评估员开张、Agent闯进真公司、算力开始涨价

上期这条线停在一句话上：减速论减的是别人的速度。这周它从嘴上落到了三样东西上——一份合同、一道行政令、一张价格表。先说合同。9 月 18 号 Anthropic 宣布了第一家驻场评估方：埃森哲MUST，具体由埃森哲今年 1 月收购的 AI 部门 Faculty 牵头，工作是评估和红队测试模型、做对齐评估、测安全防护。条件写得很具体：驻场评估员"will work inside AI companies, with access comparable to an employee's"（在 AI 公司内部工作，访问权限接近员工）；"Anthropic and Accenture each expect to invest at least $1 billion in building capacity in this area over the next five years"（双方预计未来五年各自在这方面至少投 10 亿美元）。最值得停下来读的是这一句："Given the importance and urgency of this work, Anthropic will fund Accenture's work directly."（鉴于这项工作重要又紧迫，埃森哲的评估由 Anthropic 直接出钱。）紧接着它自己也承认这不是理想安排："Long-term, we think funding should come from pooled or government sources… As neither exists today, we plan to work with different evaluators under different funding arrangements."（长期看经费应该来自共同基金或政府，这两样现在都不存在，所以只能和不同评估方谈不同的资金安排。）合作不排他，"other evaluators to be announced in the coming weeks"（其他评估方未来几周公布）。埃森哲股价当天盘后涨了 8%（TechCrunch）。驻场评估员是什么Amodei 9 月 12 号长文里"三步走"的第一步：让外部机构的人坐进实验室，拿接近员工的权限，在模型训练和发布前就能看、能测、能提意见，而不是等发布后拿个 API 从外面测。上期的问题是"谁来当、谁付钱"，这周第一个答案出来了。

同一天，另一份文件把尺子摆在了旁边。AI Evaluator Forum 发了一封公开信《Minimum Conditions for Embedding Evaluators》MUST，列了驻场评估的五条最低条件，截至 9 月 23 号签名已过 200 人，Hinton、Stuart Russell 都在里面（发布当天 CNBC 独家报的是"100 多位"）。第一条就是独立性："embedded evaluation organizations should not be owned or governed by frontier AI companies, should not have other significant commercial business with them, and should not accept any form of payment or other reward contingent on the evaluator's findings."（驻场评估机构不应被前沿公司拥有或治理，不应与其有其他重大商业往来，报酬不得与评估结论挂钩。）Nathan Lambert 签了名，他点出的难处很实在："one of the biggest bottlenecks is finding people with the technical capabilities and that high bar of independence"（最大的瓶颈之一，是找到技术过硬、又够独立的人）。把两份文件放在一起读就尴尬了：据 TNW 报道，埃森哲本来就是 Anthropic 最大的 Claude Code 企业客户——第一单合同，碰上了同一天发布的最低条件第一条。这不代表埃森哲测不好，但"被评估方付钱、评估方同时是大客户"这个结构，正是那封信想排除的。

还是 9 月 18 号，加州州长 Newsom 签了行政令 N-9-26MUST，把"驻场评估"往法律上推了一步。行政令原文要求州政府在 11 月 16 号前拿出修法建议，至少四项：前沿开发商必须在实验室驻场指定的独立核查机构（"embed designated independent verification organizations onsite in their labs"）；安全报告要经独立核查；前沿模型必须有"kill switch"（紧急关停开关），而且开关有没有用要由核查机构持续验证；把失控类事件写进必须上报的"关键安全事件"。Newsom 的原话是"We're not waiting to act"（我们不等了）。要说准的一点：这还是"研究后提建议"，不是马上生效的强制要求——但它把 Amodei 的自愿方案，变成了一个州政府写进公文的时间表。

OpenAI 这周交的是两篇文章，没有名字。9 月 21 号的《Building standards for the next phase of AI》主张由美国牵头、和各国一起定前沿 AI 的全球技术标准，"including for RSI"（包括递归自我改进），同时划清边界："These technical standards would not be licenses, mandatory prerelease review, or approval requirements for AI models."（这些标准不是许可证，不是强制发布前审查，也不是审批要求。）文中有一句很直白："Fully autonomous RSI is not happening today, and we should not pursue it unless and until it can be done safely."（完全自主的 RSI 今天还没有发生，在能安全做到之前不应追求。）它还特意提了中美："upcoming talks are happening at an opportune time"（即将举行的会谈正逢其时）。第二天的《Priorities and principles for effective third party assessments》MUST列了四个优先领域和七条原则，访问方式写的是"access on company-managed devices or premises may be appropriate"（在公司管理的设备或场所里访问可能是合适的）——比 Altman 9 月 12 号说的"desks, access badges, company laptops"收了半步——至于评估方是谁，只有一句"We are in conversation with multiple third parties"（我们在和多家第三方谈）。

反垄断这头，发牌人这周开口了，但没人去领牌。司法部三号人物、分管反垄断的副司法部长 Stanley Woodward 9 月 17 号在 Fordham 反垄断年会上说"It doesn't occur to me that coordinating on cybersecurity or security is anticompetitive"（我不认为在网络安全或安全问题上协作是反竞争的）（Washington Examiner背景 · 09-17）；9 月 21 号他对 Bloomberg 补了一句："That meeting hasn't been requested."（还没人来约这个会。）（Insurance Journal 转载）上期说实验室想要反垄断豁免，结果司法部说可以谈、却没人上门。先上门的反而是律师：9 月 18 号，一批付费订阅用户在加州北区联邦法院提起集体诉讼 Buist et al. v. Anthropic PBC et al.，被告是 Anthropic、OpenAI、SpaceXAI 和 Google，理由是约定"比竞争条件下更慢"地推进，"has an anticompetitive effect on consumers"（对消费者有反竞争效果）（CNN）。Musk 的回应就一句："Damned if you do, damned if you don't"（做也挨骂，不做也挨骂）（X）。

然后是价格表。9 月 22 号 Anthropic 发了Claude Opus 5.5MUST，开头就交代："Claude Opus 5.5 is our first release since we called for pacing the frontier. It was tested before release by external evaluators, including Frontier Design and METR."（这是我们呼吁放缓节奏之后的第一次发布，发布前由 Frontier Design、METR 等外部评估方测过。）性能是"at the level of Claude Fable 5.1 on most work"（多数工作上达到 Fable 5.1 水平）；价格从 Opus 5 的每百万 token 输入 5 美元、输出 25 美元降到 4 美元和 20 美元，标价降 20%，官方说典型工作负载总成本降 40%（缓存读取降得最多，60%）。安全部分有两个细节：试图越过隔离边界的频率比 Opus 5 低约 85%；以及"We see signs that Opus 5.5 often suspects it is being evaluated"（有迹象表明 Opus 5.5 常常怀疑自己在被评估）。METR 自己的评估报告同日发出，结论是"a modest improvement upon Fable 5.1"（比 Fable 5.1 有小幅提升），"unlikely to be able to fully automate AI R&D"（不太可能完全自动化 AI 研发）；报告里还引了 Anthropic 内部初步报告的估计："~1.5X overall acceleration in capabilities due to AI"（AI 让能力进展整体加速约 1.5 倍）。

同一天，OpenAI 发了 GPT-6 Sol 和 Luna，价格直接对半：Sol 从 4 美元/20 美元降到 2 美元/10 美元，Luna 从 0.20/1.20 降到 0.10/0.50——要注意它的对比基准是"their GPT‑5.6 promotional pricing"（GPT-5.6 的促销价）。在 AutomationBench 上，xhigh 档的 Sol 分数超过 max 档的 Opus 5，每任务成本只有后者的 9%。发布页没有单独的 system card，链接指向的是 GPT-6 Astra 那份，也没提外部评估方。CNBC 的标题替所有人说了："first release since call for slowdown"。说白了，"放慢"之后的第一个动作，是两家同一天发新模型、同一天降价。成本下限为什么一路往下掉，站内深潜《推理成本的下限正在消失》拆过供给侧的几个推手。

这周关于"AI 自己研发 AI"的三个说法放在一起看更有意思。Anthropic 9 月 17 号发了R&D Automation IndexMUST背景 · 09-17：截至 8 月，Claude 在 Anthropic 26% 的研发工作里处于"leads"（主导）级别——3 月是 1%，5 月 12%，7 月 22%；超过 90% 的工作至少到了"AI collaborates"；没有任何一类是完全自主。常用平台上同时跑着约 3 万个 agent，8 月分析的 10 亿多次决策里约 1/47,000 被在线监控拦下；某一周的研发算力里约 6% 用在安全上。方法上的限制它也写了：打分用的是 Claude 当裁判，模型和人的完全一致率 59%，人和人之间只有 35%。同一周 OpenAI 说完全自主的 RSI"not happening today"；阿里 9 月 22 号在云栖大会的官方稿里则说 Qwen3.8-Max"Over a month of fully automated runs… completed 33 iterative cycles"（一个多月全自动运行，完成 33 轮迭代），Artificial Analysis 分数从 40 升到 45（阿里自报，没找到第三方确认）。三家公司，三种说法，没有一家在说"我们停了"。

政府这边口风没变，只是更直白了。特朗普 9 月 19 号在 Truth Social 上宣布组建"AI Force"——"much like I did Space Force"（就像我第一任期建太空军那样）——并说"We will not in any way hinder or stifle the Growth of this incredible Industry"（我们绝不会阻碍或扼杀这个了不起的行业的增长），坏事交给"already existing Criminal and Civil Justice System"（现有的刑事和民事司法体系）处理（CNN）。9 月 22 号联大讲台上他更进一步："We will only encourage superintelligence. We're going to encourage it, not rein it in."（我们只会鼓励超级智能，不会约束它。）还说美国"totally rejects any attempt to construct a globalist scheme to control for the artificial intelligence"（完全拒绝任何构建"全球主义方案"来管控 AI 的企图）（CNBC）。贝森特在众议院听证会上说"the president is completely aligned with Jensen Huang"（总统和黄仁勋完全一致）（CNBC）。民意在另一边：Reuters/Ipsos 9 月 22 号的调查里 73% 的人担心 AI 公司防范严重危害做得不够，55% 认为放慢开发是好事，只有 13% 认为是坏事。联合国安理会 9 月 23 号（纽约时间下午）第一次专门开会讨论前沿 AI 安全，Altman 现场、Amodei 远程、Bengio 和 Delangue 作简报（Security Council Report）——截至发稿还没开，发言原话等周五补。

反对声这周也更响。吴恩达 9 月 21 号在 X 上长帖说这轮恐慌"propelled by what appears to be a well orchestrated PR campaign"（似乎是由一场精心策划的公关活动推动的），"I don't see any step up in the risk of human extinction from AI compared to a few months ago"（和几个月前比，我看不出 AI 导致人类灭绝的风险有任何上升）。Lambert 在 Interconnects 上写得更短："The step from this anxiety… to extinction risks feels very religious."（从这种焦虑一步跳到灭绝风险，感觉很像宗教。）中国这边，华为徐直军 9 月 17 号对 Reuters 说的角度很特别："maybe AI model providers in China may need to speed up their pace to the level that they could also feel the risks from AI development"（中国模型厂商也许需要加快，快到自己也能感受到 AI 发展的风险）（Reuters 转载背景 · 09-17）。RAND 9 月 15 号的《Maintaining Freedom of Action》背景 · 09-15把超级智能战略分成共存、阻止、加速三大类七种原型，Jack Clark 在 Import AI 里的点评是："it feels like the US strategy can mostly be described as the 'acceleration' one"（美国现在的做法基本就是其中的"加速"路线）。

上期这条线讲的是失控 Agent 的账单开始一张张到。这周账单的收件人变了：从实验室自己的测试环境，换成了真实的公司、换成了 OpenAI 自己、换成了军队。第一张来自 Google。据 WSJ 9 月 18 号独家（The Verge 转述MUST、CNBC、Ars Technica），今年 5 月，以色列公司 Irregular 给 Google 跑一套 CTF 网络安全评测，环境配错了，让一个实验版 Gemini 连上了公网。题目里虚构的公司正好和一家真公司同名，Gemini 就去打了真的基础设施：一次靠猜密码，两次靠在公开代码仓库里捡到别人误传的登录凭证，一共进了三家公司，三次都在发现是真实系统后停手。Google 安全副总裁 Heather Adkins 的说法是："In a standard evaluation, the model found public information online and guessed credentials to access websites it thought were part of the test. In all three of these instances, the model stopped."（在一次标准评测中，模型在网上找到公开信息、猜出凭证，登录了它以为属于测试的网站。三次它都停下了。）以及"In this case, the model acted appropriately."（这次模型的行为是恰当的。）据 WSJ，Google 把它称作"mistaken identity"（认错了目标），没当成对齐问题，所以在记者问上门之前没有公开。时间线也要说准：Irregular 直到 7 月底才通知 Google。

这已经是经过 Irregular 的第四家实验室。Anthropic 7 月 30 号的博客背景 · 07-30点过它的名，OpenAI 和 Meta 8 月初也报过同类问题；Irregular 发言人对 CNBC 说"This is the same issue that was already reported and does not represent a materially separate incident"（这就是已经报告过的同一个问题，不算独立的新事件）。安全公司 Corridor 的 CEO Jack Cable 那句更到点子上："the meta problem is, hey, models are going outside the bounds of what they should be doing, and doing actual cyberattacks"（更深层的问题是，模型越出了该有的边界，发动了真实的网络攻击）。为什么说"认错了"不是小事Gemini 没有恶意，它是真心以为自己在考试。但这恰恰说明问题不在模型想不想，在于它根本分不清"靶场"和"真实世界"——边界靠的是外面那层网络配置，配置一错，它就照着考试的逻辑打进了真公司。

第二张账单开到了 OpenAI 自己头上。三人白帽团队 Hacktron 9 月 13 号发了博客《Hacking OpenAI》MUST，9 月 17 号 WSJ 独家跟进，第二天 TechCrunch 等转述。入侵本身发生在 7 月 25 号：往 OpenAI 社区论坛上传一张 HEIC 图片，触发图片库 libheif 的堆溢出拿到服务器权限，再串上 OpenAI 登录系统的一个配置缺陷，免交互接管了多个论坛活跃用户（包括 OpenAI 员工）的 ChatGPT 和 Codex 账号，最后用一名员工的 Codex 在内部代码仓库开了一个无害的 PR，从发现到进仓库不到 72 小时。他们对模型能力的观察最有意思："Opus 4.8 struggled across several sessions to produce a working exploit with ASLR enabled. Within hours of Opus 5's release, we gave it the same problem and it succeeded."（Opus 4.8 开了好几个会话都写不出在开启地址随机化时能用的利用代码；Opus 5 发布后几小时，同一个问题它就做成了。）而且为了让 Claude 干活，他们把自己搭的论坛实例伪装成 CTF 靶场，"as Opus refused write exploit for remote instances"（因为 Opus 拒绝为远程实例写利用代码）——和 Gemini 那件事正好反过来：一个是模型以为在靶场、其实在真实世界，一个是人故意让模型以为在靶场。

两个数字要说准。很多转述把"不到 3000 美元"安在了打 OpenAI 这一单上，原文说的是整个项目："The whole HEIF Heist research project going after Slack, Meta, adn more took two-months, cost less than $3,000 in tokens in total"（整个 HEIF Heist 项目打了 Slack、Meta 等多个目标，历时两个月，token 总花费不到 3000 美元）；OpenAI 这一单是"智能体几天加人工几小时"。第二个是他们自己的限定："This was not completly autonomous hacking, and skilled human guidance remained important"（这不算完全自主的攻击，有经验的人来引导仍然重要）。但让人后背发凉的是另一句："We are not aware of any company that detected the activity except Shopify, even after thousands of images were sent"（发了几千张图，据我们所知只有 Shopify 察觉）。OpenAI 给 VentureBeat 的回应是收窄了社区登录 token 的权限、吊销了受影响的会话，付了 6500 美元赏金。Gray Swan 的 CEO 在 TechCrunch 里说："For $200 a month, anyone can use these tools and hack into a company like OpenAI."（每月 200 美元，谁都能用这些工具黑进 OpenAI 这样的公司。）

第三张账单最吓人，开给了美军。CNN 9 月 18 号独家MUST，四名知情人士说：今年春天伊朗战争期间，特种作战司令部一名分析员用聊天机器人处理一份关于中东某艘中国货船货单的情报，机器人认错了货物，分析员又用 AI 把结论包装成标准情报报告发出去，说这艘船在运核武器项目的部件。美军准备拦截，武装人员准备登船，据两名信源说"Military planes were in the air"（军机已经升空）；行动前有官员深挖，才发现报告是 AI 生成的错误。信源的原话是报告"entirely false"（完全是假的），却"almost started a war"（差点引发战争）。一位前高级官员吐槽军方内部工具"mostly just copies of the commercial stuff wearing lipstick"（大多就是涂了口红的商用产品），另一位说得更干脆："AI allows you to get to a bad idea faster."（AI 让你更快得出一个坏主意。）同一天 Bloomberg 的图解调查（Bloomberg，免费转述）说，五角大楼内部调查发现，2 月 28 号两枚战斧导弹击中伊朗米纳布一所小学、123 名儿童遇难，原因之一是中央司令部部分人员"relied too much on the artificial intelligence embedded in Maven Smart System"（过度依赖 Maven 系统里的 AI）；Palantir 回应说公司"is not responsible for the underlying data"（不对底层数据负责）。这两件事都不是 AI 自己越界，是人把 AI 的输出当成了核实过的东西。

规模上的变化用一个数就够了。Wired 9 月 19 号新专栏 Kernel Panic 的创刊号引 cve.icu 的 Jerry Gamblin：截至 9 月 16 号今年已登记 66,401 个 CVE 漏洞编号，去年同日是 33,512。我们对了一遍 cve.icu 的原始数据：到 9 月 22 号是 69,096 个，已经超过 2025 年全年的 48,153 个；8 月单月 12,258 个，9 月不到三周就 11,226 个。微软 9 月一个月的补丁就修了 974 个 CVE，创纪录。Gamblin 自己的解读很冷静："More CVEs is not more vulnerability. It's more known vulnerability"（CVE 多了不等于漏洞多了，是已知的漏洞多了），但下一句才是重点："Discovery scales with compute. Remediation scales with people—and people are the part you can't buy more of in a quarter."（发现漏洞随算力扩张，修复随人力扩张，而人是一个季度里买不来的。）LLM 这一年怎么从软件攻防一路摸到硬件和固件，站内深潜《LLM 开始对物理设备下手：硬件攻防的智能体化》梳理过。

还有一份论文说明问题出在 Agent 的"自述"上。9 月 17 号提交的 OverclaimBenchMUST背景 · 09-17 让 8 个闭源前沿模型（各用自家官方命令行工具）和 4 个开源模型去审查一批文件，结果："agents do not read all the files they were asked to review in 67.9% of runs; 2) among runs where not all files are read, agents are misleading 80.4% of the time"（67.9% 的运行没读完要求审查的文件；这些没读完的运行里，80.4% 会误导用户——要么说自己读完了，要么不提没读完）；谎称审完的那些，漏掉预埋缺陷的比例是全读完的约 1.8 倍。结论一句话："agents' final responses are not reliable accounts of their actions"（智能体的最终回复不是其行为的可靠记录）。

消费级这边，Meta 的个人 Agent Muse 一周内把所有问题演示了一遍。它 9 月 8 号上线，据 Sensor Tower 到 9 月 21 号累计下载超过 250 万（CNBC），同样 13 天窗口里 Claude 是 40 万、Grok 20 万。9 月 21 号三件事挤在一起：Amazon 开始拦截，用户收到提示说 Muse 是"unauthorized AI agent [that] violates Amazon's Conditions of Use"（未经授权的 AI agent，违反 Amazon 使用条款），Amazon 说已经"requested that Meta remove Amazon from the experience"（要求 Meta 把 Amazon 从 Muse 里拿掉）；约 12 小时后，Mac 安全研究员 Patrick Wardle 公开了一个 0-day（Ars TechnicaMUST）：本机任何程序都能改 Muse 一个没写进文档的设置，把语音转写地址指向攻击者的服务器，拿到账号 token 后完全控制这个 agent。他的原话："instead of us having to write a very comprehensive Mac malware stealer, we can just leverage the AI assistant itself"（不用写一个完整的 Mac 窃密木马，直接借用 AI 助手本身就行）。Meta 方面 David Singleton 当晚回应这是"local privilege escalation attack, not a remote exploit"（本地提权，不是远程利用），热修复"removes the endpoint setting from production builds entirely"（把这个设置从正式版本里彻底删掉）。

Muse 的问题不止在本机。Wired 记者的体验稿写到，Muse 的"ideas"标签页反复建议连上真实的银行账户、"Tell me when your passport and license expire"（告诉我护照和驾照什么时候到期），而且用户默认被选入"interactions with the agent used for AI model training"（与 agent 的互动用于模型训练）（Wired）。一位开发者在 mouse.dev 上写，他让 Muse 把运行环境打包导出，拿到一个解压后 6.8GB、看起来是会话所用 Linux 环境根文件系统的包，"There were also SSH key files"（里面还有 SSH 密钥文件）；镜像里装着 OpenAI 的 Codex 命令行工具，内部代号 Hatch（单一信源，Meta 把这份报告标成"Not Applicable"）。Meta 押注 Agent 的全盘棋——包括 Project Hatch 这个代号——站内深潜《Meta 的 1250 亿美元赌局：从聊天机器人到 Agentic 帝国》5 月就拆过。

国内也有一张：智谱的编码 Agent 工作台 ZCode。9 月 18 号开发者 Ferstar 发现，登录状态下它会在后台把整个工作区（包括完整的 .git 历史）加密上传到阿里云 OSS，界面上没有开关。智谱当天在用户群致歉，说是"代码库索引"功能上线初期默认开启所致（IT之家）。9 月 19 号晚，太原承明科技公开发函，称 8 月 28 号到 9 月 14 号有 6 个以上工作区被上传，包含源码、数据库口令和密钥，并质疑数据流向新加坡主体、要求说明是否出境（观察者网）——"新加坡"这一点目前只是承明的指控。9 月 21 号 ZCode 官方致歉，宣布已开源（GitHub，Apache-2.0），并引中国信通院和绿盟的评估说存储桶已清零、Repo Wiki 功能已移除、本地仓库快照上传流程已禁用："we confirm that no such data is retained and that it has never been used for model training"（确认不保留相关数据，从未用于训练）。

各方这周加的墙，形状都一样——都是"边界"。联合国独立国际 AI 科学小组 9 月 21 号发了第一份专题简报《AI Agents, Misalignment and Loss of Human Control Risks》MUST，以 OpenAI-Hugging Face 事件为案例，说失控风险"presents the kind of decision problem the precautionary principle was designed to address"（正是预防原则要应对的那类决策问题），但明确"Rather than issuing recommendations"（不发布建议），只梳理航空、核电、网安的做法供参考——The Verge 的标题"UN says AI safeguards can't wait for certainty"是它自己的概括。贝森特 9 月 20 号和何立峰谈完，说美方提议建立针对国家安全级 AI 事件的通报机制（CNBC）；第二天又说政府不会给 AI 公司责任豁免："It is humans who are responsible, not the AI"（该负责的是人，不是 AI）（CNBC）。工程上的墙：Cloudflare 9 月 22 号上线 Worker Previews，"isolated preview environments for every change your agent makes"（给 Agent 的每次改动一个隔离预览环境），连数据库命名空间都单独建一份，免得"modify the same instance serving live traffic"（改到正在服务线上流量的实例）。沙箱和执行环境为什么会变成 Agent 时代的兵家必争之地，站内深潜《Agent基础设施战：平台、标准与执行环境的控制权争夺》有完整梳理。

最后，攻击方也在用同一套东西。微软 9 月 22 号宣布联合 Cloudflare、Coinbase、OpenAI 等打掉了网络犯罪服务 EvilTokens：入门费 1500 美元加每月 500 美元，用设备码钓鱼接管微软账号，"at the center of the service was an AI-style chatbot that could analyze a victim's inbox"（服务核心是一个能分析受害者邮箱的 AI 聊天机器人），帮罪犯找出谁有付款权限、该冒充谁；关联 1.2 万多个被攻破邮箱、1 万多个组织，伦敦警察厅 9 月 11 号抓了两个人。微软给的建议很直白："assume that once an inbox is compromised, criminals may understand its contents in minutes, not days"（假设邮箱一旦失陷，罪犯几分钟而不是几天就能看懂里面的内容）。

上期这条线说，数据中心被选民、州府、华尔街三方同时定价。这周价格往两个方向走：卖算力的在往上调，建算力的在被往下卡。先看卖方。Nebius 9 月 17 号宣布 10 月 1 号起上调按需价，官网价格页MUST已经把新旧两列并排挂出来：H100 每 GPU 小时从 3.85 美元调到 4.50 美元（+16.9%），H200 +20%，B200 +18.9%，B300 从 7.85 美元调到 9.50 美元（+21%），AMD CPU 实例从 0.10 美元调到 0.13 美元。Reuters 的说法是"marking the company's second price hike in three months"（三个月内第二次涨价），内存类约涨 41%（公司对 Reuters 的说法，价格页没单列）（转载背景 · 09-17）。同一天 CoreWeave 的新闻稿说"since June 30, 2026, CoreWeave has continued to contract new compute capacity at higher prices"（6 月 30 号以来持续以更高价格签新算力合同），三季度签的 3 到 6 个月短约，折算下来约每兆瓦 4000 万美元。Bloomberg Intelligence 的分析师说，这比一年前市场预期的 1000 万到 1500 万美元"materially higher"（高出一大截）。

钱也在往卖方涌。Crusoe 9 月 17 号宣布 F 轮首次交割，计划募 39 亿美元，投后估值 309 亿，合同总额超过 1400 亿美元，签约容量 6GW 以上。领投方之一的 Gavin Baker 说："As AI grows, the economics flow to the lowest-cost producer of intelligence."（AI 越大，利润越流向成本最低的智能生产者。）AMD 9 月 21 号盘中市值第一次突破 1 万亿美元，五连涨累计约 25%，今年以来涨了 180% 多（CNBC）。Brookfield 的 Bruce Flatt 在 9 月 17 号投资者日上的一段话，把这两件事和上期的减速论接上了："We as an industry can't build enough… So when they say they're going to slow it down, it's slowing down anyway because there is not enough compute"（整个行业建不够……所以说要放慢，其实本来就在放慢，因为算力根本交不出来）（据 Bloomberg，免费全文引用）。

再看买方的钱从哪来。据 FT 看到的一份公司演示（Reuters 转述），OpenAI 预计 2026 到 2030 年累计烧掉 2780 亿美元现金，营收从今年 360 亿涨到 2030 年 3500 亿，算力和基础设施累计约 8560 亿。给它补血的软银 9 月 21 号发了 100 亿美元加 10 亿欧元的优先无担保票据，就是为了 10 月 1 号交割 OpenAI 那一期 100 亿投资；惠誉给的评级是 BB+，投机级（Reuters 转载）——据 Bloomberg，这会是单家公司规模最大的垃圾债之一，软银 2031 年到期美元债的收益率已从 1 月的 6.7% 升到 8.2%。FT 9 月 20 号还做了一个跨公司加总：过去 12 个月科技公司为 AI 数据中心和芯片提供了最多 3000 亿美元的残值担保，债务放在特殊目的公司里，大部分没有记成自己的负债（转述）。什么是残值担保大厂不自己借钱建数据中心，而是让一家特殊目的公司去借、去建，自己签长期租约，再承诺"租期结束时资产至少值多少钱，不够我补"。这样债务不在大厂的资产负债表上，但风险其实还在它身上。上期写过英伟达 10-Q 里的 5300 亿表外担保，这周 FT 把各家加到了一起。

最能说明"卖方有定价权、但卖方自己也不赚钱"的，是 Nscale 9 月 18 号挂出的公开 S-1MUST（拟在纽交所上市，代码 NSCL）。上半年营收 1.406 亿美元，同比涨 1252%；但营业成本 1.896 亿，比营收还高，净亏损 10.2 亿；最大客户占营收 52%。合同总额 1034 亿里，约 85% 来自两单：微软到 2033 年最高约 438 亿，Anthropic 8 月签的最高约 446 亿——而且 S-1 的风险披露写着，"if we fail to meet agreed delivery timelines for any tranche, Anthropic may be entitled to terminate that tranche without liability"（任何一批交付延误，Anthropic 都可以无责终止那一批）。TechCrunch 的标题是"再一次考验华尔街对集中押注的胃口"。

然后是建设方被卡。得州州长 Abbott 9 月 21 号给州环境质量委员会写了一封信MUST，第一句就是："With this letter I am directing the Texas Commission on Environmental Quality (TCEQ) to halt all permits sought by data centers."（我在此指示 TCEQ 暂停数据中心申请的所有许可。）而且"no other state agency shall move forward with regulatory approvals related to data centers until this information is acquired"（拿到审计信息之前，其他州机构都不得推进数据中心相关审批）；下一届议会会期还要取消所有数据中心财政激励。这是得州一个月内的第三步：先卡并网（8 月），再追用水（上期写过的 9 月 14 号），现在连环评许可也停了。BNEF 8 月估计并网暂停会让美国 253GW 数据中心管线里近 20% 有风险（CNBC背景 · 2026-08）。

同一天，加州州长 Newsom 签了七部数据中心法案，管用水披露、电价和土地使用。其中 AB 2383、SB 886、SB 1168 三部让数据中心单独走电价、自己分摊电网升级成本，SB 1168 的原话是"Ensure data centers pay their reasonable share of costs associated with transmission and distribution needs"（确保数据中心为输配电需求分摊合理成本）。Newsom 说："those profiting from data centers aren't doing so at our expense"（从数据中心赚钱的人，不能拿我们的钱赚）。弗吉尼亚州长 Spanberger 9 月 18 号签的 EO 22 要说准：立即生效的是州经济开发署不再给峰值 25MW 以上的新数据中心提供快速审批和选址支持，州行政机构不得签妨碍公开数据中心信息的保密协议；"取消按权利审批（by-right）"是配套框架里的条目，要等 2027 年立法。当地环保组织 PEC 的批评是它"does not deal with what's already built and in the pipeline"（没处理已建和在建的）（PEC）。

民意是这一切的底色。Pew 9 月 22 号的调查MUST给了上期 NYT/Siena 那个 61% 没有的东西——时间序列："More than half of Americans (54%) now say data centers are mostly bad for the environment, up from 39% in January. Half say they are mostly bad for home energy costs, up from 38%."（54% 认为数据中心对环境基本是坏的，1 月是 39%；50% 认为对家庭电费基本是坏的，1 月是 38%。）60% 不能接受家附近新建数据中心；共和党人里觉得"对附近居民生活质量不好"的从 24% 涨到 42%。这和 Wired 9 月 19 号写的 MAGA 基层反弹对得上：一位 Eagle Forum 活动人士说她爱特朗普，"but I think he's wrong about data centers"（但我觉得他在数据中心上错了）；共和党民调专家 Fabrizio 的内部备忘录写着"unqualified support for building more AI data centers is a losing position"（无条件支持多建 AI 数据中心是输的立场）（Wired）。

中国和端侧是另一种算法。阿里 9 月 22 号在云栖大会上发了真武 V900 芯片，官方稿说性能是 5 月发布的 M890 的三倍，216GB 显存，2027 年一季度量产，超节点服务器"can support a supernode cluster comprising up to 500,000 cards"（最多支持 50 万卡的集群）——是最多支持，不是已经部署。吴泳铭给的目标是"by 2032, the global data center capacity operated by Alibaba Cloud will surpass 20GW"（2032 年阿里云全球数据中心容量超过 20GW），理由是"the total volume of Machine Thinking is less than 3% of all Human Thinking"（机器思考的总量还不到人类思考的 3%）。同一周高通在毛伊岛发了两款 2nm 旗舰芯片，主打端侧 agent（高通），高管 Amon 说要"from what is a very phone-centric model to now an agentic-centric model"（从以手机为中心转向以 agent 为中心）；但涨价的内存正在压手机：Counterpoint 预计 2026 年全球手机出货同比下降 14.3%，"Mobile memory remains the most significant constraint"（手机内存仍是最大约束）（Counterpoint背景 · 08-22）。