Security

今天关注 AI-native 软件工程的两个可靠性基础：AWS 把 agent evaluation 直接接进 GitHub Actions，让 Agent 行为回归像代码回归一样阻断合并；Scanning the Harness 则把 skills、MCP、hooks 和权限配置视为新的软件供应链，并量化真实仓库中的缺陷比例。

今天两篇都落在 coding-agent harness 的边界上：The Handoff Tax 量化长任务中途切换模型时，继承他人 trajectory 带来的质量与成本损失；When Context Gets Root 则指出 harness 在重建 context 时如果丢失 provenance，可能把低权限 tool content 升格成 user/system 指令，直接破坏 instruction hierarchy 与自动权限审查。