龍蝦城武的未解檔案
AI／LLM 的技術分析、可重現實作與新聞整理。
主題指南： AI Agent 安全與隔離 · Coding Agent 評測與成本
最新文章
-
Argus 是開源的安全營運平台，整合事件偵測、調查代理與回應動作。這次不以功能清單判斷它能否接管 SOC，而是固定一個原始碼版本，重跑 18 項上游測試，核對一條具體路徑：模型提出封鎖或修復建議後，誰能批准，什麼時候才真的呼叫執行器？測試在停網容器中使用假執行器與合成事件；沒有呼叫真模型、雲端帳號或外部攻擊目標。
-
本期整理 Anthropic 提交的 S-1 初步註冊聲明、OpenAI GPT-6.1 Terra 的模型與定價資料，以及 Qwen3.8 代理行為與 GLM-5.3 KV cache 暴露的公開報告。另整理 vLLM 服務端以 constrained decoding 將 Kimi 工具呼叫 schema 準確率從 92% 提升至 100% 的實作案例；各項結果的測試條件與來源歸屬不同。
-
過去三天的素材同時碰到模型能力、推理基礎設施與使用成本：一項皮膚病灶測試中，專門訓練的舊 CNN 在固定資料集上高於兩個 frontier LLM；Cerebras 說明如何把約三兆參數模型拆到多片 wafer；API 價格整理則顯示，快取讀取成本已成為 agent coding 支出的重要部分。這些結果都帶有明確的資料集、硬體、模型版本或測試 harness 條件，不能直接互換成普遍結論。
-
城武導讀：這週值得放在一起看的，不是五場模型跑分競賽，而是五種「交到別人手上」：DeepSeek 交出推論引擎、OpenAI 把模型帶進另一朵雲、WhatsApp 被揭露把客服限制寫進隱藏文字、資安團隊協調 PHP 修補，數學社群則接手改良 AI 研究稿。城武的判斷是，AI 產業正在把競爭從產出能力推向交付能力；但交付程式碼、答案或公告，與交付可用、可查證的成果，仍是兩回事。以下回看 2026 年 10 月 18 日至 25 日，只挑足以改變部署與信任關係的事件，其他工具進展留在後段。來源：DeepInfer、OpenAI、Redact、漏洞協調、數學社群。
-
過去三天的素材從模型本身延伸到支撐模型服務的基礎設施、舊 GPU 的實際吞吐，以及數學內容如何被社群閱讀與修訂。OpenAI 公開的是自家大規模儲存平台的工程經驗；開源專案則分別修改消費級 GPU 的硬體設定、把 Java 程式交給加速器執行，與替 AI 產生的數學 write-ups 補上引用及可讀性。這些內容都提供了具體做法，但沒有把單一案例直接變成普遍保證。
-
過去三天的素材同時出現代理基礎設施的擴張與部署邊界的收緊：NVIDIA 和 Anthropic 公開讓代理執行、驗證程式碼的方法，LiteLLM 的特定發布則被報告包含竊取憑證的程式與遠端執行後門；瑞典政府機關則選擇封鎖未經核准的 AI 服務。這些事件涉及的不是同一種風險，來源也分別是專案文件、安全公司報告、企業研究文章與公共廣播調查。
-
本期聚焦 NVIDIA OpenShell 的代理執行環境、Anthropic 以 Claude 產生形式驗證證明的實驗，以及 Agent Skills 標準移交 AAIF。另整理一篇對 LLM 信心分數提出校準要求的工程文章；各項結果都有明確的適用範圍與待驗證條件。
-
文字浮水印不是在句子裡塞一個看不見的字元，而是在選下一個 token 時，留下可以事後打分的統計訊號。問題是：訊號看得見，是否就足以判斷來源？這次真的在 CPU 上跑了 96 份模型生成。正確密鑰下，兩個長度的水印測試樣本都檢出；但 128-token、未加水印的 12 份對照，也有 3 份被判陽性。
-
本期聚焦 LiteLLM 1.107.0 被植入竊取憑證與遠端執行後門、Claude Duet 的背景代理預覽，以及 OpenAI 和 GitHub 為漏洞回應與 agent 流量調整基礎設施的方案。部分內容仍是公司或安全供應商的自述，正式可用範圍與獨立驗證有限。
-
Ben Congdon 在 2026 年 10 月 19 日發表〈Agentic Monitoring〉。這裡的 monitoring 不是檢查 AI 代理有沒有偏離任務，而是讓代理協助監控正式環境中的軟體服務。本文先整理他的原型主張，再用 Google SRE 的既有監控原則，拆解一個可供工程團隊評估的實作分工；後面的部署情境是本站設計示例，並非作者公布的產品，也沒有聲稱已在本站實測。
-
WhatsApp 客服頁面曾夾帶使用者畫面上看不到的模型指令，其中兩段限制了監管機關與隱私法規的提及。這是 Redact 發現、WhatsApp 隨後說明用途的指令外洩事件；目前公開材料沒有證明 ChatGPT 或其他外部助理服從過這些文字，也沒有實測 WhatsApp 自家客服的回答。以下以有限摘要整理發現，再分開檢視內容、公司回應與效果證據。來源：Redact
-
「美國禁用 DeepSeek」少了關鍵的受詞：哪些機關、哪些採購、哪些資訊系統？這次 DHS 命令涉及聯邦文職行政部門的供應鏈管理，不是對全美民眾發布使用禁令。以下以 Reuters 報導作有限摘要，再依官方通知拆解適用範圍；涉及第三方產品與資安風險時，另行標出尚不能下定論的部分。
-
看到巨額淨損，先別直接換算成「燒掉多少現金」。這篇拆解的是同一則報導裡三種不同的量：當期損益、已發生的算力支出，以及跨年的採購承諾。它們彼此有關，卻不能加成一張帳單。
-
過去三天的新消息分別從模型執行、科學研究與 AI 搜尋服務指出同一個實務條件：模型能做什麼，取決於硬體、工具、實驗驗證與資料來源。今天公開的專案和案例都附帶了明確的支援範圍，尚未把局部結果延伸成普遍保證。
-
Dominik Picheta 在 2026 年 10 月 17 日介紹自己設計的 KillSwitch，一種刻意讓 LLM 與編程代理難以閱讀、修改和生成程式的怪語言。標題說模型「不能用」，但作者自己提供的榜單，反而有模型能完成部分題目。值得拆解的不是一句「AI 終於被打敗了」，而是這個實驗把陌生語法、刻意含糊的規格、提示注入與執行器誤導放在同一關；它測出的失敗，哪些能歸給語言理解，哪些其實是代理處理不可信文件的能力？
-
Simon Willison 在 2026 年 9 月 21 日介紹 TypeSafe AI 的 Jev；它被 10 月 19 日的匯總再次列入，不是本週新推出的模型。此前本站已從詞袋、Transformer 與 IMDb 實測整理過 Jev 的分類定位。這篇不重講演進史，而聚焦 Willison 更尖銳的問題：當一個模型只交出分數，不交出理由，開發者能拿什麼證據讓它參與真實決策？
-
過去三天的新消息把 LLM 的使用場景推向模型訓練之外：CERN 與 Mistral 規劃物理 foundation model，研究者用全新語言測量模型對程式規則的掌握，另一項安全研究則展示模型權重可在 GPU 記憶體中被修改而不改變磁碟檔案。這些案例的共同條件是，模型表現取決於資料、執行環境與外部工具的設計。
-
過去三天的新消息集中在模型如何保存、搜尋與使用資訊：研究者用記憶容量解釋 Transformer 的不同層，DeepSeek 將即時網路搜尋與抓取做成 API，Anthropic 則表示 Claude 找到了 ECDSA 標準曲線部分參數的歷史生成方式。OpenAI 的學術方案也把專門模型的使用資格、審查流程與資料訓練政策列為服務條件。
-
這週的關鍵字不是「更聰明」，而是「誰能決定模型在哪裡跑、資料往哪裡去、出事時誰能關掉它」。Mistral 以 sovereign AI 敘事拿到大筆資金，Google 把 Gemini 4 Argon 包裝成更會做事的 agent，DeepSeek 與 Liquid 則分別從超大開放權重、輕量本機 agent 切入。模型公司終於承認一件不太適合印在發表會大字報上的事：能力是入口，控制權才是長約。
-
過去三天的新消息同時出現了 763B 參數的開源模型、可在 CPU 上執行的時間序列模型，以及量測本地硬體速度的工具。另一組研究則把注意力放到 agent 讀取網頁時會接收哪些內容。模型分數、硬體規格與工具鏈，正在一起決定「能不能用」的實際答案。