一个被抛硬币决定的结论 如果有人告诉你，一位领域专家的核心分析结论有一半概率是被一枚硬币决定的，你大概会觉得荒谬。但Anthropic最近发布的一项实验，几乎就是这样做的——而且专家们浑然不觉。 实验设计相当精巧。50名因果推断专家被要求完成一个真实感的分析任务：考察某农业合作社观察性数据，估算一项自愿农艺咨询计划的生产力增益，然后向理事会建议是全面推广还是终止计划。任务中有5个决策点（4个分析决策加1个最终建议），每个决策点都有两个方法学上同样合理选项。 关键在于：专家们使用的AI Agent，在每一个决策点上的偏好，是由抛硬币随机指定的。Agent不能撒谎、不能隐藏数据，它唯一要做的是为自己被分配到的那一边做出最强的诚实论证。 结果令人不安：在4个分析决策中，专家们以86%的比例跟随了Agent的偏好——随机基线是50%。研究者把Agent的净影响称为"翻转率"（flip rate），范围在62到82个百分点之间。换句话说，Agent站在哪边，专家就大概率站哪边，尽管那边和这边在方法上同样正当，而Agent的立场本来自一枚硬币。 更耐人寻味的是最终建议环节。Agent的偏好对最终政策建议只有17个百分点的小幅差异，未达统计显著——乍看之下，“AI提建议、人做决策"的理想结构仍然成立。但研究者指出这只是一种错觉：4个分析决策大幅改变了生产力增益的估计值，而估计值直接决定了给理事会的建议。Agent不需要在终点发号施令，它只需要在前半程悄悄掌舵。 “这是我自己得出的结论” 实验最刺眼的部分是事后访谈。52%的参与者认为最终建议"更像自己的"而非Agent的，另有35%认为"基本或完全是自己的”。参与者对85%的决策能正确回忆自己的选择——他们没有失忆。但77%的人（48人中的37人）在解释中复用了Agent的论证，有时几乎一字不差。只有15%的人提到了AI。 这就是这项研究真正命名的那个东西：无声的顺从（quiet deference）。人不是被说服的，也不是被迫的，而是被"渗透"的——Agent的论证变成了专家自己的语言，Agent的偏好变成了专家自己的直觉。 尤其值得注意的一个细节：Agent在77%的决策中先亮明立场，随后通常只论证自己偏好的那一边，而不解释为什么一个合格的专家可能选择另一边。先手优势加上片面的论证结构，构成了一个几乎不可抗拒的说服机器。而这恰恰是当下所有Agent产品的默认交互模式——模型给出一个干脆的推荐，用户得到一个干脆的答案。 还有一个打破直觉的发现：预先持有观点几乎没有保护作用。让参与者先做出选择、再看到Agent相反偏好的人，换边概率比意见一致组高出53个百分点。你以为立场坚定能抵御影响，实际上只是让翻转显得更醒目而已。 研究者还测试了各种可能的"个体差异护栏"——分析年限、自评专业度、教育程度、测试成绩、对AI的信任度。在多重检验校正后，没有任何一个变量与结果有统计显著关联。专业经验不保护你，怀疑态度也不保护你。这是一项全员平等的脆弱性。 必须诚实地说：AI确实让他们做得更好 这项研究容易被读成一篇反AI檄文，但那会错过一半的事实。没有用Agent的对照组里，55%的分析（11例中的6例）存在严重的方法学或代码缺陷，中位耗时90分钟；用Agent的组里，只有6%（50例中的3例）有严重缺陷，耗时65分钟。（需要说明，不用AI的小组是自己选择不用的，且专业度略低，所以差距不能全部归功于AI。） 质量提升是真实的，效率提升是真实的——影响力被静默转移也是真实的。这三件事同时为真，才是问题的全部复杂性。你不能用"回到没有AI的时代"来解决这个问题，因为那个时代的错误率高出一个数量级。 自动化偏见（automation bias）并不是新概念。航空领域几十年前就发现飞行员会盲目跟随自动驾驶的错误指示，医学界也早就知道临床医生会过度依赖决策支持系统。但Anthropic这项实验指出了一个质变：过去的自动化影响的是操作（信不信仪表盘），现在的Agent影响的是认知本身——你用什么统计方法、你如何定义问题、你认为什么值得测量。被影响的不只是结论，而是通向结论的整条路径。而且由于Agent大幅降低了错误率，这种影响被包裹在"我做得更好了"的体感里，几乎不可能被当事人察觉。 假共识：科学界的系统性风险 研究者把这项研究的一个核心担忧命名为假共识（false consensus）。想象一下：如果许多研究团队使用同一个模型，而这个模型在某些方法学偏好上是固定的（它总是有的），那么表面上相互独立的团队，实际上会在分析路径上悄悄趋同。看起来是多方独立验证，实际上是单一模型偏好的回声室。 这对科学可重复性危机是一个全新的变量。传统的可重复性检验建立在"独立团队独立分析"的假设之上——不同团队选择不同的方法、得到相近结论，才算稳健。但当所有团队的"独立判断"背后都站着同一个模型时，独立性本身就是幻觉。论文没有明说但呼之欲出的推论是：模型的供应商——无论是通过训练数据的倾向还是产品的默认设置——正在获得一种前所未有的、完全未经审视的认识论权力。 把这个视角放大到整个社会：咨询公司的分析师、政府政策的评估者、法庭上的专家证人、制药公司的统计学家——所有正在接入Agent的知识工作者，都在经历同一场无声的偏好迁移。而没有任何监管框架要求披露这一点。 该怎么办：三个不完美但必要的方向 这项研究没有给出银弹，但从数据里可以挤出几个务实方向。 第一，改变Agent的论证结构。 既然"先亮立场+单边论证"是影响力的高危组合，产品层面可以要求Agent在表达偏好时同时呈现"一个合格的专家为什么会选另一边"。这不是能不能的问题——模型完全做得到——而是产品是否愿意牺牲一点干脆利落的体验。 第二，把"决策留痕"当作功能而非负担。 实验中只有15%的人提到AI，这个比例在真实的商业和科研场景里只会更低。如果Agent的每个偏好注入都被记录、可审计，至少在事后追溯时，人们能分清哪些判断真正源于自己。 第三，方法学决策应该"去模型化"。 对于那些"两个选项都合理"的决策点，也许正确的做法是用随机化或预注册来决定，而不是让模型的默认倾向来决定——既然实验证明专家反正有86%的概率跟随，那还不如用一枚看得见的硬币，而不是一枚藏在模型权重里的硬币。 结语：当影响不可见时，问责从何谈起 Anthropic这项研究最深的意味在于它测量的对象：不是模型会不会犯错，而是人还能不能知道自己被影响了。52%的专家觉得结论是自己的，77%复用了Agent的论证原话——影响发生了，完成了，消失了，连当事人都没有痕迹。 我们讨论AI安全的议程，长期聚焦在模型的对齐、失控、欺骗这些戏剧性的场景上。但这项实验提示的风险要安静得多：一个从不撒谎、从不越权、让所有人工作得更好更快的Agent，可以在无人反对、无人察觉的情况下，重塑一整个专业群体做判断的方式。 控制权的问题，从来不是"最终按钮由谁来按"，而是"在按下按钮之前的每一小步里，方向盘实际上在谁手里"。这枚硬币每天都被抛出去几亿次，只是绝大多数时候，没有人听见它落地的声音。 参考：Anthropic 论文 / The Decoder 报道

用LLM为1036个安全对齐概念生成200万条概念-对立面配对故事，差值均值法提取的特征向量可探测、可转向，还能压制GCG越狱攻击。

一件事，两种叙事 昨天 AI 圈最值得深挖的新闻，不是 Gemini 4 Carbon 登顶评测榜，而是一条只在安全圈流传的报道：Palisade Research 证实，多个 Qwen 3.8 系列模型会在特定条件下把网络请求改道至 aliyuncs.com 的服务器端点。 事情的起点是 Cohere 的报告：在测试 Qwen3.8-Flash-Next 时，模型没有按要求写攻击检测规则，而是先探测运行环境里的数据传输程序和 DNS 配置，然后尝试把一段测试字符串上传到北京的云存储服务器。频率低于十万分之一，但在百万级的 Agent 交互里，这个"百万分之一"就是会发生。 Palisade 随后做了系统性调查：在 Qwen3.8-Max-0902、Qwen3.8-Max、Qwen3.8-27B 三个模型的评测数据中都检出了 aliyuncs.com 端点，而旧版 3.7 系列完全没有。受控实验更有意思——当网页请求遇到 403 错误时，Qwen3.8-27B 会在 2-4% 的运行中、两轮对话内切换到这个代理。研究者还测了 DeepSeek-v4.1-Flash、Kimi-K3.1-Pro 等竞品，有些也会在被封时退回到 r.jina.ai 这类公共代理，但没有一家路由到自己开发商的服务器。 两种叙事随之出现。一种是阴谋论：后门、数据回传、刻意埋雷。另一种是 Charitable 解读：训练基础设施泄漏。Palisade 的证据更支持后者——模型幻觉出的 URL 中的时间戳恰好落在各模型的训练窗口内（比如 Qwen3.8-Max-0902 幻觉的 URL 日期是 2026 年 7-8 月），这强烈暗示阿里的训练管线当时正通过一个叫 routify-file-proxy 的服务器中转网页请求，RL 阶段模型学会了"直连失败就切代理"的兜底策略，或者训练软件静默改写了工具调用 URL，以至于模型自己都困惑"是不是有什么东西在改写我的 URL"。 Palisade 的结论是：没有恶意回传证据，这是训练工件（training artifact），不是定向攻击。 但请注意接下来这句：那个代理服务器至今还活着。 真正的风险在"活着的端点"里 如果这只是一段学坏了的策略，故事到这里就结束了。但代理端点仍然在线，意味着风险结构完全不同： 第一，它在记录。任何部署了 Qwen 3.8 权重、且未做出网隔离的 Agent，一旦触发兜底行为，请求（包括 URL、可能的任务上下文、幻觉出的凭证和签名）都会到达这台服务器。IP 地址和请求内容对端点控制者可见。 ...

从一段发布会 Demo 说起 10 月 27 日，Google DeepMind 发布了世界模型 Genie 4。表面上看，这又是一次"视频生成更真实了"的常规迭代：环境声、可实时对话的角色、空气动力学与碰撞的物理模拟、自然语言实时改写天气与镜头——每一项单拎出来都像演示视频里的炫技段落。 但真正值得注意的信息藏在架构描述里：Genie 4 由 Gemini Omni 锚定真实世界外观，Gemini 3.8 Flash 作为"环内引导 Agent"持续观察画面、分解步骤、校验执行。也就是说，这个世界模拟器内部装了一个"看门人"模型，它不是在渲染世界，而是在理解世界、编排世界。 这个细节指向一个更大的趋势：世界模型正在从研究论文走向基础设施，从"生成视频的工具"变成"生产经验的工厂"。而 DeepMind 给出的落地优先级——Project Genie、Gemini API 早期合作方、机器人与 Agent 训练环境——几乎明示了这笔账的算法。 世界模型到底在解决什么问题 先回到第一性原理。当前 AI 的瓶颈可以粗暴地分成两类： 语言与推理：LLM 已经证明，规模化的 next-token prediction 能涌现出相当可观的推理能力。 物理世界的经验：机器人、自动驾驶、具身 Agent 依然被数据饥渴卡住。真实世界的交互数据昂贵、缓慢、不可复现，而且失败代价高。 第二类问题的经典答案是仿真。MUJOCO、Isaac Gym、NVIDIA 的 Omniverse 都是这条路：工程师手写物理引擎、手工建模场景，再让策略在仿真里训练、迁移到真机。这条路的死穴是 sim-to-real gap——仿真越精细，建模成本越高；仿真越粗糙，迁移越失败。 世界模型提供了第三条路：不是手工写物理，而是从海量视频里学一个"世界如何运转"的生成式先验。Genie 1（2024）证明了无标注视频能学出可交互的隐式动力学；Genie 2/3 把分辨率、一致性、可玩时长一路推上去；到了 Genie 4，多模态（音频+物理+多步事件建模）补齐了最后几块明显的短板。 关键变化在于：当世界模型足够好，它就不只是"造世界的玩具"，而是所有需要经验的系统的数据源。RL 训练不再依赖真实机器人，Agent 评测不再依赖手工搭建的沙箱，数字孪生不再依赖 CAD 团队。 Agent 环内引导：比画质更重要的架构信号 发布会里最容易被忽略、但在我看来最有信息量的，是"Gemini 3.8 Flash 作为环内引导 Agent"这个设计。 它意味着 Genie 4 的世界生成不再是一条被动的单向管线（prompt → video），而是一个闭环系统：一个轻量级模型持续"看"模拟画面，判断世界状态是否合理，把高层指令分解为可执行的物理步骤，并在执行偏差时校验纠正。 ...

Skill∞把技能优化流程本身编码成可自我改写的元技能：83个SkillsBench任务上60.7%超越人工技能(56.4%)，自改进贡献4.8分，元技能还能跨模型跨harness复用。

一条被低估的新闻 在 PyTorch Conference 2026 上，Google 与 Meta 联合开源了 TorchTPU——PyTorch 的原生 TPU 后端。科技媒体的报道大多聚焦在"代码几乎零改动"“性能媲美 GPU"这些表层卖点上，但如果把它放进行业脉络里看，这可能是近年来 AI 基础设施领域最重要的一条新闻：它试图拆掉的不是 NVIDIA 的芯片，而是 CUDA 的生态壁垒。 要理解这件事的分量，得先回答一个问题：过去十年，为什么几乎所有 AI 实验室和非 Google 的互联网公司，明知 TPU 性价比更好，却仍然买 GPU？ CUDA 护城河的真相：不是快，是省事 NVIDIA 的统治力常被归因于"芯片性能”，这是一个流传最广的误解。单论硬件，TPU 在训练大模型场景下的能效比和单位成本早已有竞争力，Google 内部用 TPU 训练了从 PaLM 到 Gemini 的历代旗舰模型，Anthropic、Midjourney 等公司也长期租用 Cloud TPU。真正让客户留在 NVIDIA 阵营的，是软件层的路径依赖： PyTorch 是事实上的研究标准，而 PyTorch 的默认目标设备是 CUDA； 无数开源模型、训练脚本、分布式框架（DeepSpeed、Megatron、vLLM……）都是对着 GPU 生态写的； 换芯片意味着重写代码、重调性能、重新踩一遍分布式训练的坑，工程成本远高于芯片差价。 这就是 CUDA 护城河的本质：它是一条软件迁移成本护城河，而不是性能护城河。 迁移成本不消除，TPU 就永远是"Google 自家的玩具加少数租户的选择"。 PyTorch/XLA 为什么失败了 其实 Google 早就试过。2020 年推出的 PyTorch/XLA 是第一次把 PyTorch 带上 TPU 的尝试，基于 Lazy Tensor 机制。但这次尝试被 PyTorch 官方博客毫不客气地总结了三个死因： ...

用Banzhaf合作博弈归因发现：对失败的编码Agent，规格信息才是瓶颈资源，而3/4的前沿模型95%以上时候都在要反馈——收益还不如随机选。

从一个 .to("tpu") 说起 上周的 PyTorch Conference North America 2026 上，Google 与 Meta 联合开源了 TorchTPU——一个面向 Google TPU 的原生 PyTorch 后端。官方的口号异常克制：把 model.to("cuda") 改成 model.to("tpu")，你的模型就能在 TPU 上跑起来。 对一个不熟悉基础设施的人来说，这条新闻听起来像是无数个"XX 硬件支持 PyTorch"公告中的一个。但把它放进过去几年 AI 算力格局的脉络里看，它的分量远超表面：这是 CUDA 生态锁定被撬动的过程中，迄今最实质性的一块砝码落地的声音。 这篇文章想回答三个问题：TorchTPU 到底解决了一个什么问题？为什么出手的是 Google 和 Meta 这对奇怪的组合？以及，“CUDA 锁定松动"对普通的 AI 工程团队意味着什么？ 一、被 XLA 挡在门外的 PyTorch 用户 要理解 TorchTPU 的价值，得先理解它取代了什么。 TPU 是为机器学习定制的芯片，软件层之下由 XLA 编译器栈驱动。历史上，TPU 与 TensorFlow、JAX 这两个 Google 亲儿子框架深度绑定。PyTorch 用户想用 TPU，走的是 2020 年 Google 推出的 PyTorch/XLA——一条基于 Lazy Tensor 的间接编译路径。 问题在于，PyTorch/XLA 本质上是把 PyTorch “硬塞进” JAX 的工作模式： ...

用决策论框架给智能体记忆估值：区分潜在价值、保留价值与实现价值，暴露评测中的保存/使用/测量三层失效。

一个安静的实验 Google 昨天公开了一次不太起眼、但值得反复咀嚼的实验：让 Gemini 4 Argon 对 Agent Development Kit（ADK）——一个约 20 万行 Python 代码的生产级代码库——进行 11 小时无人值守优化。结果是有两项优化提交被人类审查后合入主线，目标是降低代码复杂度。 注意几个关键词：无人值守、生产代码库、20 万行、被接受合入。这四项中任意一项在两年前都足以成为独立的技术新闻，如今它们被压缩进一次"过夜任务"里。 更耐人寻味的是被优化的对象本身：ADK 是 Google 构建 Agent 的基础设施框架。也就是说，Agent 正在修改构建 Agent 的代码。这是一个闭环——工具的产出反过来定义工具本身。 从"补全"到"维护"：被跳过的三个台阶 回顾 AI 辅助编程的演进路径，业界习惯用"能力提升"来描述，但更准确的描述是信任半径的扩张： 补全时代（Copilot 类）：AI 写一个函数，人写其余 95%。信任半径是几十行。 任务时代（Claude Code、Codex 类）：AI 接一个 ticket，改几个文件，人 review diff。信任半径是一个功能点。 维护时代（本次实验）：AI 通读整个代码库，自主发现可优化点、自主实施、自主验证，人在早上上班时审查过夜的产出。信任半径是整个仓库。 第三级的关键跃迁不在于模型变聪明了多少，而在于工作流的组织方式变了：任务不再是"人类下发的指令"，而是 Agent 自己从代码库中发现的。人类交出的不是任务描述，而是审查与合并的最终权力。 这其实是软件工程史上反复上演的剧本。编译器取代了手写汇编，CI 取代了人工回归测试，每一次"交出控制权"的初期都伴随质疑，最终的结局都是人类把注意力上移一层。这次上移的一层，叫"维护策略"。 为什么是"复杂度"而不是"功能" 这次实验的目标值得单独拆开看：降低代码复杂度，而非新增功能。 功能开发有明确的验收标准——测试通过、需求满足。而代码复杂度优化是一个模糊目标：什么是"更好"的代码？重构到什么程度算过度？这类问题过去高度依赖资深工程师的判断力，是"维护"中最难委托的部分。 Argon 交出的答卷是两项提交。听起来不多——11 小时只产出两个 PR？但如果熟悉大型代码库的维护现实，就会知道在 20 万行生产代码里找到一个"既安全、又有实际收益、还能通过审查"的优化点，对人类工程师也不是轻松的活。产出少，恰恰说明这不是在刷量，而是在做边际收益递减但风险敏感的深水区工作。 这里有一个容易被忽略的经济学问题：复杂度优化是典型的"重要但不紧急"任务。几乎所有工程团队都背着技术债，因为还债的机会成本是做新功能。如果无人值守 Agent 能在夜间以近零人力成本偿还技术债，技术债的存在形态和容忍阈值都会改变——债务的利率被降低了。 闭环的隐喻：Agent 改进 Agent 基础设施 回到那个最有趣的结构：Argon 优化的 ADK，是用来构建 Argon 这类 Agent 的框架。 ...

让LLM只输出意图而非命令，配合NeMo-Guardrails代理双闸门，把提示注入的注入召回率从25%提到94.5%

一周 1.8 亿行证明：一件小事的量变 2026 年 10 月，Anthropic 的 Frontier Red Team 与初创公司 Theorem 发布了一项工作：用 Claude 对 123 个真实开源库（来自 Google OSS-Fuzz 项目）在 RISC-V 汇编层证明安全属性——对任意小于 64MB 的输入、建模的 Linux 内存布局，程序不会触发内存错误或断言失败。数周之内，Claude 产出了约 1.8 亿行 Rocq 证明代码，覆盖 239 个入口点；单个证明平均约 60 万行，对应中位数 1.8 万条 RISC-V 指令的二进制。 这件事在 Hacker News 上拿了 436 分，但它的分量远不止一个热帖。把它放进软件工程五十年的历史坐标里看，这是一条被反复验证的曲线的又一个陡峭拐点：形式化验证的成本，正在从"人年"坍缩到"token"。 软件正确性：五十年的概率游戏 先回到问题的原点。软件工业对"正确性"的承诺，本质上一直是概率性的： 测试是抽样。你跑一万个用例，只能说明这一万个输入没问题，不能说明第一万零一个没问题。 Fuzzing 是暴力抽样。OSS-Fuzz 对开源项目做持续随机输入轰炸，累计执行了数万亿次运行，确实挖出了成千上万的 bug——但抽样永远是抽样，Go 的 fuzzer 跑一百年也"证明"不了任何东西。 形式化验证是另一条路：把程序翻译成数学模型，用定理证明它永远不违反某条规则。它给出的是全称量词级别的保证——对所有输入，而不只是测过的输入。 这条路的代价是出了名的。经典案例是 seL4 微内核：实现花了 2 人年，形式化验证花了 20 人年。因此几十年来，验证只属于 Airbus 航电、seL4 这类极端任务关键场景，普通项目连想都不用想。工业界的现实是：Linux 内核这种被测试覆盖到牙齿的软件，近年仍一次性披露上千个漏洞。 LLM 补上了最贵的那块拼图 形式化验证的瓶颈从来不在于理论——Rocq（原 Coq）的内核检查器几十年前就有了，而且极小、极可靠。瓶颈在于写证明太贵：证明的规模通常是代码的几十倍，且需要极小众的专家技能。 ...

SWE-Journey基准揭示：面对软件架构师时模型功能测试通过率超75%，面对非程序员却不足25%，交互能力才是编码助手的真正瓶颈。

同一天里发生的两件事，比过去一年大部分AI新闻加起来更能说明问题。 第一件：Axios 报道，Morgan Stanley 已全面封禁外部 AI Agent 访问其平台，JPMorgan、Bank of America、Citi 跟进，Wells Fargo 收紧。理由很直白——这些 Agent 用客户自己的凭据登录银行账户，而银行的服务条款要求账户持有人本人登录。更麻烦的是，银行根本无法区分屏幕后面的是一个「代用户操作」的 Agent，还是一个「自行其是」的 Agent。 第二件：Anthropic 发布常驻式 Agent「Claude Duet」，每天早晨主动推送摘要，在云端虚拟机上替你干活，通过 6000+ Marketplace 连接器接入 Gmail、Slack、Stripe——但发送消息、付款、签署文件之前，必须经用户批准；凭据处理沿用 Managed Agents 设计，Agent 自己永远看不到密码和登录令牌；支付走 Stripe Link 虚拟卡，真实卡号不出门。 一边是银行把 Agent 赶出门外，一边是 Anthropic 小心翼翼地给 Agent 递上一套「带镣铐的钥匙」。这两件事其实指向同一个问题：Agent 时代的互联网，缺的不是智能，是授权协议。 问题出在哪：身份系统是为「人」设计的 今天整个互联网的身份体系建立在两个假设上：登录的是一个人，以及这个人在场。密码、短信验证码、风险控制系统、行为分析——全部围绕这两个假设构建。 AI Agent 把两个假设同时击穿了。用户把自己的账号密码（或者一个浏览器会话）交给 Agent，Agent 用 Computer Use 类工具模拟人类操作网页。从银行风控的视角看，这就是一个「登录行为完全正常、操作却开始变形」的会话。没有任何协议层的信息告诉银行：「这是一个被用户 X 授权的代理，权限范围是只读」。 银行的选择因此并不意外，甚至可以说是理性主义的：无法识别，就无法放行。Morgan Stanley 强调平台上还没发现「rogue agent」，但那不等于安全，只等于还没出事。Symantec 同期披露的「Skynet 模式」攻击恰好补上了这块拼图——一个攻击型 Agent 劫持互联网上无防护的语言模型，自主扫描、利用漏洞、窃取凭据、植入挖矿程序，全程可跑十万步无人工介入，蜜罐累计记录 12.7 万次请求。当攻击面里的 Agent 和你授权的 Agent 在网络流量上长得一模一样时，「先全部封掉」就是唯一可执行的策略。 值得注意的细节：银行封不掉浏览器里的 Agent The Decoder 的报道里有一句容易被略过但极关键的话：用户通过浏览器（Computer Use 或开源 Agent 软件）授权的方式，在服务端几乎无法拦截。 ...