我越來越沒耐心了……

Theo Browne 是一位開發者兼實況主，在 Railway 上跑多個正式環境服務。他認為 2026 年 10 月 21 日那波安全事件其實是兩件互不相干的事：一是開源基礎設施（PHP、Node.js、GitLab、Oracle）爆出一批重大 CVE，二是針對持有 API key 的平臺（Railway、OpenCode）的定向攻擊——而後者才是大家該怕的。這集節目大致是一場漫長又充滿無奈的直播：前三分之一是 Browne 回應 Railway 超過 16 小時的部署中斷與客戶環境變數遭竊，中段是一支預先寫好指令碼的影片評論，談 CVE 與 API key 黑市，最後三分之一則是另一支影片，講他如何讓 Claude 代理連續數週執行專案，例如用 Rust 重寫 TypeScript，以及一個瀏覽器版的 Skate 克隆遊戲。

Browne 在這裡的權威來自親身經歷：他在 Railway 上有部署、輪換過金鑰、而且無法重新部署；他本人也是 T3 Code、TS Rust 與 Skate 3 Bench 的開發者。讀者讀完應該帶走三件事：為什麼對 Anthropic 與 OpenAI API key 的需求，會把普通的主機代管平臺變成攻擊目標；「爬山式」（hill climbing）工作流程如何讓代理針對可驗證的目標連續跑上好幾天；以及為什麼 Browne 說「70% 的網站跑 PHP」這個統計數字會誤導人。

Railway 外洩機密後，還把客戶鎖在門外超過 16 小時

Browne 最核心的營運層面抱怨是：Railway 的事件應變讓客戶沒有安全選項——要嘛讓服務繼續跑，承擔資料庫憑證可能已外洩的風險；要嘛把服務關掉，然後等部署功能恢復。Railway 偵測到「涉及儲存客戶環境變數系統的異常活動」，並表示未經授權的第三方「可能存取了加密的環境變數，其中部分變數的明文內容已被取得」。當天凌晨 1 點起部署就掛了；Browne 在下午 5 點 30 分錄影，也就是大約 16 小時後，而直播結束時已超過 17 小時，「建置仍無法使用」。

| 專案 | 直播中所述細節 |
|---|---|
| 中斷開始 | 當天凌晨 1 點（2026 年 10 月 21 日） |
| 錄影時已持續 | 約 16 小時，之後超過 17 小時 |
| 外洩內容 | 加密的環境變數，部分已解密（API key、資料庫與 registry 憑證） |
| Railway 的通知 | Browne 輪換完金鑰約一小時後，才收到 email |
| Browne 的處置 | 輪換所有可輪換的金鑰，接著因為更新金鑰必須部署，只好把服務全部拆掉 |
| 受影響服務 | Lakebed（T3 Cloud）、Slop House 分析、Postplan、驗證平臺、頁面託管、Triviago、Lon 影片處理流程 |

Browne 把中斷與入侵分開看：「在 Railway 上沒辦法部署、輪換金鑰、修好自己的東西，是因為 Railway 無能。」他說這不是 Railway 第一次害他，並稱它「一直是我整個基礎設施生態裡最不穩的一環」，還說這番話會讓他損失「數萬美元」的待刊廣告——他才剛錄完兩支 Railway 廣告，並已交代團隊在事件結束前先扣住所有 Railway 廣告。他也提到自己「差點就是 Railway 的第四號員工」。

他強烈反駁「乾脆搬家」的建議：「資料庫離線、密碼又已外洩，我一上線就可能被駭，這種資料庫我要怎麼搬？」他說無法重建的資料確實有異地備份，但像 Slop House 這種服務要從備份救回來，大概得花兩天。他也說 Fly.io 不是替代方案——他之前就因為平臺太不穩定、連廣告都拍不下去而終止合作——而 Vercel 也不是能直接頂替 Railway 的選項，因為兩者做的事不同。他會懷唸的是 Railway 的物件儲存，他形容「便宜到好笑」，下載速度在他實測過的服務中名列前茅，與 Tigris、Convex 不相上下。

「我的選擇只有兩個：讓它們繼續跑、完全暴露在外，或是把它們關掉，等他們把部署修好。」

被偷的 API key 之所以值錢，是因為被禁的實驗室會付錢買蒸餾資料

Browne 對 Railway 與 OpenCode 為何遭攻擊的論點是：唯一會想要幾小時無限推論額度的買家，就是試圖蒸餾前沿模型的實驗室。他排除詐騙集團與加密貨幣——便宜的開源權重模型就足以應付詐騙文案，而「加密貨幣根本是胡扯」。他算的經濟帳是：一把被偷的金鑰在被撤銷前，能產生幾百到幾千美元的推論用量，而這已足以生成訓練資料，展示 Claude 如何解決代理式編碼任務；這種資料無法從網路上爬取，只能人工製造。

他把 Anthropic 的反制措施視為黑市存在的根本原因：蒸餾偵測、認識你的客戶（KYC）身分查核、依帳號年齡設定的用量門檻，以及 IP／地區封鎖。他說 Anthropic 直接封殺中國實驗室，也切斷付費客戶——包括韓國企業，其中有些還是投資人——理由是懷疑他們轉售存取權。正因為合法帳號難以取得，「現在每個託管 API key 的平臺都是目標」。

OpenCode 使用者通報，外洩金鑰被盜刷 400 到 3,000 美元，「全都在幾分鐘內發生」，部分 OpenAI 帳號遭停權；Browne 說 OpenCode 一直在與各家實驗室協調退款、復權與自動輪換金鑰。他引用 Dax 一篇已刪除的貼文——他在網路檔案庫找到，但出於對作者的尊重，不在影片中轉載——文中把 token 形容成「基本上就是現金」，可在黑市賣給「口袋很深的蒸餾業者」。

「Anthropic 不想讓它們拿到那些 token、不想讓它們取得那些推論，結果造成一個很奇怪的下游效應：使用者、客戶，還有像 Railway、OpenCode 這樣的開發者，如今都成了前所未見的攻擊目標。」

他承認 Anthropic 有權選擇客戶，但認為副作用是普通開發者被捲入戰火——而且當他們轉向實驗室自家的模型來診斷事件時，實驗室可能因為請求模式看起來像攻擊者而拒絕。

CVE 浪潮是真的，但「70% 的網站」這種說法誇大了風險

Browne 把當天新聞分成 CVE（Node.js、GitLab、PHP、QUIC、Oracle、Java 8+，以及一則與 Node 問題相關的 npm 公告）與攻擊事件（Railway、OpenCode）。他把 LightLLM 從 CVE 名單剔除，因為那是 GitHub Actions 被劫持、在套件上頭發布惡意程式，不是程式碼漏洞。他也點出 Entrust 憑證遭入侵一事——據報某個 CA 私鑰被設成「4」——這是大家該把瀏覽器更新到最新版的原因。

他的分析框架是「脆弱視窗」（vulnerable window）：修補程式發布到使用者實際執行之間的落差。AI 代理壓縮了其中四項輸入裡的三項——它們能讀遍每一個 commit 找出安全修補，也能應要求把修補 diff 變成可用的攻擊程式，前沿實驗室不給用就改用開源權重模型。如此一來，真正還算防線的只剩修補散佈速度與影響範圍。

| 脆弱視窗的因素 | 當前模型造成的影響 |
|---|---|
| 修補有多明顯 | 代理會審閱每個 commit，靠隱蔽已保護不了 |
| 攻擊有多難 | 代理能輕鬆從 diff 生成攻擊程式 |
| 修補散佈要多久 | 未改變——僅存的槓桿 |
| 攻擊能取得多大許可權 | 未改變——最該盯的地方 |

PHP 那批漏洞評分 9.2（Browne 一開始說「10」，隨後更正），可達遠端程式碼執行與 root 許可權，還引來 FBI 公告，建議無法立即修補的組織把系統下線。Browne 指出，PHP Foundation 指控 Chainguard 提前數小時發布修補過的容器映像，破壞了協同揭露的禁令，讓攻擊者搶得先機。他也強調，PHP 漏洞是 GPT-5.6 Sol 找到的，而另一個團隊 Wiz 也獨立找到同一批漏洞——他說這動搖了私下揭露的模式，因為如果兩方能找到，就代表很多方都能找到。

至於「70% 的網站跑 PHP」這種說法，他的類比是：如果把史上所有活過的人都算進去，平均每人每年的螢幕時間不到一小時；PHP 的數字同樣被死掉的網站扭曲。他檢查自己開著的分頁——Railway、YouTube 聊天室、Twitter、Twitch、GitHub——找不到任何 PHP。他讓步的地方是：真正的風險是企業內部橫向移動，只要有一個被遺忘的舊 PHP 端點就夠，而不是整個公開網路。

「你 2014 年那個沒人維護的老 WordPress 部落格被攻破，我一點都不在乎。真的不在乎。」

爬山式流程是讓代理連跑好幾天的關鍵機制

節目後半是一場工作流程論述：模型是用強化學習針對可驗證的獎勵訓練出來的，所以它們在成功與否能用程式檢查的任務上表現最好。Browne 的四步迴圈是：挑一件你想解決的枯燥差事；建立驗證器；提供代理所需的算力與工具；然後反覆問代理「現在卡在哪」，把卡點修掉。第三、四步會迴圈，而當某個卡點本身就值得重做時，這個迴圈又會回饋到第一步。

以 TS Rust 為例，驗證器就是官方 TypeScript 編譯器：用固定版本跑真實專案，擷取輸出與錯誤，要求 Rust 移植版完全一致，再要求它比 TS Go 快一倍。Skate 3 Bench 則是一個用 three.js 從零打造的瀏覽器遊戲，操作是靠搖桿甩動做出花式動作；它的驗證器是一組 LLM，拿他遊戲的截圖與真實 Skate 畫面比對，判斷哪個看起來更好。他形容這種看截圖評分的方法「不好」，甚至「連還行都算不上」，並說自己「真的很意外這樣居然行得通」。

| 專案 | 驗證器 | 所述規模 |
|---|---|---|
| TS Rust | 對齊官方 tsc 的輸出與錯誤，再要求兩倍速度 | 約 3.8 萬至 4 萬美元的 API 等值用量、約 500 至 800 美元的訂閱用量、7,884 個 commit、約 1,800 次修訂 |
| Skate 3 Bench | LLM 評審比對截圖與真實 Skate 畫面 | 無人看管超過 4 天、約 120 億 token、約 5,000 美元推論成本、25 個提示（多數是「繼續」） |
| Lust | 比 cargo 快 100 倍，輸出執行檔效能落差在 20% 以內 | 錄影時仍在跑；cargo 建置從 17 分鐘降到 12 秒 |

他明確表示那些金額是 API 等值，不是他實際付的錢：訂閱方案受到大幅補貼，而他跑了七個 Claude 帳號，其中一個他說借給了同事。他也說 TS Rust 花 3.8 萬美元「其實很划算」，因為省下的建置時間值得；其餘專案在財務上則是「胡鬧」。

真正的瓶頸是算力，不是 token

Browne 最具體的營運發現是：一旦代理能驗證自己的工作，它們就會卡在硬體上排隊。在解除安裝之前，他的代理每次執行最多要等 12 小時才排到建置時段，累計等待平均達 240 小時；把建置搬到 Blacksmith 後，等待降到 1.2 小時，但每個工作仍要花 20 到 40 分鐘。他為 TS Rust 的測試在 Blacksmith 上花了超過 2,000 美元算力費，這還不含他壓在 30 美元以下的 CI 帳單。

接著他採用了 Boat，一個開 VM 的服務，他喜歡到說自己還投資了它。他付的是每月 500 美元的方案，正考慮升級到 2,000 美元等級。用 Boat 之後，代理只 clone 與建置一次、做快照，再從快照開新機器；閘門時間從高負載下的 40 到 70 分鐘降到 353 秒，每天成功落地的變更從約 70 件成長到約三倍。他特別宣告 Boat 是給用完即丟的代理 VM 用的，不是拿來服務使用者，他也不會把代理的本機開發迴圈指向 Blacksmith。

「Boat 把我的代理解放到這種程度，害我燒 Claude 帳號的速度快了四倍。我開心到不行。」

T3 Code 是貫穿整場直播的產品線

在事件報導與代理影片之間，Browne 發布並示範了 T3 Code 的幾項功能：一鍵更新，能在九臺機器上同時修補應用程式與其供應商（Claude、Codex）；一個「在 VS Code 開啟」按鈕，會 SSH 進專案所在的遠端機器；專案可在機器間轉移，連被 gitignore 的 env 檔也一併帶走；以及 npx t3triage，他說這能把超過 80% 的使用者安裝問題解決掉，做法是把上下文交給 Claude Code 或 Codex。他也提到一個構想中的「T3 bot」，能從 GitHub 留言接手 pull request，完成後在 T3 Code 開一個討論串；他並指出這個 bot 目前跑在 Railway 上，「爛透了」。

他在這裡提出的規模數字是整集最驚人的：在自願開啟匿名分析的使用者中，T3 Code 觀察到「每天高達 450 萬美元的 token 支出」，而過去三天的 token 用量比 Google 用在 Gemini 上（Argon 專案）的總量還多。他說自己沒辦法重新整理儀錶板頁面，因為它託管在 Railway 上，一重新整理資料就沒了。

結語

整集的主線是：稀缺資源是驗證，不是智慧。讓代理有用的那個特性——只要目標可檢查，它們就會無止境地磨下去——正是讓 CVE 供應鏈變得危險的原因，因為對攻擊者來說，修補 diff 本身就是一個可檢查的目標。Browne 節目裡的兩半，是同一套機制指向相反方向；他也明說自己認為多數人不該照抄後半段：「說真的，別這樣做。這過程簡直是地獄。」值得持續追蹤的未解問題包括：Railway 是否恢復建置、客戶是否留下；Anthropic 的 KYC 與地區封鎖是減少了金鑰竊盜，還是隻是把它推向更小的平臺；以及 Browne 是否真的會開源 T3OS——他形容那是一份給代理看的操作手冊，用來打造自訂 Ubuntu 映像，並說在正式發布前他要先藏著。數字方面有一點要提醒：每天 450 萬美元的 token 數字、Skate 那次 120 億 token 的執行、以及 TS Rust 的 3.8 萬美元成本，全都是 Browne 依自家儀錶板做的估計，而最後一項明確是 API 等值金額，不是實際支出。