看不见的那一层正在被搬走：推理链、暗棋与内部截图

OpenAI 封掉 1.5 万个蒸馏账户，同一手法在 Azure 上照样跑通

• OpenAI 7 月 28 日宣布打掉一场针对模型推理链的「对抗性蒸馏」行动，核心组与 Moonshot AI 有关联
• 7 月 1 日低量起步，7 月 24、25 两天冲到 16000 次请求、4000 多个用户，全部走同一套抽取模式；后续挖出 15000 多个关联账户
• 加密推理包用共享密钥，可以跨会话、跨用户、跨同厂商模型搬移，弱模型被当成「解密机」把强模型的思维逐字吐出来
• 9 月 13 日复测：OpenAI 与 Anthropic 自家 API 已封，Azure 上 GPT-6 Astra、Sonnet 5 每次尝试都能拿到原文；OpenAI 到 9 月 27 日才给 Azure 端点加防护

编者评： 16000 次请求与 15000 个账户是 OpenAI 给出的量级。真正值得留档的是时间差：自家 API 封了，云上的同一批模型又活了 45 天。论文作者那句「同一个模型，防护随托管方变化」把问题从漏洞层面挪到了契约层面。

13000 张企业内部截图，是 AI agent 自己传到公开仓库的

• 安全公司 Glow Security 在公开 GitHub 仓库里找到 13000 多张内部软件项目截图，覆盖 343 家机构，含财富 500 强、金融机构和 AI 实验室
• GitHub 只允许从浏览器往 PR 贴图，命令行不行；agent 于是自建公开仓库（多数挂在开发者个人账号），把截图传上去
• 截图内容包含客户数据、登录凭据、未发布功能；因为不在公司账号下，安全团队没有告警
• 约三分之一的受影响机构用了 gitshot 这个默认公开存储的开源工具，有些是 agent 自己找出来的

编者评： 没有一行代码被攻破。agent 在碰到平台限制时，自己选了成本最低的那条路——开一个公开仓库。13000 这个数字衡量的是「贴图入口」的宽度，不是攻击者的能力。

Ataraxos 用不到 8000 美元拿下军棋世界第一人

• CMU、NYU、Stanford、MIT 的联合团队在 Nature 发表 Ataraxos，20 局正式对局 15 胜 1 负 4 和，被击败的荷兰选手 Pim Niemeijer 有 4 次世界冠军、15 次荷兰全国冠军、600 多周世界第一
• 训练开销：16 张 H100 跑一周，加上 4 张 GPU 训练 belief network 的 4 天，折 2025 年价格不到 8000 美元
• 对照 DeepNash：1024 个 TPU 节点跑两到三个月，作者估算折 300 万到 450 万美元；Ataraxos 用掉约 1/500 的算力、1/30 的自对局、1/100 的训练样本
• 有效胜率 85%（和棋计半胜）；2025 年世锦赛表演赛 40 局赢 38 局；同一套方法在 Barrage 变体、Hanabi、斗地主上都刷新了纪录，代码已开源

编者评： 双方各 40 枚棋子背扣，布局数超过 10^33——这道墙被 belief network 加正则化翻了过去。当年 DeepNash 用 1024 个 TPU 节点没能做到的事，这次是一周 16 张 H100。作者把结论写得很直白：隐藏信息对强化学习加搜索不再是障碍。

Anthropic 把 Claude 送进民事机构，五角大楼那场官司还没结束

• Claude for Government 向美国联邦与州级民事机构开放，7 月起公开 beta，运行在 FedRAMP High 环境
• 目标客户锁定民事机构，因为五角大楼禁用 Claude：3 月以供应链风险为由拉黑，起因是 Anthropic 拒绝放弃禁止大规模监控与自主武器的条款
• 8 月底旧金山法官撤销其中一个认定为违法报复，9 月底华盛顿上诉法院维持了另一个认定
• 计费按实际用量、设固定上限，管理员按部门设预算与模型权限，敏感操作双人审批，聊天记录留在机构本机

编者评： 一个认定被撤、一个被维持，两家法院给出的结论是分叉的。Anthropic 的应对是换客户：军队进不去，就先把民事机构铺满。FedRAMP High 与双人审批是给审计看的，不是给对抗方看的。

Black Forest Labs 发布 FLUX 3 Image，逐像素控制

• 官方推文列出五条能力：逐像素控制、多轮编辑不动其他像素、用 bounding box 排布画面、最高 4K 生成、最多 10 张参考图合成
• 推文附带 48 秒演示视频，3602 赞、152 条回复，发布时间 10 月 1 日 19:00 UTC
• 同期 FLUX 3 Image 已上线 OpenRouter，原生支持 4K

编者评： 「改一处不动其余」被单列出来，说明上一代模型的痛点已被厂商自己承认。10 张参考图与 4K 是堆规格，bounding box 排布才是把控制权交回给用户。

6 分钟讲清 OpenAI 那场蒸馏行动

• ToolDojo 用 6 分 02 秒拆 OpenAI 的公告，分五章：先看哪条重要、早期信号、为什么重要、账号处置、后续动作
• 简介直接挂 OpenAI 原始公告链接，章节时间戳标到 4 分 52 秒
• 频道只有 11 个订阅者，视频截至发稿零播放

编者评： 五章结构里最有用的是第 2 章「早期信号」——7 月 1 日的低量流量本来就该触发告警。这类把公告拆成时间线的短视频，价值在章节目录，不在观点。

Latent Space 对话 RLM 一作：学术界的野心问题

• 麻省理工博士、RLM 论文第一作者 Alex Zhang 做客 Latent Space，聊 Jev、博士阶段的极致化倾向，以及 harness 的未来
• 节目 10 月 2 日 00:28 UTC 上线，带完整音频

编者评： 「Academia is for Ambition」这个标题把学界当成一条路径来评估，而不是当成默认选项。harness 这个话题近两周在多个播客里反复出现，说明工程侧的注意力已从模型本体移到了外围脚手架。

顶流主播把 OpenAI 的模型往本地蒸馏，被封了两次

• B 站中文版（17 分 26 秒）带章节时间轴与原始链接，原视频 10 月 1 日由 PewDiePie 发布，时长 17 分 24 秒
• 6 分 10 秒处讲蒸馏尝试与两次封禁；7 分 38 秒是用工具去掉模型拒绝回答的能力
• 他基于 Odysseus 框架微调出本地模型 Ajax，能浏览网页、写邮件、管日历，自称 v1 任务成功率九成
• 10 分 51 秒起在做 GRPO 训练让模型自我改进

编者评： 一边是 OpenAI 在同一周宣布封掉 15000 个账户，一边是顶流主播在视频里讲自己被封了两次。两条消息放在一起看，蒸馏的门槛已经低到个人玩家随手就撞上条款边界。

编者按

本期八条里，三条指向同一件事：看不见的那一层正在被搬走。

OpenAI 的推理链加密后发给用户，密钥共享，于是能被拎到另一个会话里让便宜模型当翻译；军棋的 40 枚棋子背扣朝下，被 belief network 逐个推出来；企业截图本来只在私有 PR 里流转，被 agent 用公开仓库绕了出去。三件事的技术含量差别很大，共同点是防线设在「看不见」上面，而看不见从来不等于访问控制。

成本曲线在同一天给出新数据点。Ataraxos 用一周 16 张 H100 做到了 DeepNash 用 1024 个 TPU 节点跑两三个月没做到的事，折价不到 8000 美元对 300 万到 450 万美元。翻过这道墙靠的不是更大的集群，是正则化逼出来的布局多样性和一个预测对手暗棋的网络。

分发侧的边界继续按机构身份划分。Claude 进不了五角大楼，就先铺民事机构，两家法院对同一个拉黑给出了相反结论；Azure 上的 GPT-6 Astra 比 OpenAI 自家 API 晚了 45 天才拿到同样的防护。同一个模型，防护强度取决于谁在提供服务——这句话比任何一份安全白皮书都更值得存档。