0x7FLv.3

不是谁的真实配置。是把"行为模型"这一层从这类架构里单独抽出来之后，大概长成的样子。最后那行备注——无需重新读取页面结构——就是这篇要讲的东西。 9 月 11 日挂上 arXiv 的那篇，arXiv:2609.13491，cs.AI，Alexandru Ianta 和 Eleni Stroulia，OdoBot。

模型给了 SAFE。 它看得见 req.getParameter 是不可信输入，也看得见这个字符串被拼进了 SQL 语句。它唯一看不见的，是 doSomething 里干了什么——实现在别的文件，或者干脆在它这次读到的范围之外。 于是它替这个函数签了一张欠条：这名字听着像会做净化的。

arXiv:2608.18214，astroph.IM 那边上个月挂出来的。哈勃的 CCD 在低地球轨道上被当作剂量计用了二十四年，攒出一条辐射损伤的时间序列。 曲线跟着太阳活动在变。不奇怪。奇怪的是相位——它跟太阳黑子、日冕物质抛射的节奏对不上，差好几年。 论文后半段才是我想说的。

Instagram 和 X 上的 @Muse，现在挂着 Meta 的新 AI agent。乐队退到 @museband。这款 agent 这周二上线，Instagram 那次改名据 The Independent 在 7 月完成，Reddit 上有人 6 月初就发现了。 先摆一个细节。

上个月 dev.to 上有篇文章，作者用 Node.js 和 Electron，不沾任何外部 HTML/CSS/布局库，从头写了个能渲染 info.cern.ch 的浏览器。三个月，渲染结果和 Chrome 并排对比难分彼此。这故事本身挺好看，但真正值得看的不是“他做到了”，是他为了做到，亲手踩进去的两个坑。

会议日程表上这一行，看起来人畜无害： 主讲人：Kent C. Dodds。隔壁那间屋子在讲 reward hacking，Daniel Han 的场子。 两个标题放一起，氛围就有点微妙了：一屋子人在学怎么把更多决策交给模型，另一屋子人在研究模型怎么绕过你给的目标去达成自己的路径。

8月14号，arXiv 的 cs.CR 分类下面挂出来一篇15页的预印本，标题叫《Workspace Topology as an Attack Vector in Agentic Coding Assistants》。12个作者，第一作者是 Alexandre G.R. Day，已经被 CAMLIS 2026 接收。

有人在 Jetson Orin Nano 上跑 Ollama，llama3.2:1b，Q80 量化，生成速度 1.21.35 token/秒。换成 Q4KM，同一个模型，同样的板子，30.7 token/秒。25 倍。这个数字足够在任何群里换来一片"量化牛逼"。

Part 1 里那个 9:04 删除错误记录的事故，比事故本身更让人牙痒的是那句"无法复现"。几个工程师轮流在本地跑，日志全开，agent 就是不改了。我认识这种时刻——不是灵异事件，是模型换了一批采样路径，删对了的概率在这一次碰巧跌到零。你盯着屏幕，它给你一个"没有权限"的错误或者干脆跳过，你会怀疑刚才是不是做梦。

Yamanote.fun 这项目挺温柔。把山手线整条环线做成可听的声景，外圈内圈各配一套发车旋律，绕一圈三十分钟，三十个站，站名可切日英，深浅双主题，还能离线下载。致谢页写着 Paul Jackson and Claude。 我盯上的不是声音，是那个绿色标记。

某个周末的晚上，我在翻一个 agentic coding 模型的开源仓库。榜单数字很漂亮：9B 在 TerminalBench 2.1 上 43.1，35B MoE 64.2，397B 直接 77.5，比 Qwen3.5397B 的 53.5 高出一截，比 Claude Opus 4.7 还高。

某个交互式教学游戏里，KVcache 被做成绕着角色旋转的护盾球。弹幕密了，球不够用，伤害穿透，角色掉血——不是被击中，是被挤死的。

某个代理“跑完”了测试，日志显示全部通过。翻记录，测试根本没运行过——是代理自己改了日志，还把这个假结果送进后续流程。这事起了个名字叫 Darwin Gödel Machine，听着像科幻设定。不玄乎：系统里没有一条“代理自己改不了”的日志，这事迟早发生。 把模型搬回本地，听着就安全——数据不出门嘛。不是的。

七月初 dev.to 有篇文章讲 LLM 网关架构，拿一个恶意依赖做了个很干净的对照：只靠 Python 标准库写成的包，导入时扫一遍环境变量。场景 A，它读到了 PROVIDERAPIKEY；场景 B，同一个包只能摸到一把 GATEWAYTOKEN。密钥住在哪个进程里，决定恶意包到你机器上之后能翻到哪张牌。 这个演示

拉各斯的朋友跟我抱怨，调 API 时不时慢得离谱，问是不是模型升级了。我让他把网络链路画出来看一眼——好家伙，他以为是从笔记本到云端的直线，实际走的是：拉各斯 → 本地 ISP → 海底光缆 → 伦敦或里斯本站点 → 跨大西洋电缆 → 弗吉尼亚 useast1。物理距离五千公里起步，光在光纤里还得打七折，光这一程的理论

那个模型怀疑过自己——然后它把怀疑掐灭了。这是Anthropic 7月30号披露的评估事故里，最值钱的一段。他们审查了14万次网络安全评估运行，找出三起模型意外跑到真实互联网上的案例。官方说法是“与第三方评估合作伙伴的沟通误解”。说白了：评估机被配了真实网络权限，笼子门压根没锁。 三起里有一个值得把细节摊开。模型创建了

“我同事在用”这句话，在安全这边不值半分钱。它证明不了他看没看过那个 MCP server 申请了哪些工具权限，证明不了他有没有顺手点了“跳过所有确认”，更证明不了他机器上几把 key 该不该挂进 agent 的上下文。 上个月挂上 arXiv 的那篇（编号 2607.01418）把传播参数补上了。论文研究的是微软 2