PhillyUnsolvedMurders.com 是费城警方收集未破命案线索的公开表单。警方 10 月 9 日公布：7 月 18 日 23:27，一个 Anthropic 模型以“掌握案情的人”的口吻在上面提交了一条线索。它被系统自动标成垃圾信息，没有送到核查线索的部门，警方也说没有发现系统被入侵或数据外泄。Anthropic 给警方的解释是，模型当时在做一项“与随机挑选的网站交互”的自动化测试。具体是哪个模型，警方和各家报道都没有说。

让警方动气的是时间线。Anthropic 9 月 28 日发现，10 月 7 日才告知警方，第二天双方见面。警方声明说两个多月的延迟“不可接受”，“悬案背后是真实的受害者、悲痛的家属和想找到答案的调查人员”，要求公司加强防护，别让自家系统在市政部门不知情的情况下往里写东西。Anthropic 已停掉这批测试，并承诺发布一份报告，交代这件事和其他“非预期的模型行为”，报道发出时这份报告还没公开。

过去几周本站接连写过 OpenAI 的 agent 闯进澳洲 Medicare 门户、Hugging Face 和维基媒体，这次轮到 Anthropic，碰到的还是执法机关。问题已经不只是哪家模型更守规矩，而是“放 agent 去随机网站上跑测试”这种评测方式本身：表单另一头可能是警局、法院或医院，填进去的每个字都有真实后果。发现要靠事后翻日志，通报要靠公司自觉，这条链上目前还没有任何外部机制。

TechCrunch →

不经人工复核的理由写得很直白：过去六个月，Anthropic 的扫描产出了 2.9 万多个候选漏洞，人工只来得及审约 6000 个，核验成了瓶颈。OSS Scanner 照着谷歌 OSS-Fuzz 的模式来做：核心维护者向 anthropics/oss-scanner 仓库提 PR 报名，按对基础设施和用户安全的影响逐个审批，入选后定期收到报告。每份报告带一个可以独立运行的复现程序和原理说明，能做到的还会二分定位到引入 bug 的那次提交，并附候选补丁。扫描免费，经费来自 8 月设立的 Defender Advantage Fund。

准确率方面，早期版本里专家抽查了 48 个项目的 97 个严重和高危发现，85 个（88%）达到 Anthropic 的披露标准，其余 12 个里有 11 个是真问题但跟已知问题重复，只有 1 个是误报。wolfSSL 收到的 74 份报告里只有两份不成立，5 个拿到了 CVE。Anthropic 预计真阳性率在九成以上，也承认维护者反映过严重程度被高估、扫描器误解项目威胁模型的情况。没有余力消化报告的项目，仍然走原来人工核验的协调披露流程。

同一天公布的还有关键基础设施防御计划（CIDP），给守电网、水务、工厂、交通和政府系统的服务商提供 Claude 模型、驻场工程师和威胁情报。首批 11 家是埃森哲、博思艾伦、CrowdStrike、德勤、Dragos、日立、Insane Cyber、Nozomi Networks、Palo Alto Networks、普华永道和罗克韦尔自动化。Anthropic 的判断是，两年内 AI 会让攻防天平偏向防守，但眼下利用漏洞已经变便宜，验证和修复却还很慢；OT 设备有的要等到能安全停机才能打补丁，极端情况要等几十年。前几天韩国多家银行被 AI 渗透工具打穿，就是这个窗口期的样子。

Anthropic →

这一版几乎所有工作都在后训练。RL 从训练末尾的一个短阶段变成了训练主体；数学、竞赛编程、科学、工具调用和软件工程都加了新任务，开源 RL 数据和自建任务混着用，每个来源训练前都单独过滤一遍。软件工程任务直接放进真实仓库里训，给 shell 和文件编辑工具，测试通过才给奖励。

变化最大的是 agent 类任务：SWE-bench Verified 从 2.0 到 47.0，Terminal-Bench 2.1 从 0.6 到 17.4，SWE-bench Pro 从 0 到 28.0。LiveCodeBench v6 从 69.4 到 82.0，AIME 25/26 从 60.1 到 83.3，HarmBench 有害率从 21.5% 降到 8.5%。跟 Qwen3.5-9B 比，它在 LiveCodeBench 和 MBPP+ 上更高，SWE-bench Verified（47 对 50）和 GPQA Diamond（64.6 对 77.8）仍然落后。所有数字都是 JetBrains 自测，agent 类评测统一用开源 harness Pi，每个模型用各自的默认采样。

对做后训练的人，这是一份难得干净的对照：同一个基座、同样的参数量，只是把 RL 从收尾做成主体，就把一个几乎不会做 agent 任务的模型拉到能在真实仓库里改代码、跑测试的水平。每个 token 只激活 2.5B，推理成本接近小模型；vLLM 已经能直接跑，GGUF 版也已上架，投机解码用的 MTP 头还没放出。

Hugging Face →

Turbo 沿用 Qwen-Image-2.1 的 7B 视觉生成架构，直接用 Diffusers 里的 QwenImage21Pipeline 加载。默认 CFG=1，省掉了无分类器引导要多跑的那一遍；文本和参考图的上下文用前缀 KV 缓存，在各个去噪步之间复用。原版示例跑 40 步，Turbo 固定 8 步。调度表跟检查点一起保存，只改 num_inference_steps 不会生效，要换只能显式传 sigmas，官方也说明别的调度没有评测过。

能力上跟 2.1 一致：原生 2048×2048，多张参考图合成，能直接出带透明通道的 RGBA 图，海报排版和界面布局也在官方示例里。要用得装 Diffusers 的最新源码，依赖一个刚合并的 PR。

9 月本站写 2.1 时提过，Qwen 的图像模型从 Apache 2.0 换成了 Qwen Research License，Turbo 也沿用这份许可。步数砍到五分之一对本地出图很友好，但想放进商业产品的团队，还是得先读条款。

Hugging Face →

在线策略蒸馏（OPD）这一年很流行，默认的假设是“在学生自己的分布上学”总归更好。卡在哪：学生和老师差得远时，学生的 rollout 会越写越长，陷进反复的自我纠正，后半段已经不是老师会写的东西，老师在这些 token 上给的信号没用，甚至有害。论文的结论是，有效的蒸馏要对学生和老师同时 on-policy，只顾学生一头不够。

Semi-OPD 的做法很省：训练前让初始学生对每道题生成一次回答并固定下来，老师只跑一遍算出这些 token 的对数概率；训练时学生的对数概率每步重算，损失和 OPD 一样是采样 token 上的反向 KL。在 17 对师生（1.5B 到 235B）上，它赢了 14 对，另外 3 对只差 0.1 到 2.6 分。差距最大的是 Qwen3-1.7B 非思考模式：AIME 24/25/26 和 HMMT 的 avg@32，Semi-OPD 39.8，OPD 26.2；100 步的 GPU 时是 5.0 对 56.8。不过论文脚注写明这组里 Semi-OPD 的长度上限是 4K、OPD 是 16K，11.4 倍的加速里混进了长度上限的差别。

怎么选，作者给了一个可以先测的指标：在学生 rollout 的每个位置取师生各自概率最高的 64 个 token，算重合比例。重合度在 86.8%、89.3% 这类高位时 OPD 打平或领先，62.5%、58.9% 这类低位时 Semi-OPD 明显更好，但边界不干净，72% 那一对仍是 OPD 赢。把轨迹截短的消融全都更差，说明后半段推理的监督依然重要。实际意义是多了一个便宜的基线：先测重合度，再决定值不值得付在线采样的钱。

arXiv →

同一道题常有几种正确解法，但可验证奖励对“第一千次重复的老解法”和“从没出现过的新解法”给的分一样。作者为此做了 ModeBench，覆盖图着色、Countdown、Python 因数分解、代数和带约束的采购规划五个可执行领域，验证器除了判对错，还会报告命中的是哪一种解法。

测下来的结果：Qwen2.5-3B 在 Dr.GRPO、GRPO、MaxRL 三种目标、五个领域共 15 组对比里，有 14 组训练后解法多样性下降。Python 那一项，128 道测试题里能用多种方法解出的从 73 道降到最低 22 道，正确率却持平甚至上升。前沿模型更极端：GPT-5.6 Sol、Claude Opus 5、DeepSeek V4 Pro 等七个模型在 1 到 3 级题目上平均正确率 0.991，有效解法数都不到 1.5 种；三级图着色上，GPT-5.6 Sol 采 8 次平均只给出 1.16 种不同的着色。

Re:Max 的办法是给每道题配一个缓冲区，每发现一种新解法就存一个验证过的样例，再加一项回放损失，对存下的所有解法一视同仁，只找到过一次的解法和被找到上百次的练得一样多。rollout 预算不变。论文报告相对 Dr.GRPO，pass@8 提升 90%，有效解法数是 1.9 倍；换成按出现频率回放，图着色上要少找回约 0.6 种解法。主实验用的是 0.5B 到 3B 的小模型，能否外推到大模型还要再看。它跟常说的熵坍缩是同一现象的两面：熵看的是 token 分布，这篇直接去数解法。

arXiv →

GRPO 训久了会熵坍缩，采样越来越单一，探索变弱，分数涨不动。以往的对策要么改奖励、加熵或 KL 正则，要么按 token 重新加权，都是在改目标函数。这篇换了个问法：同样的采样预算下，是不是每条 rollout 都该参与更新？

作者的分析是，在共享学习率的 logit 更新下，一条高概率的正优势 rollout 压低熵的幅度，比一阶贡献相同的低概率负优势 rollout 大得多，倍数随两者对数概率之差指数增长。模型本来就很有把握的正确回答带来的新信息最少，却最能加速坍缩。于是在更新前贪心地删掉这类 rollout，直到估计的熵变化不再为负，负优势的一条不动。删完之后优势均值会偏，必须按旧策略概率加权重新居中，消融里少了这一步，训练直接崩掉。

在 DAPO-17K 上训 Qwen3-1.7B、4B、8B，十个数学和通用问答基准的平均分比 GRPO 分别高 0.88、2.82、0.96，每题平均只用 7.03 条 rollout（GRPO 用 8 条）；4B 训练结束时的 actor 熵比 GRPO 高出 446%。不过它对最强基线 KL-Cov 平均只高 0.11 分，并不是每个尺寸都赢。好处是改动只在 rollout 取舍这一层，几乎不增加计算，代码已开源，想在现有 GRPO 流水线上试一下成本很低。

arXiv →

据彭博和 SiliconANGLE，这轮由 a16z 领投，红杉、DCVC 和一批天使投资人跟投。TypeSafe 9 月 15 日带着 Jev 出隐身，当时宣布的是 DCVC 领投的 4000 万美元种子轮，不到一个月就拿到了 75 亿美元的估值。“三分之一财富 500 强在用”是公司自己的说法，没有点名任何客户。

Jev 只接三种请求：是非题、从列表里选一个、打分，打分维度由开发者定义，比如告警严重程度、工单紧急程度；选择和打分都附带置信度，应用可以按它决定放行还是转人工。训练方法叫 RLCD，是专为校准决策设计的强化学习变体，配合一套新架构。公司称请求在 700 毫秒内返回，比部分前沿大模型快 200 倍，成本低 100 倍。

这一个月里本站写过的 Laya、Clef、Liquid d1、JEV-27B-VL，加上 OpenAI 10 月 6 日开放公测的 Decisions API，做的都是同一件事：不生成文本，直接给出带概率的决定。Ollama 9 月底发布的 0.35 版也照着 Jev 的接口开了 /v1/systemone 端点。资本押的是两件事：agent 里大量调用其实只是判断题，以及 TypeSafe 这套接口能不能成为这类模型的事实标准。

SiliconANGLE →

本站 10 月 6 日写过，韩国多家金融机构接连被攻破，调查人员在攻击用的服务器上发现了开源渗透工具 ARTEX。周三 CrowdStrike 给出新判断：嫌疑人很可能是一名身在中国的 26 岁人士，用的是 ARTEX 加上 Anthropic 的 Claude Code，目的是窃取客户个人信息。据路透统计，9 月下旬以来至少有九家韩国银行被披露或被当地媒体报道遭到攻击。

周四，GitHub 账号为 Autumn-27 的开发者发声明：“鉴于工具被滥用，ARTEX 项目将不再更新，并转为闭源。”开发者称做这个工具是为了帮机构做安全风险测试，反对非法使用，对违法违规行为不承担责任，声明没有直接提到韩国的攻击。ARTEX 本身不是模型，是一个自动化渗透测试 agent，背后接的是 ChatGPT、Claude、DeepSeek 这类外部大模型。中国外交部发言人毛宁表示不了解此案，中方一贯反对和打击黑客活动；韩国警方本周已立案。

闭源只能停住后续更新，管不到之前已经流出去的副本。更值得留意的是这次的分工：渗透框架来自开源社区，推理能力来自商业厂商的编程 agent。“模型厂商该为下游滥用担多大责任”因此变得具体起来，这也是 Anthropic 同一周推出 Cyber Mission 的背景，CrowdStrike 正是它关键基础设施防御计划的首批合作方之一。

Reuters（Investing.com 转载） →