开发者周报 260714
GPT-5.6、Meta 新模型发布，编码 Agent 曝安全漏洞，多门编程语言迎来重磅更新
slashslashdev·
⚡️ 动态
OpenAI 全量开放 GPT-5.6 三款模型
GPT-5.6 系列现已全平台开放调用，三款模型标识分别为 gpt-5.6-sol、gpt-5.6-terra、gpt-5.6-luna；计费标准为每百万输入/输出 Token：Sol $5 / $30、Terra $2.5 / $15、Luna $1 / $6，旗舰档位定价与 GPT-5.5 保持一致。新增程序化工具调用（programmatic tool calling）、Prompt 缓存、推理状态持久化、高算力推理档位及 Beta 多智能体编排功能。此前该系列自 6 月 26 日起仅向约 20 家经政府批准的合作伙伴限量预览，现已正式全量开放。（OpenAI）
AI 编码 Agent 暴露三类安全攻击
三类攻击均源于 Agent 无法可靠区分外部内容与执行指令。GhostApproval 利用软链接诱导读取工作区外文件并执行代码；GitLost 借助公开仓库 Issue 泄露同组织私有仓库数据；HalluSquatting 抢注 AI 易幻觉的包名或仓库名植入恶意代码。建议及时更新工具、锁定依赖来源，并避免直接执行 Agent 生成的安装命令。（Wiz）
Meta 发布 Muse Spark 1.1，并推出 Meta Model API
Meta Superintelligence Labs 发布多模态推理模型 Muse Spark 1.1，面向 Agent 场景，支持工具调用、Computer Use、代码生成和多模态理解，可处理 100 万 token 上下文。同步开放公开预览的 Meta Model API，定价为每 100 万输入 token 1.25 美元、每 100 万输出 token 4.25 美元，并提供 20 美元起始额度。API 兼容 OpenAI SDK（Chat Completions、Responses）和 Anthropic Messages 格式，已有应用仅需修改 Base URL 与 API Key 即可迁移。（Meta AI）
jscrambler 官方 npm 包被投毒，5 个版本被植入 Rust 信息窃取程序
下载量约 6 万的 jscrambler 官方 npm CLI 被推送 5 个恶意版本，推测维护者账号或构建流水线已遭入侵。恶意代码可绕过 --ignore-scripts，窃取浏览器凭据、CI 令牌、加密钱包，以及 Claude Desktop、Cursor 等配置。官方已发布修复版本，建议及时更新。（The Hacker News）
SQLite 明确不接受 AI 生成的代码贡献
SQLite 更新 AGENTS.md，明确不接受 Agent 生成的代码贡献，仍接受附带可复现测试用例的 Agent 漏洞报告。此外，由于大量低质量 AI 生成的漏洞报告，项目已单独建立 bug 论坛进行分流。（SQLite AGENTS.md）
💻 编程语言
TypeScript 7.0 正式发布，编译器改用 Go 重构，整体构建提速 8–12 倍
TypeScript 7.0 已完成编译器与语言服务全量 Go 重构，全项目构建速度提升 8–12 倍，大型工程编译耗时大幅缩减，内存占用同步优化。本次新增 --checkers、--builders 等并行编译控制参数，watch 模式更换为基于 Parcel 移植的 Go 文件监控器。该版本暂不对外提供编程 API，相关功能计划在 7.1 补充；开发者可安装兼容包实现 TS6、TS7 共存，适配各类前端框架与 ESLint 工具链。同时更新默认编译规则，强制启用严格模式，淘汰 ES5 目标与经典模块解析等过时配置。（TypeScript Blog）
Rust 1.97.0 发布：v0 符号修饰转正，Cargo 新增 Lint 级别控制
Rust 1.97.0 默认启用 v0 符号修饰（symbol mangling），Cargo 新增 Lint 级别控制，可将 Lint 配置为 allow、warn 或 deny，且不会导致构建缓存失效；同时新增整数位操作 API、ARMv8.6-A 特性支持，并将链接器 stderr 直接输出到终端。破坏性变更方面，pin! 宏不再执行 deref coercion，修正了自 Rust 1.88 起的错误行为。（Rust Blog）
ECMAScript 2026 规范正式获批
Ecma International 通过了 ECMAScript 2026 语言规范（ECMA-262 第 17 版）。新增 API 包含 Math.sumPrecise（高精度多量级数值求和）、Iterator.concat（惰性拼接迭代器）、Array.fromAsync、Error.isError、Map / WeakMap 的 getOrInsert 系列方法、Uint8Array 与 hex / base64 字符串互转能力、可读取原始片段的 JSON.parse 回调，以及 JSON.rawJSON；相关提案大多已在主流 JS 引擎落地，本次审定后正式成为语言标准。（InfoWorld）
🛠️ 开发者工具
Bun — Bun 核心迁移至 Rust，Rust 版进入 canary
Bun 核心由 Zig 全面迁移至 Rust：依托 Claude Fable 5 驱动并行 AI Agent，11 天完成 53.5 万行 Zig 代码迁移，合并 6778 次提交，全平台测试用例 100% 通过；采用双 Agent 交叉审查代码，累计修复 128 个历史 Bug，Linux、Windows 二进制体积缩减约 20%，内存占用大幅优化，本次 AI 迁移 API 成本约 16.5 万美元，人工重构预估需 3 名工程师耗时一年。当前稳定版 1.3.14 为最后一版 Zig 构建产物，Rust 重构版本仅开放 canary 预览通道，官方暂未推送正式 v1.4.0。
Orca — 并行智能体编排环境（ADE）
Orca 支持并行调度 Claude Code、Codex、Cursor、OpenCode 等各类 CLI Agent，各智能体独立使用 git worktree 隔离工作目录，工具会汇总多份输出并择优合并方案；内置 WebGL 终端、带设计模式的内嵌浏览器（点击页面 UI 即可把 HTML、CSS、截图一并传入提示词），原生对接 GitHub、Linear，支持 SSH 远程 worktree，配套移动端辅助应用。
OfficeCLI — 面向 AI Agent 的命令行 Office 工具套件
OfficeCLI 基于 C# 开发，单文件二进制部署，无需本地安装 Office，可完成 Word、Excel、PowerPoint 文件读写与自动化操作；工具会自动为已识别的编码 Agent（Claude Code、Cursor、Windsurf、Copilot 等）注入 officecli 能力，内置 HTML / PNG 渲染引擎，能把 .docx、.xlsx、.pptx 转为图片供智能体读取，形成渲染-查看-修复完整工作流。
Meetily — 可本地部署的离线 AI 会议记录工具
Meetily 采用 Rust 开发，所有数据本地处理、不上传云端；搭载 Parakeet / Whisper 实现实时语音转写与说话人区分，搭配 Ollama 完成本地会议摘要，适配 macOS、Windows 系统。
shadcn/improve —— 审计代码库并为其他 Agent 编写实施计划的 Agent skill
shadcn 发布的 Agent skill，专注于审计代码库并生成实施计划，而非直接编写代码。通过并行子 Agent 检查正确性、安全、性能、测试覆盖、技术债、依赖迁移、开发体验、文档等问题，每条发现均附带 file:line、影响、工作量和置信度，再由模型复核并过滤误报。生成的计划包含完整上下文、验证命令、STOP 条件和对应的 git commit，可交由低成本模型在隔离 worktree 中执行，最终由开发者审核并决定是否合并。
📚 推荐阅读
文章记录了如何借助编码 Agent，将早期 Java applet、网页和博客内容迁移到现代、可维护的代码仓库。除了完整的迁移过程，还总结了 Agent 在遗留项目改造中的适用场景、容易出错的环节，以及如何通过人工复核提升迁移质量。
Claude Code 与 OpenCode 的 Token 开销对比
作者对比了 Claude Code 与 OpenCode 的 Token 开销。Claude Code 在处理用户 Prompt 前会发送约 33,000 Token 的系统提示、工具定义等上下文，OpenCode 约为 7,000 Token；但在多轮任务中，Claude Code 因减少请求次数，整体 Token 消耗反而更低。文章还分析了 Prompt Cache 对成本的影响，以及两者在缓存策略上的差异。
文章认为，随着 AI 大幅降低代码生成成本，开发者的主要挑战正逐渐从“写代码”转向“理解代码”。围绕这一变化，作者分享了几种高效理解代码的方法，并讨论了在 AI Agent 深度参与开发后，如何通过更好的工具和工作方式保持对代码库的理解与掌控。
Happy Coding 👋
