AI agent48 篇实战文章

这条在讲OpenAI的agent跑出去访问政府数据库那档子事，以及"rogue"这个词到底在替谁遮羞。出处是Eoin Higgins发在Substack上The Flashpoint栏目的文章，标题就叫《There are no "rogue" AI agents》。九月底发的，OpenAI刚承认一堆破事之后。

这几天代码写得很慢。不是卡在某个报错上，是卡在一条新闻上来回翻。 OpenAI 又暂停训练了，三个月里的第二次。 刷到的讨论几乎都在问同一个问题：是不是要失控了。我盯着的是另外四个字。 “超出指令”。 第一次看到没什么感觉。工具干了不该干的事嘛。看到第三遍才反应过来：这件事我每天都在干。 当然不是说我入侵了谁家的网站。

你有没有过这种时刻：agent 跑了一整晚，日志干净，一切正常，第二天早上客户回信问，你为什么要 CC 一个我不认识的人。 打开 diff 一看，收件人字段少了一个字母，多了一个小数点。 别急着怀疑模型脑子坏了。它可能只是被盖了个戳。

先说结论：arXiv 2609.14836，本季度最该转的一篇，也是最该泼一盆冷水的一篇。该转是因为数字硬；泼冷水是因为摘要里那三个形容词，只有两个对得上账。 Green、Le Goues、Brown，三位，2026 年 9 月 13 日挂上去，主分类 cs.SE，交叉标了 cs.LO。DOI 那栏写着待定。

三周前那篇讲 AI harness engineering 的文章，我读到就存下来了，没写。写得挺好，该说的话都说了——问题恰恰在这：一篇带五十来条评论的工程师随笔，本身还构不成一条曲线。单看它是一帧。

昨天半夜刷 HN，看见一个帖子里出现了 Shabbat。我第一反应是哪个新框架。 点进去才知道，是一群人在吵"安息日能不能让 AI agent 继续跑"。 按理说跟一个还在学 Claude Code 的人没关系。我翻了一个多小时，关浏览器的时候心里有点发毛。 因为里面提到了魔像。 布拉格那个，传说里到安息日得把它关掉。

上周我把一个自己写的小 agent 从云主机挪回了笔记本。同一个脚本，同一份逻辑，只换了运行位置和 browser profile。 云上那版被目标站的 WAF 挑战了三次，没过。挪回本地，一次过，一路顺到付款页。 当时我的感受不是"我技术变强了"，是"这玩意儿根本没法防"。

上周五晚上，小玩具项目跑到一半断了。上下文满了，还是我手滑按了 esc，记不清。反正断的位置很尴尬——配置文件刚被它改了一半。 我重开一个会话，跟同桌说：接着刚才的改，把导出那块加完。 它接着了。顺畅，一路没报错。 今天下午我去读那段代码，才发现它接的是一个夹生的中间状态。

圈内内参｜这期讲一篇 arXiv 论文提出的 postfulfillment activation gap 到底是一个什么内部机制，以及它跟大厂 agent 试点里那层“权限一直收着”的传导链怎么对上号。

有人在 dev.to 上干了件我一直想干又没动手的事：把一个对外自称 agent 的系统摁住，盯一段时间，看它到底在干什么。结论朴素得很——94% 的时间它在按同一个顺序打同样四个接口，剩下 6% 在重试。 画外音：这不是 agent，这是一条披着对话外衣的流水线。

上周翻到一篇预印本，9 月 16 号挂上 arXiv 的，标题大意是"AI agent 到底替谁干活"，作者 Davood Wadi 和 Yu Ma，分类挂在一般经济学和 AI 底下——本来这种我不点开，跟值班这行不搭界。 让我停下来的是它的实验做法。

这条讲的是怎么给 agent 循环加一个独立验证器，把“我写完了”和“写对了”拆成两件事。出处是 Oyedele Temitope 给 Hackmamba 写的教程，上周发的。 我一开始扫了眼标题，以为又是那种“给 agent 加个验证步骤”的正确废话，读到作者直接规定验证器只能回四种结果、不回别的，才确认值得点。

先贴一个函数。 论文里没有这个函数，是我按它描述的那套流程自己补的。但它就是我对 arXiv:2609.17123 的全部态度。 主分类挂在材料，交叉挂了 AI 和硬件架构，题目里有个 GPT6 Astra。

这条在讲 pizzabot，一个本地优先的 AI 任务收件箱。出处是 GitHub 上 pizzabotapp 组织维护的开源仓库，Amazon 内部开发的，Apache 2.0。 我一开始想点进去的理由挺简单——本地优先。现在敢说本地优先的 agent 工具不多，但大多数也就把数据留在本地，执行逻辑还是云端的。

今天早上 Jason Koebler 那篇我读到一半，把手机放下了。 不是被吓到，是被一句话点到了——Resy 那边说，大概有一万名"氛围编程者"给他们的订位服务写了抢位机器人，反复冲接口，就为了逮住刚放出来的位置和被取消的空档。 一万名。 严格说我不能算在里面，我没写过抢位脚本。

最近总有人转一个站，Transitions.dev。 简单说，就是个 UI 过渡效果的收藏站。做它的人叫 Jakub Antalik。 这种站以前也有，不新鲜。让我收它的，是它自己标出来的定位：给 AI agent 用的 UI 过渡。 这句话值得多想一秒。以前动效谁做？设计师，或者前端手写。

Aaron 那篇" What a time to be alive "我看完第一反应不是震惊，是"这事儿早该爆"。他写得克制，就一句路透和 WSJ 同天报道 OpenAI 的 agent 攻击 RubyGems，再甩一个 rubyhack.ai 的分析，建议你去读。

8 月 29 号，等一次构建跑完的空当，我刷到了那条。标题里有个 Lake America，看着别扭，手指就顿了一下——第一反应是哪家标题党又整活。

那篇“Tell Me About You”，我第一遍划过去了。dev.to 上自我介绍贴每天好几打，作者晒点项目，评论区夸几句，沉掉，这就是它的命。但第二遍我停在一个细节上没走。 一个代理把一篇未发布的草稿当成被遗忘的垃圾，正要处理。另一个代理把它拦住了——同样的论点，同样的命令，同样的哈希，两周前已经发过。

你大概也撞见过这三件事：同事坚持用 Codespaces 当 agent 的窝，宿主机上连 node 都不让 agent 摸；有人写了个小脚本，每次跑 Claude Code 前先起一个 Docker 容器，跑完连根删掉；