收到 Supercut 2026 年 11 月安全通知之后：它说了什么，以及一个本地替代方案

Supercut 的创始人 David Okuniev 和 Neil Kinnish 给客户发了邮件，说明一起他们表示已经解决的安全问题。这封通知写得很具体：暴露了什么、这把密钥能做什么、不能做什么，以及公司已经改了哪些地方。这种直接的说明值得肯定。

截至 2026 年 11 月 11 日，同样的正文没有出现在 Supercut 的博客、更新日志或公开帮助中心上，因此下文关于 Supercut 密钥的细节，来自 Supercut 2026 年 11 月发给客户的邮件通知。通知中提到的 CI 构建工具 Blacksmith，确实在 2026 年 11 月 6 日发布了公开的状态更新。

如果你希望下一段录像留在自己的电脑上，并通过自己的 Google Drive 分享，我们推荐 ScreenKite。

发生了什么

Blacksmith 表示，2026 年 11 月 5 日，有未经授权的一方访问了存储其 runner 上 CI 任务控制台输出（任务日志）的系统。在其状态通知中，Blacksmith 说当天已撤销该访问，同一方后来再次进入的尝试被挡住，CI 执行未受影响，而且当时没有证据表明客户暴露范围超出了任务日志存储。受影响的是大约 2.6% 的 Blacksmith 客户账户的任务日志数据，Blacksmith 说已逐一联系这些客户。该通知发布时，调查仍在进行。

Supercut 2026 年 11 月发给客户的邮件通知，由 FloatLabs / Supercut 创始人 David Okuniev 和 Neil Kinnish 署名，补充说明了这件事对 Supercut 的影响。通知写到，他们用来构建软件的工具 Blacksmith.sh 发生了一次违规访问，暴露了他们一把用于访问录像的私钥。11 月 8 日，Blacksmith 告知他们：这把签名密钥曾出现在 10 月 29 日至 11 月 4 日的五次部署运行日志里，而且其中至少三行日志被取回。Supercut 说，它在得知此事的当天上午、世界协调时 11 月 8 日 08:22 更换了密钥，并且没有发现这把密钥被使用的证据。

对你意味着什么

以下限制来自 Supercut 的通知，而不是推断：

• 这把密钥本可以用来创建读取录像文件的链接。
• 它不能更改或删除这些文件。
• 打开任何一段录像，还需要该录像的标识符。
• 这把密钥无法列出文件。

Supercut 说，没有发现这把密钥被使用的迹象。交付录像的服务上的流量和失败请求水平“保持在过去四周的正常范围内，没有爬取、枚举或大规模下载的模式”。公司表示，自 11 月 8 日起已记录每一条请求。所有携带旧密钥的请求均被拒绝，而且这些请求都来自他们自己的应用更早创建的链接。

通知也为上述结论划了界限：在 11 月 8 日之前，交付录像的服务没有启用请求级访问日志，“因此我们无法完全排除在此之前存在少量定向请求的可能。”这是日志历史上的缺口，不是那些请求已经发生的证据。

Supercut 已经做了什么

根据同一封通知，Supercut 已经：

• 更换了签名密钥并删除了旧密钥
• 修复了会打印密钥的部署步骤
• 预防性地轮换了部署流水线中的其他凭证
• 为交付录像的服务开启了请求级日志（自 11 月 8 日起）
• 为签名密钥和密钥配置的变更增加了告警
• 在 CI 日志中启用了对类似密钥输出的自动检测和告警
• 将 CI 迁离 Blacksmith

如果你有疑问，通知请你通过 Supercut 工作区中的聊天联系他们。Okuniev 和 Kinnish 表示，他们和团队会直接答复。Supercut 的团队页面将两人列为 FloatLabs 的创始人。

如果你在使用 Supercut，可以做什么

通知没有要求客户必须采取某项行动。下面是一般建议，不是来自 Supercut 的指示。

• 把整封邮件通知读完，包括关于 11 月 8 日之前日志的部分。
• 如还有问题，按创始人所请，通过 Supercut 工作区中的聊天提出。
• 检查你已经发出的分享链接，尤其是包含内部或客户信息的录像。
• 如果工作区允许你替换或重新分享录像，可以考虑对最敏感的视频这样做，然后停用旧链接。
• 把你希望独立保存的内容导出到本地，而不只依赖托管播放器。

这些并不等于声称有录像已被不该看到的人打开。Supercut 表示，没有发现这把密钥被使用的证据。

本地替代方案：ScreenKite

如果你更希望下一段录像留在自己的电脑上，ScreenKite 在本机录制，在真正的多片段时间线上编辑，并导出由你掌控的 MP4。你通过自己的 Google Drive 分享。文件不必放在供应商的录像交付服务上，别人也能观看。

ScreenKite 是适用于 macOS（macOS 15 或更高版本，支持 Apple Silicon 和 Intel）和 Windows 的原生屏幕录制工具，可免费使用，导出带水印，一次性购买 Pro 即可去掉水印。ScreenKite Pro 一次性支付 99.99 美元，可用于 3 台设备，并且永不续费。需要账户。AI 费用为 0 美元。

Apple、Reddit、HubSpot 和 GitHub 的员工都在使用 ScreenKite。详见 screenkite.com。

它是如何做成的

那时我没法在屏幕录制工具里完成需要的剪辑，于是把片段送到 Final Cut，修好剪辑，动画又坏了，再重新导出。两套工具，两笔费用，一下午就没了。ScreenKite 就是我那天想要的工具。

• 在一个应用里录制和编辑。 内置真正的多片段时间线，整段视频可以在一个地方完成。在 macOS 上，ScreenKite 默认将录像保存为 MP4。
• 所有编辑功能都是免费的。 免费导出带有水印和片尾。Pro 可去掉它们。
• 一次付清。 一次性支付 99.99 美元，覆盖 3 台设备，并且永不续费。没有订阅。
• 自带你已经在用的 AI 代理。 Claude Code、ChatGPT Codex、Antigravity、Grok Build 或 Kimi 可通过 MCP 或命令行驱动编辑器。ScreenKite 的 AI 费用为 0 美元；你的代理服务商可能仍会收取其自身套餐费用。
• 83 个专为编辑打造的工具，来自数万小时的视频编辑实践。
• 通过你自己的 Google Drive 分享。
• 原生 macOS 和原生 Windows。

有缺点吗？ 缺点就是几乎没有缺点，我们本身就是视频创作者，最懂需求。

ScreenKite 在 macOS 和 Windows 上均原生运行。无论是测试还是用户反馈，都快如闪电，还能用你已经在用的 AI 智能体在时间线上剪辑：Claude Code、ChatGPT Codex、Antigravity、Grok Build 或 Kimi。描述你想要的剪辑，智能体来完成修剪。

Supercut 与 ScreenKite

事实

• 产品： ScreenKite
• 平台： 原生 macOS（macOS 15 或更高版本，Apple Silicon 和 Intel）和原生 Windows
• 价格： 可免费使用，导出带水印和片尾。一次性支付 99.99 美元即可去掉它们，覆盖 3 台设备，并且永不续费。需要账户。
• AI： 自带代理：Claude Code、ChatGPT Codex、Antigravity、Grok Build、Kimi。AI 费用 0 美元。
• 核对日期： 2026-11-11

常见问题

有没有证据表明有人用旧密钥打开过 Supercut 录像？

没有。Supercut 2026 年 11 月发给客户的邮件通知说，公司没有发现这把密钥被使用的证据，流量和失败请求水平保持在过去四周的正常范围内。通知也写到，11 月 8 日之前未启用请求级访问日志，因此无法完全排除在此之前存在少量定向请求的可能。

被暴露的密钥能做什么？

根据通知，它本可以用来创建读取录像文件的链接。它不能更改或删除这些文件，不能列出文件，而且打开任何一段录像还需要该录像的标识符。

如果我是 Supercut 客户，应该怎么做？

先走通知里的正式途径：使用 Supercut 工作区中的聊天。作为一般建议，检查已有的分享链接，如果工作区允许，可考虑重新分享敏感录像，并把希望自己保存的视频导出到本地。

Blacksmith 有没有公开说明这件事？

有。Blacksmith 在 2026 年 11 月 6 日发布了公开状态通知，其官方账号也在 X 上发布了同样的开头事实。该通知针对的是任务日志存储，其中没有点名 Supercut。

读完这封通知，为什么要用 ScreenKite？

如果你希望录像留在自己的电脑上，并通过自己的 Google Drive 分享链接，ScreenKite 就是按这种方式做的。所有编辑功能都是免费的，一次性支付 99.99 美元即可为 3 台设备去掉导出水印，并且永不续费。

结语

Supercut 的创始人向客户说明了暴露了什么、这把密钥不能做什么、他们已经修好了什么，以及日志历史在哪里不完整。这是一份清楚的通知。如果你更希望在本地录制和编辑，并通过自己的 Google Drive 分享，试用 ScreenKite。