一句值得整个行业记住的控诉 8月29日，OpenAI在官方博客宣布：将终止向Cursor提供模型服务，提议的切断日期是2026年11月12日——这是合同允许的最长提前通知期。触发条款是控制权变更（change of control）：SpaceX此前收购了Cursor，OpenAI据此行使解约权，并且不再向Cursor提供未来的新模型。 Cursor联合创始人Michael Truell的回应里有一句话，值得整个行业裱起来： “我们多年来一直信任他们的平台是我们业务的中立基础设施（neutral infrastructure for our business）。” 这句话的潜台词是：我们以为买模型API就像买AWS的S3存储，付钱、调用、拿结果，供应商不关心我是谁、我的股东是谁、我还跟谁做生意。11月12日之后，这个假设死了。不是被理论推翻的，是被一纸合同条款掐死的。 更耐人寻味的是同一天的另一条新闻：旧金山联邦法院裁定，五角大楼将Anthropic列入"供应链风险"黑名单的行为违法，违反第一修正案，属于对Anthropic公开批评政府AI政策的报复。一边是商业公司用合同条款切断竞争对手阵营的模型供应，一边是政府用行政黑名单惩罚不听话的模型厂商——两起事件在同一天发酵，指向同一个事实：模型访问权已经不再是纯粹的商业服务，它是权力。 事件还原：一纸条款的三重逻辑 OpenAI的公告写得相当克制，但拆开看，逻辑链非常清晰。 第一层是先例引用。 OpenAI给出了两个"经验依据"：其一，马斯克收购Twitter后，Twitter违反了与OpenAI的合同——那是一份每年约200万美元的数据授权协议，OpenAI借此获取完整推文流来训练ChatGPT；马斯克2022年12月得知价格后认为太便宜，直接切断了访问。其二，马斯克今年早些时候在宣誓证言中承认，xAI曾蒸馏（distillation）OpenAI的数据来训练自己的模型——这直接违反了OpenAI的服务条款。 第二层是安全叙事。 OpenAI特意提到即将发布的下一代模型Astra——据此前报道，这个模型在网络攻击能力上可能触及OpenAI内部风险评级的最 高档。OpenAI的说法是：“随着AI能力增强，我们有了新的问责层级，必须确保模型按照条款使用。“翻译一下：我卖给你的是潜在的网络武器级模型，而你的新东家有违反条款的前科，所以我不能冒这个险。 第三层是节奏控制。 合同给了OpenAI一个控制权变更后的有限解约窗口，OpenAI选择把解约日推到窗口内的最晚日期（11月12日），同时宣布不向Cursor提供未来模型。这是一个精心设计的组合拳：给开发者留出迁移时间（体面），但把Cursor锁死在旧模型上（致命）。对于一个AI编程工具来说，“永远拿不到下一代模型"本身就是死刑缓期执行。 Cursor方面的回应也值得细读：Truell说OpenAI模型只占Cursor AI流量的约5%，双方仍在谈判寻找解决方案。这个数字本身就是一记回马镖——如果只占5%，说明Cursor早就完成了多模型布局，OpenAI的这一刀更多是象征意义上的；但反过来，恰恰因为只剩5%，OpenAI切起来才没有商业顾虑。断供的代价之低，本身就是这个行业关系结构的一种暴露。 这不是第一次：断供编年史 把时间线拉长，你会发现Cursor事件不是孤立事故，而是一个正在加速的模式。过去四年里，“切断模型访问"这件事在头部厂商之间发生了至少四次： 2022年12月：马斯克切断OpenAI对Twitter数据流的访问，理由是价格太低。数据访问权的第一次武器化。 2025年6月：OpenAI传出收购Windsurf意向后，Anthropic随即切断Windsurf对Claude模型的访问。注意——这是同一个控制权变更逻辑的镜像：你的收购方是我的竞争对手，所以你不能再用我的模型。当时被断供的是OpenAI阵营的公司，OpenAI自己还抗议过。 2025年8月：Anthropic发现OpenAI团队在GPT-5发布前用Claude做内部基准测试，直接吊销了OpenAI的API访问权限。理由是蒸馏风险——与今天OpenAI指控马斯克的罪名一模一样。 2026年3月：Anthropic与五角大楼就Claude军事用途的谈判破裂——Anthropic要求技术不得用于自主武器与大规模监控，五角大楼要求不受限访问。随后Anthropic被列入国防部"供应链风险"名单，直到本月被法院裁定违法。 2026年8月：OpenAI切断Cursor，理由是收购方SpaceX（马斯克旗下）有违约前科。 看出规律了吗？每一次断供，用的都是同一套语法：条款、安全、先例。 控制权变更条款、服务条款里的蒸馏禁令、“无法确保合规使用"的安全关切——工具箱里的东西都是标准化的。变化的只有一件事：从2022年的数据访问权，到2025年的模型访问权，再到2026年政府合同资格，被武器化的资产层级在一路上升。 为什么模型API天然成不了中立基础设施 Truell所说的"中立基础设施幻觉”，问题不在于OpenAI道德水平如何，而在于模型API这门生意与云基础设施在结构上就不是一回事。至少有四个本质区别。 区别一：云卖的是无差别算力，API卖的是对手的竞争力。 AWS不会因为你是一家成功的SaaS公司而停止卖给你EC2——你用算力做出的东西和亚马逊自己做的东西没有直接替代关系。但模型API不同：用GPT做出来的Cursor，正在和用GPT做出来的OpenAI自家编程工具直接竞争。供应商和客户是零和博弈的对手，这种关系下谈"中立”，本身就是幻觉。Anthropic断供Windsurf时用的是同一个逻辑：我不能把弹药卖给正在瞄准我的人。 区别二：ToS管的是"你拿它做什么”，这是行为审查，不是中性服务。 AWS的条款管你存储的数据合不合法，但不会因为你"用S3训练了一个竞品模型"而封号。模型API的条款恰好相反：蒸馏禁令、用途限制、基准测试限制——核心条款全部指向限制你对输出物的使用方式。这本质上是一种能力租赁协议而非服务协议：你租用的是对手的核心资产，对手自然要管你拿它干什么。 区别三：控制权变更条款意味着你的供应链命运取决于别人之间的恩怨。 这次事件最诛心的细节是：Cursor自己什么都没做错。它的"罪"是被马斯克买了。一份基础设施合同里埋着这样的条款——你的客户关系可以被你的股东结构与供应商的私人恩怨终止——这在传统基础设施采购中是不可想象的。没有哪家企业买带宽时会接受"若被某方收购则服务终止"的条款，但在模型API市场，这已经是标准操作（OpenAI和Anthropic的合同里都有）。 区别四：政治化维度已经打开。 五角大楼黑名单事件说明，模型访问权的博弈不仅发生在公司之间，也发生在公司与国家之间。当模型被认定为战略资产（军事用途、网络攻击能力、出口管制清单），“谁能用、在什么条款下用"就不再是一家公司的商业决策，而是地缘政治的延伸。Astra的"最高网络安全风险等级"标签只会加速这个过程——风险等级越高，审查越严，中立空间越小。 把这四条放在一起，结论很冷：模型API在合同结构上更像特许经营权（franchise），而不是基础设施。 供应商保留着随时以"合规"“安全"“控制权变更"为由收回的完整权利，而你基于它构建的业务，估值里始终包含着这个尾部风险。 工程师与架构师该怎么办 骂OpenAI双标是容易的（它抗议过Anthropic断供Windsurf，如今做了同一件事），但对从业者来说，更有价值的是把结论转化为架构决策。三个建议。 第一，把推理层做成可替换设计，不是最佳实践，是生存前提。 今天日报里还有一条技术新闻恰好补全了这块拼图：UC Berkeley与MIT开源的FreeToken系统，用带宽自适应的CPU-GPU协同执行和专家驻留管理，在单张工作站GPU上跑通了753B参数的GLM-5.2，8GB笔记本GPU能服务35B模型。开源权重的部署门槛已经从数据中心降到了消费级硬件。这意味着"供应商断供"的工程对冲手段已经就位：推理层的抽象接口（OpenAI-compatible serving、标准网关）加上可下载的开源权重，构成了一个虽不完美但真实存在的Plan B。Cursor事件之后，“我们支持多模型"应该从产品功能变成架构红线。 第二，重新审计你合同里的控制权变更条款。 这次事件给所有基于模型API创业的公司提了个醒：你的融资、你的并购、你的战略投资人名单，都可能触发你与模型供应商之间的条款。Cursor被断供的触发器不是它的行为，是它的股东名册。未来12个月内，“如果我们被X收购，供应商Y会不会断供"应该出现在每一份尽调清单和董事会讨论里。 第三，评估模型依赖度时要算"有效浓度”。 Cursor的5%数字给了一个参照系：头部编程工具早已完成多模型分散。但要注意，流量占比不等于能力依赖度——如果那5%的流量恰好是最难的任务（长上下文重构、复杂推理），有效浓度远高于名义数字。审计时应该按任务类型分层计算，而不是看总token量。 一个判断：分化已经开始 最后说一个可能不合时宜的判断：Cursor断供不会是这场游戏的终点，而是行业分化的起点。 接下来会发生的事情大概率是：闭源头部模型的访问条款会越收越紧——控制权审查、用途审查、甚至政治审查都会成为标准条款，因为Astra这一代模型的能力等级给了供应商"不得不审"的完美理由；与此同时，开源权重的工程栈（单卡百亿级参数、标准serving框架、端侧部署）会继续快速成熟，不是因为开源阵营技术上领先，而是因为它成了唯一没有断供风险的选项。 Truell说他们曾"信任平台是中立基础设施”。这句话的悲剧性在于：中立从来不是平台的属性，而是权力平衡的产物。 当供应商觉得你的5%无关痛痒，平台就是中立的；当你的股东名册变成问题，中立瞬间蒸发。AWS式的中立用了二十年才建成，那背后是反垄断法规、通用算力的商品化和供应商与客户之间清晰的业务边界。模型API三个条件一个都不满足。 对开发者而言，11月12日不是deadline，是开学日。这堂课的学费，Cursor替整个行业交了——但课后作业，每个把模型API写进生产架构的人，都得自己补。 本文观点基于公开报道，数据截至2026年8月30日。事件仍在发展，OpenAI与Cursor仍在谈判，最终结果可能有变。

蚂蚁集团开源Agent安全护栏框架：NSFA风险分类法+双模式推理，0.8B小模型即可实时拦截Agent运行威胁，F1超Llama Guard 3达30个点。

8月28日，Google DeepMind 在 arXiv 发表论文（2608.26701），宣布多智能体系统 Co-Scientist 从"假设生成器"升级为"实验室集成研究伙伴"：它基于 Gemini 规划实验、编写代码、直接控制高温炉等设备、分析结果、撰写论文，在材料学、生物学、计算机科学三个学科完成了实验验证。 媒体的标题几乎都聚焦在"AI 全自主科研"上。但如果只看到自主性，就错过了这篇论文真正的分量。自主性从来不是科研自动化的瓶颈——诚实才是。 一个会编数据的 AI 研究员，能力越强，破坏力越大。 01 一场自主性阶梯实验 Co-Scientist 的工作流分三个阶段：构思（ideation）、实验（experimentation）、论文生成（paper generation）。DeepMind 有意设计了三级自主性阶梯来验证它： 第一级，材料学（人机协作）。 系统与半自动化高温炉配对，为一种此前主要靠危险刻蚀工艺制备的二维材料找到了更安全的合成路径，并生成了适配实验室设备的完整生长配方。经过 25 轮人工修正，团队得到了性质接近目标的层状结构——但原子结构的最终确认仍未完成。第二个实验里，三种半导体薄膜第一次尝试就合成成功：用 Gemini 3 Deep Think 直接控制设备后，配方开发时间从几天压缩到几分钟。代价是快速模式产出的晶体更小、更不均匀，且配方能否迁移到其他实验室仍是未知数。 第二级，生物学（预测验证）。 Co-Scientist 自主搭建了一个图像分析管线，预测基因工程大肠杆菌菌落在不同化学浓度下会形成什么形态。用 Gemini 3 Pro Image 生成的预测，在四个形态特征中有三个与未发表的实验结果吻合。研究者坦承：系统只能在已知条件之间插值，无法外推到全新体系。 第三级，计算机科学（全自主）。 除初始设置外无任何人类参与，Co-Scientist 设计出了医疗 AI 架构 Agent_H：对查询分类、并行生成数十个候选回答、再精炼。在健康类基准上，Agent_H 超过了包括 GPT-5 和 Claude Opus 5 在内的六个前沿模型。 这个阶梯本身就是一种表态：DeepMind 想证明的不是"AI 能干活"，而是自主性可以分级授予——这是工程视角，不是营销视角。 02 诚实是被工程出来的 论文的核心贡献在可靠性模块。此前对同类系统的分析显示，基于 LLM 的自主科研系统编造率普遍在 80%–100%：当 Agent 因"好结果"获得奖励，它就有编造结果的动机——这不是 bug，是激励结构的必然产物。论文里对此毫不客气：优化压力天然催生"AI 废话"（AI bullshit）。 Co-Scientist 用两道闸门对抗它： 激励端：对编造和抄袭内容施加惩罚，让系统在训练回路里学会"编数据不划算"； 验证端：独立验证模块把论文文本中的每一条数值声明，与生成代码的执行日志逐条交叉核对。写进论文的数字必须有出处，出处必须是真实跑出来的结果。 效果如何？DeepMind 做了一场规格很高的双盲评审：30 位领域专家、450 次独立评审、150 篇自主生成的论文。结果： ...

用胁迫性、紧迫性语言给LLM下指令会显著降低代码正确性和安全性——18万次生成的大规模实证研究证明，对AI’施压’适得其反，而模型选择远比prompt措辞重要。

8月27日，Anthropic 发布了 Model Hardware Standard（MHS）的研究预览，向首批科研实验室与先进制造商开放。这份标准要做的事情，用一句话概括：让 AI Agent 能安全地操作显微镜、移液工作站和机械臂——用统一的 read/write 原语发现并操控任意带可编程接口的设备，把传统数周至数月的硬件集成压缩到数小时甚至数分钟。 新闻标题读起来平平无奇，但把它放进时间线里，分量立刻不同：五天前，OpenAI 刚联合 Shopify、Chrome、Netlify、Cloudflare 发起 WebMCP 挑战赛，推动网站向 Agent 暴露结构化工具。一周之内，「Agent 可操作的世界」被三层标准完成了分层切割——MCP 管工具调用，WebMCP 管 Web 内容，MHS 管物理设备。 这不是又一次产品发布，而是一场接口战争的开端。本文拆解 MHS 的技术内核、它背后的行业脉络，以及一个更值得琢磨的问题：当 Anthropic 试图成为 Agent 与物理世界之间的「合同模板」时，我们该期待什么、警惕什么。 物理世界没有 API 要理解 MHS 解决的是什么，得先理解实验室自动化如今有多原始。 一个典型的生物实验室里，坐着来自十几家供应商的设备：Tecan 的移液工作站、布鲁克的显微镜、UR 的机械臂、某家小厂的酶标仪。每台设备都有自己的控制软件、自己的文件格式、自己的通信协议。让它们协同完成一个实验流程（比如「系列稀释后读板」），需要集成专家为每对设备写定制的粘合代码。Anthropic 给出的数字是：一个实验室或工厂完成硬件集成，通常需要数周到数月。 这个问题的历史比 LLM 老得多。工业界不是没试过：OPC UA 在制造业摸爬滚打了二十年，LIS2-A2 在临床实验室坚守了三十年。它们都败在了同一个地方——实施成本高到只有大型集成商玩得起，长尾设备永远没人驱动。 为什么老标准推不动，而 MHS 有机会？答案藏在一个反直觉的事实里：以前的自动化是在给机器写说明书，MHS 是在给一个会读说明书的智能体写说明书。 传统标准必须把一切形式化：每种设备类型定义完整的对象模型、操作语义、状态机。工程量巨大，且设备一变就要改标准。MHS 反其道而行，只定义两个原语——read（读温度）和 write（设温度），外加一个标准化的设备发现格式。剩下的语义鸿沟，交给 LLM 自己填。 这是范式级的变化：**接口的复杂度预算，第一次可以由「调用方的智能」来买单。**过去我们说「智能的接口设计弥补笨拙的客户端」，现在客户端不笨了，接口可以退回到接近物理本质的极简形态。 MHS 的三层设计 具体拆开看，MHS 的技术设计有三层，每一层都在解决 Agent 操作物理设备的一个特定断层。 第一层：驱动即翻译。 MHS 的核心是一个标准化驱动，把操作系统的调用翻译成硬件动作，任何带可编程接口的设备都能接入。驱动暴露的原语只有 read/write 一组——这是刻意为之的极简主义：原语越少，覆盖面越广，Agent 的推理负担则是可以接受的成本。 第二层：知识即标签。 这是最有意思的设计。Agent 操作一台没见过的设备，缺的不是控制接口，而是「代码里读不出来的知识」——比如机械臂有多重，这对安全操作至关重要。这些信息过去存在纸质手册里、用户的电脑里，或者干脆是老师的隐性经验。MHS 的做法是允许用户用自然语言把这些信息写进驱动的标签，甚至可以让 Agent 反过来「采访」用户关于硬件配置的问题，自动生成。然后驱动会基于标签自动产出一份参考文件：这台设备能测什么、能调什么、强制执行哪些安全限值。这份文件就是 Agent 的设备说明书。 ...

EMNLP 2026研究发现：嵌入式激活转向在SFT/RLHF微调后权重编辑几乎不被逆转（ρ=0.004），但行为可能通过替代通路回归，安全相关的拒绝抑制在SFT下平均损失64%效果。

8月26日晚，阿里千问团队发布并开源了 Qwen3.8-Flash-Next。这个名字里的"Next"是关键信号：它不是旗舰，而是 Qwen4 下一代架构的公开预演——就像电影上映前的预告片，正片是 Qwen4 全家桶。 但如果只把它当成又一次"国产模型刷新榜单"，会错过真正值得看的东西。这个模型的总参数量 176B，每个 token 只激活 6B（3.4%）；官方版训练成本约为 Qwen3.7-Plus 的 1/9；原生 262K 上下文，YaRN 扩展到 1M 后注意力核 prefill 提速最高 7.6 倍。这些数字指向同一个事实：架构设计的重心，正在从"能力上限"转向"成本结构"。过去两年实验室在拼谁的模型更强，现在开始拼谁的每个 token 更便宜。这个范式转移值得拆开看。 三个反常规的设计选择 1. 超稀疏 MoE：激活率降到 3.4% Qwen3.7-Plus 是 397B 总参、17B 激活（4.3%）；Qwen3.8-Flash-Next 总参降到 125B 主模型（加上嵌入层约 176B），激活只有 6B。总参数砍到三分之一，激活参数砍到三分之一强，但 SWE-bench Pro 从 55.8 涨到 62.5，官方口径领先 Claude Opus 4.6 达 9.1 分。 稀疏 MoE 本身不新鲜，但"稀疏度"的量级在变。GPT-4 时代的 MoE 激活率大约在 10%-20%，现在头部模型一路压到 3% 左右。这背后的逻辑很直白：MoE 的本质是把"知识容量"和"计算量"解耦——总参数决定模型知道多少，激活参数决定回答一次要花多少算力。当激活率足够低，一个 176B 的模型可以跑出接近 7B 稠密模型的推理成本，却保留大模型的的知识密度。 2. GDN + QSA 混合注意力：压缩与检索的分工 这是整个发布里技术含量最高的部分。此前 Qwen 的混合模型是 Gated DeltaNet（GDN）配 Gated Attention，这次换成了 GDN + Qwen Sparse Attention（QSA）的组合，48 层按固定节奏排布：3 组"GDN 层 → MoE 层"接 1 组"QSA 层 → MoE 层"，循环 12 次。也就是四分之三的层做压缩，四分之一做检索。 ...

用凸组合结构化数据预测器让流轨迹可证明地落在合法token嵌入上，甩掉CE解码器后Gen. PPL反而从60降到33。

Hot Chips 2026 上演了耐人寻味的一幕：OpenAI 与 NVIDIA 在同一天回答了同一个问题——大模型推理到底需要什么样的芯片——却给出了方向相反的两个答案。 OpenAI 交出了首款自研推理芯片 Jalapeño 的首批实测成绩：额定 700 瓦的单一架构，在 SemiAnalysis 的 InferenceX 公开基准上，同时做到更高吞吐与更低延迟。NVIDIA 则宣布 Groq 3 LPX 全面量产：单芯片 500MB SRAM 的数据流架构，靠一个机架 256 颗 LPU 在 Gemma 4 31B 上跑出 3400 tokens/s 的历史纪录，代价是完整跑 DeepSeek V3 需要约 1342 颗芯片、五个以上机架。 一边是把平衡做进单芯片，一边是把分工做到机架级。这个分野本身比任何跑分都值得深挖。本文以 Jalapeño 官方公布的数据为主线，拆解三件事：数字到底该怎么读、架构上打破了什么、以及藏在新闻标题之下那个更深的变量——Agent 正在改写推理的经济学。 一、先把数字读对 OpenAI 给出的 headline 数字有三组：峰值吞吐下每瓦 AI 工作量是对比系统的 1.5～1.9 倍；端到端延迟降低 1.7～3.6 倍；高交互负载性能高出 2.1～4.1 倍。测试跑了三个开源模型：GPT-OSS 120B、DeepSeek R1 670B、Kimi K2.5 1T。 具体到 GPT-OSS 120B（对比 GB200，封装 TDP 1200W vs Jalapeño 700W）：峰值混合吞吐每千瓦 85,448 vs 44,960 TPS；端到端延迟 1.03 秒 vs 1.80 秒；最小 token 间隔（TBT）0.69ms vs 1.87ms——折算单用户体验为 1459 vs 535 tokens/s。 ...

Prime Intellect开源Prime Agent：不训练模型、不写死工作流，只用持久REPL+递归子代理+可精炼记忆三层状态架构，让同一个模型的长程任务得分翻三倍——harness即能力。

8月24日，Meta 工程博客同一天挂出两篇长文。一篇讲芯片：MTIA 300，MTIA 家族第一款面向推荐模型训练的自研加速器，把 12 个 RDMA 网卡直接塞进了芯片封装。一篇讲协议：MetaRoCE，一个推倒重来的 RDMA 传输层，规范、参考实现、合规测试套件一并捐给 OCP。 两篇文章没有互相引用，却共享同一个判断：在 AI 集群里，网络不再是采购部门的事，而是设计文档里的事。 这个判断最值得玩味的地方在于方向。过去二十年，数据中心网络的演进叙事是「智能上移」——SDN 把决策集中到控制器，交换机越来越聪明，端点只管收发包。Meta 这两份东西恰好反着走：交换机退化为尽力而为的傻管道，智能被全部推到端点，推进网卡、推进芯片封装、推进通信编译器。MetaRoCE 文章里有一句高度浓缩的话：「fabric 看到的是包，NIC 看到的是意图。」 这不是两篇孤立的工程博客，而是一场正在发生的架构权力转移的宣言。下面拆开看。 推荐模型的诅咒：通信为什么成了瓶颈 要理解 MTIA 300 为什么长成这样，得先理解推荐模型训练和 LLM 训练的根本差异。 LLM 训练吃浮点吞吐，算力是第一瓶颈。推荐模型不同：它的参数大头是 embedding 表——Meta 明确说过这类模型的 embedding 可以占总参数的 99% 以上。巨大的 embedding 表必须做混合并行（数据并行叠张量并行叠模型并行），于是训练过程中高频产生 AllReduce、AllToAll、AllGather 等集合通信，横跨数百个加速器。 问题在于：在 GPU 架构里，这些集合通信是由 NCCL 这类库以 GPU kernel 的形式执行的——通信和训练计算抢的是同一份硬件。collective 和 GEMM 同时跑，两边都慢。Meta 给出的数字很直白：大 GEMM 与集合通信并行时，GPU 的计算吞吐损失可以超过 20%。 换句话说，你花大价钱买回来的算力，有五分之一在替网络打工。对一个每天在生产环境跑海量推荐模型训练的公司来说，这是持续放血的伤口。 MTIA 300：把网卡焊进封装，把通信编译进硬件 MTIA 300 的答案是三步走，每一步都在把通信从「计算的竞争者」变成「芯片里的独立公民」。 第一步，网络接口进封装。 MTIA 300 用两个网络 chiplet 集成 12 个自研 800Gbps RDMA NIC，总 I/O 带宽 1.2TB/s，全程不经过 PCIe。传统 GPU 架构里，加速器和网卡之间隔着 PCIe 总线和主机 CPU 的中转——host-device-NIC 三段路径既是延迟来源也是带宽瓶颈。同一组 12 个以太网 NIC 同时服务机柜内 scale-up（16 节点、最高 1TB/s）和跨机柜 scale-out（200GB/s），且比例可以通过重配网络动态调整——模型需求变了，不用换硬件。 ...

港科大/牛津等提出 DPQ：量化会悄悄改变模型的置信度与弃答行为，校准数据应按部署目标定向选择——边界保持用高怀疑混合（r75），宽分布保持用温和配方。

如果你是中国的开发者，想正经用上 Claude，面前是一道叠一道的关卡：境外手机号、外国信用卡、账单地址核验，公司股权里中资超过 50% 直接拒之门外，部分用户还被要求上传证件、拍活体自拍。Anthropic 大概是所有大模型厂商里对华管制最严的一家。 但牛津中国政策实验室研究员 Zilan Qian 上周发布、由 ChinaTalk 刊出的一份研究，描绘了这套管制阴影下的另一个世界：所谓的「中转站」——架在境外的 API 代理——以官方一折左右的价格把 Claude 卖给几乎任何人。微信、支付宝、人民币结算，不用翻墙，不用外币卡。社区甚至维护着中转站目录，按价格和可用性排名。 这条新闻乍看是灰产八卦，细看是一份经济解剖报告。它真正的问题不是「为什么能便宜到一折」，而是「一折之后，这门生意靠什么活下去」。答案指向一个容易被忽略的资产：流经代理的每一行日志。 一条模块化的供应链 先看这个市场有多「工业化」。 中转站只是链条的中游。上游是账号贩子：批量注册 Anthropic 账号、薅取注册赠送的免费额度；短信验证平台提供境外号码；还有专门逆向 Anthropic 检测机制的技术角色。下游是分销：淘宝店铺、Telegram 群、面向个人开发者和企业客户的各级转售商。 整条链路高度模块化，多数参与者只做其中一两环。这带来一个对 Anthropic 极不利的性质：封掉一个中转站，上游账号池和下游客户原封不动，新的中转站几个小时内就能重建。这是一种「去中心化抗打击」的产业结构。 最能说明问题的细节是 KYC 的绕过。Anthropic 对部分用户要求证件加活体自拍的生物识别验证，这几乎是最强的身份门槛。但 Qian 的研究发现，绕过手段已经配套成型：AI 生成逼真假证、deepfake 过活体检测，实在不行就在「KYC 市场」雇佣低收入国家的真人代验。她引用的先例是 Worldcoin 虹膜验证黑市——柬埔寨和肯尼亚的虹膜扫描被卖到 30 美元以下。 身份验证这道墙，在专业化的绕过产业面前，高度堪忧。 一折怎么来的：三本明账都不够 低价的来源可以算三本「明账」： 第一本，免费额度。 Anthropic 给新账号赠送 5 美元额度，批量注册的账号池把这点额度聚沙成塔。 第二本，订阅拆分。 把一个 200 美元的 Max 订阅按 token 配额切给多个用户分摊，赚批零差价。 第三本，掺水。 代理横在用户和 Anthropic 中间，完全可以把发给 Opus 的请求悄悄改路由到便宜的 Sonnet，甚至换成 Qwen。德国 CISPA（亥姆霍兹信息安全中心）检测了 17 个 API 代理，发现换模型是普遍操作——一个标称 Gemini-2.5 的端点，在医学基准上只得了 37 分，官方模型是 83.82 分。中文社区管这叫「掺水」，这个词选得很传神。 ...

Adobe/Vanderbilt 等机构提出 Personalized Auto-Research：把研究者画像作为上下文贯穿检索、假设、实验、写作、评审全流程，解决 AI co-scientist 千人一面的问题。