后记 · 术语表 · 项目索引 · 参考文献
关于索引。 本书不做传统的主题索引，用三张表替代：A 的术语表（按词查它在哪一章定义）、B 的项目索引（按项目查它在哪几章提供了证据）、以及前言《如果你已经有一个，想找问题》的症状查表（按你遇到的现象查该读哪一章）。要按概念找内容，从这三张表进。
A. 术语表
Section titled “A. 术语表”全书统一用词。首次出现处负责定义，此处汇总。中文译名优先，英文原名附后。
| 中文 | 英文 | 定义 | 定义章节 |
|---|---|---|---|
| 执行框架 | harness | agent 系统里除模型之外的一切：代码、配置、执行逻辑、工具链、沙箱、上下文管理、恢复机制、安全边界 | 第 1 章 §1.1 |
| 代理循环 | agent loop | 一段管一次运行内部控制流的进程内代码：调模型 → 解析工具调用 → 执行 → 回填 → 判断是否继续 | 第 2 章 §2.1 |
| 会话运行时 | session runtime | 承载循环的环境，管循环管不到的一切：调度、持久化、恢复、事件分发、输入通道、隔离 | 第 2 章 §2.1、第 14 章 |
| 运行载体 | 无固定英文原名 | agent 循环实际跑在什么东西里，分 A/B/C 三档（A 常驻进程内 Map<sessionId, ManagedSession> / B serverless 实体——每会话一个对象、平台管唤醒 / C 每会话一个沙箱容器或 microVM——只带最小设备模型的轻量虚拟机、控制面调度）。本书不使用「执行载体」这个说法——同一指称两个名字，读者会以为是两档不同的东西 |
第 14 章 §14.2.6 |
| 窄接口 | narrow interface | 循环只通过一组回调或注入函数依赖外部系统（John Ousterhout, A Philosophy of Software Design, 2018, ch.4「Modules Should Be Deep」） | 第 2 章 §2.2.2 |
| 前缀匹配 | prefix matching | 缓存按请求前缀逐字节匹配；前缀里任何一个字节变了，其后全部作废 | 第 6 章 §6.1 |
| 断点 | cache breakpoint | 显式断点派 API 中标记缓存位置的标记 | 第 6 章 §6.2.1 |
| 插话 / 排队 | steer / queue | 用户在 agent 运行中输入的两种语义：下一个 turn 边界注入 / 等 run 结束再注入 | 第 4 章 §4.1 |
| 渐进披露 | progressive disclosure | 只把索引放进上下文，详细内容按需加载 | 第 3 章 §3.2.3 |
| 裁剪 | prune | 确定性地清空旧工具输出的正文，保留调用记录 | 第 8 章 §8.2.2 |
| 压缩 | compaction | 用模型把一段历史摘要成较短的表示 | 第 8 章 §8.2.3 |
| 真相源 / 读模型 | source of truth / read model | 完整、权威的记录 / 从权威记录派生、允许丢失部分信息且能够重建的查询结果 | 第 8 章 §8.1（第 14 章 §14.2.1 用同一对概念组织存储） |
| 上下文腐烂 | context rot | 随上下文变长，模型对窗口内信息的召回准确率下降 | 第 8 章 §8.1、第 9 章 §9.1.1 |
| 事件溯源 | event sourcing | 只追加的事件日志是真相源，表是可重建的读模型（Martin Fowler,《Event Sourcing》, 2005） | 第 14 章 §14.2.1 |
| 预写日志 | WAL, Write-Ahead Log | 先写日志再执行副作用 | 第 14 章 §14.2.2 |
| 先写意图记录，再执行副作用 | The effect sandwich | 先把即将执行的操作及其 id 写进日志，执行完成后再记录结果（pi-mono 设计文档 pi-mono/packages/agent/docs/harness.md:129-137 的原名为 The effect sandwich） |
第 14 章 §14.2.2 |
| 围栏 | fencing | 用所有者标识拒绝旧执行体的写入 | 第 14 章 §14.2.7 |
| 上下文隔离 | isolate | 把子任务放进独立上下文，只让摘要回到主上下文 | 第 12 章 §12.4 |
| 三项高风险能力 | lethal trifecta | Simon Willison 对以下情况的称呼：系统同时能够访问私有数据、接触不可信内容并对外通信，此时攻击者具备完成攻击所需的条件（2025-06-16） | 第 11 章 §11.1.2 |
| 标签封装与实体转义 | 无固定英文原名 | 把第三方文本放进带标签的块并做实体转义（与第 9、10 章说的「按预算选条目」不是一回事） | 第 11 章 §11.2.1 |
| 混淆代理 | confused deputy | 高权限服务替低权限调用方执行了后者本无权做的操作 | 第 15 章 §15.2.1 |
| 行级安全 | RLS, Row-Level Security | 数据库层强制的按行访问控制 | 第 15 章 §15.2.1 |
| 死循环 | doom loop | 模型反复做同一个无效动作 | 第 5 章 §5.2.3 |
| 试次 | trial | 对一个评测任务的一次尝试 | 第 17 章 §17.2.1 |
| 结果 | outcome | 试次结束时环境的最终状态（区别于轨迹里的自述） | 第 17 章 §17.2.1 |
| 评分器 | grader | 给 agent 表现的某个方面打分的逻辑 | 第 17 章 §17.2.1 |
| 必要多样性定律 | Law of Requisite Variety | 调节器的多样性必须不小于被调节系统的多样性（W. Ross Ashby, An Introduction to Cybernetics, 1956） | 第 1 章 §1.3 |
| 数据处理不等式 | Data Processing Inequality | 信息经过任何处理与转发只会丢失，不会增加 | 第 12 章 §12.2.1 |
本书不为已有机制另造术语。 上表优先采用源码、规范或论文中的原名；中文没有稳定译法时，先用完整句子解释动作，再给出原文名称。「标签封装与实体转义」直接描述两项操作：把第三方文本放进带标签的块，并对其中的标记字符做实体转义，定义见第 11 章 §11.2.1。
B. 项目索引
Section titled “B. 项目索引”调研池 28 个，正文实际引用 23 个，按被引章数排列。未引用的 5 个见前言。
| 项目 | 章数 | 主要贡献的证据 |
|---|---|---|
| opencode | 10 | 终止判定、错误归一化与重试、doom loop、权限规则引擎与 arity、edit 九级匹配级联、prune 的七项检查、inbox 双序号、事件溯源与围栏 |
| pi-mono | 9 | 循环内核与 9 回调、StreamFn 契约、工具错误统一出口、事件序与消息序、steer/followUp 双队列、压缩切点与缓存隔离、WAL 与合法前缀测试、12 种损坏原因 |
| Claude Code | 7 | system prompt 分段注册与显式豁免、条件从句换缓存、恢复链分层、日期记忆化、beta 头锁存、缓存穿透归因、消息排队、记忆的相对陈旧度标注（均为公开文档与公开行为观察，不是源码引用） |
| openclaw | 8 | 缓存边界标记、枚举顺序稳定化、时间放在每轮可变内容中、记忆写入的三项条件与单次最多删除或覆盖 25% 旧条目的限制、写入持久化存储的软阈值、不可信内容的随机边界标记与同形字折叠、云端所有权边界 |
| codebuff | 7 | DI 契约与部署搬迁、终止公式、孤儿 tool_call 剔除点、ripgrep 方法与隐藏目录、code-map |
| MiMo-Code | 7 | 工具描述按模型分化（含相反指导）、滚动双缓冲、截断后保留完整结果读取入口、checkpoint 重建与按需召回、载体适配器 |
| Roomote | 7 | 超时推导而非硬编码、孤儿扫描、不可信文本的标签封装、实体转义与降权规则、task/run 分离、三处状态核对 |
| goose | 7 | 四类缓存语义与安全默认、前缀不变性测试（含反空转断言与种子回归用例）、一次性调用关缓存、展开式循环 |
| kilocode | 6 | 缓存语义白名单、缓存断点的排列方式及其成本、按模型的失败模式 workaround、kilo-indexing 的语义检索流程与默认关闭、记忆让位于当前指令的声明、沙箱缺 Windows 实现 |
| kimi-code | 6 | AGENTS.md 完整降权声明、插件指令同构模板、分档提醒、工具调用配对错误的统一识别（400/422）、已关闭的 micro compaction |
| codex | 6 | 三平台沙箱与 deny default、网络策略独立、拒绝识别的诚实边界、世界状态差分、前缀稳定性测试、exec-server 端到端加密 |
| oh-my-pi | 6 | 空闲期冲洗、TTL 取值反转、失效检测三条件、prompt 压缩的 token 存活校验 |
| hermes-agent | 5 | 一会话一构建、日期降级到天及其与正确性的张力、记忆快照冻结与保留式截断 |
| cindy | 4 | 缓存命中率的计算口径、prompt 变更的 PR 阻塞性检查、记忆写入判断标准（描述为空即抛错）、审查子任务的三段标签封装与实体转义 |
| craft-agents-oss | 4 | midStreamBehavior 与两条不变量、乐观状态对账、静态/易变二分 |
| aider | 3 | 心跳保温、few-shot 按模型开关 |
| buzz | 3 | 分类超时、工作目录不是沙箱、关停 drain 的已知缺陷 |
| cloudflare-os | 3 | Durable Object 载体、streamGeneration 世代号、显式声明不支持插话 |
| grok-build | 3 | 薄 system prompt + user message 快照、注入转义、记忆排序的指数衰减与常青来源豁免 |
| OpenMinis | 3 | JSON 键序归一化、保温管理器、事故档案注释 |
| cline | 2 | variant 注册表与快照测试、检索的 ripgrep 探测与纯正则退回 |
| crush | 2 | 静态前动态后 |
| prime-agent | 1 | 用户目标的标签封装与实体转义：三字符转义 + <untrusted_objective> 块 + 一句降权声明 |
「章数」的口径。 只统计在正文中直接承担论证的项目引用，不计普查名单中的点名和仅用于交叉说明的项目。fork 路径里的实现计入实际核对的 fork 项目，不重复计给上游项目。前言《涉及的项目》采用同一口径；本表于 2026-08-18 逐项重数。
C. 参考文献
Section titled “C. 参考文献”正文用短名，完整题名以本表为准。
C.1 论文与著作（按章号排序）
Section titled “C.1 论文与著作（按章号排序）”论文与著作按正文首现时使用的编号、题名、作者和版本列出；无法确认正式题名的条目会明确标注，不用简称冒充正式书目信息。
| 编号 | 标题 | 用在 |
|---|---|---|
| 无编号 | Agent Harness Engineering: A Survey（Li et al., 2026，ETCLOVG 七层）。确无 arXiv 编号，TMLR 双盲在审、尚未通过同行评审 [核实于 2026-08-18]。两个可查证入口：作者项目页 https://picrew.github.io/LLM-Harness/（给出去匿名的 17 人作者名单，第一作者 Junjie Li）与 OpenReview https://openreview.net/forum?id=eONq7FdiHa（对匿名访问设人机验证，本书未直接取到页面）。不要与 arXiv:2605.29682 混为一谈，那是另一篇 |
第 1 章 |
| arXiv:2603.28052 | Meta-Harness: End-to-End Optimization of Model Harnesses（Lee 等，v1 2026-03-30） | 第 1、17 章 |
| arXiv:2604.25850 | Agentic Harness Engineering: Observability-Driven Automatic Evolution of Coding-Agent Harnesses（AHE，Lin 等，v4 2026-05-18） | 第 1、7、9、17 章 |
| arXiv:2601.11868 | Terminal-Bench: Benchmarking Agents on Hard, Realistic Tasks in Command Line Interfaces（Merrill、Shaw 等，2026-01-17；本书引的是 2.0 版基准） | 第 1、17 章 |
| — | W. Ross Ashby, An Introduction to Cybernetics, 1956 | 第 1 章 |
| — | Roger C. Conant & W. Ross Ashby, Every Good Regulator of a System Must Be a Model of That System, International Journal of Systems Science, 1970 | 第 1 章 |
| arXiv:2307.03172 | Lost in the Middle: How Language Models Use Long Contexts（Nelson F. Liu 等，TACL 2024） | 第 8 章 |
| arXiv:2410.10813 | LongMemEval: Benchmarking Chat Assistants on Long-Term Interactive Memory（Di Wu 等） | 第 9 章 |
| arXiv:2511.03506 | HaluMem: Evaluating Hallucinations in Memory Systems of Agents（Ding Chen、Simin Niu 等，v3 2026-01-05） | 第 9 章 |
| arXiv:2510.01353 | MemTrack: Evaluating Long-Term Memory and State Tracking in Multi-Platform Dynamic Agent Environments（Darshan Deshpande 等，Patronus AI，2025-10-01，NeurIPS 2025 Workshop SEA） | 第 9 章 |
| arXiv:2604.11364 | The Missing Knowledge Layer in Cognitive Architectures for AI Agents（Michaël Roynard，2026-04-13） | 第 9 章 |
| arXiv:2501.13956 | Zep: A Temporal Knowledge Graph Architecture for Agent Memory（Preston Rasmussen 等，2025-01-20） | 第 9 章 |
| arXiv:2504.19413 | Mem0: Building Production-Ready AI Agents with Scalable Long-Term Memory（Prateek Chhikara 等，2025-04-28） | 第 9 章 |
| arXiv:2512.12818 | Hindsight is 20/20: Building Agent Memory that Retains, Recalls, and Reflects（Latimer 等，2025-12-14） | 第 9 章 |
| arXiv:2603.03296 | PlugMem: A Task-Agnostic Plugin Memory Module for LLM Agents（Ke Yang 等，2026-02-06） | 第 9 章 |
| arXiv:2603.00026 | ActMem: Bridging the Gap Between Memory Retrieval and Reasoning in LLM Agents（Zhang 等，2026-02-04） | 第 9、10 章 |
| arXiv:2603.15125 | From Storage to Steering: Memory Control Flow Attacks on LLM Agents（MCFA，Xu 等） | 第 9、11 章 |
| arXiv:2605.25480 | Retrieval as Reasoning: Self-Evolving Agent-Native Retrieval via LLM-Wiki（Ming 等，v1 2026-05-25，腾讯微信团队） | 第 10 章 |
| arXiv:2604.11243 | Wen 与 Ku；正文采用简称「Knowledge Compounding」，正式标题未确认 | 第 10 章 |
| arXiv:2605.18490 | Cochran；本书正文用的说法是「预注册对照研究」，正式标题未取到（同上） | 第 10 章 |
| arXiv:2404.13208 | The Instruction Hierarchy: Training LLMs to Prioritize Privileged Instructions（Wallace 等，2024） | 第 11 章 |
| arXiv:2503.18813 | Defeating Prompt Injections by Design（Debenedetti 等，2025） | 第 11 章 |
| arXiv:2603.11088 | The Attack and Defense Landscape of Agentic AI: A Comprehensive Survey（Kim 等，2026） | 第 11 章 |
| arXiv:2410.07283 | Prompt Infection: LLM-to-LLM Prompt Injection within Multi-Agent Systems（Lee 与 Tiwari，2024） | 第 11 章 |
| arXiv:2604.02460 | Single-Agent LLMs Outperform Multi-Agent Systems on Multi-Hop Reasoning Under Equal Thinking Token Budgets（Tran 与 Kiela，v2 2026-04-11） | 第 12 章 |
| arXiv:2601.12307 | Rethinking the Value of Multi-Agent Workflow: A Strong Single Agent Baseline（Xu 等，v1 2026-01-18） | 第 12 章 |
| arXiv:2602.03794 | Understanding Agent Scaling in LLM-Based Multi-Agent Systems via Diversity（Yang 等，2026-02-03） | 第 12 章 |
| arXiv:2606.00655 | Scaling Behavior of Single LLM-Driven Multi-Agent Systems（Li 等，2026-05-30） | 第 12 章 |
| arXiv:2512.08296 | Towards a Science of Scaling Agent Systems（Kim 等，v3 2026-04-08） | 第 12 章 |
| arXiv:2502.08788 | Stop Overvaluing Multi-Agent Debate — We Must Rethink Evaluation and Embrace Model Heterogeneity（Zhang 等，v3 2025-06-21） | 第 12 章 |
| arXiv:2511.07784 | Can LLM Agents Really Debate? A Controlled Study of Multi-Agent Debate in Logical Reasoning（Wu 等，2025-11-11） | 第 12 章 |
| arXiv:2402.05120 | More Agents Is All You Need（Li 等，TMLR） | 第 12 章 |
| arXiv:2406.07155 | Scaling Large Language Model-based Multi-Agent Collaboration（Qian 等，ICLR 2025；MacNet 是论文里那套系统的名字，不是标题的一部分） | 第 12 章 |
| — | Thomas M. Cover 与 Joy A. Thomas, Elements of Information Theory, 1991 初版（数据处理不等式的原始出处） | 第 12 章 |
| arXiv:2504.16736 | A Survey of AI Agent Protocols（Yang 等，v3 2025-06-21） | 第 13 章 |
| arXiv:2505.02279 | A survey of agent interoperability protocols: Model Context Protocol (MCP), Agent Communication Protocol (ACP), Agent-to-Agent Protocol (A2A), and Agent Network Protocol (ANP)（Ehtesham 等，v2 2025-05-23） | 第 13 章 |
| arXiv:2606.19135 | A Technical Taxonomy of LLM Agent Communication Protocols（Sander 等，v1 2026-06-17） | 第 13 章 |
| arXiv:2602.11327 | Security Threat Modeling for Emerging AI-Agent Protocols: A Comparative Analysis of MCP, A2A, Agora, and ANP（Anbiaee 等，v2 2026-04-17） | 第 13 章 |
| arXiv:2410.11905 | A Scalable Communication Protocol for Networks of Large Language Models（Marro 等，v1 2024-10-14；Agora 是论文里那套协议的名字，不在标题里，按标题搜不到「Agora」） | 第 13 章 |
| arXiv:2603.02277 | Quantifying Frontier LLM Capabilities for Container Sandbox Escape（Marchand 等，2026-03-01） | 第 15 章 |
| arXiv:2402.09171 | Automated Unit Test Improvement using Large Language Models at Meta（TestGen-LLM，Alshahwan、Harman 等，FSE-SEIP 2024） | 第 16 章 |
| arXiv:2310.06770 | SWE-bench: Can Language Models Resolve Real-World GitHub Issues?（Jimenez、Yang 等，Princeton，ICLR 2024） | 第 16 章 |
| arXiv:2410.06992 | SWE-Bench+: Enhanced Coding Benchmark for LLMs（Aleithan 等，2024-10-09） | 第 16、17 章 |
| arXiv:2505.23419 | SWE-bench Live | 第 16 章 |
| arXiv:2410.03859 | SWE-bench Multimodal | 第 16 章 |
| arXiv:2504.02605 | Multi-SWE-bench | 第 16 章 |
| arXiv:2502.12115 | SWE-Lancer | 第 16 章 |
| arXiv:2509.05372 | Adversarial Bug Reports as a Security Risk in Language Model-Based Automated Program Repair（Przymus、Happe、Cito，2025） | 第 16 章 |
| arXiv:2308.10022 | Cupid: Leveraging ChatGPT for More Accurate Duplicate Bug Report Detection（Ting Zhang、Ivana Clairine Irsan 等，SMU） | 第 16 章 |
| — | Who Should Fix This Bug?（John Anvik、Lyndon Hiew、Gail C. Murphy，ICSE 2006） | 第 16 章 |
| arXiv:2602.07150 | On Randomness in Agentic Evals（Bjarnason、Silva & Monperrus，KTH，v3 2026-03-25，ICLR 2026 Workshop on Agents in the Wild） | 第 17 章 |
| arXiv:2506.09289 | UTBoost: Rigorous Evaluation of Coding Agents on SWE-Bench（Yu 等，2025-06-10） | 第 17 章 |
| arXiv:2503.06745 | Beyond Black-Box Benchmarking: Observability, Analytics, and Optimization of Agentic Systems（Moshkovich 等，IBM Research，2025-03-09） | 第 17 章 |
| arXiv:2405.14782 | Lessons from the Trenches on Reproducible Evaluation of Language Models（Biderman 等，EleutherAI，2024-05-23） | 第 17 章 |
| arXiv:2506.07982 | τ²-Bench: Evaluating Conversational Agents in a Dual-Control Environment（Barres 等，2025-06-09） | 第 17 章 |
| — | Chris Argyris & Donald A. Schön, Organizational Learning: A Theory of Action Perspective, Addison-Wesley, 1978 | 第 17 章 |
| — | Heinz von Foerster 主编, Cybernetics of Cybernetics: Or, the Control of Control and the Communication of Communication, BCL Report 73.38, University of Illinois, 1974 | 第 17 章 |
两条说明：
- 有四条本书只取到简称与 arXiv 号（SWE-bench Live、SWE-bench Multimodal、Multi-SWE-bench、SWE-Lancer 四个基准，见第 16 章 §16.4 反面证据三），英文全名未取证，按编号可以检索到原文。
- LoCoMo 的书目已取到：Evaluating Very Long-Term Conversational Memory of LLM Agents，Adyasha Maharana 等，arXiv:2402.17753，2024-02-27。第 9 章 §9.4.2 用到的三个分数不出自该论文，全是各家厂商自述——本书引用的是 LoCoMo 数据集，不是论文的实验结论，两者不要混。
C.2 实践者文章、厂商发布物与技术报告
Section titled “C.2 实践者文章、厂商发布物与技术报告”标题一律用《》（斜体只留给 C.1 的论文与著作）。本表只收在正文承担了具体论断的实践者与厂商材料；仅作背景提及的材料不列。
| 来源 | 标题 | 用在 |
|---|---|---|
| Birgitta Böckeler / martinfowler.com | 《Harness engineering for coding agent users》（2026-04-02） | 第 1 章 |
| Vivek Trivedy / LangChain Blog | 《The Anatomy of an Agent Harness》（2026-03-10，https://www.langchain.com/blog/the-anatomy-of-an-agent-harness） |
第 1 章 |
| Vivek Trivedy / LangChain Blog | 《Improving Deep Agents with harness engineering》（2026-02-17，https://www.langchain.com/blog/improving-deep-agents-with-harness-engineering，厂商自述；§1.1 表里 52.8%→66.5% 两个数出自此篇，不是同作者的《The Anatomy of an Agent Harness》） |
第 1 章 |
| Can Bölük / blog.can.ac | 《We improved 15 LLMs at coding in one afternoon. Only the harness changed.》（2026-02-12，https://blog.can.ac/2026/02/12/the-harness-problem/，该地址现跳转至 https://stencil.so/blog/the-harness-problem） |
第 1 章 |
| Anthropic | 《Writing effective tools for agents — with agents》（2025-09-11） | 第 3 章 |
| Manus（Yichao ‘Peak’ Ji） | 《Context Engineering for AI Agents: Lessons from Building Manus》（2025-07-18） | 第 6 章 |
| Chroma（Kelly Hong、Anton Troynikov & Jeff Huber） | 《Context Rot: How Increasing Input Tokens Impacts LLM Performance》（技术报告，2025-07-14，trychroma.com/research/context-rot；非同行评审，测量代码公开可复跑，github.com/chroma-core/context-rot） |
第 8、9 章 |
| OpenAI | 《Dreaming: Better memory for a more helpful ChatGPT》（2026-06-04，厂商自述） | 第 9 章 |
| Microsoft Research | 《PlugMem: Transforming raw agent interactions into reusable knowledge》（2026-03-10，厂商自述；对应论文见 C.1 arXiv:2603.03296） | 第 9 章 |
| Cursor（Stefan Heule、Emily Jia、Naman Jain） | 《Improving agent with semantic search》（2025-11-06，https://cursor.com/blog/semsearch，厂商自述；资料快照 2026-08-04） |
第 10 章 |
| Andrej Karpathy | 《LLM Wiki》gist（2026-04-04，https://gist.github.com/karpathy/442a6bf555914893e9891c11519de94f） |
第 10 章 |
| Simon Willison | 《The lethal trifecta for AI agents: private data, untrusted content, and external communication》（2025-06-16） | 第 11 章 |
| Anthropic | 《How we built our multi-agent research system》（2025-06-13，厂商自述） | 第 12 章 |
| Cognition（Walden Yan） | 《Don’t Build Multi-Agents》（2025-06-12，https://cognition.com/blog/dont-build-multi-agents） |
第 12 章 |
| LangChain | 《Context Engineering for Agents》（2025-07-02，https://www.langchain.com/blog/context-engineering-for-agents） |
第 12 章 |
| Sierra（Neil Rahilly） | 《Context engineering: the key to great agents》（2026-05-05，https://sierra.ai/blog/context-engineering-the-key-to-great-agents，客服 agent 厂商自述） |
第 12 章 |
| Anthropic | 《Equipping agents for the real world with Agent Skills》（2025-10-16，https://www.anthropic.com/engineering/equipping-agents-for-the-real-world-with-agent-skills） |
第 12 章 |
| LangChain 官方文档 | 《Multi-agent architectures》（页面无发布日期，https://docs.langchain.com/oss/python/langchain/multi-agent，抓取 2026-07-22） |
第 12 章 |
| Martin Fowler / martinfowler.com | 《Event Sourcing》（2005） | 第 14 章 |
| GitHub | 《WRAP up your backlog with GitHub Copilot coding agent》（Brittany Ellich 与 Jason Etcovitch，2025-12-26）、IssueOps 定义（2025-03） | 第 16 章 |
| Anthropic | 《Claude Code best practices》文档（页面无发布日期，本书抓取 2026-08-04） | 第 16 章 |
| OpenAI | Codex 文档（页面无发布日期，本书抓取 2026-08-04） | 第 16 章 |
| OpenAI（Ryan Lopopolo） | 《Harness engineering: leveraging Codex in an agent-first world》（2026-02-11，厂商自述；§16.4 反面证据五：起初 3 名、后增至 7 名工程师，5 个月产出约百万行代码、约 1,500 个合并 PR） | 第 16 章 |
| OpenAI Forum | 《How OpenAI Engineers use Codex to Tackle Big Projects with Rigor》（2025-12-04，厂商自述；§16.4 反面证据五：OpenAI 内部 Codex 采用率 >92%） | 第 16 章 |
| DORA | 2025 报告（2025-09-23，问卷调查，近 5,000 名从业者） | 第 16 章 |
| METR | 《Measuring the Impact of Early-2025 AI on Experienced Open-Source Developer Productivity》（2025-07-10，arXiv:2507.09089，随机对照试验 n=16；发布方已于 2026-02-24 声明属历史快照） | 第 16 章 |
| Thoughtworks | Technology Radar Vol 31（2024-10-23）/ Vol 32（2025-04-02） | 第 16 章 |
| GitHub | 《Optionally skip approval for Copilot coding agent Actions workflows》changelog（2026-03-13，https://github.blog/changelog/2026-03-13-optionally-skip-approval-for-copilot-coding-agent-actions-workflows/） |
第 16 章 |
《Jules》官方文档与 changelog（产品页 https://jules.google/，changelog 2025-06-26 https://jules.google/docs/changelog/2025-06-26/；抓取 2026-08-04） |
第 16 章 | |
| Cognition（Devin） | 《Devin》官方文档（https://docs.devin.ai；页面无发布日期，抓取 2026-08-04） |
第 16 章 |
| Cognition | 《How Cognition Uses Devin to Build Devin》（2026-02-27，厂商自述；§16.4 反面证据五：上周合并 659 个 Devin PR，2025 年最好的一周是 154 个） | 第 16 章 |
| Cognition（Devin） | 《Devin’s 2025 Performance Review: Learnings From 18 Months of Agents At Work》（2025-11-14，厂商自述；§16.2.1 判断标准二与 §16.4 反面证据五：PR 合并率 2024 年 34% → 2025 年 67%） | 第 16 章 |
| Cursor | 《Cloud Agents》官方文档（页面无发布日期，https://cursor.com/docs/cloud-agent，抓取 2026-08-04） |
第 16 章 |
| Microsoft（VS Code 团队） | 《Issues Triaging》wiki（页面无发布日期，https://github.com/microsoft/vscode/wiki/Issues-Triaging，抓取 2026-08-04；§16.5.1 引句 “Triaging an issue usually takes around one business day”） |
第 16 章 |
| Anthropic | 《Demystifying evals for AI agents》（2026-01-09） | 第 17 章 |
C.3 规范
Section titled “C.3 规范”| 规范 | 版本（本书基准） | 用在 |
|---|---|---|
| MCP | spec revision 2026-07-28 | 第 13 章 |
| A2A | 协议版本 1.0。规范站页头写的发布版本是 1.0.0，仓库最新标签是 v1.0.1（补丁版，按规范 §3.6 不参与版本协商） |
第 13 章 |
| AG-UI | 无正式 revision 号 | 第 13 章 |
| Anthropic Messages API | 官方文档 2026-07 版 | 第 6 章 |
| RFC 6902（JSON Patch） | — | 第 13 章 |
| Noise 协议框架（Noise Protocol Framework） | Trevor Perrin, 2018；本书未锁定 revision 号，codex 用的具体套件写在源码里 | 第 15 章 |
C.4 安全公告
Section titled “C.4 安全公告”第 15 章 §15.4 用它们说明「这一档也会破」，不用来给三档沙箱排优劣；第 16 章 §16.4 反面证据二另引一条（GitHub Copilot，非沙箱运行时，作「注入致 RCE 已真实发生」的实例，2025 年已修复）。各条的前提条件写在正文里。编号与日期取自 NVD。
| 编号 | 运行时 | 日期 | 用在 |
|---|---|---|---|
| CVE-2018-16359 | gVisor | 2018-09-02 | 第 15 章 |
| CVE-2025-2713 | gVisor | 2025-03-28 | 第 15 章 |
| CVE-2020-2026 | Kata Containers | 2020-06-10 | 第 15 章 |
| CVE-2026-44210 | Kata Containers | 2026-07-23 | 第 15 章 |
| CVE-2026-5747 | Firecracker | 2026-04-08 | 第 15 章 |
| CVE-2025-53773 | GitHub Copilot | 2025-08-12（已修复） | 第 16 章 §16.4 反面证据二 |
D. 本书没有覆盖的
Section titled “D. 本书没有覆盖的”诚实列出，方便读者知道该去别处找什么：
| 主题 | 为什么没写 |
|---|---|
| 模型训练与微调 | 超出 harness 范围（第 1 章定义） |
| 具体框架的用法 | 本书不是框架教程；框架 API 与配置也会频繁变化 |
| 非编码类 agent（客服、研究、computer use） | 素材全部来自 coding agent，不敢外推 |
| 前端与交互设计 | 第 14 章只覆盖到状态同步的协议层 |
| 成本优化的完整体系 | 只覆盖了缓存（第 6 章）与多 agent 的 token 经济学（第 12 章） |
| 国内厂商的第一方实践 | 素材缺口，见前言诚实边界第三条 |
| 闭源商业 agent 的内部实现 | 拿不到源码，只能靠公开材料推断 |
| agent 的长期运营数据 | 见前言诚实边界第二条 |
| 可观测性（单独一章） | 第 1 章 §1.2.1 把它列为七层之一，本书却没给它单独一章。调研到的项目做法差异不大，主要是读取 usage 字段、记录事件日志和保存执行轨迹，没有形成可比较的不同方案，而本书只有在存在不同方案和选择标准时才单独成章。相关内容分布在三处：第 6 章 §6.5.3 依次检查缓存命中率、失效原因和成本归因；第 14 章说明事件日志与重放；第 17 章说明评测。原因见第 1 章 §1.2.1 |
| 多模态注入与 MCP server 供应链（第 11 章威胁模型） | 第 11 章 §11.1.3 的威胁模型表核实过七类输入，没把图片/截图这类多模态载体、以及「装一个 MCP server 等于在 host 凭证上下文里执行任意代码」这条供应链向量单独成行（后者与第 13 章 §13.2.1 的 MCP 信任模型直接相关）。两条都是真实攻击面，本书写作时没形成独立的分歧与判断标准，认领在这里 |
| 事件 schema 演化（版本化与 upcasting）（第 14 章） | 第 14 章 §14.4 反证一第 3 条把「投影迁移麻烦」列为事件溯源的缺点，只给了二选一（重建全部投影 / 维护版本），没给版本化解法；长期存事件日志、schema 一定会变的读者，需要自己补 payload schema version + upcasting 迁移函数这一套 |
| 控制面多副本 HA（选主、split-brain）（第 15 章） | 第 15 章 §15.2.5 覆盖 owner 死亡发现与孤儿回收，但控制面自身的多副本、选主、split-brain 没写；§15.3 判断标准四「杀掉控制面，等 5 分钟」是单副本思维。要上多租户的读者，控制面怎么多活、怎么避免两个控制面同时活着，要自己补 |
| 按租户的配额强制机制（第 15 章） | 配额与计费只在第 15 章 §15.5.5 的实施顺序中用一句话列入 V2，没有说明具体机制：如何强制速率限制、并发上限和资源上限，以及超过配额时系统如何响应，本书都没有写 |
| 子 agent 失败语义（第 12 章） | 第 12 章 §12.4 反证一第 3 条承认失败模式不在实验内，判断标准五只给了替代方案。子 agent 应按分布式组件管理——超时、重试、孤儿清理、partial result 记账、归因问责——这些判断标准本书没给 |
| 自动改写 harness 的停止条件与评测预算（第 17 章） | 第 17 章 §17.5.5 的自动改进循环 for t in 1..N 只给出了两项停止条件：连续 K 轮无改进，或评测预算达到上限。评测 token 预算如何分配到各轮没有展开，读者需要根据自己的任务分布和成本确定 |
| 用户侧遗忘/删除（第 9 章） | 第 9 章只覆盖工程侧的记忆维护（降低过期内容的权重、整理记忆、限制一次最多删除或覆盖 25% 的旧条目），没写面向用户的主动删除、保留期与合规删除；第 8、9 章只在正文带过「隐私治理需求」一句 |
| 自动前缀缓存的最小可缓存长度（第 6 章） | 第 6 章覆盖服务端驱逐侧（四类语义、失效检测、命中率口径），没写自动缓存派的最小可缓存长度阈值——OpenAI、Gemini 实际都有这个阈值，工具密集型前缀可能短于阈值，直接影响 §6.2.2 的缓存经济学 |
E. 资料截止日期
Section titled “E. 资料截止日期”项目源码材料截止到 2026-08-17。部分规范、论文与安全公告核对到 2026-08-18；具体日期在正文或参考文献中标明。
本书讨论的设计原则通常比具体实现稳定，但版本号、价格、限额、项目存活状态与代码位置都会变化。把书中的事实判断用于新项目之前，请以当前源码、官方规范和你自己的运行数据为准。