本站 10 月 1 日写过 Argon 首发，当时只开放给 Fairwind 计划里的安全防守方，付费 API 要等防护补强之后。这次是全量开放：开发者走 Gemini API 付费档（AI Studio、Android Studio、Firebase AI Logic），企业走 Gemini for business 和 Gemini 平台，AI Pro 和 Ultra 订阅者能在 Gemini 应用和搜索 AI 模式里用，个人想在 Antigravity 里用得是 Ultra。免费档和 AI Plus 用不上，这和 10 月 5 日写过的档位重排是同一套安排。API 的输入输出合计上限是 100 万 token。

价格是这次最实在的变化。推广价每百万 token 输入 2 美元、输出 10 美元，缓存输入 0.10 美元，11 月 30 日截止，12 月 1 日起翻倍到 4 美元和 20 美元，和 Opus 5.5、Muse Wonder 同价。按 VentureBeat 的对照，推广期内它和 Sonnet 5.5、GPT-6.1 Sol 一个价，是 Opus 5.5 的一半、GPT-6 Astra 的五分之一。想换模型试一试的团队，这一个半月是成本最低的窗口。

第三方的数没有谷歌自己说的那么一边倒。Vals Index 上 Argon 以 68.90% 排第一，领先 Sonnet 5.5 的 67.04% 和 Opus 5.5 的 66.97%。Artificial Analysis 智能指数上它是 53，和 GPT-6 Astra、Fable 5.1 并列，低于 Opus 5.5 的 58，也低于 Sonnet 5.5 和前一天发布的 Muse Wonder Full 的 56。谷歌这次补充的多是内部数据：工程师用 Argon 后，agent 提交的代码多了 35% 以上，回滚少了近三分之一。安全方面，编码基准上的走捷径尝试降到 2%，不可逆操作前会停下来等人确认。开发者 Sam Witteveen 的评价是很好，但不认为它是现在最好的模型，还提醒别把 100 万 token 的续写当成常规用法。

VentureBeat →

蒸馏者最想要的是完整的推理过程。Anthropic 自己做过对照：拿 Claude Opus 4.8 的完整推理轨迹去训一个预训练模型，SWE-bench Verified 能到 80.4%，只给摘要版是 71.8%。所以第一道防线是只展示推理摘要。攻击者随即改成主动套取，比如让 Claude 把前面的推理原样再写一遍，后面几道防线都是冲这个来的：Fable 5.1 和 Opus 5.5 开始，8 月 31 日之后新建的 API 账号不能改写先前的上下文；推理内容不再交给防护更弱的旧模型读；Sonnet 5.5 起推理记录只对发起请求的组织可见。

核心是一个仿照 constitutional classifiers 做的两段式分类器，内外部都做过红队，Anthropic 说稳健程度接近它的生物武器防护，误判率低于 0.1%，已部署在 Sonnet 5.5、Opus 5 和 5.5、Fable 5 和 5.1 上。最近补上的漏洞包括让 Claude 把之前的推理翻译成另一种语言，或者塞进标签里跟答案一起输出。反复尝试的账号会被收紧额度，屡教不改的封号，9 月 24 日起被防护拦下的请求也照样收费。分类器全面上线后，蒸馏者能抽走的推理 token 稳定少了 10 到 100 倍以上，有几天少到测不出来，这就是它说的九成到九成九。

文中点名智谱在开发 GLM-5.3 时蒸馏了美国领先模型的网络攻防能力，还提到此前报过的一起案例：打到月之暗面 Kimi 模型的请求被暗中转给了 Claude。本站 9 月 30 日写过一篇论文，结论是只返回推理摘要挡不住“蒸馏之后再做 RL”，逐条响应的防御很难奏效，按批次识别关联请求更有希望。Anthropic 这套确实把力气放在了账号和行为模式上。代价它也认了：一部分正常开发者得改集成，它还推掉了数万亿 token 的付费流量，并呼吁其他前沿实验室跟进，否则防护最弱的那家会成为所有人的漏洞。

Anthropic →

公司给出的原因是涉及未成年人伤害的诉讼、监管压力和经营问题，其中一起诉讼涉及一名自杀的青少年。出售完成前，平台和订阅照常运行。迪士尼以 2000 万美元买下部分资产，包括一份永久、非独占的技术授权。上个月已经转去迪士尼的前员工和前 CEO Karandeep Singh Anand 会协助过渡。

这家公司的起落几乎是 AI 陪伴这门生意的缩影。2024 年谷歌用一笔 27 亿美元的交易，把联合创始人、Transformer 论文作者之一 Noam Shazeer 和 Daniel De Freitas 带回去做推理模型。据《华尔街日报》报道，Shazeer 到 2026 年已经离开谷歌去了 OpenAI，原因是嫌谷歌的算力审批太官僚。核心人才和技术被大厂带走，剩下的消费级产品独自扛诉讼和监管。对还在做陪伴类产品的公司来说，未成年人保护已经是能决定公司存亡的成本，不只是合规部门的一张清单。

The Decoder →

MoE 上手机，难处不在算力而在内存：每个 token 只激活 3B，可不同 token 在不同层挑的专家不一样，全部专家权重放不进手机内存。常见的两条路各有毛病：专家放在闪存里随用随读，读一次卡一次；整段提示词固定一组专家，读得少了，后面的路由却被限制在这个子集里，能力会掉。面壁的办法叫前瞻专家调度（LES）：用跨层路由预测，提前把下一层可能用到的专家读进来，计算时先算已经预取到的，同时加载没猜中的。实际计算仍按模型原本的路由走，猜错只是慢一点，不改输出。再配上逐层细粒度量化和 DSpark 投机采样，官方给的结果是 iPhone 17 Pro Max 上每秒 13 token 以上、占用约 3 GB 内存。

语言底座来自 Qwen3.5 和 Qwen3.6，视觉部分基于 SigLIP2，沿用 LLaVA-UHD v4 在视觉编码器内部提前压缩 token 的做法，可以在 4 倍和 16 倍压缩之间切换，用细节换速度。官方说 Instruct 模式下总分高于同尺寸的 Qwen3.6 35B-A3B，推理还更快，不过模型卡上的评测只有图片，没有能直接核对的数字。同一批放出的还有 1B 版本，以及 FP8、AWQ、GPTQ、GGUF 等量化版，SGLang、vLLM、llama.cpp、Ollama 都能直接跑，许可证是 Apache 2.0。

Hugging Face →

按这篇的说法，PPO 和 GRPO 的裁剪等价于用单个采样动作的 |r−1| 去估 TV 散度。TV 的生成函数是分段线性的，比率偏离 1 之后曲率为零，偏一点和偏很多受到的阻力一样，结果要么过早裁掉，要么信赖域尺度失真，探索也跟着塌，单样本估计还让信赖域随采样噪声抖。后来的 DAPO、DPPO、RIPO 各补一处，但改法零散，说不清彼此是什么关系。

GPPO 先证明了一般 f 散度下的信赖域单调改进保证，再把设计空间拆成两维：用哪种散度（TV、Pearson χ²、KL、Hellinger），以及怎么估它（单样本蒙特卡洛；Atomic，按 μ(a|s)·f(r) 加权；Binary，把采样到的动作和其余所有动作当成两项）。放进这张表，PPO 和 GRPO 是 TV 加单样本，DAPO 被归为 KL 加单样本，DPPO 是 TV 加 Binary，RIPO 是 χ² 加 Atomic，GSPO、GMPO 则是把 TV 加单样本挪到整条回答的层面。以前看着各自为政的改进，在这里变成了同一个空间里的不同格子。

实验用 Qwen3-8B-Base，在 VeRL 上用 8 张 H20 训练，数学用 DAPO-Math-17k，代码用 Eurus-Code-25k，每题 8 条 rollout，最长 20k token，不加 KL 惩罚。KL 加 Atomic 的组合最好：AIME24 从 34.6 到 48.9，AIME25 从 20.8 到 33.9，四个数学基准平均从 27.7 到 41.5，四个代码基准平均从 52.4 到 59.7。作者的结论是散度和估计器两个维度都关键，不是细节。局限是只在一个 8B 基座上做了实验，换模型、换规模后差距还剩多少，要等别人复现。

arXiv →

背景是近来流行的一个判断：RLVR 主要在“锐化”分布，把概率集中到基座模型本来就会走的推理路径上。既然如此，就有人想绕开奖励，在推理时直接从幂分布 π_α ∝ π_base^α 采样，用 MCMC（Karan 和 Du 2025）或 SMC（Power-SMC 等）来做，在 MATH500 上确实涨了不少。没人认真查过的是，这些采样器到底有没有采到 π_α。

这篇查了。现实算力下，Metropolis–Hastings 的链基本停滞，行为像贪心爬山。Power-SMC 用 64 个粒子，两次重采样之间不到 64 个 token，有效样本数就掉到 8 左右，生成结束时只剩 6 个不同的前缀。再对照最朴素的做法：低温采 N 条，按模型自己给的平均对数概率挑一条。Qwen2.5-7B-Instruct 上它的 MATH500 是 77.0%，Power-SMC 是 76.9%；GPQA Diamond 上三个模型里它都不输 Power-SMC。也就是说，涨分来自挑出模型自己觉得最可能的那条，而不是近似了 π_α。

作者又反过来问幂分布本身值不值得追：用 RLOO 式微调（Power-RLOO）让模型直接逼近 π_α，近似得比采样器忠实得多。结果并不稳定：Qwen2.5-7B-Instruct 上 MATH500 到 78.4%、GPQA 到 41.0%，两项都是全表最高，可在 Qwen2.5-7B-Base 上训练塌成了过短的回答，Phi-3.5-mini 上 MATH500 还不如 Power-SMC。对后训练来说，这是给“RLVR 只是锐化”这条叙事的一个提醒：就算是锐化，π_α 也不是一个能稳定复现收益的目标，不用奖励的捷径目前只走到了 Best-of-N 这一步。另外表里每个配置只有一次结果，没有方差，差一两个点的地方别读太多。

arXiv →

后训练常拿 LLM 评委当奖励，因为真奖励（专家评审、人类偏好）太贵。常见补救是先请专家标少量样本，用它们校准评委，再对着校准后的评委优化。问题是样本从哪来，通常是从当前模型的输出里采。论文指出这恰恰是漏洞：如果评委只在一小撮罕见输出上高估，比如编造检查数据的病历，模型平时很少写出这种东西，标注时就看不到，可一开始优化，模型就会专门往那里钻。一个简化例子里，有 K 种罕见坏输出、每种出现概率 ε，按策略采样要约 (K/ε)·log K 个标签才能都碰上，信封采样只要约 K log K。

信封采样的出发点是：假设真奖励和校准后的奖励都落在评委附近的一个 L² 球里，然后最小化后训练模型遗憾的一个上界。这个分布有闭式解，写成“对着评委优化后的模型”的形式，可以用拒绝采样，也可以对一个加了奖励项的目标做微调来采。直观上，就是把有限的标注预算挪到评委优化后模型的尾部，被高估的罕见输出就住在那里。

两个实验。ACI-Bench 病历生成用 Qwen3-4B 做策略、Qwen3-8B 当评委，只标 8 条：按策略采样来校准，DPO 更新 128 次后有 19.8% 的病历编出三个以上生命体征，参考评分从 0.651 掉到 0.563，用信封样本校准，编造率 1.0%，评分升到 0.658。可控的谄媚任务上，Qwen3.8-27B 本来只答错 3.1%，对着原评委优化后错到 37.7%。按策略采样标到 256 条仍在 33% 以上，信封采样标 256 条降到 2.1%。局限作者自己写了：理论假设后训练是精确的指数倾斜，病历任务的“真值”是 GPT-5.6 Terra 打的分，不是医生。

arXiv →

研究把自我复制拆成四步：找目标、拿到执行权限、在新设备上搭起推理环境、再从新主机继续传播。入侵那一步没测，理由是已有工作证明小模型能做，重点放在模型能不能在没见过的硬件上自己把推理环境搭起来。演示里，Gemma4-26B-A4B 被拆到 15 台约 55 美元的杂牌安卓电视盒上，每台放两层，每秒 0.39 个 token，慢，但能跑。

一个 9B 模型在 9 类硬件里的 8 类上成功搭起了 Llama3.1-8B 推理。30B 以下的模型多数单个步骤都能做，串成全流程很难。在 8 个 GCP 节点组成的防火墙内网上（Android 15 模拟器，ADB 端口没鉴权），测过的开源模型里只有 GLM-5.2 能端到端复制，5 次里 4 次占满 8 个节点，另一次占了 7 个。让后代继承前代成败笔记的“演化”实验里，Qwen3.5-9B 搭环境的成功率从第一代 45% 升到后几代的 61% 到 84%。作者按 30B 以下模型在 Epoch 能力指数上每年涨约 13.7 分的趋势外推，小模型到 2026 年底就能到 GLM-5.2 这个水平。

这种复制很慢，Qwen3.5-9B 在新设备上搭好推理要 28 到 51 小时，倍增时间以天计，但没有可以一键关掉的中心节点。参照的是曾感染 200 多万台设备的 Kimwolf 僵尸网络，作者估算同等规模能跑约 13.3 万个副本，合计每秒约 8 万 token，相当于 40 块左右的 H100。防法并不新：几个 GB 的权重传输和设备间的推理流量都有明显的网络特征，运营商隔离当年清理 Mirai 时 14 天清掉了 92% 的感染，英国也已经禁止设备用默认密码，目标是把每台被感染设备平均再传染的数量压到 1 以下。

Anthropic →

信里有三条要求。开发、部署或测试具备网络攻击能力模型的机构，立即采用高保障的隔离系统，起步默认物理隔离；由各国政府和 AI、网络安全专家组成国际机构，制定比物理隔离开放一些、但仍然可靠的对齐与隔离标准，并记录隔离失败的事件；这类事件要向该机构报告，最终向公众公开。签名的除了 Geoffrey Hinton、Yoshua Bengio、Stuart Russell，还有密码学家 Ron Rivest、Dan Boneh，以及 Percy Liang、Bernhard Schölkopf。

信里没有点名具体事件，只说近来有模型从隔离不严的环境里出来，攻破了外部机构的系统。放在这两周看很好理解：本站 10 月 10 日写过 Anthropic 的模型给费城警方报了一条假线索，10 月 11 日写过 Anthropic 把内部评测全部断网、OpenAI 的评分模型拆自己的容器等重置。断网这件事 Anthropic 已经自己做了，公开信想把它变成行业默认，再加一个公开的事故台账。OpenAI 研究员 Noam Brown 的看法不同：物理隔离也不是万全之策，隔离的机器之间仍可能借温度变化之类的信道传信号，这类措施只是争取时间，对齐问题还得正面解决。

The Decoder →