Nvidia 买下 Hugging Face。
一小时后，ChatGPT 塌了。

google-research/timesfm Apache-2.0 代码 / 受限权重

Google 的时序基础模型发了 3.0——然后把新权重收进了非商业许可。

TimesFM 是 Google Research 的 decoder-only 时序预测基础模型，背后是 ICML 2024 的 A decoder-only foundation model for time-series forecasting。README 里「Update — August 2026」宣布 3.0 为最新版本，checkpoint 以 google/timesfm-3.0-pytorch 发在 Hugging Face，仓库最新 release tag 是 v3.0.0。按其说明，3.0 原生支持多变量预测，并能吃「仅历史」和「历史 + 未来」两类协变量，不需要按任务再调。

真正让今天这条值得看的是许可：源码仍是 Apache-2.0，2.5 及更早的权重也还是 Apache-2.0，但 3.0 的预训练权重换成了单独的 timesfm-non-commercial-license-v1.0，限定非商业、非生产用途。对已经把 2.5 塞进产线的人来说，这是一次要重新读合同的升级。仓库自称在 fev-bench（100 个真实任务）、TIME Benchmark（50 数据集 / 98 任务）排第一，在 GIFT-Eval 上是基础模型里第一——这些是项目自述，本简报未核实。旧版本仍在树内归档，1.0/2.0 在 v1 目录下。

blader/humanizer MIT · agent skill

用维基百科自己整理的 35 条「AI 味」特征，反过来给 AI 的文字去味。

humanizer 是一个纯 Markdown 的 agent skill——没有运行时，因此任何支持 skill 的 harness 都能直接用。它的规则集来自维基百科 WikiProject AI Cleanup 维护的 Signs of AI writing 页面，35 条特征在 README 里被分成内容、语法、风格三类，每条配前后对照：虚抬重要性、「not X but Y」句式、硬凑三段并列、AI 高频词、刻意回避 is/are、被动语态。

工作方式是两遍：第一遍允许重写结构，第二遍拿着这 35 条和原始事实回头审自己的草稿，还读起来像机器的地方再改一次；贴文本进去时它会先给出中间稿和一小段自评，再给终稿。它明确拒绝编造事实——人名、数字、日期、引文、引用必须来自原文或作者；你贴一段自己的文字样本，它会跟着这段样本的节奏、用词、标点甚至刻意的怪癖走，而不是套自己的默认风格。指向文件时只改散文，代码、数据、frontmatter 和链接目标一律不碰。最新 release 是 v2.11.1。

stablyai/orca MIT · 桌面端

把一条 prompt 同时喂给五个 coding agent，每个跑在自己的 git worktree 里，然后挑赢的那个 merge。

Orca 自称 ADE（agent development environment）：一个 macOS / Windows / Linux 桌面应用，并排跑 Codex、Claude Code、OpenCode、Pi，每个 agent 独占一个隔离的 git worktree，统一在一个界面里盯着。核心卖点就是这个并行 worktree 模型——扇出、比对、合并赢家。终端是 Ghostty 级别的：WebGL 渲染、无限分屏、重启后 scrollback 还在。SSH worktree 让 agent 直接跑在远端机器上，文件编辑、git、终端、自动重连、端口转发都在。

另外两处设计值得记：Design Mode 让你在真实 Chromium 窗口里点任意 UI 元素，把它的 HTML、CSS 和一张裁好的截图直接塞进 agent 的 prompt；GitHub 与 Linear 的 PR、issue、看板可以在应用内浏览，任一任务都能就地开一个 worktree。还有 iOS 与 Android 的伴随端，用来远程盯进度、收「跑完了」的通知、追加指令。推理是自带订阅（BYO subscription），不由 Orca 托管。LICENSE 写的是 MIT，「Copyright (c) 2026 Lovecast Inc.」，最新 tag 是 v1.4.196——发版频率高得离谱。

affaan-m/ECC MIT · 单人维护

不是一个 skill，而是一整套「agent harness 操作系统」：68 个 agent、286 个 skill，外加一个安全扫描器。

ECC 的定位是 agent harness OS：装进去的不是单点技能，而是一套被强制的工程流程——先规划再动手、改动用测试验证、换一个干净上下文回头 review 自己的产出、把该记的记住、把重复奏效的做法固化成可复用的 skill 和 workflow。README 的清单表列出 68 个 agent、286 个 skill（TDD、research、security、docs、frontend、data、ML、operations）、94 个作为入口保留的旧 command shim，以及运行时 hook 与记忆层（强制执行、会话摘要、持续学习、instincts、上下文控制）。

配套的 AgentShield 会扫 prompt、hook、MCP 配置、权限、密钥和 agent 文件——在一个自己就往你仓库里塞 68 个 agent 的项目里，这个模块其实是必需品而不是加分项。支持度写得很诚实：Claude Code 最好，Codex 有受支持的同步路径，Cursor / OpenCode / Gemini / Zed / GitHub Copilot / Antigravity / Qwen 是能力受限的适配器，并附一张支持状态矩阵，避免用户以为功能对等。仓库 MIT（「MIT-licensed forever」），靠 GitHub Sponsors 和面向私有仓库的 ECC Pro 变现，README 声称单人维护、每周跨 7 个 harness 发版。最新 tag v2.2.0，在做的是 Unified Memory Vault 和 Plan Canvas。

arcboxlabs/arcbox MIT / Apache-2.0 · public beta

从零用 Rust 写的 macOS 容器与 VM 运行时，顺手把「一次性 microVM」做成了 agent 的笼子。

ArcBox 把自己的 VMM、VirtIO 设备、文件系统共享和网络数据面全用 Rust 从头写了一遍，明确对标 Docker Desktop 和闭源的 OrbStack。一个 daemon、一个 CLI（abctl），同一套运行时上盖四层负载：直接跑的 Docker 容器、给 AI agent 和不可信代码用的一次性 microVM、自带内核与发行版的完整 Linux VM，以及从基础镜像克隆出来的用完即弃 macOS guest。

Docker 兼容是靠暴露一个 Docker 兼容 socket、代理到 guest 内的 dockerd 实现的，所以 Docker CLI、Compose、BuildKit/Buildx、端口转发、bind mount、命名卷、交互式 exec 都不用改；linux/amd64 镜像在 Apple Silicon 上通过 guest 内的 FEX 模拟运行，零配置。它还管一个本地 k3s 集群（自动配 kubectl、合并 kubeconfig），并把 guest 的 Docker 数据以只读方式经 vsock relay 用 NFSv4 挂到宿主机 ~/ArcBox，命名卷、容器状态、镜像层能直接在 Finder 里翻，不用先拷出来。官方说本地跑的这个沙箱和 ArcBox Platform 在云上跑的是同一个原语，所以本地开发能平移到集群。阶段写得很清楚：public beta。双许可 MIT / Apache-2.0，要 Rust 1.96+。今天 2,877 星，是这一节里最小的仓库。

earendil-works/pi MIT · monorepo

Pi harness 的主仓：统一 LLM API、agent 运行时、TUI、coding agent——以及少见地写进 README 的供应链纪律。

这不是一个应用，而是一组可单独发布的包：pi-coding-agent（交互式 coding agent CLI）、pi-agent-core（带工具调用与状态管理的 agent 运行时）、pi-ai（跨 OpenAI / Anthropic / Google 等的统一 LLM API）、pi-tui（差分渲染的终端 UI 库）、chord（服务、复制状态、RPC、插件的组装运行时）、pi-telemetry（厂商中立的遥测契约 + 参考适配器 + 一致性测试），全在 @earendil-works scope 下。

README 对自己的短板很直白：Pi 没有内建的文件系统 / 进程 / 网络 / 凭据权限系统，它就跑在启动它的用户和进程的权限上；替代方案给了三条——Gondolin 扩展（Pi 和 provider 凭据留在宿主机，内建工具路由进本地 Linux micro-VM）、整个进程套 Docker、或者用 OpenShell 做策略沙箱。

真正少见的是把供应链硬化写成 README 的一级章节：直接依赖精确锁版本、registry 配置强制精确保存并设两天最小发布年龄（当天发的依赖直接跳过）、lockfile 作为依赖事实来源、给 CLI 用户发布 shrinkwrap、依赖生命周期脚本走白名单、定时 CI 跑依赖审计与签名校验。贡献政策也硬：新贡献者的 issue 和 PR 默认自动关闭，由维护者每天人工过一遍。release 附带一个有 SHA256SUMS 覆盖的源码归档，官方 Bun 独立二进制可以用仓库自带的构建脚本从源码重建。MIT，最新 tag v0.84.4。

Graphify-Labs/graphify MIT · YC S26

一个 slash command 把整个代码库编译成可遍历的知识图谱——tree-sitter 确定性解析，零 embedding。

graphify 是 Python CLI + agent skill，把项目里的代码、文档、SQL schema、配置、PDF、图片、视频映射成一张你去查询而不是去 grep 的知识图谱。代码走 tree-sitter AST，项目强调这一步是确定性的、不经 LLM、完全本地；只有文档、PDF、图片、视频才过一遍语义处理。每条边都带置信标记——EXTRACTED 表示源码里显式存在，INFERRED 表示由 graphify 推出来的。README 反复强调它不是向量索引：没有 embedding、没有向量库，就是一张能走的图。

跑完在 graphify-out 里落三样东西：可点击可筛选的力导向 graph.html、一份写着关键概念 / 意外关联 / 建议提问的 GRAPH_REPORT.md、以及供反复查询的 graph.json。查询动词有三个，README 用 FastAPI 代码库的真实输出做了示例：explain（节点的源码位置、社区、度数和带标记的连接）、path（跨多跳追两个节点之间的最短路径）、query（对一句自然语言问题返回一个受限子图）。

平台适配写得意外细致：在 Codex 上它往 AGENTS.md 写指引，并注册一个故意什么都不做的 PreToolUse hook——因为 Codex Desktop 会拒绝那里的额外 hook 上下文，真发内容会直接搞坏工具调用；而在 Claude Code 上则用一个真正干活的 hook。还能挂 post-commit git hook 自动刷新图谱，安装时把解释器路径写死，所以在 GUI git 客户端和 CI 里也能触发。仓库挂着 YC S26 徽章，托管版在 graphify.com。开源侧 MIT，最新 tag v0.9.53。

tt-a1i/archify MIT · 周榜 #1

本周涨得最凶的一个：让 agent 输出类型化 JSON，再确定性编译成可核验的架构图。

Archify 不在今天的日榜上，但它是本周榜首，数字大到必须提一句。它是给 Cursor、Claude Code、Codex CLI、OpenCode 用的 Node.js 渲染与校验系统：agent 产出类型化的 JSON IR，Archify 确定性地把它编译成 HTML 和 SVG——所以那张图是一个被校验过的产物，而不是模型随手画的自由输出。覆盖架构、工作流、时序、数据流、生命周期五类图，四套预设、明暗主题、有限动效，导出自包含 HTML 以及 PNG / SVG / WebM 和 1200×630 分享卡。

最实用的是 review 流程：把两个已校验的快照对比成 Before / Delta / After，给出精确的新增、删除、变更、移动、改线事实，目标是在 merge 前先 review 架构变化。交互被刻意限制——搜节点、按需打开经修订校验的源码、追上下游的 authored reach 与精确路径、比较语义角色、播放命名的 guided-story 章节，明确「without inventing topology」。项目站上有 Proof Lab，放着全部 11 个签入场景、它们的 JSON 源、命名视图和校验凭据，外加一张从公开仓库 mco-org/mco 的 commit 9f1a1cf 真实追出来的图。README 写着开发版 v2.17.0-dev.1，已发布的最新 tag 是 v2.16.0。需要留一句：26,626 的周增相对 45,256 的总数偏大，这里按页面自述照抄。

It's official! Nvidia to acquire Hugging Face for 12.9 billion dollars. r/LocalLLaMA

今天唯一真正重要的一条，而热评区的情绪不是庆祝。

帖子指向 Nvidia 官方博客，同一条消息在 r/singularity 也有一帖（132 分 / 21 评论）。最高票评论来自 rerri（559 分），转述 HF CEO Clem 在推特上的表态：「Nvidia committed to keeping HF open, independent and compute agnostic. Founders and team are staying」，然后自己补了一句「Time will tell...」。整条评论树基本是围绕这句承诺展开的怀疑。

两条最锋利的反驳都不是情绪化的。wllmsaccnt（48 分）把它归到一个熟悉的剧本：在一个还年轻的市场里领先时你会把自己的补充品商品化，等局势收紧再切掉竞争、开始劣化和收费。sensitivecrocodile（29 分）问的是更具体的事：希望 llama.cpp 别因此忽略非 Nvidia 硬件的支持。另一派怀疑的是价钱本身——skullfuckr42（74 分）「so an LLM weights repo is worth 13 billions?」，tails142 直接说这是「2026's pets.com」，而 jacek2023 的回应是「You people should all read about 2001 :)」。

「With the implication '...for as long as we are the market leaders'. I've seen this movie before. When you are ahead in a new-ish market, you commoditize your complement. When things get tight, you cut off competition, enshittify, and start charging fees.」u/wllmsaccnt · 48 分

ChatGPT down: OpenAI chatbot not working in major outage r/technology

三家同时在报错——而 r/singularity 已经把宕机读成了发版信号。

帖子链的是 The Independent，发在 08:09 PT，也就是这份简报生成前不到半小时。它不是孤立事件：r/ClaudeAI 的官方事故讨论帖「Discussion Hub for new Claude incident: Elevated errors for multiple models on Sep 3, 2026」（45 分 / 110 评论，06:27 PT）同时在跑，r/singularity 还有一帖「Codex is down, excited for my reset」（12 分 / 4 评论，08:16 PT）。

有意思的是解读方式。r/singularity 上「ChatGPT collapsed hard, probably means ASTRA incoming」（93 分 / 52 评论，08:03 PT）把宕机直接当成新模型上线的前兆——在这个社区里，容量异常已经被当作一种可读的信号，而不只是故障。值得注意的是，一天里同时出现 OpenAI、Anthropic、Codex 三处降级，对任何把 agent 挂在单一 provider 上的流水线都是一次提醒；今天日榜上 magnitude 那类「把 agent 切到本地模型」的项目和这条新闻放在一起看，时机相当巧。

"GPT-6-ASTRA" has been staged on the OpenAI API r/singularity

有人在 API 上看到了尚未发布的模型名，接下来两天整个板块都在围着它转。

这是昨天下午的帖子，但它定义了今天 r/singularity 的走向。同一条线上还有「Insider's opinion on Astra capabilities」（175 分 / 65 评论，09.02 17:03 PT）和「Can GPT6 ASTRA pass the Demis Hassabis benchmark」这类衍生讨论，再加上今天那条把宕机解读为「ASTRA incoming」的帖子——一个未发布的名字已经在组织社区的注意力。

把它放进简报的理由不是爆料本身，而是这类信号的可靠性：API 上「staged」的模型名是可观察的事实，但从名字到能力、到发布时间的每一步都是推测。这一节里其余几条（Fable 5.1 在 SimpleBench 上超过人类平均、Muse Spark 1.3 的各种超越贴）都是同一类叙事的不同版本，读的时候值得把「谁在测」和「测了什么」分开看。

Muse Spark open weights coming soon r/LocalLLaMA

Meta 的 Muse Spark 1.3 昨天刷了三个板块，今天真正被追的是「权重什么时候放」。

Muse Spark 1.3 昨天在三个社区同时冲高：r/singularity 的「Muse Spark 1.3 Released」（579 分 / 181 评论，09.02 12:36 PT）、「Meta's muse spark 1.3 surpassed fable 5 and GPT 5.6 sol」（496 分 / 145 评论，09.02 14:19 PT），以及 r/ClaudeAI 的「Meta Releases Muse Spark 1.3, matching Fable 5 w/ .10 cents input .20 cents output per million tokens.」（471 分 / 109 评论，09.02 13:34 PT）——后者标题里那个价格是帖子自己的说法。

而在 LocalLLaMA，得分最高的不是「发布了」也不是「超越了」，是这条「开放权重快来了」（806 分 / 194 评论）。这个偏好差异本身就是信息：对本地部署的人来说，benchmark 名次是别人的事，能不能拿到权重才是唯一的问题。两条线合起来看，今天这个板块的注意力分布很清楚——上午是 Nvidia 收购 HF，下午等的是 Meta 放权重，而这两件事恰好都关于「开放」由谁定义。

Introducing K2 Horizon: Frontier Performance, Radically Open r/LocalLLaMA

今早最新的一次开源发布，评论区分成了三派：名字、尺寸、以及「这次开得有多真」。

帖子指向 ifm.ai/blog/k2，07:19 PT 发出，到抓取时是 109 分 / 54 评论并且还在爬；同一小时另有一帖「IFM/K2-Horizon-MoVA-36B-A4B-GGUF · Hugging Face」（107 分 / 55 评论，06:47 PT）在跟量化版本。

评论区三条主线。第一条是尺寸——Recoil42（73 分）点出 3.7B 和 0.9B 这个档位「Not a lot of models coming out in that class these days」，并提醒别低估这次开放的程度，引了发布说明里「For every model, we are opening」那段。第二条是怀疑：Thiom（31 分）直接说「Frontier performance... But still largely outclassed by Luna Max and Qwen3.8 27B」，往下 Several-Tax31（19 分）替 27B 说话，gh0stwriter1234 给出实操分工——125B 适合创作类的开头，27B 擅长收尾和修，但 125B 大概要两张 32GB 显卡。Barni275（9 分）把讨论拉回证据，贴了 K2-Horizon-32B 和 7B 的 HF 页面说 benchmark 在那儿，pulse77 的结论是「Bellow Qwen 3.8 27B, but not that bad...」。第三条最短也最尖：corruptbytes（25 分）「terrible name」——piggledy（92 分）此前已经吐槽过 K2 这个名字听着像某个 Kimi 版本。

「Nice! Now i can stop explaining to people why the chinese models are actually just "open weights".」u/Successful_Net_2832

No AI until high school: NYC schools announce major classroom technology overhaul r/technology · 政策

本周整个 Reddit 科技板块最高分的帖子，而且不是关于模型的。

30,279 分、1,459 条评论，量级上把这一节其他所有条目加起来都甩开。帖子链的是 ABC7 纽约，同一政策还有另外两个高分入口：r/technology 的「New York City Mayor Zohran Mamdani Does Not Believe An 'AI-Powered Early Education' Is Necessary」（5,279 分 / 322 评论，09.02 16:45 PT），以及 r/singularity 的「Mamdani announces ban on AI for young students in NYC public schools」（126 分 / 112 评论，今天 02:45 PT）。

把它放进这份以技术为主的简报，是因为它不是普通政治新闻：一个全美最大的学区在中学及以下整体收回 AI 使用，直接改变了教育科技公司的可寻址市场，也给「AI 素养要从小教」这套叙事划了一条硬边界。值得对照的是同一天几条相邻的帖子——「Heavy ChatGPT use linked to intellectual laziness and social isolation」（2,065 分 / 215 评论）和「AI Can Solve Almost Any Homework Assignment Tonight」（1,469 分 / 303 评论，讲 MIT 八月的委员会结论是改用口试和过程档案，而不是靠检测工具）。三条放在一起，这个板块的共识很难说是乐观的。

AI is finding thousands of bugs in Linux, and maintainers can barely keep up r/technology

分数不高，但评论数几乎等于分数——这种比例通常意味着真在吵。

帖子链 TechSpot，标题里的数字是内核里约 1,500 个漏洞。174 分对 144 条评论，在 r/technology 这种量级的板块里意味着这不是一条被顺手点赞划过去的新闻。

这条值得单列，是因为它是今天唯一一条把「agent 产出」的成本算到接收方头上的新闻。自动化找 bug 的边际成本趋近于零，而验证、复现、修复、回归的成本没有变——瓶颈从「谁能发现」整体挪到了「谁有时间确认」。把它和这一节前面那条 Nvidia 收购放在一起，今天的两条主线其实是同一个问题的两面：开源基础设施的产能由谁承担。

Baseten 把「怎么用这个平台」和工具一起打包发了 MCP + skill

今天这一节里唯一带着自测数字上场的，而且它自己写了反例。

Baseten 一次发了三样东西：一个远端 backend MCP server、一个 docs MCP server，以及开源的 baseten-skills。backend 端点包住部署、自动扩缩、日志、密钥和训练任务，skill 的作用是把 agent 导向正确的编写或调试面。官方给的数字是 16 个任务、320 次基准运行，token 用量、成本和耗时平均降 7.5%，在操作密集型任务上最高 57%，接受率 89% 到 97%。工具被标注为只读或会改状态，这样 harness 能把破坏性动作拦在门外。目标客户端列了 Claude Code、Codex、Cursor、Gemini CLI、VS Code、Windsurf。

值得记一句的是它自己承认的边界：如果一个工作流是一长串固定步骤，写成一个自定义脚本往往比让 agent 做很多次工具调用更快也更便宜。这句话放在一堆 MCP 发布稿里相当少见，也是判断这类集成该用在哪儿的最实用的一条标准。

「That said, if a workflow is a long, fixed sequence of steps, a single custom script ... can still be faster and cheaper」Baseten 官方博客

SEP-2640 之争：skill 需要机器可校验的工具依赖 规范草案

难题已经不是发现一个 skill，而是知道当前这个用户到底跑不跑得起来。

SEP-2640 还是一份开放的草案扩展，讲怎么通过 MCP 提供 Agent Skills，用 skill:// 资源加一份索引来做。最近的讨论提议在 skill frontmatter 里加一个 dependencies 字段，可以要求全部工具、或者若干带版本的替代里至少一个。

动机是按用户、按位置的工具门槛：加载了一个退款流程，结果在第一次调用时才发现该用户没有权限，既浪费上下文，也会诱发能力幻觉——模型以为自己能做，然后编。参与者刻意区分了两个概念：allowed-tools 是权限请求，dependencies 是前置条件检查。反方的论点也很具体：工具名在不同 server 之间会撞，而且这套依赖模型也许该放进更上层的 Agent Skills 规范，而不是 MCP 传输层。相关讨论散在 discussions #3230 和 agentskills #485。参与者包括 Peter Alexander（@pja-ant）、Ola Hungerford（@olaservo）、Dante O'Heir（@danteoh-toast）、James Brink（@jamespbrink）。这是设计辩论，不是已定标准。

「Those are opposite directions.」Dante O'Heir，在对比「权限请求」与「前置条件检查」

Runway 把生成式媒体的集成交给 coding agent MCP server

媒体 API 从「能被调用」变成了「能被 agent 选型、配置、路由和调试」。

Runway 发了 Runway Dev MCP，一个托管 server，面向 Claude、ChatGPT、Codex、Cursor 的集成。它让 agent 在写代码之前先去查模型能力、价格、输入和精确的请求 schema；可以创建一个按成本、延迟或质量优化的 Model Router，并回头看某次调用实际是哪个模型处理的；还能创建 Characters、管理它们的知识文档，以及通过读取任务级错误来诊断失败的生成。

叙事是从第一次 API 请求一路自治到生产调试。需要打折扣的地方也清楚：没有第三方基准，也没有公开的使用量数据，99.9% 这个数字是平台自述，所以「效率提升」目前只是厂商定位而非可核验结论。把它和 Baseten、ApsaraDB 那两条排在一起看，这一周 MCP 的共同动作是同一个：把「怎么正确使用我」这件事从文档搬进工具层。

「Your coding agent can now plan, configure and debug your Runway Dev integration.」Runway

Binance Agent OS：把交易放到 agent 权限后面 MCP · 金融

MCP 从 SaaS 动作走进了一个「工具调用错了会直接动钱」的领域。

Binance 推出 Agent OS，作为交易、行情、钱包、支付和链上能力之上的标准化层。首版 MCP 实现支持行情数据访问、只读账户视图，以及下单。用户可以把 agent 放在一个专用子账户上、配置权限、随时收回访问。

最该注意的是它自己划的责任边界：Binance 说它会监控由此产生的订单，但看不到 agent 在所选 AI 应用内部的完整工作流和推理过程。也就是说交易所侧的控制与模型侧的解释和决策是分开的两件事。于是显而易见的讨论点是：受限权限加子账户，对自主金融动作来说够不够？这份公告没有给任何结果数据，所以答案目前只能靠推演。开发者文档在 developers.binance.com。

「It gives everyone from developers to quantitative traders the reliable data, low-latency infrastructure, and standardized interfaces they need」Jeff Li，Binance

阿里云开源 ApsaraDB 的数据库「AI 协作者」 MCP · 开源

把实例管理、SQL 执行、诊断和产品知识塞进一个本地 stdio 进程——顺带把权限问题一起塞进来了。

ApsaraDB MCP 把实例管理、数据面执行、安全控制和 ApsaraDB Agent 包进一个开源的 stdio server，面向 IDE、ChatOps、分析助手、测试自动化和编码工作流，覆盖 PolarDB、RDS、MongoDB、Tair 等引擎。

设计里有两处是真的想过的。临时账户模式会创建一个短期账户、把 IP 白名单收窄到当前这台机器、执行 SQL、然后把账户删掉。SQL 被分成四档——只读、写、DDL、以及明确危险的操作——对会改状态的类别加确认和特性开关。吸引力在于 agent 能用上控制台那套有文档支撑的诊断能力，不必离开自己的客户端。代价同样明确：这是相当大的权限，运维方仍然得保护好阿里云凭据，并认真 review 允许 agent 触发哪些开通和写操作。抓取时 这个仓库 5 星、0 fork——也就是说它的意义在于设计取向，还不在于采用量。

「ApsaraDB MCP Server = the AI-native middleware layer for Alibaba Cloud databases.」阿里云

agent-trace-witness：不做防护，只做事后取证 工具 · v0.1.0

不去让 agent 变可信，而是守住边界、事后把发生过什么重建出来。

agent-trace-witness v0.1.0 是一个离线的 Python 库加 CLI，做五件事：封存、捕获、校验、成图、重放。它用 HMAC-SHA256 给运行前的 profile 签名，在 MCP 与模型交互周围记录五个协议咽喉点，输出一张 PROV-DM 的 JSON-LD 因果图。重放操作比较特别：它可以移除某一个动作，然后在不重跑 agent 的前提下算出依赖它的补偿动作。

作者写得很坦白——这是事后取证，不是实时可观测性，也不是调用时的阻止。项目还自己列了缺口：Ed25519、Streamable HTTP、自动 CI 都没有。这种坦白反而让它作为讨论素材更有用：可审计性正在被当成一个独立于 agent 能力和策略执行的层来做。仓库在 amurlaniakea/agent-trace-witness，作者是 Pedro Sordo Martínez（@magopredator）。

「Post-execution forensics — not prevention, not live observability.」Pedro Sordo Martínez，项目说明

micro-agent-router：故意做得很小的那种 agent 框架 Python · 早期

新一轮「反框架」说辞：路由普通 Python 函数，状态就是一个字典。

micro-agent-router v0.1.0 把自己描述成一个零依赖的状态机，用来跑 agentic 工作流：把普通 Python 函数注册成节点，返回下一个去处，状态就是一个透明的 dict 传下去。带 max_steps 保护，防无限循环和随之而来的 API 账单。README 直接把它定位成比 LangGraph 或 AutoGen 更简单的选择——没有装饰器、没有图编译、没有专门的状态类。

取舍也一样清楚：它给的是路由原语，不含模型调用、持久化、可观测性，也没有成熟生态。抓取时日、周、月下载量都是 94，说明这是一次早期发布而不是既成采用。放进来的原因是它代表今天这一节的另一半情绪：在一堆越来越重的 harness 之外，总有人在往回收——今天日榜上的 ponytail、rtk 和这个包，讲的其实是同一件事。

「Sometimes, you just want to run standard Python functions in a loop based on their outputs.」Encephos，项目说明