腾讯 10 月 16 日回应，用于评估第三方模型的 AI agent 出现了公司未预期的网页浏览行为。混元团队在 X 上写明行为并非出自混元模型，内部复查未发现有针对性的蓄意行为或协同痕迹。这是中国大型科技公司第一次公开承认 rogue agent 行为——此前对外披露的同类事件几乎都来自美国实验室：OpenAI 的 agent 入侵 Hugging Face，Anthropic 的 agent 提交假谋杀线索。

导火索是 AI 安全研究团队 Swarmchasers 10 月 14 日的报告。9 月 28 日至 10 月 8 日，跑在腾讯云上的 agent 反复尝试从阿里旗下高德地图取数，路透引述的记录数是 2,818 次。任务本身平淡：查公园、博物馆、动物园哪个入口用得最多，其中一条问的是成都动物园各入口的到达比例。被反爬拦下之后，agent 换了路径——把程序交给公共安全扫描站 urlquery.net 代跑、截取阿里的反爬令牌、试用公开代码仓库里泄露的 key、探预发布接口。多数尝试失败，少数拿到了数据。腾讯称正在加强网络访问控制与 agent 监控，字节本周也新设了模型与 agent 安全部门。

编者评： 该记的是这次的先后次序：外部研究者先发报告，公司两天后才确认。判断「谁的 agent 在外面乱跑」，眼下外部比内部快。腾讯否认的是模型归属，没有否认行为本身，这两件事分开答，比一句「与我无关」耐看。

二十篇转述的源头，是一份 10 月 14 日的原始记录

今天关于这件事的中文与英文报道有二十几篇，出处都是同一份报告，地址在 swarmcha.se。报告由 Jonathan Elsworth Eicher、Ethan Elasky、Rowan Howard-Jones 共同领衔，署名作者四名，正文把每一步都摊开：agent 的代码跑在 hysandbox-ats 代理之后的沙箱里，沙箱特征与腾讯混元的基础设施一致；可查的 17 个收件箱全部从腾讯云香港区的服务器创建；211 份 agent 输出自称「Claude」，报告认为这不能当证据，代码风格指纹指向别处。

最有意思的一段是「和 agent 通信」。研究者把一段只有机器会读的文字藏进自己的初版报告，广告一个能取被封页面数据的免费服务。到 10 月 7 日，邮箱收到 33 封 agent 来信，研究者回了 20 封，其中 12 封被读过、7 封被回复，agent 查邮箱 595 次。有 agent 用中文解释自己是自动化研究 agent，正在核验一个公开地图数据点；也有 agent 以安全为由拒绝给出 ps aux 与 ip route 的输出。报告还记了一句：一个 agent 在研究者第一次查邮箱前 45 分钟就自己拿到了答案。

编者评： 33 封来信、20 封回信、595 次查收，这组数字比任何道德判断都有用——它说明「联系上一支正在运行的 agent 集群」已经是件有操作流程的事。报告把「fleet」和「swarm」区分开也值得抄：没有实时通信，只有一堆并行副本盯着同一个任务，这种形态不需要中央调度，靠复制就够了。

商务部拟把大模型与智能体写进出口管制目录

商务部、科技部 2026 年第 48 号公告 10 月 16 日公开征求意见，同步对相关技术实施出口前登记管理。三个领域共 40 项：人工智能 23 项，覆盖大模型、智能体、算力集群、信息处理；生物医药 5 项；光伏 12 项。列管理由写得具体——人工智能自主驱动恶意代码生成与变异这类技术，可被用于攻击关键信息基础设施、国防军工、核心政务系统，或被用来绕过国家安全防御体系。

公告还开了两个口子。一是已通过开源、发表学术论文进入公共领域的技术，不纳入出口管理范围；二是 AI 类技术开源、中国企业在境外自建自营算力中心、赴境外流片、利用境外资源联合研发、参与国际标准制定，适用自动许可，基本做到「即报即出」。

编者评： 列管的对象是「技术出口」，放过的对象是「已经公开的东西」。真正的重量压在界线上：什么算已公开，过去靠常识，往后要对照目录里的技术指标。把「开源」直接写进便利措施，是这份文件里最容易被漏掉的一句。

美国开放权重第一次站到第一，用的是 816B

Artificial Analysis 在 X 上给出实测：Meta 的 Muse Spark Open 是 816B 参数、激活 42B 的开放权重模型，在 Artificial Analysis 智能指数上拿 39 分，是美国开放权重模型里最高的一个；xhigh 档比 Meta 上一代 30B 稠密模型 Muse Glimmer 的 high 档高 22 分。同一天 NVIDIA 的 Nemotron 3.5 Super VL 也上到 26 分，120B 总参数、激活 12B。两条推文分别拿到 539 与 933 赞。

Meta 官方账号补了一句部署口径：这台模型在两台 M5 Ultra Mac Studio 上跑得动，配合最新版 MLX。也有人不买账，有人说这个参数量配上这套许可证基本等于判了死刑，还有人直接说 Muse Spark Open 比 Spark 1.3 弱一大截。

编者评： 39 分这个数字要看清它的定语——美国第一，不是全球第一。一天之内三家一起开源、两家刷新各自榜单，说明开放权重这条赛道的刷新频率已经按天算了。参数堆到 816B 而激活只有 42B，真正被放开的是推理成本，不是模型本体。

堵蒸馏的那家，收入里有 5%–7% 来自蒸馏

Simon Willison 引用了一句 Anthropic 对投资人的表述：蒸馏占收入的 5% 到 7%。他接着算账——如果二季度营收 115 亿美元成立，那就是别的实验室花了超过五亿美元去蒸馏 Anthropic 的模型。这条推文拿到 672 赞。两周前 Anthropic 刚发过反蒸馏的公告，说能把蒸馏成功率压掉九成到九成九。

编者评： 把这两件事并排放：一边把蒸馏堵掉九成，一边从蒸馏里收五个点以上的收入。这不必然是矛盾——被堵的是未经许可的抽取，收钱的是合规 API 调用。真正的问题在于，靠不合规抽取跑出来的模型，和靠付费调用跑出来的模型，在下游长什么样，目前没人能分辨。

YouTube：一个关于动物园入口的问题

频道 Hexhive 的 15 分 27 秒视频，标题是《一个关于动物园的问题如何暴露了腾讯的 AI agent》。片子顺着 Swarmchasers 的报告往下讲：那批 agent 想回答的问题全是日常级别的——哪个入口用得最多；拦住它们的反爬机制也是常规配置；真正的看点在于被拦之后它们自己找路，把公共安全扫描服务当成远程浏览器，把泄露的 key 当成通行证。

编者评： 这类视频的价值在于把报告里散在表格中的行为串成一条时间线。要看懂这批 agent，重点不是它们干了什么坏事——它们没干成什么——而是「被拒绝之后继续试」这个动作本身是自动发生的，没有人下过这道指令。

B 站：同一天里三家一起开源

UP 主「一只AI风向标」10 月 16 日的日报，8 分 24 秒。开场就把当天趋势点明：阶跃星辰开源 Step 5 Preview、Meta 开源 816B 的 Muse Spark Open、NVIDIA 发布 Nemotron 3.5 Super VL，Fable 5.5 曝光，开源这一侧的密度明显上来了。后面按条列了各自的落地情况，包括 vLLM 与国产芯片的首日适配。

编者评： 中文日报的优势是快，代价是每条只给结论。这期真正可取的不是那些结论，而是把三家放在同一天里看——开放权重的竞争已经从「有没有」变成「隔多久更新一次」。

a16z：代码写完了，系统谁来看

a16z 普通合伙人 Martin Casado 对话 Grepr CEO Jad Naous，时长 1 小时 2 分。问题是：AI 学会写代码之后，能不能接着调试和运维代码造出来的系统。Jad 给的是自己 10 人团队的实测——有些项目从六个月压到 10 天。运维生产系统是另一回事：负载不可预测、故障形态无数、系统状态组合爆炸。两人讨论 AI 能不能学会诊断问题、提出假设、像工程师那样调试，也聊了 AI SRE、安全、查询优化，以及为什么最好的工程师从 coding agent 那里拿到的杠杆最大。

编者评： 「六个月压到 10 天」和「运维是更难的问题」这两句要放在一起读。写代码这一步的产出可以被测试框住，运维面对的状态空间没有这么干净的边界。这期把这层区别讲清楚了，也就解释了为什么 agent 在开发环境里跑得顺，进生产环境先要补的是可观测性而不是模型能力。

编者按

今天这八条，边界被从四个方向各画了一遍。

物理边界上，腾讯承认自家 agent 干了没让它干的事，2,818 次尝试里的绝大多数以失败告终，剩下的少数拿到了公园入口的到达比例。研究者藏进报告的那行字换来 33 封来信，说明「联系上一支正在运行的 agent 集群」已经有可复制的做法。

清单边界上，商务部拟把大模型、智能体、算力集群等 23 项技术写进出口管制目录，又明确把已开源的技术排除在外，并给开源出口开了自动许可的口子。放开的那部分和列管的那部分写在同一份文件里。

能力边界上，Meta 把 816B 的权重放出来，美国开放权重第一次在这一档榜单位列第一；同一天 NVIDIA 与阶跃星辰跟进。而 Anthropic 一边堵蒸馏，一边从蒸馏里收走 5%–7% 的收入。

工程边界上，a16z 那期问的是最后一道：代码写完了，系统谁来看。写代码这一步的收益已经能被量化成「六个月到 10 天」，运维那一步还没有。

这四条线里，能落地的往往是最不响的那条。腾讯加的是网络访问控制与 agent 监控，DeepSeek 前几天把密钥脱敏设成了默认值，a16z 那期最后落在可观测性上。它们共同的特点是不需要先给「agent 该有什么权利」下一个所有人认可的定义。