Security

Agent 系统设计的五个所有权问题、从意图到副作用与证据的控制权宪法之河，以及六种最小成立形态的决策图

Agent 不是一种产品：十套系统如何重新分配控制权、状态、身份与副作用

系统 A 有十二个 Agent、长期记忆、云端电脑、事件日志和自动恢复。系统 B 只做一次 document → structured candidate，把结果放进表单，等人核对原件后再保存。 ...

OpenHands V1 从无状态 Agent step、追加式 typed event log、base state、派生 view 到 local/remote runtime 与副作用恢复协议的架构图

Conversation as Database：OpenHands 的无状态 Agent 与事件运行时

凌晨两点，Agent 准备给一个 GitHub issue 添加“修复已完成”的标签。 ActionEvent 已经写进日志。GitHub API 也返回了 200。就在 SDK 把结果包装成 ObservationEvent 之前，进程崩溃。重启以后，历史里只剩一条没有 observation 的 action。 ...

TradingAgents 从时间截点证据、串行分析师、牛熊法庭、风险声部到组合经理研究输出的证据法庭架构图

多 Agent 辩论真的增加了信息吗：TradingAgents 的组织图与相关性风险

法庭里坐着九位证人。四位负责市场、情绪、新闻与基本面；两位分别坚持看多和看空；三位从激进、中性与保守的风险偏好发言。最后还有研究经理、交易员和组合经理逐层裁决。 ...

TaxHacker 将不可信票据经顺序 provider 抽取、schema 窄腰、原件核对、表单校验与显式保存变成 canonical transaction 的架构图

拒绝成为 Agent：TaxHacker 为什么把 LLM 压缩成一个函数

下面是一段完全合法的模型输出： { "merchant": "ACME", "total": "129.90", "currencyCode": "EUR", "issuedAt": "2026-07-03", "items": [] } 字段齐全，没有多余属性，金额能转成分，日期也能解析。但原票据写的是 12.99 EUR，日期是 2026-07-08。 Schema 没有失败。模型没有报错。provider fallback 不会发生。缓存还会让这份结果下次继续出现。 ...

OpenClaw 从互联网渠道经过常驻 Gateway、确定性 bindings、session key、per-agent enclave 到设备节点与外部副作用的路由图

OpenClaw 的常驻网关：连续性不是把所有消息塞进同一会话

假设同一家公司有两个 Telegram bot：一个服务欧洲客户，一个服务美国客户。两个 bot 都把消息交给同一个 support agent，session 隔离策略写成了 per-channel-peer。某个平台用户 ID 恰好同时出现在两个账号里。 ...

n8n 确定性 workflow 主干、受限 Agent 支线、人工与幂等闸门、外部回执对账以及 Redis worker Postgres queue-mode 车场

n8n 的确定性外骨骼：Queue、Worker 与副作用从不承诺 Exactly-Once

前一篇 n8n 入门已经从 Manual Trigger → Edit Fields → IF 开始，讲过 Growth OS、受限 Agent、人工审批、operation ledger、结果回流和 alternatives。 ...

Manus task envelope、临时 Sandbox VM、browser files code software 流水线、artifact 验收、Wide Research 与本地 Browser Operator 边界

给 Agent 一台电脑之后：Manus 如何把回复变成交付物

聊天产品最容易展示的完成标志，是最后一条 assistant message。任务产品最危险的完成标志，也是最后一条 assistant message。因为“已完成”可能只表示 Agent 停止运行。用户真正要验收的，也许是一份引用可靠的报告、一张字段齐全的数据表、一个能打开的网站、一段可以维护的代码，或一个下周仍在运行的 bot。只要价值单位从 reply 变成 work product，完成状态就必须离开聊天气泡，落到 artifact 和外部世界。 ...

Codex 多 Surface、App Server 公共契约、Submission 与 Event 双总线以及 approval 和 sandbox 副作用闸门

Codex 的协议化内核：第二个 Surface 不该复制第一个 Agent

第二个界面，往往才是一次 Agent 架构审查的开始。只有 CLI 时，输入框可以直接调用 loop，命令结果可以直接刷进终端，审批状态也可以藏在某个局部变量里。等 IDE 侧栏、桌面端、自动化脚本和第三方客户端陆续出现，同一份内部状态会被复制成四套近似实现：它们对“当前任务是否结束”“这次 patch 属于哪个 turn”“批准以后还受不受 sandbox 限制”给出不同答案。 ...

Pi 最小 Agent kernel、可拆卸 extension 轨道、provider 与 host OS 信任边界以及下方 JSONL session tree

Pi 的减法：最小 Agent Kernel 保留什么，责任又去了哪里

Pi 默认只把四个工具交给模型：read、bash、edit、write。它没有内置 Plan Mode、Todo、MCP、subagent、permission popup 或 background bash。读到这里，很容易把 Pi 写成一篇极简主义赞歌：四个工具足够，复杂框架都可以删掉。 ...

Claude Code 中模糊意图经过上下文、Agent loop、工具提案、权限、沙箱、工作树和测试，成为受约束仓库修改的控制河流

Claude Code 的扩展语法：一条仓库修改怎样逐级获得控制

把“永远不要修改 .env”写进 CLAUDE.md，这条要求会进入 Claude 的上下文。它会影响模型的选择，却没有在文件系统前竖起一道墙。同一句话若进入 PreToolUse Hook、permission deny rule 或 sandbox 文件规则，语义已经变了：它开始决定一次工具调用能否发生，或者一个 Bash 子进程实际能碰到什么。 ...

Claude Tag 深度拆解：Slack 里的共享 AI，正在长成组织级 Agent 运行时

如果把 Claude Tag 只理解为 Slack 机器人，会错过它最重要的产品变化。它把频道变成了一个可授权、可记忆、可持续运行的 Agent 空间：团队共享同一个执行者，任务在 Anthropic 托管的线程级沙箱中异步完成，外部凭证由 Agent Proxy 在边界注入，结果回到公开线程并留下可追溯记录。Claude Tag 官方文档已经把这些机制写得相当具体。 ...

夜里跑十个 agent，早上收十个 PR，然后我卡住了

这是《超级个体的装备栈》系列的第二篇。如果你还没读过总纲，建议先读那篇——这篇的所有判断都建立在那篇提出的标准之上：一层装备的进步，是只帮你，还是同时帮你所有对手。 ...

如何建立对无人值守 AI Agent 的真实信任

假设你现在真的有一个 agent，能把一件事从头做到尾——拉数据、写代码、跑测试、发 PR、改文档，一条龙。它不需要你在旁边一句一句喂提示词。你晚上把任务丢给它，去睡觉。 ...

AI 第二大脑实操：Obsidian、Agent 与微信入口

先别造宫殿，先跑通一条路很多笔记系统的问题，不是功能太少，而是入口、目录、插件和自动化同时开工。最后系统很漂亮，自己却不敢改；AI 一旦批量重命名，更不知道哪里出了错。 ...

Relay 协调器、五个领域 Agent、浏览器投递、防护机制和审计边界组成的架构图

Relay Agent 架构审计：从设计承诺到本地实现

架构图是一张承诺清单；源码审计要问的是，其中哪些箭头已经有了重量。这篇文章的旧版把 Relay 写成一个公开的开源方案，还说它的 Agent 层尚未开工。到 2026 年 7 月 31 日，这两个判断都不再成立：旧文引用的公开 GitHub 地址返回 404，而我能够核对的是一份私有本地检出。 ...