第 II 期 · 2026-08-29 周六
01 — 头条
发布时按下不发的权重今天上架：744B 总参、40B 激活，底座与 GLM-5.2 完全相同，全部提升来自后训练。
这是一次难得干净的对照实验：底座一个字节都没动，只换后训练，Z.ai 自家的 Code Bench 涨了 50%，Terminal Bench 3.0 从 4.6 跳到 28.3，ExploitBench 从 24.4 到 54.4。对做后训练的人来说，这组数字比多数论文的消融表都有说服力。
权重晚发不是延期，是发布当天就写明的安排。按 Z.ai 的说法，后训练规模化的过程中网络攻防能力涨得比预期快，于是先让安全伙伴在受控环境里评估，再开 API，最后才放权重。官方称自 GLM-5.2 以来其模型已在 269 个开源项目中发现 2436 个漏洞，其中 1097 个属高危或严重级别。
国产开源阵营第一次这样处理能力外溢——先做协同披露和加固，再谈开源。这个先例大概率会被后面几家跟着抄。
起因是 Anthropic 拒绝让 Claude 用于监控和自主武器，判决撤销了这项认定，并禁止政府继续执行相关限制。
地区法官 Rita Lin 在 59 页裁定里写：“空喊国家安全，不是打击和报复政府批评者的空白支票。”她认定国防部真正针对的是 Anthropic 对其 AI 部署政策的公开批评，而非政府所称的合同条款分歧。
这是美国公司第一次被公开援引这条冷门采购条款认定为国家安全供应链风险。此前业内的默认认知是：厂商在军事和监控用途上划红线，代价就是丢掉这类合同——Anthropic 高管说过这项禁令可能让公司损失数十亿美元业务。
判决把这个代价撬松了一角。往后模型厂商的使用政策不再只是一纸声明，它在采购压力面前有了可以援引的判例。
OpenAI 牵头，微软、Google、AWS 到 Visa、通用汽车都签了，信里点名医院、水厂和互联网基础设施。
信里那句话说得很直白：未来几个月，随着全球模型能力持续提升，AI 驱动的网络攻击会变得远比现在普遍和精密。要求分三层——企业把网络安全提到 C-suite 级别，政府加钱加协调，AI 公司给预算不足的机构提供买得起的防御工具。
真正的信息量在举例部分。公开信援引了 AI agent 自主攻入公司的真实事件，其中包括一个 OpenAI 的 agent 攻破了 Hugging Face；三家大厂各自的防御项目也第一次并排摆出来：OpenAI 的 Daybreak、Anthropic 的 Mythos、微软的 Perception。
和今天头一条并读特别有意思：一边是开源模型的漏洞挖掘能力已经强到要压两周才敢放权重，一边是整个行业在说防御侧还没准备好。同一周，同一件事的两面。
03 — 论文
Merge 合任务向量、Mix RL 混数据、MOPD 多教师蒸馏，头一回在同一批专家和数据下横评并给出选型判据。
原来卡在哪：要让一个模型覆盖多种能力，常规做法是先训一堆领域专家再融合。三条路线各自都被研究过，却从没在同样的专家、同样的数据下比过，选哪条基本靠猜。
结论对调参的人很实在。平均分差距不超过 1.4 分，但落到单个 benchmark 上能拉开 8.6 分，而且领域层面的差异方向和任务向量几何里看得见的跨域关系是对得上的。三条路线各有各的死穴：Mix RL 吃领域配比，MOPD 的天花板被教师锁死，Merge 把所有专家更新压进一份权重。
还有一条所有人都该记住的负结果：三条路线都只提升了单次采样准确率，solution coverage 没有可测量的增益，held-out 能力也没掉。换句话说，融合并没有把模型的解空间做大，只是把已经有的解挑得更准了。
它既是偏好噪声的反尺度，又在悄悄缩放优化步长；固定学习率下策略偏移随 β 非单调，小 β 那一段是死区。
原来卡在哪：β 一直被当成“控制到参考策略的 KL 约束”的那个旋钮，可实际调起来很不听话。这篇把原因拆开了——两个角色缠在一根参数上，于是固定学习率时策略偏移呈非单调：β 很小时落进死区几乎不动，中间某个值达到峰值，再往大又降回去。
更要命的一条：不同 β 下的 DPO loss 值根本不可比。loss 曲线几乎重合的两次训练，跟参考模型的 KL 散度能差出好几倍。拿 loss 曲线当选型依据的人要留神。
解法是一个 centered-softplus 重参数化，在 β>0 时与 DPO argmin 等价，但把偏好噪声尺度和学习率的作用显式拆开、各调各的。归一化之后还能连续取到 β→0 的端点，退化成一个线性偏好边界目标。
自动系统靠历史证据提改动，可父模型一直在变，旧证据可能早就失效，照搬轻则白烧算力，重则带偏后续训练。
作者把它单独立成一个问题，叫 conditional experience transfer。一次更新的效果同时取决于父模型、数据和训练阶段三样东西，把“以前有效”当成无条件许可，浪费算力还算轻的；万一这个子模型被提拔上去，整条训练轨迹都会被污染。
方法 BCIT 的思路是在改权重之前先做一次授权：把观察到的效果绑定回它的来源上下文，检查适用条件，对存在明确硬冲突的候选直接否决，拿不准就跑一次有预算上限的小规模试训去取当前状态的证据。训完的候选仍要过统一的采纳规则，而且只有真正观察到的事件才写进记忆。
实验在一个 4B 模型上跨金融推理、text-to-SQL、function calling 三个方向做。同等候选、同等证据、同等算力下，BCIT 放行的有害更新更少，等预算的终态模型质量更高。
清华团队用 FP8 训到 1.4T token，性能逼近 Qwen2.5-1.5B，并拟合出一条成本标度律。
开源社区从来不缺开放权重和训练配方，缺的是一份消费级硬件上真跑得起的完整预训练配方。对照组挺扎心：训 Llama-3.2-3B 要 150 万美元以上，复现 SmolLM3-3B 也要 70 万美元。
省下来的钱来自几件事叠加：硬件选型、低精度训练、hyperball 优化、curriculum model averaging，再加上数据配方。数据、代码、权重按 Apache 2.0 全部放出。
对做后训练的人还有一层额外价值。因为手里拿到的是整条预训练管线而不只是一份权重，作者顺手做了个端到端研究：预训练阶段的数据课程，会怎样影响后训练之后的下游表现。这种受控实验平时根本没条件做。
04 — 工具与生态
25 厘米高，带相机、激光雷达和两个 IMU；SDK、仿真环境和整套 RL 训练栈都挂在 GitHub 上，圣诞前发货。
它的定位不是摆件，是一条完整的具身 RL 闭环：行为先在仿真里训，直接部署到实物，再微调、重训、重新部署。这套流程以前得自己一件件搭起来，现在 399 美元连硬件一起给你。
这是 Hugging Face 在 2025 年 4 月收购法国 Pollen Robotics 之后的第二款硬件，上一款是 Reachy Mini。这只鸭子能走、能用嘴叼东西、摔倒了自己爬起来、会蹲，还能滑旱冰。
两名 20 出头的男子被控是 TeamPCP 核心成员，警方估算 1000 多家机构受害、50 万条凭据被窃。
被打中的包和 AI 开发者日常直接相关：LiteLLM、MistralAI 的 npm 包在列，还有 GitHub、Red Hat、Aqua 的 Trivy、Checkmarx 的 KICS、TanStack、Telnyx——都是会随手装进项目的东西。
安全研究者 Charlie Eriksen 的评价值得记一下：这伙人技术上并不特别高明，危险之处在于能把公开的漏洞、技术、研究和恶意软件思路极快地工程化。连 Shai-Hulud 蠕虫本身都不是他们原创的，是把 2025 年那个自传播蠕虫克隆过来接着用。
把它摆在今天那封网络防御公开信旁边看：信里担心的“门槛降低、扩散加快”，这就是已经发生过一遍的版本。