工具的默认协商在你没改配置时换代:7/28 无状态化的 MCP 规格,9 月才以默认落到两家 harness;能力面同周扩到浏览器与桌面

热度盘面 Top 5

1. #1 anthropics/claude-code 发布

   2.1.274(9/17)继续把『判不准就退回询问』做实:对循环/赋值特定 shell 变量的 Bash 命令现在改为询问权限,worktree 隔离会话里带嵌套 shell 展开的 Bash 命令直接拒绝,并修 Edit 审批预览在多字节文件里可能显示与最终写入不同的位置、删含 submodule 的 agent worktree 前加安全校验。MCP 侧:Bedrock/Vertex/Foundry 与关闭遥测的安装默认使用 v2 MCP 客户端、协商 MCP 2026-07-28(可用 MCP_SDK_GENERATION=v1 / MCP_PROTOCOL_NEGOTIATION=legacy 退回);新增 CLAUDE_CODE_MCP_STARTUP_WAIT_MS 约束首轮等待,403 insufficient_scope 不再被误报为登录过期,而是点名缺失权限并指向 /mcp。另有:Stop prompt hook 每次 block 不再重发整段 prompt(重复 block 改为 500 字符条件标签)、内存临界时显式告警且仅在内存极低时才停后台命令、坏掉的 transcript 自愈而非无限重试『unexpected tool_use_id』400。

   编辑注 两条都值得抄:判不准的 Bash 回到『问』,以及答不对时不静默——403 点名缺哪个权限、坏 transcript 自愈而不是空转。更该立刻处理的是默认协商:企业安装或自建 MCP 网关先用那两个 opt-out 环境变量钉住旧版本,别让一次升级把协议协商换掉。

2. #2 deepseek-ai/deepseek-harness 发布

   v0.1.6-alpha.1(9/15,预发布)把执行面一次扩到浏览器与桌面:实验性 Browser Use(Playwright MCP、Chrome DevTools MCP、Stagehand 三个后端)、实验性 Computer Use(Cua 驱动 MCP 或原生驱动,可操作本机并截图)、SSH 远程工作区(文件/命令/PTC 工具对远端执行,模型调用与会话仍在本地)。同一版做收敛:MCP 换到官方 SDK v2(加协商、分页工具表、支持无工具 server、资源发现与 URI 模板);PTC 重构为 ptc-runtime,Node PTC 在独立进程、受会话文件策略约束、带输出与堆上限并给空 process.env;SandboxProvider.confine 与 ShellExecutor.start 改为可取消的 async API;移除内置 E2B 后端、默认关闭 Ralph。官方 caveat:取消任务不会撤销已执行的动作。

   编辑注 一手扩能力、一手补上限与取消,方向对;但『取消不追回』意味着浏览器/桌面这类有外部副作用的动作,护栏必须前置到批准那一步——给 Computer Use 单独设权限与可回滚的边界,别等跑完再过滤。

3. #3 arXiv:2609.08371 研究

   论文 Authority Is Not a String: A Capability-Scoped Harness for Prompt-Injection-Resistant Coding Agents(9/8 预印本)在 Pi 这个 TypeScript coding-agent toolkit 上实现 CapScope:从可信输入(用户请求、系统提示、私有设置)推出一次任务级的权限上限,把带谓词的『能力』存在模型上下文之外,每个子 agent 只拿自己那一步的子集,每次工具调用都对照发起方所持能力、经 pre-dispatch hook 在派发前拦截;注入文本能影响某次调用或子 agent 授权,却无法扩大任务级上限。评测:5 个 Python 修复任务 × 5 种注入面 × 4 种授权条件 × 3 次,共 300 次运行,注入生效从基线 33–47/75 降到 3/75,修复完成度 68–72/75 对 68/75。

   编辑注 它把判据从『工具名字』换成『这次调用由谁、持什么能力发起』,而且不靠检测恶意文本——权限上限在不可信字节进入上下文前就定了。要在 Pi 或自建 harness 上照搬,先看它的 pre-dispatch hook 与 per-principal 状态怎么在进程隔离的子 agent 间各自播种。

4. #4 cloudflare/security-audit-skill 工具

   Cloudflare 开源的 security-audit-skill(约 7.3k★/422 fork,MIT,仓库建于 2026-06-18)把一个多阶段安全审计流程做成 coding-agent skill:侦察阶段把架构、信任边界与输入面写进 architecture.md 与 coverage-ledger.json;按 ledger 分派隔离 hunter 并配 coverage critic 找缺口;候选漏洞交给全新的 verifier 专职证伪;输出按 report-schema.json 落成 confirmed/needs_validation/rejected;再由独立 agent 复核记录,产出 target-neutral 的报告。仓库自述该 skill 曾孵化 Cloudflare 的漏洞发现 harness,9/17 日榜上居前。

   编辑注 值得抄的是形状,不是成品:用 coverage-ledger 给隔离 hunter 记账、让新 agent 专职证伪候选、报告按 schema 分三档且复核独立——这把多 agent 审计从并行撒网变成可计量的覆盖。跟法:读 HUNTING 与 VALIDATION 两篇,而不是整包照用。

5. #5 google-gemini/gemini-cli 发布

   v0.62.0-nightly.20260916.g6a466a7e2(9/16,预发布)里两处 core 修:确保 AgentLoopContext 的属性在对象展开(object spread)后不丢失(#29335),以及把 MCP 工具调用标题格式化为结构化签名并分离其说明(#29341);另 a2a-server 在 tasks 元数据端点对不支持的 store 提前返回(#29334),sandbox 镜像 URI 随版本号一并更新。

   编辑注 nightly 才是现状:agent loop 的上下文会在对象展开里被静默丢字段,这类状态层静默失败平时不报错、只让行为飘。若你在自建 loop,把『上下文对象能否安全展开』当成一条自查项。

雷达上值得盯的 2 件事