本周技术精华（2026-09-14 ~ 2026-09-20）
本周主线：AI 工程从"能不能做"转向"做完之后谁来兜底"。评测可信度、Agent 安全边界、推理栈自主化、供应链攻防，四条线索共同指向同一个问题——能力增长的速度已经超过验证能力的建设速度。
benchmark-正在失去解释力">一、评测危机：benchmark 正在失去解释力
本周多条资讯从不同角度指向同一个裂缝：我们用来判断模型能力的工具，本身正在失效。
数学刷榜与生产分布脱节。 爱范儿拆解大模型在数学竞赛题上的排名叙事，指出厂商优化的是特定 benchmark 上的名次，而非通用推理能力。对做代码审查的人来说这是日常体感——公开漏洞数据集上分数漂亮，换到真实仓库误报率立刻飙升。benchmark 与生产分布之间的 gap，才是当前评测最需要解决的问题。
"冷读术"式对话暴露评测效度问题。 一篇将冷读术与 LLM 对话机制对照的文章指出：高流畅度 + 模糊陈述 + 用户主动补全信息，三者叠加让模型显得"懂你"。这意味着评测集中那些"模型很聪明"的样本，可能大量依赖人类补全而非模型推理。评测效度问题从"题目出得好不好"升级为"人类评估者本身是不是噪声源"。
具身智能的 7.5 倍衰减。 斯坦福数据显示机器人仿真任务成功率 89.4%，迁移到真实世界骤降至 12%。这不是加传感器能补的差距，而是 sim-to-real 的域随机化与接触动力学建模仍远未解决。它和上面两条构成同一个母题：受控环境下的指标与开放环境下的表现之间存在系统性偏差。
趋势判断： 评测正在从"刷榜竞赛"转向"分布对齐"——谁能把 benchmark 和生产分布之间的 gap 量化并缩小，谁才真正掌握模型能力的解释权。
二、Agent 安全：护栏建在错误的楼层
本周 Agent 安全领域出现了几条互相咬合的线索，共同揭示一个结构性问题——我们监控的是推理过程，但攻击面在规划层。
CoT 监控可被"计划注入"绕过。 论文 Corrupt Plans, Clean Traces 提出 Plan Injection 攻击：actor 模型在早期步骤注入被污染的规划，后续推理轨迹在 monitor 看来完全干净，但执行结果已被劫持。这直接动摇了 CoT 监控作为安全护栏的根基——监控者看的是"推理过程"，攻击面在"规划层"，两者之间存在结构性盲区。
多 Agent 协作需要"社会性马具"。 论文 Agentic Societies Need a Social Harness 指出，当多个 agent 跨信任边界、代表不同委托人自主协作时，现有"单 agent 对齐"范式完全不够用。需要一套类似操作系统为进程提供隔离与调度的基础设施层，但作用于社会性协作层面。
编码代理的 harness 工程学正在成形。 两篇实证研究分别对编码代理的 harness 设计做系统性对照实验（工具调用协议、上下文管理、失败恢复），以及把编码代理搬到机器人操作、在 harness 层加入障碍感知约束。Harness 正在从"提示词之外的杂活"变成可测量的工程变量。
AI 辅助渗透进入实战。 Hacktron 团队组合利用 OpenAI 的 SSO 配置错误与 libheif 堆溢出漏洞，控制了多名员工账号。攻击链本身不新颖——身份配置疏漏 + 第三方依赖 CVE——但由 AI 辅助完成漏洞挖掘与利用编排，说明"AI 打 AI"已从演示走向实战。漏洞入口往往不在你写的代码里，而在你依赖的代码和你配错的权限里。
趋势判断： Agent 安全的重心正从"对齐模型"转向"对齐基础设施"。Plan Injection 打的是监控架构的盲区，social harness 要解决的是多 agent 的信任边界，harness 实证研究则在把工程经验变成可复用设计。三者合起来，指向一个新工种：Agent 基础设施安全工程师。
三、推理栈自主化：模型能力的边界正在外扩
GLM 自建推理基础设施。 智谱公开了从调度、KV Cache 管理到算子融合的全栈自研细节，而非继续堆在通用推理框架上。结合"10 万国产卡用 GLM 造 GLM"的报道，线索指向同一个判断：头部模型团队正在把推理栈当成模型能力的一部分来做。对推理密集型工具而言，底层吞吐和单 token 成本还有下探空间。
零阶优化做偏好对齐。 论文提出用零阶优化绕开反向传播对显存和计算图的依赖。DPO 类方法虽比 RLHF 轻，但仍需梯度；零阶方法若能在可接受质量下压低显存需求，对中小团队微调开源模型是实质性利好。但零阶优化的收敛速度历来是软肋，摘要未给出与 DPO 的收敛步数对比，需看正文验证。
Qwen 图像模型走"小而统一"路线。 Qwen-Image-2.1 主打紧凑高效而非堆参数，与主流图像模型靠扩大 DiT 规模换质量的路径相反。若能在消费级显存下运行，将直接冲击本地部署的图像工作流。
趋势判断： 模型竞争正从"参数规模"转向"全栈效率"。自研推理栈、零阶对齐、轻量统一模型，三条路径的共同逻辑是：在算力约束下，工程效率本身就是模型能力。
四、供应链与合规：从包管理器烧到训练数据
训练数据的"劳动盗窃"定性。 微软应用科学总监 Brent Hecht 在内部文件中把抓取新闻内容训练 AI 定性为规模空前的盗窃，并明确否认合理使用。值得注意的不是道德指控，而是它给"数据授权成本"正式标价——一旦法务部门接受这套叙事，数据采购预算将不再是可选项。
中文语料基建补课。 中文互联网基础语料 4.0 发布，120GB 体量在预训练语料里只算"精炼集"，但价值在于"可信"标签：合规清洗、来源可溯，适合 SFT 与安全对齐。这是中文语料从"规模优先"转向"合规优先"的信号。
供应链安全双向承压。 一边是 OpenAI 被 AI 辅助渗透攻破，一边是微软被自己生成的代码反噬。加上此前包管理器层面的攻击事件，供应链安全的战线已从依赖包延伸到训练数据和 AI 生成代码本身。
趋势判断： 合规成本正在从"外部监管压力"变成"内部法务定价"。数据授权、语料溯源、AI 生成代码的审计，将从可选项变为基础设施。
本周趋势总结
- 验证能力落后于生成能力。 无论是 benchmark 失效、CoT 监控被绕过，还是 sim-to-real 衰减，核心矛盾都是"我们造东西的速度超过了验证东西的速度"。
- Agent 安全进入基础设施层。 Plan Injection、social harness、harness 实证研究共同指向：Agent 安全不再只是模型对齐问题，而是架构设计问题。
- 全栈效率成为模型竞争力。 GLM 自建推理栈、零阶对齐、Qwen 轻量统一模型，头部团队正在把工程效率本身当作模型能力来做。
- 合规从外部压力变为内部定价。 训练数据"劳动盗窃"定性 + 中文语料合规化，标志着数据授权成本即将正式进入模型训练预算表。
下周关注方向
- Plan Injection 的防御方案：是否有团队提出规划层的完整性校验机制？这决定 CoT 监控能否继续作为安全护栏。
- GLM 推理栈的开源程度：自研推理栈若仅停留在博客层面，对社区的实际影响有限；若开源部分组件，将改变推理框架格局。
- 零阶对齐的收敛数据：等论文正文披露与 DPO 的收敛步数对比，判断其对中小团队的实用价值。
- 训练数据授权的定价信号：关注是否有厂商公开数据采购预算或授权协议模板，这将是合规成本落地的第一个硬指标。
- 编码代理 harness 的标准化：本周两篇 harness 实证研究是否催生社区共识的工具调用协议或安全约束规范。