搜索归档

超越容器镜像签名：Datadog 如何执行软件供应链策略

Datadog 内部建了一个叫 Turnstile 的系统。原来他们的镜像签名只能证明镜像签名后没被改过，但挡不住更早环节出问题，比如代码合入时被塞进恶意改动、依赖被投毒、构建环境被入侵，这些镜像照样能带着有效签名上线。Turnstile 在软件从代码到镜像的每一步都生成加密签名的“证明”，记录是谁、在什么环境、经过什么审核，部署前再按环境策略检查这些证明，比如生产环境要求更严。这样安全团队能提前拦截不合格镜像，也不用对开发流程造成太多打扰。目前它是 Datadog 内部系统，文章没有说明是否对外开源或商用。

AI 的迈达斯困境：当代码免费时，功能便一文不值

这篇文章讨论的是：许多团队用 Claude Code、Cursor、Copilot 等 AI 编程工具写更多代码后，反而让软件失去了价值。作者用希腊神话中迈达斯点石成金的故事作类比：当人人都能用同样的 AI 工具生成代码时，单纯把用户需求翻译成代码就不再值钱。文章建议团队不要只做“功能工厂”，而要深入理解用户的工作和难题，提供用户自己想不到的方案；文中还提到 McKinsey 2026 年研究显示，94% 的企业大额 AI 投入并未带来收益增长。文章主要是观点论述，没有给出具体产品或操作方法，也没有说明作者身份。

Beam 从运行智能体的 Mac Mini 上单独拉取应用窗口

连续创业者 Hiten Shah 和 Sam Asante 做了一个叫 Beam 的新 Mac 应用。原来很多人把 Mac Mini 放在角落或机柜里跑 AI 智能体，想操作它只能开屏幕共享、进一个完整的远程桌面，很麻烦。Beam 的做法是把对面 Mac 上的单个窗口搬到你的 Mac 上，终端或浏览器窗口都行，它有自己的程序坞图标，能切换、能拖文件、声音也在本地播放，应用本身不离开原机器；两台 Mac 需为苹果芯片、macOS Sonoma 或更高版本，并都装 Beam，同一 Wi-Fi 或通过 Tailscale 互相发现。托管 Mac 和加入分享链接免费，使用自己的 Mac 每天免费 20 分钟，之后每月 12 美元或买断 199 美元；iOS 和 Android 原生应用官方称在开发中。

DeepSeek 开源其 API 背后的推理引擎，华为与英伟达并列获支持

DeepSeek 把自己在线上服务模型时使用的推理引擎开源了，取名 DeepInfer，采用 Apache 2.0 许可。此前它曾表示这套软件与自家集群管理工具等内部设施绑得太紧，公开部署需要大改，并不实际。现在开放的版本能让开发者在自己的机器上运行 DeepSeek-V4.1-Flash，包含投机解码、异步调度、结构化输出等优化，但缺少 KV 缓存管理、跨机分工和副本负载均衡等组件，只覆盖离线推理，完整生产服务仍需自行补齐外围设施。配套的 deepseek-recipe 库（Rust 和 Python 版）帮助复现官方 API 的输入输出处理。硬件上首批支持英伟达 SM100（Blackwell 数据中心 GPU）和华为昇腾 950 NPU，较旧的 Hopper 架构未列入。DeepSeek 未说明如何解决去年提到的维护与部署难题。

不读代码，如何审查 AI 生成的代码

Faros AI 的新报告显示，未经人工审查就被合并的拉取请求增加了 76.3%，很多公司已有 50% 到 80% 的 PR 交给 AI 审查。问题是，AI 只擅长逐行找 bug，却看不到“为什么这么改”这类关键决策，团队也因此失去了讨论系统设计的机会。作者提出一套五层做法：让另一个 AI 代理先挑刺、把改动意图和验收标准记录下来、把反复出现的评审意见变成固定规则，最后由人讨论 AI 无法拍板的取舍，并由具体团队签字负责。核心原则是“代理负责核实，人负责决定”，这样工程师不必逐行读代码，也能说清改动的来龙去脉。这套框架基于作者在 Aviator 正在构建的工具，属于方法和演示，并非已普遍落地的成品。

脚本化测试跟不上 AI 写代码的速度，Datadog 押注智能体来测试

很多团队现在直接用 AI 写代码，Anthropic 的工程师产出的代码量达到原来的八倍，有人每月提交数千个 PR。但麻烦在于：代码写得快了，测试仍然要靠人写，得决定测哪些流程、写脚本、流程一变还要改，瓶颈从写代码挪到了测试环节。Datadog 今年收购了 Propolis，把“由智能体写的测试”加进自家平台：智能体自己去探索应用、走用户流程，再根据自然语言的要求生成测试，并结合 Datadog 的日志和链路追踪来检查性能，避免硬编码测试容易失效的问题。对团队来说，这有望缩短开发周期；不过目前只是文章介绍的方案，具体能否用、怎么用还要看 11 月 4 日的线上活动。

ElevenLabs 想接管你的语音智能体，开发者要放弃什么

ElevenLabs 推出了 Eleven Realtime，提供 Mini 和 Max 两个托管语音智能体模型，把语音识别、推理、轮流对话和语音生成打包在一起，开发者不用自己搭这套流程。代价是底层模型和调度都由 ElevenLabs 管，开发者没法单独挑选、调整或替换这些部件，出问题时排查和优化也更难。不过提示词、音色、工具、知识库和打断设置仍可通过 ElevenAgents 配置；想要自己选底层模型则可以用 Custom 模式。外部测试显示，Max 在语音推理和工具调用上明显强于 Mini（如 Big Bench Audio 98.8% 对 75.9%），但 Mini 是默认选项、延迟略高一点（首段音频 620 毫秒对 570 毫秒），且不支持零保留模式和 HIPAA 配置。想从 OpenAI Realtime API 迁移的团队，用的是同一套 WebSocket 协议和 SDK，但 WebRTC 应用需要先换传输方式并自己处理音频采集与播放。两款模型都按 ElevenAgents 每分钟费率加 token 计费，生产环境表现和故障诊断信息是否够用，原文没有给出答案。

评估整个推理栈，而不仅仅是开放模型基准

Nebius 应用 AI 高级副总裁 Ryan Hanrui Wang 接受 The New Stack 采访，指出公开基准只能说明开放模型在理想条件下的最好表现，无法保证生产环境里反复执行任务时的准确率。他建议工程师把行业基准与企业内部基准、智能体工作流轨迹结合起来衡量，并关注整个推理栈：缓存命中率、批处理、量化、内核优化、吞吐与交互性的平衡，以及 P95/P99 尾延迟。对成本敏感的场景可先评估 Kimi、DeepSeek 及“flash”类较轻模型；对精度要求高的场景则筛选两三个大模型后做微调。他还举例说，Nebius 用 6000 条轨迹微调一个小模型，准确率提升 11%，工具调用减少 22%。目前这些是 Nebius 与客户合作中的实践和主张，文章未说明具体产品版本或公开可用状态。

“我们不是在分叉 TypeScript”：Cloudflare 牵头，由智能体编写、为智能体服务的 Rust 移植版

Cloudflare 正在主导推进 TypeScript 编译器的 Rust 移植版 tsrs，这个项目最初由 Owner.com 发起。原因是微软用 Go 重写的 TypeScript 7.0 在检查大型项目时仍然很吃资源：在 Owner.com 一个 3.7 万文件的后端上，单线程检查就要占用 19 GiB 内存、耗时 80 秒，严重限制了能同时工作的 AI 编程智能体数量。tsrs 声称比 TypeScript 7.0 快约 8 倍、内存占用少 70%，而且微软 TypeScript 团队已共享优化，7.1 测试版本身也快了约 2.5 倍。Cloudflare 强调这不是分叉，语言方向仍归微软；Rust 版更方便编译到 WebAssembly，适合在 Workers 沙箱里运行。目前尚不清楚 tsrs 何时公开发布或开放使用。

Respan 在 LiteLLM 上建了两年，一次升级让它推倒重来

Respan 过去两年在 LiteLLM 之上写了十多万行包装代码，结果 2026 年 1 月一次常规升级后出现间歇性连接失败，回滚也没查出原因，只好停止直接升级、逐个挑上游修复。它干脆用 Rust 重写了一个开源 AI 网关：核心很小，模型供应商、路由、MCP 工具、实时语音和安全控制都做成插件，插件按注册顺序依次处理请求，还能在 OpenAI 与 Gemini 等不同协议间转换。代价是自定义插件要编译进网关、需自己维护构建，且插件在网关进程内运行、顺序配错可能让缓存绕过安全检查。目前是 pre-alpha，可从 GitHub 下载预编译程序直接跑，付费平台不是必需。

我们如何在削减 AI 工具支出的同时不减少使用量

Harness 这家工程公司发现，AI 工具费用涨得飞快，但没人看得清钱花在谁身上、花在哪个模型上。他们用自家的 Harness Cloud Management Agent 把各家 AI 服务商的用量和费用汇总到一处，按开发者、供应商、模型、token 类型拆分展示，还引入「每百万 token 成本」这个效率指标，让开发者能看到自己用得贵不贵。接着他们给每位开发者设了每周预算：用到 90% 先提醒，超过 100% 才停用，而且可以自助申请加预算、按金额分级审批，不用提工单。2026 年 7 月中旬上线后，每百万 token 成本从约 1.80 美元明显下降，总支出也先降后小幅回升；作者认为这说明开发者不是少用了 AI，而是不再拿高价模型干便宜模型的活。以上是该公司自述的效果，文中未给出具体降幅百分比，也未附第三方验证。

Harness 推出 VegaLoad：开源负载测试工具

Harness 发布了一款叫 VegaLoad 的免费开源负载测试工具，采用 Apache 2.0 许可证，由其韧性测试团队开发。以前做负载测试往往要另外找工具、把脚本放在别的仓库，还得提工单排队等运行，很多服务没做压测就上线了。VegaLoad 把压测脚本变成一个放在代码旁边的小文件，AI 编程助手可以直接写测试、运行测试，返回通过或失败结果和一份 HTML 报告，测试在本机跑，还能设延迟和错误率上限拦截合并或发布。对开发者来说，压测能在几分钟内试起来，代码可读可改；不过若需要多机集群压测或跨团队历史记录，则要另用 Harness 的商业产品。

Harness 推出 AI 预算功能

Harness 在它的成本管理 Agent 里新增了“AI 预算”功能，把写在纸面上的 AI 花钱规则变成实时能看见的限额。以前很多公司虽然定了 AI 费用政策，却没法知道有没有被执行，往往要等到下个月账单出来才发现超支。现在可以按团队、开发者、模型或项目设预算，每周重置，用到 90% 时提醒，超过 100% 就暂停使用，直到下周重置或有人批准加钱，加预算也能在系统里自助申请。这样超支几天内就能被发现，也方便留出审计记录。目前是早期开放阶段，文中未说明具体收费和全面上线时间。

3 位 Java Champion 如何用 GitHub Copilot 提升生产力

GitHub 博客采访了三位有十多年 Java 经验的 Java Champion，分享他们在真实项目和开源工作中使用 GitHub Copilot 的经历。共同点是：AI 能大幅加快写代码和做原型的速度，但开发者仍要提供上下文、审查生成的计划和代码，并对最终交付负责。例如 Vlad Mihalcea 原本预计要花几周开发的功能，借助 Copilot 两天就完成了；他还用自己 65 篇文章训练出模仿个人文风的技能，让生成的文档更像自己写的。Patrick Baumgartner 则用 Copilot 完成了约 900 张教学幻灯片从 Reveal.js 到 Marp 的迁移，并靠截图对比等方式逐项验证结果。这些经验目前属于个人实践分享，文章没有说明具体产品版本或开放范围。

演讲：超越原型——用 Ray 扩展与框架无关的 AI Agent 基础设施

两位工程师做了一场演讲，讲的是怎么把 AI Agent 从本地开发时用的 FastAPI 小原型，搬到 Kubernetes 上、用 Ray 撑起来的正式生产环境。他们分享了实际操作中的经验：Ray 集群怎么搭、有状态记忆怎么存、流量忽高忽低时怎么自动扩缩容，以及控制平面怎么设计得稳。另外还提到几道关键防线：安全护栏、多区域部署，还有让大模型当裁判来给 Agent 打分的评测流程。对做 AI 应用落地的团队来说，这些是从“能跑”到“撑得住”的参考经验。这只是一场演讲分享，相关工具和做法没有说明是否已经开源或可以直接拿来用。

本周 Spring 动态 - 2026 年 10 月 20 日

这是 Spring 社区每周例行的动态汇总，作者 Josh Long 盘点了近期与 Java 和 Spring 相关的内容：Craig Walls 写了两篇文章，一篇讲用 Spring 和 JBang 免构建地搭建 MCP 服务，另一篇讲把回答拆成若干声明以便做事实核查；播客采访了 Andrew Lombardi，讨论 Java 能否比 Rust 更快（结论是能）；作者本人发布了 Spring Boot 4.1 中防止服务端请求伪造（SSRF，即攻击者诱导服务器去访问不该访问的地址）的视频，以及用 Mise 一键配好 JDK、环境变量和包的教程；SivaLabs 则分享了在 Spring Boot 中使用 .env 文件、以及用 skills 生成符合期望风格代码的视频；另有一篇讨论模块化单体与微服务如何取舍的文章。读者可以按兴趣挑选这些教程和讨论，全部为社区分享内容，没有发布新的软件版本。

OpenAI 收购 Orchestra Bio

OpenAI 宣布收购 Orchestra Bio 公司。此前，生物医药研发团队在做药物开发时，许多运营环节效率不够高，新疗法的推进速度受到限制。这次 OpenAI 打算把自己的人工智能能力用在生命科学的研发运营上，帮助这些团队加快药物开发、推动新疗法问世。对读者来说，这意味着未来药企可能用上更智能的研发运营方式；不过材料没有说明具体怎么用、收购金额和完成时间，也没有说普通用户现在能不能用上相关产品。

加盟商借助 ChatGPT Work 将现金对账时间缩短 94%

一位同时经营 Schlotzsky's 和 Cinnabon 门店的独立加盟商，过去要靠人工处理菜单改价和现金对账，费时又容易出错。这次它用 ChatGPT Work 搭了一套工作流，把菜单改价时间省下 95%，现金对账时间减少 94%，并估算可能释放约 10 万美元现金流。这些数字来自当事人自述的案例，具体做法和适用范围原文没有交代；对连锁经营者来说，这条经验的启发是：把重复性的财务与定价操作交给 AI 流程，有望省下大量时间。

Skill Forge：把已完成的工作流转化为可发布、经测试的 Agent Skill

YaBoom/skill-forge · Turn a completed workflow into a tested, publish-ready Agent Skill for Claude Code and Codex

Skill Forge 从已完成的工作流出发，收集当前会话、git 历史与项目文件中的证据，将其提炼为可移植的七要素流程（触发、输入、步骤、决策、失败、验证、输出），再通过八道质量门（发布阈值 13/16 且安全项需为 2）评分，生成 SKILL.md、references/、assets/、scripts/ 及配套清单，并提供正负触发测试与试运行；它支持打包到 Claude Code、Codex、Cursor 及其他 Agent Skills 宿主，并给出本地、skills.sh、自托管市场和官方目录四种发布路径。

TaskGraph：面向 Claude Code 的 PRD 驱动任务管理工具

stephennmiller/taskgraph-ai · Task management for AI coding agents. Turn a PRD into a dependency-aware task list and work it in Claude Code via slash commands, CLI or MCP.

TaskGraph 是一个为 AI 驱动开发设计的任务管理工具，基于 Claude Code 运行。它能将产品需求文档（PRD）转化为带依赖关系的任务列表，并通过斜杠命令、CLI 或可选的 MCP 服务器引导 Claude Code 逐个执行任务，计划和进度存储在仓库中。项目无需额外 API 密钥，所有 AI 调用均通过已登录的 Claude Code 进行。