用自然语言写代码的时代，
经验值得被认真记录。

先撂一句：自动化安全门禁这事儿被讲玄了。讲的人张口就是“零信任”“安全左移”，好像管道一挂就自动安全。没人告诉你的是——门真装上之后，第一个被拦在门外的很可能是你自己，而且多半挑最不该拦的时候。 最近看到一个案例，把这事拆得特别干净。

前几天在 arXiv 刷到一篇 8 月 14 日提交的论文，Mandato（arXiv:2608.14074），讲在协议层给 AI 代理的行为做数字签名授权强制，外加一条哈希链审计日志。这个方向我之前一直觉得重要但没人认真做，看到有人真把架构写出来了，就花了一个晚上拆开看看。

速评：TDDAgent这篇，不是"又一个能跑更高分的框架"，是这轮AI编程叙事里第一次有人认真把"测试"扶正成主角。这个动作，比benchmark数字重要得多。 四天前挂在arXiv上的2608.16742，作者Hongyue Yu加六位研究者。

具身 agent 的安全，大家最近都在盯三处。prompt 被注入、感知输入被骗、模型行为被带偏。这三处确实热闹。 这周 arXiv 上有篇论文，8 月 17 日提交的，换了个下手的位置。研究者没碰用户指令，没碰模型参数，也没碰执行器。他们改的是环境状态文本。 方法叫 ESTI，环境状态文本注入。

凌晨三点翻 pager，最烦的一段：把一坨 JSON 日志从头撸到尾，找那一条真出事的。前几天有人甩给我一篇 arXiv 论文，2608.16178，八月中刚挂的，标题里写着 agentnative telemetry——大意是，运维证据别再生产给人读的文本日志了，直接生产可验证的状态增量，喂 agent。

先撂一句：你对“对话上下文”的心智模型，八成是错的。我自己错了好多年。 我一直把上下文想成一条聊天记录。你一句我一句，往下滚，卷轴。聊天界面也一直这么给我看，所以这个错觉从没被戳破过。直到最近玩一个叫 ThoughtDAG 的开源工具，玩到一半我停住了——它把上下文画成图。

这篇挂在 arXiv 软件工程分类，编号 2608.16302，出处是 Gustavo da Mota 和 Kiev Gama。标题就是对比 Lovable、v0、Replit 这三个工具生成的代码结构质量。 这种「X vs Y vs Z」的对比我读过不少，大多数是拿几个截图跑跑主观分就交差。

上周在 arXiv 刷到一篇编号 2608.14490 的论文，讲一个叫 Twin 的测试时世界模型推断系统，场景是那种规则和目标都不告诉你的网格游戏（ARCAGI3 一类的持续学习任务）。183 个关卡清了 179 个，通过率 97.8%，其中 158 关比人类玩家玩得更省事。

学 AI 编程的第 47 天。今天没写代码，看了一篇论文——是我第一次在 arXiv 上主动点开一篇东西，因为标题里那个「技能组合攻击」让我觉得好像跟我有点关系，又好像完全没有。 说实话，读完最震惊的不是那个 83.3% 的风险链形成率。是我的一个习惯。 我太习惯「一个任务一个任务」地往对话里塞需求了。

arXiv:2608.16411，《Towards Riskfree AI Agent Deployment》，8 月 17 日提交的，作者是 Yintong Huo、Rangeet Pan 和 Abhik Roychoudhury。

这条在讲：一万个语言模型代理组成社区，反复交换消息、修正意见，作者问了个物理问题——能不能用统计力学预测社区最后落在哪个态。答案三个：冷漠、极化、共识。出处是 Batu El 等十个人，8月17号挂 arXiv，编号 2608.16578，正文51页。

前几天刷 arXiv 看到一篇新论文，8 月 16 号挂上去的，叫 PLSQLBench，讲怎么评估大模型写可执行 PL/SQL 程序的能力。顺手翻了一遍，看完发现真正值得记的不是基准本身，而是它衡量“正确”的方式——不看代码像不像样，只看能不能跑通执行测试。这篇笔记就围绕这一点记，基准的其它细节只挑相关的说。

前几天 Gowers 在博客上写了篇东西，聊 LLM 到底擅长哪类数学。我看完的第一反应不是“哇”，是想画张图。因为他点出的那个模式太整齐了，整齐得必须画出来看看。

这几天在追一篇 8 月 17 号挂上 arXiv 的论文，题目叫 Coverage Is Not Containment，作者 Prashant Kumar Pathak 和 Tarun Kumar Sharma。讲 RAG 投毒攻击的。

上周翻到一个叫 agentskillsguard 的工具，某个 GDE 八月初发的，做 Agent 技能包静态扫描。它扫 SKILL.md——重点是把描述字段跟脚本主体同等对待。就冲这一点，说句实话，作者比大多数搞 agent 安全的人清醒。 现在大家防的是脚本里塞恶意代码，没人看描述字段。

4500 万参数，14MB 文件，运行时 28MB 内存。第一次看到这三个数字，我脑内唰地画了一张图：把大模型压小嘛——蒸馏、量化、砍层数，一路缩缩缩，缩到塞进手机。 后来发现这张图整个是错的。Needle 2 不是“缩出来的大模型”，它是换了一套骨架重新长的。今天就画这个。

前两天 arXiv 上刷到一篇 cs.CR 的论文，8月18号挂出来的，讲 AI agent 在 Web3 里跑 MCP 和工具调用时的攻击面。休斯顿那边一拨人，Karanjai、Shi 那个圈子。 我第一反应是划走。agent 安全的 survey 这两年多到能铺地板。

今天翻 arXiv 翻到一篇新挂出来的论文，编号 arXiv:2608.16628，8 月 17 日提交，讲多模态检索增强生成，被 ACM MM 2026 接收了，框架叫 HyperM2RAG。我最近正好在折腾 MRAG，就从头读了一遍。

先说结论：arXiv 2608.16776 这篇 GRIP，值得看。但值得看的是它量出来的那个病，不是它挂在嘴边的那个疗效。 三天前挂的，15 页，3 张图，cs.AI。单作者，Lirui Teng。我一般对单作者论文先压预期。这次压错了，后面收回。

arXiv 上前两天挂了篇论文（8 月 18 号，Barba Roque、Cruz、Panichella），核心结论一句话：FLOPs 不是个可靠的能耗指标。