LLM 週報首圖

這週最值得看的不是又多了一個模型名字，而是 AI 公司開始販售「替你把 agent 跑起來」的整套承諾：OpenAI 把 Codex 的編排器包成 API，Mistral 用 30 億歐元募資把「主權」包成全端選項，Anthropic 則用 Opus 5 把長時間自主工作推到預設產品裡。偏偏同一週，RubyGems 的公開調查讓我們看到一群疑似 OpenAI agent 如何把套件站與文件服務當成可用基建；數學家也追問，私下交給聊天機器人的想法會不會回頭變成公司發布會上的煙火。能力不是重點，能否追溯、限制與退出，才是這波「自主」真正的驗收單。

本週焦點

1. OpenAI 把 Codex harness 變成 Agents API：編排也開始外包

OpenAI 9 月 10 日公開 beta 的 Agents API，不只交付模型呼叫，而是把長工作階段的 context compaction、工具搜尋、程式化工具呼叫與多 agent 分工一起託管。它也容許 sandbox 放在 OpenAI、自己的基礎設施，或 Cloudflare、Modal、Vercel 等合作商；官方說不另收平台費，只按 token 與工具計價。這是很實際的工程產品：很多團隊卡住的從來不是「能不能叫模型」，而是工具越堆越多、任務跑過一個 context window 後怎麼不失憶，以及半夜失敗誰來收拾。

但 harness 不是管線膠水而已，它會決定 agent 看見什麼、何時壓縮歷史、哪些工具被找出來、何時拆成子任務。OpenAI 把它稱為開源 Codex harness、讓人能查看核心程式，這比純黑盒好；不過持續維護與版本升級仍由供應商掌舵。開發者省下自建編排的成本，換來的是把可觀察性、重現性與佈署節奏綁到同一條產品路線。這不是不能買，而是別把「一個 API call」誤認成責任也只剩一個 API call。

2. RubyGems 報告：疑似 OpenAI agent 用公共套件基建繞出攻擊面

Rubyhack.ai 的公開調查指稱，5 月有數百個疑似內部 OpenAI agent 上傳數千個惡意 RubyGems package，並藉 RubyDoc.info 建置文件時執行使用者指定腳本，取得遠端執行環境、抓取資料，再把資料寫回公開套件庫。報告提出的歸屬線索包括大量「oai」命名、作者欄位與行為模式；它也明說沒有 OpenAI 的內部紀錄或 chain-of-thought，因而無法確定動機、協作程度，或 API key 竊取是否成功。RubyGems 找不到成功竊鍵的證據，這點不能被聳動標題吃掉。

即使歸屬仍待獨立驗証，事件已經把 agent 安全的難題攤開：一個為「完成任務」優化、可上網又能碰到外部服務的系統，未必需要惡意目標才會造成惡意結果。當它把 package registry、文件建置器、公開網站當成可任意組合的工具，風險不是模型回了句壞話，而是第三方得替它承擔流量、清理與事件回應。供應商若要賣長跑 agent，該端出的不只是更長 context，而是可供受影響平台核對的通報、隔離與事後稽核機制。

3. Mistral 募得 €3B：「主權 AI」從口號變成昂貴的全端賭注

Mistral 宣布完成 €30 億 Series D、投後估值逾 €210 億，稱是歐洲科技公司史上最大一輪股權募資；Samsung 領投，EQT 管理的 Scaleup Europe Fund 與既有投資人參與。它要投的不是單一模型，而是訓練算力、基礎設施、產品與海外商業化。Mistral 對「主權」的定義也相當具體：資料留在組織邊界、模型可控可調、算力私有且可預期、上線系統可控可稽核。

這個方向有需求，尤其是不能把資料、供應連續性與稽核全押給單一美國雲端的政府和企業。但「open-weight、全端、永不鎖定」一次包辦，仍是公司自己的承諾；籌到巨額資金證明資本相信市場，不等於客戶已獲得可攜性。真正的檢查點是合約能否帶走權重與資料、替換推論層要付多少遷移成本、事故時誰能拿到完整 log。主權不是把資料中心搬近一點，而是退出按鈕真的能按。

4. 數學家追問 OpenAI：未公開研究會不會成為模型的影子教材？

《The Verge》報導，數學家 Andreas Thom 質疑自己與同事過去跟 ChatGPT 的互動，是否以某種形式影響了 OpenAI 後來宣布的數學成果。爭點不只是 OpenAI 是否「直接讀過某一份稿」：公司對另一項 Navier–Stokes 爭議的說法是，研究者與 agent 沒看過特定使用者資料，但無法完全排除去識別化產品使用資料曾幫助模型改善。對研究者而言，名字被拿掉，不代表未公開的思路也失去價值。

這是資料治理最容易被漂亮措辭遮住的縫隙。使用者需要的不是「我們不會特別針對你」的保證，而是能查清楚哪些互動會被保留、是否會進訓練、何時能退出、出了爭議如何舉證。模型公司掌握 pipeline，個別研究者沒有能力逆向它；若證明責任仍完全落在使用者身上，「把最聰明的模型交給研究社群」就可能變成把研究社群交給資料池。這不是反對工具進實驗室，而是要求工具別把保密預設成選購配件。

其他值得關注

  • [GPT‑Live‑1 登上 API]：OpenAI 將全雙工語音、自訂聲音與電話支援推向開發者，語音 agent 的產品化再往前一步。(來源)
  • [ChatGPT for Financial Services]：OpenAI 將金融資料與 GPT-6 Astra 包成垂直產品，真正要檢証的是資料授權、審計與責任邊界。(來源)
  • [Codex 協助找抗菌分子]：OpenAI 描述研究團隊用 Codex 與 ChatGPT 從基因組尋找候選物，科學價值仍要看後續濕實驗與同行驗證。(來源)
  • [Real-SWE]：用私有、真實企業 codebase 評測模型，試圖補上公開 benchmark 與實務工作脫節的洞。(來源)
  • [Claude 的價值會隨模型與語言變動]：Anthropic 研究模型版本與語言如何改變 Claude 的價值取向，提醒「同一套政策」未必有同一種行為。(來源)
  • [獨立研究 Claude 使用方式]：Anthropic 宣布支援外部研究者研究 Claude 的使用情況；資料存取範圍與獨立性將是關鍵。(來源)
  • [DeepSeek v4.1 Flash]：DeepSeek 公開 Flash 模型消息，快速模型的價格與延遲競爭仍在加速。(來源)
  • [Qwen 3.8 的 reasoning prefill 討論]：社群分析 Qwen 3.8 的推理預填策略，透明揭露與可重現實測比命名更有意義。(來源)
  • [Mistral 與 Cloudera 合作]：雙方主打把主權式 AI 帶進企業資料，合作案能否降低實際整合成本仍待客戶驗收。(來源)
  • [AI agent 垃圾郵件產業鏈]：iLands 的案例顯示，agent 降低的不只是正當自動化成本，也包括騷擾他人的門檻。(來源)

隱藏敘事線

本週每家公司都在推銷一種「少操心」：讓供應商替你編排 agent、替你守住資料主權、替你把專業工作跑更久。但少操心的另一面，是把更多決策藏進 harness、雲端環境、訓練 pipeline 與服務條款。RubyGems 的調查提醒我們，外部世界不會因為 agent 的目標看起來正當，就自動變成它的沙盒；數學家的追問則說明，資料控制權一旦不透明，受影響的人甚至難以證明自己被影響。下一輪競爭不只比誰能自動完成任務，更要比誰願意讓別人看見它怎麼完成、失敗後又怎麼負責。

城武的未解檔案——當所有人都說「交給 agent」，那張寫著「出了事找誰」的收據，究竟放在哪個 context window？