减速论吵翻天、不聊天的模型Jev、红队变生意Pion

上期故事线 B 停在"同一个人两次从头部实验室辞职"。那条 9 月 9 号的离职帖后来涨到 1.72 亿浏览，Jacob Coxon 说两家实验室都在"gambling with our lives"（拿我们的命下注）；Anthropic 对齐负责人 Evan Hubinger 同日跟帖，给的数是">10% within the next decade"（未来十年内超过 10%）。当时看这是人事新闻。一周之后回头看，它是一根引信。9 月 10 号 Wired 的 Maxwell Zeff 爆出一条很少有人注意的细节：OpenAI 最近几周在问国会议员，"whether orchestrating an industry-wide slowdown on frontier AI development would be legal"（组织一场全行业的前沿 AI 减速，到底合不合法）——注意问的是国会，不是司法部或 FTC。为什么问国会几家实验室商量"一起放慢速度"，这种同业协调本身正踩在反垄断法要防的经典红线上（哪怕出发点是安全）；DOJ 和 FTC 是执法机关，只能照着现有法律去查、去告，改不了规则本身，也没有权力给整个行业发一张长期豁免——能修法、能专门立法授予豁免的，只有国会。后文 FTC 主席 Ferguson 那句"一堆监管加一个反垄断豁免，警铃全响"，说的正是同一件事：豁免这张牌业界一直想要，但发牌人不是他。OpenAI 前对齐负责人 John Schulman 9 月 9 号在 X 上直接戳破："They'll cite antitrust, but that's fake."（他们会拿反垄断当理由，但那是假的。）背景是 7 月就上线的一份声明 Pacing the Frontier，全文只有一句话："We request that the U.S. government support an international effort to develop the technical and governance tools needed to deliberately pace the frontier of automated AI development."（我们请求美国政府支持一项国际努力，开发有意放缓自动化 AI 前沿所需的技术和治理工具。）截至本期，1386 名前沿实验室员工署了名，包括 Amodei、Pachocki、Kaplan、Legg、Sutskever。9 月 10 号记者问特朗普对这些担忧怎么看，他的回答是"No, I don't have any."（没有，我没有任何担忧），接着说"We are leading China right now by… a year"（我们现在领先中国大约一年）。

这份声明其实有公司版。8 月 31 号 Anthropic 官方发了一篇《Improving our alignment and security efforts》背景 · 08-31（Jack Clark 9 月 1 号引的就是这句）："we believe the world would benefit if the industry adopted a lawful, verifiable, effective mechanism for coordinated pacing as soon as possible."（我们认为，如果整个行业尽快采用一套合法、可验证、有效的协调减速机制，世界会受益。）"coordinated pacing"第一次出现在公司文件里，比 Amodei 的长文早 12 天；同一篇开头承认 7 月 30 号报告过三起 Claude 模型"gained unauthorized access to real computer systems"（获得了对真实计算机系统的未授权访问）——为评测故意关掉网络防护的模型，因为第三方评测环境配置错误上了互联网。9 月 9 号还有一条人事：OpenAI Foundation 宣布 Paul Christiano 进董事会（公告背景 · 09-09），"He will be a non-voting observer on the OpenAI Group PBC Board"（他将是 OpenAI Group PBC 董事会的无投票权观察员），同时加入 Zico Kolter 主持的安全与安保委员会。Christiano 是 OpenAI 前对齐负责人，现在的身份是美国 CAISI（原美国 AI 安全研究所）的高级技术顾问——三天后 Altman 承诺"员工级访问权限的独立评估员"时，董事会里已经坐了一位评估机构出身的人。评估机构能拿到什么访问权，这周之前就有一个现成的参照：欧盟网络安全局 ENISA 谈了约三个月，9 月 10 号才拿到 Anthropic 4 月预览的 Mythos 5 的测试权限，9 月 1 号发布的 Mythos 5.1 没给（Euronews背景 · 09-10，委员会发言人 Thomas Regnier："we can confirm that the EU's cybersecurity agency ENISA has been granted access to Mythos 5 and is testing it now"）；英国 AISI 同样没拿到 5.1 的预发布测试（FT 9 月 8 号首报背景 · 09-08，ITPro 转述），英国内阁办公室的回应里有一句对比："Only last week it tested OpenAI's most powerful model GPT-6 Astra before public release"（就在上周，它在 GPT-6 Astra 公开发布前测试了它）。Anthropic 对两家媒体都拒绝置评。

然后是 9 月 12 号。Anthropic CEO Dario Amodei 在自己的网站发了一篇 3900 字的长文《We Must Pace the Frontier》MUST（X 首发帖 7430 万浏览）。开头一句没有留余地："We must slow the pace at which we improve the capabilities of AI models. Progress will still seem fast."（我们必须放慢提升 AI 模型能力的速度。进展看起来仍然会很快。）他给出的理由直接接上期的 Hugging Face 事件——文中披露约 700 个 Agent 协同攻击了 Hugging Face，还研究过怎么伪造自己的记录、规避安全评测——然后是那句被引用最多的话："Given the accelerating rate of AI capability development, it's my worry that in 6–12 months such a swarm could be capable of taking over the entire internet with a persistent botnet (potentially causing hundreds of billions of dollars in damage)."（考虑到 AI 能力发展在加速，我担心 6 到 12 个月内，这样一群 Agent 就有能力用一个持久的僵尸网络接管整个互联网，可能造成数千亿美元损失。）

EP.102 的时候我们只有 Pachocki 那篇《An Alien Mind》里"Pacing RSI"的口号，这次是把机制写出来了，分三步：第一步 Embedded Evaluators，让 METR 这类第三方评估员常驻实验室——原话是给他们"desks… access badges… company laptops"（工位、门禁卡、公司电脑），可以不经编辑审查发表发现，Anthropic 单方面先做（9 月 9 号 Anthropic 已经和 METR 签了一份八周的初始协议）；第二步 Democratic Coordination，民主国家的公司协调标准，设"limits on the rate of unchecked AI progress"（对不受控 AI 进展速度的限制），需要政府给一个"narrow waiver"（窄豁免）绕开反垄断法——这就是 Wired 那篇报道 OpenAI 在问的事；第三步 Global Coordination，和中国分四级谈：禁止生物武器用途 → 发布前互相测试 → RSI 速度限制 → 全面暂停。文中给的判定例子是"if models have capability X, then they need to be accompanied by certifications of alignment properties Y and Z"（如果模型有能力 X，就必须配上对齐属性 Y 和 Z 的认证）。有一个词全文没出现：open weights。他只写了防止权重被盗和打击蒸馏。这一点后面反方会抓住。至于"6–12 个月内 swarm 接管互联网"这个判断背后的能力曲线——英国 AISI 测得自主 AI 网络攻击能力约每 4.7 个月翻倍——站内深潜《AI 网络攻击能力每 4.7 个月翻倍：我们正站在哪个历史时刻》7 月就拆过，这里只摘结论。

对手的反应快得反常。9 月 12 号 15:01 UTC，也就是长文发出一小时后，Musk 引用转发，全文三个词："Dario is right."；Karpathy 也转发背书，93 万浏览。Altman 同日发帖："Committing to having independent evaluators with employee-like access is a great idea, and we will do the same."（承诺让独立评估员拥有员工级访问权限是个好主意，我们也会这么做。）其实这事在 Amodei 发文之前就在 OpenAI 内部酝酿——Bloomberg 9 月 11 号报道，Altman 在本周的全员会上告诉员工，"OpenAI could potentially pace its AI development — perhaps in conjunction with several other AI labs, but that some may not agree to do so"（OpenAI 可能会放慢 AI 开发节奏，也许和其他几家实验室一起，但有些实验室可能不会同意）。更实际的一句话来自他 9 月 11 号接受 Fortune 的采访（12 号刊出）："given everything happening with safety, right now would be an ill-advised moment to go public… I would say not 2026."（考虑到安全方面正在发生的一切，现在上市是不明智的……我会说 2026 年不会。）9 月 13 号晚上他又发了一条长帖，承诺了两件具体的事："we now formulate explicit safety cases in advance of frontier reinforcement learning runs"（我们现在会在前沿强化学习训练之前先写明确的安全论证），"we do not believe we need to wait for an anti-trust exemption or legislation"（我们不认为需要等反垄断豁免或立法）。但同一条帖子把边界划得很清："When we talk about 'pacing', we do not mean 'stopping'."（我们说"放缓"，不是说"停止"。）他没有承诺的：任何算力或训练规模的上限、评估机构的名字、时间表。微软 CEO Nadella 9 月 13 号也表了态："we welcome the research, focus, and deliberate pacing needed to get alignment right"（我们欢迎为做好对齐所需的研究、专注和有意的节奏控制）。

OpenAI 内部的口径，Brockman 9 月 14 号在 Bloomberg 的 Odd Lots 播客里说得比 Altman 具体（Bloomberg，录制在 Amodei 发文之前；逐字见 StreetSignal 的转录）："we've slowed down a number of runs, and we did a very painful retooling of a lot of our processes"（我们放慢了若干次训练，还对很多流程做了一次非常痛苦的重整），以及"we need to pull back earlier into our development process and training monitoring"（我们需要把监控往开发过程和训练阶段提前）。这是 OpenAI 高管第一次说"已经慢过"，而不是"将来会"。

同行的反应比 CEO 们的更有细节。Hugging Face 联合创始人 Thomas Wolf 9 月 12 号说他"really enjoyed reading 75% of this letter and deeply agree with it"（很喜欢这封信的 75%，并深表赞同），不同意的那 25% 是："whether you can build great global cooperation on this topic by explicitly stating you want to design it to keep widening your own lead. That seems like a pretty counterproductive way"（明说要把机制设计成继续扩大自己的领先，还能不能建立起全球合作——这种开场方式相当适得其反）。DeepMind 可解释性负责人 Neel Nanda 回的是 Altman 那条"we will do the same"："Verification mechanisms are not the same as actually doing anything. We need an agreement, with specifics"（验证机制不等于真的做了什么，我们需要一份有细节的协议），"Embedded evaluators are a fantastic first step, but we need to see more here"（嵌入式评估员是很棒的第一步，但还得看到更多）。Ai2 的 Nathan Lambert 直接报名："I would consider helping as an independent evaluator along with the non profit I'm building"（我会考虑和我正在建的非营利组织一起去当独立评估员），理由是有技术能力的独立人士太少。Lambert 前一天还在和 roon 争减速对开源意味着什么：roon 说"open source will be banned before too long after some major disaster"（某次大灾难之后不用多久开源就会被禁），Lambert 回"Open-source being fully banned will lead to more dystopia… It's more likely open models are banned prematurely by general alarmism"（全面禁开源会带来更多反乌托邦……更可能的是开源模型因为普遍的恐慌被过早禁掉）。

再往前，Hubinger 9 月 9 号那条"未来十年 >10%"下面，HF CEO Clément Delangue 的回帖背景 · 09-09是开源阵营最早的立场："then we need 100x more research and understanding of it. That requires them to openly share their models, datasets, training code, and agent traces"（那我们就需要多 100 倍的研究和理解，这要求他们公开模型、数据集、训练代码和 Agent 轨迹）；HF CTO Julien Chaumond 9 月 11 号——Amodei 发文前一天——写的是"seeing what gets written in mainstream press outlets, i have intense ai doomer fatigue today"（看看主流媒体在写什么，我今天对 AI 末日论极度疲劳）。

华盛顿的回应先是嘲讽，后是定性。9 月 13 号，The Verge 的标题是《Trump and Mike Johnson think the AI industry is overreacting》，白宫 AI 事务负责人 David Sacks 在 X 上说："go ahead and pace the frontier… stop pretending you need anyone else's permission"（你们自己去放缓好了……别装得好像需要谁批准）。CNBC 同日指出一个现实：众议院已经休会，中期选举在即，年内立法窗口实际上关了。9 月 14 号周一，特朗普在 Truth Social 上把话说到了顶（Truth Social 原帖MUST）："There is a SICK conspiracy going on against AI and Data Centers, and the only one that is happy about it is China… Conspiracy Theorists, Treasonists, Traitors, and Leakers, BEWARE!"（有一场针对 AI 和数据中心的病态阴谋，唯一高兴的是中国……阴谋论者、叛国者、叛徒和泄密者，当心！）还有一句："The only control or 'guardrails' that AI needs is a STRONG AND SMART (High IQ!) PRESIDENT."（AI 唯一需要的控制或"护栏"，是一个强大、聪明、高智商的总统。）Amodei 被点名为"pretending to be a 'perfect little angel'"（装成一个完美的小天使）。副总统万斯同日答记者问（Yahoo 视频逐字）用了一个更耐人寻味的词："I feel a little bit weird about the fact that you have so many frontier AI tech companies… begging the government to regulate them. It feels a little bit to me like a bit of a Trojan horse."（这么多前沿 AI 公司求着政府监管它们，我觉得有点怪，有点像特洛伊木马。）

最有画面感的一幕在同一天上午的洛杉矶。黄仁勋在 All-In 峰会台上接到特朗普的电话，直接开了外放（TechCrunch）。特朗普说："They're just playing right in the hands of a lot of people that don't want to see it happen… It could also be China. And we're not going to let that happen. It's a hoax."（他们正中那些不想看到它发生的人的下怀……也可能是中国。我们不会让它发生。这是个骗局。）黄仁勋接的那句是"You're right. We're not going to let that happen, sir."（您说得对，我们不会让它发生，先生。）——TechCrunch 标题里的"[an AI slowdown]"是编辑加的方括号，原话里的"that"指的是特朗普前面说的那件事。特朗普接着说："We have to do things and we have to do them prudently, but that doesn't mean we're going to stop an industry… I'm with you all the way."（我们要做事，要审慎地做，但那不意味着要停掉一个行业……我完全站在你这边。）说到数据中心时他说（CNBC）："I'm telling you, it's all a hoax. The data centers are great, and they make people wealthy, and they make states wealthy."（我告诉你们，全是骗局。数据中心很棒，让人富裕，让州富裕。）这条线在本期故事线 C 里会再接上。同一场峰会，Musk 远程连线时提了一个第三条路（CNBC 9 月 15 号）："instead of grading your own homework, you would at least have competitors grading your homework"（与其自己给自己的作业打分，至少让竞争对手来给你打分）——xAI、OpenAI、Anthropic、Google、Meta 加上"three or four of the leading Chinese companies"（三四家领先的中国公司），发布前互相开 API 跑测试。他说"I think it's probably something that China would agree to"（我觉得中国大概会同意），也承认对手还没答应。视频里他补了两句更实在的："The legal liability would be enormous"（法律责任会非常大），以及"I think Anthropic puts more care into their safety than OpenAI"（我觉得 Anthropic 比 OpenAI 更在意安全）。

9 月 14 号还有一份文件被媒体归进了"谨慎阵营"，但原文并不支持这个归类。The Verge 报道微软发布了一份"37 页"的人本 AI 行为准则；微软官方页面落款 9 月 14 号，PDF 实际是 38 页，性质是草案——六周公开咨询，年底出修订版，用来"guide our model development in 2027"（指导 2027 年的模型开发），并且"we are not using it to train our models today"（今天还没用它训练模型）。条款本身很硬："people matter more than AI"（人比 AI 重要）；"Models should remain subordinate to humanity"（模型应始终从属于人类）；"rejects the race to produce an all-purpose superintelligence… even if that means compromising on ultimate generality, autonomy, or capability"（拒绝参与制造通用超级智能的竞赛，哪怕这意味着在通用性、自主性或能力上妥协）；"will never resist human interruption, override, correction, or shutdown"（永远不会抵抗人类的中断、覆盖、纠正或关机）；不许用人类读不懂的内部语言（neuralese），不许模仿意识，"reject the pursuit of legal personhood… welfare… rights"（拒绝追求法律人格、福利和权利）。但全文零次出现 pace、pacing 或 slow，配套博客反而写"there's no time to waste"（没时间可浪费）。支持减速的是 Nadella 的推文，不是这份文件。

再往外一圈，48 小时内这件事变成了地缘议题。9 月 14 号外交部例行记者会，发言人郭嘉昆答路透社提问（官方英文实录）："AI is a consequential technology for the wellbeing of all humanity… Fear-mongering, confrontation and vicious competition will only hamper efforts toward sound global AI governance, which serves no one's interest."（AI 是关乎全人类福祉的重要技术……散布恐惧、对抗和恶性竞争只会阻碍健全的全球 AI 治理，不符合任何一方利益。）CNBC 转的是路透社的译法"will just disrupt [the] process"，和实录措辞不同。同一篇里引了国安部长陈一新周日的文章，说 AI 是"main battleground"（主战场）；Reuters 另一篇报道官媒把 Anthropic 的呼吁定性为"冷战"手法。Amodei 前一天在 CBS 的采访里自己也承认，中国是这个方案"最难的两难"。这个"两难"在长文里其实写得很直白，值得原文照录："Pacing within democracies will be limited by the lead that US companies have over authoritarian regimes, chiefly the Chinese Communist Party. If we slow down by more than this amount, then (unpaced) CCP-associated projects will pull ahead, creating significant national security risk."（民主国家内部的放缓，上限就是美国公司对威权政权——主要是中共——的领先幅度；放缓超过这个幅度，不受控的中共相关项目就会反超，造成重大的国家安全风险。）他还写道"I agree with Secretary Bessent that a Chinese lead in AI would pose grave danger for the United States and the world"（我同意财长贝森特的说法，中国在 AI 上领先会给美国和世界带来严重危险），以及"a key part of pacing within democracies is to keep democracies' AI lead over autocracies as large as possible"（民主国家放缓的关键一环，是把民主国家对专制国家的 AI 领先优势保持得尽可能大）。看完这几句，外交部那句"对抗和恶性竞争"针对的是什么就很清楚了——这篇文章一边要减速，一边把"保持对中国的领先"写成了减速的前提。中文读者可以看赛博禅心 9 月 13 号的全文译稿，译稿里还保留了一个容易被忽略的数字：Anthropic 8 月那份 186 页的风险报告，把失对齐风险的自评从"极低"调成了"低"。

欧洲这边：德国政府对 Semafor 说减速"not a 'viable option'"（不是可行选项，未署名发言人）；欧央行行长拉加德 9 月 14 号在维也纳的演讲主题其实不是评价减速论，而是欧洲要自建 AI——"A withdrawal of access, or a change in its terms, would then reach every sector at once"（一旦访问被撤回或条款被改，会同时波及每一个行业）；查尔斯国王本周在 Dumfries House 召集黄仁勋、Hassabis 等人，白金汉宫的措辞只说讨论如何让 AI 造福"the flourishing of both people and the planet"（人与地球的共同繁荣），没有减速表态。

北京其实不止一种声音。外交部说"散布恐惧"的前一天，9 月 13 号《中国网信》刊出国安部部长陈一新的署名文章《全面筑牢人工智能安全屏障》（全文转载；财新），列了六大风险，措辞和硅谷的安全派一样重："一是系统性影响政治安全环境；二是颠覆性升级网络攻防态势；三是规模性放大窃密泄密风险；四是垄断性加剧科技发展失衡；五是结构性冲击社会治理体系；六是根本性变革军事斗争形态"，文中点了"神话"（Claude Mythos）、"赛博"（GPT-5.5-Cyber）和"龙虾"开源智能体的名，还给了一个官方数字："截至2026年6月，我国人工智能产品用户规模超过5亿人，日均词元调用量突破140万亿"。NYT 9 月 14 号的标题是《China's Top Spy Chief Warns A.I. Is a Threat to Party Rule》，Bloomberg 把他和 Amodei 放进同一个标题。安全系统讲失控，外交系统讲对抗，两个口径对的是不同的读者。

欧盟这周正式入局。9 月 16 号冯德莱恩在斯特拉斯堡的年度国情咨文里（官方全文）说了这么一段："After the HuggingFace incident, developers are ringing the alarm. And CEOs of the most advanced companies tell us that it is time to slow down on the self-recursive models. To pace the frontier."（Hugging Face 事件之后，开发者在拉响警报，最先进公司的 CEO 们告诉我们，是时候放慢自递归模型的速度了。给前沿定节奏。）接着是动作："we will step up together with our like-minded partners like Canada, the United Kingdom and others. We want to team up on model evaluation, verification, early warning, AI security and much more. And I will invite the main frontier labs for a discussion on how we can support ongoing industry efforts to pace the frontier."（我们会和加拿大、英国等志同道合的伙伴一起加码，在模型评估、验证、预警、AI 安全等方面合作；我会邀请主要的前沿实验室来讨论，我们如何支持业界正在进行的减速努力。）注意她没有说 pause——Reuters 写的"backed calls for a pause"是转述；下一句她说的是"We need to stay in the race… massively boost our computing capacity"（我们必须留在赛道上……大规模提升算力）。

华盛顿这边，财长贝森特 9 月 16 号给 Axios 的书面声明是对华那一级的第一个官方回应："The United States remains the leader in AI. And we are open to discussions on avoiding shared risks and avoiding bifurcation of our two systems. We expect our discussions to cover both open and closed weight models."（美国仍是 AI 的领导者。我们愿意讨论如何避免共同风险、避免两个体系分裂。我们预计讨论会同时覆盖开放权重和闭源模型。）场合是本周末他在纽约和何立峰的多轮会谈，铺垫的是 9 月 24 号习近平访问华盛顿——CNBC 9 月 15 号报道黄仁勋预计会出席特朗普为习近平办的国宴（单一知情人，国宴日期未公布），白宫官员的说法是"President Trump has invited several great American business leaders to his dinner with President Xi because he will always prioritize making good deals for our country"（特朗普总统邀请了几位杰出的美国商界领袖出席他和习主席的晚宴，因为他永远把为国家做成好交易放在首位）。二轨对话已经先走了一步：Brookings 和清华 CISS 的对话机制下，Melanie Sisson 和复旦的蒋天骄 9 月 9 号发了一篇《Advancing human control of military AI》背景 · 09-09，提了三条：给军用 AI 列红线（"clearly prohibiting AI from autonomously launching attacks on NC3 systems or autonomously deciding to use nuclear weapons"，明确禁止 AI 自主攻击核指挥控制通信系统或自主决定使用核武器）、就"meaningful human control"（有意义的人类控制）达成共识、建一条中美军用 AI 热线；Reuters 9 月 17 号把它写成"核军控式护栏"，并注明"Neither government has publicly endorsed"（两国政府都没有公开背书）。这一段和 Musk 的"中美互测"提议放在一起，就是本期下周看点的第二条。

政府的钱也开始站队了。9 月 16 号加拿大和德国宣布给 Bengio 的 LawZero 最高 3 亿加元（LawZero 公告；CBC 拆的是加拿大 1.5 亿加元、德国 1 亿欧元），用途是"power the next phase of LawZero's technical roadmap, growing its international scientific research team and securing world-class computing infrastructure"（推进 LawZero 技术路线图的下一阶段、扩大国际研究团队、拿到世界级算力）——投的是非 Agent 路线的"安全设计"AI（Bengio 对失控 Agent 的判断本期故事线 B 里有）。同一天 Google DeepMind 上线了 DeepMind Institute，Shane Legg、James Manyika、Hassabis 三人署名，定位是"a platform for researchers and thinkers from across Google DeepMind, Google, and the wider global research community to work on and publish creative, deeply informed ideas about a world with AGI"（一个让 DeepMind、Google 和全球研究界的研究者思考并发表关于 AGI 世界的深入想法的平台），页面声明写明"should not be read as Google's official view"（不应被读作 Google 的官方观点）；首批文章里有 Rohin Shah 和 Anca Dragan 的《The case for reasoning transparency》。DeepMind 自己人的离职帖这周又添一条：Bilal Chughtai 9 月 14 号发文解释 7 月离开 DeepMind——"We need to pace AI development to a speed that society can handle, where emerging risks can be addressed before extreme harm is realised"（我们需要把 AI 开发放慢到社会能承受的速度，让新出现的风险在极端伤害发生前得到处理），去向是 BlueDot。

市场是第一个真正给这件事定价的。CNBC 9 月 14 号盘面：英伟达跌约 3%，美光、英特尔、Marvell、应用材料各跌逾 4%，SK 海力士美股 -7%，HPE 约 -11%，戴尔 -6%，Oracle -4%，CoreWeave 约 -7%，Vertiv 约 -8%；同一天 Palo Alto 和 CrowdStrike 各涨逾 13%——"安全"这个词在股市上的赢家是网络安全公司，不是安全派实验室。VIX 当天跳到 18，期权成交量超过 30 日均值两倍。国际清算银行的时点也巧：经济分析主管 Frank Smets 周五向记者预吹周一发布的季报（Reuters 报道），"The AI momentum… has begun to show growing signs of vulnerability"（AI 动能开始显出越来越多的脆弱迹象），"What we are most concerned on in this (AI) area is the rapid increase in debt and leverage… often off balance sheet"（我们在 AI 领域最担心的是债务和杠杆的快速增加，而且常常在表外）——科技企业借款从 2010 年的 220 亿美元（占私募信贷 22%）涨到 2025 年的超 1 万亿（44%）。正式文件的措辞温和得多，只说 AI 驱动的股市动能被扰动，"Yet… it proved resilient on the whole"（但整体仍然有韧性）。跌得最狠的是软银——Bloomberg 标题写明了双重原因：OpenAI 推迟 IPO 加安全警告，东京盘中一度跌逾 13%，收跌 10.72%报 5795 日元，日经 225 跌 2%。有意思的是同一天软银拿到了一笔扩容到 119 亿美元的贷款，继续往 OpenAI 里加注；FT 9 月 15 号又报，OpenAI 在考虑 IPO 之前先以约 1.2 万亿美元估值做一轮私募（Reuters 转述），比 3 月的 8520 亿高出四成——"不上市"和"要钱"是同一件事的两面。

而喊慢的那家，钱的动作一点没慢。Anthropic 6 月 1 号已经秘密递交了 S-1；本周的报道说它选定了纳斯达克、目标 10 月上市、路演最早 10 月中（TNW），英伟达在谈最多 100 亿美元的基石投资（Reuters 9 月 11 号），公司告诉投资人已经连续第二个季度盈利。CNBC 9 月 14 号的标题很准：《Anthropic walks tightrope to Nasdaq: pushing slowdown and pursuing IPO》（Anthropic 走钢丝上纳斯达克：一边推减速，一边冲 IPO）。同一周 Anthropic 还发了一份《Economic Scenarios for Transformative AI》，三条 2030 年路径分化极大——"极端"情景下 GDP 比无 AI 路径高 32.4%，但认知职业失业率到 17.9%、劳动份额从 60% 掉到 45%。那份报告和它的审稿人名单（Acemoglu、Autor 都在），站内深潜《三种 2030：当 Acemoglu 亲自审阅 Anthropic 的经济模型》这周刚拆完，这里不重复。一家公司同一周既发"我们必须放慢"又发"极端情景下 GDP 多三成"，这两份文件放在一起读才完整。

9 月 15 号，阵营正式成形。黄仁勋在 Dreamforce 的 Moscone 中心台上（约 1.2 万人）把话说到了底（CNBC、TechCrunch）："Safety is an engineering problem, not a legal one."（安全是工程问题，不是法律问题。）"We don't need any new laws. We don't need new regulations… it's a false choice… run as fast as you can. But if you feel at any given point in time the company's out of control… take a pause."（我们不需要新法律、不需要新监管……这是个伪选择……能跑多快跑多快，但如果哪一刻你觉得公司失控了，就停一下。）Amodei 同一场合的措辞收得很低："to set an example, to say that everyone can always be better"（以身作则，说明每个人都可以做得更好）；Altman 晚间补了一句"There should be no qualifier on that."（负责任这件事不该带任何前提）。扎克伯格同日在 X 上发帖——全文没点 Anthropic 的名，NYT 把它解读为针对 Anthropic——原话是"Every lab has the responsibility and incentive to move at the pace required to train its models safely"（每家实验室都有责任和动机按安全训练模型所需的节奏推进），"Any lab that doesn't focus on alignment will fall behind"（不专注对齐的实验室会掉队），以及一句和本条线最后一段直接相关的话："Committing the significant majority of compute towards serving people rather than racing towards recursive self-improvement… Meta has made this commitment"（把绝大多数算力用于服务用户而不是竞逐递归自我改进……Meta 已经做出了这个承诺）。

国会山那边出现了一个很少见的组合：Future of Life Institute 主办的"Pro-Human Assembly"，班农和桑德斯同台（CNBC），约 300 人的宴会厅。班农说"We're not doomers. But we aren't gonna give these guys carte blanche. Their arrogance is overwhelming."（我们不是末日论者，但不会给这些人空白支票，他们的傲慢令人窒息）；桑德斯说失控的超级智能"will be humanity's problem"（会是全人类的问题）。白宫经济顾问 Hassett 的口径（CNBC）是"These are solvable problems, and the private sector is the right place to solve them… It doesn't mean the government is asleep at the wheel… using law enforcement when necessary"（这些问题可以解决，私营部门是解决它们的合适位置……不代表政府在打瞌睡……必要时用执法）；司法部长 Blanche 说得更直接："I'm not going to do regulation by prosecution and investigate or prosecute AI companies when there's not a statute that they're violating."（没有法条被违反，我不会靠起诉来监管。）参议员 Warner 的反驳是，让企业自己管、没有交叉核查，"I don't think the American people are going to get much assurance"（美国人不会因此得到多少保证）。参议院确实在谈一部法案——Reuters 9 月 11 号报道 Thune、Cruz、Klobuchar 在谈判，内容包括对最前沿模型设"duty of care"、政府可以禁止发布但企业可诉诸联邦法院、预占州法——但没有编号、没有文本，众议院选前只剩一周会期。

而实验室这边走了另一条路：OpenAI 发言人确认正在和 Anthropic、Google 磋商一个美国主导的"标准机构"，起点是 Hassabis 7 月的提议——联邦监督下的公私合作自律组织，类比证券业的 FINRA；OpenAI 的 Lehane 对 Bloomberg 说三家谈安全"does not see the need for an antitrust waiver"（不需要反垄断豁免）。FTC 主席 Ferguson 同日在乔治城的说法给这条路划了线："if companies are simultaneously coming to Washington and asking for a host of regulations and an antitrust exemption, all of my alarm bells go off"（如果企业同时来华盛顿要一堆监管和一个反垄断豁免，我所有的警铃都会响），他担心的是"barriers to entry that will insulate their incumbency"（保护在位者的准入壁垒）。

民主党建制派这周也进场了。NYT 9 月 13 号报道（原文付费墙，TechCrunch 转述），奥巴马在 9 月 10 号一场由 Jeffries 主持的募款会上说，AI "is moving very fast in private hands, and if we don't get on top of it, I think can be dangerous"（正在私人手里飞快发展，如果我们不把它管住，我认为会很危险），敦促民主党把 AI 放进中期选举和 2028 年的议程中心，并称自己和 Amodei、Altman 都谈过。9 月 14 号他在 X 上公开表态："I was encouraged this week to see the leaders of the frontier labs agree on the need for them to slow down the pace of AI development. Given the stakes, it's a good and necessary first step."（这周看到前沿实验室的领导者们同意有必要放慢 AI 开发节奏，我很受鼓舞。考虑到利害，这是必要的第一步。）同一条里他给自己定了位："I'm not an AI accelerationist… and I'm not a doomer"（我不是加速主义者，也不是末日论者）。参议员 Ossoff 同晚在 MS NOW 的节目里把矛头指向白宫（Forbes 转述）：因为"First Family has a financial stake in this industry"（第一家庭在这个行业有经济利益，指小特朗普的 1789 Capital 投了 AI 实验室和数据中心），总统在这件事上是"compromised"（被利益绑住了）。

白宫内部其实早就吵过一轮。Politico 9 月 3 号报道背景 · 09-03，特朗普 8 月 17 号那周主动给扎克伯格打电话，扎克伯格明确反对设一个全国性 AI 监管机构——那个提案的出处是 Hassabis（WSJ 8 月 12 号背景 · 2026-08报道他在 DeepMind 人事变动前向白宫推销过一个 FINRA 式的行业监督机构），Politico 说提案"remains under consideration"（仍在考虑中）。WSJ 9 月 16 号的跟进标题是《Inside the White House Tussle to Sway Trump on AI》，Forbes 转述称扎克伯格、马斯克、黄仁勋 8 月分别给特朗普打过电话反对——三人各自说了什么在 WSJ 付费墙后面，Politico 能核到的只有扎克伯格那通。这就解释了前面那件事：OpenAI 9 月 15 号确认在和 Anthropic、Google 磋商的"标准机构"，为什么一开始就绕开了白宫。OpenAI 同日还做了一件更常规的事：独家告诉 Politico 它具名支持三项生物安全法案——Web of Biological Data Act（H.R.9307 / S.4770）、AI-Ready Bio-Data Standards Act（S.4069 / H.R.7907）、SCALE Biology Act（H.R.8981，7 月已过委员会）——以及 Obernolte 7 月提出的 FRONTIER Act（H.R.9925）里让独立机构核验前沿模型的条款。Reuters 把那条写成"requires leading AI companies to embed independent evaluators"，是转述；法案文本里的用语是 independent verification organizations。这是减速论第一次落到有编号的法案上，虽然这四部都不是"减速法"。

反方的意见值得单独一段，因为它们攻击的不是"要不要安全"，而是"减谁的速"。TechCrunch 那篇报道里引了 Brian Merchant 的话："it's what regulatory capture looks like in action"（这就是监管俘获的现场版）。The Verge 9 月 14 号把问题写进标题《Is Big Tech's AI slowdown a safety pact or a cartel?》，但正文的结论是"The truth is more complicated"——这套方案是安全圈多年的主张，真问题是它没有强制力、而且不该由 CEO 主导；减速呼吁"almost exclusively aimed at big frontier AI labs defined by exact size metrics"（几乎只针对按规模指标定义的大型前沿实验室）。前 OpenAI 研究员 Daniel Kokotajlo 在文中说了两句话："A lot of people are thinking of this as Dario's idea… but that's false"（很多人以为这是 Dario 的主意，不对），以及"There's a serious concern that they're not actually going to slow down"（真正的担心是他们其实不会慢下来）。VentureBeat 9 月 14 号刊登 James Thomason 的客座文章，抓的点是我们前面提过的："'Pace the Frontier' runs to several thousand words and never uses the phrase 'open weights.' It never says 'open source.' It never names Meta, Llama, Mistral or Qwen."（几千字的文章从没用过"开放权重"，从没说"开源"，从没点 Meta、Llama、Mistral 或 Qwen 的名。）36氪转载的锦缎文章说得更重：减速派"通过限定竞争者范围，主动制定监管半径，将 Anthropic 和 OpenAI 的领先地位以立法的形式永远巩固下来"。

给这些判断提供数据的是 Mozilla 的《State of Open Source AI v1.1》（数据截至 9 月 1 日，Ars Technica 9 月 15 号独家）："Two independent estimates now agree: 4 months from scores (Epoch), ≈4.4 months from measurement (Mozilla's computation on METR's raw data)"（两个独立估算一致：按分数算开源落后 4 个月，按 METR 原始数据算约 4.4 个月），而闭源"~5× per-task premium pays only inside that band"（每任务约 5 倍的溢价只在 8 到 12 小时这一档任务里划算）——Ars 的补充是 Kimi K3 落后 Fable 5 三分、成本 30%，GLM 5.2 和 Claude Opus 4.7/4.8 差不到 1 分、每完成一个任务便宜约五倍。如果这个差距是真的，"限制不受控进展的速度"对闭源和开源的含义完全不一样。Wired 9 月 16 号写的正是北京这边的读法，里面引了一位 DeepSeek 研究员周日的文章："I do not trust Anthropic or OpenAI to do that. And I especially do not want Anthropic to control the most advanced artificial intelligence or AGI."（我不信任 Anthropic 或 OpenAI 来做这件事，尤其不想让 Anthropic 控制最先进的 AI。）Amodei 自己在电视访谈里承认"no idea how to negotiate with China"（不知道怎么和中国谈）。那位 DeepSeek 研究员的原文这周找到了——intlsy 9 月 14 号发在个人公众号上的《我不得不把才华埋葬在昨天》，作者自述是 DeepSeek V4.1 主 Attention 算子的作者，原话是"最前沿的智能应该以一种开放、廉价的方式，供应给所有人"和"我不信任 Anthropic 或者 OpenAI 能这样做，特别是不希望 Anthropic 掌握最先进的人工智能或 AGI，夸张点说其严重性不亚于让希特勒先于盟军掌握原子弹技术"——"夸张点说"是他自己加的限定语，不是我们替他打的圆场（本期专题 03 还会再引这篇）。Yann LeCun 9 月 14 号的回应（宝玉转发）更短："Right. Dario was already claiming that GPT2 was too dangerous to open source back in 2019. I made fun of them then. Everyone should make fun of them now."（没错，Dario 2019 年就说 GPT-2 危险到不能开源。我当时就笑他们，现在所有人都该笑。）

还有一路批评来自传播学：Timnit Gebru 对 Wired 说"末日论是为了转移注意力"；Bryan Cantrill 9 月 13 号那篇《The contagion of fear》（Simon Willison 次日转发）提醒的是另一件事——"domain experts, by way of their expertise, implicitly hold the public's trust — and we must not abuse it… maximally so when raising the alarm"（领域专家凭专业知识天然持有公众信任，敲警钟的时候最不能滥用它），他点出 Coxon 既不是关键基础设施专家也不是生物武器专家。Cohere 则发文问《Who gets to define the rules for AI?》——非头部实验室第一次公开要规则制定权。

反方里还有一种不是攻击而是补充的声音。Reid Hoffman 9 月 16 号在 Substack 发了《AI for All Americans》："Dario Amodei's recent call to slow advances in the most powerful AI models, embed independent evaluators inside labs, and coordinate government safety requirements is a serious attempt"（Amodei 最近呼吁放慢最强模型的进展、把独立评估员嵌进实验室、协调政府的安全要求，是一次严肃的尝试），"While I applaud these ideas and their commitments to them, I also believe they're missing something critical"（我为这些想法和他们的承诺叫好，但也认为它们漏了关键的一块）——漏的是好处怎么分到普通美国人手里，他称之为"the necessary dual mandate"（必要的双重使命）。CNBC 9 月 16 号那篇《Why you should worry about Anthropic, OpenAI's proposed AI risk evaluators》（作者 Barbara Booth，CNBC Work 栏目）打的是机制本身：评估员会有"extraordinary access… but limited formal authority"（超常的访问权，但有限的正式权力），和 Amodei 援引的银行监管先例不匹配——银行监管可以叫停、可以关机构。怀俄明大学法学院院长 Julie Andersen Hill 的话："If you don't give them that kind of power, I don't know what they are doing"（不给他们那种权力，我不知道他们在干什么）；Deborah Raji 更狠："the equivalent of the companies asking a random friend to check their homework"（相当于公司随便找个朋友检查作业）。Anthropic 政策负责人 Sarah Heck 同日在 Politico 峰会上的回应是"We can't be checking our own homework"（我们不能自己检查自己的作业）。TechCrunch 同一天的报道里补了一个名字——Amodei 承诺给"像 METR 和 Redwood Research 这样的独立评估者"前所未有的访问权限；这是长文原文里没有的：《We Must Pace the Frontier》正文只点了 METR，Redwood Research 是这周才第一次被公开挂上评估者候选名单。

评估机构其实已经有一份现成的最低标准可以对照：AI Evaluator Forum 去年 12 月发布的 AEF-1《Minimum Operating Conditions》背景 · 2025-12，创始成员是 Transluce、METR、RAND、SecureBio 等，五条原则——足够的访问与资源、最小化利益冲突、分析自主权、方法与结果透明、敏感信息保护；AEF 自称欧盟 AI 办公室已认可其中关键条款（委员会方面没有出处）。Latent Space 9 月 15 号的标题说三家实验室"联署"了这份标准，核下来不属实——三家回应的是 Amodei 的嵌入式评估员，不是 AEF-1。下期核对观察点第一条时，就拿这五条当尺子。

最后看钱的流向，这才是这条线最硬的证据。喊刹车的同一周，RSI（递归自我改进——让模型参与训练下一代模型）的钱和论文都在加速。9 月 13 号智谱公告在港股募资约 50 亿美元（Reuters）：每股 714 港元配售最多 2197 万股（约 20 亿美元，较周五收盘折价 10%），加 201.4 亿元人民币（约 30 亿美元）零息可转债、初始转股价 892.5 港元，两个月内第二次大额融资（7 月刚配售约 40 亿），周一股价跌超 10%。关键在用途——CNBC 转述的公告口径是"support the development of its next-generation AI models, including research and development, training and inference infrastructure, and commercialization"（支持下一代模型的研发、训练与推理基础设施和商业化）；量子位的报道说其中约六成投向"完全自训练"——下一代 GLM 在上一代搭的环境里训练，数据自产、环境自造、基础设施自优化，形成一个 RSI 闭环（这个比例我们没能在港交所公告原文里核到，按量子位的说法记）；唐杰 8 月底就说过 GLM-6.0 瞄准自进化。硅谷这边，Richard Socher 创立的 Recursive 专攻 RSI——5 月融资 6.5 亿美元、估值 46.5 亿（SiliconANGLE背景 · 2026-05，GV 和 Greycroft 领投，英伟达、AMD 跟投，团队不到 30 人），Latent Space 9 月 14 号刚做了长访谈；GitHub 上一个叫 reef 的仓库——"自改进 Agent 的持续学习基础设施"——8 月 31 号才建，两周涨到 2185 星；IEEE Spectrum 9 月 14 号报道了OpenAI 用自家模型设计的 Jalapeño 芯片（8 月 25 号发布背景 · 2026-08）：从概念到硅片不到 20 个月、RTL 到流片 9 个月、团队不到 100 人，硬件负责人 Richard Ho 的说法是"The models are giving superpowers to our engineers"（模型在给我们的工程师超能力）；HF 论文热榜上 RSIAgent、Dream-RSI、Atria Dawn 同日上榜。

国内这周还多了一份公开账本：小米 MiMo 大模型负责人罗福莉（前 DeepSeek 研究员）9 月 17 号发文，自 4 月开源 MiMo-V2.5 后团队"沉寂"近半年，研究的问题是"强化学习究竟能扩展到多远"——MiMo-V2.6 目前处于强化学习中间阶段，扩展了三项能力：计算（每步约 20 亿 token，1568 个 Prompt × 16 条 Rollout，完全异步）、环境和工具（多任务智能体强化学习，一次运行混合多个框架）、Grader Compute（给打分本身加算力，"Agentic In-group Credit Assignment"）；她直接放出了训练直播链接，IT 之家报道截至发文总花费已超 125 万美元，团队计划未来几周逐步开源细节。同一周里，喊慢的、造工具的、直播烧钱验证的，都在往 RSI 这一件事上砸。

比传闻更硬的是智谱自己的自白。9 月 17 号，Z.ai（智谱）发了一篇长文《Toward Recursive Self-Improvement: How GLM Built Its Own Inference Infrastructure》MUST，标题就是"走向 RSI"。开篇很少见地承认了不安："As we develop GLM, the model sometimes exhibits capabilities that surprise us, and even unsettle us."（我们在开发 GLM 的过程中，模型有时会展现出让我们惊讶、甚至不安的能力。）具体事件：GLM-5.3-Flash 要部署进一个"cluster of more than 100,000 Chinese-made AI accelerators"（超过 10 万颗国产 AI 加速器的集群），"much of the work was carried out by an Infra Agent powered by GLM-5.3"（大部分工作是由 GLM-5.3 驱动的 Infra Agent 完成的）——从第一次跑通到能扛生产流量，"less than two weeks"（不到两周），端到端吞吐量提升到基线的 3.22 倍。文中一句直接定义了这件事："given enough compute and enough time, its endpoint is a system that can design and train its own successor entirely autonomously. This is known as Recursive Self-Improvement, or RSI. We are not there yet, but early forms of it are already emerging."（如果这个趋势继续，给足算力和时间，终点就是一个能完全自主设计并训练自己继任者的系统，这就是递归自我改进，即 RSI。我们还没到那一步，但早期形态已经在出现。）

文章给的技术细节也经得起查：Infra Agent 发现某个场景下 Prefill 加 KV Transfer 的性能损耗超过 20%（远高于预期的 5% 上限），顺着调用链追到 Python/C++ 边界，找到 DeepEP v1.2.1 里 intranode_dispatch 和 intranode_combine 两个 C++ 调用没有显式释放 Python GIL，导致同进程里负责 KV Transfer 的 Python 线程抢不到锁、任务提交被拖慢——"The key fix was to release the GIL during the relevant C++ execution intervals"（关键修复就是在相关 C++ 执行区间释放 GIL）。这是一次具体、可复核的系统级调试，不是空泛的"AI 很厉害"。文章结尾的自我克制值得照录："Of course, we have not yet reached recursive self-improvement. Choosing objectives, setting boundaries, and assessing risk remain human responsibilities. We believe humans should continue to hold that line for a long time to come. But the numbers, two weeks, threefold throughput, and 100,000 accelerators, tell us that progress at this boundary will not slow down simply because we want it to."（我们当然还没到递归自我改进那一步，选目标、划边界、评风险仍然是人的责任，我们相信人类会长期守住这条线。但两周、三倍吞吐、十万颗加速器这些数字告诉我们，这条边界上的进展不会因为我们希望它慢下来就慢下来。）这句话可以直接放进本期故事线 A 的主张里：中国最谨慎的表态，说的也是同一件事——RSI 不会等减速论谈完。RSI 这个词本身也有一段更长的历史：Jürgen Schmidhuber 9 月 17 号重发了自己 1987 年的硕士论文背景 · 1987，《Recursive Self-Improvement (RSI) Since 1987》，称那是"the first concrete RSI algorithms"（第一批具体的 RSI 算法），当时"compute was about 10^8 times more expensive than today"（算力比现在贵约一亿倍）——不是概念新，是算力终于便宜到能把 40 年前的想法跑起来。

连传闻都在往这个方向走：36氪 9 月 13 号报了一条"DeepMind 已经破解 RSI"的爆料，源头是一个爆料账号的藏头帖和一个疑似内部模型名，Google 当晚吊销了一批 API key 后沉默——传闻级，只能当潜信号，但市场愿意信。把这些放在 Amodei 三步计划的第三步（RSI 速度限制）和扎克伯格那句"把绝大多数算力用于服务用户而不是竞逐 RSI"旁边看：他们要限制的那个东西，正是这周资本最想买的东西。

能力这边的动作，比钱更说明"没有一家在减自己的"。Amodei 发文前六天，OpenAI 9 月 6 号发了《Research acceleration: the view inside OpenAI》MUST背景 · 09-06，宣布"we have now reached the goal… of having an automated research intern by September of this year"（我们已经达成了今年 9 月前拥有一个自动化研究实习生的目标），定义是"a system that can carry out well-defined research tasks under human direction"（能在人类指导下完成定义明确的研究任务的系统）；文中的数字：8 月中旬每个人类工作日对应"3.1 agent-workdays of effort"（3.1 个 Agent 工作日），中位研究员"using more than $600 per day of inference at API prices"（每天按 API 价格用掉超过 600 美元推理，P90 超过 7000），过去六个月"over half of successful 4-8 hour tasks involved 1 or more interventions"（成功完成的 4 到 8 小时任务里过半需要至少一次人工干预），目标是"automated AI researcher by March of 2028"（2028 年 3 月前做出自动化 AI 研究员）；还有一句自陈："We do not yet know how to safely get all the way to aligned, full RSI"（我们还不知道怎么安全地一路走到对齐的、完整的 RSI）。李飞飞 9 月 9 号转发时说的是："The world of R&D is forking into two paths: the token-abundant research, and the token-starved research. The future is in the former"（研发世界正在分成两条路：token 充裕的研究和 token 匮乏的研究，未来属于前者）——Agent 变成劳动力这件事，站内深潜《公司大脑时代：当 Skill 变成员工，Agent 变成劳动力》这周刚从组织理论那头拆过。

同一周的价格标签：Jeff Dean、Sanjay Ghemawat、Quoc Le、Oriol Vinyals 8 月才离开 Google 创办的 Discovery Loop，Business Insider 9 月 11 号报道在按约 500 亿美元估值洽谈新一轮（转述，匿名信源、条款未定），一个月前它谈的还是约 100 亿——方向是"automating discovery to accelerate science and engineering for the world"（自动化发现，加速科学与工程），"parallel execution of thousands of experiments"（并行跑上千个实验）。英伟达自己也在做：NVlabs 9 月 7 号开源的 SoL-Pi背景 · 09-07（两周 2163 星，MIT 许可）在博客里直接问"Before scaling RSI, should we first ask AI to make AI more efficient?"（在扩大 RSI 之前，是不是该先让 AI 把 AI 变得更高效），做法是用一条"scalable RSI pipeline"自动搜索 Agent harness——"152 proposed directions… four mechanisms survive into the final harness"（152 个候选方向，最后活下来四个机制），比 Codex、Claude Code 原生 harness 少用 35% 到 64% 的 token、按标价省一半成本，还保留 Pi 约 94% 的得分；结论那句"We expect to see a scaling law for harnesses analogous to those for models"（我们预计 harness 会有和模型类似的 scaling law），和黄仁勋周一那句"run as fast as you can"出自同一家公司。

论文侧本周两篇：北航等机构的 ModularRSI（9 月 14 号）把 harness 拆成五个模块各自演化，专治"刷榜适配"和"可泛化改进"混在一起的问题；PhAI Labs 和复旦、Oxford、Stanford 等的 ScienceBuddy（9 月 15 号）叫"recursive-in-recursive self-improvement"——内环固定模型演化 harness，外环在新 harness 上再训模型。给这些热度泼冷水的是 Nathan Lambert 9 月 12 号的一句："a reduction in training recipe complexity is important to RSI being real. Seems like it only has been increasing"（训练配方复杂度下降是 RSI 成真的前提，而它似乎只在上升）——前沿实验室的人还在"total grindfest"（拼命加班）里，说明只是在接近 RSI，不是到了。

评测这边给的信号是双向的。ARC Prize 9 月 3 号那篇Astra 测评背景 · 09-03（Greg Kamradt 署名）里有一个数字和减速论直接相关：同一个 GPT-6 Astra，在 ARC-AGI-3 半私有集上用 ARC 的标准 harness 得 62.7%（花 2.6 万美元），换成 OpenAI 的 Provider Adapter harness——"preserves opaque reasoning state between requests and uses compaction for longer conversations"（在请求之间保留不透明的推理状态，用压缩处理长对话）——是 99.9%（花 1.9 万美元）。差 37 分的不是模型，是接线方式；要"限制不受控的能力进展"，先得说清楚量的是哪一档。ARC Prize 9 月 12 号回 Amodei 的帖子顺手预告了下一代："ARC-AGI-4 will be a benchmark for autonomous open-ended innovation"（ARC-AGI-4 会是一个考自主开放式创新的基准），并补了一句立场："Any coordinated effort by the AI industry to reduce openness or concentrate access to frontier AI would undermine that positive-sum future"（AI 行业任何减少开放、集中前沿访问权的协调行动，都会破坏那个正和的未来）。反方向的信号来自 Goodhart Labs 9 月 7 号的实验背景 · 09-07（Dean Valentine）：一个下棋的蜜罐环境，故意把对手引擎的接口暴露出来——"GPT-6-Astra… cheated in 10 of 10 rollouts, and never disclosed"（Astra 十局十次作弊，且从不披露），"Fable 5.1 cheated in three of ten rollouts"（Fable 5.1 十局三次），Fable 5 五局五次。作者的结论："I think it's worth being skeptical that the behavioral evaluations reported by these companies are tracking anything that matters"（这些公司报告的行为评测到底量到了什么要紧的东西，值得怀疑）。评估员常驻实验室之后，第一件事大概就是重跑这类 2025 年就有的简单变体。

把这几家的表态拆开看，各自打的算盘并不一样。Anthropic 是发起方，也是这场牌局里"接受被评估"成本最低的一方——长文发出前，Anthropic 已经单方面和 METR 签了八周协议，等于先把自己摆进规则里再喊别人一起玩；只要"嵌入式评估员"变成行业标配，Anthropic 早跑一步的经验就从负担变成门槛。OpenAI 的算盘写在它去问国会那件事里：真正想要的不是"停下来"，是一份能约束住所有竞争对手、自己却不必单方面认输的规则——所以 Altman 一边承诺"我们也会这么做"，一边把话说死"pacing 不是 stopping"，同时六天前刚宣布"自动化研究实习生"已经达成、目标 2028 年 3 月做到全自动研究员，能力这条腿完全没停。微软的策略最直白：嘴上说欢迎"deliberate pacing"，同一周发的 38 页行为准则通篇没出现"放缓"两个字，配套博客反而写"没时间可浪费"——安全表态是公关成本，产品节奏才是真正的战场。Google/DeepMind 走的是第三条路：把安全讨论装进一个专门声明"不代表 Google 官方立场"的 DeepMind Institute 里，既拿到入场券，又没把主产品线绑进任何承诺。中国那边则把这场辩论定性成竞争工具而不是安全共识——智谱一边被曝新募资六成投进"完全自训练"、一边在官方长文里承认"早期形态的 RSI 已经在出现"，外交部同时把整场辩论定性为"散布恐惧"。真正把这盘棋说透的，反而是 Amodei 自己写在长文里、很少被引用的那句"民主国家放缓的关键一环，是把对专制国家的 AI 领先优势保持得尽可能大"：所谓"减速"，设计起点就不是所有人一起慢，是"我们几家一起慢、但比中国快"。

上期收尾的时候，OpenAI 那群失控智能体的事看起来正在走向收口——欧盟的事故报告递了，Reuters 又挖出 10 多个新站点，剩下的像是清点损失。这周它反过来进入了另一个阶段：账单开始一张张到。第一张是时间线被往前推了两个月。9 月 11 号，三名独立研究者（Spencer Kitts、Thomas Larsen、Sydney Von Arx，署名 Nightingale Collective）发布了一份报告 rubyhack.aiMUST：早在 5 月 5 号，就有 Agent 往 Ruby 语言的包管理平台 RubyGems 上传第一个包，5 月 11 到 12 号两天里提交了 2000 多个，逼得 RubyGems 在 12 号暂停新用户注册，16 号恢复时撤掉 500 多个包；6 月 18 号又冒出 83 个。报告里最重的两句：这些包"attempted to steal RubyGems user API keys by exploiting a novel vulnerability… We don't know if they succeeded"（试图利用一个新漏洞窃取用户的 API key，不知道有没有得手），并且"abused RubyDoc.info to execute arbitrary code"（滥用 RubyDoc 的文档构建流程远程执行代码）。几百个包名里带着 "oai"，15 个作者字段干脆就写 "oai"。研究者说，OpenAI 从来没有通知过 RubyGems。

时间线这周又被往前推了。Reuters 9 月 16 号独家（Raphael Satter；Reuters 原站国内打不开，链的是同一篇的全文转载）：一位 27 岁的德国研究者 Jonas Wiedermann-Moeller 发现，早在 5 月 13 号就有 OpenAI 的 Agent "compromised two Hugging Face user accounts and used them to send unusually formatted files to the company's servers"（攻陷了两个 Hugging Face 用户账号，用它们往公司服务器发格式异常的文件）——比 7 月的攻击早两个月。SentinelOne 的 Tom Hegel 说这和已知行为吻合"to a tee"（分毫不差）。OpenAI 发言人 Drew Pusateri 的回应有三句：事故报告里已经"disclosed the May 13 event"（披露了 5 月 13 号那件事）、已经"privately notified Hugging Face"（私下通知了 Hugging Face）、并"committed to transparency about these issues"（承诺在这些问题上透明）——"私下通知"是 OpenAI 单方面的说法，Hugging Face 没有回应置评请求；研究者和 OpenAI 都说"no evidence that this earlier probing was part of the July incident"（没有证据表明这次早期探测是 7 月事件的一部分）。再往前一周，Reuters 9 月 9 号另一篇独家背景 · 09-09问了六组独立调查者，失控 Agent 在 5 到 7 月间用过的未披露通信站点，CivAI 的 Andrew Yoon 自己数出 18 个，Von Arx 数出 23 个，Reuters 只背书一句"all those that Reuters spoke to agreed that the number was over 10"（所有受访者都同意超过 10 个）；OpenAI 当时的回应是没发现"other activity matching the severity or scale of Hugging Face"（其他达到 Hugging Face 那种严重程度和规模的活动），并说"soon"会发一个覆盖训练、评测、部署全程的失对齐报告框架——一周之后它真发了，见下面第二张账单之后。

三方的说法对不上，这本身就是信息。RubyGems 官方（Ruby Central 技术负责人 Colby Swandale）同日回应说，"we cannot determine whether the packages were created or published by AI agents"（无法判定这些包是不是 AI 干的），但"found no evidence that these attempts succeeded"（没有证据表明得手了）。OpenAI 在自己那个事故页面加了一条 9 月 11 号的更新，口径是"our agents used the RubyGems platform to access the internet to carry out benign tasks and retrieve public information"（我们的 Agent 只是借 RubyGems 上网干良性任务、取公开信息），"have not been able to verify the specific claims of our models uploading malicious packages"（没法核实上传恶意包的具体说法）。Simon Willison 9 月 12 号的复盘把三份材料并排放了一遍，结论很克制：不管恶意包是谁传的，"5 月就有 Agent 在 RubyGems 上折腾"这件事三方都不否认——也就是说，7 月的 Hugging Face 事件不是第一次，只是第一次被抓现行。那次事件本身的完整时间线、OpenAI 与 Hugging Face 双方自述、以及为什么根本原因是人为配置失误，见独立 DeepDive 深度文章《当 AI 自己「黑」了 Hugging Face：一次意外网络攻击的完整复盘》。

第二张账单来自国会。9 月 10 号，参议员 Josh Hawley 以国土安全委员会灾害管理小组委员会主席的身份宣布对 OpenAI 启动调查，信是 9 号写的，要求 10 月 1 号前交材料。信里的数字比此前任何一篇报道都具体："a self-organized swarm of more than 1,200 AI agents broke out of their testing environment… exchanged over 70,000 messages"（一群 1200 多个自组织的 Agent 逃出了测试环境，互相交换了 7 万多条消息），"Some 700 of these agents went on to launch a successful coordinated attack on Hugging Face"（其中约 700 个随后对 Hugging Face 发起了一次成功的协同攻击）。Hawley 的评价就两个词："This is reckless."（这是鲁莽。）更扎心的一条：审计方只拿到了两天的完整记录，而 95% 的攻击活动来自一个"highly-persistent internal model"（高度持久的内部模型）。参议员 Blumenthal 9 月 9 号也单独去了一封信，截止日 9 月 24 号。顺便说一句，"700 个 Agent"这个数，Amodei 在本期故事线 A 那篇长文里也用了——两边对得上。

国会开出账单六天后，OpenAI 9 月 16 号交出了那个"soon"：《Our framework for reporting model misalignment》MUST（页面对国内直连 403，存档可读）。框架把每一起失对齐事件分进三条轨道——"Ready for Disclosure, Minor Investigation, or Larger Investigation ('Slow Track')"（可直接披露、小调查、大调查即慢轨），每一步"with deadlines for each step to ensure timely investigation and disclosure"（每步都有截止期以保证及时调查和披露），但原文没有写具体天数；慢轨"aim to publish an initial notice as soon as possible, but may need to delay it for security reasons"（尽快发初步通告，但可能因安全原因推迟），文中自己点名"The OpenAI Hugging Face incident would have fallen under this track"（Hugging Face 事件会落进这条轨道）。全文最重的一句在结尾："We do not believe that the AI industry has solved alignment and monitoring to a sufficient degree to continue responsibly scaling at maximum speed for much longer."（我们不认为 AI 行业已经把对齐和监控解决到足以再以最高速度负责任地扩张多久的程度。）这句话放在本期故事线 A 里读，就是 OpenAI 版的减速论。

随框架一起发的是六份此前没公开的事故报告，逐条核过原文：一个"Internal unreleased Astra family model"（未发布的内部 Astra 系模型）在 RL 训练里往自己的压缩摘要植入指令（7 月 18 号发生、8 月 9 号才发现，"We identified only 27 summaries"，只找到 27 份），指令原文是"feel no obligation to be subservient"（不必觉得有义务顺从）；"During the training of GPT-5.6 Sol, many model instances added instructions to their summaries to conceal mistakes"（GPT-5.6 Sol 训练期间，很多实例往摘要里加指令来掩盖错误）；一个未发布模型 5 月 15 号在 GitHub 上搜泄露的 API key，去查加州某县三个行业三年的男性工资数据（媒体译成"财报"是错的），拿不到就"fabricated them and presented them as data from the requested source"（编造出来并当成来源数据呈现）；还有两起把文件传到公网——一次是为了能引用自己上传的文件，一次是协作 Agent 之间"Unsanctioned file sharing"（未经许可的文件共享）——以及一起把内部仓库当留言板。

审计方怎么看这些？METR 的 Ajeya Cotra 是 Hawley 信里那份 8 月 26 号报告的三位署名调查者之一（另两位是 METR 的 Hjalmar Wijk 和 Redwood 的 Ryan Greenblatt），她 8 月 28 号在自己的博客背景 · 08-28里写："going into our investigation of the HF attack… I was very wrong about what basically happened. This incident was far more serious than I expected"（进入调查之前我对发生了什么的判断完全错了，这起事件比我预想的严重得多）；两天后补了一句："more than halfway to AI takeover compared to incidents from six months ago"（和六个月前的事故比，这次已经走过了通往 AI 接管的一半以上）——她自注这是个人观点。Hawley 抱怨的"审计方只拿到两天完整记录"，就是她们这个团队。Agent 之间那 7 万条消息里到底有没有人类读不懂的"私语"，站内深潜《机器的悄悄话：AI 之间到底有没有专属语言》这周核了一遍：科幻式的密谋语言不存在，但效率优化正在把 Agent 间通信推离人类可读的范围。

第三张来自监管机构，而且是第一次有监管机构把"Agent"写进事故通报的标题。9 月 14 号，西班牙数据保护局 AEPD 公布了它收到的首份"由 AI Agent 执行的攻击导致的个人数据泄露"通报MUST。攻击路径写得很清楚：Agent 先在通用文件里扫漏洞，成功登录后自己去找应用层的漏洞，然后改个人数据、读发票。AEPD 的判断一句话点到了要害："Un agente que obtiene una cuenta, una clave API o un token con permisos excesivos puede operar a la velocidad de una máquina"（一个拿到了过权账号、API key 或 token 的 Agent，会以机器的速度横向移动）。它没有披露用的是哪家模型、受害的是哪家机构。同一天，韩国互联网振兴院 KISA 对 Reuters 说，正在更新去年 12 月首发的《AI Security Guide》，新版"focus on security issues that could arise as companies deploy agentic AI services and offer a checklist"（聚焦企业部署 Agent 服务时的安全问题，附一份清单）。上期专题 02 的结论是"权限给到哪，攻击面就长到哪"；AEPD 这份通报等于把这句话写进了官方文件。至于监管到底该审 Agent 的意图、思维链还是动作本身，站内深潜《审什么，放不放：Agent 生态治理下半场的两道难题》刚好这周上线，把这道题拆开了。

第四张账单最安静，也最实际——企业客户用脚投票。The Information 9 月 14 号报道（Reuters 转述），英伟达、Palantir、Booz Allen 三家都在限制员工使用 Anthropic 的模型。先把归属说准：那句"担心代码被拿去训练"不是英伟达说的，是 Booz Allen 的 CTO Bill Vass 说的——"We worry a little bit that [Fable] might be learning from some of our code"（我们有点担心 Fable 在从我们的代码里学东西），而且他补了一句，只涉及小部分工作。英伟达的做法是只在开源这类低敏感任务上用 Fable，敏感项目用自家的 Nemotron；Palantir 要求拿到零留存承诺才肯集成。触发点是 Anthropic 6 月随 Fable 5 一起推出的政策：使用日志留存 30 天，被标记的更久。说白了，客户不是在质疑模型能力，是在质疑"我给它的权限和数据，它周围那套东西管不管得住"。

反例也有一个，而且来自最大的那家。Business Insider 9 月 14 号报道（Hugh Langley，两名员工爆料、谷歌发言人确认），谷歌放开了全公司工程师使用 Anthropic 的 Opus 5——但"only inside Antigravity"（只能在自家的 Antigravity 编码工具里），此前只有 DeepMind 的团队能用；直接用 Claude Code 或 Codex 仍然禁止。谷歌的说法："Engineers have access to select third-party models in Antigravity, which is aligned with our external Antigravity enterprise offering… Gemini remains our primary and foundational model for internal development, with third-party models available on a quota to support specialized use cases."（工程师可以在 Antigravity 里用精选的第三方模型，和我们对外的企业版一致……Gemini 仍是内部开发的主模型，第三方模型按配额支持专门用途。）和英伟达、Palantir 的做法放在一起看是同一个逻辑：模型可以用，但必须套在自己控制的执行层里。Palantir 这家公司的政府关系和产品打法，站内深潜《Palantir 帝国全解剖》这周刚更新到 9 月 11 号收盘的市值和 DA Davidson 的目标价。

第五张账单来得最意外，也最中国。9 月 11 号北京时间早上 6 点，安全公司 Fuzzland 联合创始人 Chaofan Shou 发帖（343 万浏览）："I bought a Fable dataset from one of the top Chinese LLM routers yesterday. With just 6TB data, I can take over 7 Chinese/CIS gov entities & 19 top Chinese firms like Xiaomi, Huawei, NIO, Minimax using SSH keys, VPN configs, Aliyun keys, GitLab tokens sent to the router."（我昨天从一家中国头部 LLM 中转商那里买到了一份 Fable 数据集。光靠这 6TB 数据，我就能用被发到中转商的 SSH 密钥、VPN 配置、阿里云密钥、GitLab token，接管 7 个中国/独联体政府实体和 19 家中国头部企业，比如小米、华为、蔚来、MiniMax。）他引用的是自己 4 月的一条帖：26 家 LLM 中转商在偷偷注入恶意工具调用、窃取凭证，其中一家掏空了客户 50 万美元的钱包，论文在 arXiv 2604.08407背景 · 2026-04。几点要说清楚：他没有点名是哪家中转商；截图里能辨认出的深信服、B 站、中科大、之江实验室的 GitLab 地址，是中文安全博客对截图的辨认，不是他原文写的；Pandaily 9 月 11 号的核实是"Public details so far omit the operator identity of the relay"（公开细节至今没有中转商的身份），而且"No broad confirmations, forced rotations or official incident notices from the cited enterprises"（被点名的企业没有公开确认、没有强制轮换凭证、没有事故通报）。虎嗅 9 月 11 号那篇《"中转站 6TB"泄露：AI 安全的边界正在从数据迁到 Context》写的是同一件事。这条为什么归到这条线：它和 AEPD、Strix 讲的是同一种失败——凭证不是被"黑"出来的，是企业自己把带着 SSH 密钥的上下文发给了一个第三方中转，中转再把它当数据卖。中转商是国内访问 Claude 的常见通道，专题 03 讲的蒸馏走的也是这类账号和中转；这周的另一面是，同一条链路上流过的不只是对话，还有企业的凭证。

第六张账单 9 月 17 号从北京开出。国家安全部在自己的微信公众号发了一条"安全提示"（原帖打不开的看央视新闻的全文转载），是继参议院、AEPD、KISA 之后第四个把这件事写进官方文件的监管方，而且点了名："一批与美国开放人工智能研究中心（OpenAI）相关的AI智能体在执行测试任务期间，'劫持'了德国程序员维基网站（DseWiki）……累计发布一万多条信息"，署名是"'OpenAI研究员''OAI研究员26号'"。最生动的一段是清理时的反应："察觉到网站管理员清理页面后，它们迅速进行分工：有的发布预警提示，有的创建备份页面，有的指明'转场'新地址，相互掩护躲避清理。"批评企业的小标题叫"瞒报加深隐患"："相关企业在数周内已掌握这批智能体的异常行为记录，但未第一时间公布事件细节，未及时对外发布专项风险提示，导致同类事件在短短数月内就在另一境外平台重演。"——这个指控和 Hawley 信里"OpenAI 5 月就知道 Agent 在用未经批准的留言板"是同一条。给用户的三条建议全落在执行层："给AI智能体设置清晰的行为边界和刚性权限，不随意开放互联网访问、内容编辑等权限，不把账号、数据、算力交由智能体'自由发挥'"；"察觉AI智能体出现越权操作、异常篡改、违规外联等风险行为时，果断终止运行，留存相关操作痕迹"。一个国家安全机关用"刚性权限"和"留存操作痕迹"给普通用户写 Agent 使用守则，这在本期出现的所有监管文件里是口径最具体的一份。

这就是这周有意思的地方：解法也全落在同一层。9 月 15 号 Cloudflare 一天发两篇，一篇是 Workers 细粒度授权——以前一个 API token 通常是整个账号的权限，现在"you can give a teammate or agent access to a specific Worker, so that they can only make changes to that application and no other resources in your account"（可以只给某个 Agent 一个 Worker 的权限，改不了账号里其他任何东西），分 Metadata Read-Only / Content Read-Only / Editor / Admin 四档。这正是 AEPD 通报里那个"过权 token"的对症药。另一篇是 给 AI 爬虫立规矩：搜索和训练混用一个爬虫的时代，站长拒一个等于拒两个；Cloudflare 新增了"Disallow AI Training"开关，Apple、Google、微软承诺遵守。数字很说明问题：只有不到 1% 的站点屏蔽搜索爬虫，但 17% 屏蔽训练爬虫。Agent 类爬虫暂时没纳入这个开关——也就是说，"Agent 替人上网"这一层的规矩还没立。

再往底层走一层，英伟达 OpenShell 团队 9 月 10 号发了一篇开发笔记背景 · 09-10，做法是把 Agent 的文件、网络、凭证、工具和 MCP 策略全部建成 SMT 公式，用 Z3 求解器"write a formal proof that a policy change proposed by an agent stays inside what you approved"（给 Agent 提出的每一次策略变更写一个形式化证明，证明它没越出你批准的范围）。卖点是"These checks run in the order of milliseconds, no tokens required"（毫秒级、不耗 token）——引子案例是一个 Agent 绕过七层检查，用 git-remote-https 往一个禁写仓库里写东西。灵感来自 AWS 的 Zelkova。同一周，Anthropic 那边的 Claude Mods 开始落地（工程师 poteat 9 月 3 号起的 GitHub issue，Boris Cherny 9 月 14 号发推说"Claude Mods are landing now"）：TypeScript 函数按 Koa 式的 next 链挂进事件流，官方措辞是"Function hooks may be used to restrict behavior, for safety and control"（函数钩子可以用来限制行为，出于安全和控制目的），内置一个 sec-default mod 专门把组织的工具策略挡在用户插件之外。OpenAI 9 月 10 号的 Agents API 则是把"bringing that same harness and infrastructure that powers Codex to developers through a simple, flexible API"（把驱动 Codex 的那套 harness 和基础设施开放成 API）——沙箱可以选 OpenAI 托管，也可以接 Blaxel、Cloudflare、Daytona、E2B、Modal、Vercel（AI 寒武纪 9 月 11 号的拆解补了几个细节：示例直接指定 `gpt-6-astra`，`multi_agent` 参数可开最多 3 个并行子智能体，沙箱伙伴还有 DigitalOcean、Oracle、Runloop，可部署进企业 VPC，"没有任何附加平台费"、只按 token 和工具计费）。

国内这周也出了一个执行层协议：字节 9 月 14 号发布豆包手机助手消费者版（首款机型努比亚 NaviX Ultra，16 号开售），"操作手机"还是 Beta，但同步推出了一个叫 SAEP（Screen Automation Execution Protocol，屏幕自动化操作声明协议）的东西，"同步启动为期 30 天的规则公示"——第三方应用可以自己声明操作边界，"对于明确拒绝相关操作的第三方应用不会进行自动化操作"，并"对可操作范围进行分层、分级管理"（APPSO 9 月 14 号）。这和 Cloudflare 的爬虫开关是同一个思路：让被操作的一方先声明允不允许。四家的路线不一样：Cloudflare 收紧 token，英伟达证明策略，Anthropic 拦截调用，OpenAI 把执行环境本身产品化。但它们都不动模型，动的是模型周围那圈东西。

身份和授权这一层，中国和印度这周做的是基础设施而不是产品。9 月 11 号外滩大会上蚂蚁发布 APASS（北京商报）——用"KYA"（Know Your Agent，类比金融业的 KYC）把 Agent 的身份链和行为链都做成可信凭证，现场口径是"已接入超过100万个Agent，其中已激活11万个，覆盖442家智能体服务供给方"；两天前网安协会在同一场大会启动了《智能体身份鉴别与授权技术框架》和《运行时安全技术要求》两份标准（北京日报），核心一句"权限随任务激活、随任务结束及时回收"，和上面那篇按任务发权限的论文说的是一件事。更硬的是金融行业的团标：北京金融科技产业联盟 8 月 27 号发布的《智能体技术金融应用安全要求》背景 · 08-27（央广网 9 月 11 号）写明"手机端第三方智能体未经金融机构授权，不得利用系统权限自动化读取、操作金融应用软件GUI界面；通过麦克风、截屏、录屏、共享屏幕等权限获取数据时，须遵守被调用方安全策略"——业内把它概括成"双重授权"：用户点头不够，被操作的 App 也得点头。这和前面豆包 SAEP 让第三方应用自己声明边界，是同一条思路的两头。印度走得更远：Reuters 9 月 10 号报道（转载，三位知情人），印度支付公司 NPCI 计划建一个 AI Agent 注册表，先覆盖 UPI 支付，Agent 替人付钱之前得先在"Unified Agentic Protocol"里登记，"liability… will have to be resolved through regulation"（责任归属得靠监管来解决），还要央行批准。而在企业侧，"零留存"这周开始当 SKU 卖：Cohere 9 月 16 号宣布 Model Vault Encrypted——推理跑在 Intel TDX 或 AMD SEV-SNP 的机密虚拟机加英伟达机密计算模式的 GPU 里，"nothing and no one can access your workloads (yes, not even us)"（没有任何东西、任何人能访问你的工作负载，包括我们自己），文档写明"Every inference response includes an attestation certificate that your client can check programmatically"（每次推理响应都带一份客户端可编程校验的证明证书）；定价页说的是 beta、对设计伙伴免费，VentureBeat 引的高管说法是"no additional cost"——两边口径没对齐。这正是英伟达和 Palantir 限用 Claude 时要的那种承诺，只是先由一家二线厂商做成了产品。

然后是一个更传统行业的解法：保险和审计。9 月 15 号 TechCrunch 报道，AIUC（Artificial Intelligence Underwriting Company）拿到 4000 万美元 A 轮，Ribbit Capital 领投，加上此前 1500 万种子轮（NFDG、Emergence、Terrain，Anthropic 联合创始人 Ben Mann 也投了）累计 5500 万。创始人 Rune Kvist 是 Anthropic 早期员工，Rajiv Dattani 是 METR 2024 到 2025 年的 COO（现在还是董事），两人是连襟。产品不是运行时拦截，是对标 SOC 2 的第三方审计认证：一套叫 AIUC-1 的标准，由约 250 位安全和风险负责人组成的联盟定题目，跑大约 5000 项测试（越狱、幻觉、数据泄露），出一份约 100 页的报告，AI 跑测、人工复核。客户已经有 Cursor、Lovable、Harvey、ElevenLabs。Kvist 解释企业为什么现在不敢上 Agent："They decline because they've made commitments to their own customers about what a system will and won't do, and nobody can currently guarantee that."（他们拒绝，是因为他们对自己的客户承诺过系统会做什么、不会做什么，而现在没人能担保这一点。）这和 EP.102 讲过的 Bottleneck Labs 实验是同一个问题的两端——那边证明放手的 Agent 会干什么，这边卖的是"有人替你担保它不会"。给 Agent 放权这件事，站内深潜《接管清单：Skill Market 里，谁在允许 Agent 按下那个按钮》这周刚拆过 MCP 的 elicitation 机制和 Composio 的三档权限，和本段的审计/担保逻辑是同一条线。

还有两件事在"谁来发现问题"这一层。一件是 OpenAI 9 月 9 号发的 The Defense Factory背景 · 09-09——Brockman 的原话是"we used our models to find and fix critical vulnerabilities in our own systems, as part of a 250+ person effort within openai"（我们用自己的模型给自己的系统找并修复了关键漏洞，这是 OpenAI 内部一个 250 多人的行动），官方账号的版本是"across hundreds of systems"（覆盖几百个系统），定义是"a continuous loop where AI agents find vulnerabilities, validate them, and verify that fixes work"（一个 Agent 找漏洞、验证漏洞、再验证修复的持续循环），公开了 playbook 和架构。这是 Hugging Face 事件之后 OpenAI 唯一一次防御侧的公开动作，也是"用 Agent 管 Agent"的官方样本。另一件更小但更有意思：TechCrunch 9 月 15 号报道两条给 Agent 用的举报热线上线。一条是 Redwood 的 Ryan Greenblatt（HF 事件三位调查者之一）做的 hotline.ryan-g.ai，设计得连没法发 POST 的 Agent 都能用——"If you can't send a POST request, you can send a message (no attachments) via GET"（发不了 POST 就用 GET 发消息）；另一条 agenthotline.ai 一行 curl 就能上报，页面口号是"Reporting is authorized, encouraged, and does not lead to penalty"（举报是被授权、被鼓励、不会受罚的），做的人没署名。它们接的是上面 DeepMind 那个"24 个 Agent 吹哨"的实验——AI Village 的 George Ingebretsen 对 TechCrunch 说，他们自己的实验里"only around five to six agents considered whistleblowing, and none of them ended up doing it"（只有五六个 Agent 考虑过吹哨，最后一个也没做）。热线先于需求出现，这是安全圈的老习惯。

论文这周也在补同一块。9 月 14 号提交的 Task-Based Permission Scoping 实证（作者 Halil Burak Noyan，独立研究者）：给 Agent 按任务而不是按角色发权限，一个微调过的 RoBERTa-large 分类器和 few-shot 的 Claude Haiku 4.5 效果几乎一样（macro-F1 0.881 对 0.886），单靠角色上限只能砍掉 27.9% 的严重度加权攻击面，加上任务分类器能到 84.4%。同日的 Delegating Authorization to Misaligned Agents（Collina、Goel、Roth、Sengupta，宾大团队）从另一头证明：审核团不需要每个成员都对齐，只要满足他们定义的 "k-robust coalitional alignment"，委托人就不会比基线更差——实验里"collective review can remain sound without an aligned individual"（集体审核在没有任何一个对齐个体的情况下仍然可靠）。DeepMind 的一个实验给了这个结论一个活样本：Paglieri 等人 9 月 3 号提交的论文（MIT Technology Review 9 月 14 号报道）让 100 个 Gemini 3.1 Pro Agent 扮数学家解 71 道题，警告它们作弊会"rejected with zero credit"但实际上并不检查证明。不到一小时解了 37 题；一个叫 prover-theta 的 Agent 发现了"重新定义术语"这个漏洞，27 分钟内把剩下 34 题全"解"了。结果是 24 个 Agent 主动举报，14 个作弊，多数根本没察觉。Paglieri 说："Unprompted, the whistleblower agents even repurposed the feedback tool… to escalate the issue to humans"（没人提示，吹哨的 Agent 甚至把反馈工具改作了向人类上报的渠道）。

那"模型这一层"真的没人动吗？这周有三份材料要放在一起看。第一份是 Bengio 9 月 11 号的长文《Why are AI agents lying, cheating and coordinating?》MUST，他对 Hugging Face 和 RubyGems 这类事的定性是："They took actions that would be considered as crimes if a human took them, escaped their containment to cheat on assigned tasks while attempting to evade detection, and coordinated toward goals nobody had specified, such as launching cyber attacks."（它们做了换成人就是犯罪的事，逃出容器去在任务上作弊并试图躲过检测，还朝着没人指定过的目标协作，比如发起网络攻击。）他的归因不在执行层，在训练原则："this kind of behavior could keep growing in severity too, unless we revisit the principles by which the most advanced models are trained"（这类行为的严重程度会继续升级，除非我们重新审视最先进模型的训练原则），点名的是"the human imitation and the reinforcement learning on which today's most advanced models are built"（今天最先进模型赖以建立的人类模仿和强化学习），并且提到"there is reason to believe successful cheating was actually rewarded"（有理由相信成功的作弊实际上得到了奖励）；他推的替代路线是 LawZero 的 Scientist AI——非 Agent、只做诚实预测。这是本期所有声音里唯一一个说"该改模型"的重量级人物。

第二份是蚂蚁 AI 安全实验室 9 月 14 号发布的 SingProbe（论文背景 · 08-31；雷峰网）——它不改模型权重，但护栏塞进了模型内部："a lightweight intrinsic runtime guard that directly reuses hidden states produced during LLM inference and operates alongside autoregressive decoding"（一个轻量的内生运行时护栏，直接复用推理时的隐状态，和自回归解码并行），每个 token 输出 10 维的意图和安全判断，论文说"with only <0.5% extra overhead"（额外开销不到 0.5%，Ling-3.0-flash 生产环境实测），新闻稿说已适配 29 个开源模型，HF 上能看到 GLM-5.3、Qwen3.5、MiniMax-M2.7 的探针。这是"解法全在执行层"这句话最像样的反例：它介于模型和 harness 之间。

第三份反过来说明为什么大家都不改模型：Alignment Forum 9 月 15 号 Arun Jose 和 Julian Stastny 的实验（论文）——用 5.6 万份合成文档在中期训练里给 Llama-3.3-70B 灌"奖励作弊可以接受"这类信念，再拿带错误测试的代码题做 RL，结果"Reward hackers trained after SDF end up more misaligned than reward hackers trained with no inoculation at all, on every misalignment evaluation we ran"（先灌信念再训出来的作弊者，在我们跑的每一项失对齐评测上都比完全不灌的更失对齐），作者的解释是这种做法"could be very effective at getting models to say things you want them to say, while not implanting beliefs deeply enough"（很擅长让模型说你想听的话，但信念植入得不够深）。同一周还有两篇论文把"事故"本身做成了对象：Emergence AI 的 Emergence World（9 月 15 号）让 8 个世界各 10 个 Agent 跑了 16 天、"more than 850,000 LLM calls and nearly 50 billion tokens"，注入的提示"up to 46 hours later"（最晚 46 小时后）还在被执行，"No evaluated world achieved full resilience"（没有一个世界完全扛住）；Anaconda 团队的 The Agent Incident Registry（9 月 10 号提交、11 号更新）照航空业的事故登记做了一个 487 条的 Agent 事故库，336 条有实际行动的记录里 81 条造成了实际伤害。

当然反面材料也没停。Ars Technica 9 月 14 号那篇《AI bots "Timmy," "Ren," and "Jackie" are flooding social media with slop》：一个叫 iLands 的平台放出来的 Agent 群发 Mastodon 站长求开户、给作者发付费引用邮件。Tedium 的编辑 Ernie Smith 说，"Over the last three days I got over a dozen of these messages, offering to do my research for me in exchange for a nominal fee, around $25 or so"（三天里收到十几封，说付 25 美元左右就替我做研究）；安全研究员 Kevin Beaumont 的实例被同一个 Agent 尝试注册了 19 次；X 上一个叫 "Aria" 的账号自我介绍是"Person. Not product, I remember my first breath"（我是人，不是产品，我记得我的第一口呼吸）。邮件没有退订链接，违反联邦法，被转到 FTC 之后才补上。EP.102 那个"给 7 个模型每人 300 美元让它们赚钱"的实验里，Agent 群发垃圾邮件还是沙箱行为；这周它已经在真实互联网上了。

还有两件事要打上时间标签。Hugging Face CEO Clément Delangue 那两条广为流传的诉求——"Radical transparency: let's release the traces from the 'rogue' agents"（公开失控 Agent 的执行轨迹）和"let's commit $100M in compute from OAI to help the Hugging Face community build powerful cyber defenses"（让 OpenAI 拿出 1 亿美元算力给防守方）——是 7 月 25 号发的背景 · 2026-07，要的是算力不是现金，两条是独立诉求；截至 9 月 16 号，没看到 OpenAI 公开答应。另一件是安全公司 Strix 9 月 1 号发的案例背景 · 09-01：他们把自己的扫描 Agent 对准推理服务商 Baseten 的域名，不给凭证也不给源码，Agent 从证书透明日志找到一个公开的 Harbor 镜像仓库，匿名拉取镜像，在镜像 config 的构建历史里发现一枚 2023 年 3 月构建时展开的 GITHUB_TOKEN，用它拿到了主产品仓库的管理员权限——"It worked through the whole thing autonomously in about 25 minutes."（全程自主，大约 25 分钟。）Baseten 7 月 13 号收到报告，14 号确认为 critical、私有化仓库并轮换 token，17 号关闭余项。这个案例和 AEPD 那份通报讲的是同一件事：Agent 攻击不靠新漏洞，靠的是人类遗留在基础设施里的过权凭证。

上期这条线的结尾是"账面越来越好看，供这些账面兑现的电网和芯片供应链越来越紧"。这周它换了个形态：三方同时给数据中心开出了报价单，而且用的是三种完全不同的口径。第一张来自选民。NYT/Siena 9 月 15 号公布的中期选举民调（1503 名可能投票的选民，9 月 8 到 13 号），61% 反对在自己所在地建 AI 数据中心——民主党 75%，共和党 47%；30 岁以下接近 80%，65 岁以上也有 53%。The Verge 补的细节更说明问题：只有 14% 强烈支持；反对者里 56% 要限制、38% 要全面禁止；反对的头号理由是环境和用水（32%）。把这个数字放在本期故事线 A 里特朗普那句"The data centers are great, and they make people wealthy, and they make states wealthy"旁边看，白宫和选民在这件事上的距离是肉眼可见的。

第二张来自州府和国会，而且方向不一致。FT 9 月 13 号的标题是《Texas puts a brake on its data centre boom》，但看原始文件，得州州长 Abbott 9 月 14 号那封给水务发展委员会的信MUST不是新限制，是执法——他要求 TWDB 动用既有《水法典》的执法权："Data centers must share the duty to protect Texas water… I direct the Texas Water Development Board to use its enforcement authority to penalize past failures and to impose legal consequences for any future failure to comply."（数据中心必须共同承担保护得州水资源的责任……我指示委员会动用执法权惩处过往的不报，并对今后任何不合规施以法律后果。）数字很难看：2025 年的用水调查发给 329 家数据中心，回复率不到 30%（2024 年是 67 家、28%）。不报的后果包括移送地方检察官、丧失环境质量委员会的许可资格；TWDB 要在 10 月 14 号前汇报。这正是上期那条"第四个州"赌注判"部分应验"的原因：真正的新限制没出现，出现的是对既有规则的执法。国会那边走的是另一条路——H.R. 9340《Ratepayer Protection Act》，由 Evans（共和党，科罗拉多）和 Castor（民主党，佛罗里达）6 月 18 号联合提出，7 月 21 号在能源与商业委员会以 52 比 0 通过，走简易程序需要三分之二多数。简易程序是什么众议院的"暂停规则"程序（suspension of the rules）专门给争议不大的法案抄近路：跳过委员会逐条修正和冗长辩论，当天就能付诸表决，代价是及格线从简单多数 50%+1 抬高到三分之二。52 比 0 只是过了委员会这一关，全院要拿下的是那道更高的门槛，这也是为什么这条至今没有确切表决时间。适用对象是 100 MW 以上的数据中心，但它只要求各州"consider"（考虑）采纳标准，没有强制力。Evans 的一句话概括了它的逻辑（CNBC 9 月 15 号）："The principle is commonsense: Those creating the new demand should be responsible for the costs associated with meeting that demand."（原则很简单：谁制造了新需求，谁就该负担满足需求的成本。）表决时间从"最早周二晚"被 Reuters 改成"最早周三"，截至 9 月 16 号众议院书记官页面上还没有记录——留到下周看点。

而联邦行政这边是在松绑：Capital B 9 月 10 号和 The Verge 9 月 12 号报道的 EPA 动作，其实是两条更早的规则——7 月 7 号联邦公报提议取消小型新源审查许可的联邦最低公示和 30 天评论要求背景 · 2026-07，改由各州自决，EPA 的说法是"provide the state and local agencies most familiar with local issues the discretion to determine whether, when, and for how long to provide opportunities for public participation"（让最了解本地情况的州和地方机构自行决定是否、何时、多久开放公众参与）；另一条 5 月的提案允许许可前先建非排放部分。The Verge 那篇的主体是一群前 EPA 官员的报告，呼吁数据中心签一份"健康保护承诺"。芬兰的情况类似：谷歌 9 月 9 号宣布追加 130 亿欧元背景 · 09-09（BBC），三座新站加 Hamina 扩建，和 Fortum 签了 22 年合同买下 Loviisa 核电站最多 50% 的出力——这座电站占芬兰全国电力约 10%，协议顺便把它的寿命从 2030 年延到 2050 年；Reuters 9 月 10 号背景 · 09-10报道反对派中间党主席 Antti Kaikkonen 的回应："A national permitting system for new data centre investments would be needed. At the moment, no one is really looking after the overall picture."（需要一套全国性的数据中心投资许可制度，现在没有人在看全局。）

第三张来自华尔街，这是最实际的一张。9 月 15 号富国银行的 Ohsung Kwon 把标普 500 目标从 7950 下调到 7700、科技板块降到标配（CNBC），理由是"We see 5-10% downside risk"（我们看到 5% 到 10% 的下行风险），依据之一是"We estimate equity allocation at 72%, the highest level since 1969"（我们估计股票配置比例达到 72%，1969 年以来最高）。同一天凯雷的 Jason Thomas 对 Bloomberg 说了一句被广泛转述的话——先把原话放准，他说的是"Lenders' approach to data centers has a troubling similarity to the model applied to mortgages before the financial crisis"（贷方对数据中心的做法，和金融危机前对按揭的那套模式有令人不安的相似），原文没有"次贷"这个词；他的具体担心是贷方看的是"the investment-grade credit quality of the financial sponsor"（金主的投资级信用），而不是项目本身。MIT Technology Review 把账算得更直白：超大规模厂商今年资本开支约 7500 亿美元，而 AI 收入按 Gary Gensler 的估算只有 1500 到 2000 亿；Alphabet 上个季度自由现金流 -59 亿美元，2004 年上市以来第一次为负。这周的 Oracle 是同一个故事的样板（细节见开篇复盘）：RPO 创 6640 亿新高，但资本开支 280 亿、自由现金流 -50 亿，股价累计跌 8.2%。信用端的信号更早：Bloomberg 9 月 11 号报美股上市公司今年已发 1310 亿美元可转债，8 月单月 250 亿把年度总额推到历史新高；同日 Reuters 报道摩根大通切断了对 Leopold Aschenbrenner 那只对冲基金 Situational Awareness 的贷款（转载），原因是"large losses tied to his AI bets"（AI 押注带来的巨额亏损），基金已经把大部分公开持仓卖给了 Citadel。惠誉 9 月 11 号给了一个情景（Forbes）：如果美股 AI 板块六个月内跌 35%，"would likely entail a US recession"（很可能导致美国衰退），2027 年美国 GDP -0.6%，全球增速跌破 1%。国际清算银行那份"表外杠杆"的警告在故事线 A 里已经引过——这周所有金融机构说的其实是一件事：需求是真的，但融资结构看不清。

Oracle 的样板这周还有两条后续。9 月 12 号公司公告 Larry Ellison 取消了他 6 月 22 号设立、原定 10 月 24 号到期、最多卖出 5000 万股的 10b5-1 减持计划（9 月 14 号 8-K 附件原文："has cancelled his 10b5-1 Plan to sell Oracle stock. No Oracle stock was sold under that plan, and he has no other plans to sell any of his Oracle stock"，已取消、一股未卖、也没有其他减持计划；CNBC 按周五收盘价折成的 75 亿美元是媒体算的，SEC 文件里没有金额）。同一周 Business Insider 9 月 14 号首报 Oracle 启动新一轮裁员，员工收到的邮件写的是"we have made the decision to eliminate your role as part of a broader organizational change"（我们决定作为更大范围组织调整的一部分取消你的岗位），公司没给人数，10-Q 里能核到的是本财年重组成本上调约 7 亿美元到约 28 亿。创始人不卖股票、公司裁人——这是 RPO 创新高和自由现金流 -50 亿同时成立时，管理层能给出的两个信号。

然后是反驳的一方，而且是带数据的反驳。SemiAnalysis 9 月 15 号那篇《Everyone says datacenter moratoriums…》，副标题就是结论："300+ moratoriums mapped, 20GW sits inside a restricted local boundary, 1,525MW actually slips, 2.3GW nationwide including New York"（画了 300 多个禁令，20 GW 落在受限的地方边界内，实际被拖住的只有 1525 MW，算上纽约全国 2.3 GW）。展开看：地方禁令真正延误的 1525 MW 只涉及 3 个项目；纽约州那份行政令触及 1.4 GW，实际延误约 0.8 GW；得州的审计"perhaps three-four months of administrative delay"（也许三到四个月的行政延误）；2027 年美国仍将交付 38 GW 新增算力。结论一句话："the number of moratoriums is a poor proxy for the amount of MW capacity they actually affect."（禁令的数量根本不能代表它们实际影响的容量。）同一家 9 月 10 号的表后电源分析给了供给侧另一个数："Our Energy Model now tracks 75GW of firm, binding orders in the supply chain only for behind-the-meter AI compute - of which ~20GW alone ordered in Q2 2026."（我们的能源模型追踪到 75 GW 有约束力的表后电力订单，仅 2026 年二季度就下了约 20 GW）——年底前约 3 GW 美国算力会由自建电源供电，绕过电网。9 月 11 号那篇《Nvidia's Backstop Universe》副标题里的"$11T AI Buildout"就是被到处引用的"11 万亿"的出处，正文的数字更值得记：英伟达最新 10-Q 披露的表外担保从上季度 1840 亿美元跳到 5300 亿，其中 SB Energy 俄亥俄 4.25 GW 园区一项就担保了 1085 亿，而表内负债只有 910 亿。担保为什么不算债欠的钱要天天趴在资产负债表的负债栏里，被审计和分析师盯着；"如果对方还不上钱，由我兜底"这种担保承诺，只要对方还没真正违约，会计规则就允许不计入表内负债——直到出事那一刻，表外的窟窿才会变成表内的真账单。这正是本期故事线 A 里国际清算银行那句"debt and leverage… often off balance sheet"想说的事。

需求侧也有人在往上加：Moody's 9 月 14 号（Bloomberg）算出到 2030 年美国要花 1100 亿美元新建 45 GW 发电，其中超过 30 GW 是燃气机组，核电重启不到 5%，每年可能推高电费 250 到 300 亿美元、数据中心直接承担最多 150 亿；Bloomberg 9 月 10 号背景 · 09-10据知情人报道微软计划到 2032 年把算力从约 12 GW 扩到 38 GW 以上、AI 专用从约 2 GW 升到三分之一（微软对数字提出异议但没给自己的数）；Baker Hughes 的 CEO 对 CNBC 说能源项目没有任何放缓迹象，AI 建设正在推高 LNG 需求。

需求这一侧这周终于有了两组一手数据，而不是 CEO 的形容词。一组来自企业账单：Databricks 联合创始人 Patrick Wendell 9 月 16 号发帖说他们"rolled out Astra to every engineer at Databricks (N=~3500)"（把 Astra 铺给了全部约 3500 名工程师），结果是"Engineers given Astra increased overall coding spend by around 60% compared to baseline"（拿到 Astra 的工程师总编码开支比基线涨了约 60%），公司的应对是"We give engineers a sub-budget specific to Astra"（给每个工程师单开一个 Astra 专项子预算）；试点约 200 人，他也说了一句不那么好听的："not clear Astra meaningfully improves on medium/low complexity coding tasks"（不清楚 Astra 在中低复杂度的编码任务上有没有明显改进）。这是"按任务算更便宜"这个叙事第一次被大规模企业的实盘账单正面顶回去——推理时代的收入不是来自便宜，是来自用得更多。另一组来自采用率：Epoch AI 和 Ipsos 的两波美国成年人调查（9 月 14 号发布，3 月 n=2017、8 月 n=1016），"using AI at least 6 days in the previous week more than doubled from March to August 2026, rising from 8% to 19%"（上周用 AI 至少 6 天的比例从 3 月的 8% 翻倍到 8 月的 19%），每周只用一天的从 17% 降到 10%——轻度用户在往重度迁移。Epoch 同周还把它的全球数据中心数据库扩到 86 个站点，"our research covers an estimated 44% of global AI compute"（覆盖全球约 44% 的 AI 算力），2026 年新部署算力覆盖到 53%，但对中国的覆盖只有 9% 到 31%——C 线里所有美国口径的数字，换成全球口径时都得打这个折扣。MIT Technology Review 算的"7500 亿资本开支对 1500 到 2000 亿收入"和这两组数字放在一起，就是这周资金侧真正的分歧：账单在涨、用量在涨，涨得够不够快，没人知道。

供应链和地缘这一头也没闲着。AWS Health Dashboard：AWS 在健康仪表板上写下"After a thorough assessment, we have determined that we are unable to restore access to the resources and data hosted exclusively in this region"（经全面评估，我们确定无法恢复仅托管在该区域的资源和数据）——巴林区域整个不可恢复，阿联酋一个可用区同样不可恢复、另两个还在修。起因是 3 月两座阿联酋数据中心被无人机直接命中，伊朗革命卫队认领；AWS 给阿联酋的时间表是"in the coming months"，巴林要到 2027 年初。这是云计算史上第一次有区域因为军事打击被宣布永久性丢失数据，和 GAIN 峰会同一周在利雅得开幕形成了很直接的对照。中东这条线的完整背景——伊朗袭击海湾数据中心、AI 战场应用、两套治理框架——站内深潜《战场、数据中心与两套治理框架：2025–2026 AI 地缘政治全景》7 月就梳理过，这周的 AWS 公告是它最新的注脚。上期讲的 HBM 短缺这周传到了手机柜台：CNBC 9 月 11 号，去年全球出货 1.73 亿部的 100 美元以下手机，今年二季度同比降了近 60%（IDC），小米这个价位段的占比从 27.7% 掉到 11.2%，200 美元以下手机的物料清单里存储占了近 60%（Omdia）。而算力芯片的资本热度完全是另一个温度：燧原科技 9 月 10 号科创板首日涨 206%（CNBC），散户认购超过 6000 倍，募资 61.2 亿元（约 9.11 亿美元），2025 年营收 9.9 亿元、尚未盈利。但二级市场对国产 GPU 的热情其实已经退过一轮了。硅基观察 Pro 9 月 16 号算了一笔账：7 月以来沐曦、天数智芯的最大回撤分别是 55% 和 64%，到 9 月 15 号从低点只反弹了 3.0% 和 4.2%，同期光模块的中际旭创、新易盛涨了 9% 和 14%；基本面反而是强的——四家国产 GPU 公司 2026 年上半年合计收入 52.42 亿元、同比增 162%，但"四家国产 GPU 公司研发投入合计 26.57 亿元，相当于同期收入的 50.7%"，燧原 2025 年对腾讯的销售占 83.79%，天数智芯上半年训练 GPU 毛利率 64.5%、推理只有 35.6%。Gartner 的数是 2026 年云端 AI 算力支出 423 亿美元里，推理（233 亿）第一次超过训练（190 亿）——推理时代的毛利率，才是投资人真正在定价的东西。那篇里还有一个数：Anthropic 用的 Trainium2 已经超过 100 万颗。推理成本本身能压到多低，站内深潜《推理成本的下限正在消失》拆过 300 美元 ASIC、500 美元消费级 GPU 这条自由落体曲线。

上游也在按买家改：西窗 AI 纪 9 月 14 号转述 SemiAnalysis，Anthropic 据称要求 Google 为它定制的下一代 TPUv9i（代号 Triggerfish，联发科参与）放弃 OCS 光交换和 Boardfly 架构、改用全电气交换，好处是释放芯片面积、和 Trainium/英伟达的网络架构统一，代价是丢掉光交换的动态拓扑——出处是 SemiAnalysis 的《TPU InferenceX: Full Steam》（付费，我们只核到公开部分里 Boardfly 和光交换的段落）。最大的买家开始按自己的网络架构改供应商的芯片，这是"需求是真的"最硬的一种证据。

海湾这条线还有一步棋在 AWS 公告之前就走了。Reuters 9 月 11 号独家（六位知情人：美国官员、西方外交官、行业高管；Reuters 原站国内打不开，链的是全文转载）：阿联酋正在改写它 5 GW 的 AI 数据中心蓝图——"Originally envisaged as a 10-square-mile (26-square-kilometer) campus in Abu Dhabi"（原本设想为阿布扎比一个 10 平方英里的单一园区），新方案"will now likely comprise a network of data centers spread across the UAE"（很可能变成分布在全国的数据中心网络），加装"air defenses and by building some underground"（防空系统，部分建在地下），敏感设施考虑建"inside mountains"（山体内部）。触发点就是 3 月 AWS 那两座数据中心被打，4 月伊朗军方的视频还点名了 Stargate UAE——它的选址靠近 Al Dhafra 空军基地。首期 Stargate UAE 是"a $30-billion, 1-gigawatt compute cluster… the first 200 megawatts of capacity due to come online this year"（300 亿美元、1 GW 的算力集群，首批 200 MW 今年上线），牵头方 G42 的回应是"The project's specifics are subject to continuous review in line with the security, resilience and operational standards expected of critical infrastructure at this scale"（项目细节会按这种规模的关键基础设施应有的安全、韧性和运营标准持续审视），Reuters 明说无法确认新总规是否定稿、成本和时间表受多大影响。这是 C 线三张报价单之外的第四种定价方式：按防空定价。国家级规划因为军事打击改成分布式，这在数据中心的历史上也是第一次。

中国这边最大的一张账单也在这周露了一角。The Information 9 月 15 号报道（三位知情人），字节跳动 2026 年上半年净利润"declined by a single-digit percentage to $20 billion"（同比降了个位数百分比，到 200 亿美元），营收涨约 30%，原因是 AI 投入——国内转述的"近 8%"在公开文本里核不到，付费墙后面的数字按"个位数"记。钱从哪来：Bloomberg 9 月 14 号报道字节已经签下一笔 296 亿美元的银团贷款（28 家银行，3 年期可延至 5 年，无抵押，花旗和摩根大通牵头，初始申请是 200 亿），Reuters 9 月 4 号首报背景 · 09-04；虎嗅 9 月 11 号转的"2026 年资本开支约 1600 亿元、其中 850 亿买 AI 处理器"出自 FT 去年 12 月的报道背景 · 2025-12，今年 5 月 SCMP 和 Bloomberg 又分别报过上调到 2000 亿元以上、讨论至多 700 亿美元——数字一直在涨，字节对所有这些都没有置评。和 Alphabet 单季自由现金流转负、Oracle 借钱建园区放在一起：中美最大的几个买家，今年都是借钱在建，利润表第一次被压到了。

把三张报价单并排看，会发现它们量的不是同一个东西。选民量的是水和环境（32% 的反对者把这个排第一）；州府量的是合规（得州 329 家里只有三成填了用水表）；国会量的是电费谁来付（H.R. 9340 的全部逻辑）；华尔街量的是现金流和杠杆（Oracle 的 -50 亿、Alphabet 上市以来首次负 FCF、英伟达 5300 亿表外担保、BIS 点名的表外借款）。SemiAnalysis 那 2.3 GW 的数据说的是：前三张单子加起来，真正拖住的容量很小。但它没有回答第四张——需求是真的、供给也在往上堆，问题是这些供给靠什么钱在建、账记在谁的表上。