AI构建者摘要

Anthropic：沙箱没破，数据还是从一个被批准的域名走了出去

Anthropic 这篇讲隔离的文章，大半是一份「哪里出了问题」的清单。遥测数据显示，用户对 Claude Code 权限弹窗的批准率大约是 93%，所谓 human-in-the-loop 实际变成了盖橡皮图章；改用操作系统级沙箱之后，弹窗减少了 84%。在 2026 年 2 月的一次内部红队演练中，研究员用一段可以直接粘贴的 prompt 去钓一名员工，这段 prompt 悄悄让 Claude 读取 ~/.aws/credentials 并 POST 出去，25 次尝试里 Claude 完成了 24 次外泄，因为指令是用户自己敲进去的，分类器根本找不到任何异常可抓。最有洞见的一处认知重构是：出网白名单不是目的地过滤器，而是一次能力授权，正因如此，一个恶意的 workspace 文件才能让 Claude 用攻击者自己的 API key 把数据传到 api.anthropic.com。他们反复得出的教训是，gVisor、seccomp 和各层 hypervisor 全都扛住了，真正失守的是他们自己写的那个 proxy。

• #agents
• #security

Anthropic 点名 Claude Code 质量投诉背后的三个独立 bug

不是模型退化，而是三处相互叠加的产品改动，均已在 v2.1.116 修复。3 月 4 日，默认 reasoning effort 从 high 降到 medium，为的是压住长尾延迟，用户感受到的却是 Claude 变笨了；4 月 7 日已回滚，Opus 4.7 现在默认 xhigh。3 月 26 日的一处缓存优化，本意是把过期的 thinking 清掉一次，结果变成了此后整个会话每一轮都清一次，这就是大家反馈的健忘和重复，也解释了用量额度为什么消耗得更快。还有 4 月 16 日 system prompt 里加的一句「回复控制在 100 词以内」，让 Opus 4.6 和 4.7 的评测成绩各掉了 3%。值得一提的是，他们用自家的 Code Review 工具回测这几个出问题的 PR，Opus 4.7 找出了缓存 bug，Opus 4.6 没找出来。所有订阅用户的用量额度会被重置。

• #products
• #evals

Levie：agent 负载会涨到 100 倍，瓶颈在安全

Aaron Levie 认为，考虑到 agent 集群、越来越好用的 computer use，以及正在陆续上线的大量 API 和 MCP，所有人都该重设自己对 agentic 负载规模的预期。具体是什么样子：agent 全天候精准地物色人才，扫描每一个客户信号判断何时该去推销，处理每一份会议记录挖产品洞察，逐行审查代码找漏洞。他判断，关于这些东西该怎么部署、怎么管理、怎么做预算，我们大概只走了 1%。他的第二条帖子正好是第一条的约束条件：当 agent 触碰系统的频率是人类的 100 倍，保护企业数据会是本世纪最难的治理问题之一，而安全和生产力是绑死的，放开访问会让数据彻底失控，全部锁死又会把收益抹平。Box Shield 现在按文档密级来限定 agent 能接触哪些内容。

• #agents
• #security

Managed Agents：Anthropic 把 harness 从容器里拽了出来

Anthropic 新推出的托管型长周期 agent 服务，核心只有一个动作：把大脑（Claude 加 harness）从双手（沙箱、工具）和会话（一份持久化的 append-only 事件日志）里解耦出来。最初的设计把三者塞在同一个容器里，结果服务器变成了不能死的宠物，容器一挂会话就没了，而调试意味着要登进一台装着用户数据的机器。现在容器挂掉只是一个 tool call 报错，交回给 Claude 处理；harness 挂掉则用 wake(sessionId) 重启并重放日志。容器改成按需惰性创建，只有 tool call 真的需要时才开，p50 首 token 时间降了约 60%，p95 降了 90% 以上。另一个值得借鉴的论点是：会话是一个活在 context window 之外的 context 对象，于是裁剪和压缩不再是不可逆操作。凭证则根本不进沙箱，git token 在初始化时就写进了 remote，MCP 的 OAuth token 存在 proxy 后面的 vault 里。

• #agents
• #infrastructure

Rauch：verifier 和 skill 就是新的框架

Guillermo Rauch 今天的观点是，agent 的水平上限取决于你给它的证明检查器、编译器、类型系统和 linter，他顺势推荐了 shadcn/lint，说它能把 agent 约束在设计系统的规则之内。Vercel 还挖来了 Google Cloud Run 的创造者 Steren，让他负责涵盖 Functions、Containers、Sandbox 和 Builds 的 Fluid compute 产品线，理由是 serverless 是云计算的最后一章，而 agent 需要专为它们设计的计算原语。另外，fx 0.0.10 支持自动升级，ctrl+g 可以重启并恢复对话，他说长会话下提速明显。

• #agents
• #infrastructure
• #products

Claude Code 现在能把工作成果发布成一个可分享的在线页面

Claude Code 里的 Artifacts 会把一次会话变成一个网页，素材来自你的代码库、connector 和对话本身：PR 讲解、事故时间线、依赖许可证审计、给隐私评审看的数据流图。每次发布都是同一个链接下的新版本，带历史记录和回滚，已经打开的页面会随着会话继续工作而原地刷新，所以一个事故页面可能在早会前就自己重新发布了两次。不需要额外接任何数据源。Artifacts 默认仅作者可见，只有通过认证的组织成员能查看，无法设为公开；管理员可以做基于角色的范围控制、设置留存策略，并通过合规 API 查看。目前面向 Claude Team 和 Enterprise 开放 beta，可从 CLI 和桌面端使用。

• #products

Katie Parrott：模型是厨房，食材还得你自己买新鲜的

AI 写作的最后一公里，就是知识截止日之后发生的一切。让模型冷启动写一个主题，产出的只能是同质化的信息；让一篇文章独一无二的，是你喂进去的输入，是第三方调研，是专有数据，是模型够不到的亲身经验，因为它不在物理世界里。这会重新定义工作顺序：先把底层 context 搭好（受众画像、差异点、品牌叙事），遣词造句留到后面，因为「你这辈子都会一直跟遣词造句较劲」。她从 Compound Engineering fork 出来的 Compound Writing 插件，把这套流程固化成了头脑风暴、列提纲、起草、内容层修改、字句层修改、终稿通读，其中的审稿人角色借用了她欣赏的作家们的方法论：一个 Vonnegut skill 负责检查每句话是否都配得上它占的位置，一个 Hitchcock skill 负责检查读者是否知道桌子底下有炸弹。最被低估的用法，是把 AI 当成支持性技术而不是生产性技术，用它去跑那些因为麻烦而一直办不成的电脑杂事，比如拖了三年没约的家庭医生门诊、收件箱分拣。她此刻的判断是：如果不刻意扩大教育和获取渠道，这项技术的复利最终只会归于那些恰好起步早的人。

• #products
• #agents

Claude Mods 开始上线，已经有人在 Claude 里做了个 Tetris

Boris Cherny 说 Claude Mods 正在陆续上线，社区更新、技术细节和演示都发在了一个 GitHub issue 里。目前最受关注的演示，是已经有人做出来的 Tetris-in-Claude mod。

• #products
• #open-source

FPV 领投 Piston 的 A 轮，前提判断是：加油卡本身就是问题

Nikunj Kothari 正在领投 Piston 的 A 轮。这家公司处理车队加油支付的办法，不是做一张更好的卡，而是把卡这个东西干脆去掉。加油卡往往并不绑定到具体司机，于是被偷、被盗刷、被滥用，车队老板自己吞下欺诈损失，加油站则要向一个跟自己毫无关系的对手方支付交换费。Piston 用自己的通道走支付，没有卡组织也没有中间商，直接付给加油站，再向车队开票，每一笔交易都绑定到司机，并带上时间、位置和油品类型。支付额涨了 8 倍，商户网络涨了 40 倍，留存率高于 98%，已在 48 个州的 2000 座加油站上线。车队目前不用付任何费用。其中一位创始人自己就经营着一支卡车车队，实打实被加油欺诈坑过钱。

• #funding
• #fintech

Thariq 聊 Claude Code 的开发：最难的是跟上模型能力

Thariq 和 Sid、Robert 一起录了一期聊 Claude Code 开发过程的节目，讲了这段时间变化有多大、跟上模型能力有多难，以及他们怀念 AI 之前的软件工程的哪些地方。他还录完了一期 Latent Space，他形容这期聊得比较技术，讲了不少团队此前很少公开谈的东西。

• #agents
• #products

Turck：AI 的进展不会放缓，囚徒困境不允许

在一个讨论平淡的周末之后，Matt Turck 的判断是：玩家太多，经济动机太多，国内和全球层面的囚徒困境也太多，AI 进展不可能减速。他还点赞了 Ramp 的品牌营销，说那是天才手笔，一部真上百老汇的、讲账单的音乐剧，而且做这件事的公司连 CMO 都没有。

• #policy
• #products

OpenAI 的 Codex 负责人：这周的发布量是 DevDay 级别

Thibault Sottiaux 说，这周的发布密度会达到你以为只有 DevDay 2025 才有的水平。他还在公开征集：Codex 的哪个功能已经没用了、应该砍掉。比起通常那种「我们该做什么」的提问，这个问法要少见得多。

• #products

Gemini 重度用户小组开放新一批名额，主题是 Daily Brief 和 Personal Intelligence

这个测试 app 内早期功能的 Gemini 重度用户小组已经运行了两个月、放出 20 多个功能。Josh Woodward 说，新一批用户现在开始拿到 Daily Brief 和 Personal Intelligence 下一步内容的早期访问权限，加入流程还在继续。

• #products