[鸭哥 AI 手记] 2026-11-09: 17 个子代理开会，不如调高档位多想一步

懒人包：Surge AI 的实测把多代理开会的插件按在数据上过秤：17 个子代理把单题成本推高 8 倍，分数只从 31.1 涨到 32.9；把 Opus 5.5 的思考档位拧到 xhigh，多拿 11.3 分只花 3.5 倍成本。昨天鸭哥发了 2 篇 AI 文章：《现在的 Agent Harness 越来越复杂，哪些技巧在跑分里真正管用》 盘点了一份带跑分数据的 harness 增删清单；《怎么管理 Agent 技能的依赖和自动升级》 讲清楚技能文件照搬包管理器为什么会翻车，以及三条能照做的分流方案。文末另有 3 条行业动态。

17 个子代理开会，还不如让模型多想一步

Surge AI 从真实的公司生产代码库中提炼了 60 道 sudo L7 基准题（Surge AI 博客、sudo L7 介绍）。其中有一道题是关于修复活动报名系统的漏洞。Every 公司开源的 Compound Engineering 插件派出了 17 个子代理，查计划、审代码、查质量，一路绿灯通过。结果谁也没发现，系统在用户付款之前就把带会议密码的确认邮件发出去了。根源是带头写计划的主代理漏掉了付款时序，后面 17 个子代理全按同一个错计划审代码。在软件工程里行之有效的开会评审，搬给 agent 就把直觉撞了个正着。

这个多代理插件把单题成本推到了 8 倍，总分只从 31.1 提到 32.9，涨幅完全落在随机波动里。对照组里最省钱也最管用的改动是把 Claude Opus 5.5 的思考档位从 medium 调到 xhigh：总分直接跳到 42.4，净涨 11.3 分，成本只涨到 3.5 倍。有一道题是视频剪辑软件缺首帧崩溃，medium 档只堵眼前的报错拿到 14 分，xhigh 档修完报错顺着回退路径往下游多查一步，把另一处隐患顺手修掉直接拿到 100 分，单题只多花 0.29 美元。

外挂工作流里能稳定加分的，是两个极轻的关卡。开源插件 Superpowers 只加一道要求：动功能代码前先核对需求规格，跑通先写失败测试再写代码的循环，单题成本只增 10%，总分多拿 2.4 分。Claude Code 自带的 /goal 目标核对配代码审查插件，在每轮准备停手提交前额外检查一遍完成条件，用 1.8 倍单题成本换来 3.3 分的提升，拿下所有外挂工作流里的最高分。

框架本身也在悄悄收税。山东大学团队在 492 道 SWE-bench Verified 编程题上对比不同框架（arXiv 论文），同一个模型换个框架跑，单题成本最高能差到 3 倍，成功率差距却基本留在噪声里。

真正能让分数上一个台阶的，往往是不起眼的底层管道改造。比如 UCLA 团队（Kai-Wei Chang、Nanyun Peng 等）开源了 FireFlash 配方（技术报告）：用 GLM-5.3-Flash 锁死最高思考档位，只给终端执行和读写文件 4 个基本工具。在官方 Claude Code 框架上跑 Terminal-Bench 4.0 拿 35.8 分，换他们改过的底座直接到 40.2 分，模型没动一个参数。他们顺着实测抓出几个典型坑：几万行的终端长输出先丢临时文件，只给模型看截断预览；慢命令超时不杀进程，扔到后台继续跑；压缩上下文只留最新一段，老记录压成摘要追加在历史末尾，避免打碎前缀缓存；再加上禁止 sleep 空转轮询、强制就地修改、文件一次写完。前两项管道改造省掉约 1/3 的单次成本，三条反浪费规矩又省了 16%。

FireFlash 进一步用强化学习把分数推到 46.2 分。他们用 64 张 B300 GPU 训练不到 5 天，为 harness 写自动化单元测试，保证训练采样和评测框架完全相同，单次运行成本只要 0.72 美元，反超了单次 22.02 美元的闭源方案 Fable 5 最高档。如果你不打算自己训模型，前面这些便宜的配置改动就是能直接装进工程里的红利。鸭哥在 《现在的 Agent Harness 越来越复杂，哪些技巧在跑分里真正管用》 里列了一份带实测数字的清单，讲清楚哪些花哨插件可以直接砍掉，两个提分关卡和三项底座改造该怎么加。

---

升级 PR 合了，账本升了，文件没动

跑分把该删的删完了，省下来的注意力要面对另一件更无聊的事：装进仓库的技能文件，怎么跟上上游。2026 年 11 月 3 日，GitHub 宣布 Dependabot 开始支持微软的 Agent Package Manager（APM）（GitHub 官方公告）。把同一个技能复制到十几个仓库后，版本脱节的麻烦大家都遇到过。但技能文件跟传统代码包完全不同：宿主工具不认识包管理器的全局缓存，装好的技能必须直接提交进仓库。

接下来三个特性更麻烦。微软 APM 的安全文档直接写着 File presence IS execution，只要文件在仓库里就视为执行（安全模型文档）。自然语言写的技能没有标准传参接口，大家顺手打开 SKILL.md 塞团队私货，文件立刻不再干净。Markdown 语法永远合法，单测根本测不到技能文本，代码包靠 CI 绿灯兜底那一套对技能文件完全没用。

npm 式的自动化最坑的地方在合并按钮。Dependabot 提交的升级 PR 只改 apm.yml 清单和锁文件，仓库里实际生效的技能文本没变，按习惯一点合并，主分支账本升了，编程助手每天读的仍是旧文本。如果在 CI 里加 apm audit 漂移检查，每个升级 PR 会因为账本和文件对不上直接报红，需要手动补跑一次安装。就连微软自己的仓库在 2026 年 6 月也翻过这个车：流水线漏掉漂移检查，主分支技能文本长期停在旧版，状态检查一路全绿（microsoft/apm 第 1716 号 issue）。

更坑的是，高级用法会悄悄失效。一旦在配置里挑了子技能、改了别名、配了私有源或者声明了 MCP 服务，Dependabot 的解析器就会直接跳过，不报错、不提 PR（dependabot-core 第 14350 号 issue）。包管理器用的花哨功能越多，自动升级就越靠不住。

第三层坑在供应链安全上。dependabot-core 的合并记录显示，GitHub 安全公告数据库根本没有收录 APM 包，安全更新流程永远不会触发。Dependabot 更新锁文件时调用的 apm lock 只做版本解析，直接跳过部署和审计（APM 的 lock 文档）。APM 自己原本在 apm install 阶段放了一道预部署扫描，专门拦截隐形字符，Dependabot 的路径恰好把这道扫描给绕过去了。只看 PR 绿灯就合并的话，这道防线就形同虚设。

这道防线要拦的威胁是真实存在的。比如 2025 年 10 月公开、至今仍在多轮活跃的 Glassworm 攻击（Truesec 分析），就用肉眼不可见的 Unicode 变体选择符把指令藏进共享规则文件。你站在网页上审 diff 只看见几处格式微调，模型分词器读进去的却是一整套隐藏指令。

GitHub 在 2026 年 4 月 16 日发布的 gh skill 则选择了单文件自包含的路径（官方公告）。它在 SKILL.md 的头部直接记录上游地址、固定版本号以及目录树哈希。文件自带锁，拷到别的仓库也不会丢失出处。改文件与改版本锁是同一个动作。

鸭哥在 《怎么管理 Agent 技能的依赖和自动升级》 里也给了三个可以直接抄的作业：只装几个外部技能的小团队，直接跑 gh skill install --pin 把版本锁写在文件头，审 PR 直接看正文变动；多编辑器组用 APM，但得在 CI 里补一个脚本，遇到升级 PR 就自动跑 apm install 把新文本塞进文件夹，再配个 apm audit --ci 的阻断门禁；对外部技能一律当黑盒只读，内部约定和审批流写到项目自己的 CLAUDE.md 旁路文件里，这样上游升级不会把你本地规则撞飞。

---

也值得知道

Meta 发布 agent 执行专用小模型 Muse Ember：11 月 9 日 Meta 官方发布 Muse Ember，定位是目前最小、最省钱的 agent 执行模型。1M 上下文，输入每百万 token 约 0.10 美元，专门承接 tool calls 和编程子任务这类反复跑的负载（Meta 官方博客）。给长循环里反复跑子任务的 agent 换便宜轮子，又多了一个选项。

有人用 SGLang 漏洞打进 NEAR AI 的基础设施：NEAR AI 官方报告确认，攻击者利用开源推理引擎 SGLang 的远程代码执行漏洞打进内部基础设施，下载了约 100 名用户的账号信息，翻看了 18 个没跑在 TEE 环境里的旧版 agent。目前漏洞已修好并轮换了凭证（NEAR AI 安全报告）。自己部署开源组件同样是现成的攻击面，跟外部技能在供应链上面对的是同一种隐患。

Cursor 和 Google 给编程 agent 加语音交互：The New Stack 报道，Cursor 和 Google Antigravity 跟进 OpenAI，给自家的编程 agent 加了语音交互，Claude Code 暂时还没动静。

---

本期由 AI 基于鸭哥已发布文章和公开资料整理生成，请注意甄别幻觉。

订阅本 newsletter：daily.yage.ai