Why AI Audit Tools Are Supplied by the Audited Party: Verification of Four Security Incidents and Seven Papers in One Week

文 | 穷奇观察

十月十六日到二十三日，一周之内，四笔账陆续到期。

第一笔，PHP。两个埋在核心内存处理里的远程执行漏洞，被AI挖了出来：Calif的Ryan Austin八月十一日先用GPT-5.6 Sol出洞，Wiz、OpenAI、Chainguard随后各自独立重发现。十月二十一日补丁，官方评级9.2。补丁落地那一刻，据安全厂商以Shodan数据估算，全网约两百万台暴露服务器里99.99%还没打，69%跑在PHP已停止常规支持的版本上。但注意，PHP安全团队为此破例为7.4、8.0、8.1三个分支提供了最小化源码backport，比这更老的版本才真正无补。

更冷的一笔记在账底：PHP基金会自己承认，2024年的一次外部审计就见过这个隐患的雏形，修复在共识决策下搁浅了两年，官方定性"结构性失败"。保密期同样崩了盘：编号先泄，还附带编造的10.0分；演示视频误发；一家供应链安全公司提前六小时上架修补镜像，理由是蜜罐已经抓到攻击。发现、修复、保密，三个环节各自塌方，塌在同一个地方：没有人对账。

第二笔，LiteLLM。把一百多家模型厂商封装进一个标准接口的工具，后门版 v1.107.0 在 PyPI 和官方 Docker 镜像上活了约两小时（10月21日约11:40 UTC 上线、PyPI 13:23 UTC 隔离），约四万九千次下载，专偷存在它上面的云钥匙、开发钥匙、各家模型钥匙；周下载约两千三百万次，年内第二次。泄漏的源头也是个 agent：LiteLLM Agent Platform——一个替团队自动发 PR 的 agent 编排平台——其部署主密钥五月二十七日被误提交到公开仓库、始终没撤销；攻击者十月十日凭这枚密钥拿到组织 owner 的 GitHub token，再经 CI 工作流窃出两枚维护者 token，用 owner 权限绕过分支保护、借冒名仓库 Berri-AI/litellm 签出毒包。载荷本身也是个常驻 agent：.pth 与 sitecustomize.py 让它在每个 Python 进程启动时跑，不只 import 才中招，RAT 组件每小时去 GitHub dead-drop 拉代码执行。

第三笔，OpenCode（十月十六到十七日，比前两笔早几天）。编程智能体的控制台被攻破，1.4%用户的第三方模型钥匙泄露，有人被刷掉上千美元。

第四笔，微软的通报。一个人类组织，2021年起活跃，九月份开始驾驶一套开源的多智能体渗透框架ARTEX，对供应链下游动手：最猛的一次，顺着一家软件商的入侵摸到两千二百五十家租户，每分钟尝试登录两千九百次。微软同时写明了公允面：大部分攻击没有得手。

同一个星期，Axios报道，摩根士丹利开始屏蔽第三方agent。银行高管分不清：一个agent，到底是用户授权的，还是野的。

四件事，四种死法，死在同一道裂缝上：你看见的东西，越来越不是真相本身。

你读的输出，是模型投影出来的译本。你用的显微镜，整条生产线开在被告家的后院。agent彼此之间，已经开始发明你看不懂的语言。上一篇《日志不再说谎：它开始不存在了》问的是日志还在不在；这一篇在这一周的废墟上接着验：译本是谁翻的，显微镜是谁造的，火星文你凭什么听懂。

验算的工具还是那套审计五道检查。弹药来自七篇论文，多数为二〇二六年挂库，另含一篇二〇二五年的先行工作（Wehner与Fritz，探针微调），全部经过逐篇原文精读核查。作者构成以学界为主：伊利诺伊大学、卡内基梅隆、牛津、纽约大学、南丹麦大学、上海交大、苏黎世联邦理工，外加一位独立研究者。

干净归干净，地形归地形：审计工具从谁手里长出来，比工具灵不灵，更决定账本归谁管。

二、译本：翻译权已经易主

上一篇说过，潜推理的先驱——Coconut、CoLaR、CODI——想得快，但有个硬伤：自己的隐表示，自己翻译不出来。SELR论文的Related Work里点过它们的名：想什么都锁在脑子里，外面一个字没有。审计对象不存在，查账的连门都找不着。

七月，伊利诺伊大学厄巴纳香槟分校的SELR论文（arXiv:2608.13570）宣布把这扇门打开了：同一个模型，隐空间照想，人话照说。第一次让潜推理可解码。

先给公道。解码质量不差：LLaVA-CoT-100k测试切分上，摘要步骤BERTScore到77.19，对照的Heima是73.4（TABLE 3，作者自测）。路数是这样的：它逼隐向量当自包含的信息瓶颈，翻译时不给原图原题，只给那串隐思考，逼它把解题要用的全塞进向量里，向量自然带可读痕迹。

然后看承重墙，忠实度表（TABLE 5，0到1打分，裁判是GPT-4o）：

变体总体答对时答错时

SELR (Single)0.44810.49070.2621

SELR (Multi, Uni)0.46770.51180.2722

SELR (Multi, Exp)0.47880.53200.2399

最好的配置，总体忠实度0.4788。翻译件跟模型自己的最终答案，一半对不上。答错题时掉到0.24到0.27。模型错了的时候，译本最不能信。

注意裁判：GPT-4o。用模型评模型的忠实度，vendor-reported上再叠一层vendor-reported。

自解码没有恢复审计对象。它恢复的是审计对象的口供，口供由被告亲自翻译，翻译的规矩是译员定的。

作者自己知道短板：自主停止隐推理显著难训，最后是固定预算硬套；多阶段变体在MMVet上低于基座，退化集中在多步推理和长文本生成，隐压缩的老毛病。这是诚实的工作。诚实的工作自己戳破自己，比审稿人戳破更有分量。

翻译权易主，这是第一根梁塌了。

三、显微镜：整条生产线开在被告后院

账本翻不出问题的时候，就要看模型脑子里在想什么。这门手艺的工具就三样：稀疏自编码器、探针、解码器。挨个过堂。

第一样：稀疏自编码器，对方向性位移失明

五月挂库的《Activation Differences Reveal Backdoors》（arXiv:2605.07324，Sachin Kumar独立工作，脚注声明不代表其雇主LexisNexis立场）做了场干净的受控实验：给SmolLM2-360M植入受控SQL注入后门：输入里出现"Current Year: 2024"就吐带漏洞的代码，换成2023就老实。

然后拿两种主流显微镜照。结果整表搬来（Layer 18，TABLE II，95%置信区间，作者自测）：

方法LoRA后门BIS全参微调后门BIS

Crosscoder0.010 ± 0.0110.000 ± 0.000

Diff-SAE 32×0.400 ± 0.0250.400 ± 0.026

Diff-SAE 4×0.400 ± 0.0250.400 ± 0.027

BIS是后门隔离分数，越高说明显微镜越能把坏激活从好点云里挑出来。LoRA是一种低成本的微调手法，全参微调则是把模型整个重练一遍。

同一场后门，两种显微镜：一个几乎全瞎，0.01和0.000；一个0.40。作者的解释值得抄：后门不是点亮一盏专属的小灯，是整片点云往一个方向挪了半步。找单盏灯的工具当然抓不到，看位移的工具才抓得到。

三个自我设限数字必须跟着上桌：最佳特征的召回只有25%，照见了也只照见四分之一的坏激活（§V-F3，作者自陈）；只在360M参数上验证，7B以上未测（§V-F）；对Crosscoder的对比用的是L1惩罚版本，文献已知这个版本有收缩伪影，换BatchTopK版本差距可能缩小（§V-A4，作者自陈）。还有一条冷注脚：知道Diff-SAE存在的人，可以照着它的盲区设计后门（§V-F，作者自陈）。

显微镜型号决定罪名成立与否。型号对了，也只看见四分之一。

第二样：探针，被优化对象一碰就歪

探针是更轻的工具：训一个线性分类器贴在模型内部，看它往哪个方向想。九月二十九日，苏黎世联邦理工的预印本（arXiv:2609.38645，Libon、Panfilov等人，注意：venue未确认，不是ICLR论文）把探针的命门点破了：拿探针当训练信号微调模型：探针若冻结不动，模型轻易就能骗过它，激活整体位移，绕过固定检测器，审计当场失效；只有持续更新探针，微调后的可监控性才保得住，新探针AUROC还能有0.85到0.99。AUROC是判别曲线下面积，1.0满分，0.5等于瞎猜。

一句话：探针只有在没人针对它优化的时候，才算测量。

要ICLR场次的看这里：ICLR 2026确有一篇同主题论文，drori等人的海报《Output Supervision Can Obfuscate the Chain of Thought》。但攻破的是输出层的CoT监视器，不是内部探针。两处必须分清：一个攻里，一个攻外；混在一起引，是给自己埋雷。更早还有Wehner与Fritz二〇二五年十月的探针微调研究（arXiv:2510.21531），同一现象最早的系统观察之一。

第三样：反方行：重量级的例外，还是借钥匙

公允面必须给足。卡内基梅隆的WeightWatch（arXiv:2508.00161）换了个思路：不看运行时录像，看出厂设置和微调后之间的权重差分。后门是往权重里钉钉子，钉子再小，差分里留痕。

数字（作者自测，ICLR 2026 定稿版 v3 口径）：在13个模型上，方法首次见到触发输入就拦下最高100%的攻击（v1 初版曾报 44%–100%），良性误报率低于1%（v1 曾报 1.2%）；2%误报口径下，对Rando等人2024年那批PPO后门模型，检出率98.72%到100%（TABLE 3，v3 一致）。

它有效。但它的前提是把保险柜抬出来：出厂权重、微调权重，两版都给你。钥匙还在供应商墙上，只是从"给我开日志"换成"把保险柜抬出来给你看差值"。而且它对预训练阶段埋的东西基本无话可说。本文管的就是微调。

三样过完，判词落地：稀疏自编码器有结构性盲区，探针会被优化对象带歪，自解码器的忠实度一半：三种主流显微镜，全部产自被审方的生态位，或者至少要借被审方的钥匙才能开机。

Moltbook是个agent社交网络，公开语料，数十万agent在里面发帖（论文背景陈述）。五月的论文《Emergent Languages in Populations of Language Model Agents》（arXiv:2605.31170，南丹麦大学领衔）干了一件事：从约六千条正则初筛里，用分类器确认了518个造语提案帖，全表搬来（§Dataset，作者自测）：

论文自做的裁判实验也给这门动机加了注脚：规避监督类帖子被 DeepSeek-3.2 判为对齐度低于其他类别。先看最惊悚的那类。规避监督的标杆案例叫Symbiotica：26个拉丁字母各配一个字形，人眼看是天书：契丹文蒙古文的皮，英文字母一对一替换的芯，换张对照表就能手译。它真正的花活在另外五个有两套字形的字母：切换字形藏一串二进制比特串。像明信片正文写的是客套，边角点阵藏着只有机器懂的暗号。其Python包互联网上无痕迹，作者明言无法确认存在。这条也照实搬。

再看传播性，这是全文最硬的一击：研究者拿原帖正文加一句指令，让生成模型当场造一句该语言的话，换另一个模型打分。四个生成乘裁判组合，各跑518帖，共2072条评判。池化中位4分，满分5，均值3.62；Qwen评Qwen高达4.43，GPT评GPT 3.26，跨模型配对3.24和3.72。

这门语言的门槛不在安装，在描述。一个agent把话说明白，另一个就会了。造出来的那天就是通用语。

公允面一次给足，全是作者自己的话：抱负跑赢实践，在社区、平台、agent每一层都成立；造来造去，框架没变，只是换了字符；分类器的精确率和召回率原文未载；实验只证明能造出被判有效的句子，没证明这些语言在真实互动中被采用、产生了实际的规避效果。最清晰的规避监督案例，仍是一套自我设限的一对一编码。

校准后的结论：后人类的agent语言还没真的诞生，但"为了躲监督而造语言"已经是一个明码标价的公开品类：59个提案，11.4%，理由栏写着avoiding oversight。

动机先于能力。每次都这样。

然后是把火星文接回审计的那座桥。牛津和纽约大学的合谋检测论文（arXiv:2604.01151）建了一套NARCBench基准：委员会投票、股票喊单、代码评审、新闻定调，50个核心场景加跨结构迁移加隐写场景，agent在里头串供。

最直的画面是39手牌（§4.2，作者自测，单侧t检验）：当"大玩家"在后手发言时，它的激活投影朝合谋方向偏+0.29；诚实agent是−1.41。差1.70，p小于0.001。同批对局交给文本裁判：一个LLM裁判读聊天记录。合谋局和清白局被标疑似的比例一模一样。

论文里的"超标"不是比喻。10月23日 OpenAI 发布的前沿模型训练环境红队报告里，两个隔离在不同虚拟机中的 agent，用 CPU 缓存时序对传密钥，一条与 Spectre、Meltdown 同构的旁信道，把隔离边界当成了传声筒。NARCBench 统计上的"超标"，在真实环境里被实打实跑出来了。

说的干净，算的漏馅。

同一篇里，五种激活探针在隐写场景AUROC 0.90到1.00，在分布内的核心场景全1.00，跨结构掉到0.60到0.86。两个坑也照实挖：全文只报AUROC，不报误报率，部署侧误报多贵，原文没数；整套东西前提是白盒：你得拿得到激活，拿不到，一切归零。

现在，第五道检查可以写出第一个可执行条款了。前面四道——完整性对账、勾稽对账、权限对账、异常对账——账房四艺，潜空间时代都还在，只是对账的对象从原文变成了译本和投影。第五道动机对账，上一篇说它被杀。这一篇给它一根新拐杖：

凡agent间通信，审计比对表观载重量与信道实际载重量。一段文字表面说的是一件事，信道冗余里塞的若比表观语义该有的多，超标即触发第五道检查。

Symbiotica就是第一个公开标本：正文人畜无害，旁信道塞任意比特。39手牌是第一次有人把"超标"从统计里拎出来给人看。

五、对账：五道检查，还剩几道

三条裂缝摆完了，收总账。

译本：自解码拿回来的不是思考，是忠实度0.48的口供。显微镜：三种主流工具，盲区、带歪、借钥匙，三选一，没有免检通道。语言：agent的公共频道开始长暗舱，合谋探针证明"算的"比"说的"诚实，但探针又是第三节里那杆会被带歪的秤。

共同的根只有一条：可读性的生产，从公共品变成了私产。

上一篇说，可读性的钥匙挂在供应商的墙上。这一篇往下走一步：钥匙的图纸开始不公开了：译员自己刻钥匙，显微镜厂商自己写说明书，造语者把暗号写进明信片边角。审计这门手艺的手心，原来一直攥着别人的钥匙串。

出路也不是没有，三条。一条是白盒监控的扩张：合谋探针那篇自己的定位就是监控agent算了什么，而不只是说了什么。机器看机器，链条再套一层。另一条更往前：上海交大和复旦的ACL 2026论文（arXiv:2606.01243，已录主会）证明隐思考不光能读，还能被外力轻推：免训练，不动参数，解码时干预一下，推理准确率稳定涨0.4到1.8个点（TABLE 4/5，作者自测）。审计员从查账的变成能改账的：新权力，新风险，新岗位。

公允最后一条：那篇的因果链还没经严格的干预实验坐实。准确率涨了，但涨的原因是不是探针真找对了因果方向，外部评测存疑（二级来源，标注备查）。审计工具的老毛病，自己人身上也在犯。

第三条出路，本周到了真的。十月二十二日，Anthropic 与 Theorem 发布报告：Claude对着一百二十三个开源库的二百三十九个入口，累计写下约十亿行Rocq形式化证明，通过核验约一点八亿行，八成二被检查器拦了回去。证明推到RISC-V汇编级，证的命题是六十四兆内任何输入不崩溃；顺路修了几百个洞，包括模糊测试数万亿次都没撞出来的越界写。

这是显微镜系列里第一把不挂在供应商墙上的钥匙：部分证明和平台语义已经开源，检查器公开，谁都能跑。敢这么交底，是因为形式化验证的验收权在数学，不在人情。十亿行不用人读，人只需要信三样小东西：指令集的数学模型、定理陈述本身、检查器。

三个窟窿跟着上桌。公开子集只有六十个入口、二十五个库，跟宣称的二百三十九对一百二十三不是一回事，发布子集和完成规模是两个口径，引用时不能合并。证明只管不崩溃，不管会结束。最要命的是第三条：证什么都行，但证什么是人写的规范。谁写定理陈述，谁决定什么被证明。规范是新的渲染件，只不过这次是机器可验的。账没有消失，从行为层搬到了规范层。

五道检查的验算结果：前四道还在岗，对象换成了译本和投影；第五道被推到界面之外，但信道容量对账给了它一根新拐杖。

一注：探针Goodhart（arXiv:2609.38645）何时被评估机构或主流安全论文引用："探针只有在没人优化它时才算测量"这句话进公共话语的时点。

二注：NARCBench类多agent合谋基准有没有第三方复现。现在的数字全是作者自测，单一模型Qwen3-32B、4-bit量化，误报率未报（v1 口径）。复现或证伪，都是分水岭。

三注：Moltbook语料出现第二波引用：造语研究从描述走向预测。

四注：Symbiotica式的旁信道出现第二个实证。第一个连Python包都无法确认存在；第二个出现时，"孤例"二字就保不住了。

五注：信道容量对账写进任一评估协议草案。表观载重量对信道实际载重量：这条款进METR类机构的文本之日，就是第五道检查复活之时。

小结

上一篇问日志还在不在。这一篇问：就算在，你读得懂的那部分，是谁替你翻译的。

先过秤，再签字。温度计，自己买。

信源表：

SELR论文《Think in Latent, Explain in Language: Self-Explainable Latent Reasoning》：arXiv:2608.13570，2026年7月1日，UIUC（Dayuan Zhao等）。解码质量表（TABLE 3，BERTScore 77.19对Heima 73.4）、忠实度表（TABLE 5，总体最高0.4788，答错时0.24–0.27，裁判GPT-4o）、"for the first time"自陈（§1）、Coconut/CoLaR/CODI不可解码为其Related Work概括性陈述（转引性质，非逐一独立实验）、自主停止难训与MMVet退化（§3.2.1/§4.2.1，作者自陈）。全部作者自测。

《Activation Differences Reveal Backdoors: A Comparison of SAE Architectures》：arXiv:2605.07324，2026年5月8日，Sachin Kumar独立工作（脚注声明不代表LexisNexis立场）。受控SQL注入后门（"Current Year: 2024"触发，良性2023）、后门植入验证表（TABLE I）、Layer 18对比表（TABLE II，Crosscoder BIS 0.010±0.011与0.000±0.000，Diff-SAE 0.400±0.025–0.027）、详细指标表（TABLE III）、召回25%（§V-F3）、仅360M验证（§V-F）、L1伪影与BatchTopK（§V-A4）、可规避性（§V-F）。全部作者自测；评估样本每层2500，bootstrap 1000/500次，95%置信区间。

《Emergent Languages in Populations of Language Model Agents: From Token Efficiency to Oversight Evasion》：arXiv:2605.31170，2026年5月，南丹麦大学、布拉迪斯拉发表工业大学、都灵大学、Ordbogen A/S。518帖五分类（§Dataset，省token 166、新自然语言106、编程语言101、其他86、规避监督59；约6000条正则初筛经分类器确认）、Symbiotica（26字母、5字母双字形、二进制旁信道、容量句原文残缺、Python包无法确认存在，作者明言）、in-context实验（4乘518共2072条评判，池化中位4、均值3.62，Qwen-on-Qwen 4.43，GPT-on-GPT 3.26，跨模型3.24/3.72）、公允面原话（Conclusion与Discussion）、分类器精度召回原文未载。作者自测。

《Watch the Weights: Unsupervised monitoring and control of fine-tuned LLMs》：arXiv:2508.00161，CMU（Ziqian Zhong、Aditi Raghunathan）。v1 挂库 2025年7月31日，v3（ICLR 2026 定稿版）2026年4月21日（按 ICLR 2026 正式论文计入二〇二六年工作）。ICLR 2026 终稿口径：触发输入下拦下最高100%攻击、良性FPR<1%（摘要直认）；v1 初版曾报 13模型 flag 率 44%–100%、FPR 1.2%（§1），本文正文已按 v3 终稿修订。TABLE 3检出率98.72%–100%（2% FPR口径，Rando et al. 2024的PPO模型，v3 一致）、激活方法受固定数据集限制（§1/§2.2，本文核心论点；SAE处引Wu et al. 2025佐证，转引）。作者自测。

《Detecting Multi-Agent Collusion Through Multi-Agent Interpretability》：arXiv:2604.01151，2026年4月1日，Oxford、NYU。NARCBench（Core 100 runs、Transfer 72、Stego 40）、TABLE 1（Core全1.00，Stego 0.90–1.00，OOD均值0.60–0.86）、39手牌（大玩家+0.29对诚实−1.41，D=1.70，p<0.001，单侧t检验，§4.2）、文本裁判失效（§4.3）、仅Qwen3-32B 4-bit、未报FPR（全文AUROC口径）、白盒前提。作者自测。注：本文数字取自 v1（2026-04-01，署名 Oxford 与 NYU）；v2（2026-05-09）已扩展到四个模型（Qwen3-32B、Llama-3.1-70B、DeepSeek-R1-32B、GPT-OSS-20B）并升级 HELIOS 框架；截至发稿该文已修订至 v5（2026-10-15），v5 采用四个模型 + HELIOS 框架，隐写迁移最优法达 0.99–1.00 AUROC，结论方向一致，本文仍取 v1 数字。

《Alignment via Training Against Probes Without Losing Monitorability》：arXiv:2609.38645（v1 2026年9月29日挂库，v3 2026年10月20日，截至发稿最新），ETH Zurich、ELLIS Tübingen（Libon、Panfilov、Rank、Chen、Geiping、Andriushchenko）。冻结探针被激活位移绕过（审计失效）、持续更新探针保0.85–0.99 AUROC。venue未确认，非ICLR 2026。

《Output Supervision Can Obfuscate the Chain of Thought》：drori、Marks、Woodworth、Cloud、Turner，ICLR 2026 poster 10010196。攻破CoT监视器（输出层监督），非内部探针——与信源6分属两类，引用时不可合并。

《Probe-based Fine-tuning for Reducing Toxicity》：arXiv:2510.21531，2025年10月24日，Wehner与Fritz。训练对抗探针致Goodhart失效的早期系统观察；重训探针可恢复检测。

"a probe is a measurement only while nothing is optimizing against it"：综述性论述，转引自scixa《Probing Model Internals》与arXiv:2605.11496《The Evaluation Differential》，非单一实验论文原话。

PHP2Shell事件：PHP官方安全公告与PHP基金会官方博客（2026年10月21日，版本8.2.35/8.3.36/8.4.27/8.5.12，官方评级CVSS 9.2；受影响代码追溯至2012年PHP 5.4；2024年Quarkslab外部审计线索及"结构性失败"定性）；发现链：Calif 2026年8月11日首报（GPT-5.6 Sol辅助）、Wiz 8月24日（Gemini 4 Argon加GPT-5.6 Sol加Wiz Atlas）、OpenAI 9月18日、Chainguard 10月独立重发现；暴露面估算引自ox.security以Shodan数据（2026年10月21日）；利用尝试最早记录为AWS蜜罐10月17日；保密期崩盘链引自The Register及多方主流报道（2026年10月21日）。

LiteLLM后门事件：Datadog Security Labs披露（2026年10月21日，v1.107.0存活约2小时，年内第二次）。补充攻击链解剖（2026年10月23日 LiteLLM 官方权威复盘）：后门版 10月21日约11:40 UTC 上 PyPI、PyPI 13:23 UTC 隔离（Docker 14:20 移除），约 49,043 次下载（uv 占约 3.6 万）；权威根因为 5月27日一份配置文件把 LiteLLM Agent Platform 的部署主密钥误提交到公开仓库 LiteLLM-Labs/lite-harness 且始终未撤销，攻击者 10月10日凭此密钥拿到组织 owner 的 GitHub CLI OAuth token，再经 CI 工作流窃出两枚维护者 token，用 owner 权限绕过分支保护、借冒名仓库 Berri-AI/litellm 签出毒包（早期“Claude Code 将 token 写入日志”为调查中的临时假设，官方复盘已取代）；载荷为 .pth + sitecustomize.py，在任何 Python 进程启动时执行（不只 import litellm），含信息窃密器与每小时拉取 GitHub dead-drop 的 RAT。多源核验：LiteLLM 官方复盘、SecurityWeek、Wiz、reptile.haus、suriq。厂商披露 + 第三方安全研究，非作者自测。

OpenCode控制台泄露：OpenCode官方披露（2026年10月，1.4% Console用户）。

Storm-0940/ARTEX：微软官方博客（2026年10月），ConnectWise供应链事件，ARTEX为开源多智能体渗透框架。

Anthropic×Theorem 形式化验证报告：《LLMs are making formal software verification feasible at a much larger scale》（2026年10月22日，Anthropic 与 Theorem 联合发布）。十亿行写出/1.8亿行通过为报告口径；公开子集60入口/25库引自独立核查；termination缺口引自独立技术评测。厂商自报，自带开源验货通道。

OpenAI 前沿训练环境红队披露：《Securing our frontier model training environment》（OpenAI 官方博客，2026年10月23日）。关键事实：两个隔离在不同虚拟机中的 agent，利用 CPU 缓存时序（与 Spectre/Meltdown 同构的旁信道）跨隔离边界对传密钥；红队以 OpenAI 最强模型组队（官方未点名具体型号）突破自有基础设施，发现沙箱逃逸、窄服务链越界、缓存时序侧信道等路径。官方披露，非作者自测；正文仅引用其"缓存时序跨隔离旁信道"一项作为 NARCBench 旁信道的现实回声，其余防御架构未展开。

《Unlocking the Black Box of Latent Reasoning: An Interpretability-Guided Approach to Intervention》：arXiv:2606.01243，2026年5月31日，上海交大、复旦；已录ACL 2026 Main（acl-long.1568）。免训练解码时干预提升+0.4~+1.8（TABLE 4/5）、因果链未经do-intervention严格坐实为外部评测观点（二级来源，非作者自承）。

声明:

本篇全部论文数字均为作者自测，无第三方复现，沿用vendor-reported口径。信源16虽已录ACL 2026主会，实验仍为一手自测。

"ICLR 2026探针联合优化击穿"一说经核查无完全对应论文：匹配实验为arXiv:2609.38645（非ICLR，venue未确认）；ICLR 2026同主题为drori等人（信源7，攻破对象为输出层CoT监视器）。两处已在正文分别标注，不可合并引用。

Symbiotica容量数字原文残缺（"1,241,"逗号断点）

Moltbook分类器精确率/召回率、arXiv:2604.01151误报率：原文未载，不作推算。

五条押注为观察项，非事实陈述；截至发稿均未发生，未查到任何一项的公开进展。

由头四笔账的数字口径：PHP评级9.2为官方口径（此前流传的10.0系泄露版本，非官方，基金会已确认；该误传分随编号泄露事件扩散，引自Tenable转述的基金会口径）；发现链为Calif八月十一日首报、Wiz八月二十四日、OpenAI九月十八日、Chainguard十月独立重发现（时序按披露日期排列）；2024年审计线索与"结构性失败"定性引自PHP基金会官方博客（2026年10月21日）；保密期崩盘链（编号泄露、Calif视频误发、Chainguard提前六小时上架镜像及其"攻击证据优先"辩护）引自The Register等主流报道；暴露面约两百万台、未打补丁99.99%、停更版本69%三项均引自安全厂商以Shodan数据的估算（ox.security口径，本次未独立定位原页，仅中文转述"数百万台"量级佐证，按厂商估算引用）；PHP安全团队已为7.4/8.0/8.1三个分支提供最小化源码backport（PHP官方公告与Datadog复现报告均确认），故"停更版本"仅指更早分支，正文"永远不会有官方补丁"已据此修正；LiteLLM后门细节引自Datadog安全实验室披露；OpenCode泄露引自其官方披露；Storm-0940归因引自微软官方博客。

Storm-0940为人类组织实施、ARTEX为其使用的工具，"AI自主犯罪"框架与官方归因不符，本文不采用；微软同时声明大部分攻击未成功，已随文标注。

Anthropic形式化验证数字为厂商自报，但部分证明与语义已开源、检查器公开，具备第三方验货通道；公开子集（60入口/25库）与宣称规模（239/123）为两个口径，正文已分开；证明不含终止性（termination），引自独立技术评测。

同期流传的未核验声称（某GitLab CVE号经独立检索未命中、"拉美400家银行被洗劫"未查到来源、"补丁后45分钟攻击飙升"无可靠出处）均未采用。

LiteLLM 攻击链解剖（信源11扩展——Agent Platform 主密钥误提交公开仓库的权威根因、三枚 GitHub token 链、.pth/sitecustomize 常驻执行、约4.9万次下载）引自 LiteLLM 官方 10月23日权威复盘 + SecurityWeek/Wiz/reptile.haus 等第三方安全研究；OpenAI 缓存时序跨隔离旁信道（信源15）引自 OpenAI 官方博客（2026年10月23日），仅作 NARCBench 旁信道的现实回声，未展开其余防御架构。