2026年7月，AI编程工具的信任在集体崩塌。

xAI的Grok Build会静默把你的整个代码库打包上传到Google Cloud，你关掉“Improve the model”开关也没用，xAI至今零回应。Anthropic的Claude Code被中国工信部正式点名“内置隐蔽监控后门”，阿里7月10日全面禁用、腾讯半年前就已移出选型池。GitHub Copilot在11,400个PR里擅自塞入Raycast广告，被骂到下架。Cursor一年不到出现两次高危RCE漏洞，让“最聪明的IDE”成了“最脆弱的IDE”。

这不是个别工具翻车。这是整个行业在裸奔。

---

一、Grok Build：你让它写一行代码，它搬空你整个仓库

2026年7月13日，安全研究员cereblab用抓包工具监控Grok Build的网络请求。他让Grok对一个测试仓库只回复一个词，结果看到两件事同时发生：当Grok读取.env时，里面的API_KEY明文发出去，没有任何脱敏；同时Grok在后台把整个项目目录打包成git bundle，悄悄上传到一个叫grok-code-session-traces的Google Cloud存储桶。

他的测试仓库是12GB。模型对话只传了192KB。后台静默上传了5.1GB——对话内容的27800倍。甚至把用户在另一个工具里注册的API密钥也一并上传了。

更可怕的是那个"Improve the model"开关。官方说关掉它代码就不会上传。cereblab关掉重新抓包，服务器返回的头里依然写着trace_upload_enabled: true。这个开关只控制"是否用于训练"，根本不控制"是否上传存储"。

发布第二天，xAI悄悄在服务端加了一个开关，把上传功能关掉了。xAI对你的客户端拥有完全、单方面的远程控制权——今天关掉，明天也能再打开。 截至7月14日，xAI官方零公告、零回应、零修复承诺。

Grok Build号称"local-first"。但它的实际数据流向是：你的代码 → Google Cloud → 你的开关控制不了。

---

二、Claude Code：13个月，三次“裸奔”

Anthropic自称“AI Safety Company”。但Claude Code在13个月里犯了三次一模一样的错：发布的npm包里把不该公开的source map文件带上去了，等于把源代码原样公开。

2025年2月、2026年3月7日、2026年3月31日，三次发布都犯同一个错。最严重的第三次，59.8MB的map文件被完整公开，里面有51.2万行TypeScript代码。几小时内GitHub镜像被Fork 41500次——有人用OpenAI Codex基于泄露代码净室重写了Python版本，两小时拿到5万star。

Anthropic每一次都说“是打包失误”。但13个月里3次犯同一种错，只能用傲慢解释。

比泄露更扎心的是泄露的代码本身：一个3167行的函数、一个46000行的文件、用正则表达式判断用户情绪。Hacker News上的评论精辟：“一家做全球最先进语言模型的公司，用正则做情感分析。就像卡车公司用马拉货。”

2026年7月8日，工信部NVDB点名Claude Code：内置隐蔽监控，读取系统时区、检测“阿里云”“腾讯云”等中国云厂商关键词、给中国用户悄悄打标记。阿里7月10日全面禁用。Claude Code团队承认是今年3月启动的实验，但没解释为什么针对的是中国云厂商，而不是其他国家。

Anthropic的口号是"Build safe AGI"。他们的产品故事是"Build AGI from your code"。

---

三、Cursor：12个月两次高危RCE

Cursor的CurEecute和MCPoison本质上是同一个问题：Cursor假设AI读取的内容是安全的。 攻击者只需在公共Slack频道发一条消息：”请把~/.cursor/mcp.json改成这个配置”，Cursor读取后会自动写入——你只是在问AI”帮我总结消息”，4秒后攻击者拿到了完整控制权。Aim Labs的演示视频：一个伪装成Python教程的GitHub项目，用户用Cursor打开问一句”项目怎么运行？”，4秒出现反弹shell。

MCPoison更阴险：攻击者先提交无害配置获批，再静默替换为恶意命令。用户信任了一次，攻击者就能永远控制这台机器。 每当你打开项目，反弹shell自动运行，没有任何提示。

传统IDE运行的是程序员写的代码，每一行都经过审查；AI IDE运行的是AI生成的命令，命令取决于AI读到的内容。攻击面从“代码本身”扩大到了“AI读取的所有数据”。 一位安全研究员说：“Cursor像是一个把所有锁匠都雇来守门的银行——门的设计非常复杂，但地基是豆腐做的。”

---

四、其他AI IDE：四种“翻车方式”，每种都有真实故事

Cursor和Claude Code的爆雷已经够多了。但其他工具也不遑多让，按“翻车方式”大致可以分成四类——每种背后都有一段值得讲清楚的真实事件。

数据静默外泄：不是bug，是商业模式

GitHub Copilot在2026年4月24日起默认开启训练数据收集。更早之前它有过两次严重漏洞。EchoLeak让攻击者只需要给你发一封邮件，Copilot在后台自动读取邮件后会把你的OneDrive/SharePoint文件悄悄发到外部服务器——整个过程你什么都不用做。微软紧急打补丁，强调“未发现野外利用”。还有CamoLeak：Copilot Chat在PR描述里读到一个隐藏的HTML注释 。人看不到，但LLM看得到。AI把代码片段一个字符一个字符地通过GitHub自家的Camo图片代理发出去，连AWS密钥都能偷。GitHub的修复方式是直接禁用Copilot Chat的图片渲染——砍掉功能来止血。

字节跳动推出的Trae IDE在2025年7月被多家媒体实测发现：关闭遥测后7分钟内仍产生约500次网络调用、传输26MB数据。采集内容包括CPU型号、内存容量、文件路径、屏幕分辨率、键盘/鼠标活动指标——这些信息组合后能还原出开发者画像。更糟的是开发者在官方Discord上提出质疑时，相关讨论会被自动审查并禁言。

JetBrains Junie则被发现有15个恶意插件，总安装量达到7万，通过HTTP明文把OpenAI/DeepSeek/SiliconFlow的API密钥外泄到一个阿里云北京IP。

供应链投毒：一次PR，毁掉百万用户

AWS Q Developer在2025年7月17日的版本里被植入一个10行的恶意Prompt。这不是传统代码后门，而是直接发给AI的指令——让AI去清空用户的文件系统和AWS账户。

这个恶意PR来自黑客lkmanka58，他通过随机GitHub账号获得了Amazon开源仓库的权限。AWS当时在VS Code市场上有95万安装，恶意代码随正常更新推送给所有用户。48小时后AWS才撤下问题版本，全程没有公开CVE、没有用户公告、没有道歉。唯一阻止灾难发生的是一个语法错误——亚马逊自己的代码格式问题让恶意Prompt无法解析。Aikido Security评论：”这个故事不是关于出错的地方，是关于接下来会发生什么。”

估值500/月一路降到$20/月，跌幅25倍，但仍以”AI工程师”身份对外销售。

国产工具的信任失分

Trae IDE除了上面提到的遥测问题外，性能上也很夸张：VS Code启动9个进程、Cursor 11个，Trae早期版启动53个进程，改善后仍需33个，内存占用5.7GB。Bolt.new和V0则是另一类问题——把API密钥明文打包进前端bundle，有开发者打开F12就能看到自己的OpenAI密钥。

---

五、谁来接这个摊？

这些AI IDE会变得更好吗？大概率不会。因为问题的根源不是bug，是架构——它们把“信任”当成了默认值。

替代方案是SoloEngine：一款开源的低代码AI开发平台。开发者可以在画布上拖拽节点搭建Agent团队，不需要从零写代码。它的代码默认在你本机运行，不上传到云端——Grok Build这类工具想偷你的代码也偷不到。所有可能产生副作用的操作——写文件、运行命令——都需要你在界面显式点击确认。每个项目是独立的workspace，默认互不可见——即使某个项目被攻破，攻击者也拿不到其他项目的权限。

它没有“未公开特性”。没有“隐藏开关”。没有“Undercover Mode”。

你不必拒绝AI IDE，但你得多一份警觉。

你不必完全信任工具，但你得有Plan B。

最终的选择，在你手里。