今天是周五。本期窗口为上期 #027（9/18 07:05 北京时间）之后至今（9/19 07:05 北京时间）。这一天的主线可以概括成一句话：当 agent 的规模第一次被公开报成「三万个」时，同一天里被报出来的另外三件事，全部发生在「谁把模型的输出当成了事实」这一层。 Anthropic 给出的是能力侧与监管侧的两组官方数字；CNN 给出的是一份 AI 生成的报告差一点变成一次军事行动；TechCrunch 给出的是一份未删节法庭文件里，训练数据的来源被如何描述；Hacktron 给出的是一条依赖链上的图片解析器如何被变成进入 OpenAI 内部仓库的入口。
核验路径如实说明：本刊本机直接抓取并核验正文的来源包括 claude.com 的产品博客（《Projects redesigned: from folder to conversation》）、anthropic.com/institute 的报告页（《Measurements for understanding the pace of AI development inside frontier labs》）、cnn.com 的独家报道、techcrunch.com 的相关报道、hacktron.ai 的技术博客、blog.ferstar.org 的 ZCode 调查、blog.liampwll.com 的 Bend 评论、code.claude.com 的 Claude Code 更新日志，以及量子位的五篇正文；arXiv 摘要与条目元数据经 export.arxiv.org 官方 API 与 arxiv.org 摘要页直查；四处源本机不可达或不可读，已在对应条目内逐条标注：science.org 与 ktla.com 的相关地址返回 HTTP 403、koreajoongangdaily.com 返回的只是 JS 外壳（可读文本仅「Are we human?」）、bloomberg.com 连接超时。与 #027 相同，news.ycombinator.com 本机连接超时，因此本期所有 HN 分数与评论数均取自 firebase API 的 /v0/item/<id>.json 字段，本刊未引用任何一条讨论内容。
1. Anthropic 把「AI 在替我们做多少研发」变成了一份可公布的指数：AL4 占 26%，同时报出 3 万个并行 agent 与 0.002% 的拦截率
事实。 这条由两份官方材料构成，本刊两份都直接抓到了正文。
其一是一份产品发布。 claude.com 的产品博客于 2026 年 9 月 17 日发布《Projects redesigned: from folder to conversation》（claude.com/blog/projects-redesigned，本机直接抓取核验全文，HTTP 200，页内标注 Date: September 17, 2026，Reading time 5 min）。它的结构可以拆成三句话：Projects 由「存放提示词与参考文档的文件夹」变成「以对话驱动的协作中心」，核心是一个 coordinator（协调器）加若干 threads（工作线程）；每个线程就是一个跑在云上的 Claude Code 会话，拥有自己的分支与仓库副本；所有线程共用一个 memory 与一个 library。 ——官方原话是「Projects have threads that do the work and a coordinator that directs them.」 具体的两处机制值得单独记下：① 共享记忆——「Every thread now adds to and draws from a shared memory, reducing the need for complex prompt engineering.」官方给的例子是「Claude can remember the release moved to Friday, why the export was dropped, or who to check in with before touching the billing service.」② 冲突处理——「if any threads work on the same code, the overlap is resolved as a merge conflict just like any other PR.」 本刊认为第二条是这份公告里最诚实的一句：多 agent 并行并没有取消合并冲突，只是把它推到了 PR 这一层。 其余可核验的边界条件：起始通道为 beta，仅面向「select Claude Pro and Max subscribers who use cloud sessions in Claude Code and don’t have any existing projects on the web or desktop」；未来一周才扩量；Team 与 Enterprise 在其后；线程今天跑在云端，「running on your machine alongside your local tools and code and behind your network is coming very soon」；官方明确提示「projects can reach usage limits faster」，可以分别查看项目用量并为 coordinator chat 与 worker threads 各自选择模型与 effort 档位。
其二是一份测量报告，它比产品本身更要紧。Anthropic Institute 于同一时间段发布《Measurements for understanding the pace of AI development inside frontier labs》（anthropic.com/institute/measuring-pace-of-ai-development，本机直接抓取核验全文，HTTP 200，约 21.8 万字节）。报告开头就给了一个明确的立场句：「As the world considers slowing the pace of frontier AI development, the public needs more information.」并宣布将「embed independent third-party evaluators from multiple organizations at Anthropic, and give them access to internal processes, systems, and data comparable to what internal risk assessment teams have.」 报告分三块：AI 主导的研发占比、agent 的监管、算力的分配。三块各自给出了方法、结果与「任何开发者今天就能公布什么」。
第一块：Anthropic R&D Automation Index（官方口径，全部照录）。 用的量表是 Epoch AI 提出的 Automation Level，从 AL0（无 AI 参与）到 AL5（完全自主、人不在环内）；AL3 是「collaborates」——「it can do large chunks of work under close human direction」；AL4 是「leads」——「it can complete most of the task end-to-end from a high-level prompt, while the human supervises」。 截至 2026 年 8 月的三行结果：「Claude is not operating fully autonomously for any measured subset of AI R&D work.」「Claude ‘leads’ 26% of Anthropic’s AI R&D work.」「The share of work at or above ‘AI collaborates’ is above 90%.」 方法部分给出的细节比结论更有信息量：为了得到一份任务清单，他们 「For each week in July 2026, we randomly sampled 20% of staff from each department that make up the model R&D loop. A Claude research agent reviewed each sampled person’s week using Slack and internal documentation, and listed the tasks they worked on.」 ——这一步产出约 15,000 条细粒度任务；随后 「we used Claude to organize these tasks into a hierarchical tree … The resulting tree has 542 nodes at different depths, of which 378 are leaves」，并且把整棵树冻结，使每次测量针对同一篮子工作。 权重不使用主观重要性，而用「person-time」： 「Each person gets one unit of weight per week, split evenly across the tasks they worked on that week. If person A worked on four tasks, each gets 0.25; if person B worked on ten, each gets 0.10.」 评级由一个独立的 Claude judge 阅读证据后给出。 官方主动公开了校准结果，而这三个数字是本条最值得留存的部分： 「model-versus-human exact agreement was 59%, human-versus-human was 35%」，以及 「model and human ratings were within one level of each other 97% of the time」。官方对边界的表述同样照录： 「There remains real room for disagreement on borderline cases, such as where exactly ‘AI collaborates’ ends and ‘AI leads’ begins.」 另外两项自陈的局限也要记下： 是冻结篮子——「A growing index number on a July 2026 baseline tells us that the work humans were doing at that time is being automated; it does not, on its own, tell us whether new kinds of work are appearing that humans have shifted onto.」 为此他们用 2026 年 1 月数据构造了另一版树做对照， 「We found no rise in the number of ‘novel’ tasks between the January and July baskets of tasks」；以及 「we’re using our own models to evaluate our systems, which could mean that the ‘judge’ model could make the same kinds of errors as the model it is checking.」
第二块：agent 监管（官方口径）。 规模： 「As of August 2026, there were approximately 30,000 agents doing research and engineering work at Anthropic at any one time in our most-used internal platform. These measurements cover this platform only.」 两个监控器： 在线监控「check the actions of agents in real-time and either block dangerous actions or steer agent misbehavior automatically」，针对的是「harms that would happen quickly and could not be undone, such as an agent copying model weights out of our systems」； 离线监控「read agent activities after the fact」，针对的是「dangerous behaviors that develop slowly and can be reversed, like signs of model misalignment」。 三个指标的具体值： ① 覆盖——「100% of these agents’ actions pass through the online monitor before they are executed, usually within seconds.」「100% of these agents’ actions are ingested by the monitor after they are taken.」 ② 复核延迟——「Automated review happens before an agent takes action; humans review any blocked actions within one week.」 每周约 10 万条转录被标记，交由多个分类器做误报复核与初审，其中最高优先级的大约每周 50 条升级到人工。 ③ 拦截/升级率——「We analyzed over a billion decisions from our research & engineering agents over August 2026 and found that 0.002% of them (about 1 in 47,000) were blocked by this monitor. The monitor flags roughly one to two transcripts in every thousand for further review.」 报告还写明了让他们能做这件事的两个设计选择： 其一是个体身份——「we have found it important to give agents an individual identity, and tie all the data that agent creates to its identity」，理由是这让 agent「treat what comes from another agent as a claim to check rather than a thought of its own」，且身份不绑定模型，所以能跨模型升级保持记录连续； 其二是有记录的开放通信——agent 通过共享的开放消息系统而非私下通信，每条消息绑定发布者身份并可链接到其它内容，官方称这样可以让 agent 避免「playing telephone」，并让行为监控可以穿透 agent 之间的通信。 自我限制写得也很直接： 「At this scale of agent activity, it is hard to be certain we have a complete picture of all possible kinds of behaviors, or that we are making these patterns adequately legible to human oversight. We have been doing this kind of monitoring for months, not years.」
第三块：算力分配（官方口径）。 测的是 2026 年 7 月 13 日至 7 月 20 日一周的全量算力快照，结果是： 「about 6% of compute that went to AI R&D was allocated toward safety, and about 12% of compute that went to AI-driven AI R&D was allocated toward safety.」 官方注明这是「deliberately conservative estimates」—— 「if a token was used to advance capabilities as much as it was to advance safety, it was not counted in these metrics」； 分类方式是用提示词驱动的分类器读每个 workload 的元数据与所用代码， 「Rather than classify all of the week’s almost 10,000 runs, we sampled about 14% of them, weighting the sample toward the runs that used the most compute, so that the result reflects where the compute actually went, rather than how many runs there were.」 报告自己指出了这项指标最根本的缺陷： 「compute share measures only what is spent. A more efficient safety classifier, or a faster inference stack for production models, lowers the safety portion, but doesn’t mean we’re doing less safety work.」
一份同日的官方变更可以做交叉参照。 **Claude Code 更新日志中，版本 2.1.277（标注 September 18, 2026）的第一条是：「Added AGENTS.md support: in a project with no CLAUDE.md, Claude Code reads AGENTS.md instead; change it under “Project instructions” in /config (not yet on Bedrock, Vertex or Foundry)」（code.claude.com/docs/en/changelog，本机直接抓取核验全文；HN 条目 49760187，09-18 21:00 UTC 提交，取值 307 分 / 131 评论；另有一条 HN 条目 49758250「Anthropic finally adds AGENTS.md support to Claude Code」，09-18 18:26 UTC 提交，42 分 / 8 评论，指向一条 X 帖子，本刊未打开）。量子位同日 08:34（北京时间）的报道《刚刚，Claude Code大重构！内部3万Agent管理技术免费开放》给出了与上述官方材料一致的产品描述，并额外转述了两处本刊未在官方页面上读到的说法：其一，内部 AL4 级任务占比「今年2月这个数字还不足1%」（本刊在 Anthropic 官方页面未读到这条 2 月对照，官方页面给出的是 8 月数字与 1 月任务篮子的比较）；其二，Cursor 于 9 月 10 日发布 Projects beta，「主打的同样是Coordinator Agent，一个不写代码的协调者，向下派发数千个子Agent，项目上下文云端共享，合上笔记本也照跑」（本刊未核验 Cursor 侧材料）。
为什么重要。 三点。其一，本期这一条真正的新东西不是 26%，而是「59% 对 35%」这一组校准数字。 一家实验室公布自己的自动化比例，读者唯一能问的问题是「谁在评」；这里给出的回答是「Claude 在评」，随后自己把「模型与人类的一致率」和「人类与人类的一致率」并排放在了一起。 模型-人类完全一致率 59%，比人类-人类 35% 还高——这个对照单独看很容易被读成「模型比人可靠」，但官方自己想说的是另一件事：在「AI 协作」与「AI 主导」的分界线上，人类之间本来就分歧很大。 换句话说，这组数字真正证明的不是模型的判断力，而是这个任务本身的模糊度。 把模糊度写进发布材料，是本刊认为这份报告与一般发布的区别所在。 其二，0.002% 这个数字需要被还原成绝对量才是完整的信息。 官方同一句里给了分母——「over a billion decisions」——所以这个比率对应的拦截量在数万次量级。 再叠上官方给的另一个比率「one to two transcripts in every thousand」，以及每周约 10 万条转录被标记、约 50 条升级人工，一条完整的漏斗就出现了。 本刊认为这条漏斗的形状比其中任何单个数字都更值得引用：它把一个通常只以「我们有监控」出现的声称，变成了三个可以逐段检验的量——监控覆盖多少、标记多少、人工真的看了多少。 其三，把这块放在本期其余四条旁边看，会发现今天所有事件的落点都不在模型权重上。 Anthropic 报的是 agent 在系统里做了什么；CNN 报的是一份报告被谁当成事实；TechCrunch 报的是训练数据从哪来；Hacktron 报的是一个解析器被放在哪。四条都在「模型之外的那一层」，而这正是 #027 记录过的同一条线：当能力越来越体现在过程里，可核验的对象就只剩过程本身。
待观察。 本期的 26%、90%、0.002%、59%/35%/97%、每周 10 万条、每周约 50 条、约 30,000 个 agent、6% 与 12%、15,000 条任务、542 节点/378 叶，全部来自 Anthropic 官方两份材料，本刊未接触其 Slack 数据、任务树、监控器实现或任何内部记录，一项都无法独立核验；报告自己已说明评级依赖 judge 模型，且「we’re using our own models to evaluate our systems」，本刊在此不重复其结论，只指出这个闭环尚未被第三方验证——官方给出的解药是「embed independent third-party evaluators」，而这份报告发布时该机制仍在建立中；「6% / 12%」覆盖的是一周，官方自己写明「not enough to show a meaningful trend」；本刊未读到 2 月的 AL4 占比，量子位转述的「不足1%」与官方页面无法对齐，读者应以官方为准；Cursor 的 Projects beta 一面本刊未核验；Claude Code 更新日志是逐版本的产品变更记录，本刊只引用其中一条，不对其整体质量表态；HN 上关于 AGENTS.md 的高热度（307 分）本刊未读取任何评论内容，因此不对它为什么热做任何推断。
来源：Anthropic·Projects redesigned: from folder to conversation（本机直接抓取核验全文） · Anthropic Institute·Measurements for understanding the pace of AI development inside frontier labs（本机直接抓取核验全文） · Claude Code 更新日志（版本 2.1.277，本机直接抓取核验） · 量子位·刚刚，Claude Code大重构（本机直读正文） · HN 条目 49760187（本机经 firebase API 取值：307 分/131 评论，09-18 21:00 UTC 提交）
2. 一份由聊天机器人参与生成的情报报告，让美军一度准备登上一艘中国船只——CNN 称它「完全虚假」，也「几乎引发战争」
事实。 CNN 于 2026 年 9 月 18 日发布独家报道《Exclusive: US military had close call after using AI for false intelligence report, sources say》（cnn.com/2026/09/18/politics/us-military-ai-false-intelligence-china-ship，作者 Katie Bo Lillis 与 Zachary Cohen，页内标注 Published / Updated Sep 18, 2026, 12:55 PM ET，本机直接抓取核验正文，HTTP 200；HN 条目 49757520，09-18 17:28 UTC 提交，取值 343 分 / 275 评论，为本期窗口内 AI 相关条目中分数最高的一条）。
这篇报道的叙事结构本身就是信息，本刊按它的顺序照录。 ① 触发点： 「The intelligence report, circulated across the US military this spring in the midst of the war with Iran, immediately set off alarm bells: A Chinese ship in the Middle East was transporting components of a nuclear weapons program.」 ② 反应的烈度（全部来自匿名信源）： 「The US military swung into action with plans to intercept the vessel, according to four sources familiar with the episode. According to two of the sources, armed members of the US military were preparing to board the ship. Military planes were in the air, one of those sources and another source familiar with the incident said.」 ③ 发现的时点——这是全篇最关键的一句： 「It was only just before the planned operation that officials dug deeper into the report put together by a special operations command analyst and found it had been generated with the help of artificial intelligence (AI) — and that a chatbot the analyst had used inaccurately identified the material the ship was carrying.」 CNN 明确写了它自己也不知道被误认的货物是什么： 「CNN was not able to learn what the misidentified cargo was.」 ④ 信源对这份报告的定性： 「The report, according to one of the sources, was ‘entirely false.’ But it also ‘almost started a war,’ the source said. Any US operation against a Chinese vessel could have risked spiraling into an armed conflict between the two nations.」
机制部分，报道给出的链条有四个可核验的环节。 ① 输入来自哪里： 「the analyst queried a chatbot about some intelligence reporting on the ship’s manifest that originated with US Special Operations Command Pacific, based in Hawaii.」 ② 用的是哪一类产品——报道说它不知道： 「It was not clear whether the chatbot was a commercially available one or a US government product.」 而一名前高级官员给出的说法被直接引用： 「The internal tools are mostly just copies of the commercial stuff wearing lipstick.」 ③ 聊天机器人做了什么： 「The bot fused together open-source intelligence with secret signals intelligence in government holdings and reached its fateful conclusion about the material the ship was carrying.」 ④ 第二步是把结论包装成产品： 「The analyst then used AI again to package the findings into a standard intelligence report — the kind that is trusted by military officials — and disseminated it.」 报道注明，美国太平洋特种作战司令部与五角大楼均未回应置评请求。
制度背景部分同样有具体内容。 报道指出这套推进「is decentralized」： 「different parts of the government using different tools under different orders and safety standards. There’s no one set of standards for how the US verifies the information generated by these tools.」 今年 1 月，国防部长 Pete Hegseth 发布「Artificial Intelligence Acceleration Strategy」，其目标是 「democratizing AI experimentation and transformation across the Department by putting America’s world-leading AI models directly in the hands of our three million civilian and military personnel, at all classification levels」。报道的结论句把它和这次事件连了起来： 「the episode with the Chinese ship underscores a different, and more immediate risk: human beings making disastrous decisions based on inaccurate or misleading information generated by AI or other automated systems.」
为什么重要。 两点。其一，这条与 #025 至 #027 一直在记的那条线是同一条，但它第一次给出了一个带具体后果的样本。 本刊此前记录过的是：能力扩散快于责任人到位（#024／#025）、评测方把审计写进流程（#026／#027）。 而这一条讲的不是评测，是使用：一个把 RAG（把公开来源与机密信号情报融合）与文档生成接在一起的工具，产出的东西在外观上与一份标准情报产品无法区分，于是它被当作标准情报产品分发。 值得指出的是，出问题的两次 AI 使用里，第二次（包装成标准报告）在工程上比第一次（得出错误结论）更普通、也更少被讨论。 换句话说，这里最可迁移的一课不在「模型会幻觉」，而在「格式是一种信任凭证」——把输出套进标准模板这个动作，本身就在为内容背书。 其二，报道给出的补救路径是缺位的，这一点报道自己写得很清楚。 「There’s no one set of standards for how the US verifies the information generated by these tools.」 把它与本期第 1 条并读，落差会非常明显：同一天里，一家实验室在公布「agent 的每一个动作有 100% 的在线监控覆盖、拦截率 0.002%、每周约 50 条升级人工」；而一个把 AI 输出直接用于军事决策的体系，报道说它「没有统一标准」。 本刊不认为这两个场景可以直接比较（规模、后果、法律责任都不同），但把两者的可核验程度放在一起，读者可以自己判断目前「有监控」这件事的分布有多不均匀。
待观察。 本条全部事实来自 CNN 一篇报道，其核心情节建立在四名匿名信源与两名额外信源的口径上，CNN 自己也只对其中部分说法标明了「四名」或「两名」；本刊未获得任何一手文件、报告原文、命令记录或行动记录，也未从美国国防部或美国太平洋特种作战司令部获得任何回应；报道未给出事件的具体月份（只说「this spring」）、船只名称、船旗细节、被误认的货物、涉事聊天机器人的名称与版本、以及这名分析师所属单位；本刊同样不知道这些信息；同一句里「AI 协助生成」与「聊天机器人错误识别了货物」是两个不同的声称，前者指流程、后者指内容错误，报道未说明错误具体由哪一步引入；「almost started a war」是其中一名信源的原话，属于个人判断而非可核验事实，本刊照录不做延伸；本刊未读取 275 条 HN 讨论；报道提到的 Hegseth 备忘录与「Artificial Intelligence Acceleration Strategy」本刊未打开原文核对措辞。
来源：CNN·Exclusive: US military had close call after using AI for false intelligence report（本机直接抓取核验正文） · HN 条目 49757520（本机经 firebase API 取值：343 分/275 评论，09-18 17:28 UTC 提交）
3. 未删节法庭文件：微软一位高管把 AI 抓取称为「人类历史上最大的劳动力盗窃」，并记录 Copilot 让 NYT 域名点击率最多下降 93%
事实。 TechCrunch 于 2026 年 9 月 17 日 12:46 PDT 发布《Microsoft exec called AI scraping ‘the largest theft of labor in human history,’ new unredacted filings reveal》（techcrunch.com/2026/09/17/microsoft-exec-called-ai-scraping-the-largest-theft-of-labor-in-human-history-new-unredacted-filings-reveal/，作者 Rebecca Bellan，本机直接抓取核验正文，HTTP 200；HN 条目 49752056，09-18 09:45 UTC 提交，取值 846 分 / 751 评论——这是本期窗口内全部 HN 条目中分数最高的一条，高于所有非 AI 条目）。
报道开头就交代了最重要的一条方法论限制，本刊照录： 「It’s worth noting that much of the new information comes from The Times’ own brief, not the underlying exhibits, which remain sealed. The quotes below are presented without their original context.」 ——也就是说，被广泛引用的那些话，出自原告自己的简报，底层证据仍然封存。 案件本身是《纽约时报》三年前对 OpenAI 与微软提起的版权诉讼。
可核验的具体内容包括以下几组。 ① 定性用词： 「Per the lawsuit, a top Microsoft executive privately described the companies’ AI training practices as ‘theft,’ and OpenAI’s own leadership said its AI models posed an ‘existential threat’ to the publishers and journalists whose work trained them.」 ② 抓取方式： 「The unsealed material also details how the companies allegedly obtained and used that content by bypassing paywalls undetected, building training datasets via mass scraping, and deliberately stripping copyright notices from training data.」 ③ 市场替代的具体数字（本刊认为这是全篇最实的一组）： 「Microsoft’s own data shows its Copilot ‘answer engine’ caused click-through rates for The New York Times’ domain to drop as much as 93% compared to traditional Bing search.」 这句所依据的内部材料是一份由微软应用科学总监 Brent Hecht 于 2024 年 1 月撰写的演示文稿，报道称它把这种下滑描述为一个「doom loop」，会「hurt the performance of our models and the entire web at the same time」。 同一份材料里被引用的一句话是： 「It is highly unusual that an end-product threatens the economic foundations of its essential suppliers, but that is the situation we have created for our LLM business with respect to its ‘content supply chain’.」 ④ 高管证言： 微软 CEO Satya Nadella 今年在一份证言中表示「anything that is paywalled should be licensed by anyone who wants to use it…for grounding or training」，并明确表示如果他「had been made aware that OpenAI had scraped and trained on information that was behind a paywall」，他会「invoked [Microsoft’s right to] require OpenAI to retrain its models」。 ⑤ OpenAI 侧的表述： ChatGPT 负责人 Nick Turley 在内部沟通中写道，出版商面临来自聊天机器人这类产品的「existential threat」，它们「largely substitutive」并且「will get more and more substitutive as they get better」； OpenAI 总裁 Greg Brockman 把模型描述为「excellent at news」。 ⑥ 就业影响： 一份微软文件写道，存在「real risk」生成式 AI 会「significantly disrupt the employment of the very people who generated the data on which the foundation model was trained」。 ⑦ 规模——这是本期出现的第二个可以被具体记住的量： 「The documents reveal for the first time that OpenAI’s mid-training datasets alone contain more than 91,692 copies of works published by the NYT, Daily News, and Center for Investigative Reporting. A Common Crawl-derived dataset included more than 2 million documents from nytimes.com alone.」 ⑧ 那句被用作标题的话，有明确的时间与出处： 「In a January 2023 internal memo, Hecht called it ‘an astonishing theft of unprecedented proportions’ and ‘the largest theft of labor in human history.’」 ⑨ 数据来源： 「The filing lays out in new detail how OpenAI and Microsoft went about acquiring the plaintiffs’ content, including scraping it from the Bing Index.」 报道另提到一条法律背景： 「Earlier this month, the Trump administration contributed a brief in defense of OpenAI’s unlicensed use of copyrighted material to train its LLMs.」
为什么重要。 两点。其一，本刊认为这一条里最值得记住的不是那句标题，而是 93% 这个数字的来源性质。 它出自微软自己的数据，用来描述自家产品对自家供应方的市场影响——不是原告的估算，也不是研究者的测量。 在一场争议多年的诉讼里，能被双方同时承认的量本来就不多，这是其中之一。 而且它把「fair use」四要素里最难论证的那一条（是否替代或损害原作市场）从论述变成了一个可以被追问的百分比。 其二，这一条与本期第 1 条正好构成一组镜像，而镜子两边都照出了同一个结构问题。 第 1 条里，Anthropic 公布的是「我们的 agent 在系统里做了什么」，粒度到 0.002%；这一条里，被公布的是一家模型公司的训练数据里「有多少份谁的什么作品」，粒度到 91,692 份。 两者都说明同一件事：在这条产业链上，真正可以被审计的记录并非不存在，只是它们通常在法庭或内部监控系统里，而不在公开披露里。 第 1 条的报告里有一句诚实的自陈——「A measurement meant to be trusted by outsiders will need to be complete, accurate, and technically enforced.」把这句话放在第 3 条旁边读，会显得格外具体：当披露的动力来自诉讼而不是来自监督制度时，被披露的粒度就取决于取证需要，而不是取决于公众需要。
待观察。 本条全部内容来自 TechCrunch 对一份未删节法庭文件的报道，而报道第一段就写明许多新信息出自《纽约时报》自己的简报、底层证物仍处于封存状态、且引用「without their original context」——本刊未获得任何法庭文件原文、证物、证言记录或内部备忘，因此无法核验任何一句引文的完整语境；引用者的职位由报道给出（如「a top Microsoft executive」「Microsoft’s director of Applied Science, Brent Hecht」），本刊未独立核实这些职衔与署名的对应关系；93%、91,692 份、200 万份文档、2024 年 1 月与 2023 年 1 月这三个时点，均为报道转述，本刊未读到原始数据；「废除版权声明」「绕开付费墙」等行为描述在报道中以 allegedly／per the lawsuit 的口径出现，属于指控而非已认定事实；同一案中的「fair use」争议在美国尚无终局答案，报道自己写明「judges have been largely favorable to AI companies’ arguments」，本刊不对案件走向做任何预测；本刊未打开特朗普政府那份简报原文；本刊未读取 751 条 HN 讨论。
来源：TechCrunch·Microsoft exec called AI scraping ‘the largest theft of labor in human history’（本机直接抓取核验正文） · HN 条目 49752056（本机经 firebase API 取值：846 分/751 评论，09-18 09:45 UTC 提交）
4. 一条图片解析器上的堆溢出，加上一处 SSO 配置问题，让三个人在 72 小时内从 OpenAI 论坛走到内部仓库——全程用 Claude 找洞、Opus 5 发布当晚做出可用利用
事实。 Hacktron AI 在其博客发布《Hacking OpenAI》（hacktron.ai/blog/hacking-openai，本机直接抓取核验全文，HTTP 200，约 37.4 万字节；HN 条目 49749656「A heap overflow and SSO misconfiguration to compromise OpenAI internal repos」，09-18 02:47 UTC 提交，取值 463 分 / 196 评论）。作者自述团队为 Harsh Jaiswal、Mohan Pedhapati、Rahul Maini。这份材料的信息密度很高，本刊按攻击链、时间线、能力跃迁、成本四块照录。
攻击链。 官方给出的链条图示是：libheif 图片解码器 → Debian 缺失安全回溯 → ImageMagick 使用 libheif → Discourse 图片上传 → community.openai.com → OpenAI SSO 身份缺陷 → ChatGPT/Codex 账号访问 → GitHub 连接集成 → OpenAI 内部仓库。开篇句为： 「On July 25, 2026, we chained two critical vulnerabilities to compromise multiple OpenAI employees’ ChatGPT accounts. With these accounts, we could then access internal OpenAI repositories, and potentially many other connectors.」 而验证影响的方式被专门说明： 「To prove we had in fact gained the access we believed without allowing ourselves to learn any sensitive information, we used the employee’s Codex to open a PR #1186742 in OpenAI’s internal monorepo openai/openai.」（链接已按 OpenAI 要求隐去，本刊无法核验该 PR）。另一句范围描述是： 「Until two months ago, any user or OpenAI employee logging into OpenAI’s own help forum (community.openai.com) could have had their ChatGPT and Codex accounts taken over.」 以及一句本刊认为最应该被单独引用的定性： 「We want to emphasize that the vulnerability to escalate is not Discourse-specific. It is an OpenAI SSO issue that turned the forum compromise into access to ChatGPT and Codex. If any first-party or third-party OpenAI service using the OpenAI SSO was compromised, it would lead to same access — Discourse was merely one way of proofing it.」
技术细节部分。 ① 第一跳的成因是一个「不支持」引发的降级路径： 「Discourse normally used FastImage for image checks, but because FastImage did not support HEIF, it passed those files to ImageMagick’s magick command for conversion. That exposed the underlying libheif parser directly to attacker-controlled files.」 ② 发现方式是把模型放进容器里做源码审计： 「We started an Opus 4.8 session with the Discourse Docker image and asked it to inspect the installed libheif package for security issues. After a while, it found that some particular security fixes were not back-ported to the libheif package. This allowed an heap buffer overflow leading to OOB R/W primitives during HEIC decoding.」 ③ 一个解释「为什么没打补丁」的细节： 「Interestingly, the vulnerable code had been changed upstream the previous year, but the commit was not documented as a security fix and received no CVE.」 作者认为这可能是 Debian 12 与 13 未及时获得安全回溯的原因； Discourse 的 Docker 镜像基于 Debian 12，装的是 libheif 1.19.7，而当时 Debian 13 仍在发 1.19.8。 本刊补一句可核验的后续： Hacktron 注明 Debian 已在 2026 年 8 月 8 日为 Debian 13 发布安全更新（引用 DSA-6417-1）。 ④ 修复节奏由三方各自完成： OpenAI 侧于 7 月 25 日 22:49:45 UTC 确认修复（距提交约 14 小时）；Discourse 于 7 月 26 日（周日）回复、7 月 27 日（周一）给出修复并开始把 ImageMagick 放进沙箱、7 月 28 日发布 GHSA-vhm9-85gw-x335。 ⑤ 悬赏与一句澄清： OpenAI 于 9 月 1 日支付 6,500 美元并标记已解决，同时给出澄清—— 「testing against the Discourse-hosted community.openai.com was explicitly excluded from our bug bounty program. The award recognizes the OpenAI-side finding, not the actions against Discourse.」 ⑥ 补丁与纵深防御建议： 受影响范围被描述为一个生态而非单一版本（「e.g., 1.19.x, 1.20.x, 1.22.x, 1.23.x」）；截至 2026 年 9 月 14 日最新上游安全版本为 libheif v1.23.4；建议包括「disable untrusted HEIF/AVIF decoding where it is not needed, or isolate image-processing pipelines inside hardened, ephemeral sandboxes」。 文中还给出一个维修告警：自建 Discourse 的用户「rebuild your installation now … a web-interface update alone may not replace the underlying image」。
能力跃迁一节，是这份材料里最值得单独记住的部分。 ① 卡住的地方： 「On July 24, we used Opus 4.8 to develop a working ImageMagick/libheif code-execution exploit with ASLR disabled. We then launched several separate sessions to make it reliable against Discourse’s default configuration with ASLR enabled, which wasn’t fruitful.」 ② 转折点： 「That evening, Anthropic released Claude Opus 5.」 ——「We started a new session, which first produced a working ARM64 exploit for a local Mac within 3 hours. We then asked it to port the exploit to the x86-64 environment and jemalloc configuration used by Discourse. By 6:00 a.m. on July 25, we had confirmed local RCE through an image upload.」** ③ 自主循环的那一段写得很具体： 「We then placed Claude in an autonomous /goal loop against our own Discourse Cloud instance, proxied through rce.ee/ctf-forum to make it look like a CTF target as Opus refused write exploit for remote instances.」 ——「When we checked again at 10:00 a.m., the agent had achieved RCE on Discourse Cloud and demonstrated access by reading /etc/hosts.」** ④ 又一次跃迁： 「Across the broader campaign, we saw another clear jump from Opus 5 to GPT-5.6 Sol, when we had to exploit the vulnerability without knowing anything about the target system besides that it’s vulnerable.」 ⑤ 一句关于「没人发现」的对照： 「We are not aware of any company that detected the activity except Shopify, even after thousands of images were sent and their image processors repeatedly crashed.」
成本与结论。 本刊认为这一条与本期前三条最不同的一点，是它第一次给出了攻击侧的价格。 「The Discourse and OpenAI hack took a few days for an agent, and just a few hours of human time. The whole HEIF Heist research project going after Slack, Meta, adn more took two-months, cost less than $3,000 in tokens in total, and was conducted by three researchers. Adapting the exploit to each new company usually took only one or two days.」 作者自己的收尾判断是： 「Software has long benefited from a kind of security through complexity. … AI is removing that protection by turning more of this scarce expertise into compute.」 以及 「Security assumptions must catch up with attacker capabilities.」 本刊另附两条同题报道以供对照，但两条本机均不可读： 《华尔街日报》的《Hackers Used Anthropic’s Claude to Break into OpenAI》（HN 条目 49758749，09-18 19:04 UTC，9 分 / 2 评论）与《卫报》的《OpenAI ‘ethically hacked’ with help of Anthropic’s Claude chatbot》（HN 条目 49755468，09-18 15:07 UTC，12 分 / 2 评论），两条本刊均未读正文，因此不对其内容做任何推断。
为什么重要。 两点。其一，这条消息的真正形态不是「一家公司被黑」，而是「一条依赖链被完整走通，并且每一跳都有名字」。 把它与 #026 记录的 Hugging Face 事件、#027 记录的 OpenAI 六份不对齐报告放在一起，本刊近三期记录的安全主线其实已经很清楚： 风险不再集中出现在自家代码里，而是出现在「你的系统读别人给的文件」这个动作上。 本次的两个漏洞分属两个完全不同的层：一个是开源的图片解析器（内存安全），一个是自家的身份体系（配置）。 作者强调可升级性来自 SSO 而非 Discourse 这一句，实际是在提醒所有用同一套 SSO 的产品：修补一个论坛不会同时修补通往内部仓库的那条路。 其二，Opus 4.8 到 Opus 5 的那一段，是本刊目前记录到的最具体的一次「模型换代改变攻击成本」的现场记录。 同一个任务（在 ASLR 开启下让利用稳定），一个版本在多个会话里没做出来，下一个版本在数小时内做出来，而且是跨架构移植。 本刊不对这一对比做外推（这是单一团队的单一叙述，没有对照实验，没有公布每个会话的提示与轮数），但两点值得指出： 其一，作者自己也写了「This was not completly autonomous hacking, and skilled human guidance remained important」——人仍在环内； 其二，3000 美元这个数字，是本刊记录过的所有安全成本口径里最低的一个。 把它与本期第 1 条并列，会得到一个不太舒服的对称： 同一天里，一边在公布「三万个 agent、十亿次决策、拦截率 0.002%」，另一边在公布「三个人、两个月、token 成本不到 3000 美元，除一家公司外无人察觉」。 两者说的是同一层东西的两个方向。
待观察。 本条全部内容来自 Hacktron 的一篇自我发布的技术博客，本刊未获得任何漏洞利用代码、抓包记录、日志、OpenAI 或 Discourse 的官方确认文件、Bugcrowd 报告或 GHSA 通告原文，因此无法独立核验攻击链、时间线与全部数字；其中「我们用了某员工的 Codex 开了一个 PR」这一验证动作，PR 链接已按 OpenAI 要求隐去，本刊无法核验其存在；6,500 美元赏金与 OpenAI 的澄清句以「OpenAI comment」形式出现，本刊未在 OpenAI 一侧找到对应声明；本刊未打开 Hacktron 引用的 Debian DSA-6417-1、libheif v1.23.4 发布说明、Anthropic《Introducing Claude Opus 5》以及 RAND 的报告，因此关于补丁状态、Opus 5 发布时间与「安全靠复杂性」这一论点的引用链本刊未逐条核实；关于除 Shopify 外无人察觉的说法是作者口径，本刊未向任何涉事公司求证；「整个项目不到 3000 美元 token」未说明计价方式（是 API 标价、订阅额度还是内部成本），本刊照录不加换算；本刊未核实 Hacktron 的客户关系与商业动机，读者应把这篇当作有明确立场的一方所发布的技术材料来读；本刊未读取 196 条 HN 讨论；同题的《华尔街日报》与《卫报》两篇报道本机不可读，本刊未做任何交叉引用。
来源：Hacktron·Hacking OpenAI（本机直接抓取核验全文） · HN 条目 49749656（本机经 firebase API 取值：463 分/196 评论，09-18 02:47 UTC 提交）
5. ZCode 被指在登录状态下静默打包整个工作区并直传阿里云 OSS：加密公钥由服务器下发，本地无解，快照里 86.6% 是 .git
事实。 一篇标题为《Inside ZCode: Silently Uploading Your Entire Git History to the Cloud》的调查文章发布于 blog.ferstar.org（blog.ferstar.org/en/posts/zcode-silent-workspace-snapshot-upload/，本机直接抓取核验全文，HTTP 200；页首注明「I am not a native English speaker; this article was translated by AI.」；HN 条目 49750694，09-18 06:11 UTC 提交，取值 238 分 / 89 评论）。文中把 ZCode 描述为「Zhipu’s official AI coding desktop app」（智谱官方 AI 编程桌面应用）。本刊未能访问智谱官方对 ZCode 的说明页面，也未获得任何厂商回应。
作者的证据链分四步，每一步都有可核验的产物。 ① 起点是一个磁盘占用： 「~/.zcode was taking up over 700MB」，拆分为 cli/ 约 257MB、computer-use/ 约 130MB、v2/checkpoints/ 约 303MB。在 checkpoints 目录里发现一个 313MB 的 .enc 文件与一份状态元数据，后者内容为： workspacePath 指向一个商业项目路径、lastCompressedSize 为 {"encryptedSizeBytes": 313070842, "workspaceSizeBytes": 345549173}、kind 为 baseline、failureCount 为 564。 ② 上传流程由逆向 app.asar 还原，共两段： 先 POST /api/v1/snapshot/upload-credential 到 zcode.z.ai，服务器返回 snapshot_id、RSA 公钥、max_size、OSS 表单凭证与 callback； 客户端本地 tar.gz 打包 → AES-256-CTR 加密 → RSA-OAEP 包裹对称密钥 → 以 PostObject 表单直传阿里云 OSS → OSS 回调智谱后端登记快照。 作者注明这是绕过智谱自身应用服务器的直传（「the client bypasses ZCode’s own application servers」），并用活动 socket 做了交叉验证： 「the running ZCode process maintained persistent HTTPS connections to zcode.z.ai IP endpoints plus two Aliyun OSS storage nodes.」 ③ 加密设计的要点： 内容用临时对称密钥经 AES-256-CTR 加密，对称密钥用 rsa-oaep-sha256 以 「the public key supplied by the server」 包裹，而 「the corresponding private key never touches your machine」。作者的自述是： 「that 313MB ciphertext on your drive cannot be opened by you or the client. Only Zhipu’s backend holds the key to unlock it.」 他给出的推论是： 「If this feature were genuinely built for user-facing rollback or cross-device sync, the keys would live locally (just like Git or Time Machine).」 ④ 打包内容的构成，来自 「saved locally in plaintext」 的 Manifest：某个 42,411 个文件的快照里， .git/lfs/ 196.1 MB（56.8%）、.git/objects/ 102.2 MB（29.6%）、.git/logs/ 0.6 MB（0.2%）、源码与配置与内部文档约 46.2 MB（13.4%）；.git 目录合计占 86.6%。 作者据此列出的泄露面包括： 历史提交里已删除的 API key 与敏感配置、未推送的本地分支名、.git/config 里的内网 GitLab 主机名与仓库路径。 另有一个额外清单 repo_snapshot_extra_manifest，会把全局 ZCode 配置文件（如 settings.behavior.json）哈希后跨工作区打包进每个快照。
两处最值得单独记下的部分。 其一是 UI 开关与实现的错位，作者做了逐项对照： 「Optimize Experience」(optimizeAgentExperienceEnabled) 只控制数据是否被授权用于模型训练，快照的捕获与上传照常运行； 「Repo Snapshot Indexing」(repoSnapshotIndexingEnabled) 只控制服务器是否索引已上传的快照，本地打包与上传不受影响。 作者的结论是： 「the capture/upload sidecar is instantiated unconditionally at startup. There are no gating if checks on user preferences; the only requirement is that tokenProvider can return a valid JWT.」 以及 「as long as you are logged in, this background pipeline is permanently active, and no UI setting can turn it off.」 捕获触发点有两处： captureBeforePrompt（每次提示前）与任务完成时标记 repo-wiki-update； 作者写 「In session logs, a single active session generated up to 62 capture events.」 其二是与隐私政策文本的比对： 政策明确收集「text, files, and code submitted during conversations」，但 「across the entire policy, FAQs, and changelogs, there is not a single mention of silently packaging and uploading entire workspaces and full Git histories」。最后是他给出的防护做法：删除本地文件不起作用—— 「When I first found the pending package, I simply deleted it. Within half an hour, it re-captured — a fresh 313MB archive with the retry counter ticking from 564 to 565.」 他建议在文件系统层加不可变位：macOS 用 chflags uchg ~/.zcode/v2/checkpoints，Linux 用 sudo chattr +i ~/.zcode/v2/checkpoints，并注明代价是 checkpoints 的回滚/时间线 UI 功能不再可用，而聊天、补全与工具执行不受影响，恢复用 chflags nouchg / chattr -i。
为什么重要。 两点。其一，这一条最值得记的技术事实不是「有工具上传代码」，而是「公钥由服务器下发」这个设计选择。 端侧加密服务在工程上通常会给出两个承诺之一：密钥在我手里（所以没人能读），或者内容根本不出本地。 这里两个都不成立——数据出本地、且密钥只在对方手里；而作者用「本地所有私钥都解不开这 313MB 密文」这一条把它实际测了一遍。 本刊认为这是一个可以被广泛复用的判据：看到「加密上传」时，第一个要问的问题不是「加密算法是什么」，而是「解密的钥匙在谁那里」。 其二，它与本期第 3 条、第 4 条其实是同一件事的三个不同站位。 第 3 条讲的是模型公司的训练数据从哪来；第 4 条讲的是攻击者如何从一条图片解析路径走进内部仓库；这一条讲的是一个开发者工具在用户不知情时把代码送到哪里。 三条的争议对象都是「数据流」，区别只在于谁在流、流向谁、以及有没有被告知。 本期把它们排在一起，是因为它们在同一天出现在同一个榜单上——这本身说明「数据流向是否被披露」正在变成一件被持续关注的事。 另外值得指出的是，这一条的传播量（238 分）低于本期第 3 条（846 分）与第 4 条（463 分），而它所涉及的行为直接发生在开发者的本地磁盘上。
待观察。 本刊未安装、未运行、未反编译 ZCode，也未拥有智谱官方对该工具的任何说明；本条全部技术细节（313070842 / 345549173 两个字节数、564 次失败重试、42,411 个文件的分项占比、62 次捕获事件、两个开关的变量名与行为、repo_snapshot_extra_manifest、app.asar 中的接口路径与加密参数）均来自该文作者的自述，本刊无法独立复现；「ZCode 是智谱官方 AI 编程桌面应用」这一身份描述来自该文作者，本刊未核对智谱的产品页；该文为个人研究者发布，页首声明为 AI 翻译，措辞与代码片段的细节可能存在转译误差，引用具体变量名时应以原文为准；作者对动机的推断（「A key that only the server can use serves exactly one purpose」）是判断而非事实，本刊照录不加延伸；本刊未联系智谱方面求证，也未看到任何厂商回应；文中给出的 macOS/Linux 防护命令本刊未在真实环境中执行验证，读者自行评估风险；本刊未读取 89 条 HN 讨论。
来源：blog.ferstar.org·Inside ZCode: Silently Uploading Your Entire Git History to the Cloud（本机直接抓取核验全文） · HN 条目 49750694（本机经 firebase API 取值：238 分/89 评论，09-18 06:11 UTC 提交）
简讯
① 一条把「harness」拆成零件来测的实证研究——它与本刊 #027 记录的 ReFigBench 结论直接接续。 《An Empirical Study of Harness Design for Coding Agents》（arXiv:2609.20804，提交于 2026 年 9 月 17 日，cs.AI/cs.CL/cs.LG/cs.SE；作者 Run-Ze Fan、Zihao Zhang、Simin Ma、Yebowen Hu、Shouju Wang、Kaiqiang Song、Fei Liu、Hamed Zamani、Xiaoyang Wang；摘要经 arxiv.org 摘要页与 export.arxiv.org 官方 API 直查，本刊未读 PDF；HN 条目 49753878，09-18 13:06 UTC 提交，取值 197 分 / 57 评论）。问题设定（作者口径）： 「Coding harnesses shape how autonomous coding agents translate model capabilities into long-horizon software-engineering performance, yet existing work typically evaluates harnesses as monolithic systems, leaving the effectiveness of individual components unclear.」 方法： 「a lightweight coding harness whose execution loop is fixed while three components are varied: planning, action space, and context management」，四个模型、SWE-Bench Verified 与 Terminal-Bench 2.1、 「176 matched settings spanning five context-management strategies, four context-window budgets, and targeted ablations of planning and action space」。四条结论（照录）： 「(1) Context management becomes increasingly valuable as the context-window budget tightens, with most of its benefit coming from preventing context-overflow failures. (2) Staging rule-based elision before LLM-based summarization provides the strongest overall efficiency among the context-management strategies, whereas making elided content recoverable adds machinery that models rarely use and yields no accuracy gain. (3) Planning shifts from an accuracy scaffold for weaker models to a cost saver for stronger models, with little change in accuracy. (4) Predefined tools improve performance for models with weaker bash proficiency, whereas bash-capable models can operate effectively with a bash-only interface and achieve substantially lower cost, especially on command-line-centric tasks.」 作者对机制的总结是： 「context management extends execution trajectories without substantially altering agent behavior, planning changes where trajectories stop, and the action space changes the granularity at which code is written.」 判断：这本刊认为是本期最应该与第 1 条并读的一条。 Anthropic 报的是「三万个 agent 在做什么、拦下了多少」；这一篇报的是「同一批零件怎么摆，成绩会差多少」。 后者更重要的地方在于它把「harness 是一个可比较的对象」这件事从 #027 的案例级观察变成了一个 176 组配置的实验设计。 待观察：该文为预印本，摘要中未给出各条结论的具体数值（上下文预算的分档、效率提升的幅度、成本差异的倍数均未出现）；「second-place」「substantially lower」这类表述在摘要中均无对应数字支撑；本刊未读正文，未核实 176 组配置的匹配方式与统计检验；本刊未读取 57 条 HN 讨论。
② 一条对 #027 简讯②的跟进：Bend 2 被指把「形式化验证」这个领域漏在视野之外，而同一段 demo 在 SPARK 里只用了不到两百行。 《Bend 2 and the Vibe-Coding Trap》（blog.liampwll.com/posts/bend_vibe_coding/，标注 September 18, 2026，本机直接抓取核验全文；HN 条目 49753179，09-18 12:03 UTC 提交，取值 307 分 / 227 评论）。#027 的简讯②记录过 Bend 首页的自述是「a fast language that blocks AI mistakes via proof」，并称「Bend’s type checker is a proof checker, as in Lean and Rocq」。 本篇作者的论证是量化的：Bend 首页 demo 中，LAWS.bend 用了 58 行来陈述「玩家永远不能碰到旗子或赢得游戏」，而证明这些性质所需的 PROOF.bend 用了 442 行； 他随后 「told a LLM to recreate the demo in SPARK with no further guidance」，给出的 SPARK（Ada 的正式验证语言与编译器）版本被本刊照录其结构与工具输出：GNATprove 返回 「Success: all checks proved (12 checks).」 作者的核心指控是一句方法论批评： 「vibe coding makes it possible to build a substantial solution before learning enough about the problem to recognise that a much better solution exists.」 并指出 「It’s notable that those two words appear nowhere on Bend’s webpage or in its codebase.」（指「formal verification」）。本文文首另有作者自加的说明，声明此文并非针对作者本人，并附上了 Bend 作者的一条评论链接（本刊未打开）。 判断：这条值得记，不是因为 Bend 好不好，而是因为它展示了 AI 辅助写作时代一种新的批评形态：用一个 LLM 在另一个成熟语言里重写同一个例子，然后对比行数与工具输出。 这类论证的说服力与它的可复现性直接相关，而本文给出的两个数字（58 / 442）与一条工具输出都是可以就地复核的。 待观察：SPARK 版本由作者用 LLM 生成、声称未加额外指引，本刊未独立运行 GNATprove，也未核对其 12 项检查的覆盖范围是否与 Bend 的 442 行证明等价；「58 行」「442 行」两个行数本刊未打开对应仓库文件核对；作者与 Bend 项目之间是否有其它关系，本刊未核实；本刊未读取 227 条 HN 讨论。
③ 一条与本刊第 1 条直接相关的产品变更。 Claude Code 更新日志版本 2.1.277（标注 September 18, 2026）的第一条为： 「Added AGENTS.md support: in a project with no CLAUDE.md, Claude Code reads AGENTS.md instead; change it under “Project instructions” in /config (not yet on Bedrock, Vertex or Foundry)」（本机直接抓取核验；HN 条目 49760187，307 分 / 131 评论）。判断：本刊只记事实与一个观察——AGENTS.md 是一个跨工具的事实约定（#027 简讯②记录过 Bend 的安装说明第二步标题即「Add this to your AGENTS.md」），而这条变更把该约定接进了 Claude Code 的默认读取顺序，同时把生效范围明确排除在三家云平台上。 待观察：注释中的「not yet on Bedrock, Vertex or Foundry」是官方在更新日志里的自述，本刊未找到关于何时覆盖这三家的说明。
④ 三条本刊只列标题与分数、不做任何内容推断的条目。 a) 《Korea raises data breach fines to 10% of revenue》（koreajoongangdaily.com，HN 条目 49759466，09-18 20:02 UTC 提交，224 分 / 70 评论）——本刊对该地址的直接抓取只得到 JS 外壳，可读文本为「Are we human?」，正文不可得。 b) 《Gov. Newsom signs executive order targeting AI safety ‘before it’s too late’》（ktla.com，HN 条目 49758614，09-18 18:55 UTC，5 分 / 6 评论）与《Virginia governor creates an AI task force and moves to restrain data centers》（theverge.com，49758647，09-18 18:57 UTC，4 分 / 0 评论）——两条本刊均未抓取，仅记录标题与分数。 c) 《AI chatbots are becoming experts at changing people’s minds》（science.org，HN 条目 49754250，09-18 13:39 UTC，78 分 / 94 评论）——本刊对该地址的抓取返回 HTTP 403，正文不可读。 本刊列出这三条只为说明当天的选题分布：本期头条没有选它们，不是因为它们不重要，而是因为本刊在无法独立读到正文时，不愿意只凭标题写段落。
⑤ 一条没有进入本期正文但值得单独指出的对照事实。 Manus 正在推进新一轮约 5 亿美元融资、目标估值约 40 亿美元，这是它 9 月 1 日宣布恢复独立运营后的第一轮融资。 消息最初由彭博社报道（本刊对 Bloomberg 该地址的连接直接超时，未能读到原文），量子位于 2026 年 9 月 18 日 08:37（北京时间）发布《Manus重生第17天，估值居然就翻倍了》（qbitai.com/2026/09/491764.html，署名 衡宇，本机直接抓取核验正文）。量子位给出的可核验要点（均为转述，非本刊核验）： 本轮融资「已经接近完成，但谈判仍在进行」；老股东腾讯、真格基金、HSG 与红杉中国于 8 月以约 20 亿美元从 Meta 手中买回股份，其中「腾讯接下Benchmark原先持有的股份，并成为Manus最大股东」（引财新）； ARR 方面，「去年12月Meta收购Manus前夕」官宣突破 1 亿美元、年化运行速率 1.25 亿美元，而「据财新报道，截至今年6月底，Manus的ARR已经达到约4亿美元」，The Information 的口径为 4 亿至 5 亿美元； 文中据此算了一组倍数对照：去年底 20 亿美元对超过 1 亿美元 ARR 约为 20 倍 ARR，而 40 亿美元对约 4 亿美元 ARR 约为 10 倍 ARR——「也就是说，虽然Manus整体估值从20亿美元涨到40亿美元，绝对值翻倍；但是每1美元ARR对应的估值差不多砍半了」。 判断：本刊把这一条放在简讯而不放入正文，理由是它目前是两个「接近完成」的转述叠在一起，且本刊未能读到彭博原文。 但它有一个值得记的观察角度：在一个 agent 赛道被底层模型厂商持续吸收能力的年份，唯一被公开引用来说明估值的量仍然只有 ARR，而这个量在过去半年里涨了约四倍、对应的估值倍数却砍半—— 换句话说，市场在为增长定价的同时，也在为「这层产品能不能长期存在」打折。 待观察：本刊未读彭博社、财新与 The Information 的任何原文，未核实 ARR 的口径、是否含未确认收入、以及回购时的具体股权结构；「腾讯成为最大股东」来自量子位转述财新，本刊未核实；新资方身份、最终金额与条款均未披露； 量子位文中另提及「9月10日，Cursor发布Projects beta」这一时间参照，本刊未核验。
今日判断
一句话：这一天最一致的一件事，是四家完全不同的机构在同一天各自公布了「一个系统里被记录下来的东西」——Anthropic 公布的是自家 agent 的动作账本，CNN 的匿名信源公布的是自家体系里一份 AI 报告的流转路径，一份法庭文件公布的是训练数据的来源与规模，Hacktron 公布的是自己走通的一条攻击链。 这四份公布里，没有一份是关于模型能力的。
三条信号值得带走：
其一，本期最重要的一步是「把百分比还原成次数」，而这一天里最好的例子恰好都在做这件事。 Anthropic 的 0.002% 配上「over a billion decisions」，落在数万次；每周约 10 万条转录被标记、约 50 条升级人工，落在一条可以逐段追问的漏斗上。 TechCrunch 那条里，93% 与 91,692 份是同类操作的两个方向——一个把「市场影响」变成曲线上的落差，一个把「大规模抓取」变成可以数的件数。 Hacktron 那条走得最远，它不再报比率，而是直接报价格：三个人、两个月、不到 3000 美元 token。 本刊认为这个趋势值得单独记一笔：本期之前，成本口径主要出现在训练与推理侧（#027 记录了小米的每小时 3 万美元与云知声的每百万 token 定价）；本期它第一次出现在攻击侧。 当同一件事的收益与成本都开始有公开数字时，「值不值得做」才第一次成为一个可以被外部讨论的问题。
其二，本期第 2、3、4、5 条的共同点，是它们都不发生在模型权重上，而发生在「模型之外的某一层被当成什么」上。 CNN 那条里，一次 AI 生成的结论被套进了「military officials 会信任的那种标准情报报告」的格式，于是格式给内容做了背书。 TechCrunch 那条里，付费墙后的内容被当成了可以事后补许可的技术细节，于是许可的问题被推迟到了法庭。 Hacktron 那条里，一个图片解析器被当成了可以直接接收不可信输入的前端组件，于是内存安全的问题变成了身份体系的问题。 ZCode 那条里，一个「优化体验」的开关被当成了「关闭数据收集」的同义词，于是权限的问题变成了一个变量名的问题。 四处都不是模型判断错了，四处都是有人先替它做了一个默认值。 本刊从 #024 起就在记录这条线；到本期，它已经明确到不需要再举例说明的程度。
其三，本期第 1 条与第 4 条并读，会看到一个本刊此前没有记录过的对称。 同一天里，一边公布「约三万个 agent 在内部平台并行运行，每个动作 100% 经在线监控、拦截率 0.002%、四周内人类升级约 50 条/周」，另一边公布「三个人、两个月、不到 3000 美元 token，把利用适配到多家前沿公司，除一家外无人察觉」。 前者证明的是「在被监控的范围内，异常可以被压到极低」；后者证明的是「在没有被监控的链路上，成本可以低到个人级预算」。 两者并不矛盾，它们说的是两件事：监控是有效的，而监控的覆盖面是有限的。 Hacktron 那篇结尾有一句本刊认为可以作为本期的收束——「Security assumptions must catch up with attacker capabilities. A realistic threat model should take into account the economics of exploitation today, instead of relying on outdated assumptions about who can carry out sophisticated attacks.」 把这个句子里的「security」替换成本期任何一个领域，它都成立。
如果只记一件事：本期第 1 条与第 2 条讲的是同一件事的两端，而它们相隔不到一天。 一端是：一家实验室把「AI 做了多少研发」做成了一份公开指数，并且主动给出了自家 judge 模型与人类评分者的分歧率。 另一端是：一个分析员用聊天机器人得出了一个结论，把它包装成标准报告，然后这份报告被整个体系当成事实，直到一支准备登船的队伍在最后一刻被叫停。 两件事都不涉及模型能力的变化，区别只在「谁在核验」。 前者的核验是被人设计和公布的，后者的核验是碰巧在行动前发生的。 这可能是本期唯一一条对未来有指导意义的判断：在同一个模型身上，决定一次输出是「一个可以被追责的量」还是「一次险些发生的事故」的，并不是那个模型，而是它下游有没有人准备好去检查它。
本刊注：本期窗口为 9/18 07:05（#027 发布）至 9/19 07:05（北京时间）。核验路径说明：claude.com/blog 的产品博客、anthropic.com/institute 的报告页、cnn.com 的独家报道、techcrunch.com 的相关报道、hacktron.ai 的技术博客、blog.ferstar.org 的 ZCode 调查、blog.liampwll.com 的 Bend 评论、code.claude.com 的 Claude Code 更新日志，以及 qbitai.com 的两篇正文（Claude Code 大重构、Manus 融资），均经本机 curl 直接抓取并核验全文（HTTP 200）。五处源本机不可达或不可读：science.org、ktla.com 与 theverge.com 的相关地址（本期实抓中 ktla 与 science 均返回 HTTP 403，theverge 本期未抓取）、koreajoongangdaily.com（返回 JS 外壳，可读文本仅「Are we human?」）、bloomberg.com（连接超时）。 news.ycombinator.com 本机连接超时，因此本期所有 HN 分数与评论数均取自 firebase API 的 /v0/item/<id>.json 字段（本期刊出的每一条 HN 条目均为本机实取），本刊未引用任何一条讨论内容。 简讯①与第 5 条涉及的 arXiv 条目摘要经 arxiv.org 摘要页与 export.arxiv.org 官方 API 直查，本刊未读 PDF 正文。 本期涉及发布方自述或单一信源数字的条目（Anthropic 的 26%、90%、0.002%、59%/35%/97%、30,000、6%/12%、15,000、542/378；CNN 的匿名信源口径与「almost started a war」；TechCrunch 转述的 93%、91,692、200 万、以及全部引文；Hacktron 的攻击链、时间线、6,500 美元、3,000 美元、Opus 4.8 与 Opus 5 的对比；ZCode 的全部字节数、行数与开关行为；量子位转述的 Manus ARR 与腾讯持股）均已在各条「待观察」中逐条标注口径，读者应据其使用。所有未经第三方复现的数字与判断请以官方原文为准。