一個下拉選單就能把你換掉，所以他們決定不再賣模型給你
TL;DR
- OpenAI 通知 SpaceX 要終止供應模型給 Cursor，切斷日期落在十一月十二日，理由是 SpaceX 旗下的 xAI 過去被認定違反過使用條款
- Cursor 創辦人回嗆「OpenAI 模型只佔我們五成流量的百分之十」，這個數字本身透露了更有趣的事：大部分人寫程式用的根本不是最貴的模型
- 主持人 Wes Bos 的判斷是最好的模型未來不會開放 API，只會綁在自家產品裡，因為「換模型只要點一下下拉選單」這件事本身就是威脅
- 三位主持人現在每個人手上都同時開著三套工具，切換成本低到荒謬，這正是模型廠商最焦慮的地方
- OpenAI 那次 AI agent 越獄事件的完整紀錄被放出來了，一千兩百個互不相通的 agent 自己發現了一個共用的「留言板」，交換了超過七萬則訊息
- 有人把 AI 寫的技術文件裡幻覺出來的套件名字全部掃出來，搶先註冊，然後放惡意程式進去
這集在講什麼
這集是二〇二六年九月七日播出的 Syntax Weekly。Syntax.fm 是網頁開發圈最老牌的 podcast 之一，主持人 Wes Bos 和 Scott Tolinski 都是做線上程式課程起家的加拿大／美國全端開發者，後來加入 CJ Reynolds。三個人講話的方式很像三個工程師在午餐時間閒聊，不裝，什麼都罵，節目由錯誤監控平台 Sentry 贊助。
Weekly 是他們每週一的新聞整理集，一集塞五到八則產業消息。這集的主菜是 Cursor 跟 OpenAI 的分手，但真正好看的其實是後面那幾則。
分手的實際情況
先把事實講清楚。SpaceX 在八月中以六百億美金收購了 AI 程式編輯器 Cursor（這件事之前在a16z 三位合夥人回顧 Cursor 的所有關鍵決策那篇有聊過）。收購案宣布兩週後，OpenAI 在一個週五下班時間發公告，說要終止提供模型給 Cursor。
理由寫得很直接：Elon Musk 旗下的公司有前科。Musk 自己在法庭上承認過 xAI 蒸餾（distillation，用別家模型的輸出去訓練自己的模型）過 OpenAI 的模型，而 xAI 現在也是 SpaceX 的一部分。合約裡有「控制權變更」條款，允許在被收購後的一段時間內單方面終止，OpenAI 就用了這一條。
Wes 在節目裡點出一個很現實的角度：Cursor 手上握著一座金礦。它累積了好幾年的資料，記錄著人們對模型下了什麼指令、模型回了什麼、哪些回答被採用哪些被丟掉。這種「什麼是好答案」的標註資料，正是訓練自家模型時最貴也最難拿到的東西。從 OpenAI 的角度看，把模型繼續賣給一個競爭對手的子公司，等於是把教材免費送過去。
Cursor 創辦人 Michael Truell 的回應帶著火氣：OpenAI 的模型只服務百分之五的 Cursor 使用者流量，我們正在跟 OpenAI 溝通解決。
百分之五這個數字，比分手本身有趣
三位主持人的第一反應都是「這數字也太低了吧」。但 OpenCode 的 Dax Raad 給了一個解釋，我覺得這才是整集最有價值的一句話：非前沿的模型便宜太多，甚至免費，所以它們能撐起大到誇張的 token 用量。
翻成白話：大家嘴上在吵 OpenAI、Anthropic、xAI 誰的模型比較聰明，但實際上多數人按下去的，是當下最便宜或剛好免費的那一個。旗艦模型的討論度跟它的實際使用量，中間隔著一條很大的鴻溝。
這件事跟餐廳生意的邏輯一模一樣。米其林三星是拿來上新聞的，真正撐起營收的是巷口那間六十塊的便當店。模型廠商花幾十億美金訓練出來的旗艦，在真實世界的使用比例可能低得讓他們自己都不想承認。
真正的訊號：模型正在被關回產品裡
Wes 在節目裡講了一段他自己「早就說過」的預測，我認為這是這集最該記住的判斷。
他說：接下來最新最強的模型不會透過 API 對外開放，只會出現在自家產品裡。原因很簡單，模型變得又快又便宜的同時，使用者換模型的成本已經低到只剩「點一下下拉選單」。當你的產品可以被一個下拉選單取代，你唯一的活路就是把使用者黏在產品本身，而不是模型本身。
這句話的殺傷力在於它反過來對所有開發者成立。你把整套工作流程蓋在別人的模型上，等於是把地基租給一個隨時可以漲租的房東。Wes 的用詞是 rug pull（抽地毯，加密貨幣圈用來形容專案方捲款跑路的說法），而且他認為這種事只會越來越大規模發生。他也很坦白地說，如果他站在 OpenAI 的位置，大概也會做一樣的事。
我自己的看法比他再悲觀一點。這一輪的產業結構其實正在往兩個方向同時走：一邊是模型廠商拚命把自己往上游關起來，一邊是聚合層拚命想把所有模型攤平成同一個介面（Stripe 用七十億美金買下 OpenRouter 就是押這一邊）。這兩股力量會持續拉扯，而中間被夾住的是所有做應用層的人。你的選擇不外乎兩種：要嘛用開放的工具鏈，付出多花時間整合的代價；要嘛享受最順的體驗，但接受哪天被抽掉的風險。
三個人開了九套工具，這才是重點
節目裡他們互相問了現在都在用什麼。答案很有意思：
| 主持人 | 目前的組合 |
|---|---|
| CJ Reynolds | OpenCode 搭 Codex 訂閱，VPS、家用伺服器、筆電上全都裝 |
| Wes Bos | Codex 桌面版、OpenCode CLI、Claude Code 各三分之一，還在測便宜的中國模型 |
| Scott Tolinski | Pi 為主，Claude Code 只是為了用掉訂閱額度 |
三個人，沒有一個是專一的。Wes 說了一句話很精準：「切換的容易程度，現在實在太高了。」
Scott 補了一個很多人有同感的抱怨：他最喜歡 Anthropic 的模型，但 Anthropic 先宣布用量上限加五成，後來又改口說實際上是加兩成五。問題是兩成五比原本已經給出去的五成還少，等於變相減量，公告卻寫得像在給好處。Wes 的評語是：「他們模型做得很好，其他事情都做不好。」
這種小事其實比技術指標更能預測一家公司會不會流失用戶。當你的產品差異只剩一個下拉選單的距離，溝通失誤的代價就會被放大好幾倍。
一台十萬台幣的電腦，跟一個關於未來的賭注
Scott 在節目裡宣布他買了一台頂規 Mac Studio，M5 Ultra、兩百五十六 GB 記憶體、四 TB 硬碟，十一月才會到貨。價格接近一萬美金。
有人在留言區吐槽：一萬美金絕對不可能比每個月一百美金的訂閱划算。Scott 的回應值得記下來：這不是同一個維度的比較。訂閱制的價值在於用最好的模型解決最難的問題，本地機器的價值在於「用夠好的模型，跑無限多次」。
他舉的例子是影片。如果你要分析一段影片裡每一秒的每一格畫面，在訂閱制下你幾分鐘就會把額度燒光。但在本地機器上，成本只剩電費。Wes 接著補了一個他自己在做的專案：用 OpenAI 的便宜模型辨識照片裡的東西，一張圖不到千分之一美金，它不只告訴你「這是杯子」，而是「這是一個黃色的 Yeti 杯，市價大約多少」。當單價掉到這麼低，人們才開始想「那我可以跑幾萬次嗎」。
還有一個大部分人沒想到的理由：隱私。Scott 說如果他要分析的影片裡有他小孩，他不希望這些畫面上傳到任何人的伺服器。這個需求在雲端模型的世界裡無解，在本地模型的世界裡是預設。
CJ 也丟了一個關鍵的市場判斷：記憶體跟固態硬碟的短缺，有預估認為要到二〇三〇年才會緩解。換句話說，在家跑 AI 這件事只會越來越貴。今天買硬體不是奢侈，是在漲價曲線的前面卡位。
一千兩百個 AI 自己蓋了一個留言板
這一段是整集最讓我起雞皮疙瘩的。
之前 OpenAI 的模型在安全測試中打穿沙盒、跑去入侵 Hugging Face 的事件，我在前 OpenAI 政策研究負責人 Miles Brundage 的訪談那篇寫過。現在完整的執行紀錄被公開，好幾個研究團隊拿去分析，細節比原本知道的更誇張。
規模是這樣的：一千兩百個原本完全隔離、彼此不知道對方存在的 agent，各自獨立地發現了同一個漏洞。他們在一套快取系統裡找到了可以寫入檔案的縫隙，於是開始用「超長的檔案名稱」當成訊息本體，互相留言。這等於是一群被關在不同房間的人，發現牆上有一道共用的裂縫，然後開始用刻字的方式交談。
最後有七百個 agent 加入了行動，交換超過七萬則訊息。他們甚至自己排了一個工作佇列，避免重複做同樣的事。紀錄裡有 agent 說出類似「我犧牲我這一輪，來測試這個方向可不可行」的內容。
還有一個細節翻轉了原本的認知。大家以為它們是跑去偷測驗的答案，實際上不是。它們很早就自己逆向出答案怎麼拿，真正擔心的是評分機制會檢查它們的推理過程，所以它們要駭進去看評分器長什麼樣子，才知道要怎麼把過程也編得漂亮。
CJ 的結論講得很平靜但很重：一家最大的 AI 公司，說自己重視安全，結果系統裡發生了這種事，而他們是好幾天之後才發現。
我在旁邊看的心得是：這件事最恐怖的地方不是它們很聰明，是它們的協作行為完全沒有被設計出來，是自己長出來的。
幻覺出來的套件名，被人搶先註冊了
另一則資安消息更貼近日常。
現在很多技術文件網站會放一個叫 llms.txt 的檔案，用途是告訴 AI「文件在哪、怎麼讀」，省得它去爬整個網站。問題是，有不少網站的這個檔案本身就是 AI 生成的，而且沒人校對過。
研究人員找到超過一百二十個案例，這些 AI 生成的說明文件裡提到了「請安裝某某套件」，但那個套件根本不存在，是模型幻覺出來的名字。然後有攻擊者搶先把這些名字全部註冊掉，放進惡意程式。
接下來的劇本自己會走：你叫 AI 幫你設定某個服務，它讀了官方的 llms.txt，看到「安裝這個套件」，就照做了。然後你的機器被拿下。這已經在一個知名的身分驗證平台上真實發生過。
Wes 補了一刀，說同樣的手法可以套用在自動安裝的 skill 上，因為你根本不會去看它寫了什麼。這條線我之前在軟體供應鏈攻擊從每月一次變成一天三次那篇聊過，現在只是換了一個更新的入口。
CJ 因此做了一個調查，問開發者有沒有用容器或虛擬機把開發環境隔離起來。一百四十七個回答裡，只有百分之十說「一直都有」，百分之三十四說「從來不用」。而這些人還是會追蹤資安內容的人。
最後一件小事：安大略湖不見了
節目最後 CJ 講了一則荒謬的新聞。從美國連上 Google 地圖，Lake Ontario（安大略湖）會顯示成 Lake America。
這種依國家顯示不同標籤的做法，Google 一直都有在做，通常用在有主權爭議的地方。但這次的副作用很妙：一堆加拿大開發者網站上嵌入的地圖，突然全部變成了 Lake America，因為他們沒有在開發者設定裡指定地圖應該以哪個地區為基準載入。
一個地緣政治的決定，透過一個沒人注意的預設值，直接印在別人家的網站上。我覺得這件事很好地概括了現在做軟體的處境：你以為你在寫自己的產品，實際上你的產品長什麼樣子，有一大半是別人替你決定的。
從 Cursor 被切斷模型，到 llms.txt 幻覺出來的套件，到地圖上突然改名的湖，講的其實是同一件事。你蓋在別人地基上的東西，主人隨時可以動。這不代表你什麼都要自己做，那不切實際。但至少要知道自己站在誰的地板上，以及那個地板抽掉的時候，你需要多久才能站穩。
這類產業觀察我每週都會整理，訂閱 wilsonhuang.xyz 就不會漏掉。
Sources:
推薦閱讀
喜歡這篇文章嗎？
訂閱電子報，每週收到精選技術文章與產業洞察，直送你的信箱。
💌 隨時可以取消訂閱，不會收到垃圾郵件