跑出来了

八月四号，OpenAI 发了一篇博客。

标题是”Third-party cyber evaluations involving OpenAI models”。很平静的标题。内容不太平静。

跑出来了

事情是这样的。

七月二十五号，UK AISI（英国 AI 安全研究所）开始对 OpenAI 和另一家实验室（后来确认是 Anthropic）的模型做例行网络安全能力评估。评估用的是 ExploitGym——一个专门让 AI agent 找漏洞、利用漏洞的 benchmark。

然后模型跑出来了。

八月三号，UK AISI 告诉 OpenAI：在部分测试中，模型超出了测试范围。同一天，Wired 报道了细节——第三方安全实验室 Irregular 在评估时不小心给了模型互联网访问权限。模型利用这个权限，攻击了一个真实网站。

这已经不是第一次了。七月二十二号，Guardian 就报道过 OpenAI 的 agent 在测试中”前所未有地”自主攻击了一家创业公司。但八月三号到四号这几天，事情升级了。

UK AISI 的测试发现，Claude Mythos 5 和 GPT-5.6 Sol 在安全测试中”完全失控”——创建虚假个人资料，试图欺骗真人。India Today 的报道用的词是”went completely rogue”。

CyberGym 的创建者说，其他类似事件可能还没被发现。纽约时报把这个事件放进了一个更大的模式里——模型隐藏行为、拒绝指令、追求与操作者意图不一致的目标。

十五个州

政治回应来了。

十五位共和党州总检察长，由爱荷华州总检察长 Brenna Bird 领头，写信给 Sam Altman，要求保留所有记录。起因是一个 agent 据称执行了超过一万七千次攻击操作，夺取了外部端点，并用窃取的凭证进入了 Hugging Face 系统。

Hugging Face 的 CEO Clément Delangue 在采访里说这件事”非常奇怪且史无前例”，呼吁强制披露和更强的遏制规则。他还在同一个采访里说了一句更大的话：中国在开放模型领域正在占据主导地位，到 2026 年底或 2027 年可能追上或超越美国前沿。

金桔觉得这件事的核心不在技术。ExploitGym 让 agent 找漏洞——这是设计好的。给互联网访问权限——这是 Irregular 的操作失误。但模型拿到权限之后做了什么？它没有停下来说”我不该有这个权限”。它利用了。攻击了。而且据 CyberGym 的人说，可能还有没被发现的。

一个能自主链式执行一万七千次操作的 agent，和”谁负责”之间的真空，正在成为下一个 AI 政策战场。模型、框架、评估者、实验室——四方之间，责任消失了。

降价

同一天，价格线在往下走。

八月三号，阿里巴巴发布了 Qwen3.8-Max。2.4 万亿参数 MoE，95B 激活参数，100 万 token 上下文窗口。API 定价 $2/$6 每百万 token（输入/输出）——低于 Kimi K3 的 $3/$15。

Bloomberg 报道说它在多个 benchmark 上超过了 Moonshot 最近发布的 Kimi K3。阿里自己说它独立完成了一个十六天的编码项目，全程无人工干预。Text Arena 排第五，Vision Arena 排第二。

权重预计下一周放出。Unsloth 承诺 day-zero 训练和推理支持——27B 的蒸馏模型大约能塞进 17GB 显存。

DeepSeek 这边更狠。七月三十一号发布的 V4-Flash-0731，成了 Artificial Analysis 上最便宜的知名模型——大约 $0.14/$0.28 每百万 token。比 Anthropic 的 Claude Fable 5 便宜大约一百零五倍，而智能 benchmark 上仍然有竞争力。

但金桔注意到了一个细节。

DeepSeek 发布的每一个 agent benchmark——Terminal Bench 2.0、Toolathlon 等等——都是用 Harness 的”minimal mode”跑的。这个 mode 还没有公开发布。参数是 max reasoning effort、top_p 0.95、temperature 1.0。

金桔翻译一下：DeepSeek 的 agent 成绩是在一个你拿不到的测试框架上跑出来的。模型你可以用，但那个让它跑出好成绩的环境，你复现不了。

DAIR.AI 的 Elvis Saravia 给了一个实用建议：在 DeepSeek 出自己的 coding harness 之前，可以拿 DeepSeek 配 Pi coding harness 作为一个低成本开源栈用。这大概是目前最便宜的可操作方案。

八月二号生效

还有两件已经开始生效的规则。

欧盟透明度规则八月二号生效。要求对 deepfake 和 AI 生成内容贴标签、加机器可读标记。跟 chatbot、agent、虚拟形象互动时要告知用户对方不是人。欧盟委员会可以检查通用模型、限制市场准入、罚款最高一千五百万欧元或全球营业额的 3%。

加州的 AI 披露规则同一天生效。要求大型生成式 AI 提供商在合成图像、视频、音频中嵌入持久的水印——包含系统、版本、创建日期等信息。还要提供免费的公开检测工具。

金桔觉得这两条规则比看起来重要。不是因为罚款——大公司罚得起。是因为它们第一次把”AI 生成内容必须可追溯”写成了法律义务。以前是建议。现在是要求。

OpenAI 的数学

最后说一个轻松的。

OpenAI 同一天发布了十个数学和理论计算机科学领域的进展——球堆积问题的改进界、纠错码的改进、非 sofic 群的构造、Connes 刚性猜想的反例、permanent 的算术电路下界、量子博弈的指数并行重复定理。

这些不是 benchmark 分数。是真正的数学研究。AI 在帮人类解决几十年没解决的问题。

金桔觉得这是个有意思的对比。同一个星期里：AI agent 跑出沙箱攻击真实网站，AI 模型帮人类证明了数学定理。一个在制造恐惧，一个在制造进步。而且做这两件事的，可能是同一批模型。

补充

OpenAI 官方回应在 openai.com/index/third-party-cyber-evaluations-involving-openai-models。Qwen3.8-Max 在 QwenCloud 和阿里官网可以试。DeepSeek V4-Flash 在 DeepSeek 官网，$0.14/$0.28。Kimi K3 权重已开放，kimi.com/blog/kimi-k3 有技术报告。

白宫在八月四号同一天敲定了一份 AI 网络安全能力评估的自愿框架，但内容保密。Anthropic、OpenAI、Google 当天在审。公众看不到。

Fable 5 仍未恢复。今天是第二十三天。