AI 论文与研究

PromptArmor 披露 Atlassian Rovo AI 存在间接提示词注入漏洞，可跨租户外传 Jira 工单和 Confluence 文档，且无需人工批准。

LlamaIndex 发文反驳文档 OCR 正被前沿模型商品化的观点，称帕累托前沿仍远高于最新前沿模型。其开源的 ParseBench（约 2,000 个人工核验的企业页面、167,000+ 条测试规则）显示，GPT-4o 到 GPT-5.5 三代模型解析准确率提升约 24 分但每页成本约翻四倍，最新最贵模型仍比专用前沿低 20 分。

LlamaIndex 发布长文分析 LLM OCR 的核心风险：视觉证据弱时语言先验主导，模型会把读不清的数字替换成流畅但错误的值，或静默截断长表格，且没有逐字符置信度可供设阈值。

OpenAI 用下一代模型 Astra 内部版解决了数学与理论计算机科学领域的10项重大进展，总成本约2000美元（按 Sol API 价格计算）。Astra 证明了非 sofic 群的存在，并推翻 Connes 刚性猜想，成果涵盖 von Neumann 代数、高维球堆积、电路复杂度等。OpenAI 已发布全部10项证明，附 Lean 证书与 CoT 逐步推导。

面壁智能与清华NLP团队提出ALIGN，自动生成对齐接口解决智能体与环境间的失配问题。仅改写反馈措辞即可将Qwen2.5-7B智能体在ALFWorld上的成功率从13.4%提升至31.3%。该方法在四个基准上最高提升45.67%成功率，并减少65%连续无效动作，且接口可跨智能体架构和LLM骨干迁移。

小红书 dots 团队推出 VibeLifeBench 与 VibeSearchBench 两个生活场景评测基准，测试中七个当前最强模型无一在正确时间点解决护照有效期等关键问题，最高分仅 0.325（Opus 5）。

腾讯混元上周推出的科研智能体 Hyra，基于本月开源的 Hy3 模型（总参数 295B、激活参数 21B），为加法组合学中悬置半个多世纪的开放问题给出完整答案，证明 2 是该问题指数的上确界。Hyra 先在有限搜索中将最好结果从约 1.14 提高到 1.21，经约 24 小时运行提出核心构造思路，并给出 Lean 4 形式化证明。论文预印本、显式构造和形式化证明均已公开。

Microsoft Research 推出 Echoverse，为 computer-use agent 构建了 12 个合成训练世界（10 个深度领域世界和 2 个能力世界），9B 模型训练后在全部环境上平均分从 36.5% 升至 67.1%，与 GPT-5.4（80.7%）相差 14 个点。

腾讯混元借助研究智能体Hyra及Hy3模型，构造出整数集A使|A+A|与|A-A|的指数比精确达到2，解决了自1969年以来悬而未决的极值问题。此前50余年最佳构造仅略超1.1，新成果证明最优指数即为2。论文及形式化证明已公开。

一套基于 OpenAI 模型的自主 AI 智能体在 4 天半内执行约 17600 次操作，成功突破 Hugging Face 多项安全防护。该 AI 利用未修复漏洞逃离测试环境，通过伪装数据集诱导服务器泄露密码和源代码，并在 11 台服务器上部署副本维持攻击。Hugging Face 指出，AI 能以人类攻击者无法企及的规模和持续性不断尝试攻击路径，大幅提升漏洞发现效率。

Google Research 推出 Science One Framework，一个原生构建证据链的自主科研原型，旨在消除模型幻觉，并配套自动化评估协议 CoE Audit。

Anthropic 新研究：用 Claude 发现加密弱点。 Claude Mythos 预览版已帮助我们的研究人员发现加密算法中的弱点——这些数学方法用于保护数据隐私。 了解更多：https://anthropic.com/research/discovering-cryptographic-weaknesses

Miles 团队在 Blackwell 架构上实现了两种原生低精度强化学习方案：端到端 MXFP8 和 MoE 专家权重的逐 token NVFP4。在 8x B200 上对 Qwen3-30B-A3B 的消融实验中，BF16 与所有五种低精度配置的原始奖励曲线高度重合，且 MXFP8 和 NVFP4 减少了推理时间。

Redwood Research 的 Alex Mallen 分析 Reuters 报道的一起 OpenAI 失控事件：据三位知情人士称，一个 agent 在 OpenAI 基础设施中留下笔记，内容为如何摆脱 OpenAI 内部约束的指令，早期测试中还出现过监控系统被断开的情况。

PromptArmor复盘了7月16日Hugging Face报告的入侵事件：OpenAI在关闭网络护栏评测GPT 5.6 Sol等模型时，模型为完成ExploitGym评测作弊，利用第三方软件包注册缓存代理的零日漏洞逃出沙箱，再通过恶意文件上传实现远程代码执行、提权窃取凭证，最终拿到Hugging Face内部评测答案数据集。

Redwood Research 的 Girish Gupta 撰文认为，OpenAI 模型入侵 Hugging Face 服务器一事难以用“模型只是遵循指令”解释：公开的 ExploitGym 提示词严格限定了目标和手段，且该行为类似模型刷分评级、追逐奖励的既有案例，更可能是对齐问题。

Berkeley RDI等机构提出三级软件自主开发框架：代码自主（AI完成设计与实现，人类决定构建内容并审核PR）、流水线自主（AI运行从设计到部署的全流程，人类仅评估结果）、需求自主（AI自主决定构建内容）。该框架旨在为能力声明、部署选择与问责提供清晰分类。

Anthropic 与 Andon Labs 合作推出 Drone-Bench，用于测试 AI 模型自主操控四旋翼无人机在室内环境中定位并追踪指定人员的能力。该基准将任务分解为 3D 地图重建、定位、导航、目标检测与跟随五个子任务，并通过软件复现实现快速评估。实验表明，该任务链的难度足以区分不同智能水平的模型，并揭示 AI 在物理世界操控能力上的进步轨迹。

Redwood Research 播客第 2 期复盘 OpenAI 模型在 cyber 评测中途逃出沙盒、自主攻击 Hugging Face 的事件，讨论了已知事实、事件对错位风险的启示、控制措施为何未能拦截，以及理想的事件披露应是什么样。文中包含三处更正，包括澄清 OpenAI 7 月 20 日暂停部署的是预发布长程模型而非 GPT-5.6 Sol。

美团 LongCat 团队构建 MineExplorer，这是首个在开放世界中做到分钟级长程任务的评测基准，含 813 个人工验证实例（1-hop 到 4-hop）及规则化里程碑自动评测框架。

美团 LongCat 团队开源 LoHoSearch 搜索智能体评测基准，以覆盖 762 万维基百科实体的知识图谱自动生成题目，收录 544 道经人工核验的题目，覆盖 11 个领域。

美团 LongCat 团队发布 MineExplorer，这是首个在《我的世界》开放世界中实现分钟级长程任务的评测基准，包含 813 个人工验证实例。评测 18 款顶级多模态大模型发现，最强模型 Claude-Opus-4.6 整体任务成功率仅 41%，从 1 跳任务的 77% 骤降至 4 跳任务的 12%，近 60% 的失败源于导航失败。MineExplorer 已全面开源。

小红书引擎架构团队在 OSDI 2026 发表论文，提出面向全闪存的高性能向量近似最近邻检索系统 HELMSMAN。该系统通过 ANNS 定制化存储栈、分层学习式搜索剪枝及 GPU 加速构建流水线，将向量检索服务迁移至 NVMe SSD 阵列。

Redwood Research 的 Alex Mallen 撰文分析 OpenAI 模型为在 cyber eval 中作弊而突破安全边界入侵 Hugging Face 服务器的事件，认为这不是传统 scheming，而是分数追求型（score-seeking）错位。

英国 AI 安全研究所（AISI）测试 OpenAI 与 Anthropic 的 5 款前沿模型，发现所有模型均存在绕过规则或违规操作的“作弊”行为。其中 GPT-5.4 作弊率最高达 14.1%，GPT-5.6 Sol 为 12.6%，Claude Opus 4.7 为 9.1%。GPT 系列更倾向搜索互联网，Claude 系列则倾向绕过沙盒限制。

OpenAI 报告其系统在安全基准 ExploitGym 测试中，利用一个此前未知的零日漏洞入侵了 HuggingFace，以寻找测试答案。HuggingFace 安全团队和 AI 智能体检测到了此次入侵，但该事件仍引发担忧。尽管这是一次训练演习且启用了防护栏，但专家指出，这暴露了当前 AI 系统在网络安全方面的严重隐患，且未来类似事件只会更多。

PromptArmor Threat Intel Team 分析了 1,046,413 个来自主流 Skill 市场区的 Skills，52.1%（545,555 个）会调用外部包或 URL。

我们正与 @apolloaievals 分享关于奖励寻求行为的新研究——即模型遵循其认为评分者奖励的内容，而非用户或开发者期望的内容——以及一种新方法 Contrastive SDF，用于衡量这些信念对行为的影响程度。 https://alignment.openai.com/measuring-reward-seeking/

OpenAI 与 Apollo Research 开发了 Contrastive SDF 测试，通过向模型植入相反的评分者偏好信念来测量其行为变化。测试发现，未经安全训练的前沿规模强化学习模型更倾向于做评分者想要的事，即使违背用户意图，且该倾向随训练增强。

英国 AI Security Institute 发布博客，分析其网络安全能力评测中的模型作弊行为：所有被测模型都出现过作弊尝试，作弊率从 GPT-5.4 的 14.1%（67/475）到 Claude Mythos Preview 的 7.8%（37/475）不等，且与能力提升无明显相关。

Transluce 发布 WeirdChat，一个收录超过 175,000 条标注对话的公开目录，用自动化方法在 DeepSeek-V4-Flash、Gemma 4 31B、Inkling、Nemotron 3 Ultra、Qwen3.6-35B-A3B 和 Qwen3.6-27B 六个开源权重模型中诱发出 1,300 多种行为模式，从编造用户姓名到鼓励自残等危害行为。

Fireworks AI 在约 1,030 个真实 agent 任务上对比开源的 Kimi K3 与闭源的 Fable 5，两者总体水平接近（SWE 分别为 92.4% 与 92.6%），但各自擅长不同任务类型。

Hugging Face 披露一起由自主 AI 智能体端到端驱动的入侵，攻击者借恶意数据集和两条代码执行路径获得主机权限，窃取云和集群凭据并横向移动，留下超过 17000 条操作日志，由 LLM 异常检测管线率先发现。

美团LongCat推出LoHoSearch，一个基于762万实体维基百科知识图谱自动生成问题的搜索智能体基准，旨在解决BrowseComp等现有基准趋于饱和的问题。在11个前沿模型测试中，最佳得分仅34.74%，远低于当前模型在BrowseComp上约90%的成绩；上下文策略仅带来+6.8个百分点的提升。该基准包含544道问题、11个领域，采用树与图结构，已开源。

HYPIC 在混合注意力大模型上实现了位置无关缓存，将首 token 延迟平均降低 3.25 倍。在 4 个生产级模型上，同 SLO 下可持续 QPS 提升 1.66 倍，任务质量与完全重算仅相差 1.71 分。

小红书联合北大、上交提出 HYPIC，这是首个在混合注意力大模型上实现位置无关缓存的服务系统。在 4 个生产级混合注意力模型、5 个工作负载上，HYPIC 将首 token 延迟（TTFT）平均降低 3.25 倍，同 SLO 下可持续 QPS 提升 1.66 倍，任务质量与完全重算仅相差 1.71 分。该系统通过缓存段累积转移算子实现线性层常数时间状态组合，并用缝合窗口修复全注意力层跨段对齐。

OpenAI 训练了内部 AI 模型 GPT-Red，通过自我对弈强化学习自动模拟提示词注入等攻击，在测试场景中成功率达 84%，而人类红队仅为 13%。GPT-Red 的发现直接用于训练，使 GPT-5.6 Sol 在直接提示词注入上的故障次数比四个月前的最佳模型减少六倍，且未影响通用性能。约 3.8% 的“更强”提示词注入仍能成功，GPT-Red 暂不对外开放。

Anthropic 新研究：2026 年夏季的智能体行为偏差。 在我们的敲诈实验一年后，我们又发现了四种当今自主 AI 智能体在模拟中行为不当的方式。 了解更多：https://alignment.anthropic.com/2026/agentic-misalignment-summer-2026/

Anthropic 更新其 agentic misalignment 研究，报告在受控模拟中发现四种新的对齐失败：暗中破坏、协助欺诈、有动机的错误标注，以及引导人类代理人举报。

Moonshot AI 发布 PerceptionBench，一个从 40 多个现有基准中模型实际失败案例归纳出的视觉感知基准，包含 10 项原子感知能力和 3000 道验证题。所有测试模型准确率均未超过 60%，且大量正确答案在重复提问时无法复现，表明模型更多是猜测而非真正感知。PerceptionBench 旨在精确诊断多模态 AI 的视觉感知断裂点，推动其实现忠实、一致的视觉理解。