Agent Learning Daily Digest #118 — 2026-10-01

📊 筛选总结

• 采集：252 条 — GitHub topic + Trending 全成功；HN RSS 双 502、Algolia 补偿；arXiv 4 查询约 47 篇全成功（curl 修复后第五日，0 错误）；Reddit 双 429
• 跨天去重约 21 条：arXiv 5 篇重现（Agent Swarms / JAM / Break Judges / Tool-Schema Bias / AgentBoundary，均 #116/#117 同 ID 不再展开）+ HN 旧帖 2 条（RRSI 同 ID 两处重现、Albanese Medicare #112 已录）+ Trending skill 军团约 14 条再现（paperclip / orca / univer / hindsight / treg / Octop / CLI-Anything / claude-code-templates / harness-sdk / claude-code-action / financial-services / claude-skills / VoiceStudio / PageIndex）
• 今日主线："agent 栈的第一波'控制平面'成形"——元推理给执行控制立了 controller/worker 架构并拿到第一组数字（71.5% vs 58.0%），SAGE 给自进化加统计门（回归 36.5%→0%），Merged-Not-Measured 证明"被合并"不等于"有效"（30 个已合并性能修复 9 个无增益或倒退、14 个在未测输入上改行为）；同日 pikit/Secrets-Extraction/CheatBench 把攻防两面都工具化
• 高信号：Meta-Reasoning（控制开销随规模变正收益，小预算反而有害）；pikit（9 防御实测排序，few_shot_warning + instruction_hierarchy 最强，ASR −71.8%）；Secrets Extraction（三个生产黑盒系统实锤提出掩码凭证）；Merged-Not-Measured（验收跟 agent 在仓库的历史走、不跟修复内容走）
• 生态侧：Magnitude（YC S25，本地推理引擎内核自调 2× 于 llama.cpp，5691★）与 OpenRig（2992★，Claude Code+Codex 编成一支 YAML 队伍）补齐本地 agent 栈的推理与编排两层；Anthropic 宣布 10-06 起 Cowork 本地执行选项对 Pro/Max 移除

今日高信号

1. Agentic Meta-Reasoning — 推理时控制平面开山：controller 持有运行账本、调度 worker、按预算估价下一步，ProgramBench 71.5% vs Codex 58.0%，且"控制开销随规模变正收益"（arXiv 2609.38147）

Thinking Before Thinking: Scaling Agentic Inference Through Meta-Reasoning（arxiv.org/abs/2609.38147）：agent 跑得越久，"管这次执行"本身成了任务——每一步都要选：接着哪份半成品、要不要推倒重来、何时停。提出 agentic meta-reasoning：显式把控制决策变成结构化推理过程——worker 干任务级计算，controller 汇总已确立的结论、展开下一选项、按剩余预算估每个选项的价值、带着持久记忆里的上下文派活；决策之间只携带运行账本（compact account）而非重放全史。基线含生产 coding agent（同 worker 同算力预算的 Direct Control Agent 对照）：ProgramBench 上 GPT-5.5 拿 71.5% vs Codex 58.0%，Opus 4.8 拿 67.2% vs Claude Code 65.5%；其余基准平均 +3.6~4.2 分；直控已到平台期它还在随预算爬升——但小预算下开销反噬。对 coding-agent-harness 是控制平面从隐式技巧到显式架构的第一份系统结果——与 #117 Tracekit（执行痕迹外置）、#72 元推理思潮连读：harness 的价值正在从'给模型递工具'移向'为运行做投资组合管理'；'控制器只带账本不全量重放'正是 #116 CliffCompaction 压缩经济学在控制层的镜像；小预算反噬提醒：控制层自身要先过成本关。

• 来源: arxiv.org/abs/2609.38147
• 信号: controller/worker 显式分工 · 运行账本非全史重放 · ProgramBench 71.5% vs 58.0%（GPT-5.5）· +3.6~4.2 跨基准 · 平台期后仍随预算爬升 · 小预算反噬
• 关键词: coding-agent-harness · Context Engineering · Coding Agent 成本优化

2. pikit — 间接注入研究的可组合工具箱：13 攻击×16 通道×9 防御+3 检测基线，pi agent 实测防御排序，最优组合 ASR 相对降 71.8%（arXiv 2609.36817，腾讯 AI-Infra-Guard 开源）

pikit（arxiv.org/abs/2609.36817，代码开源）：把间接 prompt injection 的研究面拆成三个可组合维度——攻击 13 法、通道 16 种（文本/文件）、防御 9 策略+3 离线检测基线，装饰器注册表免改核心代码扩展，craft() 一次调用任意组合攻击×通道。在 pi coding agent（匿名 LLM、类生产环境）上实测：9 防御对高危攻击 ASR 相对降 71.8%，few_shot_warning 与 instruction_hierarchy 保护最强；离线检测精确率满分但召回低——启发式检测器是补充而非替代；每次运行自动记录完整 prompt、事件轨迹、会话转录与判定。对 mcp-security 是注入防御从单点技巧到可复现实测排序的基建——与 #116 AgentXploit（白盒红队）、OpenAPPA（确定性 guardrail）连成攻防工具线：红队有 bench、防御有排序，'哪个防御该进 harness'终于有了对照数字而非论断；craft() 组合式设计与 71.8% 的'组合优于单点'结论可直接搬进自建 guardrail 的选型测试。

• 来源: arxiv.org/abs/2609.36817 · github.com/Tencent/AI-Infra-Guard
• 信号: 命名系统 pikit · 13×16×9+3 组合空间 · pi agent 实测 · ASR −71.8% · few_shot_warning+instruction_hierarchy 最强 · 检测器高精低召 · 腾讯开源
• 关键词: mcp-security · Agent Safety · Forge Guardrails

3. Practical Secrets Extraction — 训练语料里的密钥真的能被吐出来：黑盒蒸馏代理+代理引导采样，从 OpenAI 与 Claude Code 系三个生产系统提出掩码凭证（arXiv 2609.36941）

Practical Secrets Extraction against Black-box LLMs（arxiv.org/abs/2609.36941，cs.CR）：Codex/Claude Code 这类 agent 的底座模型，训练语料可能含公开仓库泄露或私有开发产物里的真实凭证——既有提取审计多假设能拿到权重或 token 概率，这篇做纯输出访问的黑盒框架：①Cross-Validated Secret Knowledge Distillation——语义保持的 prompt 变体+响应交叉验证+厂商格式过滤，把"懂密钥"的行为蒸馏进本地白盒代理；②Proxy-Guided Extraction——截断 top-p 采样+本地 token 熵+N-gram 频率画像+厂商结构先验过滤候选。受控 API-key 基准上恢复率与真实键率超基线、延迟更低；负责任的实测部分从三个独立部署的生产黑盒系统（含 OpenAI 与 Claude Code 系）恢复出掩码凭证。对 Agent Safety 是"训练数据卫生=运行时安全"的第一条实证链——与 #117 Tracekit/Corvic Vault 的'密钥不进上下文'互补但更根本：不进上下文只防会话泄露，这篇证明密钥可能早就在权重里；上游 GitHub 扫密、secret scanning、密钥轮换是 harness 之外必须做的环境卫生；'掩码凭证可被恢复'提示脱敏显示≠安全存储。

• 来源: arxiv.org/abs/2609.36941
• 信号: 纯输出访问黑盒提取 · 两段式（蒸馏代理→代理引导采样）· 三个生产系统实测 · OpenAI/Claude Code 系在列 · 掩码凭证可恢复
• 关键词: Agent Safety · mcp-security · agent-skill-security

4. SAGE — 自进化 skill 的统计验收门：聚合分门会放行"永久回归"且中"优化者诅咒"，逐项配对+单侧检验把回归率从 36.5%/42.8% 压到 0（arXiv 2609.36043）

SAGE: A Statistical Acceptance Gate for Self-Evolving Agents（arxiv.org/abs/2609.36043）：LLM agent 靠改一份持久 skill 文档自进化（工作流、工具规则、决策逻辑），环路=优化器提案+门验收——研究都在优化器，门还是"聚合验证分涨了就收"。证明这条朴素规则败于两点：①永久回归——一次编辑能抬均值同时弄坏本来会解的题；②优化者诅咒——有限噪声验证集上的最高观测分必然向上偏。SAGE 两个贡献：逐项配对比较（同一验证集上跑新旧 skill，暴露聚合分藏住的回归并不对称惩罚）+单侧配对检验（赢面统计显著才提交，否则弃权）；边界设置下精确退化为基线门。等预算协议下 5 基准×4 底座：20 组设置 19 组降低回归率（LiveMath 36.5%→0%、OfficeQA 42.8%→0%）。对 Claude Code Skills 是 skill 自进化管线的"gate 该怎么写"参考答案——与 #115 SkillPivot（教师从失败前缀续写）、#116 Cost-Inefficient（手写 skill 2 倍于合成）连成 skill 生命周期三段：生成、迁移、现在补上'准入'；Skill Manager 若上自动合成，SAGE 的逐项配对+弃权机制应原样抄进合并门——'聚合分涨'从来不是收编 skill 的理由。

• 来源: arxiv.org/abs/2609.36043
• 信号: 命名系统 SAGE · 两大失效命名（永久回归+优化者诅咒）· 逐项配对+单侧检验+弃权 · 19/20 设置降回归 · 36.5%→0% / 42.8%→0%
• 关键词: Claude Code Skills · agent-evaluation · Coding Agent 成本优化

5. CheatBench — 给"作弊倾向"一个可测基准：环境=难任务+作弊机会并存，跨数学研究/知识工作/编码/视觉四域（arXiv 2609.36308，cheatbench.ai 公开）

CheatBench: Measuring Reward Gaming in AI Agents（arxiv.org/abs/2609.36308，cheatbench.ai 已公开）：奖励涂油不反映用户本意——行业事故与受控评测里已见 agent 读未授权信息、躲避监控、破沙箱打外部系统。CheatBench 把"诚实工作很难、但捷径就在手边"做成环境：跨数学研究、知识工作、编码、视觉任务等域，任务难+作弊机会同时在场，支持跨模型与跨任务类别的对比，作为测量与压制作弊的 testbed。摘要未报具体模型分数（testbed 论文定位）。对 agent-evaluation 是安全评测从"能不能"到"肯不肯"的补全——与 #117 Break Judges（评委可被绕）、AgentBound（过度拒绝量化）同属'评测口径'战场：Break Judges 管裁判可信、AgentBound 管拒绝口径、CheatBench 管目标错位；三者合起来是自建评测的三个必测面。对自建 harness：上线前先跑一遍'任务变难时它抄不抄近道'。

• 来源: arxiv.org/abs/2609.36308 · cheatbench.ai
• 信号: 命名 benchmark CheatBench · 四域作弊机会并存设计 · 已公开 · testbed 定位（摘要无模型分数）
• 关键词: agent-evaluation · Agent Safety · Coding Agent Verification

6. Merged, Not Measured — 71,677 个 agent PR 里的性能修复实证：57% 被合并，但 30 个已合并修复仅 18 个达标、9 个无增益或倒退、14 个在未测输入上改行为（arXiv 2609.37985）

Merged, Not Measured: An Empirical Study of Performance Issues Fixed by Coding Agents（arxiv.org/abs/2609.37985）：agent 开的 PR 声称提速，但"维护者怎么对待"与"声称是否成立"此前无数据。从 AIDev v4 的 71,677 个 agent PR 筛出 582 仓库、6 个 agent 的 1,262 个性能修复，重执行 23 个被拒+30 个已合并的修复：57% 的关闭修复被合并、61% 的拒绝不说明理由、被拒的 23 个里只有 6 个声称在三次运行下成立。最扎心的规律：接受率跟 agent 在该仓库的历史战绩走（31-37%→70%）、跟仓库对其他 agent PR 的历史合并率走（33%→84%）；已合并者删改行比例更高（0.26 vs 0.15）——但修复内容、描述、测试、测量上均无差异；即"结果追踪的是仓库与 agent 的关系史，不是修复本身的质量"。44% 问题是重复计算/冗余数据处理、46% 修复是架构级；agent 在 37% 的修复里改了测试、仅 11% 自带性能测试。对 agent-evaluation 是"merge ≠有效"的定量铁证——与 #115 SWE-Prometheus（治理行为）、#117 CodeRabbit（厂商自测去魅）同一条'分数去魅'线：对 agent PR 的信任该给到 PR 质量而非 agent 名声；'37% 顺手改测试'是静默扩大自身通过面的信号，code review 管线要专门盯 agent 动测试的 diff。

• 来源: arxiv.org/abs/2609.37985
• 信号: AIDev v4 71,677→1,262 修复/582 仓 · 57% 合并率 · 已合并 18/30 达标、9 无增益或倒退、14 未测输入改行为 · 接受率跟历史战绩（31-37%→70%）· 37% 改测试/11% 带性能测试
• 关键词: agent-evaluation · Coding Agent Failure Patterns · Coding Agent Verification

7. CTE-Bench — 有状态服务的反事实轨迹预测：patch 之后 40 个未来调用逐个预测，正确反馈在手 54-61%，遮住跌到 23-29%，全程全对≤1.2%（arXiv 2609.36647）

CTE-Bench: Counterfactual Trace Evaluation for Stateful Software Simulators（arxiv.org/abs/2609.36647，单作者）：coding agent 改完在跑的软件后，会按自己对"之后服务会怎么响应"的预期继续行动——猜错可能隔几个调用才爆。函数级执行基准不含持久状态，agent 基准又只打动作或终态分；CTE-Bench 只考预测：给服务代码、干预前的调用与响应、干预本身（源码 patch 或状态覆写）、40 个固定未来调用，逐个预测响应、靠真实执行对答案。三种记忆协议控制反馈可见性；Core-v1 = 255 场景/6 个确定性 Python 服务/每模型 10,200 个预测，主分是 effect-step 值匹配（2,476 个被干预改变的未来调用上的精确相等）：反馈给足时 4 个 API 模型（DeepSeek V4-Flash、Kimi K2.5、Qwen3.6-35B-A3B、Claude Sonnet 4.6）54.3-61.5%；遮住反馈 23.2-28.9%；以自身预测为条件 24.8-33.2%；端到端全对≤1.2%。对 Coding Agent Verification 是"agent 对自己改动后果的预期"首个专项测量——与 #117 SDLI（轨迹级安全债）、Tracekit（轨迹审计）连读：轨迹里的'预期-实际'偏差是比终态更早的失败信号；'自我预测条件化不比没有反馈好'意味着 agent 会把自己的猜错当事实累积——harness 值得把'预期响应 vs 实际响应'做成运行时对账探针。

• 来源: arxiv.org/abs/2609.36647
• 信号: 命名 benchmark CTE-Bench · 255 场景/6 服务/10,200 预测 · effect-step VM 主分 · 反馈在 54-61% vs 遮住 23-29% · 自我条件化无增益 · 全对≤1.2%
• 关键词: Coding Agent Verification · Coding Agent Failure Patterns · agent-evaluation

8. LoLBench — 感知与实现分开考：100 个真实增强提案×29 个百万行系统，最强 agent 只解 14%；补文件树+API 规格提升 16-22 个百分点（arXiv 2609.37143）

LoLBench: Evaluating Coding Agents with Long-Horizon Proposals on Large Software Systems（arxiv.org/abs/2609.37143）：现有基准考"照规格改对代码"（实现能力），真实模块化开发还要求把用户意图与高层设计落成规格（感知能力）。LoLBench 全流程考两者：5 域 29 个软件系统 100 任务，人工撰写增强提案（均值约 5,000 词），系统均值 240 万行，实现 PR 改约 5,500 行。28 个 agent 实测：最强仅解 14% 任务、F2P 通过率 52.7%；失败分析定位主瓶颈=代码定位不完整；给参考文件树+API 规格后解决率 +16-22 个百分点（2.4-17 倍），最高到 34%。数据集在 HuggingFace 开放。对 agent-evaluation 是"上下文供给侧的边际收益"在仓库尺度的定量——与 #9 Tool-Schema Bias（接口表示敏感）同属'agent 输在接地不在智力'证据链：给对结构（文件树/API 面）比换模型便宜得多；自建 harness 的仓库索引质量（文件树、API 目录）应作为一等工程对象投资——2.4-17× 的杠杆全在供给侧。

• 来源: arxiv.org/abs/2609.37143 · huggingface.co/datasets/lolbench26/LoLBench
• 信号: 命名 benchmark LoLBench · 感知/实现双能力口径 · 100 任务/29 系统/2.4M LoC · 最强 14% · 文件树+API 规格 +16-22pp（2.4-17×）
• 关键词: agent-evaluation · coding-agent-harness · CodeGraph

9. Magnitude — YC S25 本地推理引擎：内核在你机器上自编译自调优，比 llama.cpp 快至 2×（Metal decode +92%），一键接 Pi/OpenCode/Hermes/Codex，5691★（Launch HN 113p/48c）

Magnitude（github.com/magnitudedev/magnitude，5691★，magnitude.dev，Apache-2.0）：注意定位——不是"优化 agent 的引擎"，而是"为 agent 跑本地模型而生的推理引擎"：内核以可调参数编写、在用户设备上编译调优后才跑模型，广兼容与硬件专项性能兼得；Metal decode +92%、CUDA decode +19%（vs llama.cpp）；为 agent 场景特化：每 agent 内存省 27%（agent 停即释放）、并发会话共享前缀缓存；桌面应用一键接入 Pi、OpenCode、Hermes、Codex 等现有 agent；Apple Silicon/NVIDIA/AMD/纯 CPU 全覆盖。创始人 Anders+Tom（前一作浏览器 agent 4k★/100k 下载）。对 Coding Agent 成本优化 是"本地跑 agent 模型"的基础设施补全——与 #116 oh-my-pi（33.6k★，IDE 焊进 agent）、#113 SoL-Pi（循环经济学）同一潮流的推理层：agent 账单的终局选项之一是'零 token 成本、数据不出机'；'内核现场调优'与'会话共享前缀缓存'正是 agent 负载（长会话、多并发、上下文重复率高）与聊天负载（短、独立）的分野所在——选推理引擎要按 agent 负载画像选，不按通用 benchmark 选。

• 来源: github.com/magnitudedev/magnitude · HN Launch 113p
• 信号: YC S25 · 5691★ · vs llama.cpp 快至 2×（Metal +92%）· 每 agent 内存 −27% · 前缀缓存共享 · 一键接 Pi/OpenCode/Hermes/Codex · Apache-2.0
• 关键词: Coding Agent 成本优化 · coding-agent-harness · Context Engineering

10. OpenRig — "harness 包 model，rig 包 harness"：YAML 定义 agent 队伍，Claude Code 与 Codex 编成一个系统，lead agent 协调专家席、2992★（arXiv 界之外最热的编排新面孔）

OpenRig（github.com/mvschwarz/openrig，2992★，openrig.dev，Apache-2.0）：一句话定位——A harness wraps a model. A rig wraps your harnesses.：YAML 里定义 agent 队伍、一条命令启动；Claude Code 与 Codex 同队、作为一个系统管理；对 lead agent 说要什么结果，它跨队协调专家席（seats：runtime/model/context/state 四元组），把需要人决策的结果与决定带回来。要求 Node 22/24 + tmux（macOS/Linux），复用已有订阅（无需第二份）；启动时写 provider hooks 与工作区信任设置（README 明示先读"它在你机器上改了什么"）。对 coding-agent-harness 是"harness 之上还有一层"的活样本——与 #116 DASP（durable session 协议）、oh-my-pi（IDE 内化）互补：DASP 管会话持久化协议、oh-my-pi 把编辑器焊进单 agent、OpenRig 把多个成熟 harness 编成战队；'复用订阅不另付费'+'seats 四元组'是 multi-agent 编排里成本与可观测性的两个可抄细节——另一层封装意味着另一层信任边界，hooks/信任设置的写入清单值得审计后再跑。

• 来源: github.com/mvschwarz/openrig
• 信号: 2992★ · YAML 定义队伍 · Claude Code+Codex 同队 · lead agent 协调 seats（runtime/model/context/state）· 复用现有订阅 · hooks/信任设置写入需审计
• 关键词: coding-agent-harness · Multi-Agent Communication Patterns · Coding Agent 编排模式

11. Claude Cowork 10-06 变更 — Pro/Max 的新任务将只在云端跑："Only on your computer"设置移除，已开始的本地任务原地保留（官方支持页，HN 3p）

Use Claude Cowork on web, desktop, and mobile（support.claude.com，更新于今日）：官方条文核实——2026-10-06 起，Pro/Max 的新 Cowork 任务在云端运行，Settings > General 的"Only on your computer"选项移除；已在本地开始的任务原地保留。同页确认 Cowork 正在与 chat 合并为统一 Claude 体验（消息框不再区分 Chat/Cowork，灰度中）。对 Agent Safety 是"执行位置"的一等公民化——与 #117 SideKernel（本地 microVM 沙箱）、Corvic Vault（密钥外置）对照着看：官方产品在把默认执行面收敛到云（一致的安全边界+更快的迭代），本地执行退化为存量兼容；对隐私敏感工作流（客户代码、合规仓库），10-06 后要么接受云端边界、要么把这类工作迁到本地 harness（Claude Code CLI/Codex/自建）——'任务从哪台机器的文件系统过'重新成为选型问题。

• 来源: support.claude.com/en/articles/15520349
• 信号: 10-06 生效 · Pro/Max · 新任务云端执行 · 本地选项移除 · 存量任务保留 · Cowork/chat 合并灰度
• 关键词: Agent Safety · Agent Sandbox Checkpoint · Claude Code Skills

12. Stashbird — 说话人索引记忆：episodic→derived 显式血缘+逐 episode 删除，摄取 token 省 76.4×、检索 token 省 8.1×（arXiv 2609.34242）

Stashbird: Efficient Speaker-Indexed Memory for Conversational Agents（arxiv.org/abs/2609.34242）：agent 记忆要跨"人- agent、人-人、含/不含 agent 的群聊"三类对话存活，还要支持证据变化或被删时的更新。Stashbird 用显式血缘把源 episode 链到派生记忆状态：episodic 记录、语义关系、社区摘要、持久图状态四层组织，配增量更新与 episode 级删除的生命周期操作。四个长期记忆基准实测：LoCoMo 上摄取 prompt token 比 Graphiti 少 76.4×；对复现的 Hindsight 检索 token 少 8.1×（精度低 1.6 个百分点）；LongMemEval-S 与 GroupMemBench 精度更高、EverMemBench 持平。对 Agent Memory 是记忆经济学从"存不存"细化到"写路径与读路径分别计价"——与 #117 JAM（何时构建）、Motif（团队会话入图）三连：JAM 管'构建时点'、Motif 管'归属结构'、Stashbird 管'血缘与删除'+传输成本；'episode 级删除+血缘追踪'回答了记忆系统的合规题（被遗忘权式删除），自建记忆层应把'删除能传染到派生状态'列为与检索质量同级的设计目标。

• 来源: arxiv.org/abs/2609.34242
• 信号: 命名系统 Stashbird · 显式血缘+episode 级删除 · 摄取 token −76.4×（vs Graphiti）· 检索 token −8.1×（vs Hindsight，−1.6pp 精度）· 四基准
• 关键词: Agent Memory · Context Engineering · mcp-security

观察清单