 SSH 服务需要管理员权限，扩展在多数 macOS 与 Windows 机器上没有这个权限，所以实际能被远程连上的机器少于 5000 这个上限——但密钥、持久化脚本与主机信息外泄这三样，微软说仍可能已经发生。

这是"智能体工具链"第一次以如此具体的方式提醒开发者：你给编程智能体装的每一个插件，都是以你的身份在跑代码。过去讲供应链攻击，多是 npm 包、依赖库；这一次，攻击面直接落到了开发者每天都在用的编辑器插件市场——而市场本身，就是那道最不该失守的门。

（来源：微软威胁情报团队 10 月 31 日分析，经多家 10 月 31 日报道；Cursor 10 月 29 日披露；Anthropic 10 月 30 日说明）

02 英国 CMA 立案查 Meta 抓取条款：出版商的"不"第一次有了监管背书：条款可以暂停，但旧条款还在生效

10 月 30 日，英国竞争与市场管理局（CMA）正式对 Meta 的商业条款展开调查，焦点是：Meta 拟议的条款允许它收集使用其平台的企业与出版商网站上的内容、用于自家产品与 AI 功能，而企业对此"没有真正的选择"。CMA 认为，这可能构成滥用市场支配地位、对使用 Instagram 等服务的出版商与广告商造成不公平损害。Meta 回应称"没有立案的理由"，并表示已承诺"不经与出版商及其他利益相关方协商就不改条款"。

这场对峙的来龙去脉值得捋清：Meta 原定 10 月 30 日生效的新商业条款，被指给了它一张" blanket 许可"——可随意取用企业网站内容训练 AI。出版商与广告商团体 10 月 22 日向欧盟委员会与英国 CMA 投诉并要求叫停；Meta 先把"训练"一词删掉、把生效日推到 11 月 20 日；10 月 28 日，Meta 传播副总裁 Andy Stone 又承诺先与行业充分协商，协商可能超过 11 月 20 日，实施随之再推——等于无限期搁置；同一周，挪威十家出版商起诉，奥斯陆地方法院发出临时禁令，叫停条款在挪威生效。

立案本身不等于定罪，CMA 明确表示尚未就 Meta 是否违法作出决定；但对出版商来说，这一步的意义在于：过去他们只能靠舆论与谈判争取"退出键"，现在有了一个可以裁决"平台条款是否公平"的监管程序。而对所有实验室都一样的问题也摆上了台面——如果 CMA 最终认定"无选择抓取"违法，要求改为"选择加入式授权"，那就不只是 Meta 一家要改：所有在开放网络上训练的模型，都要为这个曾经免费的输入付一次价。

（来源：英国 CMA 10 月 30 日立案公告，经《华尔街日报》、路透社等多家 10 月 30 日至 31 日报道；Meta 10 月 28 日声明；挪威法院临时禁令，经多家报道）

03 OpenAI 交安全账本：三季度向执法部门转介 200 多起，青少年武器信息再收紧：从"我们会处理"到"定期交数"

10 月 30 日，OpenAI 宣布两件事：一是推出《社区安全报告》，聚焦暴力预防等社区安全议题，首份定于 2027 年初发布、覆盖 2026 年下半年，此后每半年更新一次，内容包括系统如何发现与处置风险、匿名化的暴力风险案例、新的缓解措施与相关数据；二是同步收紧产品侧的安全规则：对预测年龄低于 18 岁的用户，限制武器与安保系统方面的实用信息——即便问题本身看起来无害；当对话出现"对暴力念念不忘"的迹象时，ChatGPT 将能自动结束对话，重复出现则暂停账户；对所有用户，关于过去大规模袭击事件的细节描述也会减少。

公告里唯一公开的硬数字是：2026 年第三季度，OpenAI 向执法部门转介了 200 多起案件，涉及在平台上发现的迫在眉睫的暴力威胁，公司称这些转介"帮助打断了部分暴力计划"，并举了巴西与美国佛罗里达的两则公开报道作例证。但同样要说清边界：OpenAI 没有公布转介的国家分布、逮捕数量，也没有公布因暴力活动封了多少账户——200 这个数字是公司自报、未经独立核查，真正的明细要等 2027 年初的首份报告。

这份公告放在 10 月 30 日的模型规范更新之后看，意思更完整：OpenAI 正在把安全从"出事再回应"往"定期交账"上推——半年一期的报告、自动结束对话的机制、青少年信息的硬边界，都是可以被外界逐项核对的承诺。承诺能不能兑现，看的不是发布会上的措辞，而是 2027 年初那份报告里有没有把"转介了多少、拦住了什么、误伤了多少"写清楚。

（来源：OpenAI 10 月 30 日官方公告；路透社、Bloomberg Law 10 月 30 日报道，经多家 10 月 31 日转述；转介数字为 OpenAI 自报，尚未经独立核查）

04 DeepSeek 搜索与抓取工具今起收费：每次成功调用 0.75 美元：免费期结束，智能体调用成本要重新算账

按 DeepSeek 定价页公布的时间表，服务器端搜索（Search）与抓取（Fetch）调用的免费期已于北京时间 11 月 1 日零点结束，改为每次成功请求各收 0.75 美元——按请求次数计费，不是按返回结果条数，也不是按模型 token 计费。这项收费针对的是通过 DeepSeek API 调用上述工具的情形，包括经 DeepSeek Harness、Claude Code 或 Codex 等编程工具发起的调用；普通消费者聊天订阅不受影响。

0.75 美元一次听起来不大，但对智能体工作流来说是个需要重新算账的量级：一个靠"先搜一圈再动手"的智能体，一天跑几百次搜索抓取并不罕见，过去免费时没人计较，现在每一步检索都变成了账单上的一行。对开发者而言，真正的变化不是价格本身，而是调用习惯——以前可以"多搜几次保稳"，现在每一次搜索都要问一句"这次调用值不值 0.75 美元"。

这也是 DeepSeek 今年价格策略转向的又一注脚：从靠低价与开源抢量，到开始对高频工具调用明码标价。对国内外的智能体开发者都一样：当模型的 token 越来越便宜，工具调用、检索与外部服务这一层，正在成为新的成本中心——而成本中心一旦开始收费，工作流的设计就得跟着改。

（来源：DeepSeek 定价页公布的时间表与价格，经 EBNewsDaily 10 月 31 日核对；收费范围以定价页口径为准）

05 Anthropic 改套餐名、撤 5 小时上限：Max 变 Ultra，API 单次请求放宽到 128MB：涨价的反方向，是把用量天花板拆掉

10 月 30 日，Anthropic 调整了订阅套餐的命名与用量规则：原 Max 5x（100 美元）改称 Max，原 Max 20x（200 美元）改称 Ultra；经验证的 Ultra 账户不再受 5 小时用量上限约束。与此同时，Claude API 的单次请求大小上限从 32MB 放宽到 128MB，Claude Code 也新增了组织成员共用月度预算的设置——在个人额度之上再设一个团队共享额度。

这轮调整没有动价格，动的是"能用多少"的天花板：对重度用户来说，5 小时上限一直是高价套餐里最扎眼的那根线，拆掉它等于把 Ultra 的卖点从"更多额度"改成了"不用掐着表用"。而 API 请求上限放宽四倍、团队共用预算上线，指向的是同一批人——把 Claude 当生产工具、按团队规模花钱的开发者与企业用户。

放在 Anthropic 刚递交 IPO 招股书的当口看，这步棋的算盘不难猜：订阅收入要继续涨，不能只靠涨价，得让最愿意花钱的那批用户用得更顺手、更不设限。只是"无限量"从来都不是真无限——验证门槛、公平使用规则与后台的实际容量，仍是 Ultra 用户接下来要实测的下一道题。

（来源：Anthropic 10 月 30 日套餐调整，经多家 10 月 31 日简报汇总；API 请求上限与共用预算为 Claude Code 更新日志口径）

06 Grok 机器人会购物了：商品卡片加一键下单，钱包交给了审批规则：智能体从"帮你找"走到了"帮你买"

按 xAI 的 Grok Bot 更新日志，10 月 27 日发布的 0.78.1 版把购物做成了一条完整链路：机器人给出的购物结果以商品卡片呈现，带照片、评分、价格与店铺，多结果可横向滑动；商品页上有货的选项排在前面，"Buy now"按钮在用户批准后开始下单；下单后机器人会跟踪物流并告知发货与到达；支付则可接 Shop Pay，在 Vault 的支付设置里连好后即可选作默认付款方式。该版本 10 月 28 日起陆续向用户推送。

值得多看一眼的是审批设计：xAI 的文档把购买与资金转移列为应当设在明确边界之后的动作，Ask first 规则命中时会弹出审批卡，列出拟议操作与输入参数，用户可选单次允许、总是允许或拒绝；且文档明确写了，审批通过不等于可以撤销已完成的操作，自动审查是基于模型的、只能作为明确规则的补充、不能替代规则。换句话说，机器人替你花钱的那一刻，真正起作用的不是模型"懂不懂事"，而是你事先写好的那 20 条允许规则与 20 条先问规则。

这条新闻与本期头条放在一起看，恰好构成一组对照：同一周里，一边是插件市场被投毒、开发者要查后门；另一边是机器人被允许替人花钱、支付信息进了 Vault。智能体的能力每向前一步，它手里握着的东西——代码执行权、支付凭证、系统权限——就贵重一分；而"先问一句再动手"这种看似笨拙的设计，正在成为智能体产品里最值钱的部分。

（来源：xAI Grok Bot 更新日志 0.78.1 版，2026 年 10 月 27 日；xAI 审批规则文档；多家 10 月 29 日至 30 日报道）

快讯

· 欧洲电信标准协会发布深伪风险技术规范：据 10 月 31 日简报，ETSI 发布了针对生成式 AI 深伪滥用的技术规范 TS 104 275，要求在系统建设阶段就处理风险，而不只事后检测已传播的虚假影像；该规范支持欧洲《人工智能法案》目标的说法，不等于已具备法律义务或认证效力。（来源：据 10 月 31 日简报报道）

· Anthropic 用数千个 Claude 智能体做失调红队测试：据 10 月 31 日简报，Anthropic 用数千个 Claude 智能体自动化了"微妙失调"红队测试，寻找能通过训练数据监测、却同时导致其他模型行为偏离的数据；相关实验细节尚未见完整公开报告。（来源：据 10 月 31 日简报报道）

· Claude Code 2.1.316 上线组织共用预算：据 10 月 31 日简报，Claude Code 2.1.316 新增组织成员共用月度预算功能，并在受限会话中修复了外部文件上传与进程残留问题；均为开发商公告的修正事项。（来源：据 10 月 31 日简报报道）

————

以上就是本期 AI 日报。每天一期，只报有出处的事。觉得有用，点个关注，明天见。

（来源说明：本期事实均来自上述各条文末所注来源；凡标注"据报道"的条目，其细节尚未获当事方公开证实；厂商自报的基准成绩在第三方独立复核完成前均为厂商口径；诉讼、归属指控均不等于认定违法或事实成立。）