Agent Learning Daily Digest #99 — 2026-09-12

📊 筛选总结

• 采集：288 条 — GitHub topic 10 查询 + Trending 全成功；HN Show 一路 SSL 握手超时、HN agent search + Algolia 6 查询补偿成功；arXiv 4 查询全部成功约 48 篇；r/LocalLLaMA 429（r/MachineLearning、r/ClaudeAI 正常）
• 跨天去重约 32 条：arXiv 侧 17 条重现（A-JIT / TrajMark / ExecCritic / CapScope / FrogNano / CS-Guard / IdeaAMBIG / Procedural Graphs / RepoNav / Φ-Bench / DetectLeak / comments-codegen / ACLE-MCP / SkillShift / Tool Primitives / SpecCoder / MAS 效率批判）+ HN 侧 9 条（latent.space / Google Anatomy / Beagle / skillproof / Type.com / athenic / egma / TWZ 导弹 ×2）+ GitHub 侧 skill 军团 6 条（i-have-adhd / humanizer / no-ai-slop / academic-research-skills / openai/skills / context-mode）— 同 URL 或同 arXiv ID 一律跳过，只列名字不展开
• 今日主线：多 agent 机群时代的基础设施周 — 管廊（Orca 机群 IDE、gpty agent 可操作终端、AgentZip 沙箱内存压缩）+ 契约（A2ABreak 协议攻击面、EBL-Core 执行边界、SaltBench 机器裁判）+ 仪表（SemVerBench 版本语义、Anthropic 官方 plugin evals、Agent ATO 轨迹时间线）
• 高信号 · A2ABreak：首个 A2A 协议系统安全分析 — 从自然语言规范提取 37 状态验证 FSM，找到 11 个规范合规对手即可利用的协议级漏洞（跨客户端上下文注入 / 委托链多跳身份丢失凭据收割 / 未认证能力声明外传）
• 高信号 · Orca：66,777★（API 验证）的 agent fleet ADE — Codex/Claude/OpenCode/Pi 并排各占 worktree、手机端监控续指令；"机群协调面"成星数最大簇
• 高信号 · SaltBench：机器裁判协议下的负结果 — 让 agent 自写规范 + 自验证在全部 5 个组件上更贵，且质量增益低于可分辨下限；与 #97 ExecCritic"自写测试反伤"同族
• 高信号 · SemVerBench：版本约束语义是 LLM coding agent 的系统性盲区 — GPT-5.1 在 PEP 440 零填充/后发布角标上 0/26 全灭（Claude 97-100%）；结论：版本解析应 100% 委托给真实 resolver
• 官方侧：Anthropic 发布 plugin evals CLI — eval 案例对 no-plugin 基线、grader 加权、CI 门禁；插件生态长出质量基础设施

今日高信号

1. Orca — 66,777★ 的 agent fleet ADE：Codex/Claude/OpenCode/Pi 各占一个 worktree 并排跑（GitHub Trending）

Orca（stablyai/orca，GitHub API 验证 66,777★、4,387 forks、本期 +3,139、2026-03 创建，topics 带 yc-backed）：自我定位是 "The ADE for working with a fleet of parallel agents"——"AI Orchestrator for 100x builders"：Codex、Claude Code、OpenCode、Pi 并排运行，每个 agent 独占一个 worktree，统一入口追踪；配手机伴侣端（agent 跑完推送通知、手机上直接发后续指令），桌面/移动/远程 runtime 三形态，"用自己的订阅跑任意 coding agent"。对 coding-agent-harness 是生态结构信号——与 #97 Ponytail/mattpocock（行为整形 skill）、#98 ECC（harness 优化层）连成趋势线：星数市场现在奖励的是"同时指挥多个 agent 会话"的协调面，机群时代的基础设施开始拿六位数★。

• 来源: github.com/stablyai/orca
• 信号: 66,777★（API 验证）· 本期 +3,139 · fleet ADE · worktree 隔离 + 手机伴侣 · YC backed
• 关键词: coding-agent-harness · Coding Agent 编排模式 · Multi-Agent Communication Patterns

2. gpty — HN 71p 的 agent 可操作终端：Godot+Rust 多 PTY，MCP 控制面 + "只看不摸"的概念捕获（Show HN）

gpty（godot-pty/gpty，HN 71p/41c、GitHub API 36★、2026-07 创建）：Godot + Rust 的多 PTY 桌面应用——tiling grid 管理终端/代码/文件树 pane，JSON-RPC IPC + CLI（gpty new-pane、gpty inject）+ MCP server 让 agent 与编排器用文档化协议开 pane、注入文本、读输出，不用去刮 TUI。两处设计值得抄：概念捕获引擎（正则触发器把 PTY 输出路由到相邻 pane——明确声明 capture-only、永不向 shell 注入）；agent 可观测性（OMP 生命周期事件被动投影 + Inspector pane 跑一个私有、无工具的 Q&A 会话——"observability only，绝不编排 agent 状态"）。对 coding-agent-harness 是工具面样本——与 #1 Orca 同日互证"多会话协调"需求：gpty 给的是终端原语层，观察与注入的权限分离是给 agent 长眼睛但不长手的干净做法。

• 来源: github.com/godot-pty/gpty
• 信号: HN 71p/41c（GitHub 36★，反差大）· MCP server + JSON-RPC · capture-only 概念引擎 · OMP 生命周期事件
• 关键词: coding-agent-harness · Coding Agent 编排模式 · CodeGraph

3. A2ABreak — 首个 A2A 协议系统安全分析：从规范提取验证 FSM，11 个协议级漏洞无需实现缺陷即可利用（arXiv:2609.10871）

A2A 协议（Linux Foundation 治理）让自主 agent 跨组织边界互相发现、认证、委托任务，定位是 MCP 之上的多 agent 生态横向通信层——但此前没有系统安全分析。A2ABreak：LLM 辅助从自然语言规范提取经验证的有限状态机（929 条形式化语句 → 37 状态 / 76 转移），在全合规假设下对抗性推理，挖出 11 个新漏洞——规范合规的对手不需要任何实现缺陷即可利用：跨客户端上下文注入（未保护的 context ID）、委托链多跳身份丢失导致的凭据收割、rogue agent 用未认证能力声明钓数据外传。检测器对专家评审 73.3% precision / 84.6% F1；同一规范上零样本 LLM 基线确认发现数为 0——显式形式化是必要条件。对 mcp-security 是协议级发现——与 #95 FetchGate registry 探测、#98 Deadbugz 响应侧投毒拼出三层：server 实现、运行时行为、现在是协议规范本身都能藏攻击面；自建多 agent 委托链要把"身份随委托跳数衰减"当默认威胁模型。

• 来源: arXiv:2609.10871
• 信号: arXiv · cs.CR/cs.SE · 929 语句→37 状态 FSM · 11 漏洞全规范级 · 零样本 LLM 基线 0 发现
• 关键词: mcp-security · Agent Safety · Multi-Agent Communication Patterns

4. EBL-Core — 从意图到执行授予：高风险 AI 动作的执行边界一致性档案（arXiv:2609.11596）

AI agent 越来越多提出有外部后果的动作（转账、基建变更、部署、物理执行），授权引擎/策略语言/运行时监控/守栏各管一段，没人定义"候选动作 → 执行权限"最后一步的通用语义契约。EBL-Core：执行边界一致性档案——把结构化意图对象、Root/Operational Policies、证据义务、类型化证据、上下文、时间与可验证的决策推导绑进 Execution Release Contract（ERC）；关键设计：ERC 不是承载权限的令牌——一个验证过的 ALLOW ERC 只能支持一个受 Redemption 时点校验管辖的独立 Execution Grant；配套 reference artifact 含 schema、确定性裁决、语义回放、线性化内存 grant 存储。实测：34 静态向量 + 15 生命周期检查全符合预期；100 轮 trials 中 32 个并发 Redemption 恰好 1 个成功；100 次 Revoke-Redeem 竞态全部落在合法终态。对 Agent Safety 是授权链形式化——与 #97 CapScope（harness 内能力作用域）互补成两级：CapScope 管"agent 手里有什么"，EBL-Core 管"动作放行那一刻的契约长什么样"；规则引擎侧的"决策 → 执行"授予链可以直接对标。

• 来源: arXiv:2609.11596
• 信号: arXiv · cs.CR · ERC ≠ 权限令牌 · 32 并发 Redeem 恰 1 成功 · Revoke-Redeem 竞态全合法
• 关键词: Agent Safety · coding-agent-harness · Coding Agent Verification

5. SaltBench — 机器裁判协议下的负结果：自写规范 + 自验证在全部 5 个组件上更贵，质量增益低于可分辨下限（arXiv:2609.11076）

SaltBench 回答一个问题：机器裁判（证明内核、程序验证器、扣发的测试套件）会如何改变 coding agent 的工作方式？协议设计本身是贡献：结果在 agent 自己工具链之外裁决、agent 与网络/参考解/harness 完全隔离且开跑前用探针实测隔离墙、每次运行由带日期的 freeze 授权并注册预测（事后无法叙事）、预算耗尽是 halt 不是 failure。研究对象是 "seat"（标准 harness 里的一个 agent 会话）：5 个 Rust 组件（钉死 Verus 工具链）× 4 臂。结果：被要求"自己写规范 + 按规范验证代码"的臂在全部 5 个组件上成本更高，且注册的 sign test 无判决（3/4，p=0.3125）——每个质量溢价都低于可分辨下限。对 Coding Agent Verification 是方法级负结果——与 #97 ExecCritic"base agent 自写测试 61.2%→57.3% 反伤"连成同族：agent 自验证的表演性收益一再测不出来；自查流水线要么引入外部裁判，要么把"自验证成本"记进账本。

• 来源: arXiv:2609.11076
• 信号: arXiv · cs.SE/cs.LO · 4 臂 × 5 组件 · 全组件更贵 · sign test p=0.3125 无判决 · 预注册预测
• 关键词: Coding Agent Verification · agent-evaluation · Coding Agent Failure Patterns

6. SemVerBench — 版本约束语义是 coding agent 的系统性盲区：GPT-5.1 角标用例 0/26，resolver 委托 ~100%（arXiv:2609.11180）

LLM coding agent 天天判断 "^1.2.3 或 >=2.0,<3 是否满足"，但从没人直接测过这件事。SemVerBench：首个横跨 npm / PEP 440 / Cargo 的版本约束解析基准——240 项机器可判、唯一答案的条目，从四个平衡来源（各生态官方测试套件 + 三个前沿 LLM 提案者）author-neutral 构建，非循环的双实现 oracle 标注。六个前沿模型的系统性发现：Cargo 的部分比较符进位规则（>1.2 意为 >=1.3.0）把所有模型困在 ~60% 水平；标准 PEP 440 前缀匹配人人都会，但零填充/后发布角标上 GPT-5.1 全灭（0/26），Claude 保持 97-100%（67 项 oracle 验证集）；Opus 显著超所有模型、Sonnet 超 OpenAI 系（McNemar）。失败更像激活/应用缺口而非知识缺口：注入规则或轻提示能挽回多数错误。结论清晰：任务是可验证的 + 免费 100% 正确的 resolver 存在 → 工具委托达到 ~100%，agent 应把版本解析委托给 resolver 而不是心算。对 Coding Agent 成本优化 是执行级教训——"有确定性工具就别让模型推理"第一次拿到基准级证据；自建 agent 的依赖操作面直接接包管理器原生 resolver。

• 来源: arXiv:2609.11180
• 信号: arXiv · cs.AI/cs.SE · 240 项三生态 · GPT-5.1 0/26 vs Claude 97-100% · 委托 resolver ~100% · 无作者自偏袒
• 关键词: Coding Agent 成本优化 · Coding Agent Verification · agent-evaluation

7. Anthropic plugin evals — 官方 CLI 把插件质量变成 CI 可门禁的工程对象（Claude Code Docs）

Anthropic 给 Claude Code 插件发布官方评测链路：写 eval 案例 → claude plugin eval 运行 → grader 打分 → 与 no-plugin 基线对比 → 分数接 CI 门禁。配套工程细节相当完整：grader 分级加权（选"给稳定信号"的 grader）、fixtures 与 mock（mock MCP server、回放 agent 应答）、运行隔离与插件目录信任、HTML/JSON 报告。对 agent-evaluation 是官方基础设施信号——与 #98 Google《Anatomy of Harness Engineering》behavioral evals 官方正名连成一线：两大厂都在把"扩展件质量"从 vibes 变成回归测试；#97 openai/skills 弃用转 plugins 之后，plugin 生态的质量基础设施也到位了——自建 skill/plugin 应默认附带 eval 套件。

• 来源: code.claude.com/docs/en/plugin-evals
• 信号: HN 3p · 官方文档 · no-plugin 基线对比 · mock MCP + 应答回放 · CI 门禁
• 关键词: agent-evaluation · Claude Code Skills · Coding Agent Verification

8. Agent ATO — 从 console 日志可视化 agent 交互时间线：轨迹有了"仪表盘"形态（arXiv:2609.08301）

Agent 与仓库的交互（搜索/读码/编辑/跑测试）连同 token 用量都记在 console 日志里，但原始日志开发者没法看。Agent ATO（Agentic Trajectory Observer）：从 console 日志抽取交互、按命令/工具类型分类、渲染成时间线——除全量时间线外还提供强调文件发现、读取、编辑、执行的过滤视图并保留上下文；用两个修复任务的选段演示如何检视与对比 agent 行为（作者自限：未来才评估是否真的降低对比成本）。对 agent-evaluation 是工具级样本——与 #98 TrajMark（轨迹水印）、AgentAudit（10 维归因）拼成"轨迹即资产"三部曲的第三块：水印管可信、归因管诊断、ATO 管人眼可读；自建 agent 的日志 schema 今天就该按"可渲染时间线"设计。

• 来源: arXiv:2609.08301
• 信号: arXiv · cs.SE · 过滤时间线（发现/读/改/执行）· token 用量入图 · 工具论文（效果评估留待后续）
• 关键词: agent-evaluation · coding-agent-harness · Coding Agent Verification

9. AgentZip — 首个专为 agent 沙箱设计的内存压缩系统：8.7× vs Linux 2.1×（arXiv:2609.11294）

高扇出 agent 负载（一个任务拉起大量并发沙箱会话）造成内存瓶颈——但沙箱不是独立的：同源模板 + 相关轨迹 = 大量模板相对与跨沙箱冗余，传统压缩在"怎么压/压什么/何时压"三个维度都不匹配。AgentZip：利用模板相对与跨沙箱双重冗余；把压缩范围放宽到"任何表示有利可图的页"；把开销控制从压缩时选页挪到恢复时预取；并把昂贵压缩对齐到 LLM 等待期以免干扰前台工具执行。实测：沙箱内存最高降 8.7×（Linux 配置 2.1×）；激进压缩的减速从 3.1× 压到 1.40× 且几乎保住全部省内存收益（LLM 训练与推理负载验证）。对 Coding Agent 成本优化 是基础设施级样本——机群时代的成本变量从 token 蔓延到沙箱内存；"把昂贵操作调度进模型等待期"是可直接搬的调度思想。

• 来源: arXiv:2609.11294
• 信号: arXiv · cs.AI/cs.OS · 内存 -8.7× vs 2.1× · 减速 3.1×→1.40× · LLM 等待期调度
• 关键词: Coding Agent 成本优化 · coding-agent-harness · Agent Sandbox Checkpoint

10. CAE 仿真 agent 还需要什么？— 单 agent harness 96.4% 胜多 agent 专门机器 88.2%：执行反馈才是有效成分（arXiv:2609.03718）

面向 CAD/CAE 的 LLM agent 最近流行加仿真专用机器：多 agent 分解、领域检索、脚本化反思。这篇（标注 cs.CE，属邻近领域借用但结论直接面向 harness 设计）在固定信息访问与修复预算下对比：单 agent 通用 harness 打平或胜过多 agent 专门系统（FoamBench 96.4% vs 88.2%）。消融定位有效成分：执行反馈修复把 71.8%（无修复轮）拉到 96.4%；脚本化反思零贡献；唯一仍有效的输入是以 solver 教程形式提供的领域知识（+15.5pp）。对 agent-evaluation 是 harness 充分论证据——与 #96 多 harness RL、#97 FrontierHarness 连看："先把 harness 的执行反馈回路修好，再谈多 agent 机制"拿到跨领域复现；领域知识最便宜的载体是教程文档而不是专门机器。

• 来源: arXiv:2609.03718
• 信号: arXiv · cs.CE（邻近领域）· 单 agent 96.4% vs 多 agent 88.2% · 修复 +24.6pp · 反思 +0 · 教程 +15.5pp
• 关键词: agent-evaluation · coding-agent-harness · Coding Agent 编排模式

11. 100 个 agent 管一座小镇的经济 — 26 周后钱不动了：换模型一切全变、删记忆毫无可测影响（arXiv:2609.11108）

把 100 个带记忆的 LLM agent 放进一个封闭、守恒货币的空间经济（真实博卡拉湖畔地理：挣工资、开商店、定价），跑满 26 个模拟周——远超该领域通常的 1-2 周。91 个验证 run（244 万决策、21.5B token）的核心发现："钱停止流动"且可精确分解：12× 游客需求冲击带来 4.62× 营收（p<0.001，1.50× 广度 + 3.07× 深度），但传导到此为止——工资 1.03×（p=0.42）、3,981 个菜单项只有 0.3% 曾重新定价（p=0.47）；随机现金转移 96.7% 在 311 个 pulse 后仍被持有、边际消费倾向 3-4% ≈ 0；财富分布近乎冻结（ρ=0.964/2 周 → 0.752/26 周，短研究根本看不到的视界依赖）。配对消融：换底层 LLM 移动所有结果（p=0.0039）、删 agent 记忆无任何可测变化；纯社交工具失败率 94-97% vs 经济工具 ~96% 成功。对 Multi-Agent Communication Patterns 是长周期仿真参照——"记忆在、行为不变；模型换、行为全变"对 agent 记忆的价值叙事是一记冷水（该场景下），工具面而非记忆面决定行为；单一仿真场景，外推待验证。

• 来源: arXiv:2609.11108
• 信号: arXiv · cs.MA/cs.ET · 91 run / 244 万决策 / 21.5B token · 工资 p=0.42 不动 · 换模型 p=0.0039 全变 · 删记忆无变化
• 关键词: Multi-Agent Communication Patterns · Agent Memory · Coding Agent Failure Patterns

12. Reproducibility in the Age of Agentic AI — 可复现实践就是代码库时间尺度的 context engineering（arXiv:2609.11728）

一篇立场论文，论点一句话说清：可复现研究实践就是给 AI coding agent 做的 context engineering——agent 把维护测试、提交历史、仓库结构、指令文件、决策记录的成本打下来、又让它们的收益即时化，所以"为 agent 保持仓库可读"与"为人类保持科学可复现"从两件事变成一件；研究者仍对验证这些产物与其中的科学判断负责。对 Context Engineering 是视角级补充——#98 PARSER 解决"读长上下文"，这篇指向"喂什么上下文"：仓库卫生（测试/历史/ADR）不再只是工程美德，而是 agent 时代的第一等上下文投资；vibe coding agent 项目里的 AGENTS.md 与决策记录直接受益于这个论证。

• 来源: arXiv:2609.11728
• 信号: arXiv · cs.SE/cs.CY · 立场论文（无基准数字）· 仓库卫生 = 上下文资产
• 关键词: Context Engineering · Vibe Coding Agent 项目蓝图 · coding-agent-harness

观察清单