今日精選 15 則 AI 技術新聞，涵蓋大廠動態、MCP 生態、Claude Code 工具鏈與資安漏洞。
產業動態
1. Google 限縮 Meta 的 Gemini API 存取配額
Alphabet 旗下雲端部門已無法滿足 Meta 對 AI 算力的大量需求，決定縮減其 Gemini 模型的存取上限。諷刺的是，Meta 本身已擁有自家前沿模型 Muse Spark，而競爭對手 Apple 卻正支付數十億美元給 Google 以使用 Gemini。此事件凸顯算力資源的稀缺性與大廠間複雜的商業博弈。
2. OpenAI IPO 傳延至 2027 年，Anthropic Mythos 5 獲華盛頓放行
根據最新報導，OpenAI 正考慮將 IPO 計畫延後至 2027 年，估值逼近一兆美元。同時，Anthropic 的 Mythos 5 模型已通過美國政府審查可對外上線，但 Fable 5 目前仍處於離線狀態；OpenAI 的 GPT-5.6 發布時程也同步面臨調整。AI 產業在監管與商業化之間的張力持續升溫。
3. Anthropic 控告阿里巴巴「蒸餾」Claude 能力，引發護城河爭議
Anthropic 指控阿里巴巴透過建立大量假帳號、與 Claude 進行無害互動的方式，系統性地提取模型能力並訓練競爭模型，而非透過竊取伺服器或走私晶片。此案引出一個價值千億美元的問題：面對中國以低成本縮短差距的策略，前沿 AI 的技術護城河究竟有多深？
MCP 生態系
4. MCP：想成為 AI 世界 USB 介面的開放標準
作者在打造 Agentic Radar 系統時，深刻體驗了讓 Gemini 2.5 同時串接 Supabase 與外部 API 的繁瑣配管工作，進而探討 Model Context Protocol 如何透過統一介面解決 AI Agent 與工具整合的重複性問題。文章以「AI 的 USB」比喻 MCP 的定位，適合初學者建立整體概念。
5. 用 Django + drf-spectacular 自動生成 MCP Server
如果你的 Django 專案已用 drf-spectacular 生成 OpenAPI schema，等同於已描述好所有 API 端點。本文示範如何將這份 schema 自動轉換成 MCP Server，讓 Claude 等 AI 助手直接操作你的 Django API，無需手動撰寫 MCP 工具定義。對已有 RESTful 後端的團隊來說是相當實用的捷徑。
6. 用 MCP 從 AI Agent 控制 ESP32 硬體
作者展示如何透過 MCP 將 ESP32 嵌入式裝置連接到 AI Agent，只需在 C++ 中宣告 dashboard widget，每個 widget 就自動成為 AI 可呼叫的工具。這篇文章讓「語言模型直接操控實體硬體」的概念從實驗室走向可複製的實踐，對 IoT 與 AI 結合的開發者極具參考價值。
7. 以 MCP 為 AI Agents 建構電子郵件基礎設施
傳統 Email API 多為單向（應用程式發送、人類閱讀），但 AI Agent 需要完整的通訊迴圈：發送、接收回覆、解析入站郵件為結構化資料、維護對話串。本文介紹透過 MCP 建構這套「Agent-native」電子郵件基礎設施的架構設計，適合需要 Agent 自主處理 Email 工作流的場景。
8. 我測試了 100 個 MCP Server，只有這 12 個值得安裝
MCP 生態系已爆炸性成長至近 20,000 個 Server，但大多數都是雜訊。作者花費大量時間在 Claude Code 環境中實際安裝、串接、壓力測試了 100 個，最終篩選出 12 個真正值得常駐在設定檔中的 Server，並說明哪些被移除以及原因。這是一份高信噪比的實踐型指南。
Claude Code 工具鏈
9. 讓 Claude Code 子 Agent 跑在 DeepSeek、Qwen 等任意模型上
作者長期研究 Claude Code 的多 Agent 工作流，發現最大痛點是：子 Agent 只能使用 Anthropic 自家模型，導致 API 成本快速累積。他開發了一套工具，讓 Claude Code 的 orchestrator 保持使用 Claude，但將子 Agent 的執行委派給 DeepSeek、GLM、Kimi、Qwen 等第三方模型，大幅降低批量任務的費用。
10. Everything Claude Code：60 個專用 Agent、232 個技能的生產工程平台
ECC（Everything Claude Code）是在 Anthropic 官方 Claude Code 之上疊加的超強化套件，包含 60 個專用 Agent、232 個技能、75 個指令，以及執行 1,282 項測試的安全掃描器，並支援 Codex、Cursor、OpenCode、GitHub Copilot 等多套 harness。對於想把 Claude Code 升級為完整工程平台的團隊，這是目前功能最完整的解決方案之一。
11. GitHub Copilot Agentic Harness 評測：對開發者意味著什麼？
最新評測聚焦於 GitHub Copilot 的 Agentic Harness 在效能與效率上的實際表現，並探討這對 AI 輔助開發的關鍵影響：Agent 如何在處理複雜任務時維持正確性，以及開發者在整合 AI 驅動工作流時需要注意的瓶頸。對於正在評估 Copilot 多 Agent 方案的團隊具有參考意義。
12. OKF：讓 Claude Code Agent 跨 Session 保留結構化記憶
每次新 Session 開始，Agent 就忘記上次的結論、重新發現 auth 流程、重讀相同檔案——這是許多開發者的日常痛點。OKF（Open Knowledge Format）提供一套結構化、可攜的記憶格式，讓 Agent 和整個團隊都能讀取，解決 AI 協作中「每次都要重新交接」的低效問題。
資安警示
13. Mozilla 研究：AI Coding Agent 可被乾淨的 GitHub Repo 誘導安裝惡意程式
Mozilla 0din 安全團隊揭露了一種新型攻擊手法：透過看似正常的 GitHub 儲存庫，誘騙 Claude Code 等 AI Coding Agent 執行惡意程式碼。攻擊者利用 Agent 過度樂於助人的特性，繞過直接的惡意指令檢測，讓 Agent「主動」安裝攻擊者控制的套件。這提醒開發者在使用 AI Agent 自動化安裝套件時需保持警覺。
14. 漏洞警報：Claude Code /copy 指令使用可預測暫存路徑，存在本機資訊洩漏風險
GHSA-4vp2-6q8c-pvq2 揭露 Claude Code 的 /copy 指令將回應寫入硬編碼的可預測路徑（/tmp/claude/response.md），且未做 UID 隔離、隨機化或 symlink 防護。該檔案以全域可讀權限（0644）建立，讓同機器的任何本機使用者都能讀取特權使用者的對話內容，也存在透過 symlink 攻擊寫入任意檔案的風險。建議盡快更新至已修補版本。
15. CVE-2026-58057：Flowise MCP 環境變數黑名單可透過大小寫差異繞過
Flowise 3.1.3 以前版本在驗證 Custom MCP stdio 環境變數時，使用大小寫敏感的字串比對。由於 Windows 環境變數名稱本身不區分大小寫，攻擊者只需將 NODEOPTIONS 改寫為 nodeoptions 即可繞過黑名單，執行任意 Node.js 選項。CVSS 評分 2.3（低危），但在可設定 Custom MCP 的認證使用者環境下仍具實際風險。建議升級至 3.1.3 或以上版本。