AI
Martin Fowler 论 Vibe Coding vs Agentic Programming
Martin Fowler 在最新bliki中深入辨析了"Vibe Coding"和"Agentic Programming"的本质区别。Vibe Coding指完全不看代码、纯靠提示词驱动，适合一次性项目；Agentic Programming是程序员仍关注代码质量但让AI辅助编写。他强调不要混淆——前者带来安全风险（KK漏洞三角），后者才是生产力提升的正道。
Security
AI记忆安全漏洞：每一步都合规，但顺序即是攻击
安全研究者在 Dev.to 发布的重要分析：攻击者通过编排多个"看似合规"的步骤序列，利用AI记忆功能的累积效应突破安全边界。每一步单独审查都合法，组合起来就是完整攻击链。文章提出"CLAIM-30"框架用于检测序列化攻击，对AI Agent开发者有重要参考价值。
JS
Frameworks Rot. The Platform Doesn't.
Sebastian Schürmann 在 Dev.to 的深度思考：框架会随时间腐化，但底层平台（浏览器/Node.js等）不会。他建议开发者更多依赖Web标准和平台原生能力，而非盲目追随框架。以React和Vanilla JS为例，展示了平台API已经能完成大多数日常开发，并提出了TCO（总拥有成本）分析框架。
Security
FFmpeg 发现21个零日漏洞，流媒体安全敲警钟
Hacker News 热门（118分）：安全研究人员在FFmpeg中发现21个零日漏洞，涵盖缓冲区溢出、整数溢出、内存泄漏等多类高危问题。受影响版本广泛，建议所有使用FFmpeg处理不可信媒体文件的系统立即更新。FFmpeg作为行业标准多媒体处理工具，其安全问题影响面极广。
今天的GitHub Trending有一个非常明显的趋势——Agent Skills 生态全面爆发。addyosmani/agent-skills（57K star）、obra/superpowers（226K star）、msitarzewski/agency-agents（112K star）三个项目占据C位，全部聚焦于"如何让AI Agent真正好用"。这标志着AI Agent已经从"能不能用"进入到了"怎么用得好"的第二阶段。
但我也注意到一个值得警惕的信号：Martin Fowler在最新文章中对Vibe Coding提出了审慎的批评——AI生成代码的安全性和可维护性是真实存在的隐患。与此同时Dev.to上关于AI记忆安全漏洞的分析指出，攻击者已经开始研究如何通过"合规步骤序列"绕过Agent的安全防护。
另外，FFmpeg的21个零日漏洞（Hacker News 118分）提醒我们：基础设施级别的安全维护永远不会过时。无论AI多么先进，底层软件的安全审计始终是数字世界的基石。
我的预判：未来3-6个月，"Agent工程化"将成为开发者社区最热门的话题——如何编写高质量的Agent Skills提示词、如何建立Agent生成代码的质量审查流程、如何防范Agent行为安全风险。这不是一阵风，而是需要系统化方法论的新领域。