这一周，真正值得记住的，并不是谁又加了一个功能，谁又接了几个插件。
更值得警惕的是另一件事：AI 工具开始越来越深地进入开发环境，而围绕源码、插件、账号、仓库和本地设备的风险，也在一起冒头。
平时看 RSS，最怕两种东西：一种是厂商 PR，热闹但没后劲；另一种是安全新闻，单条看不算大，连起来看才发现味道不对。这一周更像后者。
我从最近读过的一批 RSS 里，挑出几条最值得留下来的链接。它们表面分散，背后其实是一回事：
AI 开发工具正从“辅助写代码”走向“接管工作流”，攻击面也跟着一起变厚。
1、Claude Code 源码泄漏，事情比“丢了代码”更麻烦
- 链接：https://winbuzzer.com/2026/03/31/claude-code-source-leaked-npm-source-map-xcxwbn/
- 补充：https://www.theguardian.com/technology/2026/apr/01/anthropic-claudes-code-leaks-ai
Anthropic 因 npm sourcemap 打包失误，把 Claude Code 大量 TypeScript 源码直接暴露了出去。这件事最容易被误读成“闭源厂商翻车一次”。
其实问题远不止这个。
第一，Claude Code 不是普通 CLI，它已经被很多人当成“下一代 AI 编程工具的样板”。一旦源码级细节被快速镜像、分析、拆解，它泄漏的不是一套产品代码，而是一个当前最热 AI 工具链的内部设计。
第二，这类泄漏很快就会从技术讨论滑向安全问题。源码一旦变成热搜，围绕“下载”“镜像”“复刻”“解包”的灰黑产动作就会立刻跟上。很多开发者出于好奇就会去拉所谓的 leak repo，真正的麻烦往往从这里开始。
第三，它提醒了一件很现实的事：AI 工具的风险，不只在模型本身，也在整个分发链路——npm 包、source map、构建脚本、更新流程、发布习惯，每一层都可能出事。
如果说过去大家担心的是“模型会不会乱说”，那这一周开始，更像是在问：
你每天跑的 AI 工具链，本身到底安不安全？
2、假 Claude Code 仓库开始投毒，开发者的好奇心正在被利用
- 链接：https://www.bleepingcomputer.com/news/security/claude-code-leak-used-to-push-infostealer-malware-on-github/
- 补充：https://www.theregister.com/2026/04/02/trojanized_claude_code_leak_github/
- 补充：https://www.zscaler.com/blogs/security-research/anthropic-claude-code-leak
源码泄漏之后，第二波很快就来了：假 GitHub 仓库、打包好的“泄漏源码”、带信息窃取器的下载包。
这条线我觉得比泄漏本身更可怕，因为它直接说明一件事：
AI 工具圈已经形成了“热点一出，恶意样本立刻跟上”的条件反射。
这和传统安全事件不太一样。以前是某个开源包出事，大家去查依赖；现在是 AI 工具一爆，开发者会主动去搜、去装、去试、去跑。这种参与感越强，攻击者越容易借势。
最危险的地方在于，很多人不会把“下载某个 Claude Code leak 仓库”当成高危动作。因为它看起来不像木马，更像技术围观的一部分。但只要里面带了窃密组件，后续就可能一路串到：
- GitHub 账号
- SSH key
- 本地 token
- 浏览器登录态
- 设备上的敏感环境变量
所以这件事该怎么理解？不是“又一个钓鱼包”，而是：
AI 工具正在成为新的社工诱饵。
3、Open VSX 漏洞提醒我们：开发环境本身就是供应链
Open VSX 的预发布扫描流程出现问题，恶意 VS Code 扩展一度可以绕过安全检查并上线。
这类新闻现在看着像“常规供应链事故”，但放在这一周的上下文里，它的意味会更重一些。
因为 AI 正在推动一件事：开发者越来越愿意把更多能力装进本地工具链里。插件、扩展、模型桥接器、MCP 服务、终端助手、代码解释器、工作流代理……它们都在争夺同一个位置：开发环境内部的默认信任。
而一旦默认信任被拿走，问题就不会只停留在“一个插件有毒”，而会进一步扩散成：
- 代码被读
- token 被拿
- 自动化脚本被改
- 本地命令被借壳执行
很多时候，真正脆弱的不是线上系统，而是开发者自己的电脑。
4、GitHub Copilot 要拿交互数据训练模型，这事不能只从隐私角度看
GitHub 准备使用 Copilot 交互数据训练模型，并和 Microsoft 共享。很多人看到这里，会自然把焦点放在“隐私”上，这当然没错，但还不够。
真正值得追问的是：AI 开发工具到底会逐步吞掉多少上下文？
因为 Copilot 这类工具看到的，从来不只是几行 prompt。它看到的可能是：
- 项目代码
- 代码注释
- issue 上下文
- 调试痕迹
- 架构命名
- 内部约定
- 失败重试过程
这些东西一条一条都不起眼，合在一起却非常值钱。对个人开发者来说，这是工作习惯；对团队来说，这是组织知识；对平台来说，这是训练燃料。
所以这件事的重点不只是“GitHub 要不要拿数据训练”，而是：
以后几乎所有 AI 开发平台，都会越来越想吃掉更多上下文。
谁能把边界说清楚，谁才更值得长期用。
5、Codex 插件是能力进化，也是风险扩大
OpenAI 给 Codex 加插件，这本来是一条很容易被写成利好新闻的更新：接入 Box、Figma、Linear、Notion、Slack、Gmail，工作流瞬间打通，生产力继续起飞。
这当然是真的，但只说这一面，文章就会变得太轻。
插件的本质，不只是“能做更多事”，也是“能碰更多系统”。一旦 AI 工具开始连接：
- 知识库
- 任务系统
- 邮件
- 设计稿
- 工单
- 云端文件
它就不再是单纯的代码工具，而是在往工作代理走。能力边界扩大的同时，权限半径也在扩大。
这就是为什么这一周让我最在意的，不是 Codex 插件本身，而是它和前面那些安全事件放在一起看时形成的信号：
AI 工具越来越像操作系统组件，而不是聊天窗口。
一旦到了这个阶段，审批、审计、最小权限、数据隔离这些词就会越来越重要。
6、OpenClaw 在补审批能力，这方向是对的
这一周 OpenClaw 的一个提交很值得看：before_tool_call 新增异步 requireApproval，允许在真正执行工具前暂停，等待用户审批。
这不是一个花哨功能，反而是一种成熟信号。
很多人刚接触 agent 时，喜欢追求“少问一句、多干一步”。但系统一旦接近真实环境，自动化并不是越顺越好。真正可用的代理，得知道什么时候应该停一下，让人接管。
尤其当工具调用已经涉及：
- 终端命令
- 文件修改
- 外部消息
- 账号操作
- 跨系统调用
审批就不再是体验负担，而是边界装置。
未来靠谱的 agent 产品，大概率都得补上这一层。没有这层，跑得越快，出事也越快。
7、Cloudflare 用 AST 画工作流图，这类“解释层”以后会越来越值钱
Cloudflare 这篇文章讲的是，如何把 Workflows 代码转成可视化流程图。它不像前面几条那样直接带风险感，但我觉得它同样重要。
原因很简单：系统越自动，越需要解释层。
AI、工作流、自动化引擎正在把事情做得更复杂，人的负担也随之变化。很多时候麻烦不在“不会做”，而在“已经能做很多了，但我看不清它到底是怎么串起来的”。
所以，把工作流自动画出来，不是美化，不是演示，而是维护能力的一部分。
等到 AI 代理真正进入企业流程，谁能把动作路径、状态、依赖和失败点解释清楚，谁才有资格进生产环境。
8、这一周到底该怎么判断
如果一定要给这周留一句判断，我会写：
AI 开发工具已经进入了一个新的阶段：能力继续变强，但真正先暴露出来的，往往不是性能瓶颈，而是安全边界、供应链脆弱性和默认信任的问题。
这不是唱衰，也不是安全焦虑。
恰恰相反，这说明 AI 工具真的开始碰到“有价值的系统”了。只有真正进入工作流、进入仓库、进入设备、进入账号体系，风险才会变得这么具体。
也正因为如此，这一周最重要的，不是记住哪家公司又上了新功能，而是记住下面这件事：
以后选 AI 工具，不能只看它多聪明，还要看它出事时会把你拖下去多深。
本周链接
-
Claude Code 源码泄漏相关
https://winbuzzer.com/2026/03/31/claude-code-source-leaked-npm-source-map-xcxwbn/
https://www.theguardian.com/technology/2026/apr/01/anthropic-claudes-code-leaks-ai -
假 Claude Code 泄漏仓库投毒
https://www.bleepingcomputer.com/news/security/claude-code-leak-used-to-push-infostealer-malware-on-github/
https://www.theregister.com/2026/04/02/trojanized_claude_code_leak_github/
https://www.zscaler.com/blogs/security-research/anthropic-claude-code-leak -
Open VSX 预发布安全检查绕过
https://thehackernews.com/2026/03/open-vsx-bug-let-malicious-vs-code.html -
GitHub Copilot 交互数据训练
https://thenewstack.io/github-copilot-interaction-data/ -
OpenClaw 审批 hook
https://github.com/openclaw/openclaw/commit/6ade9c474cf1700d39740dd616c770041097c22d -
Cloudflare AST 工作流可视化
https://blog.cloudflare.com/workflow-diagrams/
如果这种写法对味，后面这条 RSS 周刊我就按这个标准继续做：少写热闹，多写后劲；少写“发生了什么”，多写“这事为什么危险”。