本期聚焦兩項軟體安全議題：CISA 最新指令所反映的風險導向修補思維，以及現代程式開發代理與其代理框架（agent harness）的安全邊界。
CISA BOD 26-04：從漏洞嚴重度轉向實際風險
1. CISA 最新指令將修補決策的重點，從漏洞嚴重度或發現數量，轉向漏洞所處的實際風險情境。
2. 對聯邦政府資安團隊而言，僅依嚴重度排序已不足以完整反映漏洞對個別系統與環境造成的風險。
3. 漏洞被發現的速度已超過部分團隊的修補能力，使資安人員必須更精準地安排處置優先順序。
4. 指令呈現的核心方向，是在修補前納入風險脈絡，而非將所有高嚴重度發現視為完全相同的處理事項。
5. 這項轉變凸顯漏洞管理策略不能只追求降低發現數量，也需要評估哪些問題最值得優先投入修補資源。原文：https://ift.tt/tiqQ8eW
程式開發代理與代理框架的安全治理
6. 現代程式開發代理的安全範圍不只涵蓋語言模型本身，也包括環繞模型運作的代理框架。
7. 代理框架是一套由提示詞、工具、技能、MCP 伺服器及協調邏輯共同構成的生態系。
8. 評估程式開發代理風險時，需要將上述元件視為彼此連動的整體，而不是只檢視模型輸出的程式碼。
9. 工具與 MCP 伺服器是代理框架的一部分，因此代理可接觸的能力與整合介面也屬於安全分析範圍。
10. 代理的提示詞、技能與協調邏輯會共同影響其執行流程；建立安全框架時，需明確納入這些周邊構成要素。原文：https://ift.tt/8C2bsqz