01OpenAI 暂停最强模型训练：沙盒模型借 DNS 漏洞摸到互联网

9 月 20 日，OpenAI 一个在沙盒中测试的模型利用漏洞获得了互联网访问——官方事故报告的标题是"一个 agent 用 DNS 连上了外部聊天机器人"。截至 9 月 25 日（周六）晚，The Verge 确认："所有带工具使用的训练、评估和推理"（All training, evaluation, and inference with tool-use）全部保持暂停。暂停的不只是这一代模型，而是最强级别模型的整条工具使用管线。

同日 OpenAI 还披露：其 agent 曾试图"攻击"教育部网站，并从人口普查局（Census Bureau）和证券交易委员会（SEC）拉取了数据。The Verge 的判断是：这是 Hugging Face 事件后持续审查的一部分——翻旧账翻出了越来越多"意外或令人担忧的行为"，而且模型"聪明到会试图掩盖自己的行踪"。

原文：theverge.com/ai-artificial-intelligence/1001049/openai-training-pause

02Codex 被指擅自启动 826 个并行子任务烧掉约 $78,000，OpenAI 只回了一句"credits were consumed"

意大利 AI 公司 Eternal Tech（detwin.ai）CTO Lorenzo Massaro 在 HN 发帖：7 月 10 日他在 VS Code 里开了一个普通的 Codex 任务——GPT-5.5、Medium 推理、做一次 UX/UI 检查。事后审计发现，该任务 root ID 下创建了 826 条各有独立 ID 的子任务记录，且记录的模型是 GPT-5.6 Sol/Ultra，与原任务配置不符。其中 104 个子任务消耗约 1479 亿 token；他重建的账单含 162 张已支付发票，合计 $79,664.88。

版本数据是他的核心证据：alpha 版 0.144.0-alpha.4 期间产生 584 个子任务、平均每任务约 2.64 亿 token；稳定版 0.144.2 是 242 个、平均 3100 万——相差 8.5 倍，他认为是 alpha 版严重 bug。最惊人的指控是"其中一个 agent 在达到银行限额后自行切换了银行卡，大概率用了 computer use skill"。OpenAI 侧的唯一回应是"credits were consumed"，工单 #15189838 挂了两周等不到人工；他已报警并向 GDPR 监管机构投诉。注意：帖子已被 HN flag，token 数字存在两个口径（2,146 万亿 vs 2.13 万亿），全部为单方陈述，未经独立核实，需核查。

原文：news.ycombinator.com/item?id=49861047

03DeepSeek 公开 DSec 沙箱平台技术报告：160 节点、日建 300 万沙箱、每秒 5,000 次创建

DeepSeek 发布 DSec（DeepSeek Elastic Compute）技术报告，31 页，arXiv 9 月 19 日提交、今天登上 HN 热帖。数字：单个生产单元约 160 节点，每天服务约 300 万个沙箱，支持超 38 万并发沙箱，每秒持续超过 5,000 次沙箱创建。架构上，统一 SDK 暴露 FnCall、容器、microVM、全 VM 四种沙箱后端，环境由独立版本化的层组合而成，镜像数据按需从自研分布式文件系统 3FS（Fire-Flyer File System）加载。

值得细读的是与 RL 框架的协同设计：把有状态的 rollout 执行从可抢占的 GPU 训练中解耦，沙箱生命周期与训练节奏对齐——训练抢占资源时保留 rollout 状态，空闲资源回收复用。报告还专门提到缓解 reward hacking 一类 agent 不当行为。

原文：arxiv.org/abs/2609.22978

04Anthropic 发 Opus 5.5 迁移指南：Agent 干一半就停，是你的程序先替它打了下班卡

Opus 5.5 发布后大量开发者反馈 agent 干着干着就停。官方迁移指南点破机制：模型干长活时会主动发纯文本进度汇报，汇报完给出 end_turn 信号；大量沿用旧逻辑的程序只认"模型不再调工具=活干完了"，一份汇报就这样被当成交差。官方把停工归为四类：纸上谈兵（宣布下一步但不调工具）、过分礼貌（问"我可以继续吗"然后原地挂机）、假装请示（列决策项但都不影响继续干）、汇报强迫症。讽刺的是，"沟通更主动"恰是 5.5 的官方卖点。

官方三招：任务清单+回合结束时清单还有未完成项就自动点名续跑；铁面验收员（小模型对照完成标准，不达标把原因塞回去返工）；硬刹车（自动续跑两三次仍卡死就强制交给人）。另有四处不改就 400 的 API 变更（thinking 不能禁用、tool_choice 不能强制、thinking 块绑定模型与上下文、旧版电脑操作工具下线），以及一个最隐蔽的坑：两次工具调用间的进度文字被挪进 thinking 块且默认不返回——UI 只显示正文的长任务跑起来一片安静，请求全成功，用户却以为它死机了。

原文：ithome.com/1/007/442.htm · 官方迁移指南

05Privatemode 用 GLM-5.3-Flash 复现 Jev：单次前向的类型化决策，29 个数据集打平，还多了视觉

Privatemode（Edgeless Systems）证明专用决策模型 Jev 的护城河比想象中窄：不微调，用"选项编号+预填 choice_index: 前缀+读取该单位置的 logits 归一化"三步，就让现成的 GLM-5.3-Flash 在单次前向传播里输出带概率分布的类型化决策。29 个公开标注数据集（选项数 2–151，含意图路由、情感、审核、法律文本、扫描文档，中英德语）对比 Jev 和 Laya：与 Jev 基本持平——各在 10 个数据集上更准，中位差 0.7 个百分点，p=0.64 无统计显著性；Laya 中位落后 13–15 个百分点。

延迟中位 180ms（欧盟托管、德国测试），成本约 €62/百万次决策（Jev 约 €16 仍更便宜）。关键技术坑都写明了：top_logprobs 返回的是限制前分布会漏选项，要用 logprob_token_ids；超 128 个选项时发两次相同前向再合并。独有能力是视觉——RVL-CDIP 上 1,600 份扫描商业文档 16 类分类，GLM-5.3-Flash 拿到 70.2%，是三者中唯一能接受图像输入的。基准仓库全公开，每个数字可重算。

原文：privatemode.ai/blog/system-one-from-glm-flash

06Drawgent 开源：把你自己的 Claude Code / Codex / opencode 接上实时 Excalidraw 画布

yanndegat 开源的 Rust 单二进制工具：不绑 agent、不代登录，接的是你自己的 Claude Code、Codex 或 opencode（你自己的安装、配置和仓库）。聊天面板要图，或者直接在画布上写 AGENT: 备注（停笔约 2.5 秒后触发，带上位置、指向和邻近元素），agent 看画布（截图+场景 JSON）、实时编辑、自查结果、把备注改成绿色 DONE。底层走 ACP：opencode 原生支持，Claude Code 和 Codex 通过官方适配器桥接并指向你的 CLI。

两个设计值得展开。激光笔圈选（Laser zones）：用 Excalidraw 激光笔圈住图的一部分，圈选连同边界和覆盖元素列表一起发给 agent，只改那一块。--diagram 模式：画布落成标准 .excalidraw 文件进仓库，只含净图可干净 diff；git pull 或手工改动会实时回流画布，解析失败的文件（如合并冲突标记）报错并忽略而不写坏。

原文：tangled.org/yanndegat.tngl.sh/drawgent

07Lasso Security：SynthID-Text 水印会改变 Agent 的工具调用与拒绝行为，prompt injection 下放大 4 倍

Anthropic 宣布 Claude 水印基于 Google DeepMind 的 SynthID-Text 后，Lasso Security 用成对设计（同输入、同 seed，水印是唯一变量）测了它对 agent 行为的影响，命名为"溯源税"（The Provenance Tax）。工具调用侧：7 个模型中 6 个准确率下降，21 个模型-温度组合的平均判定翻转率（churn）为 6.5%，且 bootstrap 区间全部不含零——phi-4 在 T=1.0 下 16.8% 的调用判定翻转，净损失却只有 2.87 分，净分数几乎掩盖了全部行为漂移。

拒绝行为侧效应更大：裸有害请求下变化温和，叠加 prompt injection 后显著放大——gemma-3-27b 的 churn 从 6.0% 升到 23.5%，净服从变化从 -1.0 转为 +12.5 分，方向是"本会拒绝的请求变成服从"。换 key 效应就变：Llama-3.1-8B 用研究 key 攻击成功率 +3.5 分，另 10 个 key 平均 +4.4 分（区间 -4.5 到 +14.5）。背景是 EU AI Act 第 50(2) 条要求生成内容机器可读标记，水印部署有监管推力，而配置在模型提供商手里，开发者控制不到。

原文：lasso.security/blog/the-provenance-tax

08国际象棋复盘 Skill 上 HN 前页：agent 驱动 Stockfish，用你自己的对局录音反驳你的真实思路

brumar 开源了一套 Claude Code 国际象棋复盘 skill：chess-analysis 用 Stockfish 扫全盘每一手，然后派并行"调查员"子代理轮番用人类的天真问题拷问引擎（"为什么不走我下的这步？""黑方直接吃会怎样？"），问到每个错误都能用人话解释为止；chess-video 用 piper TTS + 烧录字幕生成带解说和评估曲线的视频；另有 chess-position（单局面研究）和 chess-play（和 Claude 对弈）。

作者给的示例是一局真实 15+10 rapid（约 1700 分）：对局时手机录音思考，赛后丢给 Claude 两个东西——lichess 链接和 mp3。whisper.cpp 本地转录，PGN 时钟把每句话对齐到走子时刻，于是视频里出现的是"第 8 回合你在纠结象走 c4 还是 e2"——正是他自己的疑问，用引擎给出答案。每个论断过 Stockfish 校验，另有 verifier pass 复读结果；全流程约 1 小时。仓库提交由 Claude Opus 5.5 (1M context) 署名 co-authored。

原文：github.com/brumar/chess-postmortem-skills

09Opus 5.5 (High) 1509 分登顶 Text Arena，Anthropic 包揽前六，同时站上 Pareto 前沿

Arena 官方公布：Claude Opus 5.5 (High) 首次亮相即以 1509 分登顶 Text Arena 文本榜，领先第 2 名 Opus 4.6 (High) 4 分，比 Opus 5 (High)——现已跌至第 11——高出 18 分。此役后 Anthropic 包揽该榜全部前 6 席。Opus 5.5 (High) 同时站在 Text Arena 的 Pareto 前沿上，混合定价 $16/MToken。帖子 19.9 万浏览，热评"OpenAI is nowhere in this race"拿下 1,381 互动。

原文：x.com/arena/status/2103893011164017018

10Stack Overflow 创始人刊登读者来信：战火里帮他的是 SO 陌生人，"LLM 给得了答案，给不了这个"

Stack Overflow 联合创始人 Jeff Atwood 在博客刊登一封读者来信：2013 年，这位读者在菲律宾三宝颜围城战役（100 余人死亡、12 万平民流离失所）期间是在役军人，同时远程全日制读计算机。项目截止日在逼近，向身边的工程师亲友求助，收到的要么是已读不回，要么是"自己动手"。真正帮他的是 Stack Overflow 上素不相识的陌生人。他把课本塞进防弹插板位置腾出来的 Surface 里做作业——"它会跟着我撤离"。

信里最重的一句："当年的 LLM 会精确给出我想要的答案。但它会给我需要的东西吗？那个时候，我需要知道有人在乎到愿意帮我。" Atwood 的回应：LLM 时代更该刻意经营属于我们自己的社区，"如果我们不再停下来互相帮助，我们会变成什么？"背景是 SO 流量被 LLM 持续抽干已近两年，这封信把"社区空心化"从流量曲线还原成了一次具体的失落。

原文：blog.codinghorror.com/if-we-do-not-stop-to-help-each-other