AWS 在 IDE 工具上持續砸錢，微軟把 agent 框架搞成 production-ready，WordPress 官方終於出 MCP Server，而 PraisonAI 又爆出第二個高危漏洞，GitHub Copilot 則推出公開預覽版 SDK。這禮拜 agent 生態真的在加速，但安全議題也跟著浮出檯面。

Kiro CLI v1.0.23：新增 agent 模式快速啟動

AWS 的 Kiro IDE 最近釋出了新的 CLI 版本，重點是加入了 --autopilot、--mode 和 --plan 這三個參數，讓使用者可以直接跳到特定的 agent 模式工作，不用每次都從零開始。以前的 /agent generate 流程現在也整合進 /agent create，預設就會開啟 AI 輔助模式。

Kiro 的策略很清楚：先寫 spec，再生成程式碼。跟 Cursor、Windsurf 這些編輯器比起來，Kiro 更強調規格驅動，這對團隊協作來說還滿實用的，尤其是當你需要在代碼生成之前確認需求的時候。新的 CLI 改動看起來不大，但減少了使用者的操作步數，這種 friction 的消除在日常工作中還是有差的。

原文來源：Kiro CLI v1.0.23 Changelog

Microsoft Agent Framework 1.0：MCP 和 A2A 進入正式版

微軟在 4 月 3 號發布了 Agent Framework 1.0，主要是把 MCP（Model Context Protocol）和 A2A（Agent-to-Agent）通訊都納入正式支援，.NET 和 Python 現在都能用。他們把 MCP 當作資源層來用，A2A 負責跨框架的 agent 協作，這個分層的設計還滿聰明的。

最有趣的是那個瀏覽器版的 DevUI debugger，可以即時看到 agent 的執行流程，這對除錯確實省事不少。而且 Linux Foundation 的 AAIF 現在管理 MCP 和 A2A，代表這些標準真的往產業化方向走。框架本身支援了一大堆模型和工具，只要 MCP 有定義，基本上都接得起來。

原文來源：Microsoft Agent Framework 1.0 Release

WordPress Playground 官方 MCP Server：讓 AI 直接管理 WordPress 站點

WordPress 官方終於把 @wp-playground/mcp 套件推出來了，這下子 Claude Code 或 Gemini CLI 就能直接連上 Playground，透過 WebSocket 來管理 WordPress 站點。不用 SSH、不用複雜的設定，一行指令就能把 AI agent 接進去。

從裝外掛、建立內容到執行 PHP、管理用戶、跑 WP-CLI 指令，agent 都能做。連線是本地的，用 token 認證，資料都留在你的機器上，安全性這邊還滿放心的。這對想要自動化網站維護的人來說，根本是天選之物——想像一下，跟 Claude 說「幫我更新所有外掛」，然後它自己去跑，這效率才是真的。

原文來源：WordPress Playground MCP Server

PraisonAI 爆第二個高危漏洞：YAML 反序列化 RCE

昨天才剛報了 CVE-2026-39888（沙箱逃逸），今天 PraisonAI 又被爆出 CVE-2026-39890，這次是 YAML 反序列化遠端程式碼執行，CVSS 評分直接 9.8。問題在於 AgentService.loadAgentFromFile 用的 js-yaml 沒有禁用 !!js/function 和 !!js/undefined 標籤，攻擊者只要上傳一個惡意的 agent 定義檔，YAML 解析時就會自動執行 JavaScript 程式碼。

這兩個漏洞接連爆發，說明 PraisonAI 的安全審查可能不夠嚴格，或者是快速開發時沒有把安全當一回事。已經修復在 4.5.115 版本了，但用舊版本的人得趕快升級，不然真的有風險。這也提醒我們 agent framework 既然要執行動態程式碼，安全邊界要畫得特別清楚。

原文來源：PraisonAI CVE-2026-39890: Critical YAML RCE

GitHub Copilot SDK 公開預覽版：把 AI 能力嵌進你的應用

GitHub 把 Copilot SDK 放進公開預覽階段，現在開發者可以把 Copilot 的 agentic 能力嵌進自己的應用裡。Cloud agent 也更新了安全機制，加了代理防火牆讓你控制網際網路存取權限。而且現在 agent 簽署的每一個 commit 都有簽名驗證（provenance tracking），這樣就能追蹤程式碼的來源。

GitHub 還順帶淘汰了一些模型，4 月 1 號開始整個 Copilot 體驗都不再支援那些舊模型。SDK 公開預覽代表他們想讓更多開發者進來玩，看能找出什麼問題，為正式版做準備。這對想要把 AI 整合進內部工具的團隊來說，終於有個官方的套件可以用。

原文來源：GitHub Copilot SDK and Cloud Agent Updates