本期 Agent 動態聚焦四條主線：AI 程式開發開始進入大型正式環境，安全邊界從提示詞延伸到網路、資料庫與工具權限，企業持續補齊測試、成本與治理能力，而個人型 Agent 也正加速走向消費市場。
AI Agent 完成高流量服務的 Go 語言重寫
Checkly 分享以 AI Agent 將既有 Node.js 服務重寫為 Go 的案例；該服務每日處理 9,200 萬則訊息，文章標題並稱遷移過程達成零事故。這類案例顯示，Agent 輔助開發已從產生零散程式碼，逐步走向具明確驗證條件的大型重構與正式環境遷移。
自癒式 CI 強調診斷與受控修復
自癒式 CI 的重點不只是讓 Agent 自動修改程式碼，而是先判斷失敗來自程式缺陷、不穩定測試或平台問題，再依權限與風險採取行動。對工程團隊而言，真正可落地的設計仍需要保留變更審查、執行紀錄與人工核准機制。
LLM 測試從固定回傳值走向行為驗證
針對 LLM 應用的 pytest 測試，單純讓 MagicMock 回傳固定字串，無法重現 SDK 的物件結構，也難以確認模型實際收到哪些訊息與工具定義。新的測試思路是提供貼近真實 API 介面的 fixture，同時記錄呼叫內容，讓團隊能驗證 Agent 的提示、工具使用與輸出處理流程。
沙箱安全取決於網路出口與供應鏈
GitLab 警告，將 AI 程式開發 Agent 放進沙箱，不代表風險已被完整隔離。若沙箱仍可連線至存在漏洞的套件服務或其他內部資源，Agent 可能透過網路路徑突破原有邊界；因此防護範圍必須涵蓋出口控管、服務修補、憑證隔離與完整稽核。
多 Agent 攻擊把入侵流程壓縮到數小時
Google 威脅情報團隊指出，攻擊者曾利用多 Agent AI 框架，在不到六小時內竊取數千組憑證。這項案例凸顯 Agent 不只協助分析，也能串接偵察、嘗試與資料蒐集等步驟，使資安團隊必須重新評估偵測速度、憑證保護與異常自動化行為的告警門檻。
資料庫唯讀權限不能只靠提示詞
要求 Agent「只能執行 SELECT」並不是可靠的資料庫防線，因為模型輸出具有機率性，也可能受到提示注入影響。較穩健的做法是在資料庫帳號、代理層或工具介面直接限制可執行操作，讓唯讀政策成為系統能力，而不是依賴 Agent 自行遵守的文字指示。
Agent 需要專屬資安遙測
傳統應用程式日誌通常只能呈現 API 呼叫與錯誤，未必能回答 Agent 為何選擇某項工具、取得哪些上下文，或如何串接多個合法動作。Agent 專屬遙測應補上決策軌跡、工具參數、權限使用、外部輸入來源與執行結果，才能支援事件調查及治理。
熔斷器成為高風險工具呼叫的最後防線
一篇工程案例以缺少租戶篩選條件的刪除指令說明：Agent 產生的 SQL 即使語法正確，也可能造成跨租戶影響。熔斷器可在工具真正執行前檢查作用範圍、操作類型與異常規模，並在超出政策時拒絕或要求人工核准。
企業開始追蹤每位客戶與功能的模型成本
llm-agent-metering 提出以輕量 HTTP Proxy 統一標記 OpenAI、Anthropic 與 Azure 的模型支出，並依客戶或功能統計成本及設定帳戶額度。當 Agent 能自主反覆呼叫模型與工具時，這類細粒度計量有助於找出成本來源，並在超額前建立技術性限制。
Meta 推出個人型 Agent Muse
Meta 發表面向 18 歲以上使用者的個人 AI Agent Muse，應用情境包括管理行程、協助購物，以及把長期目標轉換成行動計畫。產品強調安全與隱私，也反映消費型 Agent 的競爭焦點正從對話品質，轉向能否安全地代表使用者跨網站與 App 執行任務。
Agent 能力供應鏈成為新的維運課題
開發者會從公開儲存庫安裝大量 Agent 技能、指令與客製設定，但這些內容往往分散在使用者設定檔、應用程式目錄與程式碼庫。建立可追蹤來源、版本與更新狀態的上下文供應鏈，有助於降低設定漂移、相依性失控及不受信任內容進入 Agent 執行環境的風險。
本期觀察：可靠性已取代展示效果成為核心
本期訊號顯示，Agent 工程正在從「能否完成任務」進入「能否受控、可測、可查與可計費」的階段。正式導入時，團隊需要把權限限制、網路隔離、契約測試、成本上限、資安遙測與人工核准視為同一套執行架構，而非上線後才補上的周邊措施。