第 13 講的主軸是「限制 agent 能存取什麼、能做什麼」。投影片先用五個真實事件說明出事的方式，再歸成四種威脅模型（惡意使用者、prompt injection、agent 失誤、不當手段）；對策分四層：訓練端的 red teaming 與安全訓練、執行端的沙盒與憑證代管、事後與即時的監控，以及安全評測。最容易被忽略的一點是：把 API key 藏起來，不等於 agent 不能濫用它背後的權限。
Graham Neubig 用自己開發的 OpenHands 講框架設計：先走一遍 coding agent 從 HumanEval、SWE-bench、Devin 到 2026 年長時間、可中斷、平行執行的演進，再拆 Software Agent SDK 的零件（LLM、tools、conversation、condenser、workspace、確認政策），接著談單一 agent 與多 agent 的取捨、本機與雲端、IDE／GUI／CLI／整合四種介面，最後是把 agent 接到 issue 與 PR 的自動化，以及從過去軌跡自動修訂 skill。
Perplexity 10 月 7 日以 MIT 授權開源 0.6B 與 9B 兩個 ColBERT 式多模態嵌入模型，每個 token 一個 128 維向量、用 MaxSim 評分，可直接檢索 PDF 頁面圖片。9B 在 MADQA 拿到 92.4%（自家測試，搭配 Gemini 3.5 Flash agent），代價是索引大小隨文件長度線性成長。
Wavestone AI Lab 的 83 頁論文拆開 Claude Code、Codex CLI、Gemini CLI、OpenClaw 等 11 個 coding harness，約 400 萬行程式碼裡沒有任何一個引入通用 agent framework，也沒有任何一個用向量嵌入檢索程式碼。要自己做 agent 或選工具，可以照論文 18 條建議從一個 bash 工具和一個 while 迴圈開始。
Cursor 工程師 Lauren Tan（poteto）自述月合併約 2,000–2,500 個 PR，數字未經外部稽核。她的做法是三件事：先做驗證 skill、把重複的錯誤變成 lint 與型別限制、合併後抽樣檢查。方法可以搬，前提是你的領域能被程式驗證。
Uber 用一個 MCP Gateway 統一管理 800 多個 MCP server、5,000 多個 tool：控制平面自動把內部 API 爬成 disabled 的 tool，資料平面負責協定翻譯、授權與去識別化；規模大了再靠 Omni MCP、Response Projection、Code Mode 壓 context。
Pi 1.0 與實驗性套件 Pi Durable 在 2026 年 10 月初同步發佈。Pi Durable 把每次模型請求、工具呼叫、compaction 都當成會寫 checkpoint 的 task，process 死掉後可從上一個 checkpoint 接續；Cloudflare 隨即用 PiHarness 把它接上 Durable Objects。重點是工具要分「可重跑」與「不可重跑」。
Agent 面試常被問到八題：Agent 迴圈、Structured Output、Function Calling、大量工具、記憶、設計考量、MCP 與 A2A、Prompt Caching。本篇用「概念 → 機制 → 面試怎麼答」串成一條線，並對照一手來源更正 2026-07 MCP 規格改版的時間點。
LLM 工程面試常見七個主題：LoRA／QLoRA 與微調 vs RAG、RLHF／DPO／GRPO 對齊、PagedAttention 讓 vLLM 吞吐量提高 2 到 4 倍的推論優化、取樣解碼、LLM 評估、OWASP LLM Top 10（2026 版）與幻覺。每節都拆成概念、機制、回答方式。
面試追問通常落在機制：為什麼要除以 √d_k、AdamW 和 Adam＋L2 差在哪、AUC 很高為什麼還不能上線。本文逐題講概念、機制與答法，最後附 3 題可執行的 numpy 手寫題。
Prompt 管單次措辭、Context 管模型此刻看到什麼、Harness 管包住非確定性模型的整套系統；Bsharat 的 26 條原則、Breunig 的四種 context 失敗、OpenAI 約一百萬行零手寫的 harness 實驗，各對應一層。評估則是 harness 裡最常被省略的一塊，要在 CI 設閘門擋下沉默回歸。
RAG 面試題用「三階段流程 → 各階段的失敗點 → 九種變體各補哪個洞 → 6 類 RAG 解不了的問題」四步回答：Self-RAG、CRAG、Adaptive-RAG 補判斷，Graph RAG、KG-RAG 補索引，CAG 乾脆不檢索，Agentic RAG 與 Reasoning RAG 把決策交給模型。
先讀公司官方說明：Meta 已要求候選人在面試中使用內建 AI，Anthropic 預設禁用。題庫挑有附來源、今年還在更新的，例如 alexeygrigorev field guide、ombharatiya 與 alirezadir。12 個熱門 repo 只有 2 個替題目附上可點的來源，有些答案放在付費牆後面。
DevDay 2026（9/29）發表的 Plugin Extensions 讓 plugin 可以在 ChatGPT 放一個側邊欄入口、一個對話旁的面板、一個檔案檢視器，每個 MCP App 最多三個入口。Plugin 的組成因此變成 Skill + MCP + 外部服務 + UI，產品設計多了一題：哪些能力該做成能被 agent 安裝的 plugin。
CME295 2025 版第 7 講用三塊補 LLM 的洞：RAG 補「知識停在訓練那天」，分成候選檢索與重新排序兩階段；tool calling 補「不能動手」，由後端執行模型寫出的函式呼叫；agent 用 ReAct 的觀察、規劃、行動迴圈把呼叫串起來。2026 版把這講改成 AI Agents，新增 context compaction、harness、coding agent、skills，是整個系列改最多的一講。
CME295 2026 版第 6 講（2026 年 11 月 6 日）課表列了七個主題，tool calling、MCP、retrieval 在 2025 版第 7 講已經講過；真正新增的是 context compaction、harness optimization、coding agents、skills/plugins。本篇是課前預寫版，用 Anthropic、OpenAI 的工程文章、MCP 2026-07-28 規格與 Meta-Harness 論文，先把這四個新主題講清楚。
CME295 是 Stanford 的兩學分課，沒有作業，成績只看期中和期末各 50%。2025 版九堂的影片、投影片和兩份考卷解答全部公開；2026 版把 agent 那一講改成 context 壓縮、harness、coding agent 和 skills，還新增 LLM 系統、強化學習、Diffusion LLM 三整講。
CME295 最後一講 128 頁投影片分三段：用八張圖複習前八講、Transformer 怎麼用在影像上（ViT 與兩種 VLM 接法）、以及一次吐出多個 token 的 masked diffusion LLM，最後談研究與應用的下一步。這堂不在考試範圍；2026 版把 diffusion LLM 拉成獨立一講，第 9 講改以多模態為主。
CME295 2026 版第 8 講（11 月 20 日）把 diffusion LLM 拉成整講，課表列了 continuous、discrete、masked diffusion、訓練與推論五個子題。課前預寫版依 DDPM、D3PM、SEDD、MDLM、LLaDA 等原始論文整理：連續雜訊在文字上要付約 64 倍算力，[MASK] 吸收態勝出；訓練目標是乘上 1/t 的 masked cross-entropy；推論的速度來自每步多填幾格，但 LLaDA 主要結果其實每步只解一個 token，Fast-dLLM 靠信心門檻與近似 KV cache 才拿到最多 27.6 倍加速。
CME295 第 3 講先把 LLM 定義成 decoder-only 的下一個 token 預測器，接著用 MoE 說明大模型為什麼每個 token 只用到一部分權重，主體則是生成時能調的旋鈕：greedy、beam search、top-k、top-p、temperature、guided decoding，以及 few-shot、chain of thought、self-consistency 三種 prompting 手法。2026 版把這講併進第 2 講，prompting 沒有獨立列在課表，但錄影仍有簡短帶到。