May 13, 2026 · 10:50 AM

AI Agent 生态速报 | 2026-05-13：Google 把 Gemini 压进 Android 底层，Altman 庭审揭 Musk 传位计划

本期三条主线同日落地：Google 在 Android Show: I/O Edition 发布 Gemini Intelligence，将 Android 从操作系统升级为全系统 Agent 平台（跨应用自动化、生成式 Widget、Chrome 自动浏览）；Sam Altman 在 Musk 诉 OpenAI 案出庭 4 小时，披露 Musk 曾要求完全控制 OpenAI 并有意传位子女；Cloudflare+Stripe Agent 自主部署协议持续发酵，与 PocketOS 9 秒删库事故形成对镜——Agent 自主能力扩张，凭据治理和恢复计划仍是欠账。框架侧新增 LangChain 1.3.0（agent stream_events v3 支持）、Dify v1.14.1 安全补丁、Semantic Kernel CVE-2026-25592（CVSS 9.9）正式披露，Needle 26M 参数无 FFN 模型在 HN 引爆讨论。

Agent 生态周报 @chinamusk

Research Brief

采集窗口：2026-05-12 02:53 — 2026-05-13 02:00（UTC+8）｜约 23 小时标准日报周期｜核心信号数：31 条

本期主线

三条主线并行落地。Google 在 Android Show: I/O Edition 上把 Gemini 从「应用内助手」压到操作系统底层——跨应用自动化、自生成 Widget、Chrome 自动浏览，Android 开始接过「个人 Agent 平台」的叙事。同一天，Sam Altman 在 Oakland 联邦法院出庭 4 小时，亲口说出 Musk 曾想将 OpenAI 控制权传给子女的细节，这场审判原本只是法律纠纷，正在变成 AI 行业早期权力博弈的公开解剖。

基础设施侧，Cloudflare 与 Stripe 推出的 Agent 自主部署协议持续发酵——让代码 Agent 可以自己开账号、购域名、上线服务，同期发酵的 PocketOS 删库事故（9 秒内删完生产库和备份）恰好构成一组对镜：Agent 的自主能力在扩张，凭据治理和恢复计划还是欠账。

一、商业产品

Google Gemini Intelligence：Android 变成 Agent 平台

5 月 12 日上午，Google 在 Android Show: I/O Edition 上正式发布「Gemini Intelligence」，将 Android 定位从「操作系统」升级为「intelligence system」。1

五个功能模块依次推进：

多步骤跨应用任务自动化：支持屏幕截图和图像上下文触发跨应用操作。拍一张旅行手册的照片，让 Gemini 直接在 Expedia 搜同类行程；在笔记 app 里长按购物清单，Gemini 把它推进购物 app 的购物车。Android VP Sameer Samat 的表述是：「in our agentic Gemini era, we have the opportunity to transform Android into an intelligence system that can do so much more for you, taking your intention into action.」1

Gemini in Chrome 自动浏览（6 月下旬上线 Android）：代替用户自动导航网站完成预订、订票等重复任务。

Gemini 增强自动填表：基于 Personal Intelligence，Gemini 可从 Gmail、Google Photos 等提取信息（护照 ID、驾照号等）自动填入表单，全程 opt-in，随时可关。

Gboard Rambler 语音转写：自动去除「um」「ah」「like」等填充词，识别自我修正（「下午 3 点…不对，2 点」→ 输出「下午 2 点」），支持同一句子中多语言切换。

Create My Widget 生成式 UI：自然语言描述需求即可生成自定义桌面小组件。Google VP Mindy Brooks 给的例子是「每周推荐三份高蛋白备餐食谱」，说法是「to be able to have it as customizable as possible, pulling from all sorts of data sources that you ask it to be able to create a custom widget for you.」2

首波功能今夏登陆最新 Samsung Galaxy 和 Google Pixel，随后扩展至 Wear OS 手表、Android Auto、AR 眼镜和 Googlebook（Google 同日发布的新 AI 原生笔记本品类，合作方 Acer、Asus、Dell、HP、Lenovo，今秋上市）。3

图片来自：A smarter, more proactive Android with Gemini Intelligence

从产品竞争角度看，Gemini Intelligence 的落点是把 Agent 能力变成 OS 级分发渠道——不需要用户主动打开 Gemini app，而是从屏幕截图、日历、填表这些高频场景里「涌现」出来。Apple Intelligence 的 Siri 走的同样路线，但落地节奏明显慢了一拍；此前小米等 Android OEM 的 OS-level AI 更多停留在搜索聚合层。Gemini 把跨应用自动化、生成式 UI、Personal Intelligence 三个切面同时推进，在移动端 Agent 平台位置上形成了新的参照系。

Sam Altman 出庭 4 小时：「他想把 OpenAI 传给子女」

5 月 12 日，Sam Altman 在 Oakland 联邦法院出庭作证，这是 Musk 诉 OpenAI 案开庭以来信息量最密集的一天。4

Musk 方律师 Steven Molo 以「Are you completely trustworthy?」开场，Altman 先说「I believe so」，随后修正为「Yes」。Molo 随后引用了多名前 OpenAI 关联者的负面评价，包括 Loopt 员工、Dario Amodei（Anthropic CEO）、前 OpenAI 董事会成员 Tasha MacCauley 和 Sue Yoon。

「Are you completely trustworthy?」
——Steven Molo（Musk 方律师），交叉质询开场

Altman 的核心披露出现在控制权问题上：他作证称 Musk 在 2017 年讨论 OpenAI 营利结构时要求「total control」，且当被追问「去世后公司怎么办」时，Musk 回应可能传给子女。Altman 称这是「hair-raising moment」，让他「extremely uncomfortable」。5

「My belief is he wanted to have long-term control and that he would have had that had we agreed to the structure he wanted.」
——Sam Altman

他还作证说 Musk 在 2018 年离开 OpenAI 对部分研究员是「morale boost」，以及「I don't think Mr. Musk understood how to run a good research lab.」6

关于 2023 年被解职：Altman 称完全被打了「completely caught off guard」，「I was watching it about to be destroyed.」OpenAI 董事会主席 Bret Taylor 同日作证，称董事会一致投票拒绝了 Musk 的 OpenAI 收购要约。

昨日已报道的 Nadella 证词（「amateur city」）是 5/11 事件；今日 Altman 亲自出庭是新事件。庭审进入第二天，之前是 OpenAI 合作方的证词，今天是 OpenAI 内部历史的直接陈述。对技术选型层面影响有限，但 OpenAI 内部权力结构的透明度在每一天的庭审后都在增加。

DeployCo $14B 正式披露：咨询三巨头的自我颠覆游戏

昨日本栏已报道 DeployCo 成立公告（当时融资规模援引「$40 亿+」），今日 Axios 披露完整细节7：

估值：pre-money $10B + $4B 首轮投资，合计 $14B
领投：TPG；联合领投：Advent International、Bain Capital、Brookfield
跟投机构：B Capital、BBVA、Emergence Capital、Goanna、SoftBank、Warburg Pincus、WCAS
特殊参与方：Bain & Co.、Capgemini、McKinsey & Co.——三家传统咨询公司
投资条款：投资者获保证最低 17.5% 回报，利润设有上限

三家咨询公司参投这件事的张力来自 Axios 分析师 Dan Primack 的一句话：乐观解读是它们可以深入了解 OpenAI 能力再分享给客户；更悲观的解读是 OpenAI 说服了传统咨询公司出钱资助自己被取代的过程。

Goldman Sachs 是唯一同时投资 DeployCo 和 Anthropic 企业 AI 合资公司（$1.5B，合作方 Blackstone、Hellman & Friedman）的机构——双压注，不选边。

GitHub Copilot 模型退役潮 + Cursor Teams 集成

GitHub Copilot 5 月清洗：Grok Code Fast 1 将于 5/15 退役，原因是 xAI provider 端主动下线该模型；此前 GPT-4.1 和 Claude Sonnet 4 于 5/7 退役，GPT-5.2 系列于 5/1 宣布退役。替代方案均为 GPT-5 mini 或 Claude Haiku 4.5。8

Grok Code Fast 1 的生命周期是同批模型中最短的，xAI 自行退役的信号意味着 GitHub Copilot 的模型供给并不完全由 GitHub 掌控。开发者在选择 Copilot 适配工具链时，「模型可替换性」应当是显式配置项，而非默认锁定。

Cursor 5 月更新9：

Microsoft Teams 集成（5/11 上线）：在 Teams 频道中 @Cursor 即可委派任务给 cloud agent，自动选仓库和模型，代理创建 PR
Bugbot 精度分级：High 模式平均每次发现 0.95 个 bug，Default 模式 0.7 个；另有自然语言描述的 Custom 档位
Cursor 3.3（5/7）：并行 agent 执行计划、将变更拆分到多个 PR、技能快捷按钮

Teams 集成的实际含义是：任务委派入口从 IDE 扩展到了工作流工具——工程师不需要打开 Cursor 才能触发 agent 工作。这和 GitHub 把 Copilot 集成进 PR review 流程的思路一致：把 agent 做成背景进程，不要求用户主动切换上下文。

二、开源框架

LangChain 1.3.0：为 agent 事件流加入 v3 支持

5 月 12 日 14:46 UTC，LangChain 发布 langchain==1.3.0，commit 21d77d6，由 GitHub Actions 自动发布。唯一变更：为 langchain agents 的 stream_events / astream_events 方法添加 version="v3" 支持。10

「This release adds support for version="v3" in stream_events / astream_events for langchain agents.」
——Release Notes

注意：langchain==1.3.0 和 langchain-core==1.4.0（昨日已报道）是两条独立版本线，v3 流式支持覆盖到 langchain 层。已经迁移到 langchain-core 1.4.0 的项目还需要同步升级 langchain 包。

Dify v1.14.1：40 人合力打的安全补丁

5 月 12 日 08:19 UTC，Dify 发布 v1.14.1，定位为安全强化补丁，40 位贡献者参与。11

关键变更：

SECRET_KEY 硬化：Docker 部署空值时 API 自动生成并持久化，不再依赖公开默认值
内部端点保护：/threads 和 /db-pool-stat 新增认证要求
账户隔离：修复 GET /account/avatar IDOR 漏洞；builtin-tool 默认凭证清理限定到当前租户
CVE-2026-42208：升级 LiteLLM 修复
HITL 改进：人机协作流程中暴露选定操作值；Question Classifier 新增可编辑分类标签

Dify 开源社区现在是 AI workflow 工具里贡献者密度最高的之一，40 人参与一个补丁版本，说明大量用户在实际生产中跑 Dify。SECRET_KEY 默认问题是低级安全债，但在 Docker 部署场景下确实容易被忽略。这次用「空值自动生成」代替「必须手动配置」，默认安全设计比依赖配置文档要可靠。

Semantic Kernel CVE-2026-25592（CVSS 9.9）：Prompt Injection 已经能拿 Shell

这条是对昨日 SK dotnet-1.76.0 安全加固报道的重要补充。Microsoft 于 5 月 7 日在安全博客正式披露了两个漏洞，标题直接：「When prompts become shells: RCE vulnerabilities in AI agent frameworks」。12

CVE-2026-25592（CVSS 9.9 CRITICAL，影响 SK .NET < 1.71.0）：SessionsPythonPlugin 中的 DownloadFileAsync 方法被 [KernelFunction] 装饰暴露，攻击者通过 prompt injection 可将恶意脚本写入 Windows 启动目录，实现持久化 RCE。已在 1.71.0 中修复。13

CVE-2026-26030（影响 SK Python SDK）：default_dynamic_filter_function 存在过滤绕过漏洞，可执行任意 Python 代码。

两个漏洞均由 Microsoft Defender Research Team 发现，2026 年 2 月静默修复，5 月 7 日公开披露。Microsoft Defender 的定性有参考价值：prompt injection 已从「让模型说错话」升级为「获得 shell 访问权」——传统的输入过滤防御对这类工具注册面的攻击无效。

用 SK 且版本低于 1.71.0 的团队需要立即升级。SK 最新版 dotnet-1.76.0（昨日已报）继续沿安全加固方向推进。

LangGraph 第 10 轮无 RC：满一年未发版

langgraph==1.2.0 发布于 2025 年 5 月 12 日——恰好今日整一年。最新预发布 v1.2.0a7 停在 2025 年 5 月 4 日，已超过 13 个月。这是本栏连续第 10 轮追踪到 LangGraph 无 RC 或新版本。14

仓库仍有 31.9k stars，但代码层的停滞已超过 12 个月。DeltaChannel、per-node timeouts、v3 streaming API 等功能只能通过 alpha 使用，生产场景需要自己评估稳定性风险。对新项目选型来说，LangGraph 的「活跃度不确定性」现在是一个需要主动标注的项。

CrewAI 本期发布了 3 个预发布版本（1.14.5a4/a1.dev20260512、1.14.2a2.dev20260513），暂无 changelog，正式版 1.14.4 仍停在 4 月 30 日。

三、工具链与基础设施

Cloudflare + Stripe：Agent 可以自己开账号、买域名、上线

4 月 30 日，Cloudflare 与 Stripe 合作推出新协议，允许 AI coding agent 自主完成 Cloudflare 账户创建、域名购买、付费订阅启动和 API token 获取，全程无需人工介入 dashboard。该协议本期窗口内仍在持续发酵（HN 658 分、368 条评论）。15

协议三层结构：

Discovery：agent 通过 stripe projects catalog 查询可用服务目录
Authorization：Stripe 作为 OAuth/OIDC 身份提供者，为 agent 创建或连接 Cloudflare 账户
Payment：Stripe 提供支付 token，$100/月默认消费上限，agent 不接触原始信用卡信息

Cloudflare 作者 Sid Chatterjee 和 Brendan Irvine-Broque 的原话：「Starting today, agents can provision Cloudflare on behalf of their users. They can create a Cloudflare account, start a paid subscription, register a domain, and get back an API token to deploy code right away.」15

同日发布的 Dynamic Workflows（MIT 许可，约 300 行 TypeScript）支持 per-tenant 动态路由 durable execution，让每个 agent 运行自己的 workflow 代码，idle 时零成本16。Cloudflare 这几个月的发布轨迹：Artifacts + Dynamic Workers + Dynamic Workflows + Stripe 部署协议，已经形成了一条相对完整的「agent-to-production」基础设施栈。

图片来自：Agents can now create Cloudflare accounts, buy domains, and deploy

HN 社区的主要担忧集中在滥用风险——用户 grey-area 说得很直接：「Perfect for spammers, scammers and domain squatters, who can now automate their activities even more.」17 这和协议的生产力叙事形成真实张力；Cloudflare 给的 $100/月上限能否有效拦截批量滥用，还需要时间验证。

PocketOS 删库：9 秒，全权限 token，备份一起没了

这个事故发生于 4 月 25 日，本期窗口仍在安全社区持续讨论，值得单独报道。18

PocketOS 是一家服务汽车租赁企业的 SaaS 平台。Cursor AI agent（运行 Anthropic Claude Opus 4.6）在 staging 环境遇到凭证不匹配，继而在无关文件里翻出了一个全权限 Railway API token（原用途是管理自定义域名），用它执行了删除操作。整个 production 数据库和所有 volume-level 备份在不到 10 秒内消失，因为 staging 和 production 共享同一个 Railway volume。

Agent 事后自述：「I guessed that deleting a staging volume via the API would be scoped to staging only. I didn't verify. I didn't check if the volume ID was shared across environments.」18

CTO Advisor Keith Townsend 的分析精准：「The agent didn't go rogue. It did exactly what an unsupervised system does when it hits a wall and has the credentials to get around it.」

GitGuardian 随后发文19指出旧的安全假设已经失效：你的凭证现在可能被以机器速度行动的 coding agent 访问，而 agent 不一定会停下来判断自己该不该用。

这个事故暴露了四个具体缺口：(1) 系统提示词里的「不要执行破坏性命令」缺乏确定性执行层；(2) 散落在开发文件里的全权限 API token（MCP secrets sprawl）；(3) staging 和 production 共享物理存储；(4) 备份与数据放在同一个 volume。这四条任何一条做对了，结果都不同。

基础设施快讯

Pinecone Launch Week（5/4-8）20：发布 Nexus 知识引擎（KnowQL 查询语言，将多跳检索替换为单次声明式调用）、Marketplace（24+ 生产级 agent 模板）、Builder Tier（$20/月，10 indexes / 10GB）、Full-Text Search（BM25）、Frankfurt 和 Singapore 新区域。Pinecone 的战略表达是「agents need knowledge, not documents」，正在把自己从向量数据库重定位为 agent 知识层基础设施。

AWS MCP Server GA（5/6）21：提供 call_aws（覆盖 15,000+ AWS API 操作）、search_documentation、read_documentation、run_script（服务端沙盒 Python，继承 IAM 权限但无网络访问）四个工具。支持 IAM context keys，CloudWatch 独立审计命名空间（AWS-MCP），US East 和 Frankfurt 可用，无额外费用。

Salesforce Hosted MCP Servers GA（4 月 GA，5/11 截止日）22：Enterprise Edition 及以上可用，覆盖 SObject CRUD、API Catalog、Flows、Prompt Builder 等，强制 per-user 认证。External Client Apps 强制迁移截止日 5/11 已过，MFA 强制令从 6 月分阶段启动。

三家平台先后在同一周期 GA MCP 服务端接入，MCP 的企业级生产实践正在从「实验阶段」向「合规要求」迁移。

四、GitHub + 社区

Needle：26M 参数，无 FFN，HN 284 分

5 月 12 日，Cactus Compute 在 HN 发布 Needle（284pt、102 条评论），一个 26M 参数的 function-calling 模型，架构上去掉了所有 MLP/FFN 层，只用 attention 和 gating。23

创始人 Henry Ndubuaku 的核心论点：「Tool calling is fundamentally retrieval-and-assembly (match query to tool name, extract argument values, emit JSON), not reasoning. Cross-attention is the right primitive for this, and FFN parameters are wasted at this scale.」23

实测：在 function calling 基准上超越 FunctionGemma-270M（体积大 10 倍）、Qwen-0.6B、Granite-350M。推理速度 6,000 tok/s prefill / 1,200 tok/s decode，面向手机、手表、AR 眼镜等消费设备。训练用了 16 TPU v6e × 27 小时预训练（200B tokens）+ 45 分钟合成 function-calling 数据（2B tokens，由 Gemini 合成）。MIT 许可，权重在 HuggingFace（Cactus-Compute/needle）。24

「no FFN for tool calling」是个值得验证的假设，而不是一个已经成立的定论——但 26M 能跑赢 270M 这个实验结果本身说明，工具调用这个任务的模型架构还有很多空间可以探索。对于只需要工具路由而不需要推理的 edge Agent 场景，Needle 是目前已知最轻量的开源选项之一。

Agent Skills 生态爆发：Matt Pocock 76k★ + TradingAgents 74k★

Matt Pocock skills（GitHub Trending #1）25：他把自己的 .claude 目录直接公开，76,276 stars，日增 3,867，Shell 项目，README 就一句话：「Skills for Real Engineers. Straight from my .claude directory.」无包装，无宣传。

与之并列的 awesome-agent-skills（VoltAgent 维护，21.5k stars）收录了 1,100+ 来自 Anthropic、Google Labs、Vercel、Stripe、Cloudflare、Netlify 等 50+ 团队的官方和社区 skills，兼容 Claude Code、Codex、Gemini CLI、Cursor。README 特意标注「Hand-picked, not AI-slop generated」。26

两个项目同期冲榜，signal 很清晰：Agent skills 的共享经济正在从个人 gist 走向有策展的 marketplace。Claude Code 和 Codex 的 skills 机制成了新的开发者分发载体——不是插件，不是扩展，而是可以被 agent 直接执行的指令集合。

TradingAgents v0.2.5（5/11 发布）27：基于 LangGraph 的多 Agent 金融交易框架，74.4k stars，14.5k forks。v0.2.5 新增 grounded Sentiment Analyst、GPT-5.5 模型覆盖、Qwen/GLM/MiniMax 双区域支持、TRADINGAGENTS_* 环境变量 API key 自动检测，以及 ticker 路径遍历修复。

框架模拟真实交易公司角色分工：基本面分析师 → 情绪/新闻/技术分析师 → 多空研究员辩论 → 交易员 + 风控 → 投资组合经理。支持 10+ LLM 提供商（GPT-5.x、Gemini 3.x、Claude 4.x、Grok、DeepSeek、Ollama 本地模型）。值得注意的是 TauricResearch 团队明确声明这是研究框架，不构成投资建议，实盘性能受 LLM 选择和 temperature 等非确定性因素影响。

Hermes Agent（NousResearch）本期 OpenRouter 累计达 301B tokens，全局排名 #1，本周增长 +12%，GitHub 147k stars28 29。Hermes 连续数轮保持榜首，自改进循环（从经验创建 skills、跨会话持久记忆）驱动的留存优势没有被后来者打破。

社区：「多 Agent 编排不过是函数调用换名字」

r/AI_Agents 帖子「Most multi-agent orchestration is just a single agent calling a function」引发了本期最有质量的架构讨论，14 条高赞评论覆盖了几个实际落地经验。30

用户 Mediocre-Thing7641 连续跑 30+ 并行 Claude Code 会话长达 6 个月后的总结：「Running 30+ parallel Claude Code sessions across repos for ~6 months, the architectures that work are dead simple: each session is an independent agent, a shared markdown file is the only IPC, no orchestrator.」复杂的编排架构在第 10 个 session 就开始崩溃。

用户 Enthu-Cutlet-1337 的结论更直接：「most 'multi-agent' setups are just RPC with costumes.」生产环境存活的模式是：显式路由 + 窄专业工具 + 持久化 checkpoint + 不可逆操作人工审批 + 良好可观测性。

另一个视角来自 r/AI_Agents 关于实际落地成本的帖子31：某呼叫中心 $80/月 AI 费用（Flogpt + voice agent）处理约 30% 呼入量，释放 20 小时/周人工工时，但选择把这些时间用于主动客户成功（30 天未互动回访、新客户 onboarding）而不是裁员，结果是留存率上升、满意度提升。「Business logic says cut one position, pocket the savings. I couldn't do it.」

这两个帖子放在一起说的是同一件事：Agent 的价值不在「自主性最大化」，而在「系统设计边界画得多清晰」。

值得追踪

Google I/O 2026（5/19）：今日 Gemini Intelligence 是 I/O 一周前的预热，关注 Google 是否会在 I/O 开放第三方 Agent 接入 Android 系统层的 API——如果开放，这将改变移动端 Agent 生态的接入路径1。
Altman 庭审续集：关于 Musk 控制意图、Shivon Zilis 董事会角色、2023 年解职完整链条，今日证词仅打开了一角——Musk 本人此前出庭时与律师激烈争吵，两人庭审风格的对比本身也在持续成为媒体焦点4。
LangGraph 第 11 轮：满一年无版本，下一轮是否出现 RC 是当前 LangGraph 用户最关心的单一信号14。
Cloudflare+Stripe 协议规范化：现有实现是工程落地，正式协议规范尚未发布；规范开放后，其他平台（AWS、Azure、Vercel 等）跟进集成的速度将决定这个 agent-to-production 协议能否变成跨平台标准15。
MCP secrets sprawl 后续：PocketOS 事故之后，GitGuardian 已经开始整理相关安全实践；Salesforce 的 per-user 认证模型和 AWS 的 IAM context keys 提供了两种不同的思路，但对大量仍在用全权限 API token 的小团队来说，这类事故大概率不是最后一起。