搜索归档

你的 Pod 申请的 CPU 可能比你以为的多 25 倍——而 Kubernetes 不会告诉你

有人发现，Kubernetes 里 kubectl describe pod 只显示每个容器的资源申请，比如 api-server 容器只写了 40 毫核 CPU，看起来很小。但调度器真正给这个 Pod 预留的却是一整个 CPU 核心（1000 毫核），因为 Pod 里有个做数据库迁移的 init 容器，它启动时需要 1000 毫核，调度器必须按这个高峰来留资源。问题在于，Kubernetes API 从不直接给出这种“整个 Pod 的有效值”，监控工具也只显示单容器数字，导致集群容量估算和成本模型可能差了 25 倍。Dynatrace 表示自己在数据接入时对每个 Pod 自动算好这个正确值，并处理了 Kubernetes 1.34 的 Pod 级资源新特性，其他监控平台据其所知还没做到。对普通读者的用处是：如果你按控制台里的小数字判断节点够不够用、成本高不高，可能会一直算错。

在 Datadog IaC 安全扫描中强制执行自定义规则

Datadog 为 IaC 安全扫描加入了自定义规则功能，让企业能检查自己特有的基础设施规定，比如必须打哪些标签、只能用哪些实例类型、资源怎么命名。以前默认规则只能覆盖通用安全问题，内部要求往往得靠人工在代码审查时检查。现在可以用自然语言描述需求，AI 会生成对应的 Rego 策略和示例配置，在编辑器里验证后再发布，并支持版本历史与回滚。发布后，违规结果会出现在拉取请求评论、IDE 插件和 IaC 安全结果浏览器里，还能接入 PR 门禁和自动化流程，无需另建工作流。该功能现已可使用，支持 Ansible、CloudFormation、Dockerfile、Kubernetes、Terraform 和 GitHub Actions。

在（足够好的）AI 时代进行审计

一家安全审计公司接到了一个叫 Miden 的零知识虚拟机项目的安全审查任务，这个项目用一种自创的汇编语言 MASM 写加密代码，几乎没有现成的开发工具，代码读起来非常费劲。他们的做法不是直接让 AI 去读代码找漏洞，而是先花六个月时间让 AI 代理从零搭建了一整套工具：代码编辑器插件、反编译器、静态分析引擎，还有一个用 Lean 写的虚拟机执行模型。这些工具帮他们发现了一个真实的安全漏洞——一个没有校验的输入，恶意证明者可以利用它伪造 Falcon 签名并偷走 Miden 账户里的资金；Lean 模型还产出了 95 条机器验证的正确性证明。对于读者来说，这说明 AI 在代码审计中的价值不只是在审代码本身，还可以先帮你造出审代码所需的工具，尤其适合那些缺少工具链的全新项目。目前该案例属于已完成的审计工作，但文中未说明这些工具是否对外开源、能否被其他人直接使用。

代码审查正在压垮你最好的工程师

很多团队让最优秀的工程师去审查大量由 AI 生成的代码，结果他们被审查排队淹没，做不完也不喜欢做。问题在于 AI 写代码时没把“为什么这么写”的推理留下来，审查者只能从代码差异里倒推意图，而且这些代码往往看起来很对、实际上会出错。文章建议把审查负担移走：把反复出现的评论变成自动规则，保留生成代码时的意图作为验收标准，并衡量和奖励验证工作。对读者来说，这说明 AI 提效的同时，可能把压力转移到了代码审查环节，需要用流程和工具来补上。文章提到 Aviator 的 Verify 用于捕捉提示和智能体会话中的意图，原文未说明其是否已公开发布。

开放权重模型在 Vercel AI Gateway 上处理多数 token，但 Anthropic 仍占 64% 支出

Vercel 运营着一个中转站（AI Gateway），帮开发者用统一接口调用多家 AI 模型，并记录每月流量和花费。最新报告显示，2026 年 8 月开放权重模型（权重公开、可自行部署的模型）处理了网关里 56% 的 token，这是它第一次超过一半；但按金额算，这些模型只分到每 1 美元中的 14 美分，而 Anthropic（Claude 的开发商）拿走了 64 美分。原因是开源模型通常更便宜，所以用量大不等于收入高。对读者的用处是：如果你在选模型，可以看到便宜模型正被大量使用，但企业愿意为 Claude 这类专有模型持续付费；同时模型换代时用户会跟着价格和能力走，而不是死守品牌。

你的 agent 有多好，取决于你的基础设施

这篇文章说，你做的 AI agent（能自己动手干活的智能助手）在测试时很好用，比如它审查代码改动时又快又准；但一上线到生产环境，同样的 agent 却会变慢甚至卡住。问题不在 agent 本身，而在于支撑它运行的基础设施：agent 干活要连着调用模型、查数据库、跑测试等多步操作，每步都得等上一步，任何一步慢都会拖累整体；而且它有时等外部系统（出现空档），有时多个任务同时恢复（造成瞬间高峰），让 GPU 和费用都变得很难预测。对读者的用处是：想让 agent 稳定好用，不能只看模型好坏，还得把基础设施按峰值来准备、并做好编排和可靠性设计。文章属于观点分析，没有给出具体的工具、产品名称，也未说明发布时间或实际可用状态。

Buildpacks 如何帮助企业在规模上落地容器安全控制

很多公司给容器打安全补丁时，总有些服务几个月都没更新，因为每个团队都自己写 Dockerfile，用的基础镜像和安装方式五花八门。Buildpacks 是一种不用写 Dockerfile、自动把源代码变成容器镜像的工具。它把选基础镜像、配运行时、生成物料清单等安全决策从各个开发团队收归到一个统一的构建平台。这样一来，平台团队可以集中管控和更新补丁，企业更容易在成百上千个服务里统一执行安全规则。

Kubernetes 能跑 AI 推理，但算得清真实成本吗？

本周 Kubernetes 生态有不少进展。KubeCon 北美 2026 新增了“AI 推理与智能体”专题，说明越来越多团队把训练好的模型放到生产环境用 Kubernetes 提供服务。招商银行用 Kubernetes 加 Kueue、KEDA、HAMi、Fluid 等开源项目，把近一万张异构加速卡中 99% 的 AI 算力统一管理，平均利用率从 35% 提升到 60% 以上，处理一百万 token 的成本降低 60%。不过 WEKA 首席 AI 官提出质疑：Kubernetes 原本的资源模型管不了请求组合、KV 缓存占用、预填充与解码比例这些决定 token 成本的状态，若不加改进，可能反而成为推理经济的负担。

Claude 攻不进 OpenAI，直到 Anthropic 发布 Opus 5

三家安全研究员在常用图片处理库里发现了一个可被恶意文件触发的漏洞，原本想用它入侵 OpenAI 的官方论坛。简单的漏洞利用不难，难的是在真实服务器上用它远程控制机器；他们先让 Claude Opus 4.8 做这一步，但在系统正常开启内存随机化保护时失败了。当晚 Anthropic 发布 Opus 5，第二天换上新模型后，约三个小时就做出了可用的 ARM64 攻击，四小时后拿到了测试论坛的远程控制权。最终他们串起了从论坛漏洞、OpenAI 单点登录权限过大，到员工 Codex 账号、公司私有代码库的完整路径，并用一个无害的文档修改证明访问成功后就停手。这事的意义是：以前需要资深专家花大量时间做的漏洞利用开发，现在可能相当一部分能交给 AI 完成。目前这是研究者公开的实验记录，OpenAI 已修复权限并给了一笔漏洞赏金。

AI DevSecOps：机器学习如何重塑软件开发生命周期

这篇文章讲的是把机器学习用到软件安全开发流程里的做法，也就是所谓的 AI DevSecOps。原来安全团队面对扫描器报出的大量漏洞，光靠人工根本处理不过来，AI 生成代码又让漏洞数量迅速增加。现在可以用 AI 智能体自动合并重复的漏洞、按误报可能性和严重程度排序，并生成修复代码，让开发者直接从修复请求开始工作。但 AI 本身也带来三个新风险：从公开渠道下载的模型可能被篡改、训练数据可能被投毒、提示注入可能影响线上应用。文章主要介绍 Harness 这类平台如何用智能体串联扫描、分流和修复，并强调成熟度取决于治理而非功能数量。

你该读代码吗？RAG 死了吗？Skills 杀死 MCP 了吗？

GitHub 播客聊了五个关于 AI 编程的热门说法。第一，AI 生成的代码还是得读，因为最终责任在你，只是不用每行都同样仔细，判断风险在哪里才是关键。第二，公司招人更看重你会不会在合适的时候用 AI、说清自己的判断，而不是逼你全程用或完全不用。第三，Skills 和 MCP 不冲突：MCP 负责让 AI 连上工具和数据，Skills 负责告诉它这个项目的规矩和流程，两者搭配使用。第四，RAG 没死，它帮模型先找到相关资料再回答，省 token、也更准，可以和 Agent、MCP 一起用。第五，模型看不懂你的代码库时，通常说明代码本身对新人也不友好，清晰的结构和命名对人和 AI 都有好处。

架构安全且可扩展的人脸验证系统

这篇文章讲的是怎么让大量员工同时刷脸打卡不卡死。原来系统一秒钟要处理三千人的验证请求，同步调用直接把服务器压垮了。作者提出四层架构：先在手机端过滤掉无效照片，省下三成云费用；再把检测和比对拆开，让处理能力扩大十倍；按风险高低动态调整判断标准；还用零信任思路保护隐私，加同意确认和自动删数据，满足 GDPR 和 HIPAA。对读者来说，这提供了一套高并发人脸验证的工程参考，但目前只是文章介绍，没有说已开源或可下载使用。

演讲：软件工程中的复杂性与创造力

Phillip Mortimer 做了一场演讲，讲的是 AI 写代码越来越普遍之后，软件正在变成“只写不读”——代码主要由机器生成，人很少再去逐行阅读。他认为传统那种靠人工逐行审查的 pull request 流程已经不好用了，建议把“想做什么”和“具体怎么写”分开，让机器自动检查代码，并让系统能自己发现和修复问题。这样做的目的是把工程师从繁琐的审查里解放出来，把精力放在更有创造性的工作上。这场演讲面向的是资深工程师和架构团队负责人，目前只看到演讲介绍，没有提到配套工具或产品是否已经可用。

DoorDash 利用多智能体 LLM 清理 6 万个功能开关

DoorDash 内部积累了大量过时的“功能开关”（feature flag，即控制功能是否上线的开关代码），散落在 623 个代码仓库里，清理起来费时费力。他们用多个 AI 智能体组成流水线，自动完成这类清理：先通过 MCP 获取线上实验数据，再经工程师确认，在独立的 Git 工作区中并行执行修改，最后由自动检查验证结果。在 50 个开关的测试中，45 个成功生成了可用的代码合并请求，平均每个耗时 13.8 分钟、花费 4.79 美元。这意味着这类繁琐的代码维护工作可以大幅交给 AI 自动完成，工程师只需做最终审核。

Hex 借助 GPT‑6 Astra 将复杂分析转化为可视化报告

Hex 是一家做数据分析工具的公司，它让数据助手在回答问题时直接生成能互动、好看的可视化图表。以前，分析结果往往是一堆数字或文字，员工要自己动手做成图表，很麻烦也不愿意分享。现在有了 GPT‑6 Astra 帮忙，这些数据助手可以自动把答案变成可交互的图表，员工看了觉得拿得出手，更愿意发给同事看。这样一来，看数据、讲结论变得简单，非技术同事也能轻松理解复杂分析。不过，材料里没有说这个功能什么时候开放、要不要付费，也没有说具体怎么用。

什么是 Jev？TypeSafe AI 的 System One 模型指南

TypeSafe AI 发布了一个叫 Jev 的新模型。它和普通聊天大模型不同，不写文章式回答，而是专门对一段内容做快速判断，比如“这条客服消息急不急”，并给出概率。这能解决 AI 助手每做一步都要调用一次大模型、又慢又贵的问题：Jev 在分类任务上号称推理快 200 倍、成本低 400 倍。它现在可以通过 LangChain 的 TypeSafeClassifier 调用，适合做模型路由、自动判断危险操作等场景；但它不能替代会写代码、会推理的大模型。

Awesome Harness Primitives：GitHub Copilot 与 Claude Code 的智能体构件库

paulasilvatech/awesome-harness-primitives · Curated, validated harness primitives for GitHub Copilot and Claude Code: agents, skills, prompts, hooks, plugins, MCP integrations, catalogs, and tooling.

该项目是一个经过整理和验证的构件（primitives）集合，面向 GitHub Copilot 和 Claude Code，包含 agents、instructions、skills、prompts、hooks、plugins、MCP 集成、目录与配套工具。GitHub Copilot 侧为规范来源，Claude Code 侧由兼容内容按明确转换规则生成，并带有漂移检查与运行时验证。仓库提供目录浏览、插件或独立构件的安装指南、运行时契约规范以及自动化校验流程，可用于为这两个编码助手搭建可复用的智能体与自动化能力。

AI-Resume-Screener：基于 Gemini AI 的简历解析、评估与岗位匹配排名应用

LIKHIT123498/AI-Resume-Screener · Full-stack AI recruitment app that parses, evaluates, and ranks resumes against job descriptions. Built with React (Vercel), FastAPI (Render), and PostgreSQL (Neon). Features Gemini AI NLP skill extraction, scoring, a drag-and-drop dashboard, and JWT auth.

这是一个全栈 AI 招聘应用，可解析候选人简历并对照职位描述进行评估与排名。技术栈包括 React（Vercel 部署）、FastAPI（Render 部署）与 PostgreSQL（Neon），集成 Gemini AI 做 NLP 技能抽取与匹配评分，通过 Supabase 配置云存储，提供支持拖拽上传 PDF 的仪表盘与基于角色的访问控制。

agent-skills：跨多个编程 Agent 的可移植 SKILL.md 技能合集

wangjohn/agent-skills · Portable Agent Skills (SKILL.md) for Claude Code, Cursor, Codex, and other coding agents.

该项目是作者个人使用的 Agent Skills 集合，以 SKILL.md 形式在 Claude Code、Cursor、Codex 等能读取该文件的编程 Agent 之间共享与复用。技能以 skills/ 下按名称分目录组织，长文档放入 references/ 目录，确定性内容放入 scripts/ 目录；仓库强调作为可移植的单一来源，不写入 Cursor 专属的 frontmatter。示例技能 review-pr 可为 PR 生成面向人工审查的指南，覆盖架构、模型、权衡与关键设计决策，并配合代码优先的解释、简洁语言、必要时使用图表以及聚焦的审查问题。仓库提供 npx skills add 安装方式、create-skill 模板与新增技能流程，并通过 scripts/validate.py 在本地与 CI 校验；另有关于 agent-archive CLI 的规划文档，属于计划而非已实现版本。

AegisAI：面向 GitHub PR 的 AI 安全代码审查代理

themanoj-025/AegisAI · AegisAI is an AI-powered security code review agent that analyzes GitHub pull requests, detects vulnerabilities, validates findings, redacts secrets, and posts actionable inline feedback before insecure code reaches production.

AegisAI 是一个基于 AI 的安全代码审查代理，通过 GitHub Webhook 接收 pull request 事件，提取 diff，经 Redis 队列交由 RQ Worker 处理：过滤噪声文件、重定向敏感信息、调用 Claude 或 GPT-4o 检测 12 类以上漏洞（SQL 注入、XSS、命令注入、硬编码密钥等），校验发现后以行内评论形式回写到 PR。项目使用 FastAPI + Redis + RQ 架构，提供 Docker 多阶段构建、HMAC-SHA256 签名校验、幻觉防护、Webhook 重试与死信队列及 Prometheus 指标。