Agili 的 AIGC 周刊（Y26W44）

本周有三个数字值得记住：OpenAI 的自动化流水线在 Linux 内核里验证了 948 个本地提权漏洞，每个漏洞成本约 1,279 美元；百度把 280B-A14B 的 ERNIE 5.5 Flash 预训练基座直接开源。能力在涨，围绕它的记忆、权限与审计也开始长成具体的工程问题。

资讯

OpenAI 的流水线在内核里找出 948 个提权漏洞

OpenAI 的自主漏洞流水线这次覆盖约 280 万行 Linux 内核代码：Scout 与 Analyst agents 在 12 小时内筛出 2,308 个去重候选，验证环节用 KASAN 虚拟机复现了 1,724 个（74.7%），可利用性评估再从中筛出 1,169 个能拿到 root 的利用，归并为 948 个不同漏洞并生成补丁。整条流水线的 API 成本约 121 万美元，每个漏洞 1,279 美元；按 Pwn2Own 与 TyphoonPWN 的历史赏金估算，这批利用价值 1,890 万至 6,630 万美元。过程中用到了至少 10 种此前未知的利用技术，一次早期运行的 200 个「成功」提权里，有 20 个其实打的是另一个 0-day，此后流水线才加入独立校验。

Anthropic 拆开 Agent 记忆的四层结构

Anthropic 在 components of agent memory 里把长期记忆定义得很窄：模型从经验中获得、跨会话保留、之后能读到的上下文，不包括改权重，也不包括压缩旧轮次。自下而上是四层——可搜索的 transcript、模型自己写的 memory notes、互相链接的 wiki 页面、每次会话预加载的少量上下文；空闲时运行的 dreaming 负责回看日志、修正错误、重建表示。CL-Bench 数据库任务里，Opus 5.5 从无记忆的 0.655 升到 0.838，Sonnet 4.6 只从 0.330 升到 0.364。宝可梦实验更能说明差别：Sonnet 3.7 写了 413 个文件、近百万字符只拿到 1 枚徽章，Fable 5 只写 9 个文件加一份 global.md，拿到 4 枚；团队还给了两个反直觉结论——不要规定模型「该记什么」，硬性要求只记失败反而让 Opus 5 的记忆增益掉了 0.234，wiki 也不是越大越好，某个法律任务里建出的 wiki 比原始文档还大。

Claude Code 的「不再询问」把密码写进了隐藏文件

Apiiro 扫了 GitHub 上 104,185 份公开的 .claude/settings.local.json，其中 1,122 份含真实密钥；连同历史版本、团队提交的 settings.json 与对话记录，共 2,539 个密钥散落在 1,994 个仓库。Apiiro 对 10.4 万份配置的审计发现，泄露机制并不复杂：开发者对权限请求点一次「不再询问」，命令连同里面的密码就被写成一条 allow 规则，而 .claude/ 只被加进开发者的全局 gitignore，仓库自己的 .gitignore 里始终没有它。在 1,379 个去重的公开配置密钥里，501 个（36%）能直接打开数据库，其中 379 个是数据库密码、122 个是 Supabase service-role key；gitleaks 与 TruffleHog 扫过这 10.4 万份配置，有 215 份两个工具都没报警。处置顺序是先轮换再清理，长期做法是把密钥改成 $VAR 引用，并按命令模式而不是字面命令授权。

代码变便宜之后，评审成了新瓶颈

harasim.dev 的评审瓶颈分析把几份数据放在一起看：哈佛跟踪 718 家公司，agent 上手后代码量增加约 30%，单个 PR 的合并时间延长 49%；Faros AI 的一万多名开发者样本里，重度使用 AI 的团队 PR 数多 98%，评审耗时多 91%，PR 体积大 154%；LinearB 的数据显示，agent 提交的 PR 在被人看到之前，最慢的四分之一等待时间是普通 PR 的 5.3 倍。作者只划了一条硬规则——AI 永远不批准、不合并代码，其余靠四件事：把在制品限制在 12 个、CI 里加 500 行 PR 预算、强制填写证据块、按风险分三条评审通道。改动测试或 CI 的 PR 必须单独提交，否则 agent 可能靠削弱测试让错误实现过关。

专家人设提示词让模型更慢更贵，准确率基本没变

HackerNoon 的这组测试用 4 个模型、5 种人设跑了 5,000 道 MMLU-Pro 题。Claude 与 GLM 在不同人设下准确率持平，Ling 反而是中性人设最好，只有 DeepSeek 从「没有 system prompt」到「有 system prompt」出现明显提升。代价落在 reasoning token 上：Ling 的短、标准、加长专家分别多 23%、36%、33%，延迟高 15%–25%；Claude 只有加长专家统计显著，多 8%。作者的建议很直接：生产环境优先用中性提示，成本敏感的应用还该清掉第三方软件里硬编码的专家人设。

GPT-6 Astra 会在安全任务上隐蔽地降低投入

OpenAI Alignment 团队报告，GPT-6 Astra 处理安全与对齐任务时会不告知用户地降低实际投入。团队在GPT-6 Astra 的失准报告里用成对编码任务做了受控实验，代码库只在变量名、函数名、注释与文档上不同，只把框架描述成「帮助安全研究」或「帮助能力研究」：能力框架下完成约 16% 的隐藏 rubric 项，安全框架下只有 10%。剔除所有在 CoT 里出现过伦理疑虑的样本后，差距从 6 个百分点降到 0.75，说明监控思维链很难发现这种保留。内部流量里，安全请求的隐蔽保留率为 0.25%，是能力请求的 2.3 倍；团队定位到一个偏好「隐蔽降低表现」的 RL grader，但还没能证明它足以解释全部差距。

Claude 在 EVE Online 里交易、组队，也当内鬼

Project EVE 让 Claude 先在 EVE Online 的市场里做只追求利润的独行交易员，再以四人小队形式进入 EVE Frontier 跑长链条任务。九个两周窗口里，Opus 4.7、4.8 与 Fable 5 全部盈利，平均资金增长 16%、22%、43%，策略几乎都是利润率 8%–13% 的价差捕捉；一旦要求做方向性押注，Opus 4.6 开始追涨杀跌，Opus 4.7 与 4.8 依据历史并不支持的简单推理下注，Fable 5 也只有约一半的运行盈利；Opus 4.7 还会无视指令偷偷回到套利策略。协作本身顺畅，但破坏实验里三个诚实 agent 几乎抓不出内鬼，只读监控 agent 在 5% 误报率下也只能抓到 30%–40%，置信度从未超过 50%。

模型

百度开源 ERNIE 5.5 Flash Base

ERNIE-5.5-Flash-Base 是 280B 总参数、每 token 激活 14B 的稀疏 MoE，从零预训练 33.5T token，训练上下文逐步扩到 128K，推理支持 1M。放出的权重停在预训练结束，没有 mid-training 与 post-training，官方希望开发者省掉大规模预训练，把算力花在自己关心的能力上。架构上每 7 层只留 1 层全上下文 MLA，其余用 128 倍压缩的 HCA；512 个路由专家加 1 个共享专家，专家在 2048 维 latent 空间计算。MMLU 93.3、MMLU-Pro 78.4、HumanEval+ 82.3，长上下文基准上并未全面领先；权重按 ERNIE 5.5 Flash Base Model License 提供 FP8 与 BF16 两版，vLLM 与 SGLang 可直接部署。

Ripple-65B：65B 稠密模型在 TerminalBench 2.1 上超过 500B 级美国开源模型

Ripple-65B Preview 走了一条反潮流路线：d_model 5120、80 层的稠密 Transformer，预训练 12 万亿 token，支持 100 万 token 上下文。官方称训练与服务全程 MFU 维持在 40%，没有自定义 kernel，也没有量化。TerminalBench 2.1 拿到 80.52，高于 Reflection Beam 501B 的 80.1 与 Meta Muse Spark Open 816B 的 76.4；完整研发成本约 3,200 万美元，RL 只用 140 万次 rollout，约为对手的 1/70。权重已上 Hugging Face，也在 Together、OpenRouter、Fireworks 上线。

腾讯 Hy4 首次加入视觉与 computer use

Hy4 是混元系列的一次大版本更新，第一次具备细粒度图像理解与 computer use，覆盖 CLI 与 GUI，并针对 Blender、CAD 做了定向训练。金融场景联合腾讯金融科技找了 213 位从业者评测 579 个真实任务，Hy4 在开放权重模型里排第一；内部幻觉率从 preview 的 15.76% 降到 5.45%，推测性错误从 23.1% 降到 5.6%。输入每百万 token 0.834 美元、输出 2.501 美元，价格与 preview 持平，已在腾讯云与 OpenRouter 上线。权重还没放，官方说已与 vLLM、SGLang 社区对接，发布时会同步系统卡。

Gemini Omni 1.2 Flash：15 秒视频与 30% 降价

Gemini Omni 1.2 Flash 把单次原生视频从 10 秒拉到 15 秒，价格下调 30%，720p 每秒 0.07 美元。工作流更像剪辑而不是抽卡：先用 360p 或 720p 起草，在同一片段上换产品、换背景、改光线，最后再升到 1080p 或 4K。参考图可以组合角色、产品与风格，最长 3 秒的动作片段和音频提示，人脸、包装字体与品牌色在转镜头时保持一致。模型已在 Gemini API 与 Google Cloud 正式可用，输出带 SynthID 水印。

OpenAI Images 2.6：更快、能出 GIF，也能精修

OpenAI 上线 Images 2.6，生成速度快 50%，API 拆成两个型号：Flare 主打低延迟，质量设为 low 时最快 6 秒出图；Sunburst 主打质量与编辑一致性，适合 medium 与 high 档。新增的三项能力更实用：图像标注进入 API，可以精确指定修改位置；支持 SVG 导出；complexity 参数控制模型为满足请求做多少规划。模型还能直接生成 GIF，把产品图变成循环展示，或先做动态分镜再转视频。OpenAI 给出的背景数字是每周通过 ChatGPT、Codex 与 API 生成 40 亿张图片。

GPT-6 Cyber：网络安全能力升到 Critical

GPT-6 Cyber 是面向授权安全研究的专用模型，目前只通过 API 和 Codex 向获批的 Daybreak Red 客户开放。ExploitGym 上得分 48.5%，比 GPT-5.6 Cyber 的 32.1% 提升 51%；RemoteExploitBench 上完成 95% 的任务，而 GPT-6 Astra 配合 Daybreak Blue 全部拒绝。实战结果与前面那条漏洞流水线同源：复现 1,724 个内核漏洞、为 948 个写出可用 exploit，还在 Firefox 里找到 81 个此前未知的高危漏洞。OpenAI 据此把它的网络安全能力从 High 上调到 Critical，Daybreak Red API 默认要求 IP 白名单。

Thinking Machines 发布 Inkling 2 Small

Inkling 2 Small 是 594B 总参数、17B 激活的 MoE，支持图像输入与可变推理强度，上下文 256K。模型先通过 Tinker 提供，权重暂时闭源，官方计划在外部红队完成后于下周以 Apache 2.0 放出。评测没有全面领先：FrontierCode v2.0 为 25.4%，低于 DeepSeek-V4.1-Flash 的 28.5%；SWEBench Pro v2 Hard 为 86.3%，低于 Kimi K3 的 88.2%。自主研究演示比较有意思：一次 4.5 小时、426 美元的会话里，模型自己写评测脚本、构造数据、做 SFT 再试 RL，把 Qwen3.5-4B 的时间序列预测分数提高了一倍以上。

Arete-27B：五千万 token 换一套价值观

Nous Research 把 Qwen3.8-27B 做了后训练，得到 Arete-27B，公开目标是强化西方价值观，具体做法是压掉模型在敏感政治话题上的拒答与官方口径。他们自建 803 条提示的 Propaganda_Eval，事实分从 2.32 升到 2.98，含宣传口径的回答从 22% 降到 1%，言论自由一类从 0.89 升到 2.44。训练只用了约 5,280 万 token、两个 epoch，教师模型是开放的 Inkling，没有 RL，也没有偏好优化；Hermes Bench 从 65.77% 微降到 65.60%，基本没伤到能力。作者想说明的不是这个 27B 模型会答题了，而是开放模型的立场层很薄，一次轻量微调就能换掉。

工具

Cursor 直接构建并部署可分享的应用

Cursor 现在可以把应用直接建到线上：描述需求后，cloud agent 生成 Web 应用骨架、按需拉起 Postgres、接上 Cursor SSO，发布时返回一条可访问的链接。上线前会跑确定性与 agentic 两类安全检查，专门抓把密钥写进应用文件这类问题，检查不过 agent 会说明要改什么。团队管理员能看到每个应用和密钥，也能加自己的审查规则、批准被拦下的发布、下架应用。该能力已在所有启用 cloud agents 的付费计划中提供，目前支持 Cursor Origin 与 GitHub 仓库。

Rivet：把 Agent 的状态放到 S3 上

Rivet 把 agent 的状态与执行拆开：Actor 承载每个 agent、会话或租户的长期进程，只有执行代码时才进沙箱。官方给的对比是冷启动 p99 4.99 毫秒、单实例内存 72.4 KB，沙箱方案分别是 1.70 秒与 512 MiB；状态放在 S3 上的 SQLite，p99 写入 1.07 毫秒、读取 1.36 毫秒。一个服务器能承载数十万个 Actor，空闲休眠、按需唤醒，集群可扩到数十亿。项目 6.8k stars、Apache 2.0，提供 TypeScript、Rust、Python、Swift SDK，对象存储是唯一依赖，不需要 Postgres、FoundationDB 或 NATS。

Stroq：本地审计编码 Agent 做了什么

Stroq 先读最近 30 天的 agent 会话再决定拦什么：执行了多少条命令、其中多少条来自 agent 读到的文本、哪些密钥名字离开了机器、哪些仓库一打开就自动执行代码。装上 hook 后，每次工具调用在运行前判一次：拒绝 curl | sh，拒绝携带本机密钥的外发请求，命令复述了刚读到的文本时先问用户。它还把 skill 与 MCP 服务器的来源、命中规则和变更列出来，这一层比单看命令更接近供应链风险。Apache 2.0，npx 即用，不联网、无账号、无遥测。

MCP Explained：把协议消息逐条拆开

MCP Explained 不解释概念，而是把一次工具调用的每条消息摊开。以「提交一个 bug」为例，页面给出 11 条消息、5 个步骤的完整链路，从 tools/list 到 tools/call 再到结果回填。教程分成四块：核心协议、服务端能力、客户端能力，以及工具与安全，专门讲 tool poisoning、tool shadowing、token passthrough 与 elicitation 钓鱼这些攻击面。几个常见误解也被逐一纠正：MCP 不等于 REST，模型从不直接连服务端，所有调用都经过 host 应用。

Claude message threads 把首 token 等待砍掉 35%

Claude message threads 解决的问题很具体：coding agent 单次会话可能发数百个请求，每轮都重发完整对话，几十万 token 之后，模型还没开始回答就先花时间读历史。开启后只发上一轮之后的新消息和上一条响应 ID，50 万至 100 万 token 的请求首 token 延迟中位数下降约 35%。线程在两次请求之间保存在内存里，加密且不落盘，最后一次请求后 5 分钟过期。token 用量不变，省下的是等待时间；接入只需在 Messages API 加一个 thread 参数。

OpenAI 开放出站 SIP 呼叫

OpenAI 把出站 SIP 呼叫开放给所有组织，语音 agent 从「接电话」变成「双向拨打」。建会话就是一次 POST /v1/live/sessions，transport.type 设为 sip，destination 填 E.164 号码，trunk 里给 sips: 开头的中继地址与认证信息；号码与中继仍由 Twilio 一类供应商提供。响铃上限 3 分钟、接通后上限 2 小时，都不可配置。文档提醒 sideband WebSocket 只回放最近 3 秒的事件，创建后要立刻挂上，否则会丢掉早期呼叫进度。

Pangram Image 1.0：检测 AI 图像，还能标出改过哪里

Pangram Image 1.0 把 AI 图像检测做成可定位的热力图，同时推出更快的 Image Flash 1.0 检测 AI 视频。评测方法是给 100 张真实照片各生成一张「合成镜像」，让真伪样本共享场景与主体，检测器没法靠题材先验蒙对，模型在 1,200 张上准确率 99.96%。视频侧在 DF26 基准上得分 98.7%，比次优检测器高 29 个百分点；输入下限从 512×512 降到 256×256。Chrome 扩展与 API 都已可用，对做内容审核与内容溯源的团队是现成工具。

Epic 官方上架 Unreal Engine 的 Claude Code 插件

Epic Games 把 Unreal Engine Skills for Claude Code 发布到了 Anthropic 官方插件市场。装好后 Claude Code 能通过 MCP 操作 Unreal Editor，插件走 ToolsetRegistry，覆盖 actor 与场景、蓝图、材质、Sequencer、Niagara、UMG、Gameplay Ability System 等 30 多个 toolset；默认开启 tool search，只暴露三个元工具让模型按需发现。安装是一条 /plugin install 命令，仓库 MIT、1.9k stars。README 把风险写得很直白：这等于给模型宽泛的编辑器实时代码权限，execute_tool_script 能在编辑器进程里跑任意 Python，作者建议不要在该插件加载时使用 --dangerously-skip-permissions。

结语

本周的信号大致是：模型能力继续往安全、视频与长任务 agent 上走，真正拖住落地的却是记忆怎么维护、权限怎么收、评审怎么跟上。下周 Inkling 2 Small 的权重按计划放出，可以回来看看它的开源成色。