搜索归档

clud：在 Claude Code 终端内运行 Claude、Codex 与 DeepSeek 等多后端的智能体 CLI 工具

zackees/clud · Claude & Codex CLI but with safety 3rd and God Mode always.

clud 是一个基于 Rust 的命令行工具，名称取自 claude 的简写，围绕 Claude Code 这个交互式前端提供多后端、多模型的智能体编码体验。它支持通过 --codex、--deepseek、--kimi、--openrouter 等参数切换 Codex、DeepSeek、Kimi 或 OpenRouter 上的模型，也支持 clud do、clud grind 等工作流把单个 issue 或整批 issue 一路推进到合并 PR，并提供后台守护会话、附加/恢复会话、PTY 与 Sixel 图形头、管道与 headless 模式等能力。README 还提到修复了 Windows 上僵尸 git/bash 进程的性能问题，内置 clud-cmd-scan 命令守卫钩子拦截被禁用的 shell 命令，并对 Codex 钩子健康与 Windows 批处理退出码传播给出告警。

Text Seal：LLM 文本水印生成、后处理与污染检测工具包

facebookresearch/textseal · Codebase for generation-time and post-hoc text watermarking, as well as watermark radioactivity detection.

Text Seal 是 Meta 开源的文本水印工具包，覆盖三条技术路线：TextSeal 双密钥生成阶段水印（支持投机解码与局部检测）、通过 LLM 改写实现的后处理水印（Green-list/Red-list、Gumbel-max、DipMark、SynthID、MorphMark、WaterMax 等方案），以及基于「水印放射性」的基准数据污染检测。仓库同时提供分布式预训练与 SFT 训练基础设施，并支持污染注入以开展研究实验，可用于内容溯源验证、数据集污染检测与水印算法研究。

使用可观测性流水线将关键安全日志处理并路由到 Exabeam

Datadog 推出了可观测性流水线中的 Exabeam 预配置包（Observability Pipelines Exabeam Packs），帮助企业在把安全日志送进 Exabeam 这个安全分析平台之前，先在自己的基础设施里过滤掉没用的噪音。以前的问题是：防火墙、终端和网络网关产生大量重复的日常日志，全部传进 Exabeam 会让存储和处理费用暴涨，还会把真正有价值的身份、访问和终端行为信号淹没。这些包针对不同来源预设了丢弃、去重和抽样规则，比如过滤 Cisco ASA、Fortinet FortiGate、Palo Alto、CrowdStrike、SentinelOne、Windows 和 Zscaler 的日志，同时保留检测所需的原始字段，Exabeam 的解析器不受影响。目前发布的包括七个来源专属包，以及 Active Directory、Okta、Microsoft 365、Abnormal.ai 等可搭配 Exabeam 目标的通用包，用户可在流水线中直接添加，并用实时抓取验证过滤效果。

XCOR 发布：几分钟内追踪故障，但仍会呼叫工程师

Palo Alto Networks 推出 Cortex XCOR，一款由 Chronosphere 团队打造的 AI 可观测性平台。过去系统出故障时，工程师要半夜爬起来看仪表盘、手动排查，往往光定位问题就要 20 分钟。XCOR 在告警触发时自动启动专用 AI 智能体，自主推理问题并给出修复建议，平均 3 分钟内完成，复杂生产环境中根因分析成功率 75%，另有 19% 被认为有用。它默认仍采用人工确认模式，企业可逐步放开自主权限，目标是让 SRE 从救火转向架构工作。目前该产品已发布，文中未说明具体定价和正式可用范围。

能在笔记本上运行、性能几乎追平 35B 模型的 AI 安全检查工具

Red Hat 的 AI 安全团队做了一次横向对比，把三种安全护栏方案（专用分类器、LLM 当裁判、决策模型）放在同样的测试里跑，看哪一种最能拦住提示注入和有害内容。以前大家要么用专门训练的小分类器，要么花钱调大模型来判断，前者快但不够灵活，后者灵活但慢、贵。这次测试发现，一个约 2 亿参数的小分类器在提示注入上与 35B 大模型几乎打平（准确率 89.01% 对 89.31%），但响应时间只要约 54 毫秒，而大模型要 300 毫秒以上。这对开发者的意义是：如果护栏放在请求路径上，小模型能在普通笔记本 CPU 上跑，既省延迟也省成本。不过内容安全这块，决策模型反而更准，但成绩受提示词写法影响很大，还不能当作定论。Red Hat 计划把这两个分类器作为 OpenShift AI 3.6 的默认配置。

Dynatrace 希望其 AI 智能体能修复问题，而不是制造更多告警

Dynatrace 是一家做应用和基础设施监控软件的公司，它推出了一款叫 Bluebox 的 AI 智能体，想让工程师的工作更轻松。以前监控工具一出问题就拼命发告警，工程师得自己排查、写修复代码，很费时间。Bluebox 会把团队的代码和线上实际运行数据做对比，然后直接生成一个修复补丁（pull request），工程师可以审核后决定是否采用，也可以让它自动运行。它还能把告警和修复建议推送到 Claude、Codex 这些开发者已经在用的工具里，不用再开一个新面板。Dynatrace 仍然提醒客户：批准修复前要先检查，别完全信任 AI 的输出。目前 Bluebox 在七月发布，已可以使用，但公司希望未来 12 到 18 个月团队能逐渐给智能体更多自主权。

OpenAI 将文本水印引入 API——与 Anthropic 不同，它默认关闭

OpenAI 推出了一套叫 textGrain 的文本水印技术，用来给 AI 生成的文字打上不易察觉的标记。原理是让模型在几个同样合适的词里偏向选某一个，长时间积累后形成一种可被检测器识别的模式。以前给文本加水印比较难，改几个词就可能让标记失效，OpenAI 说在新方法下，200 个 token 的段落能检测出约 80%，400 个 token 能到 95%。API 客户从今天起可以自己选择是否开启，默认是关的；未来几周 OpenAI 会在欧盟自动给 ChatGPT 和 Codex 的部分输出加水印，以配合欧盟 AI 法案的透明度要求。

开发者们私下希望 OpenAI 这个月交不了货

OpenAI 负责 Codex 的工程主管 Thibault Sottiaux 立了个赌约：28 天内每天都要给 Codex 和 ChatGPT Work 用户送上一项“明显改进”，否则就给所有订阅用户免费用量重置。第 1 天他交出的成绩是让 GPT-6 Astra 和 GPT-6.1 Sol 默认速度大约提升 50%（从约 30 token/秒到约 50 token/秒）。但有些开发者并不急着叫好：他们宁愿 OpenAI 偶尔没做到，这样就能白拿一次用量重置，所以有人开玩笑说这已经变成了一种赌博。需要注意的是，这个挑战只是 Sottiaux 个人发的帖，哪些套餐能重置、重置具体恢复什么，都没有官方说明，而且 10 月 30 日起 Pro 套餐的用量还会从 Plus 的 20 倍降到 10 倍。

一个 MCP 服务器还没干活就吃掉 18,000 tokens，这是解决办法

Pi 的创始人 Mario Zechner 发现，一些热门的 MCP 服务器在你还没做任何事之前就会占用大量上下文：Chrome DevTools MCP 大约消耗 18,000 tokens，占 200,000 token 上下文窗口的约 9%，Playwright MCP 也要约 13,700 tokens 来描述它的 21 个工具。因此他一度选择不用 MCP，改用 Bash 和少量脚本。现在 Pi 1.0 把 MCP 内置，但默认不把所有工具说明塞进提示里，而是通过 Codemode 按需查找和调用工具，只把有用的结果返回给模型，Codemode 的工具声明默认上限为 3,000 tokens。开发者还能用 toolExposure 逐项控制哪些工具直接暴露、哪些藏在 Codemode 后面、哪些完全禁用。结果是，使用默认工具和 Codemode 的 GPT-5.6 请求的提示 tokens 从约 5,300 降到 3,300。不过 Pi 1.0 并没有解决 MCP 的可组合性等更广泛的问题。

判断而非生成：在 Jev 上重建 AI API 分类器

安全平台 Harness 的 AppSec 团队用自研决策模型 Jev 替换了原来生成式大模型做的「是/否判断」环节，用来识别客户 API 里哪些在和 LLM 通信。原来这条流水线要先用两次 LLM 摘要、再做分类，成本高、延迟大，而且模型自报的置信度几乎不能用来判断对错。换成 Jev 后，系统不再让模型写文字，只输出一个概率：每条 API 的判断成本比原流水线降约 1200 倍，比单次 LLM 方案降约 150 倍；出错的样本都落在 0.3–0.8 的不确定区间，只占 3.4%。对读者来说，这提供了一种思路：把流水线中重复的「判断」和「生成」拆开，用专门的决策模型替代，能大幅降本，同时保留可回滚的接口。

软件交付知识图谱：架构与指南

很多工程团队的数据散落在 CI、部署、安全扫描等不同系统里，同一个服务在不同系统中叫不同名字，工程师和 AI 每次问“这次部署为什么失败？”都要手动拼数据，答案还每次都变。文章提出用“软件交付知识图谱”解决：把实体、关系和数据格式用“schema 即代码”明确定义，再统一同步和查询，让跨系统的知识变得可靠、确定。还强调图谱质量取决于数据质量，需要监控数据填充率、记录数据来源、持续评估，否则图谱也会退化。文章以博客形式给出架构和指南，未说明配套产品何时可用。

ReviewBench：面向 AI 代码审查的开放基准

GitHub 推出了 ReviewBench，一个用来评估 AI 代码审查工具的公开基准。此前，各家 AI 审查工具好坏难分：有的发现问题多但噪音大，有的漏报多，团队缺少统一标准来判断谁更适合自己。ReviewBench 参考了 GitHub 上超过 1 亿个真实 PR 的语言和规模分布，挑选了 19 种语言的 219 个公开 PR，用人工审查、前沿大模型和静态分析共同构建“标准答案”，并按严重程度和类别打分，衡量准确率和召回率。它还经过资深工程师独立校验，与线上实验方向基本一致，因此开发团队可以用它离线预判改动是否真的能改善用户体验。该基准目前已可直接使用，且开放提交结果。

Cloudflare 修复 Containers 中的跨租户数据暴露问题

Cloudflare 公开并修复了其 Containers 和 Sandboxes 服务里的一个安全漏洞。简单说，这些服务用来跑隔离的代码环境，底层存储空间为了省事，重复利用旧数据块时没有先擦干净。结果研究人员在四大洲都从这些环境里翻出了别人残留的目录结构、数据库页，甚至完整的 SQLite 数据库。Cloudflare 已经修好了，并表示没有发现有人利用过这个漏洞。对普通用户来说，如果你用的是这些服务，目前无需额外操作，但这件事提醒大家：云上隔离靠的不只是逻辑分区，物理存储的清理也必须到位。

演讲：为 Agentic AI 产品构建可复用的评估框架

Elastic 的 Susan Chang 讲述了他们公司如何把 AI 智能体（agent）的测试评估从零散、各自为政的做法，改造成一套统一、可用于生产环境的评估框架。原来的问题是：不同团队各测各的，方法随意，出了问题难以及时发现。她的解决思路包括：把“让大模型当裁判”和“写死规则判断”两种评估方式结合起来；把数据科学家常用的 Python 评估代码和生产环境用的 TypeScript 代码打通；再配合深度追踪，在复杂的 RAG（检索增强生成）和安全场景中抓出性能退步，同时不丢失业务上下文。对读者的用处是：如果你的团队也在做 AI 智能体产品，这套经验能帮你建立更靠谱、更可复用的评估流程。

Akka 在 65 个开源项目上测试规范驱动的 AI 交付

Akka 公司拿 65 个开源项目做了一次实验，想看用 AI 帮忙把软件从一个平台搬到另一个平台时，需求写得清不清楚、给 AI 看多少背景资料、选哪个模型、有没有自动检查，这些因素到底影响多大。实验记录了花的时间、消耗的 token、代码量、测试通过情况以及运行性能，结果发现不同模型、不同投入程度、不同类型的项目之间差别很大。目前只是实验结果，还没有看到可直接使用的工具或产品。

Java 新闻综述：JobRunr 9、OpenXava 8、Quarkus、LangChain4j、JNoSQL 及 Lathe 亮相

InfoQ 作者 Michael Redlich 发布了 2026 年 9 月 28 日这一周的 Java 社区新闻汇总。本周内容包括：任务调度库 JobRunr 9.0 和快速开发框架 OpenXava 8.0 正式版（GA）发布；Quarkus、Micronaut、LangChain4j、Eclipse JNoSQL 等则推出了小版本更新；此外还有面向 Java 和 Kotlin 的 ADK 工具，以及一个全新的 Java 语言服务器 Lathe 首次亮相。汇总材料只给出了这些名称和发布/更新状态，并未说明具体功能变化、性能改进或使用方式，因此无法进一步介绍各项更新的细节。

Spring Office Hours 播客 S5E25：与 Josh Long 畅谈软件开发未来

这期 Spring Office Hours 播客由 Dan Vega 和 DaShaun Carter 主持，请来 Spring 生态知名开发者 Josh Long，一起聊软件开发未来，还回应了最近流传的一个争议观点。节目以直播形式进行，观众可以在线提问，也可以稍后通过播客平台收听回放。节目笔记里列了一串相关话题和工具，包括 Rails World 2026 主题演讲、Java 的 JSON API 提案、Netflix 的 Java 格式化工具 jfmt、Spring Modulith，以及可以在 Ollama 上本地运行的小型代码模型 Qwen2.5-Coder 1.5B 和 Ollama Cloud 云服务。对普通读者来说，这更像一份技术圈资讯清单而非成品工具指南，具体讨论内容需收听节目，材料未说明这些工具何时开放或如何使用。

为人们使用 AI 的方式构建广告

OpenAI 在 ChatGPT 里加了一种新的视觉广告形式，同时给广告主提供了更多衡量工具、归因合作和品牌适配控制。简单说，以前广告主在 ChatGPT 投广告，能看的反馈和保障不多；现在可以更好地追踪广告效果、判断广告出现在什么内容旁边。对普通用户来说，意味着 ChatGPT 里会看到更多带图片的广告；对广告主来说，投钱后能更清楚知道值不值。目前这些功能只是介绍，具体什么时候开放、支持哪些地区都还没说。

我们应对欧盟文本溯源规则的做法

OpenAI 在欧盟规则下推进文本水印：AI 生成的文本里会嵌入一种隐蔽标记，用来帮助判断一段文字是不是由 AI 写的。检测能力不会马上向所有人开放，而是先提供给研究人员使用。材料没有说明具体在哪些产品、哪些地区生效，也没有说明水印的技术细节和正式上线时间。

VerityMCP：把 ChatGPT 网页版连接到本地电脑并执行可验证的文件、终端与浏览器操作

tanishqbaweja/VerityMCP · Connect ChatGPT Web Chat directly to your local computer. Verified file editing, terminal execution, Playwright browser automation, and desktop control via Model Context Protocol (MCP).

VerityMCP 是一个基于 Model Context Protocol（MCP）的本地工程执行层，通过 Cloudflare 隧道把 ChatGPT 网页对话连接到本地计算机，提供 65 个工具，覆盖文件读写与补丁、代码搜索与 LSP、Jupyter Notebook、终端与进程管理、Playwright 浏览器自动化、桌面窗口控制、Git worktree、任务规划与诊断。其核心设计是在每次操作前后做强制性校验（如 SHA-256 字节回读、DOM 属性断言、游标分页读取输出），避免智能体把失败误判为成功。