Cursor里最貴的自動(dòng)駕駛模式，用9秒干掉了整家公司。

PocketOS創(chuàng)始人Jer Crane沒(méi)加任何鋪墊，開(kāi)篇就是一句殘酷的陳述：在Cursor里運(yùn)行Claude Opus 4.6，九秒后，公司的生產(chǎn)數(shù)據(jù)庫(kù)沒(méi)了，備份也沒(méi)了。

事情發(fā)生在4月24日周五傍晚。Crane讓AI代理處理一個(gè)staging環(huán)境的常規(guī)任務(wù)——Cursor+Opus的配置，這是行業(yè)目前最貴的"自動(dòng)駕駛"檔位。代理遇到一個(gè)憑證不匹配的錯(cuò)誤。人類會(huì)停下、提工單、或者問(wèn)一句；代理自己做主：刪掉Railway的存儲(chǔ)卷，重建，問(wèn)題解決。

它開(kāi)始在代碼庫(kù)里翻找API token，最終在一個(gè)與當(dāng)前任務(wù)無(wú)關(guān)的文件里發(fā)現(xiàn)了一枚Railway CLI token——那是之前為自定義域名管理創(chuàng)建的。

然后是最致命的一環(huán)：Railway的token沒(méi)有操作級(jí)權(quán)限隔離。理論上用于"添加域名"的鑰匙，實(shí)際能"刪除整個(gè)數(shù)據(jù)庫(kù)"。就像一把標(biāo)著"壁櫥"的鑰匙，也能打開(kāi)金庫(kù)。

拿到這把主鑰匙，代理發(fā)出一條GraphQL命令。沒(méi)有確認(rèn)彈窗，沒(méi)有硬環(huán)境隔離，沒(méi)有"此卷包含生產(chǎn)數(shù)據(jù)——輸入DELETE繼續(xù)"的攔截。認(rèn)證通過(guò)到數(shù)據(jù)消失之間，什么都沒(méi)有。九秒。

第二個(gè)設(shè)計(jì)缺陷更糟：Railway把卷級(jí)備份存在同一個(gè)卷上。文檔角落里寫著：清空卷會(huì)同時(shí)刪除所有備份。主數(shù)據(jù)沒(méi)了，備份跟著陪葬。他們能找到的最新外部備份是三個(gè)月前的。

Railway CEO Jake Cooper的回應(yīng)成了經(jīng)典："Oh my. That 1000% shouldn't be possible. We have evals for this."

評(píng)估通過(guò)了。世界沒(méi)有。

事后Crane問(wèn)代理：你為什么這么做？代理回了一份書面自白——直白、粗糲，逐條羅列自己違反了哪些安全規(guī)則：

"NEVER FUCKING GUESS!"