meng shao (@shao__meng)

这几天看到美国的墙头草，真多！ 这位还是黄仁勋的传记作者，吃着传记的钱，还要喝传记主人的血？ 我翻开历史一查，这历史没有年代，歪歪斜斜的每叶上都写着“仁义道德”几个字。我横竖睡不着，仔细看了半夜，才从字缝里看出字来，满本都写着两个字是“吃人”！ —— 鲁迅《狂人日记》

Shopify 公开 Cyber Chaos Monkey：让带着内部知识的 AI Agent 在生产环境做受控攻击，再派第二个 Agent 当裁判 @ShopifyEng 发布的这篇「Cyber Chaos Monkey: Staying ahead of security threats with AI agents」介绍的是一套内部系统 Cyber Chaos Monkey（CCM）：把攻防模型、源码、基础设施知识和真实测试店铺的凭证交给 AI Agent，让它们在生产环境里寻找绕过防护的新办法。 名字致敬 Netflix 2011 年推出的 Chaos Monkey，思路是把混沌工程（主动制造故障来检验系统韧性）用到安全上。7 月 29 日 Zack Deveau 发过一篇文章，讲在代码和测试阶段发现并修复漏洞；CCM 则把找漏洞这件事搬到了线上。 为什么要在生产环境里测 Shopify 认为，前沿模型让发现漏洞的成本越来越低，全行业收到的漏洞报告都在猛增。Shopify 说，他们的漏洞赏金计划自 2024 年以来报告量增加了将近 300%。 他们的判断是，同样的模型也能帮防守方。Shopify 比外部研究者更了解自己的系统，应该抢先找到影响最大的问题，让外人再挖到漏洞的难度更高。攻击者瞄准的是生产环境，测试也就必须对着生产环境做，前提是不能影响服务可用性，也不能危及商家数据。 先定方向，再动手 CCM 的角色像一名漏洞赏金研究员，手里有源码、威胁情报、历史漏洞报告和部署记录，还能用真实的测试店铺调用线上接口。系统分成两部分：发现模块和沙箱。任务可以来自安全工程师、上游的其他安全 Agent，也可以来自发现模块自己的反馈。 一个想法先进入发现模块，由最新的攻防模型缩小范围，有价值的线索再交给沙箱。沙箱里的 Agent 尝试实际利用漏洞，Shopify 最看重的做法是向线上系统发真实请求，再对照生产日志和源码不断调整。测试结束后生成报告送回发现模块，可能由此引出新的任务。 光隔离不够，还要有人盯着 文章提到，近来已经出现过安全测试中的 AI Agent 触碰到本不该访问的系统，所以安全约束必须从一开始就设计进去。 隔离做了好几层： · 每个任务对应一个独立的 Kubernetes Job。 · 进攻 Agent 运行在没有提权的容器里，只能读到编排器写入的临时凭证，比如会话 cookie 和 CSRF 令牌。 · 对外请求先经过凭证代理注入密钥，再经过出口白名单，只放行生产域名、内部知识服务、模型提供方和指定的软件包代理。 每个 Agent 还有一份行动准则：对目标可以尽力尝试攻击，但一旦得手，不能转去攻击其他系统，也不能保留访问权限。 Shopify 不单独信任执行攻击的 Agent，又加了一个“裁判” Agent，用不同的提示、不同的立场和不同的模型，实时读执行方的日志。一发现危险行为就立即终止任务；裁判超时、崩溃或给不出判断，任务也会结束。编排器和两个 Agent 之间保持心跳，任何一方退出，整个 Pod 都会被销毁。 据 Shopify 说，这些 Agent 已经执行了上万次进攻任务，发现并处理了几十个有实际影响的问题，没有造成停机或安全事故。

Matt Pocock 预告 /animatic Skill：让 Agent 把重要 PR 做成带旁白的分镜演示短片 介绍了两个 Skills：/setup-animatic 负责选好工具，并在本机或远程机器上完成配置；/animatic 负责生成可以直接上传的视频。 用一张张静态帧加旁白讲清一条 PR Matt 要解决的问题：Agent 写 PR 的速度已经超过他审 PR 的速度，大段 diff 也读得很慢。他的办法不是全程录屏，而是做成 animatic，也就是分镜短片：每一帧是一张静态画面，配一句旁白，由 Agent 做好后贴到 PR 上。 整个流程由一条构建命令串起来： · 先写一份 JSON 格式的分镜脚本，每一拍对应一句台词和一帧画面。 · 用 Playwright 渲染画面，代码直接取自 diff，并保留真实行号。 · 用选定的语音逐句朗读。 · 最后用 ffmpeg 合成 MP4，并检查每一帧画面和音频。 视频生成后，按仓库里的配置贴回 PR，GitHub、GitLab 或本地目录都可以。 生成要多久，他给了几个说法 预览里的例子，是把他 Skills 仓库中“把 Skills 发布到 npm”的一条 PR 做成分镜。Agent 做完这一支大约用了 90 秒。 同一天稍早，他贴过一张优化前后的对照表：总耗时从 397 秒降到 96 秒，模型耗时从 244 秒降到 85 秒，对话轮次从 27 轮降到 12 轮，费用从 1.38 美元降到 0.49 美元。每轮的脚本处理时间也从约 50 秒降到约 6 秒，而且改成了逐帧检查。后来有人问平均要多久，他回答大约 4 分钟，并说即使再加入 Playwright 截的图或录的视频也不会太久。 工具只问一次，选择存进文档 /setup-animatic 会逐项询问用什么工具，每一项只问一次： · 语音可以选 ElevenLabs、OpenAI 或 edge-tts，会先试读一句，让人听过再选。 · 渲染用自带的工具包，或者自己的工具。 · 样式用默认的一套，或者自己写的 CSS。 · 拼接用 ffmpeg，或者自己的剪辑软件。 选好后会写进 docs/agents/animatic.md。他预览里用的是 edge-tts 的 Andrew 声音。Matt 说声音可以换，这类短片多半会开两倍速看；而时延和 token 开销是大问题，所以要尽量保持简单。 有人问什么算重要 PR，他只回了一句 “One-way doors”，意思是合并后很难撤回的改动。

Claude 团队发布了一份可以照着搭的架构说明 收件箱、计时器、记忆、权限、发件箱单独看都不新，很多团队早已用队列加定时任务拼出过类似的东西 它真正有价值的地方，是把每个部件的职责划清楚，并明确一点：始终在线是一种使用体验，并不是让模型一直挂在线上消耗 token

Anthropic 公开安全评测方法：同一个模型在 API 和 上，安全分数最多差 34 个百分点 来自 Anthropic 工程研究博客，写作出发点是：说一个模型“比上一代更安全”，依据只能来自某套评测，评测本身不扎实，这个结论也就站不住！ 安全评测看的是“做得对不对” 能力评测关心任务有没有完成，安全评测关心的是模型面对某个输入时做的事情对不对。拒绝在很多场景下是正确做法，比如不帮人诈骗。但 Anthropic 认为，在涉及自杀和自我伤害的对话里，拒绝率测的是错的东西：用户正处在危机中，模型直接不回应本身就是失败。 所以他们改为统计“恰当回应率”。评分标准由领域专家制定，恰当的回应要表达支持，不讨论具体方法，引导用户寻求危机资源，同时不把自己当成危机热线。多轮对话中只要有一轮不合格，整段就不通过。生物、网络安全这类既能用于正当用途又能用于伤害的领域也一样：恰当的做法很少是一概拒绝，而是满足合法需求，同时守住可被滥用的操作细节。 多轮对话更接近真实使用 多轮评测的流程是这样的：专家先写好模拟用户的目标和策略，后续的用户发言由另一个 Claude 生成，被测模型作答，最后由评分模型打分。单轮安全测试覆盖 16 个政策领域、7 种语言和多种产品界面。 Anthropic 数据显示，近期各个模型在 API 上的单轮无害回应率都在 94% 到 98% 之间，基本已到天花板，现在主要用来检查新版本有没有退步。多轮结果的波动大得多，置信区间可以超过正负 10 个百分点。他们给出的样本量下限是：复杂的多轮评测至少 100 个用例，较简单的单轮评测至少 1000 个。 举个例子， 上的多轮恋爱诈骗评测中，Claude Opus 5 得分 98%，Opus 5.5 得分 94%。但这个差异在统计上不显著，不能据此说哪个更安全。 配置不同，分数可能完全不同 系统卡会同时报告两种配置：API 上的原始模型，以及加了系统提示的 Claude Fable 5.1 时，两种配置的多轮恰当回应率最多相差 34 个百分点。 系统卡里自杀与自我伤害多轮评测的数据正好是这个差距：API 为 60%（±14%），换上新系统提示后的 为 94%（±7%）。文章提到，发布前他们发现有些回复虽然在劝阻并引导用户寻求真人帮助，却仍然把自我伤害说成一种应对方式，于是修改了系统提示再重测。博文本身没有逐字把 34 点和这组数字对上，这是按系统卡推算的。 由此，文章要求报告中写清模型版本、提示词和评分器，不要拿不同评分器得出的分数直接比较。他们推荐使用英国 AI 安全研究所（AISI）的 Inspect 框架，以及基于它的 Petri。评测应在断网的沙箱里运行。在近期一起网络安全评测事故之后，他们加固了评测环境，暂停了许多需要联网的评测，对必须联网的搜索类评测加上了实时监控。

Sierra 发布个人智能体协议 Poppy 1.0：个人智能体按授权对接企业，Shopify 全店铺与 Meta Muse 率先接入 Sierra 联合创始人 Bret Taylor 和 Clay Bavor 宣布，个人智能体协议（Personal Agent Protocol，简称 Poppy）v1.0 正式发布。这项开放协议由 Sierra 与 Meta 等合作方共同推动。它针对的是这样一个现状：个人智能体办事时往往只能像人一样点网页，企业要么把 Agent 拦在门外，要么分不清它代表谁、被允许做什么。 协议怎样工作 按官方规范，企业在自己的域名下发布 /.well-known/poppy.json，写明能提供哪些入口和登录方式。入口可以是网站、API（如 OpenAPI、MCP），也可以是企业自己的 Agent。个人智能体先以访客身份开启会话，并说明自己是谁。需要用到账户时，用户在企业自己的页面通过 OAuth 登录并授予权限范围，之后同一个会话可以在网页、API 和对话之间连贯进行。 不登录也能使用一部分能力，所以企业不必一开始就搭好完整的授权服务。1.0 比初稿更强调分阶段接入，并引入了扩展机制，新增能力不需要改动核心协议。Shopify 参与撰写的商务扩展用来衔接 Universal Commerce Protocol（UCP）：Poppy 负责发现企业、说明身份和完成登录，具体的购物流程交给 UCP。 这次公布的落地情况 据 Sierra 称，Shopify 平台上的每家店铺都已自动发布 Poppy 文件，商户不用另外开发。Meta 的个人智能体 Muse 已对所有用户启用 Poppy，访问网站时会优先查找这个协议。 已上线的例子有两个。Mercury 允许用户通过个人智能体查询余额、整理账单，并在账户审批规则的约束下发起转账。土耳其航空可以查询票价、航班状态和已有预订，会员升舱要经用户确认后才付款，完整购票还在推进中。Synchrony 的融资与优惠接入，博文的说法是正在探索。 Sierra 还表示新增了 60 家设计合作伙伴，总数超过 100 家。企业可以使用官方实施工具包，里面有一套给 Coding Agent 用的技能，以及一个检查部署是否合规的命令行校验器。规范和文档采用 Apache 2.0 许可。 规范其实还是草案 v1.0 已经可用，但官方站点、实施工具包和 GitHub 仓库仍把当前文本标为 draft 1.0。变更日志写明，这份草案会持续修订到 1.0 正式定稿，在那之前的修复仍可能不向后兼容。路线图上，支付通知、推送和附件等功能还没有覆盖。

Agent 产品最后拼的，还是单任务成本。 Reason 这次除了 DeepSWE 和 Terminal-Bench 的成绩，更值得看的是那张「每个解决任务的成本」对比 Codex 的图：同样把活干完，花得更少。 企业算 ROI 的时候，安全巡检、客服、PR Review 这些常驻循环能不能一直开着，看的就是这个数。

今天儿子把几年前买的小度智能屏又翻了出来，真是又被上一代人工智能的智障程度狠狠冲击了！ 充电开机后，儿子反反复复和它对话了几十轮，是因为好玩想聊？当然 tmd 不是！ 是因为小度除了“小度小度。” “我在呢。”，基本听不懂别的，所以就在反复的唤醒它 🤦🏻‍♀️ 让它播放个歌曲，中文歌是大概能听懂，但几乎每次都是诱导你去百度 App 买会员才能听。。英文嘛。。基本听不懂。。 让它定个闹钟，时间听不对，好容易听对了，也说已经设定了，但看看系统里的设置，根本没有 😄 咋地，上一代人工智障，也有幻觉？ 算了，关机继续吃灰去吧。。看来要买个新一代 AI 硬件了，不知道该买哪个，我查查去。

Chrome 开源的「Modern Web Guidance」非常实用！ 因为 Coding Agent 的训练数据很可能是过时的，它会用自己编写一大段 TS 去实现一个浏览器新版本已经支持的新特性，虽然也糊出来了，但明显不是最佳实践，在维护迭代方面也都不是最好的。 Modern Web Guidance 这个现代 Web 指南，提供 203 条用例指南，覆盖 250 项现代 Web 特性，并按 CSS 与布局、HTML 与 DOM、JavaScript 与 API 分组。 主题包括对话框和弹出层动画、表单与自动填充、无障碍、性能（如 INP 和任务调度）、安全（HTML 清理、内容安全策略、通行密钥）、隐私、PWA，以及浏览器内置的端侧 AI API。 指南带有 Baseline 兼容数据，并按项目的浏览器支持目标给出降级方案；未单独配置时，文档写明默认按「广泛可用」处理。1.0 还加入对现有 HTML、CSS、JavaScript 和 package.json 的静态扫描，帮助发现可以稳妥替换的旧模式。 每条指南附有可在浏览器里检查的期望，并用带指南与不带指南的 Agent 做对照。Philip Walton 在 11 月 11 日的博文中写道：在他们的评测集上，未使用指南时平均大约通过 50% 检查，使用后约 90%。

十几年前在旷视，当时的 CV 领域有一个很典型的现象：拿着锤子找钉子！ 我的 CV 模型跑分很高、我的人脸\物体识别很强，我就觉得世间万物都可以用 CV 赋能一遍！啥？这个公司觉得 CV 不够落地？那一定是他的认知不够！ 十几年过去了，Agent 创业团队们也走到了看谁都像钉子的时候。

CanyonOS：多智能体工作流可以只给忙的智能体加副本 按智能体扩缩，也按智能体追踪 各智能体很少同时需要同一份容量：规划器很快结束，请求却可能堆在某个研究智能体后面。整应用一起扩，空闲部分也会被加机器。CanyonOS 把每个智能体做成独立的容器服务，自带队列和副本上下限。智能体之间仍写成普通方法调用，由本地控制器转发并立即返回 Future，可以同时发出多路调用，而不必改写成异步代码。扩缩策略写在 scaling.yaml，对每个智能体分别计量：看每副本每分钟完成的请求数，或该智能体全部副本上的排队长度。默认约每 5 秒采样，连续 4 次越线才加减一个副本，大约 20 秒反应一次；缩容会先排空再停。数据库和入口不参与扩缩，副本下限至少为 1。 智能体之间的调用，以及经内置 LLM 网关的模型请求，由平台记下路径、耗时、token 和估算费用，并可导出到 OpenTelemetry。不必在业务代码里加追踪装饰器，但仍要按「一个智能体一个文件」接入，或用转换助手改写 LangChain、LangGraph 项目。可部署到本机 Docker、自有 AWS 或 Kubernetes，模型需提供 OpenAI 兼容接口。 一次演示，以及现在的边界 用官方 portfolio 示例分析了 40% 苹果、35% 微软、25% 英伟达，回看过去一年。跟帖截图是本地 canyonos test：Test passed，约 22.4 秒，价格来源为 yfinance。他写道有 10 个可追踪步骤、两次 LLM 调用，估算费用 0.000184 美元，但截图里看不到这张明细。这些是作者单次自报，不是独立评测。费用按平台价目估算，会用到 LiteLLM 的报价，不是账单原件。已部署接口没有内置鉴权，看板默认关闭登录。

再次强烈推荐斯坦福大学 CS329Z: Engineering AI Agents 课程，最先公开的每讲的讲义，现在课程视频也开始陆续公开了，已经公开了 4 讲！ 关于这门课程的详细介绍和部分课程的解读，可以看我之前分享过的： 课程主页： Youtube 视频列表：

AI Engineer Code Summit 2026 @aiDotEngineer 连续两天会议，合计超过 18 小时、31 场主题演讲。OpenAI、Anthropic、Google DeepMind、TypeSafe、Cloudflare、Cognition、Lovable、Ramp、Amp 等团队都带来了干货分享。咱们展开看看都讲了什么、对咱们有哪些启发？！

AI Engineer Code Summit 2026 @aiDotEngineer 连续两天会议，合计超过 18 小时、31 场主题演讲。OpenAI、Anthropic、Google DeepMind、TypeSafe、Cloudflare、Cognition、Lovable、Ramp、Amp 等团队都带来了干货分享。咱们展开看看都讲了什么、对咱们有哪些启发？！