文章索引
記錄系統設計、AI Agent 工作流，以及實際專案裡值得保留的技術取捨。
npm Trusted Publishing 支援 dist-tag：把標籤維運權限另行驗收
npm Trusted Publishing 新增 opt-in dist-tag 權限。拆開平台授權與自訂 tag 白名單，規劃 OIDC 標籤維運、備援憑證盤點及發布管線的驗收。
GenOffice 暫存檔漏洞：MCP 的 HTTP token 保護不到共享目錄
CVE-2026-108582 指向 GenOffice HTTP MCP FileStore 的本地權限。釐清共享暫存目錄、umask、不同 UID 與容器掛載條件，建立不靠猜測的文件隔離驗收。
Rollup 4.64.5 修好間接 await 循環，build 成功仍要驗證初始化
用 Rollup 官方回歸案例比較 4.64.4 與 4.64.5：間接等待 dynamic import 如何讓 shared chunk 回指尚未完成的入口，以及升級後應驗收哪些執行行為。
Grok Bot 額度治理：把省 Token 技巧落實成喚醒、委派與成本護欄
從鐵柱 AGI 的 Grok Bot 省額度指南，拆開週用量、外部執行池與任務總成本。用事件去重、委派契約與執行前預算檢查，驗證省下的額度沒有變成另一張帳單或更多返工。
SonicWall SMA1000 要加速修補，入侵判定仍須自己的證據
CVE-2026-102255 的修補版本已公布，Previdian 也觀察到疑似利用嘗試。把廠商公告、蜜罐觀測與自身入侵證據分開，建立 SMA1000 資產盤點、升級驗收與事件調查的結案條件。
Deno Deploy 六個月後停運，遷移驗收要包含資料回滾
Deno 團隊加入 Cloudflare 後，Deploy 停運與 runtime 維護各有期限。用依賴盤點、Webhook 行為測試、單一寫入來源與退出條件，規劃可驗收的遷移，並釐清 celld／workerd 自架方向的限制。
Prime Agent 改寫 Rust：先固定驗收行為，再擴大 Agent 平行度
Prime Agent 公開 Rust 重寫與差異測試流程。本文把啟動效能、行為一致性與執行權限拆開驗收，提供可執行的合成契約檢查，避免用 Agent 數量或啟動倍數代替重寫品質。
Claude Science 補全天圖之後，每個預測像素仍需要使用限制
全天紫外線圖整合觀測與統計預測，完整覆蓋不代表全面量測。本文釐清 Claude Science 與回歸模型的分工，從來源權重、空間驗證及解析度限制，設計補值資料的可追溯契約。
Splunk MCP 漏洞揭露：工具目的地必須與執行者憑證分開授權
CVE-2026-76286 涉及 Splunk MCP Server 自訂 API 工具把執行者 token 送到設定的 URL。本文釐清管理與執行權限、1.2.1 修補範圍，並提出目的地、憑證與工具版本的驗收契約。
OSS Scanner 送來漏洞之後，維護者需要一份驗證契約
Anthropic 開放未經人工審查的開源漏洞掃描報告。本文拆解 85／97 的適用範圍、重現與修補的不同責任，提出維護者可採用的報告狀態、威脅前提與停止規則。