大厂圈的是结果进模型之前的拦截线

四件当日二验的详情页给出同一条线。美国运通（American Express Travel Related Services Co Inc）的 US20260212002A1（LLM 交互安全沙箱，2026-07-23 公开，优先权日 2023-11-15，状态 Pending）claim 的是进模型的交互先进沙箱隔离（中译）。微软（Microsoft Technology Licensing LLC）三件：US12699853B2 语言模型幻觉检测（2026-08-04 授权公告，优先权日 2024-01-21）、US12688403B2 生成式人工智能系统的提示词注入判定（2026-07-21 授权公告，优先权日 2023-03-03）、US12430428B2 异常工具调用判定（2025-09-30 授权公告，优先权日 2023-11-15）。输入过滤、调用拦截、输出验真，四件全在「结果进模型之前」动手；没有一件 claim 工具返回空或报错之后，结果语义怎么分流。仓库缺货和收银机坏了，在大厂的权利要求里被当成同一件事。

缺口在结果进门之后

工具调用（tool calling，即大模型按预先约定的 schema 发起外部函数执行）返回失败或空值时，至少混着三种语义：数据库里本来为空、工具服务坏了、参数用错了。分错箱的代价很直接：agent 拿着假空值继续往下推理，把库存查询为空当成商品下架；或者对着临时故障无限重试，烧掉一大截 token 预算。三种情况的正确动作完全不同，如今分流靠的全是开发者手写的临时判断。检索面印证空位：精确短语 “empty tool result” 命中 0 件；”tool execution” 的 3638 件里，2025 至 2028 分箱 420 件、2022 至 2025 分箱 136 件，执行侧本身还在加速圈地，结果语义侧仍是零。

痛点有热度，供给全在写入侧

社区侧同温：Hacker News 近一年五个相关帖。「Google Antigravity exfiltrates data via indirect prompt injection attack」768 分（2025-11-25）、「Show HN: Forge – Guardrails take an 8B model from 53% to 99% on agentic tasks」687 分（2026-05-19）、「Fixing Tool-Call Accuracy in vLLM」172 分（2026-10-26）、「The M×N problem of tool calling and open-source models」159 分（2026-04-09）、「Local Indexing to reduce tool calling and token usage」127 分（2026-10-12）。工具侧生态同样热闹，但防的全是调用发生之前：npm 上 @stackone/defender（0.9.4，2026-10-21 发布）自述是面向 AI 工具调用的提示词注入防御框架，近一月下载 57051；评测工具 promptfoo 近一月下载 3949597。PyPI 上的 guardrails-ai 最新 0.11.0、llm-guard 最新 0.3.16，也是写入侧老工具：没有一个做失败结果进门后的分流。需求开了口，供给全堵在上游。

空位是只读的分箱记账

缺口对应一个个人开发者可交付物：只读的 tool-result（工具返回值）语义审计器。挂在工具调用日志之后，把失败与空返回值分箱成「本来为空、工具故障、参数错误」三类分开记账后出报告，帮开发者算清每类错误烧掉的重试成本；不拦截、不改调用、不碰模型。从公开文本看，四件专利的 claim 停在输入过滤、异常调用检测与输出验真，这种事后、只读、不执行动作的审计暂不落在其文字范围。拦截线上已经站满大厂，收银机后面的小生意还空着。上一篇智能体记忆坏账审计管的是记进长期记忆的账，这一篇管的是每次工具调用留下的流水。

References

• 美国运通 LLM 交互安全沙箱专利
• 微软幻觉检测专利
• 微软生成式 AI 系统专利
• 微软异常工具调用判定专利
• HN：Antigravity 间接注入数据外泄
• HN：Forge 护栏把 8B 模型 agentic 任务从 53% 提到 99%
• HN：修复 vLLM 工具调用准确率
• HN：工具调用与开源模型的 M×N 问题
• HN：用本地索引减少工具调用与 token
• npm：@stackone/defender
• npm：promptfoo
• PyPI：guardrails-ai
• PyPI：llm-guard

准确率只降 1.45 个百分点。三种架构分别是：skill 内检索（Skill，主 agent 自己查）、无状态检索子代理（每次新历史，返回一段 findings 总结）、持久检索子代理（Our method，跨轮保留检索历史、把原始证据直接交回主 agent）。数据集是 ServiceNow 的 ITSM 工单 57 题、HRSD 人事工单 48 题，以及带多轮依赖的 ITSM Complex 69 题；每组配置跑 3 次取均值。需要说明的是，作者 5 人全部来自 ServiceNow，实验跑在自家 agent harness 和自家企业工单集上，结论不宜泛化为所有 agent。

三套架构的账单差在哪

最贵的是让主 agent 自己把检索结果堆进上下文。在 ITSM Complex 上，Skill 平均每题 401.5k token、按公开牌价估算成本 $0.387；持久子代理是 210.8k token、$0.121；无状态子代理是 148.0k token、$0.133。持久方案对 Skill 的成本差为 3.2 倍，响应时间也从 58.3 秒降到 54.3 秒。跨 5 个多轮设置加权，持久子代理比 Skill 少 43.3% token、每题省 $0.157（45.0%）、快 9.1%。

代价也写在同一张表上：ITSM Complex 准确率从 91.30% 降到 89.85%，-1.45 个百分点。这个数字仅在 69 题多轮依赖集上出现，且是 GPT-5.4-mini 裁判判定的宽松通过率（得分大于 0 且判为一致即算通过），不是严格准确率。单轮场景反而打平甚至反超：ITSM 上两者同为 98.25%，每题估算成本从 $0.113 降到 $0.068。

省 token 与省钱是两本账

把对照系换成无状态子代理，结论会转弯。无状态子代理每次从零开始，持久方案反而比它多用 41.4% 总 token（ITSM Complex 口径），跨 5 个多轮设置平均多 65.1%；两口径属不同统计范围，不能混用。每题估算成本还贵 $0.043（29.1%），只是快 15.6 秒。保留历史把输入变大了，账单却没爆，因为未缓存输入 $2.50/百万 token、缓存输入只算 $0.25、输出 $15（OpenAI 公开的 GPT-5.4 标准牌价）——缓存单价只有未缓存单价的十分之一，存进缓存的那部分历史几乎不要钱，硬生生把账打了下来。所有 $ 数字都是拿录制 token 乘牌价的估算，不是真实账单，也不含检索服务与裁判调用。注意 43.3%/45.0% 的省是相对 skill 内检索说的，不能当成「比不优化便宜一半」。

消融：别写总结比保留历史更值钱

ITSM Complex 消融把两个机制拆开定价（每题均值）：去掉「直接回传证据」、让子代理改写 findings 总结，成本上浮 42%、慢 17.7 秒；去掉「持久历史」只上浮 8%、慢 4.3 秒，前者代价是后者的 5.3 倍；三种配置准确率都停在 89.85%。真正的大头是不让子代理作文：主 agent 自己读证据、自己写答案，省掉一次中间生成。持久历史的价值则在于复用：同一个子代理跑完 69 题只做了 23 次元数据查询和 59 次 Cypher 查询，而 Skill 是 36 次与 85 次。

与站内《像查性能热点一样查智能体的开销》不同：那篇是用 profiler 对已跑轨迹做开销归因，这篇是在架构层面比较三种检索外包姿势的选型，两者不在同一轴上。

References

• Persistent Retrieval for Conversational Agents: A Study of Retrieval Efficiency

五件专利全在管记账，没人管坏账

US20250259042A1（Qomplx Inc，2025-08-14 公开，优先权日 2024-02-08）claim 1 保护「任务分解后交给多领域 agent，初步结果嵌入所有 agent 共享的公共 token 空间供后续复用」的编排系统（中译），claim 2 再加跨 agent 分层记忆结构（中译）。EP4657312A1（Microsoft Technology Licensing LLC，2025-12-03 公开）claim 1 把上下文数据装入 agent 多层记忆（multi-layer memory），再由此机器学习出「监督等级」配置执行自由度（中译）。CN121233825B（北京城市网邻信息技术有限公司，2026-06-26 授权）claim 1 要求先按领域与主题类别从短期记忆存储区召回会话摘要，召不回再转长期记忆存储区（中译）；说明书把上下文工程（context engineering，即对进入模型的记忆与资料做采集、筛选、压缩、排序、更新）就定义为这套流水线。CN121301536A（上海羚数智能科技有限公司，2026-01-09 公开）把「基于智能体上下文工程的混合 AI 自适应优化系统」直接写成发明名称（中译），claim 1 的知识库由带来源、时间戳、使用次数、置信度元数据的结构化知识单元组成。US20260181056A1（Monday.com Ltd，2026-06-25 公开）最直白，跨 agent 记忆同步子系统直接写进标题：在两个以上 agent 实例间同步记忆完成协作（中译）。

检索面一边拥挤，一边近乎空地

Google Patents 检索接口对精确短语 “context engineering” 的聚合面返回 185 件，其中 146 件公开于 2025 年及以后（分箱来自接口自算 summary，两次命中计数一致）。185 不等于赛道全量，大量同技术专利用 memory store、token space 等词书写，不能作全行业定量结论。反向对比更能说明问题：查 “memory staleness” 仅命中 4 件，全是硬件内存泄漏与虚拟机状态旧专利（1987 至 2021 年），没有一件属于智能体记忆语义。写入装配的术语下七成就在近一年，读取失效的术语下近乎空地。

开发者先不相信，工具却只有仓库

社区侧同频，Hacker News 近 12 个月：「Agents don’t need memory, they need documentation」拿到 392 分，「Don’t trust large context windows」277 分、「Agent memory as a file format」191 分；一条 371 分帖子题为「OpenAI reduces Codex Model Context Size from 372k to 272k」，是社区上报叙述，PR 正文未读，但至少说明上下文预算被当成资源讨论。供给端却是另一个故事：npm 上 mem0ai 最新版 3.3.1（2026-09-25）自述就是 The Memory Layer For Your AI Apps，PyPI 上 cognee 1.6.6、memobase 0.0.27 同理都是「存」的库；搜 memory audit、context budget 一类命名，只有 4 个个人开发者体量的小包（1 到 8 个版本），做窗口预算估算或本地日志分析，没有一个审计记忆内容本身。这就是「供大于求、验大于零」的位置差：需求开了口，工具几乎为零。

空位是只读审计，不是又一个记忆库

缺口对应一个可交付物：记忆审计 CLI。指向本地 agent 记忆目录（JSONL、SQLite、Markdown），输出过期条目、矛盾记忆对、从未被召回的死记忆、跨 agent 重复写入；不依赖大模型，不改动记忆，只出报告。从公开文本看，五件 claim 覆盖写入、编排、召回与监督等级配置，只读、离线、不执行任务的审计目前不落在其文字范围；但 Monday.com 的协调层 claim 较宽，产品一旦做成带调度的同步中间件就会贴近，这条边界要守住。上一篇网络排障 Agent 专利解决「上场干活没人监考」，这篇解决「记下来的账没人对账」。

References

• US20250259042A1 - Qomplx
• EP4657312A1 - Microsoft
• US20260181056A1 - Monday.com
• CN121233825B - 北京城市网邻
• CN121301536A - 上海羚数智能
• HN: Agents don’t need memory
• HN: Codex context size 上报帖
• PyPI: cognee
• npm: mem0ai

研究由伊利诺伊大学厄巴纳-香槟分校（UIUC）的 Huimin Zeng 与东北大学（Northeastern University）的 Yuxuan Lu 共同一作，成员来自加州大学洛杉矶分校（UCLA）、UT Austin 及独立研究者，UT Austin 的 Jiaxin Pei 为共同通讯作者。实验覆盖 4 个基准（τ²-bench、SWE-bench Verified、Claw-Eval、MCP-Atlas）、6 款前沿模型（Kimi-K3、Gemini 3.1 Pro、GPT-5.6 Terra、GPT-6 Astra、Claude Sonnet 5、Claude Fable 5.1）和 5 款执行框架，属于受控测量而非全行业账单统计。

什么算「浪费」

论文把「浪费」定义为可操作的测量口径：先用 LLM 裁判（LLM-as-a-Judge）把轨迹里的推理片段标成四类——复述（Restate）、重复取数（Duplicate-Fetch）、凑字（Padding）、绕远路（Detour），再把这些片段删掉重放执行，验证任务表现是否受影响，而非人工主观标注。

删除实验证明了这把尺子的有效性：在 SWE-bench Verified 上，删掉被标记的浪费后仅 3.0% 的轮次动作分布显著移位，而删掉全部历史推理则移位 25.0%；MCP-Atlas 上是 10.5% 对 37.9%。浪费片段对后续决策的影响比全部推理小一个量级，说明被标记的确实是「可安全移除」的部分，而不只是冗长的部分。

删掉近半推理，成绩基本不掉

在线剪枝实验中，删除复述与凑字两类内容后：SWE-bench Verified 删 0%（基线）时 solved 为 89.0，删 41% 后升到 89.5，删 100% 全删则崩到 73.0；MCP-Atlas 基线 65.0，删 46% 后 62.3，全删崩到 56.0。

浪费的分布高度不均。跨轨迹统计里约 18% 的输出 token 被标为浪费，这是衡量剪枝空间的基准量；删复述与凑字两类可达 41%–46%，因为剪枝删的是可安全移除的片段集合，与全量浪费标记口径不同。在超过 45% 的任务里，单个智能体浪费的输出比另一个成功解出同题的智能体的全部输出还多——两者是相互独立的观察。浪费还高度集中：MCP-Atlas 上约 10% 的 OpenHands 轨迹占了 73% 的轮次，SWE-bench Verified 上长轨迹约占 40% 的轮次。

加钱买推理，边际收益有台阶

以 Kimi-K3 单模型为例的预算曲线显示：从低档到高档多花 0.99 百万 token，成功率从 69.7% 升到 78.4%；再从高档到最高档多花 0.80 百万 token，成绩无可测提升。高档到最高档新增 token 中 81% 花在结果不变的任务上，只有 12% 对应失败转成功。

更反直觉的是：同在 Kimi-K3 上，最高档每轨迹推理 token 是低档的 6.6 倍，被判定为浪费的比例却仅从 23.7% 变到 24.9%，同一批都能解出的任务上贵 1.62 倍。多烧的钱买的是更长的路径，不是更多的废话；省钱的抓手是剪掉被标记的片段，而非一刀切压低推理预算。这条曲线仅为单模型口径，不能外推到全部前沿模型。

与站内《像查性能热点一样查智能体的开销》不同：那篇是把 profiler 搬到智能体轨迹上做开销归因，这篇则是给「浪费」下了可删除、可验证的操作定义，并用它做在线剪枝干预，两者不在同一轴上。本文结论适用于其受控测量范围，不宜外推为全行业账单。

References

• How Do AI Agents Waste Your Money?

改不动是被量出来的事实

基准设定：18 个环境、352 个任务、九个应用领域，每个环境暴露 3 到 18 个工具（平均 10.1 个），任务流按 16、24 或 32 个任务排布，流内安排一到三次环境变更——参数上限、字段名、资源规则变了，但不告诉你。以往基准问「存下的经验有没有用」，这篇问「环境变了，存下的经验改不改得动」。

答案分两半。经验确实有用：带着经验做任务的表现差距明显，Qwen3.8-27B 在 62.48 与 73.44 之间。经验也确实难改：变更发生后第一个任务里，Qwen3.8-27B 只完成 29.05% 的应更新项，与商业模型中位数 29.75% 几乎并排——开源与商业在这道关卡前一样卡壳。

两条线越走越远

论文把两条覆盖率曲线盯到底：该更新内容的覆盖率在头四个受影响任务里从 21.47% 爬到 43.07%、59.40%、64.63%；该保留内容的保留率是 89.05%、88.07%、90.38%、91.07%，纹丝不动。第四个任务上按模型均值计，20 个模型里有 19 个是保留完胜更新。

还有一层结构差：17 个模型的「结构性覆盖」（经验大框架）高于「规则性覆盖」（具体条款），平均高出 4.79 个百分点，两款头部模型甚至差出 9.51 和 10.97 个百分点。模型记住的是经验的大概，丢的是细则——环境变更后坏恰恰坏在细则上。

做成过的活也会回退

变更当天的冲击最有痛感：损失最大的资源类分组，从变更前一个任务到变更后首个任务，经验带来的优势直接掉 40.33 个百分点，结构类与工具类也各掉 35.98 和 36.63 个百分点。

更值得注意的是回退：1,520 个完成过且有两个随访检查点的经验里，156 个——占 10.26%——在随后一个或两个检查点变回不完整。第一次做成不等于永远做成，经验是动态维护品，不是一次性入库品。而维护的价值可以直接标价：所需经验完备的交付率 95.31%，不完备只有 71.28%，差 24.03 个百分点。

对智能体工程的意思

先限定口径：这是基准测量，环境是受控演进场景，结论不是「长驻智能体不可行」，而是「现有经验管理管道只有写入功能、没有更新功能」。对工程实践，论文指向把工作翻面：环境变更要被侦测并反查受影响经验、做定向修订；对做成过的任务加回退检查；监控规则级覆盖，别只看结构级覆盖好看。它与站内《长文本翻车怪长度？怪的是抢注意力的对手》正好互补：那篇管住脏上下文里的检索，这篇管住过期经验里的维护，智能体上生产两道关卡都得过关。

References

• 论文 arXiv:2611.05450

九天六帖实测

时间线（分数与评论数系 2026-11-06 Algolia 全树实测）：

• 10-27 Wiz 测绘 PHP2Shell 利用与修复趋势（HN 50259343，192 分 / 52 评论，引信）
• 10-29 Dream Security 复盘 PHP2Shell 打穿 25 台服务器（HN 50286987，332 分 / 162 评论，引信）
• 10-30 Fortune 报道 Cisco 无限 token 重写遗留代码（316 分 / 386 评论）
• 10-30 SigNoz 工程博客《AI isn’t replacing SREs, it’s deskilling them》（684 分 / 498 评论）
• 10-31 博客帖《Postgres 19 is late because so many more bugs are being found now》（850 分 / 517 评论）
• 11-01 arXiv 论文《When Modernization Breaks Working Code》（22 分 / 14 评论，反面测量）
• 11-04 IEEE Spectrum《The PHP2Shell Vulnerability Heralds Cybersecurity Hell》（HN 50364336，1265 分 / 738 评论）

供给面注脚：微软 Command Line 官方博客《Cheap code, precious trust: Code modernization at scale》（10-26，3 分）自述 4 亿行代码库迁移规模，热度极低，只作「大厂把还债立项为工程学科」的佐证。

封面 a 面把这七帖画成分数对评论数的散点，横轴刻度 0、400、800、1200，纵轴刻度 0、200、400、600、800，最高的 IEEE 帖 1265 分与评论最多的 738 条都落在坐标系内。六帖分属媒体、甲方、厂商、开源治理、职业、安全研究六个互不关联的生态层，没有产品发布作纽带，共同对象只有一个：存量代码开始被系统性偿还。IEEE Spectrum 原文小标题逐字为「AI is forcing us to pay off 40 years of technical debt」，Tolmo AI 安全研究负责人 Matt Suiche 的原话是「all the legacy software that was written by humans over the last 40 years is being exposed」「Now it is time for the technical debt to be paid off」。PHP2Shell 只是引信：老代码的内存错误被利用，触发的却是债务清算叙事——与站内《官方渠道沦陷之后》讲的分发渠道投毒是两回事，那期敌人是别人，本期处置的是自己仓库里的旧文件。

三本账与一个口径

甲方账（HN 50304122）：Cisco 总裁 Jeetu Patel 受访称，公司给一名 27 岁工程师无限 AI token 授权，目标是重写 98% 遗留代码。标注：98%、无限 token、27 岁全是 Cisco 自述口径，第三方未复测；外溢帖 50303001（5 分）与 50356153（4 分）转抄同一篇 Fortune 稿，三帖热度独立、口径不独立；Fortune 正文被 403 拦截，仅引 HN 帖标题口径。

工期账（HN 50312408）：850 分把 Postgres 19 延期归因于 AI 扫老代码后缺陷发现量上升——「还债预算首次超过新功能预算」的开源版实证。同稿窗内被 Neon、LWN、Phoronix 等 4 家站点二次分发（5、3、12、4 分），分发独立、观点同源，按一个事件记账。职业账（HN 50305693）：SigNoz 设问当 AI 接手 95% 事故响应，人是否荒废那 5% 要命处置——95%/5% 为自述设问、非测量值。微软博文自述大迁移「increasingly backed by formal verification」，只作「还债需要验收手段」的注脚，不展开验证层叙事。

反方：三脚刹车

第一脚踩在归因上。评论 50332587 指 Postgres 帖把质量改善包装成 AI 之过——「finding more bugs is a good thing」；50331726 说前 AI 时代晚期 beta 同样撞出过服务器级缺陷，归因缺基线；50334080 自述被 AI 翻出「decades of nasty bugs」后结论是好事。若此论成立，本期叙事该从「AI 逼债」降格为「AI 记起了债」。

第二脚踩在造债速度上。评论 50370497：「every line of code is a liability」，人类会在加与不加之间取舍，LLM 不会、全都加；50366485 自述把 AI 写的表单应用砍掉三分之二；50365724 指出欠债成因是没上线就丢工作，工具变便宜不改写激励。偿还与制造同期发生，净债务走向未知。与相邻三期切割写死：《你关掉的开关，会自己回去》审计厂商数据授权默认值，本期处置自己的存量代码，Cisco 的无限 token 是预算授权、不是默认值同意；《模型的配方摊在桌面上》动的是参数空间，本期动的全是人写的源码文本；《标价之外，Harness 替你买了什么》核算 token 成本，本期不核算金额，只记「给还债排预算」这个动作。

第三脚带数字。arXiv 2610.40269《When Modernization Breaks Working Code》（HN 50330033，22 分 / 14 评论，实测 2026-11-06）：5 个模型各现代化每 100 个 WordPress 4.0 的 PHP 文件到 PHP 8.3，配 630 项隐藏行为检查与 511 项 Rector 指标。结论逐字：「Untouched, 83 files already pass every check; the best LLM leaves only 59. Each model breaks 32-51 working files while repairing at most 10, whereas Rector breaks 7 and repairs 6」，另「Only 37 findings (7 percent) require a change under PHP 8.3」。这是窗内唯一带可复现口径的量化反证：不碰留下的满分文件（83 个）比最好的模型（59 个）还多。评论 50345118 反击说模型迭代太快、结论存疑；50345266 指单文件粘贴是过时工作流——数字只适用于无反馈单轮现代化，不外推到带测试的 agent 流程。重写也非共识：50304948 的「未记录行为约定会在重写中丢失」至今没有硬反驳，正方引以为据的案例被 50322266 驳回——「two isn’t a ton」。

供给注脚与动作清单

GitHub 搜索面实测（2026-11-06）：legacy modernization 存量 2,215 库、code modernization 存量 1,648 库，限定 2026-09-01 后新建仍有 306 库；头部工具包（Anthropic 迁移工具包 787 星、微软示例仓 230 星）却均创建于窗外，窗内新建者星数个位到十位——需求与账本先行、工具轴滞后，据我们观察未发现同类中文报道。

可执行的动作：排期前先跑规则工具 Rector 建基线再让模型入场，把「破坏 32-51、修复至多 10」当默认预期；对重写产物按「未记录行为约定会丢失」设验收，先补测试再合并；Cisco 式授权当组织样本看，不替任何人验证 98%。旧账排进工期表不稀奇，稀奇的是账桌旁第一次坐下了预算委员会——账目仍要靠带验收的还法一本本核。

References

• HN：IEEE Spectrum——The PHP2Shell Vulnerability Heralds Cybersecurity Hell
• IEEE Spectrum 原文
• HN：Postgres 19 is late because so many more bugs are being found now
• HN：Cisco 给工程师无限 AI token 重写遗留代码（Fortune）
• HN：AI isn’t replacing SREs, it’s deskilling them
• arXiv 2610.40269：When Modernization Breaks Working Code
• Microsoft Command Line：Cheap code, precious trust
• 站内：AI 范式雷达《官方渠道沦陷之后》
• 站内：AI 范式雷达《你关掉的开关，会自己回去》
• 站内：AI 范式雷达《模型的配方摊在桌面上》
• 站内：AI 范式雷达《标价之外，Harness 替你买了什么》

长文本本身不背锅

context rot 指上下文变长后，模型找回目标信息的能力下降。测试对象是五个 0.5B 到 3B 参数、来自四个家族的开源模型：Qwen2.5-0.5B-Instruct、Qwen2.5-1.5B-Instruct、SmolLM2-1.7B-Instruct、OLMo-2-0425-1B-Instruct 和基座 Llama-3.2-3B。任务为受控检索模拟：上下文中埋入一条含目标数值的陈述，再询问该键的值，正确答案即目标陈述中的数值；每轮随机化填充与目标的位置，排除位置记忆的影响。

把无关文本换成与证据同格式的陈述句、放在完全相同的位置，准确率跌到 0.11 到 0.21，而中性填充在 32K token 内准确率始终保持 0.97 到 1.00。位置、格式、长度都没变，仅内容从无关变成竞争，结果就翻转。需要限定的是，这是小参数量开源模型上的受控检索模拟结论，机制是注意力竞争，不能外推为所有大模型长文本能力全面下滑的现实断言；它说明的是，在检索这类任务里，长上下文失效有一条清晰可测的因果链。

对手数量决定损失

单个「竞争值」陈述——给被查询的键一个错误取值——能让损失放大 9 到 110 倍，每多一个对手再叠加。在 Qwen2.5-1.5B、2,048 token 下，竞争陈述数量从 0 到 6 个及以上时，信息损失依次为 0.03、1.37、2.24、2.48、2.71、3.26、3.45 nats（衡量模型偏离正确分布的程度，越大越糟）。按冲突有无分组统计：不含任何同键陈述的上下文损失 0.02 到 0.34 nats，含至少一条的上下文损失 1.38 到 3.24 nats；无冲突上下文准确率 0.97 到 1.00，含冲突的样本准确率只有 0.25 到 0.52。也就是说，翻车不取决于上下文字符多少，而取决于其中埋了几个抢同一个键的对手。

注意力质量是先行指标

解释变量是证据 token 上残余的注意力质量 a*，即模型分配给目标陈述那几行的注意力份额，论文用 log(1/a*) 把它换算成损失量纲。126,473 次试验中，log(1/a*) 解释损失方差的 35% 到 58%，上下文长度的对数只解释 2% 到 8%，差距在 8K 到 32K token 全程存在。换句话说，想知道一条检索会不会失败，盯注意力分布比盯上下文长度有效得多。在 Qwen2.5-1.5B 上，损失在 a* 跌破约 0.35 前近乎为零，随后陡增，说明存在一个可操作的健康阈值。

Masking 实验拆穿长度归因

此前不少「长上下文退化」的结论，靠的是遮蔽（masking）填充文本——把填充盖住后，上下文在模型眼里其实并没有变长，却把性能下降记在长度头上。复现 Du et al. 的遮蔽协议，30K 遮蔽 token 让 Llama-3.2-3B 与 Qwen2.5-7B 的 MMLU 准确率下降 11 到 18 个百分点；检索任务里 32K token 遮蔽同样吃掉 46 个百分点准确率，而完整可见的同一填充分毫不损。遮蔽破坏的是注意力读数，长度本身无罪。论文已放出 probe 与 126,473 次试验数据（开源仓库）。

这套「注意力竞争」解释与站内早前《智能体学会主动清空记忆》的上下文管理思路互补：前者诊断脏上下文为何让检索失效，后者解决任务中途如何主动清空它；对做检索增强和智能体 memory 的工程实践，含义是控制同键冲突条数比控制总长度更关键。

References

• 论文 arXiv:2611.04169
• 开源仓库 yliusci/length-is-cheap

同窗六帖实测

事件按时间线排开（分数为 2026-11-04 15:36 CST Algolia items API 全树实测）：

• 10-23 Google 拟用 Gmail 与 Photos 数据投广告（403 分，广告用途旁证，不入核心论证）
• 10-27 Anthropic 官方帮助页《Is my data used for model training?》被推上榜（225 分）
• 10-27 斯坦福校报《Stanford Daily》报道 Claude 用盗版教授书籍训练（606 分）
• 10-31 Anthropic 封禁疑似参与蒸馏的用户账号（492 分）
• 11-03 OpenAI Codex 训练开关被用户观察到静默重新启用（468 分，评论树 144）
• 11-03 Postman 被取证自动安装 AI 插件并尝试共享 API 数据（1192 分，评论树 378）

六帖横跨 OpenAI、Postman、Anthropic、Google 等 3 家以上互不关联的主体，没有任何一次产品发布作纽带，共同的只是同一个动作在不同产品面上被各自抓到：默认值动了。所谓「默认值审计」，就是把训练开关、数据共享开关这类选项当作会漂移的配置项，定期与上次记录做 diff，而不是签约时勾一次就完事。

两案证据等级不同

热度最高的 Postman 案（HN 50354960）指向 GitHub issue #14370，标题逐字为 “[SEVERE] Desktop auto-installs Codex/Claude plugins; installer attempts to trust its own startup hook”。取证者引用 Postman 自己的 main.log：PostmanAgentPluginService~install 记录 {"source":"auto-existing-upgrade","results":["claude-code:installed","codex:installed"]}——自动向 Codex 与 Claude Code 安装插件的动作由厂商系统日志坐实，属系统自证级证据。issue 实测 open、38 条评论（仓库 6,025 星，实测 2026-11-04）；Postman 官方账号 11-04 在 HN 的回应只谈开放哲学、未触及自动安装，其中「超过 1700 万开发者」为厂方自述口径。

Codex 案（HN 50352757）是另一种证据等级：发帖人自述多名同事同时发现 ChatGPT 数据控制页里的 “Improve the model for everyone” 开关回到开启位，原文措辞为 “noticed that the setting had been silently reenabled”。这是用户集体观察，不是厂商自认；发帖人自己在评论 50353786 承认 “I definitely can’t prove it”。两案必须分开记账：一个是日志级，一个是观察级。

Anthropic 一侧是同一信任轴的三个独立面：帮助页被推榜说明「我的数据会不会被训练」这个默认值认知已是公众问题；盗版书籍入训（606 分）在输入侧；封号争议（492 分）在条款执行侧。另有评论 50354115 自述 Mistral Teams 计划同窗从 opt-in 改 opt-out、移除组织级总开关，48 小时后回滚但所有员工滑块已回到开启位——用户自述个案，未经独立核验。

反方与区隔

第一条刹车来自评论 50353398：”If your company actually cared about this they would be running their own inference instead of leaving fate to a couple of checkboxes”，跟进评论 50353503 补充云厂商的 gated 模型不出网关。若此论成立，真痛点是部署位置而不是勾选框，本期实操价值被削半。

第二条刹车针对证据本身：50353786 发帖人自陈无法证明，50355259 也为帖主的 “seems” 措辞辩护——相当热度建立在情绪共振而非可验证证据上；截至 2026-11-04，OpenAI 未见公开回应，口径缺位本身记入反方账。第三条最狠（评论 50356785）：”You should assume that they are training on their data even when it’s disabled by you”——若接受此前提，审计默认值也无意义。此外评论 50357232 把 Postman 案归因为 SaaS 普遍逐底而非 AI 特有，同窗的 Google 广告数据帖（403 分）也说明默认用途漂移是平台经济旧病，AI 只是新宿主。归因必须克制：本期不主张任何厂商恶意实锤，主张的只是同一窗口内多主体同动作。

与相邻几期的切割要写死。站内《官方渠道沦陷之后》讲外部攻击者污染分发包，那期敌人是别人，本期信任对象本身就是动作主体；《标价之外，Harness 替你买了什么》记 token 账，本期记数据授权账，同一批工具、两本不同的账；与《模型的配方摊在桌面上》的切割最直接：那期动的是参数，本期动的是同意。

供给缺位与动作清单

GitHub 搜索面实测（2026-11-04）："data sovereignty" ai 自 2026-05-01 以来新建仓库 77 个，training consent ai 仅 8 个，头部星数均低，窗口内没有成形的默认值审计工具簇——本期是需求与事故轴先行、工具轴缺位的品类前夜形态。

现阶段可执行的自保动作只能手工：定期打开 chatgpt.com/settings/data-controls 与 Claude 侧的 privacy.claude.com 帮助页核对开关状态并截图留档；组织管理员检查成员级滑块是否在平台升级后被重置；订阅常用 AI 工具的 changelog，把「训练」「数据共享」关键词加入检索。条款是一次性签名，默认值是持续状态。开关既然会自己回去，勾过的选项就要当成配置项定期 diff——这是本期全部证据收敛成的唯一动作。

References

• HN：OpenAI seems to be silently re-enabling model training on Codex chats
• HN：Postman silently auto-installs AI plugins
• postmanlabs/postman-app-support issue #14370
• Anthropic 帮助中心：Is my data used for model training?
• Stanford Daily 报道入口
• 站内：AI 范式雷达《官方渠道沦陷之后》
• 站内：AI 范式雷达《标价之外，Harness 替你买了什么》
• 站内：AI 范式雷达《模型的配方摊在桌面上》

论文 2026 年 10 月 14 日发布于 arXiv（编号 2610.20845），第一作者 Yujie Feng 隶属 Alibaba Token Hub。这里说的技能库（skill bank）是智能体在任务中积累并复用的可调用过程性技能，通常以文档形式保存；技能与策略共进化（skill-policy co-evolution）指训练过程中策略模型与技能库互相改进，是当前自进化智能体的主流范式之一。

共进化把智能体绑死在陪练技能库上

论文指出的盲区在评测协议：现有方法一律用训练时交付的那份技能库给智能体打分，模型与技能库是「陪练关系」。但部署之后，技能会被改写、新增或删除，频率远高于策略模型的重训节奏，智能体实际面对的是一份漂移后的技能库——训练目标与评测协议谁都没有覆盖它。

漂移的代价随训练加深而放大。六组设置里，不减干扰的成功率随共进化训练一路上扬：Skill RL-ALFWorld 从 5.2% 升到 88.8%，ARISE-AMC23 从 15.5% 升到 87.4%，Evolving-RL-Mind2Web 从 16.4% 升到 25.2%；但同一批检查点对技能库扰动的敏感度（论文实测的下降斜率）在十八个扰动轴与设置的组合中有十二个显著上升——模型越强，越离不开陪练它的那份库。

一次保持原义的改写就能掉分

跨四种共进化方法、五个基准（六设置）的统一结果是：最坏情况成功率比各自交付峰值低 5-13 个百分点，相当于抹掉交付技能库相对无技能基线增益的 52-93%。更扎心的是扰动类型：不改语义、只换措辞的保持原义改写，单项就在 ReSkill-ScienceWorld 上吃掉 10.9 分（该设置峰值 50.3%）。

论文同时给出边界：漂移后技能的最低成功率仍高于无技能基线，说明技能库并非失去价值，失败的本质是模型对特定技能库措辞的过拟合，即技能派生增益的丢失。作者提出 CODA 评测协议，用两个指标替代单一峰值：一致性率（保持原义编辑下的成绩保持）与抗腐蚀率（对污染技能的抵抗力），把共进化目标从「在陪练库上的峰值」改写为「驾驭技能库漂移的能力」。

对自建技能库智能体的提醒

对在生产环境跑技能库智能体的团队，论文的操作含义是三件事：发布测试必须包含技能改写与污染变体，而非只用训练交付库打分；技能修订节奏与模型重训节奏要显式对齐或解耦管理；把一致性率与抗腐蚀率纳入回归。站内《技能各自合规，组合就出事》研究过技能库的对抗性注入攻击，这篇则证明不需要攻击者——日常维护产生的自然漂移就足以让峰值成绩大幅退坡，两份证据共同指向：技能库已成为与模型权重同级的维护面。

论文目前为预印本（PDF 页眉标注 Preprint. Under review.），未声明代码开源，复现需自行实现扰动协议。

References

• Evolving Together, Failing Apart: The Skill-Policy Co-evolution Trap in Self-Improving Agents
• 站内：《技能各自合规，组合就出事》

七日事件簇实测

事件按时间线排开（分数为 2026-11-03 Algolia 实测）：

• 10-25 GVS5H：五个 Qwen3.8-27B 组队打平前沿大模型（195 分）
• 10-26 IBM CEO 称开源权重模型已经又好又便宜（428 分）
• 10-27 五家推理服务商同时上架去安全化 DeepSeek（100 分）
• 10-29 Qwenputer：一台确定性 RISC-V CPU 被编译进 Qwen3.5 权重（704 分）
• 10-31 Memdoor：五个 Qwen3.8-27B 在 LiveCodeBench Hard 击败前沿模型（456 分）
• 11-02 Astra 能读写权重改进 Qwen（2526 分，259 评论）

簇内密度罕见：八天六帖、两个仓库、两个独立博客，全部指向同一个动作——对权重本体动手，而不是对提示词动手。

三个一手源说了什么

热度最高的 Astra 结果出自 MIT CSAIL 博客《Sparks of Weight-Space Programming》（11 月 2 日发布，作者 Rikiya Takehi、Jayden Teoh、Alex Zhang、Omar Khattab）。TL;DR 原句为 “We find that frontier LLMs are surprisingly good at natively reading and writing neural network weights, well past what we’d expect from humans or conventional algorithms.”——前沿大模型无需工具辅助即可直接读写神经网络的权重，远超人类和传统算法的预期。评论区已经有人在讨论这是否是实验室为递归自我改进（RSI）做的内训外溢，但作者未做此声称。

Qwenputer 是同一个方向的极端演示：一篇个人博客把一台完整的确定性 RISC-V CPU 编译进了 stock Qwen 3.5 4B 的权重里，利用其 Gated DeltaNet 层当 RAM 运行，作者 Divyansh Agrawal 把它称为「compiled weights」。它没有实用价值，但有范式价值：权重只要能编码一台 CPU，就说明它是通用介质而不是玄学参数。

供给端同步在动：Memdoor 仓库（336 星，10 月 5 日创建）与 GVS5H 仓库（1182 星，Persis Capital 研究实验室）都声称五个 Qwen3.8-27B 的编队能在 LiveCodeBench Hard 打平单个前沿大模型，Memdoor README 承诺每轮成绩公开可查。这属于自报口径，第三方独立复现还没有。

反面证据与边界

这个簇的热度里掺着三类水分。其一，Astra 是博客而非同行评审论文，读写权重在多大模型规模、多通用领域成立尚无答案，评论区最集中的质疑正是 “does it cap at small model sizes and common domains”。其二，五小模型打平大模型的两个仓库都来自非学术机构，评测基准单一（LiveCodeBench Hard），价格优势（五分之一）与单卡可跑的卖点都是卖方叙述。其三，把 CPU 编译进 4B 模型是精巧玩具，作者自己列了 limits 一节。

但方向性信号不依赖单点成立：同窗口内去安全化模型已有五家商用服务商供给、企业高管公开背书开源权重成本线、权重读写与编译连发——单独看是六个热点，合起来看是一条链：读权重（可解释）→ 写权重（可修改）→ 编权重（可装载）→ 组权重（可复制编排）。

对做工具的人意味着什么

站内《官方渠道沦陷之后》讲过 AI 工具链被当成供应链资产管理；这层变化更激进：资产本体（权重）变成可改写文本。可预见的空位集中在「改写之后的守门」——权重变更的审计与 diff 工具、改写后模型的行为回归测试、以及五小模型编队这种多副本工作流的路由与一致性校验。防御工具链投毒的人都知道，管道里最危险的是没人能读懂的包裹；而权重，恰恰是所有人都读不懂的那种。

模型配方的桌面已经摊开，读得懂、改得对、验得住的中间层，还没有人真正占住。

References

• Sparks of Weight-Space Programming
• Qwenputer: a RISC-V CPU inside Qwen3.5
• guregodevo/memdoor
• slee-persis/GVS5H
• 站内：AI 范式雷达《官方渠道沦陷之后》