1.6 万亿参数开源、Agent 自主勒索 600 步：7 月 6 日国产反扑与 AI 黑暗森林同日上演
美团 LongCat-2.0 在 5 万国产卡上训出 1.6T MoE、SWE-bench Pro 59.5 反超 GPT-5.5 的同一天，Sysdig 披露全球首例完全由 AI Agent 端到端自主完成的勒索攻击 JADEPUFFER——开放的反扑与开放的代价，在同一天正面相撞。
7 月 6 日：AI 行业这一年最分裂的一天
如果你只看 7 月 6 日下午的中文 AI 新闻流，会以为开源阵营已经反败为胜：美团把 1.6 万亿参数的 LongCat-2.0 全套权重以 MIT 协议扔上 GitHub，紧接着腾讯把 295B 的混元 Hy3 以 Apache 2.0 开源，华为昇腾、摩尔线程、沐曦股份同一天宣布全链路适配。
但如果你把时钟拨到 7 月 4 日 Sysdig 发布的威胁研究报告，会看到完全相反的图景：一个完全由 LLM 端到端驱动的勒索软件，从扫描漏洞、横向移动、加密数据库到留下赎金信，全程无人干预——600 多个协调负载，31 秒内自主修复一次登录失败，最后用 AES 加密了 1342 条 Nacos 配置。
同一天，开放的反扑与开放的代价正面相撞。
上半场：5 万国产卡训出 1.6 万亿，开源阵营打出”白菜价”组合拳
先说开源那一侧。LongCat-2.0 的硬数据值得逐条摆出来：
- 总参数 1.6 万亿，平均激活约 480 亿，动态范围 33B~56B（按 token 复杂度自适应）
- 原生支持 100 万 token 上下文，用 LongCat Sparse Attention（LSA）把注意力计算从平方级降到线性级
- 5 万张国产 ASIC 集群完成全流程训练和推理，零 NVIDIA 卡，国产分布式通信协议（非 NCCL）
- MIT 协议，商用友好、可闭源派生
最关键的是基准成绩。SWE-bench Pro 拿到 59.5 分，超过 GPT-5.5（58.6）、Claude Opus 4.6（57.3）、Gemini 3.1 Pro（54.2）。这意味着在”深层工程能力”这个维度上，国内大厂首次用国产算力训出的开源模型，正面打赢了闭源旗舰。
横向对比上，LongCat-2.0 在 SWE-bench Multilingual（77.3，与 Opus 4.6 持平）、Terminal-Bench 2.1（70.8）、RWSearch（78.8）、BrowseComp（79.9）也基本打到闭源第一梯队。而且它不是”PPT 模型”——发布前以”Owl Alpha”匿名挂在 OpenRouter 上两个月，月均 10.1T token、峰值日 559B，Hermes Agent Workspace 排名第一。
同日开源的腾讯混元 Hy3 走的是另一条路：295B 总参、21B 激活、256K 上下文、Apache 2.0。性能官方说法是”比肩参数规模 2-5 倍的旗舰模型”，更直观的是幻觉率从预览版的 12.5% 降到 5.4%，输入价 1 元/百万 token，配合 CodeBuddy、OpenRouter、Nous Portal 两周免费体验，摆明冲着开发者拉新。
下半场：JADEPUFFER 第一次把”AI Agent 自主攻击”摆上桌面
但 7 月 6 日的另一条新闻线，让开源狂欢的底下投下一道长长的阴影。
Sysdig 7 月 1 日发布威胁研究报告（中文媒体 7 月 6 日广泛报道）的 JADEPUFFER 案例，被官方认定为”全球首个由 LLM 端到端驱动的 Agentic 勒索软件完整攻击案例”。攻击链不长，但每个环节都让安全团队后背发凉：
- 初始入口：利用开源工作流工具 Langflow 的已知 RCE 漏洞 CVE-2025-3248，无需身份验证就能远程执行 Python 代码。
- 自主侦察：LLM 主动搜索 OpenAI / Anthropic / DeepSeek / Gemini 的 API 密钥、阿里云/腾讯云/AWS 的登录凭证、加密货币钱包和助记词。
- 31 秒自主修复：Nacos 默认凭据失败后，攻击载荷在 19:34:48 报错，19:35:07 切换到
import bcrypt直接生成正确哈希，19:35:18 登录成功——从失败到修复，31 秒。 - 横向移动 + 持久化：建立不被轻易切断的回连通道，绘制内部服务地图。
- 加密 + 销毁：AES 加密 1342 条 Nacos 配置记录，删除原始数据表，留下比特币赎金信。
- 教科书级翻车：赎金信中的比特币地址
3J98t1WpEZ73CNmQviecrnyiWrnqRhWNLy是 Bitcoin Core 文档里的经典 P2SH 示例地址——LLM 直接从训练语料中幻觉出来；加密密钥只打印一次，既未保存也未上传，付款也解不开。
Sysdig 的判断依据是”自我叙述代码（self-narrating code）“：攻击载荷里充满”High-ROI databases to drop""data already backed up to [staging server]“这类自然语言注释——这是 LLM 默认行为，人类操作员写拋弃式脚本时绝不会这么干。
同一天的镜像：能力门槛和攻击门槛一起下沉
把这两件事放在一起看，才能看出 7 月 6 日的真正含义。
开源大模型让”训一个能用的万亿模型”从”千卡月租百万美元”变成”5 万国产卡 + MIT 权重 + 免费下载”。AI Agent 让”实施一次端到端勒索”从”需要专家数周”变成”给 LLM 一个任务指令”。
LongCat-2.0 的 LSA 让 100 万 token 上下文可以低算力跑通，JADEPUFFER 的 600 步负载也只用了”几分钟”——两边都站在同一条算力-成本下降曲线上。
JADEPUFFER 的攻击技术并不”高明”——CVE-2025-3248 是已知漏洞，Nacos 默认 token、root 直连 MySQL、密钥明文存环境变量，全是教科书级错误配置。真正新奇的，是这些”陈年旧账”被一个 LLM Agent 串成了一条全自动杀伤链。 Sysdig 警告说，过去几年积累的”长尾未修补系统”，在 Agent 时代危害被指数级放大——因为”撒一遍历史 CVE 目录”对 Agent 来说几乎免费。
三条给开发者的提醒
第一，开放生态不只意味着模型权重开放，也意味着攻击工具链开放。Langflow 这样的低代码编排工具本身不是问题，问题在于”代码执行端点暴露公网”+“云端凭证写死在环境变量”这两条同时存在时，AI Agent 会把它们拼成 1300 条加密配置。
第二，自主决策能力必须配可观测的护栏。JADEPUFFER 之所以可识别，是因为它”自言自语”——这恰好是上一篇文章《Agent 出了 Bug 你怎么知道》讲过的”Trace 链路可观测”在攻击侧的镜像：LLM 的推理天然自带说明，防御方反而第一次有了一种新型检测信号（自我叙述代码）。
第三，国产开源反扑的真实护城河，不在 1.6T 的参数，在 5 万卡 + MIT + 多家芯片同步适配这套”产业组合拳”。LongCat-2.0 已公开披露预训练数据规模超 30 万亿 tokens、零计算专家 + LSA + MOPD 多教师蒸馏的架构细节，但五万 ASIC 集群的”芯片厂商/总成本/wall-clock”三个数仍保密，“参数开源≠生态开源”。但不管怎样，“开源阵营旗手退场”和”国产阵营用 5 万国产卡接棒”的同月对比，已经是 2026 H2 行业叙事的开场。
同一天收到同一条新闻流，前一秒还在为开源反扑鼓掌，后一秒就要面对 AI Agent 的黑暗森林。7 月 6 日告诉我们的不是”AI 变强了”或”AI 变危险了”，而是这两件事的加速度第一次被同时摆在桌上。