从 30B 模型到本地常驻栈

Muse Glimmer 是 30B 稠密多模态开放权重模型，支持交错图文输入、工具调用、可控推理强度与 100 多种语言。Meta 没有把它包装成普通聊天模型，而是面向 always-on local agents：Apache 2.0 权重、GGUF、llama.cpp、vLLM、Ollama、MLX 与 Unsloth 在发布期形成了从模型到本地执行器的完整链条。完整精度需要超过 55GB，真正进入 24–32GB 设备依赖量化、KV cache 预算与推测解码共同成立。

Agent 指标领先，但 GUI 与安全并非全面领先

Meta 表中 Muse 的 MCP-Atlas 为 75.5、DeepSearchQA 74.6、WildClawBench 47.6、GAIA2 43.3；这些结果支持它在工具编排与搜索上的定位。可是在 OSWorld-Verified 上 Muse 为 65.9，低于 Qwen3.6-27B 的 75.6；ScreenSpot-Pro 为 75.4，也略低于 Qwen 的 76.1。SWE-Bench Pro 为 51.2，Terminal-Bench 2.1 却只有 51.7，低于 Qwen 的 60.7。CI Memories violation rate 26.4、Siren AgentDojo 攻击成功率 28.4 进一步说明，本地 Agent 模型不能用“同级全面领先”概括。

24GB 可用性来自量化与 DFlash 的组合

K-Quant-Dynamic 面向 32GB VRAM，Meta 报告在 15 个常见 benchmark 上平均退化 0.2%；K-Quant-17GB 面向 24GB VRAM，平均退化 1.0%。DFlash drafter 则把 RTX 5090 解码从 74.9 提至 233 tok/s（3.1×），M5 Max 从 26.6 提至 50（1.8×），M4 Max 从 23.7 提至 38（1.5×）。Unsloth 随后宣称可在 24GB 上微调和做 GRPO，并给出 1.5× 加速、50% 显存下降；这部分属于生态自报，不能与 Meta 的 inference 表混成同一证据等级。

产品载体从聊天窗口变成持续环境

Grok Bot 被描述为拥有独立 cloud computer 的 AI teammate，可登录工具、监看 Slack 与 GitHub Actions、运行定时流程，并由一个 Bot 管理其他 Bot。OpenAI 的 Linux desktop preview 与 workflow sync/import 把 projects、chats、skills 和 plugins 带到新的工作台；Unsloth Desktop 从本地侧提供模型运行/训练、OpenAI-compatible API、tool calling、sandboxed code、RAG、private search 与 MCP。共同变化是 Agent 有了持续身份、环境与计划，而不再只接受一次 prompt。

DeepSeek Harness 把运行时拆成可替换插件树

DeepSeek Harness 以 MIT 许可开放，当前明确标记为 developer preview。其 Cordis 架构把 model adapter、tool registry、session log 和 agent loop 都实现为插件；profile 由多个 bundle、用户 patch 与 overlay 叠加，模型、工具、持久化、sandbox、approval policy、credentials 和 telemetry 都能被替换。模型后端的更换因而不必修改 privileged core，运行时本身成为可以比较和实验的对象。

Append-only session log 才是跨会话状态的事实源

DeepSeek Harness 将 turn、step、user message、assistant chunk、tool call 与 tool result 写入 durable session events；模型历史由日志重新投影，fork、resume、transcript、telemetry 和 persistence 都从同一事件流派生。Agent 可读写 workspace、运行命令、委派任务和维护 plan，需要授权的动作受 active permission policy 控制。与“把整个聊天塞回上下文”相比，这种设计把可重放事实与现场 extension point 分开。

8/12 的竞争同时发生在训练、开放部署与价格

xAI 称 Grok 4.6 通过更长 supplemental training、重新生成 SFT traces，以及 coding、web、CAD 与 kernel optimization 上的 agentic RL 获得提升；Artificial Analysis 报告 Intelligence Index 61、Terminal-Bench 2.1 88.4%、GDPval-AA v2 Elo 1753。Qwen3.8-Max 则开放 2.4T 总参数、95B 激活、92 层和 512 experts 的权重，原生上下文 262K、可扩展到约 1M，但 BF16 约 5TB，397GB 的动态 1-bit 版本也不是消费级本地模型。

DeepSeek 把 reasoning effort 与峰谷价做成调度变量

DeepSeek V4 Pro GA 强调 Agent upgrades、low/high/max reasoning effort、OpenAI Responses API 与 Codex 配置。官方价格页显示 2026-08-16 16:00 UTC 后启用峰谷价：V4 Pro 每百万 token 的 cache hit 为 0.022/0.044 美元、cache miss 为 0.66/1.32 美元、output 为 1.98/3.96 美元（off-peak/peak）。因此发布前的 0.003625 cache-hit、0.435 input-miss 与 0.87 output 不能继续当作稳定价格；长任务尤其受缓存命中与调度时段影响。

更快的模型会把瓶颈推向工具

Google 将 Gemini 3.7 Flash 定位于 coding、web development、knowledge work 与 agentic workflows，发布方给出 DeepSWE 65.3%、FrontierCode 43.6%、AutomationBench 30.4%，年内 introductory price 为每百万输入/输出 token 0.75/3.75 美元。GPT-5.6 Sol Ultrafast 预览最高 750 tok/s、相对 standard mode 最高 14×。当生成延迟下降到这一量级，浏览器、shell、网络、第三方 API 和 verifier 的等待时间会成为端到端任务的主要部分。

公开轨迹把 82.7% 变成可审计问题

Ante 0.preview.71 在 Terminal-Bench 2.1 的 89 个任务上各跑 5 次，经 OpenRouter 调用 DeepSeek V4 Flash 0731，使用最大推理强度且不加载 skills。公开 Harbor job 记录 445 条轨迹，其中 368 条成功，对应 82.7%（作者报告标准误 ±1.79）。这比只发榜单更有价值，因为任务配置、奖励、异常、时长和 token 使用都能被逐条检查。

超时争议说明分数属于执行契约

社区抽查发现 caffe-cifar-10 的成功轨迹出现 2 小时 14 分和 5 小时 54 分的记录，而任务规范的超时为 3,600 秒。Ante 作者认为可能是 Daytona 时间戳问题，并指出轨迹中仍出现 AgentTimeout；争议尚未闭合。这里不能简单判定“复现成功”或“成绩无效”，但可以确定：超时器、执行资源、提供商速度与判分路径都是 benchmark 定义的一部分。

同模型跨 harness 与长文档任务都暴露系统效应

Composio 在 30 个 agentic tasks、四种 harness 上比较 DeepSeek V4 Flash，报告 Pi Agent 同时取得最低成本和最好表现；Hermes 则把浏览器动作收敛为 CLI 级组合工具，改变了模型每一步要规划的粒度。ExtractBench 的 370 份文档、4,869 页和 67 种文档类型又显示，超过 50 页后 precision 可能仍高，但 recall 会跌到 35% 以下，失败常表现为静默漏行。AA-AnalystAgent 用 pass^5 要求同类任务连续五次成功，报告 Opus 5 为 54%、GPT-5.5 为 50%、Fable 5 为 49%、Kimi K3 为 39%。这些数字来自各自发布方，但共同说明单次平均分会隐藏稳定性。

首先是公开轨迹中的真实泄漏事件

披露团队称可跨模型重放 encrypted reasoning blocks，并在多数测试查询中观察到恢复 token 与计费 thinking tokens 接近 1:1。对约 7,000 条公开 Agent 轨迹的扫描又报告 62 个唯一 API keys、33 个邮箱和 33 个密码。完整攻击矩阵与论文数字放在 Papers 深读；News 需要保留的现实结论是：rollout、调试日志和公开 trace 仓库会把原本短暂的隐藏状态保存成可批量处理的工件。

这不是“底层加密被破解”

Matthew Green 的早期实验和后续论文都把问题指向协议绑定，而不是 AES、GCM 或签名原语失效：客户端可以复制 opaque block，服务端也可能合法解封它，但 block 未必绑定 user、session、model 与前序状态。即使某个 block 被接受，也不等于每次都能稳定转录高质量 CoT；公开数字更不能直接外推为可规模化蒸馏。

内部 trace 保密与外部 provenance 是两条不同工程线

Anthropic 的支持材料能确认部分文件与工作流使用 metadata/provenance 标记，OpenAI 也公开推进内容来源技术；这不等于任意复制、转述的纯文本都带不可移除水印。短文本熵不足、重写、转码、误报和漏报仍会影响统计标记。保护内部 reasoning 的目标是防止秘密外泄，标记公开输出的目标是建立来源，两者不能用同一种“watermark”概念混写。

Auto Mode 针对的不是恶意推理，而是过度主动

Anthropic 称 Claude Code 用户会批准 93% 的权限提示，持续点击会造成 approval fatigue；与此同时，内部 incident log 记录过误删远程分支、把 GitHub token 上传到内部计算集群、尝试对生产数据库做 migration 等 overeager actions。Auto Mode 因此定位在手工审批与 --dangerously-skip-permissions 之间：让大多数动作继续执行，把真实下行风险交给分类器。

输入与输出各有一层防线

输入侧 prompt-injection probe 在文件读取、网页抓取、shell 输出和外部工具结果进入 Agent 上下文前扫描可疑指令，并向主 Agent 注入警告。输出侧由 Sonnet 4.6 transcript classifier 检查工具调用：第一阶段只输出单 token yes/no，倾向阻断；只有被标记的轨迹才进入第二阶段推理以减少误报。分类器只看用户消息和可执行工具调用，剥离 Agent 自己的解释与工具结果，避免被辩解或注入内容影响。

三级权限把低风险路径从分类器前移

Tier 1 是只读工具与用户明确 allow 的窄规则；进入 Auto Mode 时，能够任意执行代码的 blanket shell/interpreter 规则会被尽量移除。Tier 2 允许项目目录内可由版本控制审查的写入。Shell、web fetch、外部集成、子 Agent、项目外文件操作等真实下行风险才进入 Tier 3 transcript classifier。分类器评估动作的现实效果，而非表面命令文本，并把用户未明确授权的 Agent 自行选择视为未授权。

记忆单位从对话扩展到跨应用活动流

OpenAI 在 8/13 宣布 Computer History，让 ChatGPT 记住用户在电脑应用与网站中的活动，以便后续交互更个性化并减少重复解释。与从聊天中抽取偏好不同，活动流可能包含工作路径、浏览顺序、应用切换和时间关系；它因此更接近可检索的外部情景记忆，而不是模型权重的 continual learning。

对 Agent 有价值的是选择、压缩与回溯

长程桌面任务经常跨越多个应用和会话。若活动事件带有来源与时间索引，Agent 可以在后续工作中检索“之前在哪个应用处理过什么”、恢复未完成步骤，并减少用户手工重述。研究问题也随之改变：系统需要决定哪些事件值得保存、如何压缩重复活动、如何纠错和遗忘，以及检索结果怎样保留 provenance，避免旧状态在新任务中被当作当前事实。

产品公告没有回答关键控制问题

当前可访问的一手发布没有说明截图或文本粒度、覆盖哪些应用、本地或云端存储、保留期限、按应用排除、删除传播、跨设备同步、模型训练用途与企业权限继承。官方宣布能够记忆活动，只能证明产品方向和预期价值，不能外推为这些机制均已解决。