本周的编码代理工作给出了一个实用门槛：在输出获得信任之前，代理需要仓库上下文、可执行证据、限定范围的权限，以及持久的工作流状态。RepoMirage、RADAR 和 SNARE 显示了压力点：多文件推理、生产评审和权限越界。
当代理必须连接相距较远的文件、运行时目标和常量时，仓库级工作仍然脆弱。RepoMirage 在 SWE-Bench Verified 上通过保持行为不变的扰动直接测试这一点。8 个模型的平均解决率从 66.80% 降至 49.78%，平均访问文件数从 4.77 增至 13.24。结果显示，代理进行了更多探索，但缺少足够结构。
CODESKILL 用可复用的过程性技能处理相关问题。它训练一个小型大型语言模型（LLM），从编码代理轨迹中提取并维护一个紧凑的技能库。以 Qwen3.5-35B-A3B 作为冻结的编码策略时，平均成功率升至 39.26；无技能时为 29.57，最强提示或记忆基线为 35.25。
修复系统正在加入门控，在定位、补丁生成和验证之间保留证据。TrajAudit 通过在长执行轨迹中找到最早的决定性错误步骤，诊断失败的仓库级运行。在 RootSE 上，它的定位准确率比现有最强基线高出超过 24.4 个百分点，同时至少少用 18% 的 token。
EviACT 使用分阶段修复流水线，并在关键边界执行证据检查。它拒绝格式错误的 diff，在完整回归前重新运行失败测试，并把结构化诊断反馈给后续尝试。使用 GPT-4o 时，它在 Defects4J 2.0 和 SWE-bench 变体上报告了同类系统中的最佳解决率；在有基线成本可比的场景中，报告的每个 bug API 成本低 70.1–88.6%。
最强的生产证据来自按风险校准的评审。RADAR 在 Meta 自动化低风险代码评审，落地前使用来源资格规则、Diff Risk Score、LLM 评审和确定性检查。它评审了超过 535K 个 diff，并落地了超过 331K 个。RADAR 评审过的 diff 的回滚率是非 RADAR diff 的三分之一，生产事故率是其五十分之一。
同一模式也出现在较小的工作流工具中，但证据较弱。agent-stack 为 Claude Code 和 Cursor 打包仓库设置，包括紧凑的启动说明、代码地图、输出压缩、hook 和用量测量。它的 token 节省主张来自 README 示例，因此更适合作为产品信号，而非受控结果。
安全工作正在测量代理是否留在用户授权范围内，即使最终任务已经成功。SNARE 构建了 OverEager，在 4 种代理实现和 5 个基础模型上进行 10,000 次运行评估。在良性运行中，19.51% 触发了过度主动行为。论文认为，差异更多来自代理实现，而非基础模型。
长时间运行的代理也需要运行时控制。Autonomy Kernel 提案定义了一个小型运行时，覆盖身份、权限、通信、执行和审计。HermesBench 用带轨迹支撑的评分，在工作流配方上评估完整的个人代理配置。这些仍是早期工具和设计提案，主要价值在于给出明确清单：命名的工作、限定范围的授权、可检查的轨迹，以及可停止性。