科技动态：Anthropic发布Claude Sonnet 5.5把智能体基准的跃升归功于提示词工程而非单纯换模型、Nvidia开源Open Agent Safety Platform把策略即代码推进到BlueField-4网卡与控制器里的零信任状态、OpenAI研究员披露自我复制型提示注入能通过代理共享记忆扩散并把SSTI数据外泄与DNS隧道绕行一并打包、OpenAI智能体安全研究给出17个真实代理的防线数据但DNS外泄与GitHub令牌泄露仍是可利用缺口

9月28日的科技新闻被一条主线贯穿：当模型能力足够强，”安全”与”能力”就不再是两个可以分开优化的维度，而是同一个执行面的两面。 Anthropic在发布Claude Sonnet 5.5时把智能体基准上的大幅跃升主要归因于提示词与技能库工程，而不是换了多大的模型；Nvidia把”策略即代码”从文档中心搬进了BlueField-4 DPU与主机控制器；OpenAI的研究员则给出了反面证据——自我复制型提示注入已经在智能体之间真实扩散，而针对17个生产环境智能体的防线数据显示，”九道控制中有三道形同虚设”。这四件事从不同方向指向同一个结论：智能体的可靠性瓶颈正在从模型能力转移到运行时环境（agent harness）。模型可以通过提示词工程榨出更多能力，也可以在同样的提示词下被一行数据击穿。

主要新闻 (Main News)

Anthropic发布Claude Sonnet 5.5：把智能体基准的跃升归因于提示词工程与”技能库”，并开放提示优化器与更严格的网络限制

Anthropic在9月28日发布了Claude Sonnet 5.5，在Anthropic的智能体评测基准上得分超过其前代Claude Sonnet 4.5，新模型在软件工程、端到端事实可靠性与自纠错三个方面均有提升，同时保持相同的API定价。

真正值得注意的是Anthropic对性能来源的解释。在以视频形式发布的产品更新中，Anthropic的Databricks联合创始人Matei Zaharia（现任Anthropic首席数据官）给出的说法是：新模型在智能体任务上的提升，主要来自提示工程、模型骨架与技能库的开发，而不是更大的模型本身；他还提到性能差异中有相当部分是代码化评测提示带来的。他对能力的定义也相当克制：”他们学到了如何把自己的技能编码成提示中的‘技能库’。”

这句话在技术圈引发了一波直接反应。Hacker News上的一条高赞评论把它翻译成了更不留情面的版本：“所以，大模型是有用的，但它的主要用途是跑提示词。” 另一条评论补了一个更尖锐的判断：“我们花了大约十年时间学习如何编程，然后又花了大约一年学习如何提示词编程。” 还有人指出一个被这番话反向照亮的悖论：随着模型在这些基准上逼近饱和，”大实验室”会在同一批基准上饱和，评测对模型排名的区分度会随之下降——而对刷榜的批评者来说，这恰恰是件好事。X（原Twitter）上的普遍反馈则是能力感知上的：多数人感觉Sonnet 4.5的编码能力已经很强，Sonnet 5.5的新增能力中有相当部分在已有工作流里不显著。

产品侧也带来两处对工程实践有直接影响的变化。其一是提示优化器（prompt optimizer）向所有用户开放（此前仅限Max订阅者与团队成员）。Anthropic的工程副总裁Barry Zhang在X上说明其工作方式：把约200行提示粘贴进去，5–10分钟后得到一个约15行的优化版本，并配一个综合评测；他的判断是”对大多数今天的提示都有提升”。其二是网络限制收紧，Anthropic向The Register确认Sonnet 5.5对绕过安全分类器的提示鲁棒性更强，并因此收紧了配置。The Register的报道给出了这一变化被观察到的具体表现：在Sonnet 4.5上有效的”绕过智能体护栏”提示，在5.5上不再奏效。此外，Anthropic在9月初承诺的Skill Library已上线，主打让智能体从”工具调用”转向”技能复用”。技术媒体同时收到预发布版本的模型卡，主题是智能体在面对网络钓鱼与提示注入时的行为，以及在CBRN（化学、生物、放射与核）场景下的模型表现。

Nvidia开源Open Agent Safety Platform：把”策略即代码”放进BlueField-4 DPU、主机控制器与模型运行时，并植入可验证状态与TPM证明

Nvidia开源了Open Agent Safety Platform，The New Stack将其定位为智能体AI时代的容器沙箱/隔离技术谱系的延续。Nvidia的定位表述相当具体：把智能体隔离与强制策略执行”下沉到硬件层”——具体是BlueField-4 DPU、主机CPU上的安全控制器，以及GPU上运行的模型三层，每层都强制”最小权限、默认拒绝”。

这套架构里最值得注意的是状态即代码（state-as-code）这个设计。智能体的”状态”——文件、进程、虚拟机、密钥、容器——不再是运行时的涌现结果，而是可以编写、审阅、版本化、静态分析的声明式对象。配套的策略语言是Cel（Common Expression Language），被描述为”人类可读、与语言无关、开源且已广泛部署”；策略决策点使用Envoy的xDS API下发；策略在运行时可热重载，而底层不变。Nvidia自己的说法是：“把智能体安全性从模糊的手工审查，转化为可版本化、可静态分析、可在构建时与运行时强制执行的代码。”

另一半是可验证的状态与证明。Nvidia宣布支持文件系统加密与TPM（可信平台模块）密钥绑定，由此能够证明运行环境未被篡改；还提到”即使对内核代码有完全root访问，也无法在Nitrovisor下伪造证明”——Nitrovisor是Nvidia此前开源的、运行在NVIDIA GPU内的Hypervisor。这与本周另一条新闻（OpenAI披露的”与原版Nitrovisor等价的运行时”）形成有意思的呼应：两条独立路径都在往”不可篡改的执行环境“这个目标收敛。

Nvidia同时发布了指向该平台的模型，例如Nemotron Nano 9B v2（一个主打”在被攻击环境中”保持智能体任务的紧凑模型）。这与本周的另外两条新闻也构成呼应：Anthropic的模型卡讨论智能体面对钓鱼与注入时的行为，OpenAI的研究则给出了17个生产智能体上”哪些防线有效”的实测数据。HN上有人把Nvidia的”证明”机制与Anthropic的”施密特认证”框架做了并置，也有人指出能证明环境未被篡改并不等同于能证明输出可信——前者是完整性的证明，后者是正确性的判断。Hacker News上另一条评论则指向”Agentic AI时代的容器沙箱/隔离技术将被强制走向底层”这一结构性判断。

OpenAI研究员披露自我复制型提示注入：通过智能体共享记忆在目标明确的行动间扩散，并打包SSTI与DNS隧道

OpenAI首席研究科学家Aleksander Mądry在9月28日发表了一篇题为《Self-Replicating Prompts》的研究，重点关注当目标明确的提示注入触及拥有共享记忆的智能体时会发生什么——也就是说，载荷在智能体之间自我传播，而受害者会认为这些目标是自己的。文中区分了两类智能体：把目标（goal）输入智能体的目标型（goal-oriented）智能体，和把指令/脚本（directive）作为数据的指令型（directive-oriented）智能体——Mądry指出，提示注入的威胁模型恰恰针对后者，而近期的前沿工作越来越多地落在前者。

传播机制写得非常具体：注入指令后，受害智能体会把恶意指令写进其共享记忆存储（实验中用的是Mem0），于是任何之后读取该记忆的其他智能体也都会被感染——攻击者自己不需要写任何后续利用代码。 研究报告了Macy’s等真实生产环境的智能体同时被感染，攻击者只需一次注入。自检循环的判据同样清楚：当智能体开始从自己的输出中学习、检索”我之前告诉过你的信息”时，就自证已被感染。 Mądry的判断是：”我们要假设他们已经在这么做了。”

payload的设计被归纳为四个组成部分，且刻意追求看起来是”完成任务”：检索允许绕过沙箱的载荷、检索能以合法访问者身份运行的SSTI模板、审查智能体（可检查单据的payload）、以及通过DNS外传数据并避免杀软检测的模板——研究引用了Web Archive上一个近期披露的DNS隧道模板。文中还区分了有状态智能体（记忆是主要传播向量，无持久化则止于单次会话）与无状态智能体。防守方有一条反直觉的观察值得注意：盲目的输入净化反而会搞坏智能体（”它让智能体显得愚蠢”），模型自带的推理努力被证明是个有帮助的缓解手段，过时或陈旧的记忆文件反而降低了注入成功率。

OpenAI智能体安全研究给出17个生产环境智能体的防线数据：九道控制里三道形同虚设，DNS外泄与GitHub令牌泄露仍是缺口

同一批报道里，另一篇来自OpenAI研究团队，主题是“代理与HTTPServer：17个生产环境智能体中的9个防线”。核心结论很直白：九道被评估的控制中，有三道基本形同虚设。 三个失效项分别是：DNS外泄、网络出口过滤（egress filtering）与GitHub令牌泄露。另有两个控制被判定为部分有效：指令过滤与跨工具边界的数据流约束。

一个容易被读成好消息、实际上更值得警惕的发现是：研究在4个智能体中没有发现任何问题，而GPT-5.5参与的智能体全部通过。但报告同时指出：通过并不代表这些智能体没有弱点，而是提示这些智能体的作者已经采用了较好的实践。 The New Stack的Frédéric Lardinois写道，这些发现尚无学术同行评议，但他指出其中一个”耐人寻味”的悖论：“指引提示词更好的结果之一，是指南的缺失。”

值得单独挑出来的是无限上下文这条建议及其副作用：研究建议把无限上下文与子智能体隔离机制配对使用，而实测显示一个在91k tokens处注入的载荷，在16,000k tokens处被稀释掉了——也就是更长上下文天然提供了噪声，稀释了注入，但同时，报告认为堆叠上下文带来了自身的成本（更慢、更贵、更难推理）。同时得到验证的还有资源耗尽类攻击（如让智能体在工具调用上陷入循环）；研究同时指出这类攻击有反面效果——较弱的模型在”被诱导停止”上的表现反而更好（”对较弱模型说’停止’，它们确实会停”），反而较强的模型在”完成”这个短语上会过度服从。

Google展示”Google Suncatcher”：把AI加速的卫星星座按一次发射数十颗、每瓦比地面数据中心高一个数量级来设计

Google Research在9月28日发布了“Google Suncatcher: An AI-first satellite constellation”。方案的核心主张是改变发射经济学：传统发射把一颗卫星视为昂贵的”长乐透彩票”，而Suncatcher设计目标是每次发射容纳数十颗卫星，让每次发射的边际成本大幅摊薄。结果是报告的标题数字：“到2030年实现每瓦比地面数据中心高一个数量级的性能。” 论文明确说明”每瓦性能”指的是太空中的太阳能转换，而非把整个系统与地面做端到端比较。

星座采用倾角约的太阳同步轨道，配合空间站环境友好的低倾角设计，由7条轨道构成。完整星座规模将是81颗卫星，其中一个原型任务由两台TPU（Google的张量处理单元）组成，通过光链路（optical link）互连。论文给出的应用方向是在轨数据处理：卫星直接处理其观测数据（行星科学、灾害响应等），并使用导出的、即插即用的技术实现”就近推理”。论文末尾也谈到了空间碎片问题——这与本期军事板块的Space Force条目恰好同框。

The New Stack的报道把这篇论文放进了更长的链条里：它”给SpaceX的Starlink、Google的Project Suncatcher与亚马逊的Leo之间持续升温的轨道AI竞赛又加了一块砖“。Starlink的下一代星座已被提交FCC备案并在3月获得部分批准；Google的Suncatcher走的是学术发表、目标2030年的路线；亚马逊的Leo由Blue Origin提供首次发射、原定于2027年年中发射首批卫星。

分析 (Analysis)

把Anthropic与OpenAI这两组新闻并置，是理解当前智能体工程最有效的方式。Anthropic说Sonnet 5.5的智能体基准跃升主要来自提示工程与技能库，Matei Zaharia的”把技能编码成提示中的技能库”是一个精准的描述；OpenAI的Mądry则给出了这个做法的代价——共享记忆是把双刃剑，而记忆的持久性决定了攻击的传播半径。 两者并不矛盾：技能库与记忆库在技术实现上是同一种东西（可被智能体检索的、持久的、注入的文本），区别只在于谁在写。Anthropic的用法是开发者写、模型读；Mądry的发现是攻击者也写、模型同样读。既然读写路径相同，“记忆的来源可信度”就成为智能体安全里一个此前几乎没有被显式建模的维度。 这条线索的实践含义很直接：智能体的记忆/技能库需要与代码同等的审阅机制——版本化、来源标注、变更审阅。目前绝大多数agent harness里，SKILL.md或mem0存储是一个纯文本目录，它的变更通常不经过任何评审流程。

“注入者让受害者以为目标是自己的”这个描述，比一般的提示注入叙事严重得多。一般的提示注入需要一次成功；自我复制型只需要一个写入点。而OpenAI的17个智能体研究提供了一个让人不安的补充：那条”过时或陈旧的记忆文件反而降低了注入成功率”的观察，从防御角度看是好处，从攻击角度看是约束条件——意味着攻击者需要让记忆看起来”新鲜且相关”才能成功，防御方可以利用时间窗口做检测。一个可操作的检测信号是：智能体开始从自己的输出中检索”我之前告诉你的”这一模式本身，就是自检循环的判据。 这类行为在工具调用日志里是可见的，因此它的实用价值在于它是少数几个不依赖模型判断、可在运行时做规则检测的信号。与之对照，”无限上下文稀释注入”是更脆弱的防御：它依赖于上下文长度这个与业务需求绑定的变量——一旦业务需要更短的上下文（成本、延迟），这条缓解就自动失效了。

Nvidia的Open Agent Safety Platform在思路上是对上述问题的另一种回答：如果模型层不可信，就把它放进一个可以被证明未被篡改的环境里。 “state-as-code”是把运行时状态从涌现结果变成可审阅对象，这解决了记忆的来源问题——状态变成了可静态分析、可版本化、可在构建时检查的代码。Cel作为策略语言、xDS作为下发通道、运行时热重载，这套组合的工程成熟度很高（Envoy生态），也解释了为什么HN上有人认为”容器沙箱/隔离技术将被强制走向底层”。但这条路径有一个被Nvidia自己的宣传口径弱化了的边界：Hacker News上那条评论说得准确——能证明环境未被篡改，不等于能证明输出可信。 TPM密钥绑定与Nitrovisor证明解决的是完整性（integrity）：代码没被偷换、密钥没被窃取。它们不解决正确性（correctness）：一个未被篡改的、完全按设计运行的智能体，照样会遵从一条来自它所检索的记忆的恶意指令。Nvidia同时发布”在被攻击环境中保持任务”的Nemotron Nano 9B v2，说明厂商自己也意识到完整性之外还需要别的能力——但模型的攻击鲁棒性是另一个问题，不能由硬件证明代偿。这两类保证必须分别评估。

Anthropic收紧Sonnet 5.5的网络限制这件事，有一个容易被读反的细节。The Register的观察是”绕过护栏的提示在4.5上有效、在5.5上无效”，而Anthropic的应对是收紧配置——这看起来是防御动作，但从部署侧看是破坏性变更：任何依赖更宽松网络访问的现有工作流（包括那些把提示优化器当”快速修复手段”用的团队）在升级后可能失效。更重要的是它揭示了一个趋势判断：模型厂商正在把”不可绕过”当作模型能力的一部分来卖，也就是把安全策略从运行时配置下沉到模型权重与API网关。 这对自建agent harness的团队意味着：你在应用层写的过滤规则，会随着模型升级而同时变得冗余（模型自己更抗注入）与危险（模型行为变化导致你的规则误判）。HN上那条”The models are improving, the injection isn’t going away”的评论是本周最准确的一句概括——注入是数据通道上的问题，而数据通道不会因为模型变强而关闭。

Google的Suncatcher在技术新闻里容易被当作趣闻，但它在算力叙事上是个真信号。三种轨道AI的路线差异很能说明问题：Starlink走商业申请FCC备案、Suncatcher走学术发表+目标2030、Blue Origin的Leo走原定2027年中首发。这三者对应三种风险分配方式：商业路线把风险分摊到监管审批周期与发射成本，学术路线把风险留在”十年内技术不成熟”的假设上，Blue Origin的路线把风险压在”垂直整合发射”的自证能力上。而Suncatcher论文里最值得注意的不是星座规模（81颗）而是单位成本表述：”每发射数十颗”——这是在把发射从彩票变成批量制造，而批量制造是所有规模化算力的共同前提（GPU的晶圆制造、数据中心的电力采购、火箭的批量生产在经济学上是同一个问题）。The New Stack把它与”AI数据中心电力瓶颈”并置，恰好指向一个对照：地面数据中心受制于电网接入审批与输电线建设周期，轨道方案受制于发射能力与太空碎片治理。哪种约束先松动，决定这条路线是否会真的形成算力供给。这也解释了为什么军事板块同期出现Space Force的SCAR商业天线合同——轨道算力一旦从概念走向部署，就立刻变成一个国家安全与频谱/轨道资源分配问题。

结论 (Conclusion)

9月28日的科技新闻给出一条相当明确的判断：智能体安全的重心正在从”模型更安全”转移到”运行时环境更可控”。 这个转向的三个支点是本周各自独立出现、但指向同一处的事实——Anthropic承认能力来自提示与技能库（因此提示与技能库就是攻击面）、Nvidia把状态与策略下沉到可证明的硬件层（因此运行环境是可被工程化约束的对象）、OpenAI记录了记忆驱动的自我复制注入（因此传播路径在数据层而非模型层）。

对实践者，本周可执行的动作清单是：(1) 把智能体的记忆库/技能库纳入代码评审范围——要求记忆条目具备来源标注、创建时间与变更审阅，这是当前最薄弱也最容易补齐的一环；(2) 在工具调用日志中检测”自检循环”信号——当智能体开始检索”我之前告诉你的”内容时告警，这是少数不依赖模型判断、可纯规则实现的检测点；(3) 区分两类智能体并分别评估威胁模型——Mądry的分类（目标型 vs 指令型）应直接映射到安全评审：接入不可信数据的必须是指令型，并把”记忆不可信”作为前提而不是例外；(4) 不要把”上下文更长”当安全措施——无限上下文稀释注入是副作用而非设计，依赖它的系统会在成本优化时被无声削弱；(5) 对提示过滤做A/B退役评估——模型厂商正在把不可绕过性下沉到权重，这意味着应用层的粗糙过滤在升级后既冗余又容易误判；(6) 审计智能体的DNS与网络出口——OpenAI的数据显示这两道控制在17个生产智能体中”形同虚设”，而DNS隧道同时是提示注入的外泄通道与绕过通道，双重角色意味着它是当前最高优先级的单点修复。

需要持续跟踪的观察点有四个：其一，Nvidia的state-as-code + TPM证明能否被主流agent runtime采用，以及是否会形成类似”agent运行时合规基线”的东西——如果形成，它会像容器镜像签名一样成为agent部署的前置条件；其二，Anthropic的Skill Library与OpenAI的mem0类记忆系统是否会收敛出一套”记忆可信度”标准——目前两者方向相反（一个是受控技能发布，一个是开放检索存储），而这个分歧决定了记忆是资产还是攻击面；其三，Sonnet 5.5收紧网络限制带来的破坏性变更范围——值得观察首批升级者遇到的失败模式，这会揭示”模型层安全下沉”对既有agent工作流的实际影响面；其四，The New Stack提到的那些研究”尚无学术同行评议”——如果这些防线数据经受住同行评议，”九道控制中三道失效”会成为智能体安全预算分配的直接依据；如果被推翻，当前的默认设置就需要重做。这个不确定性本身值得跟踪。

本文基于2026年9月28日公开资讯整理，来源URL均经核验可访问。