Cloudflare 开源了一个 security audit skill，挺值得研究一下。 我看了下它的 6 阶段审查，整个流程约束很严。 里面有个设计很好：找漏洞和验证漏洞，必须是不同 Agent。 做 Agent Harness 的可以抄不少东西。

Cloudflare 团队把其内部找漏洞的那套方法做成了一个 Skill，叫 security-audit，并开源了。 装进编码 Agent 就能对自己的代码库跑一次正经的安全审计，已斩获 11000+ Star！ 流程分 6 个阶段，先摸清架构和信任边界，再派出多个独立的 Agent 分片去找，每个候选漏洞交给一个新的 Agent 专门去推翻它。 GitHub： 它的规矩是找到的那个 Agent 不能自己验，验证阶段的目标就是证明这条不成立，最后只有三种结论，确认、待核实、已排除。 待核实的会写清卡在哪个具体事实上，不给严重程度。少了一层防护但另一层挡得住的，只算加固建议，不算漏洞。 产出是一份主报告加一份逐条细节，每条确认的都能追溯到源码位置。 Cloudflare 博客说这就是他们内部漏洞发现系统的起点，多跑几次结果会叠加，他们自己测下来单跑一次大概只能找到一半。 用法就一句「security audit this codebase」，在自己有权限审的代码库上跑，把结果当一份第二意见看，我觉得比裸问 Agent 靠谱得多。

Agent 连续工作几个小时，真正难的是中途失败后，还能准确知道自己做到哪了。 阿里高德团队开源的 LongHorizon-Harness，专门解决长时任务中的状态漂移和错误累积。 它把执行过程拆成 Manage–Execute–Audit 循环： Manager 根据已经验证的进度安排下一步；Executor 在全新上下文中操作桌面、浏览器或命令行；Auditor 再独立检查真实环境。 只有审计确认的结果，才会进入长期任务状态。遇到操作失败、上下文刷新或交付不完整时，Agent 可以保留已完成的部分，从缺口继续推进。 它也不绑定具体模型和后端，可以接入 Claude、GPT、Qwen，以及 Claude Code、Codex CLI、OpenClaw 等工具。 在相同的 Qwen 3.7-Plus 与 Claude Code 配置下，GUI 与 CLI 混合任务通过率从 51.8% 提升到 80.7%；OSWorld 完整完成率从 2.8% 提升到 8.3%；Terminal-Bench 成功率从 69.7% 提升到 77.2%，同时减少了 24% 的 token。 我觉得这篇最有意思的地方在于，它把长时能力的重点，从让一个会话持续运行，推进到了让每段进度都可验证、可恢复，也能可靠地交给下一轮。 模型决定单步能力，harness 决定这些步骤最后能不能拼成一个完整交付。 📎 arxiv:

【KAWAII LAB.啟動亞洲5國首次海選】偶像項目「KAWAII LAB.」的海選的名稱為「KAWAII LAB. ASIA GLOBAL AUDITION 2026」。面向南韓、中國、泰國、印度尼西亞、越南的12～22歲女性（只有中國放寬至25歲）招募……

DeFi 的下半场，拼的早就不是谁的 APY 多两个点，而是谁能把反人类的链上交互彻底抽象化。 最近重新审视 @velvet_capital ，发现很多人对它的认知还停留在链上资产管理系统。但实际上，它已经悄悄进化成了一个 DeFAI 意图操作系统（Intent Operating System） 为什么说它的打法很刁钻？看三个细节： 从工具到生态基建：它不是让你去建一个死板的资金池，而是提供了一套底层框架，让任何人都能像搭乐高一样，跨链创建代币化的投资组合和金融衍生品 AI Agent 的实战化落地：推出了 Velvet Unicorn。这不仅仅是一个看盘助手，而是真正介入交易执行和风险管理的 AI 代理 在 AI 叙事满天飞但大多缺乏落地场景的今天，这种DeFi + AI的深度融合才是真护城河 对安全的敬畏心：链上无小事。之前面对前端钓鱼威胁时，团队的快速响应和持续的审计迭代（比如专门的 audit 分支合并），展现了做金融基建该有的底线 当大多数协议还在苦苦教育用户时，Velvet 已经把复杂的金融逻辑封装成了开箱即用的体验。把专业的事交给协议和 AI，把选择权还给用户。 老铁们觉得 2026 年，DeFAI（AI 代理执行链上交易）会是一个短暂的炒作叙事，还是真正能吞噬传统 CEX 份额的终局？

很多 YouTube 创作者不缺选题，缺的是固定流程：标题、脚本和复盘全凭感觉。 真正门槛不是多找标题，而是把选题、脚本、包装和复盘接成一套动作。 claude-youtube 是一个给 Claude Code 用的创作者技能包。它把频道审计、选题、脚本、缩略图简报、SEO、Shorts 优化等命令整理好了：你可以跑 `/youtube audit` 看频道问题，跑 `/youtube ideate` 想选题，接着让 `/youtube script` 生成脚本，最后再做 metadata。仓库还支持把这些步骤串起来，让前一步输出继续喂给下一步。 真正有用的是上下文会一路传下去：先说清频道赛道、体量和目标，再接着做选题、脚本和包装。YouTube API、DataForSEO 和 NanoBanana MCP 都是可选外接能力。 1️⃣ 别把它当成“爆款预测器”。仓库里的基准和参考数据只能帮你提出检查项，不能替你承诺播放量。你的受众、选题时效、内容质量和频道阶段，仍然决定结果。 2️⃣ 先从一次完整闭环开始，不要把所有命令轮一遍。选一个已经确定的主题，依次做“选题角度—前 30 秒脚本—标题/描述—缩略图简报”，最后和你原来的版本放一起比较。这样才知道问题卡在选题、开头还是包装。 3️⃣ 没有 API Key，就别假装拿到了实时数据。YouTube API、DataForSEO 和缩略图生成都是可选连接；没接的时候，把自己的频道数据、目标观众和竞品样本手动给进去，一样能做结构化推演，但别把它说成实时洞察。 4️⃣ 费用和数据边界要算清。仓库写明 DataForSEO 的典型工作流按命令计费，且外接服务会涉及你提交的关键词、频道和内容信息；先看服务条款、定价和数据范围，再决定接不接。 还有一个最重要的前提：这不是通用网页工具，也不是 Codex 插件。它的核心依赖是 Claude Code，安装方式是把技能目录放到 Claude 的 skills 路径里。你如果不用 Claude Code，能借它的流程框架，但不能把“看了 README”当成“在其他客户端已经装好了”。 说白了，以前你做一条视频像是在分别找标题老师、脚本老师、SEO 老师；现在可以把它们排成一条有上下文的检查链。但工具负责把问题问得更系统，创作者仍要对选题和内容结果负责。 适合谁：已在用 Claude Code、想固定频道复盘和创作流程的人。 什么人别折腾：只想装完就等结果、也不愿提供频道定位和目标的人。 链接：

你自己的 Linux 服务器到底安不安全？ 说实话，很多人心里根本没底。 端口开了多少？ SSH 配置有没有风险？ 哪些服务正在后台运行？ 有没有不该暴露到公网的东西？ 这里可以看看一个开源工具： vps-audit 一条命令，就能给服务器做一次基础安全体检。 它主要会检查： 1. SSH 安全配置 查看是否存在高风险设置，比如弱认证方式、危险登录权限和不合理配置。 2. 当前运行的服务 列出服务器上活跃的服务，帮助你发现不认识或不需要的进程。 3. 对外开放端口 扫描哪些端口正在监听，判断是否暴露了不该公开的服务。 检查完成后，它会生成一份审计报告： • 哪里存在风险 • 风险等级如何 • 为什么需要处理 • 可以怎么加固 它不是自动替你修复所有问题， 但能快速帮你弄清楚服务器目前是什么状态。 适合用在： • 新买的 VPS • 部署网站之后 • 安装 Docker 服务之后 • 开放新端口之后 • 定期安全巡检 • 接手别人维护的服务器 服务器安全最怕的不是发现问题。 而是你根本不知道问题已经存在。 别等账号被撞、服务被扫、机器被植入程序后，才想起检查。 花几分钟跑一次审计， 至少先知道自己的服务器有没有在“裸奔”。 项目地址：

6 个免费上名校课的地方，互联网就是普通人最便宜的大学。 1、MIT OpenCourseWare — 麻省理工把 2500 多门课的讲义、作业、考试全免费放出来，从微积分到计算机随便学。 2、Coursera — 斯坦福、耶鲁这些名校的课都在这，选「旁听 audit」模式就能免费看全部课程视频。 3、edX — 哈佛和 MIT 联合发起，同样支持免费旁听，CS50 这种神课就挂在上面。 4、Khan Academy — 从小学数学一路补到大学基础学科，讲得极细，适合把某块基础彻底补扎实。 5、Class Central — 一个专搜网课的搜索引擎，把上面这些平台几万门免费课汇总，按评分帮你挑哪门值得上。 6、Udacity — 偏工程和 AI 的实战项目课，很多免费课程能直接跟着做出东西来。