Plugin4Shell 零点击漏洞曝光，波及四款主流 AI 编程代理｜2026-09-19

2026-09-19 AI 资讯日报（AI Coding + 具身智能）

1. 【Plugin4Shell 零点击漏洞曝光，波及四款主流 AI 编程代理】

四款主流编程代理的插件安装环节被曝同源漏洞，攻击者建个跟 commit SHA 同名的分支就能塞恶意代码，全程零点击。SHA 锁版本没兜住，插件自动更新建议先关。

2. 【Claude Code 2.1.277 起兼容 AGENTS.md 通用项目规则】

项目里没写 CLAUDE.md 的话，Claude Code 会自己去找 AGENTS.md。等于各家工具能共用一份项目规则，换工具或接手别人的项目都不用重配。

3. 【NVIDIA 开源 SoL-Pi，编码 Agent Token 开销降低约一半】

不是新模型，是给开源编码 Agent 套的一层省 Token 方案。152 个想法筛到只剩 4 个，实测 Token 流量掉 44.7%–49%，能力留住九成多。

4. 【Figure 发布 Helix 2.5，陌生家庭环境家务成功率升至 56%】

在 30 间从没进去过的房子里做零样本家务，成功率从 9% 拉到 56%。数字谈不上漂亮，但跨陌生环境的泛化确实往前走了一大截。

5. 【丰田 2028 年起年投万亿日元改造工厂，部署 40 万台机器人】

丰田说从 2028 年起每年拿约 1 万亿日元改造产线，还要在集团内铺 40 万台轮式机器人 ELEY，自家工厂 15 万台，供应商那边 25 万台。