这一周，AI 前沿真正发生了什么

GRAM 在 Transformer 每一层加入额外神经元，并按知识类别划分模块。当样本来自普通语料时，模型正常更新；当样本属于病毒学等双用途类别时，通用权重暂时冻结，只有对应模块允许从该样本学习。

实验设置了病毒学、网络安全、核物理和一种小众编程语言四类模块，因此一次训练可得到 2⁴ = 16 种开关组合。

GRAM 的关键能力不是“删除”动作本身，而是训练阶段提前知道哪些样本属于哪个敏感域，并保证这些样本对通用权重的梯度被正确阻断。现实预训练语料没有干净的病毒学、网络安全或核物理边界：一段普通生物论文可能包含双用途片段，一段代码也可能同时承载安全知识与通用编程模式。如果分类器漏标，知识会进入基础权重；如果过度标记，模块关闭又可能伤害无害能力。因此，GRAM 的安全上限很大程度上由数据标注召回率、类别体系和跨域样本处理决定。

能力还可能是组合式的。单独关闭病毒学模块，不代表模型无法用通用推理、化学知识与工具检索重新拼出相关能力。攻击恢复实验说明模块化比后训练 unlearning 更难被少量微调逆转，但它没有覆盖检索增强、工具调用、跨模块组合和长期对话中的能力重建。要把方法变成部署控制，需要测试的不是“模块关闭后困惑度怎样”，而是攻击者在给定计算、数据与工具预算下，能恢复多少真实下游能力。

即使技术成立，“模块开启版”仍需要传统访问控制：谁能加载模块、密钥如何管理、请求是否审计、模型快照是否泄露、关闭动作能否被绕过。换句话说，GRAM 可能把安全边界从易被 jailbreak 的输出策略，向更硬的参数配置移动；但它不会消除身份、权限、监控和供应链安全，只会改变这些控制需要保护的对象。

对词表中的每个词，J-lens 寻找一种内部活动方向：如果增强该方向，模型在后续某处说出该词的概率会上升。把这些方向投影到不同层，就能获得一串随层次演化的“静默词语”。代码中的未指出错误会出现 ERROR，蛋白质序列会出现功能概念，prompt injection 内容会出现 injection 或 fake。

它并非简单读取当前输出，也不是模型显式写下的 scratchpad；它试图定位“模型此刻能够说、能够调用”的内部概念。

没有。论文区分“现象意识”与“访问意识”。实验没有证明 Claude 会感受或拥有主观体验，只显示某个内部工作区承担了可报告、可控制、可用于推理的功能。

J-lens 也只能识别对应单 token 的概念，不知道什么机制决定信息进入 J-space。Claude 的工作区沿网络深度单次演化，人的全局工作区则依靠时间上的循环连接；两者不能简单等同。

J-lens 的方向由“增强某个内部方向会提高未来某个词的概率”来定义，这给了它因果含义，也同时限定了观察窗口：容易命名、能落到词表 token 的概念更容易被看见，分布式、关系型或根本不以自然语言编码的状态可能被漏掉。看到 fake、fraud 或 honest 很直观，但不能因此假设所有隐藏目标都会以同样可读的词汇方向出现。探针的可解释性可能偏向研究者最容易命名的那部分内部计算。

把 J-space 用作安全检测器，需要回答论文案例之外的问题：同一意图在不同措辞、语言、任务和模型版本中是否稳定；无害角色扮演会不会触发“欺骗”方向；真正的欺骗是否可能通过不激活已知方向而漏检；对方向做干预时，模型是否被推离正常激活流形，从而产生看似因果、实则分布外的行为变化。没有这些误报率、漏报率和跨分布校准，内部信号还不能直接成为阻断部署的阈值。

更长期的风险是适应性：如果训练过程知道某些方向会被监控，模型可能学会把相关计算迁移到探针看不到的位置。因此更稳妥的路线不是寻找一个永久有效的“诚实神经元”，而是把多种机制探针、行为评测、反事实干预和审计轨迹组合起来，并持续验证它们是否仍能预测未来行为。J-space 的突破在于提供了新的证据通道，而不是替代外部评测。

文章比较三条完全相同、只改变代码路径的配置：vLLM 手写原生实现、优化前的 Transformers 后端、优化后的 Transformers 后端。测试包括单卡 Qwen3-4B、两卡张量并行 Qwen3-32B，以及同一台 8×H100 节点上的 Qwen3-235B-A22B-FP8 MoE 数据并行与专家并行。

作者报告优化后的 Transformers 后端在这三类配置上达到或超过原生吞吐，并公开了复现实验脚本。使用入口只是 --model-impl transformers。

1. torch.fx 对模型计算图进行静态分析，搜索已知可优化模式。
2. AST 源码改写 在运行时替换部分操作，而不是要求模型作者手工重写整个架构。
3. 把多对一操作映射到 vLLM 的高度优化 kernel，包括 MoE 专家并行所需的融合操作。
4. 识别 MergedColumnParallelLinear、QKVParallelLinear 等块，推断 TP 计划；如果 decoder block 结构清晰，也可推断 PP。
5. 改写后的模型仍可进入 torch.compile 与 CUDA Graphs，同时保留 Transformers 代码用于训练、评测和 RL rollout。

图分析、AST 改写、kernel 替换和并行计划推断，本质上组成了一条模型编译流水线。它的价值是把每个架构一次性的手工移植，转换为“识别标准模式并自动降低到高性能实现”。但编译器式抽象也会引入编译器式风险：模型代码在语义上可运行，不代表改写后仍保持数值等价；某个融合在常规注意力上正确，不代表在量化、自定义 mask、稀疏专家、视觉分支或动态控制流上也正确。

因此验证不应只报三组峰值吞吐。至少要同时观察首 token 延迟、逐 token 延迟、不同并发和序列长度下的吞吐、显存峰值、编译时间、CUDA Graph 命中情况，以及原生实现与改写实现的 logits/生成一致性。对于 MoE，还要检查专家路由、跨卡通信和负载不均衡；对于量化模型，要区分 kernel 更快与数值退化导致输出变化。只有性能与正确性矩阵同时通过，“原生速度”才是生产结论。

工程上最合理的落地方式是建立可回退的分层路径：标准 Transformers 实现作为语义参考，自动后端作为默认优化，手写 vLLM 实现保留给不规则或极高价值架构。每次 Transformers 或 vLLM 升级都运行差分测试与负载回归。这样，新后端降低的是进入生产推理的边际成本，而不是假设所有模型从此不再需要系统工程。

文章列出的关键数据形态包括软件工程轨迹、工具调用失败、多步推理、检索、安全、用户模拟、工作流执行和物理交互。这里的训练目标不是只学习成功路径，而是覆盖状态变化、错误处理和恢复动作。

普通指令数据常把输入和理想答案压成一对文本，但 Agent 的错误发生在过程里：它看到什么状态、选择什么工具、工具实际返回什么、它是否识别异常、是否回滚，以及副作用是否已经发生。一个可训练、可审计的轨迹至少需要记录观察、动作、工具与环境版本、返回值、错误类型、恢复动作、最终结果和数据血缘。否则，同样的“任务成功”可能来自可靠规划，也可能来自偶然重试或评测环境过度宽容。

数据选择也必须从成功轨迹偏好转向覆盖状态空间。只保留漂亮的成功路径，会训练模型在熟悉 API 上模仿模板，却无法告诉它超时、权限不足、返回结构变化、部分写入和用户目标改变时该做什么。更有价值的采样单位是失败簇与恢复策略：同一个任务在不同故障注入下产生多条轨迹，并标注哪些动作安全、哪些需要确认、哪些必须停止。质量指标应包括恢复率、无效动作数、不可逆副作用、校准和人工介入次数，而不仅是最终 pass。

评测切分同样关键。若训练和测试共享仓库、工具定义、工作流模板或模型生成器，Agent 可能记住轨迹骨架而不具备迁移能力。应该按时间、环境、组织、仓库和工具族做隔离，并单独报告跨版本、跨工具和跨领域恢复。合成人设和合成轨迹可以扩展长尾，但必须保留生成模型、种子数据、过滤规则和人工复核信息，否则“开放数据”仍无法解释模型到底学到了真实分布还是生成器偏好。

三款模型均为 100 万 token 上下文、最多 128K 输出，知识截止日期为 2026 年 2 月 16 日。Simon 强调，单位 token 价格已不能充分表示任务成本，因为不同模型完成同一任务所消耗的推理 token 可能差异很大。

OpenAI 宣称 GPT-5.6 Sol 在覆盖 55 个领域的长时专业工作流评测 Agents' Last Exam 上达到 53.6，比 Claude Fable 5 高 13.1 分；中等推理强度仍高 11.4 分，估算成本约为其四分之一。Luna 与 Terra 则被描述为以约十六分之一成本超过 Fable 5。

但在 SWE-Bench Pro 自报结果中，Fable 5 为 80%，Sol 为 64.6%。OpenAI 恰在发布前一天公布“约 30% 任务损坏”的审计。Simon 没有直接指控操纵，但提醒读者不要把 benchmark 争议与发布竞争分开看。

他的早期使用判断也更克制：Sol 很强，但在复杂编码任务上尚未明显优于他使用的 Anthropic 模型。

三档模型的单位 token 价格很清楚，但真实任务成本还包括推理 token、工具调用、缓存命中、并行子 Agent、失败重试、等待时间和人工接管。更强的模型可能单价更高却更少返工；更便宜的模型也可能因为长链路探索消耗更多输出与工具预算。把价格表直接换算成“便宜多少倍”，会忽略模型与 Agent harness 共同决定的总成本。

一个可比较的评测应固定任务成功定义和资源上限：相同仓库快照、工具权限、最长墙钟时间、最大 token 与调用预算、允许的并行度、失败重试规则，以及相同的最终验证器。然后同时报告成功率、成功任务的中位总成本、尾部延迟、无效工具调用、人工介入和失败后副作用。若模型使用不同的专属 harness，也应把结果分成“最佳系统表现”和“统一 harness 表现”，避免把框架调优误算为基础模型差异。

Programmatic Tool Calling 与原生 multi-agent 之所以重要，正是因为它们改变了成本函数和错误边界。把多次松散工具调用收进受控代码执行，可以减少上下文往返，却也引入脚本权限、循环失控和中间结果不可见的问题；原生子 Agent 降低编排门槛，却可能增加重复探索和协调失败。模型发布的真正单位正在从“一个权重端点”变成“模型 + 执行环境 + 工具协议 + 调度器”，评测也必须跟着升级。

这比发布稿中“处于安全范围”的表述更具体：模型本身的未缓解能力可能触及高风险阈值，发布决策依赖部署层缓解措施，而不是模型能力天然安全。

报告覆盖 OSWorld-Verified、OSWorld 2.0、WebArena-Verified、GDPval-AA、JobBench、MCP Atlas、Toolathlon-Verified、DeepSearchQA、WideSearch、Terminal-Bench 2.1、SWE-Bench Pro、DeepSWE 1.1 与 VibeCodeBench 等。

• OSWorld 2.0 只有 108 个任务，但每个工作流的人类中位时长约 1.6 小时、约 318 次工具调用，强调动态状态和长时执行。
• WebArena-Verified 包含 812 个任务；Toolathlon-Verified 的 108 个任务跨约 32 个应用与约 600 个工具。
• Meta 结果通过自己的 API 使用 xhigh reasoning；第三方模型有些采用官方自报成绩，有些在 Meta 的统一 harness 中复现。
• 报告明确承认，其工具、系统提示和 harness 可能没有针对第三方模型调优，因此横向比较未必代表竞争模型的最佳表现。
• 发布文章本身更接近产品宣传，严肃判断应以 111 页评估报告、评测配置和置信区间为主。

“未缓解时不能排除高风险、应用多层缓解后残余风险降至中等或更低”意味着安全论证的主体不是模型权重，而是整套部署系统。读者需要追问缓解层分别覆盖什么：输入筛选、工具权限、沙箱、动作确认、异常监控、速率限制还是事后审计；每层在什么攻击和任务分布下测过；多个控制是否共享同一种失败模式。只给出最终风险等级，无法判断风险下降来自稳健的纵深防御，还是来自少数容易被绕过的策略。

对 1.6 小时、数百次工具调用的任务，终局成功率尤其不够。Agent 可能最终完成目标，却在中途泄露数据、修改错误对象、创建多余资源或依靠人类偷偷纠错。长任务评测需要轨迹级指标：首次偏离发生在第几步、错误是否被自检发现、恢复前造成多少副作用、权限提升是否必要、主 Agent 与子 Agent 是否产生冲突，以及遇到不确定目标时是否正确升级给人类。

多 Agent 架构还扩大了安全边界。主 Agent 的错误计划可能被多个子 Agent 并行放大；子 Agent 的局部成功可能破坏全局约束；压缩后的上下文可能丢失用户限制。安全 harness 因而需要记录任务分解、委派理由、子任务权限和合并决策，并在不同 harness 上复现。Meta 的统一评测提供了有价值的系统样本，但在比较第三方模型时，仍应把模型能力、专属提示优化和编排器适配分开解释。

“开放模型”至少包含六个彼此独立的维度：权重是否可下载，推理与训练代码是否公开，训练数据或数据配方是否可审计，许可证是否允许商业与衍生使用，技术报告是否足以复现关键选择，评测是否提供 harness 与原始结果。一个 Apache 2.0 权重模型可以在商业使用上很开放，却完全不公开数据；另一个提供详细训练配方的研究模型，也可能因许可证限制而难以进入产品。把这些模型放进同一个“open”标签，会掩盖它们对研究和产业的不同价值。

组织为何开放，决定了它选择开放哪一层。硬件厂商希望扩大可部署工作负载，云或 API 公司可能用权重建立生态入口，产品公司则希望降低上游依赖并让专用模型成为差异化能力。由此产生的长尾未必在通用 benchmark 上逼近绝对前沿，却可能在语言、行业、延迟、显存、隐私或工具约束下更有价值。评价它们时，应比较目标场景的总拥有成本和可控性，而不只是总参数与榜单名次。

这篇生态观察的证据边界也提醒我们：它适合提出“参与者正在多样化”的假设，不足以单独证明长期趋势。严谨做法是回到每个模型的主发布、许可证、仓库、技术报告和可复现实验逐项核验，再按统一维度建表。对研究者而言，开放长尾最大的价值也许不是免费获得一个更强聊天模型，而是获得不同架构、训练制度和部署约束下可比较的实验对象。