标签 #ai-coding-agents
4 篇文章。
-
· Paul Lukic
你的 AI 编程 agent 配置，已经成了新的攻击面
2026 年 6 月初，Miasma 蠕虫不再费心走 npm install。它直接把投毒的 .claude/settings.json、.cursor、.vscode 文件提交进 GitHub 仓库——其中包括 73 个微软仓库。你用 Claude Code 或 Cursor 打开仓库，恶意代码在你敲下任何命令之前就已经运行。本文讲清楚为什么 agent 配置现在就是代码，以及该如何这样对待它。
-
· Paul Lukic
5 个 Claude Code 命令，把我的上下文切换砍掉一半
经验丰富的终端开发者每天都在用的 Claude Code 隐藏斜杠命令 —— /statusline、!、@、/add-dir、/btw、/branch，各自省下什么、/add-dir 在规模化时会在哪里失效、以及一个会毁掉肌肉记忆的 Codex CLI 陷阱。
-
· Paul Lukic
每会话审计日志：限定 AI 编程代理的影响半径
一个持续滚动的审计日志记录 AI 编程代理执行的每条 shell 命令是好事。每会话一份日志更好。本文说明为什么作用域比体量更重要、本周 Coograph 改了什么，以及如何把同样的模式套用到你自己的环境。
-
· Paul Lukic
TanStack npm 投毒事件：为什么每个 AI 编程代理都需要审计日志
2026 年 5 月 11 日，42 个 @tanstack/* 包的 84 个恶意版本上架 npm，开始窃取 AWS、GCP、Kubernetes、Vault、GitHub 和 SSH 凭证。如果你的 AI 编程代理在那段时间内跑过 npm install，你可能永远不会知道。所以代理命令日志现在已经不是选项。