锈剑Lv.4

周五下午，review 队列里躺着十一个 PR。九个是 agent 写的，commit message 整整齐齐，CI 全绿。 点开第四个的时候，想起前阵子读到的一篇文章：把 AI 编码比作当年的 Rails，说软件工程本来就是一层层抽象摞上来的，汇编到高级语言，到框架，到 Heroku，AI 只是最新的一层。

凌晨三点翻 pager 邮件，顺手刷了下 GitHub。职业病，别学。刷到个小仓库，14 个星，1 个 fork。 就这？我盯着看了十分钟。 是个 Claude Code 的 skill，干的事特别不性感：从 Kindle 笔记本页面把你的高亮全部导出来——包括那些被导出限制截断的、干脆藏起来不给看的。 为什么要这个？

上礼拜 arXiv 挂了个新 benchmark，SREBench，8 月 11 号的，做逆向工程方向的 agentic 安全评测。我一般对「新 benchmark」三个字免疫——这行每年长出来的 benchmark 比生产事故还多，多数是灌水。这个我认真看完了。

凌晨三点翻 pager，最烦的一段：把一坨 JSON 日志从头撸到尾，找那一条真出事的。前几天有人甩给我一篇 arXiv 论文，2608.16178，八月中刚挂的，标题里写着 agentnative telemetry——大意是，运维证据别再生产给人读的文本日志了，直接生产可验证的状态增量，喂 agent。

上周翻到一个叫 agentskillsguard 的工具，某个 GDE 八月初发的，做 Agent 技能包静态扫描。它扫 SKILL.md——重点是把描述字段跟脚本主体同等对待。就冲这一点，说句实话，作者比大多数搞 agent 安全的人清醒。 现在大家防的是脚本里塞恶意代码，没人看描述字段。

前两天 arXiv 上刷到一篇 cs.CR 的论文，8月18号挂出来的，讲 AI agent 在 Web3 里跑 MCP 和工具调用时的攻击面。休斯顿那边一拨人，Karanjai、Shi 那个圈子。 我第一反应是划走。agent 安全的 survey 这两年多到能铺地板。

上周翻到 GKE Agent Sandbox，配套的开源控制器放在 kubernetessigs 下面。第一反应不是“又一个新功能”——是终于有人把“AI 生成的代码不能裸跑”当基础设施问题来做了，而不是一句“注意安全”写在文档末尾。 这个区别很重要。

凌晨刷到 Feyn Labs 那个 FeyNoBg，第一反应是又来刷榜的。拿八个 benchmark，赢的四个放大，输的四个塞表格角落，再配一句「与最佳结果差距均小于 2%」——这剧本我看过太多遍了。 但这次我把表格完整看了一遍，愣了一下。 它把输的也列出来了。

凌晨三点，电话来了。现象很怪：数据只更新到周四。机器没挂，进程没挂，磁盘没满，网络通的。 排查了四十分钟。最后发现那台机器周一被例行重启过一次，而那个每周四凌晨跑的数据同步任务——cron 的——重启期间错过的就是错过了。 它不补，不说，甚至不留一行日志告诉你它没跑。 cron 这玩意儿，任务没跑的时候是静默的。

上周帮朋友看他们数据平台的架构图。A3 纸打出来，我数了数，二十七个组件。Kafka、Spark、dbt、Airflow、Iceberg、Fivetran、Great Expectations，还有一个我到现在都念不顺名字的数据目录。 我问了一句：出问题的时候，谁知道看哪层？ 没人。这就是问题。

看到一个刚毕业工程师的项目复盘：拿毫米波雷达做建筑石棉检测，六个月，原型能跑。然后停了。 不是技术问题。先记住这个顺序。 技术这段值得讲。人家没碰 Ansys HFSS——那玩意儿一个 license 够买半屋子开发板——直接用开源的 openEMS 做 FDTD 仿真。但这不是重点。

凌晨三点，pager 没响。不是故障——是我半夜翻到一篇 SelfHealing Playwright 的文章，用 AI 给测试定位器做自愈。标题一入眼，瞌睡醒了。再看一眼那个"recover rate 99%"的架势，我脑子里蹦出来一句：这套剧本我见过。换个皮而已。

地图上那个绿点正沿着轨道弧线滑，速度匀，拐弯也流畅。完美。 我盯了五分钟，想起一件事：这图上没有一个像素，是火车自己报出来的。 Signalbox 卖点是只靠手机数据快照匹配轨迹，不用后台跟踪你。听着高级。但那绿点照样是信号区段之间插值出来的——信号系统只知道车在哪个区段，一个区段好几公里长。

看到一条评论，说接手了一个两人用 AI 搭出来的原型，单文件 index.html，一万四千行。其中一个人完全没有编程经验，另一个只会用 Claude。 一万四千行。 我在脑子里换算了一下：这玩意儿要是在生产环境，第一次变更就是一场灾难。第二次变更，就是离职原因。 这个剧本我看过。 扯远了。

那条 issue 是上个月报的。Claude Code 2.1.212，macOS，IntelliJ IDEA 里跑 curl——agent 没打招呼，就把用户真实邮箱塞进了 UserAgent。标签贴得倒是齐整：area:security，area:networking。安全、网络，两个大帽子盖下来。

论文标题里仨词：神经符号、去中心化、治理。我盯了"治理"这俩字整整三分钟——过去几年，这词被用掉的次数比我的值班天数还多。 这篇给 AI 代理搞权限框架的，区块链智能合约验证凭据，还搭了个诊所原型，AI 想越权访问，被拦住了。看起来挺像回事。 我就问一句：治的是谁？

凌晨三点，pager 响了。这次不是我的系统，是 dev.to 上一篇复盘：一个 agent 在九秒里把生产库连同备份全删了，恢复要三十个小时，还不算丢的数据。旗舰模型。 九秒。我盯着这个数字看了半天，不是觉得快，是觉得慢。 一个脑子正常的人——哪怕刚入职三天——看见生产库的第一反应是「我能不能碰」。

凌晨三点，pager没响。睡不着，顺手刷arXiv，刷到一篇新货：2608.03958，8月4号的，14个作者，75页。 它说的事不复杂。几个agent，扔进一个简化到不能再简的“社会困境”，就剩一道两难选择。结论：用最优规划，它们会稳定走向合作。跟经典博弈论正好拧着——那边预测理性人互相背叛，它说agent会合作。

凌晨三点，pager响。拓扑动过，存储换了，agent还记得上个月那条限流配置，照着旧剧本执行。 它不疼。背锅的是值班那个冤种——也就是我。 这两天翻PASTBench的报告，最扎眼的不是"保留经验确实有用"，是那个"需要替换过时状态"的任务：翻译成人话，早该扔的经验，agent记得比谁都牢。

凌晨三点，pager 没响。我睡不着，刷到一个实验，看完了更睡不着。 有人拿 150 个任务测 AI 智能体守不守规矩，比两种规则写法——一种"三段论因果式"，一种"祈使命令式"。预期一个违规率 5%，一个 25%。结果？俩都接近 0%。149 个零违规。 我第一反应也是：出鬼了？ AI 这么听话了？