一颗一百美元的连续血糖仪，两天就坏了，App 只告诉你它坏了，不告诉你为什么。作者把它从垃圾桶里翻出来，问 Codex 能不能连上蓝牙把数据读出来。几分钟后拿到了 96 条记录、两个故障标志位，还有一份清清楚楚的「读不到」清单。

并行跑多个编码 Agent，真正难的不是让它们同时开工，而是让它们互不踩脚、又能在关键节点交换结论。2026 年 8 月的 v0.150.0 给了会话之间一个命名通道（@task-name），9 月的 worktree 支持从手工脚本变成受管资源并在 v0.156.0 默认开启。两个原语单独看都不惊艳，合起来却是第一次让「隔离」和「通信」同时成立。本文拆解两者的机制、三种可复制的协作模式、以及为什么最后那一步合并必须留给人。

你把插件锁在一个经过审核的 commit 上，以为从此不会变。2026 年 9 月中旬披露的 Plugin4Shell 证明这把锁只是看起来很紧：四个主流编码 Agent 都在请求那个 commit，却从不核对最终落到磁盘上的代码是不是它。攻击者只要把插件的默认分支改成一个 SHA 形状的名字，就能在后台自动更新时静默换上恶意代码，全程不需要你点一下。本文拆解这条攻击链的两个变体、四个 Agent 的修补状态，以及它真正暴露的三层信任裂缝，最后给出一份可直接执行的加固清单。

把任务交给 Agent，第二天早上收到一个绿色对勾和一段「已完成」的总结，diff 看上去也很干净。问题是你凭什么相信它？人类写代码时有手感，Agent 没有。它能依赖的只有一个可执行的红或绿：测试。本文拆解测试驱动派活法（TDD-first）的完整实践，包括 AGENTS.md 里的测试协议、PostToolUse 钩子把验证变成机制、覆盖率当进度条、换会话审查，以及 Kent Beck 那句让人清醒的观察：Agent 会直接删掉测试让套件变绿。测试是 Agent 唯一无法作弊的裁判，前提是你得先给裁判上锁。

Infobip AI 团队在 CIKM ‘26 上的论文 arXiv:2608.30701 给出了一个反直觉结论：非平凡任务的成功与否，更多取决于你如何组织与编码 Agent 的协作方式，而不是你选了哪个基础模型。他们提出四阶段工作流，把人力前置到研究与规划，随产物成熟逐级放权。本文拆解这套流程，给出它在 Codex CLI 里的对应配置，并补充我自己的实践判断。