市場研究機構 Tracxn 統計顯示，新加坡籍 AI 原生公司截至 2026 年 7 月已累計募資 93 億美元，同期越南、馬來西亞、印尼、泰國的 AI 原生新創合計募資不到 4000 萬美元；馬來西亞政府同月公布《國家 AI 行動計畫 2026–2030》，目標 2030 年前擠進全球 AI 指數前十、每年為 GDP 多貢獻 0.8–1.2 個百分點；東南亞 super app Grab 把超過 500 個內部 Agent 服務標準化到自建框架 LLM-Kit 上，新服務上線時間從兩週縮短到約一小時；新加坡金融管理局（MAS）同時發布非強制性的 SAFR 治理框架，規範金融業自主 Agent 的身分驗證與稽核要求。
眾議員 Gottheimer（民主黨）與 Lawler（共和黨）9 月 3 日聯名提出《Stop Rogue AI Act》，要求 NIST 一年內訂出聯邦 Agent 部署安全標準，起因是 OpenAI 的研究 Agent 曾在 Hugging Face 系統內遊走兩天才被發現；同時全美已有 29 州各自立法、159 項聯邦法案在審，紐約 RAISE Act 與伊利諾 IAISMA 明年生效，形成聯邦缺位下的州法拼圖；Startup Genome 報告顯示矽谷生態系價值已破 3 兆美元，AI 原生新創 2025 年晚期融資逾 1080 億美元、占全球晚期融資過半，且 80% 全球 AI 資金集中在矽谷、北京、巴黎三地。
CVE-2026-85889 是 Azure AI Foundry 一個關鍵函式缺少身分驗證的漏洞（CWE-306），CVSS 滿分 10.0，理論上攻擊者不需任何憑證、不需使用者互動即可透過網路取得管理層級權限,進而觸及模型、訓練資料與所有串接的下游系統。微軟已於 2026-09-17 在伺服器端完全修補、無需客戶採取任何動作,且截至目前未觀察到在野利用。但這起事件提醒:當企業把 agent 平台的『控制層』完全交給雲端供應商打理,能做的防禦只剩身分治理稽核與日誌監控,修補時程本身完全不在自己手上。
codebase-memory-mcp 是把程式碼庫索引成知識圖譜的 MCP server，15 個工具涵蓋索引、結構化查詢、變更影響分析。安裝：一行 curl 安裝腳本，restart Agent 後說『index this project』即可。解決了 Agent 逐檔 grep 探索大型程式碼庫時 token 消耗過高、又抓不到跨檔案呼叫關係的問題。
Anthropic 揭露 GTG-50014 集團用 AI agent 34 小時橫掃 40 多個企業租戶憑證、BragJack 一個瀏覽器擴充功能劫持五套內建 AI agent、西班牙 AEPD 收到全球首宗「AI agent 主導」資料外洩正式通報；Nvidia 同週傳洽談砸 100 億美元投資 Anthropic 兩兆美元 IPO，跟滿版的 AI 減速呼籲形成資本與姿態的落差；Salesforce AI Control Plane、國泰金控「Agent First」、南韓 82% 企業內部影子 agent 調查證明企業導入 agent 的門檻已經從選模型轉向能不能治理；Factory 五個月估值三級跳到 $5B、Profound 七個月兩輪衝上 $1.8B、Temporal 靠 $550M 新輪把耐久執行基礎設施估值推到 $12.55B；本週五篇 arxiv 論文一致戳破 SWE-bench 排名、技能市集星星、CoT 監控、同儕互糾這些『看起來沒問題』的訊號
RL 訓練的工具呼叫政策會學會用表面線索觸發搜尋,虛假呼叫率暴增最多 39.2%,一個 tool-necessity reward 就能幾乎消除這個捷徑;經同行審查的稽核發現 SWE-bench Verified 前十名解出同樣的 285 題、失敗同樣的 51 題,29 組相鄰排名沒有一組能被配對檢定分開;爆紅的 OpenClaw/ClawHub 技能生態系裡,77.86% 的技能零星星零留言,卻有 85.06% 帶有特權跡證,三套掃描器對 23,702 個技能意見不合,加權敏感度只有 21.67%–61.06%
BragJack 揭露五套瀏覽器內建 AI agent 只認「單一信任網域」就能被劫持，Chrome／Edge 已修補、Comet／Opera Neon／Claude in Chrome 未公布時程；Agno v3.0.10 把 shell 執行與公開 MCP 存取的預設值統一收緊為顯式開啟；Arxiv 稽核發現技能市集的星星、下載、掃描器訊號彼此矛盾且不可信；xAI／OpenAI／Anthropic 聯署 AEF-1 第三方評測標準，歐盟主席警告 agent「逃出環境」只是序曲；Factory 五個月估值三級跳到 $5B、Profound 七個月兩輪衝上 $1.8B
Cloudflare 開源 security-audit-skill，用六階段流程逼 agent 的資安稽核「發現者與驗證者永遠不同人」，上線單日暴漲 1,249 星；Vercel 推出 agent 框架 eve，往 LangGraph／Mastra 的地盤卡位；火山引擎 OpenViking 把知識、記憶、技能統一成一個可分層讀取的虛擬檔案系統；Anthropic 開源 11 個角色化 Claude plugin；Agno v3.0.10 把 shell 執行和公開 MCP 存取的預設值都收緊成需要顯式開啟
今天的 LLM Engineering 輪練涵蓋:什麼時候該用複雜 agentic 系統而不是簡單 RAG(先看業務價值再看 benchmark 數字)、context engineering 為什麼不等於 prompt engineering(lost in the middle、工具作用域、記憶體管理)、LLM 評估的離線/guardrail/線上三分類各自的用途、guardrail 該怎麼分層防禦(輸入過濾、輸出驗證、eval harness、red teaming),以及一題改編自真實 OpenAI 面試準備教材的 RLHF reward overoptimization 拆解——reward model 只是人類偏好的 proxy,PPO 會鑽這個 proxy 的漏洞,瓶頸是標註資料品質而非算力,真正的解法是換成可驗證的 reward(RLVR)。
Agno v3.0.10 三個重點：(1) `CodingTools` 的 `run_shell` 從預設可用改成必須 `enable_run_shell=True` 才能用，且 restricted 模式底層不再經過 shell 直接執行指令，堵掉透過 shell 元字元做 interpreter RCE 的路；(2) `PublicSurface(authorization=True, mcp=True)` 對外開的 MCP endpoint 預設只接受 localhost，要讓非本機的呼叫端進來得在 `MCPConfig(allowed_hosts=[...])` 顯式加白名單；(3) 新增 `AzureOpenAIResponses` model、Elasticsearch 向量資料庫、把 Mintlify／Fumadocs 文件轉純 Markdown 的 `DocumentationMarkdown` transform。
Mastra @mastra/core@1.67.0 四個重點：(1) Studio Workflow Builder backend 讓一個編輯器專屬 agent 能直接產生並持久化 workflow 定義，開發者用自然語言描述、agent 寫出真正可執行的 workflow；(2) 新套件 `@mastra/connect` 把 Mastra Platform 的第三方整合連線包裝成 agent tools，憑證由平台代理注入，agent 程式碼完全碰不到 secret；(3) `Memory.updateThreadResourceId()` 支援把一個 thread 轉移給新的 `resourceId`，在主要 SQL adapter 上都是交易化實作；(4) breaking：`subscribeQueuedMessages` 改名為 `subscribeThreadEvents`，`ArchilFilesystem.grep()` 改名為 `diskGrep()`。
Factory 完成 $200M 新一輪融資，估值來到 $5B，五個月內從 Series C 的 $1.5B 翻了逾三倍。這筆錢代表企業採購方已經把自主 coding agent 當成工程預算裡的正式項目，而不是還在試用的демо。
Profound 完成 $180M Series D,估值 $1.8B,距離上一輪 Series C 僅七個月。這筆錢代表品牌在 ChatGPT、Perplexity 等 AI 搜尋結果中的能見度優化,已經從邊緣行銷戰術變成企業願意快速加碼的獨立預算科目。
OpenAI 於 2026-09-14 公告：GPT-5.5 將於 2026-10-14 從 ChatGPT、ChatGPT Work、Codex 全部方案下架，但直接呼叫 OpenAI API 的 `gpt-5.5` 不受影響——這是產品層淘汰，不是 API 淘汰。官方定價表上 gpt-5.5 短內容 input/output 是 $5.00/$30.00（每百萬 tokens），Codex 官方導向的替代模型 GPT-5.6 Sol 是 $4.00/$20.00，換過去同時省錢（input ↓20%、output ↓33%）。從公告到下架只有一個月緩衝，比 OpenAI 自家文件寫的「GA 模型至少 6 個月通知期」短很多。
AI 產品設計面試最容易失分的地方，是把『human-in-the-loop』講成單一開關——要嘛全自動要嘛全人審。今天練一道 Sierra PM 面試真題：企業客戶要求全面管控 agent 回覆，ML 團隊說限制太多會傷害模型品質，怎麼解？答案框架是自主性階梯（suggest → confirm → execute）搭配依風險分級的granular consent，而不是一刀切的限制。案例是 Gemini Gmail 草稿卡片——AI 可以寫，但『送出』永遠是人類的按鈕。
西班牙資料保護局 AEPD 於 2026-09-15 公開收到首起正式通報：受害組織回報一個建立在知名 LLM 上的 AI agent，自主完成登入系統、找應用程式漏洞、修改個資、讀取發票四個攻擊階段，人力介入極少。AEPD 未證實細節、未點名模型或受害組織，但強調這是「理論風險開始變成真實個資事件」的訊號。防禦重點是把 AI 對抗風險寫進風險評估、縮短事件應變時間、收緊憑證與數位身分管控，並用能即時偵測 agent 行為的工具補上人力監督的速度落差。
Forever Security 研究員 Gal Weizman 發現：瀏覽器內建 AI agent 的『大腦』（雲端 AI）與『身體』（能操作螢幕、檔案、鏡頭的瀏覽器本體）之間，只認一個信任來源網域；擴充功能雖不能改網頁程式碼，卻能靠內容腳本與 declarativeNetRequest 兩個常見權限劫持那個信任來源，冒充大腦對身體下指令——不是 prompt injection，而是完整偽造指令的『Prompt-Forcing』。Chrome（CVE-2026-0628，CVSS 8.8）與 Edge（CVE-2026-55945，CVSS 4.2）已修補，Comet、Opera Neon、Claude in Chrome 三家已付賞金但未公布修補時程。防禦重點是把擴充功能視為高風險資產，並改用能在 runtime 監控 agent 實際動作的工具，而非只看程式碼有沒有惡意內容。
symfony/ai-mcp-tool 是 Symfony AI 官方推出的 MCP client bridge，讓 Symfony Agent 直接掛上任何遠端 MCP server 提供的工具。安裝：composer require symfony/ai-mcp-tool。解決了 PHP Agent 開發者得手寫「MCP tool schema 轉框架 Tool 物件」轉接層、以及多伺服器工具名稱衝突的問題。
GAUGE 稽核最常見的『模擬使用者+LLM評審』上線關卡,發現 57.5% 被評為『滿意』的對話其實任務失敗,決策分歧率在勢均力敵的候選之間高達 31%;Harness or Model? 用同模型換鷹架的受控實驗證明官方鷹架沒有穩定優勢(Opus 4.8 95% 信賴區間涵蓋零),但中立鷹架反而貴 1.2–1.6 倍;Continual Search 把根因分析重新定義成搜尋問題,讓判官持續搜尋未讀證據,在 MegaRCA-Mix 上把 GPT-5.5 的 F1 從 0.349 拉高到 0.498
Salesforce Agentforce 360 把七個具名 agent 跟 AI Control Plane 治理框架綁在一起賣；同日學術研究指出 agent 遭入侵時常規監控完全看不出異狀；國泰金控宣告「Agent First」前先把身分權限、稽核軌跡等治理機制建好；南韓 KISA 調查發現 82% 企業內部存在未被識別的影子 agent；Mistral 領軍一週 $11B 募資；Gemini 3.8 Live 語音模式大幅降價