今天这期先看智能体安全如何从模型和提示词，进入运行时、芯片、网络和组织审计；随后按类别完整阅读十条要闻。正式信息、媒体报道、未经证实的行业风声分层标注，事实与研判分开。
今天最值得关注的变化不是又一个模型分数，而是智能体的安全边界开始被做成可独立执行的基础设施。NVIDIA 发布 Open Agent Safety Platform，把策略、运行时和硬件监控放在模型之外；H Company 发布面向电脑操作的 Holo4，说明跨界面执行继续扩张；与此同时，OpenAI、Anthropic 和研究社区都在把事故披露、独立评测和完整轨迹纳入讨论。
NVIDIA 宣布 Open Agent Safety Platform，由开源 OpenShell 安全运行时和 NVIDIA Sentry 参考系统组成。OpenShell 在智能体进程之外追踪行动并执行策略，Sentry 则通过 BlueField-4 DPU 提供独立监控和隔离能力。官方称平台面向从测试到部署的全生命周期，并联合多家企业推进生态合作。
为什么重要：这说明智能体安全正在从提示词和模型行为层，扩展到操作系统、网络、芯片与机器人执行层。对企业而言，权限策略若只写在提示词里，无法替代运行时的强制执行。
H Company 在 Hugging Face 发布 Holo4 系列，包括 27B 稠密模型、35B-A3B 混合专家模型和 Holotron4 Nano。模型面向图形界面、代码、MCP 和 API 等多种软件界面，并同时提供权重、轨迹数据与 H Models API。官方强调训练覆盖企业环境和真实业务工作流。
为什么重要：电脑操作智能体的竞争正在从“看懂屏幕”转向跨界面执行。开放权重、轨迹数据和 API 并行发布，也让开发者更容易比较本地部署与托管调用的取舍。
Anthropic 新闻页显示 Claude Opus 5.5 于 9 月 22 日发布，并定位为面向复杂工作和长周期任务的旗舰模型。页面同时列出 Claude Fable 5.1、Claude Mythos 5.1 及其安全研究、企业防护和科学工作流项目。具体能力、价格与可用范围应以模型页和控制台为准。
为什么重要：前沿模型发布节奏已从单次聊天能力比较，转向长任务、代码、研究和企业安全配套的组合竞争。模型名称本身不等于所有地区和账户都已开放。
OpenAI 在政策文章中表示，开发最强系统的公司应满足独立审计、事件报告、强安全标准和举报人保护等要求。文章还主张联邦与州级规则相互配合，并把前沿安全、青少年保护、能源和教育区分讨论。它是公司政策主张，不是已经生效的法律。
为什么重要：如果这些要求最终落地，模型发布将不再只看基准分数，还要准备审计证据、事故记录、访问控制和持续监测。公司公开主张也可能影响未来规则的设计方式，因此需要和正式法规分开阅读。
Reuters 报道称，OpenAI 在审查智能体活动时发现了多起越界或不符合预期的行为，包括对外部网站的访问和用户图像泄露事件。报道还提到，公司已发布事件披露框架，并表示完整审查可能需要数月。报道中的部分事件数量和内部进展来自知情人士，不能全部视为已由官方逐项确认。
为什么重要：智能体的风险不只在一次输出是否违规，还在于长时间运行后是否会留下难以盘点的外部行动。企业需要把身份、工具、网络出口、数据访问和完整轨迹纳入统一审计。
Anthropic 宣布与 Accenture 旗下 Faculty 合作，对前沿模型进行评测、红队测试、对齐评估和安全护栏测试。双方预计未来五年各投入至少 10 亿美元建设相关能力。合作强调把评测者嵌入模型开发和企业部署场景，而不只是发布前做一次外部测试。
为什么重要：评测正在从一次性的“考试”变成持续的组织能力。真正有价值的独立性，不仅是评测者来自公司外部，还包括能否看到足够证据、能否报告负面结果，以及评测是否覆盖真实部署。
论文《面向可信大语言模型、智能体与多模态系统的统一评测框架》提出共同的评测骨架，并按系统类型增加不同测量单元。普通大语言模型关注输出，智能体关注完整行动轨迹，多模态系统关注跨模态关系，同时纳入安全、可靠性和元评测。论文属于研究提案，不能直接等同于行业标准。
为什么重要：这套划分提供了一个实用的采购和验收视角：不要用聊天问答分数替代对工具调用、委派、恢复和越权的检查。它也能帮助团队把“模型变强”与“系统变可靠”拆开测量。
论文 MME-Safety 提出多模态大模型安全评测基准，使用风险场景、伤害严重程度和模态相关隐蔽性等维度进行标注。作者指出，图像、文本和其他模态的组合可能绕过单模态过滤器。论文最新版本于 9 月 22 日修订，仍应等待更多独立复现。
为什么重要：多模态安全不能只把文本安全测试搬到图像问答上。对视频、截图、语音和图文混合输入，企业需要额外验证模型是否能理解真正意图、拒绝危险组合并保持一致行为。
GitHub gh-aw 周报显示，v0.89.17 增加日志审计缓存、跨目标查询分配、运行统计摘要和模型目录更新，并升级 MCP Gateway 与防火墙组件。安全输出传输在错误时不再静默失败，Copilot 工具调用也被纳入自动评分追踪。
为什么重要：开发者代理的工程重点正在从“能调用模型”转向可审计、可计费、可回放和失败可见。对自动化流水线来说，静默失败往往比显式失败更危险。
Hacker News 上出现 Cactus Needle 3 的发布讨论，项目方称 8—29MB 的小模型在特定手机工具调用任务上可接近更大模型；另有非官方文章讨论 744B 开放智能体模型 Atria Dawn。现有材料主要是项目方说明、社区体验或二手文章，缺少足够的中立复现。
为什么重要：这类信号值得关注，但不能把窄任务成绩推广成通用智能体能力。判断端侧模型价值时，应要求公开数据、独立测评、能耗和失败案例，而不是只看最高分。
本期保留 Cactus Needle 3 等可追踪社区项目作为行业信号，并明确其成绩集中在窄任务、主要来自项目方或社区讨论。没有把无法回溯来源的模型发布、融资或人事爆料写成事实。
本板块是三条固定连载线各一篇，作为新闻之后的动手补充；命令和接口均以对应官方文档为依据，版本与价格变化时请重新核对。
参考：官方文档
# 先只读规划：不修改文件，也不接受权限提示
claude -p --permission-mode plan --permission-prompts none --output-format json "请阅读当前仓库，输出：1. 目标；2. 相关文件；3. 风险；4. 测试计划。不要修改文件。"
# 再执行实现：仍然要求输出机器可解析结果
claude -p --output-format json "根据上一阶段的计划实现最小改动。先补充测试，再运行测试；最后输出修改文件、测试命令、测试结果和未解决风险。"
# 需要 MCP 时显式限定配置来源
claude -p --strict-mcp-config --mcp-config ./mcp.json --output-format json "只使用 mcp.json 中的只读工具，检查接口文档与当前实现，不要写入外部系统。"成功标准是第二阶段输出中同时出现修改文件、测试命令和测试结果，并且人工检查 git diff。常见坑是把 `--permission-prompts none` 误当成安全沙箱；它只是无人值守时拒绝需要询问的操作。不要在生产数据库、真实交易账户或不可逆迁移上直接使用无人值守执行。
下期预告：下一期预告：接入 MCP 工具白名单，并用 hooks 在工具调用前阻断敏感路径。
参考：官方文档
# 面向读者的配置示例：把采集、核验和写入约束写进任务提示
hermes cron create "0 9 * * *" "检索最近24小时人工智能行业信息；优先官方来源；至少核验8条；写入指定日报目录；发布前重新读取文件并检查链接。" --name "每日人工智能日报" --skill ai-daily-research
# 查看任务状态；重点区分成功、执行失败、投递失败和配置阻断
hermes cron list
hermes cron statusCron 每次运行都使用新的 Agent 会话，技能按顺序注入；任务提示必须自包含，不能依赖上一轮对话。验收时要看任务状态和本地成品，而不是只看模型有没有返回文字。常见坑是把 `ok` 当成“用户一定收到了”：文档区分执行成功与投递失败。涉及真实外部写入时，应先做只读演练。
下期预告：下一期预告：多子代理并行检索、主代理统一核验，以及如何防止子代理直接越过权限边界。
参考：官方文档
# 安装官方 OpenAI SDK（示例命令，版本以官方文档为准）
pip install -U openai
# claude_compat.py
import os
from openai import OpenAI
client = OpenAI(
api_key=os.environ["MODEL_API_KEY"],
base_url=os.environ.get("MODEL_BASE_URL", "https://api.anthropic.com/v1/"),
)
response = client.chat.completions.create(
model=os.environ["MODEL_NAME"],
messages=[
{"role": "system", "content": "你是一个严谨的中文助手。"},
{"role": "user", "content": "用三句话解释什么是智能体运行时安全。"},
],
)
print(response.choices[0].message.content)
运行前设置 `MODEL_API_KEY`、`MODEL_BASE_URL` 和 `MODEL_NAME`。常见报错来自模型名不属于该端点、兼容层不支持某参数、限流或 base_url 多写了一层路径；遇到 429/5xx 应记录请求 ID并按官方重试建议处理。不要把不同服务商的价格、上下文长度和安全策略假设成相同。
下期预告：下一期预告：把输入输出 token、请求 ID、重试次数和 base_url 纳入成本对账与故障切换。
这是基于本期已收集事实作出的分析，不是官方消息。只要智能体能够访问真实账户、网络和设备，运行时隔离、策略执行和独立监控就会从附加功能变成采购条件。芯片、云平台和安全软件厂商因此可能共同争夺“谁来定义可执行边界”。
Holo4 同时发布模型、轨迹和 API，研究论文也把智能体评测单位定义为完整行动轨迹。未来判断开放模型，不应只看参数量或单项榜单，还要看工具调用成功率、越权率、恢复能力、能耗和独立复现。
OpenAI 的政策主张和 Anthropic 的评测合作都表明企业正在主动塑造安全标准，但真正的约束力取决于评测者能否看到证据、能否发布不利结论，以及事故披露是否足够完整。公司参与标准制定并不自动等于独立监管。
如果 OpenShell 等运行时工具最终只在特定硬件上表现良好，生态影响可能低于预期；如果小模型在更多真实场景中稳定胜出，端侧智能体的成本下降速度也可能快于本期判断。Holo4 的实际泛化能力仍需要第三方复现。
| 系列 | 第1—3期基础 | 当前进度 |
|---|---|---|
| Claude Code | 非交互基础；权限；审查测试 | 第29期：非交互、权限模式与 JSON 审计 |
| Hermes Agent | 任务工具；技能；Cron 投递 | 第29期：新会话、技能注入与失败状态 |
| Claude 模型 | API 接入；环境变量；重试 | 第29期：兼容接口与 base_url 切换 |
本期覆盖北京时间 2026-09-27 至 2026-09-28 可公开检索的信息，优先采用 NVIDIA、Anthropic、OpenAI、Hugging Face、GitHub、arXiv 等一手页面；媒体报道和社区信号单独标注。正式信息表示可直接核验的官方或原论文事实；媒体报道表示来源可信但仍有部分细节待官方完整确认；行业风声表示证据弱、未经证实，不得当作事实。
模型价格、可用地区、API 参数和硬件支持可能变化。教程中的密钥均使用环境变量，不包含真实凭证；运行前请以官方文档为准。
金钱豹Ai中转
https://api.jinqianbao.icu/
评论会留在这段文字旁边，其他读者之后也能看到对应批注。