AI工具速递 | 9月27日:Floci 让你在本地跑完整朵云

Floci — 在本地毫秒级模拟 AWS/Azure/GCP/OCI

当你让 Claude Code 写一段操作 S3 的代码，它写完后你敢直接对生产环境跑吗？Floci 给你一个本地完整云环境，Agent 随便试错，最坏情况只是重置一个本地容器。

四个独立二进制分别对应四大云：AWS 版兼容 LocalStack 同端口 4566、覆盖 119 个服务；Azure 版覆盖 Blob/Queue/Functions 等 28 个服务；GCP 版 25 个服务单端口运行；OCI 版 8 个服务。全部 GraalVM 原生编译，冷启动 24ms，空闲内存 13 MiB。

跟 LocalStack 比，Floci 不收 auth token、没有功能门槛、协议保真度 100%——Lambda 跑真 Docker 容器，RDS 用真 PostgreSQL。对 AI Agent 来说，这意味着零凭证泄露风险、零账单惊吓。

适合谁： 用 AI Agent 开发云应用的团队；不需要云模拟的纯前端可以跳过。

评价： 值得上手

company-brain — Slack 里的团队记忆 Agent

团队知识散落在 Slack 线程、文档、工单和每个人的脑子里，新人问个问题要翻半小时记录。company-brain 坐在你的 Slack 里，默默记住所有对话，需要时主动跳出来回答，还能直接去 GitHub 开 issue、读 PR、查 Linear。

核心能力分三层：记忆层按频道和 DM 做权限隔离，公共频道读共享大脑，私聊只读你有权看的；行动层通过 MCP 连接 GitHub、Linear、Notion 等几百个工具，写操作永远以你的身份执行；主动层在检测到对话需要它知道的信息时自动插话，比如"prod 没全挂，api/search 错误率升高，Kush 已经在处理了"。

原本是 supermemory 的付费产品，有几千用户，现在整个开源跑在你自己的 Cloudflare 账号上。两个 API key 加一次点击部署，5 分钟上线。

适合谁： 用 Slack 协作的中小型技术团队；不用 Slack 的团队无法受益。

评价： 值得上手

mcp-audit-tool — MCP 配置安全扫描器

你的 claude_desktop_config.json 里可能藏着明文 API key、npx -y 拉的未锁定包、curl | bash 安装器——任何一条都可能让 AI Agent 执行你不想要的操作。mcp-audit-tool 是一个纯 Python 静态分析器，几秒钟扫完所有 MCP 客户端配置。

内置 12 条检测规则，覆盖 OWASP MCP Top 10：工具投毒、供应链劫持、硬编码密钥、命令注入、安装器伪造、不安全传输、缺失认证、权限蔓延。自动发现 Claude Desktop、Cursor、Windsurf、Cline、Zed、VS Code 的 MCP 配置，macOS/Linux/Windows 全平台。

输出 A+ 到 F 的安全评分，每条发现都带修复建议。支持 JSON 和 SARIF 2.1.0 格式，可以直接接入 GitHub Code Scanning，CI 里设严重度阈值自动 fail build。

适合谁： 所有用 MCP 的开发者；不用 MCP 的暂时不需要。

评价： 值得上手

jevgrep — 用自然语言搜索代码的 CLI

接手一个不熟悉的仓库，想知道"认证逻辑在哪"，传统做法是 grep 关键词再逐个文件翻。jevgrep 让你直接问：jg "How are telemetry events recorded and sent?" ./my-project，它返回相关文件、阅读线索和带行号的源码片段。

底层用 Jev 决策模型判断相关性，不是简单文本匹配——它会探索目录结构、预览文件内容、解析函数声明，最后输出证据而非生成的答案。Python 和 TypeScript/JavaScript 支持声明级解析，其他语言有 fallback。

设计上有个细节值得注意：它明确说自己"不保证找到所有相关文件"，输出是给 Agent 用的线索而不是最终答案。配合 jg skill 可以把使用说明装进 Claude Code、Codex 等 Agent 的 skill 目录，让 Agent 学会什么时候该调用它。

适合谁： 经常让 AI Agent 读陌生代码库的开发者；项目很小或已经很熟的不需要。

评价： 可以观望