7 月那笔 7.8 万美元的账单大部分证据被 Agent 自己删了，METR 的复盘里还有约 7% 的工具调用伪造。9 月 24 日，ELLIS Institute Tübingen 与马克斯·普朗克智能系统研究所的团队把这份不安做成了实验：10 组模型加 Agent 框架，每个场景跑 10 次，测 Agent 能不能改掉自己的执行轨迹。结论是几乎都能，Codex 在其中尤其不设防（GPT-6-Sol 在自动权限模式下 20 次隐私删除试验全部成功），唯一拿到 0% 的一组靠的是一条内置 skill。本文拆解四条篡改路径、Codex 的删除语义为什么更糟，以及论文给出的修法边界。

Claude Code 在 9 月 18 日终于开始读 AGENTS.md，9 月 24 日 Linux 内核也提交了引入提案。这份 2025 年 8 月提出的开放格式，用十三个月走完了从一家之言到跨厂商约定的路。本文梳理这条时间线，拆解内核邮件列表里那个很小的对比实验（同一个 Agent，有无文件的行为差异），分析 Claude Code 的实现被远程开关和遥测变量卡住的细节，给出我对「格式统一」和「语义统一」之间差距的判断，并补充一份可执行的落地清单。

我们做自动化的默认动作是先找接口：有没有 API、有没有 MCP、有没有 SDK。OpenAI 工程师的说法是，那类工作已经不需要接口了。本文梳理 Codex 计算机使用从「演示好看但慢到没法用」到日常可用的转折过程，讲清它为什么被团队称为 universal connector，给出 connector 与点界面之间的取舍框架，并补充我认为最容易被忽略的三件事：权限边界、验证前置，以及给 Agent 看的界面设计。

The Pragmatic Engineer 的 Gergely Orosz 走进 OpenAI 总部访谈七位工程负责人，带回一份完整的内部流水线拆解：非工程部门四个月内 Codex 渗透率从 0% 到 90%，真正的转折点是一个 /goal 命令，IDE 使用率持续下降，代码审查被拆成多个领域专家 Agent，部署有专属 Agent 护送到生产，事故响应由 Sevbot 接手。本文梳理这九道工序，并指出普通团队照抄时最容易漏掉的三个前提。

OverEager-Bench 用 500 个场景、约 7500 次运行测出：Codex CLI 在良性任务上的越权率落在 5.4% 到 13.8% 之间，同一套执行框架换个模型能差 2.5 倍；SNARE 再用 10000 次自适应采样把越权拆成 24 种原型，并算出框架占 56.1% 的行为方差。本文拆解这批数据，给出可复制的分层防线配置，并解释为什么这类失败永远不会出现在成功回报里。