Switch 2 越狱：黑客如何借助 AI 和一款 25 美元的应用

Switch 2 的安全防护已被攻破。10 月 22 日，研究人员 pepsipu 展示了一种软件越狱方式，可让非官方程序获得系统级访问权限。它不需要改装芯片：攻击入口是 SmileBASIC 4，这款编程应用售价 24.99 美元，在任天堂自家的 eShop 上销售。为了展示运行效果，pepsipu 分享了一段《Mario Kart World》改版视频，其中出现了 Peter Griffin、初音未来和 Walter White。

Pepsipu 表示，这次越狱前后花了两周时间，并借助了 OpenAI 的 Codex。这并不意味着 AI 仅凭一次提示就独自破解了主机。但这确实引出了一个问题：AI 能为经验丰富的研究人员节省多少工夫？10 月发生的其他安全事件也引发了人们对“黑色十月”的讨论，不过其中许多事件与 AI 并无已知关联。

我将探讨这名研究人员做了什么、Codex 为 Mario Kart World 改版提供了哪些帮助，以及其他案例揭示了 AI 在黑客行动中的作用。接下来，我还会看看主机厂商如何应对，以及为什么安全更新和封禁有时会影响到那些从未改装过主机的玩家。

Switch 2 发售近一年半后，一名研究人员展示了如何在这台主机上运行拥有系统访问权限的第三方软件。这种名为 ns2jb 的越狱完全基于软件实现：无需焊接，也不需要改装芯片；越狱发布时，最新固件版本 23.0.1 也能运行。

攻击入口是 SmileBASIC 4，这是一款用 BASIC 编程语言制作简单游戏的应用。它最初为初代 Switch 推出，并通过向下兼容在新主机上运行。在美国 eShop 上，它售价 24.99 美元。这意味着，破解任天堂最新主机的关键，就摆在任天堂自家的商店里，和马力欧游戏并排销售。

演示内容刻意做得很搞笑：pepsipu 在 X 上发布了一段视频，Peter Griffin、初音未来、Walter White 等与任天堂毫无关联的角色，在《Mario Kart World》的赛道上互相竞速。越狱消息在同一天 传开 ，但故事中最重要的部分并未出现在视频里。

据 XDA 引述 作者的话，越狱本身花了大约两周时间认真开发，而 AI 只用一天就制作出了《Mario Kart World》改版。不过，要判断 AI 在破解过程中究竟有多大功劳，我们得先看看 pepsipu 的工作过程。

最广为流传的说法听起来像个笑话。X 用户 chasm 发布的一条热门帖子获得了超过 20 万次浏览，并称作者给 AI 的提示原文就是“设定一个目标：越狱 Switch 2。不要犯错。”这句话确实出现在 pepsipu 的博客上，但只是配在一张照片下方的搞笑文字；作者紧接着就解释说：“不，那只是句玩笑话。”真实过程要复杂得多。

首先是前期准备。作者围绕初代 Switch 和 Switch 2 搭建了一个测试环境，“理想情况下，让 Codex 不用我出手也能越狱 Switch 2。”简单来说，就是有人给 AI 提供了一种操作主机按键、查看屏幕内容的方法。要搭建这样的环境，需要对主机有深入了解。

其次，AI 并没有一开始就成功。据作者介绍，Codex 没能达成第一个目标；另一个尝试通过主机内置网页浏览器入侵的智能体也毫无进展。与此同时，另一个智能体在研究 SmileBASIC 时发现了其中的一个漏洞，为 AI 提供了进入系统的第一个切入点。

最后阶段，人类与 AI 协同工作。作者给多个 Codex 实例设定了进入主机系统模块的目标。与此同时，pepsipu 研究了系统这部分的运作方式，并导出数据供 AI 分析。Codex 的发现也被用于攻击的这一环节；作者在描述成果时使用了“我们”一词。不过，这种越狱仍有局限：每次重启都会切断系统访问权限，因此必须重新运行漏洞利用程序。

作者列出了这种越狱带来的可能性：运行自制软件（爱好者制作的非官方软件）、研究和改装 Switch 2 游戏，以及备份存档。博客没有提到盗版，但 Kotaku 指出，只要能运行自制软件，就有可能运行盗版游戏。知名主机安全研究员 Gezine 并未声称自己亲自测试过这种越狱。他只在 X 上表示自己与作者交流过，并认为这项工作“看起来靠谱”。

因此，这里的 AI 更像是一名勤奋的学徒，而人类则是经验丰富的工匠：AI 能比人更快地尝试各种方案，但工匠负责搭建学徒的工作台，并决定下一步往哪里走。接下来的问题是，这种做法比过去人们不借助 AI 破解主机究竟快了多少。

“两周”这个数字听起来像是在给任天堂的安全防护下结论，但它指的是 pepsipu 声称自己花了多久完成开发，而不是主机撑了多久才被攻破。Switch 2 于 2025 年 6 月 5 日发售，ns2jb 出现前大约撑了 16 个半月。发售当天就有人展示了一种有限的漏洞利用方式，能让未经授权的图像显示在屏幕上，但距离运行拥有系统访问权限的第三方软件还差得很远。

相比之下，初代 Switch 发售不到两周，就有人展示了通过内置浏览器执行代码的方式。2018 年 4 月，也就是发售近 14 个月后，研究人员披露了 Nvidia Tegra X1 芯片中的一个漏洞；对于已经售出的主机，这个漏洞无法通过更新修复。PS4 在上市两年后于黑客大会上运行了 Linux，PS3 在发售三年多后被攻破，而 Xbox One 达到类似程度则花了十多年。

所以，借助 AI 破解的 Switch 2，实际上比完全没有 AI 参与的初代 Switch 坚持得更久。这是否意味着 AI 毫无影响？并非如此：它改变的是谁能完成这类工作，以及完成工作需要多长时间。广为人知的 PS4 和初代 Switch 破解分别由 fail0verflow 和 ReSwitched 团队完成；而这次据作者所说，是一个人借助 AI 在大约两周内完成的。

直接比较不同主机的破解时间并不容易，因为每台主机的防护方式各不相同，而且“越狱”涵盖的情况也大不相同。不过，只要看看 PlayStation 这边的情况，就能发现 AI 已经在哪些方面成为实用工具。

2026 年秋季，PS5 自制软件接连推出。公开版 Relapse 越狱于 9 月 29 日发布，适用于固件 7.00 至 13.60，也就是说，适用于尚未更新到 9 月中旬发布的固件 14.00 的主机。我们在文章 《PS5 越狱：Relapse 能做什么，你又要承担哪些风险》

中详细介绍过它。

我们找到的消息来源都没有将 Relapse 本身与 AI 联系起来。我们也没有找到证据，能证实那些声称有人用 AI 在几周内攻破 PS5 安全防护的热门帖子；explainx.ai 的一篇文章则直接称这一说法尚未得到证实。AI 是在主机已经被攻破、人们开始为其开发新软件后才参与进来的。

最明显的例子，是开发者 Sword 为已越狱的 PS5 制作的一款 PS2 模拟器。10 月，这款模拟器新增了 运行 PS2 光盘的支持，包括直接读取主机光驱中的光盘。该项目公开的提交记录显示，Anthropic 的 AI Claude 几乎在每次提交中都被列为共同作者。不过，模拟器本身以 PCSX2 为基础；人们开发这款模拟器已经超过 20 年，因此 AI 是在别人的成果之上继续开发。

一个月内又出现了三个类似案例，而且都提到了 Claude。据 Tom’s Hardware 报道，有人部分借助 Claude 为已越狱的 PS5 制作了 Xbox 云游戏应用。德国媒体 PCGH 在 10 月 18 日的一篇文章中统计称，在用于让 PC 运行 PS5 游戏的程序 AnyPS5 里，标注了 AI 共同作者的改动中，有 97% 由 Claude 模型签名。另外，TechSpot 报道称，PS5 的盗版“商店”Overdrive 也是借助 Claude 搭建的；该商店在收到索尼律师函后关闭，不过索尼和商店创建者都没有证实这些说法。

类似情况也发生在主机之外。Kotaku 报道称 ，短短几周内就出现了“数百款”模拟器和老游戏的浏览器移植版，从《Halo: CE》到 《GTA: Vice City》都有；该媒体还将这波热潮与 Claude Opus 5.5 联系起来。“这是知识产权保护领域的打地鼠游戏，规模之大，我认为自盗版 DVD 兴起以来还未曾见过，”Kotaku 的 Lewis Parker 写道。

AI 浪潮也影响到了那些花费多年手动重构老游戏源代码的爱好者：社区主要项目目录 decomp.dev 已关闭索引。公告称，从 2026 年初 Opus 4.6 和 GPT-5.4 发布起，这些模型似乎已经熟悉社区使用的工具，但结果仍需要“进行大量人工清理”。更新近一些的模型，例如 GPT-6-Astra，则“进一步改变了局面”。目前，这些情况都与模拟器和老游戏有关；但到了 10 月，AI 也出现在影响整个互联网的事件中。

10 月 22 日，迷因账号 AISafetyMemes 发布了一条浏览量超过 200 万的帖子，称此前 48 小时是网络安全史上最严峻的时期。帖子列出了 27 起事件，从两个 PHP 漏洞到印度最大银行的客户数据泄露都有。据 404 Media报道，确实有一些安全专业人士开始把当时的情况称为“黑色十月”。

清单上几乎每一项都对应真实事件，但并非全都发生在那 48 小时内。至少有十起发生得更早：针对 AOMEI 软件更新服务器的攻击从 4 月持续到 7 月；另一起涉及加利福尼亚医疗数据的事件则可以追溯到 2025 年 10 月。换言之，这份清单汇总了两三周内的报道，其中一些事件实际上早已发生。

接下来要问的是 AI 在其中扮演了什么角色。27 起事件中，只有 6 起与 AI 存在直接联系；根据公开信息，只有其中 2 起涉及 AI 协助发现漏洞或实施攻击。另外 4 起则是 AI 产品本身遭到攻击或发生数据泄露，或者攻击者针对 AI 服务的访问密钥下手。话虽如此，遭遇上述四起事件之一的云平台 Railway 在初步报告中指出，攻击者似乎既掌握了移除安全防护限制的 AI 模型，也拥有大量计算资源。因此，AI 可能也在那次攻击中发挥了作用。正如 TechCrunch 所指出的，清单上的许多事件彼此毫无关联。

两起事件中，影响较大的是 PHP2Shell：PHP 编程语言中存在两个严重漏洞。据 W3Techs统计，在服务器端语言已知的网站中，约有 70% 使用 PHP。两个漏洞的严重性评级均为 9.2 （满分 10 分），修复补丁于 10 月 21 日发布。OpenAI 表示，安全公司 Calif 在 OpenAI 针对开源项目开展的漏洞搜寻计划中，使用 GPT-5.6 Sol 模型发现了其中一个漏洞，并提前通知了 PHP 开发者。Wiz 的研究人员则独立发现了两个漏洞；据 404 Media 报道，他们也借助了 AI。荷兰、芬兰、法国和德国的政府网站一度被迫下线，美国国家安全局和日本当局则敦促所有人立即更新。

玩家也受到了影响。10 月 21 日，初代 Switch、Switch 2 和 Pokémon HOME 的在线服务因维护而中断，不过 Nintendo 并未确认 原因是 PHP 漏洞。Cygames 则对此说得更明确： Umamusume: Pretty Derby 服务器的维护公告直接提到了 PHP 漏洞，Granblue Fantasy 和 Shadowverse: Worlds Beyond 的服务器也暂时下线。同一场 PHP 风波期间，GOG 也离线了数小时。截至 10 月 22 日，尚无已确认的 PHP2Shell 漏洞成功利用案例。不过就在当天，荷兰国家网络安全中心（NCSC） 告诉 公共广播机构 NOS，他们已收到攻击得手的初步迹象，但没有透露具体情况。

第二起事件更令人担忧。据 Reuters报道，从 9 月下旬开始，一名黑客利用开源 AI 平台 Cairn 上的 AI 代理，试图侵入 1,200 多个网站，并成功攻入 100 多家公司的站点。受害者包括农机制造商 John Deere。发现这些攻击的研究人员估计，这些代理似乎结合使用了中国的 DeepSeek 模型和 Anthropic 的 Claude Code 工具。据同一位研究人员估算，AI 成本约为 5,000 美元，平均每次成功入侵约 50 美元。Reuters 无法确认有多少数据遭到窃取；John Deere 则表示，“没有迹象表明敏感信息遭到访问。”

因此，“黑色十月”这份清单需要谨慎看待：它把彼此无关的事件拼在了一起，而且从公开资料来看，只有少数事件涉及 AI。但正是这少数案例，推动了一场双方都有道理的争论。

一方发出警告，其中一些声音确实举足轻重。404 Media 引述的帖子中，约翰斯·霍普金斯大学密码学家兼教授 Matthew Green 将整个互联网称为“干燥的引火物”，并写道：“唯一让它还没烧起来的，是青少年还没找到火柴。”发现 Cairn 相关攻击的 NorForge 研究员 Snorre Fagerland 则这样形容：“现在已经是一个全新的世界了。”

另一方认为，大多数警报不过是噪音。一项 研究 分析了针对 Java 漏洞、由 AI 编写的利用程序（利用安全漏洞的程序），作者对代码进行了人工检查。该论文 2 月发布的首个版本显示，所有这类程序中有 71.5% 都无效，其中一些甚至通过了自动化检查。9 月更新的版本采用了不同的方法，但结论相近：116 个通过自动验证的程序中，只有 65 个通过了第二轮检查。今年 1 月，开源项目 curl 的创始人 Daniel Stenberg 关闭了项目的漏洞赏金计划。Stenberg 解释说，“关闭赏金计划的主要目的，是消除人们提交垃圾内容的动机”，不管这些内容是否由 AI 生成。此前，该项目收到大量低质量报告，其中一些是在 AI 协助下编写的。

我认为，双方争论的重点都错了。AI 还不是那种只靠一个提示词就能入侵游戏机的独行黑客，也不是只会产出垃圾内容的空洞噱头。对于本来就懂得如何实施黑客攻击的人来说，它是一种效率加速器。据 ns2jb 的作者自述，他们借助 AI 约两周就完成了这项工作，而 PS4 和初代 Switch 的破解则是由团队完成的。至于使用 AI 代理的黑客，Fagerland 估计，平均攻破一个网站的 AI 成本约为 50 美元，还不到一款新游戏的价格。Trail of Bits 首席执行官 Dan Guido 也持相同看法；这家公司本身也参与了 OpenAI 的漏洞搜寻计划。据 Guido 介绍，Trail of Bits 针对 PHP 漏洞开发出了一种可用的攻击方式：Will Tan“用 Codex 一天就搭建完成，背后依托的是约 10 年的系统安全和漏洞研究经验”。Guido 写道：“AI 加快了漏洞利用程序的开发”，但“将漏洞转化为 shell 仍然需要专业技能”，而“AI 能让这种专业技能发挥出更大效用”。

这就引出了对玩家而言最重要的后果。黑客攻击成本降低后，企业很可能会采取更强硬的防御措施，而遭殃的可能是普通主机玩家。从 Nintendo 对待那些不借助 AI 破解主机的人的方式，就能看出这种防御会是什么样子。

最广为人知的案例涉及 Team Xecuter。该组织曾出售用于在初代 Switch 上运行非官方代码的硬件和软件。其最知名成员、加拿大人 Gary Bowser 于 2022 年 2 月被判处 40 个月监禁。Bowser 对两项指控认罪，分别涉及合谋规避技术保护措施，以及交易用于规避保护措施的设备；如今他还欠 Nintendo 1,450 万美元：刑事案件罚款 450 万美元，民事诉讼赔偿 1,000 万美元。

有一个数字能说明 Nintendo 实际收到了多少钱。2023 年 4 月，Bowser 表示 ，他在狱中靠劳动收入支付了 175 美元，未来收入最多可能有 25% 至 30% 被扣押。照这个速度，Bowser 显然得为此偿还一辈子。

接下来，Nintendo 将矛头指向模拟器。2024 年 2 月，该公司起诉了 Yuzu 的开发者。Nintendo 声称这款模拟器让盗版行为“达到了惊人的规模”，一周之内双方就达成和解：向 Nintendo 支付 240 万美元，并关闭模拟器。此案没有经过实体审理，因此模拟是否合法的问题仍无定论。同年 10 月，Ryujinx 模拟器在 Nintendo 联系其主开发者后关闭，并未遭到起诉。

此后，诉讼对象转向设备销售者和盗版游戏分销者。MIG Switch（一款用于运行复制版游戏的卡带）的销售者同意接受 200 万美元的判决，该案于 2025 年 9 月结案。2026 年 9 月 23 日，法院又 判令 r/SwitchPirates 社区的一名版主向 Nintendo 支付 450 万美元，即每款游戏 15 万美元，共计 30 款。被告从未回应诉讼，因此法院作出了缺席判决。

这些案件针对的都是设备销售者、模拟器开发者和盗版游戏分销者，没有一起直接影响到守法购买游戏的玩家。但 Nintendo 还有一种手段，能波及每一位主机用户。

自 2025 年 5 月起，北美地区的 Nintendo Account 用户协议允许公司对违规行为作出回应，例如未经授权改装主机。正如我们当时 报道 的，Nintendo 可以让在线服务或设备本身“永久全部或部分无法使用”。协议并未说明“无法使用”究竟意味着什么。不得不说，这实在方便：主机在发现它并不完全属于你之前，才算是你的。

玩家在 2025 年 6 月亲眼见识了这一规定如何落实。插入 MIG 卡的 Switch 2 用户称，他们无法使用 eShop、在线游戏和云存档，但主机离线时仍能正常运行。据用户报告，购买了初代 Switch 二手卡带的玩家也被卷入封禁，其中一人直到出示购买凭证后才解封。

截至 10 月 29 日，Nintendo 尚未就越狱一事发表公开声明；与此同时，SmileBASIC 4 已在北美、欧洲和日本下架。Game*Spark 确认，该游戏于 10 月 23 日已无法在日本购买。Switch 2 最新系统固件仍为 23.0.1，至今尚未发布修复这些漏洞的系统更新。下架该应用只能限制用户接触目前的漏洞利用方式，并不能修复根本缺陷。固件补丁则可能让安装补丁的主机无法再使用这一版本的越狱方式。

索尼一直在发布安全更新，却很少作出说明。PS5 固件 14.10 于 10 月 1 日推出，10 月 19 日，Gezine 展示了如何在该版本中访问隐藏的调试菜单。他还指出，在固件 14.xx 上，旧的可执行文件提取方法已经失效。固件 14.20 随后于 10 月 21 日推出，截至 10 月 29 日仍是最新版本。官方更新说明只提到改进了部分画面中的消息和易用性。与此同时，研究人员 zecoxao 宣布了针对固件 14.00 和 14.10 的漏洞利用程序 Prolapse。10 月 26 日，他发布了初步代码，并明确标注为无法运行；可用的公开版本至今尚未发布。有关 GTA 6 将要求固件 14.10 或更高版本的报道，也仍未得到 Rockstar 或索尼的证实。

现在想象一下：你在商店买了一台 Switch 2，从没试过破解，只是在晚上玩玩《马力欧卡丁车 世界》。这一切会对你有什么影响？目前还没有，但 Reddit 上的玩家已经开始描述行业可能的应对方式：“全都改成云游戏。消费者不再拥有实体硬件或软件。……AI毁了一切。”这条由 Ragnar_Dragonfyre 发布在 Switch 2 越狱讨论帖中的 评论 （该帖获得了近 8000 个赞），很容易被当成偏执之言一笑置之，但并非毫无根据。

破解越容易，厂商就越有动力要求每台主机都联网检查、在怀疑时封禁用户，并利用同一项权利来让设备无法使用。二手卡带买家的经历表明，什么都没做错的人也可能在这些检查中遭殃。玩家也提出了一个更冷静的论点：初代 Switch 早就很容易被模拟，但它仍然成为史上销量第二高的主机，所以盗版并没有单独摧毁任天堂的生意。

主机遭到破解后，今年秋天最关键的问题似乎是厂商会采取多严厉的措施，以及哪些人会受到影响。任天堂一旦通过系统更新或新一轮封禁回应 ns2jb，很多事情就会明朗起来。

Switch 2 坚守了近一年半才被攻破，而这次越狱是由一位经验丰富的研究人员与 Codex 合作完成的。他搭建了测试环境、分配任务，并与 AI 协作，让漏洞利用程序成功运行。

除了主机之外，网站遭攻击、数据泄露以及在线服务漏洞的相关报道，也引发了人们对“黑色十月”的讨论。网上疯传的事件清单夸大了 AI 的参与程度，但个别已确认的案例仍揭示了变化：研究人员可以把部分过去必须亲自完成的调查和编程工作交给 AI。

对玩家来说，后果取决于厂商如何应对。攻击成本降低，可能让厂商更有理由要求定期联网检查、施加新的限制并封禁更多用户。玩家最终可能因为更严格的安全措施而付出代价，失去对自己已经拥有的主机的控制权。

相比 AI 本身，这种应对方式更让我担忧。任天堂已经在北美用户协议中保留了因违规而让设备无法使用的权利，二手卡带买家也报告过无法再使用在线服务的情况。这些事件早于 ns2jb，但它们表明，在打击行动中，哪些人可能会遭殃。厂商有权保护自己的平台，但遵守规则的玩家不应该替别人的行为买单。

我们回答了关于 Switch 2 越狱及 AI 在其中所起作用的常见问题。

越狱了，但有一些限制。2026 年 10 月 22 日，研究人员 pepsipu 公布了 ns2jb 越狱方案，可在固件 23.0.1 上以系统权限运行自制软件。每次重启后越狱都会失效，因此不能称为自制固件。

截至 2026 年 10 月 24 日，Switch 2 还没有永久性的自制固件（CFW），每次重启后都必须重新运行 ns2jb。任天堂可以通过系统更新修补该漏洞。据报道，越狱所使用的入口应用 SmileBASIC 4 已在美国和欧洲下架，但日本商店的相关消息说法不一。此外，任天堂北美账户用户协议规定，如果用户违反规则，任天堂可以封锁在线服务，甚至让设备本身无法使用。

不是。根据越狱作者的说法，寻找漏洞的过程是与 OpenAI 的 Codex 智能体合作完成的：AI 找到了 SmileBASIC 漏洞，为进入系统提供了第一个入口，并编写了《马力欧卡丁车 世界》的模组。但 pepsipu 为 AI 搭建了环境、分配了任务，并在最后的系统级阶段与其协同工作；据 pepsipu 所说，整个越狱过程花了大约两周。博客上确实出现了“毫无差错”的说法，但那只是玩笑式的配文，作者随后在紧接着发布的编辑说明中写道：“不，那只是个傻乎乎的配文。”

有可能。越狱作者提到的是自制软件、模组和存档备份，并未提及盗版。Kotaku 指出，只要能运行自制游戏，就有可能运行盗版游戏。不过目前每次重启后越狱都会失效。

从技术层面来说，可以。自 2025 年 5 月起，任天堂北美账户协议规定，若用户违反规则，公司可以让服务或设备“全部或部分永久无法使用”。2025 年夏季，持有 MIG 卡的 Switch 2 用户报告称自己被封锁了在线功能，但主机仍可离线使用。

没有相关证实。目前可查到的资料并未将针对固件 7.00–13.60 的公开版 Relapse 越狱与 AI 联系起来。AI 工具，尤其是 Claude，则与一些用于已越狱主机的软件有关：PS2 模拟器、Xbox 云游戏应用，以及据称存在的盗版“商店”。

这是社交媒体和部分安全专业人士对 2026 年 10 月一波重大漏洞与攻击报道的称呼。焦点是两个严重的 PHP 漏洞；据 OpenAI 称，它的模型帮助发现了这些漏洞。不过，网上疯传的 27 起事件清单夸大了情况：其中许多事件发生在清单声称涵盖的 48 小时之前，而且只有六起与 AI 有直接关联。