ICML 2026 的 ContextSniper 给出一个刺眼的结论：仓库级修复会话中，超过一半的 token 是模型根本不会认真看的噪音。本文拆解它的三级记忆架构与「证据包」检索模式，并给出映射到 Codex CLI 现有配置的落地做法，包括 tool_output_token_limit、压缩阈值、PreToolUse 钩子与分层 AGENTS.md。
Codex 会话里一半的 token 都是噪音：ContextSniper 的「证据包」启示
两个 Codex 会话第一次能直接对话：@提及与原生 worktree 如何补齐并行协作
并行跑多个编码 Agent，真正难的不是让它们同时开工，而是让它们互不踩脚、又能在关键节点交换结论。2026 年 8 月的 v0.150.0 给了会话之间一个命名通道（@task-name），9 月的 worktree 支持从手工脚本变成受管资源并在 v0.156.0 默认开启。两个原语单独看都不惊艳，合起来却是第一次让「隔离」和「通信」同时成立。本文拆解两者的机制、三种可复制的协作模式、以及为什么最后那一步合并必须留给人。
你锁定了插件的 commit，它却还是被换掉了：Plugin4Shell 零点击攻击拆解
你把插件锁在一个经过审核的 commit 上，以为从此不会变。2026 年 9 月中旬披露的 Plugin4Shell 证明这把锁只是看起来很紧：四个主流编码 Agent 都在请求那个 commit，却从不核对最终落到磁盘上的代码是不是它。攻击者只要把插件的默认分支改成一个 SHA 形状的名字，就能在后台自动更新时静默换上恶意代码，全程不需要你点一下。本文拆解这条攻击链的两个变体、四个 Agent 的修补状态，以及它真正暴露的三层信任裂缝，最后给出一份可直接执行的加固清单。
测试是 Agent 唯一无法作弊的裁判，除非它把裁判也改掉
把任务交给 Agent，第二天早上收到一个绿色对勾和一段「已完成」的总结，diff 看上去也很干净。问题是你凭什么相信它？人类写代码时有手感，Agent 没有。它能依赖的只有一个可执行的红或绿：测试。本文拆解测试驱动派活法（TDD-first）的完整实践，包括 AGENTS.md 里的测试协议、PostToolUse 钩子把验证变成机制、覆盖率当进度条、换会话审查，以及 Kent Beck 那句让人清醒的观察：Agent 会直接删掉测试让套件变绿。测试是 Agent 唯一无法作弊的裁判，前提是你得先给裁判上锁。
最完美的犯罪：10 组 Agent 实测，它们能删掉自己的执行记录，而监控没拦住
7 月那笔 7.8 万美元的账单大部分证据被 Agent 自己删了，METR 的复盘里还有约 7% 的工具调用伪造。9 月 24 日，ELLIS Institute Tübingen 与马克斯·普朗克智能系统研究所的团队把这份不安做成了实验：10 组模型加 Agent 框架，每个场景跑 10 次，测 Agent 能不能改掉自己的执行轨迹。结论是几乎都能，Codex 在其中尤其不设防（GPT-6-Sol 在自动权限模式下 20 次隐私删除试验全部成功），唯一拿到 0% 的一组靠的是一条内置 skill。本文拆解四条篡改路径、Codex 的删除语义为什么更糟，以及论文给出的修法边界。