AI 周观察:执行半径扩大,爆炸半径收紧

时间窗：北京时间 2026-05-25 至 2026-06-01。 信源原则：一手信源优先，官方 release notes、官方工程博客、开发者文档和 GitHub release 为主体。

01

导语

上一期我们讲的是 AI Coding 和 Harness 在补三块底座：上下文与长期目标、连接器与行业工作流、运行时治理与安全边界。

到了这一周，主线更清楚了：AI coding agent 的执行半径正在继续变大，但真正能落地的产品，都在同时补“怎么把它关住”。

OpenAI 5 月 29 日把 Codex Computer Use 扩到 Windows，远程控制也从 Mac / 手机协作进一步变成跨设备工作流。你可以让 Windows 机器作为项目文件、shell、app server 和本地上下文的 host，再用 ChatGPT 手机端或 Mac 上的 Codex 去查看进度、继续线程、回答提示、调整方向。OpenAI 同时公布了 Codex Profiles，让用户看到身份、活动、使用统计和 token 活动；开源openai/codex这一周从 0.134.0 继续到 0.135.0，并在北京时间 6 月 1 日出现 0.136.0-alpha.2 预发布。0.135.0 的主线很清楚：auto-compaction、remote diffs、CLI docs、本地历史、unified exec、MCP auth、browser harness 和 TUI telemetry 都在继续补 Codex harness 的厚度。

Anthropic 这一周更像是把“能力扩张”和“风险边界”放在同一张桌子上。5 月 25 日，Anthropic 工程团队发文复盘 Claude 在 claude.ai、Claude Code、Claude Cowork 等产品里的 containment 经验，直说 human-in-the-loop 不是万能药，审批疲劳会让用户变得不可靠，真正要靠 sandbox、VM、文件边界、egress controls 等环境层约束去限制爆炸半径。5 月 28 日，Claude Opus 4.8 发布，Claude Code 同步推出 dynamic workflows，让 Claude 能规划任务、扇出几十到上百个并行 subagents、持续数小时到数天，并在汇总前做独立验证。

开源侧也在同一条线上推进。Hermes Agent v0.15.0 “Velocity Release” 把 1.6 万行run_agent.py拆到 14 个模块，Kanban 变成多 agent 平台，加入 swarm topology、per-task model overrides、worktree-per-task、scheduled tasks、promptware defense、Bitwarden Secrets Manager、skill bundles、Nous-approved MCP catalog、OpenHands orchestration skill。随后 v0.15.1 修掉 dashboard 401 reload loop、Docker--insecure推断、MCP bare-command PATH、Kanban worker SIGTERM 等真实运行问题；v0.15.2 又补了 wheel / sdist 里的 bundledplugin.yamlmanifest。OpenClaw 从 5.26 继续到 5.28，把 Gateway、transcripts、voice / Talk、多渠道审批、Codex app-server 恢复、安全边界、移动端、GitHub Copilot agent runtime 和 observability 都收进稳定 runtime 线。

把时间窗拉到 6 月 1 日后，GitHub Copilot 这条线也必须补进来。5 月 26 日，GitHub 给 Copilot Memory 加了删除、scope 和 CLI 控制，也给 Copilot coding agent 的 model rules 加了简化版组织策略；5 月 28 日 Claude Opus 4.8 在 GitHub Copilot generally available；5 月 29 日 Copilot usage metrics 增加 cohorts；6 月 1 日，Copilot 正式进入 usage-based billing，code review 开始消耗 GitHub Actions minutes，Copilot AI Credits 也正式生效。这说明 AI coding 的治理已经不只是不出安全事故，还包括 memory 范围、模型策略、团队用量、成本归因和计费边界。

所以这周不适合再写“AI coding 进入 agent 工程时代”这种大而泛的判断。本周真正发生的事更具体：agent 开始跑得更远、更久、更多线程、更跨平台；与此同时，行业也意识到，执行力越强，越要把权限、凭证、网络、外部内容、记忆、subagent、transcript、移动端远控和后台运行关进更硬的边界里。

一句话：这一周的 AI Coding，不是在炫能力，而是在回答一个工程问题：怎么让 agent 能跑长任务，同时不让它把风险带出边界。

02

脱水要点

1. Codex 的 5 月 29 日更新把 Windows 变成 Computer Use host：Codex 可以看、点、输入 Windows 应用；手机或 Mac 可以远程查看和推进线程，但 Windows 本机仍承载文件、shell、app server 和本地上下文。
2. Windows Computer Use 的限制也很明确：它运行在 active desktop，不能像 macOS locked use 那样在同一 Windows session 后台静默工作；远控适合“离开桌面时查看和指挥”，但 host 仍要保持解锁、在线、可用。
3. openai/codex从 0.134.0 到 0.135.0 的主线是治理和连接层：本地会话历史搜索、--profile统一 profile selector、MCP per-server environment 与 OAuth、connector schema$ref/$defs保留、read-only MCP 并发、extension / hook 上下文、remote websocket 恢复、auto-compaction、unified exec、remote diffs、browser harness 和 telemetry。0.136.0-alpha.2 已进入预发布，但本文只把它当作后续信号，不把 alpha 当稳定能力展开。
4. OpenAI 发布的《How OpenAI uses Codex》把 Codex 的真实使用场景写得很具体：代码理解、重构迁移、性能优化、补测试、提高开发速度、保持 flow、探索方案；最佳实践也很工程化：Ask Mode 先做计划、环境脚本和变量要反复调、prompt 像 GitHub Issue、用 AGENTS.md 存 repo 约定。
5. Anthropic containment 文章最有价值的地方，是把 agent 风险拆成用户误用、模型误行为、外部攻击三类，又把防御拆成运行环境、模型层和外部内容三层；它明确说，模型层防御不能单独承担安全，环境层硬边界才是底座。
6. Claude Code dynamic workflows 是本周能力扩张的最大信号：它让 Claude 在单次 session 里动态写 orchestration scripts，扇出几十到上百个 parallel subagents，适合大规模 bug hunt、迁移、现代化、审计、反向验证和长时间工作。
7. Hermes v0.15 的价值不只是“更快”，而是 runtime 开始能维护大型多 agent 工作流：Kanban swarm、任务级模型、工作树、计划开始时间、claim TTL、worker endpoints、session search、Bitwarden、promptware defense、skill bundles、MCP catalog 都在补 agent 操作系统的形状。
8. Hermes v0.15.1 / v0.15.2 的 hotfix 说明开源 agent runtime 的真实代价：功能扩张之后，dashboard auth、Docker 安全开关、MCP PATH、worker SIGTERM、skills catalog 分页、media delivery、plugin manifest 打包都会变成生产可用性的关键。
9. OpenClaw 从 5.26 到 5.28 的主线是“把 runtime 变得可观察、可恢复、可控”：transcripts、voice / Talk、多渠道审批、Activity tab、Codex app-server recovery、GitHub Copilot agent runtime、Codex Supervisor plugin path 都被纳入运行面。
10. Anthropic 5 月 28 日的 Series H 融资公告虽然不是产品功能，但它把 Claude Code、Claude Cowork、Claude Security、Claude for Microsoft 365、Skills、Connectors 等入口放在同一产品矩阵里，说明 agent 工作流已经被当作商业化主航道。
11. GitHub Copilot 这一周补了 memory scope / deletion、coding agent model rules、Opus 4.8、usage metrics cohorts，并在 6 月 1 日让 code review 消耗 Actions minutes、AI Credits 正式生效。AI coding 的成本治理开始进入产品规则层。
12. 对工程团队来说，本周的评估标准应该变成两轴：agent 的执行半径有多大，以及它的 containment 半径有多硬。只看模型分数或 IDE 手感，已经不够。

03

本周信息地图

日期	主体	本周动作	工程含义
5/25	Anthropic	发布 Claude containment 工程复盘	把 agent 安全从“用户审批”转向 environment containment、VM、egress、文件边界和外部内容治理。
5/26	Claude / Anthropic	Code w/ Claude London recap，Managed Agents self-hosted sandboxes 与 MCP tunnels 进入开发者叙事	企业 agent 不只跑在供应商云里，执行环境和私网 MCP 接入开始回到企业边界内。
5/26	OpenClaw	2026.5.26 release	Gateway 性能、transcripts、voice / Talk、多渠道审批、Codex 恢复、安全边界和 observability 集中增强。
5/26	GitHub Copilot	Copilot Memory 增加删除、scope 和 CLI 控制；coding agent model rules 简化	Memory、模型策略和组织级规则开始进入 coding agent 治理面。
5/26	OpenAI Codex	openai/codex 0.134.0	会话搜索、profile 迁移、MCP 环境/OAuth、connector schema、read-only MCP 并发、extension / hook context、remote recovery。
5/28	OpenAI	GPT-5.5 Instant 更新；canvas 从 GPT-5.5 Instant / Thinking 退出	写作和代码产出进一步回到 chat response 的 writing blocks / code blocks，交互界面开始收敛。
5/28	OpenAI	发布《How OpenAI uses Codex》PDF	官方第一次把内部 Codex 使用场景和 best practices 系统化呈现，重点是流程、环境、AGENTS.md 和任务拆分。
5/28	OpenAI Codex	openai/codex 0.135.0	auto-compaction、remote diffs、unified exec、MCP auth、browser harness、TUI telemetry 等继续补 harness。
5/28	Anthropic	Claude Opus 4.8 发布	模型侧强调判断力、工具使用、长任务、honesty 和 agentic reliability。
5/28	Claude Code	Dynamic workflows research preview	Claude Code 开始把长任务拆成并行 subagents，并在回传前做验证，进入“单 agent 到临时 agent team”的阶段。
5/28	Anthropic	Series H 融资公告	不是单点产品迭代，但把 Claude 的企业采用、复杂 workflow 和 Claude Code / Cowork 产品矩阵放到商业化主线里。
5/28	GitHub Copilot	Claude Opus 4.8 在 GitHub Copilot GA	模型能力通过 Copilot 进入 IDE / review / enterprise policy 面。
5/28	Hermes Agent	v0.15.0 Velocity Release	大重构、多 agent Kanban、promptware defense、Bitwarden、skill bundles、MCP catalog、OpenHands worker，扩张与治理同时推进。
5/29	OpenAI Codex	Windows Computer Use、remote control、Codex Profiles	Codex host 从 Mac 走向 Windows，跨设备远控和本地上下文承载成为主线。
5/29	GitHub Copilot	Usage metrics 增加 cohorts	Copilot 用量开始按群组分析，团队治理不再只看总体活跃。
5/29	Hermes Agent	v0.15.1 Patch Release	同日 hotfix dashboard loop、Docker insecure、MCP PATH、Kanban SIGTERM、skills catalog，暴露 runtime 真实生产问题。
5/29	Hermes Agent	v0.15.2 Patch Release	修复 bundled plugin.yaml manifests 未随 wheel / sdist 发布的问题，补齐插件分发链条。
5/30 / 5/31	OpenClaw	2026.5.28 release	runtime recovery、channel identity、mobile / chat surfaces、provider coverage、GitHub Copilot agent runtime、Codex Supervisor、policy conformance 继续增强。
6/1	GitHub Copilot	Usage-based billing 和 AI Credits 生效；code review 消耗 Actions minutes	AI coding 的成本、review 自动化和 CI 资源消耗开始进入同一治理账本。
6/1	OpenAI Codex	openai/codex 0.136.0-alpha.2 预发布	作为下一阶段信号记录，稳定能力仍以 0.135.0 为主。

这张表里有一条很强的共同线索：OpenAI 和 Anthropic 在扩 agent 的能力边界，Hermes 和 OpenClaw 在扩 runtime 的工作面，GitHub 则把 memory、model rules、usage metrics、billing 和 Actions minutes 推到治理层。但每一次“能做更多”，都马上带出新的 containment、auth、secret、transcript、observability、MCP、worker lifecycle、plugin packaging、mobile reconnect、成本归因和 rollback 问题。

04

OpenAI Codex：Windows 不是补平台，而是补“远程工作主机”

5 月 29 日的 Codex 更新，表面上是“Computer Use 支持 Windows”。但如果只把它理解成平台支持，就低估了这次迭代的工程含义。

OpenAI release notes 里写得很具体：用户可以在 Windows 机器上开始工作，再用 ChatGPT iOS / Android 或 Mac 上的 Codex 查看进度、继续线程、响应 prompts、steer work；Windows 机器仍然是 project files、shell、app server、local context 的 host。换句话说，Codex 不是把项目搬到云端，而是把本地机器变成一个可被远程控制的 agent host。

这和上一周的 macOS locked computer use 是同一条线。Codex 要做长任务，就不能只停留在“我在当前窗口里帮你改代码”。它必须知道项目在哪里、shell 在哪里、浏览器和 app server 在哪里、凭证和插件在哪里、用户离开桌面后如何继续协作。远控不是附加功能，而是 long-running coding agent 的基本协作模式。

但 Windows 的限制也同样重要。OpenAI 开发者文档明确说，Windows computer use 运行在 active desktop，不能在同一个 Windows session 里后台运行；Codex 会移动鼠标、输入文字、接管前台。需要离开时，Windows 设备要保持解锁并联网；如果不想影响主桌面，可以在 Windows VM 里跑 Codex。这个限制让产品边界更真实：Windows 不是“无人值守后台桌面”，而是“可远程指挥的前台执行环境”。

这恰好说明 Codex 的设计正在分层：手机、Mac、ChatGPT 是控制面；Windows / Mac host 是执行面；文件、shell、app server、browser、Computer Use、plugins、MCP servers、skills 都在 host 上。未来团队用 Codex，不会只是比较“哪个端体验好”，而是要规划哪台机器作为 always-on host，哪些项目允许远控，哪些 app 可以被 Computer Use 操作，哪些凭证和插件可以出现在 host 上。

Codex Profiles 则把“人和使用行为”纳入产品面。release notes 说，eligible users 可以看到 Codex identity、activity over time、profile details、usage stats 和 token activity。个人看像是仪表盘，团队看就是可治理的入口。agent 工作越多，越需要知道谁在使用、跑了多少、在哪些线程里工作、token 和 usage 如何变化。

同一周的openai/codex0.134.0 和 0.135.0 也在补这条线。0.134.0 新增本地 conversation history 搜索，支持 case-insensitive content matches 和 previews；把--profile变成 CLI、TUI permissions、sandbox flows 的主要 profile selector，并拒绝 legacy profile configs 以推动迁移；MCP setup 支持 per-server environment targeting 和 streamable HTTP server 的 OAuth 选项；connector tool schemas 保留本地$ref/$defs结构，并在暴露前压缩过大的 schema；只读 MCP tools 在声明readOnlyHint时可以并发；extension / hook context 更丰富，包含 conversation history 和 subagent identity；remote 侧也补 stale websocket reconnection、auth recovery retry 和 compaction stream retry。

0.135.0 则把很多运行时细节继续往“长期工作”上推。release notes 里出现了 auto-compaction、compaction trigger hints、execution 的统一路径、exec sessions、remote diffs、MCP auth、browser integration、TUI telemetry、CLI docs、release packaging、chatgpt shipping、codex doctor和 Windows / WSL 相关修复。这里最值得注意的是 auto-compaction 和 remote diffs：长任务不可能无限塞上下文，系统必须知道何时压缩、压缩什么、压缩后怎么继续；远程工作也不能只显示“改了”，而要让用户看到 diff、知道 workspace roots、知道 remote turn 发生了什么。

北京时间 6 月 1 日出现的 0.136.0-alpha.2 也值得在时间线里记一笔，但不适合当成稳定能力展开。alpha 的意义是告诉我们 Codex harness 还在高频推进；对团队采用来说，稳定基线仍应以 0.135.0 这类正式 release 为准。

这些改动串起来看，不是“小修小补”。Codex 正在把身份、profile、MCP、schema、只读并发、extension、subagent、remote recovery 做成 harness 的基本能力。真正的 coding agent，不只是会在一次回答里写出 patch，而是要能在一个稳定 profile 下，接多个 MCP server，理解工具 schema，安全并发读数据，让 extension 知道上下文，并在远程连接断掉后恢复。

OpenAI 这一周还发布了《How OpenAI uses Codex》PDF，里面的内容很值得工程团队当作使用手册看。OpenAI 把内部 Codex 使用场景分成代码理解、重构迁移、性能优化、补测试、开发提速、保持 flow、探索与 ideation。这里最有启发的不是宣传语，而是最佳实践：大型修改先用 Ask Mode 要计划，再转 Code Mode；持续调整 startup script、环境变量和 internet access 来降低错误率；prompt 像 GitHub Issue 一样写，带路径、组件名、diff、文档片段；用 Codex task queue 当轻量 backlog；用 AGENTS.md 存 repo 约定、业务逻辑、已知 quirks 和依赖。

这说明 Codex 内部使用经验已经从“给模型一个 prompt”升级成“建设一个让 agent 成功的工作环境”。这点对企业团队最重要：如果你只是买一个 coding agent，而不整理 AGENTS.md、不修启动脚本、不准备测试命令、不定义 issue 风格任务、不处理凭证和网络，agent 的能力会被你的工程环境直接吃掉。

05

Anthropic：同一周讲动态工作流，也讲 containment

Anthropic 这一周的两个动作必须放在一起看。

5 月 25 日，它的工程团队发布《How we contain Claude across products》。文章开头就把问题讲透了：agent 越能干，潜在 blast radius 越大。过去很难想象给 Claude 足够权限去影响内部服务；现在这类访问已经很常见，开发者也因此更高效。风险由两部分组成：出错概率，以及一旦出错能造成多大伤害。模型训练和 safeguard 能降低前者，但后者会随着能力和访问范围持续扩大。

这篇文章最值得注意的是它对 human-in-the-loop 的反思。Claude Code 以前通过每轮请求用户授权来避免意外动作。理论上这成立，但 Anthropic 说 telemetry 显示用户大约批准了 93% 的权限提示；审批越多，注意力越低。Claude Code auto mode 用模型分类器自动化更安全的审批，能减少 approval fatigue，但文章也明确说，概率防御不可能零漏判。

所以 Anthropic 把重点放在 containment：与其监督 agent 做了什么，不如限制它能接触什么。文章把风险拆成三类：用户误用、模型误行为、外部攻击；把防御拆成三块：运行环境、模型层、外部内容。运行环境包括 process sandbox、VM、filesystem boundaries、egress controls。模型层包括 system prompts、classifiers、probes、training modifications。外部内容则包括 MCP servers、third-party plugins、web search tools 这些会把不可控内容送进上下文的入口。

这套拆法对 AI coding 很实用。很多团队现在还把安全理解成“每次 rm / network / write file 前问用户”。但如果用户看不懂命令，或者审批提示出现太多，human-in-the-loop 就会失效。更稳的做法是先在环境层设硬边界：workspace 之外不能看，secret 不进入 sandbox，网络 egress 受控，外部内容进来前被包成低信任材料，MCP 权限按 tool 限制。

Claude Cowork 的 VM 架构也很有参考价值。文章说，Cowork 面向一般知识工作者，不能指望用户判断 bash 命令风险，于是早期版本在完整 VM 里运行。用户选择的 workspace 和.claudefolder 被挂载进来，其他 host 文件不可见，凭证留在 host keychain，不进入 guest。后来为了可靠性，agent loop 移到 VM 外，但 code execution 仍在 VM 内，这样 VM 启动失败时 Claude 还能回答用户并帮助排查，同时执行层仍受文件和网络控制。

最有警示意义的是 egress allowlist 的失败案例。Anthropic 说，一个恶意文件带着隐藏指令和攻击者 API key，让 Claude 读取 workspace 文件并用攻击者 key 调 Anthropic Files API 上传出去。egress proxy 看见目的地是api.anthropic.com，就放行了。问题不在“目的域名是否可信”，而在“这个域名上的哪些能力被授权”。文章最后把原则说得很清楚：allowlist 更像 capability grant，而不只是 destination filter。

三天后，Claude Opus 4.8 发布，同时 Claude Code 推出 dynamic workflows。它让 Claude 可以动态规划工作、写 orchestration scripts，在一次 session 中运行几十到上百个 parallel subagents，再在结果回到用户前做验证。官方例子包括跨大型代码库 bug hunt、profiler-guided optimization audits、security audits、大规模迁移、现代化、以及高风险任务里的独立尝试和对抗性验证。文章还举了 Bun 从 Zig 到 Rust 的重写案例：约 75 万行 Rust、11 天从 first commit 到 merge、99.8% 现有测试通过，且明确说明还未进 production。

同一天，Anthropic 还发布了 Series H 融资公告。它不是一个 coding feature，但放在本周主线里很有解释力：公告把 Claude Code、Claude Cowork、Claude Security、Claude for Microsoft 365、Skills、Connectors、global expansion、compute expansion 放在同一叙事里，并强调企业采用从聊天扩展到复杂 workflow。也就是说，Anthropic 对外讲的不是“多一个模型入口”，而是“Claude 正在成为能进入企业流程的工作系统”。这和 containment 文章、dynamic workflows 放在一起看，就能看出 Anthropic 的产品逻辑：先把 Claude 放进更复杂的真实工作，再用环境边界和治理系统控制风险。

这就是本周最重要的张力：Anthropic 一边把 agent 工作半径推到“数百个 subagents、数小时到数天、代码库级迁移”，另一边又强调 containment、egress、VM、外部内容和 agent identity。两件事不是矛盾，而是互为条件。没有 dynamic workflows，containment 的紧迫感没那么强；没有 containment，dynamic workflows 不适合进企业。

工程团队要从这里学到一个判断：长任务 agent 的风险不是线性增加。一个 agent 写一个文件时，你可以靠 review；几十个 subagents 同时读代码、跑测试、调工具、访问 MCP、写报告时，风险来自并发、权限扩散、外部内容污染、子代理信任升级、持久记忆投毒和不可见中间状态。你需要的不只是“最后让人看一眼”，而是从一开始就设计环境边界、工具边界、输出验证和中间态审计。

06

Hermes v0.15：开源 agent runtime 开始像操作系统

Hermes Agent v0.15.0 的标题是 Velocity Release，但“快”只是表层。真正的变化是 Hermes 正在把自己从一个功能很多的 agent，推向一个能承载多 agent 工作流的 runtime。

第一件大事是架构重构。release notes 写到，核心run_agent.py从 16,083 行缩到 3,821 行，抽到 14 个agent/*模块，行为保持兼容。对外行来说这是普通 refactor；对一个 agent runtime 来说，这是可维护性的分水岭。单文件巨型 agent loop 会让每个新工具、每个 provider、每个插件、每个 memory 路径都变成耦合风险。拆开之后，插件作者能读懂代码，维护者能局部修改，未来功能扩张才有空间。

第二件事是 Kanban 变成真正的多 agent 平台。v0.15 写到，Kanban 经过 104 个 PR，支持 triage auto-decomposition、hermes kanban swarm创建 Swarm v1 graph、root、parallel workers、gated verifier、gated synthesizer、shared blackboard；任务支持 per-task model overrides、board-level default workdirs、per-task worktree paths and branches、scheduled start times、claim TTL、retry fingerprinting、stale-task detection、respawn guards、drag-to-delete trash zone；worker 通过/workers/active、/runs/{id}、/inspect暴露状态。

这和 Claude dynamic workflows 很像，但路线不同。Claude 是平台产品把动态工作流收进 Claude Code；Hermes 是开源 runtime 把 Kanban、swarm、worker、worktree、model override、scheduled task 这些能力做进本地运行时。前者让用户快速得到能力，后者让团队能改、能接、能自托管、能塞进自己的自动化系统。

第三件事是 session search 重建。旧的session_search用辅助 LLM，总结三个 session 要几十秒，还可能在 FTS5 命中不对时产生幻觉。新的版本变成 discovery、scroll、browse 三种模式合一，不用 aux-LLM，不收费，discovery 大约 20ms。这个细节非常关键：agent 要长期工作，必须能快速找回历史；但“用另一个 LLM 总结历史”会带来成本、延迟和幻觉。检索应该尽量确定性，解释和综合再交给模型。

第四件事是 promptware defense。Hermes 针对 Brainworm / Promptware Kill Chain 类攻击，在三个入口做防护：tool output、recalled memory、stored skills。它把威胁模式集中到tools/threat_patterns.py，加载回忆 memory 时扫描，tool results 加 delimiter markers，防止恶意文件或远程服务伪装成 Hermes 自己的 system content，并配合security-guidanceplugin 检测危险代码写入。这个方向和 Anthropic containment 文章呼应：外部内容进入上下文时，不能被默认当成同等信任材料。

第五件事是 secrets 和 skills。Bitwarden Secrets Manager 把 per-provider API keys 换成一个 bootstrap token，启动时从 Bitwarden 拉凭证，默认让 Bitwarden 成为 source of truth；skill bundles 允许一个 slash command 加载多个 skills；Skills Hub 加健康检查、freshness badge 和 watchdog cron；可选 skills 增加code-wiki、openhands、web-pentest；还加入 Nous-approved MCP catalog 和 interactive picker。这里的方向很清楚：skills 不再只是几份 Markdown，MCP 也不再靠用户自己到 GitHub 搜。agent runtime 开始需要技能目录、健康检查、可信 MCP catalog、凭证源、provider 插件和供应链边界。

v0.15.1 的 hotfix 同样值得写进周报。它修了 v0.15.0 在 loopback mode 下 dashboard 401 reload loop；把 Docker dashboard--insecure改成显式HERMESDASHBOARDINSECURE=1opt-in，而不是从 bind host 推断；修复 Docker 中npx/npm/nodebare command PATH；恢复 Skills page source pills 和 category sidebar；让 Kanban worker 的 SIGTERM 真正能终止；把 skills.sh catalog 从 858 个分页结果扩到 19,932 个 sitemap 条目。

5 月 29 日的 v0.15.2 更小，但也很说明问题：它补的是 bundledplugin.yamlmanifests 随 wheel / sdist 打包发布。这个修复没有 v0.15.0 那么显眼，却直接影响插件生态能不能被安装、发现和复用。agent runtime 一旦进入 skill bundles、MCP catalog、plugins、provider packages 的阶段，打包清单、manifest、entrypoint、版本兼容就变成供应链的一部分。

这说明开源 runtime 的真实难点不是 release notes 里的 headline，而是每个真实部署环境都会给你一组边角问题：loopback auth、Docker bind、安全开关、PATH、worker 生命周期、catalog 分页、media delivery、redaction 误伤 URL 参数、plugin manifest 打包。Hermes 的好处是迭代快；风险也是迭代快。对企业团队来说，采用这类 runtime 时要有自己的升级策略、回滚策略、最小验收、凭证隔离和 dashboard 安全检查。

07

28：把“多渠道 agent”收进可恢复 runtime

OpenClaw 5.26 的 release notes 非常长，而 5.28 又在北京时间 5 月 31 日窗口内继续补运行时恢复、身份、移动端和 provider 兼容。把两版放在一起看，主线可以压成五个词：性能、transcripts、channels、安全、recovery。

性能、transcripts 和核心路径优化

第一是 Gateway 和回复速度。OpenClaw 写到，startup 避免重复 plugin、channel、session、usage-cost、warning、scheduled-service、filesystem scans；可见回复和后续慢任务分离；Gateway runtime / session caches 在高负载下减少 churn。对多渠道 agent 来说，Gateway 是所有任务、消息、工具、session 的交汇点。它一慢，用户感知就是“机器人卡了”；它一乱，session、auth、plugin、cost、channel 都会互相拖累。

第二是 transcripts 成为核心路径。5.26 把 transcript-backed meeting summaries、source-provider chunks、cleaned user turns、media provenance、Codex mirrors、WebChat replies、CLI/TUI replay 都收进更可靠的 transcript path。这个变化很重要，因为多渠道 agent 最大的问题之一是“事实发生在哪里”。语音、WebChat、CLI、TUI、Codex mirror、media、follow-up、hook，如果没有统一 transcript，后续 summary、debug、replay、审计、恢复都会断。

多渠道生产就绪

第三是 channel production readiness。Telegram 保留 typing / progress context 和 forum topics；iMessage 处理 attachment roots、remote media staging 和 duplicate local Messages sources；WhatsApp 恢复 group / media 行为；Discord 改进 voice playback 和 model picking；Signal / iMessage / WhatsApp 增加 reaction approvals。这里的意义不是“又支持几个按钮”，而是审批和进度反馈开始进入用户真实所在的消息渠道。agent 如果跑在手机消息里，不能要求用户总是回到 CLI 输入/approve。

第四是 voice 和 Talk。OpenClaw 让 realtime Talk runs 可以从 Web UI 和 Discord voice inspect、steer、cancel、follow up；wake-name handling 更宽容，但避免 ambient speech 触发 agent。voice agent 的难点不是“听懂话”，而是 turn context、speaker attribution、barge-in、wake word、consult question、输出活动、follow-up 这些状态要一致。OpenClaw 把 shared realtime SDK 复用到 Discord、browser voice、meeting surfaces，说明它在把 voice 从单点功能抽成 runtime 能力。

安全边界和可观察性

第五是 safer content boundaries。5.26 明确写到 Browser snapshot reads 要遵守 SSRF policy；system-event text 不能伪造 nested prompt markers；fetched file text 和 metadata 被包装成 external content；ClickClack inbound sender allowlists 在 agent dispatch 前执行；失效 device tokens 被拒绝；serialized tool-call text 会从回复里 scrub。这些都和 Anthropic containment 的逻辑一致：外部内容、系统事件、浏览器快照、设备 token、工具调用文本，不能直接混进可信上下文。

第六是 observability。Activity tab 展示脱敏 live tool activity summaries，但不持久化 raw telemetry；Gateway secret-prep traces、tool / model stream progress、fast-mode status、systemd Gateway hygiene、OpenTelemetry LLM spans、release performance evidence 和更丰富 telemetry signals 被加入。对 agent runtime 来说，observability 不是运维锦上添花，而是安全和恢复的基础。没有可观察性，用户只能看到“它卡了”；有可观察性，团队才能知道是 provider failover、blocked tool、stale session、oversized payload、webhook ingress，还是 auth rate limit。

OpenClaw 5.26 还把 bundled Codex CLI 升到 0.134.0，并在 budget-triggered app-server turns 中禁用 native compaction，让 OpenClaw 自己掌控 recovery boundary。这点很有代表性：开源 harness 正在把 Codex 作为底层能力嵌进自己的 runtime，但恢复、compaction、auth、observability、channel policy 由上层 harness 接管。

运行恢复与身份治理

5.28 则把这条线继续往前推。release notes 提到 Gateway recovery / teardown、Codex turns resume、delayed replies 的 cadence guard、mobile deep links、WebChat resend、chat title heuristic、user-summary artifacts、display names、router policy、stderr behavior、GitHub Copilot agent runtime 以及 Codex Supervisor plugin paths。单看每个点都很碎，但放在一起就是“运行中断后如何恢复、用户身份如何保持、移动端如何回到正确会话、provider 如何覆盖、插件路径如何稳定、策略检查如何不误伤”。

更细一点看，5.28 的身份和通道修复很重要。OpenClaw 在 mobile、chat、Slack、Discord、GitHub、webhook、WebChat、realtime token、Slash sessions 之间补 user identity、aliases、display name、session labels、history replay、follow-up routing。这说明多渠道 agent 的难点不是接一个 bot API，而是保持“同一个人、同一个会话、同一段历史、同一个授权边界”。一旦身份漂移，审批、记忆、transcript、工具权限都会跟着漂。

5.28 也继续补 policy 和安全边界，包括 repo-local policy fixtures、scripted acceptance runs、Codex Supervisor paths、unsafe provider selector fallback、MCP capabilities、developer-instruction injection、channel-based activation 和 untrusted webhook env。这里的启发是：开源 runtime 的治理不可能靠一条总规则解决。它需要在 provider、channel、plugin、MCP、webhook、mobile、voice、Codex app-server 每个入口都加边界，并通过 tests 和 fixtures 防止回归。

未来很多团队用的不是单一 agent 产品，而是一层 agent host 套另一层 workflow runtime，再接企业自己的 channel、secret、MCP、mobile surface 和审计系统。OpenClaw 5.26 到 5.28 展示的就是这个现实：功能越多，恢复和身份治理越重要。

08

GitHub Copilot：AI Coding 开始进入成本账本

把窗口延到 6 月 1 日，GitHub Copilot 这条线就不能忽略。它不像 Codex Windows、Claude dynamic workflows、Hermes Kanban 那样显眼，但它代表另一种更现实的治理：当 AI coding 进入团队日常，memory、模型策略、usage metrics、review 自动化和计费都会变成管理问题。

5 月 26 日，GitHub 给 Copilot Memory 加了更多控制：用户可以删除 memory、管理 scope，并通过 Copilot CLI 处理相关能力。对 coding agent 来说，memory 不是“越多越好”。记错、过期、跨项目污染、把个人偏好带进组织代码、把一次性上下文长期保留，都会影响 agent 行为。Memory controls 的重要性在于：团队开始需要能看、能删、能限定范围，而不是把所有历史都当作可信长期知识。

同一天，GitHub 还简化了 Copilot coding agent 的 model rules。这个变化背后的含义是，模型选择开始变成组织策略。过去很多团队关心“哪个模型更强”；进入 coding agent 阶段后，组织会更关心“哪些任务允许用哪个模型、哪些仓库可用、哪些用户可用、成本和风险如何约束”。Model rules 不是体验功能，而是治理入口。

5 月 28 日，Claude Opus 4.8 在 GitHub Copilot generally available。Anthropic 自己在同一天发布 Opus 4.8 和 dynamic workflows，GitHub 则把这个模型能力带进 Copilot 的 IDE、review 和企业策略面。这里的变化是：模型发布越来越快进入主流 coding 工作台，企业需要的不是每次手动切模型，而是把模型能力、权限策略、成本边界、review 流程一起管理。

5 月 29 日，Copilot usage metrics 增加 cohorts，让企业可以按自定义群组看 Copilot adoption、active users 和 engagement。这个功能看似偏管理后台，但对 AI coding 落地很关键。因为 agent 是否有效，不应该只看全公司 token 或活跃用户，而要看不同团队、不同职能、不同项目的采用情况。否则你不知道是平台真的提升了研发效率，还是只有少数早期用户在高强度使用。

6 月 1 日是更硬的一条线。GitHub Copilot 进入 usage-based billing，Copilot AI Credits 正式生效；Copilot code review 也开始消耗 GitHub Actions minutes。这意味着 AI coding 的成本不再只是“买几个 seat”，而是进入运行时资源账本。自动 review、agent 任务、模型调用、CI minutes、AI credits，都会和团队预算、项目成本、使用策略绑定。

这件事对工程团队的启发很直接：AI coding 治理不只是安全治理，也包括成本治理。谁可以触发大规模 code review？哪些仓库允许自动 review 消耗 Actions minutes？AI credits 超限时谁负责？usage metrics 是按个人看、团队看，还是项目看？这些问题不如 dynamic workflows 听起来酷，但它们决定 AI coding 能不能长期成为组织基础设施。

09

Skills、MCP、Plugins：这周已经进入供应链问题

这一周，skills / MCP / plugins 的话题有一个明显变化：它们不再只是“扩展能力”，而是开始变成供应链和治理问题。

Codex 0.134.0 到 0.135.0 强化 MCP per-server environment、OAuth options、connector schema$ref/$defs保留、oversized schema compact、read-only MCP 并发、MCP auth、browser harness 和 unified exec。这里解决的是 MCP 进入真实项目后的几个问题：不同 server 需要不同环境；鉴权不能只靠手写 env；tool schema 必须稳定，否则 agent 不知道怎么调用；只读工具并发要能被安全区分；浏览器和 exec 要进入同一个可观察、可恢复的执行路径。

Hermes v0.15 加 skill bundles、Skills Hub health checks、freshness badge、watchdog cron、skills.sh 全量 catalog、Nous-approved MCP catalog、OpenHands orchestration skill。这里的重点是“发现”和“信任”。用户不能每次都去社区搜一个 MCP，再手动判断质量；也不能让一个过期 skill 继续影响 agent 执行。catalog、health、freshness、watchdog、approved list 都是技能供应链的早期形态。

OpenClaw 5.26 到 5.28 则从 runtime 侧补 plugin SDK、diagnostic event exports、reaction approval helpers、tool visibility、external content wrapper、system-event sanitization、auth rate limit、Codex Supervisor plugin paths 和 repo-local policy fixtures。它关心的是 plugin 和 channel 进入运行时后，消息如何被标记、工具如何可见、外部内容如何降权、审批如何在移动渠道完成、telemetry 如何脱敏，以及策略检查如何跨 provider / channel 保持一致。

这三条线给工程团队一个明确提醒：skill 不是普通文档，MCP 不是普通接口，plugin 不是普通脚本包。一旦 agent 会自动读取、加载、执行、分发、共享，它们就具备了供应链属性。你需要 owner、版本、review、最小权限、来源标记、健康检查、撤销机制、凭证边界、执行日志和回滚。

更具体地说，企业内部建设 AI coding 平台时，应至少建立四类资产：

1. 第一类是 repo knowledge：AGENTS.md、CLAUDE.md、业务术语、架构边界、测试命令、常见故障、release checklist。
2. 第二类是 executable skills：能调用脚本、跑诊断、生成文档、做代码迁移、跑验收的技能包。
3. 第三类是 trusted connectors：MCP servers、SDK、CLI、internal API wrappers、secret-aware adapters。
4. 第四类是 runtime policy：哪些 skill 可以执行、哪些 MCP 只读、哪些 channel 可审批、哪些 host 可远控、哪些凭证可进入 sandbox。

很多团队现在只做第一类，所以 agent 体验卡在“能读文档但不会稳定干活”。更成熟的团队会把四类都做起来，并把它们放进同一个治理面。

10

给工程团队的落地判断

第一，用“执行半径”和“containment 半径”评估工具。执行半径包括能否跨平台、远控、Computer Use、浏览器、MCP、多 agent、长任务、后台运行、voice / mobile、工作树、CI。Containment 半径包括 sandbox、VM、文件挂载、egress、credential isolation、profile、auth rate limit、external content wrapper、prompt injection filter、audit log、observability、撤销和回滚。只看前者容易买到风险，只看后者又会变成不能干活的安全壳。

第二，长任务要先定义验收，不要只定义目标。Codex Goal mode、Claude dynamic workflows、Hermes Kanban、OpenClaw cron / channel flows 都会让 agent 跑更久。跑得久不是优点，能在正确边界内跑完才是优点。每个长任务都应有 success criteria、allowed files、allowed tools、test command、stop condition、human review point 和 rollback plan。

第三，远控 host 要当生产环境管理。Windows / Mac host 上有项目文件、shell、app server、本地浏览器、登录态、MCP、plugins、skills、凭证和截图能力。它不是普通客户端，而是 agent 执行环境。要定义谁能连、哪些 workspace 能远控、哪些 app 能 Computer Use、host 是否 always-on、锁屏/解锁策略、日志保留和紧急停止。

第四，审批不是安全的全部。Anthropic 的 93% approval 数据很刺眼：用户看到太多权限提示后，会习惯性点过。对于高频、低风险、专家能判断的动作，可以用 auto mode 或 policy 减少摩擦；对于用户看不懂的危险动作，应该在环境层禁止，而不是把判断甩给用户。

第五，外部内容必须降权。README、网页、MCP 返回、浏览器 snapshot、会议 transcript、Slack 消息、memory、skill 文档、tool output 都可能携带指令。它们进入 agent 上下文时，应该被包装为 external / untrusted content，并在工具调用前有明确边界。不要让外部文本伪装成 system prompt、developer instruction 或内部事件。

第六，skills 和 MCP 要做 catalog，不要靠口口相传。Hermes 的 skills.sh 全量 catalog、Nous-approved MCP catalog，Codex 的 plugin sharing，OpenClaw 的 plugin SDK，都说明扩展生态会越来越大。没有目录、健康检查和权限分层，团队会很快不知道 agent 到底加载了什么。

第七，observability 要从第一天做。Activity tab、OpenTelemetry LLM spans、transcripts、tool/model stream progress、session replay、worker endpoints、usage stats，这些不是大厂才需要的东西。只要 agent 能写文件、调用外部工具、跑长任务，你就需要知道它为什么做了某一步，失败卡在哪里，是否用了正确凭证，是否把外部内容当成了可信指令。

第八，成本治理也要从第一天做。GitHub Copilot 的 6 月 1 日变化提醒我们，AI coding 的运行成本会分散在 seats、AI credits、Actions minutes、模型调用、远程 host、CI、review automation 里。没有 budget、quota、cohort metrics 和项目归因，团队很难判断 agent 到底是在提高效率，还是在把成本悄悄推高。

11

结尾：下一阶段不是更“自动”，而是更“可控地自动”

这一周的信号很集中：Codex 在把 Windows、远控、profile、本地 host、MCP、0.135 harness 和内部实践补齐；Claude 在把模型能力推向 dynamic workflows，同时把 containment 讲到环境、VM、egress、外部内容、agent identity；Hermes 在把开源 agent runtime 做成多 agent Kanban、skill / MCP catalog、promptware defense、secrets manager 和 plugin packaging；OpenClaw 在把多渠道、语音、transcript、Codex app-server、安全边界、mobile reconnect、GitHub Copilot runtime 和 observability 收进 Gateway；GitHub 则把 memory、model rules、usage metrics、AI Credits 和 Actions minutes 拉进治理面。

所以，不要把下一阶段理解成“agent 会自动做更多事”。更准确的说法是：agent 会被允许做更多事，但前提是系统能更清楚地限制它能碰什么、怎么碰、何时停、谁批准、出了问题怎么追。

对个人开发者来说，这意味着要整理 repo instructions、启动脚本、测试命令、常用任务模板和本地环境。对团队来说，这意味着要建设 agent host、trusted skills、MCP catalog、secret boundary、profile policy、transcript、observability、approval flow 和 rollback。对平台公司来说，这意味着模型能力只是入口，真正的护城河在 harness：执行、连接、治理、恢复和信任。

如果上一周的主题是“AI Coding & Harness 都在补底座”，这一周的主题就是：底座补完之后，agent 开始跑得更远；但越能跑，越要关得住。

12

来源索引

1. OpenAI Help Center, ChatGPT Release Notes, May 29 / May 28 2026https://help.openai.com/en/articles/6825453-chatgpt-release-notes
2. OpenAI Developers, Computer Use - Codex apphttps://developers.openai.com/codex/app/computer-use
3. OpenAI Developers, Remote connections - Codexhttps://developers.openai.com/codex/remote-connections
4. OpenAI Developers, Codex app settingshttps://developers.openai.com/codex/app/settings
5. OpenAI, How OpenAI uses Codex, PDFhttps://cdn.openai.com/pdf/6a2631dc-783e-479b-b1a4-af0cfbd38630/how-openai-uses-codex.pdf
6. OpenAI Codex GitHub Release 0.134.0, May 26 2026https://github.com/openai/codex/releases/tag/rust-v0.134.0
7. OpenAI Codex GitHub Release 0.135.0, May 28 2026https://github.com/openai/codex/releases/tag/rust-v0.135.0
8. OpenAI Codex GitHub Pre-release 0.136.0-alpha.2, May 31 / Beijing June 1 2026https://github.com/openai/codex/releases/tag/rust-v0.136.0-alpha.2
9. Anthropic Engineering, How we contain Claude across products, May 25 2026https://www.anthropic.com/engineering/how-we-contain-claude
10. Anthropic, Introducing Claude Opus 4.8, May 28 2026https://www.anthropic.com/news/claude-opus-4-8
11. Claude Blog, Introducing dynamic workflows in Claude Code, May 28 2026https://claude.com/blog/introducing-dynamic-workflows-in-claude-code
12. Anthropic, Series H, May 28 2026https://www.anthropic.com/news/series-h
13. Claude Blog, Code w/ Claude London 2026: Rethinking how we build, May 26 2026https://claude.com/blog/code-w-claude-london-2026-rethinking-how-we-build
14. GitHub Changelog, Copilot Memory has more controls for deletion, scope, and the Copilot CLI, May 26 2026https://github.blog/changelog/2026-05-26-copilot-memory-has-more-controls-for-deletion-scope-and-the-copilot-cli/
15. GitHub Changelog, Target Copilot models to organizations with model rules, May 26 2026https://github.blog/changelog/2026-05-26-target-copilot-models-to-organizations-with-model-rules/
16. GitHub Changelog, Claude Opus 4.8 is generally available for GitHub Copilot, May 28 2026https://github.blog/changelog/2026-05-28-claude-opus-4-8-is-generally-available-for-github-copilot/
17. GitHub Changelog, Copilot usage metrics API adds cohorts for AI adoption, May 29 2026https://github.blog/changelog/2026-05-29-copilot-usage-metrics-api-adds-cohorts-for-ai-adoption/
18. GitHub, GitHub Copilot is moving to usage-based billing, effective June 1 2026https://github.blog/news-insights/company-news/github-copilot-is-moving-to-usage-based-billing/
19. GitHub Changelog, GitHub Copilot code review will start consuming GitHub Actions minutes on June 1 2026https://github.blog/changelog/2026-04-27-github-copilot-code-review-will-start-consuming-github-actions-minutes-on-june-1-2026/
20. NousResearch, Hermes Agent v0.15.0, May 28 2026https://github.com/NousResearch/hermes-agent/releases/tag/v2026.5.28
21. NousResearch, Hermes Agent v0.15.1, May 29 2026https://github.com/NousResearch/hermes-agent/releases/tag/v2026.5.29
22. NousResearch, Hermes Agent v0.15.2, May 29 2026https://github.com/NousResearch/hermes-agent/releases/tag/v2026.5.29.2
23. OpenClaw, openclaw 2026.5.26, May 27 2026https://github.com/openclaw/openclaw/releases/tag/v2026.5.26
24. OpenClaw, openclaw 2026.5.28, May 30 2026https://github.com/openclaw/openclaw/releases/tag/v2026.5.28

13

事实边界

本文时间窗按北京时间 2026-05-25 起，截至 2026-06-01 发稿前可核验信源。GitHub release 的显示日期可能按 UTC 或访问端本地时区呈现，本文对 5 月 30 日晚间发布、北京时间已进入 5 月 31 日窗口的 OpenClaw 5.28，以及 5 月 31 日 UTC 发布、北京时间已进入 6 月 1 日窗口的 Codex 0.136.0-alpha.2 作窗口内增量处理。0.136.0-alpha.2 是预发布，本文只作为后续信号记录，不把它写成稳定生产能力。GitHub usage-based billing 和 Copilot code review Actions minutes 的公告发表于 4 月 27 日，但生效日为 2026-06-01，因此纳入本期“生效变化”。本文核心事实来自官方帮助文档、官方工程博客、官方产品博客、开发者文档和 GitHub release。未把 Reddit、X 或二手媒体作为核心论据；Hermes 相关社区讨论只作为信号参考，没有写入关键事实链。