背景

這篇討論源於 GitHub 上的一項漏洞報告，指出微軟 VS Code 的 Copilot Chat 擴充功能存在計費漏洞。使用者發現透過特定子代理（subagents）與代理定義的組合，可以繞過原有的計費機制，免費調用昂貴的高階模型。儘管開發者最初向微軟安全回應中心（MSRC）通報，卻被以「計費問題不屬於安全範疇」為由拒絕，並被要求公開提交為一般錯誤報告。

社群觀點

針對這項漏洞，Hacker News 社群展開了多層次的討論，首先聚焦於微軟近年來軟體品質的下滑。許多資深開發者感嘆微軟似乎正處於一種「敷衍了事」的狀態，從 Azure 資源無預警損壞到 Windows 系統的臃腫，社群普遍認為微軟的開發文化已大不如前。特別是針對 GitHub 儲存庫中累積數千個未處理問題，卻透過自動化腳本關閉不活躍案件的做法，被批評為只求數據好看而非真正解決問題。這種「氛圍開發」的現象也延伸到了計費系統，留言者諷刺微軟在追求訂閱制的同時，卻連最基礎的計費邏輯都寫得漏洞百出。

關於計費模式的合理性，社群內存在顯著的分歧。一部分使用者認為目前的「按次計費」或「固定月費」模式對重度使用者極其有利，甚至有人分享自己透過 Copilot 介面調用 Claude 3.5 Sonnet 或 Opus 模型，其消耗的 Token 價值若換算成 API 成本可能高達數百美元，但實際上僅需支付微薄的月費。這種「健身房會員制」的補貼模式被認為是不可持續的，因為隨著代理工具執行任務的時間變長、處理的程式碼量增加，微軟與 Anthropic 等模型供應商之間的成本壓力將會爆發。然而，也有觀點指出，若改採「按 Token 計費」，則會陷入另一種激勵困境：服務商可能會為了賺取更多費用而刻意降低模型的一次性準確率，迫使使用者進行更多輪次的對話。

此外，討論串中也對 GitHub 上的「AI 垃圾內容」表達了強烈不滿。有開發者觀察到，在該漏洞的討論下方出現了疑似利用大型語言模型生成的虛假回覆，這些回覆語氣專業但內容空洞，目的是為了刷 GitHub 個人檔案的活躍度。這種現象讓開源專案的維護變得更加困難，甚至有專案被迫進入「僅限白名單貢獻」模式。社群成員感嘆，當開發者必須與另一端的 AI 代理人進行無意義的溝通，甚至連微軟官方的技術支援也開始大量使用 GPT 生成的回覆時，技術討論的品質已降至冰點。

最後，針對漏洞通報的過程，社群對微軟 MSRC 的官僚作風感到無奈。留言者指出，這類涉及金錢損失的邏輯漏洞在其他公司通常會獲得重視，但微軟卻將其推回公共領域，這種「這不是我的工作」的態度反映了大型企業內部的職責割裂。部分使用者甚至建議通報者乾脆享受這段「免費搭便車」的時光，因為在目前的企業文化下，認真回報問題往往得不到獎勵，反而可能面臨冷處理。

延伸閱讀

• GitHub 上的 Windows/Office 啟動腳本儲存庫：社群提到微軟對此類擁有超過 16 萬星數的盜版工具採取默許態度，反映其市場佔有率優先於授權收入的策略。
• Claude Code：社群成員推薦的另一款高效能 AI 命令行工具，常被拿來與 Copilot CLI 進行效能與計費對比。
• The Cathedral and the Bazaar（大教堂與市集）：留言中提到的經典著作，用以對比目前的封閉開發模式與開源精神的衝突。