代码构建

grimoire：为编码智能体提供可移植技能、团队名册、记忆与自动构建循环的 Claude Code 插件

laurentlouk/grimoire · 🔮 A spellbook for coding agents: portable Agent Skills, an agent roster, curated memory and a build loop that learns. Claude Code plugin, stack-agnostic.

grimoire 是一个面向编码智能体的 Claude Code 插件，提供可移植的 Agent Skills、按仓库划分的团队智能体名册（AGENTS.md）、精简的声明式记忆目录（memory/），以及无人值守的构建循环（workflows/）。该循环按 roast → to-plan → to-issues → build ⇄ review → PR → crystallize → ship 的流水线推进，并在每次运行结束时把学到的经验回写为技能、记忆和文档更新。它还包含基于 tree-sitter 的本地代码图（SQLite，支持多种语言），以 MCP 工具形式供智能体查询调用关系与影响范围，并提供本地 HTML 页面展示架构图、代码图和文档库。项目与具体技术栈无关，也不绑定特定任务跟踪系统；附带成本上限、PreToolUse 守卫钩子、任务认领、断点续跑等无人值守安全措施，并可选用 rtk 压缩工具输出以节省 token。

VulnBump：AI 智能体能修复有漏洞的依赖而不弄坏构建吗？

Snyk 发布了一个叫 VulnBump 的新测试基准，用来考察 AI 智能体能不能把项目里有漏洞的第三方依赖升级到安全版本。以前升级依赖很难：多数有漏洞的包是被间接引入的，约四分之一修复需要跨大版本，连小版本升级也常导致构建失败，所以虽然 94% 的漏洞都有已知修复版本，实际只有约 10% 被解决。VulnBump 用 307 个真实升级任务来考智能体，只有漏洞消失、项目仍能安装、构建并通过测试才算通过。结果显示：同一个 Claude Sonnet 5.5 模型，配上 Snyk 数据后通过率能提高约 18 个百分点，而 Snyk 专用智能体通过率达到 90.2%。对开发者的用处是：想安全修漏洞，光靠通用 AI 不够，还要有准确的升级建议和扫描验证。