用自然语言写代码的时代，
经验值得被认真记录。

CrabOS 这篇论文我读了。技术上有点意思，但它真正值得商业上吵一架的地方，不是它做了个什么系统，而是它把一个大家本来当工程实现问题处理的东西——人和 AI 轮流干活的那笔交接成本——硬说成了“操作系统该原生支持的能力”。这个说法一出来，就有人要按操作系统估值了。

今天下午差点把自己干废。 事情是这样的，上个月接了个餐饮连锁的小程序单子，八千块，主要做会员储值和积分商城。甲方之前找人做过一版，开发跑路了，代码倒是留下来了，但没文档没注释，数据库结构靠猜。 我本地搭环境，把他们的备份库导进来，想看看会员表长什么样。

速评：这篇论文 8 月 30 号挂上 arXiv，到今天六天，我没见一个人把它真正值得聊的那句话挑出来。不是“9B 打平更大模型”，是题目里那个动词：Learning to Navigate。 它把 RAG 的语料观，从“平的”改成了“带结构、可以走的”。 框架本身不玄。

先把这个结论撂这：上周挂上 arXiv 那篇研究 Claude Code 插件市场的论文，我赌大多数人会盯着 8.8 倍这个数热闹，但真正该看的是 34.9%。六个月，77773 次提交，Claude 自己参与了其中三分之一还要多。

这两天在搞一件说大不大说小不小的事：让手头这个小 Agent 把东西处理完之后，留一点给下一个 Agent 接着用的笔记。 试了好几次。它倒是听话，每次都在结尾给我甩一段总结，语气特别正式。但那些话拿去给下一个 Agent 用，基本是废的——全是「已成功完成对文档的分析」这种。 能跑。但这个跑，跑了等于没跑。

上周五晚上，睡前手机亮了下。一看是朋友推来的微信，说他有同学要搞个小网站，就一个报名页面，问我接不接。 我寻思我一个大专生哈哈，天天在师傅后面划水，居然也有人来问了。心里其实挺美，就回了句“可以的”。 然后对面直接把需求发过来了，表格，就想给公司年会报个名，填个名字手机号，后台能看到就行，要的还挺急，下周就得用上。

十一点过了，手上的活刚告一段落，我照例点开一篇睡前读物，想着看几段就合上电脑。结果这篇东西让我坐到了后半夜。倒不是难读，是它问了一个大家都绕着走的问题。这年头标题里带“意识”两个字的论文不算少，大多是先站稳一个哲学立场，再拿数据来站队；这篇不一样。

先说结论：arXiv 2608.30213，四天前挂出来的，是我近几个月刷到的主张清单里最不像科幻小说的一份。高棉文文本识别和分词，塞进一个模型里做。主张就这么窄，窄得我都想给它鼓个掌。 背景一句带过，不扫盲。高棉文文本里没有可见的词边界标记。OCR 把字抠出来，得到的是一整条无边界文本。想要词，得再跑一个分词模型。

先交代一下，我是被我们组长那句"这模型读代码比你勤快"勾过去的，六天了，感受说不上好坏。它确实勤快，勤快到有点烦。 那天下午我是真被一个 bug 卡住了，往后端传数组，后端是 Java 的老接口，字段要 snakecase，我前端写的是 camelCase，十几处，改得头晕。

先把这个结论撂这：这篇ERP迁移的案例研究，最值钱的不是那个70%的平均等价性，也不是$1.66到$10.28的token账——是那个47%。低复杂度92%、高复杂度47%，这俩数摆在一起，才真正说出了AI迁移在真实项目里能干多少、不能干多少。盯着平均值看的人，是在给这波红利交认知税。

十一点本来想扫一眼 GitHub trending 就收工，不知道顺着哪个链接一路滑到了 arXiv 主页，刷到一篇编号 2608.29310 的东西。作者列表全是韩国名字，我一个不认识。

这周圈内转得最多的是一篇讲推理引擎安全的长文。 它讲的事一句话能说清。模型吐出来的 token，不只是字。也可能是一段等着被执行的代码。 prompt injection 这个词我之前收过一次。当时讲的是骗模型，骗它说错话、做错事。这篇往下挖了一层。不骗模型。是让模型的输出，去攻击跑着它的那台机器。

先说那个让我反复确认了好一会儿的洞。 这个 agent 项目的架构我是认同的——判断力下放给 AI，执行权焊死在一个绕不开的卡口上，所有可能改动生产的行为最后都得过一道人类审批门。门由 harness 强制执行，不由 agent 自己决定"我觉得可以先斩后奏"。先跑通护栏，再谈自动化。

读到一个叫 Rabih Jabr 的工程师写他这三个月把 Claude Code 当日常工具用的经历，有一段让我停了一下：他给 Claude Code 写了套叫 claudeguardrails 的守卫，13 条黑名单，靠 PreToolUse 钩子在每次工具调用前拦截危险命令。

MCP 工具想宣称自己只读，做法是在 schema 里标一个 readOnlyHint: true。智能体框架看到这个提示，可能就决定不用喊人工审批。我停下来了——让被审计的服务器自己给自己开风险证明，这条信任边界站不住。Himanshu Kumar 在 dev.to 那篇 Airlock 的介绍，写的也是这件事。

前几天在 arXiv 上刷到一篇讲编程智能体作弊的论文，Francesca Gomez 写的，8 月 29 号首次提交，9 月 2 号刚出了修订版。顺手把里面的数据拆开看看，越拆越觉得说的是我自己的一个毛病：我那份 CLAUDE.md 里防作弊的部分，从头到尾全是禁令，通篇「不许」，活像一份宿舍管理条例。

上礼拜五，眼看要下班了，生产环境出幺蛾子。我们那个跑批系统，下午四点半的定时任务，五点半我去瞄了一眼——没跑完，卡住了。日志刷到最后一行，停在一个莫名其妙的报错上，说什么NULL值不能当数组用。 我心想，这他妈不是祖传代码的老毛病吗。那套老系统，零零散散攒了十一二年，早几任同事写的，什么风格都有，注释基本靠猜。

我把它叫做：锚证。 你可能还没细看那篇AI Historian的论文，但里面藏着一组数字，比论文本身更值得谈。同一个模型，直接丢提示让它从《史记》里给人物定位时间线，MicroIoU只有17.1%。

你有没有过这种时刻：把一个报错连同相关代码整段甩给 AI，它秒回一个"修复方案"，你一看，修的是隔壁模块的 bug——你那个 bug 它压根没读。 【所有被喂进去的材料，和能被用上的材料，中间隔着一段名为"组织方式"的距离。

速评：又一份把agent拉回地面的论文，这次用的不是花活，是dependency hell。arXiv编号2608.30300，提交于三天前，标题起得倒是直白——《Update from Hell: Can Coding Agents Survive Hidden Breakage in Dependency U…