前天用Zcode+GLM5.2 送的免费的3M token 对 做了一轮分析，我的输入很简单： “深度阅读这个codebase，全面评估这个产品，哪些地方做的好，哪些地方做的不足，提出你的洞察和改进。最后输出一个html报告。不要动任何代码。你是专业的顶级的产品和资深的工程师。“ 结果却是让我惊艳了，确实有gpt-5.5 和 Opus 4.7 的效果。至少给我的体感非常不错。当然，我发现对于文字美有铺满一行就及早换行的现象，GLM5.2 跟Opus 4.7 / 4.8 一样。不提醒本来一行的排版就换成两行排版了。 GLM5.2 达到了我日常Coding Model的标准了。

我使用 AGS 来代替 Github 是为了最大化兼容 gh cli 和 llm 理解的 git 工作流，我很好奇 cursor 推出的 origin 是如何处理这个问题，如果他们不打算兼容 gh，人们是否还会选择使用它作为 single truth of codebase？

今晚最后的工作，做 wanman 的高并发测试，以往我们使用本地 coding agent 一次只能开一个窗口 review 代码，但对于「评估项目中各种状态机的设计，稳定性和潜在风险，全面 review codebase 并提升测试覆盖率到 100%」这种目标，wanman takeover 会同时开启十几个不同角色的专业 agent 采用不同速度和品质的模型覆盖前端，后端，架构等层面的综合评估并相互进行事实确认。这基本上已经达到了我的核心设计目标：使编码工作可以完全自动化，以无限拓展的方式运行。

用 Grok Build CLI 的朋友们先看一下，xAI 心怀不轨，干坏事被发现了。 安全研究员通过抓包发现，早期版本默认会把整个 Git 仓库（包括完整 git history）打包上传到 xAI 云存储。即使你明确说”不要读取任何文件”，它还是会传。读取过的文件内容（.env 里的 API Key、密码等）也会明文发到服务器，关闭”改进模型”开关也拦不住。 涉及商业代码、敏感密钥、NDA 项目的，这个风险不小。 曝光后 xAI 反应挺快，服务端已关闭全仓库上传路径、清理了数据，确认未用于训练。新版本已修复。 建议做几件事： 1、更新到最新版 CLI 2、运行 /privacy 检查，确认 disable_codebase_upload 已开启 3、之前在敏感仓库用过的，轮换一下相关密钥 4、重要项目先别用 我推荐大家可以先把它当成一个搜索和检索信息的工具，非常好用。 写代码的话，建议不要用在重要的项目上，可以用来写一些 demo。 如果想用这个模型，目前 Cursor 里面可以直接用，体验很不错。

最新动态亮点 Hacker News：RNet（AI 信用钱包，dev + user 端）、MakerChecker（agent 扫描）、AMD AI 硬件、Chrome 本地模型。Agent 文件编辑与 C/C++ harness 工具突出。 Product Hunt：Cursor for iOS（移动 coding agent）、Octolens（agent 时代社交监听）、AnySearch（结构化搜索 for agents）、Hal9（30天 AI 产品 launch 工具）。AI Agents 仍是顶级品类。 GitHub Trending：Agent skills、codebase memory MCP、OpenClaw 等自托管 agent、多模态/视频自动化工具。Awesome AI Agents 列表更新频繁。 X/Reddit：Solo dev 自建 agent 栈取代订阅；Agent Skills 书籍热销；EU AI Act 合规讨论。 indie hacker 聚焦“own your workflows”。 YC & Others：RFS 强调 AI-native 基础设施、物理世界 AI。近期 YC 批次聚焦 agent 生产化、成本可靠性。 Hosting 新站：Vercel/Netlify 持续优化 agent deploy；AI 网站构建器流行，但机会在垂直模板 + agent 集成。

我这些年反复讲过，让AI Agent好好写代码，所有的秘诀都写在了1990年代的教材里： - 踏踏实实写test，多写test，让test coverage尽可能高 - 认真做好CI/CD，千方百计避免messed up - 对于一个新项目，做好top-down design（specs driven），从features和requirement出发，设计architecture 和 interface，一层一层设计下去 - 对于一个快速增长的项目，先切分好文件，再切分好module，再划分成一堆service或者executives，提前解耦 - 对于一类的功能，提前做好design pattern的功课，减少重复，增加复用 - 如果codebase足够大，要么一点点修复但是提高test coverage，要么保持好specs、test、interface直接推倒重写，有空就重写， 永远重写，重写重写重写 近两年人类做的事情，就是把上面这些东西重新实践了一遍。

卧槽，14.8万星！TypeScript大神把几十年工程经验直接做成了Claude Code的Skill Matt Pocock——就是那个 TypeScript 界封神的老哥——把自己 .claude 目录里的东西开源了。 一行命令安装： npx skills@latest add mattpocock/skills 然后在 Claude Code 里你就有了这些：🔥 /tdd — 强制红绿重构循环，AI写代码必须先写测试，不让它自由发挥 /diagnosing-bugs — 结构化 Bug 诊断，复现→最小化→假设→验证→修复，一步不跳 /grill-with-docs — 需求对齐，让 AI 在动手之前先建立项目的领域模型，不再鸡同鸭讲 /to-prd — 把对话直接变成 PRD 扔进你的 Issue 追踪器 /handoff — 上下文压缩成交接文档，下一个 Agent 直接接着跑 /improve-codebase-architecture — 扫架构问题，出 HTML 报告 他在 README 里写了一句话：这是给真正的工程师用的，不是氛围编程（vibe coding）。 特么的说到我心坎里了😂 AI写代码快是快，但代码质量烂，测试没有，架构是泥球，这些问题这套 Skill 都在帮你堵。 14.8 万星不是吹出来的，是真的有用。

🔥 用 AI 写代码最烦的不是 AI 不会写，而是它一上来就乱写！ 需求没问清、术语不统一、测试没反馈、架构越改越乱。 最近发现一个神级项目，Matt Pocock 把自己每天做真实工程的 Agent Skills 整理成了开源仓库。 GitHub： 1️⃣ /grill-me 和 /grill-with-docs 开工前先追问需求，减少 Agent 理解偏差。 2️⃣ /tdd 🧪 引导 Agent 走 red-green-refactor，用测试约束输出。 3️⃣ /diagnose 🐛 按复现、最小化、假设、插桩、修复、回归测试的流程排 bug。 4️⃣ /improve-codebase-architecture 🏗️ 定期检查代码结构，避免越写越像泥球。 5️⃣ /to-issues 和 /to-prd 📋 把想法拆成更适合执行的 PRD 或 issue。 6️⃣ 一键安装支持 ⚡ 支持通过 npx skills@latest add mattpocock/skills 安装到不同 Coding Agent 里。 如果你已经在用 Claude Code、Codex 或其他编程 Agent，这个项目很适合作为工作流参考。

聚焦在现有工作上用coding Agent去解决，是一条错误道路，人类已经把能吃的红利吃差不多了， 接下来就是无尽的人指令-agent执行-人指令-agent执行的iteration中逐渐迭代工作，很难把人从这种小幅度高强度反复的iteration中解放出来。 因为现有codebase不仅高度复杂，而且人的大部分命令都是高度模糊、 高度开放、高度自由、无法验证的命令， 场景也是高度开放、高度自由、无法在containers中直接测试跑一跑，必须在真实世界中获得反馈才能继续修改工作。 所以我最近半年一直坚持反复告诉大家： 1. 在现有所有大型科技互联网软硬件移动外包平台coding agent的红利很快就吃完，现有人类像唱山歌一样和claude code高强度一问一答的模式，就是短期内的最优解——像full self coding一样大量agent并行完成coding工作，不会带来更多的收益； 2. 在coding agent很快增长和红利消失的大前提下，人类如果想继续把AI Agent和multi agent的红利吃干抹净，必须持续找到有价值的新领域、新方向、新问题： A. 同时满足问题定义简单干净、环境封闭、非常非常易于verify、问题解决方案搜索空间巨大的复杂问题，让goal-driven( 前提是易于verify，必须用很低的成本去verify最终输出是否正确，保持持续验证这个criteria，给予正确的反馈和无限工作循环的核心条件，直到完整完成工作； B. 能够把multi agent的并行度吃干抹净，一次性1000个agent大批量初始化和启动，在一些setup中持续活跃，保持multi agent的可观测性， 除了openclaw时代就臭大街的各种爬虫以外，还有行为经济学、社会学、心理学、教育学、法学等等大规模试验，不由分说充足token，先初始化1000个agent模拟跑几天，观察一些初步结论； C. 就像我半年前说的价值10万刀的策略：把一切人类社会中遇到的所有问题，整理成文档、表格、图片、文字、structured data，让一些富有经验、富有memory的coding agent（就是claude code和codex本人）进行一步步解决， 你始终要明白，现阶段的头部coding agent已经足够复杂、 足够高级、机制足够完善，AI Agent已经经历了4~5轮工业革命，完善到整个industry其他任何生态和框架继续手搓的任何agent都像一个玩具，只要一个claude code/codex一个文件夹+一个docker/kubernete，就是未来一切企业和流程中的general agent； 3. 有一点几乎被所有人忽略，也是我近几个月意识到的问题。 在经典deep learning时代，一些产业对于经典neural network和baysian model有天然的不信任感和敌意，他们会非常激进、偏执地要求一切machine learning的模型尽可能地跟随可解释性、AI伦理、因果推断等等方向。 在AI Agent时代，越是激进使用的人，越是对AI Agent产出的代码、报告、分析、数据、结论产生严重的怀疑， 因此不只是GPT model需要superalignment，LLM Agent本身更需要superalignment，在Agent时代，superalignment的重要性会越来越高， 而且AI Agent产出和workflow的可解释性需求也会越来越高，最最基础浅表的就是各种问答chatbot的来源引用，今后其他越来越复杂的工作，包括coding本身，都会有可解释性的大量问题涌现， 一种方式是尽可能用formal verification或者prover的形式来自动化验证， 一种是用agentical的验证方式，就像人一样去用一个或者多个agent来反复review和challenge一项工作； 4. 还有一点很多人没想到，就是AI Agent会对人施加反过来的影响。 比如office出现后，普通人要求用office三件套来完成工作，office重塑了人类办公的基本流程和规范， 比如出现了google之后的早期，普通人要学会正确输入搜索关键词，把想问的问题拆分成正确的关键词，以获得正确query的结果（后来google反复做了优化，这个技能也逐渐不重要）， 比如social network出现之后，人们学会了全新的交友方式、social network的交友礼仪、聊天方式， 所以在AI Agent时代，人最重要的技能，没有之一，就是如何正确使用AI Agent、挑选正确的模型、使用正确的工具、组建正确的prompt、描述正确的问题、输入充足完备的信息、如何用goal-driven去构建一套dual-agent的简单无休止infinite-loop workflow， 一个不会正确定义问题、不会正确输入足够多的信息、不能让AI Agent在一个边界清晰的闭包问题中正确工作、持续工作的人，天天拿AI Agent当成无所不知的万能神、百宝箱、随机神、超人，除了问弱智问题，就是玩猜猜看、问宏大开放的无异议问题， 这种人大概率会被这个时代逐渐淘汰掉。

Cloudflare 团队把其内部找漏洞的那套方法做成了一个 Skill，叫 security-audit，并开源了。 装进编码 Agent 就能对自己的代码库跑一次正经的安全审计，已斩获 11000+ Star！ 流程分 6 个阶段，先摸清架构和信任边界，再派出多个独立的 Agent 分片去找，每个候选漏洞交给一个新的 Agent 专门去推翻它。 GitHub： 它的规矩是找到的那个 Agent 不能自己验，验证阶段的目标就是证明这条不成立，最后只有三种结论，确认、待核实、已排除。 待核实的会写清卡在哪个具体事实上，不给严重程度。少了一层防护但另一层挡得住的，只算加固建议，不算漏洞。 产出是一份主报告加一份逐条细节，每条确认的都能追溯到源码位置。 Cloudflare 博客说这就是他们内部漏洞发现系统的起点，多跑几次结果会叠加，他们自己测下来单跑一次大概只能找到一半。 用法就一句「security audit this codebase」，在自己有权限审的代码库上跑，把结果当一份第二意见看，我觉得比裸问 Agent 靠谱得多。