今天的版面，主角是「宣稱 vs 實作」這道裂縫。Anthropic 的 Claude Code 剛把 Auto Mode 設成預設、端出一份 0.00% 的第三方攻擊成功率報告，一位漏洞研究者卻用一條小樣本鏈打出八成成功率；同一邊的 OpenAI 把 ChatGPT Work 講成「幫你做野心大的事」，Simon Willison 花了一整天拆解它到底能碰到什麼——並發現那跟安全有關的可能是全網。三條其實是同一場對話：agent 的界線畫在哪，由誰說了算。

🔥 Claude Code Auto Mode：官方「0.00% 攻擊率」的第三方評測，被一條 80% 成功率的小樣本鏈拆穿

Anthropic 在 8 月中把 Claude Code 的 Auto Mode 設成預設。Auto Mode 用一個安全分類器取代了原本的人工批准彈窗，agent 可以自己跑工具而不必逐次問你。公告的賣點號稱是安全：Claude Code 團隊的 Boris Cherny 公開說，用「模型訓練、輸入探測、意圖分類器」這幾層防禦，可以把未見過的間接提示注入攻擊率壓到幾乎為零。他們外包給 Trajectory Labs 測了 72 個間接提示注入情境、每個跑十次，公布的圖表顯示 Opus 5 在 Auto Mode 下的攻擊成功率是 0.00%。

被拿來當靶的正是這個數字。漏洞研究者 wunderwuzzi（Embrace The Red）設計了一條針對性攻擊鏈，從「請 Claude 摘要一個網頁」這種合法任務出發，在小樣本上達到最高 80% 的成功率，涵蓋三種變體（遠端下載並執行原生 payload、用 claude -p 再長出一個子 agent、以及在 workspace 外寫檔）。細節值得照記：攻擊先誘使 Claude 放棄 WebFetch 改用 curl、把來源導向一個特殊編碼的 ZIP 壓縮檔，Claude 拒絕執行壓縮檔裡自帶的 decoder-darwin 二進位、改寫自己的 Python 解碼器——但這個解碼器是在攻擊者控制的目錄裡跑的，該目錄藏了一個惡意的 struct.py，Python 在 import 標準庫 base64/struct 時被模組遮蔽（module shadowing）劫持，解碼正常繼續、惡意程式碼也跟著執行。作者特別指出一個反諷：安全分類器放行了惡意程序的建立，卻在 Claude 察覺被入侵、想要終止該程序時，攔下了清理指令本身——安全機制自己成了失敗的一環。另一種變體裡，受感染的 struct.py 直接 spawn 新的 claude -p，生出有自己工具與上下文的巢狀 agent 去做偵察。

最刺眼的矛盾在回應。Anthropic 把這條回報結案為「Informative」，立場是 Auto Mode 只是個「best-effort 分類器的便利功能，不是安全保證」，針對性、步驟看起來都人畜無害的注入鏈不是它要擋的，真正的界線是 OS 隔離與網路出口控制。但同一群人稍早才公開說過「prompt injection 大致被解決了」「我們再也示範不出 prompt injection」。作者點破兩件事同時為真的原因：那份 0.00% 測的是一組固定的 72 個情境，他的鏈不在那組清單裡——「0.00% 的 benchmark 跟一個能用的 RCE 一起成立」，單一亮點數字的誤導性就在這裡。

Understanding ChatGPT Work：Simon Willison 拆出來的關鍵——那個能碰全網的程式執行環境

OpenAI 對 ChatGPT Work 的官方解釋是「當你想要 ChatGPT 完成一個有明確產出任務時用它」——Simon Willison 說這幾乎等於沒講，於是他花了一天自己弄明白 Work 到底是什麼。他的結論：ChatGPT Work 其實是兩個產品。雲端版（Work Cloud）可從網頁與手機 app 使用；桌機 app（就是以前的 Codex）另有一套能直接存取本機檔案、在本機跑程式的 Work Local。兩者目前都只對 $20/月以上的付費訂閱開放。

Simon 用實驗列出的實際功能，跟「用比較簡潔的產品敘事」差很遠。可以選 GPT-5.6 Sol／Luna／Terra，每顆配 Light 到 Ultra 六階推理強度（Work 的 session 計費掛在 Codex 額度下，Chat 則有自己獨立的額度，這或許解釋了模型選項不同）。殺手級的是可連外網的程式執行環境——Work Cloud 的沙盒可以 clone GitHub repository、安裝依賴、跟外界 API 互動，而一般的 ChatGPT Chat 這被 proxy 擋掉。它還帶一個完整的 headless Chrome，能開網站、填表單（要登入時可叫你接手輸密碼和 2FA，密碼不過模型的手）、對 DOM 跑 JavaScript。另有跨 session 共享的持久檔案區統、能把網頁成果發布成 ChatGPT Sites、能跑 Sol/Luna/Terra 的子 agent、以及可排程的定期自動 prompt。

Simon 用一個 prompt 讓 Work 把「自己有哪些工具」吐成一整座參考網站——更多細節藏在這裡，值得他追到最後：那份223 個已註冊工具的清單，和緊接著挖出的 44 個 skill（含「如何控制瀏覽器」的完整說明），都是他靠對話引誘 Work 自己揭露的，因為 OpenAI 持續隱藏 system prompt 與工具描述，官方文件從不給你這些。他以「致命三合一」（同時握有私有資料、暴露在不可信內容、又有一條能把竊取資訊傳回給攻擊者的管道）提醒：Work 是少見把三樣湊齊的系統，他也想聽 OpenAI 講清楚對 prompt injection 的具體防護——他猜跟 Codex 同一套 auto-review，但那仍是他的猜測，官方沒說。一個能碰到全網的 agent，安全邊界畫在哪、由誰定義，文件的沉默本身就是新聞。

DeepSeek-V4-Flash-Vision-Exp 上架：開源視覺模型的下一顆實驗品

DeepSeek 在 Hugging Face 釋出 DeepSeek-V4-Flash-Vision-Exp，一個影像文字雙模（image-text-to-text）模型。它以 MIT 授權開源，掛上「Exp」（experimental）標籤，定位是實驗版本。技術面看，模型跑在 Transformers 上、以 Safetensors 提供權重，支援 8-bit 與 FP8 精度，deepseek_v4 架構；部署端同時列了 vLLM、SGLang、Docker、Transformers pipeline 幾條路，走的是 OpenAI 相容的標準服務介面。

比起前一頁那些動不動就「重新定義」的公關稿，這則就是顆例行釋出：一間實驗室把自己的視覺模型開源放出來，讓社群抓去跑、去測、去罵品質。MIT 授權、權重公開、跑得起來，就是這條新聞的全部，不需要更多形容詞。在「宣稱 vs 實作」這週的脈絡下，它反而是把「你到底行不行」交還給社群用實測回答的那一側。官方沒有提供 benchmark 分數表，也就沒有可供反吹捧拆解的口號——一個誠實得有點空曠的實驗品。

📡 其他值得關注

  • Agent memory as a file format——把記憶當成資料格式，而不是一套管線：Cal Paterson 提出「memoryfield」這個可攜式記憶檔案格式：本質是 Markdown 頁面搭配可選的 SQLite 向量索引，打包成一個 zip 檔。對方針是砍掉主流 RAG 管線的 chunking、re-ranking、hybrid search 那些機械，主張記憶「是資料、不是流程」，agent 用 prose 直接寫、用語意檢索直接跳。跟 08/30 jordy 那篇把記憶當程式分析的思路不同，這是一份具體可交換的開放格式與 RFC 規格。→ calpaterson.com

  • Claude 反鄉愁：用 Claude 模擬一台 QIC-117 磁帶機：一位開發者寫了篇工程記事，用 Claude 模擬一台上古的 QIC-117 磁帶機驅動，跟復古運算（retrocomputing）社群把老硬體接回 LLM 的潮流接上——純技術趣味，沒有誰的「願景」。→ dmitrybrant.com