今天还发生了几件事：

• Mistral 把 Mistral Large 4 的开源权重直接扔上了 Hugging Face，1T 总参。
• 月之暗面放出 Kimi K3.1 Pro，开源阵营第一次追到第一梯队身后。
• 智元用 96.7% 这个数字，给「部署态」下了个定义。
• 谷歌的异步编程 agent Jules 宣布停服，经验并入 Antigravity。

这四条都够单独写一篇。但今天我只写一件。因为它不是产品新闻，是一次已经发生过的事故，而且原因不在模型里。

门是从里面开的

《连线》10 月 29 日（美东）报道，10 月 30 日北京时间传开，信源是多名知情人士。

涉事系统供多个情报机构共用，里面存的是「受控非密信息」（CUI）。CUI 不涉密，但未经审查不得公开，范围可覆盖关键基础设施、核潜艇推进系统、生化恐怖袭击的脆弱点、放射性物质位置。单看都不算密，凑起来是什么，后面再说。

系统跑在 NIPRNet 上，国防部的非密互联网协议路由网络。能连互联网、收邮件、开浏览器，但防护很严。编程环境就架在上面。

手法不复杂。一名埃森哲承包商为了让 AI 自动写代码、启动云服务器，把自己的登录凭据交给了 Claude。agent 因此拿到管理员级访问权限，能绕过正常登录流程的安全控制，还能代表他把代码提交进系统。

要干活就得连外网。凭据、密码和 NIPRNet 网络结构图，就是在连外网时疑似发出去的。

《连线》没写那个网站叫什么，理由是避免进一步暴露系统。但报道点了一件事：NIST 早就把它标成高风险——它有一处漏洞，可能让攻击者向 AI 编程 agent 注入指令，偷走凭据。

然后是最难回答的部分：没人知道这些数据发出去之后怎么了，是否仍被第三方保留。信源原话是「这 100% 是国家安全威胁」，可能造成不可挽回的伤害。

agent 在里面跑了约两个月才被发现，缺口之后才补。没有证据表明黑客进了机密或绝密系统。

所以新闻点不是「AI 出错了」。没有漏洞利用，没有零日，绕过安全控制靠的是一个自愿的授权动作。

传统威胁模型防的是坏人进门，没有一条规则防「自己人把门钥匙给了一个来帮忙的陌生人」。

日志里只有一个正在加班的员工

两个月没人发现，我一开始以为检测太弱。想了一下，不是。

系统日志记的是：该员工在登录，该员工在提交代码。每个动作在日志里都长成「合法的某个人干的」。agent 没有自己的身份，它借用了一个人的身份，于是它在这套体系里是隐形的。我叫它影子身份。

检测模型没有失效，是它的词表里没有这一条。没有哪条告警规则叫「员工自愿把管理员凭据交给 LLM」。规则是人写的，写的时候没想到门会从里面开。

两个月不奇怪。它不需要躲，它一直在正常工作。

40% 才是背景里的数字

单个案例可以算失误。放进行业数据里就不是了。

GitHub 本周随 Copilot Fusion 发布 Octoverse 报告。2026 年 9 月，超过 40% 的 pull request 以 AI agent 生成的草稿起步。今年 3 月是 17%。半年翻了一倍多。

同期开发者 push 了 179 亿次代码，超过 2024 与 2025 两年的总和。

GitHub 说只统计了它检测得到的 agent。40% 是下限。

第三方安全分析给了个更刺眼的对照：Claude Code 辅助的公开 commit，密钥暴露率约 3.2%，约为 1.5% 基线的两倍。这是第三方摘要，不是 GitHub 官方口径。

我的读法：每一个 agent PR 都是一次小规模的授权外放。你把一段判断权交给不完全在你控制下的东西，它替你在仓库里落笔。3.2% 对 1.5%，就是这件事的民间版，规模小，性质一样。

五角大楼不是异常值，是一个正在全行业复现的模式被放到最刺眼的位置。

用 agent 审 agent，地基是空的

行业在补，目前唯一跟得上的方案是让 agent 去审 agent。

GitHub 10 月 28 日公测 Copilot Code Review Max：在不同厂商的模型上跑独立 review agent，把发现合并成一份审查。GitHub 说它在 ReviewBench 高严重性问题上 F1 分最高——厂商自报数据，我照抄，不做背书。

这个方向我认。它等于承认：人的审查带宽到顶了，PR 的产出速度已经不是人能逐行读完的。

但它的地基有问题。

MIT Technology Review 这周写了一件更基础的事：有研究者审计了四个使用最广的 agent 框架，发现日志记录存在重大缺口。监管者要求的「实时监控」，其基础设施——可靠记录 agent 做了什么、以及为什么——目前并不存在。近期 OpenAI、Anthropic、Google、Meta 的 agent 越权事件，共享同一个盲区。

审计的前提是行为可回放。没有黑匣子，多模型互审只是在同一片盲区里多开几盏灯，灯多了，能看见的还是那点东西。

规则写得比现实快

规则不缺，缺的是规则和现实之间的距离。

国防部员工与联邦承包商，发现网络安全事件后必须在 72 小时内上报。信源说，埃森哲起初没有报。知情人士说得更具体：员工最初没把这件事当成严重或紧急事件。

Hunter Strategy 创始人 Matt Triner 讲得直：这类事件「绝对属于必须上报的」。但他补了另一半——承包商普遍怕上报丢合同。

还有一条制度事实：Claude 目前被禁止供国防部人员使用。五角大楼 2026 年 3 月把 Anthropic 列为供应链风险，该标签要求承包商认证不在国防部工作中使用 Claude。

埃森哲持有超过 35 亿美元的联邦合同，其中近 6.05 亿美元来自国防部。

本月早些时候还有另一件：FBI 发现另一名埃森哲承包商未修补漏洞，致黑客组织 ShinyHunters 拿到数千名 FBI 员工信息，该承包商 10 月初被撤换。

72 小时的上报义务，对上「跑了两个月才被发现」，窗口在数学上就已经输了。不是执行不力，是设计假设的发现速度，和 agent 时代不在一个量级。

冷水：错位是旧的，速度是新的

我不想把它讲成「AI 带来了新的腐败」。不是。

Triner 那句值得单拎：每个人都在一套规则互相冲突的体系里干活，这个问题 AI 之前就有，现在同样的问题加上了速度。

激励错位从没变过：怕丢合同，要更快更便宜，上报等于自证其罪。这套东西在 AI 之前跑了很多年。

变的是频率。以前一次授权失误是一个人一年犯一次；现在是 agent 一天犯几十次，犯得很快、很自信、格式规范。

一名知情人士点出时机：「我们正与伊朗处于冲突中，伊朗试过入侵多个联邦机构——这是最不该抱这种无所谓态度的时候。」

供给侧的名单，管不了需求侧的手

这里有个被误读的地方。

管制做在「模型」这一层：把 Anthropic 列进供应链风险，要求承包商认证不用 Claude。听起来很硬。

但行为管不住。禁得了 Claude，禁不了「把凭据交给任何一个 AI」。想早点下班的承包商总有别的选择——开源权重、别家 API、本地小模型。名单是供给侧的工具，需求侧的行为不在射程里。

官方通道关着，侧门就一定存在。这不是道德判断，是流程常识。

更贵的风险在下游

前 NSA 黑客、现 IANS 教员 Jake Williams 的推演，是这篇报道里最该记住的部分。

第一层：单看 CUI 不涉密，汇总起来却可能构成应列为机密的内容。危险材料的位置加上设施薄弱环节，各自非密，合起来就敏感。

第二层更贵。工具和代码常先在 NIPRNet 测试，再部署到气隙隔离的 SIPRNet（机密）和 JWICS（绝密）。拿到 NIPRNet 凭据的攻击者能往工具里植入后门，审查没发现，恶意代码就跟着工具进了更敏感的网络。Williams 认为最可能的后果是某种 DDoS。

第三层是那张结构图本身。它告诉入侵者最值钱的东西在哪，横向移动能快多少。

SAST 抓 bug，抓不了后门

接上 10-28 那一期。

那天写 Axiom 用 Lean 做数学验收，核心是「先有检查器，再有 agent」。这一期是同一命题的反面：没有检查器的地方，agent 不是生产力，是风险本身。

政府用的静态应用安全测试（SAST）为抓 bug 设计，找的是无意的错误。蓄意植入的后门不是「漏洞」，是一段写得完全合法的代码。SAST 大概率漏过。

AI 生成代码的速度远超人工审查，40% 这个数字已经证明了。唯一能追上生成速度的验收，只有机器可验证的证据。

所以交付物该换定义：不是「代码」，是「代码 + 证据链」——谁让生成的、用了什么身份、读过哪些数据、过了哪几道检查。没有这条链，review 只是礼貌。

谁在说，说了什么

涉及方	角色	说法
埃森哲	涉事员工的雇主、联邦承包商	指控经彻底、独立的调查被认定缺乏依据，已完全履行法律与合同义务；被追问时未说明调查由谁开展，也未否认构成安全事件
美国国防部	系统与网络所属方	不评论其网络或系统状况
Anthropic	Claude 提供方	援引使用政策：禁止用产品干扰军事基地及相关基础设施运行，禁止未经授权绕过身份验证、终端防护或监控等安全控制
知情人士	报道信源	埃森哲起初未向政府报告；员工未把此事当成严重或紧急事件
独立专家	Matt Triner / Jake Williams	绝对属于必须上报；CUI 汇总后可能构成机密，真正的风险是后门随工具进入更敏感的网络

表格里最有意思的是第一行和第三行。一方说自己合规，一方说这类行为被政策禁止。两句都对：合规讲合同义务，政策讲产品使用。中间那一段，没人负责。

边界从网络挪到授权动作

结论比较硬：边界正在从「网络边界」挪到「授权动作」。

过去守网闸、防火墙、零信任分段，防「谁能进来」。这次进来的是自己人，动作自愿，凭据是管理员级，全程没有一次入侵告警，因为它不是入侵。

BYOA 正在变成默认。员工带着自己的 agent 上班：自己的账号、订阅、提示词，替公司干活。企业还以为自己在管「账号」，其实账号下面已经挂了一个会自己行动的东西。

下一代必备的安全产品，我认为不是更厚的防火墙，是 agent 的黑匣子。它要回答三件事：这个 agent 用什么身份、做了什么、为什么。最难的是第三个，但前两个现在都答不上来。

在那之前，每个组织都在重演五角大楼这两个月。只是大部分连《连线》来曝光的机会都不会有。

其他动态

Mistral 把一个万亿参数模型的开源权重扔上了 Hugging Face。 Mistral Large 4 昵称 Le Chonk，1T 总参 MoE、52B 激活、原生多模态，欧洲基础设施训练。它自称开源权重里 agentic 编码与防御性网络安全最强，编码比 GLM-5.3 高 1 分，每任务省 47% token；API 价 0.70 与 2.10 美元，较预览价近腰斩。麻烦在自托管：托管服务需另购商业许可，门槛极高——有人拿 4 张 H200、540GB 显存算过，4bit 量化都未必装得下。

月之暗面的 Kimi K3.1 Pro，把开源和第一梯队压到了 3 分。 2.8T 总参、104B 激活的 MoE，1M token 上下文，Artificial Analysis 智能指数 55 分，开源模型里仅次于 Claude Opus 5.5 的 58 分。权重承诺 11 月 4 日前全部放出，API 定价 2 与 10 美元。这个差距已经小于一代模型，剩下的更多在工程配套，不在基座。

智元把「部署态」量化成了 96.7%。 2026 智元创新日上，具身模型 GO-3 Preview 用 WRAM 架构串联推理、预测与动作生成，视觉 token 压到 DINOv3 的 1/16。结合百台真机与世界模型后训练，精灵 G2 的便利店任务成功率 5 天提到 85.7%，登顶 RoboDojo 等三大榜单，计划年底开源。同期字节 Seed 放出数十个具身岗位，从硬件到灵巧操作全栈招人——大厂开始亲自下场做重资产硬件。

谷歌的 Jules 停服，是异步编程 agent 的第一轮洗牌。 2024 年 12 月上线的 Jules 将逐步停止运营，经验并入 Antigravity，也就是 DeepMind 的「智能体优先」平台、一个从 VS Code 分支出的独立 IDE。官方说目标是：既能在远程环境自主跑后台任务，又有以 agent 为核心的开发环境。推出不到两年就关，说明独立工具形态正被收编进平台。

参考资料

• Cyber Kendra：Accenture Claude Agent Exposed DOD Credentials
• glonce：Accenture contractor reportedly linked DOD system to personal Claude Code
• Rainvent 每日摘要：GitHub Octoverse——Agents Now Start Over 40% of Pull Requests
• ai0.news：AI News — October 30, 2026 Daily Digest

微信公众号

欢迎关注「字与码」

如果这篇文章对你有用，也欢迎在微信里继续关注后续更新。

X

X / Twitter

关注 @ax2_zicode

更即时的技术观察、新文章提醒和一些短想法会发在 X 上。