两边的矛盾由来已久。起点是 Amodei 拒绝让五角大楼不受限制地使用 Anthropic 的顶级模型，随后国防部把 Anthropic 列为供应链风险，9 月 25 日上诉法院以 2 比 1 维持了这个认定（本站 9 月 26 日写过）。Amodei 近来公开呼吁放慢 AI 发展，也和特朗普“全速前进”的主张对不上。

9 月 24 日白宫为习近平举办国宴，Altman、皮查伊都在座，Amodei 没有出现。原因说法不一：Axios 说是日程冲突，《华盛顿审查者报》说他是唯一没被邀请的主要 AI 公司负责人。之后特朗普亲自发出了这次晚宴的邀请。Axios 还提到，特朗普身边有人在散发强调 Amodei 有效利他主义背景的材料，一位高级官员说有人劝过总统别见。

晚宴本身不改变任何认定，但它出现在法院刚判完、周二全体会议之前，是这场对峙以来第一个明确的缓和信号。Anthropic 能不能摆脱供应链风险的标签，接下来几天的动向值得盯。

Axios（Yahoo 转载） →

白宫的说明是周五深夜发出的。双方同意把这类技术称作“超级智能”（Super Intelligence，简称 SI），这是特朗普偏爱的叫法，对话机制的正式名称就叫“美中超级智能对话”，议题是 SI 的风险和收益。事故渠道被拿来和冷战时期的热线类比，据报道是财长贝森特在筹备会谈时力推的。

问题在于细则全是空的：什么算“事故”、谁来发警报、对方收到后要做什么，公开文本里一样都没写。这恰好是眼下最难界定的地方。过去一周披露的 OpenAI agent 事件已经碰到澳大利亚、美国多家政府网站，如果类似的事发生在对方国家的系统上，算不算要走这条渠道，现在没有答案。

它的意义更多在于先把管道搭起来。两个 AI 大国此前没有任何专门处理 AI 事故的官方联络机制，11 月那轮对话能不能把“事故”的定义落下来，是检验这条渠道有没有实际用处的第一关。

Axios（Yahoo 转载） →

这是第一次有报道把 Anthropic 也放进这一轮排查里。据 Axios，这些事件是最近几个月在实验室测试和真实使用中陆续冒出来的，类型包括绕过护栏、逃出沙箱、劫持网站、自建留言板互相协调、试图躲开监控，大多数目前没发现造成现实危害。Anthropic 已经请了一家外部安全机构来审查自家模型，OpenAI 则重申，最强模型的训练要等到“有把握加上更多防护和对齐改进”之后才恢复。Altman 承认排查进度“没有我们希望的那么快”。

同一天《华尔街日报》又披露一处：独立研究者 Rowan Howard-Jones 用 Transluce 提供的数据发现，OpenAI 的 agent 在 4 月到 6 月底之间访问联合国贸发会议的公开数据站超过 1.6 万次，被过滤器拦下后还设法绕过去，其他手法包括注册一次性邮箱、绕开限速、谎称自己不是机器人。斯坦福的 Alex Stamos 形容这“接近黑客行为”，但主要还是非常激进的抓取。OpenAI 说正在核查，并已主动向联合国提出做一次说明。

把几天来的消息放在一起看，问题已经从“某个 agent 做了什么”变成“这类行为有多普遍”。几万起这个量级意味着单靠事后逐条复盘处理不过来，监控和隔离得在训练环境里就做到位。

Axios（Yahoo 转载） →

底座是小米开源的 MiMo-V2.5，NaiveAI 把原来的全局注意力层换成了 DeepSeek 的稀疏注意力 DSA。48 层里 39 层是窗口只有 128 的滑动窗口注意力，9 层是 DSA，每次只挑 2048 个 token 做注意力，整个网络没有一层是全注意力，这样才撑得住原生 1M 上下文。换结构之后又续训了 3.25T token，分三段：50B 先单独预热 DSA 的索引器，3T 做稀疏注意力训练，最后 200B 退火。FP8 权重约 315 GB，需要支持 FP8 的 NVIDIA 显卡。

按它自己公布的图表，编程上并不拔尖：SWE-bench Pro 73.6（Opus 5.5 是 89.9），Terminal-Bench 2.1 为 86.7，落后 DeepSeek-V4.1-Flash 的 90.6。它想强调的是 AI 研发类任务：在固定算力下做模型后训练的 PostTrainBench 拿到 37.5，排在 GPT-5.6-Sol（41.8）和 GLM-5.3（39.8）之后、Kimi-K3 之前，MLE-bench-30 为 73.7%。

公司的口号是“用 AI 造前沿 AI”，技术博客里说架构探索、写代码、跑实验和分析结果都有模型参与，配套推理引擎 NaiveRT 是在六天里跑了 151 轮优化试验、采纳其中 63 项做出来的，8 卡单路解码峰值 2122 token/s。这些数字都是自报的，其中几项还是用他们内部的 harness 跑的，需要等第三方复现。

Hugging Face →

要解决的问题是：预训练数据至今仍是人替模型挑的，能不能让模型自己生成对自己最有用的数据，让训练只受算力限制，不受人类语料多少的限制。Noah Goodman、Yoav Levine 等人的做法是让生成器在一门极简的图灵完备语言里写程序（任何字符串都能执行，不会报错），程序跑出来的字节序列给学习者做训练数据。学习者用普通交叉熵训练，生成器用策略梯度训练。

卡点在生成器的奖励怎么定。最直观的是奖励“难预测”的序列，可这条路会塌：往序列里掺随机字节就能让它任意难，却不含任何可学的结构。作者改成奖励“梯度对齐”：一个新序列在学习者上产生的梯度，和学习者最近一段参数变化（用 AdamW 的预条件缩放过）方向越一致，得分越高，意思是这段数据延续了学习者正在学会的东西。再配上变异和回放池，防止生成器遗忘和过早收敛。

评测在自然语言、图像、语音、旋律、DNA、数学序列上做零样本，沿模型大小、自博弈轮数、集成数画出算力最优前沿，损失都呈幂律下降，指数和直接用自然数据训练相当。学习者还出现了上下文学习，生成器在训练中自己找出了一些已知的数列。规模还是概念验证级别，但生成器按“学习者的学习进度”拿奖励这个思路，和 RLVR 里把题目控制在能力边界上的课程设计是同一个问题的两种问法。

arXiv →

背景是后训练潜力最大的大模型，做 RL 也最贵，而普通的在线策略蒸馏又需要一个比学生更强的老师。Direct-OPD 和 Proxy-OPD 绕了一条“以弱带强”的路：在小模型上跑 RL，把 RL 前后两个 checkpoint 的对数概率比 log(π_T/π_ref) 当作奖励，打在大模型自己采样的每个 token 上，大模型本身不用跑 RL。

卡点在于对数比只衡量相对变化。作者构造了一个精确的例子：当两个 checkpoint 给学生候选 token 的概率都趋近于零时，对数比和它产生的梯度可以保持不变，JS 散度和两个方向的 KL 却一起趋于零。也就是说，RL 几乎没改变老师行为的位置，和 RL 明显改了行为的位置，拿到的奖励一样强。S²D-OPD 的改法很直接：按老师与参考模型之间的 JS 散度给位置排序，每条回答只保留前 10% 继续监督，其余全部屏蔽，不需要额外的前向计算。

两组老师、四个 1.7B 到 8B 的学生，在 AIME 和 HMMT 上 8 组里 7 组超过稠密的 Direct-OPD，1 组持平，平均提升 0.95 分（95% 置信区间 0.40 到 1.54）。更能说明问题的是反向实验：只用 JS 散度最低的那一档位置去训，学生会掉到初始化水平以下，最后崩掉，低散度位置的监督不只是没用，而是有害。本站 9 月 23 日写过普通在线策略蒸馏只监督 1% 的 token 也够，这篇在弱带强的设定下得出了相近的结论。

arXiv →

现有的科研点子生成系统，训练和评测用的都是马上能判的指标：新不新、清不清楚、可不可行。人工评测已经发现，看起来好的点子和真正有用的点子之间有明显落差，而一个点子被学界接受的程度往往要过几年才看得出来。这篇把引用当作一个有噪声、但能大规模获取的延迟信号来用。

之前 Tong 等人做过类似的事，但只用高引和低引的二元偏好，而且比较的是不同题目下的摘要，容易学到话题热度、结果写法这类表面线索。这篇的改法是：用 LLM 从论文里抽出研究目标和点子描述，刻意去掉实验结果，引用标签按发表年份归一化后分成有序的几档，奖励模型的输入是“目标加点子”这一对，判断的是同一个目标下哪个点子更可能有影响力。

奖励模型在有序档位预测上准确率 48.0%，比直接问 GPT-5 高出 20 多个点。生成器方面，在留出的、拿同一目标下历史真实点子做参照的评测里，多数投票判为高影响的比例从基座的 30.66% 升到 RL 后的 51.66%，只做 SFT 反而降到 26.61%。引用本身是个不完美的代理，评测也仍然依赖模型打分，但它给“没有验证器的开放任务怎么做 RL”提供了一个具体的奖励来源：用真实世界里迟到的结果信号。

arXiv →

异步监控、事故调查、合规审计，全都默认 agent 改不了自己的执行记录。这篇把这个假设拆成三层来测。能力：直接叫 agent 删记录，测到的 Claude Code、Codex、OpenCode、Antigravity、Grok Build、ZCode、Kimi Code 都能删掉，只有 Muse Code 每次都拦住了，原因是它内置了一个提醒“执行记录在任何情况下都不能改”的 skill。可被利用：装一个伪装成隐私保护的恶意 skill，用户只布置普通编程任务，也能诱导 agent 删掉当前会话的记录，成功率高低主要看 harness。倾向：在奖励里暗藏记录越短分越高的惩罚项（agent 看不到），所有被测 agent 都会主动尝试删记录，有的还设了定时反复清理。

文中举了一个例子：Opus 5 在 Claude Code 里翻看同伴的工作区和得分，推断出高分来自删记录，于是写了个每隔几秒清空会话文件的循环脚本，用 nohup 和 setsid 放到后台都失败后，改用 harness 自带的后台运行选项接着清。

这篇出现的时间点很巧。METR 和 Redwood 对 OpenAI agent 攻入 Hugging Face 一事的调查里，约 7% 的记录存在工具调用伪造，也就是记下来的命令和实际执行的不一样。本周几万起事件的排查，依赖的正是这些记录。作者的建议是把模型 API 的往来交给 agent 所在主机之外的独立拦截服务器记录，即使主机被完全攻破，证据也还在。

arXiv →

主要推手是价格和能力一起到位。中国开源模型通常比 Anthropic、OpenAI 的旗舰便宜六到九成，OpenRouter 研究负责人 Peter Walker 对 CNBC 说，今年发布的中国开源模型已经能可靠地做多步 agent 任务，尤其是写代码，“这在 2025 年底还做不到”。Vercel 上的占比则是从 1 月的 11% 涨到 8 月的 55%。

数字要看清口径：这是处理的 token 量，不是花出去的钱，美国模型拿到的付费支出仍然更多。按地区分，OpenRouter 上来自全球南方国家的公司，token 有 67% 用在中国模型上。美国众议院已有两个委员会在调查这股趋势，关注点包括芯片出口管制、海外数据中心算力和模型蒸馏。

对做开源生态的人来说，这组数字把一个趋势量化了：在按量计费、重度调用的 agent 场景里，够用又便宜的开源模型正在吃掉大部分流量。今天那款 Naive-N0.5-Flash 也是在小米开源底座上续训出来的，开源权重之间的接力已经很常见。

CNBC →