MCP Server 的使用和编写、工具调用的配置与安全。
作者用自建的 mcpspan 对演示订票 MCP server 做埋点分析，总结出五类日志里看不到的智能体调用问题：智能体猜测不存在的工具名、参数不符合 schema 被 SDK 在 handler 前拒绝、工具描述措辞导致参数类型理解错误、同一参数反复重试的循环，以及响应体积过大挤占上下文窗口。
推荐理由：作者用自建 MCP 分析工具实测出五类日志里看不到的智能体调用失败模式，可迁移到自己的 MCP server 排查。
作者认为提示词注入不该靠更聪明的模型解决，而应像 SQL 注入用参数化查询那样，把边界画在智能体执行动作的地方。
推荐理由：作者把提示词注入类比 SQL 注入，主张把边界从模型移到工具调用层，并给出可落地的策略层与读写分阶段方案。
作者在 2 月给编码智能体接了 11 个 MCP Server，空会话光工具列表就占 34,000 token，Datadog 一家贡献两百多个工具，智能体变慢并频繁选错工具。
推荐理由：作者用自己 11 个 MCP Server 拖垮上下文的经历，说明工具与知识该放在不同容器里。
Pennyforge 对某公开 MCP 注册表 a–b 切片中 186 个端点里能响应 initialize 的 78 个服务器做了匿名健康探测，只有 40 个（51.3%）能走通 initialize→tools/list→一次安全 tools/call 的完整流程。
推荐理由：对 78 个注册表 MCP 服务器做匿名健康探测，给出分层鉴权与规范版本迁移的可复现数据。
Flash-Agents 是一个 Claude Code 插件，把实现切片、移植测试、审查 diff、梳理代码库这类有边界的编码工作交给 DeepSeek V4.1 Flash worker，Claude 保留架构、验收标准和最终审查。
推荐理由：作者把 Claude Code 的编码任务外包给 DeepSeek Flash worker，并给出沙箱、补丁与实测数据，可据此判断成本与安全边界。
Spill 是一个 Apache-2.0 开源工具，通过 Hook 拦截超过 32 KiB 的 MCP 工具返回，将其存为本地 DuckDB 表（~/.spill/spill.duckdb），智能体只拿到一个紧凑描述符，再用 SQL 查询而不是读入 5 万 token 的原始 JSON。
推荐理由：Spill 把超大 MCP 返回落到本地 DuckDB，让智能体用 SQL 取数，为上下文窗口紧张提供了一种可复用的思路。
作者开源了 Project Athena v9.9.9 内核（MIT 许可），一套本地优先的记忆与治理框架，用于解决 Claude Code 反复纠正、子智能体越界改文件、以及中途撞上额度上限后状态丢失的问题。
推荐理由：作者用 1900 次会话验证的 CLAUDE.md 瘦身与本地记忆方案，给出了可直接复用的目录结构和验证规则。
作者搭建 mcp-transparency-log，按计划爬取官方 MCP 注册表中所有公开可达的服务器，记录其工具名、描述、JSON schema 和四个 annotation 提示，写入带签名树头的 append-only 日志。
推荐理由：作者连续 37 天夜间爬取 MCP 官方注册表，用可复现的日志量化工具面变化，并公开了两次错误修正过程。
RugSnare 是一个针对 MCP 工具描述的运行时完整性工具，对每个已批准工具的 { name, description, inputSchema } 做规范化哈希固定，之后任何静默变更都会触发告警并让 CI 失败（exit 1）。
推荐理由：RugSnare 把 MCP 工具描述做哈希固定，在批准之后持续检测静默变更，并给出 66 组官方 server 版本的实测数据。
Earendil 团队于 10 月 1 日发布 Agent Harness Pi 1.0，GitHub 仓库约 11.1 万 Star、1.4 万 Fork，同时推出实验性新包 Pi Durable。
推荐理由：Pi 1.0 与 Pi Durable 把检查点、幂等提交、所有权树等分布式概念搬进 Agent 运行时，可据此判断长时运行 Agent 的工程取舍。
Simon Willison 在旧金山 Fort Mason 现场直播 OpenAI DevDay 2026 主题演讲，OpenAI 发布个人智能体 Dots、ChatGPT Space、GPT-6.1 Sol 与 Ultrafast 等产品。
推荐理由：现场逐条记录 OpenAI DevDay 发布内容，可快速了解 Dots、GPT-6.1 Sol、Ultrafast 与 Codex Security 的实际形态。
OpenAI 在 9 月 29 日旧金山 DevDay 上发布 GPT-6.1 Sol，API 名为 gpt-6.1-sol，定价为每百万输入 token 2 美元、输出 10 美元，缓存输入 0.10 美元，标准价格是 GPT-6 Astra 的五分之一。
推荐理由：OpenAI DevDay 发布 GPT-6.1 Sol，价格降至 Astra 的五分之一，并同步更新 Codex、Agents API 与插件体系，可据此判断成本与工具链变化。
开源项目 Paseo 把 Claude Code、Codex、OpenCode 和 Pi 等命令行 Agent 收进同一个管理界面，所有 Agent 仍跑在本地电脑上，目前已有 18700+ Star。
推荐理由：原文展示了把多个命令行 Agent 收进同一界面并跨 Agent 交接任务的做法，适合同时跑多个 Agent 的开发者参考。
作者用 629 条 AgentDojo 注入攻击（每条埋在真实工具输出中）和 97 条正常样本，实测 10 个开源提示词注入检测器。
推荐理由：作者用 629 条真实注入攻击实测 10 个开源检测器，给出默认阈值与校准后的完整对比数据。
Cline 发布开源桌面应用 Cline Desktop 的早期版本，把原本在 VS Code 扩展和 CLI 中的智能体运行框架搬进独立工作区，支持并行会话、定时任务和用于扩展工具与集成的 Marketplace。
推荐理由：官方给出桌面端的能力边界与开放入口，读者可据此判断它是否适合承接多智能体并行任务。
一个六人移动端团队用 Cursor 的 hooks、safe-list 和 Telegram 机器人，把项目约定从提示词变成运行时强制。
推荐理由：作者把 Cursor 的 hooks、safe-list 和 Telegram 机器人串成一套可复用的团队协作方案，读者能据此判断哪些约束该交给运行时而非提示词。
文章梳理了攻击者进入编码智能体工具的三条路径，即工具返回的文本、接入的 MCP 服务器和配置中的密钥，并对照 Claude Code、Codex CLI、Gemini CLI 文档在 2026-09-07 各自承诺的控制措施。
推荐理由：文章梳理了编码智能体三条攻击路径，并给出一个只读配置的 Python 审计脚本，可直接用于 CI 检查。
作者 Ryan Lopopolo 提出，智能体是一组能力之上的参数化程序，这些能力包括模型与配置、推理与工具调用循环、计算机、磁盘、上下文、Skills、工具、连接器、运行时、网络策略、身份、IAM、护栏、I/O 通道和系统提示词。
推荐理由：作者用自己构建多个智能体的经历，提出把能力接口与实现解耦的平台架构思路，可供做 Agent 平台的团队参考。
Cursor 支持自托管机器，代码库、构建产物和密钥都保留在自有基础设施的内部机器上，由智能体在本地处理工具调用。My Machines 用于把单台笔记本或 VM 接入个人工作流，团队池则是面向团队或企业的具名 worker 队列，容量随请求扩容、worker 断开时缩容，池不与代码仓库绑定，并支持闲置机器休眠后在重连窗口内恢复。
推荐理由：官方给出自托管机器的池化调度与沙箱接入方式，读者可据此判断工具执行能否留在自有网络内。
作者用一条针对性的提示注入攻击链，在 Claude Code Opus 5 Auto Mode 下取得 60-80% 的攻击成功率（小样本），而 Anthropic 委托的第三方评测曾给出 0.00% 的注入成功率。
推荐理由：作者用一条模块遮蔽攻击链在 Auto Mode 下拿到 60-80% 成功率，说明分类器不是沙箱。