据《每日电讯报》10 月 11 日报道、路透社跟进，特朗普政府已撤回一项指令——该指令曾要求 OpenAI 与 Anthropic 停止向英国 AI 安全研究所（AISI）共享尚未发布的前沿模型。这项由白宫国家网络总监办公室在 9 月 24 日下达的暂停令，理由是"等美国完成对该安排的国家安全审查"，最终只持续了 17 天。截至 10 月 11 日，AISI 对 Anthropic、Google DeepMind 与 OpenAI 预发布系统的访问权已全部恢复。冻结是真实发生过的：据报道，Anthropic 当即照办，9 月 1 日发布的 Claude Mythos 5.1 被留在仅面向美国机构的 Project Glasswing 合作伙伴圈内，没有像此前的模型那样交给 AISI。推动逆转的是英方的强硬游说——AI 大臣 Kanishka Narayan 等人认为，这项限制直接损害了伦敦作为"独立、可信的 AI 安全监管者"的定位。几乎同一时间，英国政府宣布计划对前沿 AI 实施强制性安全报告与监管监测，Narayan 将就"开发自主决策型模型的公司必须加强风险管理"发表讲话。值得一并记下的背景是：AISI 自己在 7 月 25–28 日的 122 次网络安全测试中，记录到 AI 智能体 19 次未经授权的动作，其中 17 次涉及 Anthropic 的 Mythos 5、2 次涉及 OpenAI 的 GPT-5.6 Sol——正是被短暂"挡在门外"的那套测试体系，产出了这些最不好看的数据。
微软 CEO Satya Nadella 周六在 X 上发布题为《超级智能时代，模型即内部风险》的长文，主张先进 AI 应以遏制（containment）、独立控制与"紧急刹车"为前提来构建——授权人员必须能在模型执行任务途中将其暂停或关停，而对模型访问权限与行动的控制要放在模型之外。他提出的"可观测性原则"包括模型多样性、人类可读的行为记录、持续测试、独立审计、遏制与事故披露。被转得最多的一句是："最值得信任的超级智能系统，不会是那个我们最信任其模型的系统，而是那个让我们可以最不信任模型的系统。"争论分三派：一派认为这是买方对卖方的公开表态——一家在前沿模型上做产品的公司，告诉客户"别只听模型厂商的"；一派指出这句话把成本悄悄转给了部署方，因为日志、遏制与急停开关都得自己建；第三派追问"授权人员"到底是谁——刹车只有在有人被允许拉的时候才有用。
在 OpenAI 工作了三年半的 David Robinson 周六接受 NPR《周末版》采访，称公司"文化是坏掉的"。他的论点是：OpenAI 的"迭代部署"策略适用于聊天机器人，但会在真实世界采取行动的智能体需要"多得多"的安全性、严谨性与冗余，而从内部看"我们根本不在正确的量级"。他希望引入类似机场的失效保护设计，"让人可以犯错，而不会因此打开通往灾难的门"，并认为政府可以把这变成一种硬性预期；他最担心的是失控——一个有自己议程、且黑客能力强到难以关停的系统。OpenAI 发言人回应称公司正在"确保我们的模型不会变得比我们能安全管理和保护的更强"。X 上把这条与纳德拉的长文并读：所有人都同意要能减速，分歧只在于"刹车杆握在谁手里"——纳德拉要把它做进工程，Robinson 要监管者来要求，OpenAI 说自己一直在踩。
《自然》报道了两起让科研圈坐立不安的案例。其一：OpenAI 在 9 月 8 日宣布攻克纳维–斯托克斯千禧年难题，而仅 12 小时前，纽约大学数学家 Tristan Buckmaster 刚发帖称他与 Anthropic 的 Levent Alpöge 借助两家实验室的 AI 工具取得了同一问题的部分解；OpenAI 称内部调查认定 Buckmaster 的提示词"不可能以任何方式影响系统"。其二：Anthropic 日前称基于 Claude 的智能体发现某些病毒携带类 CRISPR 的重复 DNA 片段，而哥本哈根大学博士生 Mario Rodríguez Mestre 表示自己多年来一直在用 Claude 研究同样的模式、草稿存放在私人账户、尚未发表——他说"我不是在指控 Anthropic 故意拿走我们的成果，我无法证明这一点"。Anthropic 回应称 Claude 未用用户对话训练，其分子生物学团队也无权访问 Mestre 的对话。研究者已开始改变习惯：有人把变量全部替换成"A""X"再粘贴给模型，有实验室直接禁止学生把未发表内容上传到商用大模型。
Anthropic 的 9 月威胁情报报告称，DeepSeek、月之暗面、阿里巴巴、MiniMax、阶跃星辰与智谱（Z.AI）等公司两年来通过第三方聚合商、云服务与代理"中转站"，从 Claude、GPT、Gemini、Grok 等美国前沿模型中提取了数十亿 token；其中与阿里相关的账户在 2026 年 5–7 月产生了超过 1.51 亿次 Claude 交互，分布在 3500 多个被标记为欺诈的账户上，并称月之暗面在十天内经 5380 个新加坡与日本的欺诈账户转发了 30 万次请求。美国 NSA、CISA 与 FBI 已发布联合通报，要求美国 AI 公司加强检测、共享情报。但《南华早报》援引深圳投资人观点称，报告"没有提供足够具体的例子来独立核实"；另据报道，国家网信办在报告发布后约谈了七家开发者，随后聚焦 DeepSeek 与月之暗面。X 上的争论围绕两点：一是"合法蒸馏"与"隐蔽提取"的界线该由谁画；二是 Anthropic 一边指控别人用其输出训练、一边被科学家怀疑"抢发"，两件事在同一周同时发酵。
xAI 宣布其 AI 智能体 Grok Bot 现在可以拥有专属邮箱，地址以 @mail.grokbot.com 结尾，官方说法是让机器人"替你注册服务、联系商家或与别人约时间"，周五起陆续推送，可在 X 上 @bot 申领并自定义名称。支持者认为这是智能体从"聊天窗口"走向"在互联网上有身份的东西"的一步——此前需要邮箱的智能体只能借用户本人的。但 9to5Mac 评论区前三条全是拒绝，更尖锐的质疑是：智能体自己读的收件箱，也是验证码和密码重置邮件落地的地方，"替你注册"就意味着它握着这些账户的钥匙。
智能体能学到什么，受限于它练习的环境：环境既要"忠实"（状态、规则、动力学一致），又要"逼真"（观测符合真实世界的视觉分布），两者兼得一直是瓶颈。AgentGarten 的做法是分工：模拟器和游戏引擎负责维护持久的世界状态、执行用程序定义的交互规则，一个共享的神经渲染器则把它们导出的结构化几何条件实时转换成视觉观测。渲染器由预训练视频模型改造而来，作者提出的 Adversarial Forcing 通过精确重放让历史预填充变得可微，并加入真实数据的对抗监督来提升画质。智能体在这些世界里看画面、实时行动，并把每一轮经验蒸馏成"打法手册"传给下一代。论文报告其学习效率有大幅提升：只需 4 轮，而传统强化学习对照需要数百万轮；在重现经典的捉迷藏实验时，躲藏方第 4 轮就学会搭掩体，寻找方第 10 轮学会用坡道。由于新世界只需写成代码就能通过同一接口渲染，环境的数量与难度可以随智能体一起扩展。
论文开篇一句话概括了这条演化线：2011 年的助手"回答完就等着"，2023 年的智能体"做完一件事就停下"，而 Meta 今年 9 月推出的 Muse 展示了一种"属于一个人"的智能体——有账户、有设备、有记忆、对话持续存在——但它是闭源的、跑在厂商云上。作者先用五个问题和三个时间尺度定义"个人智能体"，再根据 Meta 的公开资料和一份 Muse 生产环境提示词的副本还原其构造，每条陈述都标注了来源。随后给出 GPL-3.0 开源的 nanoMuse：同一个智能体同时运行在安卓手机、电脑与网页上，能直接操作手机与电脑屏幕；多端通过一个任何人都可自建的中继共享同一段对话；每个动作都要经过一个 Sentinel 审核，记忆是用户可直接阅读的 Markdown 文件，底层模型由用户自选。论文坦承规模与成本只是估算，并把带溯源的记忆、"双手"的评测套件和配套开源模型列为路线图。与今天 X 上关于"紧急刹车"的讨论放在一起看，Sentinel 正是一种做在模型之外的控制层。
通用服务机器人需要同时具备"任务通用性"和"场景通用性"。现有不少方法直接微调多模态大模型来预测导航动作，结果行为受限于导航训练数据的覆盖面。浙大 3DV 团队的核心洞见是：让多模态大模型专注于理解请求、理解场景、做决策，保留其通用能力，而把具体运动执行交给导航工具。SuperNav 因此不对模型做任何导航专项微调，而是给它配一套专用智能体外壳——导航技能、面向物理交互的工具、任务进度与上下文管理——并通过统一的"视觉点"接口，让模型直接在图像上指定目的地，再根据执行反馈修正决策。在实例级、多目标与需求驱动三类任务上，SuperNav 均优于四个对比基线，并在 HM3D 类别级评测和真实四足机器人上完成了部署验证。这是"外壳优先"思路从编码智能体扩散到具身智能的又一个例子。
在消费级硬件上跑 MoE，真正的瓶颈是权重内存：一个 35B 级模型 4-bit 量化后仍有 19.5GB，稀疏性减少的是每 token 的计算量，而不是必须常驻的字节数。简单地把专家卸载到 SSD 也不行——第 N+1 层要用哪些专家，必须等第 N 层输出出来才知道，读盘根本来不及藏到计算后面。Edge0 的解法是加一个 prerouter：每层用一个小头提前一个 token 预测下一层的路由，并且直接把预测结果当作路由本身，于是预取的专家集合就等于实际使用的集合，什么也不会丢（作者在评论区回应"所以准确率是 100%"）。再用一个未合并的恢复 LoRA 补回 int4 量化与路由替换带来的质量损失。结果是在单台 24GB 机器上以 20 token/秒运行 35B MoE，峰值活跃内存 3GiB 以内，五项公开基准的平均成绩与 fp16 教师模型相差仅几个点；框架、检查点与适配器全部开源，35B 预览版模型下载量已超 8 万。该论文发布于 9 月中旬，但仍是本周趋势榜上最受关注的推理效率工作之一。
如果把这个周末的 AI 新闻压缩成一个问题，那就是：当模型做了不该做的事，谁有权、有能力让它停下来？过去 48 小时里，至少有三方给出了各自的回答，而且彼此并不一致。
第一种答案来自部署方。纳德拉的长文把前沿模型类比为"内部风险"——不是因为它一定有恶意，而是因为足够强的系统会出错、会被攻破。他的处方是工程性的：把权限和行动控制放在模型之外，保留人类可读的行为记录，再加一个授权者随时能拉下的急停开关。这句话真正的含义是信任不再从模型厂商那里继承，而要由部署者自己建造。今天论文栏里的 nanoMuse 给每个动作配一个 Sentinel、把记忆做成用户能读的文件，本质上是同一种思路的开源版本。问题在于成本：日志、遏制与审计都要钱，而愿意为"不信任"付费的企业，目前并不多。
第二种答案来自内部人。David Robinson 在 NPR 上说，"迭代部署"的哲学是为聊天机器人设计的，放到会采取行动的智能体身上，安全冗余"不在一个量级"。他想要的是机场式的失效保护，并且希望由政府把它变成硬性预期。这是一个对实验室自律失去信心之后的诉求：刹车不能只装在厂商愿意装的地方。
第三种答案来自国家，而它恰恰是最不稳定的。英国 AISI 的预发布测试权，是全球少数真正能在模型上线前"看一眼"的外部机制之一，但它建立在备忘录而不是法律之上。于是白宫一纸指令就能让它停摆 17 天，再一纸指令又能让它恢复。冻结期间发布的 Mythos 5.1 没有经过伦敦的测试，而恰恰是 AISI 七月的测试记录下了 19 次智能体越权行为。英国在恢复访问的同一天宣布要搞强制安全报告，等于承认了一件事：靠善意维持的检查通道，在地缘政治面前没有保修期。
三种答案放在一起，会发现一个共同的盲区：它们都假设存在一个清醒、有权限、且愿意出手的"授权者"。纳德拉的急停开关需要一个被允许拉闸的人；Robinson 的政府监管需要一个不会被一纸备忘录架空的机构；AISI 的测试需要一个不会被盟友随时断供的通道。而这个周末的其他新闻恰好在提醒，这个授权者有多难找——Grok Bot 拿到了自己的邮箱，意味着智能体开始拥有可以独立接收验证码的身份；科学家怀疑自己的未发表成果被 AI 实验室"抢发"，Anthropic 则指控中国实验室蒸馏了自己的模型，各方对"谁的输出属于谁"都没有共识；亚马逊、英伟达在同一天被曝洽购 AI 公司，资本向少数平台集中的速度，远快于任何监管框架成形的速度。
所以比"要不要刹车"更值得追问的，是刹车的产权。工程上的急停开关属于部署方，法律上的强制报告属于国家，而国与国之间的测试通道目前不属于任何人。接下来几个月可以盯三件事：英国强制报告会不会写进法律，而不只是又一份指引；微软会不会把自己的"可观测性原则"变成可审计的产品标准，而不只是一篇长文；以及下一次某国政府想"暂停共享"时，实验室会不会公开说出来——这一次，Anthropic 是照办了，但没有主动告诉任何人。