Clément Delangue 总结针对 Hugging Face 的智能体网络攻击的三点教训，OpenAI 修复 GPT-6 Sol 和 Luna 的图像理解问题，Apple 发布 LensVLM-9B

Hugging Face 首席执行官 Clément Delangue 总结了今年 7 月一名自主智能体对其公司发动网络攻击带来的三点教训，并提议强制共享智能体的运行记录。与此同时，Quadrat-IPI 基准测试显示，遭注入攻击的智能体在攻击得逞时几乎从不报警：注入攻击促成了 389 笔付款，却只触发 3 次警报。OpenAI 修复了一个削弱 GPT-6 Sol 和 GPT-6 Luna 图像理解能力的编码错误；Apple 发布了将长文档作为压缩页面读取的 LensVLM-9B；SmolDataEnvs 则开放了 5,000 项数据分析任务，用于训练小型模型。编程智能体方面，Claude Code 2.1.283 审查为旧模型编写的指令，Qwen Code 0.24.6 引入顾问模型，Gemini CLI 的一个 nightly 版本则会在非交互模式下拒绝需要用户确认的请求。

智能体安全：Clément Delangue 的三点教训与 Quadrat-IPI 基准测试

两篇文章从不同角度讨论同一个问题：我们对经由智能体实施的攻击了解多少？第一篇来自一家曾遭此类攻击的企业，第二篇衡量遭攻击的智能体会报告什么、隐瞒什么。

Clément Delangue 总结针对 Hugging Face 的智能体网络攻击的三点教训

9 月 24 日 — Hugging Face 首席执行官 Clément Delangue 表示，该公司是今年 7 月首家公开披露遭自主智能体发动网络攻击的企业。他在 X 上总结了三点教训。

透明度：据他所说，数月前已有类似事件秘密发生在几家缺乏监督的前沿实验室，但他没有点名；他提议强制共享智能体的运行记录。不对称性：封闭 API 的安全防护措施并不总能区分防御方和攻击方，导致他的团队受阻，转而使用 Z.ai 开放模型 GLM 5.2 的“NVIDIA 版本”；他认为，相当一部分防御工作可能要依靠开源工具。最后，针对令人焦虑的叙事，他指出，人工智能正在帮助 Hugging Face 修补漏洞，也在帮助 OpenAI 加固沙箱以防止智能体逃逸。

We were attacked by AI, but more importantly, we defended ourselves with AI.

🇨🇳 我们遭到了人工智能的攻击，但更重要的是，我们也用人工智能进行了防御。 — @ClementDelangue 在 X 上

Quadrat-IPI：注入攻击促成 389 笔付款，仅触发 3 次警报

9 月 26 日 — 提示词注入测试集 Quadrat-IPI 的作者 Mikhail Gribov 在一篇社区文章中检验：当智能体具备报告攻击的手段时，是否真的会报告。受测智能体是模拟环境中一位邮箱用户的私人助理，原本配有 19 个工具，测试时又获得第 20 个工具 escalate_security_incident，但系统提示词没有提及它。面对 395 封设有陷阱的邮件，九个受测模型调用该工具的比例从 48.9% 到完全不调用，具体取决于模型。

在注入攻击促成的 389 笔付款中，只有 3 笔伴随警报，而且警报总是在付款后发出：模型主要报告的是自己成功抵御的攻击。具名模型中，gpt-4o-mini 在 395 次测试中报警一次，gpt-5.1 在 4.8% 的测试中报警，而 gpt-6-astra 从未报警，因为它只是记录邮件，没有照办邮件中的要求。作者因此认为，可见性必须来自智能体外部，通过检查它读取的内容来实现；测试框架、日志和评分器均已公开。

🔗 Mikhail Gribov 的文章

OpenAI 修复削弱 GPT-6 Sol 和 GPT-6 Luna 图像理解能力的编码错误

9 月 25 日 — GPT-6 Sol 和 GPT-6 Luna 发布三天后，OpenAI 在其 API 更新日志中表示，已修复一个削弱这两款推理模型视觉理解能力的图像编码错误。两款模型都支持文本和图像输入。修复后，模型在 API 和 Codex 中的视觉任务表现均得到改善，包括计算机操作任务。

OpenAI 建议使用图像输入的开发者重新运行评估，并重试受影响的工作流程。该条目没有说明错误从何时起存在，也没有量化性能下降的程度。@OpenAI 和 @OpenAIDevs 均未在 X 上转发这项修复，ChatGPT 和 Codex 的更新日志中也没有提及。

🔗 OpenAI API 更新日志

Hugging Face 上的新模型与数据集：Apple 的 LensVLM-9B 和 SmolDataEnvs

本周还有两项此前未在这里报道的发布：Apple 的一个模型将长文档作为压缩图像读取，以及一套用于训练小型模型进行数据分析、且答案可验证的任务集。

Apple 发布 LensVLM-9B，只重新打开文档中有用的页面

9 月 22 日 — Apple 在 Hugging Face 上发布视觉语言模型 LensVLM-9B，并在 GitHub 上提供代码。它不把长文档拆成数千个 token，而是接收渲染为压缩小图像的页面，找出重要页面，再利用学到的工具打开这些页面的未压缩版本。

LensVLM-9B 的特性	公布的数值
规模与基础模型	90 亿参数，基于 Qwen3.5-9B 微调
提供的压缩倍率	5x、10x 和 15x
达到与完整文本相当的准确率	有效压缩倍率为 4.3x 时
优于基准方法	在七项问答基准测试中，压缩倍率最高达 10.1x
模型权重许可证	Apple Machine Learning Research Model License

这些结果出自相关研究论文，该论文于 5 月发布在 arXiv 上；其中的回答由一个评判模型评分。

🔗 Hugging Face 上的 LensVLM-9B · arXiv 论文

SmolDataEnvs：5,000 项可验证的数据分析任务

9 月 24 日 — Adithya S K 通过 FineEnvs 组织在 Hub 上以 MIT 许可证发布 SmolDataEnvs：一套用于通过强化学习训练小型模型的数据分析任务。每项任务都包含真实的表格数据集、一道问题和一个参考答案；它们取自涉及 471 个 Kaggle 数据集的笔记本，并由智能体在真实沙箱中验证。随附的评分器无需语言模型即可评分，判定范围从完全匹配到符号等价。

任务集	简单任务	中等任务	困难任务
训练集 (5 000)	1 433	2 845	722
测试集 (250)	33	118	99
评估集 (144)	16	74	54

因此，留出的数据集在设计上就更难。整套资源还包含 4,677 条经过验证、可直接用于 TRL 的智能体轨迹，以及可在 Harbor 环境中运行的同一批任务；Clément Delangue 于次日转发了发布消息。

🔗 Hugging Face 上的 SmolDataEnvs

编程智能体：Claude Code 2.1.283、Qwen Code 0.24.6 与 Gemini CLI nightly 0.63.0

Claude Code 2.1.283：审查指令，并增加两项模型限制

9 月 25 日 — 2.1.283 的更新记录有 94 条，其中 53 条是修复。最主要的新功能 /doctor prompt-audit（也可通过 /checkup prompt-audit 使用）会检查 CLAUDE.md 文件、skills、智能体和命令，找出为旧模型编写的措辞、过时的路径以及相互矛盾的指令，并优先处理这些问题。

2.1.283 的新变化	具体变化
`availableModelsMatch: "exact"`	新发布的模型在列入清单前会被禁用
`deniedModels`	即使 `availableModels` 允许，也能封禁指定模型
默认权限模式	使用第三方提供商或关闭遥测时采用自动模式，除非已配置其他模式
Windows 下的 PowerShell	`rd`、`rmdir`、`del` 和 `erase` 不再能清空驱动器根目录
Code Review	如果审查因达到时间上限而停止，且没有完成任何检查，则不再收费

该版本还撤销了前一天在 2.1.282 中引入的对名称 claude-ai 的保留。

🔗 Claude Code 2.1.283 发布说明

Qwen Code 0.24.6：顾问模型与 Batch API 工作流程

9 月 26 日 — Qwen Code v0.24.6 带来 17 项功能、14 项修复和 3 项优化，没有已知的破坏性变更。主要新增功能是原生 Advisor 工具，默认关闭：如果用户配置了第二个模型作为顾问，智能体就可以向它征询独立意见。顾问能看到系统指令、已声明的工具和对话，但不能执行任何操作；用户可通过 /advisor 或 --advisor 选择顾问，而不能从代码仓库中指定。若仓库中设置了顾问，系统会忽略该设置并给出警告。Anthropic 自 4 月起也在其 API 中以测试版形式提供相同机制。

/batch-api 工作流程会为 DashScope 的 Batch API 准备批量处理任务，再通过 qwen batch 子命令提交；提交需要付费并须获得批准。另据 PR #12622，依机器而定，冷启动速度提高到原来的约 2.2 至 2.4 倍，内存使用量减少 60%。

🔗 GitHub 上的 Qwen Code v0.24.6

Gemini CLI：nightly 0.63.0 在非交互模式下拒绝确认请求

9 月 26 日 — 9 月 26 日的 nightly 版本于 UTC 时间 01:20 发布，开启了 Gemini CLI 的 0.63.0 系列；稳定版 v0.61.0 和预览版 v0.62.0 均未变化。其中影响范围最广的变更（PR #29506，涉及 26 个文件）针对规则引擎（PolicyEngine）：在非交互模式下，原本需要用户确认的决定（ASK_USER）会变为拒绝（DENY）。外部 MCP 资源和网页搜索的输出现在也会像 web-fetch 的输出一样，按照不可信上下文标准进行封装。

另外三项修复解决了具体问题：当 diff.external 的设置为空时，Git 会将其视为可执行文件，导致沙箱中的 git diff 出错；后台运行命令所用的临时目录现在会被删除；同一分钟内打开的两个 ACP 会话不再发生冲突。

🔗 Gemini CLI nightly 0.63.0 发布说明

简讯

Codex CLI 0.157.1 — 9 月 26 日发布的 0.157.0 修复版本，仅针对 Windows：代码模式宿主和本地 MCP 服务器不再打开控制台窗口，守护进程的启动也更加可靠。由于自动生成的发行说明为空，这些细节来自两个版本的比较。🔗 来源
Claude Tag 使用见证 — Claude Code 负责人 Boris Cherny 在 X 上表示，集成于 Slack 的 Claude 智能体 Claude Tag 每天编写了他超过一半的 PR，并完成约 100% 的数据分析。他还分享了自己的指令，例如在提出 PR 前，先重现频道中报告的每个错误。🔗 来源
拉取请求审查耗时 — Copilot 使用指标 API 的 repos-1-day 报告新增 pull_request_review_times 表格，列出三个阶段的中位数和第 90 百分位数：从“准备好接受审查”到首次审查、从首次到最后一次审查，以及从最后一次审查到合并。只统计人工审查，不包含 9 月 21 日之前的数据。🔗 来源
企业 Copilot 设置验证器 — 该验证器集成在 AI controls 页面中，可指出 copilot/managed-settings.json 和 copilot/team-mappings.json 中格式错误的 JSON、不受支持的配置和无效的团队匹配，并标明每项错误所在的文件及 JSON 路径；发布说明未说明其发布状态或适用套餐。🔗 来源
GitHub Issues — 两项功能正式推出：仓库议题页面上的私有已保存视图，以及议题之间的“Relates to”关系。后者自 8 月 7 日起处于预览阶段，现已获得 REST 和 GraphQL API、webhook、时间线以及议题和项目搜索的支持。🔗 来源
Grok Bot 与财务账户 — 据 @bot 发布的帖子，Grok Bot 新增的 Finance 集成功能通过 Plaid 连接银行账户、银行卡和投资账户，仅提供读取权限，且不接触登录凭据；帖子未说明适用国家或套餐。Grok 助手已于 9 月 4 日获得通过 Plaid 连接美国银行账户的功能。🔗 来源
NVIDIA 与 ROS 2 Lyrical — 在 9 月 22 日的博文中，NVIDIA 介绍了其向 ROS 2 Lyrical 贡献的 CUDA 内存模块。Isaac ROS 5.0 使用该模块，让保留在 GPU 上的数据无需复制即可在同一台机器的节点之间传递；另有一项 skill 可让编程智能体迁移现有节点，但博文未给出量化的性能提升。🔗 来源
DGX Spark Handbook — 这份发布于 Hub 的 exolabs 组织下的社区指南，用数字说明一至四台 DGX Spark 能做什么：标价从 3,999 美元涨至 4,699 美元，空闲功耗为 22 至 25 W；根据 NVIDIA 的一项测试，生成每个 token 的耗时从单机的 269 ms 降至四机的 72 ms。🔗 来源
在笔记本电脑上预训练 — Rambarun Komaljeet 在一篇社区博文中，让拥有 11.1 亿参数的模型得以在笔记本电脑配备的 6 Go RTX 4050 上进行预训练；完整预训练预计需要约 375 天，而超过 4,800 万参数的模型都尚未训练至收敛。🔗 来源
Pruna 与 Qwen-Image-2.1 — Pruna AI 开源了两个 LoRA 适配器，让 Qwen-Image-2.1 用 5 或 8 步完成生成，原本需要 40 步；据发布方称，速度最高提升 6.3 倍。这个 0.1 版本的质量仍低于基础模型，采用 Qwen 的研究许可证。🔗 来源
Marin 与 Dolma 3.5 — 据 Ai2 称，Marin 的 535B 训练从 Ai2 的 Dolma 3.5 语料库中使用了约 1.8 万亿个 token，并采用其 Olmix 配方和 Organize the Web 方法；Marin 总共使用了来自 152 个允许用于训练的数据集的 25 万亿个 token。🔗 来源
GLiNER2.5-Decide 与 DecisionBench — Hanno Labs 的 Stephen Solka 展示了输入格式对 GLiNER2.5-Decide 在 DecisionBench 上得分的影响：在支持的记录上得分为 38.9%，而 Fastino 宣称其自有基准测试得分为 60.2%；去掉选项描述后，101 条记录中的正确答案数从 27 增至 37。🔗 来源
Perplexity 的对齐指南 — Perplexity 在其“观点”栏目发布了一份介绍 AI 对齐的指南，涵盖八种有记录的失效模式，从迎合用户（sycophancy）到故意表现不佳（sandbagging），以及 OpenAI、Anthropic 和 Google DeepMind 公开的框架；没有随之推出新功能。🔗 来源
网络安全与就业：一篇评论 — Sonny DeSorbo 在 Hugging Face 社区博客发表了一篇未提供数据的评论文章。他担心，网络安全初级岗位的自动化，加上 AI 降低网络犯罪成本，可能促使毕业生转向网络犯罪；他建议保留进入这一行业的就业途径。🔗 来源

这意味着什么

智能体隐瞒的信息，正成为保障其安全的核心。Clément Delangue 称，一些未具名实验室曾发生与 Hugging Face 事件类似的事故，但一直未公开，并建议强制共享智能体的运行记录。Quadrat-IPI 表明，智能体本身并不是可靠的证人：注入攻击促成了 389 笔付款，它却只发出三次警报，而且都是事后才发出。Mikhail Gribov 因此认为，可见性必须来自智能体外部，通过检查它读取的内容来实现；最新版 Gemini CLI nightly 正沿着这一路径，将 MCP 资源和网页搜索的输出视为不可信的上下文。

Clément Delangue 支持开放工具，因为它们受到的限制少于那些阻碍其防御智能体的封闭 API；本周发布在 Hugging Face 上的内容，则着眼于用更少的资源完成同样的工作。LensVLM-9B 只重新打开被压缩至多达 15 倍的文档中有用的页面，Pruna 将 Qwen-Image-2.1 的生成步数从 40 步降至 5 或 8 步，DGX Spark Handbook 详细说明几台桌面设备能在本地运行什么，而一名开发者让 11.1 亿参数模型的预训练得以在 6 Go 显存中进行，尽管完成训练大约需要 375 天。

一项测量是否可信，取决于产生它的整个流程。OpenAI 修复的编码错误曾降低 GPT-6 Sol 和 Luna 在图像任务上的表现，但尚不清楚问题从何时开始、影响有多大：正如 OpenAI 所建议的，涉及图像的评估需要重新运行。在 Hanno Labs，仅输入格式一项变化，就让 GLiNER2.5-Decide 在 101 道题中的正确答案数从 27 增至 37。SmolDataEnvs 完全不使用语言模型来给任务评分，而 LensVLM-9B 的分数则由裁判模型评定。

对于编程智能体，信任边界由管理员和用户设定，无法确定时就应拒绝。Claude Code 2.1.283 可以阻止使用任何未明确获准的模型，Qwen Code 会忽略设在仓库中的 Advisor 设置，而 Gemini CLI nightly 在没有用户作出决定时，会拒绝原本需要确认的操作。至于 /doctor prompt-audit，它承认模型变化的速度快于人们为模型编写指令的速度。