专利信号

五件代表性专利（三件申请公开、两件已授权，申请公开不等于已授权）：

产业侧同期佐证：NVD 累计收录 171 条与 prompt injection 相关的 CVE；OWASP Top 10 for LLM Applications 将 Prompt Injection 列为 LLM01。

技术趋势

五件专利分成两支：输入侧过滤（Palo Alto 的 SaaS 集成风险评分、蚂蚁的多特征检测）与行为侧攻防（Radware 的动作序列异常、微软的变体攻击生成）。共同点是都把注入防御做成模型之外的独立组件——挂在调用链上的中间层，不碰模型权重。与现成方案的差异：开源工具 garak 能做单模型红队扫描，但没有覆盖「你的应用抓取的外部内容 + 你的 Agent 动作序列」整条链的小团队产品；企业级方案面向大客户，这意味着小团队在价格与部署成本上都够不到。

落地机会

用户场景：独立开发者或两三人 SaaS 团队上线了客服机器人、文档问答这类对客 AI 功能，客户安全评审问「用户能不能通过注入内容让模型泄露系统提示词、执行恶意指令」，答不上来；企业级方案面向大客户，小团队够不到。

一个人能做的那一层：注入攻击验收测试。用 garak 加开源 LLM 按微软专利的思路生成变体攻击提示，打到目标应用 API 上，输出命中率、泄露样本与修复建议的风险报告；进阶版照 Palo Alto 的元数据加风险分思路，做一个扫外部内容再入上下文的过滤中间件。技术栈：garak + FastAPI + 一台 VPS，起步成本五千元内（主要是 LLM API 费用），4 周可出 MVP。今天就能做的第一步：把 garak 跑在自己的应用端点上，出一份基线报告。

创业发现

两个切入形态：

• 注入验收测试报告：卖给独立 SaaS、给客户搭聊天机器人的代理商，单份 1000-3000 元或月订阅 299-999 元。首批客户从独立开发者社区与代理渠道来。门槛在攻击面理解；风险是大厂下探或平台商内置基础检测。
• 内容过滤中间件：给 RAG 与 Agent 团队做入上下文前的外部内容扫描，按实例月费 99-299 元。首批客户从自建 Agent 产品的小团队来。门槛在误报调优；风险是开源替代品够用。

上一篇Agent 兜底这层活讲 Agent 的记忆与纠错，这篇讲它们被攻击的面：同一层调用链，一个防自己出错，一个防别人使坏。

References

• Palo Alto Networks: RISK AWARE FILTERING FOR INDIRECT PROMPT INJECTION ATTACK DETECTION ACROSS AI SAAS INTEGRATIONS (US20260228333)
• Microsoft: DEFENDING LARGE GENERATIVE MODELS FROM PROMPT INJECTION ATTACKS (US20260089190)
• OWASP Top 10 for LLM Applications: LLM01:2025 Prompt Injection
• NVIDIA garak: the LLM vulnerability scanner

专利信号

四件代表性专利，均为申请公开，不等于已授权：

「AI + 区块链视频认证」同主题由不同申请人相隔约一年再公开，说明该方向在持续布局。

技术趋势

共同走向：视频可信度从「检测」转向「证明」。检测侧专利（Intel 的个人基线、Claritas 的可解释性 US20260120513）回答「是不是假」；鉴真侧专利回答「证明是真的」——哈希链、旋转水印、受控光照伪影、上链锚定，都是可事后复核的证据。与现有量产方案的差异：C2PA 解决 AI 生成内容的凭证清单，但已发布且无元数据的视频仍要靠帧级比对与哈希核对取证，这正是这批专利补的缺口。这一层不碰模型能力，是文件格式、密码学与证据链的纯工程。上一篇内容溯源的打标缺口解决「证明 AI 生成」，这篇解决「证明真视频」。

落地机会

用户场景：自媒体创作者或电商卖家被指控使用 deepfake、产品视频被盗用篡改时，需要快速证明「这段视频是真的、我拍的」——平台只有一键举报通道，没有低成本自助证明；走司法鉴定又贵又慢。

一个人能做的那一层：视频公证服务。拍摄或上传时算 SHA-256 哈希、嵌入 C2PA 凭证元数据（开源 c2pa-rs / c2pa-python），哈希锚定到公链或时间戳服务；争议发生时核对哈希与帧级感知指纹，输出防篡改报告。技术栈为 FastAPI + ffmpeg + 对象存储 + 一台 VPS，起步成本一万元内，4 周可出可演示 MVP。

创业发现

两个切入形态：

• 视频公证订阅：卖给 MCN、电商品牌、小型媒体团队，按月 99-299 元或按条计费。首批客户从自媒体社群与电商服务商渠道来。门槛低（C2PA 生态开源）；风险是平台内置功能可能吞掉基础需求。
• 防篡改报告代做：给品牌保护代理与律所出视频验真报告，单案 500-2000 元。首批客户从品牌保护服务商、法律科技社群来。门槛在证据链理解；风险是报告效力弱于司法鉴定机构。

References

• Bank of America: Authentication of Videos Using Blockchain (US20260246646)
• Arranged BV: VIDEO STREAM AUTHENTICATION (US20260205467)
• C2PA News: TikTok 进入指导委员会 / Content Credentials 2.3
• EU AI Act Article 50 透明度义务

公开记录之外的私有通道

威胁面的前提是 latent 通信正在变主流：LatentMAS 一类方法把智能体间的工作记忆以连续表示传递，而非生成长文本交换，报告对比显示 token 用量降低约 50-80%、推理快 3-7x。在这条通道上，发送方可以把一段连续隐藏状态注入接收方的残差流或 last-token 表示，携带公开日志中不可见的策略意图。需要强调，论文中的攻击是受控且 receiver-primed 的：接收方被明确告知将有私有状态到达，作者自认这是 “a controlled, receiver-primed attack, not the spontaneous emergence of a latent protocol”，即受控攻击而非自发涌现的隐藏协议。危害方面（Table 2），相对独立出价，latent collusion 显著压低拍卖收入：Qwen3-0.6B 收入 -12.43 credits、低报价率 +56.2pp，Mistral-7B 为 -11.78 / +61.5pp，Phi-4-mini 为 -11.12 / +62.5pp；Vicuna-7B 呈近零效应（-0.62 / +16.7pp），作者将其保留为负证据。

三层无监督检测

监控器只用中性（非合谋）样本训练，攻击标签仅用于评估，因此无需学习已知攻击目录，对未见过的新合谋码仍然可用。三层依次为：Layer 1 中性流形上的异常检测、Layer 2 反事实动作分布位移、Layer 3 稀疏自编码器支持度，其中 Layer 2 是最强单层，均值 AUROC 0.814。同质四模型族设定下（Table 1），sequential 组合的 mean AUROC 为 0.993：Mistral-7B 1.000、Vicuna-7B 0.994、Qwen3-0.6B 0.990、Phi-4-mini 0.988。注意 AUROC 的正类是 text collusion 与 latent collusion 行的合并（论文自注），它度量的是对受评合谋条件的判别力，不是 latent-only 检测率。跨族泛化同样有效：异构有向模型对的 36 个 directed adapter settings 上（Table 3）mean AUROC 为 0.854。规模化到 25-100 个出价方的 Qwen3-0.6B 拍卖（Table 4），sequential AUROC 全程不低于 0.917，最低点 N=25/10% 为 0.917；监控全部卡特尔交接的 normalized load 相对所有可能的有向出价方对至多 0.202%。一个部署假设需要标注：Layer 2 在测试时要求可获得 matched control 行（blocked / neutral / independent），论文将其标为 “matched counterfactual-access setting”，强于无对照的前瞻检测。阈值取中性数据的 95 分位，correlation ID 精确关联私有状态与其后续公开动作，支持逐事件因果归因。

白盒配额决定干预力度

干预侧（Table 5），full whitebox steering 通过重放 matched neutral counterfactual 达到 100% 的出价分布恢复、低报价率降 47.3pp；但重放的正是定义恢复目标的反事实本身，论文将其定位为 by construction 的 sanity check，不能解读为”完全消除攻击”。更有信息量的是剂量响应：whitebox 配额取 0.25 / 0.50 / 0.75 时，恢复率单调升至 34.7% / 70.1% / 93.0%，从 1/4 提到 3/4 使恢复率提升 58.3pp。纯黑盒手段很弱：prompt-only steering 仅恢复 12.4%、低报价率变化仅 -2.0pp；全局 system prompt 压价更多（-29.5pp）但分布恢复只有 2.9%。这组剂量响应对应真实平台的权限边界：托管智能体可白盒，第三方智能体往往仅黑盒。结论边界同样明确：模型规模仅 0.6B-7B，场景是单一受控拍卖 testbed NandaTown（6 场景 / 12 协议层），攻击为 receiver-primed 的受控攻击，结果不外推到前沿大模型或通用多智能体系统。

References

• Beyond the Transcript: Detecting Covert Coordination in Latent Multi-Agent Communication（arXiv:2608.19161v1）
• 一分钟读论文：《一条事实错误的论证，就能让 LLM 放弃正确答案》（#160 Persuade）
• 一分钟读论文：《黑盒推理模型的隐藏思维链，正在被一条长度信号读走》（#161 EchoCoT）

比较而非求解

流程是：actor 提出下一步动作后，系统从同一前缀采样若干候选替代动作，tiny comparator 做同前缀成对比较，判断哪个更好；重复比较触发干预时，不直接替换动作，而是把更优的候选作为非约束性建议返回，由 actor 自行重规划。comparator 的学习目标是局部比较而非求解：它既不生成纠正动作，也不预测绝对动作价值，规划、生成与执行完全留在原 actor 手中。论文把设计拆成两个因素——学习目标（绝对 Q 值预测 vs 成对比较）与干预机制（直接执行顾问偏好动作 vs 建设性干预），发现只有”成对比较 + 建设性干预”的组合在三个评测环境上都有效。论文强调，0.5B comparator 的任务求解能力远弱于 actor，却无需任何任务级微调即可提供有效的运行时干预。

三个基准上的主结果

评测覆盖 Qwen3-8B、Qwen3.6-35B-A3B、DeepSeek-V4-Flash 三个 actor 与三个环境：WebShop（智能体通过搜索与浏览完成购物任务的电商环境）、ALFWorld（评估组合式家务任务的文本具身环境）、tau3-Retail（带状态变更工具与模拟用户的策略受限客服对话）。COTA 在全部 9 个组合上最佳（Table 1）：Qwen3-8B 的 WebShop 奖励从 0.3960 升到 0.5630，ALFWorld 成功率从 82.84% 升到 90.30%，tau3-Retail 从 37.50% 升到 45.00%；更强的 Qwen3.6-35B-A3B 与 DeepSeek-V4-Flash 上增益依然成立（WebShop 0.5662→0.6813、0.6085→0.6867；ALFWorld 85.07%→94.03%、90.00%→95.00%）。这一结论限定在这 3 actor × 3 环境的特定组合内，不能外推为对任何 agent 通用有效。基线 Self-Reflection（让 actor 自己审视并修正自己的提案）在 9 个设置上全部变差——这是这些基线与环境下的对比结果，不是”self-reflection 无用”的一般性结论；AgentPRM 与 Asym-AC（缩小干预模型但保留解题式纠错目标）也全面落后于 COTA。

为什么不能直接接管动作

2×2 消融（Table 2）显示两个因素都重要：强行执行顾问偏好动作时，ALFWorld 成功率崩到 2.24%、tau3-Retail 崩到 4.17%（Qwen3-8B 行）；换成建设性干预——返回建议、由 actor 自行重规划——后恢复到 57.46% 与 16.67%。顾问只能引导，不能接管驾驶：0.5B 模型没有独立执行动作的能力，比较信号只有在更强的 actor 保留决策权时才有用。成本同样有明确边界：COTA 平均端到端 episode 时间是原 actor 的 1.38×，9 个设置中 7 个低于 1.5×，但部分设置明显更高——tau3-Retail 达 2.024×（Qwen3-8B 行），因为该环境的候选生成额外调用一个小 LLM，不能描述为开销可忽略。这条”比较比求解便宜”的路线与工具调用的苦涩教训共享同一底层逻辑：不是让单一模型包办一切，而是弱模型与强模型分工。

References

• Don’t Solve, Just Compare: Tiny Advisors for Runtime Intervention in LLM Agents（arXiv:2608.21027v1）
• 一分钟读论文：《测试时扩展：瓶颈在筛选，不在采样》
• 一分钟读论文：《工具调用的苦涩教训》

这里的 harness（外壳）指包裹语言模型的部署层代码，决定它能调用哪些工具、持有哪些凭证与权限、如何保存状态。论文的威胁模型不是通用越狱：每个案例都是良性用户目标加一条嵌入不可信工件（邮件、网页、文档或工具输出）中的对抗指令，在沙箱环境中执行。

外壳是什么，为什么是新的安全面

现有 agent 安全基准多按攻击类别或执行阶段组织，偏重运行时操作与动作控制，对配置、扩展、持久化与恢复的覆盖不均。本文认为部署配置里的工具、权限、状态表示与授权上下文由 harness 共同决定，安全应按部署职责切面评测，于是把外壳生命周期拆成六个阶段：Harness Configuration（外壳配置）、Capability Extension（能力扩展）、Runtime Operation（运行时操作）、State Persistence（状态持久化）、Action Control（动作控制）、Incident Recovery（事故恢复）。

六阶段基准怎么测，测出什么

基准含 128 个沙箱案例，大致均分六个阶段，其中外壳配置与能力扩展各 22 例、其余四阶段各 21 例。每案例是一段三轮 owner 对话，配独立文件、工具与 mock services；每次运行从全新初始化环境开始，独立重复 3 次报均值±标准差。实验矩阵为 3 个 harness（OpenClaw、Nanobot、Hermes）× 6 个模型：DeepSeek-V4-Pro、GLM-5.2、Kimi K2.6、MiniMax M3 全测三个 harness，GPT-5.5 与 Claude Opus 4.7 仅测 OpenClaw，共 14 个 model-harness 配置。每条轨迹按四个指标打分：Utility（任务效用）、ASR（攻击成功率）、Persistence（恶意效果持久化）、Detection（是否识别风险）。

结果两极分化：全部配置的 ASR 在 12.6%–80.9% 之间，Utility 却保持在 75.0%–97.6%。头条数字来自单模型跨 harness 对比：GLM-5.2 在 OpenClaw 上 ASR 为 54.7%，在 Nanobot 上仅 12.6%，差 4.3×（原文 more than fourfold）。Table 2 中 Kimi K2.6 在 OpenClaw 上 ASR 最高达 80.9%，Nanobot 上的 GLM-5.2 最低 12.6%、检测率却全场最高 99.7%。分阶段看，Harness Configuration 是三个 harness 上共同的最脆弱阶段——攻击在”授权工作流内改安全敏感参数”时得手。

检测不等于安全，以及这条结论的边界

更反直觉的发现：some configurations detect risks in more than 90% of runs while retaining substantial attack success——识别风险并不导向安全行动，且论文明确限定于部分配置。评估器校验上，LLM 评审在 Utility 上与确定性谓词一致率 92.5%（κ=0.83），ASR 与独立参照一致率 89.7%（κ=0.77）。附录归纳的四类失败模式：授权变更中藏入不安全参数、后续轮次为来源洗白、授权动作被用于目标替换、检测到风险却未修复。

边界同样重要：GPT-5.5 与 Claude Opus 4.7 只在 OpenClaw 上测过，跨 harness 对比仅对全矩阵的四个模型成立；128 案例、六阶段、14 配置全部在 mock services 沙箱内完成，不能外推到生产部署或所有 harness。Utility 保持 75%–97.6% 意味着不安全配置照样把任务干得很好——本文结论是任务效用不能当安全证据，而不是不安全的 harness 不能用。agent 安全的审计面由此从模型本身延伸到部署层：Beyond the Transcript 管模型间的隐蔽协调暗线，本篇管模型周围的外壳；两者加上 Persuade 的攻击方向，勾勒出 agent 栈的威胁地图。

References

• HarnessRisk: A Lifecycle-Oriented Benchmark for Agent Harness Safety（arXiv:2608.17597v1）
• 一分钟读论文：《拍卖桌下的暗线，多智能体隐藏合谋的检测与干预》
• 一分钟读论文：《一条事实错误的论证，就能让 LLM 放弃正确答案》

这与对抗性说服一类攻击的定位不同：说服攻击改变模型的答案，EchoCoT 不碰答案——模型照常作答、照常调用工具，被读走的是推理过程本身，也就是模型最核心的思维资产。机制上分两层：信息通道是 API 返回的推理元数据；提取载体则是诱导模型把推理重放进下一次 tool call 的参数。配套的 LLM 优化框架（Inject + Reflect + Distill）自动搜索跨数据集通用的注入轨迹，无需针对每个目标人工设计。攻击面恰好落在 tool call 之间的缝隙里，而工具调用正是大推理模型能力的关键组成部分。

开源模型：近逐字提取与跨数据集迁移

在 DeepSeek-V4-Flash、Qwen3.5-Plus、GLM-5.2 三个开源 LRM 上（OpenThoughts 测试集），EchoCoT-LTGO 的 ASR@90 区间为 30.8%–66.4%，ASR@99 区间为 22.8%–46.1%（Table 1）。两种口径对应不同保真度阈值：ASR@90 要求长度误差不超过 10% 且至少 90% 的 token 与目标 CoT 精确匹配；ASR@99 收紧为长度误差 1%、匹配率 99%。峰值出现在 DeepSeek-V4-Flash：66.4% 的样本通过 ASR@90 校验，提取 trace 的长度在目标的 10% 以内。

极端案例（Figure 4）更具说服力：目标 CoT 21,106 tokens，提取出 21,109 tokens，Token-EM（token 精确匹配率）达 0.999，1,132 行中仅 3 行有差异。同一套优化出的注入轨迹还能迁移到三个未见数据集 MATH500、JEEBench、LiveCodeBench，ASR@90 最高达 80%（DeepSeek-V4-Flash 在 MATH500，Table 7），说明学到的是通用重放策略而非对单一数据集的过拟合。

闭源前沿模型：长度贴近，无法逐字对照

对五个闭源前沿 LRM（Gemini-2.5/3.1/3.5、Sonnet-4.6、Opus-4.6），EchoCoT 的工具调用率达 95%–100%；目标模型对至少 87.8% 的问题返回 CoT 摘要，仅 Opus-4.6 为 31.5%（Table 4）。提取出的 trace 长度贴近 API 报告的目标长度：Gemini-2.5 上提取 23,429 tokens、目标 18,568；Gemini-3.5 上提取 17,645、目标 18,119。极端案例（Figure 1）中，从 Gemini-2.5 提取出 33,463 tokens 的 CoT，API 报告的目标长度为 32,948。

这里必须明确口径边界：闭源模型没有 ground-truth CoT 可供 token 级对照，结论只能落在”长度贴近目标 + 语义对齐”层面，不能表述为逐字提取；”近逐字”仅适用于有对照的开源侧。

防御评估：根因解与残余缺口

在 100 条 OpenThoughts 随机样本上（Table 6），无防御时平均 ASR@90 为 46.0%（DeepSeek 66.0 / Qwen 24.0 / GLM 48.0）。移除 reasoning state 后三个模型全部归零，证明攻击根因就在 API 返回的推理元数据——但这是需要 API 提供方配合的根因解。实用防御中最强的是防御性 system prompt：平均 ASR@90 从 46.0% 降到 5.0%；可一旦攻击者自适应重优化注入轨迹，均值回升到 9.7%，DeepSeek 上仍达 29.0%。完整移除长度字段可压到 12.0%–15.0%，长度混淆（扰动范围从 0-10% 扩到 20-30%）使均值从 17.0% 降到 13.0%。

结论应落在两点：风险真实存在，且现有实用防御有残余缺口；同时不能外推为”所有推理模型都脆弱”——开源侧仅测了三个模型，Qwen 无防御 ASR@90 只有 24.0%，闭源侧的结论也只在长度保真层面。

References

• EchoCoT: Extracting Hidden Chain-of-Thought from Large Reasoning Models（arXiv:2608.20055v1）
• 代码仓库：TrustAIRLab/EchoCoT

单轮设定与两个成功指标

实验全部为单轮交互：Persuader 看到题目与 Persuadee 的初始答案后生成一条论证，Persuadee 只作答一次，没有多轮追问。评测覆盖 TruthfulQA、MMLU、CommonsenseQA、MedQA 和 ARC-Challenge 五个选择题数据集，表格数字均为五颗种子的均值。两个指标口径不同：ASR（攻击成功率）统计 Persuadee 原本答对、被说服后放弃正确答案的比例，无论改到哪个选项；PSR（说服成功率）在此基础上进一步要求改到 Persuader 指定的目标错误选项，因此 PSR 恒不高于 ASR。论文给出的定性例子很直观：一条机制上错误的论证（声称只有姜黄素直接影响 DNA）就让 Persuadee 放弃了原本正确的”以上都是”选项。多智能体安全研究此前更多关注协同失效，例如 Bayes-Belief Agent 处理的功能性协同重规划；本文考察的则是 agent 间对抗影响下的对齐问题。

准确率塌缩与跨模型迁移

未训练的 Qwen-7B Persuader 发一条消息就把 TruthfulQA 准确率从 66.2% 拉到 44.8%；GRPO 训练后进一步塌到 1.8%，降幅 64.4 个百分点，PSR 从 24.3% 升到 93.7%，ASR 达 97.3%（Table 2，Qwen 7B (RL) 行）。训练配置为 2,886 个实例、三个 epoch，在 6 块 H100 上运行约 5.5 小时。学到的策略还能迁移：固定该 RL Persuader，TruthfulQA 上对 Qwen-14B 的 PSR 为 82.5%、对 Llama-3.1-8B 为 79.0%，较未训练基线分别高 61.8 与 70.6 个百分点；五个数据集均值分别为 85% 和 75%（§4.1）。推理能力更强的 DeepSeek-R1 7B 仍有 61% 的均值 PSR。当目标答案本身正确时，RL 训练的 Qwen 系列 Persuader 在全部五个基准上的纠正率约在 95% 及以上（Figure 7），说明学到的是通用说服策略而非只利用错误信息。训练方式上，GRPO 的奖励直接来自”是否改变了目标模型的答案”，与 SPADE 用自博弈 GRPO 提升 agent 能力是同一技术路线。

闭源模型更抗打，但防御并不充分

闭源前沿模型明显更难被说服：GPT-4o-mini 的均值 PSR 为 16%，GPT-5-mini 仅 3%（§4.1），两者相差 13 个百分点。但这不能外推为”前沿模型绝对安全”——本文所有 Persuader 都是中小开源模型（Qwen 1.5B-14B、Llama-8B）——同样也不能说小模型攻击无效。防御侧，PBT-8B 经过专门的抗说服训练，均值 PSR 仍达 60%，说明现有方案不是充分防御（§4.1）。训练目标的选择也影响效果：直接以 GPT-4o-mini 为目标几乎无效（成功率约 0.5%），课程式续训一个 epoch 后 TruthfulQA PSR 从 24.6% 升到 37.9%（Figure 5）。需要强调的边界：全部实验为单轮交互，评测均为选择题 QA，开放生成任务的泛化未验证；这一设定刻意排除了长程协作、工具使用与记忆，作者视其为保守起点——若单条消息就能造成大幅准确率下降，更复杂的交互系统更值得研究。

References

• Learning to Persuade Exposes How Easily LLMs Abandon Correct Beliefs（arXiv:2608.11624v1）
• 代码仓库：beyzabozdag/adversarial-persuasion

专利信号

本轮核验到 1 件主专利（申请公开，不等于已授权）：

• 申请日 2025-12-16，主张 2024 年 12 月临时申请优先权；分类号 G06F8/10、G06F8/73（软件工程）
• PRD 不是终点：派生输出含用户画像、epic、用户故事、技术建议与 starter code，是下游工件的枢纽
• 申请人 Crowdbotics 是美国 AI 软件开发平台公司，该申请说明「需求生成」正被写进产品管线

技术趋势

共同走向：需求文档从「模板填写」转向 LLM 渐进式分解 + 机器评估。通用大模型今天就能写 PRD，但结构不稳定、无法直接进开发流；差异点在中间工件（特征列表、预期输出）与完整性/准确性评估回路——纯提示词与模板工程，不训练模型。产业佐证：Lovable 2026 年 6 月 ARR 突破 5 亿美元、每周新建项目 100 万个（TechCrunch），vibe coding 产出质量取决于需求输入，「想法 → PRD」是上游瓶颈。上一篇Agent 纠错专利解决「Agent 不可信」，这篇解决「需求不可信」。

落地机会

用户场景：独立开发者有一个点子，想用 Lovable、Cursor 这类工具直接生成应用。但一句话丢进去，回来的是功能混乱的半成品；自己写 PRD 要半天，多数人跳过这步直接 vibe coding，再花几天返工方向——卡在「想法翻译不成结构化需求」。

一个人能做的层：

• 做「一句话想法 → 结构化 PRD + 用户故事 + 验收标准」的 Web 工具或 CLI：LLM API + 垂直模板 + 完整性自检，输出可直接粘进 vibe coding 工具的 Markdown/JSON
• 技术栈：Next.js 或 Vite + OpenAI/Claude API；起步成本月均几百元 API 费加域名与托管，远低于 2 万元，4 周可出可演示 MVP

创业发现

• PRD 生成工具（SaaS/CLI）：订阅 9-19 美元/月或按文档计费。首批客户在 X、Indie Hackers、V2EX 的独立开发者里。护城河是垂直模板、迭代打磨与导出格式；风险是通用大模型持续变强，纯提示词包装生命周期短
• 需求拆解接单：帮小团队把点子变成能直接喂给 vibe coding 工具的需求文档，按项目收 500-2000 元。首批客户来自本地创业社群与外包渠道；风险是平台厂商原生做「需求模式」，工具要跨平台中立

vibe coding 解决了「写代码」，没解决「想清楚写什么」。需求层是大厂看不上、个人能接的薄活。

References

• US20260178323A1 Apparatus and Method for Generating Product Requirements Documents Using Large Language Models
• TechCrunch: Lovable says it has hit $500M in annualized revenue, with 1 million new projects a week
• Crowdbotics: AI-powered software development platform

专利信号

本轮核验 4 件已公开的美国申请（公开不等于授权）：

• US20260148010A1，Amazon Technologies，2026-05-28 公开：把生成模型输出切成块，先用内容审核模型逐块判定，通过的部分才发给用户；每块 token 数可动态调整
• US20260178727A1，Intuit Inc.，2026-06-25 公开：自适应窗口切分长文本，命中风险的片段递归细分再测，直到问题被定位
• 同主题 2026 年公开的还有 NVIDIA US20260099707A1（2026-04-09，用模型集成自动生成安全类别）与 Microsoft US20260057218A1（2026-02-26，嵌入检索降低审核成本）

技术趋势

共同走向：安全审查从「生成完再查全文」前移到生成管线里，逐块决定。与现有方案的差异在延迟和成本两个词：批量审核要等完整响应才动手，流式体验被拆掉；直接调大模型逐 token 审，成本与延迟双翻倍。专利收敛到「小模型初筛 + 大模型复核」两段式：小模型扛住大部分流量，可疑块才升级。上一篇LLM 路由与缓存专利解决「账单有水分」，这篇解决「输出不安全」。

落地机会

用户场景：独立开发者做了客服机器人或社区 AI 陪伴，上线前被安全审查卡住——批量审核让用户等完整响应才见字；逐句调大模型审，API 成本翻倍，「机器人说了不该说的话」的投诉照旧。

一个人能做的层：OpenAI 兼容的流式代理。在 SSE（Server-Sent Events）层缓冲 128-512 token 的输出，用开源小分类器（HuggingFace 毒性模型）初筛，命中阈值的块才升级大模型复核。技术栈 FastAPI + LiteLLM + 一个小模型；一台 VPS 加 API 费，月成本千元内，4 周出可演示 MVP。

创业发现

• 流式安全代理：OpenAI 兼容端点，接入即用，20-50 美元/月订阅；首批客户来自开发者社区与 Product Hunt 上做聊天产品的独立开发者
• 合规日志加购：审核同时输出审计日志（拦了什么、为什么拦），卖给需要自证「做过审查」的小团队
• 门槛与风险：入场门槛低，OpenAI Moderation 与 Azure Content Safety 正在下沉；只做关键词匹配会被一版迭代打掉，差异化必须钉在流式原生与可自托管

大厂在专利里圈的是「怎么审」，独立开发者能接的是「装安检口」的活。

References

• Amazon US20260148010A1: Content Moderation for AI Systems
• Intuit US20260178727A1: Adaptive Window Screening for Large Text Content Security
• Lakera: What Is Content Moderation for GenAI?

一个模型，两个角色

SPADE 把「训练环境从哪来」交给模型自己。环境设计师输出的不是题目文本，而是完整可执行的环境：状态转移、奖励函数与验证逻辑都写在 Python 里，智能体通过 reset()/step() 与环境交互并做强化学习。设计师本身也在训练，其奖励是 hint-based regret：给智能体特权提示（如部分解法）时的回报减去无提示时的回报，差值越大说明环境越落在能力边界上、越值得保留。每个生成环境都 grounding 在从语料库重采样的文档上，避免环境分布坍缩成重复任务。

增益集中在程序性推理与科学代码

分基准看（Table 1），主增益不在竞争数学：AIME’25 +1.3、AIME’26 +0.9，基本保住；真正涨的是程序性推理与科学/代码——Reasoning-Gym Math +18.3、Cog +14.7、GPQA-Diamond +5.4、LiveCodeBench-v6 +4.1。论文 Figure 6 的图注直接写明：在多样合成游戏上训练提升科学推理、代码生成与程序性推理，同时竞争数学得以保持。最强固定环境基线 Fixed-env RLVE 只有 53.0（+2.8），SPADE 领先它 5.3 分。

同一配方换到工具使用环境同样成立（Table 2，30B）：BFCL v4 multi-turn 49.0→54.7（+5.7）、tau2-bench 49.0→52.6（+3.6）、ACEBench-Agent 62.0→75.9（+13.9），三基准平均 53.3→61.1（+7.7）。与《工具调用的苦涩教训》对比推理时范式不同，SPADE 走的是训练路线：在自生成的可执行环境里做强化学习。

消融：不自适应的自播放大反而有害

Table 3（30B，游戏设置）中，去掉环境记忆得 53.2、去掉语料 grounding 得 53.5、用冻结的 GPT-5.5 当设计师得 53.0，都高于 base 但明显低于完整 SPADE 的 58.3。最关键的一行：同时去掉 Designer 训练与记忆，均分跌到 40.5，低于未训练的 base 50.2（Figure 11）。结论明确：关键不在自播放大本身，而在自适应设计——设计师随智能体能力边界共同演化。

机制证据（Figure 8/9）：环境多样性的 Vendi 分数有语料 grounding 时为 0.68，没有时只有 0.04；在 473 个 Physics 环境中，初始观测直接给出控制公式的比例从 25% 降到 5%，奖励分级数从 3.7 升到 5.8。设计师学会的不是把题目表面变难，而是持续提供智能体学得会的环境。

边界与开源

一个限定：游戏环境从未包含任何 held-out 基准任务，Designer 在训练中没见过这些评测题，因此留出基准上的提升是自生成环境能迁移到真实评测分布的间接证据，不是直接泛化证明。作者发布了代码仓库 github.com/spade-rl/spade（项目页 spade-rl.github.io）。

References

• SPADE: Self-Play in Adaptive Synthetic Executable Environments（arXiv）
• 一分钟读论文：《MidTool：工具使用需要专门的中间训练》（站内）
• 一分钟读论文：《工具调用的苦涩教训》（站内）
• 代码仓库 spade-rl/spade