开发者周报 260623

本期看点：TypeScript 7.0 RC 正式发布，编译器移植至 Go 后类型检查速度提升约 10 倍，是近年语言工具链最受关注的里程碑；Anthropic 最新旗舰模型 Fable 5 被美国政府出口管制令强制下线，仍处于暂停状态，政府介入 AI 模型可用性属历史先例。

⚡️ 动态

Anthropic Claude Fable 5 与 Mythos 5 因美国出口管制令全球暂停访问

Anthropic 于 6 月 9 日发布 Claude Fable 5（定价 $10/$50 per M tokens，1M token 上下文，128K 输出），上线不足 72 小时后，于 6 月 12 日下午 5:21 ET 遭美国政府出口管制指令强制暂停。据报，NSA 在红队演练中认定 Mythos 5 可自主突破绝大多数机密系统；Anthropic 则公开表示政府仅凭口头证据，且涉及极窄的越狱场景。截至 6 月 22 日两款模型仍处于下线状态，现有 API 用户须回退至 Claude Sonnet 4.6 或 Opus 4.8。（Fortune）

Node.js 全线安全更新，一次性修复 12 个 CVE

6 月 18 日同日发布 v22.23.0、v24.17.0、v26.3.1，覆盖所有受支持发布线，共修复 12 个 CVE（含 2 个 HIGH）。其一是 WebCrypto 的 subtle.encrypt() 处理 2 GiB 整数倍输入时整数溢出崩溃（CVE-2026-48933），可被远程触发 DoS；其二是 TLS 主机名校验缺陷（CVE-2026-48618），Unicode 点号分隔符处理不一致，可能绕过 TLS 通配符证书验证，影响多租户 SaaS 身份校验。同步升级 OpenSSL 3.5.7、undici、nghttp2 1.69.0。建议尽快升级到对应补丁版本。（Node.js）

Chrome 6 月 30 日彻底关闭 Manifest V2，uBlock Origin 等主流扩展正式失效

Google 确认 Chrome 150（6 月 30 日发布）将移除 ExtensionManifestV2Disabled 标志——这是 MV2 扩展最后一道兼容开关；Chrome 151（7 月）将进一步清除所有剩余 MV2 标志。受影响扩展包括 uBlock Origin 等大多数传统广告拦截器，uBlock Origin Lite（MV3 版）功能受限，Firefox 则明确继续支持 MV2。维护 Chrome 扩展的开发者：若仍在 MV2 清单上，6 月 30 日前须完成 MV3 迁移，否则扩展对用户静默停用。（9to5Google）

本周中国开源编码模型扎堆：Kimi K2.7 Code 与 GLM-5.2 集中发布

6 月 12–13 日，两款中国开源编码方向模型接连发布：

• Kimi K2.7 Code（Moonshot AI，6 月 12 日）：1T 参数 MoE 架构（激活约 32B），256K 上下文，相比 K2.6 在 Kimi Code Bench v2 上提升 21.8%，推理 token 用量减少约 30%；Modified MIT 许可证，与 vLLM/SGLang/KTransformers 兼容，API 定价 $0.95/$4.00 per M tokens。
• GLM-5.2（智谱 AI，6 月 13 日）：开放权重，在编码与 Agent 任务上相比 GLM-5.1 有显著提升，主打长程推理能力。

（MarkTechPost / Kimi K2.7）

xAI 本周两更：Grok 4.3 登陆 Amazon Bedrock GA，Grok Imagine Video 1.5 正式上线

6 月 15 日，Grok 4.3 在 Amazon Bedrock 正式 GA，这是 xAI 首次进驻 Bedrock，1M token 上下文，与 Anthropic 和 OpenAI 并列成为平台上三家独立 AI 实验室。同期，Grok Imagine Video 1.5 也上线 Imagine API（含 grok.com 和 iOS/Android App）：6 秒 720p 视频生成从 40+ 秒缩至约 25 秒，新增 Projects、多 Agent 和搜索等工作流能力；API 新增优先调度（text/image/video 推理均支持），按使用量计费。（xAI Docs）

OpenAI：GPT-5.2 系列 6 月 12 日全面退出 API，Samsung 全球 12 万员工上线 Codex

两件并行发展：API 端，GPT-5.2 Instant、Thinking、Pro 已于 6 月 12 日彻底下线，使用旧模型字符串的 API 调用须更换至 GPT-5.5 对应端点；GPT Image 旧模型另收废弃通知，计划 12 月 1 日从 API 移除。采用端，6 月 21 日 OpenAI 宣布 Samsung Electronics 在全球 DX 事业部（Galaxy 手机、消费电子）及韩国全体员工中部署 ChatGPT Enterprise 和 Codex，共 12 万余人，是 OpenAI 迄今最大单笔企业落地；Codex 全球周活超 500 万用户，Samsung 韩国区自 2 月以来 Codex 周活增长约 800%。（OpenAI Model Notes、OpenAI Blog）

GitHub Agentic Workflows 进入公测，GITHUB_TOKEN 原生驱动推理型自动化任务

GitHub Agentic Workflows 允许通过内置的 GITHUB_TOKEN 在不额外编排的情况下运行基于推理的自动化任务。同期 GitHub 新增两款 GitHub-hosted runner 镜像：Ubuntu 26.04（x64 和 arm64）及 Windows 11 arm64（含 Visual Studio 2026），均进入公测；GitHub CLI v2.94.0 新增 gh discussion 命令组，支持直接在终端列出、查看、创建和评论 Discussions。（GitHub Changelog）

💻 编程语言

TypeScript 7.0 RC 发布，编译器移植至 Go，类型检查速度约提升 10 倍

6 月 18 日，TypeScript 7.0 RC 登陆 npm。这是 Go 语言编写的新编译器（tsgo）首次进入主线：整个 TypeScript 代码库从 TypeScript 移植至 Go（移植非重写，类型检查语义完全兼容）。性能提升约 10 倍——约一半来自原生代码（绕过 V8 JIT 和 Node.js 启动开销），约一半来自此前无法实现的并行化。以 VS Code 仓库（约 150 万行）实测：类型检查从 77.8 秒降至 7.5 秒（提升 10.4×）。大型 monorepo 的多分钟 typecheck 将变为个位数秒。RC 在经过一年多预发布测试后被认为适合生产评估，正式 GA 预计在 RC 约一个月后。（TypeScript Blog）

Go 1.27 RC1 发布，正式支持泛型方法与 struct literal 语法扩展

6 月 18 日，Go 1.27 RC1 发布，正式版预计 2026 年 8 月。核心语言变化：泛型方法正式支持，方法声明可独立声明自己的类型参数，让库作者在特定类型命名空间内定义泛型函数（接口方法不适用）；struct literal 语法扩展，键可以是任意有效字段选择器，不再仅限于顶层字段名；函数类型推断泛化，泛型函数赋值给匹配函数类型的变量时，所有上下文均可推断。构建工具新增响应文件（@file）解析支持。（Go.dev）

🛠️ 开发者工具

Cursor
Cursor 6 月更新密集：Automations 引入常驻 Agent，支持 /automate 指令以自然语言创建工作流，扩展 GitHub 和 Slack 触发器，云端 Agent 还支持 computer use 生成 demo 或构建制品；Auto-review 上线，利用上下文分类器将低风险操作与高风险操作分级处理，Bugbot 平均审查时间从约 5 分钟降至约 90 秒（提速 3 倍以上），成本降低约 22%，每次平均发现 bug 从 0.56 增至 0.62；SDK 新增 custom stores、custom tools 和 auto-review flows，将 Cursor 从补全工具变为可编程 Agent 平台；Enterprise 版新增多团队统一管理（各自独立的安全、预算、功能控制）。

GitHub Copilot Desktop App + Copilot SDK
GitHub 本月双发：Copilot App（6 月 17 日 GA）是独立桌面应用，专为管理和审查编码 Agent 会话设计，现有 Copilot Pro/Pro+/Business/Enterprise 用户均可安装；Copilot SDK（6 月 2 日 GA）提供稳定生产级 API，支持 Node/TypeScript、Python、Go、.NET、Rust、Java，将 Copilot 的 Agent 运行时（规划、工具调用、文件编辑、多轮对话）嵌入自有应用；GA 版新增 Custom Tools 注册和 MCP 服务器连接支持。

VS Code 1.125
主要变化：集成浏览器支持在远程连接下安全浏览网页，无需离开编辑器；Model Providers 功能可从 Marketplace 发现并安装额外模型；Copilot Autopilot 默认开启，Agent 会话可在后台持续运行；扩展更新等待时间可自定义；Enterprise 用户可通过设备管理工具统一下发 Copilot 配置。

Bumblebee
Perplexity AI 开源的只读供应链扫描器，专为 incident response 场景设计——当某个 advisory 公布后，可快速确认哪些开发者机器存在匹配的包。单一 Go 静态二进制、零外部依赖、Apache 2.0；覆盖 npm/pnpm/Yarn/Bun、PyPI、Go modules、RubyGems、Composer、MCP 服务器配置、编辑器扩展和浏览器扩展；三种扫描深度（baseline/project/deep）。核心设计原则：绝不执行 install scripts，从根本上规避扫描过程中的供应链触发攻击。

Eve
Vercel 开源的 TypeScript Agent 框架。核心理念是"Agent 即目录"：每个能力映射为文件系统中的一个文件夹，天然可读、可扩展、可运维；内置持久执行、沙箱、审批流、连接器和 Evals；开箱支持 Slack、GitHub、Snowflake、Salesforce、Notion、Linear 集成，扩展方式为 OAuth 或 API。Apache-2.0 许可证，npx eve@latest init my-agent 快速初始化；Vercel 自身已在生产中运行 100+ 个 Eve Agent。

Epiq
本地优先的 Git 原生 issue tracker，TUI 界面（vim 键位）加可选 Web GUI。所有状态以事件溯源模式存储为追加写的用户级事件文件，不修改共享状态行，从根本上消除 Git 合并冲突；通过 Git 独立 worktree 和状态分支实现分布式协作，无需中心服务。内置 MCP 集成，AI Agent 可直接操作本地 Epiq 实例。MIT 许可证，TypeScript 编写。

databow
Rust 编写的命令行数据库查询工具，通过 ADBC（Arrow Database Connectivity）驱动支持任意数据库。内置交互式 SQL shell（命令历史、语法高亮）、动态宽度表格输出，查询结果可导出为 JSON、CSV 或 Arrow IPC 文件；--profile 支持多连接配置。性能开销极低，适合在脚本和 CI 中使用。

kage
将任意网站"影子克隆"为可离线浏览的本地副本，同时剥离所有 JavaScript（<script> 标签、on* 事件处理器、javascript: URL 全部移除）。工作方式：用 headless Chrome 渲染每个页面，等待 DOM 稳定后快照，再将 CSS、图片、字体重写为本地相对路径；可将镜像打包为单一 ZIM 归档（Kiwix 格式）或自包含的可执行二进制文件。适合文档归档、内网部署和安全审阅等场景。

📚 推荐阅读

The AI Engineering Report 2026: Ten Takeaways
一篇对 AI 工程师当前实际工作状态的综合梳理，覆盖 Agent loop 设计模式、Evals 方法论、多模型编排实践，以及 AI 介入后传统软件工程流程的具体变化。从真实产品团队视角提炼出 10 条可操作结论，有代码示例和工具推荐，不依赖 benchmark 排行榜。lobste.rs 社区反馈认为与实际工作高度一致。

When a Government Pulls an AI Model: What the Fable 5 and Mythos 5 Suspension Means for Security Teams
本文从安全工程角度拆解 Anthropic Fable 5 被政府强制下线事件的影响：覆盖供应链风险视角（API 提供方可被监管机构单方面中断）、企业 AI 治理（如何设计 fallback 模型和供应商多元化策略），以及开发者 incident response 应对步骤。结论聚焦于"如何让关键 AI API 依赖更具韧性"，实操性强。

*内容推荐、读者反馈或勘误，可直接回复本邮件反馈。❤️