1. GitLab Announces the Foundation for the Governed Software Factory

推荐理由： GitLab 把“software factory”从一个抽象愿景落到了具体控制面：Agent workflow、身份与权限、制品与依赖、上下文、成本和审计证据被放到同一条从 intent 到 production 的链路中。尤其值得注意的是，它没有把 AI coding 的核心问题继续定义成“写代码更快”，而是定义成如何让大量 Agent 在统一 policy、context 和 evidence chain 下持续工作。

核心要点：

  • GitLab 将大量分散的 coding、issue、SCM、CI/CD、security、artifact 和 deployment 工具称为“shadow software factory”。其目标是让 Custom Flows、flow triggers 和 /goal 在同一 identity、policy 和 evidence chain 下自动推进多阶段任务，把 Agent 从单点 coding tool 变成贯穿 SDLC 的执行者。
  • Agent 规模扩大后，治理对象不再只有代码，还包括软件供应链。Artifact Central、Dependency Firewall 和 Secrets Manager 分别控制制品、依赖和凭证；GitLab Security Standard 则把“detection → verified remediation”的时间作为 agentic software development 的核心安全指标。
  • Context 和 cost 被纳入同一个优化闭环。GitLab 表示 Orbit 已被 3,500+ 组织使用、支持 280,000+ 次 coding-agent 查询，并可让任务达到最多 45x fewer retries、4.5x fewer tokens；Impact Analytics 则进一步按 team、task、model 关联成本与实际交付结果。

核心启示：Software factory 的关键不是拥有更多 Agent，而是拥有一个统一控制面：workflow + identity + policy + context + supply chain + evidence + cost。只有这些基础设施存在，自治程度才有可能安全提升。

2. Introducing Wiz AI SAST: Application Security that Understands Your Code and Your Infrastructure

推荐理由： 这篇虽然主题是代码安全，但更重要的是它给出了一个很清晰的 Agent 产品工程方法：模型能力只是底座，真正让系统可用的是 harness、持续 eval、context grounding 和对非确定性输出的 lifecycle management。这套方法完全可以迁移到 coding agent、review agent、CI agent 等其他场景。

核心要点：

  • Wiz 明确提出“AI security performance 不是 model 的属性，而是 model + harness 的属性”。Atlas harness 曾在 CyberGym 排名第一并发现 200+ 个开源漏洞；随着模型更新，Wiz 会持续 benchmark 不同 model/harness pairing，再替换进生产扫描链路。
  • 非确定性不能直接暴露给企业工作流。Wiz 在每次扫描前重新验证旧 finding，并用安全语义和代码语义做 deduplication，使同一根因在多次 Agent 执行后仍保持稳定 identity，从而能够被 assign、track、remediate 和 close。
  • Context 直接决定 Agent 的判断质量。AI SAST 不只看源码，而是把代码与 infrastructure、identity、runtime 和 business criticality 关联，再决定哪些 repository 值得高成本 AI reasoning、哪些 finding 真正形成 attack path；修复阶段再把这些上下文交给 Green Agent 或外部 coding agent。

核心启示：生产级 Agent 系统要把非确定性包在确定性的工程壳里：continuous eval + context grounding + stable state + dedup/retest + workflow integration。真正需要长期维护的资产往往是 harness 和 lifecycle，而不是某一个模型。