文章面向不懂安全的小白开发者，讲解用 AI 做 Vibe Coding 后上线前必须做的安全验收。核心是守住机密性、完整性和可用性：防止用户资料越权访问、余额并发透支、支付重复入账等漏洞。作者给出上线前七项最低验收基线，强调先写下产品安全不变量规则，再让能读取代码并运行测试的编程 Agent 按流程执行检查，并提供三组按顺序使用的 Prompt：确认规则、带证据检查、修复后复测验证。还提醒外包和低代码项目只认可附证据的复查结果，工具只是手段，实际测试和证据才是安全保证。
文章以微软和 Uber 的 AI 编程 Token 成本失控为引子，指出编码 Agent 的成本大头不在写代码，而在用文本搜索定位需要修改的位置。文本搜索存在三种失效场景：名称匹配过多、同名不同义、以及结构性关联无词可搜。解决方案是将代码库建模为图结构（类、方法、接口为节点，调用、继承等为边），让 Agent 直接进行结构化查询。实测显示该方法在四语言的六个任务中全部降低成本，最高降 36%，Sonar 的 Vortex 产品即基于此思路。
本文系统讲解如何编写和维护 Claude Code 的 CLAUDE.md 与 Codex 的 AGENTS.md 等长期指令文件。核心观点是：规则越多 Agent 反而越容易跑偏，指令文件应只保存 Agent 无法从代码推断的隐性知识。作者提出先做减法（三问：能否从项目找到、是否多数任务都用、是否长期成立），再做加法（五个问题提取业务规则、固定入口、联动关系、完成标准和权威资料），并给出内容分流表、最小模板、双工具共用一份文件的方案、加载验证方法、修剪维护节奏，以及一段可直接使用的审计提示词。
本文记录了 AGI House 举办的一场关于前沿 AI 研究的晚宴讨论。参与嘉宾包括来自 OpenAI、Google DeepMind、Meta 及斯坦福等机构的顶尖研究人员与投资人。讨论重点从单纯的模型规模扩展转向系统化智能，核心观点包括：机器人仿真即将迎来类似 LLM 的突破时刻、智能将从目前的串行处理转向并行处理、AI 代理（尤其是编程 Agent）可能是通向 AGI 的路径，以及评估体系的滞后正成为新的瓶颈。
