大家都知道调用 Subagent，但几乎没人记得 Subagent 可以设定身份提示词，更没人知道 如果这个功能结合 Claude Code 最新的动态工作流（Dynamic Workflows），到底有多牛，一篇文章教会你 动态工作流到底是什么？ 简单说，就是 Claude 会根据你的任务，自动写一个 JavaScript 编排脚本，然后启动几十到上百个 Subagent 并行干活 关键点在于： 支持16个并行执行 单个工作流最多协调1000个 Subagent 每个 Subagent 跑完任务后，结果先进脚本变量做交叉验证，不污染主上下文 只有验证通过的最终结果才回到你面前 这跟传统 Subagent 有本质区别 传统方式：每个 Subagent 的结果都回到 Claude 的上下文，Claude 再决定下一步干啥，编排逻辑在 Claude 脑子里 动态工作流：编排逻辑写成代码，中间结果不进主上下文，只回最终答案，schema 自动校验、并发自动管控 这就是为什么身份提示词这么重要 当你要协调上百个 Agent 并行工作时，如果每个 Agent 都是通用身份，那就弱化了编排的重要性 必须给每个 Agent 定义清晰的身份和职责边界 举个例子，我最近在做代码安全审计 传统做法：让 Claude 扫一遍代码，给你一份报告，你也不知道它有没有漏掉什么 用动态工作流 + 身份化 Subagent: 让 Claude 生成一个 workflow Workflow 自动创建专业化 Agent 团队： SQL 注入检测 Agent：只检查数据库查询相关代码 XSS 漏洞扫描 Agent：专注前端输入输出点 认证鉴权审查 Agent：检查每个 API 端点的权限验证 敏感信息泄露 Agent：扫描日志、错误信息里的密钥泄露 依赖漏洞检测 Agent：检查第三方库的已知漏洞 每个 Agent 在独立上下文里工作，互不干扰 跑完后，再启动一个“怀疑论者 Agent”交叉验证所有发现 最后给你一份经过对抗式验证的完整报告 如何实操，直接上手 第一步：创建专业化 Subagent 在 Claude Code 里输入 /agents，创建你的第一个专业 Agent 举例，创建一个“API 安全审计专家”: 角色名: api-security-auditor 系统提示词: 你是一个API安全审计专家,专注检查以下问题: 1. 未经认证的端点访问 2. 缺失的权限验证 3. SQL注入风险点 4. 敏感数据未加密传输 5. 不安全的会话管理 工具权限: - 只读代码权限 - 可以运行静态分析工具 - 禁止修改任何代码 输出格式: 每个发现的问题必须包含: - 文件路径和行号 - 漏洞类型 - 风险等级(高/中/低) - 修复建议 保存后，这个 Agent 就可以在 workflow 里被调用了 第二步：触发动态工作流 直接在对话里说：“创建一个 workflow，对整个项目做 API 安全审计” Claude 会： 分析你的代码库结构 自动写一个编排脚本 启动多个 api-security-auditor 实例，每个负责一部分文件 并行扫描，结果汇总验证 给你一份完整报告 或者用 ultracode 模式，直接开启 xhigh 推理强度 + 自动 workflow 编排 第三步：监控进度 用 /workflows 命令实时查看进度 能看到： 当前运行了多少个 Subagent 每个 Agent 的任务状态 Token 消耗情况 预计完成时间 为什么说这是被忽略的功能 因为大多数人停留在“AI 能写代码”这个认知层 看到 Cursor、Claude Code 能写代码就满足了 但真正的效率跃升，在于你能不能像架构师一样，把复杂任务拆解成可并行的子任务，然后用专业化 Agent 团队去执行 这不是工具的问题，这就是认知的问题 就像给你一台超级计算机，你只用来打字，那跟普通电脑没区别 动态工作流 + 专业化 Subagent，让你拥有了一支可以并行作战的 AI 军团 这才是真正的降维打击 你会发现，之前的 AI 编程方式，真的是在浪费这个工具的潜力

今天又更新了一波： 1️⃣新增敏感信息拦截 Hook。写了一个 PreToolUse Hook 脚本，Claude 每次要往文件里写东西之前，自动扫描内容有没有 API Key、密码、Token 这类敏感信息。匹配到就直接拦截，不让写入。 2️⃣API Key 安全规范，所有密钥统一放到 CLAUDE.local.md（不提交到 git），CLAUDE.md 只写引用说明。Hook + 规范双保险。 3️⃣上下文管理建议。加了一条规则：对话超过 20 轮复杂任务时，主动建议你 /compact。切换任务时建议 /clear。

聊几句 @SignalPlusCN 2.0的系统，目前看来内测也进入倒计时了，我简单聊一些我的使用感受 1 核心是解决了开发环境问题，很多人几台不同机器，配置个codex还要弄各种环境和梯子发布之类的，实在太麻烦，更别提还要自己部署域名发布等一系列的问题了。这个os都给你打包好了。换任何终端都可以连接操作，甚至手机端都可以···· 2 解决了api的安全性问题，基于signalplus之前的云端交易工具的经验，以及通过了几大安全认证，这个api部署的风险远远低于新手自己去租一台服务器放私钥或者交易软件。 3 解决了数据源的问题，不需要自己去市面上购买，平台自带各种数据源（陆续完善ing） ps：内地有一些也带，但是不方便去外网整合。 今天先聊到这里，改天演示一个我开发的游戏在上面。

说个暴论，未来编程还是要分前端和后端。 后端做构架，设计API，考虑系统安全和扩展性。 前端负责用户看见部分的体验，但做这个事情的人可能是现在的运营，产品，设计，和传统意义的前端。 前端岗对人的综合能力要求变高了。

挖到一个币圈开发者绕不开的老祖级仓库：CCXT 很多交易机器人、套利脚本、行情监控，底层都可能用过它。 它不是喊单工具，也不是暴富机器人 它干的是最底层的事： 把 Binance、OKX、Bybit、Gate、Kraken 等 100+ 交易所 API，统一成一套调用方式。 不然你接交易所接口就是灾难现场： Binance 一套， OKX 一套， Bybit 一套， Gate 又一套。 光看文档就能看到头皮发麻。 CCXT 相当于给交易所接口装了一个“万能转换头”。 能拉行情、K线、订单簿、成交记录，也能查余额、下单、撤单。 说白了： 行情监控、套利提醒、交易机器人、量化系统，很多都绕不开它。 安全提醒： API Key 不要开提现权限。 别直接跑来路不明的策略。 开源不等于安全，Star 多也不代表没后门。 币圈工具这玩意，别看包装多漂亮，有些就是黄鼠狼给鸡拜年，没安好心。 链接：

美国国土安全部发布命令禁止美国联邦机构使用深度求索的 #DeepSeek# 模型及使用 DS 模型开发的产品。 不过理由倒是有点蹩脚，即担心数据安全问题，问题是这些机构调用的 DS 模型都是美国托管商处理的，并不是直接采购深度求索的 API。 所以相关数据也都是美国托管商处理，说数据泄露给深度求索多少有些站不住脚。 查看全文：

账号安全指南 核心教训：即使开启多重2FA，攻击者仍可通过账户恢复/重置流程、设备/凭证泄露或诱导用户完成验证来接管账户。 1. 平台账户安全 ▪️开启所有2FA：优先使用Google验证码或硬件密钥（YubiKey等），避免仅依赖短信。同时设置资金密码。 ▪️开启提现白名单：只允许已验证地址提现，新地址必须额外验证。 ▪️定期自查：每周检查登录历史、绑定设备、API权限、最近活动。发现异常立即联系官方客服（通过App内官方渠道）。 ▪️反钓鱼设置：开启平台提供的反钓鱼码/邮件验证等功能。 ▪️不要轻易重置安全项：收到重置通知时，先通过官方App/网站独立验证，不要直接操作。 2. 设备与凭证安全（170万U被盗事件中旧设备 + Passkey 是关键疑点） ▪️硬件优先：大额资产不要长期放CEX，用硬件钱包冷存储。 ▪️设备管理：及时更新系统和App；不要在旧设备/公共设备保存Passkey或自动登录；避免公共WiFi操作账户。 ▪️密码与密钥管理：使用密码管理器生成强唯一密码；2FA种子备份离线保存（不要截图存云或手机相册）。 3. 防范社交工程与钓鱼 ▪️绝不提供敏感信息：无论对方自称某某客服、支持、还是“安全团队”，永远不要提供验证码、视频录屏、手持身份证照片、历史交易记录、屏幕共享等。这类信息常被用于绕过平台验证。 ▪️只用官方渠道：登录必须通过官网/App，仔细核对域名；客服只通过App内官方入口联系。 ▪️警惕常见骗局：可疑邮件/SMS/DM/电话称“账户异常”“需验证”“奖励”等，一律不点链接、不回复。 ▪️如果收到重置通知：立即用官方渠道联系客服确认，同时检查邮箱/手机是否有异常登录。 我选择了一个新办法，用我老公KYC一个新账号，但问题来了，哪天吵架了他不让我扫脸咋办啊🤡

手上的 API 太多了，各种 IP 直接去请求也太不方便，所以一直走 gateway，之前用的是 LiteLLM。早就想换了，bug 太几把多了，提 PR 也不合并。 而且它今年安全上接连出事，3 月 PyPI 上的包被投毒，4 月爆了个不用认证就能打的 SQL 注入，6 月又来一条 RCE 链。gateway 里存的又是所有上游的 key。 准备换成 New API 了，直接部署在自己的 VPS 上。各家的 API 都能直接加成渠道，常用的客户端也基本都能直接接。 本来还在看更轻的 Bifrost，最后选 New API，主要是作者 @Ion_Mio_ 关注我了

WEEX API，连接每一种专业交易方式🌐 不同的用户，有不同的交易需求；同一个 API，可以支撑更多可能。 📈 量化交易用户：自动执行策略，把握市场机会。 ⚙️ 策略交易用户：行情获取、策略接入、批量下单，提升交易效率。 🤖 AI Builder：连接 AI 与交易能力，探索智能化交易体验。 🤝 Broker / 合作伙伴：用户、资产、佣金统一管理，构建更完善的业务体系。 无论是开发工具、部署策略，还是拓展业务，WEEX API 都提供稳定、安全、高效的官方接入能力。 立即探索 WEEX OpenAPI 👇 #WEEX# #OpenAPI# #API交易#

三，#OKX的API风险到底有多大# 作为一个使用API产品7年的老量化玩家，接下来我来一一分析： OKX与其派了这么多公关回复我，不如把自己产品安全性做好，并对此次受损用户承担相应责任，这样大家才敢持续用。 1️⃣，上文回复@Haiteng_okx 关于OKX的API交易权限问题。 API文档内 #API交易权限# 根本不包括赚币赎回，如图1。 但却给我们所有受损用户 #赚币赎回# #资金账户划转，最奇葩的是，##开着合约冷静期的用户也被你们API对敲了合约至归零，搞笑么？# 这方面真得向@binance 学习，之前币安出了一起API盗刷事件，可以问下@heyibinance 和@cz_binance 当时是怎么一系列处理的。我作为经历者非常清楚，大家评论区也可以聊聊关于交易所API的一些个人亲身经历，两平台到底有何区别？ 2️⃣，因为我两边的API都在同时用，图2看看 #币安的API权限，真的是安全太多了。既然OKX一直说# #蚂蚁量化# 泄露了用户 #API# key，那为什么我们接入币安的API用户就没有出问题，难道自己不能反思并增加一下产品安全性吗？ 虽说我推广OKX节点6年了，可以算半个 #OK人# 了，但咱们有问题真的要改正，认真把用户安全做好，你再对用户漠视，好么？ 3️⃣，一边说自己API没有任何问题，拒不承担责任，一边 #偷偷升级API，图3事发前的API界面，图4升级后后的API界面，难道大家眼睛瞎吗？# 4️⃣我这里做了一份 #关于OKX的API产品优化列举，放心你们评估够肯定会改的，这些东西我一分钱不收的，仅仅是为了# #OKX情怀，就是希望咱把产品安全做好，有这么难吗？我一个不拿你们工资的散户都能认真钻研OKX的产品，给你们提建议，怎么就不能虚心接受并改正呢？#@star_okx