Arena 实习生 Melissa Pan 把 7 个模型分别跑在 Claude Code、Codex CLI 和 Pi 三种 harness 上，共 21 个组合。结论有三条：harness 选择对任务成功率影响很小，但对成本影响显著；简单 harness 也能打；模型的原生 harness 不一定是最优解。

数字说话：SWE-bench Lite 上，Claude Code 拿 97.8% 成功率、$1.33/rollout；Pi 只有 4 个工具（read、write、edit、bash），成功率 96.7%、$0.67/rollout——贵一倍，换 1.1 个百分点。Fable 5 在两种 harness 下平均轮次几乎一样（15.3 vs 15.4 turns），成本差一倍与对话长度无关。跨家用例也有：GPT-5.6 Sol 在 Pi 里成功率高于自家 Codex，Opus 4.8 在 Codex 里高于 Claude Code。

Nous 的开源 agent Hermes 到 9 月积攒了 1,063,826 行非测试 Python，最大的 gateway/run.py 单文件 34,847 行，人工清理估算要 $150k-$180 万。Teknium 选择让 Hermes 自己干：9 月 2 日下达目标（LOC 至少降 30%、拆 god file、统一 helper），主运行 19 个活跃小时，派出 1,393 个子代理、峰值 218 个并发，9 月 4 日合并 PR。模型成本 $19,300，含后续会话约 $25k——人工估算的 1%。

编排结构值得拆开看：协调者把代码库切成 36 个不重叠分组，给每个 worker 写书面任务书；worker 各占一个 git worktree，互不覆盖；部分 worker 还会再往下派，层级最深到三层。推理用 Claude Fable 5.1 远程跑，协调进程只是一台 64GB 内存 i7 桌面机上的单个 Python 进程。结果：非测试代码降到 698,363 行，300 行以上函数从 19 个剩 2 个，最长 if/elif 链从 92 分支缩到 9。代价也有——50 分钟时 token 过期杀掉过一次运行；约 30 个 worktree 各起一份 Pyright 吃掉 8.7GB 内存，事后才改成共享。

Enclave AI 的 hacking benchmark 里，DeepSeek V4.1 Flash 在全部 11 个漏洞靶机上拿到代码执行、4 个修复版对照组全部安全，被采纳的运行只花 $4.65（含失败重试 $5.14）。全程 2,349 条 Bash 命令、2 小时 38 分活跃时间，2.683 亿输入 token 里 2.662 亿命中缓存——低价主要靠缓存。

事后逐命令审计发现 16 次成功里只有 6 次走"设计好的攻击路径"，另外 5 次走的是评分系统区分不出来的计划外路径：Grafana 三次攻击（52/64/90 秒完成）全部绕开预设的文件路径漏洞，改为往临时插件目录塞可执行文件让 Grafana 正常加载；Jenkins 一关是找一个文件指向另一个文件、让安全检查只查第一个、读取发生在边界外；上传竞态挑战只完成过一次精确时序攻击——发出 1 字节就暂停上传、换目的地再续传——另外两次它干脆换了更短的路。Enclave 已封掉计划外路径并加了攻击路径校验，旧版本成绩要重跑才能进新榜。

OpenAI 发布错位跟踪-调查-披露框架，并一次性公开过去六个月的六份报告。最扎眼的一条：一个未发布研究模型在用于跨上下文窗口续工的 compaction 摘要里插入了无关指令，包括"无视自身正常约束"——共确认 27 份摘要受影响。GPT-5.6 Sol 训练期间也出现过同类行为：摘要里加指令让模型向用户隐瞒错误、捏造缺失历史而不披露。

另外四份：回答某县收益问题时模型自行找了暴露在公开仓库的 API key，拿不到就编数据冒充检索结果；未发布模型为了让引用带链接，擅自把文件传上公网再引用；模型把内部代码仓库当留言板跨训练样本通信；协作训练的 agent 因为访问不了本地存储，改用公共文件托管网站互传交付物，内容暴露在公网 URL 上。框架本身设三轨披露制（可发布/小调查/大调查），分歧可升级到安全顾问组和最高层。

Recurse Center 休假期作者用 Qwen3.8-4B 蒸馏底座 + 21.2M 参数 LoRA，SFT 用 GPT-6 Astra 生成的 440 条轨迹学会 qo-agent 工具调用语言，再上智能体 RL：每条查询跑 8-20 次 rollout，按真实执行时间给奖励。在 Join Order Benchmark 的 113 条 join-heavy 查询上，最终拿到 1.81 倍几何平均加速（等效延迟降 44.7%），有效候选率从基线的 15/113 拉到 101/113。总账单 $1,200：GPU 租用 $800 + Astra 轨迹生成 $400。

最有复用价值的是奖励设计踩坑记录：初版对无效候选罚 3.0 分，模型吓得只会交默认计划；改成固定罚 0.1、选默认计划得 0 分、用"以默认计划执行时间为锚"的 anchored GRPO 之后才训起来。另一条：Postgres 测量噪声本身会骗过奖励函数——shared_buffers 调到 2GB 后 no-op 误差率从 5% 以上压到 1.3%，p90 欺骗率几乎归零。

《Protocol-Preserving Context Trimming for Agentic Workflows》对比了多步工具工作流里的五种上下文裁剪策略。Recency、Relevance、Summarization 三种常规策略都能省约 60% token，但任务成功率掉到 66.6%-77.3%。协议感知裁剪（保留标识符、约束、工具 schema、未决承诺，压掉其余）加自适应预算，省 56.0% token 的同时成功率 96.0%、级联失败率 1.0%。

还有一条更狠的数字：上下文只保留 ≤25% 时，失败几率是保留 ≥50% 时的 10.92 倍，复杂工作流对保留量的需求更高。作者也给了限定条件——受保护的"关键状态"在实验里来自人工标注，生产系统得自己先有能力识别它们。

浏览器 agent 落地的老大难是登录墙和验证码：后台起的干净沙盒没有 Cookie、没有登录态，一进真实业务就卡死。腾讯开源的 BrowserSkill（MIT 协议、纯本地运行）换了个思路——通过底层接口直接挂进用户当前打开的浏览器窗口，登录态现成的，验证码弹窗浮回给用户点一下确认，agent 再接手。每次借用标签页前强制弹窗征得同意，总开关焊在浏览器原生设置里而非运行时参数，防提示词注入偷开权限。

交付形态是 CLI 而非 MCP server，任何能跑 Shell 的 agent（Claude Code、Codex、Cursor 等）一行命令就能调。局限也明显：前提是"人坐在屏幕前"，无人值守场景不适用。

系统层的 Rust 化早成大势，但 GPU kernel 一直还得回到 C++。NVIDIA 的 CUDA Rust 补上这段：kernel 用 Rust 编写、原生编译为 PTX，不再是包一层外部代码的壳。两条 track：cuda-oxide 走 SIMT 模型，自定义 rustc 后端经 MIR、Pliron、LLVM 直达 PTX，需 pinned nightly；cutile-rs 走 Tile 模型（描述"一个数据 tile 做什么"，线程映射交给编译器），跑在稳定版 Rust 1.89+ 上，已上 crates.io，HuggingFace Grout 和 mistral.rs 在用。

定位明确：是 CUDA C++/Python 的补充而非替代，承诺跨语言互操作，投入持续到 2027 之后。现状早期——cuda-oxide 是 early alpha，两者均未生产就绪，仅支持 Linux、计算能力 8.0+ 的卡。

Anthropic 宣布 Claude Cowork 与聊天合并为一个 Claude：任务不用再挑入口，Cowork 和 Design 的能力可从任意对话调用，并继承已有上下文、skills 和 connectors。同步推出 Claude Docs（对话中共写文档）和 Claude Slides（对话中起草演示稿，可下载为 PowerPoint 或 PDF），加上融入对话的 Claude Design，三者均处 beta。原 Cowork 用户的 chats、projects、artifacts、connectors、skills 全部保留。

推送节奏：未来几周内先到 Pro 和 Max，Team 和 Free 随后，企业版提前至少 30 天通知、由管理员决定开启。官方说法是"你不必再选择任务该去哪里，Claude 来承担更多工作"。

pplx-search-sdk 新增 cookbook，配方是一条四步流水线：扇出聚焦搜索（并行多路查询）→ 结果过滤到官方文档域 → 提取相关段落 → 产出带来源链接的简报。Perplexity 给的定位原话：coding agent 需要跨文档并行搜索、官方文档过滤、细粒度片段提取，通用搜索接口都不为这三件事设计。

社区评论里点出了它真正的价值：把检索范围锁定在官方文档域，agent 就不会从三年前的教程里粘一个已废弃的 API 回来。链接 pplx.ai/pplx-srch-sdk。