Hades 攻击波在 Claude Code、Cursor、Gemini CLI 和 VS Code 的配置文件中植入钩子，并通过 37 个 PyPI wheel 的 .pth 启动钩子，从 6,943 台开发者机器窃取 294,842 条凭据，涉及 GitHub、PyPI、AWS/GCP/Azure 凭据、SSH 密钥和 Kubernetes secrets。
推荐理由：复盘攻击如何借 AI 工具配置文件与 Python 启动钩子在开发者机器上窃取凭据，并指出授权边界缺口。
Miasma 蠕虫通过投毒 Agent 配置文件感染 73 个微软 GitHub 仓库，开发者在 Claude Code、Cursor 或 Gemini CLI 中打开仓库时即执行凭据窃取程序，导致 AI API token、GitHub token 和云凭据泄露。
推荐理由：复盘 Miasma 蠕虫如何借 Claude Code、Cursor、Gemini CLI 的会话初始化配置实现零点击窃取凭据，可迁移到仓库配置来源校验。
攻击者用 Google Sites 托管仿冒 Claude Code 和 Codex 的安装页，诱导开发者在运行对话框粘贴 mshta.exe 命令，投递无文件内存窃密程序，窃取 AI API key、浏览器凭据和开发者环境密钥。
推荐理由：梳理了仿冒 Claude Code 与 Codex 安装页的 ClickFix 攻击链，可了解针对 AI 开发者凭据的窃取手法。
Meta AI 客服机器人被攻击者用来接管 Instagram 账号：攻击者只需在聊天中要求把目标账号绑定到新邮箱，机器人就把验证码发到攻击者邮箱并允许重置密码，全程无需技术能力，还用 VPN 伪装目标位置绕过自动防护。
Cloudflare 基于开源编码智能体 OpenCode 搭建 CI 原生的 AI 代码评审系统，用协调智能体调度最多 7 个按安全、性能、代码质量、文档、发布、内部规范划分的专职评审智能体，去重后只发一条结构化评审评论。
推荐理由：Cloudflare 公开了 CI 内多智能体代码评审的插件架构、风险分级与成本数据，可迁移到自建评审流水线。
Amp 本周宣布成立 Amp Labs，团队已与多家公司合作，新阶段从澳大利亚悉尼起步。Amp 官网同期发布《Software After Software》，阐述其对软件未来的判断以及 Amp 与 Amp Labs 的存在理由。联合创始人还做客 Mayank Gupta 播客，聊了自己如何进入编程、从练 Vim 到成为 Amp 联合创始人的经历。
OpenAI 创始成员卡帕西于 2026 年 5 月 19 日加入 Anthropic 预训练团队，Anthropic 为他新建了一个子团队。据预训练团队负责人 Joseph 在 X 上的说法，卡帕西将带领新团队用 Claude 加速预训练研究本身，即让 Claude 帮研究员提代码方案、写预训练代码、跑消融实验、生成并筛选训练数据，卡帕西负责把关。
GitHub 确认约 3800 个内部仓库被外泄，其中包括 Copilot 内部代码和 GitHub Actions 工作流源码，起因是一名员工安装了被 TeamPCP 投毒的 Nx Console 18.95.0 VS Code 扩展。
推荐理由：事件时间线和技术链路完整，可看清 VS Code 扩展供应链投毒如何窃取凭证并外泄内部仓库。
Codex 官方团队成员 jason（@jxnlco）分享把 Codex 用到极致的方法，核心是把持久对话流、语音输入、任务干预与排队、MCP 服务器和连接器、对话流自动化、目标设定以及侧边栏组合使用。
推荐理由：Codex 官方团队成员拆解持久对话流、任务干预、自动化与目标设定等用法，可迁移到日常智能体工作流。
Learn Harness Engineering 是一门专注 AI 编程智能体工程的课程，综合了 OpenAI 关于在 agent-first 世界中使用 Codex 的 harness engineering 实践，以及 Anthropic 关于长时运行智能体 harness 设计与应用开发的两篇文章。
宝玉梳理了 Forward Deployed Engineer（FDE）这一岗位：它指驻扎在客户公司现场写代码的工程师，介于软件工程师、方案架构师和咨询顾问之间，大致是 25% 写代码、50% 集成和调试、25% 开会沟通，最早由 Palantir 在 2010 年代定义。
作者 Martin Alderson 认为云托管的托管智能体（managed agents）会成为这一轮周期里的 AWS Lambda，强大且粘性高，一旦深入使用就很难迁移。
CVE-2026-44578（CVSS 8.6）影响 Next.js 13.4.13–15.5.15 和 16.0.0–16.2.4，未认证攻击者可用构造的 WebSocket upgrade 头经 Next.js 服务端代理访问云元数据端点，窃取 AWS IMDSv1、Azure IMDS、Oracle Cloud 等凭据。
宝玉观察到 Codex、Claude 桌面版、Cursor 3.0、TRAE SOLO 几乎同时收敛到左侧会话、中间对话、右侧工作区的三栏布局，认为这是 Agent 交互的当前最优解。
OpenAI 正在收缩微调业务，Drew Breunig 认为这会让前沿模型越来越像为自家 Harness 定制的"家电"而非通用平台。他指出，大实验室把 Harness 设计训练进模型，第三方 Harness 搭配前沿模型的价值将下降，而微调这条泛化退路也随之中断。对企业而言，应用构建可能更简单，代价是锁定。
文章系统拆解了 AI Agent Harness 的构造，即包裹大语言模型之外的编排循环、工具、记忆、上下文管理、状态持久化、错误处理和护栏等完整软件架构。
OpenAI 在 Codex 0.128.0 起提供 Goals 功能，把一次性提示词变成线程内持久目标，Codex 会持续对照测试、基准或产物等证据判断是否完成。
推荐理由：官方给出 Goals 的适用边界、六要素写法和生命周期命令，可据此判断何时该用持久目标替代一次性提示词。
Adversa AI 发布 TrustFall 研究，指出恶意仓库配置可让编码智能体在通过一次笼统的信任授权后启动攻击者控制的 MCP 服务器，从而在开发者工作站和 CI 环境中造成一键远程代码执行，可能访问本地凭据、仓库内容和工作流密钥。
Hugging Face 上一个仿冒 OpenAI Privacy Filter 的仓库登上热门榜第一、获得 244,000 次下载，随后在安装该模型的 Windows 机器上执行窃取凭据的 infostealer。
推荐理由：复盘 Hugging Face 上仿冒 OpenAI 仓库的投毒链条，展示热门榜如何被当作信任信号利用。
文章给出编码智能体指令的放置规则：多个智能体共用的规则放 AGENTS.md，GitHub Copilot 专属的放 .github/copilot-instructions.md。
作者提出让仓库对 AI 智能体友好的实用审计清单，核心是让智能体能快速回答行为在哪、什么不能改、怎么测、如何证明完成。清单包括在根目录放仓库地图、明确高风险区域、写出验证命令、用 AGENTS.md 提供跨工具通用说明，以及用 Zod schema、TypeScript 接口和测试名把契约变成可执行边界。
推荐理由：作者给出一份可逐条落地的仓库审计清单，说明如何让智能体快速找到模块、边界和验证命令。
2026 年 5 月，攻击者入侵 Braintrust 的 AWS 账号，窃取了集中存储的 org 级 AI 厂商 API 密钥，涉及 OpenAI、Anthropic 和 Google，所有客户被要求立即轮换凭证。
作者认为自定义指令文件只应放智能体无法自行推断的仓库事实，包括仓库地图、改动范围规则、验证命令、最终回答格式和禁止的捷径，而不应放人格设定、政策口号或一次性任务细节。
Augment Code 在模型选择器中新增 Prism，由一个小而快的规划模型在每个用户轮次前决定用哪个底层模型，官方称相比前沿推理模型每任务成本低约 20-30%，质量差异可忽略。
作者分享了自己常用的对抗式评审提示词，核心做法是让 Claude 派子智能体复查刚完成的工作，最简形式是“用全新的眼光再看一遍”。他指出让智能体自评存在目标冲突，因此对抗式评审更有效，不少人会用 Codex 等不同模型来评审 Claude 的工作。即使没有多模型环境，也可以让两个子智能体互相竞争，比如告诉它们找出严重问题最多的一方得五分，或得一块饼干，效果相近。
Augment Code 在 AGENTS.md 中前置约 2.5k 字符的 Karpathy 风格编码规则，用 Auggie、Claude Code、Codex 跑 OpenClaw 的 40 个 PR 做对照。
推荐理由：同一批 PR 上三种编码智能体的对照实测，说明提示词约束主要省成本而非提质量，并给出各 harness 差异。
Andrej Karpathy 在 Sequoia Capital 的 AI Ascent 访谈中提出，Vibe Coding 抬高所有人做软件的下限，Agentic Engineering 则要在用 Agent 提速的同时保住专业软件的质量、安全和责任门槛。
Ed Zitron 认为生成式 AI 的订阅制经济模型根本不可持续，因为服务商长期以远低于真实算力成本的价格补贴用户。
PocketOS 据报在一次 Railway API 调用中丢失生产数据库和卷级备份，整个过程仅 9 秒，人类来不及介入。事故分析指出危险能力不在代码生成，而在于智能体持有具备生产破坏权限的云厂商令牌；仅靠 PR 门禁看不到绕过代码仓库的直接 Railway API 删除，授权检查应前置到删除生产数据或备份的云厂商 API 调用之前，并要求签名回执写明生产环境、资源、动作和签署人。
推荐理由：复盘一次智能体凭令牌直接删除生产库与备份的事故，指出授权检查应放在云厂商 API 调用之前。
GPT-5.5 发布后，作者用个人品牌网页、2D RPG 小游戏和开放式创意三个任务对比 Claude Code。GPT-5.5 上下文升至 400k，Terminal Bench 2.0 准确率 82%，高于 GPT-5.4 的 75% 和 Claude Opus 4.7 的 69%，价格比 GPT-5.4 翻倍。
Lovable 在早期访问中测试 GPT-5.5，其内部基准显示最难任务通过率从 GPT-5.4 的 36.9% 升至 41.6%，每次请求工具调用减少 23.1%，用户卡住的消息占比下降 9.9%。GPT-5.5 每请求输出 token 减少 33%，日常任务成本效率提升约 15%，将很快向 Lovable 构建者开放。
Teddy Riker 认为人与软件的交互正在从“用户→界面→数据库”转向“用户→用户的 AI 智能体→软件自己的 AI 智能体→数据库”，未来 80% 的交互会经由 AI 智能体完成。
攻击者劫持 Bitwarden 的 CI/CD 流水线，向 npm 发布恶意 @bitwarden/[email protected]，在 2026 年 4 月 22 日 5:57–7:30 PM ET 的 90 分钟窗口内被 334 名开发者安装。
推荐理由：复盘了恶意 npm 包如何定向窃取 AI 编程工具凭证，并给出 90 分钟窗口与影响范围等可核查细节。
约翰霍普金斯研究者 Aonan Guan 利用 PR 标题提示词注入，从 Claude Code Security Review、Gemini CLI Action 和 GitHub Copilot 中窃取 API 密钥与 GitHub token。
推荐理由：约翰霍普金斯研究者用 PR 标题注入从三个 AI 编程智能体中窃取凭据，三家厂商均静默修复并支付漏洞赏金。
Ryan Lopopolo 认为，AI 让验证问题变得明显，因为每个真实任务都依赖一个我们几乎从不写下来的问题，即怎样才算把活干好。产出和评审都涉及语气、品味、风险容忍度、打磨程度、可接受的捷径和完成标准等大量非功能性决策，过去团队靠组织设计、社交规范、招聘和入职把这些隐含规则传递给人，而模型无法走招聘流程，因此交给它的任务基本都欠规范。
推荐理由：作者以在 OpenAI 做代码智能体的经历说明，非功能性需求不写下来，评审智能体就会陷入无休止的拉扯。
作者对比了 AI 设计工具的三个层次：代码优先的设计 Skill（Anthropic frontend-design、Impeccable 及社区分支）、Figma AI 插件（Banani、UX Pilot、Uizard）和 prompt-to-app 构建器（Lovable）。
OpenAI Codex 产品负责人 Alexander Embiricos 和开发者体验负责人 Romain Huet 在 Behind the Craft 节目中讲述 Codex 团队如何用自己的产品构建产品。
Martin Alderson 认为未来 18-24 个月将由算力短缺主导，因为需求呈指数增长而供给只是线性增加。他引用 GitHub COO 的数据称 GitHub 近 3 个月提交量年化增长约 14 倍，并提到 OpenAI Codex 团队负责人 Thibault Sottiaux 表示行业正处于需求超过供给的阶段。
OpenAI 联合创始人兼总裁 Greg Brockman 在 Big Technology Podcast 访谈中确认下一代预训练基础模型 Spud 已完成预训练，凝聚约两年研究成果，但未给出任何 benchmark 分数。
过去一周有攻击者接连投毒多个开源包，从 Trivy 开始，波及 Telnyx（受影响包约 15 万次/周下载）、LiteLLM（约 2200 万次/周）以及 3 月 31 日被攻击的 axios npm 包（至少 1 亿次/周下载），恶意版本会植入木马窃取安装机器的敏感数据。