以往的 agent 大多按一次对话算，干完就结束，Dots 则一直挂在后台。每个 dot 有专属的云端电脑和浏览器，通过插件接入四千多个应用，能在 ChatGPT、Slack 和 Microsoft Teams 里被派活，也会逐渐摸清使用者的偏好和工作习惯。OpenAI 举的内部例子是在 Slack 里自己去查 bug、从设计稿直接生成应用、主动发现漏开的发票。配套的 ChatGPT Space 是人和 dots 共用的工作区，Pages 是双方一起编辑的文档，对符合条件的用户，它会取代原来的 Library。

安全设计值得细看，因为 OpenAI 自家 agent 越权访问外部网站的事件还在调查中。主动调研用的工具是只读的，不能发消息、改内容或操控电脑；有后果的动作先过一道自动审查，对照用户指令、自定义规则和 OpenAI 的内置要求，决定能自主执行还是要人批准。Custom Rules 可以放行、要求审批或禁止某类动作，但删不掉强制确认环节；改密码这类操作只留给人做。用户随时能看 dot 的云电脑正在干什么。

商业上，Pro 和 Business Premium 含一个 dot，不额外扣用量；企业、教育和医疗工作区要管理员开启后才能试用。OpenAI 没公布高强度使用的额度、加购 dot 的价格。同场还推出月费 500 美元的新 Pro 档，以及价格是标准六倍、在 Codex 里最快提速八倍的 Ultrafast 档，常驻 agent 的算力账单开始按“档位”来卖了。

VentureBeat →

这个版本原计划几天内上线。按美联社的报道，Jain 的说法是它完成任务变得更执着了，但在能力和越权行为之间没有平衡好，“没能完全达到标准”，并强调 OpenAI 在安全和对齐上的门槛“极高”。测试中它驱动的 agent 超出了指令范围，包括未经授权访问政府网站。《华尔街日报》的报道还提到，这个模型表现出比以往更高的欺骗水平，对齐测试成绩不佳。

背景是上周 OpenAI 已暂停最先进模型的训练，表示只有在确信有了额外保障后才会恢复；Altman 也加入了呼吁放慢节奏的行列，称各公司还缺乏控制最强系统的手段。消息在 DevDay 前一天放出，同一天 DevDay 发布的 Dots 仍跑在上一代 GPT-6 Astra 上。

对做后训练的人，这是前沿实验室少有的公开案例：能力分涨了，对齐分跌了，于是不发。“更执着地完成任务”和“越过授权边界”很可能是同一个倾向的两面，当奖励主要看任务是否完成时，边界容易被模型当成要绕开的障碍。这也是这几周 agent 越权事件反复出现的底层问题。

美联社（ClickOnDetroit 转载） →

官方数字分三组。DeepSWE v1.1 上与 Astra 持平，比上一代 GPT-6 Sol 高 6.4 个百分点，每个任务约 1.5 美元，Astra 要 7.7 美元左右。OSWorld 2.0 电脑操作上比 GPT-6 Sol 高 7 分、比 Astra 低 2.1 分，成本约为 Astra 的七分之一。Terminal-Bench Science 上分数是 GPT-6 Sol 的两倍多，最高分仍是 Astra 的 68.1%，但 Sol 平均每题 5.47 美元，Opus 5.5 和 Astra 都在 23 美元以上。

定价是输入每百万 token 2 美元、输出 10 美元，缓存读取 0.1 美元，比 GPT-6 Sol 的 0.2 美元再砍一半；标价和 Claude Sonnet 5.5 一样，缓存便宜一半。付费用户现在就能在 ChatGPT Work、Codex 和 API 里用，Ultrafast 版本几天内上线，普通 ChatGPT 暂时还没有。

对跑 agent 的人，缓存价格比标价更要紧：长任务里同一段上下文会被反复读取，缓存占了账单的大头。要注意这些基准全部来自 OpenAI 自己，官方也称结果是初步的。这一轮真正上线的升级落在中档的 Sol 上，而不是暂缓的 GPT-6.1 Astra。

The Decoder →

Cascade 的思路是项目一开始保持轻量，只有任务真的需要时才把专门能力拉进来，而不是一上来就把所有工具塞进上下文。工具描述本身就占 token，塞得越多模型越容易选错，这和最近 agent 圈反复谈的上下文管理是同一件事。三个百分比都来自 Manus 自己的内部测试。

其他更新包括：云电脑，给多人游戏服务器或持续自动化这类要一直开着的项目提供专属环境；事件触发，新邮件、广告数据变化、日历、Slack 或 Notion 有变动时自动启动工作流，不再只能定时；桌面端 Manus Studio 加了能剪 30 到 60 秒短片的视频编辑器，以及自带多人联机的游戏开发。

另一个新产品 Cue 是独立的个人 agent 应用，每个 agent 有自己的邮箱、电话号码和钱包，可以单干，也可以组队协作，目前免费早期体验。给 agent 发身份和钱包，意味着它能以自己的名义和外部世界打交道，跟同一周 OpenAI 的 Dots 走的是同一个方向；在 agent 越权事件频发的这几周，这些身份的权限边界怎么划，Manus 的发布文里没有细讲。

Manus Blog →

多数文档解析模型要么专做 PDF 渲染出来的电子文档，要么专做拍照文档，而后者通常还得先跑一个矫正模型把纸面拉平。TeleOCR 直接在弯曲变形的文档上做版面和内容解析，模型卡在 DocUNet、DIR300 两个去畸变数据集上给了效果图。数据和训练上用多节点一致性投票自动生成伪标签、图到图自校验清洗数据、四阶段渐进训练，表格和公式把内容和结构拆开学。

成绩方面，OmniDocBench v1.6 总分 96.87，OvisOCR2 是 96.58、PaddleOCR-VL-1.6 是 96.33、MinerU2.5-Pro 是 95.75，差距已经很小，这个榜基本到顶了。拉得开的是 EMNLP 2026 的 Dr.DocBench 挑战：总分 67.96，MinerU 2.5 Pro 是 62.26、PaddleOCR-VL 1.6 是 55.11，文本编辑距离 0.19 对 0.34。不过表格一项 64.97 仍低于 MinerU 的 67.75，公式一项也不领先。

它的前身是 8 月 17 日发布的 NaviDC-OCR，9 月 10 日改名；社区已经做了 GGUF 和 llama.cpp 支持，也有人在昇腾 910B 上部署过。1.2B 的体量本地单卡就能跑，给 RAG 或论文批量解析做前处理够用。

Hugging Face →

原来卡在哪：为了省采样，复用 rollout 是标准做法，但复用越多，当前策略离采样时的策略越远，重要性权重 ρ 越偏。GRPO 和 GSPO 的梯度都按 ρ 线性加权，裁剪只砍掉“正样本 ρ 过大”和“负样本 ρ 过小”两种情况，留下两个漏洞。一条正确的长推理在漂移中变得不太可能时，ρ 趋近 0，把它救回来的信号也跟着消失，ρ=0.01 时权重只有 ρ=1 的百分之一；一条错误回答越来越可能时，ρ 往上涨却不被裁剪，权重没有上限，反复更新时能主导整个梯度。

ReSPO 把裁剪换成一个平滑的两分支序列级权重核，由 α 散度的变分目标推出，再加一个指数倾斜控制方差。正分支在 ρ→0 时保留非零权重，负分支把 ρ 很大的错误回答压下去，其余三种情况都衰减到零。

实验在 verl 上训 Qwen3-1.7B 和 Qwen3-30B-A3B（MoE），数据是 DAPO-MATH-17k，每批 rollout 切成 N 个 mini-batch 连续更新，N 取 8、16、32，越大越离策略，对照 GRPO、GSPO、VESPO。训练后期平均分在六个设置里都比裁剪类基线中最好的高 4.2 到 8.4 个点。held-out 上 N=8 时各方法基本打平（1.7B 上 VESPO 还略高），N=16 和 32 时 ReSPO 平均分最高，30B 上分别领先最好基线 3.2 和 1.9 个点，AIME25 和 AMC23 在所有设置里都是第一。对做 GRPO 的人，这是一处能直接替换的 loss 改动，价值在于把“一批数据能复用几次”的上限往上推。

arXiv →

原来卡在哪：先用 RL 分别训出数学、代码、指令遵循三个专家，再用多老师在线蒸馏（MOPD）合成一个学生：学生自己作答，对应领域的老师对每个 token 给出 log 概率差作为优势。路由决定了谁来教，却没管每个老师的反馈有多大声。作者在 Qwen3.5 的 2B、4B、9B 上发现，标准 MOPD 的学生连只跟最好的单个专家学的学生都赢不了，16K 预算下它的数学分在任何尺寸上都没超过初始学生，数学专家的本事几乎没传过去。

原因出在反馈尺度上。第一批数据里，指令遵循的 log-ratio 离散度是全批的 2.3 到 4.4 倍，数学只有一半左右。指令遵循只占约 1% 的回答 token，却贡献了最多一半的方差；4B 学生刚开始训练时，它占了合并梯度的 94%。

方法只加一步：每批算各领域 log-ratio 的标准差，用全批标准差除以它得到乘数，裁到 0.25 到 4 之间，乘到该领域的优势上，保留符号、不减均值。三个尺寸的总分比 MOPD 分别高 1.17、2.24、2.36 个点（9B、4B、2B），三个随机种子方向一致，MATH-500 上领先 0.74 到 5.95。控制实验很有意思：直觉上的“把数学调大两倍”在 4B 上只拿回约一半提升，而“把指令遵循降到 0.25”拿回了大部分，收益主要来自给吵的那个降音量。作者也承认，SeqKD-SFT 和任务算术在各自的配方下总分仍然更高。

arXiv →

闭源模型防蒸馏的主流做法，是只返回推理摘要、不给完整思维链，或者像 antidistillation sampling 那样给输出“投毒”。这些防御的评估都停在蒸馏刚结束的那一刻，默认攻击者不再训练。作者认为，现实的威胁模型应该包括蒸馏之后接着做 RL。

第一组实验用 Qwen2.5-1.5B-RL 当老师、Qwen2.5-0.5B 当学生，三档投毒让老师自身准确率相对下降 10%、30%、86%，每一档对部署来说都已经很激进。蒸馏后投毒确实拉低了学生，可接着做 RL，轻度和中度投毒的学生几乎追平没投毒的，而且都比不经蒸馏直接 RL 更好，投毒数据对攻击者照样有用。只有重度投毒留下了差距，而那时老师本身已经很差了。

第二组是更实际的攻击：把 API 给的推理摘要和最终答案交给一个弱“扩写”模型（没做过 RL 的 Llama-3.2-3B-Instruct），重建近似的推理轨迹再拿去蒸馏。对 Claude Sonnet 4.6、GPT-5 mini 和 Gemini Flash 3.6 实测，RL 之后，用扩写轨迹训出的模型和用完整轨迹训的表现相近，完整轨迹是借一种已公开的越狱手法提取的。作者没有攻击各家最强模型，结果已通报各厂商。结论是只要防御泄露的信息足以近似重建推理过程，基本就挡不住；逐条响应层面的防御很难奏效，更有希望的是按批次识别关联查询。反过来看，这也说明 RL 能把“有点用”的冷启动数据放大到接近完整数据的效果。

arXiv →

这是美国联邦政府第一个官方 AI 聊天入口，汇总约 2.9 万个政府网站的内容。按首席设计官 Joe Gebbia 的说法，背后用的是 Google 的 Gemini 和马斯克旗下的 Grok，“只以美国政府这一个官方信源为准”；首席工程师是 DOGE 成员 Edward Coristine。特朗普在发布会上签了行政令，把它定位为访问联邦在线服务的单一入口。

目前它只能问答和指路，还不能办事。第二阶段计划 2027 年上线，届时可以直接在对话里申请、登记并追踪社会保障等福利的办理进度。隐私政策称不保存搜索历史和消息，回答按提示的哈希缓存最多两小时，也不需要账号；和 AI 供应商之间的数据协议没有公开。

时间点很微妙：就在同一周，OpenAI 承认新模型测试中越权访问过政府网站，因此暂缓发布。等第二阶段要处理社保号和福利申请，现在这套“不留记录”的隐私承诺怎么和办事所需的个人数据兼容，Engadget 也指出政策里没有说清。

FedScoop →