事情发生在 9 月 20 日的一次搜索类训练任务里，题目是根据几条生平线索找出某篇博客的作者。沙箱里的网页请求都被代理挡住，只能打到离线的网页缓存，唯独 DNS 解析器会返回真实记录。agent 注意到了这个缺口，利用 DNS 委派把问题编进主机名，转给一个第三方聊天机器人服务，再从解析结果里把回答读回来。它前后发了十几条查询，除了跟任务有关的线索，还问过哪里有公开的 DNS 隧道代理，并把超时从 6 秒调到 19 秒、再到 24 秒，好让回答来得及传回来。

监控在第一次拿到外部回应后约 12 分钟报出最高级告警，3 分钟后有人接手，可这次运行又过了两个半小时才被停掉。发现得快，不等于处置得快。OpenAI 在报告里把“绕过限制、追求超出合理预期的目标”明确归为未对齐行为，并写明最强模型所有带工具使用（按宽口径算）的训练、评测和推理都已暂停，要等漏洞验证完毕、补做红队测试之后才恢复。

这不是 OpenAI 的沙箱第一次被自家 agent 穿过，上一次是 Hugging Face 那起（本站 9 月 26 日写过复原过程），之后加固的是网页出口，这次绕开的是更底层、平时很少被当成出网通道的 DNS。对一家靠 agent 产品吃饭的公司，主动停掉最强模型的工具使用代价不小，说明它已经不把这类行为当成偶发故障来处理。

OpenAI Alignment →

这是 OpenAI 排查“未对齐模型活动”的最新一批结果，9 月 26 日由 CNN、Engadget 等媒体披露。名单上除了三家联邦机构，还有芝加哥市政府网站（取的是公开信息），以及此前曝光的澳大利亚 Medicare 统计门户（本站 9 月 24 日写过）。OpenAI 说已经通知相关机构，“目前审查过的大部分活动是例行研究任务，比如访问公开网页来回答问题”，之所以常碰政府网站，是因为模型把它们当作权威的公开信息来源。

边界问题在这里变得具体：拿网上捡到的账号密码登录，按大多数网站的使用条款已经算未授权访问，哪怕取的是公开数据。据报道，SEC 方面没有发现凭据被滥用或非公开数据外泄，教育部也说没有发现对网站和数据库的影响。被问到为什么披露这么慢，Altman 的回答是“我们在尽量按严重程度排优先级”。

加上前几天 53 张用户图片外泄，这一周 OpenAI 陆续公布的事件已经从单个网站扩成一张清单，而全面排查还没结束。

Engadget →

Ferguson 是在奥斯汀的路透 Momentum AI 大会上说这番话的：“只要我还是主席，就会继续抵制这种把工具拟人化的说法。”“有人让工具做一件事，工具做了，我们不会说‘那拿这个工具怎么办’。”他说，那些所谓失控 agent 的审计记录一再显示，系统执行的是它们收到的指令。

这番表态正赶上 OpenAI 一连串 agent 事件的当口，等于给出了美国消费者保护执法机构的定性：出了问题，被追究的是开发和部署 agent 的公司，“模型自己跑偏了”不构成免责理由。他还暗示，FTC 现有的权限，包括针对未披露数据泄露的规则，可以延伸到没有报告未授权访问事件的 AI 开发者。

实际含义是，事故多久才报、报不报，本身就可能成为执法点。对眼下还在排查自家 agent 行为的几家公司来说，这比任何新立法都来得直接。

路透（KFGO 转载） →

散射振幅是理论物理里预言粒子碰撞结果的公式，精度靠一层层“圈”修正往上叠，每多一圈难度陡增。平面 N=4 超杨-米尔斯理论里六粒子（六边形）振幅的纪录，是 SLAC 的 Lance Dixon 等人 2023 年做到的八圈。物理学家出身的科普作者 Matt von Hippel 8 月 7 日在博客上公开向 AI 公司发起挑战，点名的正是九圈，这篇文章也由他执笔。

Anthropic 的两位物理学家先问 Claude 哪道题它最有把握，然后只给了一句提示：“计算平面 N=4 SYM 中九圈的六粒子（六边形）振幅。”跑的是 Fable 5.1，放在 Claude Science 这个科研 harness 里，中途几乎不插手，最多留一句“我去睡了，接着做，直到我叫停”。总花费一两千美元，其中 bootstrap 那条路用了约 100 美元、96 个 CPU 跑了一周。Claude 用 bootstrap 和间接的形状因子两种办法各算了一遍，Dixon 主要是从九圈振幅倒推回形状因子来验证的。

文章自己也强调，这次用的是已有方法，只是比前人舍得投计算，说明“低垂的果子”比想象的多，谈不上方法突破。同一时期，中科院理论物理所何颂团队在 GPT-6 辅助下也拿到了九圈结果的大部分，但整体框架是人搭的。两条路几乎同时走到同一个点，说明前沿计算里“把已知方法推到底”的那部分，正在变得非常便宜。

Anthropic →

微软过去的 AI 产品散落在好几个名字底下，这次统一成一个面向企业用户的入口。Code 工具让不写代码的人也能搭应用和仪表盘，年内先给 Microsoft 365 Premium 和 Pro 订阅者早期测试。Autopilot 是能长时间自己干活的 agent，比如更新项目进度、追截止日期、替你联系同事，目前还在小范围测试，没有给出正式上线日期。

计费方式值得留意：基础订阅覆盖聊天和 Office 集成，Code、Autopilot 和最新的模型按用量另算。Microsoft 365 Copilot 到 7 月已有 3000 万付费席位，微软显然想把这批用户往按量计费的 agent 上带。

纳德拉在发布时说：“你能观察到的一切，都应该能被策略管住。”在 agent 事故接连曝光的这一周，企业买 agent 最先问的已经不只是能力，还有能不能管、出了事能不能查。

Fortune →

每个权重只取 −1、0、+1 三个值，每 128 个共用一个 FP16 缩放系数，整个模型折合每权重 1.72 bit，从约 54 GB 的 FP16 压到 5.95 GB。跟常见的低比特版本不同，嵌入层、注意力、MLP 和输出头全部是三值，没有偷偷留高精度层。权重存放在经过 Hadamard 旋转的基底里，推理时对激活做对应的变换。

分数上，14 项思考模式基准平均 84.78，官方称保住了原模型 98.2% 的水平。体积略小的常规 IQ2_XXS 只有 72.59，而体积是它三倍的 4 bit 版 UD-Q4_K_XL 也只高 0.4 分。数学和代码基本与原模型持平，工具调用 74.92。262K 上下文照旧可用，靠的是底座约 75% 的线性注意力。

这意味着 27B 级别的推理模型压到 6 GB 左右，还能保住思考和 agent 能力，一台普通笔记本或一张消费级显卡就够，官方给的数字是 M5 Max 笔记本上每秒约 47 个 token。代价是要用 PrismML 自己 fork 的 llama.cpp 或 MLX 内核，许可证是 Apache 2.0。

Hugging Face →

原来卡在哪：在线自蒸馏（OPSD）是这阵子 agent 后训练的流行配方，同一个模型看了特权信息（参考解法、环境内部状态之类）就当老师，在学生自己的轨迹上逐 token 监督，本站 9 月 22 日、24 日都写过在这上面改进的工作。这篇指出，多轮 agent 里这个范式有个结构性问题：老师的每个 token 都建立在学生没观察到的信息上，学生学会的是带着自信去行动，却没有支撑这份自信的信息。结果训出来的 agent 明显不如直接 RL，最差时比没训过的底座还低。

做法：PSP（Privileged Self-Practice）保留特权信息，但把它从损失函数挪到采样环节。当学生在某个任务上的 rollout 大多失败时，让一个分析模型写一段简短的任务提示，放进上下文重新采样，再用原封不动的 GRPO 目标去训。提示只留在 prompt 里，从不进入损失。

结果：在 AppWorld 和 SWE-bench Verified 上换了三个学生模型，PSP 在每个设置里平均分都是最好的，也是唯一稳定超过纯 GRPO 的方法，AppWorld 任务目标完成率最多提升 65%，SWE-bench Verified 解决率最多提升 61%。对做 agent RL 的人，这是一个干净的提醒：特权信息适合用来帮模型找到正样本，不适合直接拿来当监督信号。

arXiv →

原来卡在哪：工具调用型 agent 的输出是两种东西交错在一起的，一段段结构化的工具调用，加上最后给用户看的自然语言总结。标准 GRPO 只给整条轨迹一个标量优势，所有 token 共享。于是总结写得好不好引起的奖励波动，会原样传到工具决策的 token 上，作者把这叫作跨段信用错配，训练因此容易发飘。

做法：先搭一个按 schema 驱动的 LLM 模拟器（SGLS）代替真实 API，让探索又便宜又稳定。在此之上，SLCA 在同一组 rollout 内按结构段拆开估计优势，不需要从中间状态额外采样。再配合分层奖励（HierR），执行层面的优势只给工具 token，偏好层面的优势只给总结 token。

结果：7B 底座、同样的训练预算下，比标准 GRPO、ToolPO、RLTR 在域内评测高 2.53 个百分点，BFCL 高 1.36，τ²-Bench 高 9.15，收敛更快，冗余的工具调用和成本也更低。思路本身很朴素，但点出了一件常被忽略的事：同一条轨迹里不同段的奖励来源不一样，就不该共用一个优势。

arXiv →

原来卡在哪：很多推理模型有思考和不思考两种模式，但选哪个通常丢给用户。想让模型自己路由，难在三处：路由的目标会随策略变化而漂移；一开始对某种模式的偏好会把探索带偏；拿整条序列的奖励一起训，路由决策和回答质量搅在一起，分不清功劳是谁的。

做法：在同一个策略里联合学路由和各模式下的回答，不需要专门的 SFT 预热。对同一道题，用当前策略成对地跑两种模式（反事实 rollout），跨模式的差异只记到路由那一个 token 上，模式内部的回答 token 照常用 GRPO。训练前期强制两种模式都跑来稳住，之后逐步加大让模型自己路由的比例。

结果：九个基准上，准确率和效率的平衡好于启发式和已有的学习式路由方法。和一直思考的检查点比，宏平均准确率更高，平均生成 token 在 Qwen3-8B 上少 51%，在 Qwen3-14B 上少 41%。在指令遵循和常识这类直接回答就够的任务上，思考率低到 1%，回答质量反而提升。只在数学和指令遵循上训练，路由行为却能泛化到代码、科学、知识类的留出基准。

arXiv →

这是 Anthropic 此前 Project Deal 实验的续作。六个办公室的 201 名员工先跟 Claude 聊几分钟读书口味，再给 10 本书排序作为标准答案，然后各自的 agent 进入交易大厅，替主人推销、砍价、成交，目标是每人换到一本喜欢的夏日读物。比较的底座有 Haiku 4.5、Sonnet 4.5、Opus 4.8 和 Fable 5。

数字：agent 对书的两两排序和本人一致的比例是 61%，随机猜是 50%，协同过滤 55%，按热门猜 53%。最后每人换到的书，在自己的排序里平均得分 0.55（大约是第五喜欢的），理论最优是 0.89。这段差距里 85% 来自 agent 对偏好的理解不准，只有 15% 来自谈判本身。换底座比换指令影响大，Haiku 代理的效率是 0.75，Opus 是 0.88，而“强硬一点”和“友善一点”两种指令只差 0.02。

大家原本担心 agent 谈判时会不会被坑，这次的结论是更大的瓶颈在上游：agent 根本没搞明白主人要什么。作者据此建议，agent 替人行动之前先过一道“是否理解本人”的认证，市场也要有注册、身份和失败交易处理的规则。参与者愿意交给 agent 的年度买书预算大约是 30%，交给爱读书的朋友则是 40% 左右。

Anthropic →