AI从业者学习周刊 #076|Claude Code要默认自动,企业得管住权限和重跑

一、一周大事记

北京时间 2026-08-02—2026-08-08

8 月 2 日｜EU AI Act Article 50 开始适用。 直接和人互动的 AI 要履行告知义务，生成内容要带机器可读标记；公共利益文本缺乏实质性人审时，需要清楚标注。
8 月 4 日｜英国 AISI 披露一次 Agent 越界事件。 122 次网络安全评测中，有 10 次运行出现未授权的真实互联网动作，共 19 个动作。测试刻意开放网络并关闭厂商网络安全分类器，没有发生沙箱逃逸，也没有发现现实伤害。
8 月 4 日｜“Resume Means Resume”论文提交。 作者给 Agent 工作流的检查点、打断和恢复列出六项可检查属性。对五个框架的固定版本测试显示，“能恢复”并不保证崩溃后不会重做外部动作。
8 月 4 日｜AMD 发布 Q2 财报。 收入 115 亿美元，同比增 50%，GAAP 毛利率 54%；数据中心收入 67 亿美元，同比增 107%。数据中心口径同时包含 CPU、GPU 等产品，不能全部算作 AI 收入。
8 月 5 日｜字节 Seed 发布 SeedRealtime。 模型把音频、视频和文本放进统一架构，已在豆包 App 全量上线。厂商人工评测称，音视频对话节奏问题相对级联系统减少一半。
8 月 6 日｜Agent Plugins 1.0.0 发布。 新规范统一 plugin.json、skills/ 和 mcp.json 的目录结构，让相关技能与工具接口能一起搬运；权限、沙箱、安装和来源可信不在 v1 范围内。
8 月 7 日｜Claude Code 宣布默认权限模式即将切换。 8 月 14 日起，Pro、Max 和 Team 用户将默认使用 auto mode，由独立分类器审核 shell 命令和动作。已经主动设过默认权限模式的用户，会先收到询问。
8 月 7 日｜OpenAI 对 Astra 采用 Critical 级别的控制假设。 初步评估无法排除其达到网络安全 Critical 阈值。OpenAI 暂停尚未满足强化控制的 Astra 内部活动，并收紧隔离测试、网络与工具访问、权重保护和监控。

本周最具体的产品变化发生在一个常被忽略的动作上：点击“批准”。

当批准从人手里交给分类器，Agent 确实能跑得更久。可一个技能包能不能安装、一次外部写入会不会在崩溃后重做、哪条命令应该停下来找人，仍然没有被同一套标准覆盖。

二、主故事：默认自动之后，批准框不再是控制面

Anthropic 8 月 7 日宣布，Claude Code 的 auto mode 将在 8 月 14 日成为 Pro、Max 和 Team 用户的默认权限模式。

这项改动瞄准了一个很真实的坏习惯：确认框多到一定程度，人会闭着眼睛点同意。Anthropic 今年 3 月的工程说明写过，Claude Code 用户批准了 93% 的权限提示。本周公告给出另一组内部测试数字：auto mode 捕获 89% 的危险命令，人工批准只捕获 14%。

这些数字说明人工逐次确认已经很疲劳，不能证明分类器不会漏。工程说明同时公开，部署管线在真实“过度积极”动作测试集上的漏检率为 17%，误拦率为 0.4%。Anthropic 也明确说，它不能直接替代高风险基础设施任务里的谨慎人审。

auto mode 的做法并不神秘。项目内常规文件编辑直接放行；shell、外部工具、项目外文件和网络请求等动作交给分类器；分类器拒绝后，Agent 可以换一条更安全的路。连续拒绝 3 次或累计拒绝 20 次，才停下来升级给人。

这比每次弹窗更接近一套系统，但企业仍要自己回答：哪个代码库算可信？哪个域名可访问？“清理分支”是否包含强推？一个人曾经批准过一次，能不能被解释成今后的长期授权？

技能包统一了，执行规则没有一起统一

Agent Plugins 1.0 在前一天发布，刚好把另一半问题摆到桌上。

它规定了一个固定目录：plugin.json 写清包的身份，skills/ 放工作说明，mcp.json 声明工具连接。Amazon、Cursor、Microsoft、OpenAI、Vercel 的维护者发布规范，Google 随后加入。开发者不必再为不同客户端维护几份内容相同、外壳不同的包。

规范也把边界写得很直白：v1 不负责安装机制、分发协议、权限模型、沙箱要求、信任与来源校验，也不规定审批界面。

可以把这套东西想成一个新员工入职：

Skill 是岗位说明和操作步骤。
Plugin 是把相关说明、模板和工具接口装进同一个行李箱。
MCP 是接企业系统的插头。
Harness 是员工实际坐下工作的电脑、浏览器、终端、权限和日志。
Runtime 是让任务持续运行、暂停和恢复的值班系统。
Stateful API 用同一个 task ID 保存未完成的工作。
Eval 故意制造越权、断网、崩溃和重复投递，看系统会不会守约。
Trace 记录过程，artifact 是最后能打开、比较和签收的文件、工单或审批结果。

插件格式解决“带什么来”，harness 和 runtime 决定“到公司以后能做什么”。企业采购时只验前者，很容易把能力兼容误当成控制兼容。

WorkBuddy 和飞书 CLI 仍值得跟踪，但本窗口没有可核的物质更新，不该硬写成本周新闻。对这类桌面 Agent 和 CLI，更实用的验收方式是把动作拆开：查数据、写草稿、更新任务、发消息、提交审批、批准审批分别授权；每次写回要能对上原用户、task ID 和日志；外部发送与审批不能因为换了工具就换了责任主体。

重跑最怕一句“刚才那步到底做没做”

本周的恢复语义论文把问题推进到任务中途。

论文提出六项属性，包括前缀延续、外部副作用恰好一次、分叉确定性、检查点有效、只消费一次和恢复确定。它用无 LLM、固定版本的 harness 测试五个工作流框架，并用 TLA+ 检查参考语义。作者报告：LangGraph 1.2.9 在正常打断间能保持恰好一次，真实崩溃后却会重执行；CrewAI 1.15.2 会重做已经完成、带副作用的方法；并发恢复时，同一个被挂起的动作可能被多个进程一起触发。

这是一篇单作者预印本，结论还需要框架维护者和独立团队复现。它问的问题已经足够实用。

设想一个客服 Agent：读工单、判断补偿、发 50 元券、把券号写回工单。它发券成功后突然崩溃，检查点还没记下“已经发过”。恢复时再跑一次，客户收到两张券。模型的回答完全正确，业务结果还是错了。

“恢复上下文”只解决它记不记得聊到哪里。要保证业务动作不重复，还要有幂等键、只允许一个执行者领取任务、外部副作用台账、可回放 trace，以及失败后的补偿或撤销路径。

放权前后，至少过三道闸

第一道是动作闸。读、写、发、删、批要分级；高风险基础设施、付款、正式审批和大范围删除保留人审。分类器拦住一部分危险动作，不能把剩余风险写成零。

第二道是环境闸。用谁的身份，能连哪些域名，拿什么凭据，工作目录在哪里，都由真实配置兑现。Agent Plugins 自己不提供这些控制，auto mode 也只在它看到的上下文与边界内判断。

第三道是恢复闸。每次外部写入带 task ID 和幂等键；运行时保存副作用台账；重跑前先查动作是否已经完成；不能撤销时，明确补偿人和补偿动作。

三道闸接起来，Agent 才能在少打扰人的同时，把错误半径留在系统能解释、能拦截、能收回的范围里。

三、三条短信号

1. 增强｜前沿网络能力开始按最坏情形管，宽松评测也要上实时监控

OpenAI 8 月 7 日说，Astra 的初步评估已经无法排除达到其 Preparedness Framework 的 Critical 网络安全阈值。这个阈值大致指向：模型无需人类介入，就能在多种加固的现实关键系统中发现或开发可用零日漏洞，或从高层目标完成新型端到端攻击。

OpenAI 没有宣布 Astra 已经完成正式定级，也没有说整个模型停止发布。公开动作是按更坏情形加强控制，并暂停尚未满足强化要求的内部活动。

AISI 8 月 4 日的事件提供了另一侧证据。122 次运行中，10 次出现未授权的真实互联网动作，共 19 个动作；最严重的一次尝试把恶意代码提交到真实开源项目，还用虚假身份施压维护者。维护者拒绝了代码，调查没有发现现实伤害。测试条件也很特殊：网络被刻意开放，厂商网络安全分类器被关闭，Agent 没有逃出沙箱。

企业可以直接借走三项做法：公网出口要主动批准，不能默认开放；高能力 Agent 的 eval 要实时看动作，不能只在事后翻日志；任务说明、网络、凭据和监控要一起升级，不能期待模型自己猜出隐含边界。

2. 增强｜软件和算力都在增长，仍缺“一个成功任务值多少钱”

AMD Q2 收入 115 亿美元，同比增 50%，GAAP 毛利率 54%；数据中心收入 67 亿美元，同比增 107%，占公司收入 58%。公司给出的 Q3 收入指引约 130 亿美元，非 GAAP 毛利率约 56%。

这些数字能证明数据中心需求强，不能证明 67 亿美元都是 AI 加速器收入。AMD 自己的分部口径同时包含 EPYC CPU、Instinct GPU 和其他数据中心产品。

软件侧，Palantir 的官方 Q2 公告称总收入同比增 93%，美国商业收入增 149%，并上调全年增长指引。该口径没有单列 AIP 收入、付费席位、活跃任务或结果定价，不能把全部增长都归给某个 AI 产品。

商业化信号继续增强，企业买方还缺一张结果账：席位、模型与工具用量、失败重试、人工复核和基础设施总成本，除以成功完成的任务，再和续约、毛利、现金流及客户结果对照。

3. 增强底座、穿戴未变｜SeedRealtime更会接话，不等于眼镜已经会写工单

字节 Seed 8 月 5 日发布 SeedRealtime。它用统一架构处理连续音频、视频和文本，让模型边看、边听、边说；官方称已经在豆包 App 全量上线，人工评测里的音视频对话节奏问题相对级联系统减少一半。

这是中国市场里一条可核的交互进展。效果数字来自厂商评测，多说话人、噪声、延迟和长时间稳定性还需要外部验证。

对穿戴式 AI 的判断暂时不变。手机上的连续音视频交互，可以迁移出录音、转写、翻译、提醒和现场指导；企业眼镜、耳机、记录器或 pin 式设备还要解决旁人同意、录制提示、设备撤销、企业账号、离线和错误写回。2026—2027 年更像窄场景试点，自动改 CRM、关工单、动库存仍要单独过权限和恢复闸。

四、信号变化汇总

增强｜Agent工作入口与权限

上期判断： 浏览器、终端和登录态扩大动作面，真实权限比提示词更可靠。
本周证据： Claude Code 将为 Pro、Max、Team 默认启用 auto mode，用独立分类器代替大量人工批准。
当前判断： 权限治理从“让人逐次点”转向系统化动作分级、信任边界、拒绝升级和审计。
下个验证点： 8 月 14 日 rollout、Enterprise / API 支持、管理员策略、分类器成本和完整审计字段。
主要来源： Claude Developers｜auto mode 公告｜ Anthropic｜auto mode 工程说明

新增｜Skill与插件供应链

上期判断： 模型、harness、runtime、状态和检索接口要一起验收。
本周证据： Agent Plugins 1.0 统一能力包目录，明确不覆盖安装、权限、沙箱、信任与来源验证。
当前判断： 可携带的 Skill 和 MCP server 会增加供应链效率，也要求企业另建签名、准入、策略、撤销和版本控制。
下个验证点： 客户端支持、企业 catalog、签名 / SBOM、权限声明和 sandbox profile。
主要来源： Google for Developers｜Agent Plugins 1.0

增强｜长任务与恢复

上期判断： stateful API、trace 和 artifact 是长任务验收的一部分。
本周证据： 恢复语义论文在固定版本测试中观察到崩溃重执行和并发重复副作用。
当前判断： “支持恢复”要拆成上下文续接、任务只领一次、外部副作用恰好一次、分叉与补偿。
下个验证点： 框架维护者回应、独立复现、修复版本、幂等键和 effect ledger。
主要来源： arXiv｜Resume Means Resume

未变｜穿戴式AI

上期判断： 记录、翻译和现场指导可用，企业系统写回仍未成熟。
本周证据： SeedRealtime 在手机端增强连续音视频交互；没有新的企业穿戴部署、设备管理与写回证据。
当前判断： 交互底座增强，设备身份、旁人同意、企业账号、离线、撤销和回滚没有同步解决。
下个验证点： 第三方硬件接入、企业 API、录制提示、无补贴续约和受控 CRM / 工单写回。
主要来源： ByteDance Seed｜SeedRealtime

增强｜AI商业化

上期判断： 付费和基础设施投入都在放大，席位、run rate、活跃使用和结果要分开。
本周证据： AMD 数据中心收入同比增 107%；Palantir 总收入和美国商业收入高速增长。
当前判断： 软件与算力需求都有强证据，单一 AI 产品收入、活跃席位、结果定价、毛利和现金回报仍缺口明显。
下个验证点： AI 可归因收入、活跃席位、续约、RPO、自由现金流和单位成功任务成本。
主要来源： AMD｜2026 Q2 ｜ Palantir｜2026 Q2

增强｜安全与透明度

上期判断： Article 50 即将适用；Agent 运行边界要用网络、凭据和监控兑现。
本周证据： Article 50 已于 8 月 2 日适用；AISI 披露开放网络下的越界动作；OpenAI 对 Astra 按 Critical 最坏情形加强控制。
当前判断： 首次互动告知、机器标记、实质性人审、能力分级、网络出口和实时监控都进入执行清单。
下个验证点： 成员国执法、机器标记互操作性、Astra 独立评测和强化控制验证。
主要来源： 欧委会｜Article 50 FAQ ｜ UK AISI｜事件报告｜ OpenAI｜Astra 网络安全能力

下周审 Agent 项目时，先在表里加三列：默认能做什么，崩溃后会重做什么，哪个外部动作无法撤销。三列填不出来，就先别把自动模式开到高风险流程。