Burp AT + MCP + Skill：2026 年 AI Agent 落地的三大范式与垂直领域实践
当 AI 渗透测试 Agent 被装进全球 70,000+ 安全团队的日常工具链，Agent 工程终于有了一张可复制的「垂直领域可信执行」蓝图。
AI 摘要
2026 年 7 月 27 日，PortSwigger 发布 Burp AT，将 Agentic AI 嵌入 Burp Suite ProfessionalBurp AT 诠释垂直领域 Agent 四要素：专业工具、项目上下文、结构化 Skills、安全边界CLI、MCP、Skill 三大范式之争在 2026 年收敛为分层共识「Agents propose, Burp enforces, You decide」权限模型是可迁移的 Agent 安全架构模式
为什么 Burp AT...
Claude Code Dynamic Workflows 正式发布：Pro 用户也能调度 1000 个并行 Agent，6 天完成 96 万行代码迁移
Claude Code Dynamic Workflows 从研究预览升级为 GA。Pro 用户（$20/月）终于可用，最多 1000 个并行 Agent。Bun 96万行 Zig→Rust 迁移 6 天完成，99.8% 测试通过。
Claude Code 的隐写水印：AI 出口管制从政策进入了代码层
Claude Code 被发现在请求中嵌入隐写标记识别中国用户，HN 1480分登顶。AI 出口管制从政策层进入代码层，引发开发者信任与隐私的激烈争论。
一周出现 6 个开源 AI 网关：被单一模型厂商锁定的时代，快结束了
两周内6个开源AI网关项目密集出现：Routerly、SMG、ModelGate、AgentGate、Tidus、AIGate。多模型路由、故障转移、协议转换、成本控制——不被任何单一模型厂商锁定的基础设施。
JWT 没有死：2026 年 Web 认证该选 Session、JWT 还是混合方案
可引用摘要： JWT 是一种声明格式，不是完整的登录、会话或授权方案。对同源 Web 应用，服务端 Session 配合安全 Cookie 通常更容易撤销和管理；对跨服务 API、第三方授权或分布式资源服务器，短期 JWT 仍然有价值。安全选型的重点不是“JWT 还是 Cookie”二选一，而是令牌存放位置、…