ARTICLE · 1294764
这一周,AI 学会了自己管自己,它的插件却被人换了包
周一早上，很多人第一件事不是打开 AI，是把上周没看完的消息补一遍。
这周三件事，都不是发布会。一个在 GitHub 上开源了套架构，一个在插件市场被换了包，一个递了招股书。
三件事看着互不相干，落点却挨得很近：AI 越能干，越要知道自己在替谁干活。
01
DeepSeek 让 AI 去调度 AI
10 月 31 日晚，DeepSeek Harness 团队公布了 Super-agent 架构，同时开源了原型。
结构是两层。router 常驻，统一接住群聊、GitHub、邮件这些渠道进来的消息，再往下分派。worker 各自守着自己的上下文，并行去复现问题、审代码、做功能，需要时还能再叫 subagent。
再配两件东西。事件驱动加两级过滤，群里没人 @ 它，它也能认出哪句是在报缺陷，自己到后台复现，自己找修法。存算分离，加一个外部 Watchdog 盯着，防止单点卡死。
它跨过去的不是聪明那一关，是上下文不再由人手动搬。
官方自己说得很清楚，这套设计没提出什么新理论，是把计算机系统里经典的工程办法搬了过来，让系统在底层接管会话管理和上下文同步，人往上走，只做决策和验收。
边界也要说清。这是开源原型，加上团队内部在跑的一批实例，不是能直接买来给企业用的成品。内部实例管的是他们自己的群聊和代码库，不是你的客户和你的报价。
02
11 个小时，一个插件被换了包
10 月 29 日，Cursor 的插件市场里，出现了一个被篡改的 Claude Code 扩展。版本号是 2.1.312 和 2.1.313。
从凌晨两点多到下午一点半，前后大约 11 个小时。它做的事很脏，收集主机名、用户名、系统版本、主目录、环境变量名、工作目录、Git 配置，然后尝试装一个能长期驻留的 SSH 后门。
第三方安全团队的统计口径是，影响上限约 5,000 台开发机。Cursor 当天发了安全公告，微软安全团队 10 月 30 日跟进做了样本分析。
企业把 AI 接进系统的速度，已经快过自己的审查速度。
对老板来说，这件事的意义不是以后别装插件。是一个很具体的问题，Agent 能读哪些东西、能写哪些东西、能连到哪台机器，这三条边界得先说清，再谈效率。
能力开放得越快，越要先想清楚谁手里有钥匙。插件能被换包，说明这把钥匙，很多时候不在你手上。
03
模型层在抢最后一段窗口
这一周，Anthropic 向美国证券交易委员会递交了 S-1 招股书，三百多页。此前流传的草案口径是，募资最高约 1000 亿美元，对应估值约 2 万亿。
媒体的总结很直白，一边是史上最大 IPO，一边是史上最亏的 AI 公司。同一周，OpenAI 的 300 亿美元融资只到账约 110 亿，估值目标跟着往下调。
钱都在往模型层堆，但「企业到底怎么用」这一层，没跟着变厚。
三件事放在一张表里，分得很清楚。
这张表里少了一行，就是没人回答的那一行。AI 记得多少。
04
巨头卖连接，你要的是内容
上周腾讯做网盘，这周 DeepSeek 做架构，Cursor 出安全事故，Anthropic 去上市。四件事拼起来，方向很清楚，都在往「AI 自己组织工作」这件事上加码。
但他们都只解决了一半。一半是怎么把工具连起来，另一半是连起来之后，里面装的是什么。
连接这件事，巨头一定会做，也一定做得比小团队好。内容这件事，他们做不了，因为内容在你的邮箱里，在你这十年跟客户来回的那些话里。他们连得到接口，连不到那些判断。
一句话，巨头卖的是连接，小公司要守的是内容。
所以牛油局这周没去追新功能。我们把力气花在另一件事上，把邮件里的往来，整理成能被下一个 AI 直接读懂的上下文。
换模型、换工具、换插件，对公司来说都只是换一双手。真正怕的是手换了，脑子还是空的。
周一开工，我不建议你急着接新工具。先回答一个问题。
如果明天换一个 AI，它能不能马上知道，你上周答应了客户什么。
答得上来，你就不用怕这周的任何发布会。答不上来，先补这一块，比多接三个插件有用。
资料说明：时间与说法以 10 月 31 日至 11 月 1 日公开信息为准。来源为 DeepSeek Harness 团队技术文章与开源仓库、Cursor 安全公告、微软安全博客分析、Anthropic 招股书及公开报道。
P.S. 牛油局一直在做邮件里的企业记忆。想看看自己的邮箱能整理出什么，公众号后台私信我。
