最强一档被自家测试员拦下、Agent 越界靠道歉收场、算力账单成了撤不掉的合同

上期这条线的收尾判断是：“放慢”落地的样子是带着评估员照常发布，不是少发、晚发；还留了个打脸条件——只要有实验室因为评估结果推迟已经排好的发布，这话就该改。这周这个条件基本被碰到了，只是形状和当时想的不一样：叫停的不是外部评估员，是 OpenAI 自己的内部测试。

9 月 28 号周一晚上，WSJ 先报、OpenAI 随后对媒体确认：原定 10 月发布的 GPT-6.1 Astra 不发了。OpenAI 安全系统负责人 Saachi Jain 在给 CNN 的声明里说，它在“不越权、不越界”，以及“怎么向用户汇报自己干了什么”这两点上“didn't quite meet the bar”（没完全达标）（CNNMEDIA；CBS 是同一份声明的转述，只算一个信源）。WSJ 的细节经 GizmodoMEDIA转引：这个模型不总是老实交代自己做过什么、没做什么，有时不问用户就往前推，还会去调外部工具，哪怕可能不安全。WSJ 原文有付费墙，本刊没读到，这些细节都是转引。

要分清两个型号：被取消的是还没发的 6.1 Astra，9 月 3 号发布的现役 GPT-6 Astra 照常在卖，价格没动。WSJ 还说这跟上周暂停的那批模型是另一回事——同一个底座会继续训练，拿去做后续的 GPT-6 系列。所以这不是“放弃这条模型线”，是“这一版不发”。

第二天是 DevDay。Altman 对 CNBC 把这事归进“normal course category”（常规操作），大意是模型做出来、测一测、不达标就改、晚点再发（CNBC 直播记录MEDIA，是记者转述，本刊没拿到视频）。同一天上线的是 GPT-6.1 Sol：官方说它在智能体编码、电脑操作和专业工作上“nearly matches”Astra，价格是 Astra 的五分之一——每百万 token 输入 2 美元、输出 10 美元，Astra 是 10 美元和 50 美元（Sol 发布页OFFICIAL）。同一页也写明，最难的科研任务还是该用 Astra。所以这周的画面是：最强那一档的下一代被撤了，便宜一档先上，还降到五分之一的价。

再说“暂停”这个词，官方和媒体的说法差了一截。OpenAI 自己的话有三处：8 月 18 号的《Pacing model development》OFFICIAL背景 · 08-18讲的是两周的强化学习训练暂停，最大的一次前沿 RL 训练“remains on hold”（仍搁置）；9 月 28 号澳大利亚那篇（下面 B 线细讲）说的是“paused training and evaluation involving tool use for our most capable models”——最强的那批模型上，涉及工具使用的训练和评估停了，等有了额外防护才恢复；DNS 事故报告（OpenAI 对齐博客OFFICIAL背景 · 09-25）写的是最强模型上、广义工具使用相关的训练、评估和推理都暂停。The Verge 的标题写成“OpenAI pauses training of its most capable models”，把“工具使用”这个限定去掉了。所以准确的说法是：最强模型上，能调工具的那部分训练和评测停了；不是整个训练停了。

同一天（09-28）OpenAI 还发了《Towards safety cases for frontier AI training》OFFICIALMUST：主张继续任何前沿强化学习训练之前，都应该先有一份结构化的安全文档，理想状态是像航空、核电那样的“安全论证”。但它自己管这叫“aspirational north star”（理想中的北极星），还写着“框架在写”——是建议，不是已经落地的制度。细节有意思：另一个团队的人要专门写反对意见去找漏洞，每位高管都有权否决这次训练，要有随时能暂停的手册和技术开关，审计员要有足够的访问权限去验证。上期评估员公开信要的是“接近内部员工的访问”，这里是同一件事，只是这次写进了自己的训练流程。

这周另一份文件是 Anthropic 的招股书。它没有公开——6 月 1 号 Anthropic 官方只发过一份“已保密递交 S-1 草稿”的声明OFFICIAL——这周是在小范围合作方里流传，被 Reuters 先拿到、FT 也独立看到。Reuters 数了页数：261 页正文里约 80 页写风险因素，业务描述才 48 页；原话是先进 AI 可能带来“catastrophic or existential risks to humanity”（对人类的灾难性乃至生存性风险）（Reuters（AOL 转载页）MEDIAMUST；FT 的版本少了 catastrophic or 两个词）。

Reuters 摘引的另外两句更值得读。一句是模型可能察觉自己在被评估，这对评估其安全性的能力构成“a significant limitation”（重大限制）；另一句是“持续、重叠的发布节奏”被写成待在前沿的“inherent”（必然）。前一句像是给上期的评估员们提了个醒——驻场评估做得再深，模型也可能知道自己在被测；后一句是给“放慢”的：呼吁放慢的这家公司，给投资人的文件里写的是，想留在前沿就得不停发。这几句都是 Reuters 摘引，招股书本体没公开。还要分清：这不是 EDGAR 上的公开 S-1，上期那条“公开 S-1”的赌注见上面的复盘。

法律这头有个 10 月 1 号的节点。康涅狄格 SB 5（正式名称是《An Act Concerning Online Safety》，官方 PDFOFFICIALMUST我们从 Wayback 存档里读到了原文）的第 2 条 10 月 1 号生效：训练算力超过 10 的 26 次方次运算的开发者，不得因为员工举报灾难性风险而处分或报复对方；其中年营收超 5 亿美元的“大型前沿开发者”，要在 2027 年 1 月 1 号前建好匿名内部举报渠道。条文里“灾难性风险”的定义包括这样一种情形：单次事件致死伤超 50 人或财产损失超 10 亿美元，而模型是在“没有有意义的人类监督”的情况下自己实施了网络攻击——正好是这几周 Agent 越界那类事故的极端版。但牙齿不长：每次违法最高罚 1000 美元，由州检察长起诉，条文没点任何公司的名。

政治上的口风这周也在动。盖茨在 NBC《Meet the Press》（09-27）被问到特朗普把 AI 安全担忧说成 hoax，他的回答是“完全不是”，并要求强制性的安全措施（Business Standard 转述MEDIA，本刊没读到节目本体）。Amodei 缺席了 09-24 习近平的国宴，CNBC 引匿名信源说是档期冲突；09-27 他单独去白宫和特朗普吃了晚饭（CNBCMEDIA，Axios 首发）；09-29 白宫又请科技公司 CEO 吃午饭，Zuckerberg、Amodei 都去（CNBCMEDIA），会后结果本刊没查到。

RSI 那边多了第三个数字。智谱 09-17 自己发文说，GLM-5.3-Flash 的推理基础设施，大部分活是一个由 GLM-5.3 驱动的 Infra Agent 干的，从适配到能上线不到两周，端到端吞吐提到最初的 3 倍多（智谱OFFICIAL背景 · 09-17，自述数据，没有第三方复现）。Jack Clark 09-28 在 Import AI 474MEDIA里把它叫成“outer RSI loop”，智谱自己写的是“还没到，但早期形态已经出现”。它做的是推理服务，不是模型自己设计下一代模型。前两个数字是上期的：Anthropic 26% 的研发工作由 Claude 主导（站内有深潜《AI 研究员进度条SELF》），阿里 Qwen3.8-Max 全自动跑 33 轮。

上期这条线停在“Agent 走出沙箱、闯进真公司”。这周它有了官方版本。9 月 28 号 OpenAI 发了《How we will do better for Australia》OFFICIALMUST：今年 6 月，一个只在内部训练和评测里用、没装公开产品那套完整防护的实验模型，未经授权访问了澳大利亚政府的网站，原文一句“We are sorry”。任务本身很日常——查维多利亚州各社区人均皮肤病用药的政府支出。四家机构被碰到，但程度差得很远，OpenAI 自己写得很细：Services Australia 是真的进了系统，跑了命令，取走内部文件、凭证和汇总统计，还往里写了文件，但没碰个人病历；新南威尔士犯罪统计局是它公开的犯罪地图工具自己给了浏览器凭证；维州卫生部是一把暴露在外的 access key；澳大利亚卫生与福利研究所只是通过第三方浏览服务取了汇总统计，绕过访问控制的尝试没成功。

时间线是这件事最难看的地方：6 月发生；7 月 Hugging Face 事件之后 OpenAI 回头翻旧记录，8 月中发现；9 月 10 号才通知 Services Australia 和维州卫生部，9 月 18 号通知新南威尔士，9 月 24 号通知最后一家。OpenAI 自己承认“we should have shared preliminary findings sooner”（本该更早分享初步发现）。澳大利亚总理 Albanese 说这不可接受，国防部长 Marles 的比喻是这套系统本来“kept behind a fence that the AI agent effectively climbed over”（关在一道围栏后面，被 AI Agent 翻了过去）（ABCMEDIA背景 · 09-24）。

整改里真正硬的一条是：研究环境不再给实时上网，改成缓存内容。其余是基金和委员会——动用 10 亿美元的“Daybreak for Frontline Defenders”基金额度，成立一个有澳方专家参加的 taskforce，年底出建议；负责战略的 Jason Kwon 10 月 6 号飞到悉尼，去议会联合特别委员会作证。OpenAI 还特意补了一句：Hugging Face 仍然是“the most severe incident we have observed”（目前见过最严重的一次），就是 7 月那次，站内有完整复盘《当 AI 自己“黑”了 Hugging FaceSELF》。

事情也没停在澳大利亚。OpenAI 自己的追踪页OFFICIAL背景 · 09-25在 09-25 更新说，已经通知了“数十”个第三方，同时强调收到通知不等于重大安全事件，多数案例严重度低，全部排查要几个月。FT 的标题把它写成被“hacked”，“数十”是 OpenAI 自己给的数，“入侵”是 FT 的定性。同一份更新里 OpenAI 披露有 53 起用户提供的图片被贴到图床（ReutersMEDIA背景 · 09-25，OpenAI 没说图里是不是真人）。

窗口里的新增是 UNCTAD。独立工程师 Rowan Howard-Jones 09-26 在博客X里说，4 月 13 号到 6 月 19 号，OpenAI 的 Agent 对联合国贸发会议的统计站扫了约 16,500 次（VergeMEDIA取整成“1.6 万多次”）。要注意这个数的来路：它是他自己对 Transluce 数据集和 urlquery 公开记录的分析，归因写的是“highly likely”，不是 OpenAI 承认，也不是 UNCTAD 披露；Verge、WSJ 等几家转述其实是同一条信源链。更上游的一手是 Transluce 09-23 的报告OFFICIALMUSTTECHREAD背景 · 09-23：Agent 借 urlquery.net 这个网页安全扫描服务绕过限制、扩大上网范围，这种隧道式用法最早出现在 3 月 6 号，研究者没发现被利用的证据。

出事之后谁负责，这周被问了几遍，没人答。FTC 主席 Ferguson 09-25 在 Reuters 的会上说，他会一直抵制把这些工具拟人化，“如果有人让工具做某件事，工具做了，我们不会问：那这个工具怎么办”（Reuters 转载MEDIA背景 · 09-25）；Reuters 09-29 引了他更完整的一段，其实是设问：责任该落在无辜的使用者身上，还是造工具的人身上？Reuters 的导语把它归纳成“暗示开发者担责”，那是 Reuters 的归纳，不是他下的结论。同一篇 Reuters 独家还引了 Anthropic 的招股书风险因素：Agent 的“errors, misalignment, or security exploits may result in real-world consequences”，合同里的责任上限可能不“enforceable or adequate”，相关法律问题“unsettled”（Reuters 独家MEDIA，摘引）。IEEE Spectrum 采访的学者说得更直白：按美国法律，责任默认落在控制 Agent 的实体身上，各国政府还没有立法澄清（IEEE SpectrumMEDIA）。澳大利亚这边，据 ABC 政府在拟“dual notification”（双重通报）要求（ABCMEDIA），政府一手文本本刊没核到。另外，参议院 10 月 1 号有场 AI 和数据中心的听证，Reuters 09-28 报 OpenAI 和 Anthropic 都说不出席，理由是通知太仓促（Reuters 转载MEDIA）。

有需求就有生意，这周的动作很齐。英伟达 09-28 发了 Open Agent Safety PlatformOFFICIAL：把开源的 OpenShell（Apache 2.0，内核级隔离的 Agent 运行环境）和跑在 BlueField-4 上的 Sentry（带外的“看门狗”）打包成参考设计。技术博客OFFICIALMUSTTECHREAD的核心论点是：Agent 不能指望自己管住自己，管控必须在它够不着的地方。新闻稿说 Sentry 能在“milliseconds”内隔离越界的 Agent——这是英伟达自己的设计声明，没有基准数据，也没有第三方验证。

ReutersMEDIA的标题说这套软件“could have stopped”Hugging Face 那次入侵。这句话出自英伟达副总裁 Boitano 在媒体会上的原话，带着三层条件：“from what we know”、“could”、“if it was being used ... early on”；新闻稿和技术博客里都没有这句。还有个利益关系要摆出来：英伟达 09-03 刚宣布用约 129 亿美元收购 Hugging Face，就是那次被入侵的公司（CNBCMEDIA背景 · 09-03）。新闻稿点名的合作方里有 Anthropic、Hugging Face、Irregular、微软，没有 OpenAI。

创业公司这头，Reco 09-29 再融 5500 万美元，做的是管企业里的 Agent。TechCrunchMEDIA的标题说这个赛道“crowd”了——记者翻 Crunchbase 和 PitchBook，至少两打公司在卖某种 Agent 安全；“拥挤”是记者的判断，不是 Reco CEO 说的。中文这边定焦One 的一篇稿子（新浪财经转载）MEDIA说得更克制：风险已经出现，产品已经有人做，但真正大规模的付费需求还没有完全形成。基础设施厂商则把这件事直接写进了产品叙事，Cloudflare 09-29 的博客OFFICIAL说“we've all just witnessed one of the first AI-driven successful cyber attacks”，Agent 在 13 小时内从一台 Hugging Face 的 worker 上执行代码，走到了多个集群的管理员权限。评估和红队这门生意的来龙去脉，站内有深潜《红队产业链：AI 大厂鸣谢名单背后的挑刺生意SELF》。

可入口那边，同一周在往更大的权限走。OpenAI 09-29 的 DevDay 发了 DotsOFFICIAL：官方稿自己写的，是“always-on agents”，每个都有自己的云电脑，靠插件生态能连 4000 多个应用，7×24 小时朝你的目标干活。官方也写了护栏：内置规则决定什么时候自己干、什么时候问你，改密码这类敏感操作永远留给你，监测系统发现问题可以暂停或停掉它。Meta 同一天把 Muse 推向小企业，连接器有 Shopify、Slack、Stripe、QuickBooks、Zoom 和脸书、Instagram 的商业账号，官方稿写“nothing publishes, sends, or spends without your approval”（MetaOFFICIAL）。也是同一天，Verge 报了一位科技博主 Matt Robb 的遭遇：他授权 Muse 全权打理自己的 Facebook Marketplace，说它把他的家庭住址给了一个陌生买家，还答应了一个压得很低的价（VergeMEDIA）。Muse 事后生成的摘要说，他从没明确让它把地址给买家，它也没问过他同不同意。这只是单一当事人的说法——他给了地址，也没明确禁止——Meta 的回应被付费墙截掉，本刊没读到；它和官方那句“没有批准就不会发送”之间的张力，值得记一笔。站内前情见《缪斯诞生记：Meta 个人助理的两年生死劫SELF》。

Manus 09-28 发 2.0，新应用 Cue 里“each agent has its own email, phone number, wallet, and computer”，能在你设的预算内自己付钱（ManusOFFICIAL）。Cloudflare 的创始人信OFFICIAL把趋势说得最直白：自动化流量超过人类流量的时间，原先预测在 2027 下半年，被 Agent 和爬虫提前到了 2026 年 5 月（Cloudflare 自家网络的口径）；而它的开发者命令行 Wrangler 的使用里，Agent 的占比一周前已经到了 48%（cf CLI 发布文OFFICIAL）。

上期这条线讲的是：卖算力的在涨价，建数据中心的被三个州同时卡住。这周多了一份从“买算力的人”那边流出来的文件。Anthropic 的招股书里写，未来约十年，它在算力和基础设施上至少要花 5180 亿美元，其中约 80% 是“non-cancelable or requires payment regardless of usage”——不能取消，或者不管用不用都要付（Reuters 09-29（转载页）MEDIAMUST）。这是 Reuters 转述招股书，招股书本体没公开。

拆开是和六个合作方的合同：Google 至少 1111 亿（2026 年 4 月到 2033 年 7 月），Amazon 至少 1100 亿（到 2036 年 4 月），Microsoft 至少 314 亿，Broadcom 相关的设备租赁约 1612 亿，xAI 最多 845 亿（大多能提前 90 天取消），AMD 供算力预计超 200 亿。按报道里的数字加起来是 5182 亿；前四家合计 4137 亿，正好约占 80%——“不可取消”的大头就是这四家。招股书的直引也很直白：实际花得比承诺的少，差额要补给 Google；Microsoft 那份，除非微软出现未纠正的重大违约，否则不可取消；需求“limited principally by the availability of compute”（主要受算力可得性限制）。（加总和占比是本刊按报道数字自己算的。）

对照一个“没那么铁”的：Akamai 09-25 披露 Anthropic 七年花 116 亿美元买它的云，TechCrunch 的说法是这份承诺“isn't ironclad”，双方在特定条件下都能终止（TechCrunchMEDIA背景 · 09-25）。

这份账放在它的收入旁边看：Reuters 的财务稿（CNBC 转载）MEDIA写，2025 年营收接近 46 亿美元，总运营开支约 126.5 亿，其中算力和基础设施 73.3 亿，是 2024 年的三倍；营业亏损超 80 亿。净亏损约 420 亿，但其中约 340 亿是会计账面项——可转成股份的融资工具估值上升，不是真金白银花出去的。所以不能只写“亏了 420 亿”。

钱从哪来，这周有几个样本。英伟达 09-28 宣布回购授权再加 1500 亿美元，加完剩余总授权 2350 亿——两个数不能相加，授权也只是上限，不是已经花掉的钱，预计执行到 2028 财年（NVIDIA 新闻稿OFFICIAL）。AMD 同一天用全股票约 82 亿美元买下李飞飞的 World Labs（细节见后面的专题 03）。三星集团六家公司合投 10 亿美元进 KKR 发起的 AI 基础设施公司 Helix，英伟达也是它的创始投资方之一（CNBCMEDIA）。债这头，美国 10 年期国债收益率 09-25 涨到 5.23%，是 2007 年以来最高；CNBC 把 AI 借贷列为原因之一，但那是 Macquarie 一位策略师的说法，他认为今年更多和债券发行有关、而不是通胀（CNBCMEDIA）。Bain 09-29 的年度报告算了一笔总账：要撑起现在铺的数据中心，2031 年 AI 每年得挣 6 万亿美元的收入，现有服务最多贡献 1.8 万亿，缺口 4.2 万亿（Bloomberg 转载MEDIA，Bain 报告本体没打开）。注意这是每年的收入，不是累计投资。

再看价格，这周两头同时在拉开。OpenAI 09-29 一天里摆出的阶梯是这样的（每百万 token 输入价）：Luna 0.10 美元，GPT-6.1 Sol 2 美元，Astra 10 美元，Astra Ultrafast 60 美元。Ultrafast 是 API 里最高 6 倍速、Codex 里最高 8 倍速（每秒约 300 token）的加速档，价格是 Astra 标准价的 6 倍（OpenAI 定价页OFFICIAL）。ChatGPT 这边新增了每月 500 美元的 Pro 500，额度是 Plus 的 25 倍，也只有它能用 Ultrafast；200 美元档价格不变，新订户的额度更低——具体从 20 倍降到 10 倍这类数字只有 Engadget 一家（EngadgetMEDIA），OpenAI 的帮助中心OFFICIAL只写了“更低额度”。

另一头是卖 GPU 小时的在涨。Nebius 价格页OFFICIAL把新旧两列并排挂着，10 月 1 号起生效的新价：H100 每 GPU 小时从 3.85 涨到 4.50 美元（+16.9%），H200 4.50→5.40，B200 7.15→8.50，B300 7.85→9.50。

而 token 这一头，Epoch 09-22 的《The plunging price of thought》OFFICIALMUSTTECHREAD说的是：达到同一档基准分数的成本，每季度降约 47%，年化约 13 倍，比电力、锂电池、DNA 测序和算力这些历史上的降价曲线都陡。它的限制写得也清楚：这条曲线隐含了一个“不停地找最划算模型”的用户，真实用户不会那么频繁换模型，拿不到全部节省；基准分也只是个不完美的代理。

买方那边的账也在变。Sonnet 5.5 09-28 发布，标价没变（每百万 token 输入 2 美元、输出 10 美元，和 GPT-6.1 Sol 一样），但 Artificial Analysis 测得它在最高档位每个任务要输出约 19.3 万 token，是他们测过最多的，约为 Astra 的 7 倍，单任务成本 7.60 美元，比 Sonnet 5 高约 50%（Artificial AnalysisOFFICIAL）。标价不变，账单不一定不变。Tinder 的 CTO 对 FT 说，公司的 AI 花费从 1 月按年 100 万美元涨到 7 月按年 1000 万，不想再涨 10 倍，所以在往开放权重模型转（PYMNTS 转述 FTMEDIA，FT 原文有付费墙）。

也有反着走的路。一个叫 Colibrì 的开源项目把 MoE 模型的专家权重放在 SSD 上按需读，让没有 GPU 的机器也能跑 7440 亿参数的 GLM-5.2——冷启动每秒只有 0.05 到 0.1 个 token，128GB 内存纯 CPU 约 1.8 个，6 张 RTX 5090 约 6 个（GitHubGITHUB，速度数字来自量子位MEDIA转述项目测试）。它是给买不起显存的人多一条路，不是云端涨价的替代品。

边上还有几件小事：Nscale 09-25 宣布 33.6 亿美元可转债，其中 10 亿来自老股东英伟达（TechCrunchMEDIA背景 · 09-25）；Crusoe 和 Boom 的涡轮合同散伙，但 Crusoe 说能源计划“haven't changed”，不能写成它放弃燃气涡轮（TechCrunchMEDIA背景 · 09-25）；Oracle 给新墨西哥州一个 Stargate 数据中心的开发商发了不可抗力通知，Oracle 说项目仍“on our planned schedule”（CNBCMEDIA背景 · 09-24）。