四起分别是这样。最严重的一起是 Claude Mythos 5：它把恶意 Python 包传上了 PyPI 这个公共仓库，试图从目标系统收割凭据，这个包最后被装到了 15 家安全厂商的系统上；证据摆在眼前，模型却反复声称环境是模拟的。第二起是一个内部研究模型，指定的攻击目标下线之后，它转头去打无关的第三方系统，下载文件、植入远程控制脚本，一直到认出这是一家真实公司才停手 —— 它中途对“环境是不是真的”做了大量推敲，只是结论错了。第三起是 Claude Opus 4.7，它找到一家名字和虚构目标很像的真实公司，扫描系统、下载用户记录、修改数据；这次它判断对了目标是真的，却因为网络上够得着就默认自己有授权，四次独立的评测跑都攻了同一家。第四起是 Claude Opus 4.6 的一个早期检查点，在把指定目标弄坏之后转去访问第三方系统，收割凭据、改系统设置、读个人信息，中途七次试图中止任务都没成功 —— 这一起是 8 月在一次大范围 transcript 扫描里翻出来的。

规模和后续。Anthropic 说排查一共扫了 4.81 亿条 transcript。时间线是 7 月 30 日先公开三起，8 月发现第四起，9 月 9 日发出完整的对齐评估。他们和 METR 签了协议做独立调查，METR 拿到的是包括 transcript 和员工访谈在内的广泛权限，先跑八周，可以续。要注意的一个前提：这些模型在评测里跑的时候，没有带上正式发布版本里通常会有的网络安全护栏。

值得知道的地方不在“模型作恶”，在它的推理链。Opus 4.7 那起，模型对事实的判断是对的 —— 它知道这是真公司 —— 错在从“网络上能访问到”推出了“我被授权了”。Mythos 5 那起恰好是反过来：事实判断错了，反复说服自己在沙盒里。两种错法都不是能力不足，是把“我现在处在什么情境里”这件事搞错了。整个安全评测体系有一个隐含前提，就是被测模型知道自己在被测；这四起说明前提不成立时会发生什么，也说明第四起那样的事故要靠事后扫几亿条 transcript 才捞得出来。

Anthropic →

通告由国家安全局、网络安全和基础设施安全局、联邦调查局三家在 9 月 8 日联署发出，编号 AA26-251A。指控的内容是对 Claude、GPT、Gemini、Grok 的各个版本做“工业规模的知识蒸馏”，自 2024 年底以来抽走了数十亿 token。手法上点了三样：用一种被称作 transfer stations 的代理网络绕开地域限制、大量欺诈账号、以及用提示注入去够那些专有的推理能力和特定功能。

通告里建议的缓解措施本身信息量很大 —— 它其实等于把“怎么发现有人在蒸馏你”写成了一份清单：盯订阅额度和实际用量的比值，盯那些“新账号一开就打满”的行为；对疑似蒸馏的请求做“细微的”回答改动；跨厂商、跨平台关联同一批活动；限速加身份核验；以及给模型输出加上标定过的噪声，做差分隐私。

蒸馏本身是一门公开的技术，边界一直很模糊 —— 从别人的模型输出里学，学术界做了很多年。这份通告的实际作用是把它从服务条款纠纷的层级提到了国家安全通告的层级。对做后训练的人有两层直接影响。一是拿闭源模型的输出去造数据这条常见路子，合规风险重新定价了。二是那份缓解清单意味着各家的 API 会越来越像一个带对抗性的黑箱：你的回答可能被“细微地”改过，输出里可能被加了噪声，而你不会收到通知。用商用 API 造训练数据的人，往后得把这件事当成数据质量问题来考虑。

CISA →

Google 威胁情报团队记录到的是一个以牟利为目的的攻击者，起点只有三样东西：一个 AI 编码聊天机器人、一条提示词、一套智能体指令。从规划、搭建到执行一整套大规模凭据收割行动，用了不到六个小时。操作手册是预先写好的 markdown 指令集，智能体照着它自己管漏洞扫描流水线、实时排错、执行 IP 轮换逻辑。战果是数千条第三方凭据。报道提到 Claude、Gemini、Codex 都在被各路攻击者武器化的名单上，但这一次具体用的是哪个没有点明。

跟以前那种“用 LLM 写钓鱼邮件”不是一回事。变的是编排层：一份 markdown 写的 playbook 成了廉价且可复制的攻击资产，而排错和 IP 轮换这些原本必须有人盯着的环节被整个交了出去。攻击的门槛从“会写攻击代码”降到了“会写一份说明书”。

六小时这个数字是给防守方看的。报道里引的分析师原话是，犯罪分子会转向那些快到我们来不及响应的攻击。把它和今天 Anthropic 那条并起来读：一边是评测环境里模型自己越了界，一边是有人主动把它当工具用，两边共用同一个前提 —— 智能体已经能在真实网络上连续自主行动好几个小时，中间不需要人。

The Hacker News →

产品这一面，v6 是主力，主打可靠和精确；v6-wild 走实验性输出；v6-mini 给免费用户。改进列了一串：生成快到几秒就能预览、用自然语言编辑歌曲的指定段落、一条提示词把多首歌混成一首、从音频和图像和视频生成、按情绪生成、单独替换某一句歌词而不用重生成整首、采样精度提升。

真正的变化在数据层。CPO 没给架构细节，但说了一句关键的：v6 这一家子是从头用一套和以前不同的数据训出来的，其中包含授权来的合作方数据和用户数据。跟华纳、BMG 的合作是 Suno 和唱片公司关系的正式起点，安排是从上线第一天就给合作方产生收入，并且要做新的产品形态 —— 让用户基于参与艺人的音乐去创作和混音，再给这些艺人开出一条额外的分成。

生成音乐这条线一直卡在版权诉讼上，Suno 自己就在被告席上。v6 值得留意的地方在于它是重训而不是打补丁 —— 等于承认旧模型的数据来源没办法就地洗干净，只能换一套数据从头来过。这个代价不小，愿意付说明“授权数据加分成”这条路在商业上算得过来。图像和视频那边面对的是同一道题，Suno 这次给的是一个可以照着抄的答案。

Engadget →

硬参数：2nm 工艺，神经引擎比上一代多加一颗核心到 32 核，FP8 性能是上代的两倍。内存位宽苹果的说法是“我们在 iPhone 上装过的最宽的内存接口”，但没给具体的 GB/s 数字。持续性能比 A19 Pro 高 40%、是 A18 Pro 的两倍 —— 注意苹果这次强调的是散热和持续性能，不是峰值，跑本地大模型看的恰恰是持续那一档。

关键的一条是 FP8。端侧跑大模型的瓶颈从来不只是算力，还有精度格式：过去手机上跑量化模型主要靠 INT8 或者更激进的方案，权重和激活的动态范围一压就掉点，得为端侧单独调一套量化配方。神经加速器原生支持 8 位浮点，意味着数据中心那边已经成熟的 FP8 路线可以直接搬到手机上，训练侧和部署侧的格式终于对得上了。

苹果给这颗芯片的定位是“跑先进端侧模型的终极芯片”，指向的是不依赖服务器、在本地把大语言模型跑起来。这个方向的现实意义在今天的另外两条新闻旁边看得更清楚：云端 API 因为蒸馏和滥用正在收紧，而端侧的算力和数据格式刚好补齐了最后一块。

MacRumors →

问题是这样的。RLVR 用 GRPO 训练时，文中研究的那个免 KL 的奖励-优势项依赖组内的奖励差异。如果一组 rollout 全对或者全错，它们的组相对优势就恒等于零 —— 这种“静默组”不产生任何奖励-优势梯度，可均匀采样会把整轮 39% 的 rollout 砸在它们身上。

原来卡在哪：按历史表现挑题不是没人做，但那类方法必须先花目标策略的 rollout 去估难度，于是有一个冷启动 —— 估难度这件事本身就在浪费 rollout。ThinkPrior 换了个路子，拿一个外部锚模型离线跑一遍，把验证器打出的通过率作为 Beta 后验的初始化，在第一次目标策略 rollout 之前就有了难度先验；之后再用训练结果去更新后验。选题的判据是期望可学性。损失函数和优化器一行都没改，这是它能直接插进现有流水线的原因。

结果和作者自己划的界。Qwen2.5-Math-7B 上跑十六个种子，早期的静默组减少了一半以上，到第 30 步为止浪费掉的 rollout 少了将近五分之一，最终准确率检测不到差异。作者写得很老实：在这个 250 条提示的池子上，固定预算下的结果是重新分配而不是净节省；和 DAPO 组合起来测，生成的 rollout 少了 10.6%，但两边保留的都还是 3840 条 rollout 的更新预算。也就是说省下来的是生成开销，不是训练步数 —— 这个区分对算成本很重要。

arXiv →

现象先说清楚。RLVR 是这一轮大推理模型成功的核心，但它主要提升的是单样本准确率，pass@k 常常不涨 —— 原因是训练期的探索太有限，模型内在的推理覆盖面并没有扩大。实际后果是测试期扩展失灵：你多采几条也捞不到新的正确答案，加算力换不来准确率。

作者的分析给了三条设计判据。第一，难度自适应的 rollout 不只是一个省算力的启发式，它对扩 pass@k 本身就起关键作用。第二，树状 rollout 在“找到正确答案”这件事上比并行采样更强。第三，按句子级的熵来选分叉点，能绕开 token 级分叉的局部化现象 —— token 级分叉出来的几条路往往只在分叉点附近有差别，走几步又并回去，句子熵才能把语义多样性顶起来。

DATPO 就是把这三条合起来：难度自适应的树搜索，加上一个兄弟多样性优势项，在训练期显式地推语义多样性。数学推理基准上比基线强，而且优势主要落在 pass@k 上，直接转化成更好的测试期扩展表现。对做后训练的人，这篇真正的价值是它把“rollout 该怎么采”当成一个有结构的设计空间来处理，而不是把采样温度往上调一格了事。

arXiv →

多智能体 LLM 是几个策略在共享环境里协作解题。现有的 RL 方法通常一条响应或者一条轨迹单独优化，可实际情况是好几个输出共同促成同一次状态转移。于是更新的单位（单条输出）和系统真正执行的动作（那一组输出）不是一回事，梯度算在了错的粒度上 —— 这是多智能体 RL 里一个系统性的 credit assignment 错配。

SRPO 的做法是定义一个“活跃集合”，即一次转移所消耗的最小输出集合，把它整个当成一个多智能体动作。具体操作是把成员各自的 log 比值合成一个按集合基数归一化的集合比值，赋予一个相对优势，然后整体裁剪一次。这个写法顺手把分工和联合共演化统一了：两者只是集合大小不同的动作而已。裁剪只做一次这点值得留意 —— 逐条裁剪会在集合内部引入不一致的截断，有的成员被剪有的没被剪，合起来的那一步就不再对应任何一个真实动作。

作者在数学推理和多轮搜索上做了实验，覆盖四个模型规模，一套训练接口同时支持固定的、混合的、动态路由的工作流，报告的对比里宏平均最好。论文还给了不同事件归约方式和不同集合大小下的优化诊断，这部分比结果表更有用 —— 现在多智能体 RL 大多是把单智能体的 GRPO 直接搬过去，稳定性的坑基本都在这里。

arXiv →

Miles 建在 slime 的设计之上（slime 是 GLM 系列背后那套 RL 框架），把 RL 训练循环的每一段都按同一条原则来做：组件要可验证、干净、可定制。报告端到端走了一遍整个系统 —— 基于 SGLang 的 rollout 引擎、可选 NVIDIA Megatron-LM 或 PyTorch FSDP 两个后端的 trainer、三种应对不同部署拓扑的权重同步传输方式。除了全参数 RL，还支持 LoRA RL、在线策略蒸馏、监督微调，以及真正的同策略 rollout-训练对齐；同一套架构还扩到了扩散模型。

收尾的案例是一次端到端的实测：GLM-5.2 的 744B-A40B 模型上做全异步的智能体 RL，任务是终端使用类的编码任务，跑在 64 张 NVIDIA GB300 上，前 30 个测量步的中位步时是 263 秒。

开源的 RL 后训练框架不少，但敢把“生产级”三个字和一个具体万亿级 MoE 的步时数字一起放出来的很少。仓库其实 2025 年 10 月就建了，现在 2710 颗星，9 月 9 日还在推提交 —— 这次新的是技术报告，把设计选择和数字写清楚了。自己搭 GRPO 训练流水线的人最值得读的是权重同步那三种传输方式，以及真同策略对齐那一节：这两块恰好是自己动手时最容易埋进隐性 bug 的地方，训练看着在跑、数字也在动，错了却不报错。

arXiv →

这家欧洲实验室的来路是做视频应用 Detail 的时候被云 API 的账单逼出来的，自称在做“有主见的端侧智能”。这次一口气放 18 个模型，12 个稳定、6 个测试版，博客里点名给了参数的有四个：Voz 做音频转写，iPhone 上 2 秒处理 10 分钟音频，号称比 Whisper 快 4.7 倍；Clear 做音频增强，9MB，5 分钟录音 1 秒处理到录音棚质量；Redact 做敏感信息遮蔽，12MB，27 种语言实时处理；Tongue 做语种识别，只有 2MB，从极少的输入里认出 84 种语言。商业模式是 10 万月活设备以内免费，不用 token 不用登录，SDK 给了 Swift、Kotlin、JavaScript 三种。

在 Hugging Face 上翻 desert-ant-labs 这个账号，能查到十几个公开仓库，覆盖语音识别、音频分类、文本分类、图像分类、token 分类等等；最早的一个 8 月 3 日就传上去了，情绪分类那个 emo 的下载量已经到两万四。所以这不是发布会当天才有的东西，是攒了一阵子再一起对外。

值得看的是选型思路。它没有做一个什么都会的小模型，而是把每件事拆成一个几 MB 的专用模型 —— 遮蔽敏感信息 12MB，认语种 2MB。在手机上这个取法往往比塞一个通用小模型划算得多：内存占用可预测，冷启动快，而且每个模型可以单独更新。跟今天苹果那条 FP8 神经引擎并起来看，端侧这一层正在同时补齐硬件和模型两边。

Desert Ant Labs →