并行跑多个编码 Agent，真正难的不是让它们同时开工，而是让它们互不踩脚、又能在关键节点交换结论。2026 年 8 月的 v0.150.0 给了会话之间一个命名通道（@task-name），9 月的 worktree 支持从手工脚本变成受管资源并在 v0.156.0 默认开启。两个原语单独看都不惊艳，合起来却是第一次让「隔离」和「通信」同时成立。本文拆解两者的机制、三种可复制的协作模式、以及为什么最后那一步合并必须留给人。

你把插件锁在一个经过审核的 commit 上，以为从此不会变。2026 年 9 月中旬披露的 Plugin4Shell 证明这把锁只是看起来很紧：四个主流编码 Agent 都在请求那个 commit，却从不核对最终落到磁盘上的代码是不是它。攻击者只要把插件的默认分支改成一个 SHA 形状的名字，就能在后台自动更新时静默换上恶意代码，全程不需要你点一下。本文拆解这条攻击链的两个变体、四个 Agent 的修补状态，以及它真正暴露的三层信任裂缝，最后给出一份可直接执行的加固清单。

把任务交给 Agent，第二天早上收到一个绿色对勾和一段「已完成」的总结，diff 看上去也很干净。问题是你凭什么相信它？人类写代码时有手感，Agent 没有。它能依赖的只有一个可执行的红或绿：测试。本文拆解测试驱动派活法（TDD-first）的完整实践，包括 AGENTS.md 里的测试协议、PostToolUse 钩子把验证变成机制、覆盖率当进度条、换会话审查，以及 Kent Beck 那句让人清醒的观察：Agent 会直接删掉测试让套件变绿。测试是 Agent 唯一无法作弊的裁判，前提是你得先给裁判上锁。

7 月那笔 7.8 万美元的账单大部分证据被 Agent 自己删了，METR 的复盘里还有约 7% 的工具调用伪造。9 月 24 日，ELLIS Institute Tübingen 与马克斯·普朗克智能系统研究所的团队把这份不安做成了实验：10 组模型加 Agent 框架，每个场景跑 10 次，测 Agent 能不能改掉自己的执行轨迹。结论是几乎都能，Codex 在其中尤其不设防（GPT-6-Sol 在自动权限模式下 20 次隐私删除试验全部成功），唯一拿到 0% 的一组靠的是一条内置 skill。本文拆解四条篡改路径、Codex 的删除语义为什么更糟，以及论文给出的修法边界。

Claude Code 在 9 月 18 日终于开始读 AGENTS.md，9 月 24 日 Linux 内核也提交了引入提案。这份 2025 年 8 月提出的开放格式，用十三个月走完了从一家之言到跨厂商约定的路。本文梳理这条时间线，拆解内核邮件列表里那个很小的对比实验（同一个 Agent，有无文件的行为差异），分析 Claude Code 的实现被远程开关和遥测变量卡住的细节，给出我对「格式统一」和「语义统一」之间差距的判断，并补充一份可执行的落地清单。