搜索归档

将 Datadog RUM 和产品分析扩展到 Shopify 和 Salesforce

Datadog 把它的网站和产品使用监测能力扩展到了 Shopify 和 Salesforce，让工程团队能看清用户在这两个平台上的完整购物和操作过程，比如从逛店到下单付款，或者在客户门户里点了哪里、遇到了什么报错。以前 Shopify 改了结账页面的技术方式，Salesforce 则因为安全限制，第三方监测工具很难正常工作，团队只能自己想办法或者干脆看不到数据。现在 Datadog 提供了官方支持的方式：Shopify 上通过主题片段和自定义像素来追踪结账流程，Salesforce 上则用一个专用包来绕过安全限制，捕获页面浏览、点击和错误。这样团队不用自己维护复杂的监测方案，就能发现哪些环节容易出错或让用户放弃，从而改进体验。

别让 TEE 破坏你的 MPC

有一类做大额或敏感签名的系统，会把「门限签名」放进芯片级安全区（TEE）里跑。门限签名是多方可计算（MPC）的一种：多方一起签名，任何单独一方都不掌握完整密钥；TEE 则靠硬件厂商的证明机制来建立信任。问题在于，如果协议没有把外部主机当作不可信环境，攻击者可能把文件系统回滚，让签名方重复使用同一个随机数份额，从而泄露私钥份额。这篇博客说明 TEE 证明能解决什么、不能解决什么，审计中最常见的坑，以及把强证明和参与方身份绑定的做法。作者结论是：把 TEE 当作纵深防御而非协议的替代品，这个组合才值得用。文中未给出具体的部署或开源工具信息。

OpenAI 与 Cursor 就智能体协调器达成共识，但在由谁运行上存在分歧

OpenAI 本月公开测试 Agents API，把支撑 Codex 的协调机制开放出来，能管理会话、调度工具和指挥子智能体。同一天，Cursor 推出 Projects，用来协调多个编程智能体完成更大的软件任务。两家做法不同，但都采用“协调者+专业智能体”的分工模式：协调者把握大目标、分派工作，专业智能体各自执行小任务。这样解决的是一个智能体上下文太长会变糊涂、变慢的问题，好处是可能让多智能体协作更可靠，但费用和协调风险也会增加。

OpenTelemetry 与 Prometheus 正在和睦相处，但仍缺什么？

这是 Road to KubeCon 系列报道，追踪 KubeCon + CloudNativeCon NA 2026（11 月 9–12 日，盐湖城）前 Kubernetes 与云原生生态的主要动态。本周聚焦可观测性：一份 2026 年调查显示，OpenTelemetry（OTel）与 Prometheus 的互操作性进步明显，平均易用性评分从 3.1 升至 3.6，认为两者难以共用的比例从 29% 降到 10%，但数据模型对齐、资源属性和元数据处理、命名与格式问题仍待解决。Atlassian 把约 10 万台主机、横跨 14 个区域的指标采集从自研 StatsD 实现迁移到 OTel，对外接口不变，聚合 CPU 减半、边车成本约降 30%；New Relic 调查发现 73% 的受访者在标准化、迁移或测试 OTel，83% 认为可观测性对 AI 生成代码必不可少。另外 HPE GreenLake 连续第二年被评为 Gartner 基础设施平台消费服务魔力象限领导者。对读者来说，这些进展意味着可观测性工具链正在走向统一，但迁移成本和跨项目互操作仍是现实挑战。

微软新 Copilot 代理拥有自己的邮箱、日历，并在组织架构中占有一席之地

微软发布了它称为迄今为止最大的一次 Copilot 更新，CEO 萨提亚·纳德拉把 Copilot 形容为“工作用的新操作系统”。过去企业要让 AI 代理长时间自动干活，得自己拼接身份认证、权限控制、运行环境和组织信息，很麻烦。这次微软把这些能力直接做进 Microsoft 365：每个代理有独立的 Entra 身份和账号，有自己的邮箱、日历、OneDrive 和 Teams，还能像员工一样出现在组织架构里，管理员照常用现有策略管权限。对普通办公用户来说，Code 能用自然语言生成应用和流程，Autopilot 能按目标在后台持续工作；对开发者来说，代理运行、托管和成本管理都交给了平台。不过需要注意，Home 和 Code 先通过 Frontier 早期计划开放，Autopilot 月底进入私有预览，费用按使用量以 Copilot Credits 计算。

AI 写代码很快，但部署上线的代码你能信任吗？

AI 让写代码从几天缩短到几分钟，但“写得快”和“上线的东西可信”是两回事。现在的问题是：代码改动变多变快，攻击者也从源码转向真正部署的产物，比如依赖被投毒、构建系统被黑、流水线被塞后门。这次分享提出让安全证据跟着产物走，把产物仓库当成上线前的管控关卡，持续检查新出现的漏洞并阻止有风险的版本流入生产。Harness 还演示了 DevOps Agent 和 AppSec Agent，另有 Firewall Agent、Lifecycle Agent 仍在路线图中；对团队来说，流水线本身就是安全边界。

2026 年最佳 AI 安全解决方案：买家指南

这篇文章是一份 2026 年 AI 安全解决方案的选购指南。现在越来越多应用开始用 AI，但很多公司根本不知道 AI 在哪里运行、有没有被攻击的风险。文章建议从部署方式、数据采集、和开发流程的配合、以及合规治理这几个角度来挑产品，还提醒要问清楚厂商能不能防住 OWASP LLM Top 10 里列的那些 AI 特有攻击。对读者来说，这是一份帮助识别靠谱 AI 安全工具、避免被营销话术忽悠的参考清单。

CI/CD 安全最佳实践：2026 年流水线检查清单

这篇文章讲的是怎么保护软件交付流水线（也就是自动把代码构建、测试、发布上线的系统）本身的安全。问题是：流水线往往握有生产环境、测试环境和云账号的密码与签名密钥，一旦被攻破，攻击者就能一次拿到所有环境的权限，比如 2026 年 3 月的 TeamPCP 攻击就通过第三方组件 Trivy 的版本标签被篡改，把恶意代码塞进了别人的构建流程。文章给出的解法是一份清单，分本周就能做的快速修复和本季度要做的结构性改进，包括把密钥挪进专用保险库、按环境限制权限、把第三方组件锁定到具体提交、生成 SBOM 物料清单、签名并验证产物、统一保存审计日志。对读者来说，这提供了一份可照着执行的优先级顺序：先可见、再定策略、最后强制拦截，避免安全措施一上来就卡住合并流程。文中还引用数据称，仅 43% 的组织自动化了 CI 和构建流程，而常用 AI 编程工具的团队中有 50% 报告漏洞或安全事故增加。文章未说明这些建议的具体发布时间或配套工具是否已可直接使用。

{unscripted} 芝加哥与哥伦布站回顾

本文回顾了 {unscripted} 在芝加哥和哥伦布的活动。现在 AI 写代码快了约 180%，但真正能上线的只多了约 30%。原因是代码提交后的评审、合规检查、安全流程还是人工慢慢走，堵住了。活动上介绍了几种办法：按风险开放自动化、用 Change Advisor 替代人工变更评审会、让被规则的 Agent 干杂活，以及把合规当功能来设计。对读者来说，如果团队用 AI 写代码却没多上线，问题可能不在写代码，而在提交之后的那段流程。

通过引入更多 CSS 提升网站性能

GitHub 把网站样式的写法从“CSS-in-JS”换成了原生 CSS Modules。原来样式要在浏览器或服务器运行时现场生成，组件一多页面就变慢、更新也难控制。他们先把设计系统 Primer 的组件逐个换掉，用开关控制新旧样式切换、用截图对比确保外观不变，再逐步放量；2024 年 12 月全部换完，页面服务端渲染时间少了 55%，组件初始化时间少了 25%。此后 GitHub 还在继续清理旧写法，让网站更快。

GitHub Copilot 应用入门：如何使用画布构建自定义工作流

GitHub 博客介绍了 Copilot 应用里的“画布（canvas）”功能：它是一种你和 AI 助手共用的界面，可以做成看板、清单、仪表盘或表格等，不用自己写代码或设计。以前工具界面是固定的，你得迁就工具；现在只要用日常语言描述你想要的工作流和操作方式，AI 就会生成界面并在右侧面板打开。画布是双向的，你点按钮、移卡片，AI 当场能看到；AI 更新内容，你也能立刻看到，像共用一块实时白板。画布会保存为扩展，可团队共享或个人使用，社区还提供了现成模板。文中未说明该功能的收费、地区限制或正式发布状态。

演讲：Spritely——面向互联网未来的基础设施

Christine Lemmer-Webber 和 David Thompson 在一场演讲中介绍了 Spritely 项目。如今很多网络应用都靠中心服务器运行，一旦服务器出问题或掌握在少数公司手里，用户就很难掌控自己的数据和通信。Spritely 的做法是把应用做成点对点：用 Goblins 实现基于能力的访问控制（可以理解为只发钥匙、不设万能门禁），用 OCapN 让不同程序像演员传纸条一样互相通信，还用 petname 系统让用户自己给联系人起名，避免依赖全局身份。它借助 Scheme 语言、WebAssembly 工具 Hoot 以及本地优先的 CRDT（多人同时改数据也能自动合并），目标是让没有中心服务器的安全点对点应用成为可能。目前这是演讲分享，尚未说明具体可用版本或发布时间。

从 Agent 授权到 AI 生产评估：QCon AI 纽约 2026

QCon AI 纽约 2026 大会已经确定了 23 场会议，主题包括 Agent 授权、生产环境防护栏、共享推理基础设施，以及 AI 系统上线后如何评估效果。写这篇文章的是 Artenisa Chatziou。简单说，这是一场技术大会的日程预告，告诉大家届时会聊哪些 AI 落地中绕不开的实操话题。具体每场会议的讲师、时间和详细内容原文没有说明。

无状态 MCP 移除 AWS 服务器部署的会话亲和性要求

AWS 介绍了最新版 Model Context Protocol（模型上下文协议，简称 MCP）规范的变化。以前远程 MCP 服务器需要靠“会话”记住每个用户，还要求请求固定发到同一台机器（会话亲和性）并额外存会话数据，横向扩容很麻烦。现在规范去掉了协议层会话，请求可以随便发给任意服务器，扩容更简单；但应用状态、重试、可观测性和幂等性这些事就交给其他层自己处理了。

Spring AI 2.1.0-M1 现已发布

Spring AI 团队发布了 2.1.0-M1，这是 2.1 系列的第一个里程碑版本，已可从 Maven Central 下载。此前 Spring AI 里的一条消息只能存一段文本，加一些工具调用和图片的附属列表，没法如实表示现在模型的输出，比如推理和工具调用交错、图片夹在文本中间、以及必须原样回传的厂商专属内容。这次把消息内容改成了有序的片段列表，并新增对 OpenAI Responses API 的支持，以及把已经算好的向量直接写进向量库的能力。对使用 Spring AI 做 AI 应用的开发者来说，升级到这个里程碑后，可以按顺序完整保留模型返回内容，用 Responses 接口在 GPT-5.4 等新旗舰模型上同时使用工具调用和推理，还能省去重复计算向量的开销。注意这是里程碑版，API 在正式版前仍可能变动；只有 OpenAI Responses 模型原生支持新片段，其他模型计划在 2.1.0-RC1 跟上，持久化聊天记忆也尚未支持。

Spring Boot 4.2.0-M2 现已发布

Spring Boot 团队发布了 4.2.0-M2 版本，这是一个面向开发者的早期预览版（M2 表示第二个里程碑版本），现已可以从 Maven Central 下载。这个版本总共包含 141 项改进，涵盖功能增强、文档更新、依赖升级和错误修复。两个比较显眼的新能力是：LDAP 现在支持 SSL 安全连接（包括内置 LDAP 服务器的 LDAPS），以及加入了 OpenTelemetry 语义约定和常用 OTLP 端点、请求头、压缩等配置的支持。作为里程碑版本，它还不是最终稳定版，想提前体验或帮忙测试的开发者可以按发布说明升级，普通项目建议等正式版。

Proaction 借助 Codex 提升 60% 销售额，节省 75+ 小时

Proaction 是一家做车队管理系统的公司，过去开发和运营这套系统要花不少时间和人力。这次他们用上了 Codex、GPT-Live-1 和 GPT-6 Astra 这几个 AI 工具来写代码、跑业务和做销售。结果销售额提升了 60%，还省下了 75 个多小时的工作量。对读者来说，这说明把 AI 融入软件开发和销售流程，能实实在在省时间、多赚钱。不过材料只给了结论，具体怎么用、这些工具是否已开放，原文没有说明。

LangSmith 新动态：Engine v2、托管式 Deep Agents、微调等

LangChain 更新了 LangSmith 平台。这次带来四件事：Engine v2 能主动找代理问题，包括自动红队测试和自动验证修复方案；托管式 Deep Agents 升级到 v0.8，新增按用户隔离的认证与记忆、Slack 文件传输、通用 HTTP 接入和内置网页搜索；Trajectories 把冗长的代理会话整理成对话视图，方便排查；微调功能则把这些会话数据变成训练素材，用于定制模型，还支持搭建自定义界面。主要面向正在把 AI 代理投入生产的团队，目前具体定价和正式开放程度原文未说明。

用 Jev 与 LangGraph 构建生产级 Agent

TypeSafe AI 发布了 Jev，它和普通大模型不同，不写文字，只做判断：你给它当前状态和一组问题，它返回带概率的、固定格式的答案，代码可以直接照着走。以前大家遇到模糊任务就整个交给大模型，又贵又慢，还每次答案可能不一样；Jev 在路由、分类这类窄判断任务上据称能快 200 倍、便宜 400 倍，并且同一输入重复跑结果基本不变。LangGraph 负责把这些廉价判断编排进流程：状态当上下文、节点按需调用 Jev、出错了能从检查点续跑，流程仍留在可检查、可测试的代码里。读者可以据此搭建更快更便宜、也更可靠的生产级 Agent，而不是把整个流程交给一个“神”模型。目前这是基于 TypeSafe 基准和官方文档的发布介绍，实际效果需自行验证。

MaxToken：在 Apple silicon 上以有限内存服务大型 MoE 模型

notagentdev/maxtoken · Serve MoE models bigger than your memory on Apple silicon. MLX engine with elastic SSD-backed expert offload, native MTP speculative decoding, OpenAI/Anthropic-compatible APIs and a built-in web console.

MaxToken 是 FlashML FreeToken 的独立分支，把面向边缘的 MoE 推理引擎改造成 Apple silicon 优先的运行时，目标是“用最少内存产出最多 token”。它基于 MLX 执行，只保留稠密核心常驻内存，把路由专家放到由 SSD 直接读取驱动的弹性、硬预算槽位缓存中；当模型可容纳时则使用零拷贝内存映射存储以常驻内核速度运行。项目提供 OpenAI 与 Anthropic 兼容 API（Claude Code、Codex 可直接对接）以及内置单文件 Web 控制台（聊天、实时吞吐、请求日志、弹性缓存滑块），并支持原生 MTP 投机解码与草稿模型投机解码。仅在 Apple silicon（macOS、Metal）上运行，0.0.1 起移除了上游 CUDA 引擎。