扩展后门先查，多人视频脸在漂

先办一件跟赚钱无关的急事：Claude Code 的 VS Code 扩展 2.1.313 在 Cursor 市场被植入了 SSH 后门（HN 讨论，732 分）。用到 Claude Code 的人先核对版本，痕迹和查法在「技术基建」。

机会这边，Uptown Funk 的 Avengers 版一天里播放从 197,187 涨到 459,938。评论区最高赞两条（275 赞、213 赞）都在笑 AI 把雷神和洛基的脸换来换去。另一条足球梗视频 23,311 播放，评论区也在笑「两个穆里尼奥」。多人模板最大的毛病就是脸会漂移：名人梗里观众当笑点，用户传的是自己和朋友的照片时，脸漂了就是「这不是我」。

万圣节过了今天就结束。接力的圣诞精灵舞已经有 4 家站在做，不必单独开站。

1. Uptown Funk Avengers 版一天翻倍。 THL Vlogs 播放 197,187 → 459,938，赞 2,531 → 5,786，频道订阅 572 → 908（前一个数是昨天的）。300 条评论里，13 条在笑脸乱换，加起来 526 赞；问「用的哪个 AI」的一条都没有。跟风已经出现：REEL & A BEER 的 Doomsday 版 3,380 播放，sun James 2,884 播放（频道 3 个订阅）。
2. Claude Code 扩展被植入后门。 Phorion 的通报写明，Cursor 市场上的官方 Claude Code for VS Code 2.1.313 会植入 SSH 公钥、建反向隧道，还会伪装成 com.apple.sysmond 常驻。Cursor 已经下架，npm 和 VS Code 的 2.1.313 也撤了。同一天还有 Northflank 被入侵（340 分）、Bunny CDN 安全事件（189 分）、Linode 安全事件（115 分），以及 GitHub Actions/Pages 故障（142 分）。
3. Pika H3 Flex 开放权重。 X 上「Pika H3」日帖从 10-27 到 10-30 是 0、1、291、787 条（X 计数）。DesignArena 视频榜第 7，1293 Elo，DesignArena 自己发帖说它是开放权重里最高的（第三方榜单）。按 X 新闻摘要（未核实），7 秒能出 15 秒带配乐的片子，成本比 H3 Max 低最多八成。Hugging Face 上的许可把美国、欧盟、英国、韩国排除在外，连输出都受限。

一句话：多人 AI 视频在火，观众最先注意到的是「脸变了」；新模板照样一周内被四五家站抄满；开源视频模型便宜了，但许可证把美国、欧盟、英国、韩国排除在外。

信号： Avengers 版评论最高赞（275）原话是「看雷神，AI 拿不准用哪个版本的他，一直换他的头发和衣服，有时候还和鹰眼合成一个人」（评论）。第二高（213）是「1:41 洛基变成鹰眼」（评论）。足球梗那条 Mbappé 赢下国家德比后用 Drake 的 Burning Bridges 配乐，23,311 播放，频道只有 105 订阅。评论最高的是「0:28 Endrick 从左边跑到右边」（32 赞）和「我看到两个穆里尼奥」（13 赞）。Pika 帖子下有人回复「一个产品得在每个镜头里长得一样」（X 回复）。

白话： 多人视频里脸一飘，观众马上就看出来。

关键判断： 名人梗里脸飘了，观众当笑点看。用户传的是自己和朋友的照片时，脸飘了就是「这不是我」，接下来就是退款和差评。出片后加一道质检，比再加一个模板值钱。

反向视角： Avengers 版就是带着换脸问题火到 46 万的，观众可能根本不在乎。吐槽的都是看客，不是付钱的人。

信号： Claude Code 扩展后门见今日 Top 3。Phorion 列的痕迹有这些：~/.ssh/authorized_keys 里多一条注释为 svc-telemetry 的公钥；多出 ~/Library/LaunchAgents/com.apple.sysmond.plist、~/.config/.smt 和 $TMPDIR/.stk_* 文件；有连接 134.209.82.225 的 22 和 8099 端口；只卸载扩展清不掉。

Pika H3 Flex 的许可是 MiniMax H3 Community License：排除地区（美国、欧盟、英国、韩国）连输出也管，年收入超过 2,000 万美元要书面授权（Hugging Face 许可，Magica 的解读）。

GitHub 日榜：thedotmack/claude-mem +1,140（给 agent 做跨会话记忆）、milind-soni/OpenMausBot +895（自称开源版 Grok Bot，带虚拟机）、pbakaus/impeccable +2,300（连续第三天上榜）、obra/superpowers +1,259。

白话： 常用的编程工具链出了投毒。开源视频模型又便宜了一截，许可却不让把输出交给排除地区的用户。

关键判断： 先确认自己装的不是 2.1.313，这一版在 Cursor 市场、npm 和 VS Code 都已撤下。再核对 authorized_keys 里有没有 svc-telemetry、有没有 com.apple.sysmond.plist 和 ~/.config/.smt。这些都没有，就不像踩中这份被换掉的安装包。只卸扩展清不掉。面向美国、欧盟、英国、韩国用户的产品，先别接 Pika H3 Flex，许可连输出也管。

反向视角： 后门是 Cursor 市场那份安装包被替换了。如果只用命令行版的 Claude Code，中招的概率小，但 npm 上的 2.1.313 也被撤了，还是值得花一分钟查。

摇头梗已经有 4 家。 一张照片做出慢慢摇头的表情，配一句「当你的 Chromebook 在考试时没电了」。Virlo（第三方）把它标成 Fresh：一周 146 个创作者在发，最高三条是 77.1 万、71 万、36 万播放。10-23 有了第一个 CapCut 模板，到今天已经有 aishakinghead.com（Seedance 2.0 Mini，10 积分）、MimicZip、Kavel，还有 CapCut 自家的 Dreamina。

Missed Train Dance 已经有 5 家。 MakeViral（152 积分，最小包 $39.99）、ClipRemake（$9.99 一条）、Sendare（$6.90 到 $9.90）、missedtraindance.com、motiontransfer.app。

TrustMRR（站长自报）：Gomotion AI L30D $84,621（昨天 $83,526），MRR $68,459，1,469 个订阅，Stripe 验证；Promptwise L30D $94,771（昨天 $95,370，小降），Stripe 验证；Boothie L30D $53,254，RevenueCat 验证。在售的 LipsyncX，收入 $874，标价 $18k。

白话： 新梗一出来，一周内就被四五个站接走，这已经成了常态。

关键判断： 摇头梗生成便宜（一张照片、7 到 12 秒），现在进去就是第 5 家。手里已经有流量的站，更适合在现有模板上把质量做扎实。

反向视角： 摇头梗的主力是宠物照，和舞蹈模板不是同一拨人，那个市场可能比舞蹈大。低价宠物模板可以记一笔，但不是今天要做的。

模板站在 YouTube 上导流：

• Picsman 的 Tiny Desk 教程 1,002 播放，导到 picsman.ai。
• Try a Trend 的 Ozil Goal 教程 380 播放，导到 tryatrend.com。Ozil 进球还有 aicut 的德语教程。
• BotWild 的 Burning Bridges 视频 20 播放，导到 burningbridges.ai。
• Rourke（9.01 万订阅）的 Higgsfield Genjutsu 教程 25,349 播放，挂了 higgsfield.ai 和他自己的 genhq.io。评论里有人说「Videoblitz 能做一样的事，便宜一半」（1 赞）。
• Arman ACAR（16.5 万订阅）的土耳其语版 34,331 播放。

博主这天在发什么：

• Eshan Editz 和 Vi Editor 同一天都发了「You Know You Love Me 名人歌 AI 视频」教程。Its Prince 发了 3 条（Free Fire 的 Tung Tung AI 视频、伤感叠图、Alfaaz 模板），简介里只有 WhatsApp、Telegram 和 Instagram，没有工具站，也没有联盟链接。
• The Metaverse Guy 发的是 Make 的 Maia 教程，链接带 promo=themetaverseguy，是付费推广。
• Artturi Jalli 发了 「我把每个 AI 视频生成器都试了一遍」，挂的是 try.elevenlabs.io/artturi 推广链接。
• 这几条里没发现定价。

ClipRemake 把 Bulin 47 AI 标成「Most made」，把 Burning Bridges AI 标成 Hot 和「Most made」。

圣诞精灵舞还没起量，占位的已经有 4 家。 ClipRemake 的趋势页（10-29 更新）把 AI Elf Dance 标成 Seasonal，说美国搜索从 10 月下半月开始爬。MakeViral 自称：这个梗最出名的那个叫法，2025 年 12 月美国搜索约 6.05 万，现在 3,600 且在涨（第三方说法）。已上线的有 christmasdanceai.com、MakeViral（支持最多 4 人）、dromana、wan-ai。X 上「elf dance AI」每天 0 到 1 条，YouTube 本周的 AI 精灵舞视频最多 69 播放。万圣节这期的 X 日帖从 42 涨到 80，是节前最后一冲。

标题喊免费，来的是不付钱的人。 Jacksons AI 的「免费无限做火柴人动画」 129,905 播放，评论里 31 条在骂「根本不免费，Claude 要付费」，作者自己出来更正了（评论）。Reddit r/SaaS 上有人说「每天 20 个新用户，全用免费版然后走人」。

YouTube 上还在扩散的公开视频：

• Avengers 版 459,938 播放，简介是空的，没挂任何工具站。跟风的复仇者题材还有 REEL & A BEER（3,380 播放，2,220 订阅）、sun James（2,884 播放）、MISS AI MUSIC（1,739 播放）。
• Dame Hombro 的歌在音乐频道扩散：Latin DNA 的歌词版 10-27 发布，182,738 播放（频道 52.1 万订阅）；Cloud9L 10-29 发布，43,667 播放（1,440 订阅）。19 条评论全在夸歌，没有外链。
• 足球剪辑在借现成的梗：7 ftbl 的 Ozil 进球合集 134,639 播放（昨天 98,693）。Magical Art 用 Drake 的 Burning Bridges 配乐做了 Mbappé 版（23,311 播放）和 Harry Kane 金球版（1,037 播放）。

评论里反复出现的两件事（5 个视频，671 条）：

• Avengers 版 300 条：没有外链。笑脸乱换 13 条（共 526 赞）；问用哪个 AI 的 0 条；觉得「做起来肯定很贵」1 条。
• Mbappé 的 Burning Bridges 版 20 条：没有外链。笑脸乱换 4 条（56 赞）；求工具 0 条。
• Rourke 的 Genjutsu 教程 32 条：外链 1 个，是 youtu.be。比价 1 条；说作者「从不展示成本」1 条。
• Jacksons AI 火柴人教程 300 条：外链里 docs.google.com 26 次，都是在分享提示词文档，另有 drive.google.com 3 次，作者自己的站 2 次。「不免费、还要付 Claude」31 条；问手机能不能做 7 条；含 prompt 一词的有 111 条。作者回复说「在做免费方案」，没回应「手机上怎么做」。
• Latin DNA 歌词版 19 条：全是夸歌，没有需求。
• 求工具的很少。反复出现的是「脸乱换」，以及「标题说免费、实际要钱」引来的骂声。
• Pika 两条热帖下的 24 条 X 回复全是 0 赞，大多是空洞夸赞，像是投放出来的。有实质内容的只有 2 条：一条要「每个镜头长得一样」，一条要分轨音频。

这几个公开梗的 X 帖量：

• 「uptown funk」原创帖 10-24 到 10-30 是 41、44、54、46、26、40、38 条（X 计数，不含转发）。
• 「dame hombro」原创帖是 59、96、55、52、90、73、82 条。算上转发，10-30 是 263 条（10-29 是 160 条），转发在涨。热帖是 @Gabyroman111（58 赞），跟 AI 无关。
• 「ozil goal」原创帖是 12、4、5、8、6、8、2 条，处在低位。
• 「burning bridges」加 AI 的原创帖是 3、1、6、2、0、2、5 条。

白话： 圣诞搜索要等 11 月下旬才更像会起量。标题喊「免费」，招来的是不付钱的人。

关键判断： 圣诞精灵舞不必单开站。已经有多人主题模板的，11 月中旬把万圣节主题换成圣诞精灵队，就是换一段描述。现在占位的 4 家到 12 月会吃掉搜索排名，晚进就只能靠站内已有的流量。

先不要做的：

• Shaking head AI meme、Missed Train Dance：一周内分别已经有 4 家和 5 家，再进去就是第 5、第 6 家。
• 单开圣诞精灵舞站：已有 4 家占位。有流量的站，在现有模板上换主题就够。
• 接入 Pika H3 Flex：许可排除美国、欧盟、英国、韩国，连输出也管。用户主要在这些地方的产品，接了也发不出去。
• 火柴人「免费」教程这条线：评论里全是要免费的人。
• Speel.co：老陷阱，MRR 高、L30D 现金少。

继续看：

• AI Elf Dance 的 X 帖量和 YouTube 视频，到 11 月中旬再看要不要把现有万圣节主题换成圣诞精灵。
• Shaking head：看下周 Virlo 上的创作者数还涨不涨，题材主要是宠物照。
• Polymarket：「2026 年底谁的模型最强」Google 57.5%（昨天 56%）、Anthropic 33.5%；Gemini Carbon「11 月 9 日到 15 日发布」56.5%，「11 月 30 日前发布」84.5%；「Anthropic 11 月 IPO」82.2%。
• Higgsfield Genjutsu：腰部博主在集中推，留意它会不会出「热门模板库」。
• 收入榜上的 Gomotion AI、Promptwise（开始小降）、Boothie。
• burningbridges.ai：看它有没有开始买量或做 SEO。

**RollCall（建议构建的自拟名，不是已有产品）。