每日科技资讯精选｜2026-11-09

基准时间窗口：2026-11-08 12:00 — 2026-11-09 12:00（北京时间） 篇幅风格：速览

今日速览 #

今日重点 #

• Red Hat 发布 OpenShift 4.16.75 重要安全更新（RHSA-2026:95229），合入 OpenSSH sftp 客户端下载路径穿越与 OpenSSL CMS 报文伪造等 8 项漏洞修复：本次向后移植更新修复了 CVE-2026-59995（sftp 客户端拉取目录时未限制远端服务器返回的文件名，恶意合作方 SFTP 服务器可通过相对路径穿越覆写客户端本地文件）、CVE-2026-59999（sshd 中 DisableForwarding=yes 未能覆盖 PermitTunnel=yes 导致隧道绕过）、CVE-2026-34182（OpenSSL 处理 CMS AuthEnvelopedData 时允许篡改内层加密算法为非认证模式或将标签缩短至 1 字节）及 3 项 PCRE2 越界写/JIT 内存破坏漏洞。
• AI 推理与训练底座聚焦算子门控回归、Kubernetes 评测编排与沙箱加固：SGLang 披露并修复 #48399 将架构门控收紧为严格 SM100 后，导致 NVIDIA GB10（SM121）运行 DeepSeek-V4.1 时静默回退至每层调用同步 Tensor.tolist() 的 PyTorch 路径，引发 8 倍 Prefill 吞吐退化（4096-token 分块从 ~4,000 tok/s 跌至 ~480 tok/s）；NVIDIA 发布 NeMo Helix v0.9.0，支持在 Kubernetes 上按 Job 并发编排 Harbor 智能体评测集、推出带 Trace/Span 证据链的 NeMo Compass，并因代码执行风险默认全局禁用 cloudpickle 自定义评测指标；CNCF 孵化项目 Lima 发布 v2.3，新增面向 AI 编码沙箱的 --sync-exclude / .limasyncignore 敏感文件过滤与 networkOpts.hostLoopback: false 宿主机回环隔离。
• 平台工程与智能体工程化治理走向精细化量化：ITECS 连发两篇工程实践，分别拆解 CI 流水线中 LLM 评测门禁的“Block（代码契约检查）-Compare（多轮中位数对比基线）-Observe（100～200 专家样本校准 Judge）”三级架构，以及 EKS（标准支持到期默认滑入 $0.60/集群/小时 延保且 11 月 26 日 1.31 延保到期将强制升级控制面）与 AKS（2027 年 6 月起无视维护窗口与 PDB 强制升级）的版本滞后代价；LoreKit 与 Claude Code 则分别揭示了跨工具智能体记忆格式碎片化与子智能体（Subagents）会话中途热加载失效问题。

本期共精选 7 条技术资讯，覆盖容器平台与文件传输安全（2 条）、AI 推理与训练评测底座（2 条）以及平台工程与智能体治理（3 条）。

分类正文 #

一、容器平台安全、虚拟化沙箱与文件传输治理 #

1. Red Hat 发布 OpenShift 4.16.75 安全更新（RHSA-2026:95229）：集中修复 OpenSSH sftp 客户端下载路径穿越（CVE-2026-59995）、sshd 转发禁用绕过与 OpenSSL CMS 报文伪造等 8 项漏洞（Red Hat · 2026-11-09（北京时间） · 官方公告）（P0 必读） #

就此条发起议题

• 新变化/核心观点：Red Hat 于 2026 年 11 月 9 日发布 OpenShift Container Platform（OCP）4.16.75 容器镜像与 RPM 异步安全更新（RHSA-2026:95229 / RHSA-2026:95228，安全影响评级为 Important，覆盖 x86_64、s390x、ppc64le 与 aarch64 架构），将 8 项上游关键安全漏洞的向后移植补丁正式合入 OCP 4.16 生产分支（注：所涉 CVE 均为 2026 年 6～7 月上游首次披露的既有漏洞，本次为 OpenShift 4.16 发行版正式发布修复镜像）：（1）OpenSSH SFTP 客户端下载路径穿越（CVE-2026-59995）：OpenSSH 10.4 之前的 sftp 客户端在执行 sftp server:/path . 从远端拉取目录时，直接信任远端服务器返回的文件列表元数据而未校验文件名是否仅包含受限于目标目录的基名（Basename），恶意或被攻陷的外部 SFTP 服务器可返回含路径分隔符或相对路径穿越序列（CWE-23）的文件名，从而以客户端运行账户权限向本地预期目录之外的任意可写位置（如配置文件或启动脚本目录）写入或覆写文件；（2）OpenSSH sshd 转发限制绕过（CVE-2026-59999）与客户端密钥重交换 UAF（CVE-2026-60002）：当管理员在 /etc/ssh/sshd_config 中配置 DisableForwarding=yes 试图阻断全部网络转发时，该配置未能正确优先覆盖 PermitTunnel=yes，导致攻击者仍可建立 SSH 隧道绕过隔离策略；（3）OpenSSL CMS 认证加密容器伪造（CVE-2026-34182）与 AES-OCB IV 忽略（CVE-2026-45445）：OpenSSL 在处理密码学消息语法（CMS）AuthEnvelopedData 容器时未严格校验内层加密算法 OID 与 AEAD 认证标签长度，在途攻击者可捕获合法报文后保留 recipientInfos 不变、将内层算法篡改为无认证的 AES-256-OFB 流模式或将认证标签截断至仅 1 字节（256 种可能），使 CMS_decrypt() 在不校验证书 MAC 的情况下返回解密成功（开启系统级 FIPS 模式可免疫此漏洞）；（4）PCRE2 正则引擎 3 项越界写与 JIT 内存破坏（CVE-2026-86145 / CVE-2026-89161 / CVE-2026-103111）：特制正则表达式可在 pcre2_jit_match 等路径触发内存破坏与任意代码执行。
• 对银行业的价值：（推断）银行在 OpenShift / RHEL 容器底座上运行的批处理对账作业常通过 sftp 客户端主动连接外部商户或清算合作方的 SFTP 服务器拉取对账单与交易明细，且金融报文加解密广泛涉及 CMS 标准格式；CVE-2026-59995 揭示了“我方作为 SFTP 客户端主动去外部合作方拉取文件时被反向路径穿越写盘”的隐蔽威胁，建议企业内部安全与文件交换团队立即排查使用 sftp server:/path . 语法的自动化拉取脚本（确保运行在最小权限非 root 容器内并升级 OpenSSH 补丁），同时推动 OpenShift 4.16 生产集群滚动升级至 4.16.75，并在跳板机 sshd_config 中显式补充 PermitTunnel no。
• 值得深读：建议对照阅读 Red Hat 针对 CVE-2026-59995、CVE-2026-59999 与 CVE-2026-34182 的专项分析页，重点核查金融报文验签/解密链路是否依赖非 FIPS 模式下的 OpenSSL CMS_decrypt() 返回值作为完整性判定依据。
• 原文链接：https://access.redhat.com/errata/RHSA-2026:95229 、https://access.redhat.com/security/cve/cve-2026-59995 、https://access.redhat.com/security/cve/cve-2026-59999 、https://access.redhat.com/security/cve/cve-2026-34182

2. CNCF 孵化项目 Lima 发布 v2.3 详解：新增 Windows 原生 HCS 驱动、Linux 桥接网络，以及面向 AI 编码沙箱的敏感文件同步排除与宿主机回环隔离（窗口边缘补录）（CNCF，作者 Audra · 2026-11-08（页面仅标注日期） · 官方发布/窗口边缘补录）（P1 值得阅读） #

就此条发起议题

• 新变化/核心观点：CNCF 孵化项目 Lima（Linux Virtual Machines）于 11 月 8 日在 CNCF 官方博客发布 v2.3 版本深度解析（底层版本于 11 月 6 日构建发布），围绕跨平台轻量级虚拟机与**“更安全的 AI 编码智能体沙箱（Safer AI sandboxes）”**推出四大核心更新：（1）AI 编码沙箱数据防泄漏与网络回环隔离：针对开发者通过 limactl shell --sync 将工作目录同步至虚拟机供 AI Coding Agent 操作的场景，此前默认会将 .env 密钥、.git 历史及庞大的 node_modules 全量拷入虚拟机；v2.3 新增可重复指定的 --sync-exclude 标志及项目级 .limasyncignore 配置文件，将敏感凭证留在宿主机外；同时为 macOS VZ 驱动新增 networkOpts.hostLoopback: false 选项，开启后立即阻断虚拟机通过 host.lima.internal 访问宿主机 127.0.0.1 上的本地数据库或开发服务；此外内置 MCP 工具新增 replace 接口，允许 Agent 在虚拟机内对文件执行局部替换而无需重传整份文件；（2）Windows 原生 HCS 驱动（实验性）：新增 --vm-type hcs 驱动，无需安装 QEMU 或额外 Unix 工具链即可直接调用支撑 WSL2 的 Windows Host Compute System（HCS）API 启动虚拟机（当前仅支持单实例与 plain 模式，需显式传入 --dns），并为 Windows 客户机补齐了 system/user/data/dependency 启动 Provision 脚本支持；（3）Linux 宿主机真实 IP 网络（lima-privileged-net）：引入受 root 严格拥有并通过 limactl sudoers 生成最小权限规则的特权辅助程序，自动创建网桥、运行 dnsmasq 分配 DHCP/DNS 并管理每实例 tap 设备，使 lima:shared / host / bridged 网络首次在 Linux 宿主机上实现与 macOS socket_vmnet 对等的宿主机直达 IP；（4）macOS 裸块设备安全直通与终端 TUI：重构了曾因安全报告被回滚的裸磁盘挂载机制，通过独立的 lima-privileged-block-device 辅助程序（强制校验整条目录链归属 root、按单设备 /dev/diskN 签发 sudoers 并对共享 LIMA_HOME 加全盘排他锁）将外部 SSD 直接挂载为 /dev/disk/by-id/virtio-<name>，并新增交互式终端管理界面 limactl menu。
• 对银行业的价值：（推断）银行研发团队在本地开发机（Windows 与 macOS 终端）试用 Claude Code、Codex 等具备 Shell 执行权限的 Coding Agent 时，如何防止 Agent 读取本地 .env 凭证或横向连接开发机 127.0.0.1 上的内网隧道/本地数据库是终端安全管控的核心痛点；Lima v2.3 提供的 .limasyncignore 同步过滤、networkOpts.hostLoopback: false 宿主机回环阻断以及 Windows 原生 HCS 轻量虚拟化驱动，为企业内部构建标准化、跨操作系统的研发终端本地 AI 隔离沙箱提供了轻量级开源选型。
• 值得深读：文中《Built with security in mind》与《Safer AI sandboxes》两节详细说明了如何通过特权分离辅助程序（Helper）与路径所有权校验修复早期裸磁盘挂载漏洞，以及 AI 沙箱最小暴露面的配置范例。
• 原文链接：https://www.cncf.io/blog/2026/11/08/lima-v2-3-native-on-windows-vmnet-on-linux-and-menu-tui/

二、AI 推理与训练评测底座 #

3. SGLang 披露并修复 DeepSeek-V4.1 在 SM120/SM121（GB10）上的 8 倍 Prefill 性能退化缺陷（#49173）：算子门控误降级引发逐层同步 Tensor.tolist() 阻塞（窗口边缘补录）（GitHub · 2026-11-08（页面仅标注日期） · 官方公告/窗口边缘补录）（P1 值得阅读） #

就此条发起议题

• 新变化/核心观点：SGLang 官方仓库于 11 月 8 日披露 Issue #49173 并同日提交修复 PR #49182：此前合入的 PR #48399 将 srt/layers/attention/dsv4/v41_indexer/__init__.py 中的架构判定条件从 is_sm100_or_newer()（计算能力主版本号 >= 10）修改为严格的 current_arch().is_sm(10)，导致计算能力为 12.1 的 NVIDIA GB10（SM120/SM121 架构家族）在运行 DeepSeek-V4.1-Flash 时被静默踢出 DeepGEMM 索引器路径，降级回退至 _torch_prefill。在 4 台 DGX Spark 组成的 TP=4 生产集群实测中，由于 _torch_prefill 调用的 scoring.prefill_requests 在每一层注意力循环内部都会执行一次 Tensor.tolist()（触发设备到主机的同步内存拷贝 D2H），每层产生约 125 ms 的固定同步延迟；在单次 120K Token Prefill 的 18.4 秒 Torch Profiler 采样窗口中，3,117 次 cudaMemcpyAsync（位于 aten::to/_to_copy 下）累计阻塞主机端达 9.86 秒，导致 4096-token 分块 Prefill 吞吐量从正常的 ~4,000 tok/s 暴跌 8 倍至 ~480 tok/s。报告者与维护者进一步揭示了修复中的数据类型契约陷阱（Dtype Subtlety）：底层 sgl-deep-gemm 0.2.6 在 attention.hpp:50 中强制断言 weights.scalar_type() == (arch_major == 10 ? torch::kBFloat16 : torch::kFloat32)，且稀疏 MQA logits 算子严格要求 arch == 10；因此修复 PR #49182 仅针对稠密 DeepGEMM 路径（_use_deep_gemm_prefill 与 use_deep_gemm_decode）恢复了 >= 10 门控，同时保持 index_logits.py 中的 dtype 门控与稀疏表门控严格限定为 SM100，使 SM120/SM121 按 fp32 权重/logits 契约安全恢复高速 DeepGEMM 调度。
• 对银行业的价值：（推断）银行算力中心在引入新一代 GPU 架构（或桌面级/边缘级算力设备如 DGX Spark GB10）部署 DeepSeek 等稀疏注意力/索引器模型时，开源推理框架中一个看似无害的 is_sm(10) 精确匹配改动就会触发无报错的静默算子回退，并因回退路径中未批量化的逐层 Tensor.tolist() D2H 同步把长上下文 Prefill 吞吐量拉低 8 倍；建议企业内部推理工程团队在升级 SGLang/vLLM 版本时，不仅要跑通功能测试，还必须在 Torch Profiler 中设置针对 aten::_to_copy / cudaMemcpyAsync 调用频次与主机同步耗时的性能门禁。
• 值得深读：Issue #49173 展示了如何通过 Torch Profiler 精确剥离 GPU 算子耗时与 Host 端 Tensor.tolist() 同步开销，以及对 sgl-deep-gemm 0.2.6 跨架构 bf16/fp32 类型契约的源码级拆解。
• 原文链接：https://github.com/sgl-project/sglang/issues/49173

4. NVIDIA 发布 NeMo Helix v0.9.0：新增 Kubernetes Harbor 智能体评测任务集编排、NeMo Compass 证据链追踪分析，并默认禁用 cloudpickle 自定义指标（窗口边缘补录）（NVIDIA · 2026-11-09（页面仅标注日期） · 官方文档/窗口边缘补录）（P1 值得阅读） #

就此条发起议题

• 新变化/核心观点：NVIDIA 于 2026 年 11 月 9 日发布 NeMo Helix v0.9.0 官方发行说明，重点升级了企业级智能体评测、训练生命周期控制与安全隔离机制：（1）Kubernetes Harbor 任务集并发评测与离线 Gym 修复：支持冻结选定的 Harbor 任务 Git 修订版本、自动构建任务容器镜像，并在 Kubernetes 集群上按“每个评测任务一个独立 K8s Job”的方式结合 OpenSandbox 资源进行规模化评测；Sandboxed Gym 宿主机现支持在完全禁绝外网出口（No Egress）的离线环境中运行 wheels-v1 评测包，并修复了此前“当智能体根本未能启动运行时，失败试验反而被误报为成功（Success）”的严重评测失真缺陷；（2）默认禁用 cloudpickle 自定义指标与强化沙箱网络边界：由于使用 cloudpickle 序列化的自定义 Python 评测指标会以平台服务凭证权限反序列化并执行任意用户代码，v0.9.0 默认全局禁用 cloudpickle 自定义指标（管理员需显式开启 evals.allow_insecure_cloudpickle_metrics 及 Helm evals.allowInsecureCloudpickleMetrics 方可放行受信任提交者）；在强化学习（Sandboxed GRPO）中支持将 Gym 沙箱对训练 Pod 的网络访问严格限制在 episode broker 与生成服务端口，阻断其触达 Ray 控制平面端口（发行说明特别警示：必须同时启用两项 networkPolicies 标志、具备强制执行能力的 CNI 插件以及提供独立内核边界的 Kata Containers，仅训练任务成功跑通并不证明上述隔离已生效）；（3）NeMo Compass 证据链诊断与协作式训练暂停/恢复：原 Insights 插件更名为 NeMo Compass（nemo compass analysis-runs create），基于智能体 Trace 与 Span 证据输出带严重度与置信度的诊断结论；Automodel、Unsloth 与 RL 训练步骤支持协作式暂停以保存检查点并释放 GPU（暂停作业默认保留存储 7 天，失败作业保留 4 小时），且 CLI 将智能体注册命令从 nemo agents create 统一变更为 nemo agents register。
• 对银行业的价值：（推断）银行在私有 Kubernetes 集群上建设内部大模型微调（GRPO/SFT）与智能体评测平台时，常忽视评测脚本反序列化与强化学习奖励环境（Reward Gym）逃逸至 Ray 控制平面的安全风险；NeMo Helix v0.9.0“默认封禁 cloudpickle 动态代码指标”、“要求 Kata 独立内核 + 双层 NetworkPolicy 隔离 Ray 控制面”以及“将智能体未执行的崩溃试验严格归类为 Error 而非 Success”的三项改进，可直接对照用于企业内部 AI 训练与评测平台的安全性与准确性自查。
• 值得深读：发行说明中的《Agent Evaluation》、《Customizer》与《Current constraints》三节清晰列出了在 Kubernetes 上落地安全沙箱化评测与强化学习微调所需的前置 CNI、Kata 与 Landlock（需设为 hard_requirement 而非默认的 best_effort）约束条件。
• 原文链接：https://docs.nvidia.com/nemo-helix/documentation/reference/release-notes/release-0-9-0

三、平台工程、智能体评测门禁与记忆标准化 #

5. ITECS 发布云原生与 AI 交付治理双篇深度实践（新文章）：拆解 CI 流水线 LLM 评测门禁“阻断-对比-观察”三级架构与 EKS/AKS 版本滞后账单（窗口边缘补录）（ITECS AI · 2026-11-08（页面仅标注日期） · 社区文章/窗口边缘补录）（P1 值得阅读） #

就此条发起议题

• 新变化/核心观点：ITECS 工程团队于 11 月 8 日发布两篇面向研发交付流水线与 Kubernetes 集群治理的深度实践文章：（1）在 《LLM Evaluation Gates in CI: What to Block, What to Watch》 中，针对“即使 temperature=0 模型输出仍存在跨调用波动，一行提示词修改可通过全部传统单元测试却在线上引发 Schema 破坏、工具误调或拒答失效”的难题，提出将 CI 评测划分为三个门禁等级——Block（契约检查，纯代码判分，单次失败即阻断合并，覆盖 JSON Schema 解析、工具调用合法性、必拒用例拒答字段与引用溯源）、Compare（质量对比，将候选 PR 在受影响用例上重复运行 3 次取中位数，与 main 分支最近 10 次夜间跑分基线对比，仅当中位数跌破 Baseline - Tolerance 如 0.86 - 0.04 = 0.82 时阻断）、Observe（观察模式，不阻断构建，直至 LLM Judge 在领域专家独立标注的 100～200 条含故障样本集上达到 ≥90% 一致率且在必败样本上零宽容漏报后再晋升为 Compare）；同时详解了通过 evals/manifest.yaml 对前 6 项核心输入（Prompt 版本号、固定模型快照 ID、解码参数、检索构建号与 top-k/chunking、数据集内容哈希、Rubric 与 Judge 版本）计算哈希锁定的方法，并指出在 GitHub Actions 中不可在顶层 Workflow 使用路径过滤（否则未修改 AI 文件的普通 PR 会因 Required Check 永远处于 Pending 而无法合并），应改用内部 diff Job 配合 if: always() 的 eval-gate 汇总裁决 Job；（2）在 《EKS and AKS Version Upgrades: The Bill for Falling Behind》 中，对齐了截至 2026 年 11 月 8 日 Kubernetes 1.31～1.37 的支持日历：EKS 标准支持（14 个月，$0.10/集群/小时）到期后默认自动转入延保支持（12 个月，$0.60/集群/小时 即 $438/月，费用激增 6 倍，且进入延保后无法通过改策略关闭，近期 2026 年 11 月 26 日 EKS 1.31 延保到期将触发无事前通知的强制控制面升级，12 月 2 日 EKS 1.34 将转入 $0.60/小时 延保）；AKS 则自 2027 年 6 月 1 日起对超出社区支持 + 60 天宽限期的集群启动平台强制升级，且强制升级将无视用户维护窗口、绕过废弃 API 检查并强制覆盖 PodDisruptionBudget（PDB）。
• 对银行业的价值：（推断）银行在将大模型应用纳入企业级 DevSecOps 流水线时，常因 LLM 判分波动导致 CI 门禁要么频繁误报阻塞发布、要么沦为无人关注的摆设；ITECS 给出的“6 字段 Manifest 哈希锁定 + 代码契约单次即阻断 + 质量指标 3 轮中位数对比 10 轮夜间基线 + 避免 GitHub Actions 顶层路径过滤死锁”方案工程可操作性极强，而 EKS/AKS 强制升级绕过 PDB 与废弃 API 检查的机制则直接警示混合云容器团队需建立每季度升 1 个次版本的常态化节奏。
• 值得深读：第一篇中的 evals/manifest.yaml 字段设计表、Claude Sonnet 5.5 标准调用与半价 Batch API 的月度 CI 评测成本测算表（100 次 PR + 30 次夜间全量 + 20 次发布约 $1,596/月），以及第二篇中的 1.31～1.37 跨云 EOL 对照日历表均值得精读。
• 原文链接：https://itecs.ai/insights/llm-evaluation-gates-in-ci 、https://itecs.ai/insights/eks-aks-version-upgrade-costs

6. LoreKit 撰文探讨智能体记忆标准化（新文章）：对比 9 类碎片化记忆存储形态，提出涵盖实时寻址、写入者溯源与 MCP 契约的开放规范草案（窗口边缘补录）（LoreKit，作者 Mads Thines · 2026-11-07（页面仅标注日期） · 社区文章/窗口边缘补录）（P2 可选） #

就此条发起议题

• 新变化/核心观点：可观测性厂商 Dash0 工程师、开源项目 LoreKit 作者 Mads Thines 在 《Agent memory needs its OpenTelemetry moment》（11 月 8 日登上 Hacker News 首页热榜，原文标注日期为 November 7, 2026）中系统梳理了当前 AI 智能体记忆层的碎片化困局。作者盘点了目前开发者环境中并存的 9 类互不兼容的记忆形态：指令文件（AGENTS.md / CLAUDE.md / .cursor/rules/*.mdc）、Anthropic /memories 智能体自管文件、GitHub Copilot Memory（带代码引用且默认 28 天未使用即自动删除）、Letta 固定字符上限上下文块、Mem0 抽取事实、LangGraph BaseStore（命名空间元组 + 键，默认读取即重置 TTL）、MCP 参考知识图谱、Graphiti/Zep 双时间线时序图谱（事实失效而非物理删除）以及 LoreKit 寻址记录。这种割裂导致 CI 排障智能体学到的仓库经验无法被本地 IDE 编码智能体或 PR 评审智能体共享。文章指出，现有的 MacPaw Portable Memory（带签名的 .mem 归档）、Open Memory Protocol 与 Cognee COGX 主要解决跨平台“离线导出迁移（Export）”，但多智能体协同更亟需解决**“实时寻址（Live Addressing）”**；为此作者提议借鉴 2019 年 OpenTracing 与 OpenCensus 合并为 OpenTelemetry 的经验（统一底层数据模型、语义约定、传输协议与一致性测试，而在存储、检索排序与 UI 层保留竞争），定义包含作用域寻址层级（global/project/repo/branch）、唯一标识 id、区分人工/模型/抽取服务的 written_by 写入者溯源字段、lifecycle 过期策略及 vcs.*/ci.* 扩展属性的开放记忆记录格式与标准 MCP 操作契约。
• 对银行业的价值：（推断）银行科技部门在研发、测试、代码审查与运维环节往往并行引入多套国内外智能体工具，若各工具将项目排障经验与架构约束沉淀在私有格式中，不仅会造成重复踩坑，还会导致共享记忆沦为缺乏审计溯源的跨工具提示词注入（Prompt Injection）通道；文中提出的在记忆信封（Envelope）中强制记录 written_by（写入主体身份）、附加密码学签名以及绑定所依赖代码路径以检测陈旧记忆（Stale Memory）的设计思路，对企业内部规划统一研发知识底座具有参考意义。
• 值得深读：文中《A tour of the shapes》对 9 种主流智能体记忆机制在“记忆单元、寻址方式、遗忘策略”三假维度的横向对比表，以及《What a shared spec could look like》给出的 agent-memory/0.1 Frontmatter 结构示例值得细读。
• 原文链接：https://www.lorekit.io/blog/open-agent-memory-format

7. Claude Code 披露动态子智能体（Subagents）热加载失效缺陷（#108487）：会话中途向已有 .claude/agents/ 目录新增定义文件无法自动注册（窗口边缘补录）（GitHub · 2026-11-09（页面仅标注日期） · 官方公告/窗口边缘补录）（P2 可选） #

就此条发起议题

• 新变化/核心观点：Claude Code 官方仓库于 11 月 9 日披露 Issue #108487（在 Windows 10 环境下的 Claude Code 2.1.319 终端 CLI 与 VS Code 插件双入口均稳定复现）：尽管官方子智能体（Sub-agents）文档明确声明 Claude Code 会实时监听 ~/.claude/agents/ 与项目级 .claude/agents/ 目录，当用户在磁盘上添加或修改子智能体定义文件（或由 Claude 在会话中自动生成新的子智能体文件）时会在数秒内自动检测并在下一次委派时生效（无需重启会话）；但实测表明，即便项目在会话启动前已存在 .claude/agents/ 目录且已正常加载存量子智能体（如 probe-existing.md），在会话运行中途向该目录新增合法子智能体定义文件（probe-new.md）后，分别等待 15 秒与近 100 秒发起委派调用均报错 Agent type 'probe-new' not found，可用子智能体列表始终停留在会话启动时刻的初始快照。
• 对银行业的价值：（推断）对于正在基于 Claude Code 构建“主控规划 Agent 根据任务特征动态生成领域专精 Subagent 并立即委派执行”自演进工作流的研发团队，该缺陷意味着当前在 Windows 等环境下不能依赖会话内文件监听热加载机制，编排脚本在动态写入 .claude/agents/*.md 后需显式重启子会话以刷新注册表。
• 值得深读：Issue #108487 给出了包含正负对照（启动前已存在 vs 启动后拷入）的清晰最小复现步骤及过往被自动关闭的相关历史 Issue 脉络。
• 原文链接：https://github.com/anthropics/claude-code/issues/108487