上回说到单 agent + 工具调用就够八成场景，这周扑面而来的论文和 HN 帖子像是在打脸——大家都在拼了命往“可靠”和“可落地”上挤。OpenAI 那边化学和医疗两个垂直领域悄悄放了实弹，LangChain 把 Agent Builder 改名叫 Fleet 又发了一堆更新，HN 上几个开源项目摆明了是资深开发者的怨念产物。按我现在看，这周的主题是：从“能跑”到“可信”，差的不止一行代码。
记忆层还没解决，但大家开始认真了
Elastic 官方发了个帖子，说他们用 ES 搭了持久化 agent 记忆层，recall 跑到了 0.89。没提 precision，但 0.89 在 recall 上已经相当不错。不过底子注定了——不是端到端训练的东西，通用性得打问号。Cloudflare 那边更直接，给 AI agent 做了临时账户，按 session 隔离，用完了就销毁。我第一反应是“这不就是虚拟机的翻版吗？”但做出来的人说正经场景下很管用——比如代理商抓网页、调 API，不想给长期 token 又不想写复杂的 scoping 逻辑。问题在于：临时账户能覆盖多少工具？只适合短生命周期任务，长链路编排还是得靠更细粒度的策略。
HN 评论区有人提到“agent 记不住东西”才是真痛点，不是 chat 记录太长，而是跨 session 的长期记忆——比如记住了用户偏好，下次回来却忘了。这周 ArXiv 上有篇 UltraQuant，用 4-bit KV 缓存压缩来解决上下文超长的问题，但它的语境是 serving 端并发优化，不是 agent 本身记东西。方向对，但离“靠谱记忆层”还差一个实操验证。
策略执行终于有人做了论文工
这周 ArXiv 上有三篇值得落地工程师瞄一眼。
LedgerAgent 搞了个“结构化状态”，强迫 agent 在每个 turn 之后把当前 facts、identifiers、constraints 写进一个 ledger 里，然后根据 domain policy 去校验。说白了就是给 agent 加了个“必须填的表格”，你敢跳过某个字段就报错。听着糙，但确实能挡住那些凭空编造 payload 的情况。另一篇 Sovereign Execution Brokers 更硬核：他们论证“决策阶段不该拥有生产环境的写权限”，主张在 mutation 发生的那一刻必须经过证书绑定的授权点。这两篇合一起，就是“agent 可以随便想，但动手必须过安检”。我不信这套能 100% 防住 prompt injection，但至少给了个框架——比现在的“全委托给 LLM 判断”靠谱。
还有一篇 NRT-Bench，把 LLM agent 放到模拟核电站控制室做多轮红队攻击。听起来科幻，实际是在测 agent 在极端压力下会不会瞎操作。他们用的场景很具体：被攻击者层层诱导，绕开安全阀门。结果呢——没挂，但也没特别强。作者自己承认这个 benchmark 很早期。不过方向是对的：生产环境的安全不能靠 LLM 自觉。
OpenAI 悄悄在两个垂直领域放了枪
OpenAI 这周发的东西不多，但有两篇让我觉得值得单独聊。一个是 LifeSciBench，另一个是 AI 化学家。
LifeSciBench 是专家撰写的生命科学 benchmark，不是考模型记不记得化学分子式，而是看模型能不能处理真实研究决策——比如实验设计、数据解释、假设生成。OpenAI 说自己模型得分不低，但更关键的是他们愿意把 benchmark 开源出来。以后谁做 agent 搞药物发现，可以直接套这个跑分。
AI 化学家那条更直接：用 GPT-5.4 搭配 Molecule.one 的平台，半自主地优化了一个药物合成反应。论文里说 agent 自己设计实验、调用工具、分析结果、调整条件，最终把产率从 5% 提到 30%+。听起来像 PR 稿，但 Molecule.one 是做反应预测的老手，他们给出的结论是“这玩意能帮化学家少跑两个月路线筛选”。所以我认为这不是噱头——至少在有机合成这种工具链成熟的领域，agent 已经能当个初级研究员了。
至于 GPT-5.5 Instant 的健康回答改进，反而是最不惊艳的——靠更好的 reasoning 和上下文理解，然后找医生评审。这更像是补短板，不是技术突破。
HN 这周最实在的是 Ponytail 和 Polypore
HN 上高分的几个帖子我挨个扫了。TesterArmy 是 YC 新项目，用 agent 测 Web 和移动 App，类似的东西已经有几十家了，差异化没看出来。Agentic Resource Discovery 那个规范嘛，想法挺好但太早，社区还没发酵。
真正让我觉得“这作者是做过工程”的是两个开源项目。Polypore 说“agentic coding 不该只是一个 chat box 钉在 VS Code 旁边”——他们搞了个类似浏览器开发者工具的侧栏，agent 能直接读取文件树、git diff、终端输出，然后给出内联建议。不是新功能，而是新的交互模型。另一个 Ponytail 更毒：让 agent 模拟最懒的高级开发者，意思是“只做最少必要的事，不跑多余的 API，不写无谓的分析”。README 里写了句“你的 agent 每次回答都写一篇小作文，而 senior dev 只扔你一个 link”。精准吐槽。
还有个帖子在问“用 coding agent 导致技能退化怎么办”。底下一半人说“工具使人变笨你别用”，另一半说“你把 agent 当填空题来做，自己推逻辑”。我觉得这是真实焦虑——当 agent 帮你写八成的 boilerplate，你学不到结构设计，只会 prompt 调参。这不是 agent 的问题，是工程教育的问题。
几句零碎的
LangChain 把 Agent Builder 改名叫 Fleet，同时发了 Deep Agents v0.4。名字好不好另说，但说明他们觉得光搭一个 builder 不够，还得管编排和部署。我猜这是对 Swarm 0.2 的回应——大家都在抢“编排”心智。
CRAX 那个安全 RL benchmark 论文，作者抱怨现有 3D 仿真跑太慢。他们搞了个轻量级的快速仿真，但真实度肯定有牺牲。安全强化学习的问题从来不是速度，是 sim-to-real 的鸿沟。用快仿真测出来的 safety 在真机上能有几分，我不乐观。
最后，这周没看到什么突破性的 agent 架构论文。Contagion Networks 那篇讲偏见传播挺有意思，但还在理论阶段。八爪鱼架构那篇 blog 倒是有实操价值——把 agent 拆成 coordinator + specialist 几层，有点像微服务里的 BFF 模式。如果有兴趣可以看看，但别被名字唬住。
本周就这样。下周再聊。