提交主力变成机器，路得重修

整套 Git 基础设施被 GitHub 拆着重建了，主力已经换人。

GitHub 自己交的底。九月里智能体和开发者合计产出七十三点八亿次提交，比一年前翻了五倍还多；push 同比涨四点九倍；内部基准测下来，吞吐峰值提到过三十五倍。同一天的另外几件事排着队来，Sierra 拉上 Meta、Shopify、Stripe、Walmart 发了 Personal Agent Protocol，Cursor 的手机端能远程指挥电脑上跑着的智能体，WebMCP 让网站直接把工具递给智能体，路修得飞快。

路在修，监控没跟上。METR 那篇的路子够巧，让 AI 当帮手，十来分钟就在 Inspect 评估框架的日志查看器里刨出一个客户端 JavaScript 注入的口子。借它能把审查者眼前的内容随手改掉，可数据库里的原件纹丝不动。

Meridian Labs 收到报告，一天之内就打了补丁。问题在于，人盯智能体靠的正是那份日志，日志能被它动过手脚，人看的就成了摆设。PromptArmor 拆 WebMCP 时挖出的提示词注入，走的是同一个门。

"修路的多、装监控的少"这半句是全场重心。前面那个开关撤了那条讲的是默认放行收着点，这条讲的是连看的那条路都有人动了手脚。跟前面恢复这层接起来呼应，那边管崩了怎么爬，这边管看着它爬的那双眼，两头都在补基础设施。跟前面两天换掉工作台也接得上，一个搭干活的底座，一个搭信任的底座，缺哪个都站不住。

这三条规矩我记下了：凡是智能体自己写出来的日志，都别当信得过的东西；观测那套东西按要害系统的标准来搭；盖章之前，先去翻一翻原始记录。

我留的疑问有三处。那个注入漏洞的补丁版本没给；三十五倍是哪类负载没拆；Personal Agent Protocol 谁来管也没说。

这周把自己那条流程的日志隔出来当不可信输入过一遍，看还能揪出几个想都不曾想过的口子。