開發技術每日追蹤｜2026-11-05

本次以 2026-11-04 08:23（Asia/Taipei）後正式發布、且未在先前報告出現的版本為範圍，共確認 11 組功能性或安全性更新。重點包括 Pydantic AI 安全修補、Mastra Knowledge v2、Coding Agent 執行隔離、Agent Run Inspector、Headless CMS 權限邊界與 workerd Durable Objects／Rust JSG 更新。程式語言本身未發現同期間符合條件的新正式版本。

AI Agent 框架與工具

Pydantic AI 2.66.0／1.107.10

發布日期： 2026-11-04
使用語言： Python。
安全性： 修補九項影響目前版本的漏洞，包括兩項 High：local web_fetch_tool 在限制內容前格式化深層 JSON，可能造成記憶體與 event-loop DoS；Harness 預設的 private-key redaction regex 可被 crafted text 觸發指數級 backtracking。
其他修補： 補上 Tencent Cloud metadata IP 封鎖；Embedding OpenTelemetry 不再記錄可能含密鑰的 extra_headers／extra_body；工具 schema $ref 展開與 Vercel AI／AG-UI message parsing 的指數級／平方級成本已消除；重新載入 history 時，惡意 tool result 不再被重建為可觸發內網或雲端物件讀取的檔案型別。
新增能力： 加入自架 Agent workspace 的 OpenSandbox、Render Sandbox、Azure Durable Task durability，以及 Pixeltable tools／memory storage。
影響與適用情境： 使用可控 URL、AG-UI／Vercel AI adapter、Decision／TypeSafe model、secret redaction 或 embedding telemetry 的服務應立即升級。若歷史 trace 可能已記錄 credential，官方建議限制存取並輪替密鑰。
官方來源： Pydantic AI 2.66.0 Release（另開分頁）

Mastra 1.82.0

發布日期： 2026-11-04
使用語言： TypeScript。
Knowledge v2： Knowledge 改為 page／note／pin tree，新增 knowledge_list、支援 line／section／grep 的 knowledge_read、list pin 與 [[links]] index。Server API 可用 upsertPage()／removePage() 同步外部內容，並支援 vector／hybrid search 與長頁面的 chunked embedding。
Durable continuity： Evented durable agent 不再因 API process 關閉而停止；worker 可繼續執行、清理並釋放 thread。真正跨程序續跑需 fencing-capable shared storage、共享 pubsub 與 lease infrastructure。
Background task／MCP： 需要輸入而 suspend 的 background tool call 可在 reload 後恢復，並以 suspendedAt 避免並行 resume；MCP 可從 chat 回答 task input，MCPServer.toolResult 亦支援 image、audio 與 file。
Breaking changes： Knowledge 必須掛載於 Agent，舊 experimental_subconscious／Memory knowledge option 與 knowledge.reindex() 被移除；Temporal 0.5.0 預設驗證 step input 與 request context。
官方來源： Mastra 1.82.0 Release（另開分頁）

protoAgent 0.227.0–0.228.0

發布日期： 2026-11-04
安全隔離： Spawned coding agent 不再繼承 host agent 的 instance path、identity 或 credential；只有明確列入 env_passthrough 的變數會傳遞，降低 delegated coder 意外取得主程序權限的風險。
Run Inspector： 每個 delegation、background job 與 workflow step 會保存 run_id／parent 關係，可在結束後重建 run tree。Console drawer 顯示 outcome、總成本、wall-clock span、completion verdict、delegation tree、turn trace 與 prompt。
可觀測性與生命週期： Completion check 保存 complete／incomplete／partial 與 nudge；ledger retention 可設定，完成的 background job 預設在交付結果後保留 90 天再清理。
其他修正： Plugin deep link、跨裝置圖片縮圖、background thread 早期 compact，以及 Desktop A2A task 記憶體洩漏修正。
官方來源： protoAgent 0.228.0 Release（另開分頁）、protoAgent 0.227.0 Release（另開分頁）

Qwen Code 0.26.7

發布日期： 2026-11-04
使用語言： TypeScript／Node.js。
核心功能： Managed Agent session creation 可傳入完整 model configuration；experimental unified loop 擴大到 ACP Goal、Cron 與 background notification turn。Web Shell 新增 Channel events timeline，並可即時設定 GitHub repository access、mention 與 polling。
隔離與安全： /verify-pr 新增 Docker recipe，在容器內執行不受信任 PR code，模型 credential 留在 host 端的 chat-completion proxy；repository hook、permission grant 與 project language server 必須先取得明確 folder trust。
遠端與並行： qwen serve 可不中斷服務切換 remote connection、token 與 client disconnect 設定；workspace upload 可並行，但仍拒絕已占用 destination。
正確性： GitHub／GitLab／DWS polling cursor 改為 workspace scope；Anthropic-compatible request 遵守自訂 timeout／dispatcher，shell permission analysis 也能正確處理 grep -n。
官方來源： Qwen Code 0.26.7 Release（另開分頁）

CompozyOS 0.5.1–0.5.2

發布日期： 2026-11-04
核心功能： 可直接為 bundled／extension Agent 覆寫 permission、provider、model、reasoning effort 與 speed，而不必複製整份 AGENT.md；新增或修改的 check-in script 會立即出現 approval 提示，不必等首次執行。
Always-on Agent： 支援在工具列新增 stays-on Agent、於 home 直接選 model、保存 avatar／color，並記住跨 workspace read consent。Operator 可在 script 產生後即由 Heartbeat 或 menubar bell 審批，paused Agent 會在 resume 後執行。
可靠性與效能： 修正 session monitor wake、profile switch、provider auth recovery、Desktop daemon bootstrap 與 GitHub PR polling quota exhaustion；Agent activity read 有界化並批次處理 team pulse。
安全性： 內含 Next.js 16.4.5 安全更新，且 destructive session profile move 需要 approval。
官方來源： CompozyOS Releases（另開分頁）

AgentOS 0.15.96–0.15.104

發布日期： 2026-11-04 至 2026-11-05
使用語言： TypeScript。
成本治理： 每次 Provider call 會在執行前估價並限制最大成本；budget 先在 spend meter 保留該 call 的最大成本，完成後以實際 units 結算，拒絕、退款與 charge exception 皆會正確釋放或 settle reservation。
持久化： 新增 SqlCheckpointStore，可將 orchestration checkpoint 保存於 SQLite 或 PostgreSQL；保存依呼叫順序執行，並處理並行建表競態與 quoted table name。
Provider 正確性： probeProviderKey 可區分 live、exhausted、invalid、throttled；同一 call 的 retry 共用 operation ID，可由 host 指定 header。Anthropic cache write 依 lifetime 計價並傳遞到 generateObject、GMI 與 agency totals。
影響與適用情境： 適合有硬預算、跨重啟 workflow 與多 Provider 計費需求的 Agent runtime；新的 pre-call reservation 可減少多個並行 call 同時超出 budget 的風險。
官方來源： AgentOS Releases（另開分頁）

AgentRQ 0.15.4

發布日期： 2026-11-04
重點功能： Core MCP consent page 新增 read-only supervisor grant，讓使用者能在不授予變更權限的前提下開放監看能力；Chrome extension 更新至 1.1.2，並明確要求啟用 WebMCP 才能偵測 site tools。
影響與適用情境： 適合需要讓 supervisor 觀察遠端工作區、但不允許修改狀態的 Agent fleet，降低權限過度配置。
官方來源： AgentRQ 0.15.4 Release（另開分頁）

網頁前端與後端框架

Payload CMS 3.93.0

發布日期： 2026-11-04
使用語言： TypeScript／Node.js／Next.js。
安全更新： 官方標記為重要安全版本。Query 現會遵守 block child read access，block 內容限制為欄位允許的型別，remote upload 會強制 pasteURL policy，XSL content 套用 XML response policy，global view redirect 也限制於可存取 tenant。
輸出安全： Rich Text Lexical HTML converter 會逸出 stored values；OG endpoint 會限制 description 參數長度。
新增能力： auth.passwordHashIterations 可配合對 PBKDF2 iteration 有上限的環境。
影響與適用情境： 使用 multi-tenant global views、remote upload、Blocks、Rich Text HTML export 或 XSL 的 Payload 3 專案應優先升級。
官方來源： Payload CMS 3.93.0 Release（另開分頁）

Directus 12.6.1

發布日期： 2026-11-04
使用語言： TypeScript／Node.js／Vue。
Environment Sync： CLI 可同步 global 與 role-scoped bookmarks／default views；personal preset 保留在原 instance，目標缺少 role 的 preset 會跳過並記入 JSON report。
安全與相依更新： 修正 login redirect 被 normalize 成 protocol-relative URL，以及 sandbox request URL scope 未套用至 redirect destination；同時更新 joi、follow-redirects、qs、glob、@hono/node-server 等以處理 CVE。
內容編輯： WYSIWYG 新增 Allowed Link Protocols，可保留 myapp:// 等允許的 custom scheme；many-to-many 搜尋會比對實際顯示的 related fields。
影響與適用情境： 適合多環境 Directus 配置同步、custom deep link 與 sandbox extension；使用 redirect 或 Run Script 的部署應升級以取得 URL scope 修正。
官方來源： Directus 12.6.1 Release（另開分頁）

Strapi 5.61.0

發布日期： 2026-11-04
使用語言： TypeScript／JavaScript／Node.js。
新增能力： Audit Log 新增 history restore、discarded draft、settings update 與 media event，改善後台內容操作的稽核覆蓋率。
可靠性： 修正 history restore、relation permission、content release webhook、review workflow stage、GraphQL middleware、upload metadata 與 Content Type Builder 的多項錯誤。
MCP 與 Provider： Core 對 MCP tool input element 加入數量限制；action provider 的 registerMany 改為 all-or-nothing，避免部分註冊造成不一致。
影響與適用情境： 適合啟用 Audit Log、Review Workflow、Content Releases 或 Strapi MCP 的企業 CMS；升級可補足復原、草稿與媒體變更的稽核鏈。
官方來源： Strapi 5.61.0 Release（另開分頁）

JavaScript／TypeScript Runtime

Cloudflare workerd 1.20261104.1–1.20261105.1

發布日期： 2026-11-04 至 2026-11-05
使用語言： C++／Rust／TypeScript。
Rust JSG： 新增由 Rust JSG binding 產生 TypeScript type、typed promise、jsg::Cell／RefCell，#[jsg_struct] field 可保存 JavaScript value，並強化 traced field 的 GC 宣告。
Durable Objects： Local server 可執行並 trace onHibernate，handler 會形成獨立 trace event；公開 Durable Object retry option，並限制每個 Durable Object 的 non-hibernatable WebSocket 數量。
Runtime 與效能： python_shared_standard_library compat flag 預設開啟；reported Node version 更新至 22.23.4 並提供 Node 24 compat flag。JavaScript compilation 集中化並快取 built-in module，TS Streams 進行多輪效能改善。
其他正確性： 修正 Zstd frame 結尾超出 output buffer 時停止 flush 的問題，RateLimit type 新增 optional delta。
官方來源： workerd 1.20261105.1 Release（另開分頁）、workerd 1.20261104.1 Release（另開分頁）

本輪觀察

程式語言： cutoff 後未發現符合條件且尚未報告的重要正式版本。