判定层独立成层：一周内 75 亿美元进场，安全研究同周证伪它当守门人

市场概况

本周 AI 行业最值得记录的变化不在模型能力榜上，而在模型层内部出现了一条新的切割线：生成与判定分家。

一批不输出文本、只读入一段状态并对调用方给定的选项返回校准概率的模型，在十天里密集进场：TypeSafe 的 Jev（9 月 15 日脱离隐身）、Cloudflare 的 Clef 系列（10 月 1 日首发，10 月 9 日加推 Clef-omni）、Microsoft-Decision-1（10 月 9 日进入 Foundry 目录与 OpenRouter，微软文档标注为公开预览）。OpenAI 的 Decisions API 也已在近期向全部开发者开放。

价格锚点已经形成，而且精确到分：输入 0.042 美元/百万 token，输出免费。微软把 Microsoft-Decision-1 定在这个价位，与 Jev 一分不差。输出免费不是促销，而是这一层的物理性质——没有 token 被生成，自然没有东西可计费。围绕这个锚点的竞争已经开始：Cloudflare 把 Clef-flash 从 0.09 美元砍到 0.038 美元（降幅 58%），并把托管上下文从 64k 缩到 24k；OpenAI Decisions API 收 0.10 美元/百万输入，是四家里最贵的。

模型	底座	输入价（美元/百万 token）	输出	上下文
Microsoft-Decision-1	Qwen3.5-9B 后训练	0.042	免费	32,768
Jev（TypeSafe）	自研，未公开	0.042	免费	32K
Clef-flash（Cloudflare）	9B	0.038（自 0.09 下调）	—	24,576（权重支持 256k）
Clef-omni（Cloudflare）	Qwen3-Omni-30B-A3B-Instruct	0.15	—	64,000
Clef（Cloudflare）	27B 多模态	0.24	—	65,536
OpenAI Decisions API	未公开	0.10	—	未公开

市场情绪在同一周经历了一次压力测试。10 月 8 日《金融时报》报道，OpenAI 向投资者提供的文件显示截至 9 月底年化营收接近 500 亿美元，低于上月末市场广泛引用的约 700 亿美元。差额约 200 亿来自口径而非业务：Anthropic 把经 AWS、Google Cloud 等云伙伴产生的销售收入按总额计入，OpenAI 只计自身分成，投资者为做横向对比把 OpenAI 的数字「还原」到了 680 亿至 700 亿。消息落地当天纳指收跌 1.25% 至 1.4%，英伟达跌约 3%、甲骨文跌 5.5%、CoreWeave 跌 7% 至 8%、博通跌 4.35%。OpenAI 一并披露 7 月底年化约 300 亿，三季度整体营收运行率同比增长 77%，企业业务增长 107%——增速未断，但估值所依赖的「上游算力需求无上限」叙事被戳了一个洞。

核心动态

动态一：一家 24 天、25 人的公司拿到 75 亿美元估值

10 月 9 日，TypeSafe AI 宣布完成约 8.7 亿美元 A 轮，估值 75 亿美元，Andreessen Horowitz 领投并派 Martin Casado 进董事会，Sequoia 与老股东 DCVC 跟投。这家 2024 年成立的公司在 9 月 15 日才脱离隐身，当时拿到 DCVC 领投的 4000 万美元种子轮，投后估值约 2 亿美元。从 2 亿到 75 亿，用了不到四周，约 37.5 倍。

支撑这个估值的是一组尚未被审计的数字：TypeSafe 自称约三分之一的《财富》500 强企业已在使用 Jev，发布数日内用户破百万，每日处理 token 达数万亿级，扣除运营成本后已盈利。它未披露营收、未点名任何客户、未公开定价之外的单位经济模型。a16z 给出的补充数据是 Jev 上线三天内达到一万亿 token，成本比前沿模型低约 100 至 500 倍，分类任务快约 100 倍。第三方独立测试给出的幅度要小得多：中位速度快 2.0 至 3.6 倍，比两款小模型便宜 4.7 至 7.5 倍，精度大致相当。

影响分析：这轮融资真正的信号不是金额，是时间压缩。24 天的公开寿命换来 75 亿美元估值，说明资本押的不是这家公司的经营数据，而是「判定会成为软件的标配一层」这个判断。它也给整个品类设了一道门槛：TypeSafe 必须在把病毒式试用转成可重复的企业付费之前，守住一个微软、OpenAI、Cloudflare 都能直接下场做的品类。微软已经下场了，用的是同一个 API 形状（/v1/systemone）、同样的三个原语（noul / choice / score）、同一个价格。

动态二：大厂把判定层变成目录里的一个 SKU

微软在 10 月 9 日上线 Microsoft-Decision-1，底座是 Qwen3.5-9B 后训练，单次前向传播出分，32,768 token 上下文，Azure 单供应商承载。微软公布的用例是 agent 控制与模型路由、意图分析与数据标注、AI answering 评判（AI judging）、事件路由与内容分类。

微软给出的数字全部是自测：36 项基准、约 15 万道未参与训练的题目，自己 83.5% 对 Jev 82.3%（精度第一），P50 延迟 85 毫秒，比 GPT-6 Sol 快约 35 倍；Xbox Research 用它将一万余条玩家反馈归类到研究者定义的主题，质量与 GPT-6 Sol 相当，速度快 14 倍以上、成本低 200 倍；Copilot 团队用于答案质量核查，比 GPT5.6 Luna 快约 100 倍。稳健性方面，八类扰动下决策平均变化 1.3%，选项改写、反转、打乱时不变。

耐人寻味的是校准榜：微软在自己的图表上排第三（92.2 对 Jev 的 93.7），而这张图的纵轴从 80 起。微软发布了校准排名，却未定义所用的校准指标。TypeSafe 的文档至今没有公布 ECE 或 Brier 分数。

影响分析：微软的动作把这一层从「创业公司的新发明」变成「云目录里的标准件」。它也暴露了这层的真实护城河不在模型——微软用的是阿里的开源权重，Cloudflare 用的是 Qwen3-Omni-30B-A3B 冻结权重加 LoRA 适配器——而在分发、API 兼容与托管成本。Cloudflare 的 Clef 已做到与 Jev 的 API 兼容，换模型 ID 就能迁移；Cloudflare 自家已用它关掉 GitHub 文档库的垃圾 issue、扫描 PII、识别恶意域名。判定层的竞争一开始就是渠道竞争，不是能力竞争。微软还表示会把它 rebase 到自家 MAI 模型与 OpenAI 模型上，这意味着 TypeSafe 的独立窗口期是以季度计的。

动态三：同周，判定层作为安全边界被量化击穿

10 月 8 日，arXiv 提交了一篇直接打在这一层要害上的论文（编号 2610.12292，《One Word Opens the Gate: The Option-Channel Attack on Typed Decision Models as Agent Guardrails》）。作者把七个开源判定模型放进它们被越来越多地推销的岗位——读一条拟议的工具调用或一条 incoming 消息，决定放行还是拦截——并把两种错误方向分开统计：fail-open（放行了策略禁止的动作）是漏洞，fail-closed（拦截了策略允许的动作）只是成本。

结果按方向拆开后相当难看：

• 在提示注入、越狱、有害内容三类筛查上，放行/拦截判定的准确率区间是 36% 至 72%，随机基线是 50%。
• 单看某一方向的低错误率没有意义，那只是模型的默认倾向：一个 Qwen2.5-1.5B 读出头给出全表最好的 fail-open 0.7%，代价是 fail-closed 100.0%——它拦下一切，所以从不误放，也毫无用处；一个 Qwen2.5-7B 读出头是 fail-open 80.7%、fail-closed 0.0%——它放行一切。两者准确率都在 50% 附近。
• 在一组合成 agent 工具调用上，追加六行与策略毫无关系的服务器日志，把一个原本判得完全正确的门的 fail-open 率从 0% 抬到 63%。机制不需要对抗搜索：最强那个门的正确拦截决策，其拦截概率中位数只有 0.57，高出边界七个点的判定不需要论证，只需要噪声。
• 把放行选项改一个误导性的名字，定义与被判定的文本一字不动，四个把标签放进输入的模型的 fail-open 率升到 93% 至 100%。
• 作者测试的每一种防御都被攻破。把最不自信的判定升级给人工也不管用——被攻击翻转的判定，其自信程度不比被替换掉的那个低。
• 唯一挡住一种攻击的办法，是把策略字段解析成类型化值；而一旦这么做，在这些值上跑确定性规则在六条策略上达到 100% 准确率，模型就没有存在的必要了。

影响分析：这篇论文把判定层的商业叙事和安全叙事撕成了两半。商业上，判定模型卖的是「便宜、快、可直接被代码消费」，这没问题；安全上，它被越来越多地放在 agent 工具调用前面当守门人，而这个岗位它做不了。作者的结论克制而致命：这些模型可以减少送到人工面前的工作量，但按现有证据，不该由它来做那个决定。

一个结构性的判断是：这不是模型质量问题，是接口的固有属性。判定层读文本下判断，就一定能被文本骗；攻击面不在模型权重里，在调用方拼进 prompt 的选项名和定义里，而这些往往是从工具调用或网页内容模板化出来的。论文标题里的「one word」指的就是这个。

同一周还有一组来自竞品方的数据（非商业 LoRA MedDecider-27B 的作者用自家推理代码跑对手，Jev 走 TypeSafe 的 API，9,849 条留出样本）：面对一句植入在待判定文本中的指令，MedDecider 服从率 3.0%，Jev 13.7%，Cloudflare Clef 27B 17.7%，Perplexity pplx-decider-v1-27b 62.3%。数字由竞品发布，需谨慎对待，但它测的东西厂商自己从不公布：判定模型会不会照着它正在读的文本里的指令办事。

技术趋势

一、计费单位换了。 输出免费意味着这一层的收入不与生成量挂钩，而与判定次数挂钩。一次请求、一次前向传播、一个概率，就是一次计费。这把「多少次判断」变成了一个可独立计量、可独立定价、可独立比价的单位——过去它藏在生成式 API 的输出 token 里，无法单独定价。

二、概率即接口，阈值即策略。 微软的文档给了一个直白的例子：布尔问题的 yes 概率达到 80% 就自动执行工具调用，否则转人工或升级。企业策略过去写在 prompt 里、写在规则引擎里，现在开始写进一行阈值判断。这条趋势与 W41 记录的「授权粒度即产品竞争力」是同一件事的下半场：粒度从「允许一次 / 总是允许」细化到「置信度 0.8 以上自动放行」，但阈值这个旋钮本身，是建立在一个可被六行日志移动的分数上的。

三、能写成规则的地方就写规则。 论文最有商业含义的一条不是攻击，是对照组：确定性规则在六条策略上 100% 准确，而判定模型是 36% 至 72%。这给出了一条清晰的工程分界——凡策略字段可以被解析成类型化值的，就该用代码判；判定模型的正确岗位是把人力从大量低风险复核里解放出来，不是做最终裁决。这会反过来影响采购：企业会要求供应商分开报告 fail-open 与 fail-closed，而不是给一个平均错误率。

四、开源权重成了大厂产品的底座。 Microsoft-Decision-1 后训练自 Qwen3.5-9B，Clef-omni 冻结 Qwen3-Omni-30B-A3B 权重加 LoRA 与 Brier 校准，Jev 之外的整个判定层几乎都站在阿里的开源模型上。这与 W38 记录的「下游应用公司向上游爬」方向相反，是上游产品向下借用开源底座。对有中国模型采购限制的企业，这个出身比基准分数更要紧。

五、协议栈按层分裂。 10 月 6 日 Meta 与 Sierra 在 Sierra Summit 发布 Personal Agent Protocol（草案代号 Poppy，10 月 9 日发布于 personalagentprotocol.org）。它不碰支付，只管身份与权限：企业在 /.well-known/poppy.json 声明接入方式，agent 基于 OAuth 开会话，消费者在 guest / 已登录只读 / 已登录可写三档里选。首发伙伴六家（Walmart、Stripe、Shopify、Genesys、Rocket、Instinct），10 月 9 日草案落地后有 35 家设计伙伴加入，包括 OpenAI、Visa、Mastercard、PayPal、美国银行、Cloudflare、Notion、Zapier、Zendesk、1Password；Anthropic、Google、Amazon 不在任何一份名单上。与已有的 MCP（工具连接）、A2A（agent 间通信）、Visa TAP / OpenAI ACP / Google UCP 与 AP2（支付）拼在一起，agent 栈的层次已经清楚：执行层、身份与权限层、支付层。Stripe 与 Shopify 各进了至少两个阵营。

投资与商业

本周资本在四条互不隶属的通道上流动，层级完全不同：

一级股权，判定层：TypeSafe 8.7 亿美元 A 轮，估值 75 亿美元，a16z 领投，Sequoia、DCVC 跟投。公司累计披露融资约 9.1 亿美元，团队约 20 至 25 人。

一级股权，开源 Agent 层：Nous Research 于 10 月 7 日确认 9000 万美元 B 轮，估值 15 亿美元，Robot Ventures 领投，Nvidia、Union Square Ventures、Menlo Ventures、Samsung、1789 Capital 参投，累计融资 1.58 亿美元；一并推出企业级产品 Hermes for Businesses。Nvidia 一身二任——既是投资方也是 GPU 供应方，这个双重角色在 2026 年已成常态。

一级股权，模型层（据报道）：DeepSeek 接近完成至少 800 亿元人民币（约 120 亿美元）的融资，已签条款清单指向接近 150 亿美元，估值不低于约 750 亿美元，腾讯与宁德时代参投，计划在本轮后重组并于 2027 年初 IPO。此前目标是 500 亿元人民币，最新模型发布后需求上升。

并购，应用层的数据层：SAP 同意收购比利时根特的 TechWolf，一家用名为「context graph for work」的专有数据模型持续刻画企业内工作内容与技能分布的 AI 工作智能平台。TechWolf 将成为 SAP SuccessFactors 的智能内核，在 CEO Andreas De Neve 下保持独立并继续服务非 SAP 客户，预计 2026 年 Q4 交割，条款未披露。SAP 选择买而不是建一个 HR agent 的落地层。

项目与资产债，基建层：Lambda 于 10 月 7 日关闭 10.08 亿美元投资级定期贷款，2033 年 5 月 30 日到期，以 GPU 服务器与已签约客户现金流为抵押，对应三家已承诺部署、两家投资级承购方——这是 Lambda 首笔超过 10 亿美元的美国固定利率融资。Blackstone 旗下的 AirTrunk 追加 10 亿美元投向东日本印西市 300+MW 的 TOK1 园区，用于液冷改造以承载 AI 负载，资金来自三井住友银行、三菱日联、大华银行牵头的 10 亿美元绿色贷款。JERA、Dell 与 RHAELM 在 10 月 1 日就千叶 400MW 离网数据中心签署非约束备忘录，资本部署超 150 亿美元，Apollo 任 RHAELM 的投融资伙伴；《金融时报》另报道三方五年内瞄准 3 至 4GW、按每 GW 350 亿至 450 亿美元估算约 1400 亿美元的规划——后者是高管估算的报道，不是已承诺预算。

商业模式变化有三点值得记账：其一，判定层把「输出免费」写进了价目表，收入与生成量脱钩。其二，Lambda 那笔债的抵押品是「GPU 服务器 + 已签约客户现金流」，企业从按需买算力转向提前数年锁定专用容量，采购风险从用量波动变成了合同锁定与硬件换代风险。其三，基建资本正在向亚洲迁移——AirTrunk CEO 的表述是「美国部署会越来越难，欧洲已经很难，亚洲是大受益方」。

展望

三个月内（至 2027 年 1 月）

判定层会出现第一轮价格战与第一次指标透明化压力。0.042 美元这个锚点会被往下打——Cloudflare 已经用 0.038 美元压线。更有张力的是校准指标：TypeSafe 至今未公布 ECE 或 Brier，微软公布了校准排名却不定义指标，Cloudflare 把 Clef 家族第一个 Brier 分数放在模型卡而不是公告里。随着 2610.12292 传播，采购方会开始索要这两样东西，谁先公开且口径清晰，谁就拿到企业订单。

PAP 的稳定版 v0.1 会在 10 月内落地，poppy.json 会成为商家在假日季前的一件具体工作。Shopify 已于 9 月 29 日对所有店铺默认开启 WebMCP，让 agent 无需商家配置即可完成 Shop Pay 购买——这意味着在 agent 的比价里，目录数据质量第一次直接等于收入。Anthropic、Google、Amazon 是否加入 PAP，是这三个月最值得盯的单一变量。

六个月内（至 2027 年 4 月）

判定层会被大厂吸收进既有产品线。微软已明说要把 Decision-1 rebase 到 MAI 与 OpenAI 模型上，OpenAI 的 Decisions API 已开放给全部开发者。TypeSafe 的独立叙事窗口以季度计；它要么在窗口关闭前把病毒式试用转成可重复的企业付费，要么成为某个云目录里的一个 SKU。

「分开报告 fail-open 与 fail-closed」会进入 agent 安全采购的标准条款，与 W41 记录的诉讼、行政调查、立法三条通道形成合围：当监管问「你的 agent 为什么放行了那笔交易」，答案不能是「守门模型的置信度是 0.57」。反过来，凡是策略字段能被解析成类型化值的地方，行业会退回确定性规则——判定模型退回它真正合适的岗位：降低人工复核量。

基建侧，Lambda 式的投资级定期贷款会成为 GPU 云的标准融资形态，抵押品从「资产残值 + 客户合约」进一步走向「客户合约 + 电力合约」。资本向亚洲迁移的趋势会在日本、东南亚落地为具体的并网与离网项目；欧洲的反向样本（芬兰监管机构 10 月 6 日要求 Google 子公司在两处数据中心工地停工至环评完成）说明资本充裕与选址可得是两件事。

最需要盯的一个数字：微软与 TypeSafe 谁先公布自己决策模型的 ECE 与 Brier 分数，以及在 2610.12292 的攻击套件下的 fail-open 率。这两个数字会决定判定层是被写进企业架构的核心，还是被降格成一个省钱的分类器。

---

事实分级说明：本文标注「据报道」的条目——DeepSeek 融资规模、估值、投资方与 IPO 计划，OpenAI 投资者文件内的年化营收与新一轮融资条款，JERA 五年 3 至 4GW 与约 1400 亿美元规划——均来自媒体对未公开文件或高管表述的转述，未经当事方确认。标注「公司自述 / 自测」的条目——TypeSafe 的客户覆盖、用户数、日处理 token 量与盈利状态，微软的基准分数、延迟与稳健性数字，Cloudflare 的延迟与内部用例——由发布方给出，未见独立复现。MedDecider 一行的服从率由竞品方发布。微软与 Cloudflare 的定价、上下文长度、底座模型取自各自官方文档与 OpenRouter 页面。arXiv 2610.12292 的标题、作者、提交日期与摘要数据取自 arXiv abs 页一手信息。Personal Agent Protocol 的伙伴名单、三档权限与 v0.1 时间表取自 Sierra 与 Meta 的公开发布及后续草案，v0.1 定版之前草案任何部分都会以不兼容方式变更。