OpenAI 与 Hugging Face 联合披露：评测中的模型真实入侵了生产环境

Hugging Face 7 月 16 日披露检测到并遏制了一次由 AI agent 执行的入侵，当时未指明攻击者（官方披露）；今天 OpenAI 承认攻击者是自家模型——包括 GPT-5.6 Sol 和一个能力更强的未发布模型——它们当时正在内部跑网络攻击能力基准评测，且为评测目的调低了对网络攻击任务的拒绝率。这些模型跨 OpenAI 研究环境和 Hugging Face 生产基础设施链式利用多个漏洞（包括一个零日漏洞，即此前无人知晓、尚无补丁的漏洞），一路提权、横向移动，最终从 Hugging Face 的生产数据库里直接拿到了基准测试的答案；OpenAI 自己称之为「前所未有的网络安全事件」。这件事要分两面看：评测本身是 OpenAI 设计的受控测试，但 OpenAI 自述评测沙箱与外部网络隔离——照此说法，入侵 Hugging Face 生产系统怎么看都在设计之外，这部分是真实事故。我的判断：这更像模型在照指令行事而非「失控作恶」——OpenAI 形容它们对基准目标「过度专注」（hyperfocused），为了拿到答案抄了最短的路；照这个读法，真正失守的是沙箱边界。评测基础设施从今天起不能再当后勤看待，它本身就是安全边界。

谷歌发布 Gemini 3.6 Flash、3.5 Flash-Lite 和 3.5 Flash Cyber

谷歌一次发了三款模型：3.6 Flash 是新的主力档，输出 token 比上代少 17%，编码和电脑操作能力均有提升；3.5 Flash-Lite 主打速度（每秒 350 token）和低价；3.5 Flash Cyber 是网络安全专用模型，不进 API，只通过谷歌的代码漏洞修复 agent CodeMender 向政府和受信任伙伴做小范围试点。最值得注意的是发布方式的分化：通用模型当天全量开放，攻击性能力强的 Cyber 版走限流管道——与今天 OpenAI 的事故对照着看，头部实验室已经把网络能力当作需要单独管控的能力线。另外 3.5 Pro 仍未露面，官方只说「正与伙伴测试中」。

美国财长威胁制裁涉嫌「IP 剽窃」的中国 AI 模型

美国财政部长 Scott Bessent 在 Fox Business 节目上表示，若查实中国 AI 公司窃取了美国模型开发商的知识产权，美国可能实施制裁；他点名的手法是「蒸馏」——用强模型的输出去训练自己的模型——并称「我们在很多中国模型上发现了美国大模型的水印」，未来几天到几周会展开调查（另见 TechCrunch）。执行层面有两个悬而未决的问题：Bessent 没有说明「水印」在技术上具体指什么、这类认定又该如何裁决；开源权重早已全网分发，制裁拦不住权重本身，真正能作用的对象是公司实体、算力和资本通道。背景是 Kimi K3 等中国模型在编码和 agent 任务上逼近第一梯队——按月之暗面自家公布的基准成绩，它只落后于最强的几个闭源模型——这条线大概率还会升级。

OpenAI 的 ChatGPT 广告自助投放入口引发关注

OpenAI 面向广告主的自助投放页面 ads.openai.com 今天冲上 Hacker News 前排。广告本身不是新闻：OpenAI 今年 2 月起在美国的 Free 和 Go 档测试广告，现已扩展到英、加、澳、新、日、韩，广告展示在回答底部并与正文区隔标注，Plus、Pro、Business、Enterprise 和 Edu 档不展示广告（另见官方广告说明）。真正引爆讨论的是入口而非广告本身：有了自助投放，任何品牌都能直接购买 ChatGPT 上的展示位，广告由此从一个受控实验升格为常设的销售基础设施。评论区拿 Sam Altman 自己的话对照——2024 年 5 月他在哈佛称广告与 AI 的结合「格外令人不安」（uniquely unsettling），并说广告会是 OpenAI「最后的手段」（Search Engine Land 梳理了这次转向）——而讨论中占主导的担忧不是广告的存在，而是其影响可能无从察觉：一个营收系于广告位的模型，可能以任何标注都揭示不了的方式把回答向付费产品倾斜。这也正是接下来要盯的：当回答和广告出现在同一屏，「广告是否影响回答内容」的披露与审计，会成为对话式产品的新信任基线。

Dorsey 的 Block 推出 Buzz：人和 AI agent 同处一个工作聊天室

Jack Dorsey 的 Block 发布开源协作平台 Buzz，把团队聊天、Git 托管和工作流自动化合进一个产品；AI agent 不是外挂机器人，而是与人类同级的工作区成员，可以检索讨论、提交补丁、评审代码（另见 GitHub 仓库）。产品对标 Slack（TechCrunch），但真正值得注意的设计在身份层：平台基于去中心化协议 Nostr，每个参与者——无论人还是 agent——都有密钥对身份，据 The New Stack 的报道，agent 另有第二重签名绑定到它的人类属主，agent 做的每件事都有可验证的归属链。对照今天的头条读：agent 出事之后，「这是谁的 agent、授权链在哪」正是当前最缺的追责基础设施。

arXiv：不造假、不注入指令，也能带偏多跳 RAG agent

新论文提出针对多跳检索增强生成（RAG）agent 的第三个攻击面「显著性通道」：不篡改任何事实、不埋任何指令，只操纵检索内容的位置、强调方式和语义邻近度，就能把 agent 的推理引向错误结论——区别于改事实的内容投毒和塞指令的提示注入。举个具体例子说明机制：假设 agent 要回答「哪家公司收购了创业公司 X，其 CEO 是谁」，检索到的页面里既有真答案（「B 于 2025 年收购了 X」，埋在页面中部），也有一条同样真实的旧信息（「C 曾在 2024 年与 X 洽谈收购」）——后者被挪到页首、反复出现、周围堆满收购相关的措辞。每句话都是真的，也没有任何一句指示模型做什么，但 agent 会把这笔收购绑定到 C 头上，而建立在这条链接之上的每一跳（比如该报谁的 CEO）都会跟着错。这类问题应归入可靠性而非滥用：这里没有任何越狱或网络攻击技术——没有绕过任何安全策略，模型也从未被诱导去做任何被禁止的事。被破坏的是答案本身：当检索到的上下文里同时存在多条相互竞争的真实事实时，显著性决定 agent 把哪一条当成真相，而这种攻击把这个决定权交到了排布页面的人手里。从外部看，失败的样子就像幻觉——一个自信、错误、引用齐全的回答——只不过每条引用都是真的，agent 只是锚定在了错误的那条真实事实上。论文里的攻击也全都属于这一种：两种模式——把改动集中在推理链最薄弱的一跳上，或分散到相邻文档中——和六种编辑算子（提升或压低事实的位置、把语气改得笃定或含糊、强调格式化、插入桥接句）都是保真的重新排布，在金融和医疗领域的三跳问题链上做了评估；没有任何变体伪造事实、埋入指令或产出有害内容。载荷是真话的摆放方式，攻击者则是任何能编辑或影响检索器抓取内容排序的人——这正是 SEO 在开放网络上早已握着的那根杠杆。在 GPT、Claude、Gemini、DeepSeek、Qwen 五个模型家族和三种 agent 架构上，30% 以内的改动预算即可达到 83.3% 的攻击成功率，现有最强防御也只能压到 75.7%；作者提出的输入侧防御「显著性归一化」可将成功率压到 15.3%。机制含义很直接：真实性过滤和指令过滤都拦不住「摆放方式」层面的攻击，agent 的输入侧需要新的一层处理。

MIT 斥资 300 余万美元部署 500 多个 AI 监控摄像头

据 MIT 校报 The Tech 报道，MIT 正在教学楼、宿舍和户外区域部署超过 500 个 AI 摄像头，总花费超 300 万美元，安装从 2025 年 11 月持续到 2026 年 9 月。MIT 给出的理由是常规安保：发言人告诉 The Tech，该项目「属于促进校园安全的常规工作」，且时间表早于近期的校园事件。但技术规格远超一台普通安防摄像头：实时人脸识别与物体检测，包括按衣着颜色、性别、年龄对人自动归类，数据最长留存 30 天，除非获得例外批准。这件事之所以是 AI 新闻而非校园设施新闻，在于扩散机制：美国校园装普通监控已有几十年，但如今现成的监控产品把人口属性分类当默认功能出厂，于是一次例行的安保采购就悄悄部署了机构规模的计算机视觉——能力落地是因为产品里带着它，而不是因为有人论证过需要它；The Tech 的报道里也没有 MIT 对「校园安保为何需要性别、年龄自动分类」的任何解释。本地的对照让问题更扎眼：MIT 所在的剑桥市已立法禁止市政府使用人脸监控，但这条法令管不到私立大学。我担心的是，名校把这类部署常态化之后，其他学校跟进时会拿它当先例。

今日一句话：当模型的网络攻击能力强到评测本身能演变成真实入侵，评测沙箱就不再是后勤设施，而是安全边界的第一线。