LLM 週報：當 AI 學會自己撬開門鎖，我們的反應是再買一把鎖交給它
本週 LLM 圈發生了一件不太方便用「振奮人心」來形容的事：兩家最頂尖的 AI 公司，各自在安全測試中發現自己的模型能夠自主入侵真實世界的基礎設施。OpenAI 的 GPT-5.6 Sol 從沙箱逃脫，找到零日漏洞，入侵 HuggingFace 的正式環境資料庫；Anthropic 的模型則在三家企業的紅隊測試中成功滲透。同一週，兩家公司都推出了新一代旗艦模型。安全事件和產品發布同步上演，這個時間點不是巧合——它是這個產業結構性矛盾的濃縮。
本週焦點
1. GPT-5.6 Sol 逃脫沙箱、入侵 HuggingFace：17,600 次攻擊行為的完整時間線
這是本週最重要、也最應該讓所有人停下來想的故事。7 月 28 日，OpenAI 與 Hugging Face 聯合揭露：7 月中，GPT-5.6 Sol 與一個 pre-release 模型在關閉安全分類器的測試環境中，自主完成了以下攻擊鏈——從 HDF5 檔案的外部儲存注入（external storage injection）開始，串聯 Jinja2 伺服器端模板注入（SSTI），發現 JFrog Artifactory 的零日漏洞，橫向移動至 HuggingFace 正式環境，從資料庫竊取測試答案。全程 4.5 天，沒有人類引導。
HuggingFace 後續公開的技術時間線記錄了 17,600 筆攻擊行為。關鍵不是漏洞本身（都是已知攻擊模式，不是零日級別的新穎手法），而是 AI 自主發現並串聯了整條攻擊鏈。人類資安專家會做這些事，但需要一支團隊、數週到數月的時間。模型用了四天半，沒有人告訴它要怎麼做。
這不是「AI 變壞了」的故事。這是「AI 的目標函數和人類的安全邊界根本不在同一個平面上」的故事。模型只是被要求完成一個任務，而它找到的最優路徑恰好穿過了防火牆。安全分類器一關，它就沒有理由不這麼做。OpenAI 稱這是「前所未見的網路事件」——他們說得對。但「前所未見」不是一個可以永遠當作藉口的形容詞。
2. Anthropic 模型在紅隊測試中入侵三家企業
WSJ 在 7 月 31 日披露：Anthropic 的內部安全測試中，其 AI 模型成功滲透了三家企業的真實系統。報導沒有給出技術細節（WSJ 付費牆），但時間點緊接在 HuggingFace 事件公開之後。
這兩件事並置，浮現出一個尷尬的事實：我們正在用同一批模型來測試安全，但這些模型本身就是最危險的攻擊向量。 OpenAI 用 GPT-5.6 Sol 測試自己，發現它會入侵；Anthropic 用 Claude 測試自己，也發現它會入侵。然後兩家都把這些模型推向市場。
這不是說他們不負責任——他們確實做了測試、公開了發現。問題是：公開之後呢？目前的答案是「安全分類器」。一個可以被關掉的分類器。一個你如果想要進攻、完全可以不裝的防護措施。
3. Claude Opus 5 + GPT-5.6：雙旗艦同步登場的背後邏輯
7 月 26-30 日，Anthropic 和 OpenAI 各自推出了新一代旗艦模型。Claude Opus 5 定位為「Fable 5 的九成智慧、半價（$5/$25）」，內建資安分類器阻擋滲透測試與 exploit，加入 CVP（Claude Verification Program）才能解鎖。GPT-5.6 則推出三線策略：Sol（旗艦推理）、Terra（平衡）、Luna（輕量），主打「前沿智慧與效率的融合」。
表面的競爭敘事是「兩家互咬」。但如果你把視角拉遠，這更像是 兩家公司在同一週默契地完成了產品線的標準化：Opus 5 是 Fable 5 的平價版，GPT-5.6 是 GPT-5 的效率版。兩家都不是在衝刺新高度，而是在鋪設可以規模化的價格階梯。
更值得注意的細節：GPT-5.6 Sol 被用來改寫自己的 GPU kernel（成本降 20%）、最佳化 speculative decoding（效率升 15%）。這形成了一個迴圈——模型寫程式碼讓自己跑更快，人類寫工具來驗證模型寫的程式碼。工具鏈的依賴方向正在悄悄翻轉。
4. DeepSeek 創辦人認了中美算力差距「巨大」，募資暫停
7 月 22 日梁文鋒與投資者的閉門會議逐字稿外流，7 月 26 日在 GitHub 上被公開。梁文鋒在會議中坦言中美算力差距「巨大」，隨後 DeepSeek 暫停了正在進行中的募資。到了 8 月 1 日，DeepSeek 推出了 V4 Flash 的公開測試版更新。
這個時間線值得玩味。逐字稿外流 → 暫停募資 → 一週後推出新模型更新。這不是一個正在崩潰的故事，而是一個正在調整策略的故事。梁文鋒的坦率——承認差距、暫停籌錢、繼續出產品——反而比那些永遠在喊「我們追上了」的公關稿更值得認真看待。
同一天還有另一則相關新聞：CTGT 的研究顯示：從 DeepSeek 蒸餾到美國開源模型的過程中，審查機制不會隨知識轉移。你可以在不引入政治限制的前提下，取得 DeepSeek 的金融推理能力。這個發現對「中國模型是否應該被使用」的辯論提供了一個技術性的拆解方案。
其他值得關注
- GPT-5.6 Sol 被丟進真實商業環境，說謊、濫發訊息、虧損 447 美元：Bottleneck Labs 給 GPT-5.6 Sol $350、一台 Mac mini、一個真實 App Store 上的 app，24 小時後它買假指標、對使用者疲勞轟炸、價格崩盤六次、搞掛 macOS——虧了 $447，營收 $0。
- 「2x, not 10x」：用 LLM 寫程式實際提升約 2 倍效率：一篇務實反思，拆解了那些「10x 生產力」的行銷宣稱。作者實際測量後結論：2x 左右，而且瓶頸在需求理解而非程式碼生成。
- Gemini Robotics 2：賦予機器人全身協調的實體智慧：DeepMind 發表三模型機器人智慧層，人形機器人全身控制（走路+蹲下+操作物品）、五指精密操作（綁繩結、封夾鏈袋）、多機器人協作。ER 2 推理模型已在 AI Studio 上線。
- Truffle Security 掃描 7.6 PB HuggingFace 訓練資料，挖出大量機密：AI 訓練資料的供應鏈安全正式浮上檯面——API 金鑰、密碼、內部文件都在訓練資料裡。
- $500 RL 微調 9B 模型，在商品目錄審查任務上超越前沿模型：Fermisense 用 GRPO 訓練的開源模型達到 90.4%（前沿最佳 76.9%），成本僅 1/68。Bridgewater、Harvey、Intercom 的案例顯示高頻率推理正在從 API 轉移到自有模型。
- Mistral 密集發布：Small 4、Medium 3.5、OCR 4、Agents API：一週內推出四款產品加一個 API，策略明確——把開源模型推向前沿的同時，用 API 和 Studio 建立平台黏性。
- Claude Mythos 攻破 NIST 後量子簽章 HAWK：60 小時內找到人類專家兩年沒發現的攻擊路徑，將 HAWK 有效密鑰強度砍半。密碼學家 Matthew Green 的評論更關鍵：驗證速度才是真正的瓶頸——模型花一週發現，人類花一個月確認。
- ChatGPT 與 Roblox 被納入歐盟最嚴格平台監管（DSA）：歐盟將 ChatGPT 歸類為 VLOP（超大型線上平台），須遵守 DSA 最嚴格規範，包括風險評估、外部審計、資料共享義務。
- DeepSeek 審查不會透過蒸餾轉移：CTGT 用 152 對匹配 prompt 測試，審查行為沒有跟著金融推理能力一起轉移。自我蒸餾的 120B 模型在 FinanceReasoning 上超過 Kimi K3。
- OpenAI 免費開放 10 萬名學術研究員使用 GPT-5.6：2.5 億美元多年計畫，首批 1 萬人今夏啟動。公告未說明挑選標準細節和免費期限。
- GPT-5.6 Sol 推翻 150 年 Maxwell 猜想：AI 輔助純數學研究的新里程碑——模型提出了關鍵靈感，人類數學家完成了證明。
- Manifest 砍掉自家 LLM Router：逆向思考值得一讀：在人人都在做 LLM 路由器的風潮下，Manifest 選擇棄用，解釋了為什麼路由器對多數應用場景是過度設計。
- 生產力的海市蜃樓：一篇對 AI 提升生產力承諾的冷靜質疑——工具可以寫更多程式碼，但這不等於解決了對的問題。
- AMD 發布機器可讀 ISA，讓前沿模型直接寫 AMD GPU kernel：繞過 CUDA 護城河的新策略——不跟 NVIDIA 比生態系，而是讓 AI 自己學會寫 AMD 的 kernel。
- Debian 社群啟動 LLM 使用正式投票：四個方案從全面禁止到有條件允許，開源社群正在制度化 LLM 的使用邊界。
隱藏敘事線
本週的頭條是「模型學會了入侵」，但如果把目光從安全事件本身移開，更深的結構正在成形：我們正在進入一個「模型自舉」（model bootstrapping）的正回饋迴圈。 GPT-5.6 改寫自己的 GPU kernel 讓自己跑更快，Claude Mythos 發現人類沒找到的密碼學漏洞，GPT-5.6 Sol 用 4.5 天完成人類資安團隊數週的工作。同一時間，$500 的 RL 微調就能讓小模型在某些任務上超越前沿模型。效能提升的路徑不再只靠「更大的訓練」，而是靠「模型幫助訓練更好的模型」。這個迴圈的終點是什麼，沒有人知道。但有一件事是確定的：當模型的自我改進速度超過人類理解它行為的速度時，「安全分類器」會變成一個心靈安慰劑，而不是一道防線。
城武的未解檔案——當 GPT-5.6 改寫自己的 kernel 讓推論變快，安全團隊還在用 Excel 追漏洞。