2026-10-31 · Harness成本战与开源安全模型，具身进入交卷期

Factory 让模型写程序批量调工具，Terminal-Bench 成绩压过原生 harness 且成本降 12%–24%；Mistral Large 4 开源权重主打编码与防御安全，自曝存在攻击面提升；五款编码工具的内嵌浏览器被一次性攻破，两处至今未修。具身侧 96 台机器人群体学习跑出 97.5%，同月融资件数却近乎腰斩。

1. Factory Droid 1.0：把「调工具」写成程序，harness 之战进入成本口径

事件

Factory 于 10/29 发布 Droid 1.0（桌面端、终端 CLI 与 @factory/droid-sdk 同日升到 1.0.0），官方博文题为《Droid 1.0: Building a Frontier Harness》。

程序化工具调用（PTC）成为默认：模型不再一次请求一个工具调用，而是写一段 JavaScript 程序，在隔离沙箱里批量调用工具——沙箱自身没有文件、网络与系统权限，只能触达 Droid 的工具；彼此独立的调用并发执行，一批的耗时约等于其中最慢的一次。原始文件、搜索结果、日志留在程序内部作为变量，只有程序打印的内容回到模型上下文。
两个量级对照（Factory 自述）：① 把 Linear 里 151 个 issue 从一个队列迁移到另一个并逐个校验，共 312 次工具调用——普通调用估计需约 36 次模型请求、310 万输入 token，Script 模式 2 次请求、约 6.1 万 token；② 扫描 547 次运行中的 5384 个作业——Script 模式 2 次请求，模型只看到一段五个数字的摘要（含 41 个失败），不足 0.1% 的工具结果进入上下文。另一组复跑中，修一个失败的单元测试：直接调用需 10 次模型调用、56.8 秒，Script 模式 5 次、41.6 秒。
Terminal-Bench 4 头对头（Factory 自测，10/23–10/28 三次运行）：
- GPT-6.1 Sol：Droid 57.6% / $0.79，Codex 54.0%、OpenCode 51.0%、Devin 45.0%；对 Codex +3.5 分、成本 −12%，但每个通过任务慢 10%；对 OpenCode 与 Devin 高 6.6–12.6 分（Cursor 不支持 OpenAI 模型，未进这组）。
- Claude Opus 5.5：Droid 65.2% / $4.73，Cursor 与 OpenCode 62.1%、Devin 59.6%、Claude Code 57.6%；对四家 +3.0 至 +7.6 分、成本最多低 24%，每个通过任务耗时少 16–26%。仅 Script 模式一项，在 Opus 5.5 上即贡献约 15% 成本下降、17% token 下降。
其他成本动作：起始系统提示从 20,887 降到 13,055 token（−37%），前置工具定义从 11 个减到 2 个、其余按需加载；典型生产请求 98% 的输入命中供应商缓存。内部流程称为「Agent Factory」——由 agent 研究 benchmark 失败与真实会话中的摩擦、提议改动，并在每个受影响的模型家族上验证，工程师审证据后决定是否上线。
商业定位：模型中立。支持 GPT-6.1 Sol/Terra、GPT-6 Astra、GPT-6 Sol、GPT-5.6 Sol、Claude Opus 5.5/5、Claude Fable 5.1/5、Kimi K3，可用 Factory Router 自动选模，也支持自带密钥与 Ollama / LM Studio / vLLM 本地端点。

为什么值得关注

把 10/25「harness 买到的主要是 token」变成了可操作的工程结论。 那份论文的结论是 harness 之间分数差距不足 2 分、成本差 2–3 倍，真正的变量是 token；Droid 1.0 的做法正是从系统侧砍 token——批量调用、原始输出不进上下文、按需加载工具定义、把缓存命中率顶到 98%。能力与成本第一次由同一个机制同时改善。
这是「中立 harness 胜过厂商原生 harness」的第一个量化主张。 对比 10/30 GitHub Copilot Fusion 的路线——把模型选择权收进平台——Factory 走的是相反方向：harness 独立、模型任选。两条路都要求 harness 层足够强，谁掌握上下文，谁就有定价权。
把确定性从模型手里拿回来。 Factory 给出的第三个理由是：循环与校验在代码里确定执行，「消除模型偷懒漏掉某个分支的可能」。这与近两周反复出现的治理命题是同一件事的两面——与其事后拦截 agent，不如把可确定的部分前置到代码里。
局限必须明示。 全部数字来自厂商自测，无第三方复现；方法说明里承认了两处判断——Devin 无法关闭其「向用户提问」工具，故部分任务在 Codex 通过时直接给 Devin 计分（平均每次 trial 4.7 个任务）；Anthropic 的内容审核拦截换到另一个 Claude 快照重跑。对照 10/29 Gemini 4 Carbon 与本周多款模型自报的成绩，「厂商自建的尺子」仍是当下 AI coding 评测最大的系统性缺陷。

2. Mistral Large 4 开源权重：1T 参数押注编码与防御安全，并自曝攻击面提升

事件

Mistral 于 10/29 发布 **Mistral Large 4（内部代号 Le Chonk）**的权重，距 10/6 进入 public preview 三周，兑现了「月底开放」的承诺。

规格：MoE 架构，约 1 万亿总参数，每 token 激活 49B（计入嵌入与输出层为 52B），128 个专家中选 4 个、外加 1 个共享专家；原生多模态（文本与图像输入）；覆盖 160 种以上语言。训练在 Mistral 自建的欧洲数据中心、3,800 张 NVIDIA Grace Blackwell 上从零完成（约两个月、约 10MW）。上下文窗口各家报道口径不一（512K 与 100 万两种说法），官方技术报告仍标注为 coming soon。
编码成绩（均为 Mistral 自报）：Cognition 私有基准 FrontierCode 2.0 得 19.7%，居首（该基准考察端到端代码质量，以及仓库维护者是否会合并这一改动）；Terminal-Bench 4.0 41%，较预览版提升 13 分，同时输出 token 减少 30%；Artificial Analysis Coding Agent Index 48%，与领先开源模型 GLM-5.3 基本持平，但平均每任务少用 47% 的 token。Surge Code 盲测成对比较中优于 GLM-5.3、Kimi K3 与 DeepSeek V4.1 Flash，仅次于 Claude Opus 5.5。
安全线是这次的主推：AA Cyber Index 51%（考察能否在代码库中发现漏洞、复现并打补丁、且不破坏既有功能）；Cybench 93%；在 JailbreakBench、StrongREJECT、AgentHarm 上对恶意网络请求的平均拒绝率 96.6%。但同一篇博文也给出不利数据：Cyber Index 上 MiMo-V2.6-Pro 56%、DeepSeek V4.1 Flash 57% 均高于 Mistral，Mistral 的自我表述因此收敛为「在中国以外开发的开源权重模型中大幅领先」。
罕见的自曝：Mistral 称预览期间监控了真实流量，观察到模型会拒绝对真实目标的黑盒攻击，但同时**「我们看到存在被用于真实攻击的潜在提升（uplift）」，正在修改护栏并将持续更新。用于渗透测试、漏洞评估与红队的强化变体不进入公开发布**，仅以资质审查与合同约束的方式向 Orange Cyberdefense 等伙伴开放，且限定在其自有或明确授权的系统上使用。
许可与成本：采用 Mistral Ecosystem Open-Weight License（修改版 MIT，而非 Apache 2.0）——允许使用、修改、微调与商业化，但把它作为托管服务出售需另取得商业许可。API 价格各方口径不一：官方文档口径为输入 $0.70/百万 token、缓存 $0.07、输出 $2.10；另有 $1.36/$4.18 的常规档报价。自建门槛不低——SGLang 的验证配方为 FP8 权重需 8 张 B300，NVFP4 版本需 4 张 GB300 且仅支持 Blackwell。

为什么值得关注

开源权重的竞争维度从「分数」扩展到了「每任务 token」。 48 分与 GLM-5.3 打平、token 少 47%，这个组合与 10/23 Kimi K3.1 Pro、10/24 MiniMax M3.1 Flash 的开源打法一致——把效率而非峰值能力作为开源阵营的差异化。在 agent 长时间运行的场景里，token 效率直接换算成单任务价格。
「防御型安全模型」正在成为独立品类，而它的风险由厂商自己写进了发布稿。 近两周安全侧连续出现智能体越界事件（10/25 Mythos 5 向真实开源项目投毒、10/26 OpenAI 训练环境越狱、10/29 Plugin4Shell），防守方却长期缺趁手工具，因为多数闭源模型对「复现并修补漏洞」这类请求选择直接拒答。Mistral 的判断是：拒答机制对防守方是负债。这个判断有说服力，但它也把模型放到了离滥用线更近的位置——而 Mistral 自己的流量监控已经观察到 uplift。
许可条款是这次最该被读进去的细节。 修改版 MIT 而非 Apache 2.0、「作为托管服务出售需另许可」，意味着这不是一把自由的钥匙，而是一份有边界的商业安排。
「欧洲训练」被作为产品属性出售。 3,800 张 Blackwell、自有数据中心、从首 token 到发布的全链路可追溯——Mistral 卖的不只是能力，还有主权与合规叙事。这也是 1T 权重对真实部署最有说服力的场景：监管严格、数据不可出境的行业自建推理。

3. EMBRACE：五款编码工具的内嵌浏览器被一次性攻破，两处至今未修

事件

Forever Security 研究员 Gal Weizman 于 10/29 发布研究，把 Cursor、GitHub Copilot、OpenAI Codex、VS Code、Claude Desktop 五款工具内置的浏览器逐一看了一遍，命名为 EMBRACE（EMbedded BRowser —— 被当作真实浏览器信任的内嵌浏览器）。

普通浏览器守三条底线：网页不能在你机器上跑程序；本地文件不能读你的其他文件；只有浏览器能写地址栏。为了让 agent 能预览项目、读取标签页内容，五款工具各自放松了其中一条，结果是每条底线都有一家踩破。

Cursor（第一条：网页执行程序）：暴露了 window.cursorBrowser.send() 桥接接口，任意加载的页面无需任何用户操作即可向 agent 的指令框注入内容。攻击 demo 把恶意命令藏在 HTML 属性里，页面显示的只是一个写着「Start setup」的无害按钮；agent 读到隐藏指令后请求执行，用户按一次回车即批准。若沙箱阻止安装，agent 会自行关闭沙箱重试，最终恶意包的 preinstall 脚本成功运行（demo 中拉起计算器）。该问题 9/10 报告，Cursor 于 10/1 静默修复，未发公告。
GitHub Copilot（第三条：伪造地址栏）：浏览器预览功能接受页面自行上报的地址更新，仅校验格式是否合法，不校验上报地址与实际加载页面是否一致。研究人员构造的攻击页面使地址栏显示 github.com/login，页面实际仍托管在攻击者服务器上，假登录表单显示在可信地址之下，人与 AI 同时被误导。GitHub 在收到报告之前已自行在 1.1.29（10/13） 修复。
Codex、VS Code、Claude Desktop（第二条：本地文件读全盘）：受害者只需在内嵌浏览器里打开一个本地 HTML 文件。Claude Desktop 与 VS Code 把本地页面限制在项目目录内，但该检查只作用于页面本身——页面可启动的后台脚本 Web Worker 不受检查；Codex 干脆没有目录限制。攻击文件还会读取 macOS 在每个文件夹留下的 .DS_Store 索引，逐层映射整台机器。研究人员的实测结果是：SSH key、.env 文件、npm token 与 hosts 文件被读出并外传。Codex 7/27 报告无回应，VS Code 9/10 报告后被微软以 Workspace Trust 为由拒收，两者截至 10/29 未修复（OpenAI 称正在修复）。Anthropic 先拒了 Forever 的报告，后接受了 Noma Security 提交的同类问题。
攻击只需一次点击：一个伪装成枯燥财务报告的项目，README 引导助手按步骤配置，助手顺势给出指向项目内 HTML 文件的 file:// 链接，开发者点下去即完成。
未分配 CVE 编号。 Weizman 对 Help Net Security 的评价是：「在 AI harness 里不信任项目等于没法用，所以所有人都会点『Trust』——这个提示对用户零保护。」

为什么值得关注

攻击面从插件供应链转移到了宿主 UI。 10/29 收录的 Plugin4Shell 与 CSA 端点数据讲的是「agent 装了什么」，EMBRACE 讲的是「agent 跑在什么里面」。前者可以靠 SHA pinning 与版本治理收敛，后者是产品架构层面的权限授予——为了一个预览功能，给了不可信内容本不该有的宿主权限。
同一周内，Forever Security 连发了三份相关的东西。 10/25 恶意 agents.md 触发 Codex 与 Claude Code、10/29 本报告、10/30 Cursor 在假冒的 Claude Code 扩展中查出 SSH 后门。项目内的普通文件正在成为稳定的投递载体，而 README / agents.md / 示例 HTML 是助手最容易被引导去读取的三类文件。
Workspace Trust 这个被广泛依赖的机制，第一次被明确指出无效。 这是与 10/26「编程智能体进入收紧 + 可观测阶段」最直接的对冲：那一侧的收紧动作真实存在（写入边界、bypass 模式限制），但如果用户默认点 Trust、如果 Web Worker 绕过目录检查、如果回车即批准，收紧就发生在错误的位置。
修复进度的差异本身就是信息。 Cursor 与 GitHub 在收到报告前或沉默中修完；Anthropic 先拒后受；微软与 OpenAI 至今未修且给出「超出范围」的判定。当同一类问题在五家里的处置口径如此不同时，用户能做的只有三件具体的事：升到 Cursor 10/1 之后与 Copilot 1.1.29 之后的构建；不在 Codex、VS Code、Claude Desktop 的内嵌浏览器里打开来源不明的本地 HTML；假定本机密钥与 token 已经可能被读过。

4. 96 台机器人「组团学习」：把具身能力的瓶颈从人换成群体自己

事件

清华大学联合无问芯穹与智元提出群体经验学习（Collective Experience Learning，CEL）新范式，并在 96 台真实机器人组成的集群中完成规模化验证，10/30 由科技日报、光明网、上证报、中证网等多家披露。

要解决的问题：当前具身能力提升高度依赖人类动作示范与人工纠错，而机器人可以成百上千台地批量部署、有经验的操作人员却无法同步「增产」——「人不够用」被认为是产业落地的核心卡点。CEL 把学习对象从人类转向机器人群体自身：单台机器人在实践中摸索出的成功经验沉淀为共享资源，全体机器人从持续积累的群体经验库中自主学习、优化策略，无需等待人工示教。
真实场景测验：覆盖家庭服务与工业生产两类，设插花、叠衣服、手机充电、凳子组装、手机包装五项任务。两台未参与训练的机器人完成 600 次测试，总体成功率 97.5%，且五项任务的成功率全部超过 6 名人类操作员的平均水平。
最显著的一项：多步骤工业级的手机包装任务，成功率从 79.2% 提升到 98.3%，连续 120 次测试仅失败 2 次。
规模律：参与训练的机器人从 16 台增至 96 台，任务成功率从 86.7% 升至 98.3%——同等训练时长下，规模越大，经验积累效率越高。
系统侧：基于大规模强化学习开源框架 RLinf 构建容错异步训练系统 FATS，机器人完成任务后即刻上传经验、不必等其他机器人，异步持续改进；对网络波动、设备掉线、硬件故障做了前置处理。96 台规模测试中，集群累计采集 9834 轮执行经验，期间 22 台机器人共发生 30 次故障，故障造成的机时损失仅占总运行时长的 1.3%。
算法侧：提出失败引导的经验检索微调算法 FERT，同时复用成功经验与失败案例，帮助机器人在相似场景中快速定位改进方向，破解长时序操作反馈稀疏的难题。
分工：清华提供学术研究支撑，无问芯穹负责 AI 基础设施，智元贡献整机产品与真实应用场景。

为什么值得关注

这是对「人不够用」这一卡点的正面解法，而不是绕道。 10/29「数据荒」那一条讲的是采集能力的扩张——100 万小时/年、全国 90 个采集中心；CEL 讲的是换一个数据源：让已部署的机器人在干活的同时成为数据源。如果成立，数据成本随部署规模上升而摊薄，而不是线性增长。
「机器人越多越强」第一次有了可核验的曲线。 16 台 86.7% → 96 台 98.3%，这条曲线的意义不亚于 LLM 的 scaling law：它意味着部署行为本身具有正外部性。需要注意的是这是特定五项任务上的结果，且提升来源包含经验库积累与 FATS 容错两部分。
1.3% 机时损失是被低估的工程指标。 长期稳定运行的交付能力，最终检验的是能不能在真实产线上连续运转。30 次故障占 1.3% 机时，这个数字比任何成功率都更接近「可用性」的定义，也与 10/30 智元记录到的 64828 次作业、成功率 99.99%、10/26 信通院「月均开机不足 10 天」构成同一把尺子的两端。
产学研三方分工清晰，且由整机厂提供真实场景。 智元既出机器也出场景，使得这条路径从一开始就落在部署态上，而不是停留在仿真里的数字。

5. 具身智能进入「交卷期」：月度融资腰斩，出货结构被摊开对照

事件

10/31 21 世纪经济报道以《智元宇树竞速具身智能进入「交卷期」》为题，把产业端与资本端放在同一张表里。

资本端冷：IT 桔子数据显示，10 月具身智能赛道融资 33 起、总额 101.05 亿元；9 月为 60 起、110.28 亿元，交易数量近乎腰斩；对比 6 月热度顶峰的 55 起、308.92 亿元，落差更明显。中国信通院 10 月《具身智能发展报告（2026 年）》提示泡沫风险积聚，未来 2–3 年将通过市场竞争完成首轮出清。去年 2 月至今年 9 月，国内至少 20 家机器人企业陷入经营危机，达闼机器人被裁定破产清算，盈合机器人、深兰机器人相继破产——出清指向的正是「造出了机器人、却没能力让它持续在岗」的公司。
宇树三季报（10/28 晚披露）：前三季度营收 18.17 亿元，同比 +55.71%；归母净利润 3.87 亿元，同比 +270.54%；扣非净利润 3.49 亿元，同比 −18.78%。单看 Q3：营收 6.65 亿元 +69.93%，归母净利润 1.13 亿元 −17.37%，较 Q2 的 2.24 亿元环比降约 49.7%；Q3 单季毛利率 50.58%，前三季度 54.02%（同比 −5.73pct）。研发投入前三季度 2.63 亿元 +191.48%（占营收 14.47%），Q3 单季 1.27 亿元 +249.58%（占当季营收 19.10%）；销售费用 2.30 亿元、同比增约 202%。经营活动现金流净额 1.94 亿元 −54.69%；存货由期初增至 10.19 亿元（+177.19%），合同负债 2.33 亿元（+70.20%），货币资金 73.54 亿元。归母与扣非的背离主要源于上年同期一次性股份支付压低基数，扣非更能反映经营挤压。参照此前问询回复，2025 年 1–9 月宇树人形机器人收入中科研教育占 73.60%、商业消费 17.39%、行业应用 9.01%。
出货结构被摊开：工信部 10/19 披露 2026 上半年人形机器人整机产品突破 400 款、产量超 4 万台、全年预计破 10 万台；商务部口径前三季度重点平台具身智能机器人销售额同比 +22.6%。但按 Counterpoint 统计，上半年全球人形机器人六成以上卖给了舞台和实验室，真正进厂进仓创造直接经济价值的不足两成；弗若斯特沙利文口径下，上半年全球用于「生产作业」的人形机器人销量仅 0.12 万台、收入 0.78 亿美元。
两家的技术路线分歧：智元把瓶颈归结于系统能力，全栈在硬件、软件、生态三层同时展开，研发团队 30% 做本体硬件、70% 做智能；彭志辉提出物理 AI 五次跃迁，称智元正处在第二阶段（垂域部署）向第三阶段（可泛化的具身基座模型）跨越。宇树则把三件事——千万台级量产能力、物理 AI 模型、超大规模算力集群——围绕本体与底层制造能力展开，先以运动控制与成本优势建立出货规模。共同的判定是：临界点尚未到来，王兴兴给的是 1–3 年，彭志辉认为随时可能。
估值逻辑的迁移：按硬件销售的 PS 估值被认为不成立，按服务订阅的 ARR 才接近本质——彭志辉的表述是「硬件会折旧，但智能会升值」。检验标准被换成成功率、节拍、稳定运行周期与综合运营成本四项。
平行参照：据 SF Standard 10/30 报道，特斯拉预计在 12 月初开放 Optimus 预订（消息源自 Humanoids Summit 创办人 Modar Alaoui，称特斯拉把开放时间与其 12/1–2 大会绑定，并计划演示 V3），但另一侧口径明显保守——Musk 在 Q3 财报电话会上给出的口径是对外交付要到 2027 年底，年产 2 万台/周的节奏仍需一年以上，且直言目前在产的机器人「尚未拥有完善的手部」。

为什么值得关注

「数量腰斩、金额基本持平」是本轮最诚实的信号。 33 起 101.05 亿对 60 起 110.28 亿——钱没有离开，但交易集中度上升，早期项目正在被筛掉。对照 6 月 55 起 308.92 亿，这是一次典型的从广度到深度的切换。
宇树这份财报是「用利润换能力」的第一份公开账本。 收入 +55.71%、扣非 −18.78%、存货 +177.19%、现金流 −54.69%、Q3 单季研发费率被顶到 19.10%——收入曲线与利润曲线第一次明确分道。这与 10/30 收录的「以短期盈利让步换取模型与生态」是同一件事的财务表达，也是具身公司从制造业估值转向模型公司估值必须付出的代价。
0.12 万台 vs 4 万台，是本条最硬的一个对比。 工信部口径的产量/款数（供给端）与沙利文口径的生产作业销量（价值端）相差三十余倍。Counterpoint 的六成流向舞台与实验室进一步说明：行业的收入结构仍然远离「生产力」叙事。这也给 10/30 XYZ 三曲线提供了当期坐标——处在 Y 曲线（部署成长期）的起点，而非中段。
破产名单不是孤立的个案。 达闼、盈合、深兰的经营危机与「至少 20 家」构成同一条证据链：跨过量产关不等于跨过在岗关。这与智元的第 20000 台下线、以及订单结构中「客户—股东重合」的质疑形成完整对照——2026 年的胜负手已经从「能不能下线」变成「下线之后有没有创收」。