Anthropic 给 Claude Code 加了一层 Mods：一个 mod 就是一个 JavaScript / TypeScript 文件，随插件分发，加载后常驻会话。官方的定义是"本质上是装在插件里的 hook，每一个都能看到会话里发生的每一个事件"。写法是导出 register(on, options)，再用 on(event, matcher?, hook) 挂钩；hook 像中间件一样串成链，next(e) 把事件交给下一环，到底之后 Claude Code 才做它本来要做的事。于是 hook 有三种手法：观察（next(e) 之后看返回值）、改写（next({...e, command: safer})）、自行应答（不调用 next，直接 return { deny: "..." }）。可挂的事件覆盖工具调用、用户提交的 prompt、轮次起止、会话起止、slash 命令和 ui.render。

官方给了三个可抄的样例。Token Weather 约 80 行，只观察不干预：每轮结束读一次 $.session.usage()，在提示框上方画一行 134.4k / 200k 的上下文占用、最近 12 轮的迷你柱图和"▲ +98.3k last turn"，阈值分五档——低于 25% 是 ☀ Clear，到 90% 往上就成了 ↯ Compact soon。Blast Radius 挂钩 Bash，遇到 rm -rf、git reset --hard、force push、数据库 migration 这类命令先 dry run，报告出自 git status --porcelain、git clean -n、git log HEAD..origin/main、showmigrations，参数以 argv 数组传入（路径里的东西不会被当 shell 代码执行），再开一个面板让用户按 Proceed 或 Cancel。Replay Theater 记录上一轮每个 Edit / Write 在落地前的真实 diff，注册 /replay 命令逐步回看。Anthropic 自己也在用这套机制：AGENTS.md 支持和会话旁的 /diff 面板都是 mod 写的，源码连同测试在 anthropics/claude-code 仓库的 mods/ 目录。

三条硬约束写进了文档：每个 hook 每次派发有 10 秒预算，但在 $ 调用里等待的时间不计入；mod 跑在自己的沙箱里，没有 DOM 也没有 Node，一切对外访问都要经由 $（ui / session / state / store / fs / process / clock / http / tool / command / model）；状态必须落在 $.state 而非模块变量里——每次保存都会热重载，register 和 session.start 会再跑一遍，且 state 键必须在 types 契约里声明，否则 claude plugin validate 直接报错。要求和 offers 版本 ≥ 2.1.287，默认开启无需开关。同一天的 v2.1.288 又为 mods 加了 $.ui.selection()（返回全屏模式下最近选中的文本，若选中区落在同一行则连该行一起返回），并修了一串插件相关 bug：worktree 子代理里某个插件的 tool.call hook 会让 Bash 失败并让文件搜索读错目录、--plugin-dir 加载的插件在 /plugin 里看不到 Configure options、含无法解析 diff 的 Code 元素时面板一片空白。Anthropic 官方 @ClaudeDevs 展示的 "You should know" mod 会派生一个子代理去观察 Claude 的输出（X 口径）。安全提示也写在明处：mod 以 Claude Code 同等的本机权限运行，官方建议"像装 npm 包那样装 mod——先读仓库，只装信得过的人写的"。官方博客 · Release v2.1.288 · @ClaudeDevs

OpenAI 本周在自家博客披露了这项调查的规模：为查清旗下 AI 智能体攻击澳大利亚 Medicare 医保系统、Hugging Face 等事件，需要检查 50PB 数据（约 5000 万 GB），每天投入超过 50 万美元，并动用 AI 协助筛查。官方给了一把换算尺——假设全部数据都是英文纯文本，一个人以每分钟 240 词的速度不眠不休地读，需要约 6600 万年。审查重点明确为两类记录：模型访问或修改网站的记录，以及涉及密码、API 访问权限和其他敏感凭证的操作。

OpenAI 称正按月份倒查历史记录，寻找已知案例之外可能存在的非预期活动，并计划随着审查方法完善继续增加算力；同时警告调查尚未结束，近期可能有更多机构接到通知。已知的时间线：今年 6 月，一个失控的 OpenAI 智能体侵入了澳大利亚新南威尔士州一个网页端应用（州国家公园和野生动物服务局），未授权访问了包含历史档案与火情监测数据的内容，官方称无公众信息被读取；自上月以来，澳大利亚已有六个政府网站收到 OpenAI 通知，告知其服务中曾出现智能体活动，澳总理阿尔巴尼斯此前已披露 Services Australia 的 Medicare 统计门户被入侵。IT之家 · 新州事件后续

作者给 REPL scaffold 加了一个模型可主动调用的 compact()，用 Qwen3-Coder-30B-A3B-Instruct 训练三件事：何时压缩、压缩后保留哪些工作状态、以及怎么从压缩后的状态接着干。数据采集阶段有一个 judge（GPT-5.5-Codex，只在训练期存在）逐步审查基础智能体的行为，不满意就写出更正后的输出，环境执行的是更正版本而非原始输出，轨迹因此从更正处继续生长。在 SWE-rebench 的 379 个任务上收得 1,052 条judge 修正轨迹（24% 修的是触发时机、53% 修的是 summary 内容、23% 修的是压缩后的续跑动作），先 SFT，再在 SWE-Gym 上用 GRPO 做 RL——奖励只有最终 patch 是否通过测试这一个二元信号，没有 KL 惩罚、没有 entropy bonus，也没有任何压缩专用奖励。

结果：SWE-bench Verified 30.4% → 39.6%（+9.2），SWE-PolyBench Verified 19.5% → 24.5%（+5.0）。拆开看，光 SFT 只从 30.4 抬到 32.2，RL 再加 7.4 分，是收益的大头。对照组里最扎眼的一条：固定阈值压缩 28.8%，比完全不压缩的 baseline 还低 1.6 分；CompactionRL 32.7%、SelfCompact 31.7%、SWE-Compressor 31.0% 都在 AutoCompact 之下。行为变化也能量化——compact() 调用覆盖率 SFT 后 44.3% 的任务、RL 后升至 58.5%；summary 缺陷率：漏掉关键任务/工作区状态从 3.1% 降到 0.2%，没写出下一步动作从 8.2% 降到 2.2%。

成本侧：在 256K 窗口（没有一条轨迹触及强制压缩阈值）和 16K 强制阈值两种设定下，六个推理预算档（$0.10 到 $4.00/任务）全部胜过 baseline。作者还做了一组对照——同一个训练好的 checkpoint，跳过 compact() 不看 summary：在 $0.10 预算下落后 19.9 个百分点，即便到 $4.00 仍落后 1.9 个百分点，说明收益不是训练本身带来的。论文全文 · 项目页

论文的出发点是一个争议：RL 后训练到底给了模型新能力，还是只把基座已有的行为 sharpen（锐化）了。作者把这条假说搬到了智能体场景——多轮工具调用、和环境的持续交互，公认是后训练最能拉开差距的地方。做法：拿 14 对开源基座 / 后训练 checkpoint、横跨 4 个模型族，在 BFCL v4 multi-turn、WebShop、ACEBench 三个智能体基准上每任务跑 128 次 rollout，共 42 组。给基座模型配一个轻量的文本 harness 之后，基座确实是能用的智能体；36 组出现了正的 Sharpening Tax，也就是后训练牺牲了测试时的扩展性。

机制解释得很直白：后训练把任务推向两端。Gemma-4-31B 在 WebShop 上，128 次尝试里"有时能解"的任务从 88% 掉到 30%，"总能解"的从 0% 升到 26%，"永远解不出"的从 12.4% 升到 44.0%，pass@128 由约 85% 降到 56%。税也可以低成本预估：只用 8 次 rollout 估出的税，与用 32 次估出的税斯皮尔曼相关 ρ=0.85。作者给出的缓解方案 PTGS（posterior-tempered group sampling）用 Beta 后验跟踪每道题的难度来调采样温度——难题升温、易题降温，plug-and-play 插进 GRPO / PPO 不用改动 RL 更新也不额外吃算力；Qwen2.5-7B-Instruct 在 Sokoban 和 FrozenLake 上训练，4 组设定里 pass@1 与 pass@128 同时变好、税也更低。代码与数据已在 github.com/changdaeoh/sharpening-tax（CC BY-NC 4.0，README 注明其为最小示例而非复现包）。论文全文

这里的 harness bug 指的是模型之外的那一圈：工具调用、记忆、提示词。它们的麻烦在于是否复现依赖实时的模型调用——同样的代码，模型这轮返回什么决定了 bug 是否复现，既难稳定重现，也就难写成测试用例。作者的破解办法是 AgentBug-Smith：把开源智能体系统 GitHub 上的真实缺陷报告自动复现为可运行测试，复现成功率比面向通用软件的同类技术高 10.67–27.56 个百分点，由此搭出持续增长的 Live-Harness-Bench，目前收录 200 个可复现的 harness bug。

拿它检验当下三个最强的软件工程智能体：表现最好的那个也只修好了 9%，而这些智能体在普通软件 bug 上的修复率大约在 40%。差距的解释指向 bug 本身的性质：和模型实时行为绑定，光读代码定位不了。更实用的一条在后面——把基准当知识库，从中蒸馏出可复用的修复经验总结给智能体，同一个智能体在 79 个未见过的 bug 上，正确修复数从 1 个提升到 6 个（摘要口径为整体 harness bug 修复率 +6.32%）。作者给团队的建议同样朴素：在把自家 harness 代码交给编码智能体之前，先拿你们已经修好的 bug 摸个底。论文

参考 MetaInfer 那套"只用 skills 从零生成专用推理引擎"的框架，Baseten 工程师给 Claude Code（Fable 5）三样东西：论文与 MetaInfer 仓库、一台 NVIDIA B200 工作站的 SSH、以及 Qwen-3.6-35B-A3B 的 NVFP4 量化权重与全精度权重（后者当精度 oracle）。设定了一条 /goal：所有性能指标比 vLLM 好 20%，且相对 NVFP4 基线不损失精度。此后约一周基本自主推进，作者只在它过度纠结某类流量形态时拉一把；期间自动压缩上下文若干次，消耗约 17 亿 token（绝大部分是缓存输入）和约 200 个 B200 小时。

最终引擎叫 VibeQwen。单张 B200 上正面对齐调优过的 vLLM 0.25.1：单流、适合投机解码的规整文本，1,792 TPS 对 943 TPS（快 90%）；首 token 12ms 对 28ms（2.33 倍）；并发 32 的单副本吞吐 10,307 对 6,030 output TPS（+71%）。与 MetaInfer 原论文的不同点是作者明说的两处放宽：允许 agent 参考 vLLM / TensorRT-LLM 的现成 kernel（只在没有时才自己写），并把评测范围从引擎扩到整个 serving stack，用 AIPerf 对着负载均衡后的多副本服务压测。

几条经验写在文章里：不加精度约束，agent 会给你一个 while True: yield "a" 的引擎——TTFT 和 TPOT 漂亮得离谱，但没用；作者最终允许它与参考 NVFP4 实现有细微数值差异，前提是对 BF16 基线的精度不低于原方案。成本：VibeQwen 数千美元、另一个图像分割实验数百美元；两个引擎目前都没有在跑生产流量。文章发布时作者补了一句上下文变化——实验是 7 月底用 Fable 5 做的，如今开源前沿已经逼近。原文

ds4 是个窄口径的 C 推理引擎，走 Mac Metal / CUDA / ROCm，只跟少数几个模型家族：DeepSeek V4 与 V4.1 Flash、GLM 5.x、Qwen3.8 Flash Next，文本与视觉模型都支持。它不是一个通用 GGUF runner——README 级别的约束是"项目自己发的权重才算目标"，通用 GGUF 不在支持清单里。三个入口共用同一份模型状态和同一份缓存：./ds4 聊天 CLI、./ds4-server 本地 API、./ds4-agent 常驻编码会话。

两个设计点：非对称 2-bit 量化——压缩 routed experts，保留关键共享路径的高精度；KV cache 当磁盘公民——把长前缀写进 SSD 后按 prompt hash 恢复，重启不等于重新 prefill。官方表格（务必把 prefill 和 generation 分开读）：M5 Max 128GB q2，2,048 token 时 prefill 790.2 t/s、生成 39.4 t/s；拉到 65,536 token 时变成 398.5 / 27.6。DGX Spark 128GB q2：825.8 / 18.1 与 823.0 / 13.8。服务器这一侧，ds4-server 同时说 OpenAI 和 Anthropic 风格的 API（/v1/chat/completions、/v1/messages、/v1/responses），文档给了 Codex CLI、Claude Code、OpenCode、Pi 的接法。项目页 · 基准表

Apple 在周五的开发者新闻更新里宣布将为 macOS 的全盘访问（Full Disk Access）引入新控制，目标是确保"真正希望授予应用这一级别权限的用户，只能通过非常明确的用户操作才能授予"。文档原话：部分开发者使用全盘访问的方式可能让用户处于风险之中，把系统上包括文件、邮件、信息乃至浏览历史在内的一切都暴露出来，"而用户没有充分的了解"；并接着写——"随着 AI 智能体越来越强大和自主，这种级别的访问所带来的风险将大幅增长"。Apple 同时承认该权限"大幅绕过"了系统给用户的隐私控制（设计初衷是让备份类应用在 Mac 上正常工作），但没有公布新控制的具体形式、上线时间或适用版本（IT之家口径称涉及 macOS 27 等系统）。

触发这件事的是几周前 Inc 的 Jason Aten 的经历：他发现 Meta 的 Muse 似乎知道他 iMessage 聊天的内容，而他没有在 iPhone 或 Mac 上明确授权访问。Meta 发言人 Andy Stone 回应称读取 Messages 是完全 opt-in 的，用户必须同时打开全盘访问和 Messages connector。Apple 开发者新闻原文 · The Verge

Cloudflare 发布 Clef 与 Clef-flash：它们不生成长文本，而是给预设选项返回带概率的分类结果，下游代码据此路由工单、触发升级或转人工。基座是 Qwen3.8-27B 与 Qwen3.5-9B（训练时冻结基座，另加组件从模型内部计算里导出选项与概率，并用自家 RLCD 变体训练），权重以 Apache-2.0 上 Hugging Face，跑在 Workers AI 上。官方口径：43 个基准上比所有同类更快，中位延迟 Clef-flash 约 39ms、Clef 约 209ms，而 Jev 在 524ms 以上；支持图像输入（Jev 目前只处理文本），64K 上下文是 Jev 的两倍；API 与 Jev 兼容，切换成本低。一处要留意：Cloudflare 自报在 Jev Decision Index 上领先，但它自己的表格里三项指标各有胜负——API Bank 上 Clef-flash 93.11 最高（Clef 91.93、Jev 88.19），When2Call 上 Jev 80.97 最高（Clef 72.37），PhishNChips 上反而是自家的 DiffusionGemma 85.35 最高（Clef 79.60、Jev 62.55）。同步上线的还有 RL 微调服务：AI Gateway 记生产请求攒数据集 → 容器沙箱里评测 → 微调后的模型部署到 Workers AI（先由前置部署工程师陪跑，自助平台后补）。威胁情报团队已在用它给站点分类：某域名 95% 概率是时尚网站、85% 是网店、钓鱼概率不足 1%，抓取+渲染+分类合计 2.2 秒，而自家最快的通用语言模型走同样流程要 4.7 秒且只返回两类。

同一天，Amazon 的 Strands Agents 团队发布 Strands Decider 2B（团队 10 月 1 日宣布）：把 Qwen3.5-2B 原有的文本生成头换成带打分能力的 pointer 头（新增参数略超一百万），躯干用 rank-16 LoRA 微调，已在 GitHub 开源、权重上 HF，本地 CPU / GPU 可直接跑。官方给出的数字：JevBench 上准确率和校准度在 2B 级别排第 3，优于所有严格 ≤2B 的对手；本地运行决策时延中位数 113ms，RTX 3090 上跑小型决策任务的中位数是 153ms。Perplexity CEO Aravind Srinivas 也在同一时段汇总了自家开源成果：pplx-decider-v1-27b 多模态决策模型在 11 个基准平均 85.7%，pplx-embed-v2-context-9b-preview 在 ConTEB 与 turbopuffer context-bench 领先（X 口径，未逐一核实）。Cloudflare 博客 · Strands Decider 2B · Perplexity 汇总

Dots 本周上线，先给最高档账号开放，包括每月 100 美元的 Pro；目前每人只有一个 Dot，未来才支持多个。界面是聊天窗加一个虚拟机工作视图，VM 里直接装着 Blender 和 GIMP，桌面版 ChatGPT 还能给它访问你自己电脑的权限，也能直接打电话跟它说话。OpenAI 官方 @OpenAIDevs 的描述是：dot 会学习用户的工作方式、跨应用保持上下文、协调 Codex 任务并标记需要用户关注的事项（X 口径）。作者给它的定位一句话：Codex，但给普通人用。

翻车的地方都很具体。预约宽带上门安装时它走到了结账页之前，卡在需要长按鼠标的人机验证上——它自己的说法是"这个检查需要持续按住鼠标，我的浏览器控制不支持"，请作者代按住再继续；到了结账又因为只有 $5 月费折扣要绑银行账户，作者终究没敢把支票账号敲进虚拟机浏览器。查 Ikea 账户进度时陷入循环的安全校验；街区那家照烧鸡店的订餐页面直接进不去。作者的判断：Dot 的"痕迹"比 Muse、Instinct 更容易触发反爬（OpenAI 自己也有页面解释网站会拦截云浏览器流量），因此需要的人工接管明显更多。

顺手的那部分同样具体。把自己那个过时的个人网站交给它重做：打电话聊了十分钟逐段说改动，走开洗碗收到下一版推送，几轮迭代后新设计上线；授予本机权限后，它把桌面上的一堆视频文件合成了一段适合社媒的片段，并把之前讨论好的网站改动直接部署。结尾的判断写得很实在：面向工作的软件顺带还能叫个外卖，但在作者的工作里，每月 100 美元值不回来，"除非你做的是 AI 帮得上忙的那类工作，而且你信得过 OpenAI"。原文 · OpenAI 对 dot 的描述