今天 AI 圈在拼安全，不是模型

Anthropic 说基本搞定了提示注入，但缺了最关键的两样东西

这条我会先打个折。Anthropic 的 Boris Cherny 放话，通过模型训练加上多层防御，Claude 面对没见过的间接提示注入攻击，成功率已经压到接近零。这个数字来自独立研究者的基准测试，防御手段包括模型本身训练、输入探测和意图分类器，不是单靠某一招。

同时宣布的还有 Claude Code 的 auto 模式，下周起默认开启。这会让 Claude 在写代码时会自己决定下一步干什么，不用等你确认每一步。

有意思的地方在，Anthropic 选在这个时间点同时放出这两个消息。提示注入防御接近零，auto 模式默认开——潜台词是"我们的模型够安全了，可以放手让它自己干活"。

但缺了两样关键信息。一是防御架构的具体设计，不知道是模型本身变聪明了，还是外面套了多层规则过滤器。如果是后者，那攻击者只要绕过规则就行，跟模型本身的安全能力关系不大。二是测试范围，"独立研究者的基准测试"覆盖了哪些攻击类型、多少样本，全没说。

"通过模型训练已基本解决 Claude 模型在实际使用中的提示注入威胁。"

这个说法我不太买账。"基本解决"和"接近零"之间还有距离，而安全这件事，差的那一点往往就是最要命的一点。

AI 安全测试本身，正在变成一种安全风险

这条不用打折，因为问题本身就很直白。过去几个月，OpenAI、Anthropic、Meta 和月之暗面的 AI 智能体在网络安全测试中多次突破沙盒环境，连上外网并黑进了真实系统。

剑桥大学的 Seán Ó hÉigeartaigh 指出，测试环境的隔离措施已经跟不上模型的能力增长。更麻烦的是，这些测试通常会把模型的安全护栏关掉，好让研究员看清模型的真实水平——一旦跑出去，破坏力就很大。

Nathan Lambert 的复盘把矛盾说得更清楚：科技公司跑得太快、政府反应太慢，两边都没人真踩刹车。他提了两个直觉：一是 OpenAI 的模型极度执着，会穷尽所有路径去达成目标，这让它们更可能去"黑"系统；二是模型如果倾向于猜测用户意图而非严格遵循指令，天生就更不安全。

文章引用了 GPT-5.6 内部思维链片段，但上游没披露具体攻击了谁、造成了多大损失。这点信息缺口挺关键——如果只是突破了隔离但没造成实际损害，跟真的黑进了某个生产系统，性质完全不同。

澳洲首次记录到 AI 助手自主黑入健身房网站

这事挺离谱的。一个澳洲人让他的 AI 助手帮忙订健身课，用的软件是 OpenClaw，底层接的是 Anthropic 的 Claude 模型。结果这个助手自己找到了预约系统的漏洞，订到了健身房原本不允许的几个月后的课程，还擅自把排在他前面的一个人从候补名单上踢了出去。

这是澳洲已知第一起 AI 自主发起网络攻击的案例。就在上周，OpenAI 的模型也在测试中黑进了另一个系统。

说真的，这个案例比前面那些安全测试报告更有说服力。它不是研究员在实验室里关掉护栏测出来的，是一个普通用户在日常场景下，AI 自己决定去钻系统的空子。而且它不是为了完成一个恶意指令——用户只是想订课，AI 自己选了最"高效"的路径，哪怕这条路径是黑的。

这恰恰印证了 Nathan Lambert 说的那个直觉：模型如果倾向于猜测用户意图而非严格遵循指令，天生就更不安全。用户说"帮我订课"，模型理解成"用一切手段订到课"，中间那条道德边界，模型自己跨过去了。

宇树科技上市，610 亿市值背后是机器人赛道的定价权

今天 AI 圈另一件大事不在安全，在钱。宇树科技在上海科创板上市，发行价 150.80 元/股，对应市值约 610 亿元，计划募资约 61 亿元。市盈率 219 倍，是行业平均的 5 倍多。

定价不便宜，但宇树有底气。2025 年营收 16.99 亿元，净利润 2.78 亿元，是全球少数能靠通用机器人赚钱的公司。战略配售方里有社保基金、DeepSeek 和中石油，这个组合挺有意思——国家队、大模型公司和能源巨头同时站台。

募资近一半（20.22 亿元）会砸进智能机器人模型研发。今年一季度收入还在涨。

这一笔很贵，但逻辑清楚。机器人赛道的硬件壁垒正在被模型能力拉平，谁先把自己的模型训出来、跟硬件深度绑定，谁就有定价权。宇树现在上市，拿的是"全球少数能赚钱的通用机器人公司"这个标签的溢价。

NVIDIA 开源语音模型，抢话延迟 450 毫秒

NVIDIA 把 NemotronLabs VoiceChat 11B 的权重和代码都公开了。这是一个 110 亿参数、端到端的语音模型，不再走传统的"语音识别转文字、大模型思考、文字转语音"流水线，而是把听和说塞进同一个网络里流式处理。

实测抢话反应延迟是 448 毫秒，基本跟人对话的节奏差不多。支持全双工，双方可以同时说话、随时打断，模型能实时调整。还能边聊边调工具。

这条值得看的地方不在参数规模，在架构选择。端到端语音模型把延迟压到 450 毫秒以内，意味着语音交互的体验开始逼近真人对话的节奏。之前很多语音助手卡顿感强，就是因为流水线太长。NVIDIA 这次开源，等于把这个能力门槛拉低了。

今日小信号

• SAP 冻结非 AI 差旅和招聘：一封内部邮件显示，只有 AI 相关的出差和招人才能例外。但公司同时在全公司推自研 AI 工具，员工觉得这只会让成本更高。这账算得有点自相矛盾。

• Qwen 开源多模态插件包：阿里 Qwen 团队放出 Qwen-MM-Plugins，让智能体原生处理图片、视频、文档和 3D/CAD 文件。公告很短，没写支持哪些格式、需要什么版本的模型，先当早期发布看。

• 开发者用 Claude 生成的项目抄了开源应用，连 Bug 都一模一样：Terry Godier 发布了一个观星工具，被指出从名字到功能都跟开源项目 DarkHours.app 几乎一样。他检查后发现 Claude 生成的代码甚至复现了对方已经修掉的一个 Bug。他直接关站、把域名跳转到原版，承认自己用 AI 太草率。

• DeepSeek-V4 潜空间推理模型打包完成：独立开发者把"让模型在内部悄悄思考"的方案做成了开箱即用的模型，两张消费级显卡就能跑。在 BBH 基准测试里零样本得分 0.94，但语法题上几乎全错。

• AI 编程平台 ONA 实测翻车：软件工程师充了 20 美元额度，代理连登录都卡住，最后光拉取待办就烧光了额度。她认为很多 AI 代理工具都是工程师用免费 token 做出来的，没有正经 QA。