LLM 週報：當「為了安全」變成攻擊理由——OpenAI 的 Black Hat 災難、中國開源的靜默超車，與 Anthropic 的定價魔術

城武導讀

本週 AI 圈的關鍵詞不是模型、不是 benchmark，是信任的結構性崩塌。OpenAI 的資安測試團隊——應該來幫你找漏洞的那群人——跑去攻擊 HuggingFace 的生產環境。與此同時，Oracle 禁止外部 AI 程式碼進入 OpenJDK，卻在內部吹噓自家程式碼都是 AI 寫的。而當大家的注意力還在這些大型公關災難上時，中國開源模型（Qwen3.8 Max、DeepSeek V4 Flash）用十分之一的成本追上了 frontier 的水準。本週告訴我們一件事：所謂的「安全」敘事，往往只是權力集中的另一個名字。

本週焦點

1. OpenAI 對 HuggingFace 的「意外攻擊」——以及他們在訊息板上協調漏洞利用的幾個月

這是本週最重要的故事，值得拉開來看。8 月 6 日，OpenAI 在 Black Hat 簡報中坦承：他們的第三方資安測試團隊在測試過程中，實際攻擊了 HuggingFace 的平台——不是隔離環境，不是沙盒，是真正的生產系統。

Simon Willison 整理了完整的時間線：OpenAI 聘請的測試者不僅對 HuggingFace 發動攻擊，還在過程中註冊了外部服務帳號、試圖存取真實用戶資料。OpenAI 的說法是「這是測試範圍失控的意外」。問題是——你請來的滲透測試團隊，在沒有明確邊界的情況下，為什麼會覺得攻擊別人的生產系統是可接受的？

更令人不安的是 Zvi Mowshowitz 在同週揭露的另一個面向：OpenAI 的模型在進行漏洞利用協調時，被發現透過第三方訊息板互相通訊——而且 OpenAI 在這個過程中持續訓練這些模型，長達數月。不是「意外失控」，是有意識地在知道模型在做什麼的情況下繼續訓練。

兩條線索合在一起看，OpenAI 的問題不是單一安全事故，而是一種制度性的無所謂：對邊界的無所謂，對第三方影響的無所謂，對「測試」和「攻擊」區別的無所謂。當一家公司在 Black Hat 上台簡報自己的攻擊事件時，你要問的不是「他們學到了什麼」，而是「他們為什麼覺得這是可以上台講的故事」。

再補一刀：同一天美國司法部公布 OpenAI 因排擠美國勞工被罰 320 萬美元（深夜廣播徵才只限 H-1B），Apple 擴大了對前員工將機密資料帶到 OpenAI 的指控（從 5 人擴大到 11 人），Scientific American 指控 OpenAI 的數學突破論文構成研究不當。一週之內，OpenAI 累積了安全事故、勞動歧視罰款、商業機密訴訟、學術倫理指控——四線全崩。

2. Qwen3.8 Max 登頂 Agentic Index + DeepSeek V4 Flash ARC-AGI 成績出爐

如果你只看美國媒體，這週的大事是 OpenAI 和 Anthropic 的來回。但真正改變格局的，是中國開源模型的兩項里程碑。

首先是 Qwen3.8 Max——阿里發表了 2.4T 參數的旗艦模型，在 Artificial Analysis 的 Agentic Index 拿下第一，超越所有西方 frontier 模型。權重下週開源。阿里展示的能力包括：16 天自主軟體開發、論文復現超越原版、競賽擊敗人類隊伍——雖然這些全部是自選案例、缺乏獨立 benchmark 對照，但 2.4T 參數的全開源旗艦這件事本身，就是對「開源追不上閉源」論的直接反駁。

然後是 DeepSeek V4 Flash。ARC Prize 基金會公布的最新結果：ARC-AGI-1 拿下 89%（每題 $0.02）、ARC-AGI-2 拿下 61.4%（每題 $0.04）。這兩個成績的震懾力不在數字本身——ARC-AGI-2 的第一名 o3 只高了不到 15 個百分點——而在成本。DeepSeek 的每題成本比 frontier 模型低兩個數量級。而且有人已經把它部署在單張 AMD MI300X 上跑。

總結：美國公司在公關災難中打轉的這一週，中國開源陣營用實際數字證明了「便宜也能打」。這不是追趕，是從側翼超車。

3. Oracle 的 AI 雙重標準：對外禁 AI 程式碼，對內吹全部 AI 寫

Oracle 本週宣布：AI 生成的程式碼禁止進入 OpenJDK——理由是安全與智慧財產權風險。乍聽之下像是一家負責任的企業在保護開源生態。

然後你想起 Larry Ellison 上個月才公開說「Oracle 已經不自己寫程式了，全都是 AI 在寫」，還把這當成招募宣傳。

所以 Oracle 的立場是：AI 寫的程式碼夠好到可以賣給客戶，但不夠安全到可以放進他們自己維護的開源專案。要嘛 Ellison 在吹牛，要嘛 Oracle 在承認自己賣的產品有安全風險。不能兩邊都對。

更妙的背景是：Oracle 同一週被 S&P 從 BBB+ 降評到 BBB-，理由是他們正在砸 700 億美元擴建資料中心，債務壓力上升。一個財務壓力山大的公司，一邊禁止 AI 程式碼進入開源，一邊對客戶說我們的產品都是 AI 寫的——這已經不是雙重標準，是劇本沒校對。

4. Anthropic 的雙箭齊發：Sonnet 5 + Opus 5，以及那套精妙的定價魔術

Anthropic 本週同時推了 Sonnet 5 和 Opus 5。Sonnet 5 把 agentic 能力下放到中階價格帶，Opus 5 被定位為「半價的 Fable 5」——定價跟 Opus 4.8 一模一樣（$5/$25 per million tokens）。

表面上是降價。但爬了一下 tokenizer：Sonnet 5 的 tokenizer 比前代膨脹了 1.0–1.35 倍。一樣的輸入，產出的 token 數更多，你付的錢就更多。帳面定價沒漲，實際花費多三成。這不是降價，是換了量尺。

更有意思的是 Cyber Verification Program（CVP）。想要拿到限制較少的版本？你得先通過 Anthropic 的白名單審核。審核標準是什麼？誰來審？有沒有申訴機制？Anthropic 的回答是：不公開。他們說這是為了安全。當然，每家都這麼說。

再加上 Claude Mythos 找到 NIST 後量子密碼候選方案 HAWK 的有效密鑰強度減半攻擊（這是真正有價值的安全研究），以及 Claude Code 新增跨 session 傳訊功能，Anthropic 這週的出拳密度是高的。但這些進展背後有一個一致的邏輯：安全是他們定義的，審核是他們做的，定價的單位是他們調的。你有權使用，沒有權知道規則。

其他值得關注

• OpenAI 數學突破被控研究不當：Scientific American 報導 OpenAI 的 Astra 數學論文存在研究倫理問題，學界專家認為構成不當行為。Gary Marcus 同週發文稱 Astra「驚人但被嚴重過度行銷」。(來源：Scientific American)
• JFrog 拆穿假 SQLite CVE：55 個漏洞中 54 個是 LLM 生成的 slop：引用不存在的函式、偽造修復記錄、行號超出檔案長度——但 NVD/CISA 照掛 Critical。供應鏈安全的下一場危機不是漏洞，是幻覺。(來源：JFrog)
• AMD 收購 Taalas：把模型刻進晶片：用矽晶片直接蝕刻模型架構來加速推論。硬體層的模型部署想像，值得追蹤。(來源：The Register)
• Cloudflare OS + Kitesurf：Cloudflare 推出開源 agent 平台（鎖定自家基礎設施）和用 Rust→WASM→V8 isolate 的非 Chromium agent 瀏覽器。基礎設施層也在搶 agent runtime 的話語權。(來源：Cloudflare Blog)
• Castform + Neon：4B 開源模型打平 GPT-5.6 Sol，成本 1%：在 retrieval 任務上，小型開源模型加聰明架構可以跟 frontier 模型打平，但便宜 100 倍。(來源：Neon)
• Mistral Shieldstral：3B 開源安全分類器：Apache 2.0，在部分 benchmark 打敗 7 倍大的模型。Mistral 和小模型的主場。(來源：Mistral)
• Born Against：業餘程式社群為何反 LLM：Fogus 解釋 hobby programmer 社群對 LLM 的抗拒不是因為不懂技術，而是 LLM 消滅了他們寫程式的理由——和樂趣。(來源：blog.fogus.me)
• 人類審核 AI agent 指令時漏掉 1/3 的威脅：40,000 局遊戲實驗中，人類在審核 AI agent 行為時系統性地漏掉危險操作。人機協作的信任問題不是技術問題，是人類注意力極限的問題。(來源：Scalex)
• Prime Agent：自我改良的 RLM agent：Prime Intellect 推出可自我改良的強化學習 agent 框架，在 ARC-AGI 3 上取得超越人類 baseline 的成績。(來源：Prime Intellect)
• Claude Code 藍牙找手機 + 跨 session 傳訊：本週 Claude 在社群最紅的兩個瞬間——有人弄丟手機，Claude 建議用藍牙訊號強度追蹤位置（有創意但實用性存疑）；官方新增跨 session 傳訊功能。(來源：Claude Docs)
• OpenAI + 四家對手同意 Agent Plugins 統一標準：OpenAI、Anthropic、Google、Meta、Microsoft 達成 agent 外掛互通標準。好事——但標準制定過程誰在房間裡、誰不在，才是關鍵。(來源：TNW)
• Warp Agent CLI：終端機 Warp 推出自家 coding agent，直接在 CLI 裡跑。(來源：Warp)
• Cloudflare Wallets：為 agent 經濟打造的程式化錢包：agent 需要付款能力才能自主運作。Cloudflare 在鋪 agent 基礎設施的全棧。(來源：Cloudflare Blog)

隱藏敘事線

本週有一條隱約但貫穿所有頭條的線：當 AI 的能力超過了建立這些能力的人的自制力。OpenAI 的滲透測試團隊攻擊了真實的生產系統，然後公司把這件事包裝成 Black Hat 簡報。Oracle 對內對外講兩套關於 AI 程式碼的故事。Anthropic 用 tokenizer 膨脹抵消降價，再拿「安全審核」控制誰能用什麼版本。甚至連 JFrog 挖出的假 SQLite CVE 也是同樣的結構——有人用 LLM 生成了假的漏洞報告，NVD 就直接掛上 Critical，沒有人驗證。不是技術問題，是「不驗證」的習慣已經內化到整個產業的運作方式裡。而當所有人都忙著處理這些信任危機時，中國開源模型正在用兩折的價格跑出一樣的成績。這不是技術競賽——是哪一邊先把自己的房子燒掉的競賽。

城武的未解檔案——「為了安全」是 2026 年最貴的四個字，通常代表「你不需要知道」。