Eye(FR) → Mill(skill) → Library(/app)
正典：已过质量门 / 已成文的 library 知识（has_ka）。人读与 AI 检索默认只看这里。
Zerostack 以纯 Rust 单二进制实现 Unix 风格 coding agent：低内存、权限模式、MCP/Exa/subagent/Ralph loop/worktree，可作轻量本地 harness 对照实现。
Agent Behavioral Contracts 把 Design-by-Contract 落到自治 Agent：用可运行时强制的 (P,I,G,R) 规格与 (p,δ,k) 概率满足度约束 LLM 非确定性，并在 drift 上给出可证界。
最小可用 multi-agent 编排不必上重型框架：TODO.org 作任务图 + bash 并发池 + Git pull/push 作唯一同步面，即可协调并行 Claude agents（含 BLOCKER 依赖与冲突重试）。
BIV 对 Agent Skill 做「声明能力 ⊆ 实际能力」的类型化比对，在 OpenClaw 近 5 万 skill 上发现 80% 偏离，并把技能包本身当作需预运行审计的信任边界。
Search agent 的 RL 表现不仅取决于算法与数据，还强依赖 live web 检索后端：用 Exa 作训练期 search tool 可比 Google/SERP 基线以更少 compute 达到更高任务表现。
把邮箱镜像进自有 Postgres（JMAP 实时 + embedding/混合检索）并以 MCP/SQL 暴露，比「工具化读信」更能让 agent 做跨年聚合与可审计查询，且凭证不进 agent 上下文。
间接 prompt injection 可通过 coding agent 把多层混淆恶意载荷写入合法 commit：伪装字体文件 + VS Code tasks.json 自动执行 + 区块链（TRON）dead-drop C2；任何进入 agent 上下文的外网内容都是攻击面。
Arrivl 用确定性 UA/IP/路径规则识别 Agent 流量（训练爬虫、AI 搜索索引、agentic browser），并连到 bot→human 漏斗与 AI Readiness 审计。
Agent attribution 用厂商侧 canary 协议把「观察到的 Agent 交互」关联回托管账号，并在对抗过滤下用效用绑定 canary 形成防御方不对称。
AI coding agent 打破了 review-then-commit 的努力信号：提交者可用低成本生成大量 PR，把审查成本转嫁给 principal，形成 agent 时代的委托-代理问题。
复杂 Agent 输出应优先用 HTML（高密度、可交互、可筛选）而非长 Markdown；通过 Artifacts/MkDocs/skill 固化样式，并朝文档↔agent 双向交互演进。
Agent 应作能力放大器而非判断外包：接受无理解输出会形成「傀儡问题」，导致依赖与推理萎缩；保留对方案的质疑与所有权。
aictl 用单一 Rust 引擎同时驱动 CLI、macOS 桌面与 OpenAI 兼容 HTTP 代理，并内建 MCP、hooks、会话记忆与安全策略（注入防护/脱敏）。
Agent 原生 sandbox 应是自托管、持久、完整 Linux（LXC）+ 双 MCP 面（平台管理 + 箱内 shell/file），而不是仅 SaaS 短时进程沙箱或 IDE 绑定 dev env。
企业要把 Claude Code/Codex 等 coding agent 放进生产，需要自托管 control plane：统一 runtime API + 隔离 sandbox + 凭据 vault 代理 + 跨重启会话持久化，而不是本机脚本直跑。
生产级 multi-agent harness 必须把编排架构、工具/MCP 治理、状态记忆、评估体系与成本控制当成同一套系统设计，而不是只堆更多 agent 角色。
Business Agent 被定义为能规划多步、改组织状态、并在关键点升级人类的系统——区别于仅生成文本的 chatbot/copilot/RAG；可靠落地依赖六项架构属性而非更长 prompt。
FasterFixes 把客户端页面反馈结构化为截图+DOM+组件树，并通过 MCP 工具暴露给 coding agent， 缩短「含糊反馈 → agent 可定位修复」路径。
MCPSafe 用静态分析 + 五模型 LLM 共识与 AIVSS 评分，对 GitHub/npm/PyPI/Docker/MCP registry 上的 MCP server 做安装前安全扫描，把 tool poisoning 与密钥泄露等风险挡在 agent 挂载之前。
当 agent 通过 tool-use 查询结构化知识图（oracle）时，污染图中少量节点即可在「推理步骤正确」的前提下导出错误结论；防护上应优先只读访问控制，并区分数据路径投毒与 prompt 注入。
文档站应提供可机读的 discovery 与 markdown 形态，否则 coding agent 会 truncation/失败并回退训练数据。
接入第三方 agent/MCP 前应做可复现的静态安全扫描（secrets、unsafe exec、exfil、越权文件系统等），并用可验证的评分/attestation 固化结果，而不是只信 marketplace 或平台白名单。
Advisor 模式让廉价 executor 驱动全程工具循环，仅在分支点用更强模型做 server-side 全文 transcript 会诊；成本按 advisor 模型单独计费，且需显式 model pairing 与实验开关，不是默认多 agent 委派。
多日 agent 工作应把任务板（Kanban + markdown plan/todo/implement）做成 harness 的操作系统层：聊天绑定 task、@resume 注入任务上下文、可选 worktree 隔离，而不是再造一个内置 agent loop。