連美國國家安全域性都介入了

Theo Browne 是開發者兼科技評論者，他主張：如今讓軟體更容易打造的同一批 AI 模型，也讓安全修補程式更容易被武器化；而市場對 Anthropic 與 OpenAI API key 的需求，已把普通的主機代管平臺變成攻擊目標。本集大部分時間聚焦 2026 年 10 月 21 至 22 日前後公佈的兩組事件：一波揭露的 CVE（PHP、Node.js、GitLab、甲骨文等），以及兩起客戶 API key 與環境變數遭竊的入侵事件（OpenCode 與 Railway）。標題提到的 NSA 與內容不符；Browne 引述的是 FBI 而非 NSA，而且只在談到 PHP 漏洞時短暫出現。

Browne 的立場其來有自：他是付費的 Railway 客戶，錄音期間他的部署中斷了 16 小時；他也是受影響工具的使用者。讀者讀完應該能清楚掌握 AI 壓縮後的「脆弱視窗」（vulnerable window）模型、API key 為何如今成為與模型蒸餾掛鉤的黑市商品，以及 Browne 堅持區分的「已揭露的漏洞」與「進行中的攻擊」。

AI 壓縮了修補所依賴的脆弱視窗

Browne 的核心框架是「脆弱視窗」：漏洞揭露後、使用者更新前，可被利用的那段時間。歷史上這個視窗很寬，因為找出修補程式、理解它、打造漏洞利用、再散佈出去，每一步都得花真功夫。他主張 AI 省掉了其中大部分步驟。代理程式可以審查每一個 commit、標出與安全相關的專案；模型能讀懂一個完全沒寫「安全修補」的 patch，並為舊版本產出可用的漏洞利用。他指出，使用者只要請代理程式做一個漏洞利用的教學示範，若前沿實驗室拒絕，開源權重模型會照做。

在他看來，剩下的變數只有兩項：修補程式多快送到使用者手上，以及漏洞利用能取得多大許可權。正因為這個重新定義，他才把嚴重性當成現在真正該看的數字。

| 脆弱視窗的組成 | AI 之前的狀態 | Browne 描述的 2026 年狀態 |
|---|---|---|
| 找出與安全相關的 commit | 人工審查，緩慢 | 代理程式鉅細靡遺地審查每個 commit |
| 理解修補了什麼 | 需要專業知識 | 模型從一份普通 diff 就能推斷 |
| 打造漏洞利用 | 需技術，耗時 | 對代理程式下提示即可；開源權重模型會照做 |
| 在更新到位前散佈 | 困難 | 仍是關鍵限制 |
| 修補觸及範圍（伺服器 vs. 函式庫 vs. 已安裝應用） | 不一 | 不一；函式庫與已安裝軟體最慢 |

他把這套框架具體套在 PHP 漏洞揭露上：這些漏洞是用他口中很爛的「GPT 5.6 Sol」找到的，而另一個團隊也獨立發現並通報了同一批漏洞。對 Browne 而言，兩方獨立發現，等於動搖了「私下揭露能讓漏洞不外流」的假設——就像差不多同一段時間內，有四個不同團隊各自用 Rust 重寫了 TypeScript。

「只要有任何一個團隊能讓現代模型找出漏洞利用，那大概還有很多其他人也在差不多的時間點摸索出來。」

PHP 漏洞很嚴重，但「七成網站」的說法錯了

PHP 的漏洞是 CVE 這一側最危險的專案。兩個漏洞評分都是 9.2，可在 PHP 核心執行遠端程式碼，俗稱「PHP to shell」——一種能取得 root 許可權的記憶體漏洞利用。FBI 呼籲組織立即更新、若無法立即更新就讓系統離線、盤點 PHP 的執行位置並優先處理對外連網的系統，同時監控是否有 PHP 程式啟動命令列 shell 或下載檔案。Browne 說，FBI 出面本身就是嚴重性的訊號。

這次揭露因禁令提前破功而受損。PHP Foundation 表示，ChainGuard 比預定時間提早數小時釋出已修補的 PHP 容器映像，讓攻擊者得以研究修補內容，而其他發行商還在準備更新。Browne 認為，在 AI 加速漏洞利用的時代，這幾乎是最糟的情況。

接著他駁斥「PHP 執行於約七成網站」這個統計數字。他的論點是：這個計數主要由已死、無人維護的網站撐起，而非有流量的網站。他逐一走過自己開著的分頁——Railway、YouTube 聊天室、Twitter、Twitch、GitHub、YouTube、自己的服務——指出沒有一個是 PHP。他的類比是：若把歷來所有活過的人類都算進去，平均每人每年的螢幕使用時間不到一小時，這數字同樣毫無意義。

他也承認這個爛統計底下藏著真實的危害：那些由早已離開的人所建、後來被入侵的廢棄網站，包括他高中時幫叔叔做的釣魚包船網站，後來就遭到入侵。他說 WordPress 代管超過五成網站，而它「比 PHP 本身還更脆弱」。他的結論是：風險集中在被忽視的政府與小型企業網站，而不是有流量在跑的網路。

OpenCode 與 Railway 被攻擊的目標是 API key，不是使用者資料

Browne 把這兩起入侵與 CVE 分開來看，並說攻擊這一側是更重要、也更令人害怕的一半。兩起事件中，被偷走的資產都是憑證，而非應用程式資料。

• OpenCode： 使用者存放在 OpenCode 儀錶板伺服器端的 API key——Anthropic、OpenAI、Gemini 等——遭竊並被使用。開發者回報 OpenAI 與 Anthropic 的 key 被消耗、OpenAI 帳號被停權，key 被找到後幾分鐘內就出現約 400 至 3,000 美元的濫用。OpenCode 輪換了所有 key，並與各實驗室合作處理退款與帳號復原。
• Railway： Railway 在儲存客戶環境變數的系統偵測到異常活動。其公告指出，未經授權的第三方可能存取了加密的環境變數，部分甚至取得解密後的內容——例如 API key、資料庫與映像倉庫憑證等機密。Browne 說部署也被下線。

他明確表示，16 小時的部署中斷是另一回事。部署從錄音當天凌晨 1 點就掛掉，而他無法用輪換後的 key 重新部署。他說 Railway 一直是他基礎設施中最不穩定的部分之一，「快跟 GitHub 有得比」，並表示會重新考慮是否把重要軟體放在那裡。他指出，這番話會讓他在兩支待播的 Railway 廣告上損失數萬美元（其中一支已錄好），但他仍稱讚 Railway 的定價與其相容 S3 的物件儲存。他也說自己已把 Fly.io 從贊助名單剔除，因為該平臺太不穩定，連拍廣告都沒辦法。

被偷的 API key 是蒸餾供應鏈，不是詐騙工具

Browne 不接受常見的解釋——為什麼有人要那些幾小時內就會被撤銷的 key。詐騙回應生成用開源權重模型跑就很便宜；加密貨幣則是「胡扯」。他的答案是蒸餾：買不起 Anthropic 或 OpenAI 推論的實驗室，會在 key 被砍掉之前，用偷來的 key 生成訓練資料。

他說明其中機制。代理式程式開發軌跡——模型如何在 bash 終端機裡用工具解決任務——很有價值，而且無法直接爬取，因為網路封閉、這類範例又少。取得足夠 Claude 軌跡的實驗室，就能訓練出能力相近的模型，而不必打造產生這些資料的環境。直接付費買 Token 行不通，因為 Anthropic 禁止。

他描述 Anthropic 的反制措施：依請求模式偵測蒸餾、認識你的客戶（KYC）身分查核、與帳號年齡掛鉤的使用量門檻，以及對特定 IP 與地區的強制封鎖。他說 Anthropic 已封鎖中國實驗室的蒐集行為，並曾暫時封鎖 Windsurf 等美國公司，據報是因為 Anthropic 認為 OpenAI 可能收購它。他也說 Anthropic 切斷了部分南韓公司（其中有些還是投資人）的供應，原因是懷疑它們把 key 轉售給中國實驗室。Browne 的解讀是：Anthropic 同時在保護安全與自身的壟斷地位，而這是它作為賣方的權利。

他由此推得的結論是：任何握有大量使用者 API key 的平臺，如今都是目標，因為在一個灰色市場裡，能產生幾百到幾千美元推論量的 key 確實有需求。他把 Railway 與 OpenCode 描述成實驗室之間爭端的池魚之殃，還補上一句：沒人想蒸餾 Gemini，「連 Google 都沒有」。

flowchart TD
    A["Anthropic 與 OpenAI 禁止銷售給特定實驗室"] --> B["實驗室需要 Claude 與 OpenAI 軌跡來做蒸餾"]
    B --> C["直接購買被 KYC、使用量門檻、IP 與地區封鎖擋下"]
    C --> D["黑市對被竊 API key 的需求"]
    D --> E["攻擊儲存大量使用者 key 的平臺"]
    E --> F["OpenCode 儀錶板 key 遭竊"]
    E --> G["Railway 環境變數遭竊"]
    F --> H["key 被用來生成軌跡，隨後遭撤銷"]
    G --> H

兩類事件彼此無關，Browne 堅持要分清楚

Browne 開場就說自己的框架「幾乎會誤導人」。左欄——Node.js、GitLab、PHP、Quick、LightLLM、甲骨文——是真實相依套件中已揭露的漏洞。右欄——Railway 與 OpenCode——是進行中的攻擊。他說兩者都很糟，但原因不同，而攻擊這一側該得到的恐懼遠多於它目前得到的。

他也修正自己的清單。甲骨文是在他錄影時中招的，屬於 CVE，不是攻擊。LightLLM 兩類都不算：那是 GitHub Actions 遭劫持，在既有套件之上發布了惡意版本，所以他把它從討論中剔除。他指出 Node.js 10 月 21 日的安全更新涵蓋 26、24 與 22 系列版本，處理 OpenSSL 與 c-ares DNS 函式庫的漏洞；他另外提到一起事件：某憑證機構的私鑰基本上就是「數字 4」，逼得瀏覽器必須停止信任其憑證。

他用異常強烈的語氣預先駁斥一種特定的誤讀：他說，任何人若認為 PHP 漏洞與 Railway 或 OpenCode 的入侵有關，最好擔心自己很快會被 Claude 取代。

「如果你覺得 PHP 的駭客事件跟 Railway 或 OpenCode 的駭客事件有關，那我希望你不要太綁在這個軟體開發的飯碗上，因為你很快就會被 Claude 取代，非常快。」

前沿模型的拒答行為，讓防禦方手上沒工具

一個反覆出現的抱怨是：最有能力找出並修補安全問題的模型，往往也最容易拒答。Browne 說 Anthropic 的模型會拒絕現代安全相關工作，因為它們懷疑使用者可能就是攻擊者，逼得防禦方退而使用開源權重模型——而這正是他說攻擊者也在用的備援。他以此說明為何看重 CodeRabbit 的安全工具：他說它把不同任務導向不同模型以避開拒答，並描述其安全儀錶板、逐 PR 的安全審查，以及一項深度掃描功能，會回傳一份對應已知漏洞模式的潛在問題報告，並附一鍵修補。（該段是贊助商口播，此處提及僅因他的拒答論點才是周邊的實質主張。）

他點出的未解張力是結構性的：Anthropic 拒絕賣推論給某些買家，製造出讓第三方遭入侵的黑市；而同一家廠商的模型，接著又拒絕幫這些第三方收拾善後。

值得觀察的重點

Browne 的預測是：情況會先變糟，才會好轉。他說自己六個月前在一個播客上講過「還有三到九個月」，並稱時間點「抓得剛剛好」。他的實務建議很窄也很具體：所有東西都保持更新、留意事件發生在哪裡、把 API key 妥善隔離並易於撤銷。本集留下的開放問題是：當兩方都能獨立找出同一個漏洞，協同揭露還撐得下去嗎？主機代管平臺還值得託付那些如今具有黑市價值的憑證嗎？以及 Railway 的斷線是單一事件還是常態——Browne 自己給的答案是：他會重新考慮要把什麼放在那裡。標題的國安框架誇大了本集內容：FBI 只在一段談 PHP 的段落出現，NSA 則完全沒被討論。