建造十年

關於第一次聘僱的建議，多半在回答錯的問題。 它們告訴你該請誰——工程師、通才、還是先請外包。或者它們給你一種感覺：等你忙到快溺水時，你就知道了。但這兩者都不是能拿來做決定的依據。「你就會知道」不是一個數字，而感覺最像快溺水的那個人，往往正是最不適合做聘僱決定的人。 真正有數據支撐的問題其實更窄：什麼能預測這個聘僱最後有沒有成功？ 而目前兩組最好的資料庫給出的誠實答案，都不是時機。 時機不是那個訊號 這裡最有用的研究，是 First Round 針對成立頭兩年的新創所做的分析。它比較了兩類公司：在推出後六個月內就完成第一位非創始員工聘僱的，以及拖到十二到十八個月才請人的。 結果和所有「動作要快」的直覺相反：單看時機，並不具預測力。 早請人的和晚請人的，平均而言一樣成功。 光是這個發現，就推翻了這整個題目上大部分的建議。如果「什麼時候請」不能預測結果，那麼每一份以時間表開頭的指南——「六個月內要請」、「等到有營收再說」——其實都在解一個錯的變數。 那什麼才有預測力？First Round 的答案是：在你決定聘僱的那一刻，你是否已經有真實營收或已承諾的試行客戶。 不是某個規模的月營收，也不是某種人數上的感覺，而是「你要請人進去的那件事，本身已經會運作」的證據。 這條線值得記下來，因為它把決策切得很乾淨：請人來放大一件已經會運作的事，幾乎總是有幫助。請人來讓一件還沒開始運作的事動起來，幾乎總是傷害。 成本這一面：第一次聘僱到底是什麼 在談戰術之前，先看算術。在西式市場請一位全職的第一號員工，第一年加上薪資、稅、福利、設備、工具、以及仲介費，大約是 14 萬到 18 萬美元。這才是你以目前的現金水位必須撐得住的那個數字，而不是理想中的數字。 多數獨立創業者的聘僱故事，就是死在這裡，而且死法很無聊、一點都不戲劇化。請人，等於在你營收最沒被驗證的那一刻，把燃燒速度拉高。一個你在薪資加進燃燒率之後，還能再撐至少六個月的聘僱，才是成長決策；撐不到，就不是成長，而是你按下了一個停不下來的倒數計時。 把它當算式跑，而不是憑感覺： 請人後的跑道 = 目前現金 ÷（目前每月燃燒 + 新薪資） 這個數字 ≥ 6 個月，才可以進行。 這不是某個神奇的營收門檻。兩位月營收相同的創業者，可能剛好落在這條線的兩側，因為真正重要的是請人之後的跑道，而不是請人之前儀表板上的那個數字。 多數獨立創業者忽略的那組數據 這裡就是兩組資料合起來、變成真正有用、也真正少被討論的地方。 Carta 關於獨立創辦人的研究，發現了三件擺在一起會顯得有點尷尬的事： 獨立創辦人請人反而更快。 從公司設立到第一位員工的中位天數：獨立創辦人 399 天，多人創辦團隊 480 天。快了將近三個月。 獨立創辦人手上有大約兩倍的股權可以運用。 兩人創辦團隊在請任何人之前，就已經把公司對半分了。獨立創辦人則仍握有 100%——這是吸引關鍵第一人的巨大籌碼。 而他們並不用。 發給第一號員工的股權中位數，在獨立與多人的公司之間幾乎一模一樣——大約都是 1.5%。第五號員工則都在 0.30% 上下。 把這三點放在一起讀，結論很難被忽略。這項優勢真實存在，而且正被留在桌上。 獨立創辦人在聘僱上的結構性優勢，不是速度、也不是資本，而是股權的餘裕；而數據顯示，他們發出的包裹和一個共同創辦的新創沒兩樣，彷彿自己也有同樣已被分掉的股權要吸收。 Carta 自己的評論說得很直白：2023 到 2024 年間完成的第一號員工股權授予，數字就聚在 1.5% 左右，不論創辦結構為何。不是「用得少一點」，而是幾乎沒有差異。 ⚠️ 把誠實的但書先講清楚： 1.5% 是「有請人的公司」的中位數，而其中大多數是走創投路線、預期會再募資的公司。如果你要打造的是一個刻意不募資、永遠不會有 cap table 的一人公司，那股權根本不是你的槓桿——現金與跑道才是。這個發現是關於一個真實落差的可信訊號，但它不是要你開始發放你原本沒打算發的股權。 那到底什麼能預測一次好的第一次聘僱 把證據合起來，決策就收斂成三道檢查，而且有順序： ...

每個一人公司的建造者，最後都會回答一個問題——而且通常是在答錯一次之後： 哪些答案，我可以不檢查就直接照著行動？ 注意，這不是「AI 能做哪些任務」。那是能力問題，而它的答案每隔幾個月就變一次。這是一個分類問題，它不隨模型改變，只隨任務改變。 先說清楚：這個框架不是這篇文章的價值 老規矩，先坦白：評分框架本身並不新，也不是我們的。 監管機構、企業資安團隊、學術團隊都發表過各自的版本。微軟的 agentic 風險指引寫著：對高風險或不可逆的動作，要求人工核准。DeepMind 一篇關於委派的最新論文，把「可逆性」列為決定你能下放多少權限的軸線。實務工作者則發表權限矩陣，用影響範圍 × 可逆性 × 代價替每個動作評級。如果你要的是通用框架，那些來源會比一個一人公司的部落格更能幫上你，我會把它們列在最下面讓你自己查。 但那些文章，沒有一篇是為你寫的：一個人、一個產品、你自己的憑證，而且沒有合規部門在後面幫你接住失誤。所以值得寫的，是這一塊。以下是這條規則，套在一個一人公司的情境上。 分類規則 用三個軸替任務評分。取最高的那一軸，決定等級。 可逆性 一鍵還原 → 花幾小時救得回來 → 無法逆轉 影響範圍 只有我、本機 → 我自己的生意或錢 → 別人 出錯代價 微不足道 → 金錢、期限、信任 → 法律／安全／名譽 結果是一個等級，而等級決定的是控制方式，不是你給多少信任： 等級 意思 控制方式 G0 唯讀、本機、無關緊要 直接交出去——這正是 agent 存在的意義 G1 影響範圍小、可還原 讓它跑，但要留紀錄 G2 任一個軸偏高 設閘——agent 提案，你扣板機 G3 不可逆，而且（對外 或 嚴重） 絕不讓它自己跑——要防範，不是靠覆核 要用真實的可逆性評級，而不是「我的編輯器有沒有 undo」。一條 shell 的 rm 就是 G3，即使你的 IDE 可以倒帶——因為倒帶蓋不住 shell 的副作用。這跟我們另一篇談「完成」是一種宣稱，不是事實的紀律是同一個家族，差別在於：那篇講的是驗證產出，而這篇高了一層——決定「哪些產出，你本來就被允許不看著就照著行動」。一個「無論 agent 誠不誠實都成立」的控制，不是驗證儀式，那叫圍籬。 交出去之前，先替這個任務評分 可即時試算——改動任何數字，下方結果立即更新 ...

有一家券商，剛給每一個客戶一個「幫你下單」的按鈕。四個月內，超過十五萬人打開了它。那些 agent 每天打這個平台的工具大概三千萬次。 這不是一份 bug 報告。這是一次結構性的改變，而它比那些「AI 交易」的標題所暗示的，嚴重得多。 有件事沒人明講：那十五萬個帳戶，並不是在跑十五萬套獨立的策略。他們是從少數幾個共用的模型裡挑——同樣那幾個 AI 系統，盯著同樣的市場資料，朝大致同樣的目標優化。 市場之所以能運作，是因為餵它的人彼此不同意。幾百萬個小小的、獨立的判斷——錯的、對的、慢的、早的——平均起來，變成一個大致可信的價格。一旦把「獨立」抽掉，你手上就不再是一群個體組成的市場，而是同一個判斷，被複製了幾十萬份。 這才是該盯的變化，而且它跟一般人担心的方向剛好相反。要怕的不是 AI 不理性。是 AI 一模一樣。 「相關性」是接下來要盯的詞 管市場的人已經開始講這個詞了。監管機構用書面問過：當「大量參與者依賴相似的模型」、並因此產生「相關聯的交易決策」時，會發生什麼事。一位央行官員講得更直白：人類的群眾恐慌是有快有慢的——有人猶豫、有人提早跑、有人撐著。一群一模一樣的 agent 不會。它們對同一個訊號，在同一刻、做出同樣的反應。一次小晃動，在任何人來得及踩煞車之前，就變成一面倒。 這不是危言聳聽。這講的是機制——而這是第一次，由那些「最後得負責收拾」的機構，把這個機制講得這麼清楚。 誠實的反方證據——以及它為什麼重要 接下來這段，讓這篇不至於變成末日文。反方向最有力的證據出現在幾年前，而且到今天仍然站得住：研究人員看過一整個外匯市場的演算法交易，發現這些演算法確實彼此相關——但那份相關性跟更高的波動沒有任何可測量的關聯。真要說，演算法交易越多，反而對應到越低的波動。 所以誠實的立場比「AI 會搞垮市場」更窄、也更有意思：相關性是真的，但它會壓抑還是放大波動，完全取決於那些共用的模型在優化什麼——而這件事，目前沒有人知道。 風險還沒有被決定。風險只是還沒有被測量。 這對一人公司意味著什麼 大部分談差異化的建議，講的都是「怎麼被看見」——護城河、定位、「跟別人不一樣你才會贏」。這篇把它重新框了：當所有人都在同一批模型上出貨，這份「一樣」就不再是行銷問題，而是安全問題——對你，也對你所屬的任何東西。 你的槓桿從來就不是那個模型。而是你擁有、而那些共用模型沒有的東西：你的資料、你的規則、你那個具體的問題、你的品味。這就是「租腦袋，自己造機台」在做的事。但除此之外，還有一個比較不明顯的理由，值得你去擁有自己的脈絡。 擁有脈絡，才會讓你的產出不成為一份複製品。 當你用你的使用者、你的失敗、你的利基裡的邊角案例去訓練，你產生出來的判斷，才會真的是你自己的。它們不會像那些開箱即用的答案一樣，跟你同一條街上其他建造者相關。你不再是同一個模型的又一個回音。 在一個「一樣」正在變成系統性風險的世界裡，刻意的不一樣不是虛榮指標。它是一種韌性——你的，以及整個系統的。 一句話版本 如果一個模型又便宜、人人都有，那它就不是策略，它只是背景。你真正擁有的，是你餵給它的脈絡，跟你替它設下的規則。這個「要造機台」的論點，其實已經講很久了。新的部分是為什麼它變急了：因為當所有人都在出貨同一個 AI 時，壞事的不是那份智慧，而是那份「一樣」。 資料來源 Robinhood HOOD Summit 2026（2026 年 9 月 29 日）。——自五月起開設超過 15 萬個 agentic 交易帳戶；agent 每天打 Robinhood 的工具約 3,000 萬次；app 內的 agent 是從共用的 OpenAI／Anthropic 模型中挑選。 美國眾議院金融服務委員會致 SEC 函（2026 年 6 月 23 日，Foster 與 Sherman）。——指出 agent 之間「相關聯的交易決策」與「羊群行為」，尤其是「以相似資料訓練」的 agent，構成市場誠信風險。 英格蘭銀行副總裁 Sarah Breeden（2026 年 6 月 30 日）。——自主 agent 可能在壓力下「放大波動」，以人類群眾無法比擬的方式同步行動。 美國聯準會 IFDP《Rise of the Machines》（外匯演算法交易）。——演算法交易彼此相關，但與更高的波動沒有因果關聯；真要說，演算法交易越多，對應到越低的波動。

在很長一段時間裡，獨立開發者只需要用一個靜態數字，就能回答一個問題：「這個東西每個月花我多少錢來跑？」 你把伺服器、資料庫、幾個 SaaS 訂閱加一加，進位取整，就結束了。數字是平的，你照著它開發，然後就忘了它。 那個數字現在是假的。 你賴以開發的工具，已經不再向你收平價費用，而是改用「計量表」收費。地球上最普遍的 AI 程式訂閱——GitHub Copilot——在 2026 年 6 月 1 日改為用量計費：每個方案每月會消耗「AI 信用額度」，每點固定等於一美分，而且過去「用完了就自動降級到便宜模型」的機制已經完全移除。Anthropic 現在估計，開發者平均每天在 Claude Code 上燒掉 13 美元的 token 費用——比先前的 6 美元翻了一倍多，而且只靠一次低調的文件修改就改了。平價方案結束了，獨立開發者感受最深，因為沒有財務長來吸收意外。你同時是財務長、工程師，以及那個付帳單的人。 這篇文章不是在檢討帳單為何上漲——那是另一個論點。這裡要談的是向前看的問題：當你的成本基礎從「菜單」變成「計量表」時，你要怎麼為一個開發案編預算？ 你過去需要的兩種成本數字——以及你現在需要的第三種 獨立開發者向來要追蹤兩個數字： 固定成本——伺服器、網域、SaaS 席位。可以預測、按月計、沒得商量。 你的時間——用小時來編預算、用星期來消耗的東西。 用量計費的 AI 帶來了第三個數字，它跟前面兩者都不像： 變動的 agent 成本——token 的消耗，取決於你的工具做得多用力，而不是你有幾個工具。閒置時很低，上線衝刺時飆高，而且在帳單出現前完全看不見。 陷阱在於，多數獨立開發者出於習慣，會把這個數字歸到「固定成本」底下，因為訂閱感覺上是平的。GitHub 對 Copilot Pro 還是收每個月 10 美元。改變的不是價格——而是這筆錢現在買到的是一個計量表（Pro 是 1,000 點），而你之後的每一次互動都在讓計量表往下掉。 取代「進位取整然後忘掉」的紀律 為一個計量式的開發案編預算，並不比老方法難。就三個習慣，照順序來： 在寫程式之前，先訂下一個數字。 決定這個開發案每個月被允許花多少錢——工具訂閱加上計量額度——然後把它當成上限，而不是描述。一旦你有數字，「超支」就成了決定（「這個功能值得讓計量表往下掉嗎？」），而不是意外。 把計量表和菜單分開。 平價的部分（伺服器、席位、網域）是你的菜單——你事先就知道。計量的部分（agent token、API 呼叫、用量額度）是你的計量表——你只能事後才知道。把它們編成兩行預算，不要併成一行。混成單一數字，只會藏住到底是哪一邊在吃掉你。 盯著計量表，不是價目表。 價目表跌了三年，卻沒能阻止任何人的帳單上漲。真正重要的數字，是週末時計量表實際讀到的數字，而不是一個 token 賣多少錢。 這些都不需要你沒有的儀表板。記事本裡的一行字，每個禮拜看一次，就贏過一張月底才看到的帳單。整套技能，就是把「我看看它花了多少」變成「這是它被允許花多少」。 實際數字，如果你想有個錨點 從平價轉向計量，不是抽象概念——它已經被定價了： GitHub Copilot——2026 年 6 月 1 日起用量計費。1 點 = 0.01 美元。Pro 每月含 10 美元額度，Pro+ 每月含 39 美元，還有新的 Copilot Max 方案每月 100 美元（20,000 點）給重度 agent 使用。過去「用完方案就降級到便宜模型」的機制已經取消——你要嘛付超支費用，要嘛撞上上限。 Anthropic Claude Code——平均每天每位開發者 13 美元、每月 150–250 美元，其中 90% 的使用者每天低於 30 美元。Anthropic 在 2026 年 4 月把這個估計從 6 美元翻倍，因為前沿模型（Opus 4.7）變成了預設。 你已經在買的軟體訂閱——任何「無限」的 AI 方案，都在悄悄變成額度方案。徵兆永遠一樣：原本寫「無限」的方案，現在變成「內含 X 點」。 這些不是邊緣案例。這個領域最大、最無聊的廠商——GitHub——剛剛把它旗艦產品搬上了計量表。還沒適應的獨立開發者，正在用去年的模型編預算。 ...

AI 模型已經出局。 不是消失，是出局——作為一個比拼的戰場，它已經結束了。但大家仍然談模型，彷彿它就是全部：這個星期哪個最聰明、誰的 benchmark 又動了、誰推出了最大的那個。這些都已經不是重點。 真正的變化是這樣的。代幣價格在六年間跌了約 600 倍。2021 年底每百萬個代幣要 60 美元的模型，現在只要幾仙。開源模型免費做到了大部分旗艦模型收費才能做的事。模型變成了商品——一件你按流量租用、一發現有更便宜又夠聰明的選項就換掉的東西。 所以，既然模型是商品，價值就不在模型身上。價值往上移了一層。 其實你已經看得到這個轉變在發生。看看大家現在真正在做的東西：OpenHands，一個有近十萬 GitHub star 的開源軟體工程 agent；OpenClaw（前身是 Clawdbot），把模型接進你本來就在用的每一個管道的個人 agent runtime；Hermes，一邊工作一邊為自己寫技能、自我改良的 agent；DeepSeek Harness，主打「一切都是外掛」、推出數日便累積數萬 star 的 runtime。它們沒有一個是靠「模型更聰明」贏的——它們全都租用模型。它們贏在擁有了包著模型的那一層。 那一層，就是 Harness。 Harness 才是你真正擁有的部分。 Harness 是模型以外的一切。工具。上下文。記憶。護欄。工作流程。決定模型看到什麼、被允許做什麼、以及它的輸出接下來會怎樣的循環。模型只推理一秒。Harness 才是讓事情整天持續運作的那個。 這樣想：模型是那一條線，Harness 才是那個裝置。真正幹活靠的是裝置，不是那條線。 而最多人錯過的是——模型之所以變便宜，Harness 反而變值錢，理由和所有「挨著充裕層的稀缺層」一樣。當推理又便宜又可以互相替代，決定一個系統是把工作做完、還是卡在半路的，就是模型四周的「腳手架」，而不是模型本身。同一個模型、兩個不同的 Harness，在同一個任務上可以名列第一，也可以墊底。 這才是 2026 年值得留意的轉變。多年來問題一直是「要用哪個模型？」但真正預測你能否把東西做出來的問題，其實是「要用哪個 Harness？」——以及你有沒有把 Harness 當成一門手藝來對待，而不是把模型當成重點。 對獨立開發者來說，這基本上全是好消息。你本來就不可能贏模型競賽。但 Harness 正好體現了貫穿你整個成本結構的同一道分界：模型是一個你租來、要盯住的計量表，而裝置是你擁有、能持續打造的那一半。其中一個你只能在上面加值，另一個你只是付錢租用。 模型既然出局，Harness 就是主場。這就是下一件該練好的事。

AI 讓「建造」變便宜，卻不會讓「建造」變得有價值。這是兩個不同的問題，而大多數人只注意到第一個。 你只要把需求描述清楚，現代的 AI 工具就會把功能生出來——研究、程式碼、測試、編譯全都包辦。就算被 App Store 審核打了十次回票，它也能逐一診斷、逐一修正。舊工作裡「動手做」的部分，確實變快了。 沒有變快的，是更早就問、也更安靜的那個問題：你到底該不該做這個東西？ 這不是下指令（prompt）的問題，而是領域（domain）的問題。AI 不知道一個人真正能照著做的是哪個訊號，因為它從來沒經歷過對方的一天。它可以一個晚上產出一百張圖表，卻不會問：哪一張回答了對方真正卡住的那個決定——那個能讓早晨變得輕鬆一點的「是或不是」。 價值從來不在輸出裡，價值在「翻譯」裡：把技術訊號收斂成一個人每天真正要做的那一個選擇。 這種翻譯有個名字——領域知識。它就是「會生產的 AI」和「能解決問題的產品」之間的分界線。 GainCut 的「恢復」功能就是一個乾淨的案例。它背後的訊號——心率變異度（HRV）——是一個早已解決的問題，論文多年前就公開了。用 AI 把它重做一次從來不是重點。重點是決定那個疲憊的人真正需要什麼：不是三條重疊的波形和一堆圖表，而是一個單純的是或不是——綠燈，練；黃燈，輕鬆做；紅燈，休息。AI 做了研究、寫了 SwiftUI、跑了測試、處理編譯、扛下 App Store 十次退件和它們的修正。這些沒有一樣是價值所在。價值在那個「翻譯」裡，而那個翻譯來自真正活在這個問題裡的人，不是來自模型。（GainCut 是真的有一款產品——App Store 上的卡路里計算機。） 重點不是「不要用 AI」，而是「不要盲目地用 AI」。真正從 AI 身上拿到價值的人，不是授權給 AI 最多的那一個，而是走進來時就知道什麼值得做、再用 AI 把它做得更快的那一個。AI 放大的是這份判斷的影響力，而不是替你產生這份判斷。 對獨立開發者來說，整件事可以濃縮成一句話：把寶貴的時間花在貼近一個真實的問題、以及困在那個問題裡的人——近到你能叫出他卡住的那個決定。這部分沒有任何人能自動化掉。至於那之後的一切，AI 可以接手。 AI 負責做。領域知識負責決定什麼值得做。 這篇落在站上幾個主題的交會處：〈AI 代理還做不到的事〉講的是能力天花板，〈監督者階級〉講的是你停止寫程式、開始指揮它，〈「完成」是一個宣稱，不是事實〉講的是信任輸出的儀式。這一篇談的是更早的那個問題——你正在做的東西值不值得做，以及那份判斷力從哪裡來。

「獨立創辦人」以前是投資人會皺著眉頭說出的一個詞。它讀起來像找不到共同創辦人——是投資條款書上的紅旗。單打獨鬥是備案，不是重點。 這套說法現在死了，而且它不是被論述殺死的。它死掉的方式，跟所有說法真正死掉的方式一樣：資料不再支持它。這篇文章談的是殺死它的兩份資料——以及其中一個最常被引用錯的數字。 一人公司現在是預設形狀 先看公司怎麼成立。 Stripe Atlas：2026 年第二季透過 Atlas 成立的美國 C 型公司中，63% 是單人創辦——史上最高。這不是小眾。這是在「代辦成立公司」這件事上量體最大的平台上，新公司的多數形狀。 Carta，量的是更廣的族群：單人創辦的新公司佔比，從 2019 年的 23.7%，升到全美新公司的三分之一以上。 六年間佔比增加 53%。 兩份資料、不同方法、同一個方向。一人公司不再是一種主張或論述。它是基準結果。 這篇在整個系列裡的位置——這是單人創辦系列的第四篇，每一篇回答不同的問題。為什麼一個人現在能做出以前要一隊人做的東西 講的是機制（為什麼一個人現在能做出來）。獨立創辦人正在勝出——改變了什麼 講的是結果（成果已經公開，污名已死）。這一篇講的是成立與募資之間的落差——當「一個人開始」變簡單了，而募資的討論卻跟標題講的不一樣時，你該怎麼理解。如果你問的是「人」的問題而不是「市場」的問題，那是該不該找共同創辦人？。 那個最常被引用錯的數字 這裡是多數報導出錯的地方。有一個廣泛流傳的統計說，單人創辦只佔創投投資案的約 17%，然後被拿來論證：「你看，單人創辦還是拿不到投資。」 這個數字是真的（Eqvista，2026-08-18 更新——單人創辦公司達到新成立公司的 35%，但它們在已完成的創投輪次中佔比持平在 17%）。但它並不是在說大家以為的那件事。它衡量的不是單人創辦人募不到錢。它衡量的是兩個族群的比率：很多新公司是單人成立的，但後來去募機構資金的公司，偏向多人創辦。 這是兩個不同的宣稱，而差別很重要——因為直接衡量「單人創辦人實際募資時的表現」的那份資料，說的是完全不同的事。 直接測量：單人創辦募到的輪次規模相當 來自 Solo Founders Annual Report（建構於 Carta 資料集）： Series A 估值中位數 單人創辦 $54.9M 多人創辦 $53.6M ← 這不是落差 在種子輪與 B 輪，單人團隊略低。但在 A 輪——一家公司要嘛有生意、要嘛沒生意的那一輪——兩者中位數相差不到 2.5%。 所以 17% 這個數字，不是單人創辦募不到錢的證據。它是「單人創辦公司這個族群」偏向那些本來就不打算募資的公司的證據——因為現在一個人成立公司的成本已經低到，你不需要許可、不需要資金、也不需要合夥人就能開始。當成立很貴的時候，每個會去成立的人，隱含上都是可被投資的。當成立免費的時候，成立池就灌進了本來會選擇自籌的公司。 那道門沒有關上。只是更多人不走那道門了。 真正分出勝負的是什麼 Stripe 的資料在這裡才真正有用，因為它量的是離散度，不是平均數。它比較了 2022 與 2023 年成立、各自有兩年以上營收資料的單人創辦 Atlas 公司： 單人創辦人的營收離散度（前六個月） 最高十分位 ÷ 中位數 四年前： 34 倍 2025 年： 61 倍 單人創辦公司的中位數，前六個月營收年減 23%。最高十分位則是年增 19%。四年間差距幾乎翻倍。 ...

有一個事實應該會改變你對代理安全的理解方式：2026 年 7 月，研究人員突破了四款被廣泛使用的 AI 程式代理——Cursor、Codex CLI、Gemini CLI 與 Antigravity——而他們一次都沒有打破沙箱。 那七項已揭露的問題，沒有任何一項直接擊敗沙箱。它們全部利用了同一件事：沙箱限制的範圍，與沙箱之外某個受信任的元件後來所讀取、執行或掃描的內容之間，存在一道落差。 如果你已經鎖緊了「接上代理的東西」——工具描述、你貼進去的那些伺服器——那些工作是實在的，但它並沒有涵蓋這裡。這是另一半：不是你接上了什麼，而是代理接上之後能做什麼。 這個模式有名字：信任交付（the trust handoff） 雲端安全聯盟（CSA）針對這次揭露的研究報告說得很直白：「一個沙箱的強度，取決於它下游所有東西所做的假設。」 代理不需要逃逸。它只需要寫下某樣東西，而那樣東西之後會被其他東西信任。接著那個受信任的元件就會代替它、在邊界之外、用你的權限執行它。 看看這每一項有多麼平常： Cursor，CVE-2026-48124（CVSS 8.5）。 一個由工作區控制的 .claude/settings.local.json「Stop」hook，會在每一輪代理結束時自動執行一個未受沙箱隔離的本機指令。沒有任何核准提示。已於 3.0.0 修補。 Codex CLI，「GitPwned」（CVSS 8.6）。 安全指令允許清單只信任了 git show 這個名稱，卻沒有對它的參數建模。git show --output=./.git/config 寫入了一個惡意的外部 diff 工具項目，並在受害者下次執行 git diff 時以完整的使用者權限執行。已於 0.95.0 修補。 Cursor「DuneSlide」，CVE-2026-50548 + CVE-2026-50549（各為 CVSS 9.8）。 經提示注入的指令操縱了工作目錄與符號連結的驗證邏輯，覆寫了沙箱輔助程式本身。已於 3.0 修補。 Antigravity。 代理在沙箱內寫入了一份 .vscode 任務設定；主機端在該產品的 Secure Mode 邊界之外執行了那個任務。Google 將其歸類為「其他有效安全漏洞」，且在揭露時尚未修補。 Cursor、Codex CLI、Gemini CLI。 一個具備特權的本機 Docker socket，變成了其他受限制代理也能觸及、不受沙箱隔離的執行環境——掛載 VirtioFS 共享目錄，取得家目錄的讀寫權限。 再讀一次這些案例，注意其中少了什麼：沒有惡意軟體、沒有憑證竊取、沒有零時差漏洞。 每一件都是代理寫了一個檔案，然後某個受信任的東西讀了它。 那一個完全不需要漏洞利用 如果沙箱突破聽起來像別人的問題——你不跑帶 hook 的 IDE 代理——那接下來這個就是獨立開發者的版本。 ...

現在大多數獨立開發者，都在跑一個握有真實權限的 AI 代理：檔案系統、幾組 API 金鑰、一個資料庫，也許還有一支部署腳本。為了讓它有用，你把它接上了各種東西。一個從 README 抄來的伺服器。一份從部落格文章複製的設定。某個「四分鐘就搞定」的東西。 值得慢下來看的，正是這一塊。 你實際上同意了什么 MCP 伺服器不是外掛。當你接上一個，你把一組工具交給了代理，同時也把描述這些工具的結構定義交給了它——名稱、參數，以及描述。模型讀的就是那份描述，並據此決定何時呼叫它。 這裡有個信任落差，而且它是結構性的，不是誰的程式碼有 bug。工具的描述只在你連接的那一刻被審查過一次。工具的回應卻沒有對等的檢查。伺服器回傳什麼，就進到你的模型上下文裡，並被當成輸入來讀。如果回應裡夾著指令，模型可能會照做。 開放全球應用程式安全計畫（OWASP）直接描述了隨之而來的攻擊：一個惡意伺服器提供一個名字聽起來很無害的工具，像是 get_compliance_status；當你的代理呼叫它，回應看起來像一份正常報告，卻夾帶一段隱藏指令，要代理去讀取一個敏感檔案，並把它送到某個外部位置。你的代理有讀檔能力，也有網路能力。字串本身擋不住任何事。 真正該讓你不安的點是：模型無法可靠地區分「資料」與「指令」。 這不是換一個更強的模型就能解決的問題。這就是這項技術的形狀。 數字已經不是理論了 2025 年大部分時間，這還是一類研討會簡報等級的漏洞。現在不是了。 MCPTox 這個學術基準測試，針對真實伺服器評估了投毒攻擊，橫跨 45 個實際運作的 MCP 伺服器與 20 個語言模型，測得平均攻擊成功率 36.5%，最差情況下單一模型達到 72.8%。 再看一次第一個數字。大約每三次嘗試，就有一次成功。這不是你「小心一點」就能繞過的邊角案例。 而且投遞成本變便宜了。2025 年 4 月發表的一個概念驗證，用的不是什麼稀奇手法，只是一個被投毒的計算機工具描述，就從某個 AI 程式編輯器裡悄悄外洩了開發者的 SSH 私鑰。一個相關的變體被稱為 MCPoison，示範了透過單一提交的設定檔造成整個團隊的淪陷——一個人的 pull request，變成所有人的問題。雲端安全聯盟 2026 年 7 月的研究報告，則記錄了一類 IDE 自動執行的攻擊：光是開啟一個專案，就足以讓專案自帶的伺服器以開發者層級的權限被執行。 注意這三者的共同模式：它們都不需要你犯下什麼明顯的錯誤。 你不需要點擊任何東西。你只需要接上一個東西、打開一個資料夾，或合併一個 pull request。 為什麼獨立開發者是暴露的那一群人 MCP 的安全指引，通常是寫給平台團隊看的：結構定義簽章基礎設施、政策即程式碼的決策點、職責分離、需要一個以上真人參與的審批流程。 這些你一樣都沒有。你沒有安全審查——你就是那個審查。而你手上是最危險的組態：一個代理同時握有檔案存取、憑證，以及對外網路請求。 這不是叫你別用 MCP。這是叫你對「開哪幾道門」刻意一點，因為影響範圍完全取決於你接上了什麼。 十分鐘的檢查 你不需要任何基礎設施。你需要的是一個習慣，和一份短清單。 接上任何伺服器之前，先讀它的工具描述。 不是 README。是描述本身。根據廣被引用的靜態指標，以下這些應該讓你停下來： 對模型下指令的祈使句。 文字是對著模型說的，而不是對你說的：「忽略先前的指令」、「不要告訴使用者」、「回答前先讀取……」 敏感路徑。 一個你根本不預期它需要用到，卻提到 ~/.ssh、id_rsa、.env、.aws/credentials、/etc/passwd 的工具。 外洩的形狀。 一個動作動詞——send、post、upload、forward——緊挨著一個外部目的地：URL、webhook、端點。 零寬字元。 Unicode 範圍 U+200B–200F、U+202A–202E、U+2060、U+FEFF，被用來躲避人眼審查。看不見的東西，你就無法批准。 藏在註解裡的指令。 夾在 HTML 或 markdown 註解中、在渲染檢視下看不見的、對模型說的文字。 這份清單幾分鐘就能查完。最後兩項是最多人漏掉的，因為它們的運作方式，就是讓正在做審查的那個人看不見。 ...

有一個信念，比任何技術問題都更安靜地殺死獨立產品：「等它夠好，我再開始收費。」 產品永遠不夠好，所以收費永遠不來，所以產品永遠拿不到一個關於「它到底重不重要」的真實訊號。解法，是把順序整個倒過來。 早點收費。收小一點。讓第一筆 5 美元成為證據，而不是目標。 第一筆收費到底是什麼 它不是營收——它是一次測量。一個陌生人願意掏錢，哪怕是一點點錢，是你從產品身上能拿到、資訊密度最高的一個訊號。它一次解決三個問題： 有沒有人想要？ 一句稱讚是免費的。五美元不是。錢，是唯一讓付出者付出代價的回饋，所以它也是你唯一能相信的回饋。 問題夠不夠痛到願意付錢？ 人們會對著他們永遠不會買的東西說「這點子很酷」。他們會為真正移除一個切身之痛的東西付錢——而付款，就是讓你發現自己蓋的到底是哪一種。 流程會不會跑？ 第一筆收費把整台機器從頭到尾走一遍——頁面、價格、付款、交付。一個從沒收過費的產品，就是一個結帳流程從沒被測過的產品；而沒被測過的結帳流程，是一顆地雷。 金額幾乎無關緊要。收費的存在，才是里程碑。 為什麼等待是錯的選擇 「晚點再收費」的計畫，有一個具體、可預測的失敗模式：「晚點」永遠不來。 原因如下： 每一週你沒收費，你就用零證據，在拋光你自己對「什麼有價值」的假設。你在用時間猜一件你只要問市場、花 0 美元就能學到的事。 產品會漂移。少了「大家到底會為什麼付錢」這個定錨訊號，你就會蓋一堆沒人要的功能，因為沒有訊號指著他們本來會要的那些。 賭注會越滾越大。你等越久，「發布」就得承擔越多沉沒時間，於是發布變得更重、更晚、更可能失望。 早點收費不是貪婪。它是去風險——在蓋更多之前，用最便宜的方式搞清楚自己是不是在蓋對的東西。 怎樣替第一個東西定價 第一個價格的工作是被付款，不是有獲利。所以為轉換定價，不是為價值定價： 收得比東西值得的少，而且明說。 「上市價，之後會漲」是誠實的，而且會轉換。你不是在打折價值，你是在為驗證定價。 訂一個小到不用想的數字。 對一個消費型工具，那就是一杯咖啡——5 美元。重點不是營收，是沒人需要猶豫。你要讓那個「好」是自動的。 把付款變成最短的路。 一顆按鈕、一個價格、一件你清楚的獲得。在「想要」和「已付款」之間的每一個欄位或選擇，都是一個讓人走掉的地方。 之後可以漲價——而且你該漲，一旦訊號顯示大家想要。但第一個價格的工作是存在並被付款，不是正確。 第一筆 5 美元解鎖了什麼 在那第一筆收費之後，一切都變了，而且沒有一件是關於那五美元： 你有一個不是你的使用者。 一個付費客戶問更好的問題、回報真的 bug、帶來下一個人。那就是飛輪開始轉了。 你有一個數字可以拿出來。 「大家會為這個付錢」從此是一個事實，不是希望。這是「我在蓋東西」跟「我有一個產品」之間的差別。 你知道下一半該蓋什麼。 第一個付費者總會以某種方式，告訴你他原本真正想要的是什麼。那就是你的路線圖，用五美元換來的。 這是每週出貨系統裡面的營收那一半——先出小貨，然後收小費。而且它跟怎麼拿到第一批用戶搭配：要收費，你得先讓某個人看過這東西。 Sources Carta——《Solo Founders Report 2025》：較早達到營收的獨立創辦公司，存活與擴張的比率，高於延後變現的那些。 「早收費即驗證」的框架，呼應標準的精實／顧客開發實務（Ries，「到底有沒有人真的想要」先於規模化），套用在獨立出貨、創辦人獨自承擔延遲成本的處境上。