搜索归档

将 Datadog RUM 和产品分析扩展到 Shopify 和 Salesforce

Datadog 把它的网站和产品使用监测能力扩展到了 Shopify 和 Salesforce，让工程团队能看清用户在这两个平台上的完整购物和操作过程，比如从逛店到下单付款，或者在客户门户里点了哪里、遇到了什么报错。以前 Shopify 改了结账页面的技术方式，Salesforce 则因为安全限制，第三方监测工具很难正常工作，团队只能自己想办法或者干脆看不到数据。现在 Datadog 提供了官方支持的方式：Shopify 上通过主题片段和自定义像素来追踪结账流程，Salesforce 上则用一个专用包来绕过安全限制，捕获页面浏览、点击和错误。这样团队不用自己维护复杂的监测方案，就能发现哪些环节容易出错或让用户放弃，从而改进体验。

AI 写代码很快，但部署上线的代码你能信任吗？

AI 让写代码从几天缩短到几分钟，但“写得快”和“上线的东西可信”是两回事。现在的问题是：代码改动变多变快，攻击者也从源码转向真正部署的产物，比如依赖被投毒、构建系统被黑、流水线被塞后门。这次分享提出让安全证据跟着产物走，把产物仓库当成上线前的管控关卡，持续检查新出现的漏洞并阻止有风险的版本流入生产。Harness 还演示了 DevOps Agent 和 AppSec Agent，另有 Firewall Agent、Lifecycle Agent 仍在路线图中；对团队来说，流水线本身就是安全边界。

2026 年最佳 AI 安全解决方案：买家指南

这篇文章是一份 2026 年 AI 安全解决方案的选购指南。现在越来越多应用开始用 AI，但很多公司根本不知道 AI 在哪里运行、有没有被攻击的风险。文章建议从部署方式、数据采集、和开发流程的配合、以及合规治理这几个角度来挑产品，还提醒要问清楚厂商能不能防住 OWASP LLM Top 10 里列的那些 AI 特有攻击。对读者来说，这是一份帮助识别靠谱 AI 安全工具、避免被营销话术忽悠的参考清单。

CI/CD 安全最佳实践：2026 年流水线检查清单

这篇文章讲的是怎么保护软件交付流水线（也就是自动把代码构建、测试、发布上线的系统）本身的安全。问题是：流水线往往握有生产环境、测试环境和云账号的密码与签名密钥，一旦被攻破，攻击者就能一次拿到所有环境的权限，比如 2026 年 3 月的 TeamPCP 攻击就通过第三方组件 Trivy 的版本标签被篡改，把恶意代码塞进了别人的构建流程。文章给出的解法是一份清单，分本周就能做的快速修复和本季度要做的结构性改进，包括把密钥挪进专用保险库、按环境限制权限、把第三方组件锁定到具体提交、生成 SBOM 物料清单、签名并验证产物、统一保存审计日志。对读者来说，这提供了一份可照着执行的优先级顺序：先可见、再定策略、最后强制拦截，避免安全措施一上来就卡住合并流程。文中还引用数据称，仅 43% 的组织自动化了 CI 和构建流程，而常用 AI 编程工具的团队中有 50% 报告漏洞或安全事故增加。文章未说明这些建议的具体发布时间或配套工具是否已可直接使用。

通过引入更多 CSS 提升网站性能

GitHub 把网站样式的写法从“CSS-in-JS”换成了原生 CSS Modules。原来样式要在浏览器或服务器运行时现场生成，组件一多页面就变慢、更新也难控制。他们先把设计系统 Primer 的组件逐个换掉，用开关控制新旧样式切换、用截图对比确保外观不变，再逐步放量；2024 年 12 月全部换完，页面服务端渲染时间少了 55%，组件初始化时间少了 25%。此后 GitHub 还在继续清理旧写法，让网站更快。

GitHub Copilot 应用入门：如何使用画布构建自定义工作流

GitHub 博客介绍了 Copilot 应用里的“画布（canvas）”功能：它是一种你和 AI 助手共用的界面，可以做成看板、清单、仪表盘或表格等，不用自己写代码或设计。以前工具界面是固定的，你得迁就工具；现在只要用日常语言描述你想要的工作流和操作方式，AI 就会生成界面并在右侧面板打开。画布是双向的，你点按钮、移卡片，AI 当场能看到；AI 更新内容，你也能立刻看到，像共用一块实时白板。画布会保存为扩展，可团队共享或个人使用，社区还提供了现成模板。文中未说明该功能的收费、地区限制或正式发布状态。

Spring AI 2.1.0-M1 现已发布

Spring AI 团队发布了 2.1.0-M1，这是 2.1 系列的第一个里程碑版本，已可从 Maven Central 下载。此前 Spring AI 里的一条消息只能存一段文本，加一些工具调用和图片的附属列表，没法如实表示现在模型的输出，比如推理和工具调用交错、图片夹在文本中间、以及必须原样回传的厂商专属内容。这次把消息内容改成了有序的片段列表，并新增对 OpenAI Responses API 的支持，以及把已经算好的向量直接写进向量库的能力。对使用 Spring AI 做 AI 应用的开发者来说，升级到这个里程碑后，可以按顺序完整保留模型返回内容，用 Responses 接口在 GPT-5.4 等新旗舰模型上同时使用工具调用和推理，还能省去重复计算向量的开销。注意这是里程碑版，API 在正式版前仍可能变动；只有 OpenAI Responses 模型原生支持新片段，其他模型计划在 2.1.0-RC1 跟上，持久化聊天记忆也尚未支持。

Spring Boot 4.2.0-M2 现已发布

Spring Boot 团队发布了 4.2.0-M2 版本，这是一个面向开发者的早期预览版（M2 表示第二个里程碑版本），现已可以从 Maven Central 下载。这个版本总共包含 141 项改进，涵盖功能增强、文档更新、依赖升级和错误修复。两个比较显眼的新能力是：LDAP 现在支持 SSL 安全连接（包括内置 LDAP 服务器的 LDAPS），以及加入了 OpenTelemetry 语义约定和常用 OTLP 端点、请求头、压缩等配置的支持。作为里程碑版本，它还不是最终稳定版，想提前体验或帮忙测试的开发者可以按发布说明升级，普通项目建议等正式版。

Proaction 借助 Codex 提升 60% 销售额，节省 75+ 小时

Proaction 是一家做车队管理系统的公司，过去开发和运营这套系统要花不少时间和人力。这次他们用上了 Codex、GPT-Live-1 和 GPT-6 Astra 这几个 AI 工具来写代码、跑业务和做销售。结果销售额提升了 60%，还省下了 75 个多小时的工作量。对读者来说，这说明把 AI 融入软件开发和销售流程，能实实在在省时间、多赚钱。不过材料只给了结论，具体怎么用、这些工具是否已开放，原文没有说明。

Talemistry：覆盖全招聘周期的人才招募平台

AndreasDeveloperCS/Talemistry · Full Cycle Recruitment Ecosystem powered by AI

Talemistry 是一套由 AI 驱动的全周期招聘生态系统，覆盖 Discover、Attract、Understand、Match、Evaluate、Decide、Offer 七个旅程阶段。项目由三个协同应用组成：Next.js 16 主产品界面（含分析、职位、Kanban 招聘管道、候选人智能画像、WebRTC 面试、测评、决策、Offer 与 GDPR/偏见合规中心）、Angular 18 品牌镜像界面，以及 NestJS + MongoDB 后端（REST + Socket.IO + WebRTC 信令），三端共享同一领域模型与品牌体系。

AI-Recruit-Talent-manage-Copliot：基于 LLM 与 NLP 的招聘与人才管理 Copilot

DvitGohil/AI-Recruit-Talent-manage-Copliot · An AI-powered Recruitment & Talent Management Copilot built using Flask, MongoDB, NLP, and Machine Learning for automated resume parsing, candidate profiling, semantic job matching, skill gap analysis, interview assistance, and recruitment analytics.

该项目是一个 AI 招聘与人才管理平台，使用 Flask、FastAPI、MongoDB、NLP 和机器学习技术，覆盖自动简历解析、候选人画像、语义职位匹配、技能差距分析、候选人排名、AI 语音面试和招聘分析等招聘全流程。平台抽象了 Google Gemini、OpenAI、Groq 等 LLM 提供方，并提供角色权限登录、ATS 管道同步和 REST API。

OpenAI 定制语音需联系销售，谷歌推出自助式语音定制

谷歌今天通过 Gemini API 和 Google AI Studio 发布了 Gemini 3.8 Flash TTS 和 Gemini 3.8 Flash-Lite TTS。以前开发者只能用现成的声音，现在可以自己描述想要的声音，或上传一段短录音来克隆声音，保存后就能在应用里重复使用。录音需要同一人的两段干净样本（10到30秒）和一段同意声明，处理后会得到一个语音ID，存在项目里一年。谷歌给生成的音频打上 SynthID 水印，并限制部分地区使用克隆功能。

开发者和平台团队都想要 Kubernetes 自助服务，但对归属权意见不一

HPE 的 Marius Bogoevici 和 Karthik Subramanian 在采访中聊了 Kubernetes 自助服务的矛盾点。开发者想要随用随取的 Kubernetes 环境，但不想等一周多的工单流程；平台团队则要管成本、权限和合规。HPE 的做法是用 HKS 和 HPE Morpheus Software 把安全配置做成服务目录：开发者可以自助选择预批准的集群版本、资源配额、工具链和租期，但网络隔离、身份认证、安全策略和费用归属仍由平台团队自动应用。这样开发者不用放弃 Kubernetes 原生接口，平台团队也能统一管控，减少手动拼工具链和集群闲置浪费。

基于 GitHub Security Lab Taskflow Agent 的 AI 模糊测试

GitHub 安全实验室发布了一个叫 Fuzzing Taskflow 的自动化工具，专门给 C/C++ 项目做模糊测试。模糊测试就是自动给程序喂各种奇怪输入，看能不能把程序搞崩，从而找出安全漏洞。以前这件事很费人：需要人盯着代码覆盖率、手动写测试框架、一个个分析崩溃原因。现在这个工具只要给它一个 GitHub 仓库地址，它就会自己识别关键函数、写测试框架、跑 AFL++、看覆盖率、改进测试、分析崩溃并生成漏洞报告。它不是万能药，复杂项目仍可能需要人工介入，而且必须在一次性环境里运行。

当聊天框不再是正确的用户界面

GitHub 博客提出，虽然我们现在主要靠聊天框和 AI 对话，但聊天框并不适合所有任务。GitHub Copilot 应用里有一种叫“画布”的功能：它是一个能跑在你电脑上的小应用，可以不用浏览器窗口，直接和 AI 双向沟通。这样你可以做出像下棋游戏、软件包管理器、数据库操作界面这样的工具，用起来比反复让 AI 在聊天里帮忙更省钱、更顺手。画布现在就可以下载 GitHub Copilot 应用试用，简单场景一次就能做好，复杂工作流大概要花一天。

Spring Web Services 5.1.0-M1 现已发布

Spring 团队发布了 Spring Web Services 5.1.0-M1，这是一个里程碑预览版，已可从 Maven Central 获取。该版本包含 13 项改进、依赖升级和错误修复，主要新增功能是可观测性支持，用 Micrometer Observation API 对 Web 服务交换进行指标采集和追踪；还支持用 @SoapHeader 把 SOAP 头反序列化为自定义类型，不再局限于 SoapHeaderElement。此外，故障响应加入了 WS-Security 支持，并与 Spring Framework 7.1、Spring Security 7.1 对齐。对使用 Spring 开发 SOAP Web 服务的团队来说，这次更新让监控和报文处理更灵活，也方便后续升级到新版框架。

Spring Batch 6.1.0-M2 发布！

Spring Batch 团队发布了 6.1.0-M2 里程碑版本，已可从 Maven Central 获取。这个版本在 6.1.0-M1 基础上带来多项新功能和增强，同时包含一些破坏性变更，并升级了 Spring Framework、Spring Integration、Spring Data 等依赖版本。主要改进包括：MongoDB 作业仓库支持可配置的集合前缀（默认 BATCH_，不影响现有应用）、默认转换服务改基于 DefaultFormattingConversionService、异步处理 API 和本地 chunking 移至 spring-batch-core、RepositoryItemWriter 支持 flush、资源读取器支持位置模式、部分 builder 方法实现编译期安全。此外还弃用了 Apache Derby 支持、旧版日期时间转换器等 API，计划在 7.0 版本移除。

推出带 Live Avatar 的 Gemini 3.8 Live

谷歌在 Gemini Enterprise 里上线了带 Live Avatar 的 Gemini 3.8 Live。过去企业用的语音助手只闻其声，听不到也看不到用户。这次把接近实时的视频生成和语音结合起来，数字人能一边听、一边看、一边说，嘴型对得上，表情自然，还能在对话时在后台调用工具查数据。企业可以拿它做客服或导览；它支持 97 种语言切换，输出带不可见水印 SynthID。定制专属形象目前只对企业白名单开放。

LangSmith 自定义应用：围绕你的 Agent 数据构建自定义界面

LangSmith 推出了 Custom Apps 功能，让团队能在 LangSmith 里直接搭建、发布并使用自定义界面来查看自己的 Agent 数据。过去，很多团队为了按自己的评审流程看数据，得另外写一套前端，还要自己处理托管、登录和权限，维护起来很麻烦。现在可以直接用模板或让 LangSmith Chat 根据一句话描述生成应用，也能用编码助手基于 API 自己写，发布后同事就能在同一处查看。对常做人工标注、实验对比或追踪审查的团队来说，省去了导出数据和重复搭界面的工作。该功能已在 Plus 和 Enterprise 套餐开放，配套的 Macaw 设计系统也已开源。

LangSmith 推出微调功能

LangChain 这次推出了 LangSmith Fine-Tuning 和一个叫 smithtune 的命令行工具，让团队能把智能体在 LangSmith 里跑出来的操作记录，直接变成训练数据，再拿去训练自己专用的模型。以前做这件事得手动搭整套数据流程，很麻烦。现在 smithtune 把造数据集、用 Fireworks 或 Baseten 训练、再用 LangSmith 评测串成一条龙，还支持让编程智能体来跑。目前只支持监督微调（SFT），需要去 GitHub 安装使用。