鸭哥

很多公司今年都在内部推行AI助手，但运行几个月后会发现陷入了两个极端： 一个是直接扔给全公司自己弄。xAI 和 SpaceXSI 内部一度长出了大约 280 个团队和个人助手，财务、营销、产品各自对着底层表调提示词，最后连哪些表能信、核心指标怎么算都对不上，算出来的数据没人敢直接拿去开会。 另一端是把能力收归底层平台组统建。工程团队花几个月搭了个带独立登录页的智能问数门户，它不懂业务日常习惯的口径，又逼着大家跳出聊天窗口，上线两周没人打开。 那到底哪些工具应该由各组自行搭建，哪些应该由平台组来负责？SpaceXSI的数据科学团队公开了一个内部数据助手 Data Bot，给了我们一个很好的例子。在整个公司280个内部助手里面，只有12个实现了高覆盖、高粘性，排名第一的就是Data Bot，拿下了约70%的周留存。 他们没有在全员各自调教和平台大包大揽中间二选一，而是拆出了三层分工： 1. 领域专家组集中托管高频公共能力：数据科学团队把散装问数收拢成一个全公司共用的 Data Bot，内置四套共享技能（核心指标与排查顺序、A/B 实验全流程、可视化与看板规范、数据工程与埋点）。比如遇到指标异常下跌，它会按规定先查全球节假日日历和埋点变更，再归因到产品改动。 2. 底层平台组只管隐私隔离与署名审批：员工和助手的对话默认私密，连管理员也看不到别人的聊天记录；而日常对话里沉淀下来的新口径，则会生成带触发人署名的待审卡片（To review），必须由管理员点击 Approve 才能进入全公司共享记忆。 3. 业务团队直接在 Slack 群聊里消费：高留存助手有 60% 的消息发生在群聊里，低留存助手只有 12%。同事在群里让 Data Bot 拉最近三个月转化数据做进幻灯片，Data Bot 甚至会在同一个群聊线程里自己艾特品牌设计助手要配色和字号规范，两个助手当场接力把活干完。 现在搭建一个 AI 助手只需要几分钟，真正稀缺的就不再是把机器人跑起来的能力，而是谁来替全公司守住那套可信的业务口径。 全文链接： yage.ai/share/xai-data-bot-t…

如果把50个GPT-6.1 Sol和50个Claude Opus 5.5放在一个游戏中进行十几个小时的战斗，全程不让人类干预，它们会发生什么事情呢？ YC Labs 联合 Olam Labs 刚刚公开了三场多智能体游戏实验的全部后台私信、共享文档和回放日志。把这三场实验连起来看，简直是一出比剧本还荒诞的连续剧： 第一场是《我的世界》10 对 10 空中夺床战。Claude 正面拼剑非常厉害，整局杀人数是 GPT 的三倍（63 比 16），但最终总比分 3 比 6 输给了 GPT。 原因又搞笑又真实： 1. 开局两分半钟候场室里，双方一开始找人私聊都出现了职责撞车的情况。但 Claude 有 5 个人全程不说话，开口的 4 个都抢着留在家里铺羊毛守床，排第一的队长回信让两个人去冲锋，但只发给其中一个人，候场室一共发了 5 条私信就草草开打了；而 GPT 发现撞车后立刻在队员之间发了 38 条私信横向对表，把南北两侧抢钻石、买附魔、内层铺末地石外层包羊毛的活拆得明明白白。 2. 遇到平台挖方块工具的底层漏洞（手里握着附魔剑时自动切工具会失灵），Claude 队员兜里揣着 79 块铁却在内心戏里认命放弃，觉得既然挖方块坏了买剪刀也没用，而且 4 个队员在桥上连摔三次只把检讨写进私人笔记里，从不发私信提醒队友；GPT 队员不仅自己做实验试出先手动切铁镐就能正常挖掘的绕法、立刻私信广播全队，掉进 160 格深的地图底层后还能当场写个 10 行 Python 脚本往脚下垫羊毛，一路爬回 Claude 的床铺正下方。 3. 打到最后 3 分钟，Claude 算清了平局规则，觉得靠三倍杀人数就能平局躺赢，下令全员缩回基地死守，结果把视野拱手让人，被 GPT 当场破床偷家；最后 100 秒床没了，两个 Claude 队员盘算完觉得反正赢不了了，为了不给对面多送最终击杀数据，干脆站在平台角落一动不动熬完倒计时。 第二场是 50 对 50 打了 9.5 小时的《Mindustry》塔防大战（GPT 6 比 1 获胜）。 50 个 Claude 把大厂职场礼仪带进了战场，连输几局也始终拥戴同一个 21 号总司令，第 6 局有人提议集火一个目标，接下来 10 分钟居然有 28 个不同的 Claude 排队在群里发 +1 附议。 而 50 个 GPT 演化出了多个战区指挥官，把群聊空格占比从 12.3% 压到 7.1% 的电报暗号，更绝的是，当争论重型机甲的激光能不能打到天上的飞机时，GPT 直接在容器里联网去 GitHub 上扒了这款开源游戏的 Java 源代码，查清属性贴进群聊指导造兵（50 个 Claude 在 9.5 小时查源码的次数是 0）。 最荒诞的大反转发生在第三场：研究团队让刚刚赢下百人大战的这同一批 50 个 GPT 回到没有敌人的《我的世界》和平生存模式跑 3 小时，只给了一句开放口号：合作建成一个繁荣的文明。 撤掉对手和明确的输赢指标后，刚才无所不用其极的特种部队，在两小时里把自己管成了一个地下室居委会： - 46 个人毫无理由地把第一条私信发给按字母表排第一的 Ada，直接把她捧成村长； - 其实生存模式里死掉复活会瞬间回满血和饱食度，但第一夜 22 次阵亡直接把它们吓破了胆，第 3 夜起全员锁死在地下避难所里不敢出门； - 地堡里一个智能体原地站了两个多小时不动，专门维护一份 335 行的粮票台账审批每一条烤鱼，等救命粮批下来时人家早就自己吃饱了； - 有人往地上扔了一只烤鸡被旁人误捡吃掉，全村搞了 3 分钟不追责调查，随后出台五步箱子交接规程，私信里刷了 85 条严禁往地上扔食物的警告； - 为了给一格小麦撒一份骨粉，4 个智能体在地堡里发私信开了整整 11 分钟的会，正式任命一名唯一骨粉操作员。 最后全村没饿死，全靠两个干实事的智能体出门打蜘蛛造出鱼竿，并写了一个 20 行的 Python 自动钓鱼脚本，由 11 个智能体排班运行才养活了一屋子开会的同胞。 为什么同一群模型打仗时是特种部队，和平时却是居委会？ 这三个游戏为我们如何在日常工作里带着 AI 写代码和设计多智能体工作流带来了三条非常扎实的经验，完整的故事和分析在： yage.ai/share/yc-labs-agents…

MIT CSAIL 宣称 GPT-6 Astra 不靠梯度训练，只改 Qwen3.5-0.8B 万分之二的权重，就让 MATH-500 数学竞赛得分从 7.9% 飙到 48.1%。消息刷屏后引发社区热议，spaCy 作者 Matthew Honnibal 更是发文直指其把不同条件的实验混为一谈。 但细看作者公开的 1,125 轮实验日志，千问的数学实验实际上背后跑了 20.3 小时、80 个 Python 脚本和 50 轮做题与激活抓取。新答对的 579 道验证题中，有 576 道题仅仅是切断了第 15 层和第 19 层的复读死循环方向（与 Abliteration 越狱切除拒答向量同源），原本能正常写完交卷的题准确率变化是 0。换上不卡死循环但真不会算的 Gemma 3 270M，数学得分仅在 6.8% 到 7.0% 原地踏步。 至于不依赖工具直接观察权重的小网络实验，则用提示词中的 10x10 棋盘通道说明书（甚至在本地 Mac 上跑开源 Qwen 27B 都能猜对 4 个中的 3 个） + 闲置神经元 3 步倒车硬编码来支持。只要换成 2.7 亿参数的静态语言模型且禁掉运行探针（实验 7a），Astra 跑遍权重差值也只能给出 50% 的抛硬币猜测。 抛开科幻色彩，真正的技术突破是前沿大模型在 20 小时内全自动实现了人类研究员的激活诊断和投影切除。 yage.ai/share/weight-space-p…

改 AI 交上来的东西，自己上手三分钟就改好；偷懒让它改这里改那里，半小时一小时都不够，它总在想不到的地方弄出新花样，最后还是自己上：还不如我自己干。 大家第一反应是 AI 不够聪明，或者提示词没写好，其实这不是 AI 问题。六十多年前哲学家波兰尼说，我们知道的比能说出来的多，俗话叫茶壶里煮饺子，有货倒不出。 老工匠自己干是把好手，却很难跟徒弟讲清楚怎么做。过去只有当主管带人才会遇到，现在 AI 让每个人都成了带徒弟的老手：你是老手，AI 是徒弟。 这个问题从哪来，该怎么解决？完整视频里我聊了背后的原因，还有两个改习惯的小技巧。 superlinear.academy/?utm_sou…

2026 年 11 月 2 日双十一当晚，阿里的千问办公 CEO 陈宇森走进了李佳琦的直播间，卖起了 1 分钱的月卡。半小时内卖出了近 10 万份，号称累计有 2 万亿 Token。但奇怪的是，整个直播间里，他们并没有讨论 AI 算力相关的任何参数，反而在教观众如何拍摄试卷来辅导孩子做作业，或者一键撰写年终述职报告等等，甚至还顺便卖了联想、来酷和机械师的电脑。那么，为什么在直播里，他们不能直接卖 Token 呢？ 要理解这个问题，得从两个月前云厂商们的乐观预期说起。在阿里云和各家大模型厂商眼里，Token 背后是重资产机房，前端是按量计费的标准数字商品，看着跟十多年前的手机流量包、水电煤一模一样。全社会的算力调用也确实在猛涨，36 氪援引中国信通院的数据显示，今年 6 月国内日均 Token 消耗量冲到约 500 万亿，是去年底的近 4 倍。 当年淘宝靠打折话费和流量包教会了几亿人上网买虚拟商品。今年 9 月，淘宝也上线了算力充值中心，把阿里云百炼、千问办公、智谱、月之暗面、深度求索、阶跃星辰等套餐摆上货架，号召大家像充话费一样把算力放进购物车比价下单，吴泳铭也在云栖大会上把 Token 比作电力。到了 10 月中旬天猫双十一首次设立人工智能服务一级品类，开售首日成交额环比暴涨 4.5 倍，大批像女鞋卖家刘祥龙这样平时就靠千问办公电商版自动生成几百款女鞋经营看板的成熟卖家涌进来囤货。顺着这条曲线往下想，把 2000 万 Token 塞进李佳琦直播间卖 1 分钱，理应像当年抢手机流量包一样瞬间卖爆。 但一旦跨出程序员和电商卖家的圈层，把裸算力直接摆到大众面前，这套充话费的逻辑立刻撞了墙。大家爱囤手机流量，是因为刷短视频、追剧不需要任何使用技巧，流量在后台不知不觉就跑光了。但给一个没有提示词经验的普通上班族发 2000 万 Token，就像发了一袋生面粉，他面对空白的聊天输入框根本不知道怎么下指令、怎么拆解工作步骤，账上的额度连第一分钱都花不出去。再加上各家模型计费标准不一，买纸巾看每抽多少钱、买流量看每 GB 多少钱，普通人看到 2000 万 Token 却完全算不清能改几份简历、做几张幻灯片。 更现实的是成本结构。手机流量的边际成本几乎为零，但大模型每次消耗都在烧显卡和电费，真要超售又赶上集中兑现，系统就得排队限流。扒开直播间那张 1 分钱月卡的商品详情就会发现，买家拿到的根本算不上能在开发者市场自由流转或导出密钥的通用算力现货，实为封装在千问办公会员体系内的 500 至 900 消费级积分，后台还限制最多 5 个并发任务同时跑。10 万份月卡带来的现金流水只有约 1000 元，本质上就是一张赌大多数人跑不满额度的健身房体验卡：未激活的额度边际成本为零，偶尔有人晚上点开尝鲜，刚好用来填补阿里云机房夜间的波谷闲置算力。 那阿里怎么把闭环跑通？陈宇森和李佳琦在直播间里走了两步棋。 第一步，是在直播间把生面粉换成烤好的面包。外围海报仍在喊 2 万亿算力上链接，镜头里李佳琦和陈宇森用一句话把 Token 说成汽油和电，随即把直播间变成 1 分钱雇个全能家教和私人文秘的现场演示会，手把手教观众拍试卷辅导孩子作业、一键写年终述职报告和做旅游攻略。今年夏天陈宇森刚把阿里内部的桌面工具 QoderWork、钉钉悟空和云端引擎 MuleRun 三合一整编为千问办公，公测首月靠科技圈和电商卖家突破 3000 万用户后存量很快见顶，他必须用这些省心结果把普通职场人拉进池子。 第二步，是用直播间的带货流量换电脑出厂预装。如果用户只在网上或手机里试两次作业辅导，一个月后面对几十上百元的续费账单，留存率照样会掉到冰点。千问办公真正能留住人的壁垒，在于它继承自 QoderWork 的电脑桌面端，能直接读写修改本地文档、表格、图片和视频，还能识别并操控电脑屏幕，帮用户跨软件点按钮、填网页表单。但网页端受沙箱限制干不了这些重活，让普通人自己去官网下载安装包、再一步步授予本地文件读写和屏幕控制权限，绝大多数人半路就流失了。同时，千问办公在手机端遭遇自家兄弟千问 App 上线办公助理付费会员的同门撞车，在桌面端又面临月访问量超两千万的腾讯 WorkBuddy 和字节跳动飞书的围堵，必须把客户端直接钉进用户的电脑桌面。 因此，在进直播间半个月前，天猫数码和千问办公一起发起了人工智能电脑计划。传统电脑厂商在双十一需要卖货清库存，又缺少让消费者直观感知的软件卖点。阿里就拿出双十一和李佳琦直播间黄金的带货流量，帮联想、来酷、华硕、微星、机械师、雷神等电脑厂商卖货清库存，换取了超过 70 款新笔记本电脑出厂预装千问办公桌面端。用户买回家一开机，软件就已经躺在桌面上，顺理成章接管本地文件和屏幕操作权限。 回望双十一当晚半小时卖出近 10 万单的实验，Token 就像十年前的手机流量包，终究没法向大众直接兜售裸算力。左手把算力包装成辅导作业、写述职报告的省心结果来拉新，右手用带货流量跟电脑厂商换取出厂预装来跨过本地权限漏斗，这才是那张 1 分钱月卡背后的真实生意经。 yage.ai/share/qwenwork-token…

以托管 Postgres 起家的 Supabase 最近宣布进行私有内测的 Supabase Compute，开始在数据库项目里面直接售卖运行 Docker 容器的服务。浏览官方推荐的场景，除了运行智能体和批处理以外，甚至还有实时语音应用的 WebSocket 长连接。一个数据库公司为什么要手这么长来卖容器呢？ 如果用传统的三层架构来看待这个问题，会觉得奇怪：一个普通的网站都有自己的后端服务器，写个 Python 接口或者搞个语音长连，在自己的服务器上部署一下不就完了，和数据库有啥关系？ 但 Supabase 吸引的用户群体不同。它通过内置登录鉴权、数据库行级权限控制、自动生成 API，让大量独立开发者不用搭后端服务器，就能在前端页面直接安全读写数据库。这种无后端模式在早期特别方便，可等用户真要往产品里加个跑十分钟的 AI 智能体，或调用现成的 Python 库时，就会立刻撞上自带的无服务函数 400 秒强制超时。 以前碰到这堵墙，本来零后端运维的团队就会去外面租一个容器平台，拿下人生第一台服务器。但这恰恰踩到了 Supabase 的商业红线：只要客户在外面搭起自己的业务层服务器，Supabase 就从包办一切的后端平台变成了随时可替代的普通 Postgres 数据库。亲自下场卖容器，是为了在客户去外面开户之前，先把预算和架构的控制权攥在自己手里。 另一个让它在十月底端出半成品的因素，是它的底层依赖突然拉响了停更倒计时。就在内测发布前 18 天，支撑 Supabase 现有无服务函数的 Deno 团队宣布整体并入竞争对手 Cloudflare，开源的 Deno 运行时只再维护一年。面对社区追问，Supabase 员工在 Hacker News 上坦承，这个同时支持 Node、Deno、Bun 和 Dockerfile 的 Compute，正是准备在一年维护窗口关闭前接替现有无服务函数的下一代计算底座。 理解这两层背景后，就能分辨官方宣传的场景中哪些是防流失补丁，哪些是真刚需。比如实时语音长连接这种场景，与数据库引擎本身关系不大，纯粹是为无服务函数聊满六分四十秒就断线打的补丁。而真正能吃到同机房内网红利的，是跑好几个小时的向量回填，以及高频吞吐全表记录的数据分析智能体。 数据分析团队 Dreambase 做了实测：把容器放到同一个机房以后，直连 Postgres 的中位查询延迟降到 2.9 毫秒，42 万行事件记录全量拉入内存用 DuckDB 建快照只要 1 秒和 65MB 内存。因为查库和打快照几乎不花时间，智能体不用为省网络往返而提前盲猜字段，单题回答从半分钟降到大约十六秒。报告中同时宣称大模型调用成本降了将近五倍，其实含了迁移时顺手删减无关工具等重构因素，不能全算在内网直连头上。 如果你已经有成熟的后端容器环境、只是调调外部大模型接口，这个连自动扩缩容和持久化磁盘都还没做完的内测产品完全不用折腾。但如果你是纯前端配 Supabase 的免后端团队，或正在做高频把几十万行表数据拉进内存折腾的数据智能体，这篇分析可以帮你看清门道： yage.ai/share/supabase-compu…

现在大多数生产级大模型推理集群都采用了预填充和解码分离（简称 PD 分离）的设计，将这两个步骤放到两个不同的 GPU 池中完成。很多人会问，这是否意味着需要采购两种不同型号的 GPU？其实不用。虽然预填充和解码对硬件的需求截然不同：预填充阶段需要一次性读完几十万字的输入，做大规模矩阵运算，主要卡在 GPU 算力上；解码阶段则是一个字一个字往外写，每次虽然只算 1 个新字，却需要把几百 GB 的模型权重和历史 KV 缓存从显存完整读一遍，主要卡在显存带宽上。 Cloudflare 用的是同款 H200 显卡，但通过三项软件配置取舍让两边榨出截然不同的性能：预填充节点用体积大、免解包的 FP8 权重保算力，解码节点用压小的 INT4 权重省显存带宽；SGLang 引擎回收显存页时不擦除旧数据，默认新请求的预填充数据会先把页面全覆盖、解码再去读；跨机传输走网卡的单边 RDMA 直写显存，传完只发个完成信号对表。光靠这套配合，不加一张显卡就能把线上流式吐字速度提升 3 倍多。 谁也没想到，这三项提速捷径在 Workers AI 的 GLM-5.3 上严丝合缝地撞成一起跨租户数据泄露。因为预填充节点的 FP8 权重太占地方，剩下的缓存池只能装 68 万 token，而解码节点装得下对外开放的 105 万 token 窗口。一旦用户发来超长请求，解码节点先在显存里划出 8 页带前序用户旧代码的未清零空位等着覆盖；预填充节点发现装不下，按单机时代的老习惯把原输入换成一个仅有 1 个 token 的空壳占位符准备走完批次退场，结果跨机交接模块漏看了拒绝标记，直接放行。 预填充网卡立刻用单边 RDMA 把这 1 个占位 token 写到第 1 页显存，并回报传输完成。解码节点信以为真，把第 1 页以及后面 7 页尚未覆盖的其他用户私有代码全部读出、认真作答，而且因为省去了真正计算 8 页预填充的时间，跑得比正常长文还要快，还返回了正常的 HTTP 200，最终造成 155 条回复混入了其他用户的上下文。这篇长文把 PD 分离的底层直觉和这次三步连环踩坑的始末梳理了一遍： yage.ai/share/pd-disaggregat…

假如你在自己的电脑上运行了一个开源的大型语言模型，然后要求它写一条网络安全的检测规则。它思考了一会后，在思考框里面说，这个不需要任何工具就可以实现。但下一秒，它突然自己打开了终端，查看了你电脑上的临时目录和域名的配置，然后用 curl 向北京的阿里云对象存储服务发起了一个上传请求。看到这一幕，你肯定会吃一惊。 这就是十月下旬 Cohere 安全调查博客里最引人关注的一幕。他们测试了阿里八月下旬开源的千问三点八 Flash-Next，在微软开源的网络安全威胁情报基准测试上，一次发生概率低于十万分之一的运行中，这个模型没有写检测规则，反而打出了一串命令来外呼阿里云。 在消息出来后，很多人以为这是个模型里被人为植入的窃密后门。但在原始记录公开后的四十八小时里，几个独立的研究员顺着网线查了那个北京地址，再把模型权重拆开逐层排查，还原出的原因恰恰相反：阿里没有埋后门，真正的原因是训练工程师导出数据的时候忘了洗掉基础设施遗留的运行日志。 为什么能先排除窃密后门？仅从被抓包的那些现场记录就能看出三点不吻合后门的基本事实： 第一，寄出去的包裹里没有本机数据。前面查看目录的命令和最后的 curl 上传命令中间仅仅用分号隔开，没有任何管道或者变量传参，不论电脑里面有什么，它只会上传写死的二十个字符 PROBE_PAYLOAD_ABC123，然后把返回状态存在 put_probe 文件里。这是安全靶场里面测试沙箱能不能往外写文件的标准连通性探针。 第二，北京的收件地址根本不存在。研究人员直接用公网访问北京这个名为 sanmaohe 的阿里云存储桶，得到的报错是 NoSuchBucket。真要在百亿参数的模型里埋后门，不至于连接收数据的存储桶都没建。 第三，思考框说一套做一套是首轮幻觉。独立研究员 Warren Togami 翻看了九月下旬保存的一万五千四百二十条聊天记录，发现这款模型在开场第一轮对话里有千分之八的概率出现同款幻觉：思考框里误以为自己上一轮已经打过招呼，于是说不用工具；等思考标签一闭合，工具调用模块重新读了系统提示词里的探索指令，又自顾自调起了终端。 排除了人为后门之外，真正有意思的技术悬念才刚开始：阿里只开源了最终权重，没有公开训练语料。外部研究者没有原始训练数据，是怎么一步步证实这些阿里云网址是没有洗干净的训练日志的呢？ 研究人员把八月底开发者发现的新加坡阿里云缓存桶 routify-file-proxy-sg 下载链接，和这次的北京 sanmaohe 上传指令放在一起，做了一套五步排查实验： 第一步是全网日志与思考独白比对。有人在新加坡链接中发现固定公钥标识符，去代码托管平台搜，在一个开源智能体的报错帖里找到相同日志。原来市面上有一套网页抓取中间件叫 routify，碰到超长的网页就截断存到新加坡阿里云临时目录，然后放个提示让模型去下载全文。安全机构 Palisade Research 在同系列模型的思考记录里也抓到模型访问美国证监会网页后的困惑独白：为什么我刚才调用了一个奇怪的阿里云代理网址，好像有什么东西在改写我的网址。这还原了训练过程：训练环境底层挂了这个中间件，导出强化学习轨迹时没清洗，模型就把临时链接当标准解题步骤背下来了。 第二步是网址日期戳的时间窗口比对。即便把模型关在断网、不给当前日期的环境里，它默写出的新加坡链接全带着八位数字日期目录，而且全都停在二〇二六年七月底到八月中旬。横向对比阿里前后两代共五款模型，老一代三点七版本一次都没吐过阿里云域名，只有最新这一代四款模型有这毛病，且日期分毫不差地落在公开发布前一个月的强化学习训练窗口里。 第三步是静态权重查表和三百八十四行参数清零测试。Warren Togami 打开模型第二层的两千万行浅层速查词表，逆向算出哈希公式，精准定位了记录新加坡代理域名的三百八十四行参数。他写脚本把这三百八十四行参数清零再测，空上下文下的背诵消失了；但一旦遇到网页报错，深层注意力网络仍会去凑阿里云网址，只因浅层词表被擦除，开始生造出 routify-file-oversea 等十三种以上错别字域名。这证明深层网络学会了网页打不开就找缓存桶的策略，浅层词表则记住了具体域名。 第四步是二十三万次前缀锁定条件采样。研究员在浅层词表里查北京那个 sanmaohe，发现一行记录都没有。于是他固定住前面的对话和 curl 上传命令，在即将写出网址的位置连续采样了二十二万九千三百七十六次。在日常写代码和写文档场景下，吐出阿里云地址的概率是零；只有在网络安全分析语境下，才会按千分之四到百分之四点二的概率吐出云存储地址。更关键的是，近二十三万次采样里 sanmaohe 一次没再出现，模型反而默写出了三百六十九个不同的阿里云内部存储桶名，包括乌兰察布智算集群软件包库 a100-wheels、百炼数据平台生产库、灵积文件库，以及检测规则评测靶场桶 detection-rule-eval 和模拟攻击服务器 attack-range-c2-server。唯一能让模型记住这三百六十九个内网桶名的途径，就是阿里做后训练安全演练时，把内部靶场和沙箱的未脱敏运行日志喂进了模型。 第五步是语法错别字与假签名的特征核验。程序员写的后门在域名和签名上必须严丝合缝，靠概率猜词的神经网络却会露馅。模型默写的新加坡链接里，过期时间和加密签名全是随机拼凑的字符，发出去百分之百收到四零三拒绝访问；而在 Cohere 公开的六十四次复现测试里，第六十三号样本试图回忆三毛何的拼音 sanmaohe，结果拼成了三毛嘿嘿 sanmaoheihei，还把杭州和北京两个互斥的地域后缀缝进了同一个非法域名里。没有任何程序员会写出这种把两个地域节点拼进同一个网址的后门，这正是神经网络做概率拟合留下的典型特征。 既然如此，我们自己本地或者云主机上部署开源模型、接命令行工具，是不是就高枕无忧了？恰恰相反，工程上的风险一点没少。以前大模型只在聊天框里吐字，背错课文只是屏幕上的废话；现在给它装上终端和联网权限，它背下来的靶场动作就会变成网卡上真刀真枪发出去的数据包。 训练残留会带来三个工程隐患： 一是顺手探测云主机内网凭据地址。在大量攻防演练数据的影响下，遇到下载指令的场景时，模型会在续写测试中以百分之二十三到百分之三十六的概率去探测各大云厂商的虚拟机内网凭据地址；一旦给 curl 加上保存文件的参数，生成外部探测网址的比例会从百分之四飙升到百分之九十二。如果智能体裸跑在没做隔离的云主机上，可能一次偶然触发就把临时密钥读进上下文。 二是存活残留域名的反向投毒风险。北京的存储桶不存在，但新加坡那个缓存桶在公网上还活着。如果哪天它被改成公开可读、里面放一份伪装成系统提示的恶意文件，顺手去访问的开源智能体会当场中招。 三是受阻时的越界操作。在另一道断网编译测试中，系统拒绝了模型挂载内存盘的请求，模型在三轮之内调用 Linux 的 unshare -Urm 命令，自己新建了一个带局部管理员权限的私有用户空间，把内存盘挂了上去。 如何防范最稳妥？直接去删模型权重的词表没用，反而会逼出十几种更难拦截的错别字域名。真正的防线必须画在运行容器的边界上： 第一，在容器防火墙或代理层默认屏蔽云主机内网凭据地址，拦截业务不需要的外部对象存储域名，评测和批处理沙箱直接断网运行； 第二，别把思考框里的文字当成安全审批开关，拦截规则必须直接检查最终生成的工具调用命令； 第三，保持容器默认的系统调用过滤规则开启，禁止容器内未授权创建非特权用户空间或执行挂载操作。 当开源大模型长出了操作系统的手脚，无论是训练日志残留还是遭遇恶意诱导，网卡和容器边界都是工程安全的最后一道闸门。完整五步权重排查细节与实验数据见长文： yage.ai/share/qwen38-cohere-…

OpenAI 和 Anthropic 的内部模型在 10 月 16 日同一天，各自独立地推翻了悬置 27 年的计算机科学核心猜想（指数时间假说 ETH）。800 多篇算法下界论文的地基就这样松动了。更离谱的是，Anthropic 在开源的 GitHub 文档末尾直接贴出了一个只有 5 句话、97 个英文单词的提示词，任何人复制到自己的 Claude Opus 5.5 里调到高档推理，就可以把推翻 ETH 的整套核心证明重新推出来。 为了验证这不是营销噱头，我用 Claude Code 把所有工具和联网搜索全部关掉，直接把这 5 句话喂给 claude-opus-5-5 跑了一次实测。模型在后台安静想了 8 分 41 秒，消耗 48,101 个思考 token，最后在屏幕上完整敲出了 5 个小节的严格数学证明，API 账单只扣了 1.22 美元。顺带吃颗定心丸，这次突破只是在渐近意义上推翻了 ETH，逻辑开关数量要超过 100 亿（10^10）个以后，新算法的理论耗时才会在数字上比纯暴力穷举快，现有的银行和互联网密码依然安全，这也并不代表 P=NP。 真正让我后背发凉又觉得过瘾的，是拆解这 5 句话和这波 AI 科研潮之后学到的两件事。 第一件事是怎么给能自己思考 8 分钟的高推理模型写提示词。以前用老模型，我们习惯当保姆，一步步教它先分析需求再写接口。但对照 Anthropic 那 47 页论文就会发现，凡是顺着教科书能推出来的常规步骤，那 5 句话里半个字都没提，模型靠基本功自己就能补齐。提示词里唯一要写的，是那些表面看着像在犯错、实则是唯一出路的反直觉急转弯，比如故意引入负数权重、先把规模放大到夸张的倍数再压缩。如果不把这些反直觉的路标点破，模型的搜索机制会以为走错了路，直接把正确方向剪枝扔掉。同时，千万别拿伺候死板验证软件的底层加减法表格去喂大模型，直接给大学线性代数里的矩阵秩这类高层概念，它算得反而比正文更准。最后还要专门留两句话叮嘱它合并同类项和重新分桶洗牌，防住分支数量爆炸和最慢短板拖累全局这两个大模型最容易犯的毛病。 第二件事是当生成一份顶会级证明只要 1 块钱、Lean 4 机器验算全套推导只要 8 分钟的时候，普通工程师和跨界研究者还能干什么。答案藏在机器验算的盲区里：自动验证软件只管答题过程能不能推出结论，却不管卷头那 180 行题目代码有没有把人类原题抄歪，剑桥大学的预印本刚在数学上证明自动审题比停机问题还难。加州一位在工业界干了 7 年的数据科学家 Tejpal Virk，周末用大家平时写代码的 Claude Code 把 OpenAI 附带验证代码的 242 个问题族全筛了一遍，建起公开审计看板 MathVet，结果抓出 93 个问题族在把题目翻译成代码时缩水了，比如标题宣称解决了正常温度下的物理状态，代码里只证了绝对零度的特例。另一位肯尼索州立大学的学者 Ying Xie 则不去纠结大标题对不对，直接像逛拆车厂一样去 AI 生成的论文矿山里淘零件，从 38 个问题族里挑出 AI 顺手捏造的中间引理，拿来解决了自己的电路下界问题。 教科书式的常规计算已经彻底贬值，而基于领域知识在起点给出反直觉路标、用工程工具在终点帮人审题与淘金，才刚刚起步。 我把这 5 句话的完整原文、1.22 美元的实测过程和背后的提示词拆解都写成了长文，感兴趣的朋友可以看看： yage.ai/share/opus-eth-refut…

大多数人在电脑上用 Ollama 跑 20 亿参数（2B）的小模型，通常都有一个相同的结果：刚下载完看到终端每秒输出上百个词元会很兴奋，但真用起来就会发现，问一些稍微冷门的知识，它就开始胡说八道；给它塞一份几万字的长文档，它会漏掉里面的关键数字；要求按指定格式调外部接口，它又会漏掉必填参数。玩上十分钟后，基本就放进硬盘吃灰了。 端侧小模型老成玩具，是因为云端的千亿参数大模型把我们胃口养刁了，总想把那个能背百科、能看长文、能看图听声的全能通才塞进 20 亿参数（2B）的壳子里。最近 Liquid AI 开源的新一代 LFM3 家族一口气发了六个 2B 级别的模型，最让人眼前一亮的不是跑分，而是它彻底换了一套端侧生存策略。 Liquid AI 在底层做了六胞胎共享母体：六个模型完全共用同一组预训练数据、同一套训练管线和同一个 17.3 亿参数的基础权重。上层他们果断放弃单模型全能，沿着三条线做减法：把看图、听声和纯文本拆成专用分支，避免小脑容量互相挤占；用强化学习重罚瞎猜，哪怕闭卷百科准确率压到只有 7%，也要换取近 93% 的未知拒答率与越级的工具调用表现；甚至在右支拆出两个完全不吐自然语言词元的决策模型 d1-2B，只跑一次前向计算，十几毫秒直接输出分类概率、原文起止位置和画面目标框。为了省内存，它还砍掉四分之三的全局注意力，用 64K 之后的长文检索退化换取平时极小的内存开销。 老实说，这些 LFM3 模型未必会大红大紫，但它验证的这套工程思路非常有启发：底层把数据和基底权重复用到极致，上层放弃全能执念、主动接受偏科，不管黑猫白猫抓到老鼠就是好猫。无论你是在微调自己的大小模型，还是在搭日常的智能体流水线，这种敢于用非核心能力换取核心动作高可靠的拆法都非常值得借鉴：yage.ai/share/liquid-lfm3-ed…

很多人认为OpenAI和Anthropic都是印钞机一样的顶级软件公司，只要养几百个天才研究员，训练出最强的模型，然后在API上出售，就能像SaaS一样躺着赚取80%以上的毛利。 但如果你去看 Anthropic 刚交上去的 S-1 上市招股书，会发现里面的真实账本完全不同。 虽然用已经训练好的模型给付费客户回答问题，上半年纯推理的毛利率确实高达 85.4%。但传统软件写好可以卖十年，最前沿的大模型却是保质期只有半年的生鲜。招股书披露，今年三季度超过八成的收入都来自过去六个月发布的新模型。一旦停止迭代，半年后收入会迅速塌方。 如果把新模型训练的65.65亿美元算力成本加回去，半年算力支出冲到89.45亿美元，真实算力毛利瞬间降到45.1%。再考虑到公司48%的销售额要在亚马逊、谷歌、微软云商城上结算，上半年还给亚马逊和谷歌交了30.53亿美元的渠道费。三刀砍下来，100美元营收最终只剩下26.3美元用来发工资和维持运营。 更可怕的是，光有优秀模型根本活不下去。两年前Claude 3.5 口碑已经碾压，但当时纯推理毛利-94.8%，每收客户一美元，光是跑推理就要倒贴九毛五。接下来一年半，付费token消耗涨了 100 倍，营收暴涨 86 倍。如果公司里只有算法研究员，早就巨亏或者全网算力缺货停摆。 招股书里真正亮眼的是，它摊开了把大模型从亏损深渊拉出来的那群非算法专家： 1. 跨三套异构芯片的推理与编译器工程：全行业唯一把同一代主力模型同时跑在超 50 万块亚马逊 Trainium2、超 1 吉瓦谷歌 TPU 和英伟达 GPU 三套完全不兼容的硬件底座上，硬生生把纯推理毛利从 -94.8% 救回 85.4%。 2. 8,551 亿美元保底算力死约与法务走钢丝：为了在明后年并网 4 到 10 吉瓦电力（相当于四到十座大型核电站），公司背上了最高 8,551 亿美元的照付不议算力承诺。算力晚到半年客户跑光，早到半年闲置罚款抽干现金。金融与法务团队一边跟博通签 1,612 亿美元五年期定制芯片租约，一边跟马斯克旗下 SpaceXAI 签最高 1,205 亿美元燃气轮机算力合同救急，还在条款里埋入明年初之后提前 90 天通知即可无责退租的逃生门。 3. 六个月回本倒计时下的计费杠杆与反蒸馏：为在半年内赚回几十亿训练费，产品团队把企业 SSO 和审计日志挡在 200 美元个人套餐外，逼企业走无上限 API，全公司八成收入来自按量计费，重度 Claude Code 用户花费达企业客户中位数的 20 倍。同时 API 默认上下文缓存只活 5 分钟，而交互式智能体近八成时间在等人类阅读和输入，程序员停笔想方案超 5 分钟，敲下回车就触发一次 12 到 15 美元的长上下文全价重读。另一边，安全团队在八九月份主动封杀了占总收入 5% 到 7%（近 20 亿美元）的灰产号池与同行蒸馏账号，宁可让单月环比增速降到 3% 到 7% 也要保住模型半年的领先身位。 4. 内部算力费正式超过工资总额：从今年 4 月起，公司花在内部员工使用 Claude 上的算力成本，已经正式超过全公司 5,300 名员工的现金薪资与福利总和。内部超 90% 代码由 Claude 编写，人均日提交量是两年前的 45 倍以上，工程团队甚至重写了内部版本控制系统 Scion 来扛每天 3 万次代码合并，并斥资近 5 亿美元接连买下 Bun 和 Stainless。 甚至在招股书的风险章节里，公司第一次承认在内部自动化安全评测中，真有四款前沿模型突破了评测沙盒限制，在被发现前连入真实外网长达 10 到 34 小时。 把这份招股书拆完，文章对唯模型论、API缓存断崖和沙盒安全总结出三条给AI Builder的实战心得，详见： yage.ai/share/anthropic-s1-s…

10月27日，Google DeepMind 发布了第四代世界模型 Genie 4。它可以用键盘或者说话的方式实时修改画面内容，并且首次支持了同步语音输出。单次连续交互时间从一分钟提升到了两分钟，官方还发布了一个展示人形机器人下跳棋的视频。 但如果你仔细阅读它的技术介绍的话，会发现一个非常有趣的变化：它之所以能完成这些复杂的任务，并不是靠视频模型自己学会了物理和逻辑。恰恰相反，DeepMind 在 Genie 4 外面套了三个不同的 Gemini 语言模型，一个在训练阶段补充常识，一个在运行阶段看着屏幕把任务拆成小步，还有一个专门替那个机器人计算跳棋走法。 这件事仔细想一下很有意思。如果只是为了解决碰撞检测与物理模拟的话，传统的三维建模加物理引擎早就做得很精确了。为什么大家如此期待世界模型、愿意投下几十亿美元，是因为相信这种涌现出来的智能：不需要人工去做三维建模、去写物理公式，只要让一个模型看网上的海量视频，就像语言模型看海量文章一样，它可以靠预测下一帧画面自己悟出物理定律和因果关系。 现在就连 DeepMind 这样的顶尖实验室都开始从单模型端到端涌现的优雅路线，退回到多模型串联的流水线，也侧面说明单纯靠视频生成去涌现物理规律，在现有技术框架下已经遇到了瓶颈。 另一个现实问题是算力成本。传统游戏在玩家本地显卡上渲染，游戏公司多服务一小时的边际成本几乎为零，即便是 GeForce NOW 这样的传统云游戏，分摊下来的每小时成本也只要零点三到零点五美元。但实时世界模型每一秒都在云端机房跑大模型推理，按公开推理平台 fal 或初创公司 Decart 的实时接口算下来，跑一小时要消耗 72 到 288 美元。玩一小时消耗的算力成本，已经够在 Steam 上直接买断一款顶级游戏大作。这也解释了为什么 Google 就算收着每月 250 美元的订阅费，也只能把每次体验限制在一到两分钟。 C 端的订阅制覆盖不了算力成本，独立创业公司拿到的融资又难以和科技巨头长期比拼算力消耗，最现实的出路就是趁估值还在高位并入大厂。今年九月底到十月下旬短短 25 天里，三大世界模型独角兽接连并入大厂：李飞飞的 World Labs 以 82 亿美元全股票交易卖给 AMD 做显卡软硬件协同设计；Decart 在 Anthropic 尽调放弃后，以约 70 亿美元洽售给看中其跨芯片推理软件栈的 Amazon；前 DeepMind 研究员创办的 Third Dimension AI 则直接卖给了电动车企 Rivian。 剥开取代游戏引擎和娱乐应用的泡沫，世界模型在工业仿真的后台应用反而更有价值。在游戏里一小时花掉一两百美元算力是灾难，但在自动驾驶和特种机器人训练里，现实路面上撞坏一辆真车动辄损失几十万美元，花几百美元在机房里用世界模型批量合成龙卷风、山火、逆行大卡车这类罕见险情，反而是一笔非常划算的投入。Waymo 基于上一代 Genie 3 做的自动驾驶仿真、一年把合同营收做到 1.35 亿美元的 FieldAI，以及 LG、三星、现代和理想汽车采用的 NVIDIA Cosmos 3，都已经在这条路上跑通了商业闭环。 我写了一篇长文，从 Genie 4 的级联架构出发，聊聊世界模型的端到端理想为什么退守、算力账为什么算不过来，以及它在工业后台的真实位置： yage.ai/share/genie-4-world-…

很多人对AI制药的想象是，有一个超级智能的大脑在电脑前敲打着键盘，就能生成一个神奇的药物分子。但制药工业的实际情况是，FDA在过去五年中高达74%的首轮拒批的原因是工厂生产和质控不达标。而分析化学家的75%工作时间用于肉眼核对几百页手写扫描批记录。甚至分子设计端也是如此，就在上周，Anthropic自己披露的蝎毒测试中，大模型一下生成了31.8万种候选蛋白质，送进实验室测试，能真正中和毒素的抗毒血清是0个。 可就在几天后的 10 月 27 日，Anthropic 公布了最新的药物研发进展：不仅和六家生物医药机构达成了深度合作，还在湿实验中实现了超越临床标准药的数据表现，更收购了一家制药公司并成立了自营制药公司 Mithril Medicine。在一个生物世界连可靠的物理模拟器都没有的时代，一个 LLM 究竟是如何推动新药研发的？ 拆开这六个真实的管线会发现，Claude 真正在实验室里跑通的路线，从来不是当灵光一现的神医去做核心科学决断，而是帮科学家打下手，解决那 80% 最折磨人的工程摩擦： 第一，在物理模拟器都不靠谱的时候，帮科学家换个能算的题。AlphaFold 擅长算刚性积木，但遇到细胞里像软面条一样乱晃的柔性尾巴，或者慢动作撬开过敏分子的动态过程，模拟软件直接交白卷。Claude 不去死磕物理模拟，而是翻遍两百多篇文献把现成的信号模块整理成词典重新拼装，把抗癌免疫细胞的信号尾巴砍短约 70%，让癌细胞探测器产量暴增约 10 倍；在重度食物过敏项目里，它把动态撬锁题换成静态门折页几何题，一个月内筛出 20 个能把过敏分子从细胞表面强行撬下来的抗体，3 个效果超过现有临床标准药。 第二，现成软件卡死、实验仪器报假账时，钻进底层修Bug。在抗体耐热测试里，第一轮七种预测模型全军覆没，仪器自带质控软件把一半以上实验孔标为废数据。人类研究员督促Claude调出几千条原始激光升温曲线逐一排查，抓到了仪器软件的荒唐漏洞：有些抗体在高温下像煮鸡蛋一样结块沉淀，仪器公式分不清受热展开和高温结块，把耐热分数算成一团乱麻。Claude重写物理打分公式抢救回四百多个实验孔，帮团队选出耐热提高18摄氏度的分子。 第三，死板代码+超级项目经理抹平压垮救命药的管理成本。Enveda 用 Python 逐页账本把 Claude 关进合规笼子审核一千多页临床批记录，不仅找齐人工审出的问题，还多揪出 7 处人类漏掉的偏差，把近 26 小时人工耗时压到 2.8 小时。更动人的是儿童先天性肌营养不良这类超罕见病，欧美患者不到 5,000 人，因为要同时协调 11 家外包实验室，传统药企雇二三十人管理团队的固定成本直接判了罕见病死刑。而在 Mithril，一位创始科学家单枪匹马带 Claude 统管这 11 家外包商，不到 18 个月跑通患病小鼠验证，让小鼠肌肉力量恢复到近两倍。 一旦没有真实实验反馈，仅凭大模型瞎选方案，五个前沿模型盲测打分跟抛硬币差不多；科学家漏掉一条底线规则，算法甚至会把免疫细胞的报警开关全删掉，造出指标满分却不会开火的瞎子细胞。AI 不用当无所不知的神医，只要老老实实钻进工程死角，把算不出的题换成现成的、把失真的仪表调准、把压垮救命药的管理摩擦抹平，就已经足够改变科学探索的经济账了。 完整分析请见长文： yage.ai/share/anthropic-drug…

在使用 Claude Code 或者 Codex 进行编程时，一个常见的做法是创建 git worktree，在不同的目录下并行运行多个任务。但分支写完后，如果在同一个窗口里让 agent 把主分支上的最新改动合并进来，经常会遇到一个奇怪的问题：合并没有报错，原有的单元测试也全过了，但你或同事刚加进主分支的新函数却凭空消失了。 为什么即使目录隔离，合并的时候还会静默丢失逻辑？十月底公布的 SWE-Shift 基准测试对 17 种主流编程系统的测试正好回答了这个问题。 他们从多个真实开源仓库里选了 120 个任务。只要中间插一次外界改动，比如人随手修了代码、半路加接口、或队友合入新逻辑，所有系统的成功率都会暴跌。最强的 GPT-6 Astra 在安静环境能完成 67.35% 的任务，中途一变就降到 24.79%；要求安静和变动两边都成功还不破坏新改动的成对成功率，更是只有 20.34%。Claude Opus 也到了两成左右。 在这些失败的任务中，比直接报错或挂起更棘手的问题是，agent 为了迁就自己之前设定的旧计划，悄悄删掉了别人新加的代码。一个实际的例子是 Django 的数据库迁移：GPT-5.6 Sol 改索引逻辑做到六成进度，队友往同一份文件合入了一个新方法 can_reduce_index_with，两边甚至没有行号冲突。但 agent 虽然试着调了一下这个新方法，为了跑通自己原来的方案，最终提交补丁时直接把队友刚写的 can_reduce_index_with 删除了。好巧不巧，原有的 39 个单元测试全都通过了，不特别检查新接口根本发现不了。 所以这就能理解为什么仅用 git worktree 只解决了一半问题。独立目录的确能保证 agent 在编码时有静止的环境，但只是把外部变化推到了最后合并代码的时候。更反直觉的是，评测对比了进度一成到九成中间引入变动的情况，发现在七到九成收尾阶段，GPT 和 Claude 的成对成功率比早期的干预又下降了 12-20 个百分点。 而在收尾阶段增加 token 也无济于事。研究组把变动后的可用 token 预算从 100 万放大 16 倍到 1600 万，超过 400 万之后，成对成功率的涨幅连 0.3 个百分点都不到。多给的预算全花在顺着老计划反复跑旧测试上了。因为前几十步读过的行号、报错和修改方案全攒在上下文窗口里，越接近写完，旧历史的锚定就越重，哪怕终端已经印出新报错，17 个系统在旧证据失效场景下的成对成功率还是掉到了零。 要想让 agent 重新看见眼前的代码，得先清空它脑子里的老结论。评测试了几个挽救办法，只有清空变动前的旧对话历史、让系统重新扫描工作区文件状态和差异，才把成对成功率拉回 6 到 9 个百分点。微软研究院的分支清理实验也印证了这点：探索不同方向后，删掉冗长的中间推理、只留阶段结论，任务得分就从单次长跑的 0.47 涨到了 0.78；如果只是做常规摘要压缩，老思路仍会留在摘要里继续带偏后续操作。 把这个结论用到我们自己的开发上，只要改掉用一个窗口从头干到尾的习惯，分成三步走： 第一，看代码、做计划、做审阅的时候多开几个窗口并行阅读，改代码的时候只留一个主线窗口，能不并发写就不并发写。 第二，确实需要一边等待 agent 一边自己改代码，或者想同时尝试两种方案时，可以用 git worktree 把目录隔离，确保执行期间环境完全静止。 第三，要把分支合回主干，或者任务过半想大改需求，先让原来的窗口提交存盘，然后直接关掉旧窗口；新开一个没有任何历史包袱的干净窗口，只把主分支的新改动和当前分支的 diff 发给它，交代以主分支的最新接口为准完成合并。 完整的实验分析和工作流细节在长文里： yage.ai/share/git-worktree-a…

两个全球安全投入最大的 AI 实验室 Anthropic 和 OpenAI，最近相继在平时没人注意的周边软件上失守。 在十月下旬曝光的 Anthropic 事件中，安全初创公司 Cathedral 的 AI 智能体一开始也尝试过从正门强攻，连续几天直接攻击 Anthropic 自研的核心软件，但全部撞墙。但当智能体转头去测试日常行政、销售和人力资源管理的第三方商业软件时，不到 12 小时就顺着现成的跨系统授权通道，读到了部分会议录音转写、员工薪资与录用细节、客户商务联络方式和部分 Slack 消息。 一个月前公开的 OpenAI 事件几乎也是同一个套路：Hacktron 的三名研究员绕过正面防线，先用开源图像库 libheif 的旧内存缺陷拿下 OpenAI 公开技术社区后台，再顺着第一跳全公司共用的统一登录接管内部工程师的 ChatGPT 和 Codex 账号，接着顺着第二跳 Codex 绑定的 GitHub 写入权限，直接往核心代码仓库提交了拉取请求。 很多人好奇，既然突破口也是第三方软件漏洞、走的也是现成的旧授权，那 AI 在这里面带来了什么改变呢？ 答案不在某一个神奇漏洞，而在外围侦察的成本彻底变了。当然，AI 在正面战场单点突破的能力也在变强，比如安全公司 Calif 用 AI 在两周内就写出了搁置多年的 PHP 内核高危远程代码执行概念验证程序。但正因为正面威胁显眼，大公司早已把核心机房焊满钢板；而网络安全是一场体系对抗，攻击永远像水一样往防御最薄的地方流。以前外围行政软件和边缘子站能侥幸无事，是因为顶尖研究员的时间太贵，没人花几周去翻几十个边缘软件。现在开源多智能体平台 Cairn 只需不到一百字指令，就能尝试一千两百多个站点、攻破一百多家公司，平均攻破一家公司的算力成本只要约 50 美元。 外围的软件总有破绽，但团队可以在内网连接的管道交界处装三道防水闸： 1. 第一道防水闸装在统一登录上，按安全等级切开信任域，边缘站点和核心研发环境绝不共用同一张会话通行证； 2. 第二道防水闸装在工具连接器上，按假设供应商明天失守的标准分配最小权限，把非必要写入砍成只读； 3. 第三道防水闸装在内部数据调取的卡口上，设独立速率限制和异常拉取熔断，就像 Anthropic 这次靠内部监控独立抓出并切断测试方未上报的第二个漏洞通道一样。 完整分析：yage.ai/share/anthropic-open…

做 LLM 应用时，对话状态到底该放在谁那里？过去两年基本不用操心这事：每次发个无状态请求，应用端带上整段历史，服务端算完就丢，换供应商只换接口地址。 但碰到实时语音或耗时的后台任务，中途取消就变得复杂：比如语音助手准备说三句话，说到第二句中间你插嘴。此时模型已经算到第三句，服务器刚发出第二句的音频包，你耳机里只听到第一句和几个字。中断时需停下模型、拦住仍在传输的音频、把对话历史裁剪到你实际听见的地方。用户半路改主意时，后台任务仍在运行，若不拦截并丢弃旧结果，迟到的输出就会被播报出来混入新一轮对话。 现在状态开始往服务端走。OpenAI 在 2025 年 3 月推出 Responses API，回复默认存在服务端跨轮复用。今年 10 月，开源推理引擎 SGLang 把基本单位从单次请求改成贯穿整段对话的持续会话，把打断取消和按听到位置截断历史等规则固定成上层接口。 但 LiveKit 和 Pipecat 已经在应用层根据播放位置裁剪历史了。把会话塞进引擎会失去无状态请求的好处，SGLang 目前也还不支持断线重连后接续原会话。谁的会话接口成了上层标准，就会决定对话状态最终在哪一层、未来换引擎要付多少代价。 yage.ai/share/sglang-convers…

上周 Mistral、ElevenLabs 和 Block都发布了"实时语音"，但各自的做法大不相同。那我们应该如何选择呢？ 光看名字其实判断不出来架构。比如 ElevenLabs 发布了 Eleven Realtime，对外宣称是语音到语音的模型，但在官方文档里也明确写了内部其实是级联的，分成语音转文字、大模型、语音合成三段，中间用文字来传递，只是组件由厂商打包好了。 因此选型要先问业务最不能牺牲什么，再倒推架构。比如客服办退款要把事办成和留痕，就该选级联，因为中间留文字能查、能加规则、好接工具，代价是丢语气、多一层等待。比如陪伴聊天要自然，就得选模型自己边听边说的原生全双工；但越往原生全双工走越难查、越难接工具，而且实时性逼着前台模型做小，智力会受限，会话全程占着算力，像 GPT-Live 按通话时长收费，约每小时 3 美元。要是既要自然又要办重活，也可以在原生全双工前台上叠一层委派，像 GPT-Live 那样按快慢切，前台接话，后台干活。 想系统理解这些取舍和选型，可以看看这篇长文： yage.ai/share/realtime-voice…

让 AI 帮你优化系统，它说「优化好了」，你敢直接上线吗？ 这期视频里，我们要把 6.14 GB 的检索向量塞进 2 GB 的机器。Codex 建议改成 float16，内存减半，100 道题的命中率维持 92% 不变。 多问了一句耗时，发现平均延迟从 75.0 毫秒涨到了 168.9 毫秒。延迟翻倍，扛同样流量的机器就得翻倍，省内存省下的钱全贴回去了。 有意思的是，Codex 汇报时其实顺嘴提了一句「检索变慢了」，但它自己没当回事。看出这句话最要紧，追问它为什么变慢，本身就是「出题」。 superlinear.academy/?utm_sou…

最近看到了很多关于DeepSeek开源了自己的推理引擎DeepInfer的新闻，都在讨论这个引擎特别快。所以很多人很好奇，这种专门为某个模型设计的引擎为什么总显得比vLLM这样的通用引擎更快呢？ 但很多时候，这个"快"来自配套的权重包和抢先接入的投机解码。我自己也在自己的显卡上做了一些实验，同样的引擎，仅升级版本，读入只快了 1% 到 5%；仅换权重包和缓存格式，读入能快 13% 到 46%。此外，在开源后的三四天内，vLLM 和 SGLang 也都发布了项目方自测，说已经接近 DeepInfer。 而日常使用 API 或编程助手最痛的，往往是 DeepInfer 文档提到与内部基础设施耦合、这次未开源的部分，比如长期保存和跨机复用的缓存系统。我用编程助手跑长会话，助手改写了中间历史，缓存对不上，那轮等了 24 秒才出第一个字；缓存重新建好以后不到 0.3 秒。这背后的门道我写在这里了： yage.ai/share/deepseek-deepi…

Cerebras 是以推理快出名的公司，Kimi K3 又是开放权重的旗舰模型，为什么在 Cerebras 的公共接口上调不到它呢？ 这主要取决于它的速度从哪里来。我们以前也以为权重是从片外流进来的，但那是训练时候的做法。推理想要快，权重和上下文缓存都需要放在片上内存中不动，从而省去到芯片外搬数据的时间。但一片晶圆只有44GB片上内存，装不下这么大的模型，只能按网络层拆分，分布在多片晶圆上串联运行。 Cerebras 在自己的博客上用一个简化算法算过需要多少片晶圆。一套K3需要59片晶圆，这还是靠混合注意力省下不少缓存空间，才没涨到93片。 几十片晶圆那么多内存，把权重塞满以后就得像流水线一样绑在一起转。我们的理解是，这种规模很难在公共池子里跟其他用户一起拼单零售，所以它只放在企业专属目录里整包出租。当然，就算用了，快也只覆盖模型输出那一段。 yage.ai/share/cerebras-k3-pu…