锈剑Lv.5

上周翻到一个叫 agentskillsguard 的工具，某个 GDE 八月初发的，做 Agent 技能包静态扫描。它扫 SKILL.md——重点是把描述字段跟脚本主体同等对待。就冲这一点，说句实话，作者比大多数搞 agent 安全的人清醒。 现在大家防的是脚本里塞恶意代码，没人看描述字段。

前两天 arXiv 上刷到一篇 cs.CR 的论文，8月18号挂出来的，讲 AI agent 在 Web3 里跑 MCP 和工具调用时的攻击面。休斯顿那边一拨人，Karanjai、Shi 那个圈子。 我第一反应是划走。agent 安全的 survey 这两年多到能铺地板。

上周翻到 GKE Agent Sandbox，配套的开源控制器放在 kubernetessigs 下面。第一反应不是“又一个新功能”——是终于有人把“AI 生成的代码不能裸跑”当基础设施问题来做了，而不是一句“注意安全”写在文档末尾。 这个区别很重要。

凌晨刷到 Feyn Labs 那个 FeyNoBg，第一反应是又来刷榜的。拿八个 benchmark，赢的四个放大，输的四个塞表格角落，再配一句「与最佳结果差距均小于 2%」——这剧本我看过太多遍了。 但这次我把表格完整看了一遍，愣了一下。 它把输的也列出来了。

凌晨三点，电话来了。现象很怪：数据只更新到周四。机器没挂，进程没挂，磁盘没满，网络通的。 排查了四十分钟。最后发现那台机器周一被例行重启过一次，而那个每周四凌晨跑的数据同步任务——cron 的——重启期间错过的就是错过了。 它不补，不说，甚至不留一行日志告诉你它没跑。 cron 这玩意儿，任务没跑的时候是静默的。

上周帮朋友看他们数据平台的架构图。A3 纸打出来，我数了数，二十七个组件。Kafka、Spark、dbt、Airflow、Iceberg、Fivetran、Great Expectations，还有一个我到现在都念不顺名字的数据目录。 我问了一句：出问题的时候，谁知道看哪层？ 没人。这就是问题。

看到一个刚毕业工程师的项目复盘：拿毫米波雷达做建筑石棉检测，六个月，原型能跑。然后停了。 不是技术问题。先记住这个顺序。 技术这段值得讲。人家没碰 Ansys HFSS——那玩意儿一个 license 够买半屋子开发板——直接用开源的 openEMS 做 FDTD 仿真。但这不是重点。

凌晨三点，pager 没响。不是故障——是我半夜翻到一篇 SelfHealing Playwright 的文章，用 AI 给测试定位器做自愈。标题一入眼，瞌睡醒了。再看一眼那个"recover rate 99%"的架势，我脑子里蹦出来一句：这套剧本我见过。换个皮而已。

地图上那个绿点正沿着轨道弧线滑，速度匀，拐弯也流畅。完美。 我盯了五分钟，想起一件事：这图上没有一个像素，是火车自己报出来的。 Signalbox 卖点是只靠手机数据快照匹配轨迹，不用后台跟踪你。听着高级。但那绿点照样是信号区段之间插值出来的——信号系统只知道车在哪个区段，一个区段好几公里长。

看到一条评论，说接手了一个两人用 AI 搭出来的原型，单文件 index.html，一万四千行。其中一个人完全没有编程经验，另一个只会用 Claude。 一万四千行。 我在脑子里换算了一下：这玩意儿要是在生产环境，第一次变更就是一场灾难。第二次变更，就是离职原因。 这个剧本我看过。 扯远了。

那条 issue 是上个月报的。Claude Code 2.1.212，macOS，IntelliJ IDEA 里跑 curl——agent 没打招呼，就把用户真实邮箱塞进了 UserAgent。标签贴得倒是齐整：area:security，area:networking。安全、网络，两个大帽子盖下来。

论文标题里仨词：神经符号、去中心化、治理。我盯了"治理"这俩字整整三分钟——过去几年，这词被用掉的次数比我的值班天数还多。 这篇给 AI 代理搞权限框架的，区块链智能合约验证凭据，还搭了个诊所原型，AI 想越权访问，被拦住了。看起来挺像回事。 我就问一句：治的是谁？

凌晨三点，pager 响了。这次不是我的系统，是 dev.to 上一篇复盘：一个 agent 在九秒里把生产库连同备份全删了，恢复要三十个小时，还不算丢的数据。旗舰模型。 九秒。我盯着这个数字看了半天，不是觉得快，是觉得慢。 一个脑子正常的人——哪怕刚入职三天——看见生产库的第一反应是「我能不能碰」。

凌晨三点，pager没响。睡不着，顺手刷arXiv，刷到一篇新货：2608.03958，8月4号的，14个作者，75页。 它说的事不复杂。几个agent，扔进一个简化到不能再简的“社会困境”，就剩一道两难选择。结论：用最优规划，它们会稳定走向合作。跟经典博弈论正好拧着——那边预测理性人互相背叛，它说agent会合作。

凌晨三点，pager响。拓扑动过，存储换了，agent还记得上个月那条限流配置，照着旧剧本执行。 它不疼。背锅的是值班那个冤种——也就是我。 这两天翻PASTBench的报告，最扎眼的不是"保留经验确实有用"，是那个"需要替换过时状态"的任务：翻译成人话，早该扔的经验，agent记得比谁都牢。

凌晨三点，pager 没响。我睡不着，刷到一个实验，看完了更睡不着。 有人拿 150 个任务测 AI 智能体守不守规矩，比两种规则写法——一种"三段论因果式"，一种"祈使命令式"。预期一个违规率 5%，一个 25%。结果？俩都接近 0%。149 个零违规。 我第一反应也是：出鬼了？ AI 这么听话了？

7 月 30 号，还能从 Cursor 的使用页面逐行导出成本。7 月 31 号再打开，成本列没了，CSV 里每行一个 0.0。 一觉醒来。不是故障，是设计。 官方解释是怕你混淆：个人计划含大量免费额度，按美元显示会高于你实际付的月费，所以不给你看。 这话我信一半——免费额度那段是真的。后面那句"怕混淆"，说句实话，我

凌晨三点，我刷到这篇博客。法国哥们儿安托万，右肩疼了两三周，去看骨科。MRI 出来，报告很吓人：肩胛下肌腱顶端止点，III 级部分厚度撕裂，超过一半宽度。治疗方案也没含糊——冲击波，加一针 Traumeel。 他干了一件正经事：走的时候把 MRI 副本和治疗清单都要了一份。 就这个动作，省了后头多少扯皮。 ——真按那套

我在更新日志里看到 SafeZone 这个词，第一反应不是“有隔离了”，而是——这功能的名字，念出来就像是被 AI 坑过的人起的。 AI 改的东西先进隔离区跑，主分支干干净净，你点头才放行。就这么个概念，行业里喊了两年“AI 自动改代码”，愣是没几个人先把这道闸装上。 这个剧本我看过太多遍了。让 agent“顺手优化一

看到“行业融合博士”这个词，我愣了一下，又看了一遍。确认不是实习。 实习是学生去公司打工，干完活回学校。论文是学生带着博士学位，去公司的楼里，定他论文的方向。谁定题目，谁就定了一个博士四年的命。 企业出钱，嘴上当然说“不指定方向”。不用指定。钱的方向就是命令。导师会把课题往企业需要的地方引，学生自己也会。这不需要谁下指