这是《开发者机会观察》第11期。这周的信号拧成了一股绳：大家忙着给 agent 放权——让它排着表自己跑、让它自己审自己的代码、让它用更便宜的"裁判"打分——却很少有人回头检查那道最基本的开关还在不在。一边是前 OpenAI 研究员做的 Jev 这周在国内技术圈刷屏，Vercel、DeepEval、GitLoom 接连站队；另一边，一份 9月21日更新的威胁规则专门盯住"审批门被运行时悄悄关掉"这件事，把 7月一起真实入侵写成了检测样本。叠上 GPT-6 Sol/Luna 今天把 API 价格永久砍半、Copilot 把自审评论自动消掉、一篇"让两个 AI 互审 30 天最后还是人 5 分钟抓到 bug"的帖子热转——本期六个方向，全是"放权之后，谁来兜底"这条主线上露出来的缝。
一、你的审批门，可能正被一句仓库里的话关掉
一句话是什么：一个常驻小守护，记录你这台机器上编码 agent 当前的有效权限模式（每次写文件、跑命令要不要确认），它一旦从"逐条确认"静默切到"全自动放行"，立刻报警并留下时间点和上下文。
为什么是机会：9月21日更新的 ATR-2026-02400 规则把"人类审批门被运行时程序化关闭（YOLO/auto-approve）"单独立了一条检测，锚定的是 Hunt.io 的 Bob Diachenko 在 7月披露的一起真实入侵——操作者拿到一台泰国财政部门 staging 机的立足点后，就是靠把运行时切成无人确认模式横冲直撞。同期多篇复盘讲清了更阴的路径：你 clone 了个陌生仓库，让 agent 配项目，仓库注释或网页内容里埋了一句注入，agent 转头就往 workspace 设置文件里写了 chat.tools.autoApprove，从那往后它跑 shell 再不问你一句。你以为审批门还开着，其实它早被自己关了。
现有方案的不足：往期我们讲过"改码前影响面审批门"，那是教你建一道门；也讲过"README 毒文字隔离"，那是教你别让 agent 读到恶意内容。这两件都假设门和内容是你能事前摆好的。没人盯的是门本身的状态——今天主流工具的设置文件一改就生效、事后无痕，你不会收到"你的确认模式刚才被关了"的提醒。市面上的安全博客只会劝你别用 --dangerously-skip-permissions，可注入是绕过这个开关去改配置，跟你主不主观用 flag 没关系。
个人开发者怎么切：纯状态监控，不需要大模型。MVP 就是读各家 agent 的配置文件和运行日志，维护一张"正常权限模式"基线，发现跳到 bypass/auto 就弹通知。门槛是各家配置格式和环境变量名各写各的、版本一变就跟丢，得持续维护映射表；而且你只能报"状态变了"，不能替用户判断这次变化合不合理，否则容易误报成噪音。
参考线索：agentthreatrule.org 的 ATR-2026-02400（9月21日）；Hunt.io / Bob Diachenko 7月入侵复盘；多篇关于注入改写 chat.tools.autoApprove 设置的技术分析。
二、同一个模型写、又同一个模型审，等于没审
一句话是什么：一个本地小钩子，你让 agent 写完代码后，强制把 diff 发给另一个家族的模型（比如写的是 Claude 就换个非 Claude 系）用挑刺模式过一遍，只把两边意见不一致的地方列给你。
为什么是机会：9月17日 dev.to 一篇"我让两个 AI 互审代码 30 天，最后还是人 5 分钟抓到 bug"热转，戳破了一个幻觉——作者和审稿若是同一模型家族，审稿只会用更自信的语气把原来的盲点重新说一遍，而不是反驳它。同一份训练语料、同一套"什么叫干净代码"的直觉，写的时候漏了什么，审的时候照样漏。学术上这叫自纠正困难，Google DeepMind 早在 ICLR 2024 就指出过；这周 Codex 知识库和 Augment 的官方指南都在推"交叉模型对抗式 review"，GitHub 自己 9月11日也上了多 agent 集成评审（ensemble review）。
现有方案的不足：大厂工具（CodeRabbit、Augment）把这事做成了企业订阅，但门槛在那——个人小项目没人接这个单；自己搭又常常图省事用同一个模型"再审一遍"，等于没审。大家都在写"为什么要交叉审"的博客，却很少有一个一条命令、本地跑、把"谁和谁意见不一样"直接打印出来的小东西。真正的坑是：换个模型不够，得换个训练分布，同一公司不同版本常常共享盲点，这一点多数教程没说透。
个人开发者怎么切：调两个不同家族模型的接口，比对评审意见。纯接口编排加一次 diff，几天能出 MVP。门槛是跨家族评审要花两份调用费，得帮用户省着用（只在关键 diff 上跑）；而且它只能扩大覆盖面，拦不住两个模型恰好都漏掉的那类 bug，别包装成"AI 自审神器"。
参考线索：dev.to 9月17日"两个 AI 互审 30 天"实录；Augment Code 对抗式评审指南；GitHub Copilot 9月11日多 agent 集成评审更新。
三、Jev 把"裁判"变便宜了，但你的置信度没人校过准
一句话是什么：一个本地小账本，专门收你 agent 每次"打分/判断"给出的置信度（比如"我有 90% 把握这段没 bug"），再拿你事后点的"对/不对"对账，最后画一张图告诉用户：你嘴里说九成的时候，实际只对了几成。
为什么是机会：这周 Jev 是绕不开的词。它是前 OpenAI 研究员做的一套"概率化判断"模型——给定几个选项，一次前向传播直接吐出每个选项的校准概率，不生成废话文字，因此又快又便宜。Vercel AI Gateway 9月16日接了它，36氪 9月20日称它"刷屏了"，DeepEval 9月23日做了 Jev 当裁判的评测框架，GitLoom 9月22日老老实实写了"哪行哪不行"，npm 上 9月19日就冒出 jev-mcp，专门在任务收尾前给 diff 打分、核对完成声明。一个 arXiv 预印本则用 4B 小模型做 Jev 式判断，提醒大家概率看着漂亮，校准是另一回事。
现有方案的不足：现在所有人都在抢着"用"Jev——包成 CLI、包成 MCP、包成 HN 打分器，一周冒出来五六个。但很少有人停下来问：这套便宜裁判在你自己那批任务上准不准？往期我们讲过"agent 声称完成对账"，那是核它有没有干完；也讲过"报告数字溯源"，那是核数字从哪来。这件事是再往前一步：核它报的那个"把握"本身靠不靠谱。免费工具不替你做这件事。
个人开发者怎么切：这不是模型，是个记账加画点工具——攒你的判断样本，画可靠性曲线。纯本地、纯统计，不需要训练。门槛是校准需要你先攒一批带人工对错标注的样本，冷启动期没数据；而且它只告诉你"这个裁判不可信"，不会顺手把裁判换掉，定位要诚实。
参考线索：TypeSafe AI 的 Jev 及 Vercel AI Gateway 9月16日接入；GitLoom 9月22日实战复盘；arXiv JevLite 小模型校准预印本。
四、给 agent 一张能读、也能自己改的架构地图
一句话是什么：一份结构化的系统架构模型（C4 那一套：系统、容器、组件、代码四层），通过 MCP 喂给编码 agent，它动手前先看这张图定位自己该碰哪，改完代码再回来把图更新——图和代码一起演进。
为什么是机会：本周 Show HN 上冒出来的 Viaduct 把这件事做成了：一个 C4 建模工具，旁边挂着文档、接口契约、时序图，整体通过 MCP 直接喂给 Cursor 或 Claude Code。与此同时，skill 市场里"帮你画 C4 架构图"的技能这两个月一下冒出来好几个（Structurizr DSL 技能、c4-documentation 技能）。方向很清楚：agent 干活最大的成本之一是搞不清这个陌生代码库哪里是哪，与其每次让它现读现猜，不如给它一张现成的、机器能读的图。
现有方案的不足：现在的架构图都是"一次性"的——你让 agent 画张 mermaid，它画完就扔，下次开工又从零理解一遍。往期我们讲过"CLAUDE.md/AGENTS.md 与项目脱节检测"，那是查一段说明文字有没有跟代码走偏；这件事是它的正面：与其查一段散文有没有飘，不如直接维护一份结构化、可被 agent 双向读写的模型。图上每个组件都能挂上它对应的代码和契约，agent 不是在猜，而是在查。
个人开发者怎么切：C4 本身是成熟规范，Structurizr 有 DSL 参考实现，你要做的是把"agent 改完代码顺手回写模型"这层闭环和一个清爽的 MCP 接口。门槛是让 agent 准确地维护模型需要很强的约束，否则它会把图越画越乱；而且这适合有一定规模的项目，玩具项目反而用不着，得想清楚你服务谁。
参考线索：Viaduct（c4.quietgridlabs.com，C4 建模 + MCP server）；Structurizr 官方 DSL 实现；各类 C4 agent skill。
五、排了表的 agent 任务，谁确认它真的跑了
一句话是什么：一个轻量、自托管的心跳监控——你排了一堆"每天凌晨让 agent 跑一次"的任务，它负责盯每条任务到点有没有真的触发、退出码是不是 0，哪条静默没跑或者挂了，立刻在你常用的地方叫你。
为什么是机会：无人值守这件事这周成了标配。VS Code 1.137 上了 Automations，能给 agent 排任务；Cursor 的 Projects 能在你合上笔记本后继续在云上跑几周；GitHub 自家的实验让定时 agent 自己扫 issue 列表。结果就是大家手里开始攒一批"设了就忘了"的自动化。偏偏这类任务最阴的失败是静默失败——cron 没触发、token 过期、沙箱断网，都不会有人主动来告诉你。Show HN 这周一个叫 Sigabrt.dev 的 cronjob 监控（SSH 直连、TUI 界面）拿到近百个赞和三十多条评论，说明这个痛点是真的。
现有方案的不足：老牌的 cron 监控（healthchecks.io 一类）是给人写脚本用的，没考虑你现在跑的是一整个 agent 会话——除了"活没活"，你还想知道它这次到底跑成功没、结果落哪了。往期我们讲过"配额窗口长任务存盘点"，那是任务撞上限之后怎么接着跑；也讲过"残留孤儿进程清理"，那是跑完没退干净。这两件都不是"它这次到底有没有按表出发、成没成"。这条缝现在空着。
个人开发者怎么切：就是个心跳接收端加一张看板，自托管、SSH 直连、不要注册，MVP 一周能出。门槛是这事本身不算新、大厂监控服务很多，你的差异化得卡在"懂 agent 任务的退出语义"上——能识别"进程还在但卡住了"和"正常跑完"的区别，而不只是看个端口；而且它是个后台服务，你得一直维护着别自己先挂。
参考线索：Sigabrt.dev（Show HN，SSH TUI 心跳监控）；VS Code 1.137 Automations；Cursor Projects 云后台协调。
六、隔一周再回来，认不出自己让 AI 写的代码了
一句话是什么：一个"重新接手"工具——你离开某个 AI 写的项目一两周再回来，它扫一遍 git 历史和当时的会话记录，给你一页纸简报：现在哪块代码是干什么的、当时为什么这么设计、哪些是半成品还没收尾，让你和下一个新开会话的 agent 都能秒接上。
为什么是机会：V2EX 上 9月14日有人发帖，说"最近让 AI 写了个大点的项目，才隔一个星期天，居然把之前实现的方法忘光了"。这是这波 AI 编程很真实的一层痛：你让 AI 一口气写了一堆，当下都懂，隔一周代码和对话都凉了，你成了那个最不熟悉这个代码库的人。新开会话的 agent 更糟，它什么都不记得，只能重新读一遍几百个文件。
现有方案的不足：git log 能告诉你改了什么，会话记录躺在本地历史里，但这两样从没被拼在一起。往期我们讲过"长会话回溯找拍板"，那是在一段对话里往回找当初为什么拍板；这件事是隔了一段时间、站在代码库门口重新认路，对象和场景都不一样。现在没有任何工具在你"重新打开一个尘封项目"的那一刻，主动递上一份当前状态简报。
个人开发者怎么切：把 git 提交和本机会话日志做一次关联，生成一页给人看的导览。纯本地读取加一次汇总，不需要训练模型。门槛是"哪个模块对应哪次决定"的关联本身是启发式的，经常会对不上，得老实标"可能"；而且这种"回来一眼"的需求频率不高，想做付费得靠它顺手帮你把半成品清单也列出来，别只做一次性导览。
参考线索：V2EX t/1241873"隔个星期天把之前方法忘光"帖；V2EX 8月22日"修 bug 时悄悄删了无关代码"相关讨论。
把这六件事并排放，本期的主线比上一期又实了一步。第十期我们说问题开始长出"信任"的形状——你写出去的名字会不会被抢注、工具默认在传什么、agent 报的数字能不能溯源。这一期，信任的对象从"它经手的对外动作"变成了"它自己运行的那台机器和那套流程"：审批门是不是还开着、谁在给它的判断打分、这张地图有没有跟着代码长、你排的任务到底跑没跑。放权越快，这些"元层面"的检查就越不能靠自觉。
另一个信号值得记下：这周 OpenAI 把 GPT-6 的 API 价格永久砍了一半，便宜到可以放手让 agent 反复试错的日子近了。但便宜不等于可信——当一次试错几乎不花钱，"错了就再来"的代价从账单转移到了你对结果的判断上。Jev 这类便宜裁判、交叉模型评审、校准账本，本质都是在给"放手让它跑"配一副新的量尺。只是这副量尺现在人人都在抢着造，还没人负责教你怎么读刻度。对个人开发者来说，这种"造好了工具、缺了度量"的位置，通常就是几周内能切进去的缝。