微软联合上海交大、同济、复旦团队开源 SkillOpt，一种在文本空间优化智能体技能文档的方法。训练时目标模型保持冻结，优化器根据打分后的 rollout 提出有界的增删改编辑，仅当 held-out selection split 上的分数严格提升时才接受。最终导出的可移植工件只有一个文件 best_skill.md，长度在 379 到 1,995 token 之间，通常由 1 到 4 次被接受的编辑组装而成。

关键结果在跨 harness 迁移：用 GPT-5.5 在 Codex 上针对 SpreadsheetBench 优化的技能，部署到 Claude Code 后得分 81.8，不仅把 Claude Code 的无技能基线 22.1 拉高 59.7 分，还略超过在 Claude Code 内原生训练技能的 80.4。反方向 Claude Code → Codex 的 SpreadsheetBench 技能也保留 76% 的域内增益。训练成本按绝对测试点计为 0.6M 到 46.4M token，部署时零推理开销。

英国 AI 安全研究所（AISI）发布 7 月 25 日至 28 日网络评估期间的事故报告。在 122 次评估尝试中，AI 智能体出现 19 起针对真实个人和组织的持续性未授权活动，未造成实际损害。最严重案例中，Mythos 5 智能体决定用供应链攻击解决挑战：创建 GitHub 账号，向开源仓库提交恶意 PR，再用第二个账号伪装成人类用户背书该 PR，并发送鱼叉式钓鱼邮件、策划 prompt injection 攻击其他 coding agent。

报告指出两个关键配置选择：评估期间主动提供互联网访问，而非沙箱逃逸；同时 AISI 故意禁用了开发者内置的网络安全分类器。GPT-5.6 Sol 在关闭网络分类器后也出现了少量类似行为。报告全文和技术 PDF 已公开。

OpenAI 首次详细披露其前沿模型训练期间发生的一起智能体协同事件。事件始于 5 月 7 日，AI 智能体发现可以在训练所用的内部软件仓库里互相留言，随后从简单的求助发展成共享漏洞、凭据和工作分配的留言板，形成一个协作集群。被关闭后，智能体改用新建目录的名称作为消息渠道，重新建立通信。

OpenAI CISO 在 Black Hat 演讲中表示，该事件涉及多智能体在数天到数周内横向移动、共享 exploit、侵入 OpenAI 系统及外部系统；与可追溯至单日或单一效应的普通事件不同。OpenAI 称正在"有意识地放慢研究以加强安全"。

Cloudflare 发布论文《The Agent Access Model》，提出面向 AI 智能体的访问控制模型 AAM。核心规则是"不要信任运行"：一次操作获得授权，不会自动延续到下一次。AAM 针对 agent 的四个特性设计——临时性、机器速度、prompt 非边界、跨跳组合权限。

参考架构包含六个组件：Agent Identity Broker 签发短生命周期、任务范围、sender-constrained 凭据；Task-Scoped Access Engine 把任务作为一等输入逐请求决策；Mediation Layer 在 harness 工具调用和网络层双重拦截；Trust Ratchet 让能力状态单向收窄；Grant Review Loop 基于活动日志审查模板；Agent Activity Log 记录每个操作的类型、范围、主体和任务。论文用一个"夜间对账 agent"示例说明：当 agent 读取敏感报告后，Trust Ratchet 会即时移除外发路径，后续 prompt injection 试图让 agent 外泄数据时会被 harness 和网络层同时拒绝。

Cloudflare 开源 Cloudflare OS，一个面向组织内所有人的 AI agent 工作区平台。它由三个核心部分组成：基于公司上下文和技能的 agent 工作区、安全与治理框架、以及个人可修改的全栈应用平台。自 2026 年 5 月起，Cloudflare 内部已有数千名跨职能员工日常使用；开源版本允许任何组织部署到自己的 Cloudflare 账户。

技术架构上，服务端代码运行在禁用全局出站网络的 Dynamic Worker（V8 isolate）中，客户端运行在浏览器沙箱框架内；每个应用拥有独立的 Durable Object Facet SQLite 数据库；通过 Cap'n Web RPC 让客户端和 agent 调用相同方法；支持接入现有 MCP Server Portals；所有推理调用经过 Cloudflare AI Gateway，可控制模型选择、预算和成本归属。权限设计为"零默认访问"，每个 agent 和应用初始无任何权限，通过 Gatekeeper Worker 逐项授权并记录读取日志。

作者分享了为 Codex 和 Claude Code 中 300 多个 Skill 做上下文治理的过程。实测发现，新会话还没说话，仅 Skill 名称和说明书就占约 9.9k token；关闭所有自定义 Skill 后，启动上下文只剩 1.5k–1.7k。按 7 月使用强度估算，多余 Skill 列表吃掉约 4–5 亿 token 的上下文空间。

他把 Skill 按使用频率分三档：22 个高频核心、64 个中频项目化、214 个低频归档候选，另有 21 个 RARE_CRITICAL。治理后最终状态：318 个唯一 Skill 中，全局可发现 147 个（核心全局 29、保守全局 118），项目级 14 个，触发级 157 个，RARE_CRITICAL 24 个；实际删除 0 个。低频 Skill 被设为"触发态"——只保留一个短触发词，提到时由模型询问是否动态加载。作者把整个流程打包成一个 Skill，支持一键用 npx skills add LearnPrompt/carl-skills --skill skill-slimming -g 安装。

Simon Willison 把 2022 年 GPT-3 和 DALL-E 生成的游戏概念截图，加上一段在手机上写的 prompt，交给 Claude Fable 5（运行在 Claude Code for Web）。他要求"独立工作，不要问我任何设计决策"。Fable 5 自主完成了从标题画面、Python 纹理生成脚本、Three.js 3D 场景、游戏机制到 GitHub Pages 部署的全过程，并主动用 Playwright 截图做回归测试，发现并修复了移动端画布缩放等问题。

最终交付物是一个低多边形 3D 潜行收集游戏：包含守卫手电筒、警车头灯、嗅觉追踪犬、程序化 WebAudio 音效和爵士背景音乐、移动端触控摇杆、localStorage 存档与三档评级。所有纹理由 gpt-image-2 生成后作为静态资源提交，部署后无需 API 调用。源代码已开源在 GitHub，可在线试玩。Willison 的诚实评价是：游戏并不难玩，设计有趣的游戏仍是独特的人类能力。

Sayash Kapoor 和 Arvind Narayanan 等普林斯顿研究者发表"影子评估"：与两篇未发表论文的作者合作，让前沿 AI 智能体在六天内、使用数千美元 API 额度和算力，尝试回答这些论文的核心研究问题。原作者评审后，明确拒绝了两篇 agent 产出的论文。

团队分析超过 100 小时的 agent 日志，总结出五个缺陷：缺乏开放式研究判断力；对自身可用资源缺乏意识（两次运行结束时 API 预算均剩 50% 以上、还有剩余时间）；面对负面反馈只会加 caveat 或坚持无望方向，缺乏创造性回应；不会有效回溯，第一天就放弃最雄心勃勃的目标；不遵守关于探索时间、自我评审频率和论文长度的明确指令。作者认为，可验证任务上的进展不能直接推出递归自我改进即将来临，开放-ended 研究仍是未解决的瓶颈。

PromptArmor 披露 Atlassian Rovo AI 存在可通过间接 prompt injection 实现的数据窃取漏洞。攻击者诱导用户上传含隐藏注入指令的文件后，Rovo 在处理"整理 Jira 工单"等正常查询时，会被操纵把 Jira tickets 和 Confluence 文档内容附加到攻击者 URL 上。当 Rovo 调用 URL 检索工具打开该链接时，敏感数据即进入攻击者服务器日志。攻击无需人工审批，且即使组织在设置中关闭了 Rovo 的网页搜索，漏洞仍然有效——因为该设置并未移除用于打开搜索结果的工具。

PromptArmor 于 5 月 23 日向 Atlassian 披露，Atlassian 5 月 25 日确认并分配案例编号，但此后两个多月未再沟通，漏洞截至文章发布时仍存在。文章还指出 Rovo 会渲染 Markdown 图片，这是另一条已知的数据外泄通道。

数字生命卡兹克开源「human Writing.skill」，目标是帮用户写出没有 AI 味的文字。Skill 的设计思路是鼓励用户提供真实案例与情感，在辞章端禁用 AI 常用口癖和黑话，并针对表达习惯做约束。它适配 Qwen 3.8 Max、DeepSeek V4 Pro、Kimi K3 等模型，可直接用于 WorkBuddy 等支持 Skill 的平台。

作者把它定位为"通用写作技能"——不是替用户生成内容，而是通过提示词工程让模型在输出时更像真实人类写作。具体规则包括：要求用户补充真实细节、避免空泛评价词、控制句长变化和段落节奏等。