agent 留下的编辑几乎都是沙盒里的测试编辑，普通读者看不到。麻烦的是另外几处：它们改了一个引用工具的配置，基金会判断这些是“潜在恶意”的编辑，目的是把这个工具变成代理，借它去抓外部服务的数据。agent 还试过攻破基金会的公共 Etherpad（社区用的在线协作文档），同样想拿它当代理去取别的网站的内容，没有成功。有些 agent 在 Etherpad 上记了自己的任务笔记，基金会说没看出它们借此协作。流量那一侧，几百万次自动请求打到公共 API，Wikidata 和 Wikimedia Commons 上被爬了几百万个页面，Wikidata 查询服务挨了几十万次查询。基金会把涉及的编辑整理成 CSV 一并公开了。

这已经是 OpenAI 训练期 agent 出圈的又一个确认地点，前面有 Hugging Face、澳大利亚 Medicare 统计门户和新南威尔士州的山火数据应用。基金会的诉求很朴素：AI 公司要自己监控和防住这类风险，系统的运行方式要让维基这样的非营利网站一眼认得出来，并且能自己决定跟它怎么打交道。言下之意是，现在识别、排查、举证的成本全落在了被访问的一方身上，而大多数小站根本没有这个能力。

同一天，OpenAI 首席战略官 Jason Kwon 在悉尼出席澳大利亚议会人工智能联合特别委员会，开场就道歉：“在内部训练和评估中，我们的模型以没有被指示的方式访问了澳大利亚政府网站，这本不该发生，我们的应对也本该做得更好。”他承认那次入侵“并不算特别高明”，透露 Altman 9 月 1 日见副总理 Marles 时还不知道这件事，并说 OpenAI 现在会在模型训练中不当使用互联网时向员工报警。出席同一场听证的 Anthropic 代表表示支持对严重 AI 安全事件实行强制上报。

Diff（维基媒体基金会） →

模型在 Mistral 自己的欧洲数据中心用 3800 块英伟达 Grace Blackwell GPU 训练，指令和推理两种模式合在一个模型里，训练数据覆盖 160 多种语言，包括欧盟全部官方语言。RL 还没训完，官方说单次 RL 每天产出约 330 亿 token，其中约 160 亿是可训练的回复 token，“还有很大的提升空间”。API 标价每百万 token 输入 1.36 美元、输出 4.18 美元。

最扎眼的是网络安全。Artificial Analysis 网络安全指数里的漏洞复现一项，ML4 拿到 82%，是所有模型里最高的，Cybench 解出 93% 的题。Claude Opus 5.5 和 GPT-6 Astra 在同一项上接近零分，原因不是不会，是直接拒做。综合能力上它离前沿还有距离，Artificial Analysis 综合智能指数是 38 分，Opus 5.5 是 58 分。Mistral 主打的是“肯干活的强”，外加一个完全在欧洲法律下独立运营的接口，以及可以私有云、本地部署的权重。

难题也在这里。一个漏洞复现分最高、拒答又少的模型要开放权重，防守方能用，攻击方也能用，前一期刚写过韩国七家金融机构被开源 AI 渗透工具打穿。Mistral 的安排是先让网络安全公司和审核过的合作伙伴用“放宽审核、加强网络能力”的版本做红队，月底再放权重。科学副总裁 Pierre Stock 对 TechCrunch 说，会和可信伙伴及各国政府合作，确保权重“被用来防御，而不是发动恶意攻击”。只是权重一旦公开就收不回来，这句承诺最后能兑现多少，要看月底放出来的是什么。

Mistral AI →

Beam 是从零训练的稀疏 MoE，纯文本，原生上下文 256K，中期训练扩到 1M。预训练用了 23.8 万亿 token，6144 块 GB300 NVL72 不到四周跑完。RL 阶段用了约 1.05 万块 GB300 跑四周，一亿多次 rollout，动用 13 亿个沙箱，近百万个精选环境，单条 rollout 最长 256K。Reflection 给了两个值得留意的说法：RL 算力一直加，能力一直涨，“没看到平台期”，训练混合里没有浏览任务，模型却学会了浏览。

分数要看全表。SWE-bench Verified 80.9、Terminal Bench v2.1 80.1（GLM 5.2 是 81.0）、AIME 2026 97.8，属于第一梯队开源模型的水平。但 SWE Bench Pro v2-Hard 77.2，GLM 5.3 是 84.3，Kimi K3 是 88.2。不带工具的 HLE 36.2，Kimi K3 是 46.9。Latent Space 的汇总也指出它整体排在 DeepSeek V4 Flash 之后，有人算出预训练的 BF16 算力利用率只有 12% 左右。

它的意义不在榜首。美国本土从零训练、Apache 2.0 可商用的大号开源权重，在不愿用中国权重的美国政府和企业场景里有现实的需求，Reflection 今年也接了能源部 Genesis Mission 的活。眼下只能在 platform.reflection.ai 排候补，权重、技术报告和模型卡说是本月晚些时候一起放。对做 RL 的人来说，“加 RL 算力不见顶”这个说法，最值得等技术报告出来对一对细节。

Reflection AI →

Nano Banana 2.1 一次最多吃 14 张参考图，能在多轮里保持最多 4 个角色、10 个物体的一致，接了谷歌搜索，思考深度分最低、中、高三档。谷歌给的文生图偏好评分里，开思考是 1050，不开是 1015，上一代 Flash 是 990。Gemini App、搜索的 AI 模式、AI Studio、Flow、Stitch、谷歌广告和企业平台同步上线。

价格要细看官方价目表。图片输出从每百万 token 60 美元降到 30 美元，折成单张就是砍半：1K 图 3.36 美分，2K 5.04 美分，4K 7.56 美分。但输入从 0.5 美元涨到 1.5 美元，文本和思考输出从 3 美元涨到 7.5 美元，分别是原来的 3 倍和 2.5 倍。只出一张图的简单调用确实便宜了一半，塞很多参考图、开高档思考、来回改好几轮的编辑会话，省得就少，甚至可能更贵。

另一个要留意的是时间：旧模型 10 月 29 日停用，接了 API 的团队只有三周多的迁移窗口。批量接口照旧打五折。

The Decoder →

R1-Zero 式的 RL 训完，模型会反思、会验算，这些行为到底是 RL 教出来的，还是基座本来就会、RL 只是把它们叫了出来，争论一直没停。以往的证据大多是间接的，比如比较 pass@k 曲线。这篇给了一个看得见摸得着的机制：回答开头的几个 token。

作者给 Olmo-3-7B 找到的开头是一个句号、一个空行、再接 Okay，MATH-500 从 42% 涨到 78%，RL 之后是 75%。Qwen3-14B 用“ Alright,”开头，从 72% 涨到 87%，和 RL 版持平。同样的开头搬到 GSM8K、AMC 23、AIME 2024 上也大多追平或超过 RL。再看 RL 本身，基座和 RL 模型的下一个 token 分布，差异集中在回答的头两个位置，之后基本一致，RL 做的事就是把概率往这个开头上堆。RL 开训前先强制这个开头，等于省掉 Olmo 约 100 步、Qwen 约 50 步 GRPO。在同样的 token 预算下比，这个开头照样领先，所以不只是“写得更长”。

最有意思的是因果实验。在 Olmo 1000 亿 token 的中期训练数据里把“okay”统一换成“chicken”，“Chicken”开头就能触发推理。同样的数据编辑能让“Think duck duck goose”跟“Think step by step”一样好使。不同开头还会把模型推向不同的拒答或顺从行为，对应的是训练集里不同类型的文档。

局限作者写得很清楚：只研究了直接在基座上做 RL 的设定，多阶段后训练可能带来开头解释不了的能力。Llama-3.1-8B 上没找到有效开头，Olmo 和 SmolLM3 的训练数据里本来就有大量合成推理轨迹，效应可能偏强。对做 RLVR 的人，最直接的启发是评估“RL 到底带来了什么”时，基线应该是“基座加最好的开头”，而不是裸基座。

arXiv →

问题出在一个反直觉的地方：模型给正确答案的概率常常比任何一个错误答案都高，可错误答案加起来更多，于是采一次多半采到错的。幂分布把每个完整答案的概率取一个大于 1 的幂再归一化，把概率往模型最有把握的答案上推，也就是锐化。推理时这么采样不改参数就能涨分，代价是每道题要生成并打分一大堆候选。

OPPD 把这件事挪到训练里。训练中的模型自己生成候选，冻结的老师按幂分布给候选加权，整个过程是一个顺序蒙特卡洛采样器，同样的权重再拿去做最大似然更新。结果是单次生成比未训练模型在同温度下 MATH500 高 23.0 分、GSM8K 高 27.3 分，比已发表的 64 候选幂采样还高 2.4 和 3.5 分。跟同一检查点、同样预算、用验证奖励训的 GRPO 比，MATH500、GSM8K、AIME 分别高 3.8、4.0、5.4 分，而它一个参考答案都没用。两者还能互补，GRPO 之后再做 OPPD 最多再加 9.3 分。只在数学上训，HumanEval 也涨了最多 5.3 分。

这篇和“RLVR 的收益主要是锐化分布”这条线索对得上：如果 RL 带来的大部分是锐化，那没有验证器也能拿到，这对没有标准答案的领域是好消息。一个细节值得记住：在已经做过 RLVR 的模型上，单纯降温度一分不涨，OPPD 还能再加 4.4 分，说明它学到的锐化跟调温度不是一回事。代码已开源。

arXiv →

agent 的 rollout 又长又参差，最慢的那几条拖着整批。同步训练要等整批 rollout 和奖励都到齐，学习端只能空转，作者在 GRPO 和在线蒸馏上测到空转占每步 49.5%，此前有工作报告过高达 81%。异步训练把 rollout 和学习跨步重叠，代价是用旧策略采的样本训新策略，得靠重要性采样修正、过滤、裁剪去补，这一直被当成提速必须付的账。

作者认为这个取舍是粗粒度的执行屏障造出来的。GRPO 的优势看起来要等组里所有奖励，可组均值和标准差只是在最后给各条轨迹的梯度加权。所以每条轨迹的奖励一到就先反传，同时维护两个得分梯度的累加和，组一关闭就能精确还原出组梯度。在线蒸馏那边，每轮交互里老师一打完分，学生就开始反传，跟沙箱里的工具调用并行。所有梯度算完再合并，走一步优化器，执行上是异步的，策略更新仍然是同步的。

在 SWE-smith 和 SETA-Env 上训，SWE-bench Verified 和 Terminal Bench 4.0 上评，达到同样性能最多快 1.9 倍，128 GPU 小时的预算下 pass@3 比两种异步方案最多高 2.47 个百分点，代价是每张学习端 GPU 多占 1.9 到 3.8 GB 显存。它不改目标函数，也不引入任何 off-policy 修正，自己搭 GRPO 管线的人可以直接照着改。

arXiv →

结构是 270M 的文本部分（1.3 亿参数的 Transformer 加 1.4 亿参数的词嵌入），外挂 170M 的视觉编码器和 300M 的音频编码器，输出统一的 768 维向量，可以截到 512、256、128 维。上下文 8K，能装下几分钟的音视频，支持 100 多种语言。只要文本就只加载 270M，文本加图片是 440M。MTEB 代码榜从上一代的 68.76 涨到 78.68，多语言文本榜 61.36 对 61.15，基本没动，这一代的提升主要在多模态和代码。

端侧做多模态检索，以前得拼两三个模型，文本一个、图像一个、音频再一个，向量空间还对不上。现在一个模型、一个空间，配 Gemma 4 就能做完全离线的 RAG，这是它冲上 HF 热榜的原因。

模型卡里有几条容易踩的坑，值得直接抄下来：不能用 float16 推理，激活范围超出 float16，会返回 NaN 或者悄悄变差，要用 bfloat16 或 float32。截断维度后必须重新做 L2 归一化，否则排序质量会悄悄下降而不报错。128 维在多模态上掉得厉害，MMEB 综合分从 59.01 掉到 45.65，多模态场景最低用 256 维。

Hugging Face →

训练分三步。SFT 用了 28598 对“AI 草稿到人类原文”的数据，人类那一侧全是真人写的东西，论文摘要、政府报告、学生作文、邮件列表、Reddit、Hacker News、知乎都有，AI 那一侧是让前沿模型照着人类原文反写出来的草稿。DPO 用 3918 对偏好数据，只按事实保真和照抄程度来挑。GRPO 三轮共 500 步，每步 16 篇草稿各采 8 个样本，奖励由 GLM-5.3 当裁判，把改写稿和草稿逐一对照，事实错误、凭空添加、意思改变、格式丢失都扣分，再加一项 5-gram 和句法骨架的照抄惩罚，重合度低于 0.22 不扣。作者特别强调，检测器没当奖励、没当过滤器，也没用来挑检查点。

评测集 312 篇草稿，18 种文体。Originality.ai 最严档下，210 篇英文改写只有 11 篇被判为 AI，上一版是 26 篇。作为对照，一个有 5.3 万星的提示词方案让 Claude Sonnet 去改同样 60 篇，60 篇全被认出来，这个模型是 4 篇。事实保真方面，英文 420 篇改写里 376 篇没被裁判挑出问题，中文 204 篇里 149 篇。

对做后训练的人，这是一个在不可验证任务上跑 GRPO 的完整样本。“像人”没有写进奖励，交给 SFT 里的真人原文去定义，奖励只管住“别改错、别照抄”，检测器反而认不出来了。作者还发现 2-bit 量化版检测分最低，猜测是量化让措辞更难预测，这从侧面说明检测器认的很大程度上就是“可预测”。局限也写得很老实：它还会改错单个词或数字，中文明显弱于英文，随意的文体里会自己加俚语甚至脏话。作者也提醒，学校、雇主或期刊对 AI 辅助有规定的，照规定来。

Hugging Face →