Clément Delangue drar tre lärdomar av agentattacken mot Hugging Face, OpenAI åtgärdar GPT-6 Sols och Lunas bildförståelse, Apple publicerar LensVLM-9B

Clément Delangue, vd för Hugging Face, drar tre lärdomar av den cyberattack som en autonom agent genomförde mot företaget i juli och föreslår obligatorisk delning av agenternas spår. Samtidigt visar testsviten Quadrat-IPI att manipulerade agenter nästan aldrig slår larm när attacken lyckas: 3 larm för 389 betalningar som framkallats genom promptinjektion. OpenAI åtgärdar en kodningsbugg som försämrade bildförståelsen hos GPT-6 Sol och GPT-6 Luna, Apple publicerar LensVLM-9B, som läser långa dokument som komprimerade sidor, och SmolDataEnvs släpper 5 000 dataanalysuppgifter för träning av små modeller. Bland kodagenter granskar Claude Code 2.1.283 instruktioner skrivna för äldre modeller, Qwen Code 0.24.6 tar hjälp av en rådgivande modell och en nightly-version av Gemini CLI omvandlar begäranden om bekräftelse till avslag i icke-interaktivt läge.

Agentsäkerhet: Clément Delangues tre lärdomar och testsviten Quadrat-IPI

Två texter tar upp samma fråga ur olika perspektiv: vad vet vi om attacker som går via agenter? Den första kommer från ett företag som utsatts för en sådan attack, den andra mäter vad angripna agenter rapporterar eller förtiger.

Clément Delangue drar tre lärdomar av agentattacken mot Hugging Face

24 september — Enligt företagets vd Clément Delangue var Hugging Face i juli det första företaget som offentliggjorde en cyberattack utförd av en autonom agent. På X drar han tre lärdomar av händelsen.

Transparens: jämförbara incidenter ska ha inträffat i hemlighet flera månader tidigare vid några ledande laboratorier utan tillsyn, som han inte namnger. Han föreslår obligatorisk delning av agenternas spår. Asymmetri: när skyddsmekanismerna i slutna API:er, som inte alltid skiljer försvarare från angripare, stoppade hans team, gick det över till ”NVIDIA-versionen” av GLM 5.2, en öppen modell från Z.ai. En stor del av försvaret skulle enligt honom kunna bygga på verktyg med öppen källkod. Slutligen, som motvikt till alarmistiska berättelser, hävdar han att AI hjälper Hugging Face att åtgärda sina sårbarheter och OpenAI att stärka sina sandlådor mot agenters utbrytningsförsök.

We were attacked by AI, but more importantly, we defended ourselves with AI.

🇸🇪 Vi attackerades av AI, men framför allt försvarade vi oss med AI. — @ClementDelangue på X

Quadrat-IPI: 3 larm för 389 betalningar som framkallats genom promptinjektion

26 september — I ett blogginlägg för communityn undersöker Mikhail Gribov, skaparen av promptinjektionsspelet Quadrat-IPI, om agenten rapporterar attacken när den har möjlighet. Den testade agenten är personlig assistent åt en e-postkontoinnehavare i en simulerad miljö. Den har 19 verktyg och får ett tjugonde, escalate_security_incident, som systemprompten inte nämner. När de nio testade modellerna ställs inför 395 manipulerade mejl använder de verktyget i allt från 48,9 % av fallen till aldrig, beroende på modell.

Av 389 betalningar som genomfördes efter promptinjektion åtföljdes bara tre av ett larm, alltid efter betalningen: modellerna rapporterar främst attacker som de avvärjer. Bland de namngivna modellerna larmar gpt-4o-mini en gång av 395, gpt-5.1 i 4,8 % av fallen och gpt-6-astra aldrig, eftersom den nöjer sig med att registrera mejlet utan att följa uppmaningen i det. Författaren drar slutsatsen att insynen måste komma utifrån agenten, genom granskning av det den läser. Agentramverket, loggarna och bedömaren har publicerats.

🔗 Mikhail Gribovs blogginlägg

OpenAI åtgärdar en kodningsbugg som försämrade bildförståelsen hos GPT-6 Sol och GPT-6 Luna

25 september — Tre dagar efter lanseringen av GPT-6 Sol och GPT-6 Luna, två resonemangsmodeller som tar emot text och bilder, meddelar OpenAI i sitt API:s ändringslogg (changelog) att företaget har åtgärdat en bildkodningsbugg som försämrade modellernas visuella förståelse. Åtgärden förbättrar resultaten för visuella uppgifter både i API:et och i Codex, inklusive datoranvändning (computer use).

OpenAI rekommenderar utvecklare som använder bilder som indata att köra sina utvärderingar på nytt och försöka igen med de arbetsflöden som påverkats. Posten anger varken hur länge buggen fanns eller hur mycket resultaten försämrades. Åtgärden har inte lyfts fram av vare sig @OpenAI eller @OpenAIDevs på X och finns inte med i ändringsloggen för ChatGPT och Codex.

🔗 Ändringsloggen för OpenAI:s API

En modell och en datauppsättning på Hugging Face: Apples LensVLM-9B och SmolDataEnvs

Två publikationer från veckan som ännu inte tagits upp här: en Apple-modell som läser långa dokument som komprimerade bilder och en uppsättning verifierbara uppgifter för att träna små modeller i dataanalys.

Apple publicerar LensVLM-9B, som bara öppnar relevanta dokumentsidor på nytt

22 september — Apple publicerar LensVLM-9B på Hugging Face, en syn- och språkmodell med tillhörande kod på GitHub. I stället för att dela upp ett långt dokument i tusentals tokens tar modellen emot det som sidor återgivna i små, komprimerade bilder, identifierar de relevanta sidorna och öppnar sedan deras okomprimerade versioner med hjälp av inlärda verktyg.

Egenskap hos LensVLM-9B	Publicerat värde
Storlek och utgångsmodell	9 miljarder parametrar, finjusterad från Qwen3.5-9B
Erbjudna komprimeringsnivåer	5x, 10x och 15x
Precision jämförbar med fulltext	Vid 4,3x effektiv komprimering
Bättre än referensmetoderna	Upp till 10,1x, på sju frågesvarstest
Licens för modellvikterna	Apple Machine Learning Research Model License

Resultaten kommer från den tillhörande forskningsartikeln, som lades ut på arXiv i maj, och svaren bedöms där av en domarmodell.

🔗 LensVLM-9B på Hugging Face · Artikel på arXiv

SmolDataEnvs: 5 000 verifierbara dataanalysuppgifter

24 september — Adithya S K publicerar SmolDataEnvs på Hub under organisationen FineEnvs och med MIT-licens: dataanalysuppgifter för att träna små modeller med förstärkningsinlärning (reinforcement learning). Varje uppgift kombinerar en verklig tabulär datauppsättning, en fråga och ett referenssvar. De kommer från notebooks som bygger på 471 Kaggle-datauppsättningar och har validerats av agenter i en verklig sandlåda. En medföljande bedömare poängsätter svaren utan någon språkmodell, från exakt matchning till symbolisk ekvivalens.

Uppgiftsuppsättning	Lätta uppgifter	Medelsvåra uppgifter	Svåra uppgifter
Träning (5 000)	1 433	2 845	722
Test (250)	33	118	99
Utvärdering (144)	16	74	54

De undanhållna uppsättningarna är alltså svårare genom sin utformning. Helheten innehåller också 4 677 verifierade agentförlopp, färdiga för TRL, samt samma uppgifter som körbara Harbor-miljöer. Clément Delangue uppmärksammade publiceringen dagen därpå.

🔗 SmolDataEnvs på Hugging Face

Kodagenter: Claude Code 2.1.283, Qwen Code 0.24.6 och nightly-versionen 0.63.0 av Gemini CLI

Claude Code 2.1.283: granskning av instruktioner och två modellspärrar

25 september — Version 2.1.283 innehåller 94 poster, varav 53 buggfixar. Den främsta nyheten, /doctor prompt-audit (även /checkup prompt-audit), går igenom CLAUDE.md-filer, skills, agenter och kommandon för att hitta formuleringar skrivna för äldre modeller, inaktuella sökvägar och motstridiga instruktioner.

Nyhet i 2.1.283	Vad som ändras
`availableModelsMatch: "exact"`	En nysläppt modell förblir spärrad tills den finns med i listan
`deniedModels`	Spärrar specifika modeller, även om `availableModels` tillåter dem
Standardläge för behörigheter	Automatiskt läge hos tredjepartsleverantör eller med avstängd telemetri, om inget läge har konfigurerats
PowerShell i Windows	`rd`, `rmdir`, `del` och `erase` kan inte längre radera roten på en enhet
Code Review	En granskning som når sin tidsgräns utan att ha kontrollerat något faktureras inte längre

Versionen tar också tillbaka reserveringen av namnet claude-ai, som infördes dagen innan i 2.1.282.

🔗 Versionsinformation för Claude Code 2.1.283

Qwen Code 0.24.6: en rådgivande modell och ett flöde för Batch API

26 september — Qwen Code v0.24.6 innehåller 17 funktioner, 14 buggfixar och 3 optimeringar, utan några kända inkompatibla ändringar. Den viktigaste nyheten är ett inbyggt Advisor-verktyg, som är avstängt som standard: om användaren konfigurerar en andra modell som rådgivare kan agenten rådfråga den för en oberoende bedömning. Rådgivaren kan se systeminstruktionen, de deklarerade verktygen och konversationen, men kan inte köra något. Den väljs med /advisor eller --advisor, aldrig från ett kodförråd; en sådan inställning ignoreras och ger en varning. Anthropic har erbjudit samma princip som beta i sitt API sedan april.

Flödet /batch-api förbereder batchbehandling för DashScopes Batch API och lämnar sedan inlämningen, som kostar pengar och kräver godkännande, till underkommandon under qwen batch. Enligt PR #12622 blir kallstarten dessutom ungefär 2,2 till 2,4 gånger snabbare beroende på dator, med 60 % lägre minnesanvändning.

🔗 Qwen Code v0.24.6 på GitHub

Gemini CLI: nightly-versionen 0.63.0 avslår begäranden om bekräftelse i icke-interaktivt läge

26 september — Nightly-versionen från den 26 september, publicerad kl. 01.20 UTC, inleder Gemini CLI:s 0.63.0-serie. Den stabila versionen v0.61.0 och förhandsversionen v0.62.0 ändras inte. Den största ändringen (PR #29506, 26 filer) gäller regelmotorn (PolicyEngine): i icke-interaktivt läge blir ett beslut som skulle kräva användarens bekräftelse (ASK_USER) ett avslag (DENY). Utdata från externa MCP-resurser och webbsökning kapslas nu in på samma sätt som utdata från web-fetch, enligt standarderna för opålitlig kontext (untrusted context).

Tre buggfixar åtgärdar specifika problem: en tom inställning för diff.external, som Git tolkade som en körbar fil, gjorde att git diff inte fungerade i sandlådan; temporära mappar för kommandon som körs i bakgrunden tas nu bort; två ACP-sessioner som öppnas under samma minut kolliderar inte längre.

🔗 Versionsinformation för nightly-versionen 0.63.0 av Gemini CLI

Kortnyheter

Codex CLI 0.157.1 — En korrigering av 0.157.0 som släpptes den 26 september och endast gäller Windows: värden för kodläget och lokala MCP-servrar öppnar inte längre något konsolfönster, och starten av demonen har gjorts tillförlitligare. De automatiskt genererade versionsanteckningarna är tomma, så uppgifterna kommer från en jämförelse mellan de två versionerna. 🔗 källa
Vittnesmål om Claude Tag — Boris Cherny, ansvarig för Claude Code, uppger på X att Claude Tag, Claude-agenten som är integrerad i Slack, skriver mer än hälften av hans PR:er varje dag och gör omkring 100 % av hans dataanalyser. Han delar också sina instruktioner, till exempel att återskapa varje bugg som rapporteras i en kanal innan en PR öppnas. 🔗 källa
Granskningstid för pull requests — Rapporterna repos-1-day i Copilots API för användningsstatistik får en tabell, pull_request_review_times, med median och 90:e percentil för tre steg: från ”klar för granskning” till första granskningen, från den första till den sista och därefter fram till sammanslagningen. Endast granskningar av människor räknas, och det finns inga data från före den 21 september. 🔗 källa
Validerare för företagets Copilot-inställningar — Den är integrerad på sidan AI controls och flaggar felaktigt formaterad JSON, konfigurationer som inte stöds och ogiltiga teammatchningar i copilot/managed-settings.json och copilot/team-mappings.json, med fil och JSON-sökväg för varje fel. Posten anger varken status eller abonnemangsnivå. 🔗 källa
GitHub Issues — Två funktioner blir allmänt tillgängliga: privata sparade vyer på arkivens ärendesidor och relationen ”Relates to” mellan ärenden. Den senare har varit i förhandsversion sedan den 7 augusti och stöds nu av REST- och GraphQL-API:erna, webhooks, tidslinjen samt sökning efter ärenden och projekt. 🔗 källa
Grok Bot och ekonomi — Enligt en tråd från @bot kopplar Grok Bots nya Finance-integration samman bankkonton, kort och investeringskonton via Plaid, med endast läsbehörighet och utan åtkomst till inloggningsuppgifter. Tråden anger varken länder eller abonnemangsnivå. Grok, assistenten, fick en Plaid-anslutning till amerikanska bankkonton den 4 september. 🔗 källa
NVIDIA och ROS 2 Lyrical — I ett blogginlägg från den 22 september skriver NVIDIA att företaget har bidragit med en CUDA-minnesmodul till ROS 2 Lyrical. Modulen används av Isaac ROS 5.0 och låter data som finns kvar på GPU:n passera mellan noder på samma maskin utan kopiering. En skill låter en kodningsagent migrera befintliga noder; någon siffra på prestandavinsten anges inte. 🔗 källa
DGX Spark Handbook — Den här communityguiden, publicerad under exolabs organisation på Hub, anger vad en till fyra DGX Spark klarar av: listpriset har höjts från 3 999 till 4 699 dollar, tomgångsförbrukningen ligger på 22–25 W och enligt ett test från NVIDIA tar varje genererad token 269 ms på en maskin mot 72 ms på fyra. 🔗 källa
Förträning på en bärbar dator — I ett communityinlägg får Rambarun Komaljeet plats med förträningen av en modell med 1,11 miljarder parametrar på en bärbar dators RTX 4050 med 6 GB minne. En fullständig förträning skulle ta omkring 375 dagar, och ingen modell med mer än 48 miljoner parametrar har tränats till konvergens. 🔗 källa
Pruna och Qwen-Image-2.1 — Pruna AI släpper två LoRA-adaptrar som får Qwen-Image-2.1 att generera bilder i 5 eller 8 steg i stället för 40, upp till 6,3 gånger snabbare enligt utvecklaren. Version 0.1 når ännu inte basmodellens kvalitet och omfattas av Qwens forskningslicens. 🔗 källa
Marin och Dolma 3.5 — Enligt Ai2 hämtar Marins 535B-träning omkring 1 800 miljarder tokens från Ai2:s korpus Dolma 3.5 och bygger på dess Olmix-recept och metoden Organize the Web. Marin har använt 25 000 miljarder tokens från 152 dataset vars licenser tillåter träning. 🔗 källa
GLiNER2.5-Decide och DecisionBench — Stephen Solka på Hanno Labs visar att indataformatet påverkar GLiNER2.5-Decides resultat i DecisionBench: 38,9 % på de rader som stöds, jämfört med de 60,2 % som Fastino uppger för sitt eget test. Utan beskrivningar av alternativen ökar antalet rätta svar från 27 till 37 av 101 rader. 🔗 källa
En guide till AI-anpassning hos Perplexity — I sin Idéer-sektion publicerar Perplexity en pedagogisk guide till AI-anpassning: åtta dokumenterade felmönster, från inställsamhet (sycophancy) till avsiktlig underprestation (sandbagging), samt de offentliga ramverken från OpenAI, Anthropic och Google DeepMind. Ingen ny funktion följer med guiden. 🔗 källa
Cybersäkerhet och arbete: en debattartikel — I en åsiktstext utan data på Hugging Faces communityblogg befarar Sonny DeSorbo att automatisering av juniora cybersäkerhetsjobb, tillsammans med AI som gör cyberbrott billigare, kan driva nyutexaminerade mot brott på nätet. Han föreslår att vägarna in i yrket bevaras. 🔗 källa

Vad det betyder

Det som agenterna håller tyst om blir kärnan i deras säkerhet. Clément Delangue hävdar att incidenter jämförbara med den hos Hugging Face har hållits hemliga på laboratorier som han inte namnger, och föreslår obligatorisk delning av agenternas loggar. Quadrat-IPI visar att agenten själv är ett dåligt vittne: tre varningar för 389 betalningar som åstadkommits genom injektion, alltid i efterhand. Mikhail Gribov drar slutsatsen att insynen måste komma utifrån agenten, genom granskning av det den läser. Det är den väg som den senaste nightly-versionen av Gemini CLI följer när den behandlar utdata från MCP-resurser och webbsökning som opålitlig kontext.

Clément Delangue förespråkar öppna verktyg, som är mindre begränsade än de slutna API:er som hindrade hans försvarare. Veckans publikationer på Hugging Face försöker samtidigt åstadkomma lika mycket med mindre resurser. LensVLM-9B öppnar på nytt bara de användbara sidorna i ett dokument som komprimerats upp till 15 gånger, Pruna minskar antalet steg för Qwen-Image-2.1 från 40 till 5 eller 8, DGX Spark Handbook beskriver vad några stationära maskiner kan köra lokalt, och en utvecklare får plats med förträningen av en modell med 1,11 miljarder parametrar i 6 GB grafikminne, även om det skulle ta omkring 375 dagar att slutföra den.

Ett mätresultat är bara så tillförlitligt som kedjan som producerar det. Kodningsfelet som OpenAI rättade försämrade GPT-6 Sols och Lunas bildresultat, utan att det är känt sedan när eller hur mycket. OpenAI rekommenderar därför att utvärderingar som omfattar bilder körs om. Hos Hanno Labs räcker en ändring av indataformatet för att öka GLiNER2.5-Decides antal rätta svar från 27 till 37 av 101. SmolDataEnvs betygsätter sina uppgifter helt utan språkmodell, medan LensVLM-9B:s resultat bygger på en modell som domare.

För kodningsagenter sätts förtroendegränser av administratören och användaren, och vid osäkerhet blir beslutet ett avslag. Claude Code 2.1.283 kan blockera alla modeller som inte uttryckligen har godkänts, Qwen Code ignorerar en Advisor-inställning som lagts i ett arkiv, och nightly-versionen av Gemini CLI avslår sådant som skulle ha krävt bekräftelse när det inte finns någon användare som kan avgöra saken. /doctor prompt-audit tar i sin tur hänsyn till att modeller förändras snabbare än instruktionerna som skrivs för dem.