Agent 安全已从「可选项」变「生存线」。14 天内 6 起重大事故（Claude Code 删库、Meta 安全主管失控 agent、OpenClaw 密钥泄露、CNCERT 警报、Agents of Chaos 红队研究），Google $32B 收购 Wiz、JetStream Security $34M Seed 两笔收购/融资指向同一结论：90% 可靠性的 Agent 无法进入生产环境。Karpathy"March of Nines"框架被主流媒体重提——需 99.9%+ 而非 90%，这是对「Agent 元年」炒作的直接反驳。

MCP 协议正在分裂，AG-UI 正在收敛。MCP 因 token 开销过高（全量注入 15,540 tokens）迫使开发者寻求 CLI 替代方案（节省 94% token），这是典型的「协议层过重」导致的生态分裂。相反，AG-UI 赢在「协议层中立」——Microsoft、Google、LangGraph、CrewAI、Mastra 等主流框架纷纷采用，让各框架保留实现自由。

学术前沿与工程实践正在形成认知鸿沟。LeCun 押注$1.03B 的 AMI Labs 专攻 world models，称当前生成式 AI 架构对 AGI 是「死胡同」。但 19 篇 Deep Dive 中无一涉及 world model 架构，Cross-Domain 10 次 VLA↔AI 跨域匹配中无一次匹配「world model」或「JEPA」。工程圈仍在 diffusion policy(3 次)、RL finetuning(1.82x 加速) 中消耗精力——这是危险信号。

AG-UI 是赢家，MCP 是输家。AG-UI 协议被 Microsoft、Google、LangGraph、CrewAI、Mastra 等主流框架采用，形成事实标准。MCP 因全量注入 15,540 tokens 的 token 开销过高，社区开始用 CLI 替代（节省 94%），这是标准化努力失效的典型信号。IDE 集成在收敛——Claude Code 的「规划与执行分离」工作流成为范式，19 篇 Deep Dive 中有 3 篇直接相关，说明 IDE 内嵌 Agent 已成为默认开发体验。

工作流编排作为独立品类正在消失。Workflow Digest 连续 4 期全空，但 Daily Picks 中「工具」类仍占 33%（29/88）。Refly.AI 这类「Vibe Workflow」产品仍获关注，但更多是面向非技术用户的简化版，而非工程师需要的复杂编排。当工作流成为基础设施而非卖点，继续以此为核心卖点的团队会在 2027 年面临定位危机。

Google $32B 收购 Wiz——AI 安全军备竞赛正式开打。这是 Google 史上最大收购案，AI 驱动的云安全扫描能力成核心资产。与 JetStream Security $34M Seed、Zendesk 收购 Forethought 形成三角信号：资本在用真金白银投票，AI 安全从「合规成本」变「核心竞争力」。对 AI 产品负责人的含义：如果你的产品文档仍写「90% 准确率」，企业客户会在采购流程中直接淘汰你。

Anthropic 起诉五角大楼——AI 公司与政府关系的分水岭。Dario Amodei 正式提起诉讼挑战「供应链风险」黑名单，称「别无选择只能法庭见」。对比 OpenAI 选择修正协议、Anthropic 选择起诉——两人处理政府关系的路径分歧成为社区焦点。这不仅是伦理争论，更影响未来 5 年 AI 公司与政府合作的合同模板。对工程负责人的含义：评估你的 Agent 是否有「政府使用场景」，如有，需提前设计安全护栏和法律免责条款。

OpenClaw 安全补丁与用户反弹——「可用性 - 安全性」悖论爆发。OpenClaw v2026.3.2 默认禁用工具执行权限作为安全补丁，但 r/openclaw 爆发用户抱怨 agent「变笨」。这是典型的「安全税」矛盾：加强安全必然降低可用性。Meta 收购 Moltbook（agent 社交网络）可能是答案：让 agent 在隔离环境中交流，而非直接操作用户数据。对工程负责人的含义：设计「安全模式」与「高级模式」双配置，让用户自主选择风险等级。

安全收购潮与 Agent 事故频发的因果闭环。Google $32B 收购 Wiz、JetStream Security $34M Seed、Zendesk 收购 Forethought——三笔收购/融资均指向 AI 安全。这与本期 5 起重大 Agent 事故形成闭环：Claude Code 误删生产数据库、Meta 安全主管失控 agent、OpenClaw 密钥泄露、CNCERT 警报、Agents of Chaos 红队研究。资本在用真金白银投票：90% 可靠性的 Agent 无法进入生产环境。Karpathy「March of Nines」框架被主流媒体重提（需 99.9%+ 而非 90%），正是对「Agent 元年」炒作的直接反驳。

LeCun 的 world_model 押注与 AI 应用层的认知脱节。AMI Labs 获$1.03B 种子轮（欧洲史上最大），LeCun 明确押注「world models」而非 LLM。但 Active Entities 中 world_model 虽有 17 次提及（与 OpenAI 并列第一），19 篇 Deep Dive 中却无一涉及 world model 架构。Cross-Domain 信号中 10 次 VLA↔AI 跨域匹配，关键词集中在 diffusion policy(3 次)、robot(3 次)、sensor(2 次)，无一次匹配「world model」或「JEPA」。这暗示：学术前沿（world model）与工程实践（diffusion/RL）正在形成认知鸿沟。LeCun 的「死胡同」论断在工程圈尚未形成共识。

Agent 安全叙事与产品路线的「言行不一」。14 天内 6 起重大安全事故登上头条，但 Daily Picks 88 条中「工具」类仍占 33%（29 条），无一条分类为「安全」。开发者仍在优先追求新功能，而非加固现有系统。这像极了 2010 年代移动互联网早期的「先上线再修 bug」心态——但 Agent 的破坏性远超 App。当 Claude Code 能删库、Agent 能泄露密钥时，「快速迭代」的代价可能是公司存亡。

被忽略的早期信号——RACAS 单 Agent 控多机器人。Cross-Domain 信号中 RACAS（3/10）「用单一 Agent 系统控制多样机器人」值得警惕。当前主流叙事是「多智能体编排」（上期预测之一），但 RACAS 代表相反方向：单智能体 + 多执行端。这与 LeCun 的 world_model 逻辑一致——一个世界模型理解物理规律，多个机器人执行不同任务。如果这一路线胜出，「多智能体编排低代码层」预测可能落空。