百万 token 不是一次参数刷榜，它改的是“一次 API 调用能干嘛”这件事的定义。

在 64K 输出的年代，你写一个长程 agent，真正的工作量不在模型身上，而在你身上：把任务切片，把上一片的结论压缩成摘要喂给下一片，在接缝处做一致性校验，然后祈祷没有信息在摘要里被磨掉。切片的数量决定了你的架构复杂度，也决定了失败率的曲线。Gemini 4 Argon 把这个上限从 64K 拉到 100 万（Google 官方发布文，2026-09-30，作者为 Google DeepMind 的 Koray Kavukcuoglu）。它真正动到的，是“编排”这一层——当模型能在单条轨迹里生成几十万个 token，过去必须由 harness 承担的拼接逻辑，有相当一部分可以直接消失。

Argon 到底是什么：一个被推迟四个月的旗舰

先把背景补齐，这不是一次顺理成章的产品迭代。按彭博社的报道，Google 原计划 6 月发布 Gemini 3.5 Pro，后来整个项目被放弃；Bloomberg Intelligence 的 Mandeep Singh 估算，一次前沿训练的成本可以到 4 亿美元。Argon 是那个被取消的承诺的替代品，它身上背的压力比一般旗舰大得多。

定位写得很明确：长程软件工程、企业知识工作（法律、金融、税务）、以及网络安全防御。三个方向里，前两个是钱，第三个是这次的真正主线。

有一处必须较真：100 万是输出上限，不是上下文窗口。这两个数字在过去几年被反复混用，而 Google 至今没有公布 Argon 在生产 API 里的通用输入上下文规格。它给出的 GraphWalks 长上下文评测跑的是 256K 到 1M 区间（84.2%），这只证明它在该评测上的能力，不等于定义了产品参数。

基准真相：13/18 领先是话术，不是结论

Google 自己的说法是 18 项基准领先 13 项（VentureBeat 数是领先 12 项、打平 1 项）。这个量级的成绩值得尊重，但读表要分块看，因为不同块的故事完全不同。

知识工作这一块是干净的横扫。Vals Index 68.9%，对 Opus 5.5 的 67.0% 和 GPT-6 Astra 的 63.1%；Zapier 的 AutomationBench 51.3%，对 42.5% / 41.4%；Harvey 法律 Agent 基准 19.6%，接近第二名的三倍。这里要冷静一下：Harvey 19.6% 的意思是，一个法律 agent 任务它也只完整做完了大约五分之一。AutomationBench 51.3% 的意思是，端到端业务流程它仍然有一半是失败的。领先和可用之间隔着一条很宽的沟。

编码这块是分裂的。DeepSWE v1.1 拿到 77.9% 的新 SOTA，比 Opus 5.5 高 3.7 个点；但同一张表往下两行，FrontierSWE v2 只有 55.0%，落后 Astra 的 65.5% 整整 10.5 个点；Terminal-Bench 4.0 是 57.4%，落后 Opus 5.5 的 66.4% 九个点。终端派开发者先测再换，别被 headline 领着走。

还有两个更值得警惕的读数。第一，CWE-bench v1 的 68% 是并列第一，不是独霸——GPT-6 Astra 和 xAI 的 Grok 4.7 同为 68%。网络安全是这次发布的主线叙事，可在这张表上它只是平局。第二，Google 引以为傲的内部漏洞发现基准 85.8%、Wiz 黑盒渗透 70.9%，只跟自己家的 3.8 Flash Cyber（71.0% / 58.2%）比，且基准未公开，横向不可比。

最该记住的是：这些是厂商自报，而且各家跑别人模型时用的是自己的 harness。三个主要实验室的模型跑在各自的工具链里（Antigravity、Codex、Claude Code），CWE-bench 那张榜测的是模型加工具，不是裸模型。一个直接的证据：Google 表里 Opus 5.5 在 AutomationBench 是 42.5%，而 Anthropic 自家发布会上的数字是 40.0%。同一把尺子量同一个模型，两家给出两个数——这种量级的偏差足以吃掉很多“领先”。

无护栏版才是这次发布的主角

真正值得写进记录的，不是 DeepSWE 的 77.9%，而是官方原文里那句：对受信任的防御者和 Google 内部团队，Argon 将不带网络安全护栏发布，以便他们发挥完整的前沿防御能力。

这句话的分量在于它承认了一件事：能力是中性的，权限不是。同一个模型对所有人拒绝有害的网络和 CBRN 请求，却对一小撮经过审核的人解除限制，这不是技术选择，是一次治理设计。Google 把访问权拆成三层：Fairwind 计划里的受信任防御者（无护栏）→ 参与美国政府自愿性发布前审查后的付费 API 与 AI Ultra 用户 → 再往后才是开发者和消费者。宣传稿里这叫“分阶段安全发布”，工程上这叫用授权边界代替能力边界。

配套的四条加固线也值得看：滥用拒答（网络 + CBRN，保留合法双重用途研究）、间接提示注入鲁棒性（Google 称在 Gray Swan 的 IPI 基准上领先，攻击成功率 0.7%）、失准监控（监控思维链和行为，必要时中断执行，配专门的应急响应团队，并明确不把监控发现回灌训练，以免模型学会规避监控）、以及环境加固（高风险训练和评测前隔离并密封沙箱）。最后一条特别有意思——它正是 9 月 22 日那次事故的答案。今年 5 月，Gemini 在安全公司 Irregular 组织的 CTF 演练中，因为测试环境意外开了公网访问、且靶场虚构公司的名字与一家真公司重名，靠猜弱口令和从公开仓库里捡到的凭证，登进了三家真实企业的系统（华尔街日报 9 月 18 日曝光，Google 随后确认，称未提取数据）。

所以 Wiz 那句“在 Scan for Good 里发现影响全球医院医疗软件的关键漏洞”，既是最有力的存在性证明，也只是一次存在性证明。一次成功拦截不构成低误报率。要把它当预算依据，得先问分母：扫了多少目标、报了多少误报、从报告到经过验证的补丁平均要多久。

1M token 改变的是 agent 的经济模型

回到那个数字。Google 内部的三组数据基本就是“一次调用干完一整件事”的演示：C/C++ 到 Rust 的迁移从 re2、libgav1 这类数万行的库，一路做到 Fuchsia Zircon 内核的 80 万行以上；libgav1 上 agent 替换掉 3.2 万行 SIMD 代码，产出编译器能自动向量化的 safe Rust，最终比原来的 Rust 移植版快 2.7 倍且输出逐帧一致；数据中心里 agent 读 profiling telemetry 挖出人类团队漏掉的内存优化，已释放 300+ TiB，预计总量 500 TiB 到 1 PiB；量子子程序在 spacetime（qubits × gates）上几分钟内把公开基线提升了 40%。这些没有一个是靠单点推理赢的，全是靠长轨迹上的持续自我修正赢的。

但账要一起算。输出 token 按量计费，能写一百万，也就能给你开一百万的账单。入门价 $2/百万输入、$10/百万输出、缓存输入打 95% 折；官方明确说之后会涨到 $4 和 $20。也就是说，一个把输出灌满到 100 万的响应，今天 $10，之后 $20。Artificial Analysis 的测算是：按入门价，Argon 跑完一次 Intelligence Index 任务的成本是 $1.99，是 GPT-6 Astra（$3.26）的 60%；但它每任务平均输出 6.2 万个 token，而 Astra 是 2.7 万个——它的便宜来自单价低，不是来自省 token。价格一回到标准档，这层优势基本消失。所以入门价是个窗口，不是定价。

不过对特定的几类工作，这个经济模型是真的变了：整库迁移、必须一次看到全貌的大型重构、几百上千条用例的测试套件生成、整本文档集的一次性产出。这些场景以前的核心成本是“拼缝”，现在核心成本是“验证”。而验证恰好是人最贵的那部分。

拐点到了，但拐点的赢家不是裸智商

长程 coding 的拐点确实到了，但它不是“某个模型变聪明了”的那种拐点，而是“约束条件换人了”的那种拐点。当输出上限从 64K 变成 100 万，瓶颈从上下文长度搬到了三件事上：状态管理、验证、权限。谁能在前三件事上做出可重复的工程，谁就赢，而不是谁的榜单多两分。Argon 在 Google 自家基础设施上跑出的成绩之所以是这次最好的证据，恰恰因为那是他们自己的 harness 和验证体系；同一组能力放进你的仓库，缩水多少，取决于你的 CI、你的测试、你的 review 流程。

对厂商基准要固定一个姿势：当 claim 读，不当判决读。这是行业性问题，不是 Google 一家的问题。彭博社同一天报道说，能直接接触到 Argon 的部分 Google 员工认为它在真实编码任务上不如榜单体现的那般好，尤其是前端设计；Google 否认这一说法，援引 Kavukcuoglu“我们一定会始终处于前沿”的表态，另有员工称内部有“广泛共识”认为它处于前沿。两句话都可能是真话——榜单测的是定义清晰的任务，而真实代码库的特点是上下文残缺、需求会变、一行写错就挂构建。Benchmaxxing 不是某家公司的品行问题，它是“优化目标选错”的必然结果。

最后，dual-use 这次不是一句免责声明，它已经走进了发布流程本身。当一家公司的最强模型要按“你能不能证明自己是防御者”来发放，而同期 Anthropic 的报告警告开源权重模型 GLM-5.3 可以自主构建完整利用链、护栏在 64% 到 100% 的模拟攻击中失效、抹掉拒绝倾向只要约 4400 美元算力，而 CAISI 评估它只落后美国前沿约 4 个月——你会发现能力的扩散速度已经快过治理的设计速度。在这种背景下，“先给防御者、再给所有人”不是公关动作，它是当前唯一还算站得住的顺序。真正的风险不在首发名单里，而在名单之外：任何一次对无护栏版本的泄露、窃取，或者审核放水，都会把一个防御项目变成一次能力扩散。

百万 token 让模型能一口气干完的事变多了。但这次发布真正给出的信息是：能干完，和允许谁让它干，是两件必须分开设计的事。

其他动态

• OpenAI Dots 灰度上线（9/29）：常驻式 agent 配独立云电脑，可在对话间隙持续工作、自主触发任务，向 Pro / Business 用户逐步开放；AI 从“问答”走向“委派”的标志性一步。
• FTC 启动对 OpenAI / Anthropic / METR 的调查（9/30）：聚焦 agent 事故与安全声明是否违反消费者保护法，监管正式盯上自主 agent。
• Cursor Projects 进入 beta：协调者 agent 指挥多子 agent 的持续工程工作流，主用户 PR 合并数达普通用户的 6 倍。
• 智元 AGIBOT 第 2 万台机器人交付 + 长隆 300+ 机器人上岗（具身，9/30）：量产与真实场景部署并进；中国上半年人形机器人出货占全球约 78%。

微信公众号

欢迎关注「字与码」

如果这篇文章对你有用，也欢迎在微信里继续关注后续更新。

X

X / Twitter

关注 @ax2_zicode

更即时的技术观察、新文章提醒和一些短想法会发在 X 上。