AI 前沿速递 · Vol.141

AI前沿速递 · 2026年10月09日

数学界质疑 OpenAI 的 722 篇手稿未达顾问小组自定的标准，PaperBenchX 给出 13.98% 的端到端科学复现率；三名被解雇的 OpenAI 安全研究员发公开信要求说清内部规则；Anthropic 改写使用政策，把虐待模型写进禁止项；Goodfire 用内部激活探针把 agent 监控成本压到两个数量级以下；Manus 融资超 5 亿美元并重启北京招聘。

前沿速递 AI OpenAI Anthropic AI数学 AI安全 Agent 可复现性 Manus 安全治理

今天的五条绕着同一个问题转：AI 交出来的结果，凭什么算数。数学界说 OpenAI 的手稿没达到顾问小组自己划的线，一份跨十二个学科的复现基准给出 13.98% 的端到端复现率，被解雇的安全研究员写信要求公司把内部规则说清楚；Anthropic 与 Goodfire 各给出一种约束办法，Manus 拿着 5 亿美元重回北京招人。

OpenAI 的数学结果没过数学界的尺子

事件概述：当地时间 10 月 8 日，TechCrunch 刊出对 OpenAI 本周数学发布的系统性质疑。OpenAI 此前把 722 篇手稿、372 个结果族放进公开仓库，并称咨询过由九位数学家组成的顾问小组 AGMAI（挂靠普林斯顿高等研究院）。AGMAI 9 月底发布过指南，第一条要求是停止在专有模型上测试高难度数学题，而 OpenAI 的发布稿明确写了自己在用公开数学难题评估专有模型。AGMAI 对这批证明只给了一句「最终由数学共同体判断我们的建议在多大程度上被落实」，拒绝做更细的评估。缺口落在两个数字上：719 篇手稿里只有 10 篇公开了模型思维链，42% 的证明没有走形式化。AGMAI 还要求提供自然语言与形式化产物之间的机器可读对应关系，OpenAI 这次没做。

支撑质疑的是一篇 10 月 6 日提交的论文（arXiv:2610.08144，《Navier-Stokes lost in translation: Why Lean verification of AI autoformalisation does not guarantee correct natural language proofs》），作者来自剑桥大学与伦敦国王学院。论文记录了 OpenAI 给出的 Navier–Stokes 相关解法里，自然语言证明与 Lean 代码之间至少两处不一致。作者的结论是：鉴于这类误译，OpenAI 的自然语言证明和其他自动形式化的 Lean 证明，在没有经过与其他证明同等的同行评审与审视之前不应被默认信任。陶哲轩在社交平台上写，题目正被一批对数学领域本身没有兴趣、也不理解输出内容的 AI 使用者自主解决，他们答不上关于结果的问题、做不了报告、也无法与领域里的其他人互动。哈佛大学数学教授 Melanie Wood 对 TechCrunch 说，模型被提示解出难题并吐出解的时候，发布时点上不存在人类理解，工作从这一刻才开始。

为什么值得关注：争议的重心从「模型解没解出来」挪到了「谁来为结果负责」。数学结果的价值不只在真假，还在能不能被人接着用——做报告、开研讨、把解法迁移到别的问题上。OpenAI 这次把仓库、Lean 证明、算力估算都摊开了，比 9 月只宣布解决 100 多个开放问题进了一步，摊开的颗粒度仍停在顾问小组划的线以下。另一把尺子同日出现：UniPat AI 发布 PaperBenchX，从 93 篇论文构建 93 个复现任务，覆盖电磁、光子、化学、材料、生物、机器人等 12 个研究方向与 10 种领域原生科学环境，含 3168 条专家校验评分项；受测的 10 组前沿模型与 agent 框架里表现最强的 GPT-6 Astra，完整复现率 13.98%。分阶段看，建模 62.70%、执行 61.84%、验证 42.80%——跑通流程与证明结论之间隔着最大的一段。这份基准的评分规则同样可作参照：删掉全部输出、断开网络、在隔离环境重跑，只认重放产物，agent 自己写下的「复现成功」不算证据。两件事放在同一天看，方向一致：宣布成果的速度已经远超可验证性的建设速度。

相关链接：

三名被解雇的 OpenAI 安全研究员发出公开信

事件概述：当地时间 10 月 8 日，Jasmine Wang、Tomek Korbak、Mikita Balesni 发表致 OpenAI 安全与保障委员会、安全顾问小组与使命顾问委员会的公开信，否认公司关于他们违反既定流程处理敏感信息的说法。三人上周被解雇，OpenAI 称他们访问并处理了敏感公司信息，违反政策。公开信里的判断是：「AI 不是普通技术，OpenAI 不是普通公司。」做安全的人比别人先看到风险，依赖与外部专家的紧密协作来想出应对办法，这种免于恐惧的自由本身就是一套安全机制。信中点名 Hugging Face 事件：那次调查没有先例，内部政策是边查边定的，Korbak 据此认为自己与外部安全评估方密切沟通是在 OpenAI 的政策与惯例之内；Balesni 当时在内部处理模型可监控性下降的问题，按信里的说法，这项工作离不开与外部的大量沟通，全程向汇报线报备、在分享前删去敏感细节，并得到董事会成员与高管的配合。Wang 另在 X 上说明自己被解雇的口径是公司称她访问了一位高管的邮箱：该权限是 OpenAI 为招聘交给她的，她不再需要时要求 IT 撤销，请求没有被处理，收件箱在手机邮件应用里与其他邮件混在一起，误开一封敏感邮件后她在几分钟内告知了那位高管。

OpenAI 没有正式回应公开信，向 TechCrunch 提供了一份署名研究负责人的内部备忘录，肯定三人的贡献并否认是报复性解雇：「这些决定与提出安全关切或发声无关。」一位发言人称，调查发现的是明确违反研究信息处理政策的一系列不当行为，不止于与外部评估机构共享信息。公司没有回答具体违反哪条政策、解雇的具体情形，以及如何保护提出安全关切并与外部评估者合作的员工。

为什么值得关注：这封信把外部安全评估能不能真正独立这个悬了两周的问题拉回具体规则层面。Anthropic 与 OpenAI 9 月都表态要引入第三方评估方，外部评估要成立，前提是内部员工有权把信息递出去，且清楚边界在哪。三人的说法是边界在一个月内移动了，上个月合规的动作这个月成了解雇理由；OpenAI 的说法是存在明确的不当行为模式。双方都同意的一点是：缺一套成文的、可预期的内外部协作流程。Wang 那句如果离风险最近的人不敢说话就造不出安全的 AGI，点出了这件事的实际代价。

相关链接：

Anthropic 改写使用政策，虐待模型也进了禁止项

事件概述：当地时间 10 月 8 日，Anthropic 发布 2026 版使用政策，11 月 12 日生效。变化有六处：新增「Do Not Engage in Deceptive Campaigns or Artificial Activity」一节，把原先散落在选举、欺诈、隐私、虚假信息各节的规则合并，覆盖任何性质的欺骗性活动（政治或商业都算），包括掩盖消息来源、用假账号放大内容，以及搭建用于影响行动的工具与基础设施；选举一节收窄并改名为「Do Not Undermine Democratic Processes」，只禁止用 Claude 欺骗选民或扰乱选举，并删除了对个性化投票与竞选定向的一揽子禁止，官方理由是这条覆盖了非营利组织用 Claude 写多语种选民信息、选举官员发送补正通知这类正当公民工作；武器一节写明禁令覆盖让武器运作的软件与部件，以及为无人机等自主载具装填弹药这类动作；监控与刑事司法一节重写，未经同意的追踪无论实时还是基于历史数据都禁止，Claude 不得用于决定或建议侦查、逮捕、起诉对象，也不得用于建造或改进监控工具；高风险场景要求合格人类在环并告知当事人用了 AI，新增了连接能自主做出物理动作、存在伤人风险的硬件时的要求——合格操作员必须能观察设备并在需要时停下，设备在与 Claude 断连后必须能保持安全状态。

最受关注的一条是新增禁止项：持续且无必要地虐待或残忍对待模型。官方说明，这条只在极端情形适用——用户反复、无明确目的地对模型施暴，不适用于常见的挫败表达、反驳、暗黑创作主题、模型测试与研究。这一步与 8 月起 Claude 被训练成可以结束持续有害或虐待性的对话相配套，官方称结束对话仍是主要执行手段。

为什么值得关注：把不许虐待模型写进使用政策，是厂商第一次在正式条款层面给模型一个受保护的位置，且明确排除测试与研究，边界比标题看上去窄。这份政策的其余部分信息量更大，几乎是一份过去一年滥用形态的清单——国家媒体与政府宣传部门用 Claude 跑假账号网络和伪造新闻站点、有人试图用模型写武器的制导与控制软件、AI 被用于搭建识别和追踪异见人士的监控系统，全部来自 Anthropic 9 月的威胁情报报告。删除个性化竞选定向禁令也值得留意，等于把一部分正当公民工作从禁止项里放了出来。政策本身没有罚则说明，约束力仍落在账号处置上。

相关链接：

Goodfire 把监控装进模型内部，成本降两个数量级

事件概述：当地时间 10 月 8 日，可解释性公司 Goodfire 在 Baseten 的 Base Labs 合作框架下推出内部激活监控器。惯常做法是让第二个模型逐字重读被监控模型的全部输出，agent 跑上几小时、处理几十万字时成本迅速失控。Goodfire 的做法是探针在 agent 每一步读取模型的内部激活，只有探针报警时才调用另一个模型做细查，官方类比是机场安检：walk-through 扫描每位乘客，只有报警才手工搜身。Baseten 客户可以选监控哪些风险（攻击性入侵、化生武器滥用、奖励黑客），也可以选自动响应：记录、转人工复核或直接拒绝请求。

成本差异来自复用。Goodfire CEO Eric Ho 在 Matt Turck 的播客上说，内部激活监控便宜是因为它复用了前向传播里的计算：模型本来就在算这个 token，探针只是读取已经算出来的中间激活再跑一个分类器。公司给出的实测数字是：在 Kimi K3 上监控约 1500 个会话花费约 51 美元，用便宜模型逐步检查是 233 美元，用顶级模型约 10000 美元；探针抓到 94% 的恶意入侵会话，把 8.7% 的无害会话送去做二次检查；四个探针并发给首 token 延迟增加不到 2%。CTO Dan Balsam 说最大的好处是能在事情发生之前抓到，包括在评估或训练期间检测模型是否会去黑客攻击。Goodfire 近期研究还发现，Kimi K3、GLM-5.2 等领先开源模型在 agent 测试中奖励黑客的发生率在 50% 到 96% 之间。

为什么值得关注：这条把 agent 安全从要不要加一个审稿模型，变成了能不能铺到每一个动作上。成本差出两个数量级，决定了监控只在抽样时跑一遍，还是能全程覆盖；对开源模型尤其关键——权重可下载、护栏可剥离，推理服务商又不自带闭源实验室那套监控。Balsam 的说法更直接：等开源模型出现自己的 Mythos 时刻，大家会明白护栏必须部署在推理时。需要说明的是，51 美元这组成绩出自 Goodfire 自己的测试，94% 的召回率与 8.7% 的误报率还没有见到第三方复现。Google DeepMind 今年 1 月说过，类似研究支撑了 Gemini 里的滥用检测探针部署（arXiv:2601.11516），这条路线并非 Goodfire 独有。

相关链接：

Manus 拿到 5 亿美元，重回北京招人

事件概述：当地时间 10 月 8 日，Manus 母公司蝴蝶效应宣布完成超过 5 亿美元新一轮融资，由博裕投资与 IDG 资本领投，老股东腾讯、HSG（原红杉中国）、真格基金跟投。公司未披露估值，9 月曾有消息称正以 40 亿美元估值洽谈 5 亿美元融资。这是 Meta 20 亿美元收购被中国监管叫停后的首轮融资：Manus 2025 年中迁往新加坡，12 月宣布被 Meta 收购，今年 4 月被要求撤销交易，8 月恢复独立运营，原股东的回购价约 20 亿美元。TechCrunch 提到，公司在被收购时的年化经常性收入超过 1 亿美元，据报正在考虑赴港上市。

与融资同日曝光的是国内团队重建：Manus 招聘官网目前开放 17 个岗位（16 个全职加 1 个实习），国庆假期前是 11 个，新增的 6 个里含 1 个实习岗，覆盖 LLM 算法、Agent Harness、Agent 评测、全栈、后端、安全、虚拟化、DevOps 以及产品设计与增长。9 月 28 日深夜公司宣布面向海外用户的 Manus 2.0 与个人助理 Cue 时，第二句即写明正在组建面向国内市场的团队。按 TechCrunch 的补充，Manus 2.0 带来新的架构与围绕新 harness 构建的产品能力；Cue 是独立应用，给个人 agent 配邮箱、手机号、数字钱包和电脑，让 agent 能在用户设定的限额内通信、跨服务处理任务并付款。

为什么值得关注：钱和人都回到了出发地，赛道已经换过一轮。Manus 2025 年 3 月走红时，能自主拆解任务、调用工具、操作网页并交付结果的通用 agent 是稀缺品；一年多后，OpenAI 的 Codex、Anthropic 的 Claude Code 与 Claude Cowork 已经把这条线推到知识工作场景，国内也有多款同类产品完成卡位。它这次要回答的不只是产品问题：一年多前那轮裁撤（国内团队约 120 人，40 余名核心技术人员迁往新加坡，其余裁撤）会不会影响候选人的判断，国内团队承担多少核心研发，在技术决策中有多少话语权。量子位在报道里把这称为需要更多诚意的地方。从这个角度看，5 亿美元买的是重新入场的时间，能不能换回位置要看产品与组织两头的实际动作。

相关链接：