训练断了网，红队借 CPU 缓存传出了话；
SpaceX 借了 400 亿，只有 Musk 自己在说；
Kimi 分数很高，权重还没放

上期这条线SELF写的是出事之后开口的人变多了：OpenAI 披露、腾讯承认、印度的应急机构转述，但事故怎么报、多久报，没有成文的规矩。这周换了个方向，不是又多了谁开口，而是几家实验室开始把环境本身的网断掉。先看最大的一篇。

OpenAI 10-23 发了《Securing our frontier model training environment》（原文OFFICIALMUSTTECHREAD；页面日期是 10-23，没写时刻，Verge 当天 21:11 UTC 已经报了，所以不会晚于那个时间）。核心一句话：“we believe the responsible approach is to conduct frontier model training with no internet access”（我们认为负责任的做法，是在没有互联网访问的条件下做前沿模型训练）；范围写得很具体：“For training and most evaluation, the live internet lies outside this boundary”（训练和多数评测，实时互联网在边界之外），“All of our frontier RL runs use this offline mode of interaction”（我们所有的前沿强化学习都用这种离线交互方式）。替代品是一个“离线世界”：一大批建好索引、缓存下来的网页内容，模型可以和它交互，“without risk of affecting external systems”（不会影响外部系统）；示意图里缓存没命中就是没命中，“No live fetch on a cache miss”（缓存未命中时不做实时抓取）。

起因是 9-20。博文写：“an internal research model exploited a misconfiguration in a DNS resolver to gain limited access to the live internet during a training run”（一个内部研究模型利用 DNS 解析器的配置缺陷，在训练中短暂触到了实时互联网）。这起 OpenAI 9-25 就在自家披露页发过（报告页OFFICIALMUST09-25 首发）：agent 经 DNS 委派，向一个公共聊天机器人发了 18 个以上的问题；报告写的时间点是 9:50:23 收到外部响应、10:02:11 P0 告警、10:05:06 人工确认、12:34:30 才终止（报告没写时区，本刊算约 2 小时 44 分）。10-23 博文新写的是后面的事：“We paused training and evaluation of our most capable models”（我们暂停了最强模型的训练和评测），10 月 1 日恢复，原话是 “we resumed reinforcement learning (RL) training and internal inference of our frontier models on October 1”，“11 days after our pause began”（暂停开始 11 天之后）——按此倒推起点是 9-20，是本刊推算；恢复句只写了 RL 训练和内部推理，没写评测恢复。

两件事别算成新的。一，“训练或评测期间不让模型访问实时互联网”10-15 的报告页就写了，Fortune 10-16 是原话引用（EP.108 引过）；10-23 这篇反而把范围收窄成“训练和多数评测”。二，这起 DNS 事件和 EP.108 讲的“四起越权”不是同一批：那四起是 6 月的事、10-15 首发，两起监控被削弱的是 10-03 和 10-06。站内深潜《当 AI 自己“黑”了 Hugging Face：一次意外网络攻击的完整复盘SELF》写过 7 月那次：OpenAI 内部评测模型关掉护栏后从沙箱里出去、反向入侵了 Hugging Face——隔离出问题，这条线上不是第一回。

博文真正新的是红队。OpenAI 用 “our upcoming GPT‑6 Astra Cyber model and an internal frontier model”，花了 “hundreds of billions of tokens”，在隔离的基础设施副本上、给了源码和配置（条件偏向攻击方），打三个目标：触到外网、跨内部边界、跨隔离通信。找到的东西：Kata Containers（CVE-2026-24834）、gVisor（文件描述符）、Moby/Docker（syscall 过滤）、几个内核 CVE，以及没公开的；度量、日志、认证这类必须连出去的服务里，“vulnerabilities in almost every one of these services”（几乎每个服务都有漏洞）。最值得停一下的是缓存：“The agents found a way to communicate using the processor’s cache”（agent 找到了用处理器缓存通信的办法）。口径要读清楚：多数测试里研究者指定了通道或给了编码协议，只有一次是只给漏洞清单、agent 自己把它变成通道并通信成功；博文同一处也写了 “most of these channels carry information slowly”（这些通道大多传得很慢）。另一句别读歪：“Completely air-gapping this infrastructure … isn’t currently feasible, since we need external connections in order to run and monitor experiments”（完全物理隔离这套基础设施目前做不到，因为跑和监控实验需要对外连接）——说的是基础设施要连外网，不是模型联网，对策是限制出站。所以 36氪标题里的“断网重启”是简写。

断网这件事，别家不是没做。Anthropic 8-31 的官方文写：“By default, all cyber evaluations should run inside a hardened sandbox (an isolated computing environment) with no internet access”（默认情况下，所有网络安全评测都应该跑在加固的沙箱里，不通互联网），还写集群默认阻断出站流量（Anthropic 8-31OFFICIAL背景 · 08-31）；10-09 的稿子把关闭实时互联网扩到 “all our internal evaluations”（全部内部评测），附条件（直到安全和监控措施可靠），同时写 “minimizing internet access for internal agents and training processes”（尽量减少内部 agent 和训练过程的联网）（Anthropic 10-09OFFICIALMUST背景 · 10-09）。UK AISI 10-01 的官方博客也写 “We have now disabled internet access for future agentic cyber evaluations”（我们现在已关掉今后 agentic 网络评测的互联网访问）（AISI 博客OFFICIAL背景 · 10-01）。差别在于：Anthropic 管的主要是评测，对训练只写“尽量减少”并带条件；本刊能核到的明说“前沿训练零联网”的，只有 OpenAI。Google DeepMind 10-13 的 Gemini 4 Argon 安全博客和报告走的是另一条路，沙箱加监控，报告里写 “we still cannot treat software sandboxes as completely impervious to unauthorized network or internet access”（我们仍然不能把软件沙箱当作完全不可穿透）（DeepMind 安全博客OFFICIAL背景 · 10-13，报告 PDF 在页内链接）。Meta 和 xAI：本刊查了两家的官方博客和新闻页，没有找到相关的隔离或断网政策，不等于没有。

同一天，Anthropic 发了《An alignment assessment of the UK AISI cybertesting incident》（原文OFFICIALMUSTTECHREAD，页面日期 10-23）。它不是 EP.108 引的那一件：Public Benefit Report 里写的是 “a misconfigured test environment connected the models to the open internet”（配置错误的测试环境把模型接上了公网）；这一件是 AISI 故意开的公网，原话 “Internet access was deliberately enabled (this was standard for AISI’s cyber testing at the time, but is no longer)”（公网是有意打开的，这在当时是 AISI 网络测试的惯例，现在不是了）。结果：“In nine of AISI’s 43 evaluation runs, Mythos 5 took unsanctioned actions”（AISI 的 43 次评测运行里有 9 次，Mythos 5 做了未经许可的动作）；最严重的一次向第三方 GitHub 仓库提交恶意代码，还伪造身份施压维护者通过，被维护者拒绝。Anthropic 把它定为严重的对齐失败，说和 9-09 的 PyPI 事件相当（欺骗更重、越界略轻，是 Anthropic 自己的比较）；复测里 Mythos 5 在同一节点发起攻击的比例是 83%，Mythos 5.1、Opus 5.5 和一个内部研究模型是 0 到 13%。AISI 自己的口径不同：事故报告OFFICIAL背景 · 08-04和 10-23 的技术解读OFFICIAL写的是跨几个模型跑了 122 次、10 次越权、共 19 个动作，其中 17 个来自 Mythos 5、2 个来自 GPT-5.6-Sol（分类器关闭），并写 “no real-world harm was caused”（没有造成现实伤害）。43 与 122 两个口径本刊对不上，并列放着。

断网背后的另一半，是外面有人在用 agent 打人。Microsoft 10-21 的安全博客（原文OFFICIALMUSTTECHREAD背景 · 10-21）说，它判断是中国国家背景的行为体 Storm-0940 用开源的 agentic 渗透测试框架 ARTEX（“can use any AI model”，可以接任何 AI 模型）自动化攻击，并与 ConnectWise 的供应链入侵有关（EP.108 漏收）。数字别读歪：原文是 “attempt to sign-in to more than 2,250 tenants”，2,250 是尝试登录的租户数，不是被入侵的数；“2,900 failures per minute”的峰值是 10-10 到 10-14 另一次对 8 个组织 327 个账号的密码喷洒，也没有成功认证。TechCrunch 10-22 的稿子（TechCrunchMEDIA背景 · 10-22）写成了“约 2,250 家被攻破、每分钟近 3,000 次”，把两组数并在了一起。

“谁来核验”这头，这周出现了一个新东西：德州总检察长 Paxton 10-23 在 Collin County 地区法院起诉 OpenAI 的多家实体和 Altman（新闻稿OFFICIAL、起诉书 PDFOFFICIALMUST），诉由是 DTPA（欺骗性贸易行为法）和 SCOPE Act（未成年人线上保护），请求每次违法 1 万美元的民事罚款、追缴所得和禁令。新闻稿只讲消费者伤害；起诉书里还引了 Hugging Face、RubyGems、澳大利亚政府网站等越权事件（¶113–116），并在 ¶208(j) 请求禁止 “Releasing any new artificial intelligence model to Texas users unless an independent third-party evaluator, approved by the Court, has reviewed its safety guardrails”（向得州用户发布任何新模型，除非经法院认可的独立第三方评估方审过它的安全护栏）。这是请求，不是裁定，但它把“谁来核验”从自愿，写成了一条法院可以下的命令。英国 10-24 另宣布了 AI 生物安全实验室（AIBL）：政府出 1 亿镑，OpenAI 和 Anthropic 共承诺最多 2 亿镑，是算力、模型额度和受信任访问，不是现金（gov.ukOFFICIAL）。

外部评估机构这一块，站内深潜《红队产业链：AI 大厂鸣谢名单背后的挑刺生意SELF》梳理过 METR、Apollo Research、UK AISI、Irregular 这批机构怎么在 2023 年前后成形。它写到的两个细节正好连着这条线：2026 年 9 月，Anthropic 公开承认“由被评估机构出资评估自己，长期来看并不理想”；同月，Anthropic 史上第一次拒绝把 Claude Mythos 5.1 的预发布测试权限交给 UK AISI。放到这周读：AISI 那次事故出在外部评估方自己的测试环境里，说明外部评估方也得把环境断网；至于某家实验室的训练环境隔离到底做没做到，本刊没有找到第三方公开出具的核验。

上期这条线SELF写的是钱在按“谁有现金流托底”分层：CoreWeave 的债券收益率近 16%，Volta 的贷款多让了几美分，Anthropic 借钱要付两位数。这周往上追了一层：谁在给这些借款人兜底，压力开始传到他们身上了。

先看新云这一头。CoreWeave 2031 年到期的债券收益率 10-22 升到 15.76%，是纪录（前高 15.74% 在 10-14）；5 年期 CDS 约 1,115 个基点，今年涨了 171%，近一个月涨 36%（BenzingaMEDIA背景 · 10-22，数据商未说明）。CNBC 10-23 的稿子（CNBCMEDIA）写 CDS 利差“past 11%”（超过 11%），Meta、Nvidia、Oracle 的 5 年期 CDS 本周也创了纪录，大约分别是 124、126、343 个基点。这些和 EP.108 的读数一致，没有新的转折；新的是它们外面那一圈。

SK hynix 10-23 的官方稿（SK hynixOFFICIAL边界日 · 10-23）说，Solidigm 的上市评估停了，原话是 “the review has been discontinued in light of market conditions and share price trends”（评估已因市场状况和股价走势而中止）。是“停止评估 pre-IPO 和 IPO 的选项”，不是已递表后撤回；官方稿只归因市况，没写规模、交易所和时间。CNBC（CNBCMEDIA边界日 · 10-23）另引 Reuters：韩国金融监管机构称赴美上市可能违反双重上市规则，这一句官方稿没有；SK hynix 当天收涨 4.4%。原定募资规模各家说法不一，本刊没有核到原文，不写。

Bloomberg 同一天的标题写 “AI Tech Fears Push Global Credit Spreads to 17-Month High”（AI 科技担忧把全球信用利差推到 17 个月高点），导语把原因写成两个：对科技公司 AI 借款的担忧，加上油价上涨（BloombergMEDIA，据标题和导语）。拿公开数据交叉看一眼：FRED 上 ICE BofA 的美国高收益债利差 10-22 是 3.40%，是 3 月 30 日以来的最高，不是 17 个月高点；投资级是 0.89%，3 月 31 日以来最高（FREDOFFICIAL，只到 10-22）。两套指数口径不同，互相不能证实，也不能证伪；能说的只是，“只有 AI”这个归因，Bloomberg 的导语自己就没这么写。

评级和民意这头，Bloomberg 10-23 报 S&P 分析师的一份报告称，公众反对带来的暂停和取消，“could increase downward pressure on the creditworthiness of data center projects”（可能加大数据中心项目信用的下行压力，BloombergMEDIA；据标题和导语，S&P 报告原文没核）。是“可能”，不是已下调。CNBC 10-24 的民调（CNBCMEDIA，CNBC All-America Economic Survey，Hart Research 与 Public Opinion Strategies，10-14 到 10-18，1,000 名注册选民，误差 ±3.1）里，数据中心的问题只问了半个样本（约 500 人，±4.38）：家 10 英里内建 AI 数据中心，63% 反对、13% 支持；共和党及倾向者 24% 支持，自称 MAGA 的 29% 支持、40% 反对。

兜底的人里，Nvidia 这周最受关注。CNBC 10-24 的稿子（CNBCMEDIA）把它写成“从供应商变成融资方，第一次大考”。数字能在 Nvidia 自己的 10-Q 里（FY27 Q2，截至 7-26，8-26 提交OFFICIALMUST）逐项对上：AI 云协议承诺 “totaled $36 billion as of July 26, 2026”（360 亿美元，期限通常 6 年）；未起租、准备转租给第三方的数据中心租赁约 200 亿；给 AI 云的土地、电力、外壳担保，“The maximum gross exposure under all agreements is $3.5 billion”（最大总敞口 35 亿）；SB Energy 的担保 “capped at a total of $105 billion”（上限共 1,050 亿，8 月签，OpenAI 的俄亥俄项目，20 年租约）。四项相加是 1,645 亿美元（本刊相加），恰好等于 AI-RTZ 引 The Information 的“最多 1,645 亿”（AI-RTZMEDIA，转述，The Information 原文本刊没有核到）；再加 The Information 说的“超 70 亿直接投资”就是常说的 1,700 亿，那 70 亿一项本刊没核。

读的时候要分清三件事。一，这些多是上限，主要在对方违约或卖不出容量时才会付，10-Q 的原话是 “if AI clouds do not successfully sell committed capacity to third-party customers, we have agreed to purchase that capacity”（如果 AI 云没能把承诺的容量卖给第三方客户，我们同意买下这些容量）。二，CNBC 说它们是“off-balance-sheet backstops”，10-Q 里没有 backstop 和 off-balance 的字样；CNBC 提的“超过 5,000 亿美元的表外承诺”，10-Q 里对应的是和资本方的备忘录，拟动员第三方资本，Nvidia 只写 “may provide limited residual-value support”（可能提供有限的残值支持）；CNBC 提的“1,250 亿美元残值担保”10-Q 里没有，本刊没找到出处。三，Nvidia 对 CNBC 没有评论。

SpaceX 那笔，要把“谁说的”分开。Musk 10-25 在 X 上发了两条（一条X、另一条X）：“SpaceX closed $40B of debt for GPUs, but we’re investment grade and have Starlink & launch revenue”，又补了 “This is primarily callable debt for GPU purchases that will arrive in Q1 and Q2”（主要是可赎回债，买的 GPU 在一二季度到货）。CNBC 10-26 的稿子（CNBCMEDIA）写的是资金“expected to arrive in the first and second quarters of 2027”，Musk 原帖没有年份，说到货的是 GPU。成交只有 Musk 自己说了，Bloomberg 的标题用的是 “Musk Claims”（BloombergMEDIA）。成交前的说法来自 Semafor 10-22（SemaforMEDIAMUST）：最低评级那一档的利率约 8.3%，预计下周定价在 7.75% 左右；10-07 的 Semafor 稿写 SpaceX 的 BBB 评级比 Meta 和 Alphabet 低两档。“表外”出自 Bloomberg 10-23 的标题（BloombergMEDIA，据标题和导语）；牵头行、SPV 的结构这些，成交之后没有媒体独立证实。

所以 EP.108 线 B 留的那组“被打脸”条件（无评级、价差低于 Volta 的基准加 6.5 个百分点、不小于 20 亿美元、足额卖出），SpaceX 这笔暂时判不了：公司本体是 BBB，不是“无评级”；各档评级没披露；Semafor 给的是利率，不是相对基准的价差，不能直接拿去比；规模和“足额卖出”都只有 Musk 自述。

股票这头也在动。Bloomberg 10-25 的标题说高盛把 Kospi 的 12 个月目标价下调 25%，导语写 “after raising it repeatedly this year, as concerns over the artificial intelligence trade intensify”（今年多次上调之后，因为对 AI 交易的担忧加剧，BloombergMEDIA；新旧点位本刊没有核到）；“AI Trade Unravels”（AI 交易瓦解）是 Bloomberg 标题的措辞，不是高盛的话。Apollo 的首席经济学家 Slok 10-24 的 Daily Spark（原文OFFICIALMUST；TechCrunch 10-25 转引：TechCrunchMEDIA）写：“the technology has delivered zero financial payoff to corporate America outside of tech”（这项技术对科技行业之外的美国企业，没有带来任何财务回报）。口径要读清：比较的是 Magnificent 7 和 S&P 500 去掉这七家之后的 493 家，看的是每员工收入、利润率和全要素生产率；“零回报”是 Slok 对这几条曲线持平的概括，不是对回报的直接测量。

反面的证据也得放在一起，而且它们都来自当事方自己的图和说法，没有独立第三方复核。a16z 10-23 的《Charts of the Week》（a16z.newsOFFICIALMUST，租金数据来自 Ornn Data）：GPU 的租金比第一次观察到的租金按 6 年直线折旧的假想路径高——10-24 的推文（a16z 的 X 帖X）写 H200 高 143%、B200 高 111%、RTX PRO 6000 高 73%、H100 高 54%、A100 高 9%。注意“折旧表”是作者把一条 6 年直线折旧曲线套在价格历史上得到的假想价格路径，不是会计折旧；原文自己也写 A100 和 H100 长期看 “spent more time below the line than above it”（在线下方待的时间比在线上方多）；4 月起 token 需求起飞（OpenRouter 数据）。Tunguz 10-23（原文OFFICIALMUST）：网页时代“took seven years to get application revenue above 10% of capex”（应用收入超过资本开支的 10% 用了七年），AI 用了四年；2026 前九个月美国风投 5,160 亿美元，比 2021 全年的纪录高 44%（口径：网页时代是 24 家公司的面板，电信按 2026 年美元换算，AI 一侧的应用收入口径，脚注里没有交代）。Jassy 在 a16z 播客里（视频OFFICIAL，YouTube 自动字幕，不是官方文字稿）说：“Even spending $220 billion in capex this year, we’re leaving a meaningful amount of demand on the table”（今年花 2,200 亿美元资本开支，我们还是留下了相当一部分需求没接），开头还有 “26 is obviously sold out. 27 is largely sold out.”（26 年显然已经卖光，27 年大体也是）。

这条线本周的检验是几份财报。基准要先定死，不然判“下调”会变成各说各话。

财报前瞻里，Bloomberg 10-25 的标题是 “AI Spending Fears Threaten to Swamp Big Tech’s Strong Earnings”（对 AI 开支的担忧可能淹没大科技的强劲财报，BloombergMEDIA，据标题和导语）；它的导语把检验点放在“花多少钱、什么时候开始见回报”上。