今日速览
Simon Willison 把过去半年的 LLM 进化压成五分钟讲完，对照看就知道我们已经穿过了"Coding Agent 从能用变成日用"这条门槛。同一天，HN 头条出现了 PyTorch Lightning 被供应链投毒、LinkedIn 暗中扫描 6000+ 浏览器扩展、Mozilla 公开反对 Chrome Prompt API——AI 浪潮的副作用集中爆发。Anthropic 这两天连下两步棋：吞掉 Stainless 把 SDK 生成握死，再跟 KPMG 签 27 万人级别的部署合约。国内开发者的话题则更现实——AI 写代码以后，前端转全栈、实习生过不过、TRAE 是不是国产唯一能打的 IDE，都在 V2EX 上吵到几十层楼。
1. Simon Willison · 五分钟讲完过去半年的 LLM 史
The last six months in LLMs in five minutes · Simon Willison
Simon 把他在 PyCon US 2026 的闪电演讲整理成了带注释的幻灯片。主线是"2025 年 11 月拐点"之后：前沿模型在 Anthropic / OpenAI / Google 之间换了五次手；Coding Agent 从"经常崩"变成"日常可用"；Pete Steipete 的 Warelay 改名 OpenClaw 横扫朋友圈，连 Mac Mini 都被买断货。如果只想看一篇近期 LLM 综述，这就是。
2. PyTorch Lightning 被供应链投毒
Shai-Hulud Themed Malware Found in the PyTorch Lightning AI Training Library · Semgrep / HN
Semgrep 的红队又抓到一个伪装得很像合法依赖的恶意包，劫持的是 PyTorch Lightning 的训练链。命名风格延续了去年那波"Shai-Hulud"沙虫主题攻击。AI 训练流水线现在是高价值目标，再加上模型权重、Token 在 CI 里到处飘——npm/pypi 那套依赖审计现在轮到 ML 团队补课了。
3. Mozilla 公开反对 Chrome 的 Prompt API
Mozilla’s opposition to Chrome’s Prompt API · GitHub / HN
Chrome 想把"调用本地 LLM"做成浏览器原生 API（window.ai.languageModel），Mozilla 在标准 issue 里给出明确反对：模型黑盒、行为不可预期、跨站指纹风险、还会绑死在某一家 vendor 的模型上。这条注定还要吵很久，但今天的关键是 Web 平台正在被迫面对"AI 能力到底属于 OS / 浏览器 / 站点谁"这个问题。
4. V2EX · AI 时代程序员被清楚地分成两类
AI 时代，程序员被清楚地分为了两类人 · V2EX
74 楼的讨论，分类标准从"会不会用 AI"吵到"愿不愿意把活让出去"再到"还能不能 hold 住系统"。比较有共识的是：能把 Coding Agent 当工具的人产出明显拉开，但拒绝使用的工程师并没像 2024 年大家预测的那样被立刻淘汰，因为系统设计、code review、生产事故响应这些工作 Agent 还是搞不定。北美/日本的华人工程师可以把这条看成国内一线工程师当下心态的样本。
5. V2EX · 实习生极度依赖 AI，要不要让他实习通过
实习生极度依赖 AI，要不要让他实习通过？ · V2EX
楼主的实习生几乎所有产出都让 AI 写，但代码能跑、文档也齐。Mentor 纠结的是：要不要因此判定"基础不扎实"。讨论里两派都很有道理——一派认为"会用工具就是新的基础"，另一派坚持"看不懂自己 PR 不能叫工程师"。这道题在日本企业里同样在跑，只是大家还不太敢摆到台面上讨论。
6. Publickey · VS Code 推出 Agent window 预览
VS Code、複数AIエージェントでの開発を容易にする新機能「Agent window」プレビュー公開 · Publickey
VS Code 1.120 把多 Agent 协作做进了独立窗口：每个 Agent 一个独立 session，BYOK 显式标识，跨窗口可以并行跑长任务。配合 Anthropic / OpenAI 这一波 Coding Agent 的提速，等于官方在告诉你"以后 IDE 里同时跑 3-5 个 Agent 是默认形态"。日本企业内系统改造的开发者可以重点关注 BYOK 控制面，合规更好交代。
7. Publickey · Node.js 26 把 Temporal 默认打开
Node.js、Dateに代わる日時処理「Temporal」がデフォルト有効化 · Publickey
折磨了 JavaScript 程序员二十年的 Date 终于要退场——Temporal 在 Chrome / Edge / Firefox / Node.js 26 全部默认可用。时区、跨日历、Duration 计算第一次有像样的标准答案。后端 Node 项目里那些 dayjs / date-fns 的依赖未来一两年内会逐步收敛掉，新代码可以直接押 Temporal。
8. Anthropic · 把 SDK 生成厂 Stainless 吞了
Anthropic acquires Stainless · Anthropic News
Stainless 是给 Anthropic / OpenAI / Cloudflare 等家自动生成各语言官方 SDK 的工具厂，OpenAPI → 多语言 SDK 这条流水线是它的核心资产。Anthropic 把它直接吃下，意味着 Claude 的 SDK / Connector / Skills 工具链从现在开始可以一家做全。开发者短期感受是 SDK 更新会更快、各语言一致性会更高，长期看 Anthropic 在 API 工程化层的护城河越来越像基础设施厂的样子。
9. Anthropic × KPMG · 27 万人级别的企业部署
KPMG integrates Claude across its core business and workforce of more than 276,000 in strategic alliance · Anthropic News
KPMG 全球 27.6 万员工要把 Claude 接进核心业务流。意义不在于具体合同金额，而在于这是 Big 4 里第一家把单一 AI 厂商写进战略联盟。配合 PwC / Gates Foundation / Blackstone 的近期合作，可以清楚看到 Anthropic 选择的不是 To C 战场，而是顺着审计、法律、咨询这些"高文档密度行业"往下扎根。
10. HN · Pu.sh — 400 行 shell 写出来的 Coding Agent harness
Show HN: Pu.sh – a full coding-agent harness in 400 lines of shell · Hacker News / Show HN
把整套 Coding Agent harness（工具调用、上下文管理、子进程隔离、文件 diff 应用）压进 400 行 bash。作者自己说写它是为了证明：在 Claude / GPT 这一波模型质量下，harness 的复杂度根本撑不起 LangChain / AutoGen 这种重量级框架。对于自己手搓内部 dev tool 的团队，这条值得对照阅读，至少能把"自己实现一个 Agent 框架"的心理门槛拉低很多。
编者按
今天的 meta-theme 是"Coding Agent 已经下场，配套的脏活开始浮上水面"——从 Mozilla 反对 Prompt API 的标准之争，到 PyTorch Lightning 被供应链投毒，再到 Anthropic 把 SDK 工厂买下来，都是同一个剧本的不同幕。必读两条是 Simon Willison 的半年史（拉时间线对照自己的认知）和 Anthropic 收 Stainless（理解未来一年 SDK 生态会被怎么洗）。GitHub Trending 今天页面渲染异常，没单独列条目，相关仓库在 Anthropic 的官方插件市场里都能找到。