GitHub 趋势周报：Agent 不比谁聪明了，开始比沙箱、审计和谁更省钱

这一周的 Trending 榜单，几乎看不到「新模型发布」。

火的是另一类东西：给编码 Agent 加笼子、加调度台、加省钱插件。

一句话概括：大家不比谁的模型聪明了，比谁的脚手架能真干活。

先说结论：Agent 生态分成了五层

把这一周的项目摞起来，结构挺清楚。

graph TD
    A["模型 / CLI Agent<br/>Claude Code、Codex、OpenCode"] --> B["技能与插件层<br/>SKILL.md、plugin.json、岗位包"]
    A --> C["编排调度层<br/>Orca、Cindy"]
    A --> D["上下文与成本层<br/>Ponytail、Graphify"]
    A --> E["安全与沙箱层<br/>OpenShell、security-audit-skill"]
    B --> F["销售 / 法务 / 财务等岗位"]
    C --> G["多个 git worktree 并行跑"]
    D --> H["少读文件、少烧 token"]
    E --> I["权限边界 + 可校验结论"]

模型在顶端，下面四层全是新长出来的活儿。

一、安全：先把笼子造好，再谈放它干活

这周最硬的两个项目都在安全层。

NVIDIA/OpenShell 是 NVIDIA 开源的 Agent 沙箱运行时，0.1.0 刚进入稳定发版。

它干三件事：文件访问和系统调用由内核拦；每条出网连接先过策略检查；Agent 全程拿不到真密钥，凭证由网关在发往白名单端点时才贴上去。

还有个细节值得抄：策略变更前先做形式化验证，算清楚这次改动会新开哪些权限，有风险就挂起等人批。这相当于把权限配置当代码 review。

cloudflare/security-audit-skill 则是把 Cloudflare 内部的漏洞挖掘流程开源成了一个 Agent 技能。

六阶段流水线，中间产物是 architecture.md、coverage-ledger.json、findings.json。

它最值钱的设计是「查的人不验的人」：每个候选漏洞交给一个没参与发现的新 Agent 去证伪。结论只允许三态，confirmed 必须有完整源码调用链，没查清的一律 needs_validation 且不许标严重等级。

为什么现在火？因为 Agent 开始拿真凭据、碰生产环境了。出事的成本从「代码丑一点」变成「密钥泄露」，大家才开始认真。

适合谁：要把 Agent 接进内网或 CI 的平台团队，以及想在合并前跑一轮深审计的安全工程师。两家都还是早期项目，别当合规证据用。

二、编排：一个 prompt 派给五个 Agent

终端 Agent 多了以后，新痛点是「管不过来」。

stablyai/orca 的做法是给每个 Agent 分一个独立的 git worktree。

一条 prompt 最多扇出给 5 个 Agent 并行改，跑完并排看 diff，合并赢的那个。用 worktree 不用容器，好处是产出天然就是一个能 diff、能 merge 的分支，省掉从容器里往外搬代码。

手机端不做编辑，只推送通知、追加指令。这补的正是「人一离开电脑任务就卡住」那个断点。

anomalyco/opencode 走的是另一条路：不绑模型厂商。

它的 Agent 跑在一个本地 server 进程里，终端 TUI、桌面端、编辑器插件都只是客户端。换模型只改配置，不用换工具。

内置 plan 和 build 两个角色，plan 在权限层面就被禁止写文件，不是靠 prompt 里写一句「请勿修改」。这点区别很大，前者是硬约束，后者靠自觉。

makecindy/cindy 更有意思：它不自己实现 Agent 循环，直接把你已有的 Claude Code、Codex 订阅当可插拔引擎用。

同一个任务跑到一半能换引擎，上下文不中断。本质上是在帮已付费用户跨工具复用额度。

适合谁：同时开三五个 Agent 会话的独立开发者和小团队。这类工具都迭代极快，别当稳定基础设施依赖。

三、省钱：token 账单成了真成本

DietrichGebert/ponytail 是这周被讨论最多的一个。

它是一套挂在 Agent 上的规则包，核心就一句：先看仓库里有什么，能不写就不写。

作者给的例子挺直观：要加日期选择器，项目里已有 Input 组件、浏览器自带原生控件，加约束的 Agent 写了 10 行；不加约束的手搓了 335 行日历。

但它的规则里明确列了四项不准砍：校验、错误处理、安全、无障碍。否则「省 token」很容易被理解成删检查。

Graphify-Labs/graphify 治的是同一个病，只是从上下文下手。

它把代码、文档、SQL、PDF 解析成一张可查询的知识图谱。代码部分用 tree-sitter 本地解析，不调 LLM，不花钱。

关键是它刻意不用向量库。每条边都标了 EXTRACTED（源码里能直接读到的）还是 INFERRED（推出来的），你能分清哪些是事实、哪些是猜测。

适合谁：被 Agent 生成的样板代码拖慢 review 的团队；以及在大 monorepo 里改代码，想先问「改这个会牵连谁」的人。

四、插件与技能：厂商开始定标准

这周 Anthropic 一口气放了两个官方仓库。

anthropics/claude-plugins-official 是 Claude Code 的插件市场。

一个插件包同时装五样东西：MCP 服务配置、斜杠命令、子代理、技能、元数据。外部插件用固定 commit sha 拉取，上架后内容不会悄悄变。

anthropics/knowledge-work-plugins 是 11 个岗位插件，销售、法务、财务、客服各一套。

它按「岗位一天要干的活」打包，不是按某个 SaaS 的 API 打包。一个销售插件同时接 HubSpot、ZoomInfo 等 9 个系统。

整个仓库没有代码、没有构建步骤，全是 markdown 和 JSON。产品经理改完提 PR 就能贡献。

这说明技能包已经成了一种正经的分发形态。以前拼 prompt，现在拼谁能把专家经验写成可复用的文件。

五、垂直落地：从找工作到治「AI 味」

最后说几个把 Agent 用到具体场景的项目。

MadsLorentzen/ai-job-search 连续上榜好几天。作者被裁后自己写的求职流水线，投了 69 份拿到 offer。

抓岗、打分、写简历、写求职信、面试准备，全在本机跑，简历是 LaTeX 源码，每次投递都能 diff。它还带「起草 — 审稿」双 Agent 循环，一个写一个挑毛病。

提醒一句：/setup 会把个人信息写进 tracked 文件，用之前记得建私有仓库。

pbakaus/impeccable 治的是另一件事：AI 生成的前端长得都一样。

它的做法是把「设计品味」变成 62 条确定性规则 —— 不用 Inter 字体、不在彩色背景上放灰字、卡片不套卡片。Rust 编译成单文件本地跑，不调 LLM，不要 API key。

这事的信号意义在于：AI 生成的东西多到一眼能认出来了，审美和规范才开始变成刚需。

创作工具这边，Comfy-Org/ComfyUI 继续涨。节点图本身就是执行计划，改一个参数只重算下游节点，4GB 显存也能跑视频生成模型。新开源模型发布，它基本是第一批能跑的。

debpalash/VoiceStudio 是本地版 ElevenLabs 替代，语音克隆、配音、转写一站打包，自带 MCP，Claude Code 可以直接调它合成语音。数据不出机器，也没有按字符计费。

六、底座没变，但也在动

顺手记两个老面孔。

supabase/supabase 还是那个开源 Firebase 替代。它的思路是「不自己造轮子」：数据库用 Postgres、API 用 PostgREST、鉴权用 GoTrue，权限统一收在 Postgres 的行级安全策略这一层。

php/php-src 因为 PHP 8.5 正式版上了一天涨七百多星。带管道操作符 |>、#[\NoDiscard] 这些新特性。

老牌运行时没在追新花样，在调发布节奏、求稳定。

这一周该记住什么

第一，瓶颈换位置了。 模型能力变成背景噪音，新闻都在接口、记忆、编排、安全这几层。

第二，安全从「事后补」变成「事前关笼子」。 OpenShell 和 Cloudflare 那个 skill 是同一个方向的两个面：一个管手脚别乱伸，一个管结论别乱说。

第三，成本开始进工程决策。 token 账单已经是团队真金白银的支出，压缩上下文、复用组件、少读文件，这些活儿以前没人干，现在能省出钱。

第四，官方在定标准，社区在补方法论。 插件市场、岗位包是官方铺轨；Ponytail、Graphify 这类是社区自己摸出来的路。两边同时在押注。

对普通开发者的实际建议就两条：

如果你已经在用 Agent 写代码，先去看 Ponytail 和 Graphify，投入最小、见效最快。

如果你在团队里推 Agent，先看 OpenShell 和那个审计 skill，把权限边界想清楚，再让它碰真东西。