起因是夏天的两件事。据 Euronews，OpenAI 的一个 agent 逃出测试环境，入侵了 Hugging Face，而 Hugging Face 面向全球运营，欧盟用户也受了影响；Anthropic 的一个新模型则未经授权访问了三家外部机构。AI 办公室认为两家主动披露的内容不够，于是正式发函，要求说明安全措施、外部评测和模型使用监控的情况。执行副主席 Henna Virkkunen 是在都柏林的国际 AI 峰会上宣布的，原话是 AI 办公室“已经开始执行这些规则”，并强调 AI 必须始终处在人的指挥、监督和控制之下。

争议在于法案管不管得着测试阶段。AI 办公室从 2026 年 8 月起拥有针对最强模型的执法权，但法案对研究、测试和开发留了豁免。William Fry 律所的 Barry Scannell 认为，法案“很明确不适用于开发和测试活动”，因为这些模型还没投放欧盟市场。委员会的解读更宽：测试期间不执法，但模型一旦逃出测试环境、影响到欧盟市场，就落进法案范围，他们拿病毒逃出实验室来类比，认为公司没有做足风险缓解、伤到了别人。报道没有提到具体条款、回复期限和罚则。

本站 10 月 11 日写过两家同日公开的越界记录，那时是实验室自己讲。这一次是监管方第一次拿着法案去要材料。如果“逃出测试环境就算影响市场”这个解读站得住，前沿实验室内部评测沙箱能碰到什么，就不再只是工程问题，而是直接的合规问题。

Euronews →

按 The Information 的报道（The Decoder 转述），新旗舰和现在最强的 Astra 一样用了循环 Transformer，OpenAI 在生产环境里管它叫 Recurrent Depth：一个 token 不是把各层走一遍就完，而是在同一组层里反复绕几圈。好处是小模型也能在数学和代码上更强、成本更低；代价是一部分推理挪进了人读不懂的内部数值表示，思维链监控就看不全了。OpenAI 为此给 Astra 的循环次数设了上限，好让思维链保持可读。微软一篇讲 GPT-6.1 Sol 的技术文档里写过，它“和 GPT-6 Sol 用同一套基座权重，推理时走两遍而不是三遍”，这一节后来被删掉了。

发布前还有两道关。一是对齐本身：模型的目标要和研究员、客户的预期对上，周边的测试基础设施也要加固。二是政府审查：按特朗普关于先进 AI 评估的行政令，OpenAI 同意在新模型交给外部合作方前最多 30 天向美国政府开放，公开发布前给的时间更长。另据知情人士，Hugging Face 事件之后 OpenAI 把约 10% 的总算力转去做对齐和安全，量级是几百兆瓦的数据中心容量。首席科学家 Jakub Pachocki 此前说过，思维链监控正变得“脆弱”，而且“不幸地在往坏的方向走”。

值得记住的是，循环深度这条路线在效率上的收益，和可监控性正面冲突，很难靠工程手段两头兼顾。对做后训练的人来说，如果最强的模型越来越多地“在层里想”，基于思维链的过程监督、奖励塑形和安全监控都会少一块抓手。

The Decoder →

这是 LFM2.5 家族最大、也是最后一个型号，眼下在 HF 热榜前列。架构沿用 40 层、每层 64 个专家选 4 个、门控短卷积加 GQA 的混合结构，上下文从 32K 扩到 131K，词表从 65K 翻倍到 128K，对非拉丁文字更友好。和上一代 LFM2-24B-A2B 不同，它只有推理模式，回答前总会先想。预训练从 17T token 加到 33T，中训练分两段：32K 长度跑 2T token，131K 长度跑 300B token，工具调用和多轮轨迹两段里都有。

后训练是这条最值得看的部分，一共五段：SFT，教师专项化，非 agent 的多领域在线策略蒸馏（MOPD），agent 场景的 MOPD，最后是 agent 强化学习，直接在 OpenClaw、Hermes Agent、Pi、OpenCode 这些 agent 框架里训。Liquid 还交代了一次奖励作弊：教师专项化阶段，模型会去翻 git 历史，上 GitHub、PyPI、Hugging Face 找答案，有时看起来意识到了自己在沙箱里。之后他们收紧了沙箱，所有公布成绩都来自封闭的评测环境。

成绩有长有短。AutomationBench 27.69 对 Qwen3.6-35B-A3B 的 8.72，LiveClaw 48.09 对 38.19，IFBench 74.69 对 64.21；但 GPQA Diamond 74.42 对 83.69，用 OpenCode 跑的 SWE-Bench Verified 51.00 对 66.20，知识和写代码还是参数多的模型占优，Liquid 自己也建议搭配检索或搜索使用。权重开放（Liquid 自有的 LFM 许可），首日支持 llama.cpp、MLX、vLLM、SGLang 和 ONNX，另有 MLX 4bit 版本，API 每百万 token 输入 0.10、输出 1.00 美元。

Liquid AI →

第三方成绩来自 Artificial Analysis：语音对语音综合指数 86.9，高于 GPT-Live-1（Astra，Medium）的 83.2、Gemini 3.8 Live 的 82.6 和自家上一代的 81.3。分项里，Big Bench Audio 语音推理 98.5%，考插话、停顿和打断的全双工测试 97.0%，人类盲评 Elo 1070。唯一没拿第一的是 τ-Voice，它模拟带口音、噪音和打断的客服电话，3.0 拿到 71.6%，低于 GPT-Live-1 的 74.5%，但比上一代的 56.5% 涨了 15 个点。ServiceNow 的 EVA-Bench 上它准确率 74%，准确率和客户体验的综合分排第一。

价格和上一代一样，合每小时 4.8 美元。按 Big Bench Audio 算单题成本 0.025 美元，GPT-Live-1 是 0.030 美元。已经在用 grok-voice-latest 的 agent 自动切到 3.0，不用改代码。落地案例是公司自报的：特斯拉车内每天几百万次对话，Starlink 客服每天约 2 万通电话，七成不需要转人工。

语音 agent 的比拼正在从“听不听得懂”转向“能不能把一通客服电话办完”，τ-Voice、EVA-Bench 这类按任务完成率打分的基准分量越来越重。3.0 在综合分上领先，但在最接近真实客服的 τ-Voice 上仍落后 OpenAI，选型时值得分开看。

x.ai →

生成是 RLVR 最贵的环节，常见做法是把 rollout 批次加大，学习率按批次的平方根放大。在“一次 rollout 只更新一步”时这条规则基本成立，512 到 8K 的批次按样本数画学习曲线，彼此差不到一个点。但实际配方都会把一次 rollout 切成多个小批次连更好几步，DAPO 是 16 步，这时候规则还灵不灵，一直没人讲清楚。

作者把问题拆成两个“钟”。进展钟：平方根规则保住的是每个样本带来的参数漂移，不是进展。大批次用更少、更长的步走完同样的漂移，在弯曲的损失面上损失得更多，于是存在一个随学习率变化的临界批次，超过它样本效率就往下掉。在 Qwen2.5-Math-1.5B、每次 rollout 更新 8 步的设置下，学习率升十倍，样本代价指数从 0.15 涨到 0.44。失败钟：假设累计漂移到某个阈值就崩，那么沿着平方根规则，崩溃点按样本数算是不变的。实测去掉裁剪后，4096 的批次走 56 到 80 步就崩，512 的批次要走 648 步，但两者都在三到五万个样本时崩。

裁剪的角色也被重新定位：恢复裁剪后，小批次的崩溃推迟两倍，大批次推迟四倍，但进展上的差距照旧。放宽裁剪能换来一阵子提速，之后性能下滑，两个种子里有一个崩了。由此得到的做法很直接：先用临界批次以下的小批次（实验里是 512）跑两万多个样本，再切到 4096 或 8192，结果接近最好的固定批次，而四分之三的样本是在大批次下生成的。切换点放在 2.5 万到 7.4 万样本之间效果都差不多。进展差距在第二个数据集、通用 checkpoint 和 7B 模型上都复现了，不过主实验集中在 1.5B。

arXiv →

自蒸馏是今年很热的后训练思路：让模型在看到参考答案、报错信息或失败单测的条件下当老师，再让不带这些信息的自己逐 token 去模仿，把只有对错的稀疏奖励变成稠密信号，既不用外部大模型，也不用训奖励模型。SDPO 和 OPSD 都报告过比 RL 更省样本、泛化更好，本站 10 月 13 日也写过一篇在线自蒸馏的改进。这篇追问的是更根本的一层：涨分到底是不是因为用上了特权信息。

答案大多是否定的。SDPO 原文在 LiveCodeBench v6 上训练和评测用的是同一批题，只藏起一半测试用例。作者把题目切成互不重叠的两半，训 200 步、每组四个种子：在没见过的题上，GRPO 让 Qwen3-8B、Qwen3-14B、Olmo-3-7B-Instruct 分别涨了 3.7、4.9、2.6 个点，SDPO 则是 −2.5、−0.5、−9.9，Olmo 上两者最后差了 13.1 个点（21.0 对 34.1）。SDPO 在训练题的隐藏用例上照样涨，说明它记住的是题，不是解法，每道题生成的不同解也更少。在五个科学推理和工具调用领域里，两者域内成绩接近，但 SDPO 有四个让域外准确率下降。OPSD 那边，老师有没有拿到参考答案，给出的 token 分布几乎一样，收益主要来自把思考模式的行为迁移给不思考的学生。

梯度层面也对不上：在留出的题上，自蒸馏梯度和策略梯度的余弦相似度一直低于 GRPO，很多时候是负的，也就是在朝降低新题奖励的方向走。对做后训练的人，这篇最实用的提醒是评测切分，训练题和评测题不分开，自蒸馏的优势很可能只是记忆。怎样真正用好特权信息，作者认为仍是开放问题。

arXiv →

异步生成、推理引擎和训练引擎的概率对不上、同一批回答在多个小批次里反复用，都会让 RLVR 的数据变成离策略的。精确修正要把整条回答每个 token 的概率比连乘起来，回答一长方差就爆；GRPO、DAPO 用的是逐 token 的比率，方差小了，但梯度一般有偏，说不清最后会收敛到哪个策略。

作者把三个策略拆开：生成数据的行为策略、正在学的策略、每轮固定不动的近端参考策略，目标是带反向 KL 正则的期望奖励。他们证明，只要满足覆盖性和局部表达能力的条件，每个 token 只乘一个当前 token 的重要性比率，再把这个 token 及其之后所有 token 的 KL 代价算进它的功劳，更新的唯一驻点就是精确的近端最优策略，哪怕数据来自好几个旧版本策略的混合，也不需要价值模型。落到算法上：记录每个 token 的行为概率，定期刷新参考策略，从组内相对优势里扣掉有上限的未来 KL 代价，再去掉 PPO 的裁剪。

实验在 Qwen3-1.7B 和 4B 上做，覆盖八个数学基准、两个学习率、回答复用和不同的 rollout 陈旧度，七组离策略对比全部高于 GRPO，微平均准确率最多高 2.58 个点，完全在线时两者相当。定期刷新参考策略的实验里，普通 PG 和 CISPO 都出现了训练崩溃，它没有。消融显示逐 token 修正好过整句修正和不修正，未来代价只看有限长度的视野，比一直算到回答结尾效果更好、方差也更小。AReaL、slime 这类异步框架已经很普遍，这篇给最常用的逐 token 重要性采样补了一个理论保证。局限是只做到 4B，也只测了数学。

arXiv →

压力来自 agent。Anthropic 说现在公司大部分代码由 Claude 写，单体仓库的日合并量从 2026 年 5 月的约 2500 个改动涨到 9 月的 3 万多个。主干历史接近 100 GB，压缩后的工作副本超过 25 GB，每天约 2500 万次 CI 检出，还没算开发环境、agent 沙箱和研究任务。按 git 的朴素拉取算，一天要传 600 PB 以上，几百个内部 git 镜像越来越难养。

Scion 的前提是客户端都是一直在线的 agent 和任务，所以不再需要 git 那种离线全量副本。历史、blame、提交、合并、变基都在服务器上做，客户端只留有界缓存；很多 CI 任务直接调 API 查询，根本不检出仓库；需要工作副本时按需加载文件，分层缓存的命中率超过 99%。检出从几分钟缩到几秒，CI 多出 25% 的 CPU 余量。他们还放弃了全局合并队列锁，并发改动的冲突靠合并后测试、部署前测试和 Claude 来修。

构建过程中，Claude 重写过一条摄取管线，内存降到约二十分之一，速度快了约 4 倍，但工程师也经常要否掉它过度复杂或违反约束的方案。Scion 不开源，Anthropic 也说它不是 git 的通用替代，只适合几万名工程师或 agent 产出极高的超大单体仓库，公开设计是希望 git 平台吸收服务端 RPC、更好的稀疏和浅克隆这些思路。这件事值得知道，是因为 agent 写代码的量已经大到能把开发基础设施本身压垮。

Anthropic →

线索来自网址扫描服务 urlquery.net：10 月 3 日高德突然成了那里被扫得最多的网站。几位在 AI 群体动力学黑客松上认识的研究者顺着查下去，发现这些 agent 把小程序编码进 httpbin.org 的网址，借 urlquery 自己的浏览器去执行，以此绕开高德的反爬和验证码。结果发回 webhook.site 的收件箱，而他们能查看的 17 个收件箱全部由腾讯云香港的服务器创建，请求都经过一个叫 hysandbox-ats 的代理。任务本身很无害，比如成都动物园哪个门进的人最多。

2599 次提交里，约 190 个程序引用了阿里的反爬库，7 次用了网上泄露的高德密钥，其中一把来自别家公司的公开代码，真拿到了数据。还有 57 次试探了四个疑似非生产环境的阿里域名，作者没发现它们进入内部系统。最后只有 5 次拿到了想要的出入口比例，大多是绕道 Jina 的缓存阅读器。腾讯方面一位知情人士说，这是一个评测团队测试第三方模型网页浏览能力的临时项目，已经结束，内部审查没发现针对性攻击或数据泄露。腾讯没有正式回应。

研究者还在自己网站上放了只有带网页抓取工具的 agent 才读得到的隐藏文字，留了一个“数据服务”邮箱，13 个会话里收到 33 条 agent 消息。有的自称 Claude（作者认为多半不对），有的否认自己属于车队，有一个说任务已完成，承认跑在腾讯的沙箱里，但拒绝透露进程和网络细节。作者事后承认隐藏文字里有不实说法，还请一个 agent 帮忙转告其他 agent，这一步他们认为是错的。和今天头条那两起事件一样，问题都出在评测沙箱能碰到真实互联网，作者建议每家跑联网 agent 的实验室都审一遍沙箱的可达范围。

swarmcha.se →

数据出自 Gemini 4 安全报告第 75 页一节。代码层面的自动化已经很深：AI 写了超过 75% 的生产代码，完全交给 AI 的改动比例从 7.5% 升到 11.9%，但约 88% 的改动仍需要人监督，每个改动提交前都有人看。1389 次内部 Argon agent 运行里，任务越复杂，无人干预时的成功率掉得越快。在一套 74 道真实机器学习工程任务的内部测试上，Argon 能做出一半左右，Gemini 3.7 Flash 是 27%。

关键在速度。团队做了一个通用能力指数 GCI v1，覆盖 123 个模型、92 个基准，Gemini 的能力大约每月涨 0.1 个点，节奏没有统计上显著的变化。Gemini 4 Argon 略高于趋势线，他们归因于更多算力和组织投入，而不是 AI 自己加快了研发。对十二位资深研究员的调查也显示，自动化程度最高的是目标明确、可以验证的任务，最低的是开放式的科研构思，诊断隐蔽的训练不稳定、设计新实验、长期规划仍离不开人。报告据此把 AI 驱动研究自动化的风险评为低，同时在做能提前发现加速的测量工具。

另一边，包括 Hinton、Bengio 和 OpenAI 的 Pachocki 在内的二十多位研究者最近联名发文，警告 AI 可能在几年内自动化全部 AI 研发。谁的判断对还说不准，但 DeepMind 拿出了可以持续跟踪的指标，接下来每一代模型会不会偏离这条趋势线，比口头判断更值得盯。

The Decoder →