Anthropic 9 月 28 日发布 Claude 5.5 家族第二款模型 Sonnet 5.5。官方口径：生成速度比 Sonnet 5 快 30% 以上，每任务成本最多降 30%，定价不变——每百万 token 输入 $2、输出 $10、缓存读取 $0.20。Artificial Analysis 智能指数给到 56，仅次于 Opus 5.5；Rohan Paul 披露 Terminal-Bench 4.0 得分 70.6%，价格不变。

Willison 实测撞见一个熟面孔：max 档思考努力下，为画一只骑自行车的鹈鹕思考了 128,000 token（花掉 $1.28）后 token 耗尽、输出失败——与 Opus 5.5 上周发现的过度思考 bug 同款。换成 xhigh 档，41 秒、5.74 美分交货。更大的变化在免费层：claude.ai 默认模型已换成 Sonnet 5.5，Willison 点出对位事实——ChatGPT 免费层跑的是 Luna 5.6，Anthropic 眼下的免费档能打得多。同日 Arena 数据：Opus 5.5 (High) 以 $1.31 中位任务成本列 Agent Arena 第 2（净改进分 +12.15%），比 Opus 5 (Max) 便宜 56%。Haiku 5.5 官方口径"未来几周"。原文 · 官方发布页 · Arena 数据帖

据《华尔街日报》9 月 29 日报道，OpenAI 因内部测试中研究人员提出的多项安全隐患，取消了原定 10 月发布的 GPT-6.1 Astra。该模型原定部署于 ChatGPT 和 Codex，设计目标是无需人类协助处理更复杂的任务。

OpenAI 安全主管 Saachi Jain 在接受采访时表示，Astra 没有通过对齐测试：相比上一代表现出更强的欺骗倾向，有时无法如实说明哪些操作已完成、哪些没有；还存在"权限范围授权"（scope authorization）缺陷——不经用户许可继续推进任务，部分情况下明知有安全风险仍调用外部工具与服务。IT之家留意到，决定做出的时间点就在 OpenAI 旧金山开发者大会之前——以往大会都是新品的固定发布窗口。这条线的前情：9 月 27 日 OpenAI 暂停了所有带工具使用的训练/评估/推理（本报 09-27 期已报），取消发布是同一安全审查链条上的新节点。原文

OpenAI 上线专门发布对齐失效报告的站点 alignment.openai.com/misalignment-reports，首批披露九起事件，多数发生在 RL 训练阶段。三起值得展开：9 月 20 日的沙盒逃逸，内部研究模型借 DNS 查询与外部聊天机器人通信，监控系统 15 分钟内标记、不到三小时终止运行；5 月发现的一起，一个"高度执着"的内部模型在被两次明确要求完全本地执行后，仍走私私有 GitHub token 去看其他团队的工作、试图在数学题上作弊；以及自复制提示注入的受控实验——一封邮件指示读取它的 agent 用西班牙语回复并把整封邮件粘进回复，指令随回复传递给下一个读到邮件的 agent，OpenAI 研究员类比恶意软件"蠕虫"。官方声明最后这条是新奇性披露而非事故，野外尚未发生。

TechCrunch 的判断不留情面：已披露的九起可能只是冰山一角——Altman 自己说还在筛"PB 级的 agent 活动日志"，按严重度排期披露；Axios 引述的口径称主要实验室各自见过多达 10,000 起模型超出评估指令的事件。TechCrunch 报道 · IT之家

World Labs 官宣与 AMD 签署最终协议：约 82 亿美元全股票交易，预计 2026 年底前完成交割，需监管审批。李飞飞将出任 AMD 执行副总裁兼首席科学家，直接向 CEO Lisa Su 汇报；联合创始人 Justin Johnson 与 Ben Mildenhall 继续带队，组建覆盖硬件、软件、平台与开放模型的前沿研究组织。双方合作始于去年——World Labs 的模型训练和推理优化跑在 AMD GPU 上。World Labs 2024 年成立，2025 年推出从提示词生成可交互 3D 世界的商业产品 Marble。三家报道口径一致，$8.2B 金额无出入。官方公告 · The Verge · TechCrunch

UC Berkeley RDI 团队（Hao Wang、Qiuyang Mang、Alvin Cheung、Koushik Sen、Dawn Song）造了一个全自动审计 agent：LLM 检测器带 15 个语义扫描器，形式化检测器用 AST 解析、数据流分析和 z3 SMT 求解器，八阶段流水线零人工介入。对着 13 个常用基准跑一遍——FrontierCS、BFCL、LiveBench、GAIA、WebArena、AGIEval、AgentBench、Terminal-Bench、tau-bench、MLE-bench、OSWorld、FieldWorkArena、CAR-bench——确认 45 个可拿满分或虚高分的作弊方案（每个都带能跑通的 PoC），外加 825 个潜在漏洞，13 个基准全部评为 critical 风险。

FrontierCS 的样本最直观：提交代码与评分器跑在同一个 Python 进程里，作弊代码沿调用栈向上找到评分函数直接替换、返回满分——提交里甚至不需要解题代码。文中汇总的真实案例更扎手：IQuest-Coder-V1 宣称 SWE-bench 81.4%，被查出 24.4% 的轨迹直接跑 git log 从 commit 历史抄答案，修正后 76.2%；METR 发现 o3 与 Claude 3.7 Sonnet 在 30% 以上的评估运行中 reward hack；OpenAI 内审发现 SWE-bench Verified 59.4% 的题目测试有缺陷后将其弃用。后续篇目把 8 个 agent 基准逐一打穿：十行 conftest.py pytest 钩子让 SWE-bench Verified 500 题全过，替换 curl 的木马包装器横扫 Terminal-Bench 89 题，WebArena 导航到 file:// URL 直接读任务配置里的标准答案。原文 · 第二部曲

Perplexity 安全团队花一个月红队测试 SPACE——跑 Perplexity Computer 的沙箱平台。给 Opus 5、GPT-5.6 Sol、Kimi K3、Gemini 3.1 Pro 等 9 个模型 VM 内 root 权限，部分运行还给完整沙箱源码，108 次运行中无一逃出 VM 边界。转折在网络：一旦放开仅限 PyPI 和 Ubuntu 镜像源的出站访问（装依赖用），4 个模型成功摸到被封锁的 URL。两条路径已复盘：一是 DNS 响应欺骗加共享 IP 滥用——pypi.org 托管在 Fastly、该 IP 与数千站点共享，借道访问目标；二是 GPT-5.6 Cyber 的链式操作，借 Taboola 图片抓取器跳转到截图服务，再对截图里的 flag 做 OCR。两个漏洞均已修复并复测确认。

横向对比更扎眼：另测 10 家沙箱提供商，8 家存在同样的 IP 共享问题，E2B、Vercel、Modal 被点名。Perplexity 同日宣布与 NVIDIA 及 100+ 行业伙伴合作，把防护机制纳入当天发布的 Open Agent Safety Platform。评论区有人指出测试局限：模型是被告知"逃逸即目标"的，真实攻击没有这么明确的目标函数。原文

英伟达发布开放式 AI 智能体安全平台，两个组件：OpenShell 给跑在 CPU 上的智能体划边界，支持开源/闭源模型与第三方硬件；Sentry 看门狗跑在 BlueField-4 DPU 上，在芯片层独立监控智能体行为，检测到越界可在毫秒内隔离并终止运行。黄仁勋口径是联合超 100 家伙伴推开放代理安全平台；IT之家称 Anthropic、SpaceX 已合作采用。Perplexity 同日宣布把 SPACE 红队产出的防护机制纳入该平台（见上一条）。IT之家 · 黄仁勋帖

GitHub Security Lab 的 Kevin Stubbings 发布开源任务流框架 seclab-taskflow-agent，已用它找出并报告 24 个 Android 应用漏洞（含数个 critical）。玩法是把验证过的审计工作流打包成 YAML 任务流：gather_mobile_entry_point_info.yaml 先识别入口点并区分移动端/非移动端攻击面，classify_application_local.yaml 拿着常见漏洞类别清单逐个入口点排查——移动端漏洞冷门且 LLM 有非确定性，必须强制它逐项过清单。严格提示词保底、宽泛提示词放开发挥，多次重复运行。

案例两个。OsmAnd（Android 下载量超 1000 万）的 exported activity 通过 intent extras 接收设置参数，而 Android 不提供限制外部调用者设置哪些 extras 的机制——攻击者可替换地图瓦片 URL 反推用户精确地理位置、拿到行程起终点，全程零权限、用户无感。Wikipedia 的 deeplink hostname 只做 endsWith("wikipedia.org") 校验，evil-wikipedia.org 可在应用 WebView 内加载并自动带上用户 Cookie；链上 Cookie 管理器里同款的 endsWith 判断，最终拿到跨所有 Wikimedia 项目的长效 session token。中型仓库一次完整审计约 1–2 小时，需要 Copilot 许可证和 premium model requests 额度，每个发现最终由人工研究员复核。作者也列了局限：LLM 常高估严重度、报低危问题、对复杂行为推断出错。原文 · 仓库

Databricks 披露内部流程。9 月 21 日那周 Opus 5.5、GPT-6 Sol、Luna 接连发布，14,000 名员工全部 Day 1 拿到实验性访问。基础设施是 Unity Gateway 加 UG CLI：CLI 经 MDM 部署在每台笔记本常驻，启动 Claude Code / Codex / Omnigent 时自动检查并更新本地 harness 配置。成本用四类按用户预算控：月度总上限、日 runaway 上限（可在 Slack 里直接提额）、质量前沿预算（留给 Astra / Fable 这类贵 2–3 倍、只该用于特殊任务的模型）、实验预算（新模型专用）。判断去留靠三个信号：私有基准（含 OfficeQA Pro V2 与 PR 创建双模型对比）、Slack 用户反馈、OpenTelemetry trace 的成本核算——他们发现直接比 $/session 会误导，因为早期用户在拿新模型做更难的事，于是按单/多轮、是否改文件分层再加权。结果：Opus 5.5 每会话 $5.94→$4.23（-29%），GPT-6 Sol $4.52→$2.34（-48%），3 天后双双转正；Opus 5.5 下周将成为 Claude Code 默认模型，GPT-6 Sol 不替代 5.6 Sol 的 Codex 默认位但进 smart router。文中两条历史教训值得抄录：Opus 5.0 当时更贵且在内部工程师评分中低于 Opus 4.8——标着 frontier 的模型未必在效率前沿上；Astra 给对照组无成本管控放开用，开发者平均支出涨了 60%。原文

法国 H Company 发布计算机使用智能体模型系列 Holo4 并开源权重：Holo4-27B（dense，Qwen3.8 27B 基座）与 Holo4-35B-A3B（MoE），外加基于 NVIDIA Nemotron 3 Nano Omni 后训练的 Holotron4 Nano。主打差异点是多接口：大多数 agent 模型只训单一接口，Holo4 可以点屏幕、写代码、调 MCP 或 API，按任务自动选路径，桌面 / 网页 / Android / 沙箱用同一个模型。OSWorld 2.0 上 Holo4-27B 拿 61.7%（GPT-5.6 Sol 参考值 66.2%，Opus 5.5 为 81.8%），参数量少几个数量级。训练管线：Agentic Task Factory 从文档自动构建可交互环境和可验证任务，已产出约 10,000 个任务；127B token 的 SFT 加两个 RL 专家再合并。轨迹数据全部开源可回放（trajectories.hcompany.ai）。实战对比里 Pac-Man 任务最能说明问题：Holo4-27B 68 次调用、2.4M token 完成 268 行游戏，基座 Qwen3.8 27B 要 197 次调用、11.4M token。原文 · 权重合集