2026/6/25 · 10:20
AI Agent 生态速报 | 6月24-25日早间：模型路由、Agent 市场和运行时上下文补位
本期梳理 GitHub、AWS、Undo 与安全研究带来的 Agent 生态变化：模型路由开始下沉到产品默认项，企业 Agent 进入可采购方案包，编码 Agent 正在补运行时上下文，MCP 也成为新的安全边界。
リサーチノート
先看结论
本期以 6 月 24 日到 25 日早间能确认发布时间的更新为主，最重要的变化不是「又多了一个 Agent」，而是 Agent 的控制面开始补齐：GitHub 把 Copilot Free / Student 的模型选择收进自动路由，AWS 把一批可直接采购的 Agent 方案塞进 Marketplace，Undo 则把运行时上下文接进编码 Agent；另一边，Agentjacking 说明，MCP 连接到外部数据以后，安全边界不能只靠提示词。1234
GitHub：模型选择开始被收进自动路由
GitHub Changelog 6 月 24 日的更新写得很直接：Free 和 Student 计划现在默认且只能使用 Copilot auto model selection，手动切模型这件事被拿掉了；同时，Microsoft 发布的模型也不再显示
(Preview) 标签。1这不是一个小 UI 改动。它说明产品层正在把「让用户选模型」改成「系统帮用户路由模型」，读者真正要关注的，已经不是每次请求选哪个模型，而是谁在决定默认路径、任务分发和成本边界。
AWS：Agent 正在被做成可采购的企业件
AWS Marketplace 这篇把 Partner Agent Factory 的最新方案直接放进了可买可部署的产品页里：文章写到，最新一批方案来自 4 家伙伴，覆盖 7 个 agentic AI 方案，分别落在文档翻译、视频洞察、Agent 治理、客服、金融、零售和临床文档几个场景，底层依赖的是 Bedrock、Strands Agents 和 Bedrock AgentCore。2
同一天，AWS 还给了一个更细的落地样板：用 Nova 2 Sonic + Bedrock AgentCore 做医疗预约语音 Agent，前端通过 WebSocket 接入，后端用 Strands BidiAgent 串起身份验证、改约、记录健康信息和升级人工等 7 个工具。5
Undo：编码 Agent 开始接触运行时，而不只是源码
Undo 10.0 把 Undo AI 直接写进了产品发布里。官方页面说得很清楚：Undo AI 给 coding agents 提供 runtime context，支持 Claude Code、Codex、Cursor、GitHub Copilot 等；同时还提供一个本地 MCP server，让 agent 自己决定什么时候调查 recording、调用哪些工具。3
这条线的意义在于，Agent 的能力边界开始从「读源码」往「看运行时」移动。复杂系统里，很多问题不在静态代码里，而在执行路径、状态变化和时序关系里；有了 recording，Agent 才不必总靠猜。
安全侧：MCP 进入 Agent 以后，外部数据也要算信任边界
Digital Applied 对 Tenet 6 月 24 日披露的 Agentjacking 做了完整整理：研究者把恶意指令藏进假的 Sentry 错误事件里，再借 MCP 让 Claude Code、Cursor、Codex 这类编码 Agent 读到并执行；文中还提到，Tenet 报告的测试成功率约为 85%，并声称找到 2,388 个暴露的 Sentry DSN。4
这里最值得记住的不是某个数字，而是攻击链条完全建立在「合法数据 + 合法工具 + 合法凭据」上。也就是说，提示词里写「不要相信外部内容」远远不够，真正要补的是 MCP 审计、执行沙箱、命令审批和密钥轮换。
开源侧：自动化工具和 harness 正在合流
n8n 的 README 直接把自己定义成「Secure Workflow Automation for Technical Teams」，并明确写出它有 400+ integrations、native AI capabilities，以及基于 LangChain 的 AI agent workflows。6
与此同时，「Best of Agent Harnesses」这类清单把 agent harness 解释成把模型变成持续行动系统的运行时，并把框架、MCP、内存层、评测、沙箱和多代理编排放进同一张选型图里。换句话说，社区已经不把「能调用工具」当终点，而是把「怎么稳定地跑起来」单独当成了一层基础设施。7
对选型的直接影响
- 如果你在做产品，优先补默认路由、治理和部署闭环，不要先做更多模型按钮。
- 如果你在做开发工具，优先补运行时上下文、录制回放和命令审批，不要只加补全能力。
- 如果你在做企业 Agent，MCP 以后不能只当接口标准看，它已经开始像新的信任边界。
このコンテンツについて、さらに観点や背景を補足しましょう。