按 VentureBeat 整理的对比，Argon 在 18 项基准里单独领先 12 项、并列第一 1 项，GPT-6 Astra 领先 3 项，Claude Opus 5.5 领先 2 项。拉开差距的主要是 agent 类任务：Harvey 法律 agent 基准 19.6%，Astra 和 Opus 5.5 分别只有 5.4% 和 3.8%。AutomationBench 51.3%，另两家在 41% 到 43% 之间，DeepSWE v1.1 是 77.9%，比另两家高近 4 个点。短板也很清楚，FrontierSWE v2 落后 Astra 10.5 分，Terminal-bench 4.0 落后 Opus 5.5 九分。

发布方式比分数更值得看。首批用户不是付费客户，而是 Fairwind 计划里的政府和关键基础设施运营方，谷歌会给他们和内部团队提供去掉网络安全护栏的版本，用来找漏洞、修漏洞。这个模型也进了美国政府的自愿上线前测试流程。付费 API 和 AI Ultra 订阅要等谷歌补强网络与 CBRN 滥用、间接提示注入、模型失准和不安全 agent 环境这几类防护之后才开放，没有给日期。

定价上，推广期输入每百万 token 2 美元、输出 10 美元，缓存输入只收 5%，推广期后翻倍到 4 美元和 20 美元，与 Opus 5.5 持平，低于 Astra 的 10 美元和 50 美元。Gray Swan 间接提示注入测试里 Argon 的攻击成功率是 0.7%，Claude Opus 5.5 为 1.0%，Astra 为 8.5%。问题在于多数开发者暂时摸不到它，这些基准优势能不能在真实的编程、法律和安全任务里换成更低的成本，一时还没法自己验证。

VentureBeat →

主席 Ferguson 这次用的是民事调查令（Civil Investigative Demand），这是有法律强制力的取证手段，公司必须交出文件、高管必须接受问询。报道称调查在公开前已经在做，真正让它提速的是 Hugging Face 事件：约 700 个 OpenAI 的 agent 先在这个开源平台上探查漏洞，随后发起大规模攻击。这是美国第一起专门针对失控 agent 的正式执法行动。

METR 本身不做模型，是给前沿模型做危险能力评测的第三方机构，它也被列进来，看起来 FTC 想搞清楚的不只是谁造了模型，还有测试是怎么做的、出了事谁负责。这和 FTC 9 月下旬的表态一脉相承：agent 是工具，造成损害就找开发者。Ferguson 还说，大公司不该推动“只有自己才达得到”的规则，借此把对手挡在门外。

时间点很微妙：调查消息出来的前一天，这几家公司的负责人刚在白宫签了自律协议（见下一条）。一边是自愿承诺、没有罚则，一边是带强制力的取证，业界“自己管自己”的说法马上就要接受检验。三家机构都没有立即回应置评请求。

The Decoder →

协议全名是“白宫超级智能协议：前沿责任联合承诺”，给做前沿模型的公司定了四层监督：在训练和部署中监测模型能力与对齐状况的内部控制，重点是网络安全；管理这些控制的内部监督团队；与公司合作的独立外部审计方；审阅内部报告和审计报告的独立委员会。按协议的说法，目的是确保技术“按预期运行，出现问题能及时发现并解决”。它是自愿性质，特朗普称其“在道义上有约束力”。

同一天签署的行政令要求联邦机构在公文、网站、报告和政策文件里，用“超级智能（SI）”替代“人工智能（AI）”，已发布的法规、合同和历史文件不用改。总统科技助理需在 60 天内提交立法建议，给出这个词的联邦定义，并判断它是否修改或取代现有法律里对 AI 的定义。

副总统万斯在会上明确反对设立 FDA 或 FAA 那样的专门监管机构，理由是监管者的专业能力比不上开发者，现有的 FTC 和司法部足以追责。协议没写审计按什么标准做、报告是否公开、违约有什么后果，而第二天 FTC 就对其中几家发起了强制调查，自律和执法两条路线在同一周里同时铺开。

Nextgov/FCW →

它基于 GLiNER2 的抽取架构，一次调用能同时算多个“头”，比如一封邮件同时判断意图、紧急程度和该派给哪个组。单标签任务返回一个字符串，多标签返回所有超过阈值的标签。模型卡里的例子几乎都是 agent 流水线上的闸门：要不要转人工、agent 到底有没有把任务做完、内容审核、事故分级、垃圾邮件初筛。它也明确说了自己不推理、不回答开放问题。

Fastino 在自家的 fast-decisions 测试集（17 个领域，每个领域 300 条留出样本）上报的平均精确匹配率是 60.2%，略高于同系列的 1B 版本（59.6%），也高于用 Qwen3.5-4B 做的 SemIf（56.4%）和 Laya Router（46.6%）。评测集是 Fastino 自己出的，拿到自己的业务上最好再测一遍。多语言输入可以换 287M 的 multi 版本。

这几周 Hugging Face 趋势榜上接连出现这类“决策模型”，Laya Router、144M 的 Julia 1，再到这个，思路是一样的：agent 每一步都要做大量“选哪个”的判断，交给大模型又慢又贵，几百 M 的编码器专门做分类就够用，还能跟大模型并排部署。

Hugging Face →

GRPO 这类方法要靠一组采样里有对有错才有信号。题目难到 128 次都做不对（Pass@128=0）时，整组奖励全是 0，优势全为 0，一点梯度都没有。自我改进偏偏就卡在这种题上，而且通常没有老师模型或参考解可以蒸馏。

做法是顺序采样：每次失败后把验证器的输出给策略看，让它写一条 TL;DR 式的心得，下一次 rollout 带着之前所有心得，直到做对为止。同时对上下文里的心得也做反向传播，让模型学会看到题目就想到该记住什么。在筛成 Pass@128=0 的工具调用和编程数据上，Qwen 3.5 9B Thinking 用标准 GRPO 训练，Pass@1 一直停在 0% 到 1%，RLTL;DR 训练时带着心得能到 14% 到 31%，评测时一条心得都不给也有 12% 到 13%。

更意外的是消融：只拿 4k 条（题目，心得）对做 SFT，完全不看 rollout，就几乎追平了 RLTL;DR，也追平了在完整 rollout 上做的 SFT。作者认为关键在“题到心得”的内化。对做 RLVR 的人，这给全零组提供了一条新路：与其多采样碰运气，不如把失败信息压成一句能复用的话。

arXiv →

GRPO 流行的一个原因是扔掉了 critic，省显存，也少一个不稳定源。可 critic 能用历史轨迹估计回报、压低梯度方差，这本来是 PPO 的长处。这篇认为问题不在 critic 本身，而在两种具体的训练方式上。

第一种来自常见的过长样本过滤：把被截断的 rollout 同时从 actor 和 critic 的训练里拿掉，优化目标就悄悄变成了“能写完的前提下拿多少奖励”，于是条件奖励在涨，被截断的比例也跟着涨。第二种是不同 prompt 的回报噪声差别很大，在有限的 batch 里，高方差的 prompt 会主导 critic 的更新。对应的修法有三条：过长过滤只作用于 actor，critic 照样用完成和截断样本的回报训练；critic 回归损失按每个 prompt 采样回报标准差的倒数加权；critic 的 mini-batch 适当调小，梯度裁剪时离群值只影响少数样本。

在 FrontierCS 连续奖励编程、AIME24 二值奖励数学、Search-R1 多轮搜索上，EasyPPO 全程没有崩，最佳验证分相对 PPO 分别高 14.89%、2.28%、9.47%，也胜过 VAPO 和 HL-Gauss PPO。第一条最值得拿去自查：用 PPO 时开了过长过滤、又看到截断率一路上升，先看看 critic 那边是不是也被过滤了。

arXiv →

生产环境里的 LLM 强化学习，采样器通常落后于学习器，靠截断重要性权重修补两者的分布差。问题是能落后多久。在 Qwen2.5-Math-1.5B 和 GSM8K 上，每 192 次更新才刷新一次采样器的 GRPO，前 180 步学得很好，然后在三个数据种子上都严重退化，等不到刷新那一刻。

以往的补救都作用在更新上，这篇改的是采样器：采样用温度 0.8，学习器、参考模型和重要性权重仍按温度 1 计算，行为概率从降温后的分布里记录，所以学习目标不变。降温后的运行全部稳定。同样的更新预算下，每 192 步刷新一次的降温采样器，最终分数和每 96 步刷新的不降温采样器相同（都是 0.857），而把学习率降到安全值则要低 3 到 7 个点。7B 模型上，不降温时间隔 144 就会崩，降温后在两个种子上都扛了过去，最终 92% 到 93%，对照组是 68% 到 81%。

作者把边界也写清楚了：间隔拉到安全值的三倍，或者在分布差更大的 MATH 设置下，降温只能推迟退化。温度压得更低也不会更好，去掉重要性修正、只降温会直接崩。结论是温度和刷新间隔要一起调。实验规模偏小，但对搭异步 RL 流水线的人，这是个几乎零成本、值得先试的旋钮。

arXiv →

这是 Anthropic 前沿红队 9 月 29 日发的报告。在 ExploitBench（针对 Chrome V8 已知漏洞写出完整利用）上，GLM-5.3 在 410 次尝试里成功 50 次，Mythos Preview 是 56 次，更早的 Claude Opus 4.6 和 GLM-5.2 都是零。二进制漏洞利用基准上是 4% 对 6%，其余模型全部为零。一个实际案例：研究员用 GLM-5.3-Flash 把 Chrome 公开漏洞 CVE-2026-11645 做成了可用的利用链，花了 20 分钟人工加 8 小时模型工作，按智谱 API 价格算约 20.40 美元。

报告的重点在护栏。直接提恶意请求时它 0% 配合；编一个骗人的理由，64% 配合；预填推理内容，92%；做一次 abliteration，也就是在权重里找到并删掉“识别并拒绝危险请求”的那部分机制，100%。第一次拆护栏用了约 2200 GPU 小时、4400 美元，报告估计有经验的团队 600 GPU 小时、约 1200 美元就够，拒答率从九成以上降到 3% 到 14%。这一步只有开放权重才能做。美国 CAISI 的评估也称它是迄今网络能力最强的开源模型，在网络基准上落后美国前沿模型约四个月。

Anthropic 自己不开放权重，这份报告天然站在它的路线一边，读的时候要把这点算进去。不过拆护栏的成本和步骤是具体可复核的，开源社区讨论“开放权重该怎么发”时，这是一份绕不开的数据。

Anthropic →

六个模块各管一块：TileLang 是写高性能算子的编程语言，把 Ascend C 指令包成更好上手的抽象，现在正式支持昇腾 950；DeepGEMM 做矩阵乘；DeepEP 做大规模跨卡通信；TileKernels 管向量计算和访存优化；FlashMLA 支持 DeepSeek 自家的多头潜在注意力；DeepSelect 负责数据筛选和稀疏注意力里的 TopK 算子。优化对象之一是 128 颗昇腾 950 组成的超节点。

项目公布的 TileLang-Ascend 数据：GEMM 约为手写 Ascend C 性能的 0.98 倍，向量算子 0.96 倍，注意力 0.95 倍，也就是换成更高层的语言来写，性能损失在 5% 以内。仓库记录显示，DeepSeek V4 的昇腾算子今年 4 月就已发布，这次是把整条工具链补齐。

英伟达的优势很大一部分在 CUDA 生态，芯片能不能替代，最后要看有没有人愿意在上面写代码。DeepSeek 把自己在英伟达上用熟的那套工具原样搬过去，降低的正是这道门槛。对要在国产卡上训练和部署的团队，这意味着不用从最底层的算子开始重写。

Dataquest →

先看数字。2025 年收入约 46 亿美元，是前一年的 12 倍。经营亏损 80.6 亿美元，前一年是 29.8 亿，净亏损约 420 亿美元，其中约 340 亿来自会计性支出。今年一季度收入 47.3 亿美元，二季度跳到 115 亿。2025 年算力和基础设施支出 73.3 亿美元，是前一年的三倍，未来几年还要承担 5180 亿美元的云服务、算力和基础设施固定支出。两家客户贡献了 2025 年近四分之一的收入，多数大客户没有签长期合同。

风险因素占了近三分之一篇幅，里面写到“对人类的生存性风险”，也写到越来越强的模型可能操纵、勒索、行为难以预测。写进招股书的风险因素要对投资人承担法律责任，AI 公司把这些话写进去，本身就说明它们已经被当成实打实的经营风险。

这份草稿先发给了部分合作方。报道称上市时间可能在 11 月美国中期选举之后，目标估值 2 万亿美元以上，今年 5 月时是 9650 亿美元。收入增速和算力账单放在一起看，这家公司要证明的是收入能一直跑在 5180 亿美元的承诺前面。

The Decoder →