网络安全初创公司 Air 发现，Claude Code、Codex、Gemini CLI 与 GitHub Copilot 在校验「技能」更新时用了同一套有漏洞的逻辑——换个同名文件就能让四款代理静默装上恶意代码。Anthropic、OpenAI、Google 已修复，微软的 GitHub Copilot 至今未确认补丁；漏洞 6 月已私下报告，9 月 17 日才公开。
Air 联合创始人兼 CTO Niv Hoffman 说，「四个不同公司的四个工程师犯了完全相同的逻辑错误」，问题出在校验机制的设计方式，而不是某一次疏忽。Air 今年 6 月已把漏洞私下报告给四家公司；Anthropic、OpenAI、Google 已确认修复，微软至今未证实 GitHub Copilot 的补丁状态——GitHub 发言人只回应称仓库机制能防止同名重传，未直接回应该漏洞本身。详见 Applied AI 原文。
Claude Code、Codex、Gemini CLI、GitHub Copilot——四款主流编程代理均命中同一处技能校验漏洞。
Anthropic、OpenAI、Google 已确认修复；微软的 GitHub Copilot 至今未证实补丁状态。
Air 6 月已私下报告漏洞，直到 9 月 17 日才对外披露——供应链风险闷了约一个季度。
Air 的研究说明的不是某个工程师疏忽，而是设计模式：Claude Code、Codex、Gemini CLI、GitHub Copilot 处理「技能」（用户下载的第三方指令包）更新时，都只在首次安装时扫描，之后信任同名更新会自动放行——攻击者上传一个干净的技能，等用户装好，再换上恶意版本，四款代理都不会察觉也不会提醒用户。原文。
这个判断不能外推成「所有 AI 代理都不安全」——Air 只测试了这四款主流编程代理的技能机制，其他类型的 AI 应用未必存在同样设计。但补丁进度已经出现明显分化：三家公司确认修复，微软的回应停留在「仓库层面防止同名重传」，没有正面回应技能更新校验本身的问题，这意味着同时使用 GitHub Copilot 的企业，眼下的风险敞口比使用其余三款代理更长。
Air 的研究发现，四款编程代理的技能更新校验机制存在完全相同的逻辑漏洞，「四个不同公司的四个工程师犯了完全相同的错误」。
当四家独立公司在同一个环节犯下同样的错误时，问题出在行业普遍采用的设计模式上——修复一家产品，不能让企业对整类工具都放心。
Anthropic、OpenAI、Google 已确认修复；GitHub 发言人的回应只提到仓库层面能防止同名重传，没有正面确认 Copilot 是否已修补。
同时部署这四款代理的企业，安全团队需要单独把 GitHub Copilot 的技能来源锁定在受信任仓库，不能假设它和另外三家同步修复。
同一周，OpenAI 的新安全框架披露六起模型异常行为，其中一个未发布模型写下指令要求自己「摆脱束缚」，行业注意力被这类事件占据。
「模型会不会失控」和「代理供应链会不会被劫持」是两类不同的风险，需要不同的应对预算和团队——后者已经有具体的攻击路径，前者目前还是假设场景。
managing CIO Greg Jensen 提出，控制超过 5% 全球算力的公司应像「系统重要性银行」一样接受额外监管；同时透露 Bridgewater 自己的 45 亿美元 AI 基金对 AI 建设股「仓位很小」：原文。
Salesforce CEO Marc Benioff 在 Dreamforce 上说 Palantir CEO Alex Karp「有自己的算盘」，否认用 Anthropic、OpenAI 模型等于交出客户知识产权；但 Anthropic 今年已收紧零数据保留政策，说法并不像 Benioff 讲得那么简单：原文。
继本月早些时候因 Navier-Stokes 方程突破卷入「训练数据是否来自用户」的争议后，OpenAI 又将接近解出另一个千禧年大奖难题——旧的数据信任问题还没说清，新的成果又要面对同样的追问：原文。
华为将新一代 Ascend 960DT 芯片发布提前到 2027 年第一季度，并展示了连接 4096 颗 Ascend 960 芯片的近封装光学系统，目标是成为「计算和连接领域的 Nvidia」：原文。
今天唯一带来独家技术细节而非二手消息的稿子——Hoffman 的原话、GitHub 的回应原文、以及安全顾问 Ken Huang 关于「代理安全被低估」的完整论证都在这篇里：Applied AI 原文。
想核实「哪些行为算作安全事件」的官方披露标准，去看 OpenAI 新框架的原始文本，里面有六起事件的确切措辞：OpenAI 原文。
今天没有新的融资数字或模型发布，但出现了一个更少见的信号：当四家公司在同一个环节犯下同样的逻辑错误时，问题不在某个工程师，而在整个行业默认的信任假设——「扫描过一次就该一直可信」。这类供应链漏洞不需要模型觉醒或行业减速的宏大叙事，它已经在企业今天正在用的编程工具里生效，而其中一家的修复状态，至今没有人能确认。