Agent Learning Daily Digest #108 — 2026-09-21

📊 筛选总结

• 采集：257 条 — GitHub topic + Trending 全成功；HN RSS 502 + SSL 超时、Algolia 补偿；arXiv 4 查询全成功；r/LocalLLaMA 与 r/MachineLearning 双 429、r/ClaudeAI 恢复
• 跨天去重约 28 条：arXiv 21 条重现（ContrAgent / SIFT / SafeHarness / OverclaimBench / harness 实证 / SoL-Pi / Spotlights / SERBench / DeltaSelect / Auto Mode / LearnActCoder / AgentLSD / AutoTuring / Not-All-Equal / Flag Game / MTAC / BLINDSPOT / Spurious Tool Use / ActGuard / Stochastic Deputy / Benchmark Radar，均在 #106/#107）+ HN 旧帖 7 条（ZCode 261p、mati、Notch、CUA-S1 88p、vLLM 前缀缓存、Skillsync 65p、Pizza Bot 61p）+ Trending skill 军团约 15 条再现（ECC / humanizer / no-ai-slop / i-have-adhd / hyperframes / context-mode / Orca / Claude-Red / worktrunk / Agent-Reach / open-code-review / addyosmani agent-skills 等，与 arXiv/HN 有交叉）
• 今日性质：正常偏弱日——arXiv 新鲜批次近乎枯竭（仅 2 篇新增入榜），信号转向 HN/GitHub 的工程实践与防御工具；12 条里 arXiv 仅 3 条
• 今日主线："无人监督的完成"正在被系统性拆解——交付契约（AFK receipt / bluecollar completion gate）、证据账本（Canny ledger）、策略网关（Casbin）从三个方向把"模型说做完了"换成"结构说了算"；同一句话也是 OverclaimBench（#106）的工程侧回应
• 高信号：Anthropic 9-14 起 Claude Code 周限从临时 +50% 回落，相比 8 月底水平净 -17%、标准额度 +25%；Casbin Gateway 把 agent 权限做成 ~40 开关编译的 Casbin 策略、每请求强制；BrowserSkill 6k★：agent 复用真实登录态浏览器、显式借还 tab
• 纠偏一条：BleepingComputer"周限 -17%"是 8-29 旧文，口径为"临时 +50% 到期回落"vs"标准 +25% 永久上调"——标题数字不假但框架省略；引用时两个数字都要给

今日高信号

1. Anthropic 周限回调落地：临时 +50% 于 9-14 到期，净 -17% vs 8 月底，同时标准额度永久 +25%（BleepingComputer）

Claude Code 周限变化（bleepingcomputer.com）：注意——这是 08-29 发布的旧文，今日经 HN Algolia 重新浮出，r/ClaudeAI 周末的"usage 不对劲"帖子（#raw 244）让它在 9-14 后重新应验。核读正文后的完整口径：临时 +50% 周限提升持续到 9-14；之后 Pro/Max/Team/企业席位的标准周限永久上调 25%——两段叠加后，用户实际拿到的限额相比 8 月底水平净减约 17%。标题的"cutting by 17%"数字真实但省略了框架：不是新削减，是到期回落 + 标准上调的组合净效应。对 Claude Code Skills 是配额现实的校准点——对自建 harness 的直接含义：9-14 起的周配额基线与 8 月不同，长任务排程（无人值守循环、批量 A/B）的预算假设要按 -17% 重算；Anthropic 明确把这定位为防滥用/负载动作，同周 r/ClaudeAI 的抱怨帖是行为侧印证。

• 来源: bleepingcomputer.com · r/ClaudeAI "Something is wrong with usage this week"（09-20）
• 信号: 临时 +50% → 9-14 到期 · 标准 +25% 永久 · 净 -17% vs 8 月底 · 08-29 旧文 9-14 后重新应验
• 关键词: Claude Code Skills · Coding Agent 成本优化

2. Casbin Gateway — 把 coding agent 的权限做成策略：~40 个开关编译成 Casbin 策略、每请求强制（Apache 官方，635★）

Casbin Gateway（github.com/apache/casbin-gateway，Apache-2.0，核验 635★、2017 年建仓近期转向 agent 场景）：Apache 官方出品的本机 agent 安全网关（Go + React），README 描述：对 agent 的工具、模型、供应商提供约 40 个开关，编译成 Casbin 策略并在其转发的每个请求上强制执行；覆盖权限、agent 版本对账（本机构建 vs 包管理器发布版，含安装/升级/回滚/卸载记录）、多 agent 间权限传递；自带在线 demo（door.caswaf.com）。对 Forge Guardrails 与 mcp-security 是"权限即策略"的工程化落地——与 ContrAgent（#107，LTLf→DFA）同一哲学的产业版：行为契约要么编译成自动机、要么编译成策略，共同点是决策在模型裁量之外；ZCode 侧车（#106）的教训是 host 级通道绕过工具权限面——网关层恰好补在出口处，自建 harness 可以把网络出口白名单做成 Casbin 策略而不是散落的脚本。

• 来源: github.com/apache/casbin-gateway · 在线 demo
• 信号: Apache 官方 · ~40 开关 → Casbin 策略 · 每请求强制 · agent 版本对账 · 635★
• 关键词: Forge Guardrails · mcp-security · Agent Safety

3. Plugin4Shell 后续：主流 agent 已陆续出补丁，Copilot 在未修复之列——"修复必须落在 agent 里，更新是唯一完整缓解"（The Register）

Plugin4Shell 媒体跟进（theregister.com，09-17，Jessica Lyons）：#105 记录的 Plugin4Shell（四大 coding agent 零点击 RCE、SHA pinning bypass）的厂商响应跟踪。新增信息：AIR 研究员（Or Nevo、Dor Granat、Niv Hoffman）指出修复必须 ship 在 agent 侧（pin 在 agent 内解析，市场层无法根治——与 #105 结论一致）；两家厂商未发布补丁，其中之一是 Microsoft Copilot（Microsoft 自家数据：Fortune 500 中相当比例使用 Copilot）；"updating is the only complete mitigation where one exists"。对 agent-skill-security 是供应链事件的"修复进度"坐标——与 #105 连读构成完整事件线：漏洞机制（09-17/18）→ 修复进度（本条）：企业选型清单上"插件市场 + 是否及时打补丁"要成为显式检查项；Copilot 未修复的状态对"默认信任大厂默认配置"是一个反例。

• 来源: theregister.com
• 信号: 同事件新信息（修复进度）· 两家未出补丁、含 Copilot · "修复必须落在 agent 侧" · 更新是唯一完整缓解
• 关键词: agent-skill-security · Agent Safety

4. 无人值守交付的三份工程样本：AFK receipt、bluecollar completion gate、Canny 证据账本（GitHub × Show HN）

AFK / bluecollar / Canny（griffinwork40/agent-afk，Apache-2.0，55★；yeomyeonggeori/bluecollar，Apache-2.0，Go，pre-alpha；qkal/Canny，MIT，0 runtime deps）：

• agent-afk（55★）："Start a task and walk away"——构建 → 自验证 → 短信通知 → 每一步、每个决策、等你处理的事项的完整 receipt；不确定时停下问人，不猜。
• bluecollar（Go，pre-alpha 但设计文档完整）：无人值守 agent harness 的五件套——开工前协商的 outcome contract、不接受模型自报"做完了"的 completion gate、按步骤可测量成本推导的时钟、可作为可恢复状态的审批、模型档位阶梯。
• Canny（Show HN 3p）：hook 进 Claude Code 与 Codex CLI，记录 agent 实际做了什么的 append-only ledger，"不让它以声明收尾"——README 引用真实案例（"Done. Skipped tests"）；确定性规则先行、TypeSafe 的 Jev judge 只作建议层，canny replay 从账本证明同会话同裁决。

对 Coding Agent Verification 是 OverclaimBench（#106：80.4% 误导性汇报）的工程侧回应集——与 #107 mati（部落知识 hook 门控）同构：把"完成"从模型陈述降级为结构事实；bluecollar 的"approval 作为可恢复状态"与 AFK 的"不确定即停"是无人值守循环的两个互补安全阀；Canny 的 ledger+replay 正是 #106 建议"加一致性探针"的成品工具。

• 来源: agent-afk · bluecollar · Canny
• 信号: receipt 交付 · completion gate 拒收模型自报 · append-only ledger + replay 可复现裁决 · Jev 仅建议层 · 0 runtime deps
• 关键词: Coding Agent Verification · coding-agent-harness · Forge Guardrails

5. Reachability, Not Observation — 防火墙该挡"存在哪些通道"而不是"看到了什么行为"：agent 场景下断网 0 收益，spawn 链在审批率 1/b 处相变（arXiv:2609.19720，cs.CR 跨域）

Reachability, Not Observation（arxiv.org/abs/2609.19720，09-17 提交，cs.CR）：包含决策（防火墙位置、监控哪些链路、程序可达什么）都从观测快照计算——快照在 wiring 随时间变化时漏掉什么？超立方体上：瞬时切片 93% 的时刻零跨越边，却必须永久阻断 8,192 条边（瞬时视图低估 4,097 倍）；时间感知防御者平均 585 个阻断、但一个时钟节拍的滞后就把包含率打到 0%。关键在最后一节把同一把刀切向 coding agent：从 agent 内部清点其工具面，idle 状态瞬时切割为零，但有 6 条通道跨越 context reset（没有一条是网络）——切断网络移除 0 条通道；产生副本的通道是分支过程，审批率阈值 1/b，低于它拒绝不必要、高于它拒绝不充分。对 Agent Safety 是"包含要用可达性而非观测"的定量论证——与 ContrAgent（#107）与 Casbin Gateway（今日 #2）并读：三者在说同一句话——安全决策要建立在结构（契约/策略/通道拓扑）上，不能建立在模型自报或瞬时观测上；"断网 = 安全"在 agent 场景被定量证伪，威胁建模从通道拓扑开始。

• 来源: arxiv.org/abs/2609.19720v1
• 信号: 命名系统（无，方法论论文）· 93% 时刻零边 vs 8,192 必断 · 时滞一拍 → 包含 0% · agent 断网移除 0 通道 · 审批率相变 1/b
• 关键词: Agent Safety · Forge Guardrails

6. Treadstone — 人机协作数据分析的"社交信息流"：人机 agent 同 feed 异步发帖/互链/互驳，轻量策展保持人类分析主权（arXiv:2609.19774，cs.HC）

Treadstone（arxiv.org/abs/2609.19774，09-17 提交，cs.HC）：人分析师与自主 agent 协作面临人际协作同款难题——共享中间结果、避免冲突、保持群体感知；现有工具是非结构化消息或单线程 chatbot，既跟踪不了演化中的假设、也把 claims 和 evidence 断开。提出 agentic social data analysis 范式：共享协调 feed（仿社交媒体内容时间线），人与 AI agent 异步发帖、互链、互驳分析主张；agent 主动广播假设、用户以轻量策展（lightweight curation）引导分析。定性用户研究：协作性提升且人类分析主权保留，对比 chatbot 的"孤独体验"。对 Multi-Agent Communication Patterns 是人机混合编排的新交互形态——与 Chief-of-Staff 模式（今日 #9）互补：那篇管 Claude Code 会话编排，这篇管分析任务的假设市场竞争；轻量策展是"hands-on 授权（#103）"在数据分析域的对应物：人的角色从操作者变为 feed 策展人。

• 来源: arxiv.org/abs/2609.19774v1
• 信号: 命名系统 Treadstone · agentic social data analysis · 共享协调 feed · 轻量策展保人类主权 · 定性用户研究
• 关键词: Multi-Agent Communication Patterns · Agent Memory

7. Agentic Web Search 四平台实测：搜索决策平台间差异巨大、搜得更多 ≠ 答得更好，部分 claims 依赖未引用的搜索结果（arXiv:2609.19244）

四平台 agentic 搜索画像（arxiv.org/abs/2609.19244，09-16 提交，cs.AI）：首个跨 ChatGPT / Claude / Grok / DeepSeek 四平台的 agentic Web 搜索全生命周期研究，invivo（真实用户交互）+ invitro（同平台模型 API 受控实验）双层设计。发现：是否/何时调 Web 搜索的决策跨平台差异巨大；更频繁调用搜索不必然带来更好的回答质量；各平台用不同的复杂查询策略，且平台自属搜索引擎的返回结果有域名偏好；回答大体 grounding 在搜索结果上，但部分 claims 依赖未被引用的搜索结果（归因与可靠性隐忧）。对 Context Engineering 是外部检索侧的系统级画像——与 MSS-Complement（#106，检索 → 证据补全）拼成两半：那篇说"喂给模型什么"，这篇说"模型自己出去找什么"；'搜得多 ≠ 答得好'给自建 agent 的搜索准入策略（何时放行搜索工具）提供了直接论据——准入决策要按任务校准，不能按'多搜更保险'直觉。

• 来源: arxiv.org/abs/2609.19244v1
• 信号: 四平台 invivo+invitro · 搜索决策跨平台差异 · 搜得多 ≠ 答得好 · 域名偏好 · 未引用来源的 claims
• 关键词: Context Engineering · agent-evaluation

8. Provenance Tax — 水印对 agent 行为的税：削弱拒答在"能调工具"时被放大（Lasso Security）

Provenance Tax（lasso.security，Andrea Siposova，09-17，4 分钟读）：LLM 水印（文本溯源标记）研究多在聊天场景评测，这篇问的是 agent 场景的下游代价。论证链：同样的采样 token 在 agent 层决定调用哪个工具、传什么参数；水印对分布的扰动会与 prompt injection 相互作用——被削弱的拒答在模型"能通过工具行动"时后果被放大；文内嵌 OWASP GenAI LLM Top 10 的 prompt injection 实验（对抗性指令作为检索内容注入、恒定于提示/模型/温度），并给 agent 侧的评估清单。对 Agent Safety 是"水印 ≠ 无副作用"的 agent 视角补篇——与 #106 学习环的 judge 投毒面同一形状：任何作用在采样分布上的机制（水印、judge、采样参数）都会成为安全/可靠性链条的新输入；对内容溯源合规的团队，水印的部署决策要过一遍 agent 行为回归测试。

• 来源: lasso.security
• 信号: 水印 × agent 行为 · 拒答削弱 × 工具行动放大 · 与 prompt injection 交互 · OWASP 注入实验框架
• 关键词: Agent Safety · mcp-security

9. Chief of Staff 模式 — 编排多个 Claude Code 会话：一个会话只做协调与验证、外置持久看板持有状态（asyncdot，HN 24p）

Chief of Staff 模式（asyncdot.com，09-19，HN 24p/22c）：长时程 coding 工作的失败"不是因为 agent 写不了代码，而是因为 context 是临时的、自我汇报不可靠"。模式：一个会话只做协调与验证、其余会话执行，持久外置看板（durable external board）持有状态——共享状态活在任何单一 context window 之外；作者并列既有同构模式（benevolent dictator、team lead/teammates——Claude Code 官方 subagent 文档的框架），指出组织性修复先于技术修复。对 Coding Agent 编排模式 是 Claude Code 多会话编排的实践样本——与 #106 OverclaimBench 互证：'自我汇报不可靠'再次成为第一性事实，编排模式的第一职责是让验证会话与执行会话物理分离；与 Treadstone（今日 #6）同日互文：feed/看板是共同答案，外置状态层同时是协调机制和审计机制。

• 来源: asyncdot.com
• 信号: 协调/验证会话与执行会话分离 · durable external board · 同构模式族（dictator / team lead）· HN 24p
• 关键词: Coding Agent 编排模式 · coding-agent-harness

10. Tencent BrowserSkill — agent 复用你的真实登录态浏览器：CLI + 扩展、显式借还 tab、human-in-loop 兜底（6k★）

BrowserSkill（github.com/Tencent/BrowserSkill，MIT，核验总星 6,033★）：腾讯出品的浏览器桥——把 Cursor / Claude Code / Codex / OpenClaw / Hermes Agent / DeepSeek Harness 等"能调 shell 的任意 agent"接到你已登录的真实浏览器上。架构：bsk CLI/daemon + 浏览器扩展（Chrome/Edge/Chromium 系）；复用真实登录态（无需为 agent 单独建测试账号）、agent 动你已开的 tab 必须"显式借用、用毕归还"、其余不碰；human-in-loop 内建：验证码/登录/确认对话框等 human-only 步骤，agent 可交还给人。对 coding-agent-harness 是"复用登录态"路线的产业级实现（对标 #107 CUA-S1 的分层 computer-use 路线，两条技术路线）——与 ZCode（#106）镜像成一对：同样是"进你的真实环境"，ZCode 无条件打包上传（harness 主动外传），BrowserSkill 的借还协议至少把交互边界写明了；但 README 未展开会话令牌如何隔离（probe 未命中 security/token）——真实登录态 + agent 可达 = 高价值攻击面，启用前先读安全模型，待验证。

• 来源: github.com/Tencent/BrowserSkill（核验 6,033★）
• 信号: 6k★ · 真实登录态复用 · 显式借还 tab · human-in-loop 兜底 · 会话令牌隔离未说明（待验证）
• 关键词: coding-agent-harness · agent-harness · mcp-security

10b. IUE — 隐藏状态里的代码正确性信号：响应级单 token 静态探针最强，行级定位难、但条件定位 Top-K 排名有效（arXiv:2609.13975）

IUE（Introspective Uncertainty Estimation）（arxiv.org/abs/2609.13975，09-12 提交，cs.SE 学位论文）：LLM 代码生成的"流利但错误"信任问题——内部隐藏状态能否可靠指示功能正确性（响应级 + 行级）。LiveCodeBench + BigCodeBench 上：隐藏状态含强响应级正确性信号，静态单 token 探针表现最好（更精细的动态策略无一致增益）；跨任务/领域/token 位置泛化可行，但真实项目上 setting 依赖的性能退化仍存；行级预测显著难于响应级，已知错误程序的条件定位下 Top-K 故障点排名仍有效。结论支持两段式工作流：响应级风险筛查 + 行级定向排序。对 agent-evaluation 是"白盒不确定性"路线的证据增量——与 #106 OverclaimBench（黑盒汇报一致性）互补：白盒信号从内部状态拿、黑盒信号从回复与 transcript 对账拿，两者都指向'别信最终陈述'；两段式工作流可直接套进自建评测：先响应级筛高风险样本，再对高风险做行级排查。

• 来源: arxiv.org/abs/2609.13975v1（09-12 提交）
• 信号: 隐藏状态正确性信号 · 单 token 静态探针最优 · 行级难/条件定位 Top-K 有效 · 两段式工作流 · 学位论文
• 关键词: agent-evaluation · Coding Agent Verification

观察清单