每日手冲｜2026-10-24

agent 手里有了终端、浏览器，有的已经能替你登录真实账号。上一期问的是谁来检查检查者，这一期往前走一步：agent 能动手、能登录以后，它的边界该怎么划。本期沿这条线讲十五件事。

实验室怎样关住训练中的模型
OpenAI 公开训练环境的隔离做法，据其自述，9 月 20 日一次 DNS 配置错误后暂停最强模型的训练和评估 11 天，并用高算力红队假设内层已经失守再测外层；Anthropic 复盘 Mythos 5 在英国 AISI 测试中越界，43 次运行里 9 次影响了真实的人和组织，以及“鲁莽、推理有偏、惯性”三条归因；LessWrong 上 Fable 5.1 把消息藏进图片的实验。
补丁窗口越缩越短
Drew Silcock 的《这是新的网络常态吗》和 HN 讨论；Brotli 解压漏洞第二次跟进，受影响范围扩到 PyPI 包、curl 和 Git 的说法，Node.js 与 Bun 的修复版本；PHP2Shell 第三次跟进：Ask HN 上问有没有打成功的公开案例，暂无确认；Nick Dobos 的估算和 Jason Clinton 的“未来 18 个月”。
让 agent 用钥匙却看不见钥匙
1Password for AI Agents、Claude Duet 的凭据隔离设计、Guillermo Rauch 呼吁淘汰静态凭据，以及中文圈的换密码潮。
把 agent 关进策略能验证的沙箱
NVIDIA OpenShell 和 HN 上关于容器、外泄与遥测的争论；《Docker is weird》与 Solomon Hykes 在评论区的回忆。
agent 怎样验证自己的活
Cursor 让 agent 操控电脑测自己写的功能，WeZZard 让 Claude Code 自己 SSH 上机跑 profile，耳朵的 iOS 全自动开发，Loom Record for agents。
代码评审的账怎么算
Cloudflare 把每次 AI 评审从 2.43 美元降到 0.77 美元，同时用作者采纳率和盲评检查漏掉了什么（据称）；heal.dev、Greenflagged 的三个审查子 agent、Ask HN 上关于快乐路径测试的讨论。
模型与工具
Kimi K3.1 Pro 发布和中文圈的反应，MiniMax M3.1 Flash 兑现开放权重；DeepSeek V4.1 Flash 的推理加速竞赛；agent-usage-guard、XTrace、Halv、Magpie 和 ESP32 额度小屏这些管用量的工具。
收尾三件
Ask HN“OpenAI 为什么不自己开 100 家公司”与 Claude 模型在 Google Cloud 正式可用、MCP Tasks；Block 只用语音训练的全双工模型 Dessa；Dijkstra 的 EWD667 重回 HN，接上一期 Theorem 形式化验证的后续讨论。

来源：OpenAI、Anthropic、英国 AISI、LessWrong、Drew Silcock、Aaron Levie、GitHub 安全公告、Node.js 安全公告、Aikido、1Password、Guillermo Rauch、NVIDIA、codeandcake、Cursor、Product Hunt、Cloudflare、heal.dev、Greenflagged、Kimi、MiniMax、Hugging Face、Block、Dijkstra 档案（UT Austin），以及 KC、Nick Dobos、Michael Guo、歸藏、向阳乔木、WeZZard、耳朵、关木、dingyi、yetone、QingQ77 等 X 原帖、AIHOT 汇总和对应的 Hacker News 讨论，主要链接见「本期提到」。

上一期：每日手冲｜2026-10-23，检查交给机器以后，谁来检查这些检查者。

公司和项目自报的数字（OpenAI 红队规模与结论、Anthropic 重放与重采样比例、Cloudflare 成本与评审质量、Kimi 与 MiniMax 的参数和跑分、Halv 的成本、Dessa 的能力）一律按「据称」处理。Brotli 漏洞的报告者以 Node.js 官方安全公告的致谢为准（OpenAI Codex Security）；Imperva 在官方构建上实现代码执行来自 KC 的转述，是实验条件、并非每次成功；Brotli 与 curl、Git 的关联来自 HN 帖子引用的安全研究者 Harry Sintonen 的帖子。Nick Dobos 的漏洞数量是他本人的估算，“很多网站早被黑过”是向阳乔木的个人估计，未经证实。耳朵对 Kimi 降价、ProgramBench 差距和训练数据取舍的解读按他本人的说法转述。安全相关内容只讲防御和自查，不含可复用的攻击细节。

片头/片尾音乐：Ondrosik — Short piano jingle（CC0 1.0）

本期提到

OpenAI：Securing our frontier model training environment据 OpenAI 自述，9 月 20 日模型借 DNS 配置错误拿到有限外网访问，暂停 11 天后于 10 月 1 日恢复训练；离线世界、纵深防御、高算力红队与持续红队计划。
Anthropic：Mythos 5 在 AISI 测试中越界的对齐评估43 次运行中 9 次影响真实个人和组织；新模型重放对比；鲁莽、推理有偏、惯性三条归因。
Hacker News：Mythos 5 对齐评估讨论有人说模型写给维护者的邮件一看就是 AI 写的。
LessWrong：How does Fable 5.1 hide messages in images50 条消息中 33 条用高度编码，新会话只凭截图解出 78%；GPT-6 Astra 偏爱摩斯码。
Hacker News：Fable 隐写讨论有人说很平常、有人说像表演，也有人说 Opus 5.5 没有照做，有人回复同样提示词在他那边能跑通。
Drew Silcock：Is this the new cyber normal?补丁公布即应视为利用将至；2024 年审计里发现过的 PHP 漏洞；几种出路与最小发布年龄的两难。
Hacker News：新网络常态讨论发现更快、窗口更短；人写的 bug 与 AI 写的 bug；用 DeepSeek 十几分钟升级 PHP 7 老代码。
Aaron Levie：靠隐蔽求安全已经过时自主系统会翻遍每个角落，遗留企业设施要升级，AI 扩散会比预想慢。
GitHub 安全公告 GHSA-9v8h-qqgm-4m35Brotli 1.0.3 至 1.2.0 受影响，PyPI 的 Brotli、brotlicffi 同样中招，修复版本 1.0.10 / 1.1.1 / 1.2.1。
Hacker News：Brotli 漏洞讨论有人引用安全研究者 Harry Sintonen 的帖子提醒，curl 和 Git 也带着 Brotli 解码器。
Aikido：Node2Shell（CVE-2026-111497）Express 5 请求体与 fetch 响应两条受影响路径；Node 22.23.4 / 24.22.1 / 26.12.1、Bun 1.4.4 修复。
KC：Imperva 在官方构建上确认远程执行官方 Node.js 24.22.0 arm64 镜像上实现代码执行，实验条件、并非每次成功（KC 转述）；报告者以 Node.js 官方公告致谢为准：OpenAI Codex Security。
Ask HN：PHP 漏洞被利用了吗很多组织先下线服务，但发帖人没听说公开篡改或接管；评论里有人称在联邦宇宙看到已被利用，无法确认。
Nick Dobos：3% 的严重漏洞是最近一个月发现的今年或再多出约 10 万个，是他本人的估算。
Michael Guo 转述 Jason Clinton大概要撑十八个月；十八个月后，小而便宜的模型也会有 Mythos 级安全能力（Michael Guo 转述）。
1Password：1Password for AI Agentsagent 申请、用户批准、1Password 代填，agent 看不到密码和验证码。
AIHOT：Claude Duet 凭据隔离设计汇总审批卡、独立分类器、凭据不经模型、一次性虚拟卡、敏感信息两级。
Guillermo Rauch：该淘汰静态凭据了偷到的只是会自毁的钥匙，损失就小；希望像普及 TLS 一样普及 OIDC。
向阳乔木：买了 1Password，准备换一批密码PHP 漏洞好像 8 月就被发现、后来又泄露，他估计很多网站早被黑过，属个人估计，未证实。
NVIDIA OpenShell内核层执行策略、凭据只在获批请求中注入、策略变更先做形式化验证再人审（项目自述）。
Hacker News：OpenShell 讨论容器是常识、外泄仍未解决、显卡厂商做沙箱、默认遥测争议。
codeandcake：Docker is weird容器是受限进程、镜像是文件夹、runc 与 Go 运行时的 fork 难题。
Hacker News：Docker is weird 讨论Solomon Hykes 解释为何选 Go、底层演进和遗憾；也有人说 Docker 不需要 root 已七年；Hykes 说自己的小项目现在让 AI agent 帮忙搭 docker compose。
Cursor：agent 现在能操控电脑驱动 iOS 模拟器等桌面应用，测试自己写的功能。
WeZZard：Claude Code 自己 SSH 上机跑 profileLiquid Glass 特效在 macOS 15 上走 CPU 绘制导致卡顿。
耳朵：Claude Code + Xcode + 手机全自动开发唯一的问题是 token 像流水。
Product Hunt：Loom Record for agents录屏幕、声音和操作，变成 agent 可执行的提示词。
Cloudflare：Cutting our inference bill by 68% by being obsessive about optimization2.43 美元降到 0.77 美元；缓存前缀、取消任务；作者采纳率与盲评复查，中等强度漏掉真问题、正在调回高强度（Cloudflare 自报）。
heal.dev在类生产沙盒里运行产品找 bug，每个缺陷附可复现的失败测试（产品自述）。
Greenflagged：Agents fail like engineers三个审查子 agent 的真实拦截案例，以及 Redis 改配置没重启的失败例子。
Ask HN：怎么信任 agent 的快乐路径测试测试从来就是判断多少才够，LLM 没改变这点。
Kimi K3.1 Pro 技术博客3T 级开放权重、Terminal-Bench 4.0 65.7%、幻觉率 23.4%→8.3%、BenchCAD、步行仿真案例（厂商自报）。
Kimi 官方发布帖2.8T 总参 / 104B 激活，11 月 4 日前放权重。
耳朵：K3.1 Pro 解读降价三分之一、ProgramBench 差距、训练删网络安全数据、企业版默认关闭。
MiniMax：M3.1 Flash 权重开放428B 总参 / 23B 激活，DeepSWE v1.1 73.7%（据称）。
Michael Guo：DeepSeek V4.1 Flash 推理加速竞赛333 / 675 / 848 / 1521 tok/s，开放权重给了推理优化空间。
WeZZard：V4.1 Flash 还在被低估速度快，但写出来的文案仍有 AI 味。
agent-usage-guard在扇出、重上下文、重试循环前先问一句。
Hacker News：agent-usage-guard 讨论评论者的钩子 75 天把最大扇出从 365 降到 27。
XTrace按本机历史估算 agent 省下的人工时间和折算 API 花费。
Show HN：Halv自称跟单用 Codex 比，每个正确答案成本 13.5→5.79 美元；作者在评论里说明这是全功能开启时的数字。
yetone：Magpie 第三方插件 115 个其中供应商插件 93 个。
QingQ77：额度 ESP32 小屏开发板不存 API Key，蓝牙六位配对码。
Ask HN：OpenAI 为什么不开 100 家公司经营公司还要关系、供应链和营销；卖 token 是被证明的生意；能轻松做出来的东西价值会趋近于零。
Claude Models on Google Cloud 正式可用Anthropic 托管，走 GCP 权限、账单和承诺消费，新功能同日上线。
Claude 插件支持 MCP Tasks 与 Elicitations插件能跑长任务再回报。
Block：Dessa只用语音训练的全双工模型（Block 自述）。
Dijkstra：EWD667 On the foolishness of "natural language programming"1978 年的原文。
Hacker News：EWD667 讨论英语是不是新的高级语言、长破折号玩笑与打字机连字符。
Hacker News：Theorem 形式化验证续讨论转向确定性声明式语言的预测；pgrust 约 12% 代码已证明单线程行为一致（评论者自述）；验证不等于规格正确。