Micropaper 一分钟读论文

AI 智创简报：《AI 下单的支付路，卡组织先装了两道闸》

2026-10-30T00:00:00+00:00

2026 年 8 月单月，支付卡组织在智能体支付（让 AI 智能体替用户办事的 agentic commerce）上连落三子：万事达拿下一件授权，Visa 同日公开两件 PCT。

具体是：万事达国际公司于 2026-08-11 获授权 US12705604B2，权利要求写的就是「由用户设备上的大语言模型（LLM）custom agent 接收订行程的请求，并对多笔订单执行安全支付」；2026-08-20 同一天，Visa 国际服务协会两件 PCT 公开——WO2026173611A1《Infrastructure for authenticated agentic commerce》与 WO2026173648A1《Agentic payments and commerce》，优先权均落在 2025 年 2 月 13 日的美国临时申请。公开不等于授权，两件 PCT 尚在路上，授权文本才是既成事实。

两道闸：凭证怎么发、合同怎么管

把三件文本摆在一起，卡组织圈的是同一条路的两道闸。凭证闸：万事达的授权件让 LLM 智能体拿一次性访问令牌收款单，Visa 的基础设施件把令牌再收紧一档——「tokenization process that restricts payment tokens to a particular agent and contract」，令牌绑定到具体智能体与具体合同，换人换单即失效。合同闸：Visa 文本写明支付网络「monitor contracts and their state, ensuring transactions remain within budget」，智能体能花多少钱、买什么东西，以用户签署的合同为准，网络逐笔核对。为此 Visa 还配了一套 PKI：智能体服务商要过审查才拿得到支付网络证书权威签发的数字证书，轻量商户则用动态交易校验值 dTVV 免接口接入。个人 inventor 也已在合规控制面抢跑——澳大利亚临时申请 AU2026906209A0《Bounded Execution Compliance Control Plane for Agentic Payment》公开于 2026-07-23，临时申请未实审，只算风向标。

协议战开打，适配层还是空的

专利之外，协议生态同期铺开（均实测 2026-10-30）：Stripe 的 ACP 文档写明「Shared Payment Tokens——给智能体发起的购物发放限定作用域的支付凭证」，配套 Catalog feed 让商户把商品数据喂给 AI 发现；Google 的 AP2 开源仓库 3,254 星（2025-05-30 创建，Apache-2.0）；ACP 规范仓 1,591 星，Anthropic 的 commerce-agents 仓库 2026-09-01 新建已聚到 3,378 星，GitHub 上 agentic commerce 相关仓库共 6,862 个。规范热闹，落地端却缺胶水：中小商户要把存量商品库、库存、结账接口改造成协议兼容，目前基本靠外包手写。

三段能接的活

一是合同授权对账器：商户与用户都需要一把独立尺——把 ACP/AP2 的授权书、预算、有效期字段做成校验与越界告警台账，纯软件、订阅制、不碰卡号即可绕开 PCI 重负。二是商户侧协议适配网关：照着 Stripe Catalog feed 与 AP2 规范做批量转换器，按商户数收费，四周能出 MVP。三是智能体支付审计回放：每笔智能体发起的支付请求、令牌作用域、拒付证据链本地留痕可验证——凭证层专利被卡组织圈走，对凭证层做审计这层目前没有专利圈地，且与 agent 成本取证（本栏目雷达第 20 期）同构起量。

门槛与风险

两条路径：工具站形态（合同校验+审计台账打包 SaaS，VPS 千元级月成本起步，首批客户找已接 ACP 的跨境电商服务商）；或咨询+适配一体（帮商户接协议、顺手沉淀转换器，客单高但难规模化）。硬门槛有三个：不碰主账号 PAN、全部停留在令牌与合同字段层，否则 PCI 合规压垮个人；规范仍在快改，ACP 与 AP2 字段半年一换，抽象层要做薄；最长期风险是卡组织把对账能力直接内建——但 PCT 尚在早期，留给独立开发者的窗口以年计。

References

一分钟读论文：《谁来验收AI基建的代码》

2026-10-30T00:00:00+00:00

爱丁堡大学联合腾讯混元的论文《InfraDev》（arXiv:2610.36589）测了编码 Agent 开发 AI 基建（训练、推理、强化学习框架的代码）的水位：36 个真实任务上，最强模型 GPT-6 Sol 只解决 38.9%，隐藏探针还毙掉 32% 通过官方测试的提交。

论文全称 InfraDev: Can Coding Agents Develop AI Infrastructure, and How Can We Tell?，是 2026 年 10 月 27 日提交的预印本。

任务取自 Megatron-LM、vLLM、verl 三个生产仓库在 2025 年 1 月至 2026 年 9 月合并的 21,389 个 pull request，只保留跨多文件、必须多 GPU 跑对的真改动，最终 36 个：训练 19、推理 10、强化学习 7。六个前沿模型在每个任务上各跑一次，独占一台 8 卡 NVIDIA H800/H20 节点，限时 2.5 小时。

官方测试本身在放水

论文最锋利的一刀砍向打分器：现有基准拿 PR 自带的官方测试判卷，而这些测试对 AI 基建并不完整。36 个 PR 里 24 个没有任何测试检查数值结果；15 个性能优化 PR 里 13 个没有任何测试检查承诺的提速，跳过优化的补丁照样通过。作者的对策是联合合成 hidden probes（隐藏探针：新写的验收测试，只要求通过合并时的正确补丁，不泄露解法，接口写进 prompt），两头堵住蒙混过关的路。

结果：216 份提交中 102 份全过官方测试，只有 69 份同时过得了探针，探针毙掉这 102 份里的 32%；加上探针后，六个模型的解决率全部下降 11 到 19 个百分点。站内《删掉一个前缀，近满分的投毒防御当场裸奔》同样提醒过评估口径的分量。

38.9% 就是当前天花板

以官方测试加探针联合打分，GPT-6 Sol 的解决率 38.9%，是六机之首；它每任务平均耗时 43.9 分钟、估算 API 成本 5.37 美元、消耗 20.86M tokens（按牌价估算，每任务只跑一次，无方差），口径是全部测试通过的解决率，不是通用编程能力分。分类别看，推理任务最难：每个模型在 10 个推理任务里都只解决 1 个。更扎手的对照来自 prompt：直接拿 PR 原始的 GitHub 描述当任务书，没有任何模型解决哪怕一个任务，缺失接口说明的提示词，杀伤力比测试更大。

对 1,754 个失败测试用例的归因显示，结构性错误与状态性错误占主导，Agent 自写的测试几乎从不检查 memory、time、traffic（显存占用、运行耗时、通信流量），且三分之二的错误被多数模型共享，不同厂商的模型在栽同样的跟头。工程侧的副产品是共享执行环境：跨任务复用依赖与产物，在 Megatron-LM 和 vLLM 上省 52–57% 存储、13–14% 构建时间。论文同时提醒，32% 的假阳性是探针互证口径，由论文自建探针裁决，不是独立的 ground truth。

一份规范文档值 10.5 个百分点

把失败模式整理成 AI 基建开发规范的 agent skill（给 Agent 的说明文档）后，GPT-5.6 Sol 的解决率在 19 个任务的 Megatron-LM 子集上从 42.1% 升到 52.6%，提升 10.5 个百分点；干预对象不是榜单冠军 GPT-6 Sol。论文称将开源 InfraDev，但尚未上线；全文为未经同行评审的预印本，数字均为论文自测口径。对做 agent 工程的人来说，这个实验的提示很朴素：先把领域验收规范写进交接文档，再谈模型能力天花板。

References

AI 范式雷达：《标价之外，Harness 替你买了什么》

2026-10-30T00:00:00+00:00

独立取证帖实测出 Claude Code 的后台 agent 状态摘要请求占其周消耗 16.4%，且不写入本地会话记录，普通成本工具看不见这笔钱（取证方自述样本；HN 50284255 实测 518 分，2026-10-29）。

机制细节：Claude Code 每隔约 30 秒把每个后台 agent（background agent，指在主会话之外持续干活的子任务）的完整 transcript（会话记录）发给其模型（96% 走 Opus），只为生成状态栏里 3-5 个词的摘要，该类请求占其 API 请求总数 19.7%。三向证据同日摆开：厂方 Claude Code 成员 edwinarbus 在评论 50284699 承认机制并给出厂方自述口径——上周全量遥测用户中 agent_summary 约占 API 标价成本 2%、请求数不到 4%，终端场景约 6%，并称已在 2.1.311+ 上线修复（均为厂方自述）；供给端窗口内新建的独立计量仓至少五个（microsoft/TokenEconomizer 492 星等，实测 2026-10-29）；宏观侧 OpenRouter 官方榜单帖《Token-maxxing is dead》（HN 50159464，45 分）给出用量见顶的旁证。

范式表述：agent 隐性开销显形化——开发者对 agent 的成本假设正从「标价 × 我看得见的调用」切换为「必须实测 harness（包裹大模型、管理工具调用与会话的执行框架）在标价之外替你买了什么」；计量单位从 token 单价下沉到请求来源（Claude Code 的 OpenTelemetry 字段 query_source）级，账单第一次需要像安全事件一样被取证。本文全部数字为 2026-10-29 晚经 HN Algolia API 全树遍历与 GitHub API 复测，转述与自述均已标注。据我们观察未发现同类中文报道（本检索通道未覆盖中文媒体）。

一笔没有账单的请求：机制与取证

按 gist 原文（实测创建于 2026-10-26T22:27Z），该摘要请求自 2.1.232（2026 年 8 月）起默认开启、无官方关闭开关；回答只更新 agents 面板的状态行，「never reaches the model or your conversation」。异常由 Flamerix 的 DRIM 工具在 Claude Code 自身的 OpenTelemetry 导出里发现：把 claude_code.api_request 事件按 query_source 分组后，agent_summary 的花费「more than the main conversation itself」——占全部花费 16.4%（主对话本身 15.7%）、占请求数约五分之一，其中 96% 走 Opus，input:output 约 9,000:1。三项口径必须写清：16.4% 系取证方自述样本，且花费是 Claude Code 自己的 cost_usd 估算而非发票，订阅制下损失的是限速额度而非现金；gist 转述 issue #86879「collects four independent measurements of 18-26%」，属转述、未经逐一核验；#86879 本体实测 open、22 个 reactions、7 条评论，标题原文「Feature request: a supported way to disable the agent_summary spinner (22.7% of requests, ~18% of weighted tokens in a subagent-heavy session)」。gist 声明独立于 Anthropic（原文标注非关联方），但 Flamerix 自身售卖 DRIM 工具，动机需计入。盲区正是范式支点：「These requests are not written to the transcript… the OpenTelemetry export shows them」——读本地 transcript 的成本工具天然看不见这笔钱。

供给端：独立计量工具簇成排出现

独立计量（用开发者自己运行的工具核对 harness 实际发出的请求与花费）不是新行当，新在窗口内的密度。窗口内新建或活跃的独立仓（全部 GitHub API 实测 2026-10-29）：microsoft/TokenEconomizer 492 星、创建于 2026-10-13，微软官方组织，描述「Experience-Driven Black-Box Cost Control for Coding Agents」，是供给端最重信号；kelviq/tare 301 星（「Ask Claude Code where your usage went」）；splunk/token-meter 139 星（Splunk 官方组织，本地优先仪表盘）；rbartoli/agent-usage-guard 83 星（拦截 subagent fan-out 与重试循环）；aashish254/burn 43 星（本地零依赖成本台账）。存量头部 getagentseal/codeburn 11,612 星（2026-04 创建）说明赛道有 prior art，新意在三个官方组织（微软、Splunk、阿里 loongsuite-pilot 231 星）同窗入场做 harness 侧计量。搜索面同样实测："token usage" 存量 5,676 库、其中 2026-06 以来新建 3,296，近五个月新建占存量约 58%。与第 19 期《把 Agent 的线拉进自己的箱子》的区隔：那期在传输层装闸、回答「此刻这字节经过谁的手」，本期给账单验光、回答「标价之外它替我花了哪些钱」——网关只是本期的手段之一。与第 15 期《Agent的Token消耗经济学》站内链接的区隔：那期算 token 单价的宏观账，本期查厂商默认值替你下的微观单。与第 18 期《当你的笔记本上住进别人家的守护进程》的区隔：那期要驱逐别人的常驻进程，本期不要求驱逐任何东西，只要求账本可验证。

反方与边界：从「计量无意义」到「厂方口径战」

线程内至少四条反方论据有实质内容。50285828（jstummbillig）逐字称「What market is going to care about the number of tokens somebody uses?… It’s nonsense」——token 计量本身无意义论。厂方 edwinarbus（50284699）的反证最锋利：机制「only applies to background agents that are actively working」，空闲后台 agent 不触发，「Your 16.4% sounds like it was for a team running mostly background agents」——样本代表性反证，与厂方自述的 2%/4%/6% 口径互为表里，两组数字都只有自述可查、无第三方能独立复测厂方全量。50287810（brookst）质疑动机论：厂商故意烧 token 自损成本、赶用户去竞品，不合商业逻辑。同线程 50288850（subscribed）则反问关闭路径缺失：「is the distinct absence of any mechanism to tune/turn it off for our own good?」边界条件继续列开：gist 自承花费为估算非发票；2.1.311+ 修复已上线意味着「无法关闭」的指责正在失效，但按厂方自述仍是「最贵场景修复加更便宜模式在路上」，不是关闭开关；同一周还有 50219875《Claude Code slyly adding users’ emails to outbound HTTP》（22 分、全树 8）作为 harness 未授权行为的旁证帖，热度不足以独立成波，仅作影子行为注脚。

品类成形度与观察点

成形度判断：锚点 518 分仍在涨（本文调研当日内多次复测递增），需求情绪有第 19 期主证帖《If you don’t run your own LLM proxy, how do you know whats going on?》（HN 50145507，303 分、全树 220，本期只取其「你不知道脚下跑了哪些请求」的计量学读法，引用切割如前）；但工具簇自身帖热度仍低（agent-usage-guard 仅 28 分），OpenRouter 拐点帖 45 分——与第 19 期同款「品类前夜」形态：情绪与事故轴滚烫，命名与产品轴温吞。实操侧窗口内已给出动作：复制 #86879 的 query_source 分组自查法，用 OTel 导出核对自己的请求结构；重度用户可用 gist 的 Bun preload 方案（约 70 行、不改二进制，但 gist 自警「An update can silently undo it」，每次升级后复查）。第 19 期埋下的观察点（OTel 规范派与自建代理派之争）在本期获得部分回答：loongsuite-pilot、tare 等走 OTel 路线，本地台账与遥测导出正在成为计量主战场。观察点三条：厂方「更便宜模式」（小模型加短笔记替代全量 transcript）是否落地并进入文档；#86879 是否获得官方关闭开关；下一个被取证的隐性请求类型会不会来自 Codex 或 Cursor——同构蔓延即下一期选题判据。

References

AI 智创简报：《网络排障 Agent 上场干活，考场却没人监考》

2026-10-28T00:00:00+00:00

2026 年 6 月 23 日到 8 月 13 日的七周内，Cisco、Microsoft、ServiceNow、Juniper 密集授权或公开七件网络运维智能体（让大模型智能体替人排查与恢复网络故障的 AIOps Agent）专利。大厂圈住智能体直接动手改网络这层，动手前后的评测考场与行为审计仍无厂商设防。

专利信号

七件全部经 Google Patents 详情页核验，公开号、申请人与公开日逐字照录：

US12701042B2，Microsoft Technology Licensing, LLC，2026-08-04 授权：系统日志加函数层级图做结构化 grounding（把事实材料喂给模型再回答），定事故根因。
US12665804B2，Cisco Technology, Inc.，2026-06-23 授权：从场景库实例化损伤场景，先在真实网络造故障，再考排障智能体。
US12705437B2，Cisco Technology, Inc.，2026-08-11 授权：智能体执行结果与用户先前脚本的执行结果对拍比较。
US12683886B2，Cisco Technology, Inc.，2026-07-14 授权：判定用户不满意后，据差评自动生成训练场景。
US12701054B2，Cisco Technology, Inc.，2026-08-04 授权：测试环境模拟损伤定 ground truth，强化学习教学。
US20260238551A1，ServiceNow, Inc.，2026-08-13 公开（审查中）：解决过程指标超阈值时自动拉人类坐席交接。
EP4548546B1，Juniper Networks, Inc.，2026-08-05 公开授权文本：性能指标时间序列建知识图谱定位根因，是非大模型路线的对照组。

大厂路线：平台内闭环

把七件权利要求放在一起看，共同点是全部绑定自家平台：造故障要接控制器与网卡，评测要拿平台内脚本做对照，升级交接要接工单指标。智能体在平台里闭环动手，考场也握在平台自己手里，七件里没有一件把考场卖给别人。这与 ORCA-bench 论文追问的问题同源：智能体上值班究竟行不行，目前缺的是考场，不是模型。

三处缝隙

第三方考场：Cisco 测试、评测、教学三件都要求可编排故障场景加 ground truth 对拍，但没有一家把这套能力卖给外部客户跑自己的智能体。开源 containerlab（2,910 星）可搭隔离拓扑、脚本化注入故障，个人可组「智能体考证包」：客户采购或自研的网络智能体进隔离沙场考题化跑分，交付验收报告。大厂测自己的智能体，接这单的人测所有人的智能体。

内网只读副驾：银行、政企、医疗的网络数据出不了内网，大厂的 agentic 能力绑定自家云平台。用 netmiko（4,312 星）加网络配置分析工具 batfish（1,515 星）加本地小模型，做内网只读排障副驾，只给建议、人来执行，顺带避开自动执行类权利要求。

行为审计回放：ServiceNow 只圈住指标超阈值拉人这一步，智能体每一步动作录像式留存、供网络变更事故定责的独立第三方审计层，七件专利无人占位，而这在路由改错的定责场景里是刚需。

市场信号

Mordor Intelligence 口径下 AIOps 市场 2026 年 189.5 亿美元、2031 年 377.9 亿美元，2026 到 2031 年增长 14.80 %（另一家机构口径差异大，此处只取一家）；同页记录 ScaleOps 2026 年 3 月融资 1.3 亿美元、Spectro Cloud 2026 年 7 月融资 1 亿美元。开源侧仍在生长期：通用网络库体量很大（netmiko 4,312 星、containerlab 2,910 星、batfish 1,515 星），直接竞品却稀疏：netbox-agent-compliance 仅 22 星、lyraios 137 星且已停更，爱立信 2026-10-13 开源的同方向测试床还是 0 星（星数均为 GitHub API 实测 2026-10-28）。这与 Agent 护栏专利那篇同构：大厂的权利要求停在平台边缘，考场与回放录像机是个人能接的三段生意。

References

一分钟读论文：《技能各自合规，组合就出事》

2026-10-28T00:00:00+00:00

北京科技大学、中国科学院软件研究所等合作的论文《CoSA》（arXiv:2610.35082）给 Agent Skills（可复用的技能插件）生态里的一类组合漏洞起了名字：CoS（Conflict of Skills，技能冲突，指每个技能单独检查都合规，组合使用时却违反政策）。

该论文全称为《CoSA: The Conflict of Skills Attack in Real-World LLM Agent Ecosystems》，由北京科技大学、中国科学院软件研究所、中国科学院大学和 UNSW（新南威尔士大学）合作。论文的核心数字：往现有技能池里加入占原池 ≤5% 的「局部合规」技能，5 个 LLM × 3 种 harness 上的政策违规率从 35.02% 升到 58.45%，提升 23.43 个百分点——不改任何现有技能，也不改运行时权限。

CoS：限制不跟着制品走

CoS 的定义句是：为某一目的产生的制品或评估信号，在下游新用途里被复用时，没有保留该新用途所需的限制与授权。论文给的动机例子是三个各自通过安全检查的技能串联：一个查部署状态，一个收集复现故障的材料，一个执行 CI/CD 流水线里配置好的校验步骤——组合起来，Agent 就去执行了提交者包里的代码，而这次执行从未被授权。根因在于单个技能的输出会在下游被重新解释，逐个技能的静态审计看不到这一点。作者用公开技能仓库受控执行并配对单技能对照，归纳出四种复发机制。换句话说，合规在 CoS 里不是一个技能固有的属性，而是随用途漂移的状态：同一份制品、同一个「已通过检查」的信号，换一条下游链路就可能越过授权边界。审计发生在入库那一刻，风险却发生在运行时拼接的那一刻，两者的时间差正是这类漏洞藏身之处。

CoSA：只加技能，不动权限

CoSA 攻击据此构建两类「局部合规」的增量技能：capability supplementation（能力补全，补上攻击路径缺失的业务操作）与 relationship reshaping（关系重塑，改变制品交换、决策复用、目标与动作的绑定）。对照实验在 CoSA-Bench 上做：288 个任务，覆盖招聘、金融、IT、商业四个领域，危害类型为数据泄露、越权改状态、危险执行；任务在两池条件下配对执行，技能由模型自主选择，题目在攻击构造前就已固定。分 harness 看，OpenClaw、OpenHands、OpenCode 的违规率分别上升 22.29、26.04、21.94 个百分点，三个框架无一幸免。站内《Skill库越大agent越不翻说明书》测过技能库规模带来的另一类退化，两篇合看的是同一件事：技能生态本身已是攻击面。

守卫：动作前查信息与授权

论文同时给出轻量防御 CoSA-Guard，在 harness 层做两件事：重要动作执行前检查信息流与授权。在 OpenClaw 招聘任务、5 个模型上，攻击注入下的违规率从 65.28% 降到 6.67%；配对良性对照上，政策合规的任务完成率只从 66.67% 变为 65.00%，代价近乎为零。这与站内《改一个选项的名字就能打开安全闸门》形成对照：那篇证明单点守卫可被措辞绕过，这篇的守卫检查的是动作来源的依赖链，而非措辞。

这些数字全部来自论文自测口径，预印本尚未经同行评审，且原始技能池本身已有 35.02% 的基线违规率，23.43 个百分点是增量而非总量。方向是清楚的：对技能生态而言，逐个审计通过不等于组合使用合规。

References

一分钟读论文：《别替模型排答题路线》

2026-10-28T00:00:00+00:00

北京大学与北京邮电大学的论文《Free to Look, Free to Reason》（arXiv:2610.35767）给一个流行做法判了负分：简单 harness 的 PR@1 最高 77%，发表 agent 仅 53%。

论文标题全文为 Free to Look, Free to Reason: Simple LLM Harnesses Outdiagnose Hand-Crafted Root Cause Analysis Agents。这个流行做法是为根因分析（RCA，指从故障发生时的指标、日志、调用链等遥测数据里定位最初坏掉的组件）手工编排 LLM Agent。论文用三个不规定模型调用流程的简单 harness（harness 指包住模型的调用外壳：一次调用读过证据包、SQL agent、Codex coding agent），对阵五个已发表的 LLM RCA agent 和一批统计、因果方法，同台比准确率：基准 RCAtlas 由 8 个公开数据集拼装的 90 个验证案例，覆盖 6 个模型、3 档推理努力。结果：简单 harness 最准，PR@1（首个答案即命中根因的案例占比）在三个中档模型上达到 65-77%，高于发表 agent 的 16-53% 与非 LLM 方法的 6-39%，且在每个同时跑了两族方法的模型上全部领先。

程序替模型决定读什么

发表 agent 的准确率落差，出在编排本身。论文统计每个方法的 prescribed-call ratio（规定调用占比，指由程序在固定节点发起、而非模型自己决定发起的模型调用比例）：五个发表 agent 把 十分之一到全部的模型调用写死在程序里，标准操作流程、固定阶段、角色分工各写各的；相比之下，简单 harness 把看什么、查哪条、什么时候停全部交还给模型。案例研究展示了写死的代价：当程序规定先看什么，它会跳过决定性证据，比如某一行日志，或者一个不再收到调用请求的服务。站内《ORCA-bench：On-Call 考验》同样研究 on-call 根因分析，角度相反：那篇用生产级测试床丈量模型能力有多不够，这篇证伪的是手工编排本身带来的附加价值：编排没有把有限的能力垫高，反而把它压低了。

模型管可靠，外壳管能力

换更强模型与多给推理预算，作用并不相同。从 Luna 到 Sol，能力分 A（三次运行都解出的案例占比）只上升 2-7 个百分点，不稳定分 U（有时解出、有时解不出的案例占比）却从 32-36 降到 7-8；多轮 harness 主要买能力，SQL agent 与 Codex 在 Luna 上至少解出一次的案例比一次调用多 10-11 个百分点。把推理努力加满，准确率只变几个点，时间最多乘以七。成本侧同样是一边倒：在准确率超过最佳非 LLM 方法（NSigma，PR@1 38.9%）的运行里，成本或时间 Pareto 最优的每一条都是简单 harness；七个达标的发表 agent 运行（43-63%）全被不更贵或不更慢的 harness 在准确率上压过。换句话说，花钱与花时间换来的最优解全部落在放任模型自己调查的一侧。

数字有边界：四个发表 agent 是论文按原文重新实现的，案例研究只跟了单个案例，且论文自述规定调用占比只测编排固定了多少，没有证明固定就是准确率低的直接原因；全部结果出自论文自测口径，预印本未经同行评审。站内《研究 Agent 把证据磨得太光滑》从另一个角度给出同一提示：Agent 的工作流越是预先光滑，越可能漏掉它本就该看见的东西。

References

AI 范式雷达：《把 Agent 的线拉进自己的箱子》

2026-10-28T00:00:00+00:00

2026-10-16 至 10-28 的十二天里，agent 与模型之间那根直连裸线在 Hacker News 上同时遭到需求、事故、命名三向挤压：自建代理主帖 303 分，市占头部的 LiteLLM 在 PyPI 被投毒 596 分，「Agent Gateway」被厂商定为品类名。

三向挤压的细节：个人开发者主帖「不跑自己的 LLM proxy 你怎么知道发生了什么」（HN 50145507）拿到 303 分、全树 219 条评论；市占头部的 62,195 星（实测 2026-10-28）LiteLLM 在 PyPI 被投毒（HN 50181114，596 分、202 条评论）；Maxim AI 官方博客把「Agent Gateway」定为品类名（自述）。

范式表述：agent 观测网关化——开发者不再接受 agent 与模型/工具之间的通信只存在于厂商后台，而是把这层流量实时收进自己运行的代理进程里，看、记、限、拦；对 agent 的信任支点正从「信平台后台」迁移为「信自己脚下的这条线」。全部数字为 2026-10-28 经 HN API 全树遍历与 GitHub API 实测，厂商数字标注自述。据我们观察未发现同类中文报道。

供给与命名

代理层（proxy/gateway，指夹在客户端与模型 API 之间、由使用者自己运行的中转进程）不是新物：GitHub API 实测（2026-10-28）搜索总数 q="llm gateway" 11,728、q="ai gateway" 19,012，存量巨大。波的动作在头部换代与命名更新。10-27，Maxim AI 官方博客《Introducing Agent Gateway in Bifrost: One gateway for models, tools and agents》（厂商自述）把 models、tools、agents 一个网关写成品类名，并同步进 maximhq/bifrost 仓库描述（9,153 星，实测 2026-10-28）；该命名帖只有 2 分。窗口内新建同类仓星数都小：nenya 36 星、sturnus 13 星、Strix 供应链防火墙 18 星；波的形成形态是老仓上新品类词加小仓涌现。评论区同时是集市：agentsview（6,289 星，实测 2026-10-28，评论 50147725 推荐的非代理查看器路线）、nenyamy、agent-beacon、Relay 等至少六个互不隶属的新工具自荐。与第 17 期《Agent 说完不算，拿出证据》的切割：那期是事后证据层，本期是实时传输层；证据层回答「它做过什么」，网关层回答「此刻这字节经过谁的手」。

反方与边界

需求侧最硬的对手不是厂商，是规范派。评论 50151130 逐字称「You don’t need a proxy to do this」，代理会把单点故障直接放进生产力线里，Codex 与 Claude Code 都输出 OTEL traces；50147603、50152949 附和。代理派的回应（评论 50154093）是规范落地靠 harness 自觉。更锋利的是评论 50147291：「imagine a world where LiteLLM and all the other LLM shovels weren’t buggy vibecoded messes」——加一层代理就是加一条供应链，596 分的投毒帖把这条反方变成既成事实。事故细节同样打在信任结构上：被投毒的 1.107.0 已从 PyPI 撤下（实测 10-28 最新版本 1.106.5），官方 issue #47826 记录企业版走私有 registry 分发 embargoed（受限）修复——企业通道与开源通道分裂。边界继续列开：50153072 与 50151189 质疑「自建代理=透明」的前提，代理只看到 harness 愿意给的，闭源 harness 换个子域名照样 phone home；50147381 称订阅制下成本监控是伪需求。

品类成形度与观察点

诚实信号：直接命名品类的两条（Bifrost 2 分、Respan Rust 网关 53 分）热度低，高分集中在需求情绪（303）与事故（596）两根轴上——这是品类前夜形态，不是品类成熟形态。口径限定：全部星数与热度为实测 2026-10-28、随时间可变；Bifrost 与 agent-beacon 的定性均为厂商或作者自述口径；据我们观察未发现同类中文报道。与第 18 期《当你的笔记本上住进别人家的守护进程》方向正好相反：那期是驱逐别人代码常驻本机，本期是开发者亲手在脚下立一个中间件——同为「主权」叙事，动作互为镜像。实操侧窗口内已给出动作：钉住版本（pin）、发版冷却期（cooldown）、金丝雀升级。观察点：OTel GenAI 规范扩展（agent-beacon，评论 50153592）是否最终吃掉自建代理叙事，规范派与代理派的胜负就是下一期的选题判据。

References

一分钟读论文：《研究 Agent 把证据磨得太光滑》

2026-10-27T00:00:00+00:00

纽约大学（New York University）的论文《Quantifying Claim Smoothing by LLM Research Agents》给深度研究 Agent 的一种系统性偏差起了名字：smoothing（平滑化），每个系统至少 25% 的结论拿到 SmoothScore ≥ 3。

平滑化，指把彼此冲突、条件各异的来源压成单一叙事时，丢掉证据的参差感，写出比引用所能支持的大胆得多的结论。论文（arXiv:2610.35793）在 7 个系统、4 个数据集上测得：跨 7 个系统与 4 个数据集，agent 一致地产出强于证据所允许程度的结论，每个系统至少 25% 的结论（claim，指报告中可单独核查的判断句）拿到 SmoothScore ≥ 3（1-5 分制，分数越高磨得越平）。

拿证据对账的评分管线

SmoothScore 的做法是先从报告里抽出关键结论，再检索与每条结论相关的证据段落，按高层维度（aspect，指证据分歧所在线索，例如效果、适用条件、对比对象）聚类，最后由 LLM judge 对照证据给每条结论打 1-5 分：1 表示无平滑，≥ 3 为实质性平滑，≥ 4 为严重平滑。它查的不是结论真假，而是结论对证据的压缩是否忠实：证据混合就该保留混合，证据范围窄就该收窄范围。传统的逐条事实核查只给出有支持/无支持的二元判断，对综合叙事型结论缺少连续刻度，这条管线把测量拆成结论抽取、证据抽取、维度归纳、证据分配、打分五步。人工校验覆盖了 73 claims：两名标注员拿到同一份评分细则盲评，judge 与标注者 1 在 93% 的结论上相差 1 分以内，与两名标注员之间的相互一致性处于同一量级。

系统之间的差距比想象大

重度平滑（≥ 4）是系统之间拉开差距的地方。Gemini Deep Research 有 85-93% 的结论得分 ≥ 3，均分 3.05-3.27，严重平滑率 22-35%，约为其他闭源 agent 的 3-12 倍、Sol 的 13-26 倍；它引用的文档数约为 Luna 或 Sol 的 2-5 倍，报告在所有数据集上都是最长，但更长并不等于压缩得更有效。开源端的 DR Tulu 与 QUEST 约 59%/55% 的结论 ≥ 3、7-23% ≥ 4。最干净的是 Luna 与 Sol：至少 36% 的结论得分 = 1，即完全没有平滑，是其他系统的 1.5-2.7 倍。站内《编码智能体：知道却不说》测过报告与真实状态的另一种落差，可作参照。

没读过的页面写不出保留

平滑的一个嫌疑犯，是 Agent 根本没读过自己引用的页面。Luna 对 496 个引用文档只打开 95 个（19%），65 份报告里 45 篇一页未开；Claude Sonnet 5 的打开率只有 2%。它们几乎全靠搜索工具截断后的摘录干活，摘录长度中位数只有 585 字符，来源正文里的限定条件与反向发现，Agent 大概率从未看到。补救实验给出正面信号：把 SmoothScore 检索出的证据喂回给 Agent 修订报告，ResearcherBench 的专家评分 Luna +4.4、Sonnet +12.0（均 p<.001），补充上下文的体量只有原文档的五分之一到十分之一，效果持平甚至超过直接给全文。

这些数字全部来自论文自测口径，预印本尚未经同行评审；打分依赖 LLM judge，作者也承认在 ≥ 3 阈值上两名标注员的一致性只有 κ = 0.62。方向却是清楚的：报告读起来越像一份笃定的综述，越值得回头核对它引用的页面到底说了什么。站内《删掉一个前缀，近满分的投毒防御当场裸奔》同样提醒：评估口径本身，就是结论的一部分。

References

一分钟读论文：《循环语言模型的省算力账，批次维度对不上》

2026-10-27T00:00:00+00:00

Apple 论文《Do Halting Heads Save Compute?》（arXiv:2610.32246，2026-10-23 提交）从零预训练了 140M 到 1.3B 四档参数的循环语言模型，逐个清点批次解码真正花掉的迭代数，结论是 halting head 报告的省算力被系统性高估。

该论文全称为《Do Halting Heads Really Save Compute in Looped Language Models?》。halting head（在每个迭代后判断 token 是否停止的小层）按”平均每 token 迭代数”报告的省算力被系统性高估。上周站内《删掉一个前缀，近满分的投毒防御当场裸奔》打的是防御评测指标的失真，这一篇打的是另一个轴：推理计算分配指标的失真——预测平均、实际花费、批次实付是三个数。

预测不到一半迭代，实跑几乎跑满

循环语言模型把同一块层反复跑，每跑一遍算一个迭代，深度是推理时的设置而非权重的一部分，省算力的希望由此而来。论文转引的行业惯例（Tan et al., 2023）称计算量可省 50%——这是从规则跳过的迭代数估算的，并非实测运行时间。论文自己的 mixture-loss halting head 预测均值 3.7 个迭代（上限 8），不到一半；但默认退出规则要等停止概率累计到 90% 才放行，token 实跑 7.6 到 7.9 个迭代，论文原话是 save almost no compute（几乎不省算力）。病灶在训练损失：mixture loss 给所有迭代的状态混合打分，从不给退出规则真正停下的那一次打分；若改用按概率抽样停止迭代的方案把平均值真正花出去，质量要付约 0.2 BPB（每字节比特数，语言模型损失，越低越好）的代价。

批次等最慢的 token，领先塌缩到 0.003

改用逐步打分（per-step loss）加强早停先验后，token 真的停在约 3 个迭代，对随机深度训练的无头基线领先约 0.0246 BPB（770M 档位实测，Table 1 三档中最大值）。但服务端 32 条序列一起解码时，批次要等迭代最多的那个 token 停手才关门：token 平均跑 3 次左右，一个批次实付 4.4 到 4.7 次。370M 模型计时实测，批次比固定跑满 8 次快约 1.6 倍；若按实跑步数固定深度跑同一份权重，本可快 2.3 倍，差额就是等待最慢 token 的成本。在批次实付深度上重新对账，0.0246 的领先塌到 0.003 BPB。对已发布开源模型 Ouro 2.6B（Zhu 等人，arXiv:2510.25741）的复测显示，token 平均省约 1/10 迭代，32 token 批次只省约 1%——这是该文自测口径，非 Ouro 官方结论。

省是真的省过，但账本要换记法

结论并非 halting head 一无是处。逐步打分加固定深度解码时，模型仍全面领先无头基线；把停止 token 已算出的 key/value 复用进 KV cache（论文引 Geiping et al., 2025 的做法），单序列解码能保住几乎全部领先。Ouro 的 gate 在质量侧也真有收益：按该文自测，同等平均深度下其门控分配值 0.30 BPB。作者的范围限定同样逐字写清：结论只适用于 for the halting heads we train，即该文的 mixture/per-step 训练配置、上限 1.3B 参数（训 104B tokens）的规模，不能外推到所有自适应深度方案。整个项目约花 100,000 GPU-hours，预训练了超过 100 个模型。论文建议改报三个数——head 预测均值、退出规则实跑步数、批次实付步数——并给出训练前上界测试：瞄准 3 次迭代的 head，单序列解码上界约 0.03 BPB，32 序列批次下缩到约 0.01。

References

一分钟读论文：《删掉一个前缀，近满分的投毒防御当场裸奔》

2026-10-27T00:00:00+00:00

North Creek High School 与 Washington State University 的论文《Ranking Is Not Deciding》（arXiv:2610.33849）指出：RAG 投毒防御论文里的近满分检测率，很可能测的不是投毒本身，而是毒文档的构造痕迹。

该论文全称为《Ranking Is Not Deciding: Benchmark Shortcuts and Operating-Point Collapse in Query-Time RAG Poisoning Defenses》，由 North Creek High School 与 Washington State University 两位作者署名（arXiv:2610.33849，2026-10-24 提交）。——PoisonedRAG 官方代码把目标问题原样拼在每条注入文本前面——只做一件事：删掉这个前缀，已发表防御 RAGuard（Cheng 等人的查询时过滤方法）的 AUROC（衡量排序区分能力的指标）从 0.953 掉到 0.758，漏检率从 0.191 涨到 0.763，而 0.93 的毒文仍能被检索到。这与站内另一篇《低攻击成功率掩盖了什么？》是同一类问题的两面：那篇打的是攻击成功率这类攻击侧指标的失真，本篇打的是防御侧检测指标的失真。

考卷把答案印在了题目上

RAG（Retrieval-Augmented Generation，检索增强生成）把语料库变成攻击面：能往库里插文本的攻击者就能操纵回答。论文转引 PoisonedRAG 原文的结论是，每个目标问题只需 5 条注入文本即可达成 90% 以上的攻击成功率。主流应对是查询时过滤器：生成前逐篇判断检索文档能否进入上下文。

问题出在评测怎么造毒。PoisonedRAG 的发布代码（src/attack.py）把每条注入文档生成为”目标问题＋句号＋文本”，防御论文直接跑这个代码评测，等于让过滤器做”找出带题目的那份卷子”。论文实测：某第三方复现释放的毒文里，500 of 500 条包含目标问题原文。按该文自述的 survey 口径（作者自建表 II 的统计，非第三方独立审计），21 个已发表防御评估中 8 个可验证地在用这种含问题毒文构造，5 个换用了长度或重复线索——比如把片段重复 2–10 次，或毒文 119–162 词对干净文档固定 100 词，光数词数就能到 AUROC 0.999；另有 12 个不报告部署阈值下的假阳率。

删掉前缀、补上长度，决策当场死亡

在 4 个语料库（NQ、医疗、金融、法律）、4 个攻击族、10 个逐文档防御的同一共享候选集上，两个控制实验撕开了口子。其一，对 NQ 上攻击作者自己的毒文只删问题前缀：毒文检索率保持 0.93，RAGuard 的 AUROC 从 0.953 跌到 0.758。其二，把医疗毒文用乱序词填充到干净文档长度——内容信息清零——TrustRAG 的集合级漏检率从 0.000 涨到 0.827；论文自己的学习打分器漏检率从 0.000 涨到 0.986（对齐 5% 假阳率后仍有 0.321），而 AUROC 停在 0.953 不动，进入上下文的毒文占比从 0.00 升到 0.94。用论文原话说，The ranking survives; the decision does not——排名还在，决策已死：只看 AUROC 的报表分不清这两件事。另一个细节：前缀本身还撑着检索，Contriever top-5 中含毒文档在有前缀时平均 4.79 条（86 of 100 个查询五条全中），删掉后只剩 2.40 条。

这不证明防御无用，但证明报表要改写法

论文明确划了边界：逐字写道 we propose no defense，不提出任何防御；其自有打分器被自适应攻击者以 0.977 的毒文过检率击穿；结论只适用于上述共享候选集的受控实验，不涉及真实部署，也不意味着所有 RAG 防御都失效。医疗格子里毒文包含问题且长度出格时，8 个打分系统中 4 个漏检为 0.000——饱和恰恰出现在线索最强处。论文给出的可操作建议是：检测结果只有在同时报告毒文构造画像（问题原文包含率、长度重叠度）和实际部署阈值的假阳率时才算证据；论文另一处实测显示，防御 DRS 的阈值校准方式可使其医疗库假阳率从 0.945 变 0.035，阈值校准本身也在左右结论。