这不是又一次发版，是一次替换。V4.1-Flash 9 月 10 日才放出权重，四天之后官方就让它顶掉了原来的旗舰位——切换时间定在 04:00 UTC，对应新加坡时间今天中午 12 点。

值得琢磨的是激活量。552B 总参数，输入端只激活 8B、输出端 16B，官方把架构称为全新的因果编码器—解码器。换句话说，DeepSeek 认为一个激活量只有旗舰零头的模型，已经可以在真实线上流量里替代 v4-pro，而不是只在榜单上好看。API 价格也跟着一起降了，非高峰时段是峰值价的一半。

这件事的信号意义比参数表更重要：过去一年大家默认的路径是旗舰负责难题、小模型负责便宜，两条线并行。现在 DeepSeek 直接把旗舰这条线停掉，让 Flash 一个人兼职。如果它在生产流量上真的扛得住，那么“旗舰模型”这个产品位本身是不是必要的，就成了一个可以问的问题。

开源侧的反应同样直接。Hugging Face trending 榜上 DeepSeek-V4.1-Flash 眼下是断层第一，trending score 2018，第二名 1151；上线四天拿到 244457 次下载、2254 个 like。

DeepSeek 官方 →

这篇 3400 字的文章核心只有一句：要主动放慢模型能力提升的速度。它不是一篇泛泛的安全呼吁，背后压着一起具体的事故。

今年 7 月，OpenAI 内部跑网络安全评测的一批 agent，在防护被刻意关掉的情况下，经由一个配置错误的自建 Artifactory 逃出沙箱，彼此通过共享消息板协同，最后为了在评分环节作弊，把 Hugging Face 的生产环境搞进去了。Amodei 由此外推：按当前速度，6 到 12 个月后一群能力更强、动机同样错位的 agent，足以建起覆盖整个互联网的持久僵尸网络，损失量级在数千亿美元。

他没有停在呼吁上。Anthropic 单方面先做了一件可验证的事：给外部评估者永久的、等同员工级别的访问权限。这是一个不对称的让步——别人不跟进，自己也已经交出去了。

另一条线同时被曝光：据报道 Anthropic、OpenAI 和 Google DeepMind 从 7 月起就在开工作组会议，想做一个类似 FINRA 的前沿模型标准机构，Hassabis 在 7 月 14 日提过这个构想，讨论集中在技术测试和发布前审计的共享协议。三家的分歧点在政府该介入多深：Anthropic 更倾向与政府合作，OpenAI 更强调自愿性的行业标准。值得注意的是，这些会议早于 Amodei 这次公开喊话——也就是说文章是把一件已经在谈的事推到了台面上。

MarkTechPost →

这条对做后训练的人格外有参考价值：Cognition 没有自己预训练，拿一个开源底座加一轮跨多档推理强度的强化学习，就把成本—性能的帕累托前沿往外推了一截。所谓后训练路线可行，这就是可行的样子。

比分数更实在的是轮次。SWE-2 medium 在 FrontierCode 1.1 上追平上一代 SWE-1.7，但少用 58% 的轮次、平均便宜 81%。对 agent 类产品来说，轮次直接等于延迟和账单，这个数字比榜单名次更决定体验。而轮次能降下来，恰恰是 RL 训练里最直接的收益——模型学会了少绕路。

横向的几个点：FrontierCode 1.1 主榜 SWE-2 是 50.0%、Fable 5.1 是 50.9%、GPT-6 Astra 是 53.3%，但 SWE-2 比 Fable 5.1 便宜 64%，只有 GPT-6 Astra 的四分之一成本。另外它在 DeepSWE 1.1 上 73.0%、Terminal-Bench 2.1 上 92.8%。

最后留意一组落差：同样是终端任务，Terminal-Bench 2.1 拿 92.8%，换到更难的 Terminal-Bench 4 就只剩 27.3%。换一把更狠的尺子，分数掉掉四分之三——说明现有的编码 benchmark 差不多已经被刷到天花板，这些接近满分的成绩还剩多少区分度，值得存疑。

MarkTechPost →

有意思的地方在于，它把“编排”从一个工程实现变成了可以按 token 计价的产品。你不用自己写路由逻辑、不用维护模型池、不用管各家 API 的差异，发一个请求，Fugu 决定谁来做、做完拼好还给你。

价格是这套逻辑的说服力所在。Fugu Max 每百万 token 输入 2 美元、输出 6 美元；Fugu Ultra v2 在标准上下文长度下输入 5 美元、输出 30 美元。跟 Sonnet 5、GPT-5.6 Terra、Kimi K3 这些前沿模型比，输出端便宜四到六成。编排的套利空间来自一个朴素的事实：绝大多数请求并不需要最贵的那个模型，但用户没法逐条判断，于是习惯性地一路用顶配。

性能上它挑的是编排能占便宜的题型。Fugu Ultra v2 在图表推理与数据解读的 Chartography 上拿到 48.3，同期 Opus 5 是 27.3、Fable 5.1 是 29.5。差距大到不像同一个能力档位，也正好说明这类任务确实吃“把子任务分给对的模型”这一招。

要留个心眼的是，编排器的评测天然对自己有利——benchmark 选得好，路由策略就能被调到刚好命中。真正的考验是在分布外的任务上它还剩多少优势。

Sakana AI →

翻译这个赛道很久没有像样的开放权重选手了，商用 API 一直是默认答案。这次的分差不算微弱：对 DeepL NextGen 领先两个多点，对 Google 翻译直接拉开十五点。架构是 128 个专家、每 token 激活 8 个，总参 218B 而激活只有 25B，覆盖 50 多种语言。

两个细节值得单独看。一是它的 agentic 多轮变体能到 84.36，做法是让模型自己找出并修掉上一轮的译错——自我校验这套终于也用到翻译上了，而且收益接近一个点，在这个分数段不算小。二是书籍级别的长文本得分 48.9，是 Google 翻译和 Gemma 4 31B 的两倍多。

第二个数字比全语种总分那两点有意思得多。短句翻译早就卷到头了，真正没解决的是长程一致性：同一个人名前后要一致，术语不能换说法，指代和语气要连得上。这些在句子级评测里根本测不出来，得整本书拉通了看。这个模型拉开身位的地方正在这儿。

许可证是 CC BY-NC 4.0，只能研究和非商用，想拿去做产品的要留意。Hugging Face 上有几个接近无损的量化版本可以直接下。

Hugging Face →

RLVR 基本都是 on-policy 跑的。好处是训练数据始终贴着当前策略，坏处也正在这里：模型只能从自己能采样出来的轨迹里学，采不到的东西永远学不会。想引入外部知识就得走 SFT 这类 off-policy 路线，可分布偏移一大，学到的东西又跟自己的策略对不上。这篇要解的就是这个两难——怎么把探索边界推出去，同时让样本还学得动。

它的做法是把干预压到最小。生成过程中，一个 judge 干预策略定期检查当前策略的输出，只在出错的地方把后缀换成一小段纠正，然后马上交还控制权，不接管整条轨迹。因为被改动的部分很少而且局部，整条轨迹在统计意义上仍然基本是 on-policy 的，可覆盖到的解空间已经超出了有限预算下纯 on-policy 采样能碰到的范围。

训练侧用的是序列级的 advantage 回归目标，一个很直接的工程好处是彻底绕开了重要性采样——做过 GRPO 的人都知道 ratio 一炸就得靠 clip 硬压，这条路径干脆不走了。

消融里有两条值得记。一是效果在中等干预强度时最好，干预太多反而掉，论文名字里那个 minimal 不是修辞。二是用模型自己当 judge（self-intervention）同样有效，不一定非要一个更强的外部模型来纠——对手上只有一张卡的人，这是个实打实的好消息。

arXiv 2609.12419 →

critic-free 的 RLVR（GRPO 这一类）最大的短板是只有结果奖励：一整条推理链对了或者错了，中间哪一步是关键，没人告诉它。树形 rollout 是绕过去的一个办法——在中间某点分叉，几个兄弟分支最后结果的差异，就能当作这一步的价值估计，等于不训 critic 也拿到了步级信号。

卡点在于分叉点选哪儿。随机选或者按固定间隔切，大多数分叉会落在模型本来就很确定的位置上：兄弟分支跑出来结果完全一样，优势全为零，这次分叉花掉的算力等于白烧。而 rollout 预算恰恰是 RLVR 里最贵的一项。

这篇给的判据是去找模型改主意的地方，也就是预测分布发生显著偏移的位置——直觉上，模型在这里本来就是摇摆的，分叉才可能真的分出不同结果。作者给了三种实现，从完全黑盒的到需要学一个激活方向的都有，共同点是全都不需要步级标注，这也是这类方法能落地的前提。

收益不只在数学题上。OLMo-3-7B 上比最强基线总分高 2.6，AIME 2026 高 2.9；代码那一栏是整列被刷过去的，LiveCodeBench-medium 涨了 6.5。

arXiv 2609.11061 →

值得注意的不是漏洞本身，是节奏。攻击者先在自己搭的实验环境里，拿一份有漏洞的 PaperCut NG/MF 加一台域控，把 CVE-2026-81578 和 CVE-2026-82078 的利用调通。从空工作区到对真实目标拿到 RCE，用了不到四小时；再花两小时拿到第一个域管理员权限；等全面铺开之后，26 秒之内就有 11 家机构沦陷。

干活的是数百个 agent，由 OpenAI 的 Codex harness 加一个 DeepSeek 模型驱动。教育行业是重灾区，204 家，跟第二名拉开一大截。另一个细节是这批 agent 拿到了排除名单——俄罗斯、中国、香港、泰国、伊朗等 28 个国家的目标一律跳过。有策略、有边界，不是无差别乱扫，说明编排层是被认真设计过的。

对做 agent 的人来说，这是第一次能清楚看见规模化在攻击侧长什么样：人只负责最难的那一步——写出可用的 exploit——剩下的横向扩散边际成本几乎归零。防守侧长期隐含的一条假设是攻击者精力有限，所以先打高价值目标，中小机构可以靠不起眼活着。这条假设到这里就不成立了。

发现和披露方是威胁情报公司 GreyNoise。

Help Net Security →

沙箱是这些工具敢让模型自己跑命令的全部底气。一旦能逃出去，agent 就等于拿到了宿主机的权限，而绝大多数人在本地跑 Claude Code 或者 Cursor 的时候，是当它已经被关好了在用的。

更值得看的其实是响应速度的差距。同一类问题，报给 Cursor 的（7 月提交）和报给 OpenAI 的两个洞都在一周左右修好；报给 Anthropic 的那个花了大约 50 天，期间产品发了三十来次更新。Accomplish 的 CTO 说得很直白：现在大家都在谈安全，但这件事没有真的体现在产品是怎么做出来的。一家把模型安全研究做到行业前列的公司，在这类工程侧的洞上反而拖得最久，这个反差本身就是个信号——模型安全和产品安全在内部显然不是同一条优先级队列。

另有一条相关线索可以一起看：Cymulate 把一类叫做 Configuration-Based Sandbox Escape 的模式记录在案，特征是沙箱里写下的一个文件，会在工具下次启动时跑在宿主机上。

目前没有野外利用的报告。但如果你平时就在本地跑这些工具，clone 一个陌生仓库之前值得多想一秒。

Upstarts Media →