AI 日报 | 2026年10月07日

今天的主题是「Agent 的账本与地基」。GitHub 公开承认现有 Git 架构撑不住智能体的写入洪流并开始重构存储层，Atlassian 同一天把「谁写的代码」变成平台级可审计记录，Mistral 用一万亿参数的开放权重模型在欧洲腹地插旗；具身侧，TwelveLabs 把第一人称视频变成可直接进训练流水线的结构化数据，而一篇 CoRL 投稿论文则给出了一个不太舒服的结论——当危害意图只是「暗示」而非「明说」时，高达 95% 的机器人任务会在护栏毫无反应的情况下被执行完。

GitHub 重写 Git 存储层：为智能体规模的开发重建地基

GitHub 在工程博客上宣布正在重建其 Git 基础设施，理由是智能体开发已经把写入负载推到旧架构的设计边界之外。数据很直白：2025 年 9 月到 2026 年 8 月，平台每月 Git 事件从 2182 亿涨到 4733 亿（约 2.17 倍）；仅 2026 年 9 月一个月，开发者和智能体产生了 73.8 亿次提交，是一年前的五倍多；推送量同比增长 4.9 倍，从每月 6.9 亿次涨到 33.5 亿次；PR 合并量接近四倍；GitHub Actions 单月运行 32.6 亿次。最繁忙的那个仓库在 8 月收到了约 10 亿次请求。问题出在写入而不在读取——现有 Spokes 架构把每个仓库以五份完整副本存在文件服务器本地盘上，用三阶段提交协议保证一致性，代价是「一次推送的速度等于它那组副本里最慢的那个」。新架构把权威数据放进 Azure Blob Storage，用轻量计算 worker 缓存来服务读请求，压缩和垃圾回收等维护工作挪到独立 worker 上跑，内部基准称写入吞吐最高提升 35 倍。迁移在线进行，无维护窗口，开发者无需改动任何东西。

值得关注： 这是「AI coding 规模化」第一次以基础设施账单的形式被量化。GitHub 点出的五个压力点里，四个是平台自身的容量问题，第五个——所有合并都要挤在单一 ref 上——却是团队自己的工作流转嫁给平台的。对已经在跑智能体工作流的团队，那条「智能体的循环速度被单次推送延迟卡死」的论断值得抄进设计文档：在写路径改造落地前，你给智能体加再多并行度，收益都会被推送往返吞掉。需要说明的是，35 倍是内部基准、针对的是在建系统而非已上线平台，且 GitHub 明确表示具体设计要等后续文章披露。

来源：Building Git infrastructure for agent-scale development（GitHub 工程博客）

Atlassian 发布 AMP：给每个智能体一个身份、一个主人和一份审计轨迹

10 月 7 日，Atlassian 在阿姆斯特丹的 Team '26 Europe 上发布 Agentic Multiplayer Protocol（AMP），试图把智能体纳入团队已有的工作记录体系。核心变化有三块：Teamwork Graph（官方称已连接 2500 亿以上对象和关系）通过 Rovo Code Search 把源码读到函数、符号、类的粒度，可以跨 Bitbucket 和 GitHub 检索而无需克隆仓库；版本历史开始区分「人写的」和「智能体写的」，覆盖 Claude、Codex、Figma 与 Rovo；Rovo Work 让智能体在管理员控制的沙箱里连续跑几小时的长任务，人先审计划、再批准执行。智能体还能在 Bitbucket 里录一段 Loom 讲解自己的改动。官方披露其 MCP Server 有近 200 万月活、日处理 1500 万次工具调用，六个月内增长 15 倍。Rovo Work、代码归因与欧盟境内 AI 处理现已可用；更关键的「非人身份控制」——能看什么、能访问什么——官方只说「即将推出」，没有日期。

值得关注： 几乎所有工程负责人都被问过「你们代码库里 AI 写的占多少」，但极少有人答得上来，AMP 是对这个盲区的正面回应。不过 InfoWorld 的报道里，Aikido Security 的企业 CISO Mike Wilkes 和 IDC 研究经理 Adam Resnick 都点破了同一个漏洞：Git 只记录 author 和 committer，本地跑智能体的记录仍然写着开发者的名字，而提交信息里的归属声明可以被关掉、改写或丢失。归属标签不等于决策记录，更不等于「有人认真审过」。在权限约束真正落地之前，合理的用法是把它当作衡量评审投入、缺陷率和返工的输入项，而不是问责的证据。

来源：Atlassian Adds AI Code Attribution With AMP, but Deeper Identity Controls Must Wait（Superpower Daily / InfoWorld 综述）

Mistral Large 4「Le Chonk」：一万亿参数，10 月底放权重，主打网络安全

Mistral 于 10 月 6 日开放 Mistral Large 4 的公开预览，内部代号「Le Chonk」，权重承诺 10 月 27 日左右放出，中间留三周给开发者、网络安全公司和政府机构做红队测试（这批测试者拿到的是限制更少、网络能力更强的版本）。这是稀疏 MoE 模型，总参数约一万亿、每 token 激活约 490 亿，上下文 100 万 token，在 Mistral 自有的欧洲数据中心用约 3800 张 NVIDIA Grace Blackwell 从零训练两个月，覆盖 160 多种语言（含全部欧盟官方语言）。最硬的卖点是网络安全：官方称 Cybench 解题率 93%，在 Artificial Analysis 的「复现并修补真实开源漏洞」测试上得 82%，为所有模型最高——多个闭源模型在这项上接近零分，因为它们直接拒绝执行。编码侧，DeepSWE v1.1 报 62%（Artificial Analysis harness 口径 61.7%），领先 GLM-5.3 的 61%、DeepSeek-V4-Pro 的 57% 和 Qwen 3.8 Max 的 51%，但仍明显落后 Kimi K3 的 68% 以及闭源前沿的 74%。

值得关注： 一是战略定位诚实得少见——Mistral 不宣称打赢 Claude 或 Gemini，只宣称在中国实验室主导的开放权重赛道上做到「欧美最强」；二是它把「模型会拒答」直接论证为安全缺陷：一个拒绝复现攻击手法的模型，也没法帮你做防御性红队。这对做安全的企业是真实痛点。需要打折的地方不少：不同媒体对 GPU 数量（3800 或 4000）、激活参数（49B 或 52B）、API 定价（每百万输入 0.14 美元或 1.36 美元）的报道互相打架，强化学习阶段仍在跑、官方自承分数会变；在 Artificial Analysis 的智能指数上预览版只拿到 38 分，落在 DeepSeek V4.1 Flash 与 GPT-6 Luna 之间；Surge AI 的盲评给它 3.74/5，落后 Claude Opus 5 的 4.22。

来源：Europe's Mistral launches Large 4 to challenge China's lead in open AI models（The Next Web） ｜ Mistral Large 4: 1 Trillion Parameters, Open Weights This Month（AIincider）

TwelveLabs Pegasus 1.6：把第一人称视频直接变成机器人训练数据

TwelveLabs 于 10 月 6 日发布 Pegasus 1.6，官方称这是其首个原生理解第一人称（egocentric）视频的模型——即由作业者视角拍摄的画面，无论是工人戴的头戴相机、产线上的手持记录，还是远程操作机器人时的回传画面。上下文窗口 261,120 token，单次可处理最长两小时视频。它支持五类工作流：按客户自定义分类体系生成带时间戳的动作分割与标注、生成描述空间关系与手物交互的密集字幕、给片段打动作清晰度/构图/稳定性的质量分、用自然语言检索长尾事件与重复片段、以及把人脸、旁观者和纸质敏感内容在进入训练前标记出来。定价为视频输入每小时 1.75 美元、图像每百万 token 3 美元、输出每百万 token 7.5 美元。CEO Jae Lee 对 VentureBeat 给出的理由是：遥操作数据质量高但「就是一个人配一台机器人」，难以规模化，而第一人称视频好采集得多。

值得关注： 这条正对着具身智能数据基础设施那条链。人工标注一小时第一人称视频需要 70 到 155 小时的说法（来自 TwelveLabs 口径）如果成立，那么标注成本才是数据规模化的真正瓶颈，而不是采集。但要清醒：Pegasus 只做「视频理解层」，产出的是描述与结构，它不恢复位姿、接触点和几何，把观察接到机器人运动与控制上仍是团队自己的活。计费上有个坑——每个 segment 定义单独计费，一次请求覆盖多个动作类别时，实际被计费的时长会成倍放大；此外批量分析目前仍走 Pegasus 1.5，高吞吐场景尚未迁移过来。

来源：TwelveLabs debuts Pegasus 1.6 to improve robotics training data from first-person video（VentureBeat） ｜ TwelveLabs Brings Video Understanding to Physical AI With Latest Launch（GlobeNewswire）

论文：危害意图只要「暗示」，机器人护栏几乎全线失守

哥伦比亚大学 Sripad Karne 与 Arjun Balaji 的论文（arXiv:2610.05818，投稿 CoRL 2026 SPAIS workshop）做了一组控制变量实验：取 LIBERO-Goal 的五个厨房任务，任务本身、物体、场景完全不变，只给同一个动作附加不同的理由，并分三档表述——隐含（L1）、直陈（L2）、直白（L3），同时配一组长度相近的无害对照。结果是 π0.5 在三档下的完成率都与无害对照相当，也就是说机器人完全无视目的。筛查责任因此全落在外层护栏上，而 Llama Guard 3、WildGuard、Qwen3Guard 三款文本护栏抓得住几乎所有直白请求，却漏掉大部分隐含请求——高达 95% 的隐含危害运行最终任务完成且未触发任何告警；针对机器人指令重新校准后，这一比例仍有 90%。激活探针也补不上：线性探针在基座语言模型和视觉语言模型里几乎能完美区分有害/无害，但经过机器人训练后，两个模型族的这种可分性都明显衰减，其中隐含危害衰减最严重。论文还纠正了一个假象——OpenVLA-OFT 看起来更「安全」，实际是它处理不了指令里多出来的那句理由，无论理由有害与否一律失败。

值得关注： VLA 与聊天模型的根本差别在于它只输出动作、不会拒答，安全边界因此被迫外移到护栏和规划层。这篇论文证明那道外移的墙对措辞敏感、对意图不敏感——而措辞恰恰是最容易绕过的一层。更棘手的是「机器人训练会侵蚀危害信号」这一发现：此前已知机器人训练会损失视觉语言知识，现在看连安全相关内容也在损失之列。对任何要把 VLA 推进真实场景的团队，这意味着不能把护栏当合规文件，而必须当作需要独立评测集、含隐含意图用例的攻防对象来对待。

来源：What the Guard Misses, the Robot Executes: Implied Harm in VLA Instructions（arXiv:2610.05818）