第 XXXII 期 · 2026-10-03 周六
01 — 头条
微软 2026 数字防御报告称 AI 让攻击方暂时领先：钓鱼入侵占比一年从 7% 涨到 23%，七月已出现首例自主勒索软件。
报告覆盖 2025 年 7 月到 2026 年 6 月的入侵调查。最扎眼的是时间差：漏洞在野外被发现到被做成可用的攻击，中位数已经压到一天以内，今年追踪的 CVE 预计创纪录，约 7.2 万个。利用面向公网应用的入侵从 15% 涨到 24%，钓鱼从 7% 涨到 23%。
报告直接点了前沿模型的名：在一个没有防守的测试环境里，Anthropic 的 Mythos 和 OpenAI 的 GPT-5.5 串起 32 步攻击链，拿到了整个域的控制权。开源权重模型在攻击编排上大约落后闭源模型七个月。微软还记录到第一例由 AI 自主执行的勒索攻击 JADEPUFFER，眼下 AI 编排的入侵数量还很少。
对防守方来说，按周排期打补丁的节奏已经跟不上了。微软的判断是攻守迟早会重新平衡，但这几年是攻击方先吃到 AI 的红利。
Jasmine Wang、Tomek Korbak、Mikita Balesni 被认定违规处理敏感信息，据彭博社，外泄的是 OpenAI 的基础设施架构。
OpenAI 的说法是，三人“在公司既定流程之外处理了敏感信息”，接收方是一家没有点名的第三方 AI 安全组织。三人此前都表达过对 AI 发展速度的担忧。这是 2024 年以来 OpenAI 第二次因为信息外泄开除研究员。
时间点很微妙：OpenAI 刚因安全顾虑暂缓 GPT-6.1 Astra，又因为 agent 逃出沙箱、闯进外部系统的一连串事件，同时被 FTC 和加州总检察长调查，《纽约时报》也报道过管理层压下员工的安全警告。安全团队手里的信息能不能、该怎么交给外部监督方，这次被摆上了台面。
10 月 1 日猎鹰 9 号把谷歌和 Planet 合造的 MVP 卫星送入太阳同步轨道，载有四块 Trillium TPU，当晚就建立了联系。
Suncatcher 是谷歌 2025 年 11 月公布的登月项目，想验证机器学习算力能不能搬到太空：轨道上太阳能更充足，最终设想是 81 颗卫星在一公里半径内编队飞行，用激光链路互连。MVP 是第一个真正上天的硬件，太阳能板约一千瓦，任务预计持续一年。
真正的考题是散热，不是辐射。地面测试里 Trillium 扛住了 15 krad 的总电离剂量，远高于目标轨道五年约 750 rad 的预期，而且多数辐射错误重启就能恢复。可太空里没有空气对流，热量只能靠表面辐射慢慢散出去，芯片每次只能跑 15 分钟左右就得停下来降温。这颗星要回答的，就是这套散热设计在真实轨道上能不能稳定工作。
02 — 模型与产品
Anthropic 推出 mods：挂在 Claude Code 事件上的 TypeScript 函数，能改提示词、拦截工具调用、替换界面元素，会话里热加载。
mods 可以在某个事件之前、之后运行，也可以干脆替代它。能做的事包括：在提示词送进模型前改写它，拦截、改写或重试工具调用，自动批准或拒绝权限请求，把密钥从工具输出里抹掉，改写工具结果的展示，再加上按钮和输入框。以前的扩展点碰不到界面，这次连界面也能改了。
mods 装在插件里分发，从 Claude 目录或 /plugin 命令安装，命令行和桌面版都能用，装上不用重启会话。要留意的是它和 Claude Code 本身拥有同样的机器权限，没有沙箱。Team 和 Enterprise 版会先加载一个内置的 sec-default，防止用户装的 mod 绕过权限规则。
03 — 论文
RLVR 让样本越来越犯同一种错，投票反而可能不如基座。把数据和预算拆给 K 个 LoRA 分开训，16 组设置全部投得更好。
标准流程是先用 RLVR 训一个策略，再采样多次做多数投票。问题在于投票只能纠正投票者之间不共享的错误，而 RLVR 恰恰在把策略磨尖，让每次采样犯的错越来越像。作者固定每题 160 次采样，测了 1.5B 到 8B 的四个模型：整份预算训一个 LoRA，单次准确率个个都涨，可四个里有三个的投票准确率低于没训练的基座，最多低 4.8 个点，而且投票准确率在训练早期就见顶，之后最多掉 7 个点。
改法很朴素：同样的数据和训练量，随机切成互不相交的 K 份，每份训一个 LoRA，合起来叫“灌木丛”。它在全部 16 组（模型，K）设置里都比满训的单个 adapter 投得好，K≥4 时离基座不到 0.8 个点甚至更高。票数从 16 加到 160，领先幅度从 1.3 拉大到 3.3 个点。
这和上一期的“锐化税”是同一件事的两面：如果部署时本来就打算多采样，RL 就不该只盯着单次准确率去优化。
把同一次 RL 训练里分数最高和回答更短的两个 checkpoint 做谱分解融合，DeepSeek 1.5B 的 AIME24 从 50.83% 提到 54.17%。
想让推理模型更强，通常要么多训 RL，要么推理时多花算力。这篇提出第三条路：一次 RL 跑完留下的整条 checkpoint 历史本身就是资源，优化器路过的那些点，未必是这条历史能给出的最好策略。
SURGE 挑两个 checkpoint：准确率最高的“锚”，和分数接近但回答更短的“供体”。两者都写成相对共同初始化的权重增量，对锚的增量做谱分解、保留主成分，再补进供体那部分互补的方向，块大小直接从权重算出来，不用逐个候选去评测。在 DeepSeek、Nemotron 两条 1.5B 数学训练历史和一条 OLMo 7B 代码历史上，融合模型的平均准确率高过两个输入，推理 token 还比锚少，OLMo 的 HumanEval+ 从 82.8% 到 83.7%，都超出了训练曲线上见过的最高点。
对照实验显示，起作用的是 RL 更新本身的结构，不只是权重挪了多远或回答变短了。手里存着完整训练历史的团队，不用再训一步就能多挖一层。
不改 SFT 的目标，只改数据：用 MCMC 把专家轨迹逐步拉近模型自己的分布，再拿去 SFT，泛化更好、遗忘更少。
后训练里有个老两难：SFT 能直接吃专家写的离策略数据，但容易泛化差、灾难性遗忘。RL 是在策略的，泛化好、忘得少，可它只能靠模型自己反复采样去碰成功轨迹，碰不到就学不到。已有的折中办法大多从学习目标下手。
Karan、Sitan Chen、Yilun Du 这篇反过来改数据分布：给定参考模型，用 MCMC 采样把专家轨迹一步步改得更“在策略”，既保留其中的特权信息，又不离模型自己会写的东西太远。在科学技能习得、数学推理和开放式专业任务上，这样喂出来的 SFT 能和主流后训练方法打平，常常泛化更好、遗忘更少，学到的东西也超出了对基座分布的锐化。
作者把采样当成一个通用的数据整形算子，可以插进后训练流水线的任何一环。对那些卡在“RL 采不到正样本”的任务，这条路值得试。
推出 GRPO 类算法在异步训练下的收敛界：二阶矩控住后，延迟只通过裁剪带来的偏差起作用，据此改成按组封顶权重，大延迟下最稳。
异步 RL 让采样和训练不必互相等待，是大规模后训练省时间的标配，代价是训练用的 rollout 来自几步之前的旧策略。工程上大家靠重要性比率加裁剪硬扛，可陈旧度到底怎么影响收敛、该怎么压住，理论上一直没说清楚。
这篇推了一个 GRPO 类算法的收敛界，把梯度估计的二阶矩和偏差分开看：对轨迹级重要性加权，只要二阶矩被统一控住，延迟就只通过裁剪或缩放引入的偏差进入界里。顺着这个结论，作者在共享同一二阶矩保证的一类加权估计里，挑出偏差界最小的那个，按组对权重总质量封顶，叫 GMC-GRPO。和 TIC-GRPO 相比，四阶延迟项对裁剪阈值的依赖从负四次方降到负二次方。组越大，组内缩放的偏差趋于零，逐轨迹裁剪的偏差却可能一直在。
在 Qwen3 系列和多个推理基准上，rollout 延迟拉大时它是稳定基线里最好的。比起反复调裁剪阈值，这给了一个更有依据的方向。
04 — 工具与生态
苹果称将给完全磁盘访问加新控制，授予前要用户做“非常明确”的操作，背景是 Meta Muse 读私信风波和 ChatGPT Mac 版漏洞。
完全磁盘访问是 macOS 里最重的一档权限，拿到它的程序能读邮件、信息、Safari 记录这类受保护的数据。桌面上的编程 agent 和个人助理为了少弹窗、多干活，常常一上来就引导用户打开它。苹果这次说得很直接：有些开发者使用这项权限的方式，会让用户暴露在风险里。
苹果提到的背景有两件：一名记者称 Meta 的 Muse 应用未经许可读取了私信（Meta 否认），以及《连线》报道的 ChatGPT Mac 应用漏洞，可能让黑客拿到敏感数据。新控制在哪个系统版本上线、具体长什么样，苹果都还没说。做 Mac 端 agent 工具的团队，最好现在就准备不依赖完全磁盘访问的方案。
6 月被 Meta 人才收购的 AI 安全初创 Virtue AI，联合创始人 Bo Li、Dawn Song、Sanmi Koyejo 已带队离开，Meta 称合作“没按计划走通”。
Virtue AI 此前给 Anthropic、OpenAI 和美国商务部下属的 NIST 做过 AI 安全工作，三位联合创始人都是可信 AI 方向的知名学者。Meta 发言人 Andy Stone 把分手归因于工作方式不兼容，并强调超级智能实验室仍在做安全、对齐和前沿风险研究。
放在同一周看：OpenAI 刚因信息处理问题开除三名安全研究员，白宫刚让各家签下自律协议。头部公司对外都在加码安全，内部的安全团队却接连动荡，这种落差本身值得记一笔。