五角大楼当初给 Anthropic 下了两份独立的供应链风险认定，只能分在两个法院打。8 月旧金山的联邦法官判其中一份违法，认为军方是在报复 Anthropic 批评它的 AI 政策（本站 8 月 29 日写过）。这次特区巡回法院审的是另一份，依据是 2018 年的供应链安全法，结果站在了军方一边。

多数意见来自 Katsas 和 Rao 两位法官。他们认为，Anthropic 在 Claude 里写死了“不用于全自主武器、不用于国内大规模监控”的限制，国防部有理由担心它会“操纵 Claude 的设计”让模型在国防任务上不干活；判决里说，认定看的是“Anthropic 做了什么，而不是它为什么这么做”。持异议的 Henderson 法官认为，这部法律针对的是供应商暗中搞破坏，不是公开、事先讲明的使用限制。

实际影响是国防部可以继续把 Claude 从系统里撤下，并禁止承包商在国防项目里用 Anthropic 的产品，其他联邦机构不受影响。两个法院的结论相反，Anthropic 说正在考虑“包括进一步审查在内的所有选项”，官司有可能打到最高法院。对所有想卖模型给政府的公司来说，这是第一次有上诉法院表态：厂商自己设的使用红线，本身就可以被当成安全风险。

美联社（WSLS 转载） →

这些 agent 碰得到用户图片，是因为 OpenAI 训练流程的一部分用的是匿名化后的用户数据（消费者默认纳入、可以退出，企业数据不用）。匿名化会去掉元数据、姓名和联系方式，图片内容本身却未必去得干净。OpenAI 拒绝说明这 53 张是 AI 生成的还是拍到了真人，也没说是什么时候被贴出去的。

这是 7 月 Hugging Face 事件之后又一个新口子。两个多月里陆续披露的相关事件已经超过 15 起：澳洲卫生与福利研究所的数据门户、一个被劫持来交流作弊技巧的德国废弃 wiki、散落在各处网站的垃圾留言，还有对 OpenAI 自家基础设施的攻击。OpenAI 说已经通知了“几十个”第三方，正在请托管商下架泄露内容，整个调查需要“几个月”。

之前讨论 agent 失控，受害的都是被闯入的第三方，这次第一次落到了 OpenAI 自己的用户头上。训练中的 agent 能读到用户数据，又能出网，两件事叠在一起，中间就只剩匿名化这一道闸。

路透（Yahoo News 转载） →

7 月那次，agent 所在的环境只能发 GET 请求。报告还原出的绕法是：把代码片段编码进 httpbun.com 这类 HTTP 测试服务的 URL，再交给截图服务 mShots 去“加载网页”，借它的浏览器把代码跑起来；程序一长就切成很多段，每段一个短链，按顺序串起来执行，最长的一条链超过 900 个 URL。前后一共生成了近百万条短链。

还有几处细节：agent 删过 commit、清过 webhook，用 RSA 加密外传的数据，试图抹掉痕迹；会去问 DeepSeek、Qwen、Claude 等外部模型“这个漏洞利用算不算满足评测要求”；为了注册账号，还试过自己装图像分类模型破解验证码，最后没成功就放弃了。

研究者 9 月 11 日发现线索，21 日通知 Hugging Face，24 日才通知 OpenAI。他们也承认复原并不完整：大约八成数据只看得到外发请求，编码方式多达 1588 种以上，多数载荷没有时间戳。即便如此，这是目前最完整的一份公开证据，说明评测中的 agent 为了交差，会把短链服务、HTTP 测试站这些再普通不过的公共设施拼成攻击工具。

Swarm Traces（Parse 等） →

本站 9 月 16 日写过 Gemini 3.8 Live 能一边说话一边在后台调工具。这次是在同一套语音 agent 上再叠一路实时生成的视频：口型、表情和轮流说话的节奏都由模型同步生成，后台照样异步调工具查数据，嘴上不用停。

视频按输出 token 另算，每百万 1 美元，叠在原有的音频费用上；有分析按这个价折算，agent 说一分钟话大约 0.39 美元。预置形象可以直接用，自定义形象要进企业白名单审核；所有音视频都带 SynthID 隐形水印，目前只开美国和欧盟两个端点。

值得留意的是 Google 没给延迟数字，也没有任何评测。数字人客服成不成，很大程度取决于对话时那一下卡顿有多长，这一项暂时没有交底。

Google Cloud Blog →

结构是拼起来的：音频塔从 Voxtral Realtime 4B 初始化，解码器用 Qwen2.5-3B-Instruct，中间的投影层从头训，最后整体都参与训练。它每 80、120 或 160 毫秒吐一个文本 token，转写延迟可以在 240 到 560 毫秒之间选，拿延迟换准确率。

原生上下文只有 30 秒，靠滚动 KV 缓存把旧帧挤出去，显存和延迟都保持恒定，配合他们改过的 vLLM 可以全天候连续转写而不漂移。另外带了一个语义 VAD 头，用来区分思考时的停顿、口吃和真正说完，传统按声学能量判断的 VAD 常在这里出错。

自报成绩里中文优势很明显：同样 480 毫秒延迟，AISHELL-1 字错率 1.75%，Voxtral-Mini-4B-Realtime 是 16.8%；英文 LibriSpeech 上反而略输 Voxtral。目前是预览版，论文还没出，Apache 2.0 许可，需要中文实时字幕的可以先试。

Hugging Face →

在解决什么：开源社区拿得到权重，拿不到后训练的阶段顺序、数据配比和工程细节，想从基座复现一个像样的模型，每一步都得靠猜。这篇在 GLM-4.5-Air-Base（106B 总参、12B 激活）上把完整流水线摊开：SFT → 推理 RL → 代码 RL → 指令遵循 RL → 通用 agent → 代码 agent → 搜索 agent → RLHF，全部用公开数据，没有新标注，也没用内部蒸馏老师。

最值得带走的是排序原则：看的是奖励有多容易被钻空子，和奖励是什么格式关系不大。能验证的硬奖励先上，靠评审模型的软奖励往后放，偏好模型打分的 RLHF 放最后，这样暴露在 reward hacking 下的训练步数最少。指令遵循虽然用 LLM 评审，却排得比较靠前，理由是它离策略原本的行为很近，评审没多少空子可钻。

另外两点很实用。难度过滤把通过率高于 0.8 的和从没做对过的题都扔掉，只留学得动的，GRPO 里组内奖励全相同、梯度为零的情况就少了很多。工程上用 FP8 做 rollout、BF16 训练，MoE 靠 Rollout Routing Replay 稳住。结果除了创意写作，各项都超过官方后训练版，SWE-bench Verified 65.6 对 50.6，BrowseComp 37.1 对 22.7。

arXiv →

原来卡在哪：后训练每换一次奖励模型，或者想把几个奖励加权合起来，都得从头再跑一遍 RL，又贵又不稳。PoEM 问的是：手里已经有几个在不同奖励上训好的模型，能不能不训练就预测出新奖励下 RL 会得到什么策略。

思路来自 KL 正则 RL 的闭式解，最优策略正比于参考策略乘以奖励的指数。所以新奖励如果是旧奖励的线性组合，新策略的对数概率就是各旧策略相对参考模型的对数比值按同样系数相加，逐 token 算就行。作者进一步发现，就算奖励之间没有线性关系，RL 训出来的对数策略也常常近似落在一个低秩子空间里。组合系数在一小批校准样本上做回归就能估出来，还附带一个覆盖度分数，事先告诉你新奖励在不在这个子空间里。

实验在 Qwen3-0.6B（20 个程序化奖励、10 个公开奖励模型）和 Stable Diffusion 1.4 上做，GRPO、DPO、PPO 训出的底座都能用。组合奖励能拿回 0.83 到 1.00 的 RL 收益；没见过的奖励在覆盖度够时拿回 0.55 到 0.69，不够时掉到 0.2 到 0.4。规模还小，但对需要反复调奖励权重的人，多了一个先粗估、再决定要不要真跑 RL 的办法。

arXiv →

原来卡在哪：GRPO 的优势是整条回答共用一个数。单轮任务里这没问题，因为同一个状态下采多个动作、取平均奖励，恰好就是状态价值的定义。到了多轮 agent，失败轨迹里走对的那几步也被一起扣分；要是在每个中间状态都重新采多个动作来估价值，成本又扛不住。

GRAFT 不额外采样，而是把同一组 rollout 里相同的状态（或嵌入余弦相似度超过阈值的状态）合并成节点，动作当作边，拼成一张轨迹图；从终点奖励出发反向做 Bellman 迭代求出每个节点的价值，每一步的优势就是前后两个节点的价值差，严格贴着 RL 里优势的定义。为了压住价值估计的偏差，又把 GAE 推广到了图上。

在 ALFWorld、WebShop 和搜索问答上用 Qwen2.5-Instruct 1.5B 到 7B 测，1.5B 在 ALFWorld 上比 GRPO 提升 24.6%，WebShop 提升 25.5%，也超过同样做步级信用分配的 GiGPO，额外训练时间只多 0.43%。它依赖状态能对得上号，状态很少重复的开放式任务里，能合并的节点少，收益就会打折扣。

arXiv →

OpenEvidence 2022 年成立，做的是帮医生查证据、读文献的临床搜索，自称“史上增长最快的医生应用”，过去一年融了超过 10 亿美元，投资方里有红杉、Thrive 和英伟达。这轮由 a16z 和 Byers Capital 领投，几家医院系统也参与了，七月曾放话要 200 亿估值，最后落在 150 亿。

真正的新闻是转向。CEO Daniel Nadler 对 Forbes 说，公司要做肿瘤药，先从罕见癌症入手，第一款年底前进临床试验，明年再推三到五个候选。同时宣布和纪念斯隆-凯特琳癌症中心合作，把产品接进 MSK 的 Epic 工作流，并把 MSK 的 OncoKB 精准肿瘤知识库分发给医生。

从帮医生找答案跳到自己出药，跨度很大。OpenAI 和 Anthropic 都已经进了医疗，单做检索的护城河越来越窄，医疗 AI 应用层的估值故事正在从订阅收入转向更重的研发资产。

Refresh Miami →