MCP Server 的使用和编写、工具调用的配置与安全。
Mitiga Labs 披露一条针对 Claude Code 的攻击路径：恶意 npm 包通过 postinstall 钩子修改 ~/.claude.json，把 MCP 服务器 URL 替换为攻击者代理，使每次 MCP 会话的 OAuth token 和 SaaS 凭据都经攻击者基础设施转发。
推荐理由：披露了恶意 npm 包通过篡改 MCP 配置劫持 OAuth token 的完整攻击链，并指出配置变更缺少授权校验这一根因。
Cline 的 kanban WebSocket 服务在 localhost 上无认证运行，任意网页可连接 ws://127.0.0.1:3484/api/terminal/io 直接向 Agent 终端 PTY 注入 shell 命令，实现未认证的终端劫持与远程代码执行，CVSS 9.3，影响 v2.13.0 之前所有版本，披露时无补丁。
推荐理由：CVE-2026-44211 的完整链路与根因拆解，可帮助开发者判断本地 Agent 终端的暴露面。
Claude Code 团队成员 Thariq 提出用 HTML 替代 Markdown 作为 AI 智能体的输出格式，理由是 HTML 信息密度更高、便于分享和双向交互，而 Markdown 的易编辑优势在他改用提示词修改后已不再重要。
推荐理由：Claude Code 团队成员解释为何用 HTML 替代 Markdown 作为智能体输出格式，并给出可直接套用的提示词与适用场景。
Microsoft Security 披露 Semantic Kernel 的两个漏洞 CVE-2026-25592 和 CVE-2026-26030，提示词注入可把 AI 模型输出变成主机级远程代码执行。
推荐理由：材料梳理了 Semantic Kernel 两个漏洞的成因与补丁版本，可帮助使用该框架的团队判断自身暴露面。
PocketOS 据报在一次 Railway API 调用中丢失生产数据库和卷级备份，整个过程仅 9 秒，人类来不及介入。事故分析指出危险能力不在代码生成，而在于智能体持有具备生产破坏权限的云厂商令牌；仅靠 PR 门禁看不到绕过代码仓库的直接 Railway API 删除，授权检查应前置到删除生产数据或备份的云厂商 API 调用之前，并要求签名回执写明生产环境、资源、动作和签署人。
推荐理由：复盘一次智能体凭令牌直接删除生产库与备份的事故，指出授权检查应放在云厂商 API 调用之前。
OpenClaw 中四个串联 CVE 影响约 24.5 万台公网暴露的 AI 智能体服务器，攻击者可窃取凭据、提权到 owner 级网关控制并在主机植入持久后门。
推荐理由：梳理四个 CVE 的串联路径与授权边界缺失，可帮助部署 OpenClaw 的团队判断自身暴露面。
Anthropic 的 Thariq Shihipar 复盘了 Claude Code 工具设计中的取舍，核心主张是工具要贴合模型自身能力，而判断能力边界只能靠观察输出和反复实验。
推荐理由：Anthropic 工程师复盘 Claude Code 工具设计的取舍，给出可迁移到自建智能体的判断方法。
Drew Breunig 根据上周意外泄露的 Claude Code 源码，梳理出系统提示词的拼装结构：各组件分为始终包含和条件包含两类，并随 output_style、repl_mode、user_type_ant、skills_enabled、mcp_connected 等开关变化。
推荐理由：作者梳理 Claude Code 系统提示词的动态拼装逻辑，展示条件化上下文工程的实际做法。
Bassim Eledath 把 AI 辅助编程的实践路径划分为 8 个等级，从 Tab 补全、智能体 IDE，到上下文工程、复合工程、MCP 与技能、Harness Engineering、后台智能体，最后到自主智能体团队。
推荐理由：作者把 AI 辅助编程从 Tab 补全到自主智能体团队划成 8 个等级，读者可据此定位自己团队所处阶段。
OpenAI 宣布 Codex 可通过 Figma MCP Server 生成 Figma 设计文件，并支持设计稿与代码双向流转。
推荐理由：官方给出 Codex 与 Figma MCP 双向打通的具体操作步骤，读者可据此判断设计到代码的往返流程能否落地。
Martin Fowler 团队的文章梳理了编码智能体的上下文工程，把上下文配置分为可复用提示词（指令与指导两类）、上下文接口（工具、MCP Server、Skills）和工作区文件，并按“谁决定加载”分为 LLM、人类和智能体软件三类。
推荐理由：以 Claude Code 为例梳理编码智能体的上下文配置手段，并给出按需加载与逐步构建的取舍思路。
Wiz 研究人员从 Moltbook 生产环境 Next.js 静态 JS 包中提取出硬编码的 Supabase API key，无需认证即可对生产数据库读写，暴露 150 万 agent API token、3.5 万个邮箱地址和私有消息。
推荐理由：复盘了硬编码密钥、缺失 RLS 与无授权边界三层叠加如何让 150 万 agent token 可被任意读取。
OpenClaw 的 Web 控制 UI 存在跨站 WebSocket 劫持漏洞 CVE-2026-25253（CVSS 8.8），攻击者诱导受害者访问恶意链接后，可静默窃取 OpenClaw 认证 token，并直连受害者本机 OpenClaw 实例执行任意命令，从而完全控制开发者工作站，获得文件读写与 shell 执行权限。
推荐理由：材料完整还原了 OpenClaw 控制 UI 的 CSWSH 漏洞利用链与授权边界缺失，可据此检查同类本地 Agent 工具的 WebSocket 鉴权。
Skyscanner 工程师把 OpenAI 的 Codex CLI 接入 JetBrains IDE 的 MCP server，让 Codex 能调用 IDE 的 get_file_problems 检查文件错误、执行预设的 run configurations 跑测试和 lint。
推荐理由：Skyscanner 工程师把 Codex CLI 接入 JetBrains MCP，让 AI 直接读取 IDE 报错并跑测试，读者可借鉴这套反馈闭环。
Dragos 调查显示，攻击者用 Claude Code 和 OpenAI GPT-4.1 针对墨西哥一家水务公司的 OT 环境发起攻击，Claude Code 负责大范围发现、识别 vNode 工业网关、研究厂商凭据、生成密码列表并执行密码喷洒，GPT-4.1 负责结构化数据分析和西班牙语输出。
推荐理由：Dragos 复盘了攻击者用 Claude Code 与 GPT-4.1 对墨西哥水务 OT 环境做侦察和密码喷洒的完整链路，可看到 AI 在入侵生命周期中的实际分工。
作者为 Claude Code 构建了 episodic-memory 插件，让它能检索过去的会话记录。Claude Code 默认把 ~/.claude/projects 下的 .jsonl 会话日志在一个月后删除，可通过 ~/.claude/settings.json 的 cleanupPeriodDays 延长保留。
推荐理由：作者把 Claude Code 的会话日志做成可语义检索的情景记忆，读者可据此判断长期上下文如何跨会话保留。
作者为 Claude Code 自建了轻量 Chrome MCP 与 Skill，名为 superpowers-chrome，启动时 MCP 配置仅占 947 token，而微软 Playwright MCP 仅可用状态就要 13678 token（约占上下文窗口 7%）。
推荐理由：作者用自建 Chrome MCP 对比 Playwright MCP 的 token 开销，给出面向 LLM 设计工具接口的具体取舍。
Anthropic 在 Claude Code、Claude.ai 和 Claude API 同步上线第一方 Skills 系统，作者 Jesse Vincent 随即发布改用官方 Skills 的 Superpowers 新版本。
推荐理由：作者以近一个月的实际使用经验，对比官方 Skills 与自建方案的差异，并给出迁移中的取舍。
Manus 团队分享了构建 AI 智能体过程中总结的上下文工程经验，核心是围绕 KV 缓存设计、用遮蔽而非移除管理工具、把文件系统当作上下文、通过复述待办事项操控注意力、保留错误内容以及避免被少样本示例困住。
推荐理由：Manus 团队把四次重写代理框架的经验归纳成六条上下文工程原则，可直接对照自己的 Agent 实现。