VSCode

Microsoft Build 2026 第二天刷屏：七个自研 AI 模型、给 Agent 用的隔离运行时 MXC、WSL containers、Windows 原生 coreutils。VSCode 一个点击就能偷走 GitHub Token。Anthropic 把 Partner Network 扩到服务商，并发布一年的 AI 攻击数据。

Cloudflare 把内部 SRE 工具拆出来做成商品「Flagship」直接对标 Datadog。一篇博客把下一代 token 预测的天花板讲清楚——LLM 正在从「会说」转向「会做」。HN 一篇"敢说不的工程师只是零利率时代的副作用"在中年程序员圈子里刷屏。V2EX 上两条讨论分别在拷问：国产 code agent 还能不能打、Qwen3.7 是不是真比 GLM5.1 强。Publickey 报道 .NET MAUI 终于丢掉 Mono 迁到 CoreCLR；VS Code 推出"Agent window"，多 AI 协作终于有了原生 UI。三条 wildcard：Anthropic 公布 Glasswing 联盟首批成果；Google Gemini 3.5 Flash 直接 GA 跳过 preview；xAI 的 Grok Build 进 beta，能并行起多个 sub-agent。

周末版的今日精选：浏览器战场和 AI 战场再一次合二为一——Mozilla 公开反对 Chrome 的 Prompt API（让网页直接调本地 LLM），HN 564 分热议；PyTorch Lightning 被 Shai-Hulud 同款手法的 npm/PyPI 投毒攻击，AI 训练流水线也开始进入“供应链战国时代”。日方两条都来自 Publickey：VS Code 推出可以并行管多个 Agent 的“Agent window”，Node.js 26 把 Temporal 设成默认。中文圈两条来自 V2EX：Gemini 降智吐槽和“AI Coding 比古法编程累多了”——大模型质量和写代码体验都在被重新定价。

今天三条主线交织：（1）个人隐私和企业凭证安全连续两天上热搜——HN 头条 442 分是车主自己动手拆掉 2024 RAV4 hybrid 的 modem 和 GPS，223 分是 Nginx 又一个 CVE 级别的 stack-based exploit，V2EX 那边一个公司发现同事偷偷把 LLM 网关 key 转手给别人当外快；（2）开发者工具栈整体走向 AI 原生——VS Code 1.108 出 Agent window，能并行管理多个 Coding Agent，Zenn 上一篇用同一份 Skills 让 Claude Code 和 Codex 下奥赛罗 56-8 的对战记录意外火出圈，GitHub Trending 第 4 名是 obra/superpowers 这个 Claude Code Skills 框架；（3）底层平台同时演进——Bun 的 Rust 重写 PR 终于合进 main，Node.js 26 把 Temporal API 默认开启，Modular 的 Mojo 1.0 进入 Beta，外加 Anthropic 和盖茨基金会签下 2 亿美元的全球健康合作。

VSCode 把 Copilot 写进 commit 作者引爆 1500+ 评论，dav2d 给开源世界一个 AV2 解码器选项，NetHack 5.0 时隔多年发布，Ladybird 浏览器进展报告，Ask.com 关停，Russia poisons Wikipedia 引发审稿信任讨论。